内部控制缺陷及其职业判断研究

高育清　程家栋

内部控制缺陷及其职业判断研究

高育清程家栋

首先从理论上构建内部控制缺陷判断的框架，厘清判断的层次、环节及证据特征，其次利用深圳迪博公司2011年的内部控制缺陷及相关数据，对我国上市公司内部控制缺陷的要素、层次、环节、类别与严重性进行统计分析揭示出其分布特征，并将上述分布与内部审计师对于严重性的判断进行交叉分析，显示维度上对于职业判断的可识别性。

内部控制；职业判断；内部控制缺陷

国内外关于内部控制信息的披露对公司治理的改进、财务信息质量以及投资决策影响等实证研究均证实了内部控制信息的市场价值与治理意义。内部控制缺陷的认定是内部控制评价的基础和核心，同时该认定对职业判断又有高度依赖，比如我国的《内部控制评价指引》中对于重要缺陷的表述：“重要缺陷是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。”从表述看，内部控制是否存在缺陷的判断取决于是否存在控制目标偏离的可能性，重要与重大的区分界限是“是否导致企业严重偏离控制目标”，即存在是否偏离与偏离程度两个层次的判断。这些判断不仅有赖于评价者的主观认知，也因评价对象、不同时空而异，学界难以达成共识，如何提高内部控制评价中的职业判断水平是一个值得研究的问题。近年关于内部控制的理论研究已颇为丰富，随着规范的推进和数据库的建立，量化研究也逐渐增加，从理论和数据上为内部控制职业判断的研究提供了可能。内部控制缺陷的认定在很大程度上取决于评价者的职业判断，其依据是什么，是否具有较高的一致性？

本文以我国2011年上市公司披露的内控信息为依托，研究我国上市公司内部控制缺陷的分布、与内部控制目标的关联性以及相关职业判断的一致性或差异性，为目前内部控制的实证研究提供补充性证据。

国外早期的内部控制缺陷及其评价的研究集中于与财务报告相关的内部控制缺陷及其财务信息后果，萨班斯-奥克斯来404条款之后则围绕全面内部控制展开研究。Doyle（2007）将重大缺陷按照严重程度分为公司层和账户层，Bonnie K等（2009）从是否信息相关展开内控缺陷研究，结论是与信息相关的内部控制缺陷明显多于与信息无关的内控缺陷。在内部控制缺陷的时间分布特征方面，Thomas G等（2012）研究了萨案之后的2004年至2010年内部控制缺陷报告，发现内部控制重大缺陷呈逐年下降趋势，重大缺陷集中于会计记录、政策与程序以及会计调整等财务信息相关缺陷；Weili Ge与Sarah Mc-Vay（2005）建立了内控风险的可能性及其后果的二维分析框架，描述了内控缺陷的行业分布，发现计算机、服务业、金融三个行业内部控制缺陷最突出，从类别看，薄弱的内控主要是与收入确认与存货相关，公司的业务复杂程度也会影响到内控缺陷。

国内研究也颇为丰富，杨有红、李宇立（2011）对内部控制缺陷的识别基础，识别、评估与认定以及对外报告进行了理论上的梳理；南京大学课题组（2010）利用媒体信息对近十年来中国出现重大问题的代表性企业案例样本进行了文献式研究，统计中国企业内部控制重大缺陷的行业、企业性质以及时间分布，归纳了内部控制五要素中的突出问题及其相互影响；王惠芳（2011）对三项指引前后2009、2010年我国的473家上市公司内部控制缺陷及其披露进行统计分析，论述了内控缺陷认定中的核心问题：评价基础的选择与评价标准的确定，构建了原则性与规则性相结合的评价方法；陈武朝（2012）对在美上市公司的内部控制缺陷进行了文本提取，将内部控制缺陷分为公司层与交易或事项层，提出了依据迹象和定义两种内部控制重大缺陷的认定方法；丁友刚（2013）运用内容分析法，从缺陷事件的性质、发生的可能性和影响的严重程度三个维度上考察上市公司内控缺陷认定的定性标准的制定情况。

综上所述，内部控制缺陷的分类不一而足，相应的评价也是多维的，既有基于控制活动测试的过程评价，也有基于控制目标实现的结果评价；既有遵循性为主的直接评价，也有依托异常表征的间接评价；既有框架式评价也有问题导向的评价。实证方面，关于内部控制缺陷形成的一致观点是：随着内部控制规范化的推进，重大缺陷呈逐年减少的趋势；从类型分布看，大部分研究支持内部控制缺陷集中于与财务信息质量相关的控制的观点。需要对内部控制缺陷的多维分类进行逻辑关系的梳理，以便能够更加准确地判断各种判断和评价可能产生的偏差，在此基础上展开的实证研究，才可能厘清研究的意义。

