基于审计视野的内部控制评价

内部控制评价是对企业现有的内部控制系统的设计和执行的有效性进行调查、测试、分析和评价的活动.它是内部控制中的一个必要的系统性活动,是内部控制设计、实施、评价、反馈、改进等连续的动态过程中重要的环节.根据财政部五部委2010年4月发布的《内部控制评价指引》,内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程.企业可以授权内部审计部门或专门机构负责内部控制评价的具体组织实施工作.将内部审计与内部控制评价结合起来研究有其特殊的意义.

一、内部控制评价现状及问题

(一)国内外对内部控制评价研究的现状在国外,内部控制评价的理论研究已经比较成熟.我国在内部控制评价方面的研究已进入起步阶段,财政部等五部委于2008年6月28日联合发布了我国第一部《企业内部控制基本规范》(财会[2008]7号),这是中国会计审计领域的又一重大改革举措,其目的在于推动国内上市公司实行内部控制自我评价制度和规范注册会计师开展审计工作时对被审计单位内部控制评价的相关内容,不但填补了企业内部控制自我评价标准的空白,而且为我国建立内部控制评价体系打下了基础,这将有利于注册会计师审计工作的开展.同时,为了配合《企业内部控制基本规范》的施行,2010年过4月发布了《企业内部控制评价指引》,要求自2011年1月1日起在境内外同时上市的公司施行,自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行.但有关内部控制评价的标准和评价体系的具体实施细则还有待于进一步研究,统一的评价标准尚未制定,这种现状大大制约了企业内部控制的有效执行.

(二)内部控制评价存在的问题内部控制评价存在的问题主要有以下几方面：(1)内部控制评价理论的缺陷.《企业内部控制评价指引》明确规定了内部控制评价的内容,但内部控制评价的主体及其定位不明确.从内部控制评价的发展来看,注册会计师实施的评价是内部控制评价的起源.内部控制从广义来讲,包括会计控制和管理控制,从狭义来讲,仅包括会计控制,即与财务报告相关的控制.注册会计师的专业背景决定了它难以胜任对管理控制部分的评价.现行的《审计准则》也只要求注册会计师对与财务报告相关的内部控制进行了解和评价,因此.要求注册会计师对整个内部控制进行评价实质上是不适当地加重了注册会计师的执业风险.

从上市公司治理的角度来看,公司治理层肩负着监督公司经营管理、监督财务报告的形成与报出过程的责任.董事会应该是公司内部控制评价的主体.而实际上市公司董事会中有相当一部分没有正式的审计委员会.很多上市公司中虽也设有专门的内部审计机构,但独立性不够,有的隶属于总经理,有的隶属于财务部门,内部审计职能很难真正实现.因此,上市公司必须明确内部控制评价的主体定位问题.

(2)内部控制评价执行存在的问题.一是缺乏对内部控制评价报告的格式和内容的详细规定.管理当局对内部控制的责任并不仅仅是建立内部控制制度,还应当保证内部控制系统的有效运行.因此,管理当局应定期依据内部控制有效性评价的标准对本企业内部控制的设计和执行的有效性进行评估,并将结果提供给外部信息使用者.为了提高内部控制报告的可信度,还应当由注册会计师进行验证.管理当局对本企业的内部控制最熟悉、最有能力对其进行评估,同时这也是管理当局的责任.而将对企业内部控制制度的评估结果报告给投资者,实际上是向委责者证明自己已经尽管理之责.内部控制报告有利于促进管理当局发现内部控制中的缺陷,改进内部控制,提高会计信息质量.但是,对于报告的格式和内容缺乏详细规定.而对于一般上市公司,我国仅要求在上市公告中披露企业建立内部控制制度的情况,年度报告中并无内部控制报告方面的要求.笔者认为,应当加强对上市公司内部控制信息的要求,要求所有上市公司在其年报中披露内部控制的设计和运行的有效性.二是内部控制报告流于形式.披露内部控制报告的目的是为了帮助企业健全和完善其内部控制制度.在我国并不是所有的企业都要求披露内部控制报告,只有当上市公司发行股票时才要求披露,披露内部控制报告只是为了满足有关规定,获得发行新股的资格.由于内部控制信息在我国历史并不长,所以监管部门更多的是关注会计信息,对内部控制信息并没有做太多的监控,以致很多上市公司没有对内部控制报告中披露的有关问题进行跟踪并采取措施予以改进.同时由于内部控制报告格式和内容缺乏详细规定,现阶段我国上市公司对外披露的内部控制格式多样,内容凌乱.三是内部控制评价执行人员的素质不高.在具体的审计实践中,我国对内部控制评价的运用也不容乐观.从目前我国审计工作中开展内部控制评价的总体情况来看,由于各组织管理水平普遍不高,内部控制制度多数不健全或执行不力,加之审计人员对内部控制评审技术掌握不够等原因,使得科学规范的内部控制评价在审计中并未得到推广,账目基础审计的方式仍被广泛运用于国家审计、社会审计和内部审计各领域.即使有的时候开展制度基础审计,也往往侧重于对会计控制的评价,而忽略了其他相关内部控制的评价工作.

