企業內部控制評價系統研究綜述

李志學++王曉天

摘要：近年來，由于企業內部控制缺失或無效導致企業財務丑聞或失敗案例不斷出現，對內部控制的有效性進行評價越來越成為管理學界和企業界關注和探討的熱點問題。從界定內部控制及內部控制評價的概念入手，從內部控制評價標準、評價指標體系、評價方法等四方面對內部控制評價系統的國內外文獻進行梳理和回顧，并進行了述評及研究展望。

關鍵詞：內部控制 評價系統

內部控制理論整合到風險管理框架中被公認為是其理論發展的最高成就。然而，一批執行由美國COSO發布的《內部控制整合框架》和《企業風險管理整合框架》的知名公司卻在金融危機中紛紛破產或被收購，再次向世人表明，即使被外部審計鑒證為擁有“健全內部控制”的大公司，其內部控制運行的有效性并不一定能得到保證。究其原因：一是內部控制評價標準模型缺乏可操作性，不能有效指導企業內部控制實踐；二是公司治理存在缺陷，內部控制形同虛設。因此，公司內部控制運行質量引發管理學界和企業界展開新一輪的內部控制評價研究，構建一個科學的企業內部控制評價系統是當前面臨的非常重要與緊急的任務。

一、相關概念辨析

內部控制起源于管理和審計的需要，保證資產安全、防范會計信息失真以及確定審計范圍是內部控制發展的主要動力和源泉。美國《內部控制整合框架》指出內部控制是一個過程，“內部控制廣義上可定義為一個受企業董事會、經理層和其他人員影響的，為達到經營的效果和效率、財務報告的可靠性、法律法規的遵循性等目標提供合理保證的程序”。目前這個定義受到世界各國和各類組織的廣泛認可。

內部控制評價是一個測試、評價、反饋、完善企業內部控制制度及體系的過程。內部控制評價系統包括評價主體、評價客體、評價目標、評價指標、評價標準、評價方法和評價報告。美國的內部控制評價研究一直走在世界前列，這一概念最早是由美國公證執業會計協會提出的，1929年該協會發布的《財務報表》一文中正式指出：“要對內部控制的有效性做出評價而抽查的范圍將取決于檢查內部控制系統的結果。”

1.美國公眾公司會計監督委員會認為：內部控制評價是一個進行風險評估的過程，這個過程被企業當局和外部審計師所利用，以便評價企業會計信息系統的優劣。

2.我國最早的研究者認為內部控制評價是指由企業內部審計和外部監管部門對企業內部控制系統全面進行的審查測試與分析評價。其后的研究者認為內部控制評價是審計人員通過對被審計單位內部控制系統的審查、測試、評價，判斷其可信程度，從而對內部控制系統做出鑒證意見的一種審計方法。

3.2010年財政部等五部委發布的《企業內部控制評價指引》指出：“內部控制評價是指企業董事會或類似的權力機構對內部控制有效性進行全面評價、形成評價結論、出具評價報告的過程”。可見，我國認為內部控制評價是一個對企業內部控制目標實現與否、內部控制設計和執行有效與否進行合理評價的過程。

由此，我國明確規定了評價主體（企業董事會或類似權力機構）、評價客體（內部控制的有效性）、評價目標（促進企業設計與運行有效的內部控制）和評價報告（報告的種類、格式和內容）。因此，內部控制的評價標準、指標及方法三部分應作為構建內部控制評價系統的重要內容。

二、內部控制評價標準研究

對財務報告內部控制（ICFR）的評價，是美國內部控制評價法律規定的主要內容。SOX法案404條款（2002）要求上市公司管理層應基于適當、公認的評價框架對ICFR進行評價，并在年末公告兩方面內容：其一是企業需要提交一份有關ICFR的評估報告；其二是管理層出具對這個報告負責的結論。PCAOB（美國公眾公司會計監督委員會）公布了AS-2（審計準則第二號）（2004）：外部審計師對上市公司的財務報告及報告期間的內部控制同時審計；AS-5（2007）指明評估所用框架，即以COSO的內部控制整合框架為評價標準，并在美國得到普遍運用。

