中烟公司内部控制评价的构建与实施

张毅

【摘 要】本文从COSO内部控制整体架构五要素入手，结合中烟公司实际情况及行业特点，形成具有烟草特色的内控评价方法，对内控评价进行了一定探索和研究。事实证明该思路和方法具有可操作性，运用简单明了、科学客观，能够准确定位内控水平，借鉴评价结果发现内部控制存在的薄弱环节和潜在风险。

【关键词】内部控制；量化评价；过程方法；实施结果

着手对中烟公司内部控制进行评价的过程中，需要确定两个基调：一是标准选择问题。决定选取COSO内部控制整体框架五要素即控制环境、风险评估、控制活动、信息与沟通、监督作为评价标准（一级指标标准），再结合公司实际情况及烟草行业特点进行适当修改来形成中烟公司内部控制评价的标准体系，即二级指标标准和三级指标标准。内容涵盖了组织结构、董事会、权利和责任的分工、企业文化、人力资源政策及实行、诚信及道德价值观、管理哲学和执行能力、员工的胜任能力、风险目标设定、风险识别、风险分析、风险应对、控制程序、控制方式、控制实施、日常监督、专项监督、自我评估等。二是过程控制问题。评价过程的控制是非常重要的，即使评价指标选择定位准确，但因为评价过程的设计不合理，控制不恰当也会导致评价工作的失败，所以通过评价方法及评价程序实现中烟公司内部控制评价的目的。

内控评价工作主要是针对内部控制的健全性、合理性和有效性进行的，健全性的评价主要考虑公司人、财、物、信息的系统控制，生产和销售环节的环闭控制。合理性的评价主要考虑所建立的内控系统是否适应公司的特点和要求，对公司经营活动有影响的重要部门和关键环节是否实施强有力控制，内控所花费成本和产生的经济效益之间是否保持适当的比例。有效性的评价主要考虑内控的政策和措施是否与国家的法律法规、政策相抵触。设定的程序和标准是否得到了贯彻与执行。总体来说就是对公司内部控制的设计层面和执行层面进行评价。

整个内控评价工作分为六项基本要素，分别是评价指标、评价标准、评价指标权重、评价方法及评价程序、评价评分表、内部控制分级模型。每一个要素都是公司内控评价体系不可或缺的组成部分。详述如下：

一、评价指标

评价指标是评价工作的基础，根据COSO内部控制整体框架的基本要素，结合公司实际情况及行业特点，将内控评价指标分为三个层次：

一级指标——COSO内部控制整体框架五要素，即控制环境、风险评估、控制活动、信息与沟通、监督。

二级指标——五要素的分解指标，根据中烟公司的实际情况将各控制要素进一步细化形成不同的二级指标。

三级指标——各二级指标所重点关注及控制的具体内容，即在中烟公司业务和管理流程中所关注的内部控制关键控制点。

二、评价标准

对于评价标准的选择，根据国际通行的以COSO内部控制整体框架五要素为基础，考虑中烟公司实际情况及行业特点等相关影响因素进行适当的修改和完善，形成了具有烟草特色的内部控制评价标准。具体确定了5项一级指标，21项二级指标，95项三级指标。

三、评价指标权重

虽然所选择的各项评价指标都具有特色和代表性，但在针对中烟公司具体业务时，每项评价指标的重要性水平是不同的，具有差异性，只有通过设置指标权重来加以区分，也为内控评价评分表的情况汇总起到一个调节作用。

在评价指标依次划分为三个层次后，与之相对应的也把权重体系分为三个层次：即一级指标权重、二级指标权重、三级指标权重。权重取值在0—1之间，每个层次评价指标权重值之和等于一是以百分制的形式在表中出现。影响评价指标权重的因素主要有：一是烟草行业的特点。二是企业的生产经营规模。三是信息化应用程度。四是复杂的卷烟生产业务流程。五是财务处理的遵循性。六是国家法律法规的执行性。在指标权重的合理确定上选用了较为普遍运用方法，即召集会计师事务所、内部审计、高级管理层、财务主要负责人等专家进行集体讨论，各抒己见，综合汇总，不断修正，依据各项指标对公司管理水平的影响程度和对业务循环的重要性分别赋予不同的权重，使每个指标的权重尽量接近事实。