(3)内部审计在内部控制评价实践中存在的主要问题.一是内部审计的组织地位无法保证评价工作的独立性.在2008年出台的《企业内部控制基本规范》第十三条明确规定,企业应当在董事会下设立审计委员会.审计委员会负责审查企业内部控制,监督内部控制的有效实施和内部控制自我评价情况,协调内部控制审计及其他相关事宜等.目前上市公司中大多采用审计委员会为公司董事会怎么写作的模式,从实际意义上讲审计委员会不是监督公司董事会的职能机构,这种模式已越来越不适应现代企业制度建设的需要.二是内部审计的评价标准过度倾向于定性标准.内部审计的评价标准过度倾向于定性标准,对内部控制的现状反映不够充分.我国虽然以coso内部控制框架为核心的内部控制系统已经建立,现有的法律法规和行政规范也有多项涉及到内部控制评价的内容,要求对内部控制的完整性、合理性及有效性进行评价,但在内部控制标准的建设上,没有对管理层进行内部控制制度有效性评价提供实质性指导,从而造成不同公司的管理层在进行内部控制的有效性评价时没有一个统一的标准.大多数企业也没有建立起统一的规范,而且多数停留在定性标准的层面上.困定性评价活动受评价人员的主观判断影响很大,很难准确、明晰地反映内部控制体系的现状,严重影响了内部控制评价作用的发挥,使得“再控制”的实施效果大打折扣.

二、基于审计视野的内部控制评价完善措施

(一)内部控制评价理论的完善措施(1)改善公司治理结构,保证内部控制评价的有效执行.完善公司治理结构是建立健全内部控制的前提条件,也是进行内部控制评价的基本保证.首先,需要完善我国上市公司的审计委员会制度.建立高效的审讦委员会.审计委员会将财务、审计监督职能从监事会职能中独立出来,能够 专司其职,成为股东监督职能的一个保证机制.其次,要规范审计委员会的工作方法,对内部控制的评价要成为审计委员会的日常工作.内部控制设计是否合理、执行是否有效体现在日常业务活动中,审计委员会要通过对日常业务的监督来评价内控制度的健全性,并日益完善公司的内控制度.

(2)规范内部控制的评价标准,建立统一的评价方法体系.在对内部控制进行评价时,确定适当的评价标准非常重要.基于目前的现状,财政部应细化内部控制评价标准,使该标准具有相关性、完整性、可靠性、中立性和可理解性.目前,从国际来看,coso提出的内部控制五要素框架与企业管理过程相结合,并与控制目标相匹配,从而为企业管理层和外部监管者所认可.笔者建议我国上市公司采用以COSO报告的五个要素所要求的基本条款作为评价标准,将定性分析与定量分析相结合.评价的基本思路是：对每一个控制项目先按照5要素展开,再将每一要素按照关键控制点拆分成更为具体的内控评价指标进行评价.除此之外,应该进一步对其进行经济数据分析,掌握其可行性评价内部控制的效果.利用经济数学分析和模糊数学的方法,建立评价模型将定性指标定量化.随着评价主体素质和技能的不断提高,内部控制评价结果的量化方法会更加精深.

