內部控制鑒證業務的定位分析①——基于2009年深市數據的分析

段 敏,劉 威

（東北財經大學研究生院,遼寧 大連 116025）

一、引言

2010年4月26日,財政部會同證監會、審計署、銀監會和保監會共同發布了《企業內部控制審計指引》,本指引在《企業內部控制鑒證指引》的基礎上,對未界定清晰而理論界存在爭議的概念進一步厘清,對會計師事務所實際操作提出了更詳盡、規范的要求。

在《企業內部控制審計指引》（簡稱《內控審計指引》）發布前,理論界對以下關于內控鑒證的定位問題一直存有爭議：（1）內控鑒證是合理保證業務還是有限保證業務？（2）內控鑒證是基于責任方認定業務還是直接報告業務？（3）鑒證對象是一個時點還是一個時期概念？（4）內控鑒證中的內部控制是與財務報告相關的內控還是內控框架中的概念？

《內控審計指引》對以上問題做出明確界定,本文結合指引及筆者自身觀點,首先利用2008年及2009年深市公司的內控相關數據分析我國內控鑒證的現狀,然后試圖從理論分析入手,利用2009年深市的內控數據對以上問題進行一一論證。

二、我國深市公司內控鑒證現狀

2008年6月28日,財政部會同證監會、審計署、銀監會和保監會共同發布了《企業內部控制基本規范》,自2009年7月1日（后推遲至2010年1月1日）起在上市公司范圍內施行,同時要求執行本規范的上市公司,應當對本公司內部控制的有效性進行自我評價,披露年度自我評價報告,并可聘請具有證券、期貨業務資格的會計師事務所對內部控制的有效性進行審計。本文通過巨潮資訊網披露的年報、內部控制自評報告及內部控制鑒證報告,對2008年和2009年深市上市公司相關情況做統計及分析,如表1和表2所示。

表1 2008年深市公司的內控自評與審計情況

表2 2009年深市公司的內控自評與審計情況

對比2008年和2009年深市公司對內控進行鑒證的比率大幅度上升,可見,《內部控制基本規范》的出臺,對我國上市公司內控建設、披露的規范和促進發揮了重大的作用,也使得越來越多的公司自愿地重視內控建設和披露,有利于公司經營的風險防范和戰略目標的實現。觀察表2發現,2009年深市公司仍有約 56％的公司未聘請會計師事務所對公司內部控制進行鑒證并出具審計意見,這與該年《企業內部控制審計指引》尚未頒布、注冊會計師專業勝任能力尚達不到對內控這種特殊鑒證對象出具合理保證意見是分不開的,而且在金融危機背景下,上市公司建立完善內部控制并聘請事務所鑒證的成本負擔過大,很可能影響公司正常經營也是不可忽略的原因。

總之,對內部控制進行審計是必然的趨勢,是國民經濟健康發展、公司治理不斷進步的必然要求,我國應加強內控審計配套制度及法律、法規的建設,加強對上市公司及事務所的宣傳、培訓力度,以提供更多的高質量的內控審計報告。

三、理論與數據分析結合的內控鑒證定位

內控鑒證定位問題一直是討論的熱點,筆者認為內控鑒證為基于責任方認定更合理。

1.內部控制鑒證為合理保證業務

合理保證業務是將業務風險降低至該業務環境下可接受的低水平,對鑒證對象提供高水平的保證,并以積極方式發表審計意見。雖然一些學者認為內控鑒證是有限保證業務,但是筆者認為,將內控鑒證定義為審計業務,即合理保證業務,是具有理論依據的。

第一,隨著公司經營環境的日趨復雜,業務的多樣化及公司的規模化,內部控制的有效程度對企業的經營效率和效果有很大影響。預期使用者在評估企業存在風險時,對內控的關注是一個重大方面。因此,對內控的有效性提供高質量的保證,是滿足預期使用者的需求的。

第二,內部控制有效與否,也關系到財務報表的真實性和完整性。CPA對財務報告進行審計時,無論在評估重大錯報風險還是符合性測試階段,都會利用到內部控制。那么,對內部控制進行有限保證,而對以內控為基礎生產的財務報表提供合理保證是不符合邏輯的。

第三,美國資本市場較我國成熟,其內部控制發展比我國起步較早,發展較規范。在其內控鑒證發展史上,對內控鑒證的態度是從有限保證到合理保證,用合理保證取代有限保證,必定也是經實踐和理論驗證的結果。

日前頒布的《內控審計指引》亦支持了筆者的觀點,將內控鑒證業務指定為合理保證業務：“注冊會計師執行內部控制審計工作,應當獲取充分恰當的證據,為發表內部控制審計意見提供合理保證”[1]。另外,從本指引的名字上我們也可以看出,內控鑒證被定義為審計業務,而審計本身就是合理保證業務。

