淺議內部審計在加強企業內部控制的重要性

楊軼坤

前言

美國國會于二零零二年七月三十日通過了《薩班斯-奧克斯利法案》,強化了對上市公司的監管。該法案素以條款嚴苛而著稱,其中的404條款要求所有在美國上市的企業,公司管理層每年需就財務報告內部控制出具評估報告,并要求獨立外部審計師對管理層的報告發表聲明,其內容包括建立和維護有效內部控制的責任聲明、內部控制評估標準、管理層評估結論和外部審計師意見等,是此法案中最難操作、最復雜、耗費成本最高的一項條款。

2008年6月28日,財政部、證監會、審計署、銀監會、保監會五部委在北京聯合召開企業內部控制基本規范發布會暨首屆企業內部控制高層論壇,會議發布了《企業內部控制基本規范》。這份具有標志意義的被稱為“中國的薩班斯法案”文件的正式發布,意味著從2009年7月開始,國內千余家上市企業都將遵循《企業內部控制基本規范》的要求,接受國家監管部門的審查,不能通過審查的企業將在公司價值、融資成本等方面蒙受重大損失,甚至遭到資本市場無情的淘汰。從2006到2008的兩年間,中國財政部,國資委、證監會、銀監會、保監會等監管組織的一系列政策法規緊鑼密鼓的出臺,標志著中國上市企業全面進入內控監察階段。

廣深鐵路股份有限公司是中國鐵路唯一于美國、香港和上海三地同時上市的公司,為滿足境內外監管對公司內部控制的要求,自2006年以來,廣深鐵路股份有限公司全面建立、完善了公司的內部控制體系,并對其有效運行進行持續監督。作為廣深鐵路股份公司的內部審計的審計部不論是在內控體系建立之初,還是在內控完善之后的控制測評,隨著角色的轉變,充分發揮了內部審計舉足輕重的作用。現將我們公司內部審計在加強企業內部控制方面的實踐經驗與大家分享。

隨著經濟全球化進程的加快,我國越來越多的企業加入激烈競爭的國際市場,企業面臨的各種風險不斷擴大,企業管理的各方面越來越關注環境變化所帶來的風險,加強風險管理和內部控制的要求越來越迫切。特別在美國上市的一些中國企業,預先感受到建立內控體系的緊迫。面對薩班斯法案404條款對企業內部控制的苛刻要求以及我國《企業內部控制基本規范》的出臺,越來越多的企業要展開內部控制的建設,加強風險管理,確保企業的可持續發展。如何運用一個標準尺度打造適合企業自身實際的內部控制體系,又采取何種手段來有效監控內控制度的有效運行……。通過對一部分率先完善內控的企業案例的分析,可以充分證明內部審計在內控建設過程中扮演了舉足輕重的作用,是實現內控目標的有效手段。

一、內部控制與內部審計的關系

(一)內部控制

在現代市場經濟,內部控制被普遍認為是企業自身的免疫系統和修復系統,是保證企業正常經營、規避和化解風險、提高經營管理水平、實現企業戰略目標的重要措施和保障,其重要性不言而喻,所以只有深刻領會內部控制的實質,我們才能有的放矢的建立和完善。去年五部委聯合發文《企業內部控制基本規范》,其中對內部控制進行了明確的定義,即“內部控制是由董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程。”內部控制內涵已從過去狹義的內部控制逐步發展為當今廣義內部控制。狹義內部控制僅限與會計有關的部分,主要用以保證財務報告的可靠性,例如會計人員關注的內部會計監督制度,審計人員所關注的內部會計控制制度等。而如今廣義內部控制除以上內容外,還包括與保證經營活動效率有關的部分,即組織管理當局所關注的內部控制,如董事會的設立、管理者的素質、企業文化、風險評估、信息溝通等等。

(二)內部審計

內部審計是指由部門、單位內部審計機構和人員進行的審計,是在單位內部建立的一種獨立的評價監督部門,其目的是協調單位人員有效履行責任,監督各項管理措施的執行并對其做出評價,以促進企業管理效率的提高。內部審計雖然存在著獨立性不夠充分的局限性,但它具有對本單位的情況比較熟悉,取證比較容易的優點,因而,容易收到審計效果。

