企业内控内审的实践

张冬宁

摘 要：19 9 2年，为规范上市公司的内部控制，建立建全、透明、可靠的公司治理体系，美国反虚假财务报告委员会下属（The Committee of Sponsoring Organizations of the Treadway Commission），发布了《内部控制整合框架》，简称COSO报告。2001年12月，美国垄断型能源公司安然公司，发生财务造假及舞弊事件从而导致破产，进而引起当时全球最大的会计师事务所安达信轰然倒塌，以及其后2002年6月的世界通信财务报表舞弊事件，严重影响了美国投资者对财务报表公允性以及其所依赖的公司内部控制制度有效性的信心。美国国会和政府加速通过了《萨班斯法案》，对在美上市的公司提出了合规性要求。2008年，为了完善和制度化我国企业内部控制，提高我国企业现代化管理水平和抵御风险的能力，我国财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制基本规范》。

关键词：内部控制 合规 内审 理论分析 现状 实践 建议

我国的企业内部控制制度建立是随着社会主义市场经济的发展完善，以及借鉴国外成熟经验并结合我国具体情况建立起来的一套制度。2008年财政部会同4部委发布的《企业内部控制基本规范》是我国企业内部控制的纲领性文件，是我国企业内部控制方面具有里程碑意义的事件。其对我国企业内控控制的实践提供了理论依据及制度基础，对于提高企业财务报表公允性及真实性，避免企业管理层短期追求个人利益从而忽略对公众的责任具有无比重要的作用。

一、企业内控的理论分析

首先，我们对企业内控的相关理论进行阐述和说明，这有利于我们进一步讨论我国企业内控的相关实践活动和改善。

（一）内部控制的含义及核心

内部控制是建立完善的制度和程序，并由企业管理层保证实施，以确保企业财务报告的公允性和真实性，有效的经营以及经营的合法合规。

换言之，我们可以从以下几个方面理解内部控制。

1.内部控制的目标是合理保证（1）财务报告的真实性和公允性。（2）有效的经营。（3）经营的合法合规。

2.内部控制的制定和实施是由企业及组织中的每一个成员来实现的，每一个成员都对内部控制的制定和实施负有责任。

3.内部控制不但要合理制定，更重要的是要保证有效执行。否则，内部控制就会成为摆设，无法发挥其应有的作用。

内部控制包括下列要素：（1）控制环境，指公司的整体文化，治理层和管理层对于内部控制的态度，看法和定位，即公司整体文化是否强调内部控制，公司文化是否向所有员工传达诚实，守法，正直的价值观和理念，公司高层是否依赖和重视内部控制对于管理运营的评判和作用，是否有有效的机制去防范并纠正重大内部控制缺失。总而言之，控制环境是是有效实施内部控制的基础，没有健康的控制环境，内部控制形同虚设。（2）风险评估程序。组织在经营过程中会遇到各种风险，例如汇率风险，利率风险，经营风险，税务风险，合法合规风险，信息系统风险等。风险评估程序即是为了甄别，评价以上可能对企业及组织健康运营造成威胁影响的不确定性因素。（3）与财务报告相关的信息系统和沟通（4）控制活动。控制活动指为确保内部控制有效执行的程序和步骤，包括复核，业绩考核，监督，信息系统和职责分离等活动。（5）对控制的监督，指由适当的人员，一般为内部审计人员，定期，及时地对控制设计的合理性及执行的有效性进行检查复核。

