淺議企業內部控制評估

于航

1西安建筑科技大學MBA 2工行內部審計局西安分局

淺議企業內部控制評估

于航

1西安建筑科技大學MBA 2工行內部審計局西安分局

本文從企業內部控制評估的重要性和必要性，內部控制評估的主要任務、內容、程序和方法等方面進行了表述，重點談了目前內部控制評估中存在的問題并針對性地提出了解決的方法，目的是為了與審計同仁一起探討內部控制評估工作，不斷提高審計質量，進一步拓展審計空間。

企業；內部控制；評估

2002年，美國頒布了《薩班斯——奧克斯利法案》，該法案對美國乃至全球的會計、公司治理等都產生了重大的影響，極大地改變了企業的經營和法律環境。該法案404條款提出的內部控制評審要求，目的在于通過加強內部控制來改進公司的經營狀況，并最終強化公司的受托責任。法案的404條款使內部審計的角色和職能發生了重要變化。2008年6月28日，財政部等五部委聯合發布了《企業內部控制基本規范》，對中國企業內部控制體系建設提出了明確的要求，基本規范的發布是企業內部控制框架構建與內部控制監管領域的一個重要里程碑。對企業內部控制的審計評估，是現代審計區別于傳統審計的重要標志，是公司治理審計的核心內容。內部審計人員定期對企業內部控制進行監督、檢查和評估，及時發現控制過程中存在的漏洞和隱患，幫助管理當局改進內部控制，更有效的達到預期的內部控制水平，協助企業實現經營目標。

一、內部控制評估的主要任務

內部控制評估通過對企業建立的內部控制制度的審查和評價，反映內部控制制度的合理性、健全性和有效性，合理地保證企業遵守國家法律法規和內部規章制度，信息的真實、可靠，資產的安全、完整，經濟有效地使用資源，提高經營的效率和效果。內部審計部門在開展企業內部控制評估中審查和評價以下幾個主要方面：

（一）內部控制制度的合法性。是否符合國家的有關法律、法規，符合上級單位制定的內部控制制度的規定。

（二）內部控制制度的符合性。內部控制制度與企業的總體目標是否一致，是否符合企業管理要求和業務特點，防止不切實際的照搬照抄，影響內部控制制度的實施效果。

（三）內部控制制度的健全性。現有制度是否涵蓋業務所有環節和風險點，在各個需要控制的環節是否采取了控制措施，是否有充分、必要的控制程序，銜接是否緊密。

（四）內部控制制度的科學性。內審人員在對內部控制和具體業務深入分析的基礎上根據職業判斷，判斷控制程序是否科學、合理，有無多余的控制措施。

（五）內部控制制度的有效性。內部控制制度要緊跟企業經營環境和業務變化進行補充完善，同時對制度的執行情況進行充分地檢查測試，保證內部控制制度落到實處、發揮實效。

二、內部控制評估的主要內容

內部控制評估的對象是企業的內部控制制度，對這些制度的檢查、測試也就構成了內部控制審計評估的基本內容。

（一）內控治理情況審計。檢查企業內部治理結構，董事會、監事會、經理層之間的制衡，企業的內部控制是否各司其職、協調運轉，并符合國家的法律、法規和內部規章制度等。

（二）內部牽制和不相容職權審計。有無設計合理有效的機構和職務分工控制，有無對經濟業務處理上實行授權批準，授權后業務經營的質量。對授權、執行、記錄、保管、核對等不相容職務是否設置分離控制等。

（三）財務會計系統控制審計。它是企業內部控制的核心內容，主要檢查有無會計記錄控制、會計崗位責任制、作業程序規范性、資料保管歸檔、會計監督、職能履行情況等。

（四）經營各業務循環系統的控制制度。它是經濟組織內部為實現經營目標而進行日常生產經營和管理所必須經過的環節和業務操作的控制制度。通過檢查生產經營過程的控制是否嚴密，反映企業經營活動的風險管理狀況。

（五）資產保護控制審計。對實物的采購、使用、保管及銷售轉讓等各環節有無定期盤點、完整記錄、賬實核對，財產保險和貨幣資金的收支控制等。

（六）人員方面審計。重點是對管理層人員的行為控制，尤其是主要負責人，其經營決策導致的損失比一般員工要高很多，實踐證實，失去制約的權利很輕易導致腐敗。同時要了解員工素質，有無建立關鍵崗位交流、培訓、定期考核制度等。

