我国企业内部控制评价的若干思考

王洪艳 刘 静

【摘要】 企业当务之急,就是建立规范的企业内部控制,并进行科学的自我评价。文章围绕企业内部控制的评价,阐述了企业内部控制及其评价的重要作用,探讨了企业内部控制评价的主体与目标、内部控制评价的内容与原则以及具体的评价方法。

【关键词】 内部控制;企业内部控制基本规范;评价

2008年我国财政部、证监会、审计署、银监会、保监会五部委联合发布了《企业内部控制基本规范》,规定从2009年7月1日起在上市公司范围内施行,并要求上市公司对其内部控制的有效性进行自我评价,披露年度自我评价报告。这是中国会计审计领域的又一重大改革举措,那么企业应该怎样进行内部控制的评价呢?

一、我国企业进行内部控制评价的重要作用

有企业就有管理,有管理就要有内部控制。内部控制从简单到复杂,早期是为了确保企业经营者的行为符合自身的利益而采用了一些制约、协调、纠谬的方法和制度;经过近百年的实践,最终逐渐形成了现代企业的内部控制制度;从雏形的内部牵制发展到内部控制整体框架、企业风险管理整合框架。大量的中外企业管理案例、众多的事实都启示我们,在企业管理中,人是重要的,但制度更重要,实施科学、有效的企业内部控制制度能合理保证企业经营管理合法合规、资产安全,企业财务报告及相关信息真实完整,能提高经营管理水平和风险防范能力,能促进企业实现发展战略,也有利于国家资本市场的健康发展。

所谓内部控制的评价,即是对企业现有的内部控制系统的设计、实施及运行结构进行调查、测试、分析、评价的活动。它既是内部控制中的一个重要的系统性活动,又是评价、反馈、不断再评价的动态过程,能够促进内部控制的有效实施与持续改善。同时也是一种制度性安排,能够促使企业及员工经常性的审视自身的内部控制系统,以提高企业的控制能力和管理水平。

企业对内部控制进行自我评价并披露,有着重大作用。第一,通过对企业内部控制评价,可以规范企业建立内部控制的内容,督促企业建立健全内部控制;第二,通过对企业内部控制评价,可以完善内部控制评价标准,促进企业制定科学、适用的控制制度;第三,通过对企业内部控制评价,可以促进企业规范控制的实施方法,使企业内部控制充分发挥作用;第四,通过对企业内部控制评价,可以强化内部控制实施主体的责任意识,使企业全员参与内部控制;第五,通过对企业内部控制评价,最终强化企业的受托责任,促进改善上市公司的管理;第六,通过内部控制自我评价报告的披露,可以提高企业经济和财务行为的透明度,促进我国企业和资本市场又好又快的发展。

二、我国企业内部控制的评价目标和主体

(一)企业内部控制评价的目标

企业内部控制评价的目标取决于内部控制评价的不同需求。从历史发展看,内部控制评价主要满足三个方面的需求:审计需求、法律法规的需求以及企业自身管理的需求。在不同的需求下,内部控制评价的主体、客体和评价目标都不尽相同。

内部控制评价目标为了满足审计方面的需求,主要评价那些可能对财务报告可靠性有重要影响的内部控制,判断其可依赖程度,发现企业风险领域,从而合理确定审计程序,控制审计风险,保证审计质量,提高审计效率。

内部控制评价目标为了满足法律法规的需求,应当评价与法案具体的规定或潜在的要求相一致,其结果有利于达到法案对内部控制或其他方面的具体要求。如美国国会2002年颁布了《萨班斯法案》,第一次对财务报告内部控制有效性提出了明确的要求,规定管理层不仅要对公司的内部控制负责,还要对内部控制的有效性进行评价。又如我国《企业内部控制基本规范》要求上市公司应当对本公司内部控制的有效性进行自我评价,披露年度自我评价报告,并进行审计。其目的是加强对企业的规范和监控,控制财务丑闻的频发,保障资本市场健康发展。

内部控制评价目标更可以是出于管理的需求,对企业整个内部控制系统进行全面的评价,以促进企业经营管理措施的实施及目标的实现。

回顾以往,我们不难发现,无论是财务舞弊、会计丑闻或是其他因素导致的企业失败,虽然其表面原因各不相同,但究其深层次的原因,除去经济低迷、市场动荡等宏观不可控因素外,大部分企业的失败都是因为内部控制的缺陷造成的。

总之,内部控制评价既是维持企业生存与发展的内在要求,也是促进企业成功的动力机制。所以内部控制评价目标直接需求是满足法规规范,根本目的是为企业管理和发展需求服务。

(二)企业内部控制评价的主体

企业内部控制评价的主体决定于内部控制评价的目标,可以是企业的内部审计人员,也可以是企业的管理层,还可以是外部审计人员。企业内部审计人员评价的客体涵盖了企业整个内部控制系统,包括企业的运营、质量管理、生产标准、员工培训等,这些都是企业管理者所关心的、都是关乎企业运作发展的;而外部审计人员最关心的往往是与财务报表审计相关的内部控制,可以据此确定审计范围、重点、方法,并有助于收集充分适当的审计证据以合理保证审计目标的实现。

三、我国企业内部控制评价的内容与原则

我国《企业内部控制基本规范》借鉴了COSO报告发布的内部控制整体框架,规定了企业内部控制的基本内容和建立原则,这是我国企业内部控制评价最基本的标准和尺度,无论企业内部控制评价主体是企业的管理层、内部审计人员,还是企业外部审计人员都适用。

