论企业内部控制评价体系的构建

□张 妤

根据我国财政部2008年颁布的《企业内部控制基本规范》的要求，“内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。”内部控制的运行是否有效，需要进行客观评价，按照财政部颁布的《企业内部控制评价指引》，“内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。”本文拟从以下几方面对该问题进行探讨。

一、构建企业内部控制评价体系的角度

不同的角度会导致对内部控制评价与报告的责任主体、评价内容、评价标准、评价方法和披露等产生不同的选择，每一项内容的差异都可能引发企业内部控制评价的实质性差异。

审计人员站在企业外部的视角，关注的范围主要是与企业财务报告相关的会计控制，站在审计人员角度所要求的内部控制基本满足了审计人员从事经济鉴证工作和业务的要求，也成为企业内部控制建设的基本要求，因为它往往与政府监管机构规定的要求相似，我国《会计法》等都提出了建立内部会计控制的类似要求。

从企业管理人员的角度来看内部控制，其范围和内容则广泛得多。企业管理层关注的主要是在企业生产经营过程中，对各种经济资源的运用、管理、控制和监督，经济资源的使用效果和效率是企业管理层关注和实施内部控制的目标。

从企业内部管理和政府监管的双重视角来看，对企业内部控制进行评价，试图即对内部控制评价进行监管又充分考虑企业自身的情况和企业经营管理的需要。力求做到既满足法规的遵循，又是企业内部控制和风险管理的最佳实践。

二、企业内部控制评价体系构建的基本原则

内部控制评价体系是内部控制体系的一个组成部分，其构建要受到内部控制目标、内部控制运行环境和过程等因素的影响。在考虑上述诸因素之上探讨内部控制评价体系的原则：

（一）目标导向

总的来说，内部控制的目标是一个完整的体系，有严密的内在逻辑，分为不同的层级。合理保证企业经营管理符合法律、法规的要求，保证企业资产的安全完整，提高企业的经营效率和效果，保证企业战略目标的实现是内部控制的目标。由此可见，内部控制目标主要围绕适用法律、法规，资产的安全完整、财务报告的可靠相关，这几个方面进行努力。

对内部控制目标的实现程度进行评价也是内部控制制度评价体系建立的出发点，在构建时，也必须充分满足这一目的，目标导向应是内部控制评价构建时应遵循的第一个原则。

（二）权变原则

权变原则是指在组织管理过程中要根据组织所处的内外环境的不断变化来评判企业的内部控制。企业的规模、性质、业务特点、所处行业和环境及主营业务各不相同，其内部控制的构成有所不同，那么评价内部控制是否有效的方法也有所不同，这主要取决于公司的具体情况和内部控制重要性。在构建企业的内部控制评价体系时，首先要考虑企业所处的行业、规模等具体适用性。在一定的程度和范围内，允许企业根据自己企业自身的实际情况，灵活调整具体的评价内容、评价程序和评价方法，允许公司的管理层运用自己的经验和所掌握的可靠信息的判断来设计一个满足公司需要并为评估结果提供合理保证的评价过程。

（三）成本效益原则

在市场经济条件下，企业作为营利性经济组织，其根本目的在于追求最大的经济效益。企业内部控制评价的发生是有成本的，不可能是无偿的，这项成本包括直接付出的测试成本和评价成本，以及内部控制建立过程中所发生的咨询、鉴证及对外报告等间接成本。所谓的成本效益原则就是在建立内部评价体系时，要考虑建立该体系的成本及该体系构建后所给企业带来的效益。只有当所带来的效益大于所发生的成本时，说明评价体系的构建具有合理性和必要性。在具体比较时，不仅要考虑两者之差的绝对数，而且要考虑效益（收入）与成本之间的相对比例关系，如果两者之比越大，表明成本效益率越高，否则，则说明成本效益率越低。

三、企业内部控制评价体系的构建要素

（一）我国内部控制评价主体

明确内部控制主体是其构建过程中的第一要素，根据财政部《企业内部控制评价指引》的规定，“企业董事会或类似权力机构对内部控制的有效性进行全面评价，形成评价结论，出具评价报告的过程。董事会应当对内部控制评价报告的真实性负责。”可见，在国家的的法律法规层面上来讲，要求董事会承担内部控制评价的责任，董事会应当对整个内部控制评价负主要责任，承担内部控制评价的风险。在具体实施的过程中，根据经董事会批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。也可以委托社会的第三者中介机构如会计师事务所、律师事务所来实施内部控制评价。实质上，内部控制评价是企业的内部控制自行检查和完善，不涉及外部审计机构的独立审计，因此，其评价人员应当主要来自企业的内部，包括企业的组成机构，比如董事会成员等。

通常来讲，董事会对内部控制评价的最终责任由董事会来承担，企业的职业经理层按照董事会的要求来具体实施内部控制的评价工作。在实务中，董事会可以授权企业内部的组织机构组织实施内部控制的评价，并为内部控制的评价创造良好的外部环境和条件。

