一、充分认识内部环境的重要性
从企业内部控制工作本身看，如前述及，内部环境是其他内部控制要素的基础，决定了企业的基调（尤指企业高层，下同），影响员工的控制意识。在风险评估活动中，采用什么风险策略取决于企业的基调；能否按照既定的控制政策和程序开展业务活动，取决于企业的基调；企业内部能否及时、准确的收集内外部信息，并及时、有效地传递、公开，从而有利于风险评估和控制活动的开展，取决于企业的基调；企业能否对自身的控制实时反省、检验并不断完善，也取决于企业的基调。可见，就内部控制本身而言，如果没有好的内部环境，内部控制就无从谈起，企业的控制目标也无法实现。
从我国企业实践和资本市场发展看，伴随着经济社会的发展，绝大多数企业在发展经营的同时，注重和加强内部控制，在激烈的市场竞争中得到持续发展和壮大。但是，也不乏部分公司之频频出事，虽然存在这样或那样的原因，但究其主要原因之一在于其内部环境出了问题。这些公司不是内部控制制度不健全，而是设计完好的内部控制制度和其他相关管理制度执行不到位，内部环境基础缺失。从这个意义上讲，如果不下大力气完善内部环境，强化董事会、监督会和经理层的责任意识，而仅注重建立业务控制制度、健全各种各样的授权制度、审批流程、操作规范，无异于本末倒置，到头来内部控制目标仍难实现。
总之，要使企业内部控制的效用真正得以发挥，应当重视和优化内部环境建设。
二、把握内部环境的主要内容
一般而言，内部环境主要包括诚信与道德价值观、发展战略、对胜任能力的要求、董事会或审计委员会、管理层的理念和经营风格、组织架构、权力和责任的分配、人力资源政策和实务、社会责任等。
（一）诚信和道德价值观
1.诚信和道德价值观的内涵。企业的目标及目标实现的方式基于该企业的偏好、价值判断和管理层的经营风格。这些偏好和价值判断转化成行为的准则，其反映的就是管理层诚信及信奉的道德价值观。
诚信与道德价值观是内部环境的首要因素。这可从以下方面来理解。一是，诚信与良好的道德价值观将使企业拥有良好的信誉，得到社会的认同，有利于处理好企业与投资者、债权人、客户、供应商、竞争者以及政府等方方面面的关系，甚至为企业带来意外的收益，或者在企业出现困境时，得到应有的帮助。二是，管理层如果拥有诚信与良好的道德价值观，将是员工的最佳表率，能够更好地传递到员工层面，以确保企业各个层级在内部控制的建立、执行和监控中都拥有这种特质，对内部控制的有效性产生直接影响；反之，如果一个企业无视诚信与道德，必将导致与各方关系的恶性循环，最终濒临倒闭破产。
2.诚信与道德价值观的形成。企业诚信与道德价值观的形成，至少应关注以下方面：
（1）职业道德规范制定及其推行。企业应当制定职业道德规范。该道德规范应当是全面的，涉及各种利益冲突、非法或其他不当付款、反不正当竞争、内幕交易等；既要有涉及企业高级管理人员的道德规范，也要有一般员工的道德规范。道德规范制定后，应当不折不扣宣传、贯彻和执行。要采取各种行之有效的方式，让上至高层下至一般员工都知晓什么行为是要可接受的，什么是不可为，以及遇到不当行为时应采取什么样的行动等。为确保职业道德规范不流于形式，企业还应有专门部门，根据有关授权对企业员工遵守职业道德规范的情况进行监督检查。对违反职业道德规范的任何行为，除依照国家法律法规等进行处理外，可以根据企业内部有关规定进行处分甚至解除劳动合同。《企业内部控制配套指引》中，单独设立了“企业文化”应用指引，其相关解读和讲解中对制定和推行职业道德规范有明确要求。
（2）建立企业高层管理基调。“高层管理基调”的建立，包括详尽的道德指导和对企业上下沟通程度的指导。具体包括：通过一言一行，在企业范围内传达对职业道德规范的遵循；各位员工感觉到被同仁敦促做正确事情的压力；管理层对存在问题的迹象予以适当关注。如何才能真正做到？最为重要的是，要强调从“领导班子”做起，董事长、总经理要通过文件、讲话等不同形式把职业道德规范的要求传达给全体员工，并提出践行的希望；同时，通过企业高级管理人员廉洁从业检查、建立健全信访举报机制以及公示办法，在企业范围内传达管理层对职业道德规范的要求。
（3）正确处理与利益相关方的关系。企业管理层与员工、供应商、客户、投资者、债权人、保险公司、竞争对手和审计师等进行交往时，应当采用较高的道德标准，并且要求其他人同样遵守道德标准；与客户、供应商、员工和其他相关方的日常业务建立在诚实和公允的基础上。要满足这些要求，企业高级管理人员就必须公平对待员工、客户和供应商，不得通过操作、隐瞒、滥用专业信息或对重大事实进行不实陈述等做法，不公平地对待上述人员。其次，一般员工也不得接受可能影响商务决策和有损独立判断的有价馈赠，严禁为商务目的而以任何手段向政府官员提供、给予或承诺给予金钱和其他有价值的物品。再者，企业可设立举报电话、网上举报中心和电子举报信箱，鼓励全体员工和合作方检举任何所获知或遇到的违规行为。