(三)內部審計與內部控制的關系

1、內部控制為內部審計的工作指引了方向。從去年出臺的《企業內部控制基本規范》來看,內部控制的范圍已由傳統的會計控制逐步擴展到管理控制、經營控制、風險控制,直到幾乎不能細分的諸多業務流程控制,林林總總涉及到公司經營活動的各個方面。內部審計的重點由傳統的以查錯糾弊為主的財務審計轉向管理審計、效益審計和風險審計,審計職能已由傳統的監督評價拓展為監督評價與咨詢,由“監督導向型”向“服務導向型”轉變,內部審計目標也由監督內部控制的設置轉變為改進內部控制系統。兩者之間存在著明顯的互動共進關系,內部控制的方向就是內部審計的方向,內部控制的內容就是內部審計的內容,內部控制的關鍵控制點就是內部審計的重點。內部控制重點的轉移,客觀推動了內部審計重點的隨動和轉移。控制比較健全有效,審計范圍就可以適當縮小,抽取的樣本就可以適當縮小,審計風險就得到控制,反之,審計就需要適當擴大范圍,擴大審計樣本,以規避審計風險。

2、內部審計是內部控制實現的重要手段。 所謂內部控制評估是指審計人員從研究和分析內部控制制度入手,通過符合性測試,對被審計資料所反映的有關經濟活動的真實性、正確性、有效性以及可靠程度做出評價,再通過實質性測試評估內部控制在執行過程是否有效。近年來,內部審計強調 “內部審計要以事前、事中審計為主”。內部審計方式要從以結果為審計對象轉化為以過程和結果為審計對象,既注意對結果的審計,更注重對過程的審計;要從以對某一時間點的靜態情況審計轉化為對全過程的動態情況審計,既注意靜態下的內控水平的審計,更注重過程有效性的審計。參與內部控制評估過程正是將這一理念得以實施。內部控制效果的優劣,評估的標準和手段主要通過內部審計測試來完成,內部審計始終充當著發現內部控制制度缺點的重要角色,充當著內部控制制度的測試者、監督者和信息反饋者。

二、內部審計在內部控制過程中發揮的重要作用

(一)內部審計在組織內控體系建設中的作用

國內多數企業在建立內控體系之初,均采取引進社會審計的會計師事務所作為其技術外援,開展內控建設,汲取發達國家的經驗,將風險管理的理念、技術、方法和手段,應用于企業的發展戰略、投融資決策、業務流程管控、財務會計管理諸多方面。外部審計人員盡管具有豐富的衡量企業實現財務目標的盈利能力及企業風險管理的經驗,也有設計企業內部控制系統的實力,但隨著內控工作的逐步展開,我們明顯的感覺到,他們畢竟對企業情況不是十分熟悉,通過短時間的調查和了解、難以掌握企業控制全貌,只能依賴以憑證、賬薄和財務報告為載體的會計系統以及可以找到管理痕跡的書面上的控制程序,是不可能建立起完全符合企業實際,且可操作性強的內控體系,對評估企業自身風險方面的經驗遠不如內部審計人員,不能提出完全適合企業自身實際情況的合理化建議來促進企業內部控制的健全和完善。而從事內部審計的內審人員,長期立足于本企業的審計,比較熟悉企業的業務并能夠隨時深入到企業經營的全過程去了解掌握具體情況;同時,內審人員熟悉企業的各項治理制度和管理模式,可以在企業的各個領域(不限于財務)查找管理漏洞,識別并防范風險,分析其合理性。內審人員置身于企業內部控制環境中,對企業內部控制最熟悉,因而也最有能力對內控體系建設提出最容易被接受的合理化建議。

