内部控制缺陷的分类与认定

彭凡

2008年6月，我国发布了《企业内部控制基本规范》，并于2010年4月发布了包括《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》的《企业内部控制配套指引》，至此，我国已基本建成了内控规范体系。根据指引要求，上市公司和非上市大中型企業需要对自身内控有效性进行评价并出具经会计师事务所审计的自我评价报告。而内控有效性的重难点是内控缺陷的识别和认定。然而，我国已发布的文件中在内控缺陷识别与认定方面仍然存在一定弊端，对企业的实务指导性较差。因此内部控制缺陷的认定，特别是非财务报告内部控制缺陷的认定，是企业内部控制评价工作中面临的重大挑战之一。

一、内控缺陷的分类

内控是被审计单位为了合理保证财务报告的可靠性、经营的效率和效果以及对法律法规的遵守，由治理层、管理层和其他人员设计和执行的政策及程序。而内控缺陷即是设计或执行不到位而使企业可能招致的风险。我国《企业内部控制评价指引》将内控缺陷分为设计缺陷和运行缺陷，其中设计缺陷是指企业内控制度未涵盖实现控制目标所必需的重要控制措施，或现有重要控制措施设计不合理，导致控制目标无法实现；运行缺陷是指控制执行者未按照内控制度要求执行，或控制执行者不具备有效执行控制的能力，导致控制目标无法实现。SEC下属的PCAOB将内控缺陷分为一般缺陷、重要缺陷和重大缺陷，类似地，《企业内部控制评价指引》按照内控缺陷的影响程度将其分为一般缺陷、重要缺陷和重大缺陷，不同程度的内控缺陷在审计中需要报送给企业不同层级的管理层。

除了我国相关文件对企业内控缺陷根据不同标准对企业内控缺陷进行了分类，国内外学者也对内控缺陷进行了分类。国外学者对内控缺陷的研究较早，Ge&Mcvay（2005）根据企业实际存在内控缺陷将内控缺陷分为账户类缺陷、培训类缺陷、期末报告和会计政策类缺陷、收入确认类缺陷、职务分离类缺陷、账户核对类缺陷、子公司类缺陷、高管类缺陷和技术类缺陷等九类，其中收人确认类缺陷、职务分离类缺陷、期末报告、会计政策类缺陷和账户核对类缺陷等五类缺陷发生的频率较高。Doyleet al.（2007）从按照内控缺陷所涉及问题的严重性将内控缺陷分为公司层面内控缺陷和账户层面内控缺陷。Jacqueline &Hammersley（2007）按照审计难易程度将内控缺陷分为难审计内控缺陷和易审计内控缺陷，又将难审计内控缺陷细分为关键人员缺陷、财务报告缺陷和控制环境缺陷，而将易审计内控缺陷细分为系统缺陷、交易核算缺陷和日常业务控制缺陷。Klammet al.（2012）以内控缺陷持续对企业的持续影响作为研究的着眼点，将内控缺陷划分为与信息技术相关的公司层面缺陷、与信息技术不相关的公司层面缺陷以及会计账户层面缺陷三个类别。

国内对于内控缺陷的研究起步较晚。南京大学课题组（2010）按照内控五要素将内控缺陷分为控制环境缺陷、风险评估缺陷、控制活动缺陷、信息与沟通缺陷以及内部监督缺陷五大类。单华军（2010）以深市上市公司作为研究对象，发现其内控评价报告中较多的是披露培训类、董事会类、内部审计类、子公司类等方面的缺陷。此外，有学者在内控缺陷大类中进行细分。鲁清仿（2009）把内控重大缺陷的界定标准分为两类：上市公司中报或年报中有修订或“补丁”行为及存在审计师变更的。齐保垒和田高良（2010）将实质性缺陷与重大薄弱环节划分为会计类、期末报告与会计政策类、收入确认类和子公司控制类等四种类型。

二、内控缺陷认定的方法

内控缺陷通常可以通过定量或定性的方法进行认定，也可以采用二者相结合的方法。一般情况下，与财务报告相关的内控缺陷采用定量分析，而非财务报告相关内控缺陷量化难度较大，采用定性分析法。为保证不同期间内控评价结果的可比性，各期间的评价方法应该保持一致。