（4）明确管理层对干预或逾越既定内部控制的态度。企业应当制定相关管理制度，界定各项业务的管理职责，明确部门及相关人员的职责和权利。其次，通过岗位职责描述和权限指引的方式对各级管理人员的职责和权限进行详细描述，督促员工按程序办事。再者，详细记录管理层为合法的目的而发生偏离既定的规章和程序的情形。与此同时，明确禁止管理人员违反企业的规定，鼓励对违纪违规行为进行举报，并予以保密。
（二）发展战略
1.发展战略的内涵。发展战略是企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的长远发展目标与战略规划。它是企业内部环境的重要组成部分。
2.发展战略实现。发展战略必须通过达到发展目标来实现，而要达到发展目标又需要制订战略规划。企业实践中，发展目标可以分为企业层面和业务活动层面的目标。业务活动层面的目标来自企业的总目标和战略计划，并与之相联系，是随着具体对象和最终期限不断制定的。这些目标应针对每个重要活动并与其他活动保持一致。
《企业内部控制配套指引》中，单独设立了“发展战略”应用指引，对制定和实施发展战略的重要性、相关风险及管控措施等，提出了明确要求。在此，不多述及。
（三）管理层的理念和经营风格
管理层的理念和经营风格，首先表现为企业接受业务风险的态度（体现在风险容量、风险承受度等方面），比如，在介入新业务前，是否对相关的风险和收益进行详细分析；是否经常从事风险特别高的业务，或是在接受风险方面相对保守等。它影响企业的管理方式，包括面对各种风险的态度，体现企业的经营宗旨、价值观念和行为准则。企业应树立现代管理理念，强化法制意识、风险意识和决策程序规范化意识，并将风险意识融入企业文化。其次，管理层的理念和经营风格体现在关键部门人员（如经营、财务和IT等部门的人员）的更换频率。更换频率低或不存在关键岗位员工突然辞职的情况，表明企业处于较为稳定的状态，一定程度上也反映企业经营风格被员工接受。再次，管理层的理念和经营风格体现在管理层对数据处理、财务报告和资产安全可靠等的关注；高层管理人员能够与各级业务部门管理人员定期交流或经常访问等方面。
（四）对胜任能力的要求
企业内部控制的有效性一定程度上取决于员工胜任能力和诚实性。因为不诚实或能力低下的员工会使大多数控制措施无法发挥作用。
胜任能力反映出员工完成工作任务所需要的知识和技能。工作任务需要具备什么样的知识和技能的员工来完成，通常是管理层根据企业的目标和实现这些目标的战略和计划，在胜任能力和成本之间进行平衡后做出的决策。例如，没有必要聘用一名计算机开发人员从事打字工作。
对于“对胜任能力的要求”，管理层首先应以正式或非正式的形式制定岗位职责，并明确履行岗位职责的员工需要具备的素质和专业能力。其次，应分析并确定员工胜任工作所需要的基本知识和技能，并有证据表明员工具备工作所需的基本知识和技能。
（五）董事会及审计委员会等专门委员会
高层管理基调等内部环境的多个方面，都会受到企业董事会及审计委员会等专门委员会的重大影响。影响因素包括：董事会及审计委员会相对于管理层的独立性、其成员的经验和职业道德水平、参与和监督企业活动的范围以及其行为的适当性；董事会及审计委员会对涉及企业计划或业绩等问题的询问和质疑程度，以及管理层解决这些问题的程度，董事会及审计委员会与内、外部审计师的交流和沟通程度等。
从内部环境优化的角度分析，董事会及审计委员会等专门委员会至少应当做以下方面的工作：（1）独立性。独立性是指董事会或审计委员会独立于管理层，可以对管理层的决策提出必要的质疑。具体包括：董事会对管理层的决定（如战略决策、重大交易）进行推断并提出质疑，对前期运行结果进行质疑。（2）有足够胜任能力。在胜任能力方面，董事应拥有足够的知识、行业经验和时间，以有效地开展工作；专门委员会人数充分，足以处理专业性、重大性事务。（3）及时获得有用信息。董事会应当通过有效途径确认其得到的信息及时充分，以便及时监督管理层的目标和战略、企业的财务状况和经营成果以及重大协议等。（4）获知和调查不正当行为。董事会及审计委员会对敏感信息、调查和不正当行为进行评价应当充分和及时（例如高级职员的出差费用、重大诉讼、非法报酬等），具体包括：存在告知董事会重大问题的程序；信息得到及时沟通。（5）审核高层管理基调。董事会及审计委员会充分参与、评价“高层管理基调”的有效性，采取行动以保证适当的“基调”，明确管理层应该遵守职业道德规范。（6）监督管理层对审计发现的跟进。董事会及审计委员会依据其发现，采取适当的措施，包括特殊调查。具体包括：董事会及审计委员会向管理层就需采取的具体行动下达指令；如果需要，董事会及审计委员会进行监督和跟踪处理。（7）定期沟通。审计委员会与财务负责人、会计人员、内部审计和外部审计人员定期沟通。
