集團公司內部控制綜合評價指標體系的構建

[摘 要] 內部控制的實施能否實現預定的目標，依賴于設計的適當性以及運行的有效性。然而我國企業在內部控制的建設與完善方面雖已進入起步階段，但有關內部控制評價體系依然薄弱，特別是企業集團對其分(子)公司內部控制的評價缺乏客觀、可比的基礎，制約了集團公司內部控制的有效運行。因此，建立一套完善的、符合實際的、具有可操作性的企業集團內部控制評價體系勢在必行。

[關鍵詞]內部控制;評價指標;集團公司

doi : 10 . 3969 / j . issn . 1673 - 0194 . 2010 . 15. 023

[中圖分類號]F239.45 [文獻標識碼]A [文章編號]1673 - 0194(2010)15 - 0049 - 05

我國在內部控制的建設與完善方面雖已進入起步階段，但有關內部控制評價體系依然薄弱，特別是企業集團對其分(子)公司內部控制的評價缺乏客觀、可比的基礎，制約了集團公司內部控制的有效運行。因此，建立一套完善的、符合實際的、具有可操作性的企業集團內部控制評價體系勢在必行。

1 內部控制及其綜合評價的內涵

關于內部控制的定義可以說是眾說紛紜，但其中最具影響力的要屬COSO委員會1992年報告，即《內部控制——整體框架》中提出的定義:“內部控制是受企業董事會、管理當局和其他職員的影響，旨在取得(1)經營效果與效率;(2)財務報告的可靠性;(3)遵循法規等目標而提供合理保證的一種過程。”該報告將內部控制要素確定為控制環境、風險評估、控制活動、信息與溝通、監督(參見圖1)。此報告提出后，COSO通過進一步的研究發現，不同國家的不同企業都在應用各種各樣的管理框架，這些管理框架有的關注于狹義的風險管理;有的側重于特別的行業或特定類型的風險管理;有的關注風險的減少而非風險的管理。COSO認為，對管理者來說，一個非常重大的挑戰就是確定某個組織在努力創造價值的過程中準備承受多大的風險。而制定統一定義、能夠提供主要原理與概念、具有明確的方向與指南的風險管理框架將有助于企業迎接這一挑戰。基于以上認識，COSO于2004年9月發布《企業風險管理框架》(以下簡稱“ERM”)的研究報告。ERM擴展了內部控制框架中風險的要素，將其變成了4個要素:目標設定、事件識別、風險評估和風險應對。至此，ERM的內部控制要素拓展為8個，即:內部控制環境、目標設定、事件識別、風險評估、風險應對、控制活動、信息與溝通、內部監督(參見圖2)。

一個設計適當且運行有效的內部控制，能夠合理保證報告的可靠性、經營的效率和效果以及對法律法規的遵守，而要確保內部控制設計適當且運行有效，則依賴于對內部控制的評價。企業內部控制評價就是對內部控制設計的適當性與運行的有效性進行檢測。從動態的觀點來看，內部控制的建立、執行和評價三者共同構成一個有機整體，它是促使內部控制能夠得到不斷完善的運作模式，只有三者之間高效互動，內部控制的目標才能得以實現。其中內部控制的評價在內部控制建立、執行過程中起承前啟后的重要作用。在內部控制評價中，如果是針對單個企業進行評價，關注其內部控制的各個構成要素、各項業務和管理活動以及業務流程，采用相應的評價方法，對內部控制的適當性和有效性進行評價，發現其存在的問題，提出相應的改進意見和建議，這是足夠的，完全能夠滿足管理的需要。但是，對于一些集團公司而言，由于存在著許多分(子)公司，僅僅針對內部控制的具體方面進行評價是不夠的，無法進行橫向的比較，無法從總體上把握各個分(子)公司內部控制的整體情況，因此需要采用一定的方法，對每個分(子)公司的內部控制情況進行綜合評價。

2 我國關于內部控制評價的一些規制

內部控制評價是確保組織建立與實施的內部控制能夠實現控制目標的一種合理保證。組織應當根據國家有關法律法規的要求，結合組織自身實際情況，對戰略目標、經營管理的效率和效果目標、財務報告及相關信息真實完整目標、資產安全目標、合法合規目標等單個或整體控制目標的實現進行評價。近年來，我國已有的關于內部控制評價的規制包括:

