内部审计与内部控制的融合策略

莫满军 宋新秀

[摘要]本文以内部审计和内部控制的现状研究为基础，提出全过程、全领域、全时段三大融合策略，以增强审计能力，创新审计领域，并摸索出一条内部审计和内部控制的融合之路。

[关键词]内部审计 内部控制 融合策略 具体方法

内部审计和内部控制融合是必要的。通过全过

程、全领域、全时段的融合，不断丰富内部控制管理理念，提升企业内部控制水平，拓展内部审计业务范围，改进审计方法，从而提高内部审计工作效率和质量，充分发挥内部审计监督与服务职能。

融合有利于增加企业价值。内部审计通过评价内部控制设计和执行的有效性，及时发现和处理问题，防范和化解企业面临的风险，提高风险管理水平，防止损失，降低成本，提高经营效率和效果，促进企业经营目标的实现。

融合有利于提高工作效率。通过风险分析，科学准确地定位审计重点及内容，结合内部控制的要点、措施及证据，使内部审计人员能清晰了解每一项业务的风险、控制方式及相关的证据资料，并以此为审计切入点开展工作，能有效缩短审计时間，提高审计效率。

融合有利于突出审计重点。内部审计要构建以风险评估为导向、以内部控制为主线、以公司治理为目标的新型审计模式，更加侧重于将审计力量放在高风险领域，并明确人员职责、审计目标，审计重点将更加突出。

一、融合研究的创新点

提出新型的融合理念。创新地提出了全过程、全领域、全时段融合理念，较为系统、全面地阐述了各理念下的具体融合方法，力求构建全方位、立体的融合模式。

提出新型的审计模式。内部审计要构建以风险评估为导向、以内部控制为主线、以公司治理为目标的新型审计模式，充分发挥内部审计和内部控制各自的优势，促使两者相互补充、相互完善，共同促进企业战略目标的实现。

提出构建风险控制审计模板。风险控制审计模板主要用于指导每个审计项目方案的编制，明确具体审计目标、内容及手段，并采取科学方法开展审计工作，以达到节约时间、提高效率的目的。在审计成果运用阶段，提出风险控制审计模板和内部控制风险数据库要互为补充、相互完善的构想。

提出内部审计新的领域。传统的内部审计只局限于内部控制的控制活动方面，而对内部控制的其他要素则没有关注或关注较少，如：控制环境、风险评估、信息与沟通和监督等方面。本文提出要系统、全面地对以上几个方面予以关注，实现内部审计监督的全覆盖，进一步拓展了审计的领域。

以上创新，部分解决了内部审计和内部控制的相关问题，完善了两者的关系，充分发挥了各自的优势，进一步提高了内部审计工作效率，增强了内部审计在公司治理中的作用。

二、内部审计和内部控制的融合策略

融合的总体思路是要全面提升企业的管理水平，增强风险防范能力，保障公司持续、有效、稳定发展，充分发挥内部审计和内部控制的各自优势，促使两者相互补充、相互借鉴、相互完善，形成全方位、立体的融合体，共同促进企业战略目标的实现。

（一）全过程融合

全过程融合是指为实现公司战略目标，内部审计从目标、计划、方案、实施及成果等方面充分与内部控制相结合，相互利用各自的工作成果，协调一致，协同增效。首先，内部审计部门要基于内部控制的要求，制定本部门审计目标，并与企业目标保持一致；在此基础上，分析、识别、评估企业经营管理的各项风险因素，构建风险控制审计模板，据此制定年度工作计划、审计实施方案，并指导审计实施阶段的工作，确保审计能够覆盖高风险领域；在计划实施过程中，还要监控风险的动态变化，不断调整计划；审计终结阶段，将确认的内部控制环节的风险及存在的问题，及时反馈给内部控制管理部门和业务部门，促使其及时修正内部控制流程和制度，最大化体现内部审计的工作成果和价值。如图1所示。

