内部控制评价系统研究述评

【摘 要】 2010年“企业内部控制评价指引”的出台，标志着我国建立了一套相对完整的内部控制制度体系，但近年来不断发生上市公司会计欺诈丑闻，证明我国企业内部控制运行的效果并不乐观，如何客观科学地评价企业内部控制的有效性越来越重要。因此，国内外广大学者、权威机构从不同视角对内部控制的评价作了探索和研究。文章主要从内部控制的评价标准、评价指标以及评价方法三方面对内部控制评价系统的相关研究进行梳理和回顾，并进行了述评和展望。

【关键词】 评价标准； 评价指标； 评价方法； 内部控制评价

引 言

欲评价企业内部控制的有效性，首先需要一个内部控制评价的标准。在给定标准的前提下，需要有一个能将既定标准与内部控制运行状况作比较的科学方法，运用某一方法来衡量内部控制有效性就是对其展开评价的过程。池国华（2011）指出，构建一个科学的企业内部控制评价系统①是当前面临的非常重要与紧急的任务，内部控制的评价标准、指标及方法三部分应作为构建内部控制评价系统的重要内容。因此，本文主要对国内外关于内部控制的评价标准、评价指标、评价方法进行梳理，以期为今后的研究提供一种参考。本文的思路如图1所示。

一、内部控制评价标准

（一）国外内部控制评价标准研究

美国证券交易委员会（SEC）对财务报告内部控制评价框架没有单独制定，但在2007年的《最终规则》中提到，美国COSO Framework、英国Turnbull Guide及加拿大COSO Framework，可供上市公司选择作为其评价内部控制质量的标准。

1.美国1992COSO Framework

对财务报告内部控制（ICFR）的评价，是美国有关内部控制评价法律规定的主要内容。SOX法案404条款（2002）要求上市公司管理层应基于适当、公认的评价框架对ICFR进行评价，并在年末公告两方面内容：（1）企业需要提交一份有关ICFR的评估报告；（2）管理层得出对这个报告负责的结论，即ICFR是否有效。随后，PCAOB（美国公众公司会计监督委员会）公布了AS-2（审计准则第二号）（2004）：外部审计师对上市公司的财务报告及报告期间的内部控制同时审计；AS-5（2007）指明评估所用框架，即以COSO的内部控制整合框架为评价标准，并在美国得到普遍运用。

2.英国Turnbull Guide

伦敦证券交易所（LSE）于1998年1月颁布了一份有关公司治理的法规——《联合准则》，要求公司董事会设计一套相对完善的内部Gp3O0mXJh7kr4Raorp8xEg==控制制度，并每年评价、报告其有效性。但该准则仅仅在原则层面上要求公司披露内部控制，所以LSE（1998）委派英国特许会计师协会（ICAEW）建立Turnbull委员会。1999年9月该委员会制定了Turnbull Guide，详细阐述了评估公司有关风险和内部控制的标准，成为英国公司评价其内部控制质量的参考标准。

3.加拿大的COCO Framework

COCO委员会（1995）出台了内部控制框架——《控制指南》，基于该框架提出了内部控制的基本原则，即分为四方面（目的、承诺、能力及沟通、学习）的二十条具体内容，为公司评价内部控制有效性确立了标准，以便公司完全参考或部分参考。随后又出台了一些帮助公司如何具体评价内部控制质量的法规，如“董事指南——治理流程控制”、“内部控制评估指南”等，COCO委员会的内部控制框架成为公司更好地评价内部控制质量的操作性指引。

虽然美国提出了适当、公认的评价框架，但William J. Carney（2006）调查显示，以COSO框架为标准的SOX条款执行成本远超过2002年SEC的预计。Parveen P. Gupta（2007）通过调查分析美国374家公司，发现多数公司更愿意选择内部控制审计准则而非COSO框架作为内部财务控制评价的标准，原因是该框架不是以管理为中心、风险为基础的实施指南。英国Turnbull框架仅从风险视角对评价标准作了具体规定。加拿大COCO框架主要强调公司战略及风险。综上所述，目前国际上推行的内部控制评价标准各有优缺点，有待于进一步完善，为评价内部控制提供一种标准的参考框架。