(1)《企業內部控制基本規范》，作為內部控制評價的一般標準，適用于上市公司及大型企業;中小型企業內部控制評價的一般標準，可在《企業內部控制基本規范》的基礎上考慮中小型企業的特點作適當修改。

(2)《中國內部審計準則第5號——內部控制審計》，用來規范和指導內部審計機構和人員對組織內部控制進行的審查與評價。

(3)《中國內部審計準則第12號——遵循性審計》，用來規范和指導內部審計機構和人員對組織遵守相關法律、法規、計劃、預算、程序、合同等遵循性標準的情況進行的審查與評價。

(4)《中國內部審計準則第16號——風險管理審計》，用來規范和指導內部審計機構和人員對組織內部控制中的風險管理要素的相關問題進行的審查與評價。

2006年相繼出臺的《上海證券交易所上市公司內部控制指引》和《深圳證券交易所上市公司內部控制指引》，都對在上市公司的內部控制自我評價報告的內容進行了規范。當前，《企業內部控制評價指引》、《企業內部控制鑒證指引》以及《企業內部控制應用指引》正在加緊制定中，其征求意見稿目前已經形成。我國已頒布的以及正處于征求意見階段的規范性文件，對于完善內部控制評價，具有積極的促進作用。

3 集團公司設計內部控制綜合評價體系應考慮的因素

集團公司可以委托外審人員或者使用內部審計人員對各分(子)公司的內部控制的設計與運行情況進行專門的評價。為確保集團公司各分(子)公司內部控制評價結果的可比性，可以采用評分法，即對內部控制的各個方面、各個項目，均分別設置一定的標準分值，根據評價的實際得分確定被評價企業的評價等級。

3.1適當的內部控制評價體系應滿足的條件

(1)相關性。與所要評價的內部控制的目標相關。

(2)沒有偏見。制定過程采用透明的程序并保持更新。

(3)一致性。可以適當一致地、定性和定量地衡量公司的內部控制，在類似的環境下付出同樣的努力實施的評價會得出大致相似的風險、測試結果和結論。

(4)可驗證性。有適當的評價軌跡，參與評價的人能夠沿著這個軌跡重復評價或評估評價過程。

(5)充分完整。沒有忽略可能改變公司內部控制整體有效性結論的相關要素。

由于不同規模企業的內部控制差別較大，所以，評價體系的設計還應當考慮企業規模對內部控制的影響。

3.2集團公司對被評價單位內部控制的評價應包括的內容

(1)被評價單位內部控制是否在風險評估的基礎上涵蓋了企業層面的風險和所有重要的業務流程層面的風險。

(2)被評價單位內部控制設計方法是否適當，內部控制建設的時間進度安排是否科學、階段性工作要求是否合理。

(3)被評價單位內部控制設計和運行的組織是否有效，人員配備、職責分工和授權是否合理。

(4)被評價單位是否開展內部控制自查并上報自查報告。

(5)被評價單位是否建立有利于促進內部控制各項政策措施落實和問題整改的機制。

(6)被評價單位在評價期間是否出現過重大風險事故等。

4 集團公司內部控制綜合評價指標體系的設計

4.1內部控制綜合評價機制

內部控制評價的機制如圖3所示。

其中評價目標是這一系統的邏輯起點，評價主體依照評價目標，運用一定的評價理論與方法，對內部控制要素實施測量，并將測量值與預先設定的標準進行比較，以此來評判組織內部控制系統的性態，并將其作為反饋意見，幫助企業所有人員明確自己存在的問題以及未來的工作任務、職責和努力方向，最終促使組織內部控制逐步向前推進。

4.2內部控制綜合評價的內容

內部控制的綜合評價可以采用過程評價和結果評價相結合的方式。過程評價是指對內部控制設計的適當性和執行的有效性進行評價。內部控制設計適當性是指為實現控制目標所必需的內部控制要素都存在并且設計恰當;內部控制運行有效性是指現有內部控制按照規定程序得到了正確執行。關于內部控制過程評價的內容，概括而言，應包括對與實現整體控制目標相關的內部環境、風險管理、控制活動、信息與溝通、內部監督等內部控制要素進行全面系統的、有針對性的評價。結果評價是指對內部控制主要目標的實現程度進行的評價。內部控制主要目標的實現程度可通過盈利能力狀況、資產質量狀況、債務風險狀況以及經營增長狀況等幾個方面進行反映。

