國外內部控制模式研究

摘 要:隨著內部控制理論的不斷發展，比較有名的內控模式有美國的COSO、英國的Cadbury和加拿大的COCO。它們從不同的角度剖析了公司的經營管理活動，為營造良好的內控框架提供了一系列的趨于一致的政策和建議。其中美國的COSO模式從理論到操作方法上闡述了一整套完整的內控框架。

關鍵詞:國外內部控制 模式 研究

中圖分類號:F230

文獻標識碼:A

文章編號:1004-4914(2008)01-109-02

內部控制最早出現于1936年。近幾十年來，隨著內部控制理論的不斷發展，比較有名的內控模式有美國的COSO、英國的Cadbury和加拿大的COCO。它們從不同的角度剖析了公司的經營管理活動，為營造良好的內控框架提供了一系列的趨于一致的政策和建議。其中美國的COSO模式從理論到操作方法上闡述了一整套完整的內控框架。

一、美國的COSO

1985年，美國注冊會計師協會(AICPA)、美國會計學會(AAA)、全國會計師協會(NAA，現為管理會計師協會，IMA)、內部審計師協會(IIA)和財務執行官協會(FEI)共同出資成立了全美反欺詐財務報告國家委員會(NCFR)，專門對財務欺詐問題進行了調查研究。該委員會的研究并沒有局限于獨立審計師的查錯作用，而是密切關注企業法律、金融等方面的咨詢顧問在財務欺詐中的角色，以及企業經理班子的價值觀念與企業財務欺詐的關系，分析會計、內部審計與審計委員會的監督作用，而且涉及到政府管制是否充分有效的問題。該委員會于1987年發表了研究報告，建議并積極敦促其贊助組織通力合作，成立專門機構，創建統一的內部控制定義和評價標準。為響應這一建議，上述五個職業會計團體成立了贊助組織委員會(COSO)，專門對內部控制相關問題進行研究。

1992年9月，COSO委員會正式發布了四份COSO報告，即管理者要覽、框架、對外報告和評估工具。COSO報告發布后，美國審計署認為COSO報告中對外報告所涵蓋的控制僅局限于與財務報告有關的內容，要求將對外報告所涵蓋的內部控制范圍適當擴大。為此，COSO委員會于1994年7月發表了對外報告補充規定，將與保障資產安全有關的控制納入了對外披露的范圍。

COSO報告對促進內部控制制度的完善、推動內部控制的理論研究發揮了積極作用。一些跨國公司根據COSO報告的要求積極完善自身的內部控制制度，改善內部管理。COSO報告的發布，標志著內部控制進入了一個新的階段。i

COSO委員會發布的內部控制框架，說明內部控制是一個由人實施，為企業力求實現下列目標提供合理保證的過程:營運效果和效率;可靠的財務及營運數據和報告; 遵守適用的法律和法規。

COSO委員會提出，企業所設定的目標是一個企業努力的方向，而內部控制組成則是實現或達成該目標所必需的條件，兩者之間存在直接的關系。每一個組成要素適用于所有的目標類別，每一個組成要素也與每一個目標都有關。對于任何企業或企業中的任何部門或這些企業和部門的任何經營活動，內部控制都極為重要。

