内控新机制下风险导向内部审计研究等

钟希余 王 凯

摘要:《企业内部控制基本规范》的实施,必将推进企业内控新机制的建立,并对企业内部审计提出新要求,企业内部审计应适应新形式的需要,确立以信息系统为审计基础、以管理流程为审计路径、以风险管理为审计导向、以强化内控为审计核心、以价值增值为审计目标的风险导向内部审计模式,以确保内控新机制的有效实施。

关键词:内部控制新机制风险导向内部审计理论框架

企业内部控制是提高企业运营效率、保障企业依法经营和会计信息真实可靠的活动,是现代企业制度的根本要求。2008年6月发布的《企业内部控制基本规范》(以下简称基本规范),为我国企业首次构建了一个企业内部控制的标准框架,为企业建立健全内控机制提供了权威科学的操作指南。随着基本规范的实施,我国企业尤其是上市公司将形成新的内部控制机制,并对内部审计提出新要求。

一、内控新机制的形成

(一)我国企业传统内部控制机制及其局限性

我国企业现有的内部控制机制是以董事会为主体,股东大会、监事会、董事会和经理层之间的控制(本文称之为传统内部控制机制)。

与国外企业相比,这种控制机制存在着一定的局限性,主要体现在公司治理结构的不完善:一方面,我国企业股权高度集中,持股比例占绝对优势的股东对董事会监督不到位,而小股东的权益又难以保障;另一方面,股东大会、董事会、监事会、经理层职责不明确。另外,在我国企业中往往存在监事会成员构成不合理、缺乏相应的专业知识和技能等问题,这也给其职能的发挥带来了困难。公司治理结构存在的缺陷,妨碍了内部控制的有效运行。内控制度更多地维系在经理层的觉悟上,而不是建立在制度安排基础上。

(二)内控新机制的特征

新出台的基本规范立足我国国情、借鉴国际惯例,确立了我国企业建立和实施内部控制的基础框架,并取得了重大突破。一是科学界定内部控制的内涵,强调内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。二是准确定位内部控制的目标,要求企业在保证经营管理合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率的基础上,着力促进企业实现发展战略。三是合理确定内部控制的原则,要求企业在建立和实施内部控制全过程中贯彻全面性、重要性、制衡性、适应性和成本效益五个原则。四是统筹构建内部控制的要素,构建了以内部环境为重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要条件、以内部监督为重要保证,相互联系、相互促进的五要素内部控制框架。五是开创性地建立了以企业为主体、以政府监管为促进、以中介机构审计为重要组成部分的内部控制实施机制。随着基本规范的实施,我国企业尤其是上市公司将形成新的内部控制机制(如图所示)。

二、内控新机制下实施风险导向内部审计的必要性

内部审计既是企业内部控制体系的一部分,又是内部控制体系有效性的确认者,参与企业内部控制体系建设,确保企业内部控制持续有效运行,既是企业内部审计的法定职责,也是企业内部审计的发展机会。

基本规范实施后形成的内控新机制对内部审计将提出更高的要求,内控新机制下企业内部审计不仅要对企业的经营管理进行监督与评价,还要对内部控制进行评价、参与企业风险管理,增加组织价值和改善组织的营运。企业内部审计部门在独立于经营管理层对董事会直接负责的基础上,重点关注各个风险管理构成要素是否能够在风险管理体系中正常运行、管理流程是否能够满足防范风险的需要,各种量化管理的内部模型是否有效等,促进风险管理体系不断改进。因此,引入风险导向内部审计是实施基本规范后企业内控新机制下的必要选择。

三、内控新机制下风险导向内部审计的理论框架

(一)风险导向内部审计基础:信息系统

信息与沟通是内控新机制是否有效实施和运行的重要条件。有效的信息及沟通要借助于一体化的、共享的信息平台,因而信息系统的应用是信息及时有效沟通的重要保证。信息系统的广泛应用,促使企业在管理体制、运行机制、组织形式、控制要点及手段等方面都发生了重大变化,从而导致内部审计的环境、范围、对象和线索等基本要素也都相应地发生了变化。传统的内部审计模式和体系已不适应这种变化的要求,必须进行变革和不断创新,以适应新时期、新环境下企业生存与发展的要求。为顺应信息系统的应用给企业管理带来的根本性变革,更好地服务于企业管理,企业内审部门应根据企业的特点和实际需要组织软件的引进、开发与应用,逐步建立功能配套、数据完备、操作简便的企业内审信息系统。

