企业内部控制评价体系构建探讨

嘉兴职业技术学院 潘乐 张绪娥

企业内部控制评价体系构建探讨

嘉兴职业技术学院 潘乐 张绪娥

20世纪90年代后期，我国政府开始积极推进内部控制评价的规范化建设，相关监管部门对单位内部控制的建设提出了要求，并制定了相应的规范，但对于企业管理层实施内部控制评价的指导则缺少了应有的力度，直到财政部相继于2008年5月发布《企业内部控制基本规范》（以下简称为“规范”）、2009年1月发布《企业内部控制评价指引》（以下简称为“指引”），对内部控制及其评价的含义、原则、内容、程序、方法和报告等作了相关规定，为我国企业内部控制评价提供了指引。但对目前国内内部控制的评价实践多受限于审计实务，企业内部控制的评价实践没有关注到企业的多样性，各个企业在实施内部控制过程中也很难找到相对统一的标准。加之现有的企业内部控制评价规范还有许多不完善之处，如规范适用于大中型企业、指引的内容和范围不明确、各部门制定的相关内部控制规范和评价内容互相冲突等。此外，虽然理论上内部控制不再区分会计控制与管理控制，但目前国内大多数相关规范关注的内部控制仍以会计控制为主，内部的会计控制规范未成体系，这在一定程度上加大了企业内部控制评价实施的难度。

一、企业内部控制评价现状

（一）内部控制评价难以开展目前我国大多数企业仍然处于原始的经验型管理，缺乏严格的管理制度、科学的管理方法，更谈不上进行内部控制了。许多人对内部控制认识不足，实务界与理论界的认识不一致，再加上公司治理结构先天“营养不良”，以及组织结构和人员素质等其他方面的原因，我国大多数企业缺乏良好的内部控制环境。而且，我国大多数企业的信息需求结构，一般是基于对外公开财务报告的强制要求，真正从管理角度设计单位内部结构的企业不多，这是我国大多数企业内部控制水平低的根本原因。不良的内部控制环境使得内部控制评价难以展开。

（二）各部门出台的法规存在差异证监会2003年12月发布的《证券公司内部控制指引》认为，公司的内部控制不但包含了与会计相关的控制，还包含了与会计相关的控制以外的其他控制，如环境控制中的治理结构控制、管理思想控制和员工素质控制等；财政部发布的一系列《内部会计控制规范》则是定位于“以单位内部会计控制为主，同时兼顾与会计相关的控制”，其重点是关注内部会计控制，并不包括组织结构控制和人员素质控制等；注册会计师协会和审计署对内部控制特定的界定内涵，与证监会及财政部的界定并不完全一致；规范更是说明了只适用于大中型企业，小企业与其他单位参照规范建立和实施内部控制。相应地，由于各部门规定的内部控制的适用范围不同，导致了其内部控制评价内容也存在一定程度上的不一致。

（三）内部控制（评价）意识薄弱尽管目前对内部控制理论的研究较多，国内有些企业如亚新科工业技术公司、上海宝钢国际经济贸易有限公司、中国电信等在内部控制及其评价实践上作了积极有益的尝试并取得了不小的成功，但我国大多数企业的管理层并没有意识到内部控制及其评价的重要性，有些管理者甚至将自己的行为凌驾于内部控制之上。此外，有些企业的员工为了个人利益而不支持企业内部控制的开展，导致在企业中任何控制活动都无法收到好的效果。

二、企业内部控制评价体系构建

（一）内部控制评价体系的功能内部控制评价是由特定的评价主体采用某种评价方法，对企业内部控制的有效性进行认定和评价。企业首先应该意识到内部控制的重要性并将内部控制意识贯彻到企业经营管理活动的方方面面，提升对企业内部控制的意识有利于企业内部控制评价功能的发挥。实施企业的内部控制评价，要达到几点要求：防范企业的运行风险；对企业的运作进行查漏补缺；提高企业的工作效率。要在企业构建一个相对完备的内部控制评价体系，需要满足以下条件：一是存在内部控制，至少存在对经营管理活动中各种风险的评估、针对各业务环节及其风险评估确定的控制目标；二是能够从质上或量上判断结果；三是能够纠正偏差；四是能使企业中的每一个员工明确与切实奖惩利益紧密相关的控制活动和控制目标。企业内部控制的设计、执行和评价三个环节是相辅相成、不可分割的，三个环节之间的相互促进和有效互动有利于企业预定的内部控制目标的实现。在实现企业内部控制目标的过程中，评价这一环节将起到重要的桥梁作用，它不仅对企业行为起到规范和引导的作用，而且其评价客体恰恰是企业内部控制的设计和执行环节；同时，企业内部控制评价环节又是企业内部控制设计和执行要遵循的依据。由此可见，内部控制评价体系的构建，是企业内部控制设计和执行环节进一步发展提出的要求，同时也是企业可持续发展和经营战略有效执行的基石。