將內部控制的過程評價與結果評價相結合，有利于更加客觀、真實地評價企業內部控制設計、實施及效果，避免內部控制流于形式。

4.3內部控制綜合評價指標體系的設計

對于內部控制的綜合評價可以采用二階段兩級綜合評分法進行實施，即將內部控制的綜合評價分為過程評價和結果評價兩個階段，在計算內部控制的綜合評價結果時，采用如下公式:

綜合評價得分(F)= 過程評價得分×60% + 結果評價得分×40%。

過程評價的標準分設置為100分，其中內部控制各要素的分值分別為:內部環境30分、風險評估25分、控制活動20分、信息與溝通15分，監督10分。

結果評價的標準分也設置為100分，可選擇如下方面評價指標:盈利能力狀況25分、資產質量狀況25分、債務風險狀況25分、經營增長狀況25分。具體計分方法見表1和表2。在對內部控制進行評價時，應構造一個評價集來計算內部控制各評價指標量值，以此確定內部控制的等級類型，并最終幫助組織尋找有效措施，促使內部控制的建立與應有功能的發揮。我們用V表示評價測量值，考慮到對二級指標內涵解釋的合理性要求，本文將過程評價的二級指標的評價設為“符合要求”、“基本符合要求”和“不符合要求”3個等級，將結果評價的二級指標的評價設為“100%完成計劃”、“完成計劃80%及以上”和“完成計劃不足80%”3個等級，要求專家就上述過程評價和結果評價對應的3個檔次進行打分，為便于表示，用dk表示各二級指標因素的評分值，其中k=1，2，3。

4.4.2評價模型的構建

4.4.3內部控制過程評價的標準

4.4.3.1 內部控制設計適當性的判斷

根據內部控制在被審計單位各業務循環過程、各操作環節和所有部門的各崗位的滲透程度，看其與組織管理系統中的其他子系統是否能相互配合、是否具有防范風險的功能，以及能否很好地體現經濟性的要求等情況，將設計適當性劃分為“適當”、“基本適當”和“不適當”3個檔次。如果 屬于標準值的范圍，當且僅當一個二級指標分值稍低但不低于該項分值的90%，設計適當性方面評價結果為適當，三者缺一則降一個等級;如果各要素的分值處于標準值65%~85%的范圍，且各二級指標得分值不低于該項分值的60%，設計適當性方面評價結果為基本適當;如果 各要素的分值低于標準值65%，且各二級指標得分值低于該項分值的60%，則設計適當性方面評價結果為不適當，說明內部控制存在嚴重缺陷，重要業務領域或操作環節缺乏相應的內部控制，業務發展缺乏管理控制，潛在風險已影響企業的生存與發展。

4.4.3.2 內部控制運行有效性的判斷

判斷內部控制運行是否有效，通常應考慮以下幾個方面:

(1)最高業務層制定的各業務規章、發布的法令是否符合國家的有關規定并具有一定權威性。

(2)內部控制在業務經營過程中，能不能真正落到實處，能否有效防范風險，并使其成為一個不斷發展、不斷深化、不斷完善的過程。

(3)內部控制是否利于提高企業經營效率和最終實現企業目標。

結合以上評定標準，可將運行有效性分為“有效”、“基本有效”、“無效”3個等級。當各項內部控制得到認真貫徹執行，所有業務領域和操作環節能有效地發現、管理、控制各種風險，且V、Xi、Xij值與設定的標準值基本一致時，為運行有效，否則降一個等級;當各項內部控制基本得到貫徹執行，重要業務領域和操作環節所承受的風險得到控制，但有局部違規操作現象，V、Xi、Xij值等于基本適當時的量值時，為運行基本有效;當二級指標中的各單項指標得分值低于該項分值的60%，所設計的內部控制沒有得到有效運行，不能有效防止和控制重大風險，很可能導致管理失控或業務損失，并危及企業的經營時，則為運行無效。4.4.4.4內部控制的綜合評判

上述關于內部控制的過程評價是就內部控制的設計和運行構成的二維向量進行的單方評價，而在實施具體評價時，還應當運用綜合評價得分公式，即綜合評價得分= 過程評價得分×60% + 結果評價得分×40%進行綜合評價，以保證內部控制評價的科學性和合理性。例如，某公司內部控制過程評價得分為80分，結果評價得分為70分，則綜合評價得分(F)= 80×60%+70×40%=76(分)。以此對集團公司各分(子)公司內部控制的評價建立了客觀、可比的基礎。