二、我国企业内部控制的现状及实践

自2008年《企业内部控制基本规范》颁布以来，我国企业包括一些治理良好的非上市企业在内部控制方面已经取得了长足的进步，具体表现在企业所有者及管理层对于企业内部控制重要性的提升，企业内部控制建设的投入日益加大，内部控制，内部审计人员的权威性和地位日益提高，企业内部控制制度的日益完善，内部控制及内部审计人员工作覆盖面的日益扩大以及相关建议，发现的日益落实和及时整改等，都体现了我国企业在这方面的跳跃式发展。但是，需要清醒地看到，我国企业在内部控制方面仍然有一些不足，具体可以概括为以下几点： （1）内部控制制度设计过于理论化，没有及时根据实际发展进行更新。某些企业在进行内部控制制度的制定时，只是一味照搬理论或别国，别的企业的政策制度，沒有结合本企业的实际经营环境，业务活动特性进行针对性地识别及应对。所以设计的内部控制制度难以落地，不能有效识别及防范企业面临的各种风险（2）内部控制制度执行不到位。某些企业虽然设立了完整，有效的控制制度，但由于控制环境较差，治理层监督不到位，管理层凌驾于内部控制制度，内部控制及内部审计人员的业务范围及独立性收到极大制约和影响，从而导致内部控制制度无法有效落实及执行。（3）内部控制，内部审计人员素质及专业水平需要提高。内部控制及内部审计人员是保证企业内部控制制度合理设计及有效执行的关键岗位，所以其职业能力，专业水平至关重要。所以，企业在选择相关人员时应合理评估其胜任能力，提供连续地，切实的专业培训。但某些企业在这方面疏于管理，内部控制相关岗位人员素质无法胜任专业度较高的工作，后续培训不到位，内部控制人员与现实脱节，无法有效完成相应工作。（4）对于发现的内部控制问题纠正不到位，不及时。对于内部审计发现的问题，某些企业处于种种原因不及时进行纠正整改，对于控制缺失放任自流，疏于纠偏，或者处于业绩压力进行造假，从而造成内部审计发现的问题无法及时得到纠正及整改，置企业于重大的风险之下，内部控制形同虚设。

三、针对我国企业内部控制的建议

企业内部控制是一个系统性工程，牵扯治理层，管理层，外部机构等利益相关者。所以必须做好制度建设，以客观制度为依据，以相应事实为准绳，减少人为主观因素，因时因地，制定有针对性的内部控制制度并切实监督执行。

（1）内部控制制度设计必须有针对性，能落地。内部控制制度的设计需要积极了解企业运营流程及经营特点，掌握企业内外部，主客观风险，从而识别内部控制关键点，制定能够有效应对企业经营风险的内控制度。同时，内部控制制度需要根据企业业务发展及社会经济活动及新科技的应用及时进行调整。例如，早期的企业收款流程中主要涉及现金，其后银行卡的广泛应用要求企业在设定内控流程时需要进行相应调整，而近年来支付宝，微信支付等互联网支付手段的大面积应用要求企业根据新业务对内控流程及时进行调整。

（2）加强内部控制的执行，解决长期以来困扰企业双元控制主体矛盾。现代企业由于控制权和所有权是分离的，所以产生了双元控制主体，而这两个主体往往是存在重大利益冲突的。所有者通常从企业长远利益出发，而经营者经常追求短期利益，这样的利益冲突往往导致内部控制无法得到有效执行，经营者在没有有效监督制约的情况下会滥用职权，虚报收入，粉饰业绩，谋取个人利益，武断粗暴，尤其在企业大型集团企业中，业务占比较大的经营者往往凌驾于所有者，漠视内部控制制度，企业控制环境薄弱。所以，内部控制的重要性以及内部审计人员的威慑力必须得到切实保护，企业内部审计结果需要纳入管理者的业绩考核关键指标，内部审计应更多地引入过程审计而非结果审计，努力将控制置于前端，防患于未然。

（3）加强对内部控制，内部审计人员的教育和培训。企业应改掉内部控制一步到位，一劳永逸的错误思想。持续保持对内部控制部门的必要投入，保持内部控制人员的应有专业度及业务敏感度，定期为内部控制人员提供必要的内外部培训及再教育，保证内部控制人员业务胜任，知识更新，态度端正。

（4）做好内部审计工作的后续跟进。内部审计工作完成后，后续跟进工作需要合理安排，对于审计发现的重大问题，需要持续关注整改情况。对于拒不整改的，需要严肃问责并有效纠正，防止内部审计流于形式，缺乏威慑力。

（5）加强内部控制信息系统及沟通方面的建设。确保内部控制信息从生成，发布，反馈到后续跟进的现代化系统建设，保证内部控制可复核，可回溯，可查寻。

我国已在内部控制领域取得了不小的进步，社会主义市场化经济也要求现代企业应在内部控制以及合规方面不遗余力。但百尺竿头，更进一步，我国企业在内控方面需要的改进和必要仍然存在且极为迫切。

参考文献：

[1]注册会计师考试指导教材《审计》