（二）内部控制评价方法企业应首先根据自身需要、经营规模和业务的繁杂程度判断出哪种内部控制评价才是最适合企业的。在我国市场经济还不成熟时，采用外部评价的评价方法更加经济和有效率。但当市场经济日益成熟，尤其是国内大中型企业、跨行业企业数量增多的情况下，只采用以评价财务报表为主的外部评价已经不能满足企业所有者和经营管理者对于实现企业组织目标的需要，这时可以采用自我评价和外部评价相结合，以自我评价为主、外部评价为辅的评价方法。自我评价是自发进行的，评价深度和范围可以由自己控制，有利于引发对工作的反思，全面梳理存在的问题，实现主动的改进，但同时也存在隐藏自身缺陷的可能；外部评价具有强制力、效率较高的优点，对于重大问题具有敏感性，但评价者因为时间、精力和经济限制容易忽略一些比较隐蔽的问题。将自我评价和外部评价结合运用，既可以实现主动性和必要压力的有效结合，又能提高评价的全面性和质量，更重要的是能够引导被评价者选择和实施符合企业目标的控制活动。如中国电信在构建内部控制评价体系时就邀请了毕马威会计师事务所一起制定相应的办法。但这种方式在国内大中型企业，特别是跨行业的集团公司可能更适用，而对于小型企业，由于受到自身经营规模和业务繁杂程度的限制，采用哪种评价方法还有待思考和商榷。因为小型企业人员机构设置简单、管理基础工作薄弱，进行自我评价往往不适用，反而会产生不小的成本。

（三）内部控制评价主体一旦确定了内部控制评价方法，评价主体也就自然产生了。当所有者委托中介组织即会计师事务所进行评价，这时的评价主体是会计师事务所；当企业所有者直接进行评价，这时的评价主体是隶属于董事会的审计委员会；当企业经营管理者进行评价，这时的评价主体可以是隶属于经营管理者的审计部门，也就是通常所说的内部审计部门。内部控制自我评价中的评价主体则是由经营管理者和内部审计部门共同组成，内部审计人员将协助经营管理者的工作，由经营管理者对其负责的企业内部控制进行评价，隶属于董事会的审计委员会这时起到的是监督的作用。但并非所有企业都已经建立起现代企业制度，并非所有企业都能够设置或已经设置了审计委员会、内部审计部门，某些公司因为自身经营规模和设置权限问题而无法设置内部审计部门，只能由隶属于财务部的某些员工行使内部审计人员在内部控制自我评价中的职能。对于这样的企业，其内部控制评价主体的职能部门该如何设置，也是一个有待商榷的问题。

（四）内部控制评价客体内部控制评价客体也就是内部控制要评价的对象，即企业内部控制的设计和执行的环节。内部控制评价客体和内部控制评价范围是两个不同的概念，内部控制评价主体的不同对应的内部控制评价范围是不同的。如果是企业自身对构建的内部控制体系做出评价，则其评价主体应该考虑其构建内部控制的经营、会计和战略目标，评价的内容就不仅应该包括会计控制，还应该包括公司治理、业务和流程控制等方面的内容；如果内部控制评价是出于监管部门的强制要求，由中介机构即会计师事务所进行，考虑到我国注册会计师行业现在的执业水平，将内部控制评价范围限定在与会计相关的控制方面较为合理。

