论文部分内容阅读
《企业内部控制评价指引（征求意见稿）》的发布为企业建设和完善内部控制体系提供了有力的依据与基础，大多数企业已开始越来越重视对内部控制的衡量与评价问题。内部控制评价机制的实践性、可行性决定了内部控制评价的实施效果。这就是说，如何解读《企业内部控制评价指引（征求意见稿）》，以及如何合理利用内部控制评价系统以达到最大效用就成为了企业必将面对的挑战。
一、企业内部控制评价的定义及其重要性
企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。内部控制是企业的灵魂所在，而内部控制评价是内部控制中的重要组成部分，它在评估、回馈、再评估的循环往复过程中实现对内部体制的修正和完善。它同样是具有制度性的，根据评价的结果来考核管理层及员工的绩效，是对内部控制系统的反思与重新审视。
首先，企业内部控制评价能发现并纠正内部控制体系中存在的缺陷，让内部控制日臻完善。任何内部控制制度的成功运行都要依靠强大的评价系统做支撑。内部控制评价系统通过对制度执行情况的调查、评估和反馈，找出内部控制制度中存在的问题以进行有针对性的修正和整改。也就是说，内部控制评价是对内部控制的再控制。事实上，真正有效的内控系统是处于动态发展之中的，是一个依靠不断评价、反馈以实现动态平衡的过程。
同时，内部控制评价能够强化公司制企业的受托责任，加强对企业内部的监督管理。现代企业的经营管理模式决定了大多数企业都面临着委托代理风险，如何实现有效的牵制，如何获取有关内部控制的整体概况以降低委托代理风险就显得尤为重要。而内部控制评价报告正是解决问题的有效手段，定期的内部控制评价报告为股东及董事会跟踪了解企业经营状况以及内部控制水平提供了平台。同时，评价报告同样是对管理层及企业员工的有形约束，促进内部控制制度的不断改进与完善。
更重要的是，内部控制评价能提高企业经济和财务行为的透明度使利益相关者更深入地了解企业的发展情况。随着内部控制在企业中的影响力逐渐扩大，出具真实可靠的内部控制评价报告已成为市场对企业的基本要求。企业的投资者、债权人以及其它的利益相关者透过内部控制评价报告可以对企业的目标、运作模式、风险管理水平等进行更深入的了解。此举不仅强化了企业主体的责任意识，也为企业树立了良好的形象，更营造了有利的外部环境增强了市场对企业的信赖度与认可度。
二、企业运用《企业内部控制评价指引（征求意见稿）》进行内部控制评价的执行难点
（一）内部控制评价主体的界定
《企业内部控制评价指引（征求意见稿）》第七条明确指出“企业可以授权内部审计部门负责组织和实施内部控制评价工作。具备条件的企业，可以设立专门的内部控制评价机构”。首先，表述中只是说“可以设立专门的内部控制评价机构”，但是对于内部控制评价机构应该如何构成则并未做出详细规定。首先，内部审计部门并不等同于内部控制评价机构，“若将内部控制授权给内部审计机构，应明确内部控制和内部审计的联系与区别。内部审计是内部控制评价的重要组成部分，但其所执行的工作并不足以代替内部控制评价的所有方面”。内部审计主要侧重于对财务报表等的复核与测试，而内部控制还包含多种非财务因素，即单纯的内部审计不足以完成内部控制评价报告。而恰当的内部控制评价主体是内部控制评价结果的可靠性和公允性的保证。因此，组织构建一个完整、健全的内部控制评价机构是内部控制评价有效性的关键所在。
（二）内部控制评价内容的复杂性与全面性
《企业内部控制评价指引（征求意见稿）》的第九条规定“企业应当对与实现整体控制目标相关的内部环境、风险评估、控制活动、信息与沟通、内部监督等内部控制要素进行全面系统、有针对性的评价”，由此可见，内部控制评价涉及到企业整个运营过程的所有方面。评价指引要求要对控制活动进行必要的测试，获取充分、相关、可靠的证据对内部控制有效性进行评价。在评价活动中要形成工作底稿，详细记录评价过程，内容涵盖内部控制五要素、主要的控制点及规章制度等。此外，评价指引更是罗列了用于评价的各种方法，例如，“标杆法”“穿行测试法”“抽样法”等这些控制测试方法都是建立在专业的统计、审计基础知识之上的。显然，内部控制评价已经不再仅仅是对内部财务报表的审查。要完成高质量的内部控制评价报告，就要综合企业生产经营链的各个方面对企业内部控制进行全面考察。