（二）国内内部控制评价标准研究

财政部等推出的“企业内部控制基本规范”（2008）虽然强制上市公司对内部控制评价情况进行报告，但并没有详细规定评价的具体内容、标准和方法；“企业内部控制评价指引”（2010）作为企业评价内部控制质量的原则性指导框架，不够具体。内部控制评价工作流于形式，这就需要制定操作性强的标准框架，帮助企业科学地评价内部控制。在现有内部控制评价指引等法规的原则性指导下，学者们主要探讨了以下内容：

1.内部控制评价标准内容研究

评价内部控制是否有效必须有一个可供判断的标准。目前，学者们有关评价标准内容的观点可以分为三类：

第一，内部控制的五个要素②作为评价标准的主要内容。美国COSO框架提出了企业内部控制三大目标与五大要素，从此建立起内部控制的立体框架结构，所以，内部控制五要素作为评价标准得到广泛应用，并受到国内很多学者的认可（李斌，2009；池国华，2011等）。第二，内部控制目标③作为评价标准的主要内容。内部控制的目标既是公司经营发展、运行内部控制应达到的目的，又是注册会计师评价企业内部控制的标准（张兆国等，2011）。第三，综合考虑风险和内部控制目标，对内部控制的所有基本要素确立评价标准（董美霞，2010）。

2.内部控制评价标准体系研究

内部控制评价标准体系包括评价标准、评价实施的标准两部分：第一，内部控制的评价标准以企业的内部控制标准为基础。原东平（2008）借鉴西方内部控制评价标准框架并结合我国实际情况，认为评价标准包括一般与具体两个层次，其中，一般标准又分为完整性标准、合理性标准和有效性标准三部分，具体标准又包括要素层次与作业层次两部分。邵继来（2009）认为企业内控制度评价标准含有制度的建设、执行以及保障三个层次。第二，谢晓燕等（2010）指出我国对于评价实施的标准并未形成统一意见：中国注册会计师协会（CICPA）出台的“内部控制审核指导意见”或“鉴证业务准则第3101号”。张宜霞（2007）主张评价实施标准主要有：（1）“企业内部控制评价规范”是公司管理层进行评价的原则性指引；（2）“内部控制审计”帮助外部审计师审计企业管理层的评价结论。

3.其他研究

李小燕等（2008）借鉴组织循环理论，并综合考虑COSO1992框架和质量保证标准（ISO9001）的先进理念，提出了公司财务控制制度的健全性、符合性两方面的定性评价标准，以及有效性的定量标准，致力于解决国际公认的内部控制评价标准在我国的应用问题。

综上所述，根据“企业内部控制评价指引”得知，我国主张按照内部控制要素作为评价标准。评价标准包括一般与具体标准两个层次，但在内部控制评价实施的标准上意见不统一，有待实践检验，缺乏具体的且操作性强的评价标准是急需解决的问题。

二、内部控制评价指标体系

评价标准可作为内部控制评价的原则性指导，但为避免评价活动流于形式，就需要制定具体评价指标，而该指标既是公司管理层评价内部控制质量的一个载体，又是评价内容的具体化。但如何将定性的原则性标准予以定量化，就需要设计出一种实用且操作性强的内部控制评价指标体系。

由于国外广大学者主要探讨了如何科学地构建内部控制评价指数体系，鉴于评价指数体系较指标体系更广泛的范畴且文章篇幅所限的原因，本文只提及我国有关内部控制评价指标体系的构建情况，会在以后的研究中更深入地解读国外的评价指数构建情况。

我国学者对建立内部控制评价指标体系基于以下四种思路：第一，按内部控制要素（表1）；第二，按内部控制目标（表2）；第三，按定性与定量结合（表3）；第四，其他角度（表4）。

由表1分析可知，按内部控制五要素建立评价指标体系得到大多数学者的认可。评价体系构建情况：一级指标为内部控制的要素（五大要素或ERM八大要素）；二级指标为各要素的具体构成要点，但具体内容有待于统一；三级指标设计不多，现有文献主要涉及解决风险的措施，有待于深入研究其构成内容。

