谈企业如何有效实施内部控制自我评价

李转霞

我国上市公司自2008年发布《企业内部控制基本规范》，2012年逐步分类分批实施内部控制规范体系以来，年度内部控制评价报告披露的比例由2011年度的78.8%上升到2013年度的92.99%。

尽管我国五部委联合发布的《内部控制评价指引》（以下简称评价指引）解释文件提到内部控制评价工作可以聘请中介机构协助企业实施，但从节约成本费用考虑，大多数企业自行实施企业内部控制自我评价（以下简称内控自评）。内控自评一般由内部审计或内部控制部门牵头，组织公司各部门参与评价的一项系统工程，因此，内控自评工作对具备专业内部控制评价知识有较高的要求。

然而，财政部全国重点会计课题《中国上市公司内部控制指数研究》2014年一组调查数据表明，我国上市公司管理人员对内控法规的熟悉程度，以及企业内部控制工作者对内控整合框架、对内部控制评价工作流程的熟悉程度均不到20%；企业进行内控自评，除评价指引中制定评价方案、组成评价小组、实施现场测试、汇总评价结果、编报评价报告五个基本步骤之外，尚未出台可参考的实施细则。由此可见，我国上市公司内部控制建设还处在摸索完善阶段，如何有效开展内控自评工作，出具一份高质量的企业内部控制评价报告，对企业来说是个不小的挑战。

本文将基于一家A股上市公司自实施内部控制基本规范以来，2012-2014年度连续三年实施企业内部控制自我评价工作的实践，从流程管理角度谈有效开展内控自评工作的线路。

首先，由公司熟悉内部控制知识的专业人员绘制内控自评工作全面开展的流程图。以流程图形式向公司管理层和参与评价工作者清晰地展示内控自评工作全过程，流程图越细越具有可操作性，一方面增强评价人员对内控自评工作的理解，另一方面指导其完成评价活动中各项工作。详见后附企业内控自评工作流程图表。

其次，对内部控制自我评价工作进行立项，指定项目负责人，制定并审批评价工作方案。内控自评是否需要进行立项，我国监管部门发布的规范对此没有明确规定，企业可根据内部管理规定执行。但实际上，内控自评立项与否不是可有可无的程序，通过严肃规范的立项程序，明确企业内控自评的总体目标、基本要求和企业各部门各自职责、了解管理层对内控自评工作的期望、获得管理层的支持与承诺，对内控自评的有序开展是很有必要的。立项阶段需要完成三件事：确定评价标准、绘制内控自评项目实施流程图、制定并审批评价方案。

评价方案主要包含以下内容：1）确定评价范围；2）确定评价标准；3）确定评价工作方式；4）评价时间安排；5）确定评价工作组成员及分工；6）确定缺陷认定标准；7）缺陷整改要求与跟踪；8）明确内控自评工作流程。内控自评方案需要报公司董事会审批。

方案中评价范围的确定，企业可以在参考日常内部控制监督结果、企业风险评估的基础上，结合行业特点对标应用指引进行确定；评价标准是内控自评工作的具体依据，一般是以《企业内部控制基本规范》及其配套指引为起点，以公司《内部控制管理手册》为评价标准。需要指出，当公司内部控制管理手册与国家法律法规不一致时遵循国家法规。

第三，立项方案获得管理层的审批后，做好内控自评项目前期准备工作。“凡事预则立不预则废”。评价准备是内控自评项目有效开展的最重要环节，对保证内控自评有序进行具有基础性、指导性和决定性作用。准备阶段的主要工作有：1、设计评价工作底稿。评价工作底稿的设计可以考虑设计检查清单、评估问卷等各种形式；2、确立评价工作组成员名单。在选定评价小组成员时，确保这些成员最熟悉公司业务流程，最了解部门及公司风险，并能针对缺陷提出很好的改进或完善建议；3、对评价工作组成员恰当分工。分工把握以下几条关键原则：专业背景和能力对与分配工作相匹配原则、最少资源最大效用原则、评价组成员对本单位的内部控制评价工作实行回避原则；4、做好详尽的时间计划。时间计划一般根据评价范围、业务流程涵盖测试期间、需要抽取的样本量等因素制定，时间计划中应该包括项目关的键时间点，以及关键时间节点总控表；5、组织评前培训。参与内控自评的成员，除内部审计师，大多数人并不是内部控制的专家，需要由熟悉内控自评流程的专业人员对参与者进行动员与沟通培训。评前培训中需要解决几个问题，让小组成员理解评价流程；掌握评价测试的方法；知悉工作底稿如何填写。