（三）对内部控制缺陷的鉴定及相应的整改措施
《企业内部控制评价指引（征求意见稿）》的第二十六条规定“企业应当根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷（也称实质性漏洞，以下统称重大缺陷）”。对于缺陷的鉴定是内部控制评价中极为重要的环节，内部控制评价的目的就是找出缺陷实施整改以提高内部控制的有效性。这样一来，缺陷程度的评价标准就成为了企业必须考虑的问题，要实现有效的内部控制评价就必须有完善的缺陷程度评价标准及相应的整改措施指导思想。但问题在于，企业之前对这一领域的制度和规范涉及地很少，缺乏丰富的经验和借鉴的模板。因此，缺陷程度评价标准的制定对于企业来说是一项十分艰巨的任务。
三、针对企业进行内部控制评价的执行难点提出改善的策略
（一）综合多方面因素界定内部控制评价主体
事实上，评价主体的界定与内部控制目标是紧密联系的。譬如说，美国更看重内部控制的有效性，故而SOX法案规定管理层对内部控制报告的评估负责。在我国的评价指引中明确指出“企业董事会及其审计委员会负责领导本企业的内部控制评价工作。监事会对董事会实施内部控制评价进行监督”，这体现的正是评价指引对评价主体全面性的要求。内部控制是基于企业内部管理的各个方面所进行的控制活动，其涵盖面之广泛同样要求在界定内部控制评价主体时要综合考虑多方面的因素。当然，在界定评价主体之前必须明确的是内部控制评价应与内部控制设计相分离。
笔者认为，在界定评价主体时应至少考虑四个方面内容。前已提及，内部控制评价的具体实施是由内部控制评价小组负责的，而评价小组则由企业董事会和内部审计委员会直接领导。首先，评价小组里必须有内部审计人员。因为，对财务报表的审计和考核是内部控制评价系统的重要组成部分，而且对内部财务状况的评价无疑是管理层最关心的问题。更重要的是，诸如测试内部控制等的评价工作需要大量的审计专业知识及方法技巧。“COSO报告指出，当内部控制能纳入企业的基本框架之内，而且是企业本体的一部分时，它最有效”，流程管理部门人员和财务人员由于直接从事具体实践工作，对内部控制制度的流程最熟悉，体会也最深刻。正所谓：“实践是检验真理的唯一标准”，所以流程管理人员和财务人员必须包括在评价小组中。此外，现代企业对完善的内部管理信息系统要求越来越高，计算机管理信息系统已然成为内部控制不可或缺的一部分。设计合理且高效运转的计算机管理信息系统是提高企业日常工作管理效率的关键。因此，对管理信息系统的评价也是内部控制评价的重要内容之一，需要计算机技术人员的参与。 综合上述，企业内部控制评价小组应是在董事会的领导下，综合各方面因素，由内部审计人员、流程管理人员、财务人员以及计算机技术人员构成。
（二）从关键控制点入手以全面性、合理性为基础评价内部控制
内部控制体系的设计就是在所有的关键控制点设计相应的控制程序。“关键控制点是对企业内部控制的有效性具有关键意义的因素或业务过程环节，这些环节如若疏于控制很容易出现问题，企业内部控制就不能发挥其合理保证作用”，即关键控制点构成了内部控制的关节点。内部控制评价内容的全面性决定了在进行评价工作时企业应该综合考虑包括内部环境、风险评估、控制活动、信息与沟通、内部监督等多种因素。而如此繁多复杂的内容在评价工作中不可能一一进行测试。因此，重点把握关键的风险控制点是全面完成评价工作并提高工作效率的必然要求。企业应有效地将对内部控制的评价转化为对控制流程中关键控制点的评价，依据关键控制点的设置思路对内部控制完整性进行考核。这样企业就能确保对内部控制评价的内容进行全面的考察。
在保证内部控制评价完整性的同时还应兼顾内部控制体系设置的合理性。这就是说，在以关键控制点为依据开展评估工作的基础上更应重新审视关键控制点本身的设置合理性问题。从某种程度上说，对合理性的评价甚至比对完整性的评价更为重要，关键控制点合理性的设置是内部控制完整性评估的前提条件。所谓合理性就是评价关键控制点的确定能否有效控制相关风险，能否纠正内部的违规操作，能否为企业的盈利能力提供良好的内部基础。评价内部控制体系是否合理的实质就是评价相关关键控制点的合理性。企业应当采用专业的控制测试方法，对关键风险控制点进行测试，以严谨专业的态度得出关键控制点合理性的结论。
