论我国企业内部控制审计实施

薛琦彦

一、前 言

全球公司治理、风险管理等领域显现的问题使内部控制日益受到关注，作为资本市场会计信息可靠性保证的基石，内部控制的重要作用日渐深入人心。当前，我国企业内部控制规范体系核心主要包括三部分，即内部控制建设标准、内部控制评价标准和内部控制审计标准，而其中内部控制审计是推进内部控制实施的关键环节和重要监督、保障机制，是透视公司的窗口，是公司治理的守门员，也是治理主体、投资者等可依赖的、极具价值的资源。

二、内部控制及内部控制审计概述

（一）内部控制的基本内容

2008年财政部、银监会、保监会、证监会、审计署联合发布《企业内部控制基本规范》，2010年又发布了《企业内部控制配套指引》，包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》，连同此前发布的《企业内部控制基本规范》，标志着适应我国企业内部控制规范体系的基本建成。

《基本规范》中认为，内部控制是由董事会、监事会、高级管理层和全体员工实施的、旨在实现控制目标的过程；认为内部控制具有五大目标，即合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果、促进企业实现发展战略。这5个目标是国家有关部门在借鉴美国COSO五要素基础上，结合我国实际后作出的科学选择。

（二）内部控制审计含义、目的和作用

按内部控制审计实施主体不同，内部控制审计分为内部审计部门实施的内部控制审计和注册会计师实施的内部控制审计。本文主要探讨后一种，即指会计师事务所接受委托，通过系统、规范的方法对特定基准日内部控制设计和运行的有效性进行审计。我国《企业内部控制审计指引》第四条规定，“注册会计师执行内部控制审计工作，应当获取充分适当的审计证据，为发表内部控制审计意见提供合理保证。”

世界经济合作发展组织（OECD）制定的《公司治理结构原则》指出：一个良好的公司治理结构应当保持良好的内部控制系统，不断检查内部控制的有效性，对外如实披露内部控制现状。实践也表明，内部控制审计是降低风险和解决信息不对称，改进治理的有力措施。综合来看，内部控制审计有以下几点突出作用：

（1）提高审计工作效率和效果，突出审计重点。通过内部控制审计，审计人员可以基本确定被审计单位内部控制的可信赖程度，有利于从薄弱环节入手，从而更有效、迅速地明确审计重点，保证财务报表审计的工作效率，提高审计质量，最终达到深化审计监督的目的。

（2）实现与各方利益相关者的有效沟通。我国资本市场已经进入关键发展阶段，越来越多的投资者认识到，财务数据仅反映公司已经做过的事情，而内部控制的状况则代表着未来的公司行为和价值。因此，对投资者及其他利益相关者而言，可以根据公司内部控制的评价和审计结果来理解公司运行方式，把握公司治理方面可能存在的风险因素，从而赢得监管机构和其他利益相关者的认可。

（3）完善企业内部控制制度，提升企业竞争力。2001年，麦肯锡在亚洲的一项调查表明，在财务状况类似的情况下，投资人愿意为“控制良好”的亚洲企业多付20%-27%的溢价。内部控制审计可以发现被审计单位内控制度是否完善、合理并得到有效执行，有针对性地提出改进意见使之完善。

（三）内部控制审计与内部控制审核的区别

内部控制审计与内部控制审核的主要区别在于保证程度的不同。内部控制审计的保证水平为合理保证，注册会计师的责任较大；内部控制审核的水平是有限保证，注册会计师的责任较小。此外，在内部控制审核过程中，审计人员主要采用询问和分析程序来获取审计证据，而内部控制审计则需要通过多种手段系统、全面地收集证据，以使风险降至可接受的水平。

三、我国上市公司内部控制审计的现状

（一）内部控制审计与财务报表审计的整合审计

在内部控制审计中，要求CPA对企业控制设计和运行的有效性进行测试；在财务报表审计中，也要求CPA了解企业的内部控制，并在必要时测试内部控制。由于这两种审计具有相通之处，促使了两者的整合审计。这也是当前我国外部审计中的普遍做法。但是，我们应该看到内部控制审计和财务报表审计在很多方面存在差异。

首先，审计目的不同。财务报表审计是对财务报表是否符合企业会计准则，是否公允地反映被审计单位的财务状况，经营成果和现金流量发表意见；内部控制审计是对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷予以披露。

其次，由于目的不同导致其测试范围存在差异。在财务报表审计中，注册会计师关注内部控制的目的主要是防范或减少实质性测试的风险，只有在特定情况下才强制要求对内部控制进行测试；而在内部控制审计中，注册会计师则不能绕过内部控制测试程序进行审计，应针对每一审计领域获取控制有效性的证据，以便对内部控制整体的有效性发表意见。

最后，审计报告的内容不同。在财务报告审计中，注册会计师一般不对外报告内部控制的情况，除非内部控制影响到对财务报告发表的审计意见。在内部控制审计中，注册会计师应报告内部控制的有效性。