綜合評價結果的等級標準如下:

有效:綜合評分F≥90分;

基本有效:綜合評分75≤F<90分;

有缺陷:綜合評分60≤F<75分;

有重大缺陷:綜合評分F<60分。

(1)只有當內部控制設計評價結果達到適當標準以及運行評價結果均達到有效標準時，才能將內部控制的綜合評價結果確定為正常控制性態，表明組織內部控制設計與運行狀況良好。

(2)若內部控制設計評價結果達到基本適當標準，運行評價結果達到有效或基本有效標準，則內部控制的綜合評價結果均應確認為基本正常性態，表明內部控制在某些環節存在問題(設計方面的缺陷或沒有得到嚴格執行)，但并非重大問題。

(3)若內部控制設計評價結果為不適當，可直接將內部控制綜合評價結果卻認為控制軟弱性態，表明組織內部控制的設計存在嚴重缺陷，根本不適應組織長遠發展的要求。

(4)無論內部控制設計方面的評價結果為何種情況，只要內部控制運行評價結果為無效，則都應將內部控制的綜合評價結果確認為基本失控的性態，表明組織內部控制處于形同虛設的狀態。

當內部控制綜合評價結果為“正常控制性態”之外的任意一種情況時，內部審計人員均應在內部控制評審報告中揭示內部控制中的薄弱環節，并提出切實可行的合理化建議，以督促管理層對完善內部控制的重視。

在內部控制綜合評價示意圖(如圖4所示)中，右上角第Ⅰ象限區域，表示內部控制設計的適當性與執行的有效性得分均超過50分，綜合評價結果為有效或基本有效。

內部控制綜合評價示意圖中，左上角第Ⅱ象限區域，表示內部控制執行的有效性得分超過50分，但內部控制設計的適當性得分不足50分，綜合評價結果為有缺陷，此缺陷為內部控制設計方面的缺陷。

內部控制綜合評價示意圖中，左下角第Ⅲ象限區域，表示內部控制設計的適當性和執行的有效性得分均不超過50分，綜合評價結果為內部控制有重大缺陷，表明內部控制在設計及運行方面均存在較大缺陷。

內部控制綜合評價示意圖中，右下角第Ⅳ象限區域，表示內部控制設計的適當性得分超過50分，但內部控制執行的有效性得分不足50分，綜合評價結果也為有缺陷，此缺陷為內部控制執行方面的缺陷。

內部控制的設計缺陷是指缺少為實現控制目標所必需的控制，或現存控制設計不適當。如果內部控制的設計存在漏洞，往往不能有效防范錯誤與舞弊，即使正常運行也難以實現控制目標。運行缺陷是指現存設計完好的控制沒有按設計意圖運行，或執行者沒有獲得必要授權或缺乏勝任能力以有效地實施控制。如果內部控制的運行存在弱點和偏差，則不能及時發現并糾正錯誤與舞弊的情形。不論內部控制的缺陷是設計缺陷還是執行缺陷，都將導致企業無法及時防范或發現偏離整體控制目標，須引起公司管理層關注;而重大缺陷則可能嚴重影響內部整體控制的有效性，進而導致企業無法及時防范或發現嚴重偏離整體控制目標的情形。

內部控制的評價結果應以評價報告的形式，向董事會、監事會和管理層報告內部控制設計與運行環節存在的主要問題以及將要采取的整改措施，并且企業應當將內部控制評價報告作為進一步完善內部控制、提高經營管理水平和風險防范能力的重要依據。

主要參考文獻

[1]甄紅線.對內部報告控制的重新審視[J].產業與科技論壇，2008，7(10).

[2]王晶.企業內部控制體系建設模式國際比較及啟示[J].財會通訊，2008(1).

[3]徐榮才，李三喜.內部控制規范化操作指南[M].北京:人民郵電出版社，2008..

[4]王濤.內部控制評價的國際比較[J].金融會計，2006(12).

[5]黃京菁.測試與設計內部控制的幾點考慮——兼談學習新審計準則的體會[J].中國注冊會計師，2006(4).

[6]于增彪，王競達，瞿衛菁.企業內部控制評價體系的構建——基于亞新科工業技術有限公司的案例研究[J].審計研究，2007(3).

[7]A Scott. COSO ERM Framework Released[J]. Internal Auditor， 2004(5).

[8]COSO. Internal control-Integrated Framework[Z]. 1992.