企業內部控制評價問題及對策

江蘇大學 魏德云

企業內部控制評價問題及對策

江蘇大學 魏德云

一、企業內部控制評價中存在的問題

（一）評價目標不明確 《企業內部控制評價指引（征求意見稿）》第四條“企業應當根據國家有關法律法規和《企業內部控制基本規范》的要求，結合企業實際情況，對戰略目標、經營管理的效率和效果目標、財務報告及相關信息真實完整目標、資產安全目標、合法合規目標等單個或整體控制目標的實現進行評價。”但是我國大多數企業沒有把內部控制評價作為內部控制的有機組成部分，內部控制評價制度的建立和執行只是流于形式，沒能真正通過內部控制評價來改善經營管理水平，再加上各企業的評價主體定位層次不齊，評價目標不明確，導致在實踐中弱化內部控制評價，搞形式主義。

（二）評價主體不明確 從實踐來看，僅僅通過注冊會計師定期地對公司財務報告內部控制進行外部評價，已經不能滿足上市公司內部管理和戰略目標實現的要求，不能對上市公司內部控制報告的有效性進行全面評價。現代企業愈加重視企業的內部評價。但我國上市公司董事會中，有相當一部分沒有正式的審計委員會，很多上市公司中雖也設有專門的內部審計機構，但獨立性不夠，有的隸屬于總經理，有的隸屬于財務部門，內部審計職能很難真正實現。據德勤2009年的內部控制調查報告顯示，約64.71%的企業由內部審計部門牽頭，對企業的內部控制有效性進行評價，由財務部門、董事會辦公室或其他部門牽頭的企業均為11.76%。因此，上市公司必須明確內部控制評價的主體定位問題。

（三）評價方式過于簡單 目前的內部控制評價主要是依靠內部控制調查表、內部控制流程圖和敘述法等基于主觀的定性評價方法，致使內部控制評價的效率較低，效果較差。有些上市公司雖然也借鑒了一些西方國家的內部控制評價方法，但執行效果較差。雖然《企業內部控制評價指引》第四條也指出“企業應當結合內部控制設計與運行的實際情況，制訂具體的內部控制評價方法”，但是對企業具體采取何種措施并沒有做出清晰的界定，這也使企業在內部控制評價工作中缺乏統一的形式和標準的指導。

（四）披露不充分 企業內部控制有效性的最終評價結果如何，內部控制評價能否最終發揮其作用，需要借助于聲譽機制的作用，通過內部控制評價結果的披露促使內部控制的改善。隨著資本市場的發展，對上市公司內部控制評價結果的披露要求越來越高。就我國目前的情況看，尚沒有強制要求所有上市公司披露內部控制信息，也沒有統一的披露格式和要求，導致自愿披露其內部控制信息的上市公司比例較低，即使披露了，也比較簡單。

二、企業內部控制評價體系完善措施

（一）明確評價目標 內部控制目標的實質是幫助企業實現企業價值最大化目標，減少經營過程中的風險。事實上，內部控制評價目標與內部控制目標是一致的。因為內部控制評價的最終目的是實現內部控制系統的有效性，完善內部控制，使其充分發揮作用，從這一層面上理解，內部控制評價是內部控制的再控制，其最終目的就是為了實現內部控制目標。在具體執行內部控制評價的過程中，評價者普遍關注的是報告的可靠性和企業的合規性。COSO委員會在ERM框架中充分考慮到了上述現象，對內控目標的界定打破了以往的內控規范。企業也日益認識到構建內部控制體系的目標不單純是為了滿足監管部門對于信息提供和披露方面的需求，更重要的是內控制度有助于企業戰略目標以及經營目標的實現。

總體而言，在上市公司內部，內部控制評價的目標，是為了審查公司為達到經營效果和效率所付出努力的有效性，以及合理保證企業的內部控制制度有利于企業戰略目標的實現。外部的內部控制評價目標一般側重于報告目標和合規目標的實現，在管理咨詢內部控制評價中還會關注經營目標的實現。而內部的內部控制評價目標主要側重于企業戰略目標和經營目標的實現程度，但也關注合法合規目標的實現，如圖1所示。

圖1 內部控制評價主體與目標關系

（二）理清評價主體 企業內部控制評價系統的主體是指誰對客體進行評價。從內部控制評價的產生及發展來看，它是為解決經濟活動過程中存在的委托—代理矛盾而建立的。在單一外部評價主體時期，對內部控制進行評價的主體是注冊會計師，其對內部控制評價的目的是為確定審計中實質性測試的范圍和程度提供依據。但內部控制評價應是企業全體員工共同參與的管理工作（如內部控制的自我評估），特別是高層管理人員卻必須及時、全面地了解所分管業務甚至企業整體的內部控制水平，這種評估要以正式或非正式的方式經常進行。因此，在內外部多元評價主體時期，企業內部控制的評價活動也要從利益相關者的需求出發，對企業的戰略活動、經營管理活動以及企業各項活動的合法合規性進行評價。