（二）我国上市公司内部控制审计的实施现状

通过调查发现，在外部监管层的推动下，内部控制审计在上市公司有了不同程度的开展。2011年，在沪深交易所2340家上市公司中，共有1844家上市公司披露了内部控制评价报告，占比78.8%，较去年上升2个百分点，其中共有941家上市公司聘请会计师事务所出具了内部控制审计报告，156家上市公司披露其存在内部控制缺陷。在941家聘请了会计师事务所出具内部控制审计报告的上市公司中，会计师事务所对其中936家上市公司的内部控制体系出具了标准无保留意见，占总样本量的99.47%；4家上市公司的内部控制体系被会计师事务所出具了带强调事项段的无保留意见，占总样本量的0.43%；1家上市公司的内部控制体系被会计师事务所出具了否定意见，占总样本量的0.11%。

评价企业内部控制，必须要对内部控制的关键环节有深刻的理解。当前，尽管五部委要求对内部控制进行全方位的评估，但有关调查表明审计人员的关注点仍然侧重于财务报告内部控制，企业文化、社会责任等控制环境方面的内容关注不够。

现阶段的审计思路是：在履行了各种必要的审计程序与方法后，未发现企业有重大控制缺陷或实质性漏洞，则可视同该企业的内部控制为其财务报表提供了合理保证。这种思路可以解决审计师在内部控制评价中的责任问题。不过，对于社会性的内部控制评价制度，内部控制审计更主要的是动态监控企业内部控制制度的运行情况，及时发现问题并提醒企业加以改善，以不断优化其内部控制制度。在后经济危机时代，风险管理的重要性越来越突出，对此审计人员应给予更多的关注。

四、当前内部控制审计的风险与防范

审计人员在进行内部控制审计时，和执行其他审计一样总有审计风险相随。具体而言有以下几种：

（1）内部控制是一个复杂的系统，其有效与否受诸多因素共同影响。不同的行业、同一行业内不同企业可能因面临的风险、历史背景、经营管理理念等的差异，采用不同的控制政策和程序，导致审计程序的通用性、标准化程度差，因此对审计人员的专业技术和应变能力要求较高。

（2）相对而言，我国现代内部控制理念引入较晚，企业内部控制整体建设科学化水平不高，内部控制自我评价工作可利用程度较低。虽然被审计单位可能有很多管理制度，但是这些管理制度需按照现代内部控制的结构进行梳理，将风险——财务报表认定——控制进行科学对应，实现精细化。这种状况意味着在实施内控审计的头几年注册会计师将面临更高的审计风险，投入更高的审计成本。

（3）与传统的财务报表审计不同，内部控制审计的对象是控制系统，是一套机制，这就决定了注册会计师要在实践中不断丰富、充实、完善审计技术。内部控制系统涵盖诸多要素，包括企业对内部控制的重视程度、内部诚信文化、组织和治理架构、人力资源政策、执行控制人员的专业胜任能力等，注册会计师在审计测试时需要创新审计方法，以提高所收集审计证据的说服力，克服得出审计结论的主观性。

对于内部控制审计的风险防范，则可采取如下手段：

（1）关注管理层对内部控制的态度。企业的整个内部控制是在管理层的领导下，由上而下和由下而上结合展开的，且其有效实施取决于“人”的内控意识。所以，内部控制体系的健全与否及执行力度的强弱与管理层的态度和理念息息相关。为了解管理层的内控意识，可对管理者采取问卷调查为主，访谈询问为辅的方法来保障分析的有效性。

（2）提高审计工作的科学性。建议将内部控制审核工作从财务报表审计程序设计中独立出来，进行专门的内部控制审计程序设计。审计人员要明确企业内部控制审计的目标，设计全面的内部控制评价标准，在解决“审什么”的同时关键在“怎么审”上下功夫。要制定合理的内部控制审计步骤，把握审计重点，测试和评价内部控制结构的合理性、执行的有效性。同时，审计师要注重学习新知识，及时更新审计程序和优化审计方法，提高专业判断能力，将内部控制审计的最新理念运用到审计实践中。

（3）审计人员在对被审计单位内部控制的设计与运行的有效性进行独立审计的基础上，可以合理参考其他咨询机构针对企业内控的研究和评价，在审计意见中尝试将定性与定量相结合，以使信息使用者能更准确地感知风险。目前内部控制审计意见类型以定性为主，有四个水平：标准无保留意见，带强调事项段的无保留意见，否定意见和无法表示意见。但在2011年，《中国上市公司内部控制指数研究》课题组经过一年多的研究，首次以定性和定量评价相结合的方式构建了综合反映我国上市公司内部控制水平和风险管控能力的内部控制指数体系，该指数的发布不仅弥补了国内关于内部控制定量评价研究的空白，在国际上也属首创，由此标志我国内部控制步入量化时代。所以，相信定性与定量结合审计也是内部控制审计的未来发展趋势，当然，这也对审计人员提出了更高的要求。

［1］陈文化. 内部控制审计与财务报表审计整合时应注意的问题.中国注册会计书.2011.4

［2］李小娟. 内部控制审计相关问题探讨. 财会通讯.2012.3

［3］苗青.内部控制与审计关系的文献综述.财会研究.2011.2

［4］章智勇.浅析内部控制审计“自上而下”的方法.中国总会计师.2012.2

［5］南京大学会计与财务研究院课题组. 论中国企业内部控制评价制度的现实模式.会计研究.2010.6