内部控制缺陷认定中的职业判断

唐建华 王琰

在财务报告内部控制审计过程中，控制缺陷的认定非常重要，认定结果直接关乎审计意见的类型。实务中，很多注册会计师反映内部控制缺陷认定是难点，并认为标准制定机构应当制定更详细的缺陷认定标准。本文通过几个案例，对这个问题进行探讨。

一、现有技术标准提供的指引

2011年10月,中国注册会计师协会（简称中注协）印发《企业内部控制审计指引实施意见》。其中，第六部分对如何评价控制缺陷提供了指引。首先，对重大缺陷、重要缺陷和一般缺陷给出了定义。其次,对如何评价控制缺陷的严重程度提供指引。控制缺陷的严重程度取决于：(1)控制不能防止或发现并纠正账户或列报发生错报的可能性的大小;(2)因一项或多项缺陷导致的潜在错报的金额大小。同时，对“发生错报的可能性的大小”和“潜在错报金额大小”又进一步列出了注册会计师在评估时要考虑的因素。这些指引是内部控制缺陷认定的具体标准，构成了注册会计师决策的框架。

2011年12月,中注协印发《企业内部控制审计工作底稿编制指南》。其中，第七章对如何评价控制缺陷提供了更详细的指引，给出了缺陷评估的7个步骤，如图1所示。

二、内部控制缺陷评估难点分析

笔者认为，内部控制缺陷评估的难点不在于缺乏缺陷认定的详细标准，而在于评估过程对注册会计师运用职业判断的能力提出了更高的要求。《企业内部控制审计指引实施意见》对缺陷认定提供了可操作的标准，问题在于无论是缺陷认定标准，还是缺陷认定的7个步骤，均需要注册会计师进行职业判断。

例如，在第二步，注册会计师需要根据缺陷的具体情形运用职业判断确定缺陷导致错报的可能性大小。如果可能性“极小”（Remote）,则达不到重大缺陷的标准；反之，如果可能性超过了“极小”，则达到了重大缺陷的一个标准。这里的“极小”来自于《企业会计准则第13号—或有事项》。《企业内部控制审计指引实施意见》并没有要求对“可能性大小”予以量化，《＜企业会计准则第13号—或有事项＞应用指南》提供了一个参考的量化范围，即可能性极小对应的概念区间为“大于0，但小于或等于5%。

再如，在第六步，注册会计师需要以一个足够知情、有胜任能力并且客观的被审计单位管理人员的身份或视角，运用职业判断确定此缺陷（或缺陷组合）是否为重大缺陷。如果内部控制的缺陷可能使谨慎的管理人在日常运营中不能得出如下结论，即他们有合理把握认为内部控制系统能对交易进行必要的记录，使财务报表能够符合会计准则的规定，则注册会计师应当将缺陷视为重大缺陷的迹象。换言之，注册会计师需要考虑内部控制能否给管理人员以“底气”，使其有合理把握认为内部控制系统能对交易进行必要的记录，使得财务报表能够符合会计准则的规定。这里引入了法律中的“谨慎人”（Prudent Person）概念，它以某些特定情形下一个理性的人所做为标准，判断当事人是否尽责。之所以引入这个概念，是因为人们认识到，对于人类行为的某些领域，要划定职责的界限具有一定困难。

三、内部控制缺陷评估的几个示例

实务中的情形千差万别，准则制定者不可能预见各种情形并在准则中予以一一规范，准则制定者只能提供框架和原则，供准则执行者参考。因此，准则执行者有必要在准则的框架下，合理运用职业判断，找到问题的答案。下文通过COSO和PCAOB提供的几个案例分析内部控制缺陷评估中职业判断的重要性。

1.示例1

正式的公司行为守则可能是内部控制的重要组成部分（关系到“道德和诚信”要素）。如果被审计单位的内部控制中没有行为守则，注册会计师应当如何看待？对大型企业而言，没有守则是比较明显的缺陷，注册会计师可能倾向于将其评估为重大缺陷，在以下情形下尤其如此：不道德的行为将使企业面临超过平均水平的这种风险，即未入账的负债或价值不可回收的资产可能导致财务报表产生误导。例如，当政府合同的承包方利用舞弊手段将不符合规定的成本计入项目成本。然而，企业可能用不正式的方式，实现正式的公司行为守则意欲实现的同样目标。一种方式是，最高管理层和员工定期召开会议，讨论可以接受的行为和不可接受的行为。如果注册会计师相信这些会议是有效的，他可能得出结论认为，手册缺失并没有导致不可接受的、发生重大错误或违规行为的风险。如果正式手册通常所禁止的行为发生后，财务报表的可靠性不太可能面临风险，则注册会计师更可能得出这样的结论。