我國實務界經驗更傾向于對內控鑒證提供合理保證。表3數據顯示,388家對內控出具審計意見的深市公司中,356家的內控鑒證意見為合理保證類型,僅有32家會計師事務所提供了有限保證的內控鑒證報告。數據對比可以看出,事務所大部分認為內控鑒證為合理保證業務。同時筆者認為,之所以仍有32家事務所出具有限保證意見,可能是從降低風險和成本的角度,有限保證的鑒證結論對注冊會計師似乎更有吸引力。總之,隨著《內控審計指引》的出臺,提供合理保證的內部控制鑒證意見是必然的趨勢,而表3統計數據也說明普及內控鑒證為合理保證業務具有可行性。

表3 事務所對合理保證與有限保證的處理

2.內部控制審計為基于責任方認定的鑒證業務

《內控審計指引》將內控鑒證業務劃定為直接報告業務：“本指引所稱內部控制審計,是指會計師事務所接受委托,對特定基準日內部控制設計與運行的有效性進行審計”,“按照本指引的要求,在實施審計工作的基礎上,對內部控制的有效性發表審計意見,是注冊會計師的責任”[1]。在內控審計報告中體現為：“我們接受委托,對 ××股份有限公司 ××年 ×月 ×日的財務報告內部控制進行審計”,“我們認為,××公司按照《企業內部控制基本規范》和相關規定在所有重大方面保持了有效的財務報告內部控制”[1]。

指引將內控審計定義為直接報告業務,其優勢為增強 CPA在審計工作中的自主獨立性,使得其工作范圍不僅限于自評報告的部分,更可能發現公司內控中的其他問題,更好地促進公司內控的發展與完善。但筆者卻認為此處仍待商榷,劃分為基于責任方報告業務更為合理。

第一,判斷鑒證業務是直接報告還是基于責任方認定,關鍵是該責任方認定是否可以獲得。如果注冊會計師無法從管理者獲取其對內部控制有效性的評價報告（責任方認定）,或者雖然注冊會計師能獲得該報告,但預期使用者無法獲得該報告,CPA只能直接針對內控有效性進行評價并發表意見,預期使用者通過閱讀鑒證報告獲得內部控制有效性的信息,這是直接報告業務。但是,如果預期使用者能夠獲得責任方認定,那么無論 CPA針對責任方認定還是內部控制直接發表意見,都是基于責任方認定的業務。而根據《企業內部控制基本規范》,要求上市公司對內控有效性進行評價,那么我們認為預期使用者是通過公開途徑獲得此責任方認定的,因此內控審計作為基于責任方認定的鑒證業務更合理。

第二,如果定義為直接報告業務,不利于調動公司管理層對內部控制自評的積極性,不利于管理層了解企業的內部控制,不利于內控的完善與發展。

第三,若定義為直接報告業務,可能導致預期使用者更加關注內控審計報告而不是公司的自評報告,不利于預期使用者了解管理層對內控的把握與控制。

第四,對內控的有效性直接進行評價,對于CPA來說,需要花費更多的人力和物力來對鑒證對象提出審計意見,不僅增加了成本,而且使得 CPA承擔了更重的責任,“深口袋”現象會愈演愈烈。

其實,從起源來看,最初的內控審計的目的是為了加強預期使用者對責任方內控認定的信任度,從而需要獨立第三方的注冊會計師對其責任方認定發表意見,即基于責任方認定。

從2009年深市數據亦能看出,在實踐中基于責任方認定的應用更廣泛。表4數據表明,我國現階段的內控審計工作大部分是在責任方認定的基礎上進行的。那么,對于我們提供的理論分析和數據驗證所支持的基于責任方認定業務和《內控審計指引》所規定的直接報告業務之間的差異,我們相信,實踐是檢驗真理的惟一標準,如果新指引試行效果理想,則我們必須從理論上更進一步研究其合理性；如果試行效果不佳,國家必定也會根據實際情況進行及時調整。

表4 事務所對直接報告和基于責任方認定的選擇

3.鑒證對象的時點概念

《內控審計指引》指出：“本指引所稱內部控制審計,是指會計師事務所接受委托,對特定基準日內部控制設計與運行的有效性進行審計”[1]。在內控審計報告中則體現為：“我們接受委托,對 ××股份有限公司 ××年 ×月 ×日的財務報告內部控制進行審計”[1]。可見,鑒證對象是一個時點的概念,即一般是企業會計年度的終了日——12月31日。