（二）内部控制评价的对象及范围

内部控制的有效性是内部控制评价的目标和对象。所谓的内部控制有效性是指企业所建立的内部控制评价制度在多大程度上能够对控制目标的实现提供合理的保证。

对内部控制设计的有效性进行评价时，可以从以下三个方面考虑：第一，企业内部控制的设计是否符合国家的法律、法规的要求，是否以财政部颁发的《企业内部控制基本规范》及其配套指引为主要依据，是否符合内部控制设计的基本原理。第二，企业所设计的内部控制，其运行过程是否能够涉及企业所有关键的环节与业务，是否能够对企业的董事会、经理层、监事会和员工具有普遍的约束力；第三，内部控制的设计内容是否与企业自身的经营特点、业务范围、风险管理要求相吻合。

按照我国《企业内部控制规范》要求，“内部控制系统是由控制环境、风险评估、内控活动、信息与沟通、监督五要素组成”，它们取决于管理层经营、管理企业的具体方式，并贯穿于企业管理整个过程，具体内容如下：

控制环境是否有效应从每一个控制环境因素着手进行考虑，包括企业内部控制所针对人员的诚信、道德、价值观，企业法人治理机构是否完善，股东会、董事会、监事会是否设置完善且分工明确，内部机构和组织人员是否责权利明确等。

风险管理的基础是风险评估，风险评估是识别及分析影响公司实现目标风险的过程，由于经济、行业、监管环境和公司的运营状况在不断变化，管理层必须定期进行风险评估，识别和应对各种变化，选择采取相对应的方法和措施去化解风险、管理风险，并能将风险控制在自己可承受的范围之内。

所谓的控制活动是对所确认的风险采取必要的措施，保证企业目标得以实现、管理层指令得到执行的政策和流程。

信息与沟通使企业各层级、各部门人员可以获取和交换执行、管理和控制经营过程中所需要的信息。信息通过对内部生成的数据和对处理业务决策和外部报告所必需的关于外部事件、活动和状况进行处理，生成的报告，内容应包括经营、财务和合规性方面的信息，以便管理层能够运作和控制业务活动。其中的外部信息包括企业的市场份额、市场环境变化、消费者的偏好、客户对企业的满意度、在开展市场活动时，所涉及的法律和法规。

内部控制系统的运行是否能够满足企业管理的需要，必须要有一套评价内部控制系统运行状况的流程来进行监督，通过持续的监督活动、单独评价或两者的结合来达到这种控制。持续的监督是在经营活动中进行的，包括日常的监督和管理活动以及员工履行各自职责时的活动。内部控制中存在的缺陷经过持续的监督和单独的评价应报告上级部门，重大事项应报告给管理层和董事会并及时加以纠正。

四、内部控制评价的程序

企业管理层采取自上而下、风险基础的方法评价财务报告内部控制的过程主要包括三个步骤：首先要能够识别企业财务报告的风险，并能对之进行控制；其次，对财务报告内部控制运行有效性的证据进行评价；最后，评价内部控制的缺陷，并形成报告。

针对企业财务报告风险和控制，管理层评估其控制是否用来合理保证财务报告的可靠性及按照公认会计原则编制对外财务报表，首先要识别和评估可靠财务报告的风险，包括这些风险的变化过程；然后，评价所应对这些风险，企业是否能够设置和运行了充分应对和控制。在评估风险和识别哪些控制充分应对了这些风险时，管理层通常会考虑公司层面的总体控制以及信息技术方面的控制。

评价财务报告内部控制运行有效性的证据，如果一项控制是按照设计的方式又具有必要权利和胜任能力的人实施，那么它运行就是有效的。管理层通常将其对控制运行的评价集中在哪些对可靠财务报告造成最大风险的领域。

评价控制缺陷与报告，为了确定一项控制缺陷或控制缺陷的组合是否是一项重大漏洞，管理层应当评价引起其注意的每一项控制缺陷。应当从定性因素和定量因素来考虑、评价内部控制的缺陷。

《企业内部控制评价指引》对我国企业内部控制评价程序进行了规定，企业应当按照《内部控制评价办法》中所规定的程序，有序地对内部控制开展评价工作。

企业内部控制评价程序一般包括以下步骤：制定内部控制评价工作方案，组成内部控制评价工作小组，组织实施现场测试，组织认定内部控制存在的缺陷，汇总评价控制结果，编报评价报告等环节。企业的内部控制评价部门比如董事会等权力机构，以经批准的评价方案为实施依据，并组成内部控制评价工作小组，具体负责实施内部控制的评价工作。在组织评价工作组时，应当在企业的范围内，积极吸收企业内部各部门熟悉情况的业务骨干参加。在对本部门的内部控制评价工作进行评价时，评价工作组的成员应当实行回避制度。企业也可以委托会计师事务所等社会的中介机构来完成企业实施内部控制评价。但是给一家会计师事务所，如果为企业提供内部控制审计服务，不得同时为其提供内部控制评价服务。

