内部控制评价与内部控制审计协调的实践与思考

何 如

作者单位：江苏省广电有线信息网络有限公司风控审计部

为加强企业内部控制建设，2010年4月财政部会同证监会、审计署、银监会、保监会制定了《企业内部控制配套指引》（财会〔2010〕11 号），配套指引中包含18 项应用指引，以及《企业内部控制评价指引》和《企业内部控制审计指引》。明确规定执行《企业内部控制基本规范》（财会〔2008〕7 号）及《企业内部控制配套指引》的上市公司和非上市大中型企业，应当对内控控制的有效性进行自我评价，并披露年度自我评价报告。同时应当聘请会计师事务所对企业内部控制的有效性进行审计并出具审计报告。2012年2月，财政部印发了《企业内部控制规范体系实施中相关问题解释第1 号》（财会〔2012〕3 号），2012年9月印发了《企业内部控制规范体系实施中相关问题解释第2 号》（财会〔2012〕18 号），回答和解决企业在组织开展内部控制评价、内部控制审计等内部控制体系建设中反映的问题。但由于不同企业战略目标、组织架构、业务类型、经营规模不尽相同，对相关法律法规的认识和理解程度也有差异，在开展内部控制评价和审计业务活动中，还存在很大误区，严重影响着企业内部控制体系建设的推进。

一、内部控制评价和内部控制审计实务中存在的问题

1.目标不明，沟通不畅。一些企业董事会、审计委员会、内部控制评价部门、注册会计师等纵向之间，内部控制评价部门内部、内部控制评价工作组与被评价部门横向之间，缺少有效的工作沟通和交流。有的把内部控制评价和内部控制审计完全看成是监管部门的要求；有的不让注册会计师了解情况，不与注册会计师协商；有的不向企业经营决策层反映相关重大事项，造成评价者与被评价者、审计者与被审计者的沟通不顺畅。评价者和审计者认为下属单位不愿意接受更多的监管或者牵制，被评价者、被审计者认为上级部门无事生非、故意找茬，同时也造成内部控制评价意见和内部控制审计意见不一致。

2.形式表面，缺乏效果。有的企业消极对待内部控制评价和内部控制审计过程，不针对企业本身的内部环境来设置内部控制评价部门，不组成内部控制评价工作组；有的虽然组成内部控制评价工作组，但职责不明确，内部控制评价和审计的实施没有重点内容且缺乏针对性；有的企业未开展内部控制评价就要求注册会计师实施年度内部控制审计，对注册会计师开展的内部控制审计工作计划、进度、结果也不予关注，直接把内部控制审计报告的结果，照葫芦画瓢编制内部控制评价报告。疲于应付，为评价而评价、为审计而审计、为出具报告而评价或审计。

3.能力不足，轻视培训。有的企业内部控制专业人员力量严重不足或能力不够，内部控制评价工作方案仅仅为一些原则上的要求，没有具体的组织形式、工作进度、人员分工、工作重点、工作底稿编制等相关要素，不能通过内部控制评价和内部控制审计工作揭示内部控制存在的缺陷，也识别不了企业经营业务和内部管理方面存在的风险等级，造成企业无法运用内部控制体系建设结果，企业决策层不重视企业内部控制相关专业人员的培训和培养。久而久之，形成不良影响甚至恶性循环，削弱了内部控制评价和内部控制审计的积极作用。

二、内部控制评价和内部控制审计协调的基础

内部控制评价是由企业董事会或类似权力机构授权企业内部控制评价部门，在遵循全面性、重要性、客观性原则的基础上，按照一定的方式、程序和要求，对内部控制的有效性进行全面评价并出具评价报告的过程。从董事会授权谁去组织实施，到披露上报内部控制评价报告这个过程，是企业内部相关部门或岗位在纵向或横向之间实现的审批、执行、沟通等内部程序。评价内部控制的有效性是企业董事会的责任，董事会对内部控制评价报告的真实性负责。内部控制审计是会计师事务所接受企业委托后，由注册会计师对企业内部控制设计与运行的有效性进行审计，并发表审计意见、出具审计报告的过程。聘请会计师事务所开展内部控制审计是企业建设与实施内部控制的重要环节，企业应就该项业务与会计师事务所签订单独的业务约定书，约定有关费用标准，对会计师事务所审计资源的投入和审计质量提出具体要求。注册会计师的审计责任是对内部控制的有效性发表审计意见。内部控制评价与内部控制审计的目的都是促进企业未来又好又快的可持续健康发展，因此二者在很多方面都有协同之处。《企业内部控制基本规范》规定“审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价，协调内部控制审计及其他相关事宜等”，就体现了内部控制评价和内部控制审计在相关方面的一致性。

