COSO內部控制框架發展研究

陳宜奇 云南師范大學泛亞商學院

一、前言

COSO是美國反虛假財務報告委員會下屬的發起人委員會，由五大協會聯合創立，目的是探討財務報告中舞弊產生的原因并提出相應的解決辦法。美國現行的內控制度主要是以由COSO于1992年、2004年、2013年頒布的內部控制整合框架和風險管理框架為基礎，形成的較完整的內部控制體系，2017年COSO最新發布的最終正式版《企業風險管理——與戰略和業績的整合》將更新和加深人們對全面風險管理的理解與認識，并將此應用到企業更廣泛的領域。

二、COSO內部框架的演進發展

（一）1992年《內部控制——整合框架》

1973年至1976年美國政界和商界違法捐款和賄賂政府官員的情況嚴重，而這其中暴露的問題與內部控制的不完善存在一定的聯系，因此《內部控制——整合框架》應運而生。它是第一部對內部控制進行系統規范性的總結文件，該文件不僅拓寬了內部控制的概念與內涵，還將內部控制從之前認定的三大要素拓展為五大要素，使內控系統更加完善。同時COSO報告還引導大眾將被動發現風險、事后解決轉變為事前評估風險、事中控制、事后監控。

（二）2004年《企業風險管理框架》

2001年的安然事件和2002年頒布的薩班斯法案兩大事件促使COSO委員會于2004年在1992年《內部控制——整體框架》的基礎上進行擴充和增補，發表了《企業風險管理框架》（ERM框架）。該框架在大體上延續繼承了1992年框架的主要思想，將企業風險管理分成了四大類目標和八大類要素，并在1992年《內部控制——整體框架》的基礎上增加了戰略目標和目標設定、事項識別、風險應對三要素突出了企業風險的重要性。

同時，2004年的ERM框架將內部控制由“審計原則導向”轉向為“管理原則導向”更多的站在公司管理層的角度思考企業應該如何更合理地進行風險管理、如何更好的為公司服務，提高公司的價值，積極避免來自政治、經濟、法律、競爭格局以及內部的組織人事、質量、業務等方面的風險披露的難度。

（三）2013年《內部控制——整合框架》

2013年《內部控制——整合框架》保留了原框架下內部控制的基本定義和五大要素，但新內部控制整合框架在其基礎上以原則為導向，從原有的內控五大要素中提煉出了17項具體原則及支持每項原則的81個屬性。其中與控制環境相關的原則有5項屬性有21個，與風險評估相關的原則有4項屬性有19個，與控制活動相關的原則有3項屬性有16個，與信息和溝通相關的原則有3項屬性有14個，與監控活動有關的原則有2項屬性有11個。

同時新的內控框架較舊內控框架報告目標擴大。舊框架在設定報告目標時僅僅要求合理保證財務報告的準確性和可靠性相比，COSO在更新的三維框架中擴大了報告目標的類別，具體包括外部財務報告目標和外部非財務報告目標，內部財務報告目標和內部非財務報告目標。外部非財務報告目標主要是為了滿足國家相關法律法規的要求；內部財務報告主要是基于為公司內部管理層決策需要而提供的財務信息，具體包括財務報告、預算報告、銀行借款、現金流等；內部非財務報告是為管理層提供的非財務信息，具體包括股東大會報告、董事會報告、人力資源分析報告、客戶滿意度調查報告等。

（四）2017版《企業風險管理——與戰略和業績的整合》

新框架以企業使命和核心價值為起點，強調將風險管理嵌入到企業的日常管理業務活動及核心價值鏈中，以提升公司的價值和業績。新框架將原來的八個要素刪減為了五個，分別是：公司治理與企業文化、戰略與目標設定、風險管理執行、審查和修訂、信息溝通和報告。同時新框架繼承了2013年《內部控制——整合框架》中的“原則導向”將五要素總結出20項原則，更加具體和細致，便于開展實施。

三、COSO框架的發展對我國內部控制建設的啟示

（一）繼續推進、加強內部控制制度建設

我國2008年頒布《企業內部控制基本規范》，2010年制定《企業內部控制配套指引》，從更詳細和具體的角度來指導企業的內部控制，這兩個文件的頒布是我國內控規范體系的大體形成的標志，但是我國的內控體系仍不健全。因此，面對COSO對內部控制整合框架的新變革，我們應該一如既往，在立足本國國情的前提下，積極認真學習并為之所用。

（二）把內部控制體系建設和信息系統搭建結合起來

企業應當運營計算機和通訊技術等，對內部控制進行集成、轉化和提升，這樣不僅可促進內部控制的有效實施，而且可以提高企業的現代化管理化水平，減少認為操縱因素帶來的弊端。

（三）加強培養內部控制人才

企業要通過培訓、學習交流等方式加強對內控人才的培養，同時從事相關內控業務的人員也應當自覺學習相關理論知識，不斷提升自己的業務水平和業務能力，為企業的內控建設向更好更快的方向發展儲備人才基礎。