内部控制缺陷认定的难点及对策

彭凡

一、引言

美国的一系列会计丑闻的曝光引起了美国政府对企业内部控制（以下简称“内控”）的重视。2002年7月，美国国会通过《萨班斯·奥克斯利法案》，要求上市公司披露内部控制信息，以向投资者提供更多决策相关信息。我国也接着发布了一系列规范。2008年6月，我国发布了《企业内部控制基本规范》，并于2010年4月发布了包括《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》的《企业内部控制配套指引》，至此，我国已基本建成了内控规范体系。

根据指引要求，上市公司和非上市大中型企业需要对自身内控有效性进行评价并出具经会计师事务所审计的自我评价报告。而内控有效性的重难点是内控缺陷的识别和认定（刘玉廷，2010）。然而，我国已发布的文件中在内控缺陷识别与认定方面仍然存在一定弊端，对企业的实务指导性较差。2010年，时任财政部会计司司长刘玉廷博士指出：“内部控制缺陷的认定，特别是非财务报告内部控制缺陷的认定，是企业内部控制评价工作中面临的重大挑战之一”。

二、内控缺陷的分类

内控是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计和执行的政策及程序。而内控缺陷即是设计或执行不到位而使企业可能招致的风险。我国《企业内部控制评价指引》将内控缺陷分为设计缺陷和运行缺陷，其中设计缺陷是指企业内控制度未涵盖实现控制目标所必需的重要控制措施，或现有重要控制措施设计不合理，导致控制目标无法实现;运行缺陷是指控制执行者未按照内控制度要求执行，或控制执行者不具备有效执行控制的能力，导致控制目标无法实现（张立萍，2011）。SEC下属的PCAOB将内控缺陷分为一般缺陷、重要缺陷和重大缺陷，类似地，《企业内部控制评价指引》按照内控缺陷的影响程度将其分为一般缺陷、重要缺陷和重大缺陷，不同程度的内控缺陷在审计中需要报送给企业不同层级的管理层。

除了我国相关文件对企业内控缺陷根据不同标准对企业内控缺陷进行了分类，国内外学者也对内控缺陷进行了分类。国外学者对内控缺陷的研究较早，Ge&Mcvay（2005）根据企业实际存在内控缺陷将内控缺陷分为账户类缺陷、培训类缺陷、期末报告和会计政策类缺陷、收入确认类缺陷、职务分离类缺陷、账户核对类缺陷、子公司类缺陷、高管类缺陷和技术类缺陷等九类，其中收人确认类缺陷、职务分离类缺陷、期末报告、会计政策类缺陷和账户核对类缺陷等五类缺陷发生的频率较高。Doyle et al.（2007）从按照内控缺陷所涉及问题的严重性将内控缺陷分为公司层面内控缺陷和账户层面内控缺陷。Jacqueline & Hammersley（2007）按照审计难易程度将内控缺陷分为难审计内控缺陷和易审计内控缺陷，又将难审计内控缺陷细分为关键人员缺陷、财务报告缺陷和控制环境缺陷，而将易审计内控缺陷细分为系统缺陷、交易核算缺陷和日常业务控制缺陷。Klammet al.（2012）以内控缺陷持续对企业的持续影响作为研究的着眼点，将内控缺陷划分为与信息技术相关的公司层面缺陷、与信息技术不相关的公司层面缺陷以及会计账户层面缺陷三个类别。

国内对于内控缺陷的研究起步较晚。南京大学课题组（2010）按照内控五要素将内控缺陷分为控制环境缺陷、风险评估缺陷、控制活动缺陷、信息与沟通缺陷以及内部监督缺陷五大类。单华军（2010）以深市上市公司作为研究对象，发现其内控评价报告中较多的是披露培训类、董事会类、内部审计类、子公司类等方面的缺陷。此外，有学者在内控缺陷大类中进行细分。鲁清仿（2009）把内控重大缺陷的界定标准分为两类：上市公司中报或年报中有修订或“补丁”行为及存在审计师变更的。齐保垒和田高良（2010）将实质性缺陷与重大薄弱环节划分为会计类、期末报告与会计政策类、收入确认类和子公司控制类等四种类型。

三、内控缺陷认定的方法

内控缺陷通常可以通过定量或定性的方法进行认定，也可以采用二者相结合的方法。一般情况下，与财务报告相关的内控缺陷采用定量分析，而非财务报告相关内控缺陷量化难度较大，采用定性分析法。为保证不同期间内控评价结果的可比性，各期间的评价方法应该保持一致。

定量分析法可以参考审计准则关于重要性水平的相关规定。在审计中，一般以资产总额、净资产、营业收入等财务报告科目金额为基础乘以0.5%～1%的某一比例，以此金额作为标准。将审计过程中已发现的错报、推断的错报及以前年度发现应调整而未调整的错报等汇总数与标准金额对比。如果汇总金额超过标准金额，则认为该内控存在重大缺陷，否则不存在。