一、内部控制评价的职业判断

见图1。

审计领域对内部控制的关注始于制度基础导向审计，其目的是将有限的审计资源配置于审计风险较大的领域，以节约审计成本、实现审计目标。基于此，审计中控制风险的定义是“控制风险是指某一个账户或某一类交易单独或连同其他账户或交易发生重大的错报或漏报，未能被会计系统或其他内部控制系统及时防止、发现或纠正的可能性。”虽然现行的风险导向审计不再区分固有风险与控制风险，而将之合并为重大错报风险，但年报审计中对内部控制关注的目的未发生改变，即与财务信息质量相关的内部控制。内部控制有效的实质标准是内部控制目标的实现，形式标准则是各项控制活动的执行。内部控制缺陷由原来的控制偏差与实际错报之间的逻辑关系置换为现在的控制偏差与控制目标的偏离：控制偏差指的是控制没有得到有效执行，控制偏差的存在使错报发生（偏离控制目标）的概率增加，但并不必然导致实际错报（偏离控制目标）。但是，如果发生了错报（偏离控制目标）一定是控制出现偏差。不难推断，如果内部控制的评价是对结果的评价，就存在忽视内部控制偏差的危险。

图1内部控制缺陷判断图

类似地，控制偏差严重程度的评价包括控制偏差导致控制目标偏离的可能性和偏离所导致的后果的严重性两个方面。实践中多采用专家评分法，不足之处是具有很大的主观性；次佳的评价依据是对实际偏差的观测以及偏离控制目标的直接后果的取证；更加综合的评价是对企业经营目标或经营战略实现的影响，适用于内部控制的整体合理性评价。总之，结果的评价能够获取可验证性相对好的证据，满足了评价的便利性要求，不足之处在于：一是偏离了内部控制偏差概念本身，存在低估内部控制偏差的风险；二是综合评分对改进控制行为没有直接的借鉴作用。

二、内部控制缺陷的总体分布

以深圳迪博公司2011年的内部控制缺陷数据库、内部控制评价数据库和内部控制审计数据库等三个数据库具有完整数据的217家上市公司为样本，公司相关其他数据来自国泰安数据库，这些缺陷大都属于内部审计师自我披露的内部控制缺陷。217家公司合计存在704条内部控制缺陷，公司之间差异较大。内部控制缺陷超过10个的公司有6家，介入5个和10个之间的公司有33家，小于5个的有178家。排在前10位的公司依次为深赛格、安徽合力、华意压缩、康芝药业、太钢不锈、太阳电缆、深华发A、冀东水泥、ST康达尔和西仪股份。其中，深赛格属于租赁服务业，太阳电缆属于计算机软件咨询与服务业，其他8家均为加工制造业。内控缺陷数量最多的是深赛格，结合内容分析，深赛格集中体现在电商中的客户管理较为混乱；安徽合力、华意压缩控制活动的缺陷存在于采购、销售、存货管理等所有业务环节，反映了内部管理极不规范；深华发集中体现为控制活动、信息与沟通两个控制要素的缺陷，导致财务信息失真。

217家上市公司内控缺陷平均数量为3.25个，有31家公司缺陷数在均值以上，标准差为2.36，说明公司之间内部控制存在较大差异。

三、内部控制缺陷的多纬度分析及缺陷严重性的交叉分析

表1　内部控制缺陷及其严重性分布表

（一）内部控制五要素缺陷

内部控制五要素的划分源自COSO委员会，控制环境作为控制基础，为其他要素提供约束和结构，风险评估会直接关系到公司战略或目标制定，控制活动是控制目标实现的手段，信息与沟通是控制的载体，而内部监督又为控制执行提供保障。从表1可以看出，内控缺陷要素分布由高到低依次为：控制环境、控制活动、信息与沟通、控制监督、风险评估、其他（主要为关联方管理）。控制环境的影响重大而广泛，对其缺陷进一步细分，主要集中于两个方面：内控制度设计与执行、组织结构与权责分配。说明了制度建设是上市公司内部控制缺陷发生的“重灾区”，从其文字表述来看，差异性较大，有些比较空泛如“进一步完善内部控制体系”；有些则较为具体，如“公司董事会与经理层就重大固定资产投资等权限不明晰”。与五要素的交叉分析显示，内控缺陷存在严重偏离的集中于控制活动，反映该要素上内部控制评价有较好的辨识度。

（二）财报缺陷与非财报缺陷

依据内部控制缺陷可能导致的后果，分为财报缺陷与非财报缺陷。财报缺陷意味着该项内部控制可能影响到财务报表的信息质量，进而影响资本市场的金融资源配置效率，非财报缺陷则是指该内部控制缺陷不会对财务报表产生直接的影响，影响到企业的经营效率或者法律法规的遵循。统计发现，属于财报缺陷的有80个，属于非财报缺陷的有624个，严重或重大缺陷集中于非财务错报。虽然统计显示没有舞弊造成的财务错报，但从少量已披露的财报错报来看，金额较为巨大。新华制药影响的金额最大，为6073万元，康芝药业的错报金额最小，为3000万元。造成上述结果的可能解释为：（1）审计主体独立性所致。内部审计在披露内部控制缺陷时由于独立性不及外部审计而导致的选择性披露。（2）外部监督影响。财报缺陷是外部审计师的关注点，外部监督的存在有利于减少相关内部控制缺陷。由于内控缺陷所引发的错报金额信息披露较少且个体差异较大，所以不具有代表性。