由表2分析可知，基于内部控制目标建立评价指标体系不失为一种有益的探索，但运用以内部控制目标作为指标的评价系统时，离不开对内部控制要素同时考虑，否则得不到科学的评价结论。而且，“三位一体”评价模式下的内部控制评价指标体系是否适用，有待于进行上市公司内部控制的实证检验。

由表3分析可知，评价指标体系中包含定性指标和定量指标，既考虑到了内部控制的全面性、系统性，又兼顾评价的客观性，但在实际应用中，如何科学合理地确定定性评价指标的权重与定量评价指标的权重？在选择定量评价指标时，学者们通常只考虑具有相对代表性的财务比率，对于选择多少个财务比率，以及选择哪些财务比率作为定量指标都未达成统一，有待于深入探讨。

由表4分析可知，除了以内部控制要素和目标为指标外，还有许多值得探讨的方向，但究竟哪种评价指标更科学仍需进一步研究。

综上所述，对于评价标准不能具体指导企业有效评价的难题，提出评价指标体系是有价值的，但指标设计为内部控制五要素、内部控制目标或是其他，并未形成一致意见，以及如何设计评价指标体系有待于深入研究。

三、关于内部控制评价方法的研究

（一）国外内部控制评价方法研究

基于传统的内部控制评价方法（如流程图描述法、调查问卷法）存在高度依赖评价人的主观判断等缺陷，学者们先后提出构建数学模型等定量的评价方法，使得外部审计师能更客观地评价客户的内部控制质量。

Bailey et al（1983）提出TICOM-II模型，将内部控制行为（OIS的子集）转化为计算机可接受的描述性语言，并自动与计算机内已有的审计标准进行比较，得出内部控制质量的高低。Emby（1994）描述了评价公司内部控制中存货等循环的具体测试方法和过程，但忽略了对公司内部环境的整体测试。Conor O’Leary（2004）提出了内部控制评价模型（ICE），并与来自五家公司的94位审计师运用其各自公司的评价方法进行比较，证明该模型与现有的评价方法一样有效。

Michael Ramos（2004）构建了一个评价内部控制有效程度的二维模型，即横轴是参考COSO Framework中内部控制各要素，纵轴为内部控制质量高低的五个水平。Chunyan Shao（2009）认为，根据内部财务控制的复杂性特点建立一种基于评价指数系统的模糊评价方法具有可操作性。国外学者主张建立模型来客观评价内部控制，但模型成立以许多理想假设为前提，难以操作等问题导致模型应用不广泛，有待于开发出操作性更强的评价方法。

（二）国内内部控制评价方法研究

国内学者提出的评价方法主要分为以下四类：

（1）模糊评价法；（2）层次分析法（AHP）；（3）熵权法；（4）其他方法。

1.模糊评价法

在运用综合模糊评价法时，许多学者倾向于利用层次分析法（AHP）确定权重，以期提高评价结果的客观性。骆良彬等（2008）提出三级评价指标体系，借助AHP确定体系中的各指标权重，建立一个模糊综合评价模型，能相对客观地确定评价指标的重要性程度，但对内部控制有效程度的评价存在不足。韩传模等（2009）建立了递阶层次评价指标体系，利用模糊评价法和AHP，评价部分及整体控制的有效性，并且从定性、局部的评价改变为定量、综合的评价，但应用时控制降低指标个数的要求并不合理。文胜泽（2009）基于风险管理视角，建立了科学的评价指标体系以及客观的模糊综合评价模型。杨洁（2011）建立评价因素集、评价等级集和评价权重集，通过进行模糊变换建立评价矩阵，对评价指标进行量化打分，利用PDCA循环原理分析评价结论，该研究将评价范围延伸为内部控制评价活动以及改进活动的整个内部控制系统，但运用该模型并不能取代企业的自我评价以及对企业的社会评价。由于模糊评价法的应用需要相关专家等对公司内外部情况作出判断，存在较强的主观性等问题，该方法是否能得出客观的评价结论仍需继续探讨。