五、内部控制评价的方法

从目前的实际情况来看，详细评价法和风险基础评价法是内部控制评价的两种思路和方法。

详细评价法，其基本的评价思路是以企业内部控制的框架或标准为基本参照物，评价其构成要素是否存在，并评价其设计有效性，然后对内部控制的运行有效性进行测试，最后对内部控制的有效性做出总体评价，并判断是否存在重大漏洞，评估内部控制目标实现的风险，确定内部控制是否有效。

风险基础评价法，其基本思路是先对相关目标实现的风险进行评估，再对这些风险的内部控制是否存在进行识别，并对内部控制的设计应对相关目标实现风险的有效性进行评价，然后再对内部控制运行有效性的证据进行识别和确定，并对现有的控制的有效性进行评价；最后对内部控制所存在的缺陷进行评价和预估，从整体上进行判定，确定是否构成企业的重大漏洞，确定内部控制是否有效。

我国在《企业内部控制评价指引》中规定“内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。”这就在法律意义上明确了内部控制测试的程序和方法，对企业的内部控制评价具有重要的指导意义。

六、评价内部控制的指标体系

（一）经营目标变量

任何一个企业都有自己的经营目标，所谓的经营目标是指企业管理层通过一定时期的生产经营预期要达到的成果，是企业生产经营活动目的性的反映与体现。从内部控制的角度而言，衡量企业经营效率的最具代表性的指标是总资本报酬率，衡量企业经营效果的最具代表性的指标为销售净利润率。

1.总资本报酬率也称为总资产报酬率或总资产收益率。是指一定时期内，企业获得的报酬总额与所投入平均总资产的比率，反映每1元总资产创造的利润总额，它表明企业运用全部资产获取利润的能力，是评价企业获利能力的重要指标。计算公式为：

总资产报酬率=（利润总额+利息支出）/平均资产总额×100%

（注：这里的利润总额是指企业当年的全部税前利润，利息支出不仅包括企业在生产经营过程中实际发生的利息支出，而且还包括资本化利息支出。为了保持计算口径的一致性，由于分子是时期数，分母是时点数，所以计算时，要将分母的时点数进行平均，平均资产总额=（资产总额年初数+资产总额年末数）/2，上述数据来源于企业的资产负债表和利润表。）

2.销售净利率，也称为销售报酬率，是净利润与销售收入净额的比率，是反映公司盈利能力的一项重要指标，反映每1元销售收入最终实现了多少的净利润。净利润是企业取得的全部收入扣除所有成本、费用和企业所得税后的最终的经营成果。该指标越高，说明企业的获利能力越强，企业的经营状况越好，但该指标受行业特点、经济周期影响比较大。

（二）报告目标变量

财务报告目标是财务会计概念框架中的最高层次，对会计发展起着导向作用。我国财务报告的目标是向财务报告使用者提供决策有用的会计信息，反映企业管理层受托责任履行情况，有助于做出经济决策。

从企业管理的角度看，企业财务报告主要应达到两个方面的目标：

1.向财务报告使用者提供决策有用的信息。财务报告使用者是指与企业有利益关系的相关群体，主要包括企业的投资者比如股东，企业的债权人比如银行，政府及其有关部门比如税务机关等，社会公众等，其中第一关系人主要是投资者，其他使用者的需要服从于投资者的需要。在提供财务报告时，应首先考虑报告所涵盖的信息是否有利于投资者的决策。

2.反映企业管理层受托责任的履行情况。在现代公司制下，两权分离成为现代公司运行的首要考虑目标，企业的所有权和经营管理权相互分离，在契约的约束下，企业的管理层作为受委托人，对所经营管理各项资产的安全、完整、保值增值负有受托责任。只有通过会计信息，才可以准确判断投资者的投资是否被科学、合理而有效的使用着，才可判断投资使用的效果，这也是会计信息的重要意义。

（三）合规性的目标变量

合规性目标是指企业的内部控制的设计及评价应当符合国家相关法律、法规的要求与规定，不能与之相违背，保证企业的生产经营活动合法合规，这是对内部控制的最低要求。把合规性目标排在第一位，从合规性目标到战略性目标，这是最基本的目标。世界上大多数国家也将合规性目标作为内部控制的基本目标之一。各国在内部控制规范均指出应遵循相关的法律法规可以理解为包括了国际法和国内法；行业规范的遵循可以理解为推荐性规范、仅在行业内使用的规范和所有企业均遵循的规范；在内部政策的制定和执行上，企业具有更大的自主权。当公司情况较为复杂、外部的法律、法规和规范不能完全满足内部管理需要时，更加应该强调内部政策的遵循性。因此如何衡量企业是否合法合规就是合规性目标是否实现的关键因素，可以用违法违规事项和被诉讼事项来衡量。

总之，企业内部控制评价体系的构建和完善是企业加强内部管理，提高经济绩效，降低成本的有效途径，是企业可持续发展的强大动力和支撑。企业应不断完善这一体系。