雖然美國提出了適當、公認的評價框架，但William J.Carney（2006）調查顯示，以COSO框架為標準的SOX條款執行成本遠超過2002年SEC的預計。Parveen P.Gupta（2007）經過調研發現1992年COSO框架沒有提供公司管理層評價和報告內部控制急需的實施指南，只有24%的被調查者認為他們有能力應用該框架評價公司的財務報告內部控制。

王會杰（2001）把內部控制評價標準分為一般標準和具體標準，兩者是基礎和升華的關系。郭華平（2002）將其分為綜合標準、基本標準和具體標準三個方面。原東平（2008）結合我國實際情況，認為評價標準包括一般與具體兩個層次，其中，一般標準分為完整性、合理性和有效性標準，具體標準包括要素層次與作業層次。

李金路（2005）認為內部控制評價的標準是指內部控制制度整體運行應實現的目標，并結合對內部控制因素的分析對內部控制評價標準作出系統闡述。李小燕等（2008）提出公司財務控制制度的健全性、符合性兩方面的定性評價標準，以及有效性的定量標準。邵繼來（2009）認為企業內控制度評價標準含有制度建設、執行以及保障三個層次。董美霞（2010）指出要綜合考慮風險和內部控制目標，對內部控制的所有基本要素確立評價標準。

張宜霞（2007）認為內部控制評價標準應滿足相關性、沒有偏見、一致性、可驗證性和充分完整等嚴格條件，并提出設計內部控制評價體系的總體思路。這一觀點在后來的《基本規范》和《評價指引》中得到了很好的體現。

我國《企業內部控制基本規范》雖然強制上市公司對內部控制評價情況進行報告，但并沒有詳細規定評價的具體內容、標準和方法；《企業內部控制評價指引》作為企業評價內部控制質量的原則性指導框架，不夠具體，內部控制評價工作流于形式。因此，國內很多學者（李斌，2009；池國華，2011等）都認可將美國COSO框架提出的企業內部控制三大目標與五大要素作為作為評價標準。

三、內部控制評價指標體系研究

為避免內部控制評價活動流于形式，需要設計出一種實用且操作性強的內部控制評價指標體系。Kenneth A.Smith（1972）研究了內部控制的評價結果與審計樣本量二者之間的關系，提出審計樣本的選擇對審計結果有正相關的聯系。Lindale Grieg（1984）設計了數學模型來分析評價內部控制系統，通過建立數學模型將內部控制系統進行量化。Schwartz（2006）基于成本效益原則，按內部控制五要素為小型公司設計了一種整合的、基于業務流程的評價模型，幫助其識別風險、加強控制。Danny（2007）指出，實施AS準則要識別高風險領域和相關實體層面的控制，應該在控制優先的基礎上評估風險：對關鍵和非關鍵控制進行再評價；評估單個的關鍵控制風險；根據AS準則對測試范圍進行再評估。

COSO報告在評價內部控制有效性時，一般把評價指標設計成一系列問題，重點從企業戰略目標同經營目標的協調、目標實現、風險控制、企業文化、員工能力、監督控制等方面設計問題，然后針對評價對象的實際情況，依據答案情況來評價內部控制的健全性和運行的有效性。

文勝澤（2007）從管理學和經濟學角度論述了構建內部控制評價指標體系的基礎理論，使得內部控制評價基礎理論不再局限于審計和公司治理領域，對內部控制評價性質做了更深入的詮釋。

