我国内部控制鉴证业务

2011-08-15金花妍

合作经济与科技 2011年5期

□文/金花妍

我国内部控制鉴证业务

□文/金花妍

在财政部五部委相继发布《企业内部控制基本规范》和《企业内部控制配套指引》之际，内部控制鉴证是基于责任方认定的鉴证业务还是直接报告鉴证业务，以及其鉴证范围和时期、时点等问题成为业界讨论的话题。本文主要通过案例分析的方式讨论前两个问题，并从实际出发探索实务中所存在的问题，了解实务与理论发展之间的差距，以便为我国内部控制制度的相关规范和理论的发展贡献微薄之力。

内部控制鉴证；基础；范围

在企业内部控制日益受到重视之际，信息使用者对内部控制制度的可靠性要求日益提高，而外部鉴证是内部控制制度的重要保障。资本市场的高风险以及投资者的经验不足，使得内部控制鉴证业务日益受到关注，成为注册会计师行业新的重要鉴证业务类型。继2008年6月28日财政部等五部委联合发布了《企业内部控制基本规范》（以下简称“《基本规范》”）后，2010年4月26日财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制配套指引》（以下简称“《指引》”）。该配套指引连同此前发布的《企业内部控制基本规范》，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。本文主要讨论内部控制鉴证业务中的鉴证基础和鉴证范围问题，同时结合用友软件股份有限公司（600588）的2008年财务报表中披露的内部控制制度报告讨论上述题目。

一、内部控制鉴证的目标

SOX法案第404条中规定：担任公司年报审计的会计公司应当就管理层对其内部控制的评估进行测试和评价，并出具评价报告。2007年5月，美国PCAOB发布的第5号审计准则明确规定，审计师在财务报告内部控制审计中的目标是对公司财务报告内部控制的有效性发表意见。

可以看出，如果要实现上述目标，需要两步完成：1、企业管理当局必须对企业的财务报告内部控制进行评估、得出结论并发表声明；2、注册会计师就管理当局对内部控制有效性的评估是否公允作出评价并发表独立意见。

在这里值得我们注意的是，应明确区分“内部控制”与“管理层对财务报告内部控制的评估报告”这两个概念。根据PCAOB的规定，注册会计师是对后者进行鉴证服务，而不是针对前者。注册会计师对后者出具无保留意见，并不代表该企业的财务报告内部控制是完美无缺的。在基于责任方认定的鉴证业务中，若企业管理层出具的内部控制自我评价报告中充分披露出该企业内控中存在的问题时，注册会计师就可以出具积极意见。

在内部控制鉴证业务的对象选择问题上，PCAOB选择了“管理层对财务报告内部控制的评估报告”。2001年10月，中国证监会又发布了《关于做好证券公司内部控制评审工作的通知》（以下简称为“《通知》”）和最新《指引》对内部控制目标的界定。《通知》第1条要求：“证券公司应当根据《证券公司内部控制指引》及公司自身的业务情况、财务状况和管理水平，加强内部控制的稽核、检查与完善，聘请有证券执业资格的会计师事务所对公司内部控制进行评审，以防范风险并促进公司内部控制水平的提高。”可见，《通知》对证券公司内部控制鉴证的对象定位于“证券公司的内部控制”，这就决定了其鉴证的内容包括但不限于：合规经营、公司治理、环境控制、业务控制、财务控制、资金控制以及电子信息系统控制等。而根据《指引》第2条：“本指引所称企业内部控制鉴证，是指会计师事务所接受委托，对企业内部控制的有效性进行鉴证，并发表鉴证意见。”显然，《通知》和《指引》采用的是“内部控制”。

下面用具体案例来讨论内部控制的鉴证基础和鉴证范围这两个问题，并探讨我国内部控制鉴证业务中存在的问题。

二、内部控制的鉴证基础和鉴证范围

（一）基于责任方认定的鉴证业务还是直接报告鉴证业务。在搜集关于内部控制鉴证报告的过程中，发现绝大多数企业的内部控制鉴证（或审核）业务尚处于对“管理层对财务报告内部控制的评估报告”进行鉴证的阶段。

大多数内部控制鉴证报告在鉴证结论段中说明：“我们认为，**公司按照《企业内部控制基本规范》及相关规定于2009年12月31日在所有重大方面保持了有效的内部控制。”但用友软件股份有限公司（600588）的2008年财务报表中披露的内部控制制度报告（安永华明（2009）专字第60469423_A02号），与其他大多数企业的阐述有所不同。

值得我们注意的有以下几点：

第一，报告引言段明确表示：“注册会计师的研究和评价是在《中国注册会计师审计准则》的基础上，结合注册会计师的财务报表审计目的而进行的，而不是对内部控制的专门审核，并不是专为发现内部控制缺陷、欺诈及舞弊而进行的。”