非财务报告内控缺陷一般不会直接造成财务报告错报，但对于企业经营效率等的负面影响，最终仍然可能会对财务报告项目造成一定影响。非财务报告内控虽然无法量化，但是可以参照《企业内部控制评价指引》所列出的内控可能存在重大缺陷的迹象来进行定性分析：董事、监事和高级管理人员舞弊;更正已经公布的财务报表;当期财务报表存在的重大错报，未通过内部控制在运行过程中发现;企业审计委员会和内部审计机构对内部控制的监督无效。这些无法涵盖所有内控缺陷迹象，企业需要根据自身实际情况，进行分析，尽早发现内控缺陷，作出相应对策，提高企业经营效率。

四、内控缺陷认定的难点与对策

（一）内控缺陷认定的难点

虽然内控缺陷认定有一定的制度可循，但我国相关制度出台较晚，仍有不完善之处。此外，企业间有共性也有个性，总有制度不能涵盖的地方。所以在实务中，对企业内控缺陷认定仍然存在一些难点。本文将从相关制度和实务操作两个方面来探讨内控缺陷认定的难点。

1.相关制度所带来的内控缺陷认定难点。

非财务报告相关内控缺陷认定标准不够严明。与财务报告相关内控缺陷认定有明确的数据支持不同，非财务报告相关内控缺陷只有凭借《企业内部控制评价指引》中有限的要求及企业自身经验来界定，大多只能用定性分析法，不仅可操作性较差，而结果精确度也较低。

内控缺陷重要性程度的划分标准不够明晰。我国《企业内部控制审计指引》认为重大缺陷“可能导致企业严重偏离控制目标”，重要缺陷“严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标”，一般缺陷是“除重大缺陷、重要缺陷之外的其他缺陷”。这些均是概括性说明，实际操作中仍会有一定难度。

2.实务操作中内控缺陷认定的难点。

企业所建立的内控制度存在缺陷。尽管《企业内部控制基本规范》的发布对企业内控制度的建立有很大的指引作用，而且经过近几年的发展，也能得到一定完善。但是，每个人最为看重的都是个人利益而非企业最终目标，企业的内控制度可能在建立时就已偏离经营目标。而在进行内控缺陷认定时，为了掩盖这一事实，会作出有失实的内控评价，忽略或刻意轻视部分内控制度。

我国《企业内部控制评价指引》要求企业从公司层面进行内控缺陷认定，而《企业内部控制评价指引》仅要求注册会计师对财务报告内控有效性发表审计意见，而对非财务报告内控仅在存在重大缺陷时才予以披露。这样二者对于内控有效性评价的范围不统一，可能导致信息披露结果不一致。

（二）内控缺陷认定的对策

完善相关制度。一方面，企业和注册会计师对内控评价的范围不一致，应该对两方的评价的范围进行统一，有了注册会计师的审计，能增加企业层内控自我评价的可信度，也能对管理层起到督促作用。另一方面，内控相关制度在实务操作中的难度主要是由于缺乏更加明细的规定。一些原则性的说法，譬如“可能”、“偏离控制目标”等，需要更加具体的说明，最好能进行量化，使企业在操作中有章可循。

完善企业内控制度。一方面，有条件的企业可以建立专门的内控部门，聘请专业人员，对企业的内控制度进行优化，并督促其有效执行。另一方面，在企业所有者和管理层建立合理有效的制衡机制，使管理层在内控制度设计和运行阶段都能最大限度的保证以企业目标为方向，由董事会和审计委员会实行监督职能。

监管部门严格要求。监管部门应该关注企业内控相关信息披露。例如，统一企业内控评价报告的披露格式，不同程度的内控缺陷进行不同程度的披露;督促企业及时对进行信息披露，为投资者提供及时有用的信息;对于信息披露不合格的企业，给予处罚。

······参考文献·························

[1]刘玉廷.全面提升企业经营管理水平的重要举措——企业内部控制配套指引解读[J].会计研究，2010.

[2]鲁清仿.内部控制重大缺陷影响因素的实证研究[C].河南大学研究生硕士学位论文，2009.

[3]南京大学会计与财务研究院课题组.论中国企业内部控制评价制度的现实模式[J].会计研究，2010.

[4]齐保垒，田高良.财务报告内部控制缺陷披露影响因素研究——基于深市上市公司的实证分析[J].山西财经大学学报，2010.

[5]单华军.上市公司内部控制缺陷数据分析与政策建议[J].商业会计》，2010.

（作者单位：陕西省交通工程咨询公司）