現代內部審計功能拓展與內部控制評價

　　【摘要】 內部審計與內部控制評價作為公司內部控制系統監督要素發揮作用的兩種實施方式，是推動公司內部控制體系建設與完善、提升公司治理水平的重要機制。現代內部審計的再確認與咨詢功能奠定了內部審計主導與執行內部控制評價的客觀基礎。內部審計通過驅動管理人員與員工開展公司內部控制評價與自我評價，進而實現推進公司內控建設的管理目標。內部審計主導內部控制評價地位的確立賦予其定期提出內部控制評價報告、接受注冊會計師審計的具體職責。
　　【關鍵詞】 內部控制評價； 內部審計； 內部控制體系
　　
　　一、引言
　　
　　公司內部控制體系是確定所有權與經營權之間受托經濟責任履行情況的重要載體。現代經營環境中，任何公司不論其具體經營業務是什么，構建完善的內部控制系統都是衡量經營者受托責任履行情況的重要方面。內部控制系統是連接公司治理層、管理層與運營層的重要通道，如圖1。公司治理層、管理層與運營層在內部控制系統中分別具有監督、建立與完善、運行內部控制系統的職責。
　　由于內部控制系統對保護所有權（投資者）投資積極性乃至資本市場運行的重要意義，上證所和深交所分別于2006年6月及9月公布了《上市公司內部控制指引》，明確了公司內部控制在公司治理中的地位，同時提出有條件的上市公司披露內部控制自我評價報告的要求。2008年12月財政部、審計署、證監會等五部委又聯合發布《企業內部控制基本規范》，要求從2009年7月1日起，所有上市公司披露年報的同時要披露公司內部控制自我評價報告，該報告與年報一樣需經事務所審計。雖然由于企業的實際狀況，證監會將上市公司披露該報告的時間推遲，但五部委的這一規范，普遍被認為是中國版的薩班斯—奧克斯利法案。2010年4月財政部等五部委陸續頒發了實施內部控制的3個配套指引①，旨在明確指導我國內部控制具體建設。《指引》的推出與2008年《企業內部控制基本規范》的發布，標志著適應我國企業實際情況、融合國際先進經驗的中國企業內部控制規范體系基本建成。這是我國首次以部門規章形式規范了上市公司的內部控制體系及其建設，它們既是企業建設內部控制的行為依據，又為企業提供了技術指引，作為行政規范與COSO報告的集成，必將深刻影響到中國內部審計的未來發展。
　　內部控制評價作為內部控制體系建設的重要環節，其有效開展將會大力推動上市公司內部控制體系建設。根據《2009年內部審計熱點問題調查報告》，84%的受訪者認為金融危機使得企業領導提高了對風險管理與內部控制的重視程度；60%的受訪者認為內部審計是公司風險管理與內部控制的重要環節。不僅如此，我們認為拓展內部審計功能基礎上，由內部審計引導（驅動）下的內部控制評價將成為提升公司傳統內部控制自我評價促動企業內部控制建設的一種管理發展模式。
　　
　　二、內部控制評價的歷史演變
　　
　　內部控制評價的發展與審計模式的變遷密切相關。審計模式經歷了從賬項基礎審計到制度導向審計及至風險導向審計模式的發展階段。從賬項審計后期，審計人員就開始注意到內部控制對信息質量的影響。
　　（一）內部控制評價的初級發展階段：基于注冊會計師視角
　　進入審計模式發展的第二階段——制度導向審計模式階段，內部控制的測評已經提升為審計業務活動非常重要的環節之一。在財務報表審計中，以下兩種情況強制要求對內部控制進行測試：在評估認定層次重大錯報風險時，預期控制的運行是有效的（即在確定實質性程序的性質、時間安排和范圍時，注冊會計師擬信賴控制運行的有效性）；或者僅實施實質性程序并不能夠提供認定層次充分、適當的審計證據。可見，注冊會計師對內部控制的了解和測試不足以對內部控制發表意見，難以滿足信息使用者的需求。囿于社會發展進程的階段性特征，不同歷史階段形成了對內部控制的不同認識②，無論測評內容如何變化，內部控制評審作為確定實質性程序中審計范圍與重點、評估業務風險、提高審計效率的重要作用已得到普遍認可。
