上市公司内部审计的发展趋势

岳现堂

国际内部审计师协会对内部审计的定义是：内部审计是一种独立、客观的保证工作与咨询活动。它的目的是增加价值并提高机构的运作效率。它采取一种系统化、规范化的方法来对风险管理、控制及治理程序进行评价，提高它们的效率，从而帮助机构实现它的目标。该定义是国际内部审计师协会经过大量的研究工作在1999年提出的，尽管现在和当时相比在世界范围内经济环境都发生了巨大变化，但该定义经过检验发现仍然不落伍，依然适应现在世界范围内对内部审计的期望。

其中该定义所包含的三点内容：鼓励企业风险管理，强调内部控制，推动更有效的公司治理。也正是美国2002年接连发生了安然公司、世界通讯公司等大型公司破产案，不断暴露出美国上市公司中存在做假账现象后，美国社会经济学界、国会、政府、行业团体和证券交易所展开了大规模的“纠错”运动，提出改革的方案中所重点关注的三项内部。也应该是我国上市公司内部审计的发展趋势。

一、企业风险管理

COSO(11le Committee 0f Sponsoring Or-ganizatlolm 0f the Treadway Commission)在2003年7月公开发布了企业风险管理框架(Enterprises Risk Management Framework)征求意见稿，希望能在企业风险管理的理论上达成共识，在大量有关该论题的论述的基础上有一个共同认可的框架。

所有的机构都能从改进的风险识别和风险分析程序中获益是企业进行风险管理的根本动力。所有的企业都面临不确定性，对管理层的挑战是决定当努力增加利益相关者价值时，准备接受多少不确定性是企业风险管理的重点。企业风险管理可以对企业将要发生的给企业带来不确定性影响的未来事件进行有效的预测、管理和防范，从而使不确定性事件的对企业影响的负面结果尽量减少，正面结果尽量增加。企业风险管理可以帮助管理层在创造持续价值和将创造价值传递至利益相关者两个方面的能力得到提高。

在当今这个以风险投资和知识资本为主导的社会里，企业遇到的风险可分为：市场风险、经营风险和财务风险。市场风险如战争、经济衰退、通货膨胀、高利率等，是不可分散的；经营风险如市场销售、生产成本、生产技术、外部环境变化等；财务风险是筹资决策带来的风险。企业风险管理的重要内容，就是及时发现这些风险并采取科学的措施予以管理，做到规避风险、减少损失。

内部审计人员活动于本企业，不仅熟悉企业的财务运作、会计核算，而且了解企业的生产、经营、管理等方面，因而容易发现问题，并有能力参与评估企业存在的风险。为此，内审计人员应树立风险意识，防范可分散风险——经营风险和财务风险。针对内部控制的薄弱环节设立风险控制点，可将风险控制点设定在以下位置：①资金点。包括企业的筹资、投资活动，资金调度、使用、分配活动等；②成本费用支出点；③权力使用点。根据企业的经济业务，参与预报市场风险、信用风险(客户信誉状况)、合同风险(合同纠纷)及不可预见风险等。

内部审计还要在推动企业建立一个关于风险管理的理念中发挥重要的作用。内部审计人员通过自己的专业知识和对企业风险的研究，积极影响和游说企业的董事会和管理层，让他们从企业战略的层次重视考虑风险管理因素，在企业运营过程中应用风险管理的手段，建立企业的风险文化，从而通过企业的风险文化来影响企业的行为。

二、内部控制

促使企业内部控制体系的建立并对内部控制体系进行评估，一直是内部审计的基础工作之一，现在重新提出内部控制的重要性也是当前经济形势的发展需要。长期以来，企业内部控制体系的有效性一直是一个令人困扰的问题。许多经济学家们也早就通过一系列理论研究阐明其重要性，但这个实际存在的问题一直被人们所忽略。直到2002美国相继出现企业破产案件以后，人们才发现公司失败的普遍原因之一就是内部控制无效。

从而作为美国社会各界展开的大规模“纠错”运动内容之一，美国参众两院提出了多项关于加强公司义务、改善公司治理的法案，其中包括已经在2002年7月30日经布什总统签署的《萨班斯一奥克斯莱法案》(Sarbanes-Oxley)和尚未表决的《2002年上市公司会计改革与投资者保护法案》和《2002年公司与审计义务、责任及透明度法案》。从而期望恢复投资者对上市公司的信心和对美国经济的信心。

《萨班斯一奥克斯莱法案》中就再次把加强内部控制提到了一个非常重要的位置，其中在第302条规定要建立对内部控制评估和报告的披露制度；第103条规定要由外部审计师测试报告公司的内部控制结构和程序；第404条规定了内部控制的管理评价。

《萨班斯一奥克斯莱法案》要求公司的首席执行官和首席财务官必须在年报中对公司的内部控制的有效性作出结论，每一份有关内部控制的有效性的管理报告都必须描述用以评估的控制框架，并且建议用EOSO。

正是因为这些新规定的出台，又把内部审计推向前台，内部审计师的工作成了管理层对内部控制进行评价的基础。内部审计师还要对管理层作出的有关内部控制的评价进行评估。内部审计师工作的开展对外部审计师工作的影响以及使外部审计师对其的依赖程度越来越大。

内部控制的有效性评估是内部审计师们主要工作之一，在进行内部控制的评估时首先要明确哪些控制是重要的，然后要明确评估的范围，记录包含控制五要素在内的控制制度：控制环境，风险评价，控制行为，信息与沟通和监菅。