企業在建立內部控制體系時應充分發揮內部審計的優勢。首先,在完善制度方面,內部審計獨立于企業內部其它各職能管理部門,其在整個管理體系中的特殊地位決定了他能客觀的針對內部控制制度中固有的局限性客觀地發表改進意見;并且內審部門置身管理體系,能及時、全面的掌握各項制度在實際運行中存在的問題,故在制度完善修訂過程中,為管理層提供專業服務,為風險管理出謀劃策,提出可行性意見。使內部審計成為企業內部戰略的計劃者。其次,在業務流程梳理方面,全面提升技術外援與內部審計的工作契合度,充分借鑒技術外援的先進、科學的工作方法,發揮內部審計對各級業務操作流程熟悉的優勢,全面、系統、規范地描述出業務流程,有效理順工作關系,明晰職責權限。再次,在信息溝通方面,內部審計的溝通橋梁作用是不容忽視的。在海外上市特別是美國上市的國內企業,因為薩班斯法案的強制要求,在組織結構上已經明確了內部審計部門在董事會領導下向審計委員會報告工作、同時為管理層服務的機制。內審報告幫助董事會評價考核管理層。其地位的提升,更有利于在內控體系建設過程中將企業亟待解決的問題高效的反應給管理層,同時讓管理層的管理理念快速得以實施,加快了內控建設的進展。最后,在推動內控體系建設項目方面,眾所周知,目前內控體系建設采用了被國際社會廣泛認可的COSO框架,其標準為美國《薩班斯—奧克斯利法案》所接受;包括控制環境、風險評估、控制活動、信息與溝通、監督等要素,涵蓋了公司的各個層次,涉及到管理的各個方面,貫穿于經營活動的全過程,所以體系的建設是一項系統工程,必須進行科學的項目管理,企業在項目運行過程需要有,也必須有專門的機構積極主動地做好協調工作,有效地加強項目管理,保證項目順利實施,達到項目建設的預期目的。由于內審部門是獨立于其它部門同時又有權對各部門進行審計,是極少可縱觀企業全局的部門,比其他部門掌握的信息都更為全面,故具備承擔內控體系建設項目的管理能力。

(二)內部審計在內控評估過程的作用

《薩班斯法案》頒布之后,公司內部控制的評價內容成為在美上市的公司年報的強制披露義務;對于國內的部分上市公司,根據上交所發出的《關于做好上市公司2008年履行社會責任的報告及內部控制自我評估報告披露工作的通知》要求,同樣要求對企業內部控制的有效性進行評估,此舉進一步推動上市公司建立健全內部控制制度,強制企業為遵從相關法案及規定,必須執行必要的內控評估的工作,以確認內控執行的有效性。故企業內部應建立以內部審計為主線的監控機制,對內控執行的各個環節實現不同程度與方式的監控措施,將內部審計監督行進行擴展,建立由內審部門牽頭并結合其他相關部門來定期執行對內部控制度執行情況的檢查和測評工作。在實際操作中,內審人員可以針對已建立的內部控制體系,制定相應的測試策略,分步驟、有計劃地對企業整體控制環境及各個業務流程的控制過程進行全面綜合的測試和評價風險,衡量企業抵御風險能力,尋找內部控制薄弱環節,提出強化內控建設的措施,防范和化解企業各種經營風險,提高企業管理水平。內審人員通過對企業的內部控制加以系統的檢查和評價,可以適時向企業管理領導層提交審計報告、管理建議,以協助企業管理部門有效地履行其職責。另外,內部控制的健全、有效是一個動態的過程,隨著經營環境在變化,自身在不斷的發展,內部控制制度應適應這種變化并相應進行調整。內審部門在評估過程中,不僅可以及時發現管理中是否存在的錯弊,而且可以督促相關部門及時更新、完善內控制度,防止制度流于形式,盡早發現存在的缺陷,進而提出改善的建議。企業管理層應大膽地放手內審人員,依靠科學的審計方法,將企業經營活動的整個過程實行全免疫系統跟蹤,這樣不僅可以大大降低需聘請技術外援所耗費的中介成本,而且可以充分鍛煉企業內部審計團隊,提高企業綜合競爭力,為企業健康發展保駕護航。