四、评价方法及评价程序

评价方法：一是从面的角度运用穿行测试方式对内控设计的总体符合性进行评价，验证执行与控制是否一致。二是从点的角度运用关键控制点测试方式对内控执行有效性进行评价，在重点领域关键环节验证控制是否达到效果。

评价程序：一是准备阶段 向各部门提供资料清单，获取并阅读中烟公司内控管理文档，确定重点评价的内控流程和评价指标及权重，编制内控测试方案。二是现场实施阶段 检查内控文档记录并访谈相关岗位人员，随机抽样认真观察控制执行情况，对内控现状进行描述并确定例外事项类型及影响程度，对指标符合性进行判断打分。三是报告阶段 根据各指标分值与对应的权重进行汇总得到内部控制的总体分值，并与内控分级模型级次进行对比，总体评价中烟公司内部控制情况。

五、评价评分表

在完成相应的评价程序后，采用了评价评分表以打分的方式汇总分值来进行评价结果的综合描述。这样比较直接也比较客观，容易被公司各层级（高层、中层、基层）的职工所接受。

指标得分用百分制的形式表达，每一项指标满分為一百分，根据实际情况经过判断来确定指标的符合程度并给出相应分值，其次再考虑指标权重。

公式表达为：内部控制加权综合评价得分=∑COSO要素权重×一级指标分值

一级指标分值=∑二级指标权重×三级指标具体内容得分

通过评价评分表以直观的打分形式对中烟公司的内部控制情况有一个充分的认识和清晰的定位。

六、内部控制分级模型

根据内部控制总体的完善程度，国际上通行做法是将内部控制划分为五个阶段，每个阶段的内部控制都与一个具体的内部控制分值区间相对应。即不可依赖的内部控制（40分以下）、非正式的内部控制（40分—60分）、标准化的内部控制（60分—75分）、受监控的内部控制（75分—90分）、最优化的内部控制（90分—100分）。通过评价评分表的得分情况与该模型区间分值进行对比，就能够对中烟公司的内部控制情况进行定位。

为了验证此方法的可操作性和可适用性，在中烟公司内实施了内部控制评价工作。通过会计师事务所、内部审计、高级管理层、财务主要负责人等专家反复进行集体讨论，逐一确定了内部控制评价标准中5项一级指标和21项二级指标的各自具体所占权重值。设计相关资料调阅清单、访谈提纲、问卷调查表和内部控制评价工作底稿等，为了减少随意性带来的非客观因素影响，通过随机抽取的方式确定评价评分表分别由公司的高层、中层、基层三个层级的在职人员进行打分评价，对表中每一项内容都要求如实认真填写，客观理性打分。

通过打分与计算：

中烟公司内部控制加权综合评价得分=20%×68.8+25%×66.75+ 25%×74.8+15%×84.8+15%×71.15=72.54分

对比内控分级模型，72.54分正处于第三级（60分至75分之间），由此可判断中烟公司的内部控制定位是标准化的内部控制，即为已建立比较规范、系统的内部控制，在设计上基本满足企业内控合理性的大体要求，但执行力还待加强。

通过对中烟公司内部控制的评价可以发现其薄弱环节和潜在风险。薄弱环节有：一是制度体系层次性、规划性不强，目前制度虽已建立但还处在零散状态。二是人力资源政策没有战略性和前瞻性，对员工的胜任能力和发挥工作积极性作用不大，还有“大锅饭”的痕迹。三是只能被动接受各项业务变化带来的风险，没有主动去识别分析可能存在的潜在风险，合理客观评估风险，抗风险能力和主动化解风险能力不足。四是投资业务日益增多，虽然有可行性分析研究和集体决策的环节，但是对投资业务（包括固定資产投资、信息化建设投资、多元化企业投资）的风险评估还停留在定性分析上，主观判断多、数据量化少。五是高级人才流失的风险。六是公司战略目标发展性规划不足的风险。

参考文献：

[1] 朱荣恩，应唯，袁敏. 企业内部控制制度设计——理论与实践[M]. 上海： 上海财经大学出版社， 2005.104-110.

[2] 金彧防. COSO报告下的内部控制新发展——从中航油事件看企业风险管理[J]. 会计研究， 2005（2）.

[3] 方红星，王宏译. COSO委员会. 企业风险管理——整合框架[M]. 大连：东北财经大学出版社， 2005.65-69.