内部控制评价对完整性与合理性的要求均是建立在专业的评估知识与技能基础上的，这对评估人员的专业胜任能力与综合素质提出了较高的要求。企业应针对内部控制评价的相关内容开展员工培训，加强员工对《企业内部控制评价指引（征求意见稿）》的理解与运用，提高评估人员的评估能力与综合素养。
（三）建立针对内部控制缺陷的评价标准及整改方案
企业应当建立完善的内部控制缺陷评价标准以使对内部控制缺陷的界定标准化、制度化。《企业内部控制评价指引（征求意见稿）》明确指出“内部控制评价机构和管理层应当合理确定相关目标发生偏差的可容忍水平，从而对严重偏离的情形予以确定”，这就是说，对内部控制缺陷程度的判断应结合企业的具体情况。不同企业有不同的风险容忍度，这对于缺陷程度的确定是很重要的。结合企业的可容忍水平，将缺陷对企业包括财务、人力资源、销售情况、运营管理等具体方面的影响划分为不同的等级。这就是说，既要对企业整体内部控制建立缺陷评价标准，又要针对不同的内部管理分支建立具体的缺陷评价标准。在建立不同管理分支缺陷评价标准时，要具体结合该管理分支的职能与属性加以确定。缺陷评价标准应构成企业规章制度的一部分，参与企业日常运行，对企业运营状况提供实时监督。
“内部控制缺陷是表述内部控制有效性的一个负向的维度，企业开展内部控制评价主要就是要找出内部控制缺陷并有针对性地进行整改”，企业进行缺陷评级的最终目的是要在正确分析经营活动链条和内部控制体系的基础上进行评价从而客观地认识内部控制。所以，对应不同程度的缺陷要有配套的整改方案以实现对内部控制的完善。当然，整改方案的确定是具有灵活性的，并没有固定的标准，针对不同的缺陷所涉及的企业生产经营的不同方面有不同的整改办法。关于整改办法的确立，应由内部控制评价小组成员和出现问题的部门成员共同协作依据缺陷的属性和相关的专业知识来解决问题。同时，整改方案的制定应从企业大局出发，充分考虑方案对整个企业生产经营链的影响，能够在平衡企业各部门利益的同时适应企业外部环境的发展变化。
参考文献
[1] 张建儒，陈欢．浅议企业的内部控制评价[J].会计之友，2011（5）.
[2] 董美霞．增强企业内部控制评价效果的思考：基于《内部控制评价指引（征求意见稿）》[J].审计与经济研究，2010（01）.
作者简介：郭典典（1990-），女，湖北武汉人，中南财经政法大学会计学院会计学2009级本科生。
（责任编辑：唐荣波）
一、企业内部控制评价的定义及其重要性
企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。内部控制是企业的灵魂所在，而内部控制评价是内部控制中的重要组成部分，它在评估、回馈、再评估的循环往复过程中实现对内部体制的修正和完善。它同样是具有制度性的，根据评价的结果来考核管理层及员工的绩效，是对内部控制系统的反思与重新审视。
首先，企业内部控制评价能发现并纠正内部控制体系中存在的缺陷，让内部控制日臻完善。任何内部控制制度的成功运行都要依靠强大的评价系统做支撑。内部控制评价系统通过对制度执行情况的调查、评估和反馈，找出内部控制制度中存在的问题以进行有针对性的修正和整改。也就是说，内部控制评价是对内部控制的再控制。事实上，真正有效的内控系统是处于动态发展之中的，是一个依靠不断评价、反馈以实现动态平衡的过程。
同时，内部控制评价能够强化公司制企业的受托责任，加强对企业内部的监督管理。现代企业的经营管理模式决定了大多数企业都面临着委托代理风险，如何实现有效的牵制，如何获取有关内部控制的整体概况以降低委托代理风险就显得尤为重要。而内部控制评价报告正是解决问题的有效手段，定期的内部控制评价报告为股东及董事会跟踪了解企业经营状况以及内部控制水平提供了平台。同时，评价报告同样是对管理层及企业员工的有形约束，促进内部控制制度的不断改进与完善。
更重要的是，内部控制评价能提高企业经济和财务行为的透明度使利益相关者更深入地了解企业的发展情况。随着内部控制在企业中的影响力逐渐扩大，出具真实可靠的内部控制评价报告已成为市场对企业的基本要求。企业的投资者、债权人以及其它的利益相关者透过内部控制评价报告可以对企业的目标、运作模式、风险管理水平等进行更深入的了解。此举不仅强化了企业主体的责任意识，也为企业树立了良好的形象，更营造了有利的外部环境增强了市场对企业的信赖度与认可度。