　　
　　2002年為了規范注冊會計師執行內部控制審核業務，保證執業質量，中注協頒發了《內部控制審核指導意見》；2006年《中國注冊會計師其他鑒證業務準則第3101號——歷史財務信息審計或審閱以外的鑒證業務》等規范進一步將對內部控制的審核從審計業務中獨立出來，規定公司應當單獨對內部控制進行單獨鑒證。
　　從注冊會計師角度看，審計執業活動中對被審計單位內部控制的關注度在不斷加深。內部控制從審計的有機組成部分到單獨接受審核以至發布獨立的內部控制鑒證報告，實質上是一個不斷接受外部全面與深度評價的發展過程。
　　（二）內部控制評價的初級發展階段：基于公司內部的自我評價
　　從公司內部看，對內部控制的自我評價于1987年由加拿大海灣公司首次提出。當時主要用于解決資源計量問題和評價公司軟環境。20世紀90年代在早期倡導者的提議下，主要進行談判和協議方面的控制。1995年之后得到更多公司的接受，公司普遍將控制自我評估（CSA）視為價值增值工具。2000年CSA被創造性地應用于審計業務進行審計再造，由此推動內部審計職能重點轉向評價咨詢（楊淑娥，2006）。
　　內部控制自我評價是一種在西方發達國家廣泛使用的內部審計技術和工具（陳峰青，2006），它是由管理層或業務人員直接參與的考察和評價內部控制效果的過程（孫蔓莉，2007；陳峰青，2006）。也有學者認為內部控制自我評價是對傳統的內部審計形式的一種補充和發展，是廣義的內部審計理論中的一種技術方法（韓曉梅，2008）。我國《內部審計具體準則第21號——內部審計的控制自我評估法》（2006）中也將內部控制自我評價界定為內部審計人員為了提高審計效率、促進內部控制審計目的的實現而協助公司內部控制審查和評價的一種工作方法。
　　由此可見，20世紀90年代以來公司內部控制自我評價作為內部審計的一項技術手段或工作方法一直運用至今。只是2010年內部控制配套指引第一次明確提出被審計單位要單獨披露內部控制評價報告，并接受事務所審計。并將公司內部控制評價活動規范化、透明化。
　　所以，從發展的角度看，公司內外部力量通過不同的評價形式都對其內部控制的建設起到了推動作用，奠定了公司內部控制評價活動充分披露并能接受審計的基礎。
　　
　　三、內部控制評價主體分析
　　
　　根據配套指引的規定，內部控制評價的對象是確定的，即公司內部控制系統設計與運行的有效性。具體內容涵蓋內部控制系統五要素。內部控制評價的主體規定為公司董事會或類似權力機構，但目前已有研究觀點各異——有的是管理層或業務人員主導評價，也有的是內部審計人員主導評價，還可能是雙主體或多主體共同主導評價。這些研究結論與指引的規定明顯不一，如何合理地界定評價主體將在很大程度上影響評價活動實效，因此需要從理論上分析確定內部控制評價的實施主體。
　　安達信公司研究人員發布的研究報告曾指出CSA執行中存在五大缺陷，其中引導人員失當、缺乏管理人員支持、限定其實施范圍等是自我評價失控的主要影響因素。所以選擇合適的引導人員成為實施CSA成功的關鍵因素。
　　（一）內部控制評價執行主體的不同觀點
　　對于誰來引導內部控制自我評價，目前有三種不同看法，有些參與者認為CSA只能由經營管理當局或其領導的工作小組來有效執行（林朝華、唐予華，2003）。還有一些參與者認為，CSA應該包含內部審計，視內部審計為CSA的恰當驅動者（林朝華、唐予華，2003）；第三種觀點認為，內部審計應當持續監控并參與CSA，使內外部審計和CSA在內控評價方面形成合力（劉素珍，2008；陳吉東，2007）；或使企業員工、內部審計人員和管理人員共同承擔對內部控制評價的責任（陳新寧，2008）。還有將內部控制評價主體系統化，提出應由公司內部審計、管理者與員工、公司內部監事會、審計委員會、社會中介組織與政府監管部門共同完成CSA（陳力生，2008）。
