試析內部控制評價要素之間的有機協同

（南京廣播電視大學 南京城市職業學院 江蘇南京210002）

一、突破會計審計視野的束縛，構建全口徑評價口徑

立足于不同的視角，內部控制評價可劃分為單口徑、全口徑兩種不同的口徑。單口徑內控評價以防范舞弊為導向，以財務信息質量為驅動。全口徑內部控制則以戰略目標為導向，以價值創造為驅動。由于種種歷史或現實的原因，現實生活中，存在著人為縮小內部控制評價口徑的現象。一些企業將內部控制評價工作片面地理解為僅服務于財務報告審計的需要，將內控評價工作完全交與財務、內審、證券部門實施，甚至索性外包給社會會計審計機構全權代理。此現象嚴重背離了內部控制評價的實施初衷。

從本質上看，內部控制是組織為了實現自身目標所制定的保障系統，其核心內涵在于以戰略目標和戰略選擇為導向，構建滿足“會計審計、企業管理、外部監管”多維度需要的目標體系。內控評價作為測定企業內控制度是否為內控目標實現提供了合理保證的實施環節，其評價工作必然要求突破會計審計視野的束縛，擺脫以往評價標準及方法單一僵化的局限，從人員配備到評價口徑，緊密圍繞“會計信息質量、企業價值增值、政府監督”等三方面需要，構建全口徑評價口徑，從而充分發揮內控評價在發現內控存在問題與缺陷、控制風險提升效率、最終實現組織目標的功能。

二、正確認識三大評價口徑之間存在的矛盾或沖突

全口徑內部控制評價圍繞企業內控工作的開展是否滿足會計信息質量、提升經營管理水平、監管部門法律規范要求等方面而展開。會計信息質量口徑側重于依據審計標準對財產安全與財務報表的可靠性進行測定，經營目標口徑則主要對組織規劃及其經營決策程序進行評價，法律法規口徑則是敦促企業提升內控法律執行力。然而由于不同口徑的內控評價對其指標體系提出的要求不盡相同，涉及的的目標導向、業務事項存在著較大的差異，加之評價人員構成及其綜合素質的局限性，常常模糊人們對內控評價口徑及其目標的的認識，進而出現了由于目標定位不清晰而導致的評價效率偏低的問題。這就要求評價實施中，評價工作立足于公司面臨的內外環境、公司治理現狀等方面，統籌構建三大口徑相互協同的評價體系，及時化解評價實施過程中各口徑之間的沖突，從而確保內控評價的全口徑范疇。

三、構建以風險管理為主線的五要素評價內容

我國《內部控制評價配套指引》采用了要素評價法，該方法將內部控制的五要素作為評價內容框架，以企業經營管理活動相關環節為載體，旨在全面反映企業內部控制的實施狀況。筆者認為，內控評價的本質在于及時發現內控設計及其運行中存在的風險，測定企業應對風險的有效性，在此基礎上識別漏洞，對控制缺陷進行評估。因此，建議實施要素評估法進行內控評估中，將風險管理作為主線嵌入其中，構建風險管理為核心、資源約束為條件的五要素內部控制評價框架體系。

立足于“內部環境、風險評估、控制活動、信息與溝通、內部監督”五大方面，各評價要素實施中應重點把握如下問題：

（一）立足于公司治理及其軟控制對“內控環境”進行評估。內部控制伴隨著公司制產生而建立，其核心推動力來自于委托代理關系，所有者與管理者的委托代理關系由公司治理進行規范，而管理者與其以下各級層次的關系則由內部控制進行規范。由此，規范的公司治理結構，切合公司發展戰略的組織構建及其企業文化等方面，便成為內部控制健康運行的基礎保障。離開了這一根本保障，即使再完美的控制程序與方法也無法找到其賴以生存的土壤。基于控制環境在控制要素中的這一核心地位，控制環境評價工作組織中應重點圍繞以下兩大方面進行考察：其一，評價公司治理結構是否為內部控制作用的發揮提供了良好的前提保障。即任何權力的運用是否都掌握在董事會的有效約束和控制之下。因為以管理層為主體的內部控制，其本身并不具備防止自身舞弊的能力，只有完善的公司治理內部制衡機制，才能從根本上確保管理層實施的內部控制制度的有效性。其二，評價由管理層為主體實施的內部控制是否有效建立了控制與管理的融合對接。內部控制不僅是一種經濟手段，更具有較強的文化屬性，內控環境的評價不能局限于傳統審計視角的“經濟人”假設，而應立足于企業文化層面對其 “軟控制”環境進行評價，通過對其價值理念、崗位職責、激勵機制等方面的全方位評價，發現問題。

