完善我国企业内部控制审计的思考

孙英敏

摘要：随着经济社会的深入发展，市场竞争的日趋激烈，企业经营面临的不确定性增加，承担的风险也不断扩大。内部控制作为现代企业的重要管理手段，是企业抵御外部风险、防止财务舞弊、提升管理绩效、实现可持续发展的有效途径。因此，建立健全和有效实施科学的内部控制体系就显得越来越重要。内部控制本是企业防范风险和保障企业实现健康科学发展的有效屏障，但由于企业在建立与实施内部控制中存在的问题没有被及时发现并整改，使得内部控制的作用没能得到真正发挥。这使得对内部控制制度的完整性、合理性及其实施的有效性进行定期检查和评估，成为我国企业所面临的一个重要课题。

关键词：内部控制审计 改进措施

一、内部控制审计的含义

内部控制审计是指委托会计师事务所对特定基准日内部控制设计与运行的有效性进行审计。

（一）内部控制审计的范围界定。内部控制审计的范围，既决定着注册会计师在审计工作中的范围，同时也决定了审计的质量、成本和责任，以及审计的可行性。内部控制审计的范围界定包括两个方面：一是时间范围，二是业务范围。

（二）内部控制审计的目标。对公司财务报告内部控制的有效性发表意见是财务报告内部控制审计的目标。这说明内部控制审计目标的重点并不是要发现重大错报，而是形成关于内部控制有效性的意见。因此，审计师在内部控制审计中的目标是获得关于内部控制设计、执行或运作有效性的严重弱点或重大缺陷的充分、恰当的证据，并为内部控制有效性出具鉴证意见。

二、我国内部控制审计的现状与问题

近几年来，我国监管部门加大了企业内部控制规范建设和实施的力度。但整体看来，我国内部控制审计仍处于初步发展阶段，还有很多亟待改进之处。

（一）我国内部控制审计现状描述。

1.政府制度体系建设方面。我国内部控制审计的制度体系正在不断发展，且以内部控制基本规范和配套指引的发布为形成标志。但内部控制审计制度体系的建设是一项长期的系统工程，而我国仍处于初步发展阶段，所以政府对于内部控制审计的监管环境的建设就显得更加紧迫和重要。

2.企业内控信息披露方面。内部控制信息披露是指上市公司向投资者提供以内部控制状况等相关信息为内容的披露行为。自上海和深圳证券交易所于2006年发布《上市公司内部控制指引》之后，内部控制信息披露的格式和内容开始相对规范。

3.审计机构审计执行方面。总体上看，我国境内外同时上市的公司内控审计执行情况良好，但也应注意到，多数境内外同时上市的公司几年前即已着手进行内部控制建设，逐步摸索到现在，而且与国内主板公司和其他企业相比，境内外同时上市的公司有着更为完善的管理基础和更为规范的内部运行机制，从而对内部控制审计的推进难度也大大降低。所以，在全面评估我国企业内部控制审计的总体现状时，应充分考虑到这些差别。

（二）我国内部控制审计存在的问题。

1.政府层面。（1）内部控制法制建设不完善。当前我国对未按照规定披露信息或所披露的信息有虚假记载、误导性陈述或者重大遗漏的上市公司管理层处罚较轻。（2）内部控制审计的监管力度不强。一是对内部控制所披露信息监管不足。二是对审计机构的监管不足。三是按内部控制水平分类监管不足。

2.企业层面。（1）内控信息自愿披露积极性不高。（2）披露的内控信息质量不高。（3）缺乏内控专业人才。

3.审计机构层面。（1）审计机构服务质量参差不齐。从各年度企业内部控制审计的状况来看，各会计师事务所存在的最大差别是内控审计执业能力。（2）信息系统审计力量不足。目前看来，绝大部分上市公司及其他企业有着较高程度的管理信息化水平，相对应的是，部分会计师事务所信息系统审计力量并不充足，内部控制审计中不能实施充分的信息系统审计程序，系统审计团队建设还处于起步阶段。（3）内部控制审计业务的评价标准不完善。对内部控制审计业务的评价，缺乏适当的标准对非财务数据进行评价，这也是我国目前的内部控制审计报告中均未披露与非财务报告相关的内部控制重大缺陷的很重要的一个原因。

（三）我国内部控制审计存在问题的根源剖析。

1.政府层面。（1）当前我国上市公司内部控制缺陷披露的自愿性和内部控制审计发展仍处于起步阶段，所以在内部控制审计法制建设和监管方面还存在很多有待改善的地方。（2）我国的内部控制法制建设目前处于部门规章层面，并未上升至法律法规层面，导致对内部控制信息虚假披露的处罚较轻和监管力度不足的问题。（3）我国上市公司内部控制整体水平偏低，差异显著。我国监管机构目前还没有做到可依据各上市公司内部控制水平进行分类监管，从而导致监管重点不突出。（4）企业实施内部控制审计依靠政府监管部门颁布的内部控制规范文件为政策指引，但是作为新兴理论的内部控制，在我国发展实施的时间较短，既缺乏推进内部控制审计发展的专业人才，也缺少理论支撑与实践指导。

2.企业层面。（1）由于企业的内生需求，外部的监管要求只是起到推动作用，这就要求企业内部控制审计加快推动实施。但是目前看来，大多数公司对内部控制的认识仍停留在查漏补缺、应对监管的层面，因而对于内控审计缺乏动力，内控信息自愿披露积极性不高，仅局限于满足“合规”要求，不求完善。（2）虽然企业内控规范体系对内部控制建设、评价、审计等重要领域做出了原则性的规定，但对于部分公司来说，对以风险评估为基础的内控建设方法还较为陌生，内部控制的自我评价也是一项全新的过程。

3.审计机构层面。（1）2011年是企业内控规范体系开始实施的第一年，会计师事务所面临着严峻的问题考验，既要尽快掌握内控审计技术方法，又要以风险为导向做好内控审计工作，同时，由于对内控审计业务重视程度不够，技术准备不充分的会计师事务所需要进一步加强执业规范的完备程度、内控审计质量复核体系及对员工的培训。（2）标准的适当与否直接影响着最终的目标实现。目前我国内部控制审计业务评价标准不够完善的一个重要原因是内部控制具有其特殊性，即以非财务数据为鉴证对象，对其进行评价是相当困难的，要制定一个适当的标准自然更难。endprint