朱榮恩（2004）引入美國財務報告內部控制評價體系，通過對中美兩國內部發展體系的比較，建立了基于COSO框架的內部控制評價體系。傅元略（2002）和唐予華等（2003）利用COSO報告關于內部控制構成要素的理論，建立了內部控制評價指標體系，并且構建了內部控制綜合評價模型（ZPM）。王素蓮（2005）以COSO報告中的要素為對象，結合SOX法案404條款內容，嘗試構建一套中國企業內部控制評價指標體系。蔡軍和韓慶蘭（2006）按照SOX法案404條款的要求，在COSO框架指導下，建立了五個內部控制體系步驟，以及如何對內部控制執行進行測試。

趙東方、張莉（2005）認為應構建防衛性、建設性和一般性三個層次的內部控制評價指標，采用內部審計評估和控制自我評估兩種評價方式。王海林（2008）認為在內部控制評價中引入內部控制等級概念，并構建內部控制評價體系，以實現對內部控制完整性和有效性等做出全面評估。張先治，戴文濤（2011）構建了企業、注冊會計師和監管部門三位一體的監管模式，結合我國內部控制評價的狀況來構建企業內部控制評價指標。

王煜宇和溫濤（2005）從內部控制環境、風險評估、內部會計控制、內部管理控制和監督控制五個方面構建了由35個指標組成的企業內部控制評價指標體系。韓傳模，汪士果（2009）提出運用三維結構剖析企業內部控制系統，建立遞階層次指標體系，識別了企業主要的業務流程和關鍵控制措施。廈門大學內部控制指數課題組（2010）針對我國內部控制評價指引提出了35個二級評價指標，同時對相關企業進行實證調查，得出模糊評價模型的應用性和實用性，也為我國企業開展內部控制評價提供參考。

四、內部控制評價方法研究

Hamlen（1980）將內部控制設計和評估看成一個優化過程，用優化模型來描述內部過程。Baileyetal（1983）提出TICOM-II模型，將內部控制行為轉化為計算機可接受的描述性語言，并自動與計算機內已有的審計標準進行比較，得出內部控制質量的高低。Nichols（1987）利用多元統計的兩組判別分析方法來建立內部控制評價的預測模型；Purivs（1989）和William（2008）分別采用實驗方法研究了問卷式、流程圖式以及文字敘述式等三種內部控制評價方法的效果，并對各自準確性做了比較。Emby（1994）描述了評價公司內部控制中具體測試方法和過程。

Leary（2004）提出了內部控制評價模型（ICE），并與來自五家公司的94位審計師運用其各自公司的評價方法進行比較，證明該模型與現有的評價方法一樣有效。Bierstaker，Janvrin&Lowe（2008）對會計公司的調查表明：審計人員偏好文字描述式，其次是問卷調查式。Chunyan Shao（2009）認為，根據內部財務控制的復雜性特點建立一種基于評價指數系統的模糊評價方法具有可操作性。Akresh（2010）認為，內部控制審計是審計財務報告的生成過程，而財務審計是審計內部控制過程的產出，這一過程分解為固有風險、控制設計和執行風險、控制運行效果風險。

林朝華，唐予華（2003）介紹了國際流行的內部控制評審最新理念——CSA，認為該方法為實現企業的目標提供了一定程度的合理保證。何恩良（2003）認為，內部控制評價定性評價受評價人員的主觀影響，其主要評價內部控制制度的合法性、有效性、可操作性、經濟性、先進性；定量評價更具有科學性，應首先建立定量評價標準，然后通過模型評價其健全性和有效性。王立勇（2004）運用可靠性理論及數學統計方法來構建內部控制系統評價定量分析的數學模型，根據企業的業務流程設計內部控制系統可靠的框架圖。朱衛東等（2005）基于COSO報告框架構建了內部控制評價指標體系，并將BP神經網絡技術應用于企業內部控制評價中。