（三）缺陷的环节与层次

在控制风险评价中，需要识别控制缺陷属于设计缺陷还是运行缺陷，二者都会影响内部控制的有效性，但前者是一种系统性缺陷，后者则可能是控制环境因素所致，也可能源自内部控制的固有局限。704个内部控制缺陷中，设计缺陷为251个，运行缺陷为387个，66个双重缺陷分布于48家公司，说明内部控制制度设计不合理较为严重，而且制度形同虚设的情况更为普遍。

依据缺陷层次，分为公司整体层与部门层的内部控制缺陷。该分类对于财务审计的意义在于：公司整体层的内部控制需要考虑其广泛性和严重程度对总体审计策略的影响，而部门层的控制缺陷则更容易与认定层的重大错报风险相关联，进而影响进一步审计程序的制定。统计结果显示重大缺陷集中于公司层，但部门层的重要缺陷绝对数和相对数均高于公司层。

总体上看，多维度的统计显示，内部控制缺陷集中于控制环境与控制活动、以非财报缺陷为主、运行缺陷多于设计缺陷、公司整体层缺陷多于部门层缺陷。从严重程度来看，内部控制缺陷主要是一般缺陷，即可能导致控制目标的偏离，但不会严重偏离；重大缺陷集中于公司层、非财报缺陷、设计缺陷和控制活动。

四、研究结论

（一）从我国上市公司的内部控制缺陷的数量分布来看，集中于控制环境与控制活动

控制环境作为一个基础要素对其他控制要素存在广泛而深刻的影响，而控制活动则体现了企业的管理水平，不仅意味着企业应该从制度的文化环境、组织结构、权力配置等方面营造良好的管理氛围；也意味着合理配置授权、评价、信息处理、实物控制等控制工具，并确保控制政策与程序得到有效执行，企业制度建设任重道远。

（二）内部控制缺陷的数量意味着控制偏差发生的范围以及可能性

内部控制缺陷的数量会影响内控偏差发生的可能性大小，如果一个企业出现较多的内部控制缺陷，那么其发生内控偏差的可能性会增大，反之，发生的可能性较小。因此注册会计师在职业判断时，往往要关注企业内控缺陷的数量。

（三）注册会计师还应关注控制缺陷的性质

应识别内部控制缺陷属于设计层还是运行层，有财务后果的还是影响经营效率的。内部控制缺陷如果属于设计层次的，从性质来看更加严重，更容易被认定为重大缺陷。内控缺陷环节对注册会计师职业判断的影响较大。如果一个公司的内部控制缺陷为设计缺陷，则该缺陷为源头环节的缺陷，其影响范围较大，有可能会波及数个部门的工作流程，反之，如果该缺陷为运行缺陷，那么说明其制度的制定是符合要求的，只是在后续的执行中出现一些错误，其影响范围较小，对公司造成的影响也随之减小。所以注册会计师在职业判断时，往往比较重视内控缺陷的环节。

（四）非财报缺失由于并不由财报反映，因此并不受到重视，公司往往也会选择隐瞒

我国企业的非财报缺陷的数量也远多于财报缺陷，注册会计师在判断时应注意到非财报缺陷，该类错报虽然不会对财务信息带来直接影响，但是蕴含着巨大的重大错报风险。注册会计师应关注内控缺失发生的严重程度，看其是否会引起持续经营能力的变化，在企业存在持续经营疑虑时管理层受到压力较大，进而增大财务信息风险。

［1］杨有红，李宇立.内部控制缺陷的识别、认定与报告［J］.会计研究，2011.3：76-80.

［2］陈武朝.在美上市公司内部控制重大缺陷认定、披露及对我国企业的借鉴［J］.审计研究，2012.1：103-109.

［3］丁友刚，王友超.上市公司内部控制缺陷认定标准研究［J］.会计研究，2013.12：79-85.

［4］方红星，张志平.公司治理结果对内部控制有效性的影响［J］.审计研究，2012.4：53-61.

［5］李育红.公司治理结构与内部控制有效性—基于中国沪市上市公司的实证研究［J］.财经科学，2011：69-75.

［6］李宇立.自我感知的内部控制缺陷间的关系——基于问卷调查的路径分析［J］.审计研究，2011.6：74-81.

［7］罗彬.内部控制环境理论研究［J］.重庆工商大学学报，2007（24）：67-70.

［8］屈小兰.审计职业怀疑研究综述［J］.审计研究，2012（3）：69-75.

［9］王惠芳.上市公司内部控制缺陷认定：困境破解及框架构建［J］.审计研究，2011.2：71-76.

［10］深圳市迪博企业风险管理技术有限公司.中国上市公司2013年内部控制白皮书摘要［J］.上海证券报，2013.9.

（作者单位：襄阳职业技术学院经济管理学院、上海立信会计师事务所）