1.工作对象及内容的协调。一是内部控制评价和内部控制审计工作对象都是企业某一阶段内部控制体系设计和运行的有效性，并且二者关注的重点都是重要业务单位、企业重大事项和高风险业务。二是二者使用手段也具有相似性，在现场测试中，一般都是访谈、问卷调查、专题研讨、抽样检查、现场查验、分析比较等多种手段混合运用。三是二者在分析内部控制可能存在的重大缺陷、重要缺陷、一般缺陷的标准上也具有一致性，而且要求企业对存在缺陷、问题进行整改的目标和措施也是一致的。

2.组织架构专业性的协调。内部控制评价由董事会或类似主管机构领头，由专门的内部控制部门具体负责，以评估内部控制体系及相关措施的有效性，形成评价结论，并出具评价报告。内部控制审计则是由接受委托的会计师事务所通过确认、评价企业内部控制是否有效，从而识别风险、评估风险及帮助企业应对风险。可见，不管是董事会或类似主管机构还是会计师事务所，二者的专业性或是独立性都是一致的。从实际情况来看，大多数企业内部控制部门及会计师事务所都具备较强的专业能力和较高的职业素质，因此可以有效指引内部控制评价报告。在内部控制评价过程中，企业应自觉接受内部控制评价或内部控制审计提出的合理性建议，从上到下、从内到外全方位防范控制缺失。

3.共享成果的协调。无论是内部控制评价还是内部控制审计，都是对内控的有效性发表意见，并最终都会形成报告。两者都会对特定日期与会计报表相关的内部控制有效性的认定进行审核，并对某个截止日期的财务报告内部控制的有效性发表意见。需要注意的是，内部控制评价在性质上属于企业的高层领导机构对企业运作的自我审视和自我评价，评价结果更有针对性，也更能体现企业的特殊性与重要性，相比审计报告而言更主观一些，因此只能将其作为一种辅助。而内部控制的审计报告则是依托于独立、专业的会计师事务所进行，其专业性和权威性更强，能够更客观地指出企业内部控制评价的缺失，提出更大众化的普遍意义上的建设意见与措施，帮助企业防范可能发生的财务风险。

三、提高内部控制评价和内部控制审计协调的关键环节

企业应当立足于行业特点和企业实际，在遵循法律规范的基础上，协调做好年度内部控制评价和内部控制审计工作。

1.明确内部控制评价部门。企业可以根据组织架构、经营规模和发展战略的需要，设置内部控制评价部门，开展内部控制评价工作。由于企业内部审计机构处于相对独立的地位，工作性质和人员的业务专长与内部控制评价工作有着密切的联系，因此企业内部审计机构可以具体实施内部控制评价工作；对于经营规模和风险较大、内部信息系统复杂且健全的企业，可以设置专门的内部控制机构，组织实施内部控制评价，直接向董事会负责；也可以根据需要成立非常设专门机构，开展内部控制评价工作；企业还可以在完善内部控制体系建设、编制或者修订内部控制手册时期，聘请中介机构帮助开展内部控制评价。但需要注意，聘请帮助企业开展内控体系建设的中介机构不能同时开展内部控制审计。内部控制评价部门在具体部署内部控制评价工作时，可以组织企业内部审计、财务、人事、投资、纪检、生产、经营等管理机构不同业务方面的专业人员加入内部控制评价工作组。