　　
　　筆者認為界定合理的執行主體首先應該考慮主體的功能定位，即執行主體本身能做什么、不能做什么，符合其內在規律的業務設定將促進執行業務的有效開展，否則只能適得其反。通過對上述觀點的單一主體、雙主體或多主體的討論發現：
　　1.CSA只能由經營管理當局或其領導的工作小組來有效執行的觀點，違背了管理監控原則中強調的外部監督有效性原則。賦予管理者與員工業務操作職權的同時，暗含著要求其進行自我監督履行職責，但效果如何，顯然需要另外主體確認。
　　2.內部審計應當持續監控并參與CSA，意味著內部審計在控制自我評價中充當局外人角色，完全履行再確認監督職責。這樣的定位：第一，易于把內部審計與自我評價部門人員對立起來，產生抵觸情趣，收不到推進完善內部控制的設定作用；第二，內部審計是否有能力與精力、是否考慮審計成本問題？
　　3.另外有人提出CSA不應該排除內部審計，而應當將內部審計視為CSA的恰當驅動者的觀點是否合理呢？根據評價指引的規定，內部控制評價是由董事會或類似權力機構執行……筆者的分析是董事會作為公司的治理決策機構，公司法規定其職權包括：如履行評價職能，只能附其責于審計委員會，由審計委員會組建內部控制評價工作組或直接授權于內部審計部門執行內部控制評價。從實施主體角度分析，筆者認為內部控制評價大體分為三個層次：第一層次由內部審計部門與人員引導（驅動）、不同部門管理人員與員工參與對本部門的控制要素進行全方位評價基礎上，內部審計進行再確認與咨詢，提交內部控制自我評價報告；第二層次由公司監事會或審計委員會對公司內部控制自我評價進行定期或不定期的監督；第三層次由會計師事務所及注冊會計師鑒證或審計內部審計部門出具的公司內部控制評價報告，向社會公眾披露評價報告意見。
　　
　　四、現代內部審計功能拓展分析
　　
　　前文已經指出內部控制自我評價是企業內部控制體系建設的重要環節，而由內部審計人員引導（驅動）的內部控制自我評價既是現代內部審計功能發揮作用的內在體現，又滿足了公司提供內部控制自我評價報告的制度要求，可以看出現代內部審計已經實現了與內部控制自我評價的機制性耦合。
　　（一）現代內部審計功能拓展：再確認與咨詢
　　內部審計功能是指內部審計在特定條件下功用、效能和作用的總稱。內部審計發展初期，其職能主要是經濟監督。隨著審計范圍的擴展，內部審計開始關注企業的整體業務活動，經濟評價職能逐漸成為其主要職能。現代管理科學的發展、內部控制理論的發展、特別是21世紀風險管理理論的發展與成熟，促使內部審計關注的層面提高到企業整體的角度，檢驗和審查企業的各項治理、管理活動是否有效，防范企業風險，提高企業效益，增加企業價值成為新世紀內部審計發展方向。這時的內部審計能為治理層、高層經營管理者、甚至具體業務的執行者提供其內部控制與經營風險控制的再確認信息及建議，現代內部審計功能拓展，體現出一種內向增值型的服務意識。
　　
　　1999年6月國際內部審計師協會理事會通過了內部審計新定義，指出內部審計是一種獨立、客觀的確認和咨詢活動，旨在為增加價值和改善組織的運營。它通過應用系統的、規范的方法，評價并改進風險管理、控制和治理過程的效果，幫助組織實現其目標。《中國內部審計2006——2010年工作規劃》也指出“推進內部審計工作的全面轉型與發展，內部審計要轉向以內部控制和風險評估為導向”。經過調研與分析，筆者認為現代內部審計的服務職能主要是再確認與咨詢。
　　1.現代內部審計的再確認職能
　　現代內部審計的再確認職能是由傳統的評價職能發展而來的，它關注的是對企業的風險管理、內部控制及公司治理有效性等方面的再確認。對企業的風險管理、內部控制及公司治理有效性等方面的確認是各項治理、管理職能發揮作用的內在步驟，蘊含在治理與管理運行實踐活動中，是治理與管理主體的業務職責。內部審計作為一種監督控制工具，其職能是引導管理控制與實施主體對其內部控制及蘊含風險的再確認。
