基于成熟度模型的內部控制系統應用研究

曾靜

摘 要：本文基于內部控制是一個管理過程的觀點，內部控制系統就可以通過一定途徑進行完善。本文將以內部控制理論為主，結合COSO報告、內部控制系統變革，探索提升內部控制系統水平應該完成的關鍵域的關鍵活動點，根據內部控制系統的構成結構，建立內部控制系統成熟度模型，探索內部控制系統成熟度提升路徑。本文將用于軟件管理的成熟度模型引入內部控制的管理中，為企業改進內部控制系統質量提供一份引導圖，使企業的內部控制系統逐漸走向完善。

關鍵詞：成熟度模型；COSO報告；內部控制系統質量提升

一、內部控制系統引入成熟度模型的可行性

COSO報告認為，在本質上內部控制就是一個過程，是為了完成經營目標，使財務報告真實反映企業的經濟業務、并能遵循相關會計法律法規等，由企業管理層、治理層以及其他管理人員設計并實施的，合理保證這些目標完成的過程。而能力成熟度模型最早是一種軟件承包能力的評價工具，并且也可以用于改善軟件質量。能力成熟度模型的中心思想是通過測試、評價軟件開發的過程，通過識別軟件的成熟度，從而間接保證軟件的質量。這就從上述內容可以看出，內部控制系統和軟件能力有很多共同之處，軟件的過程的改善和內部控制系統質量的提高都不可能一夜之間就能完成，都可以通過一些小的改變，來逐步提高其質量。成熟度模型就是以增量方式逐步引入變化的。成熟度模型明確定義了不同的“成熟度”等級，企業可按一系列小的改良性步驟向更高的成熟度等級前進。鑒于內部控制系統與軟件開發管理存在諸多的共同特征，將軟件過程能力成熟度模型引入內部控制系統成熟度模型是可行的。

二、構建內部控制系統成熟度模型

首先將內部控制系統定義若干個成熟度級別、以及關鍵流程、二級關鍵流程以及關鍵活動，然后每個關鍵流程和關鍵活動可以根據企業當前的發展戰略和管理重點而被賦予一定的分值和權重系數，最后提出對于各項關鍵活動的具體過程評價標準。

（一）內部控制系統成熟度模型的五個等級

內部控制系統成熟度模型按照成熟度由低到高，劃分為五個等級，這五個等級從低到高也是內部控制系統質量提升和完善的路徑。

級別 1——混亂級，此時的內部控制能系統是不可依賴的。企業的內部控制管理是混亂無序的，在此過程中形成的文件沒有系統的歸檔，活動的實施隨意調整和變更，這種不健全、不適當的內部控制系統的執行效果非常差。活動是否成功主要依賴個別人的能力和行為，經常不能按計劃完成活動，這是一個非常不穩定的內部控制系統。

級別 2——簡單級，此時的內部控制系統是非正式的。企業在這一階段已經開始意識到內部控制的重要性，開始著手建立內部控制系統，這時候的內部控制系統基本有效，已經簡單的界定一些內部控制關鍵域的關鍵活動點，開始嘗試用內部控制管理方法來支持和監督企業的日常運營。企業的日常經營活動已經不完全依賴核心領導的個人的能力和行為，已經制定了簡單的內部控制制度，企業的管理過程開始逐漸標準化，管理過程中形成的文件開始歸檔。這一階段內部控制系統基本健全、適當。

級別 3——規范級，這一階段已經具有了標準的內部控制系統。企業具有更為成熟和有效的內部控制系統，內部控制各個關鍵域的關鍵活動已經完全得到界定，形成了完善的內部控制制度，組織內成員能夠很好的了解并遵循這些管理制度。在這個層級已經形成固化的管理模式，此時的內部控制系統能夠支持企業的全面管理。

級別 4——精益級，這一階段的內部控制系統已經實現了量化管理，各個關鍵域的關鍵活動，能夠量化的已經量化，企業最大可能性的量化管理，對企業經營管理的各個環節如成本控制、風險評估與應對、經營計劃的進度、績效考核等都形成了完善的量化指標體系。企業利用這些指標監督、評價企業的內部控制管理過程，并對過程中出現的問題采取相應的應對措施。

級別 5——優化級，這一階段內部控制系統達到了最高級。這一階段的企業除了已經建立了完善的量化指標體系，還建立了對各個關鍵域關鍵活動點的優化和改進的方法，使每個關鍵域和關鍵活動都有改進路徑，這樣企業的內部控制系統就可以不斷改進、不斷優化，內部控制系統處于不斷完善的過程中，增強企業對內外部變化和機會的反應能力，增強企業的競爭力。該級別的內部控制系統設計恰當，執行非常有效。

（二）建立內部控制系統成熟度評價指標

將COSO報告定義的內部控制五要素界定為內部控制系統的一級指標，即內部環境（M1 ）、風險評估（M2）、控制活動（M3）、信息與溝通（M4）、內部監督（M5）。再將這五個一級指標細分為21個二級指標，如下表：

根據每個企業的經營目標已經經營戰略，每個關鍵域的權重比值不同，每個關鍵域的關鍵活動的權重比值也不同，識別一個企業的成熟度，首先要給各個關鍵域以及各個關鍵活動賦予權重分值，根據企業的實際情況，給企業的內部控制系統打分，根據下表的分數所屬的成熟度等級，確定本企業內部控制系統的成熟度，使企業明白自己的內部控制系統的實施現狀。

三、總結

本文試圖通過引入成熟度模型，幫助企業認識到內部控制系統的實施現狀，識別出其內部控制系統各個關鍵域中的不足之處，解決企業想提升內部控制系統質量水平而毫無頭緒的煩惱。讓企業根據自身發展的水平選擇適合本企業的成熟度，并找到達到目標成熟度所需要完成的關鍵活動。因為內部控制系統的完善不是短時間就可以完成的，企業可以通過一系列小的改進，逐步提高和完善內部控制系統。（作者單位：南京審計大學）

參考文獻：

[1] 陳力生. 基于成熟度模型的內部控制評價系統構建[J]. 中國管理信息化，2009，02：51-54.

[2] 池國華. 基于管理視角的企業內部控制評價系統模式[J]. 會計研究，2010，10：55-61+96.

[3] 周守華，胡為民，林斌，劉春麗. 2012年中國上市公司內部控制研究[J]. 會計研究，2013，07：3-12+96.

[4] 王海林. 內部控制能力評價的IC-CMM模型研究[J]. 會計研究，2009，10：53-59+95.

[5] 樊行健，肖光紅. 關于企業內部控制本質與概念的理論反思[J]. 會計研究，2014，02：4-11+94.