定量分析法可以参考审计准则关于重要性水平的相关规定。在审计中，一般以资产总额、净资产、营业收入等财务报告科目金额为基础乘以0.5%-1%的某一比例，以此金额作为标准。将审计过程中已发现的错报、推断的错报及以前年度发现应调整而未调整的错报等汇总数与标准金额对比。如果汇总金额超过标准金额，则认为该内控存在重大缺陷，否则不存在。

非财务报告内控缺陷一般不会直接造成财务报告错报，但会造成企业经营效率等方面的负面影响，最终仍然可能会对财务报告项目造成一定影响。非财务报告内控虽然无法量化，但是可以参照《企业内部控制评价指引》所列出的内控可能存在重大缺陷的迹象来进行定性分析：董事、监事和高级管理人员舞弊；更正已经公布的财务报表；当期财务报表存在的重大错报，未通过内部控制在运行过程中发现；企业审计委员会和内部审计机构对内部控制的监督无效。这些无法涵盖所有内控缺陷迹象，企业需要根据自身实际情况，进行分析，尽早发现内控缺陷，作出相应对策，提高企业经营效率。

三、内控缺陷认定的难点与对策

（一）内控缺陷认定的难点

虽然内控缺陷认定有一定的制度可循，但我国相关制度出台较晚，仍有不完善之处。此外，企业间有共性也有个性，总有制度不能涵盖的地方。所以在实务中，对企业内控缺陷认定仍然存在一些难点。

1.相关制度所带来的内控缺陷认定难点

非财务报告相关内控缺陷认定标准不够严明。与财务报告相关内控缺陷认定有明确的数据支持不同，非财务报告相关内控缺陷只有凭借《企业内部控制评价指引》中有限的要求及企业自身经验来界定，大多只能用定性分析法，不仅可操作性较差，结果精确度也较低。

内控缺陷重要程度的划分标准不够明晰。我国《企业内部控制审计指引》认为重大缺陷“可能导致企业严重偏离控制目标”，重要缺陷“严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标”，一般缺陷是“除重大缺陷、重要缺陷之外的其他缺陷”。这些均是概括性说明，实际操作中仍会有一定难度。

2.实务操作中内控缺陷认定的难点

企业所建立的内控制度存在缺陷。尽管《企业内部控制基本规范》的发布对企业内控制度的建立有很大的指引作用，而且经过近几年的发展，也能得到一定完善。但是，有时会存在企业的内控制度在建立之初就已偏离经营目标的情况。而在进行内控缺陷认定时，为了掩盖这一事实，会作出失实的内控评价，忽略或刻意轻视部分内控制度。

我国《企业内部控制基本规范》要求企业从公司层面进行内控缺陷认定，而《企业内部控制评价指引》仅要求注册会计师对财务报告内控有效性发表审计意见，而对非财务报告内控仅在存在重大缺陷时才予以披露。这样二者对于内控有效性评价的范围不统一，可能导致信息披露结果不一致。

（二）内控缺陷认定的对策

一是完善相关政策规定。一方面，企业和注册会计师对内控评价的范围不一致，应该对两方的评价范围进行统一，有了注册会计师的审计，能增加企业层内控自我评价的可信度，也能对管理层起到督促作用。另一方面，内控相关制度在实务操作中的难度主要是由于缺乏更加明细的规定。一些原则性的说法，譬如“可能”、“偏离控制目标”等，需要更加具体的说明，最好能进行量化，使企业在操作中有章可循。

二是完善企业内控制度。一方面，有条件的企业可以建立专门的内控部门，聘请专业人员，对企业的内控制度进行优化，并督促其有效执行。另一方面，在企业所有者和管理层建立合理有效的制衡机制，使管理层在内控制度设计和运行阶段都能最大限度地保证以企业目标为方向，由董事会和审计委员会实行监督职能。

三是监管部门严格要求。监管部门应该关注企业内控相关信息披露。例如，统一企业内控评价报告的披露格式，不同程度的内控缺陷进行不同程度的披露；督促企业及时对信息进行披露，为投资者提供及时有用的信息；对于信息披露不合格的企业，给予处罚。 （作者单位：陕西省交通工程咨询公司）