企業內部控制評價體系研究

○蒲曉燕 陳惠芬

（武漢光谷聯合股份有限公司 湖北 武漢 430073）

企業內部控制評價體系研究

○蒲曉燕 陳惠芬

（武漢光谷聯合股份有限公司 湖北 武漢 430073）

本文分析了內部控制理論的各個發展階段，并概述了企業內部控制自我評估，最后構建了我國上市公司內部控制的綜合評價體系。

內部控制 CSA 評價體系

一、內部控制概述

內部控制（Internal control）是社會經濟發展到一定階段的產物，其內容是隨著公司對內強化管理，對外滿足社會需要而不斷豐富和發展的。著名學者塞繆爾·約翰遜將其定義為“由另一個職員保管的登記薄或賬冊，可由他人逐項檢查”。

1949年，美國注冊會計師協會審計程序委員會發表的《內部控制——一個協會系統的要素及其對管理層和注冊會計師的重要性》中最早給出內部控制的定義：“內部控制包括組織機構的設計和公司內部采取的所有相互協調的方法和措施。這些方法和措施都用于保護公司的財產，檢查會計信息的準確性，提高經營效率，推動公司堅持執行既定的管理政策。”1958年10月該委員會發布的《審計程序公告第29號》對內部控制定義重新進行表述，并將內部控制劃分為會計控制和管理控制。

20世紀80年代至90年代是內部控制結構階段。20世紀80年代以后，西方會計審計界對內部控制研究的重點逐步從一般涵義向具體內容深化。1988年美國注冊會計師協會發布的《審計準則公告第55號》，從1990年1月起取代1972年發布的《審計準則公告第1號》。該公告首次以“內部控制結構”代替“內部控制”，指出“企業的內部控制結構包括為提供取得企業特定目標的合理保證而建立的各種政策和程序”。這一時期內部控制理論將控制環境納入控制范圍，不再區分會計控制和管理控制，使內部控制內涵得到擴展。

進入20世紀90年代后，內部控制的研究進入了一個新階段，內部控制也發展到了內部控制整體框架階段。1992年美國“反對虛假財務報告委員會”下屬的COSO委員會發布了“內部控制—整體框架”報告，即“COSO報告”。1996年美國注冊會計師協會全面接受COSO報告的內容，發布了《審計準則公告第78號》，將內部控制定義為：“由一個企業的董事長、管理層和其他人員實現的過程，旨在為下列目標提供合理保證：財務報告的可靠性；經營的效果和效率；符合適用的法律和法規。”該準則將內部控制劃分為五種成份，它們分別是控制環境、風險評估、控制活動、信息與溝通、監督。

每個發展階段所處的時間和內部控制的定義、定義的出處及其特點，可以歸納為表1。

表1 內部控制的發展

對上述內容及表1進行分析，從內部控制的范圍來看，可以看出內部控制經歷了由“部分控制論”向“全面控制論”的發展過程。

二、企業內部控制自我評估（Control Self As-sessment，CSA）概述

1、CSA的含義及發展過程

CSA是指企業定期或不定期地對其內部控制系統的有效性及其實施的效率效果進行評估。CSA是一種在西文國家中廣泛使用的內部審計技術，它是由管理層和業務人員直接參與的過程，其目的是確保內部控制系統的恰當性和有效性，為組織目標的實現提供合理的保證。

CSA最早是由加拿大海灣公司在1987年首次提出的，其獨創的理論受到國際內部審計師協會的贊許和推廣，其工作方法逐步在全球得到廣泛的應用。CSA最主要的發展階段是在1992年COSO報告公布之后。COSO報告首次把內部控制從原來自上而下的財務模式的平面結構發展為更具彈性的企業整體模式的立體框架。

如今，世界上越來越多的公司和組織已經或正式實施一些成功的CSA計劃。例如美國聯邦存款保險公司和加拿大存款保險公司要求美國和加拿大金融機構評價內部控制。世界銀行專門出版了一本有關CSA實施經驗的書。安永、德勤等會計師事務所也都各自開發了關于實施CSA的軟件。國際內部審計師協會還專門成立了CSA中心。

2、CSA的特征

（1）CSA是一種自發的由控制成員全員參與的評估運營程序。CSA把傳統的由僅由內部審計人員從事的內部控制評價，發展成為由各部門參與作業的人員親自參與內部控制評估的共同事情。內部控制評估不只是內部審計部門人員的責任，也不只是高級管理層應該關心的問題。全員評價、全員控制，實現了內部控制質的飛躍。

（2）CSA是一種系統化的評估運營程序。CSA系統化主要體現在兩個方面。一方面，是評價方式的系統化，由引導會議、問卷調查法和管理結果分析法等方法相結合來實施，使評價更系統、更有效。另一方面，是評價內容的系統化，CSA控制過程還包括公司治理、經營理念、職業道德、溝通、人力資源政策和文化等一系列涉及內部控制環境的環節，使評價更客觀、更全面。

