内部控制评价和质量管理体系审核整合探讨

陈留平++丁雯卉

【摘 要】 近年来，将内部控制体系与质量管理体系进行整合的研究逐渐增多，越来越多的企业同时建立了内部控制体系和质量管理体系。在研究如何将这两种体系整合的同时，也需要关注这两种体系评判方法的整合，否则，两套评价体系将使企业重复检查与审核，降低运行效率。文章通过讨论内部控制评价与质量管理体系审核两者整合的可行性和两者之间的差异，总结出整合的方法。

【关键词】 内部控制评价； 質量管理体系审核； 整合

【中图分类号】 F275 【文献标识码】 A 【文章编号】 1004-5937（2017）04-0066-04

一、引言

近年来，企业管理日渐规范，企业内部控制的重要性也在逐步提高，越来越多的企业建立了内部控制制度。同时，随着质量管理体系的发展，在公司治理过程中加入质量管理体系的现象也十分普遍。对于一家企业，如果既建立了内部控制体系，又建立了质量管理体系，就有可能带来管理的重叠和管理效率的下降。所以，针对这种情况，将内部控制体系和质量管理体系融合是很有必要的。

在日常管理中，不仅要将这两套体系整合，也需要研究评价的方法。将内部控制评价和质量管理体系审核的方法进行整合，评价整合后的企业管理效果，以此整合出一套从实施到评价企业管理的完整体系。但目前，针对内部控制评价和质量管理体系审核方法整合却鲜有研究。因此，本文探讨了内部控制评价与质量管理体系审核方法整合的可行性，以及如何进行整合。

二、文献回顾

由于内部控制评价和质量管理体系审核整合的文献较少，大部分研究集中于内部控制体系和质量管理体系的整合，因此通过回顾体系整合，为评价审核的整合奠定理论基础。曾亿红[1]提出，可以成立单一稽核部门，配备具有内部控制和质量管理体系两方面内部稽核专长的人员。旷明燕[2]提出文件层面的整合可以为评价体系的整合提供基础。李志京[3]提出将PDCA循环用于内部控制评价，构建多层次、多层面的管理模式。梅玮和吕红涛[4]提出内部控制和质量管理体系的一致性体现在目标和手段上。两者目标虽然从字面上不一样，但是实质都是为抢占市场份额，获得更多利润。两者的差异性则体现在内涵和关注焦点上。内部控制关注和控制企业各方面风险，内涵广泛；而质量管理体系更关注质量方面控制，内容不够全面系统，内涵范畴属于内部控制，并且提出，内部审计部门必须聘用质量管理方面的专家或者审计人员同时具备质量管理方面的知识、技能和经验，并且必须保持一定的独立性，不能由质量管理部门人员兼任。

通过文献回顾可以发现，如果要进行内部控制评价和质量管理体系审核方法的整合，必须至少要做到文件整合、机构整合，并且，由于现有文献对评价方法整合的涉及很少，也凸显本文在内部控制与质量管理体系整合方面具有一定的意义，可以为今后更深层次的研究奠定基础[5]。

三、整合的可行性

（一）目的一致

内部控制评价的目的主要是对内部控制进行监督，检查财务信息和经营效率，评价企业经营活动以及遵守法律法规的情况。质量管理体系审核的目的是验证企业的质量活动及相关结果是否符合组织计划的安排，以确认组织质量管理体系是否被正确并有效的实施，以及质量管理体系内的各项要求是否能帮助企业达成组织的质量目标。这两种评价方法都是从企业内部的角度出发，发现企业存在的问题，并提出改进措施，以达到减少损失、提高企业竞争力、实现企业发展的目的。

（二）手段相似

内部控制评价是一种独立、客观的确认和咨询活动，以此增加企业价值并能够改善组织的运营。内部控制评价采用系统的、规范的方法，评价并改善风险管理、控制和治理程序的运行效果，以帮助组织实现其经营目标。通常是通过自我评价或通过第三方审计的方法，找出缺陷并进行改进。而质量管理体系审核是由企业或者第三方以企业的名义对公司相关的方面进行审核，以此作为证明自我合格的基础。一般利用管理评审方法，发现存在的问题，持续改进。由此可见，内部控制评价和质量管理体系审核都是采用过程控制方法，通过企业内部检查、评价的手段发现企业存在的问题。同时，质量管理体系审核和内部控制评价都需要进行检查，记录检查情况，并及时处理发现的缺陷。