內控鑒證的時點與時期之爭一直是理論界的熱門話題[2]-[5],雖然指引將其規定為時點,但究竟哪種界定更具有實踐合理性和可行性,筆者認為仍是一個值得探討的問題：從內控留下的軌跡和審計證據的可獲得性方面看,時點概念對于審計工作來說更切實可行；從審計成本、CPA責任和 CPA工作的重點來看,時點概念更符合成本效益原則；但是從內控審計的目標和預期使用者的期望來看,時期概念似乎更具備合理性,畢竟證明內部控制在一個時點上有效,并不能由此推出在整個期間都是有效的,而基于內控而進行的經營活動和生產的財務報告都是對于時期內內控有效性的體現,時點概念顯然不合理。

理論方面,時點與時期觀點各執一詞,那么實務界如何處理這一問題呢？事務所在實際審計工作中大部分采取時點概念,如表 5所示。

表5 事務所內控審計對時點與時期的選擇

內部控制是一個過程,CPA憑借其運作過程中留下的軌跡及證據針對時期概念發表審計意見的風險較大,但有些學者認為“公司經營狀況及財務報表的準確相關性是與整個期間內的內部控制聯系的,僅針對時點發表意見,并不足以證明其有效程度”也是有道理的。因此,筆者認為,基于審計難度和成本的考慮,我們更傾向于對內部控制出具時點概念的保證,而基于預期使用者的角度,我們有理由期望 CPA在對內控時點有效性發表意見的同時,應取得恰當的證據,將內部控制的有效性延伸至整個會計期間。

4.鑒證對象——財務報告相關的內部控制

《內控審計指引》指出：“注冊會計師應當對財務報告內部控制的有效性發表審計意見,并對內部控制審計過程中注意到的非財務報告內部控制的重大缺陷,在內部控制審計報告中增加‘非財務報告內部控制重大缺陷描述的’予以披露”[1]。可見,指引將鑒證對象確定為財務報告相關的內部控制。

內部控制的目標包括合理保證企業經營管理合法、合規,資產安全,財務報告及相關信息真實、完整,提高經營效率和效果,促進企業實現發展戰略。將鑒證對象確定為僅財務報告目標的內部控制而非全面目標下的內部控制原因如下。

第一,預期使用者最關注的是企業財務信息可靠性和相關性,使其為他們的決策提供有力支持,而財務報告內部控制作為財務報表真實、完整的強大后盾,也是預期使用者所關注的。雖然預期使用者可能也會關心企業的經營風險、戰略目標和生產銷售控制等,但是預期使用者更關心的是財務數據,因此相對也會更關注財務報告相關的內部控制的有效性。

第二,注冊會計師的專業勝任能力限制。注冊會計師具有財務和審計等方面的專業知識,并且在財務報表審計過程中需要對財務報告相關的內部控制進行測試,對財務目標相關的內部控制進行鑒證尚在 CPA的能力范圍內。而對于企業其他經營方面的內部控制設置的合理性和執行的有效性可能超出了 CPA的能力范圍,需要借助專家的幫助。

當前,事務所更傾向于提供財務報告目標的內控鑒證服務。表6數據顯示,CPA基于自身勝任能力及審計風險的考慮,大部分針對財務報告相關的內部控制發表意見,但是對內部控制審計過程中注意到的非財務報告內部控制的重大缺陷,在內部控制審計報告中增加“非財務報告內部控制重大缺陷描述的”予以披露。

表6 事務所對財務報告內控與全面內控出具審計意見的情況

四、結語

隨著我國資本市場的發展,內部控制將起到越來越重要的作用,《內控審計指引》的出臺,為注冊會計師清晰地界定了內控審計的范圍、遵循原則、步驟及責任等,對我國上市公司的內控建設和披露具有重大意義。對于本文探討的問題,指引雖然已經予以確定,但個別問題仍然在理論上和實踐中存在可辨性,制度的制定總是遵循“肯定—否定—否定之否定”的動態過程,理論也要在實踐中得到檢驗,關于內部控制鑒證的定位問題,筆者相信還有待于進一步研究。

[1]財政部,證監會,審計署,等.企業內部控制規范[S].北京：中國財政經濟出版社,2010.64,71,73.

[2]劉明輝.內部控制鑒證：爭論與選擇[J].會計研究,2010,（9）.

[3]劉明輝,何敬.內部控制鑒證的時點與時期之爭[J].中國注冊會計師,2009,（8）：31-33.

[4]孫文剛.內部控制鑒證的對象與內容[J].會計之友,2009,（1）：24-25.

[5]李爽,吳溪.內部控制鑒證服務的若干爭議探討[J].中國注冊會計師,2003,（5）：8-11.