二、企业运用《企业内部控制评价指引（征求意见稿）》进行内部控制评价的执行难点
（一）内部控制评价主体的界定
《企业内部控制评价指引（征求意见稿）》第七条明确指出“企业可以授权内部审计部门负责组织和实施内部控制评价工作。具备条件的企业，可以设立专门的内部控制评价机构”。首先，表述中只是说“可以设立专门的内部控制评价机构”，但是对于内部控制评价机构应该如何构成则并未做出详细规定。首先，内部审计部门并不等同于内部控制评价机构，“若将内部控制授权给内部审计机构，应明确内部控制和内部审计的联系与区别。内部审计是内部控制评价的重要组成部分，但其所执行的工作并不足以代替内部控制评价的所有方面”。内部审计主要侧重于对财务报表等的复核与测试，而内部控制还包含多种非财务因素，即单纯的内部审计不足以完成内部控制评价报告。而恰当的内部控制评价主体是内部控制评价结果的可靠性和公允性的保证。因此，组织构建一个完整、健全的内部控制评价机构是内部控制评价有效性的关键所在。
（二）内部控制评价内容的复杂性与全面性
《企业内部控制评价指引（征求意见稿）》的第九条规定“企业应当对与实现整体控制目标相关的内部环境、风险评估、控制活动、信息与沟通、内部监督等内部控制要素进行全面系统、有针对性的评价”，由此可见，内部控制评价涉及到企业整个运营过程的所有方面。评价指引要求要对控制活动进行必要的测试，获取充分、相关、可靠的证据对内部控制有效性进行评价。在评价活动中要形成工作底稿，详细记录评价过程，内容涵盖内部控制五要素、主要的控制点及规章制度等。此外，评价指引更是罗列了用于评价的各种方法，例如，“标杆法”“穿行测试法”“抽样法”等这些控制测试方法都是建立在专业的统计、审计基础知识之上的。显然，内部控制评价已经不再仅仅是对内部财务报表的审查。要完成高质量的内部控制评价报告，就要综合企业生产经营链的各个方面对企业内部控制进行全面考察。
（三）对内部控制缺陷的鉴定及相应的整改措施
《企业内部控制评价指引（征求意见稿）》的第二十六条规定“企业应当根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷（也称实质性漏洞，以下统称重大缺陷）”。对于缺陷的鉴定是内部控制评价中极为重要的环节，内部控制评价的目的就是找出缺陷实施整改以提高内部控制的有效性。这样一来，缺陷程度的评价标准就成为了企业必须考虑的问题，要实现有效的内部控制评价就必须有完善的缺陷程度评价标准及相应的整改措施指导思想。但问题在于，企业之前对这一领域的制度和规范涉及地很少，缺乏丰富的经验和借鉴的模板。因此，缺陷程度评价标准的制定对于企业来说是一项十分艰巨的任务。
三、针对企业进行内部控制评价的执行难点提出改善的策略
（一）综合多方面因素界定内部控制评价主体
事实上，评价主体的界定与内部控制目标是紧密联系的。譬如说，美国更看重内部控制的有效性，故而SOX法案规定管理层对内部控制报告的评估负责。在我国的评价指引中明确指出“企业董事会及其审计委员会负责领导本企业的内部控制评价工作。监事会对董事会实施内部控制评价进行监督”，这体现的正是评价指引对评价主体全面性的要求。内部控制是基于企业内部管理的各个方面所进行的控制活动，其涵盖面之广泛同样要求在界定内部控制评价主体时要综合考虑多方面的因素。当然，在界定评价主体之前必须明确的是内部控制评价应与内部控制设计相分离。
笔者认为，在界定评价主体时应至少考虑四个方面内容。前已提及，内部控制评价的具体实施是由内部控制评价小组负责的，而评价小组则由企业董事会和内部审计委员会直接领导。首先，评价小组里必须有内部审计人员。因为，对财务报表的审计和考核是内部控制评价系统的重要组成部分，而且对内部财务状况的评价无疑是管理层最关心的问题。更重要的是，诸如测试内部控制等的评价工作需要大量的审计专业知识及方法技巧。“COSO报告指出，当内部控制能纳入企业的基本框架之内，而且是企业本体的一部分时，它最有效”，流程管理部门人员和财务人员由于直接从事具体实践工作，对内部控制制度的流程最熟悉，体会也最深刻。正所谓：“实践是检验真理的唯一标准”，所以流程管理人员和财务人员必须包括在评价小组中。此外，现代企业对完善的内部管理信息系统要求越来越高，计算机管理信息系统已然成为内部控制不可或缺的一部分。设计合理且高效运转的计算机管理信息系统是提高企业日常工作管理效率的关键。因此，对管理信息系统的评价也是内部控制评价的重要内容之一，需要计算机技术人员的参与。 综合上述，企业内部控制评价小组应是在董事会的领导下，综合各方面因素，由内部审计人员、流程管理人员、财务人员以及计算机技术人员构成。