(二)风险导向内部审计路径:管理流程

内部环境是内控新机制是否有效实施和运行的重要基础。公司的治理结构是内部环境的一个重要方面,不断优化的管理流程是规范的治理结构的重要体现。内审部门不参与企业的经营管理活动,处于相对独立的地位,对企业的管理流程进行监督评价,服务于企业经营管理。因而,内部审计的路径是基于管理流程的。内审部门应加强管理流程执行情况监控、督查。一是加强日常运行监控、督查,及时发现、处理流程问题,并建立定期通报制度,促进各单位提高流程执行质量和运行效率。二是加强管理流程运行情况调研、走访,通过调研、走访,检查管理流程执行情况,发现管理流程存在的不足,及时改进或优化。运用六西格玛的方法逐步建立起管理流程的评价体系,从管理流程的完善、各单位的职责落实、沟通与协调、内部培训与管理、执行效果等方面,定期进行评价,并将制定出详细的评价标准和管理办法,不断提高管理流程的权威性。

(三)风险导向内部审计导向:风险管理

风险评估是内控新机制是否有效实施和运行的重要环节。在董事会下设立风险管理委员会,作为内部控制管理的主要决策机构,风险管理部为主要执行机构。同时设立审计委员会,并将其明确为全面风险管理的监督、评价部门,负责监察、评价内部控制的健全性、合理性和遵循性,督促管理层解决内部控制存在的问题。风险管理委员会负责拟定、执行控制程序,审计委员会负责监督、评价控制状况,并将修正控制意见反馈前者,以完备控制体系。风险导向内部审计注重以风险为导向,突出了对整个企业进行风险识别、评估和应对,使企业可以更好的避免风险以实现可持续的健康发展不仅是在内部控制系统中分析业务活动,而是要站在风险的高度,在风险环境中观察经济业务的发展过程,从而规避风险,防患于未然。

(四)风险导向内部审计核心:强化内控

控制活动是内控新机制是否有效实施和运行的重要手段。内控新机制建立了以企业为主体、以政府监管为促进、以中介机构审计为重要组成部分的内部控制实施机制,强化了内部控制,同时满足了注册会计师、企业管理者、企业的投资者和潜在的投资者、外部监管者以及更多的利益相关者对内部控制的需求。对内部控制的实施运行情况进行监督评价,是内控新机制下内部审计的重要职能。现代企业的内部控制与管理完全融合在一起,内部控制的运行过程即为企业的经营管理过程,这使内部控制涉及企业管理的各个方面。内审人员处在企业内部控制环境中,对企业控制环境、控制程序等各方面因素非常熟悉,清楚各项业务活动的关键控制点,其相对独立并且在企业内部有较高的地位,使其监督评价内部控制的有效性成为可能。

(五)风险导向内部审计目标:价值增值

创造价值是内控新机制有效实施和运行的最终目的。现代内部审计的使命是实现组织价值增值,内部审计的价值增值根据特征的不同可分为显性价值增值和隐性价值增值。显性价值增值是传统的常规性审计业务,比如财务审计、舞弊审计,内部审计带来的价值增值在审计结束后即可体现,审计难度相对较小,易操作,因此长期占据了内部审计的大部分业务范围。在现代高度不确定性的企业环境下,这些传统和常规的业务不能高度体现与组织长期价值创造目标相匹配,因此从内部审计资源的稀缺性和优化配置角度来看,它不是驱动风险导向内部审计价值增值的核心动力。隐性价值增值主要依赖于开展更多高增值性、非常规性的审计业务,提供更高价值增值含量的审计信息产品来实现。这些高增值性的审计业务紧紧围绕着组织的发展需求与风险控制,致力于企业长期价值创造能力的改善与提高。因此选择基于风险管理、内部控制的高增值性的审计业务,是实现内部审计增值效用的核心驱动因素。

综上,基本规范的实施,必将推进企业内控新机制的建立,并对企业内部审计提出新要求,企业内部审计应适应新形式的需要,确立以信息系统为审计基础、以管理流程为审计路径、以风险管理为审计导向、以强化内控为审计核心、以价值增值为审计目标的风险导向内部审计模式,以确保内控新机制的有效实施。◆

参考文献:

[1]国资委研究室.企业内部控制机制研究[C/OL].(2008-6-13)

[2]马正凯.《企业内部控制基本规范》解读[J]财会通讯,2008,30(10):80—82

[3]李德胜.企业内部审计如何应对信息化环境的挑战[J] .审计与经济研究,2008,23(4)

[4]贝利,格拉姆林,拉姆蒂.内部审计思想[M].王光远等译.北京:中国时代经济出版社,2006

[5]曹伟,桂友泉. 内部审计与内部控制[J].审计研究,2002,18(1)

[6]贾云洁. 从战略角度谈内部审计价值增值策略[J].审计与经济研究,2009,24(2)