（三）原则相同

无论是质量管理体系审核还是内部控制评价，工作组成员都要遵守独立性的原则。独立性原则是指工作组成员应在组织上、精神上和业务上保持相对独立，排除干扰，独立履行其职责。也就是说，应当独立于其他职能部门之外；即使由企业内外部有关人员构成的临时工作组，也应当独立于其他职能部门。在履行职责的过程中，工作组成员应始终努力保持精神上的超然独立，从客观公正的立场开展评价审核活动。

因为内部控制评价和质量管理体系审核都是站在另一个角度评价他人的工作及成果，如果不能保证自身的独立性，就会带来评价结果的不公正，无法及时有效地发现企业存在的漏洞，甚至会造成严重的后果。因此，内部控制评价和质量管理体系审核的执行人也许不一样，但是都必须要保持独立性。

（四）过程相近

首先，内部控制评价和质量管理体系审核都需要根据企业具体情况，制定计划，报经负责人批准后实施。其次，成立内部控制评价/质量管理体系审核专项小组，并进行小组分工，确立工作目的、范围，以及时间安排。再次，进行实践工作，通过实地考察收集资料。最后，汇总资料，形成评价结论，并且，内部控制评价需要填写的工作底稿、缺陷认定、评价报告，与质量管理体系审核需要填写的现场检查表、不符合项报告、审核报告相近。

此外，大多数企业的质量管理体系审核和内部控制评价都是运用了PDCA循环。进行行动之前先确定计划，设计行动方案，进而按照计划实施；在实施过程中对行动结果进行检查、分析，以便了解计划是否可行，能否达到预期目标。在此基础上采取处置措施，如果计划可行则对该计划进行制度化和标准化，重复执行；如果计划不可行则分析原因，采取措施进行改进，然后启用新的循环。在不断循环中，提高管理水平，改善管理环境。

（五）认定相似

内部控制评价的缺陷认定分为重大缺陷、重要缺陷、一般缺陷，质量管理体系审核的不符合项分为严重不符合项、一般不符合项和观察项。虽然看上去两者不同，但实际上，这两种结论分类方法相近。

根据定义，如果一项内部控制缺陷单独或连同其他缺陷具有合理可能性，导致企业不能及时防止、发现并纠正财务报表中的重大错报，就应将该缺陷认定为重大缺陷。而严重不符合項通常是指体系运行出现系统性失效或体系运行出现区域性失效，以及造成严重后果的情况。因此，严重不符合项与重大缺陷都会给企业带来严重后果。

如果一项内部控制缺陷单独或连同其他缺陷具备合理可能性，导致不能及时防止、发现并纠正财务报表中虽然未达到或未超过重要性水平，但仍然应引起董事会和经理层重视的错报，就应将该缺陷认定为重要缺陷。一般不符合项，针对满足体系要素或体系文件的要求而言，是个别的、偶然的、孤立的、性质轻微的问题；对保证所审区域体系的有效性而言，是次要的问题。由此可见，重要缺陷与一般不符合项的重要性低于重大缺陷与严重不符合项，但仍然引起企业重视。

对于不构成重大缺陷和重要缺陷的财务报告内部控制缺陷，应认定为一般缺陷。而观察项是指：证据虽稍不足，但存在问题，需要提醒的事项；已发现问题，但尚不能构成不合格项，若发展下去就有可能构成为不合格的事项。一般缺陷与观察项是企业管理中存在的重要性最低的漏洞。

由此可知，内部控制评价与质量管理体系审核的结论相近，都是按重要性将企业存在的问题分成三个层次，两者的认定相似。

综上所述，内部控制评价与质量管理体系审核之间存在着紧密的联系，这为两者的整合提供了可能性。

四、内部控制评价和质量管理体系审核的区别

（一）导向不同

内部控制评价是以风险为导向，以企业的发展战略为出发点，是以对整个组织的风险进行评估与改善为最终目的。而质量管理体系审核是以结果为导向，主要是判定结果是否达到了预期效果，查找出不符合项目。