2.层次分析法（AHP）

很多学者都主张利用AHP来构造各评价指标的相对权重。周瑜等（2008）具体阐述了用于内部控制评价的层次分析法的数学原理。徐程兴（2008）结合灰色系统相关理论阐明层次分析法的具体应用。盛巧玲等（2012）借鉴生命周期理论和能力成熟度模型，利用AHP评价信息系统内部控制。这些研究从不同角度证明了AHP应用在内部控制评价中的可行性，但该方法自身存在不足：首先，运用AHP方法时，需要有一个合理的评价指标体系，否则不能得出准确的权重结果；其次，运用AHP方法在多层次间作比较前，应该检验各指标的一致性，如果各指标不符合该条件，则本方法就没有了应用价值。所以，运用该方法对内部控制质量进行评价是否科学合理值得深入探讨。

3.熵权法

内部控制评价是为了衡量内部控制系统的有效或无序程度，而管理熵值的大小能够衡量系统无序程度。敖世友（2009）借鉴管理熵相关理论，计算公司内部控制制度的管理熵值，值的高低说明内部控制制度的无序水平，探讨了如何在理论支持下科学地评价内部控制有效程度。张仕强等（2010）探讨了借助熵权法对定量指标进行客观评价，以提高评价客观性，但在应用管理熵理论进行内部控制评价时，假设公司内部控制不是一个有机联系的系统，这并不符合实际，而且利用熵权法对定量指标的评价具有滞后性等缺陷。所以，运用该方法对内部控制质量进行评价是否科学合理值得深入探讨。

4.其他方法

除了上述三种主要方法外，王海林（2009）借助过程控制手段构造IC-CMM模型，建立评价机构并制定实施路线图，完成了对内部控制制度的运行过程与运行结果的双重综合评价，但该模型要求所有企业建立符合自身目标的实施过程及组织机构难以实现。应益华等（2011）将六西格玛（6Sigma）的五个步骤（定义、衡量、分析、改善和控制）与内部控制评价活动有机结合，借助数学知识、统计方法来发掘企业内部控制中的不足及原因，达到降低风险的目的，但要严格衡量成本与效益的关系。唐立新等（2012）通过调查企业内部控制水平资料，并和评价标准对比分析，利用百分制评价法，打分得出企业内部控制质量的评价结果，但存在权重设置不科学、需不断调整评分标准等缺陷。这些学者分别从数学模型、管理工程学、管理系统方法等入手，研究如何客观定量地评价内部控制系统有效性，但存在共同的局限：不易操作，对内部控制评价活动的适应性有待实证检验。

综上所述，对内部控制评价方法的研究，学者们从不同领域作为切入点，试图为定量评价提供一个科学并且操作性强的方法，其中利用层次分析法确定权重，建立综合评价模型的方法得到专家学者的广泛认可，但该方法的实际运用情况如何，需要今后有更多的实证研究加以检验。其他方法的提出也为更科学地评价内部控制有效性扩展思路，但究竟哪种方法更能科学客观地评价内部控制仍未成定论，有待于深入研究。

四、国内外研究述评及未来展望

内部控制评价无论对理论研究者还是对企业评价者，都是一个相当重要的课题。理论研究和实践证明，评价活动流于形式的主要原因是没有一个统一的评价标准，缺少一种可供企业具体参考的指标体系，缺乏一种科学客观的评价方法。

第一，关于内部控制评价标准方面：美国COSO Framework的执行成本较高，且不是以管理为中心、风险为基础，导致其不断受到质疑；英国Turnbull Guide以原则导向给予公司在具体操作上更多的自主权，且无需外部审计师对内控质量提出审计意见，虽降低了执行成本但会增加难于发现内控缺陷的风险；加拿大COCO Framework以战略和风险的思想为基础适应当前市场需求，但框架中规定的内部控制四大要素较为抽象难以具体认定，增加了框架实施的难度；“企业内部控制基本规范”和“企业内部控制评价指引”的颁布一定程度上解决了我国缺乏可供企业参考的评价标准的问题，虽然法规主张以内部控制各要素作为评价的标准，但在评价实施的标准上意见并不统一，有待实践检验。