2.同步开展内部控制评价和内部控制审计。企业年度内部控制评价报告的基准日是12月31日，按有关规定，内部控制审计应当在接近内部控制评价基准日实施测试；在内部控制审计的计划阶段，注册会计师应当对企业内部控制自我评价工作进行评估；在审计实施阶段，应当关注企业对内部控制有效性的自我评价情况；在审计完成阶段，被审计单位要向注册会计师提供书面声明，书面声明包含对内部控制有效性作出评价结论，以及在内部控制评价基准日后，企业内部控制是否发生重大变化或者发生对内部控制具有重要影响的相关因素。因此，内部控制审计不能脱离企业内部控制评价工作而孤立开展。内部控制评价工作也无需背着内部控制审计而实施。企业内部控制评价部门协调注册会计师做好审前准备、现场测试、缺陷认定等活动，既是学习和了解相关专业技能的过程，也是组织开展内部控制评价的过程。要把注册会计师开展内部控制审计的业务活动贯穿到企业内部控制评价工作中，同步开展内部控制评价工作，使得注册会计师在内部控制评价工作中给予指导和服务，从而促进提高内部控制评价工作质量。注册会计师也因此能够及时了解企业内部控制评价工作进度情况，因为只有了解单位内部控制评价工作的实施过程，才能对企业开展内部控制评价情况和结果发表意见，并且根据实际情况决定是否利用内部控制评价相关结果。内部控制审计本身就是一项鉴证服务业务，该项业务包含了对企业建立和实施内部控制的服务和咨询，这与《企业内部控制基本规范》第十条“为企业内部控制控制提供咨询的会计师事务所，不得同时为同一企业提供内部审计服务”不相矛盾。

3.规范内部控制评价工作方案审批程序。企业内部控制评价部门可以在拟定内部控制评价工作方案之前，召开企业分管领导和相关部门、注册会计师参加的沟通协调会，梳理当年度企业重大投资决策和经营活动、重大组织机构变化、重要内部管理制度执行、以往年度内部控制缺陷和问题整改等情况，讨论确定纳入本年度内部控制评价范围和内部控制审计范围的不同业务类型、不同规模的各下属单位和机构，提出需要关注的重大事项和高风险业务；讨论拟定吸收哪些内部机构中熟悉情况的业务骨干加入内部控制评价工作组，明确工作组组长以及当年度内部控制评价工作时间进度、工作步骤、人员分工、工作底稿编制、内部控制评价报告时间和审批流程、费用预算等。在此基础上编制完成内部控制评价工作方案，按规定报董事会审批后组织开展。

4.重视内部控制缺陷初步认定。内部控制评价工作组通过进行个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样比较分析等现场工作阶段后，编制内部控制评价工作底稿，记录各被评价事项存在的缺陷和问题，分析内部控制缺陷性质和产生原因，与被评价单位讨论拟定整改和纠正的初步意见和措施。对于设计缺陷，应从企业内部的管理制度和业务流程入手查找原因，明确需要更新、调整、废止的相关制度和责任部门；对于运行缺陷，应当分析原因，查清流程缺陷和责任部门；对于存在重大问题和重大缺陷的事项要收集充分的证明材料，并根据具体事项提出将风险控制在可承受度之内的初步措施和预案。

5.加强内部控制缺陷整改。内部控制评价部门应该及时跟踪了解内部控制评价工作组的项目进度，汇总整理内部控制评价工作底稿，必要时召开协调会，采取适当形式将内部控制评价和内部控制审计过程中的重大事项上报董事会、监事会、或者管理层，以便企业决策层及时掌握企业内部发生的重大问题和重大缺陷，确定下一步整改步骤和措施。内部控制评价发现问题和认定缺陷至内部控制评价报告编制完成期间，是企业对存在问题和缺陷进行整改纠错的最佳阶段。各被评价单位可以在注册会计师的指导之下，对提出的内部控制一般缺陷、重要缺陷、重大缺陷，有针对性的进行整改和纠正，并将整改结果上报内部控制评价部门和注册会计师，以便内部控制评价报告和内部控制审计报告结论的最终定性。

6.规范披露或上报内部控制审计和内部控制评价结果程序。内部控制评价部门应当结合企业内部相关部门和单位对内部控制体系的设计或者运行缺陷的整改情况，拟定内部控制评价报告。内部控制评价报告在上报董事会、审计委员会审议之前，可以召开公司分管领导和相关部门参加的协调会，内部控制评价部门总结年度内部控制评价工作情况，对内部控制评价报告的编制、认定的一般缺陷、重要缺陷、重大缺陷和整改等情况予以说明。注册会计师也可以将初步完成的内部控制审计报告在协调会上一并进行沟通，实现内部控制评价意见和内部审计审计意见的一致。董事会审议通过内部控制评价和内部控制审计结果后，企业应该根据相关规定，在基准日后的4 个月内同时对外披露报送内部控制审计报告和内部控制评价报告。