上市公司内部控制测评方法

周彩云

随着我国国民经济的快速发展，许多上市集团公司在扩张集团规模的同时，经济组织的业务活动日趋复杂，业务范围不断扩大，面对不断变化的市场，各种风险也相应增大。许多上市公司已然意识到风险管理的重要性，但在实际经营过程中实施起来却很艰难。内部控制是风险管理必不可少的一部分，也是企业管理的重要组成部分，对于建立现代企业制度、完善法人治理结构十分重要。本人就上市公司内控体系建设与实施的测评方法和程序作一探讨。

1 上市公司内部控制规范体系建设与实施的意义

近几年国内外发生的“安然”“银广夏”等舞弊事件，暴露了企业风险管理的缺失。上市公司多年的经营管理实践表明，内部控制工作的完善程度反映了企业管理水平的高低，同时，内控体系建设也是提升管理水平的有效手段。建立健全有效的内部控制，可以合理保证企业经营管理合法合规、资产安全、财务报告及相關信息真实完整，提高经营效率和效果，促进企业实现发展战略。

2上市公司内部控制规范体系建设与实施的背景

近年来，通过联合重组、合并兼并、主辅分离等行之有效的改革措施，我国上市公司的整体素质、运行质量、创新能力和国际竞争力有了大幅度提升，但同时，伴随着我国企业较快的增速和迅猛发展，各种潜在的风险也日益显现，为了提高企业经营管理水平和风险防范能力，促进可持续发展，国家财政部等五部委制定了《企业内部控制基本规范》及其配套指引，强制要求境内外所有上市公司建立和实施内部控制体系，对其有效性进行自我评估，披露年度自我评估报告，并要求聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。鉴于此，许多上市公司根据需要成立了专门的内控项目组或者内控专职机构，对本公司的内控体系建设的有效性进行自我检查和评估。

3 上市公司内部控制的测评方法及程序

上市公司在开展内部控制检查评价工作过程中，应当根据评价内容和被评价单位具体情况，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，广泛收集被评价单位内部控制设计和运行是否有效的证据。评价方法的选择应当有利于保证证据的充分性和适当性。

3.1 内部控制测评方法

个别访谈法。个别访谈法主要用于了解企业及其所属单位内部控制的基本情况。被访谈人主要为单位领导、相关机构负责人或一般岗位员工，通过访谈可以大致了解公司及其所属单位内部控制制度的建立与实施情况，进一步确定检查评价的重点和方向。评价人员在访谈前应根据内部控制评价目标和要求形成访谈提纲，访谈工作结束后应撰写访谈纪要，如实记录访谈的内容。

调查问卷法。调查问卷法常见于内部环境评价。调查问卷一般包括调查内容、调查结果、支持性文档等内容。其中，“调查内容”基于企业实际情况，明确被评价单位或对象各业务环节内部控制评价内容；“调查结果”是指被评价单位或对象针对调查内容，如实填写相关控制的设计与运行情况；“支持性文档”要求被评价单位或对象列示相关控制所涉及的支持性文档，如会议纪要，企业文化手册等文档；评价人员还可以要求被调查部门负责人和被调查人员在调查问卷上签字确认。

穿行测试法。穿行测试法是指在内部控制系统中任意选取一笔交易作为样本，追踪该交易从最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流程从起点到终点的全过程，以此来了解整个业务流程状况，识别出其中的关键控制环节，评估相关控制设计与运行的有效性。

（4）抽样法

抽样法是指企业针对具体的业务流程，按照业务发生频率及固有风险的高低，从确定的样本库中抽取一定比例的业务样本，对业务样本的控制水平进行判断，进而对整个业务流程的内部控制有效性作出评价。抽样法是控制测试的常用方法，分为随机抽样和其他抽样。应用抽样法时应注意样本库须包含符合测试要求的所有样本，测试人员首先应对样本库的完整性进行确认。

（5）实地查验法

实地查验法是指企业对现金、存货、固定资产等实物资产进行现场盘点、查验，主要用于对资产安全性目标的实现情况所作的评价。企业对财产进行实地查验，需要制定统一的测试工作表，并从特定的样本库中抽取若干测试样本，与业务记录、财务单证等进行核对验证，以此判断与资产安全目标相关的各项控制的有效性。

比较分析法。比较分析法是指通过分析、比较数据间的关系、趋势或比率等来取得评价证据的方法。企业可以将评价过程中取得的数据与历史数据、行业标准数据或最优数据等进行比较，找出其中异常波动的情形，并重点对异常区间的内部控制有效性进行检查评价。

专题讨论法。专题讨论法通常用于控制活动评价，是指通过召集与业务流程相关的管理人员就业务流程的特定环节或某类具体问题进行讨论及评估的一种方法。专题讨论法既是一种常见的控制评价方法，也是形成缺陷整改方案的重要途径。对于同时涉及财务、业务、信息技术等方面的控制缺陷，往往需要由内部控制专职机构组织召开专题讨论会议，综合内部各机构、各方面的意见，研究确定缺陷整改方案。

3.2 内部控制评价程序

设置内部控制评价部门。上市公司可以根据需要在内部设置专门机构或委托内部审计部门来负责内部控制评价的具体组织实施工作，内部控制评价部门必须具有独立性、权威性和相适应的专业胜任能力及职业道德修养，保证内部控制评价工作能够顺利进行。

制定评价工作方案。内部控制评价部门应当根据公司实际情况和管理需要，分析经营管理过程中的高风险领域和重要业务事项，制定科学合理的评价工作方案，报经董事会审批后实施，评价工作方案可以全面评价为主，也可以根据需要对高风险领域和重要业务事项进行重点评价，以提高内部控制评价的效率和效果。

组成评价工作组。内部控制评价部门应当根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价工作组应当吸收企业内部相关机构熟悉情况的业务骨干参加，也可以根据自身特点，抽调审计、财务、生产管理等专业人员，对内部控制全面或某一方面进行日常和专项检查评价。评价工作组成员对本部门的内部控制评价工作应当实行回避制度。

实施现场测试。评价工作组根据评价工作方案确定的内部控制评价范围，入驻被评价单位，实施现场测试。现场测试应先了解被评价单位基本情况，确定检查评价范围和重点领域，然后对评价人员进行分工，实施现场检查测试，形成工作底稿，并编制现场评价报告，经被评价单位负责人签字后，提交内部控制评价部门。

认定控制缺陷，汇总评价结果。内部控制评价部门根据各评价工作组的评价结果，全面复核、分类汇总各工作组认定的内部控制缺陷，并综合分析缺陷的成因、表现形式及风险程度，判定缺陷类型及等级，编制缺陷认定汇总表。对于认定的内部控制缺陷，内部控制评价部门应当提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况。

编报评价报告。内部控制评价部门以汇总的评价结果为基础，根据认定的内部控制缺陷和整改情况，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审定后对外披露或以其他形式加以合理利用。

风险管理在上市公司经营管理过程中的重要性是显而易见的，建立健全内部控制制度，监督实施内部控制制度的有效和运行，对企业的稳定发展和持续经营具有积极意义。

（作者单位：甘肃亚盛实业（集团）股份有限公司）