内部控制评价标准作为评价的依据具有举足轻重的作用，我国已经初步建立起评价标准，但实施效果如何有待于学者们收集更多的实证数据进行研究检验，并根据不同行业、企业的特点进行调整修正，从而形成符合我国实际国情的动态评价标准体系。

第二，关于内部控制评价指标方面：以内部控制五要素为基础得到许多学者的认同，但二级指标或三级指标的内容有待于统一；以内部控制目标为基础的指标体系的构建，需要同时兼顾内部控制的各要素，否则难以得到科学的评价结论；定性与定量综合的指标体系，虽然既全面又客观，但定性与定量指标的权重难于合理分配，且定量指标的选取有待于统一；相关研究并不成熟统一，所以对其展开深入探讨有非常重要的学术和实务价值。

在兼顾内部控制目标的前提下，通过将内部控制各要素分解为不同层次的具体指标，并对其运行状况进行评价，最终建立起一套科学合理的评价指标体系是一个有益的尝试与探索，可作为以后继续研究的方向。

第三，关于内部控制评价方法方面：国外学者多主张建立各种模型以增强评价的客观科学性，但内部控制评价模型或是理想条件下的数学模型由于操作成本过高等原因，导致评价方法的运用推广受到限制；国内学者倾向于模糊评价法和层次分析法（AHP）两种方法的综合运用，虽然比较适合内部控制评价活动的模糊性质，但存在受评价者的主观性影响，且对各指标一致性有严格要求等问题；熵权法的提出扩展了评价方法的思路，但对定量指标的评价存在滞后性等缺陷；其他方法（如IC-CMM模型、6Sigma步骤等）存在着不易操作等不足。

因此，急需探索出一种可操作性强且能一定程度上保证客观评价的方法。由于每种评价方法各有优缺点，运用综合的评价模型或方法将是以后的研究方向，并需要利用今后更多的数据对其加以实证分析，使得评价方法在理论与实践中不断完善和优化。

第四，关于内部控制评价系统方面：基于系统观，学者们开始关注构建评价系统的重要性，分别从不同视角或切入点出发进行研究，但由于操作性低或不全面等原因，理论研究并未大幅度提高评价活动的实践价值。

以风险为导向的管理观念在企业管理中越来越重要，而内部控制评价活动是企业管理系统中的一部分，因此，以管理思想、风险意识为基础构建内部控制评价系统是值得深入研究的。

【主要参考文献】

[1]Brian Patrick Green， Michael Foran， Bruce Bublitz .The Impact of The SEC’s Guidance On Internal Control Over Financial Reporting [J].Internal Auditing，2007， 22（4）：11-19.

[2]池国华.中国上市公司内部控制指数的功能定位与系统构建[J].管理世界，2011（6）：172-173.

[3]财政部会计司考察团.英国和法国企业内部控制考察报告[J].会计研究，2007（9）：74-82.

[4]张兆国，张旺峰，杨清香.目标导向下的内部控制评价体系构建及实证检验[J].南开管理评论，2011（14）：148-156.

[5]原东平.试论内部控制评价标准体系框架的建立[J].会计之友，2008（2）：50-51.

[6]邵继来.浅析企业内部控制评价标准[J].中国内部审计，2009（11）：74-75.

[7]张先治，戴文涛.中国企业内部控制评价系统研究[J].审计研究，2011（1）：69-78.

[8]李连华，唐国平.内部控制效率：理论框架与测度评价[J].会计研究，2012（5）：16-21.

[9]韩传模，汪士果.基于AHP的企业内部控制模糊综合评价[J].会计研究，2009（4）：55-62.

[10]杨洁.基于PDCA循环的内部控制有效性综合评价[J].会计研究，2011（4）：82-87.

[11]王海林.内部控制能力评价的IC-CMM模型研究[J].会计研究，2009（10）：53-95.