根據COSO報告，內部控制的基本構成要素包括:控制環境、風險評估、控制活動、信息與溝通、監督五個部分。

1.控制環境。指對建立、加強或削弱特定政策、程序及其效率產生影響的各種因素。企業控制環境決定著其他控制要素能否發揮作用，是內部控制其他要素發揮作用的基礎，直接影響著內部控制的貫徹和執行以及企業內部控制目標的實現，是企業內部控制的核心。具體包括:(1) 董事會或審計委員會。董事會是公司內部控制系統的核心，它負責為企業管理層制訂游戲規則，董事會對公司負有重要的受托管理責任。對內部控制而言，一個積極、主動參與的董事會是相當重要的。但是，只有當董事會擁有技術、才能和智慧并能進行適當管理時，它才能適當履行其監控、引導和監督的責任。董事會應對公司內部控制的建立、完善和有效運行負責。加強企業內部控制，首先要加強董事會的建設，發揮董事會的作用和潛能，使股東及其他利益團體的利益真正受到保護。審計委員會通常包括內部審計師和能夠獨立發表意見的外部指導者。有效的審計委員會在監督公司的會計和財務報告政策和實務中發揮著積極的作用。審計委員會應當有助于董事會和公司審計師的直接交流，允許他們對敏感的爭議公開討論。(2) 管理哲學和經營方式。包括管理當局的全部控制意識，管理當局的控制意識是公司內部各種條件和環境的組合，這種條件和環境反映著管理當局對控制的態度。比如，如果管理當局強調保持可靠的會計記錄和遵守已制定的政策和程序非常重要，那么公司的工作人員在執行他們的任務時，就可能更加關注這些問題。另外，管理當局對財務報告所持的態度和所采取的行動、管理當局對實現預算、利潤和其它財務經營目標的強調程度以及管理當局是否為一個人或幾個人所操縱等也構成這一要素的內容。管理當局的行為應當起到正面的表率作用，應當有利于培養正直道德的價值觀，在組織中形成任人唯賢的機制。(3) 組織結構。公司的組織結構是計劃、指導和控制經營活動的整體框架。它包括公司各個組織單位的形式和性質以及相關的管理職能和報告關系。一個有效的控制環境要求明確界定工作人員的責任和權限。比如，應當明確界定董事會、審計委員會和高級管理當局的責任。(4) 責任授權和劃分的方式。責任授權和劃分的方法影響到責任如何被傳達、如何被理解以及員工在執行任務時責任感的強弱。它包括指派進行經營活動的權利與責任以及建立溝通渠道和設立授權的方式等。它關系到個人和團隊遇到問題時解決問題的主動性，也關系到各個員工行使權力的上限、企業的某些政策和關鍵員工需要具備的知識和經驗，以及企業應配置給員工的資源等。(5) 人力資源政策和實務。一個好的人力資源政策和實務，能確保執行公司政策和程序的人員具有勝任能力和正直的品行，并影響到每一個人的業績和表現，公司必須雇用足夠的人員并給予其足夠的資源，使其能完成所分配的任務，這是建立合適控制環境的基礎。如果公司員工不正直、能力不足，那么即使是最好的內部控制也不能發揮良好的作用。任何企業的核心都是企業中的人及其活動。人的活動在環境中進行，人的品行包括操守、價值觀和能力等，他們既是構成環境的重要要素之一，又與環境相互影響、相互作用。環境要素是推動企業發展的引擎，也是其他一切要素的核心。除必要的工作能力之外，公司雇員還應該具有一定的職業道德水準。公司雇員的勝任能力和正直性在很大程度上取決于公司有關雇傭、訓練、待遇、業績考評及晉升等政策和程序的合理程度。行之有效的人力資源政策，對培養企業員工、提高員工素質、更好地貫徹內控制度，能起到很大的促進作用。

2.風險評估。風險評估，指企業確認和分析與其目標實現相關風險的過程，它形成了如何管理風險的基礎。風險評估要對于按照公認會計原則編制的財務報表有關的風險進行確認、分析和管理，要考慮可能發生的外部和內部事件，及對管理當局在財務報表中的認定有影響的記錄處理、匯總、報告的環境。導致風險發生和變化的環境一般包括招收新的員工、高速增長、新技術、新產品或新作業、信息系統的變化和公司重組。企業必須制定目標，該目標必須和銷售、生產、行銷、財務等作業相結合，為此，企業也必須設立可辨認、分析和管理相關風險的機制，以了解自身所面臨的風險，并適時加以處理。

3.控制活動。控制活動，指為了保證管理指令得到實施而制定并執行的控制政策和程序。企業必須制定控制的政策和程序，并予以執行，以幫助管理階層保證其控制目標的實現。實踐中，控制活動形式多樣，可將其歸結為以下幾類:(1) 實物控制。也稱為資產和記錄接近控制，這些控制活動包括實物安全控制、對計算機以及數據資料的接觸予以授權、定期盤點以及將控制數據予以對比。實物控制中防止資產被竊的程序與財務報告的可靠性有關，如在編制財務報告時，管理層僅僅依賴于永續存貨記錄，則存貨的接近控制與審計有關。(2)職責分離。指將各種功能性職責分離，以防止單獨作業的雇員從事或隱藏不正常行為。一般來說，下面的職責應被分開:業務授權(管理功能)、業務執行(保管職能)、業務記錄(會計職能)、對業績的獨立檢查(監督職能)。理想狀態的職責分離是，沒有一個職員負責超過一個的職能。(3)業績評價。是指將實際業績與其他標準，如前期業績、預算和外部基準尺度進行比較;將不同系列的數據相聯系，如經營數據和財務數據，對功能或運行業績進行評價。這些評價活動對實現企業經營的效果和效率非常有用，但一般與財務報告的可靠性和公允性相關度不高。(4)信息處理。指保證業務在信息系統中正確、完全和經授權處理的活動。信息處理控制可分為兩類:一般控制和應用控制。一般控制與信息系統設計和管理有關，如保證軟件完整的程序、信息處理時間表、系統文件和數據維護等;應用控制與個別數據在信息系統中處理的方式有關，如保證業務正確性和已授權的程序。

4.信息與溝通。一個組織的信息系統是指為了確認、匯總、分析、分類、記錄和報告公司交易等相關事件與情況，并保持相關資產和負債的受托責任而建立的方法和記錄。信息溝通緊緊圍繞在控制活動的周圍，這些系統使企業內部的員工取得它們在執行、管理和控制企業經營過程中所需的信息，并能交換這些信息。