内部控制的评估必须采用适当的程序，一般可分为五步：1、调查评估内部控制设计的有效性；2、评估内部控制执行的有效性；3、针对主要不足和缺陷来测试控制是否达到要求；4、记录下评估的结果；5、就结果进行沟通。内部审计师要确保每一个评估参与者的职责被明确，而且已与管理层和外部审计师就其行为沟通并达成共识，当管理层自身已对其控制实施了评价时，内部审计师只需评估管理层作出的评价及其支持性文件。

三、推动有效的公司治理

内部审计尽管出现了半个多世纪，但一直是作为一项辅助性的审计功能而存在。世界通讯公司一案爆发后，美国各界逐渐认识到了内部审计的重要性。实际上，正是内部审计师在世界通讯公司首先发现问题，并有效阻止了部分虚假信息的发布。在假账丑闻暴露以后，人们发现许多在纽约证券交易所上市的公司都没有专职的内部审计功能，这些企业的审计工作都由外部审计单位来实施。新的标准规定，所有上市公司必须设立内部审计职能。新的标准为内部审计师们搭建了一个全新的舞台，并把他们请到了完善公司治理的聚光灯下。根据新的标准，公司董事会必须设立审计委员会，内部审计师将成为审计委员会职

能发挥的重要角色。

事实上内部审计职能的发挥更加完善了公司治理的结构，形成以董事会、管理层、外部审计和内部审计四位一体的有效管理体制。其中内部审计职能在过去的几年以来发挥了日益重要的作用。

现在公司治理结构中首席执行官管理和董事会监管的职能应该被明确界定并均衡，避免出现强权的首席执行官、软弱的董事的现象。董事会职能的发挥要加强审计委员会或由部审计的职能，内部审计部门直接向董事会或审计委员会负责并报告工作，增强内部审计报告关系的独立性。根据全球审计信息网络调查的结果，现在有74％的企业内部审计部门是直接向董事会或审计委员会负责并报告工作，比2002年提高了19％。

另外随着世界范围内对外部审计咨询业务的限制，要求外部审计独立性加强。内部审计在协助管理层进行有效的管理方面开始提供强大的顾问支持，在协助董事会履行其职责方面也发挥及其重要的作用。

会计和审计准则以及公司经营的复杂性对审计委员会来说是挑战。美国公司不断出现的管理丑闻暴露了审计委员会在对财务状况不闻不问、不了解财务筹划的复杂性、与内部审计联系极少等等弊端，因此，在Sarbanes-Oxley法案中对审计委员会作了更具体的规定：1、是独立的成受；2、监管会计、财务报告程序、内部审计；3、拥有至少一个财务专家；4、建立通畅的能够让员工反映问题的沟通渠道；5、拥有聘用独立顾问的权利；6、事前批准将由外部审计师提供的服务。

内部审计还应该提高企业内部职业道德文化方面发挥积极的作用。内部审计应该采取积极有效的方式支持职业道德文化建设，定期评价道德风气和战略、规划及沟通的有效性。这要求内部审计师应该拥有高水准的信任度和诚实度，倡导职业道德操行的技能，有能力去呼吁领导者、管理层和鼠工，对履行法律、道德具有较强的社会责任感，内部审计师可以作为企业的首辟道德官或内部道德规范委员会的成员或企业内道德风气的评判人等角色。

四、内部审计师的未来预期

全球审计信息网络调查统计的结果是：19.9％的认为会计报表审计将成为未来内部审计的重点；63.9％的认为风险管理系统审计将成为未来内部审计的重点；37.1％的认为传统审计内容是必需的。内部审计职责的调查统计结果是：44.6％的认为内部审计的职责是调查员；57％的认为内部审计的职责是顾问指导；45.6％的认为内部审计的职责是咨询者；34.7％的认为内部审计的职责是管理层有益的助手；其能32.1％。

国际内部审计师协会的有关材料认为未来的内部审计师应具备以下素质：

1拥有大局观，对整个公司的价值具有前瞻性考虑；

2扮演的角色对公司整体成功至关重要；

3精通专业，应用专业技术知识来减少风险，改善过程，提高效率；

4提供保证、培训和咨询服务是；

5在风险控制和机构有效性方面起领导作用。

以上内部审计的发展的趋势分析，可以对我国上市公司内部审计的建设有以下启示：

1公司内部审计机构的设立是必须的，内部审计机构应该向董事会或审计委员会负责并报告工作；

2内部审计职能要重点关注风险管理、要促使企业建立有效的内部控制体系，并对其进行评价；

3要发挥内部审计协助管理层管理的咨询功能，和协助董事会和审计委员会履行其职责，推进公司有效治理；

4强调审计人员的财务专业知识但更强调审计人员综合素质，多面手功能；

5要认识到审计业务的风险以及来自于咨询和非审计服务的风险；

6内部审计负责人的多种职能，如风险管理负责人，道德建设负责人等；

7内部审计的监控职能应该有新的发展，强调利用IT技术实现过程实时的过程监督。

随着内部审计各项职能的发挥，公司会越来越依赖内部审计在企业内部提供的各项服务，将会逐步认识到内部审计为公司的每一个部门、每一项业务、每一个策略的贯彻执行、每一个目标的达到所带来的实实在在的价值。