（五）内部控制评价标准模式在企业内部控制评价的实施过程中，确定适当的评价标准模式非常重要。实务中有几种内部控制评价标准模式被采用：第一种是整体框架模式（以下简称为“COSO报告”），这种整体框架的模式包含内部控制环节中的五个要素：控制环境、风险评估、控制活动、信息与沟通以及监督，再按照COSO报告中每一个要素的必要条款确定评价标准。COSO报告五要素评价标准模式（销货及应收账款控制环节）见表1。亚新科工业技术公司即是采用的这种模式。第二种是将一般评价标准和具体评价标准相结合的模式，其中，一般评价标准强调的是对内部控制有效性的评价，也就是评价设计是否完整、是否合理和执行是否有效，具体评价标准又可划分为要素评价标准和作业评价标准。其中，作业评价标准主要是对控制活动的评价。上海宝钢国际经济贸易有限公司即是采取的这种模式。第三种是将措施型评价标准和结果型评价标准相结合的模式，其中的措施型评价标准与各种控制活动相对应，结果型评价标准则主要是用来评价内部控制的实施效果的。某省电网公司即是采取的这种模式。

有学者建议统一评价标准模式，但由于市场上存在许多行业和不同性质的企业，统一评价标准模式之后是否能保证有好的内部控制评价效果尚不能确定。内部控制评价标准模式和评价方法在选取上有很大程度的一致性，企业应根据自身需要、经营规模和业务繁杂程度判断出哪种内部控制评价标准模式才是最适合本企业、能使评价结果真实反映企业内部控制的有效性。上述亚新科工业技术公司、上海宝钢国际经济贸易有限公司及某省电网公司采用的内部控制评价标准模式都不尽相同，但其效果都较好。

表1 COSO报告五要素评价标准模式（销货及应收账款控制环节）

（六）内部控制评价报告为了进一步提高企业内部控制评价的效率，企业内部控制评价还应有系统和明确的记录和报告，其评价情况应由下向上报告。当企业进行自我评价时，评价主体应将评价报告提交给经营管理者和企业所有者，以便经营管理者对自身工作的反思、改进和企业所有者的监督。其评价报告应包括两方面的内容：一是评价前后的数据分析，如针对某项业务控制环节，评价后其中未达到控制标准的控制活动总数所占其中适用控制活动总数的百分比的列示，以使报告阅读者能对企业的内部控制情况有一个大致的了解；二是对各项业务控制环节中的各项控制活动评价的具体列示。企业内部控制自我评价报告见表2。

表2 企业内部控制自我评价报告

如果企业定期进行自我评价，即自我评价的次数在一段时期内不止一次，则还应有一份评价报告将连续两个不同时点的评价情况进行对比。企业连续两次内部控制自我评价报告见表3。

表3 企业连续两次内部控制自我评价报告

当企业所有者委托中介组织即会计师事务所进行评价时，具体方式有以下两种：一是所委托的会计师事务所在进行年度会计报表审计时即进行评价，此时，注册会计师并非一定要对管理层的内部控制发表意见，只是基于委托者的要求，针对在符合性测试中发现的内部控制存在的重大缺陷向其报告，以管理建议书的形式完成；二是受到委托的会计师事务所审核企业的内部控制工作，并且做出客观的评价，在这种情形下，注册会计师对企业内部控制的健全和有效程度发表专业性的意见，这种意见一般是通过审计委托者向公众披露，注册会计师对其意见承担相应的法律责任。

（七）内部控制反馈、修正与激励机制内部控制评价的结果之一是形成下一步的行动计划，行动计划就是对内部控制评价的反馈，其实施是对评价前的内部控制的修正，行动计划中应列明评价后对不足点进行改进的详细方案，包括在某个时点之前完成某项控制活动（如制定相关的正式规章制度）并提交管理层和企业所有者予以批示，有利于实现企业的预定目标。内部控制评价体系的构建还需要建立一种健全的激励机制。在实际操作过程中，根据每个员工或每个部门所负的责任，参照其等级评定、业绩考核、奖金分配以及评优表彰等情况，结合内部控制的执行效果，对相关员工和部门进行表彰和处罚。

［1］戴彦：《企业内部控制评价体系的构建——基于A省电网公司的案例研究》，《会计研究》2006年第1期。

［2］李荣梅：《完善上市公司内部控制评价的思考》，《中国审计》2002年第12期。

［3］曹志勇、王刚：《内部控制有效性的评估项目》，《中国内部审计》2000年第3期。

［4］赵保卿：《内部控制的设计与运行》，经济科学出版社2005年版。

（编辑 熊年春）