在信息經濟時代，信息對于企業的重要程度是可想而知的。一個良好的信息系統應能生成包括經營情況、財務法規遵循情況的信息，這些信息對企業的經營與管理是至關重要的。這些信息不僅僅是內部信息，也包括外部事件、活動，同時這些信息還必須在企業內部進行由上至下、由下至上的廣泛地傳遞。首先所有員工必須從高層主管那里獲得清楚的信息，使他們清楚自己在內部控制體系中扮演的角色，同時也清楚自己與其他員工之間的關系。其次，員工必須將他們在實踐工作中獲得的信息匯總報告給高層主管，這樣就形成了一個自上而下的信息傳遞流程。由于高層主管不直接參加一線工作，所以他們樂于獲取員工關于工作實踐的信息，他們將這些信息綜合起來，及時加以解決。企業當中自上而下、自下而上的信息傳遞系統能夠及時發現內部控制系統中的薄弱環節，并及時進行改進。

5.監控。內部控制系統需要被監控。監控是由適當的人員，在適當、及時的基礎下，評估控制的設計和運作情況的過程。監控活動由持續監督、個別評估和報告缺陷等內容所組成，能夠確保企業內部控制持續有效的運作。(1)持續的監督活動。持續的監督活動在營運過程中發生，它包括例行的管理和監督活動，以及其他員工為履行其職務所采取的行動。(2)個別評估。盡管持續監督程序可以有效的評價內部控制體系，但企業有時需要組織例外評估以直接監視控制系統的有效性，這種做法可評估持續性監督程序。評估的范圍和頻率，可視風險的大小及控制的重要性而定。(3)報告缺陷。內部控制的缺陷應由下往上報告，某些缺陷應報告給高層管理階層及董事會知道。

在內部控制的監督過程中，有兩項職能發揮著重要作用，即內部審計和控制自我評估。內部審計既是企業內部控制的一個部分，也是監督內部控制其他環節的主要力量。審計部門的作用不僅在于監督企業的內部控制是否被執行，還應該幫助組織進行“軟控制”環境的營造，成為內部控制過程設計的顧問。控制自我評估，是指每個企業不定期或定期地對自己的內部控制系統進行評估，評估內部控制的有效性及其實施的效率效果，以期能更好地達成內部控制的目標。

上述五個要素涉及內容廣泛，但又相互關聯。控制環境是其他控制成份的基礎，在規劃控制活動時，必須對企業可能面臨的風險有細致的了解和評估;而風險評估和控制活動必須借助企業內部信息進行有效的溝通;最后，實施有效的監控以保障內部控制的實施質量。

二、英國的Cadbury

歷史上看，英國內部控制的發展離不開公司治理研究的推動。20世紀80～90年代，英國的公司治理像今天的美國一樣，面臨著巨大的信任危機。面對創造性會計(creative accounting)的泛濫、公司經營的失敗和連續不斷的丑聞、董事薪酬激增以及企業短期行為主義猖獗等一系列公司治理問題，社會公眾、監管機構的不滿情緒日益升溫。這一階段也就成為英國公司治理問題研究的一個高峰期，各種專門委員會紛紛成立，并發布了各自的研究報告，其中最著名的是卡德伯利報告(Cadbury Report，I992)、拉特曼報告(Rutterman Report，1994)、格林伯利報告(C reenbury Report，1995)和哈姆佩爾報告(Hampel Report，1998)。在吸收這些研究成果的基礎上，1998年最終形成了公司治理委員會綜合準則(Combined Code of the committee on Corporate Governance)。綜合準則很快就被倫敦證券交易所認可，成為交易所上市規則的補充，要求所有英國上市公司強制性遵守。這些研究成果從理論和實踐兩個方面，極大地推動了英國公司治理和內部控制的發展，尤其是卡德伯利報告、哈姆佩爾報告，以及作為綜合準則指南的特恩布爾報告(Turnbull Report，1999)，堪稱英國公司治理和內部控制研究史上的三大里程牌。

卡德伯利報告從財務角度研究公司治理，同時將內部控制置于公司治理的框架之下。其實，1985年“公司法”S.221條款就規定，董事對公司保持充分的會計記錄負責。為滿足上述要求，在現實中董事必須建立公司財務管理方面的內部控制制度，包括設計程序使舞弊風險最小化。也就是說，1985年的“公司法”已經對董事確保適當的內部控制制度提出了含蓄的要求。

卡德伯利報告進一步認為，有效的內部控制是公司有效管理的一個重要方面。因此建議董事們應發表一個聲明，對公司內部控制的有效性進行詳細描述，外部審計師對其聲明進行復核(review)和報告，同時規定在董事會認可聲明之前，審計委員會應對公司的內部控制聲明進行復核。該報告還認為，內部審計有助于確保內部控制的有效性，內部審計的日常監督是內部控制的整體組成部分，會計師職業應在以下方面起到領導作用:(1)開發用以評估有效性的一整套標準;(2)開發董事會報告形式的具體指南:(3)開發審計師用以相關審計程序和報告格式的具體指南。

卡德伯利報告在許多方面開創了英國公司治理歷史的先河，它明確要求建立審計委員會、實行獨立董事制度，同時將內部控制作為公司治理的組成部分。

參考文獻:

1.王靜.美國COSO報告及其借鑒意義. 財會月刊，2006(4)

2.郝留紅.內部控制整體框架思想在我國內部會計控制中的應用研究(碩士學位論文).萬方中國學位論文數據庫，2003

(作者單位:河南省紅十字血液中心 河南鄭州 450000)(責編:賈偉)