简析现代内部控制评审

魏 冬，刘冬青

(1.大庆油田公司 井下作业分公司，黑龙江 大庆 163000；2.大庆油田昆仑集团 管业分公司，黑龙江 大庆 163000)

内部审计承担着对内部控制进行有效监督和评价的职责。国际内部审计师协会对内部审计的定义为：“内部审计是一项独立、客观的保证和咨询活动，其目的在于增加价值和改进组织的运行，它通过系统化和规范化的方法，评价和改进风险管理、控制和高层管理过程，帮助实现其目标。”该定义指出了内部审计的目的是增加价值和改进组织的运行。内部控制评审作为内部审计的一项重要审计内容，能够监督组织的业务活动是否符合内部控制的结构要求，评价内部控制的有效性，并提供完善内部控制和纠正错弊的建议，从而改善组织内部经营管理，降低经营风险，提高组织的经济效益[1]。因此，研究和探讨如何开展现代内部控制评审工作，具有重要的现实意义。

一、探索高层控制评审，提升内部审计价值

以往我们对一个单位进行内部控制审计，大多局限于财务领域的具体业务层面的控制。《COSO内部控制整体框架》认为，内部控制由控制环境、风险评估、控制活动、信息与沟通[1]以及监控等内容构成，将内部控制覆盖经济实体的全部系统。从内容上既包含了控制环境等软要素控制，又包含了具体业务流程的控制；从控制层面上，涉及公司战略层在内的公司管理所有的层次。这使内部控制审计置于整个内部控制系统的运动发展中，放到更大视野中。

近几年国内外不断出现的财务丑闻，使我们深刻认识到公司治理缺陷、高管舞弊等是造成这些问题的重要原因，促使我们将审计目光从较低层面的业务流程控制，深入到公司治理，探索高层管理和控制环境等软要素的控制问题，审计的视野更广、更高。如某单位认为其内控管理薄弱，委托我们进行审计，并提出要对业务流程进行测试。审计时，我们没有直接测试流程，而是尝试着从公司层面的软环境控制入手审计，因为控制环境等因素往往决定了公司的总体态度，对流程、交易，或是应用层面的控制具有广泛的影响。审计人员通过对高管基调、组织机构、权责分配、人员素质等情况的检查和评估，了解到这个单位管理层过分强调生产运行和物资保障。一方面将计划、合同管理职能分散于相应的专业部门，不相容职务没有进行必要的分离；另一方面，将物资计划、采购、财务核算、仓储等职能全部分配给物资器材站，造成物资管理部门权力过分集中，加大了舞弊风险。管理者的态度以及机构设置、权力分配等重要职能存在控制缺陷，直接导致相应业务流程的控制失效，我们很快确定了重点审计范围和需要测试的流程，发现了这个单位在计划、合同、采购等方面存在的一系列控制缺陷。这次审计，让我们感到内部控制审计，不能局限于具体业务流程，更应着眼于内控系统中具有统驮作用的高层管理，内部控制审计应从具体业务流程走向公司治理等高层管理。

二、加强对内部控制设计层面的审查和评价

1.多重设置同类控制，不符合成本效益原则。内部控制的设计应符合成本效益原则，实行内部控制花费的成本和由此而产生的经济效益之间要保持适当的比例，也就是说，因实行内部控制所花费的代价一般不应超过由此而获得的效益。控制链过长、控制点过多、重复控制、无效控制都会导致控制成本过大、控制效率低下。对一项经济业务实施有效控制，一般应设置四类控制环节：预防性、检查性、纠正性、补偿性控制。在考虑成本效益原则的前提下，预防性控制应尽量简化。

如我们在对某单位合同管理内部控制进行审查时发现，签订一份合同前的审查通常要经过5-6个部门、10多个人的审查、审批，有的需要历时几个月，合同签订完成后，多数为事后合同。合同签订审查为预防性控制，控制环节不应过多，这些重复的、无效的控制，分散了岗位责任风险，使控制流于形式。经过分析，我们提出保留必要的法律、技术和经济以及主管领导审查，减掉重复性的控制，从经济业务的全过程出发，优化控制活动，将原来事前由财务、工程造价人员的审查改为履约付款时的事后审查，变预防性控制为检查性控制，减少不必要的控制环节，简化了审批手续，大大提高了控制的效率和效果。

2.关键环节缺少必要的补偿性或补充性控制措施，某一环节出现问题或中断，往往会直接导致整个业务无法继续或控制失效。如某单位付管线改造费4万元，从最初填单到上级业务主管部门审签完毕，历时2个多月，主要原因是付款审批人员出差，又没有授权其他人员审批。等待的结果是影响了工作效率，如果不等待，就会出现未经审批或未经授权人审批付款等问题，实际工作中这种例外事项很多，也是出现控制缺陷的主要原因。如果建立了必要的补偿性或补充性控制措施，就会减少这种控制缺陷的发生。