2.示例2

假设一家高技术企业的销售合同中约定，对所售产品延长提供保证期。公司要求为客户提供服务的员工或以其他方式得知产品质量有问题的员工应当向财会部门沟通客户对产品不满意程度的信息，这对财会部门准确地估计产品质量保证准备至关重要。在本例中，没有其他控制能够实现同样的控制目标。如果没有这样的沟通（要么是由于没有渠道，要么是由于渠道没有被使用），并且所涉及金额超过重要性水平，注册会计师倾向于认定内部控制存在重大缺陷。但是，如果具体事实和情形不同，注册会计师可能得出不同的结论。如果合同的条款与上述情形有较大的不同，只提供非常短的产品质量保证期，所导致的潜在错报金额可能大大低于重要性水平；或者内部审计人员或其他受指定的人能够在期未与客户联络确定客户索偿的程度，这就通过其他方式实现了财务报表的目标。在这两种情况下，注册会计师可能认定不存在重大缺陷。

3.示例3

对金融服务公司而言，如果没有一种机制能够识别与公司从事的新金融工具相关的财务报告风险，更可能被认定为存在重大缺陷。但对偶尔从事传统的、风险已得到很好认知的金融工具的制造企业而言，缺乏上述机制被认定为重大缺陷的可能性相对要低。

4.示例4

假设执行调节或其他关键控制职能的会计员工缺乏培训或只接受过收效甚微的培训，这可能构成重大缺陷。但在现实情形中，该员工可能受到有效的监督和指导，或者管理层通过复核所报告的数据可能识别重大错报，这两种情形下，可能培训问题不构成重大缺陷。

5.示例5

对外购的生成销售报告和相关销售佣金的软件，如果没有程序来审核其可靠性，并且没有别的控制，可能构成重大缺陷。但如果将报告收入与发运数据进行调节，并且通过计算验证佣金的正确性（假设佣金率统一），缺陷认定结论可能就不同了。

6.示例6

公司对绝大部分交易采用标准销售合同。单笔交易对公司并不重要，允许销售人员更改销售合同条款。公司的会计部门会复核对合同条款重大的或不寻常的改动，但不复核标准发运条款变动。对标准发运条款的变动可能要求推迟收入确认的时点。公司管理层每月复核毛利率，并调查重大的或不寻常的数据关系。此外，管理层复核每个会计期末存货水平的合理性。公司过去发生过收入在发运前就不当确认的情形，但很有限，并且金额不重大。仅基于以上事实，注册会计师应当认为内部控制存在重要缺陷。分析如下：由于单笔交易金额不重大，并且每月和会计期末的补偿性发现控制能够降低重大错报未被发现的可能性，能够合理预期缺陷导致的财务报表错报金额不重大，但也不是微不足道。此外，重大错报风险仅限于与发运条款相关的收入确认错误，而不是收入确认中错报来源更为广泛。然而，补偿性发现控制仅旨在发现重大错报，但对低于重要性水平，却又超过微不足道金额的错报，该控制无法有效予以发现。这点通过已有不超过重要性水平的交易予以不当记录得以证明。

7.示例7

公司有标准的销售合同，但是销售人员经常更改合同的条款。改动能够影响收入确认的时点和金额。单笔交易经常对公司重要，且每笔交易的毛利率差异很大。没有规定公司的会计部门经常复核对合同条款的变动。尽管公司管理层每月复核毛利率，但每笔毛利率差异较大，使得管理层难以发现错报。公司过去发生过收入不当确认的情形，且金额重大。仅基于以上事实，注册会计师应当认为内部控制存在重大缺陷。分析如下：由于单笔交易经常是重大的，且每笔交易的毛利率差别较大，使得建立在复核毛利率合理性基础上的补偿性控制无效，能够合理预期缺陷导致的财务报表错报金额重大。此外，公司过去发生过收入不当确认的情形，且金额重大。因此，重大错报发生的可能性超过了“极小”。将可能错报金额和可能性大小结合起来考虑，该缺陷构成重大缺陷。

四、小结

综上，笔者认为，职业判断在内部控制缺陷认定中至关重要。注册会计师在掌握内部控制审计理论的基础上，通过不断的内部控制审计实践，提高职业判断能力和水平，提高缺陷认定的准确性，是解决这一问题的路径。当然，多开发一些内部控制缺陷认定的案例，对注册会计师厉练职业判断能力有重要指导意义。

1.中国注册会计师协会.企业内部控制审计指引工作底稿编制指南.中国财政经济出版社.2011

2. COSO.1992, Internal control-integrated framework

3.PCAOB. 2004, An audit of internal control over financial reporting performed in conjunction with an audit of financial statements