　　內部審計首先再確認企業整體目標或某個項目所要達到的目標是否合適，然后具體分析在目標實現過程中產生影響的風險因素，并再確認防范和化解風險的控制措施，最后來測試這些控制措施是否有效，對高風險領域給予特別關注，并將再確認信息提供給治理層和管理者，以便他們進行必要的戰略調整，從而幫助企業提高經營效率和實現目標。而風險再確認過程就是對風險所在領域內部控制有效性的再確認。國際內部審計師協會（IIA）在其發布的《內部審計實務框架標準》“工作標準2130——治理”中論述了內部審計在治理方面的工作性質，指出內部審計活動應該確認組織的治理效果，為組織的治理作出貢獻。
　　現代內部審計再確認職能的界定，為內部審計引導控制自我評價奠定了基礎。
　　2.現代內部審計的咨詢服務職能
　　現代內部審計的另一個突出特征就是服務內向性，這種服務內向性是與其咨詢職能密切相關的。內部審計提供的咨詢服務是由再確認職能拓展而來。內部審計人員在再確認工作過程中能獲取許多有價值的資料和信息，經過加工提煉和綜合分析，便可以向審計對象或信息需求者提供咨詢服務，增加現代內部審計的現實價值。在引導內部控制自我評估活動中，內部審計應當對內部控制體系和過程進行全面的再確認和咨詢，借助對內部控制進行有效測試、遵循性確認、協助管理層完善內控體系設計、推動組織開展控制自我評價（魏欣，2008），為組織增加較大價值。
　　（二）現代內部審計的拓展職能與內部控制評價關系
　　內部審計從其評價職能的確立拓展到再確認與咨詢職能，一直與內部控制建設緊密相關。內部控制評價作為控制系統建設的重要環節，在推動公司內部控制建立、運行及控制風險發揮效能方面作用巨大。內部審計作為內部控制要素之一，本身就是內部控制系統的重要環節。而其發揮監督職能時借助控制評價這種工作方法，實現了與控制自我評估的完全融合。所以內部審計開展內部控制評價具有客觀合理性。
　　現代內部審計具有再確認與咨詢職能。再確認意味著內部審計通過對內部控制各環節的檢查評價再確認不同控制環節的有效性。針對控制再確認的薄弱環節，提出完善建議。內部控制評價是員工與管理者對自身業務環節的內部控制進行檢查，確認控制環節的有效性。根據有效監督管理理論，內在自身監督至少需要與外部監督協同運作才可能發揮積極有效的監督作用。由于內部審計相對于業務運行環節的獨立性，其引導控制評價比員工自我評價更加恰當與有效。
　　內部控制評價在我國一些大型企業已經得到廣泛實施。其中寶鋼國際、伊利、臺灣等公司的運用實踐說明了內部審計主導內部控制評價具有現實意義。寶鋼國際在實施CSA之后提出“內部控制評估在國內大型企業，特別是跨行業的集團公司有著廣闊的發展空間。內部控制自我評估作為一種管理工具，在內部審計人員的引導下，在公司有關管理人員的參與下，能有效地對公司的內部控制進行整改和完善，促進公司管理水平質的飛躍。”（張諫忠、吳軼倫，2005）從我國企業實踐來看，有的公司內部審計參與控制評價，有的公司內部審計引導控制自我評價，但不論哪種方式，內部審計都已經與內部控制評價有機結合在一起，共同發揮著加強公司內部控制建設的積極作用。
　　
　　五、結論與建議
　　
　　內部控制評價是公司內部控制系統建設的重要保證環節。它的有效開展將促進上市公司內部控制體系的建設與完善，從而對公司治理帶來積極影響。同時內部審計在IIA的質量保證檢查手冊中被定位為一種公司治理的內部保證程序，“通過它，組織可獲得關于動態變化環境中的風險暴露已得到恰當管理的再確認的過程”。這意味著，內部審計不是僅僅通過再確認提供保證；不能提供保證的地方，內審人員致力于咨詢改進（韓曉梅，2004）。當內部審計作為執行者實施內部控制評價時，內部審計人員對公司內部控制系統的再確認與咨詢功能就得到最佳發展。因此內部審計就是通過執行內部控制評價，再確認公司內部控制機制（包括風險管理機制）的恰當性并提出咨詢建議的那部分公司治理程序。由于現代內部審計的重要作用，筆者提出：