第二，结论段：“我们阅读了由贵公司管理层编写并后附的用友软件股份有限公司内部控制自查报告。根据我们的研究和评价，我们未发现贵公司编写的并后附的用友软件股份有限公司内部控制自查报告中与财务报表编制相关的内容与我们对贵公司和贵集团就上述财务报表的审计发现存在重大的不一致。”

第三，追加了“对公司的改进建议”，包括“收入分类不明确；同一客户下涉及多个合同的收入无法区别；缺乏不相容职务充分的职责分工；未严格执行审批程序；人员入职、转正审批程序未严格执行，缺少书面记录；发出商品确认收入问题；银行余额调节表信息不完整；应收账款和预收账款的账务处理；费用和成本明细分类的核算不准确；公司内部关联方交易定价问题；经营性借款问题”等与财务报表相关的内部控制。

从上述几点内容可以得知，注册会计师认为用友软件股份有限公司的内部控制制度（至少是与财务报表相关的内控）的运营是存在问题的，但针对该公司内部控制自查报告所出具的意见是无保留意见，只是在意见的表达上采用了消极肯定的形式。

出现这种情况，恰恰是因为内部控制鉴证的目标与内部控制的目标不一致导致的。根据《内部控制基本规范》（2008）总则第三条的规定，内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。而目前我国上市公司内控鉴证业务的目标都局限在对“管理层对财务报告内部控制的评估报告”进行审核的范畴内。这种情况导致注册会计师对“自我评估报告”和“内部控制”本身出具两种不同意见的情况。

（二）内部控制鉴证应确定的范围。注册会计师对内部控制进行审计时，究竟是对企业所有的内部控制都进行审计，还是仅审计与财务报告相关的内部控制？对此，美国SOA 103的规定是，注册会计师是对与财务报告相关的内部控制进行审计，根据该法案制定的PCAOB AS2/AS5均采用这一观点。

我国《指引》第二条中提出：“本指引所称企业内部控制鉴证，是指会计师事务所接受委托，对企业与财务报告相关的内部控制进行鉴证，并发表鉴证意见。”

但是，值得我们注意的是，在《指引》的鉴证报告中，大多数上市公司的内部控制鉴证报告都存在分歧。引言段表述为：“对后附的贵公司管理层在XXXX年XX月XX日作出的内部控制有效性的评估报告进行了鉴证”；在意见段表述为：“贵公司按照《企业内部控制基本规范》及相关规范于XXXX年XX月XX日在所有重大方面保持了有效的内部控制”。也就是说，报告格式所表述的鉴证内容与《指引》对“内部控制鉴证”的定义存在明显分歧。

从监管部门角度来讲，目前更多地关注于会计信息的可靠性，并且对企业所有的内部控制进行审计，将导致企业所需要负担的审计成本过高。因此，对与财务报告相关的内部控制强制进行审计可能是一种较为务实的做法。但是，在确定内部控制审计（评价）范围时，有这样几点值得考虑：

第一，建立并维持有效的内部控制（不仅仅是财务报告内部控制）是管理层的义务，股东以及其他的利益相关者有权知道企业内部控制的有效性，注册会计师对企业内部控制或管理层自我评估进行审计，是保障有关利益相关者上述权利的重要手段。

第二，在现实中，一些企业可能会存在对所有内部控制进行全面的诊断（包括自我评估和外部审计），以发现存在的内部控制缺陷并加以改进，从而提高企业运营效率，减少舞弊，这是出于自发性需求的目的。如果将审计的范围仅仅限定于财务报告内部控制，将使审计的目的限定于法定义务而忽视了企业自身强化内部控制的需要（如大股东、董事会可能会存在这样的需求）。

第三，从业务推行的角度来说，企业对于仅针对与财务报告相关的内部控制进行的评价或审计动力可能并不是很强，甚至会遭到企业的抵制或敷衍应付，因为这对于企业的直接效益作用并不明显；相反，注册会计师利用自身的专业特长，从诊断企业内部控制存在的缺陷，以加强内部管理、提升效率的角度出发，对企业所有业务环节的内部控制进行评价，并提出改进意见，实际上相当于注册会计师为企业提供了高质量的管理咨询服务，可能更容易为企业所接受。尽管在刚开始的时候，企业需要支付更高的费用给事务所。

第四，企业是一个整体，在这一整体中，每一环节对另外的环节都会产生或多或少的影响，要想准确地划分哪些内部控制属于财务报告内部控制并非一件容易的事情。

总之，应当允许（或者说鼓励）企业自行选择对所有内部控制进行自我评估并接受注册会计师的审计，但考虑到不同企业对此项业务需求的差异以及企业的负担，在目前的条件下，这不应当成为强制性的规定，而只应当由企业自愿选择进行，以避免政府管制过度而对企业造成过重的负担。