（3）CSA是一種更高層次的評估運營程序。傳統的內部控制評價方法只能用來評價諸如財務報告、資產與記錄的接觸、使用與傳遞、授權授信、崗位分離、數據處理與信息傳遞等“硬控制”。CSA迫切需要評價包括公司治理、高層經營理念與管理風格、職業道德、誠實品質、勝任能力、風險評估等“軟控制”。

3、CSA的作用

（1）改善控制環境。企業的所有成員都對內部控制負有相應的責任，利用CSA可以起到有效教育并幫助管理人員明確并自愿承擔其責任的作用。CSA還能通過影響一般員工來對控制環境產生積極的貢獻。

（2）提高內部審計效率。從內部審計管理的角度看，有效地利用CSA結果可優化審計作業流程，提升審計方案質量，從而提高審計效率。

（3）節約外部審計資源。外部審計人員，如注冊會計師在會計報表審計過程中可以利用CSA獲得的大量信息和評估結果來評價控制風險，有助于簡化控制測試程序，提高工作效率，相對減少實質性測試程序和降低審計風險，節約審計資源。

4、內部控制評價標準

受COSO報告的影響，很多國家及各專業團體仿效COSO對內部控制進行了重新研究，并采納其最新理念，發布了自己的文告，形成了自己的內部控制評價標準體系。我國當前的內部控制評價標準體系的建立應當以前瞻性原則與務實性原則為指導，既要借鑒國際上先進的研究成果，又要結合我國的現實情況，這樣才能真正發揮其加強公司內部管理、推動獨立審計事業發展及為市場經濟服務的作用。

內部控制評價標準體系可以定義為：屬于內部控制評價標準范疇的有關事物相互聯系相互制約而構成的一個內涵與外延相互統一的整體。以西方內部控制評價標準理論與實務為基礎，結合我國國情，從內部控制要素入手，將內部控制評價標準劃分為一般標準和具體標準兩部分，一般標準以具體標準為基礎，同時也是具體標準的升華，二者相輔相成，缺一不可，共同構成一個完整的體系。內部控制評價的一般標準，是指應用于內部控制評價的各個方面的標準，即內部控制制度整體運行應遵循和達到的目標。內部控制評價具體標準是指應用于內部控制評價具體方面的標準，是具體內部控制制度運行應遵循和達到的目標。內部控制評價的具體標準還可以分為三個層次：第一層次是內部控制要素評價標準；第二層次是內部控制要素類別評價標準，要素類別是控制要素的細化；第三層次是內部控制具體細節評價標準。借鑒美國COSO報告的研究成果，內部控制組成要素包括控制環境、風險評估、控制活動、信息與溝通、監督五個。每一個要素又可以再分為更多的項目，例如控制環境要素涵蓋的項目就有操守及價值觀、執行能力、董事會、管理哲學及經營型態、組織結構、權責分派體系、人力資源政策及實行等。

5、內部控制的評價程序

內部審計部門在進行內部控制的評價時，可以借鑒注冊會計師對被審計公司的程序、方法等。內部審計部門采用的內部控制評價程序和外部審計的評價程序相似，第一步是調查了解公司內部控制的現狀；第二步是進行健全性測試和評價，評價內部控制的完整性；第三步是進行符合性測試和評價，評價內部控制的有效性；第四步是根據這兩個階段評價結果進行的后續評價也可以稱為綜合評價，評價整個公司內部控制的情況；第五步是出具內部控制評價報告。內部控制的評價程序如圖1所示。

圖1 內部控制的評價程序

三、我國上市公司內部控制的綜合評價

1、構建基本原則

（1）全面性和系統性原則。全面性原則要求選擇的指標要能涵蓋內部控制的各個方面。系統性原則要求指標體系的設計要力求科學、系統、準確地反映公司內部控制指標之間的關系和層次結構。

（2）可操作性原則。內部控制評價指標的選取應具有可操作性。內部控制是公司經營過程的規范程序和控制約束。公司中內部控制成功與否直接影響經營業績好壞。對內部控制評價指標的數量要盡可能地少而精，便于評判人員操作。同時也要能概括內部控制的真實狀況。

（3）前瞻性原則。內部控制評價指標中應考慮公司知識資本等新經濟元素的控制利用程度。經濟發展不斷將新的要素加入內部控制的范疇中，企業文化、知識技術水平對經營成效的影響很大程度上是對企業長期效益的影響。在建立內部控制評價指標體系時應具有前瞻性，評價中應對知識資本、人力資源、文化環境等因素對內部控制和公司的影響給予充分考慮。

（4）成本效益和重要性原則。企業加強實施內部控制必定要消耗資源，但企業的管理控制資源是有限的，因此對內部控制的評價應遵循成本效益和重要性原則。隨實踐的發展可供評價的因素不斷擴大，應抓住公司內部控制的關鍵環節進行評價。在選取評價指標時應隨具體環境和評價目的的不同有所側重，遵循重要性原則，選取合理數量的評價指標，對結果采用相對分析方法，允許評價結果在標準值一定范圍內發生波動。