同时，内部控制评价更加注重过程的规范性，注重审核项目运行过程是否符合内部控制的要求。质量管理体系审核更加注重结果的符合性，评判结果是否符合要求。

（二）报告不同

内部控制评价报告为评价报告，需要提出评价发现的主要问题及原因，以及改进措施。内部控制评价要指出企业内部治理方面是否良好，其评价结果比较概括，是针对企业整个内部控制给出的评价，虽然也会在报告中指出内部控制的局部缺陷，但最重要的是针对整体，提出评价。而质量管理体系审核为符合性报告，主要记录质量管理体系审核过程中发现的符合项目以及不符合项目，相比较内部控制评价，更为具体化，需要在报告中指出具体的项目。

虽然内部控制评价与质量管理体系审核存在着不同之处，但是对于评价整合的影响较小，可以在整合之后的评价方法中采用风险与结果双重导向，要求企业不仅注重控制风险，也要关注结果是否达到预期。并且，针对内部控制评价和质量管理体系审核分别出具报告。

五、整合的方法

（一）机构整合

机构整合可以将原企业的内部控制与质量管理体系审核部门进行整合，形成一个新的评价部门，或者由企业内部控制相关部门负责整合后的评价工作。同时，组织整合后的机构人员培训，全面了解内部控制评价与质量管理体系审核，为两种评价方法的整合奠定基础。

整合后的机构应该由企业高层牵头管理，负责两种评价体系的整合以及日后运行工作。具体工作内容包括梳理现有内部控制评价和质量管理体系审核流程、编写整合后的评价方法、推进整合进程，以及对整合后的评价方法进行审核。此外，整合工作应当全员参与，各业务部门之间相互支持配合，及时提出改进意见，使得整合后的评价方法能适合企业的日常管理，确保整合工作的顺利完成。

（二）程序整合

程序整合可以根据PDCA循环的思想将内部控制评价和质量管理体系审核的程序进行整合，用来评价内部控制和质量管理体系整合后的系统。

首先，统一制定评价计划（Plan），以风险与结果为目标，制定计划方案。应当根据企业的实际情况、管理要求，分析企业经营管理过程中存在的高风险领域和重要业务事项，然后制定科学合理的工作方案，报经董事会或类似机构审批。制定评价工作计划时，应当明确评价范围、工作任务、人员分工、进度安排和费用预算等相关内容。制定好评价计划后，成立工作小组。工作组成员应该保持独立性，并且掌握内部控制和质量管理体系的相应知识，具有相关的业务知识和相应的胜任能力。其次，统一开展工作（Do），实施相应的程序与测试。了解企业公司层面、业务层面的相关情况，以及体系运行情况，同时，要确定检查的范围和重点，并特别关注可能存在的重大缺陷以及严重不合格项。最后，根据收集的资料汇总评价结果，出具评价报告。评价报告应当经由工作组负责人严格审核确认后，在单位进行通报。对于认定的重大缺陷和严重不合格项，以适当形式向董事会、监事会或者经理层通报，及时采取应对措施。

评价工作结束后，对评价方法进行检查（Check）。通过聘请第三方鉴证机构进行（如注册会计师等）或者组建企业内部专业检查小组，主要检查前两个环节评价过程中的评价方法、评价范围、评价流程、评价频率等，这是一个系统内的自我监督，以此保证整合后的评价体系的评价结果有效性。

针对整合后评价体系发现的问题，应及时进行整改（Action）。对相应的体系缺陷进行逐一整改，并对改进的过程和改进的结果进行总结、反馈。同时，根据相关评价报告对下一循环的评价计划进行相应的调整，并引入奖惩制度，提高企业评价与改进的积极性。当一个PDCA循环结束后，通过总结，可以将本次循环优化改进的部分形成标准化方案，进行持续推广，将已经发现但未完全改善的体系缺陷按照计划编制进入下一个PDCA循环，从而构建一种持续性的内部优化体系，有助于企业通过这一评价模式较好地进行管理体系的改进与完善。

（三）方法整合

进行质量管理体系审核时，可以采用提问与交谈、观察、查阅文件、实际测量、计算等方法。内部控制评价的方法有个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样、比较分析、审阅与检查等。