綜上所述，本文所研究的是上市公司的內部控制評價主體問題是基于利益相關者的角度，因此上市公司內部控制的內部評價主體應界定為內部控制管理機構，即監事會、審計委員會和公司內部審計部門，其職責都是對內部控制進行不同程度的再控制；企業在日常的運營過程中也應開展內部控制的自我評估（CSA）活動；同時內部控制評價的外部主體主要包括注冊會計師、政府部門和其他監管機構等利益相關主體。

（三）界定評價客體 內部控制評價的客體是內部控制評價的對象和內容，即內部控制的構成。根據《企業內部控制評價指引》規定，企業實施內部控制評價，包括對內部控制設計有效性和運行有效性的評價，內部控制設計有效性是指為實現控制目標所必需的內部控制要素都存在并且設計恰當；內部控制運行有效性是指現有內部控制按照規定程序得到了正確執行。由于評價指引意見稿中指出要對“運行的有效性”進行評價，而“運行”是指事物的循序運轉，“執行”是指按照規定的原則、辦法辦事。從這兩個詞的詞義上來看，征求意見稿的規定似乎將“內部控制”置于客觀的位置上，剔除了人為因素的影響，但實際上卻忽略了內部控制評價中對人的評價。而且指引中對“內部控制運行有效性”的解釋與運行的內涵并不一致，“內部控制運行有效性是指現有內部控制按照規定程序得到了正確執行”。企業內部控制無論是設計還是執行，人作為主體是不可忽視的一個要素，即企業內部控制執行有效性的評價中除了要對企業的產、供、銷等活動的運轉情況進行評價之外，還要對人的責任履行情況進行評價。因此，本文將上市公司內部控制評價的客體界定為對內部控制設計有效性和執行有效性的評價。

（四）確定評價模式 內部控制評價的模式就是評價活動的模型、樣式，對構成評價活動的各要素之間的關系和形式的規定。它具體規定了評價的目的、基本范圍、內容和過程，包括評價活動的邏輯和程序。企業面臨的風險和不確定性越來越多，因此本文認為現代企業內部控制評價模式的采用也要引入風險管理的理念，將內部控制的評價與企業風險管理的過程緊密結合，即采用以風險為基礎的評價模式。采用以風險為基礎的評價模式時首先要評估相關目標實現的風險；其次，識別和確定企業充分應對這些風險的內部控制是否存在，即評價內部控制的設計應對相關目標實現風險的有效性；第三，識別和確定內部控制運行有效性的證據，評價現有的控制是否得到了有效的運行；最后，對控制缺陷進行評估，判定是否構成實質性漏洞，確定內部控制是否有效。對于不同的目標而言，目標風險的含義、內部控制重大漏洞的含義是不相同的，在評價每一類目標時都需要做具體設定。風險基礎評價法的邏輯和程序，如圖2所示：

圖2 以風險為基礎的評價模式

以風險為基礎的評價模式首先評估實現內部控制相關目標的風險，根據風險評估的結果對照企業的內部控制參考內部控制框架來判斷企業內部控制設計的有效性。這樣做一方面可以充分考慮企業特定的情況，避免與內部控制框架的簡單核對，具有更好的成本效益性和更廣泛的適用性和靈活性；另一方面，關注最重要的風險，提高了評價的成本效益和效率。此外，在確定內部控制的測試范圍和收集證據時也是以風險評估為基礎的，這樣同樣可以提高評價的成本效益和效率。

（五）講究評價方法 《企業內部控制評價指引》規定，內部控制評價工作組應當綜合運用個別訪談、調查問卷、專題討論、穿行測試、實地查驗、抽樣和比較分析等方法，充分收集被評價單位內部控制設計和運行是否有效的證據。由此可見，企業的內部控制評價活動也越來越重視定量分析的評價方法。

定性評價方法主要是對上市公司內部控制制度的合法性、有效性、可操作性和經濟合理性進行評價。定量評價方法需要建立定量評價標準，通過內部控制制度評價的數學分析模型來評價上市公司內部控制制度的健全性和有效性。由于定性評價易受評價人員主觀判斷的影響，往往缺乏客觀性，定量評價則以其科學、精確、可比的特點為上市公司內部控制制度的實施效果做出較為恰當的評價。因此，上市公司內部控制的內外部評價應采用定性評價和定量評價相結合的方式，著重考慮擴大定量分析評價的范圍。

［1］陳漢文、張宜霞：《企業內部控制的有效性及其評價方法》，《審計研究》2008年第3期。

（編輯 向玉章）