陳漢文、張宜霞（2008）認為政府監管部門應當規范風險基礎的評價方法，引導企業管理層和注冊會計師應當實施風險基礎的方法來評價和審計內部控制。

韓傳模等（2009）利用模糊評價法和AHP，評價部分及整體控制的有效性，并且從定性局部的評價改變為定量綜合的評價。文勝澤（2009）利用風險管理方法，建立了評價指標體系以及模糊綜合評價模型。敖世友（2009）借鑒管理熵相關理論，計算公司內部控制制度的管理熵值，探討如何評價內部控制有效程度。王海林（2009）借助過程控制手段構造IC-CMM模型，完成了對內部控制制度的運行過程與運行結果的雙重綜合評價。楊潔（2011）建立評價因素集、評價等級集和評價權重集，對評價指標進行量化打分，利用PDCA循環原理分析評價結論。應益華等（2011）將6σ五個步驟與內部控制評價活動有機結合，來發掘企業內部控制中的不足及原因，達到降低風險的目的。唐立新等（2012）通過調查企業內部控制水平資料，并和評價標準對比分析，利用百分制評價法，得出企業內部控制質量的評價結果。

五、研究述評及未來展望

內部控制評價無論對管理學界還是對企業界，都是一個相當重要的課題。通過對上述中外研究成果的文獻回顧和綜述，目前還存在著以下問題：

第一，內部控制評價標準：美國的COSO Framework執行成本較高，導致其不斷受到質疑。《企業內部控制評價指引》在一定程度上解決了我國缺乏可供企業參考的評價標準的問題，但具體實施效果如何有待于學者們收集更多的實證數據進行檢驗，從而形成符合我國實際國情的動態評價標準體系。

第二，內部控制評價指標：以內部控制五要素為基礎的指標體系得到許多學者的認同，但二級或三級指標內容有待于統一；以內部控制目標為基礎的指標體系的構建，需要兼顧內部控制各要素；定性與定量綜合的指標體系，往往權重難于合理分配，且定量指標的選取有待于統一。如何建立起一套科學合理的評價指標體系是一個有益的嘗試與探索，可作為以后繼續研究的方向。

第三，內部控制評價方法：國外學者多主張建立各種模型以增強評價的客觀科學性，但內部控制評價模型由于操作成本過高等原因，導致評價方法的運用推廣受到限制；國內學者傾向于模糊評價法和層次分析法（AHP）兩種方法的綜合運用，但存在受評價者的主觀性影響，且對各指標一致性有嚴格要求等問題。因此，急需探索出一種可操作性強且能一定程度上保證客觀評價的方法。

第四，關于內部控制評價體系方面：目前共存在四種類型的內部控制評價體系，分別是以財務報表審計為目的；以內部控制審計為目的；以完善內部控制為目的；以信息披露為目的，這四種評價的客體相同，可以共享不少方法和信息，但如何能對這四種內部控制評價進行有效整合以降低評價成本非常值得研究。

參考文獻：

[1]張宜霞.企業內部控制論[M].大連：東北財經大學出版社，2008.

[2]鄭卓如，鄭石橋.內部控制評估：文獻綜述和未來研究方向[J].會計之友，2013（3）.

[3]陳俊，王曙光.企業內部控制體系的建設——基于對COSO和COCO內部控制體系的整合型探析[J].審計與經濟研究，2008（3）.

[4]張黎焱.上市公司內部控制評價研究[D].財政部財政科學研究所，2010.

[5]王雙，趙毅.內部控制評價系統研究述評——評價標準、指標、方法[J].會計之友，2013（23）.

[6]董美霞.全面內部控制評價體系述評——兼議《企業內部控制基本規范》及相關征求意見稿[J].財會通訊，2008（12）.

[7]池國華.中國上市公司內部控制指數的功能定位與系統構建[J].管理世界，2011（6）.

[8]邵繼來.淺析企業內部控制評價標準[J].中國內部審計，2009（11）.

[9]董美霞.我國企業內部控制評價研究[D].東北財經大學，2009.

[10]張先治，戴文濤.中國企業內部控制評價系統研究[J].審計研究，2011（1）.

[11]張兆國，張旺峰，楊清香.目標導向下的內部控制評價體系構建及實證檢驗[J].南開管理評論，2011（14）.

（作者單位：西安石油大學經濟管理學院）