（二）从关键控制点入手以全面性、合理性为基础评价内部控制
内部控制体系的设计就是在所有的关键控制点设计相应的控制程序。“关键控制点是对企业内部控制的有效性具有关键意义的因素或业务过程环节，这些环节如若疏于控制很容易出现问题，企业内部控制就不能发挥其合理保证作用”，即关键控制点构成了内部控制的关节点。内部控制评价内容的全面性决定了在进行评价工作时企业应该综合考虑包括内部环境、风险评估、控制活动、信息与沟通、内部监督等多种因素。而如此繁多复杂的内容在评价工作中不可能一一进行测试。因此，重点把握关键的风险控制点是全面完成评价工作并提高工作效率的必然要求。企业应有效地将对内部控制的评价转化为对控制流程中关键控制点的评价，依据关键控制点的设置思路对内部控制完整性进行考核。这样企业就能确保对内部控制评价的内容进行全面的考察。
在保证内部控制评价完整性的同时还应兼顾内部控制体系设置的合理性。这就是说，在以关键控制点为依据开展评估工作的基础上更应重新审视关键控制点本身的设置合理性问题。从某种程度上说，对合理性的评价甚至比对完整性的评价更为重要，关键控制点合理性的设置是内部控制完整性评估的前提条件。所谓合理性就是评价关键控制点的确定能否有效控制相关风险，能否纠正内部的违规操作，能否为企业的盈利能力提供良好的内部基础。评价内部控制体系是否合理的实质就是评价相关关键控制点的合理性。企业应当采用专业的控制测试方法，对关键风险控制点进行测试，以严谨专业的态度得出关键控制点合理性的结论。
内部控制评价对完整性与合理性的要求均是建立在专业的评估知识与技能基础上的，这对评估人员的专业胜任能力与综合素质提出了较高的要求。企业应针对内部控制评价的相关内容开展员工培训，加强员工对《企业内部控制评价指引（征求意见稿）》的理解与运用，提高评估人员的评估能力与综合素养。
（三）建立针对内部控制缺陷的评价标准及整改方案
企业应当建立完善的内部控制缺陷评价标准以使对内部控制缺陷的界定标准化、制度化。《企业内部控制评价指引（征求意见稿）》明确指出“内部控制评价机构和管理层应当合理确定相关目标发生偏差的可容忍水平，从而对严重偏离的情形予以确定”，这就是说，对内部控制缺陷程度的判断应结合企业的具体情况。不同企业有不同的风险容忍度，这对于缺陷程度的确定是很重要的。结合企业的可容忍水平，将缺陷对企业包括财务、人力资源、销售情况、运营管理等具体方面的影响划分为不同的等级。这就是说，既要对企业整体内部控制建立缺陷评价标准，又要针对不同的内部管理分支建立具体的缺陷评价标准。在建立不同管理分支缺陷评价标准时，要具体结合该管理分支的职能与属性加以确定。缺陷评价标准应构成企业规章制度的一部分，参与企业日常运行，对企业运营状况提供实时监督。
“内部控制缺陷是表述内部控制有效性的一个负向的维度，企业开展内部控制评价主要就是要找出内部控制缺陷并有针对性地进行整改”，企业进行缺陷评级的最终目的是要在正确分析经营活动链条和内部控制体系的基础上进行评价从而客观地认识内部控制。所以，对应不同程度的缺陷要有配套的整改方案以实现对内部控制的完善。当然，整改方案的确定是具有灵活性的，并没有固定的标准，针对不同的缺陷所涉及的企业生产经营的不同方面有不同的整改办法。关于整改办法的确立，应由内部控制评价小组成员和出现问题的部门成员共同协作依据缺陷的属性和相关的专业知识来解决问题。同时，整改方案的制定应从企业大局出发，充分考虑方案对整个企业生产经营链的影响，能够在平衡企业各部门利益的同时适应企业外部环境的发展变化。
参考文献
[1] 张建儒，陈欢．浅议企业的内部控制评价[J].会计之友，2011（5）.
[2] 董美霞．增强企业内部控制评价效果的思考：基于《内部控制评价指引（征求意见稿）》[J].审计与经济研究，2010（01）.
作者简介：郭典典（1990-），女，湖北武汉人，中南财经政法大学会计学院会计学2009级本科生。
（责任编辑：唐荣波）