（二）建立從風險識別至防范應對的“風險評估”體系。世界經濟近二十年來發展的不確定性及其競爭日趨激烈，使得內部控制系統面臨的風險日益嚴峻。風險管理相對于資產記錄的安全性、管理活動的規范性、法律法規的遵守性而言，顯得尤為重要。隨著“企業風險管理框架”的出臺，內部控制與風險管理已逐漸融為一體，風險管理一定程度上已成為內部控制的代名詞。由此，立足于企業實際，建立風險識別機制，進行風險分析，提出風險應對舉措，成為內部控制風險管理的核心所在。風險評估中應重點抓住以下三大關鍵問題：其一，選定與風險容量相匹配的目標，對潛在事項的不確定進行識別，將事后控制拓展為事前控制與事中控制。其二，采取行動將風險控制在“容限”與“容量”以內，準確測定實際與目標之間的偏離程度，科學確立目標實現過程中自身能夠承受的風險大小，在此基礎上，提出相應的風險控制應對策略。

（三）圍繞重點環節與薄弱環節對“控制活動”進行評估。內控環境奠定了內控的基調，風險評估明確了目標設定及其風險辨識與防范的要求，控制活動則應通過對其控制程序與方法的評價，考察控制手段是否合理到位，是否掩蓋了本來可以識別并防范的風險。因此，必須充分認識控制程序與方法對于控制結果的決定性作用，促使控制活動要素真正擔當起核心樞紐的地位與作用。基于程序的復雜性，筆者建議關注“重點領域與薄弱環節”兩大方面：其一，對關鍵性的重點控制點進行評價。企業作為一個有機的循環整體，內部控制涉及諸多層面與環節，然而，不同層面與環節對內控實施效果具有不同程度的重要性，若不分主次輕重、全面鋪開內控實施及其評價工作，必然帶來成本高效益低問題。為此，內部控制實施及其評價必須充分遵循重要性原則，著重圍繞重要領域的業務開展情況、重要項目的風險控制情況、重要舉措的實施計劃情況等方面，考察、檢驗這些重要關鍵點是否設計了相應的控制程序，控制方法是否能預防和控制關鍵點的風險，是否對不需要重點控制的環節設計了過多的控制程序，甄選出在企業價值流中發揮作用較大、影響范圍較廣、具有決定全局成效的關鍵控制點，通過對關鍵控制的重點控制，建立更為合理、更有效率的控制規范。其二，對企業內控實施中的薄弱環節進行評價。對于內控基礎薄弱、會計控制不夠健全的企業，著重于加強授權批準與不相容職務分離等制度建設，進而提高會計信息質量。對于內部管理控制薄弱、過程控制不夠嚴密的企業，則應著重于投資決策與集中采購等重大項目的論證與可行性分析，以降低經營風險、確保資產安全。對于法律意識淡漠、涉及訴訟或侵害他人利益的企業，加強相關法律的守法執法力度，明確違法行為應承擔的法律責任，從而確保經營活動的合規合法。

（四）“信息與溝通”重在評價信息傳遞與反饋能否為內控有效性提供保障。內部控制系統必須以有效的信息傳遞與反饋機制為基礎。隨著《內部控制——整體框架》首次引入“信息溝通”要素，越來越多的企業充分意識到信息化的發展對內部控制產生的影響，構建了內部控制信息化平臺。然而，若要真正實現內控評價信息化功能，絕非簡單的信息化平臺搭建、信息數據收集匯總與傳遞。首先應關注內控信息化與企業流程再造是否有機嵌入，確保信息不走樣，以此為基礎，評價信息供給與內控評價信息需求是否存在缺口，在確保信息準確到位的基礎上，進行收集、處理、傳遞、反饋，最終確保其功能的發揮。

（五）充分發揮“內部監督”職能，為內控制度有效性測定構筑再筑防線。內部監督旨在依據企業內控制度，對內部控制的有效性進行認定與評價，尤其對監事會、審計委員會、內部審計機構在內控設計與運行中是否發揮監督作用進行監督檢查。要從根本上發揮內控評價的內部監督功能，首先應厘清兩種監督職能的關系，內部控制評價開展的“內部監督”，是對相關監督職能是否有效作用發揮的再監督。因此，內部監督應立足于滿足內部評價的三大口徑，對內控實施中已實施監督的相關方面，尤其是重點環節、業務活動進行全方位測定與評價，從而確保對內控制度的有效性測定再構筑最后一條防線。

綜上所述，全口徑下內部控制評價要素之間“你中有我，我中有你”，構建相互協同的評價機制對于內控評價的效率的提升，具有至關重要的作用。因此，內部控制評價實施中，首先應從高層管理者對內部控制重視程度入手，構建良好的內部環境，進一步考察企業是否建立了風險辨識及其衡量機制，進而對控制程序與方法能否有效預防和控制風險進行分析認定，同時對信息傳遞與反饋平臺能否為內部控制效率提供保障進行評價，最終對內部監督的運行機制進行再評價，從而不斷提升各要素對五要素的整體效益，從根本上實現其發現內控建立與執行中存在問題與缺陷，敦促落實整改，持續優化企業內控制度建設的功能。