方法整合可以将两者的方法结合，整合后的评价审核可采用询问、观察、检查、穿行测试、比较分析等方法。

1.詢问包括与员工交流、咨询，也可以采用填写调查问卷的方法，用于了解企业层面的评价。

2.通过观察，可以发现企业内部控制以及质量管理体系的执行情况，是否每项业务都遵循要求执行。

3.检查是用于业务层面评价审核的方法。既可以检查企业实物资产，如固定资产、存货等，也可以检查企业的相关文件，包括电子、纸质和其他介质的资料。

4.虽然穿行测试是用于内部控制评价的方法，但是评价审核人员也可以通过穿行测试获取对质量管理体系的了解，查找出潜在的质量管理体系设计问题及相关控制问题。

5.企业可以通过比较分析方法，计算分析或者数据分析，识别出内部控制和质量管理体系中的关注点，找出异常情况，进行检查。

由于质量管理体系的审核中并没有项目必须通过函证验证，因此函证方法不适用于整合后的方法。但是，由于某些项目的特殊性，必须通过函证，以了解企业与第三方的协议或交易。因此，在实际操作过程中，可以根据企业情况，考虑是否需要采用函证的方法。

（四）文件整合

内部控制评价与质量管理体系审核都有其相应的文件，将这两者的文件进行对比，见表1。

通过对比可以发现，虽然内部控制评价与质量管理体系审核的文件名称不同，但其内容有相通之处，可以尝试将这两者的文件合二为一，整合成为一套文件。

第一步，工作计划由整合后的部门与董事会或类似治理层机构共同确定。工作计划应该明确评价审核的范围、工作任务、人员分工、进度安排和费用预算等事项，部门制定的工作计划，报经董事会或其授权审批后开始实施。

第二步，结合内部控制评价工作底稿和现场检查表，我们可以整合为情况记录表，如表2所示。情况记录表中应该记录实施的评价审核程序，以及企业的相关情况。在该情况记录表中，首先要针对企业控制环境进行检查，例如制度建设情况、职能部门工作情况等，然后按照具体业务分类进行检查。在进行企业内部评价时，应及时记录每项总体评价或具体业务所涉及的评价程序，以及检查结果。

由于不同企业具体项目不同，本文只列举了一些常规项，实际运用过程中，企业可根据自身情况对情况记录表中的内容进行增减。评价内容不需要包括企业全部方面，但应涉及所有重要方面。在检查结果栏中应注明具体情况，在结论栏中分别按内部控制评价和内部审核结果填写：内部控制评价为一般缺陷、重要缺陷、重大缺陷；内部审核为观察项、一般不符合项、严重不符合项。

以采购业务为例。采购业务是企业具体业务中的常见项目，与企业管理有着紧密联系，内部控制和质量管理体系都需要对采购业务进行评价审核。可以将采购业务分成：职责与权限、采购过程、物资质量等部分。职责与权限又可以细分：供应商信用评级；采购价格是否经过授权审批；采购合同是否经过审批等。记录评价审核结果，并且认定是否为缺陷项和不符合项。

第三步，填写完情况记录表后，出具问题项目表，列明评价审核过程中发现的问题。

第四步，由于内部控制评价与质量管理体系审核的报告不一致，为了使评价报告更科学，可以根据内部控制评价与质量管理体系审核分别出具报告，即内部控制评价报告和质量管理体系审核报告。

六、结论与建议

综上所述，企业在整合内部控制与质量管理体系的同时，将内部控制评价与质量管理体系审核进行整合，既存在可行性，又具有必要性。通过本文的研究，可以通过机构整合、程序整合、方法整合和文件整合的办法，使得这二者融为一体。

同时，企业在实践过程中，应该根据各自的特点，及时进行调整，使得整合后的体系能够运行顺畅，真正将这两套体系和谐地整合在一起。

希望通过本文的探讨，可以为这二者整合提供一些意见和建议，最终促进内部控制体系与质量管理体系整合，从而更好地协调企业管理，提高管理效率，实现企业经营目标。●

【参考文献】

[1] 曾亿红.试论质量管理体系与内部控制体系的整合[J].企业家天地，2009（2）：23-29.

[2] 旷明燕.内部控制制度与质量管理体系的整合及效果[J].石油化工管理干部学院学报，2011（1）：48-53.

[3] 李志京.基于质量管理视角的企业内部控制评价的研究[D].北京交通大学硕士学位论文，2014.

[4] 梅玮，吕红涛.企业内部控制框架内整合全面质量管理体系研究[J].企业改革与管理，2014（8）：35-36.

[5] 陈留平，朱云骢.全面质量管理体系与内部控制整合的探讨[J].会计之友，2016（11）：77-80.