评价企业内部控制的基本内容,应包括五个基本方面:一是内部环境,是影响、制约企业内部控制建立与执行的各种内部因素的总称,是实施内部控制的基础。二是风险评估,是及时识别、分析和评价影响企业内部控制目标实现的各种不确定因素并采取应对策略的过程,是实施内部控制的重要环节。三是控制措施,是根据风险评估结果、结合风险应对策略所采取的确保企业内部控制目标得以实现的方法和手段,是实施内部控制的具体方式。主要包括职责分工控制、授权控制、审批控制、预算控制、财产保护控制、会计系统控制、内部报告控制、绩效考评控制等。四是信息与沟通,是指及时、准确、完整地收集与企业经营管理相关的各种信息,并以适当的方式在企业有关层级之间进行及时传递、有效沟通和正确应用的过程。五是监督检查,是企业对其内部控制的健全性、合理性和有效性进行监督检查与评估,形成书面报告并作出相应处理的过程。

评价企业内部控制应当遵循以下基本原则:合法性原则、全面性原则、重要性原则、有效性原则、制衡性原则、适应性原则、成本效益原则。也就是我国企业应当根据国家有关法律、行政法规和《企业内部控制基本规范》,结合部门或者系统相关规定,在对现有经营管理制度、措施及其实施情况进行全面分析、总结的基础上,制定适合本企业业务特点和管理要求、与经营管理制度和措施有机结合的内部控制制度,并组织实施。

四、我国企业内部控制评价的方法

(一)企业管理层或内部审计人员进行内部控制评价的方法

我国《企业内部控制基本规范》要求上市公司对本公司内部控制的有效性进行自我评价,且披露年度自我评价报告,但并未指明企业内部控制评价方法。追溯2006 年我国深交所发布的《上市公司内部控制指引》,也只要求“上市公司应于每个会计年度结束后四个月内将内部控制报告自我评价报告和注册会计师评价意见报送本所,与公司年度报告同时对外披露”,也没有规范评价的方法。导致实际工作中,企业的管理层或内部审计人员进行内部控制自我评价时,没有科学可行的方法可操作,随意评价,评价的内容不全面,评价内部控制实施的时间范围也不一致,评价的结果不可靠。笔者认为可以采用CSA法。

CSA法是1987年加拿大海湾资源有限公司的三位专家最早提出的控制自我评估法(control self-assessment,简称CSA),并经过不断使用和完善,成为快速发现控制薄弱点的好方法,在世界范围内得到广泛应用。CSA法是企业内部为实现目标、控制风险而对内部控制系统的有效性和恰当性实施自我评价的方法。这种方法一般是通过控制自我评估会议把相关的管理当局和员工召集起来,就特定的问题或过程进行面谈和讨论。控制自我评估会议的总基调是双向发现问题并共同分享问题。控制自我评估会议的召开有两个前提:一是根据需要建立工作组,因为控制自我评估会议需要从代表一个组织多种层次的工作组中收集有关内部控制的信息;另一个前提是必须要有受过引导技巧和内部控制系统设计方面的培训并具有高素质的软性能力的协调员,以决定会议的恰当形式并引导会议参与人员研讨、分析并写出评估报告,提出改进措施。

控制自我评估方法是内部控制系统评价的主要和常用方法,它体现了一种“全员评价、全员控制”的新觀念,即内部控制评价工作应当由组织的所有成员负责,而不应只是内部审计人员及管理层的事。一般操作人员在参与控制自我评估的过程中,不仅学会了对内部控制进行持续的日常评估,而且提高了自身的控制意识;而管理人员或工作组其他人员参与控制自我评价,则可以及时发现控制中的薄弱环节并提出行动计划,以不断改进和完善控制程序。

(二)外部审计人员进行内部控制评价的方法

为审计需要而进行的内部控制评价,主要是为发现企业风险领域,合理确定审计程序,提高审计效率。一般分四个步骤,第一,了解被审计单位内部控制现状,作出相应记录;第二,初步测试内部控制的设计与执行效果;第三,进行控制测试,检查内部控制的有效性,评估重大错报领域;第四,根据控制测试结果,设计实质性测试审计程序,并可根据具体情况,提出完善内部控制的建议。

外部审计人员了解被审计单位内部控制的方法主要有调阅企业资料、观察实际情况、审阅相关资料、询问被审计企业有关人员;并通过流程图、文字说明或调查问卷等形式记录内部控制,然后初步评价企业内部控制的健全性和合理性。外部审计人员实施控制测试的方法主要有询问有关人员、观察特定控制的运行、检查控制的文件和报告、穿行测试业务处理过程、重新执行内部控制程序等来判明控制在所审计期间的不同时点是如何运行的、控制是否得到一贯执行、控制由谁执行、控制以何种方式运行,从而获取内部控制健全有效的审计证据。被审计单位内部控制健全且能有效执行,其财务报告出现重大错报的可能性就会小些,实质性测试量小些。

综上所述,通过内部控制评价能够促进企业内部控制的有效实施与持续改善,可以提高企业经营水平和管理能力,也可以强化国家对企业的监管,还可以帮助外部审计发现问题,提高审计效率。因此,要根据评价目标,结合评价主体,正确确定评价内容和原则,运用恰当的评价方法,以充分发挥内部控制评价的重要作用。●

【参考文献】

[1] 赵运钗.内部审计开展内部控制评价的思考[J].经济论坛,2004(18):69-71.

[2] 张清芳.上市公司内部控制自我检查评价主体与基础[J].财会通讯,2008(4):69-70.

[3] 吴益兵.美国公司管理层财务呈报内部控制评价评述与思考[D].厦门大学,2007.