2、內部控制綜合評價指標體系

上市公司內部控制指標體系的設計要根據以上原則來建立。COSO報告所包含的內部控制內容是目前最為完善的，并且我國很多上市公司內部控制要素采用COSO“五要素”。結合前面分析的影響我國上市公司內控現狀的一些因素，按全面性系統性等原則選用五要素即控制環境、風險評估、控制活動、信息與溝通、監督。針對上述五要素，分別運用完整性和有效性，并設置相應的評分標準，根據不同要素重要性的不同進行加權，從而得出內部控制綜合評分。

（1）完整性評價標準。將內部控制的完整性程度分為“完整”、“基本完整”、“不夠完整”、“不完整”四個等級，用來作為內部控制設計完整性的評價標準。“完整”表示各項內部控制制度全面、完整，覆蓋所有的業務領域和操作環節，適應業務發展和風險防范的需要，符合國家的金融法律和監管部門的規章制度。“基本完整，表示重要業務領域均制定了相應的內部控制制度，基本適應業務發展和風險防范的需要，但部分內部控制制度的操作性、指導性不強，個別業務領域和管理環節缺少內部控制制度。“不夠完整”表示內部控制制度不夠全面，部分重要業務領域或操作環節缺乏相應的內部控制或存在缺陷，不利于業務發展和風險防范的需要，可能影響上市公司安全運營或造成損失。“不完整”表示內部控制制度存在嚴重缺陷，重要業務領域或操作環節缺乏相應的內部控制，業務發展缺乏管理控制，潛在風險已影響上市公司的安全運行。

（2）有效性評價。將內部控制的有效性程度也分為“有效”、“基本有效”、“不夠有效”、“無效”四個等級，用來作為內部控制執行有效性的評價標準。“有效”表示各項內部控制得到認真貫徹執行，所有業務領域和操作環節所承受的風險得到有效的控制，內部控制能有效地發現、管理、控制各種風險，并且與上市公司規模和業務發展相適宜。“基本有效”表示各項內部控制制度基本得到貫徹執行，重要業務領域和操作環節所承受的風險得到控制，但有局部違章操作現象。“不夠有效”表示所設計的內部控制制度基本沒有得到認真執行，導致部分重要業務領域或操作環節的風險未得到有效控制，或存在的內部控制缺陷或違章操作，可能引致風險，若不采取措施可能對上市公司的安全運行帶來嚴重影響。“無效”表示所設計的內部控制沒有得到有效執行，內部控制有效性存在嚴重問題，不能有效防范和控制重大風險，很可能導致管理失控或業務損失，并危及上市公司的安全運行。

3、內部控制綜合評價的步驟及方法

內部審計人員對上市公司內部控制綜合評價是從定性評價到定量描述，又從定量描述到定性評價的這樣一個過程。如圖2所表達的那樣，上市公司內部控制綜合評價是從局部的定性評價到局部的定量描述；又從局部的定量描述到整體的定量評價；最后從整體的定量描述得出整體的定性評價結論。在這整個評價過程中都需要內部審計人員的專業判斷。

圖2

第一步，內部審計人員通過健全性測試和符合性測試完成了對各項具體的內部控制的測試和評價之后，應按上一節中設計的內部控制評價內容指標，將各項具體的內部控制進行完整的歸類，即從內部控制環境、風險評估、控制活動、信息與溝通、監督五個方面，分別系統地按內部控制的設計和執行進行整理。

第二步，分析整理資料，判斷內部控制中內部控制環境、風險評估、控制活動、信息與溝通、監督五個方面的完整性程度和有效性程度，并運用已設計的內部控制評價標準對其進行定性評價。在對內部控制系統各要素從設計和執行兩個方面進行定性描述的過程中特別需要內部審計人員的專業判斷。

第三步，運用矩陣法分別對公司內部控制環境、風險評估、控制活動、信息與溝通、監督五個方面進行評分。通過矩陣及打分法將第二步對五項要素設計和執行兩個方面的定性評價轉化為定量描述。

第四步，根據第三步確定的各要素的評分，計算上市公司內部控制的綜合評分。內部控制的綜合評分是各要素評分的加權平均值。內部審計人員將這個加權平均值作為內部控制綜合評分。到此為止，內部審計人員對內部控制系統仍是定量的描述，這一步是對上市公司內部控制母系統的定量描述（第三步是對各子系統的定量描述）。

第五步，根據前四步內部控制各要素的評分，分析出內部控制的薄弱環節；根據對內部控制系統的綜合評分，分析出公司內部控制的整體情況，然后出具包括綜合評價結果及建議的書面報告，從而完成整個內部控制的綜合評價過程。