(二)内部控制评价执行的完善措施(1)落实评价指引中披露内部控制报告的要求.按照《企业内部控制评价指引》要求,严格执行关于内部控制评价报告披露或报送.内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计,对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露.内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门.企业应当以12月31日作为年度内部控制评价报告的基准日,并于基准日后4个月内报出内部控制评价报告.对于基准日至内部控制评价报告发出日之间发生的影响内部控制有效性的因素,企业应当根据其性质和影响程度对评价结论进行相应调整.

(2)提高内部控制评价人员的执业素质.在风险导向评价下,管理层和内部控制评价人员需要做出很多的主观判断,如需要识别与企业控制目标相关的风险,识别相关的控制以及判断相关控制是否充分,这就要求管理层和内部控制评价人员应具有更高的专业技能,必须在企业内部控制与风险管理方面具有非常专业的基础知识和判断能力,才能更加有效地完成内部控制的评价,提供一份可靠性较好的内部控制评价报告.因此,企业必须健全完善的人力资源管理政策,不断提高内部控制评价人员的素质,使内部控制评价的效果更加突出.首先,在用人上,采取任人唯贤的用人机制,提高内部控制评价的效果.其次,应从理论、业务技能、价值观,管理风格等方面进行考核,并对员工和管理者进行经常性培训,不断提高他们的业务水平和综合道德素质.提高内部控制评价人员的执业素质是有效完成内部控制评价的关键.

(三)内部控制评价实践的完善措施(1)提高内部审计委员会的职能地位.由于传统组织模式不利于独立、客观的进行,所以必须将内部审计委员会设置在局外,让其可以独立的进行,而监事会可以作为内部审计委员会的管理机构,这种审计模式的权威性和独立性都很强,有效地防止了“一股坐大”的发生,兼顾大小股东的利益.监事会作为监督,它不参与日常经营管理,而是代表所有股东监督董事会、管理人员的工作和单位整体经营目标的实现情况.另外,内部审计人员应回避自己曾参与过的管理活动的审计,内部审计人员作为独立部门成员不能参与本单位的生产经营管理活动,只承担对其进行评价和建议的审计责任.这种审计模式的权威性和独立性都很强,能够建立起内部审计部门和董事会的直接信息交流.

(2)将定性评价指标定量化.对于内部控制的评价一般主要运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法,具有很大的主观性和不精确性,在多变的环境下,更需要选择一套能给企业带来最大经济效益的内部控制制度.因此,内部控制评价工作组在结合定性评价方法上,应该进一步对其进行经济数量分析,精确掌握其可行性.

(3)通过内外审计有机结合加强内部控制的监督评价.企业除在内部设立内审部门进行自我检查和评议以外,还可以同时聘请社会相似度检测机构来对企业内部控制的建立健全以及实施情况进行评价.但这些外部的检查监督都不能取代内审的职能,只能是内部审计的补充和对内审的再监督,两者只有有机地结合在一起,才能对内部控制进行有效的监督.两者结合不仅能有效地提高外部审计的审计效率,而且还能更快、更准确地把握企业内部运行不顺畅的症结所在,有利于提高外部审计的质量.

本文通过对基于审计视野的内部控制评价研究发现,内部控制和内部审计都是企业规模和经营范围扩大后企业进行管理的重要措施.两者在现代企业管理中有着既相互联系又相互区别,既相互作用又各自独立存在的基本关系.由于内部审计具有风险控制、内部监督和评价的优势,因而决定了内部审计应该成为内部控制活动的重要工具.为了充分发挥这一工具的作用,就必须要求内部审计从多角度、全过程参与内部控制体系建设,才能最终成为内部控制的重要组成部分.总之,我国的内部控制评价理论与实践正在摸索中前进,还有许多问题值进一步研究探索.