从内部控制设计上着手进行规范和管理，从源头抓起，审计效果比较明显，同时，帮助管理部门提出切实可行的改进意见，审计报告也较容易被接受。

三、把握关键控制环节，对内部控制的执行情况进行评价

内部控制评价的一个重要程序，就是要评价内部控制的实际执行效果，通过检查控制实施证据，运用穿行测试、抽样测试等方法，对内部控制的执行情况进行测评。

通常情况下我们在项目前期经过风险分析，锁定了重要管理领域、重要业务流程。但由于内部控制系统的复杂和庞大，有些业务流程非常烦琐，再加上实际发生的业务多，受总体审计时间的约束，有时我们不可能对所有的控制进行检查和测试，为了突出审计工作的效率，得出相对客观的审计评价，实际工作中，对控制执行情况的测试和评价，可以广泛采用对关键控制进行抽样测试的方法。因为关键控制是针对重要风险采取的最重要的控制措施，直接影响流程的整体控制效果，对关键控制进行抽样，能最大限度地体现内部审计的重要性原则和成本效益原则。

以物资采购业务为例，测试时我们重点关注以下环节：供应商的确定是否按规定程序；物资的购入和发出是否经过授权和审批，物资购入是否有采购计划、合同；收到货物是否经过独立的验收人员验收；是否定期对货物进行盘点并进行账实核对；整个采购、验收、入库、保管、发出、盘存等过程是否由专人负责并进行了明确的岗位分工。如我们在对某单位物资采购业务进行测试时，针对上述关键控制，依据不同的控制频率，抽取一定量的样本，很快就发现了这个单位由于合同审批环节复杂，多数采购业务没有及时签订合同，造成已到货物不能及时办理正式入、出库手续，从而导致物资账实不符、结算滞后等一系列问题。测试时只抽取少量的样本，就发现很多例外事项，进而得出物资采购业务关键控制没有得到有效执行，内部控制存在重要缺陷的结论。对关键控制进行抽样测试，检查控制是否得到有效执行，既提高了审计工作效率，又可以得出较为客观的评价，使审计评价具有较强的代表性。

四、应着眼于企业内部控制体系进行全面评价

内部控制是由诸多要素构成的有机系统，如果内部控制系统残缺不全，缺乏整体系统性，内部控制的整体功能将不能得到充分发挥。从要素上分，内部控制包含控制环境、风险评估、控制活动、信息与沟通、监督等诸多要素；从业务流程上分，内部控制又包括很多不同的业务流程控制系统。如从资源利用角度，应建立人力资源控制系统、物力资源控制系统、财力资源控制系统、信息资源控制系统[2]，从经营环节看，应有供应环节控制系统、生产环节控制系统和销售环节控制系统。通常我们的审计项目定位为“对XX单位内部控制的审计”，审计评价应着眼于内部控制体系的全部内容，对内部控制的健全性、完整性进行评价，使内部控制呈现出一种系统性，如果遗漏重要内控管理领域，极可能导致审计失败。如某审计组对某单位的预算管理、物资管理、资金管理、资产管理等几个方面进行检查和测试后，就得出这个单位内控体系健全有效的评价，但随后发生了这样的事情：由于这个单位信息化应用程度较高，但信息系统内控管理薄弱，没有建立必要的信息系统访问授权制度，重要商业信息被盗，给公司造成巨大经济损失。这件事情无疑是对上述“内控健全有效”审计评价的一个否定。

中石油内控体系建设中，将内部控制的五要素进行有机整合，形成的内控体系框架分为三个主要部分：即公司层面控制、业务活动控制、信息系统控制，对中石油内控体系进行评审，就要对这三个方面进行全面审查和测试，才能对其健全性做出评价。由于对一个单位内控体系进行全面评价需要相当的时间和人力，因此，这种类型的审计项目不宜频繁开展，上市公司一般是每年向审计委员会和首席执行官报告一次。当然，企业的类型及规模各不相同，对内部控制系统完备程度的要求也不一致，内部控制子系统以及各项内部控制程序的建立不一定面面俱到，而应当根据成本效益原则，突出对有代表性的重点管理领域的审计[3]。

随着企业风险管理理论在内部控制方面的应用，今后我们将逐步开展以风险为导向的内部控制评审工作。内部审计人员要以发展的眼光看待内部控制评审，对内部控制评审时，要考虑国内外风险管理理论的发展对内部控制评审的影响，并在实际工作中进行有机的结合与应用。这要求审计人员在对内部控制进行评审的过程中，要以风险管理理念为基准，内控评价的重点应该是确认风险及测试管理风险的方法，在风险导向的内控评价中，分析、确认、揭示关键性的经营风险，在评价标准、指标和权重的选择上均要把握风险管理理念[4]，与风险相关的控制应成为内部控制评审的焦点。

[参考文献]

[1] 陈海清.内部控制评审主体研究[J].审计与经济研究，2002(6).

[2] 于保和，张相洲.经济责任审计中的内部控制评审[J].审计理论与实践，2002(6).

[3] 于保和.经济责任审计研究[M].大连：东北财经大学出版社，2003.

[4] 杨晶.A石化企业内部控制评价体系设计[D].沈阳：东北大学硕士论文，2009.