（二）全领域融合

全领域融合是指内部审计通过不同的业务类型，对企业内部控制体系所有要素进行监督和评价，不留监督盲点，全面提升企业内部控制管理水平，共同促进企业总体目标的实现。这要求内部控制关注的风险，内部审计也要关注，并最终促进内部控制体系的完善。《企业内部控制基本规范》提出，内部控制体系由五个要素组成，即内部环境、风险评估、控制活动、信息与沟通、内部监督。它们都是内部控制体系非常重要的组成部分，其中内部环境是内部控制体系的基础；风险评估是内部控制的重要组成部分；控制活动是确保管理层的指令得到贯彻执行的必要措施，存在于整个机构内所有级别和职能部门；信息与沟通是实施内部控制的条件；内部监督是有效执行的重要保障。内部审计作为企业内部的评价监督机制，应将审计业务渗透到企业内部控制的各个环节，通过对内部控制的五个要素全面开展监督和评价，充分发挥内部审计在防范和控制企业经营风险方面的积极作用，从而实现与内部控制全领域融合的目标。如图2所示。

（三）全时段融合

全时段融合是指内部审计通过采取各种措施，把监督关口前移，由传统的事后监督模式向事前预警、事中控制转变，在监督的时间方面与内部控制实现同步。传统的审计模式存在“重监督轻服务、重结果轻过程”的问题，要解决该问题所带来的弊端，就要将内部审计关口前移，不断创新监督模式，积极主动地向风险管理审计和内部控制审计延伸，并对业务活动进行实时监控，持续完善内控制度和流程，形成全时段监督模式。这不仅是完善企业内部管理制度的需要，也是内部审计自身发展的必然趋势。如图3所示。

三、内部审计和内部控制的融合方法

（一）全过程融合

1.总体目标的融合。就是要建立基于内部控制要求的审计目标。将企业内部审计当前和今后一段时期工作的目标确立为：通过应用系统的、规范的方法，监督和评价内部控制的效率、效果，进一步规范企业内部控制活动，提高企业经营管理水平和风险防范能力，促进企业实现控制目标与战略目标。

2.审计计划阶段的融合。内部审计在制定年度审计计划时，应以企业战略风险为导向，在对风险进行总体评估和充分了解内部控制现状的基础上，根据企业的风险状况、管理需要和审计资源的配置等情况，编制年度审计计划。目标就是要实现审计资源的最合理和最高效配置，从而降低审计风险。

3.审计实施阶段的融合。要实现该阶段的融合，内部审计就要构建以风险评估为导向、以内部控制为主线、以公司治理为目标的新型审计模式，其核心工作是建立风险控制审计模板，用以指导工作方案编制，明确具体审计目标、内容及手段，并采取科学方法开展审计工作，以达到节约时间、提高效率的目的。

4.审计终结阶段的融合。这个阶段的融合，也就是审计成果的运用，通过审计结果修正内部控制制度及流程，并补充、完善内部控制风险数据库，从而推动企业内部控制体系建设。再通过内部控制体系，进一步推动风险控制审计模板的完善，用于指导审计实践工作，形成良性循环。

（二）全领域融合

1.内部环境。内部环境是内部控制体系的基础，代表公司的总体态度，是有效实施内部控制的保障。控制环境的优劣，直接影响公司内部控制能否得到贯彻执行，甚至影響公司经营目标及整体战略目标的实现。在企业内部环境中，有些环境是可以改善的，如机构设置、人力资源政策；但有些环境无法在短期内得到明显改善，如员工职业道德。内部审计应对企业内部控制环境持续开展审计与评估，及时发现存在的缺陷，不断改善内部控制环境。

2.风险评估。风险管理是内部控制的重要组成部分，包括风险识别、风险评估和应变策略三个部分。内部审计涉足风险管理领域有其客观必然性，而开展风险管理审计则是内部审计业务拓展的新内容，也是内部审计和内部控制融合的又一重要领域。

3.控制活动。控制活动是指有助于管理层决策顺利实施的政策和程序，是针对风险采取的控制措施，也是风险应对策略的具体化，它贯穿于企业的所有部门及人员，包括诸如批准、授权、查证、核对、资产保护、职责分工和绩效考评等活动。而企业很多风险可通过严格控制管理过程来降低其发生的可能性。内部审计应定期对企业控制活动进行测试，及时发现内部控制存在的薄弱环节并提出改进意见，从而提高企业内部控制的有效性。这也是内部审计和内部控制最直接和最重要的融合领域。