第四，对内控自评项目实施过程加强督导管理。在进场评价前7个工作日下发正式评价通知，通知文件至少包含经审批的评价方案、评价小组成员名单、评价工作期间、所需资料清单等必要内容。除被评价单位需要准备的资料主要包括与本单位相关的内控手册、业务表单等之外，评价工作组也需要准备的资料主要包括访谈问卷或提纲、时间计划表等资料。在评价工作开始进行前1个工作日，评价小组组织进场讨论会并形成会议纪要，会议纪要以电子邮件形式发送参会者。尽管进场会议并非必要程序，但是内部控制自我评价工作涉及面广、难度大，需要全公司协作配合才能完成，进场讨论会能够有效地解决评价组成员与被评价单位的对接，有利于项目顺利开展。

基于流程管理的企业内控自评，核心工作是对内部控制测试，其中控制环境和控制手段方面的测试，一般通过询问、访谈、问卷等方式进行；控制活动，也就是业务流程内部控制测试包括健全性测试和设计有效性测试一般通过穿行测试；运行有效性测试通过观察、重新执行、抽样检查等方法来完成。

内控自评项目负责人需要对内部控制有效性自评工作质量和工作进度实施监控；每周复核评价小组成员的测试底稿，每周召集评价小组碰头例会，及时了解掌握跟进评价工作进度和解决评价过程中遇到的问题。内控自评工作结束，需要与被评价单位进行退场沟通。

第五、內控自评报告阶段管理。内控自评项目结束后，项目负责人需要汇总评价底稿拟定报告，同时汇总缺陷进行缺陷整改跟踪管理。评价小组成员的工作底稿经评价小组组长审核后，提交企业内控自评项目的立项部门。一方面，由项目负责人对评价工作底稿二次复核，汇总评价结论，起草年度内控自评报告。需要指出，年度内部控制有效性的评价报告应该综合内控自评项目的评价结果和企业内部控制监督部门日常监控中的审计发现汇总出具。管理层审核、审计委员会审议、董事会审批内控自评报告。按照监管机构要求披露内控自评报告。

第六、缺陷认定、审批与整改。在起草评价报告的同时，另一方面，评价工作组汇总公司控制缺陷，项目负责人召集评价组成员、评价工作小组组长召开评价总结会，依据前述经公司董事会审批的缺陷认定标准，分析缺陷，初步判定缺陷等级；报公司管理层审批缺陷认定情况。由企业管理层责令被评价单位限期整改落实（整改期限根据缺陷性质和整改难度综合考虑确定，一般的做法是3个月整改期），并指定公司内部控制监督部门跟踪检查。内部控制监督部门可以根据年度审计计划适时安排整改落实审计。

第七、实施内控自评后评估。企业内控自评项目结束后，由项目负责人、评价小组成员、被评价单位对评价项目实施过程和评价结果打分后评估。后评估包含三个维度：评价小组成员的意见反馈表打分；被评价单位的意见反馈表打分；项目负责人的自我总结表打分。根据打分结果完善修订次年内控自评项目实施方案计划，形成年度内控自评工作良性循环。

如前所述，企业内部控制自我评价是一个持续实施、涉及面广、专业知识要求高的系统工程，内部控制评价指引的的五个步骤只是基本程序，内容很简练，在实践中可操作性模糊，企业需要针对自身组织架构等特点，制定精细化的内控自评实施方案，并以流程管理的方式逐项落实。

基于流程管理开展企业内部控制自我评价工作的优点在于：将流程链条管理理念贯穿内控自评始终，通过立项、立项审批、前期准备工作、实施过程、项目报告、评价缺陷整改、项目后评估等关键节点串联起来，将上市公司内部控制自我评估工作落到实处，夯实上市公司内部控制评价报告的质量，提升上市公司公司内部控制管理的水平，提升企业在市场的竞争力。对我国企业实施内部控制评价具有借鉴和指导意义。

同时，基于流程管理的内部控制自我评价在企业落地生根，还有需要完善之处。如，由于更多的企业内部控制自我评价工作并未纳入绩效考核体系，这就使得内控自评工作成果不能有效巩固和利用，评价缺陷整改不彻底，内部控制自我评价工作流于形式。

（作者单位：中国国际贸易中心股份有限公司）

参考文献：

[1] 张庆龙《如何成为明日胜任的内部审计师》

[2] 胡為民《中国上市公司内部控制报告》（2013）

[3] 迪博公司《中国上市公司内部控制指数研究》

[4] 财政部等五部委《企业内部控制评价指引》