（六）组织架构
企业战略目标的实现，必须以一定的组织架构为基础，对企业活动进行规划、执行、控制和监督。建立良好的组织架构，主要包括：确定权责的关键领域以及建立适当的报告负责部门；根据自身的需要来确定其组织架构；组织架构的是适当性在相当程度上取决于企业的规模及其活动的性质。具体而言，至少应当关注以下方面：
1.组织架构适当考虑企业经营业务的性质，按照适当集中或分散的管理方式设置；组织架构应有利于信息的上传、下达和信息在各业务活动间的传递。
2.关键管理人员具备执行相关职责的知识和经验。具体包括：负责的管理人员技能素质满足要求，具备执行其业务必备的知识、经验并接受适当的培训。
3.确立有效的汇报机制，保证管理人员获得与其责任和权限有关的信息。经营活动的管理人员有与相关的高级管理人员进行沟通和交流的畅通渠道。
4.组织架构会在某种程度上随环境变化而变化，管理人员定期根据变化的业务或环境评价企业的组织架构。
5.存在足够数量的员工，特别是管理人员。具体包括：管理人员拥有足够的时间来有效地履行职责，管理人员能够将工作分派给其下属，避免出现大量的加班，以完成本可以由多名员工完成的工作。
值得注意的是，企业应根据自己的需要来确定组织架构，有集中型的，也有分散型的；有直接的报告关系，也有矩阵型的组织等。组织架构的适当性取决于它的规模和活动的性质，大型企业与中小型企业可能不同，信息流动的层级也不同，无论采取何种组织架构，都应以最佳的效率，将企业的各项活动组织起来，以便执行为实现特定目标而设计的战略。
《企业内部控制配套指引》中，单独设立了“组织架构”应用指引。有关组织架构的解释可参考《企业内部控制规范讲解》。
（七）权力和责任的分配
权力和责任的分配包括对经营活动的权力和责任的分配，以及确立报告关系和授权的规程。它具体体现在企业内部控制权限指引中。权力和责任的分配，应考虑国家法律法规、监管要求、经营管理实际以及员工的知识、经验和技能，明确规定各岗位的权力和责任，以充分发挥其积极性、主动性和创造性。
责任分配和授权及其恰当性主要包括：将职权和职责授予员工、决策的责任与职权和职责相对应、充分考虑适当的信息。企业应当特别注意授权和所分配的责任应当吻合。也就是说，对高级管理人员来说，完成工作所需要的权力与参与的程度应存在适当的平衡；对员工来说，授予合适级别的纠正问题或实施改进的权力，同时明确所需的能力水平和权力界限。简而言之，企业各个层级的高级管理人员和员工的责权利应相符。
值得关注的是，尽管集中权限是近年来一些大型企业集团的做法，在内部控制方面也确实取得了一定的效果，但是过度集权也会带来控制过度、胜任能力不足或舞弊现象。因此，适当地推动向下授权以便使决策更靠近下属企业人员的做法也应引起重视。这样可以更加以市场为导向，或以质量为中心，或提高客户的满意度。
总体上讲，权力和责任相结合应着力鼓励个人在一定限度内的主动性，达到“授权有度、权责匹配”。所谓一定限度，是确保授权所承受的风险应建立在合理识别和降低风险的基础上，包括确定风险的大小和权衡潜在的损失和利得，以便达成良好的经营决策。与此同时，被授权的人员也应了解企业的目标，并知晓其活动与目标的关联性，对实现目标有何作用。只有这样才能确保权力和责任的有效结合。
（八）人力资源政策和实务
人力资源政策引导员工达到企业期望的职业道德水平和胜任能力，包括员工聘用、定岗、培训、评价、晋升、考核、薪酬等政策。主要包括：建立人力资源政策和程序，包括招聘、培训、晋升和员工薪酬的政策及程序；明确员工的责任和目标，让员工意识到对他们的期望；应对员工的违规行为进行纠正，具体是：对管理层失职采取适当的措施，对违背政策的行为有适当的纠正措施，员工应明白未照章执行的行为最终将被纠正；人力资源政策应与相应的道德标准一致，将职业道德规范的遵从纳入员工评价标准；等等。
（九）社会责任等其他方面
《企业内部控制配套指引》中，单独设立了“社会责任”应用指引，对为什么要履行社会责任、履行哪些社会责任以及如何履行社会责任等提出了明确指引。有关解释可参考《企业内部控制规范讲解》，在此不多述及。