　　
　　（一）修訂內部審計準則，完善內部控制建設規范體系
　　我國《內部審計具體準則第21號——內部審計的控制自我評估法》（2006）中將內部控制自我評價界定為“內部審計人員為了提高審計效率、促進內部控制審計目的的實現而協助公司內部控制審查和評價的一種工作方法”。這樣的概念界定顯然與內部審計驅動內部控制自我評價模式不適應。筆者主張在建立與完善內部控制體系過程中，修訂內部審計準則，將內部審計協助公司內部控制審查與評價修改為“由內部審計引導內部控制自我評價“，明確控制自我評價的實施主體是內部審計部門，排除實施過程中盲目確定主體引發的控制自我評價風險。
　　同時對內部審計開展內部控制自我評價中的功能定位、協作形式與工作方法作出準則性規范，指導公司這項法定業務的規范開展。最終形成由《內部控制基本規范》、《內部控制應用指引》、《內部控制評價指引》、《內部控制審計指引》、《內部審計準則》以及公司內部控制評價辦法等規章制度組成的內部控制建設標準體系，推動公司內部控制法規體系與實施體系的建設。
　　（二）拓展內部審計職能，合理定位內部審計
　　根據國際內部審計師協會理事會通過的“內部審計是一種獨立、客觀的確認和咨詢活動，旨在為增加價值和改善組織的運營。它通過應用系統的、規范的方法，評價并改進風險管理、控制和治理過程的效果，幫助組織實現其目標”，定義揭示了現代內部審計具有再確認與咨詢職能，這兩項職能的清晰界定將直接引發內部審計在公司組織機構中的地位變化。
　　內部審計履行對公司治理、管理活動中內部控制與風險管理的再確認與咨詢職能，意味著它已經超越管理層的局限，部門設置上至少要在董事會或監事會領導下開展內部審計業務。在此基礎上，根據管理監控原則，引導或驅動不同部門管理人員與員工進行內部控制評價，推動內部控制評價取得實效，促進財政部《企業內部控制基本規范》中提交內部控制自我評價報告條款及其他相關法規的有效執行。
　　
　　【參考文獻】
　　［1］ 王桂蓮.基于現代系統思考的企業內部控制創新研究［J］.會計之友，2009（3）.
　　［2］ 張龍平，李璐.探析內部控制審計的執行主體資格和范圍［J］.中國審計，2009（1）.
　　［3］ 李巖.內部控制評價面臨的問題與對策［J］.中國審計，2009（1）.
　　［4］ 孫蔓莉，楊明.控制自我評估［J］.企業管理，2007（5）.
　　［5］ 陳峰青.內部控制自我評估——CSA的應用及思考［J］.商業會計，2006（8）.
　　［6］ 楊淑娥，戴耀華，樊明武.CSA：一個內部控制發展的前沿［J］.當代財經，2006（3）.
　　［7］ 張諫忠，吳軼倫.內部控制自我評估在寶鋼的運用［J］.會計研究，2005（2）.
　　［8］ 楊有紅.試論公司治理與內部控制的對接［J］.會計研究，2004（10）.
　　［9］ 韓曉梅.公司治理、內部審計與控制自我評估［J］.現代管理科學，2004（5）.
　　［10］ 劉益平.內部控制與現代審計的關系［J］.審計與經濟研究，2004（3）.
　　［11］ 朱榮恩.內部控制框架的新發展［J］.審計研究，2003（6）.
　　［12］ 林朝華，唐予華.CSA：內部控制系統評價的新觀念與新方法［J］.上海會計，2003（1）.
　　［13］ 曹偉，桂友泉.內部審計與內部控制［J］.審計研究，2002（1）.
　　［14］ 劉明輝，張宜霞.企業內部控制探討［J］.中國注冊會計師，2001（4）.
　　［15］ 朱榮恩.建立和完善內部控制的思考［J］.會計研究，2001（1）.
　　［16］ Foh，Noreen.Control Self-Assessment:A New Approach to Auditing Ivey Business Jour