4.信息与沟通。信息与沟通是指相关信息以某种形式在某个时段被识别、获得和沟通，以促使员工采取一定的措施或行动履行自己的职责。《企业内部控制基本规范》要求企业建立内部控制相关信息与沟通制度，明确相关信息的收集、处理和传递程序，加强信息的及时沟通，促进内部控制有效运行。这说明信息与沟通是实施内部控制的重要条件，没有这一环节将影响内部控制的效果。目前，许多企业存在沟通渠道不畅、沟通机制低效的问题，严重影响企业的健康发展。内部审计对这一领域也应该给予足够的关注，做好信息准确性、可靠性的审查和评价。

5.内部监督。内部监督是评估内部控制体系运行质量的过程，是内部控制的补充和完善，它分为日常监督和专项监督。内部审计通过对监督要素的评价，确定企业是否建立有效的监督机制、是否从制度上保证监督部门的权威性和独立性、是否把监督贯穿于企业整个生产经营活动之中等，从而帮助企业建立以预防为主的约束与监督机制，保证内部控制活动的有效性。

（三）全时段融合

全时段融合的核心是通过采取各种措施，把审计关口前移，实现内部审计与内部控制同步监督。

1.构建事前预警、事中控制的新型审计模式。传统内部审计属于事后监督，是会计控制程序的最后一个环节。目前，单一的事后监督已不能满足企业经营管理的需要，要求内部审计的工作重心逐渐向事前、事中转移。内部审计要构建以加强企业内部控制为重点，进行实时预警、实时风险评估、实时责任追究一体化的管理体系。要通过不断转变思维，改进审计方法，拓展审计领域，实现内部审计从事后监督向事前预防、事中控制的转变，最大限度地发挥内部审计的作用。如通过合同结算前审计，严把资金出口，有效规避资金流失风险；通过任中经济责任审计，加强对领导干部的监督，避免“先离后审、事后算账”的弊端。

2.构建实时监控的审计系统。内部审计要建立基于风险管理的实时监控审计系统，它是以信息技术为基础，以风险评估为核心，以在线审计软件为载体，以审计履责风险、质量风险、廉政风险为主要内容的风险防控体系，对被审计单位各类数据进行深层次的挖掘和风险评估，实现事前预警和事中控制的目标。如何开展审计实时监控，提高内部审计信息化的实际使用效果，仍是当前面临的重点和难点，仍待进一步探索。

四、融合研究的展望

一是内部审计的业务范围将会拓宽。从内部控制要素来看，目前内部审计的业务范围只是围绕内部控制的控制活动领域来开展，对其他要素的审计评价工作开展较少。未来内部审计应对内部控制的所有要素进行审计，才能更客观地对整个企业的控制情况进行评价，才能更有利于促进内控设计和执行的双有效。

二是事前预警、事中控制将成为内部审计的重要特征。信息化的到来也给内部审计工作带来翻天覆地的变化，主要体现在通过审计软件的运用，对企业经营业务进行实时预警，既节约了时间又节约了成本，给审计工作带来前所未有的高效。如何开展联网在线审计，建立实时预警机制，提高审计信息化的实际应用效果，将是内部控制与内部审计融合的更高层次。

三是内部审计将在内部控制、风险管理方面发挥重要作用。随着企业规模的不断扩张，管理层对内部控制和风险的认识也在不断深化，内部审计已不再局限于对财务数据的监督检查，而应进一步延伸至前端，要关注企业的内部控制和风险管理，并对其有效性提出意见。

四是“大数据”时代将给内部审计带来新的挑战。信息技术的发展也给内部审计带来空前的机遇和挑战。一方面，审计工作将面对被审计单位海量的数据，不开展大数据分析，审计工作将寸步难行；另一方面，大数据将极大地拓展审计人员的视野，获取各类信息将变得更加方便和快捷。为了适应这种环境，内部审计必须与时俱进，不断完善组织架构和审计技巧。

（作者单位：河北省任丘市华北油田，邮政编码：

062552，电子邮箱：sjzx_mmj@petrochina.com.cn）

主要参考文献

鲍国明，刘力云.现代内部审计[M].北京：中国时代经济出版社， 2014

王兵.中国内部审计发展战略研究[M].北京：中国时代经济出版社， 2014