（七）成本效益審計。發生費用小控制效率高的內部控制框架才是有效的控制系統，要注重審查機構設置、職責劃分和授權控制的成本效益。

（八）風險控制審計。企業經營時刻要面臨內外部的各種風險，分為固有風險和控制風險，審計評估主要審查評價企業風險管理架構、風險識別、風險評估、風險控制與監督情況。

（九）內部監控審計。對企業內部控制整體框架及運行的跟蹤、監督，檢查評價監督、控制是否合理，并有效發揮作用。

三、內部控制評估的程序和方法

內部控制審計具有審計范圍廣、技術要求高、業務知識涉及面廣等特點。必須要建立規范的審計程序，明確審計內容，以保證審計工作達到預期的效果。

（一）了解企業的內部控制情況，并做出相應的記錄。調查了解企業內部控制環境和組織架構，查閱企業內部控制規章制度和政策規定等文件資料，對相關人員進行訪談了解或問卷調查，觀察被審計單位的業務活動和內部控制的運行情況，檢查內部控制生成的文件和記錄，查閱前期審計報告或審計工作底稿。其主要目的是了解企業已經建立的內部控制制度及執行情況，并做出記錄、描述。審計人員應考慮被審計單位經營規模及業務復雜程度、數據處理系統類型及復雜程度、審計重要性、相關內部控制類型、相關內部控制記錄方式、固有風險的評估結果等因素，對企業內部控制制度的建立和執行情況進行檢查。

（二）初步評價內部控制的健全性。主要包括功能性評價和健全性評價，確認內部控制風險，確定內部控制是否可依賴。在對控制環境、控制程序和業務系統進行調查了解，對被審計單位內部控制有了一個初步的認識的基礎上，應對內部控制風險和內部控制的可依賴程度做出初步評價。初步評價實際上就是評價企業內部控制在防止或發現和糾正錯弊中的有效性的過程。

（三）對內部控制系統進行穿行測試，查明各項控制措施是否貫穿于生產經營過程中，證實有關內部控制的設計和執行的效果。穿行測試是為了確定內部控制制度的設計和執行是否有效而實施的審計程序。其基本對象包括控制設計測試和控制執行測試，內部控制穿行測試常用的方法主要有四種：詢問法、觀察法、證據檢查法、重復執行法。測試中注意選擇正確測試樣本，保證抽取的樣本具有代表性，才能達到預期的測試目的。

（四）確認內部控制薄弱環節，確定控制測試的范圍和重點，開展控制測試。根據穿行測試情況，對企業現行內部控制進行評價，確定可信賴程度。由于穿行測試只能查證內部控制系統的功能性和可能性，因此，對具體業務抽查要靠控制測試來完成，穿行測試中內部控制的弱點就是控制測試的重點，控制測試的范圍應涵蓋初步評價和穿行測試中發現內部控制的缺陷內容。

（五）對內部控制系統進行總體評價，針對控制缺陷，向管理治理當局提出改進建議。審計人員在對審計中發現的內部控制問題進行匯總、整理，分析問題產生的原因和可能帶來的后果，提出有效的改進措施，以審計報告的方式，反映給企業有關治理部門。

三、內控評估工作目前存在的主要問題

（一）評估前期準備工作還不夠細致充分。內部控制評估目前對內審部門來說仍屬于一項新的審計業務，因此評估前期應預留充分的時間和人力，對企業內部控制流程進行梳理，完成風險矩陣和各項控制流程描述，并初步分析評價內部控制狀況，分析查找開展穿行測試和控制測試的重點。但目前內審部門往往由于評估工作進度安排較緊，未充分開展審計評估的前期準備，倉促上陣，造成評估工作先天不足，評估質量不佳。

（二）內部控制測試環節審計人員由于選定的測試范圍不全、重點不準、方法不當、抽查的業務缺乏代表性等原因，導致測試失效。測試范圍不全會遺漏對某些重點內部控制的審計，會使審計失之偏頗；測試重點不準直接影響內部控制測試效率和效果；測試審計方法沒有因事制宜，根據不同業務采取不同的方法，將導致測試失效；抽查的業務缺乏代表性，會因評價不全面而帶來測試失效風險。

（三）審計人員要防范出現評價不當風險，包括健全性評價不當風險和有效性評價不當風險。究其原因，除了由內部控制了解、測試兩個環節存在的風險引起外，還會因內部控制系統本身不完善和風險控制水平估計過高等因素造成。內部控制系統本身不完善，使某些業務活動被置于審計范圍之外而疏忽，導致內部控制健全性評價不當風險。風險控制水平估計過高會導致信賴過度風險，從而造成內部控制有效性評價不當。

（四）部分企業內部控制制度執行力度不到位。管理者內部控制意識淡薄，不能很好的執行內部控制制度，人制大于法制，上行下效，導致內部控制制度威懾力降低，在具體的操作執行中不注意操作檔案記錄的保存，甚至出現無據可查的情況，使內部控制制度流于形式，對評估工作的順利有效開展形成障礙。

（五）內部審計人員職業判斷能力有待進一步提高。現代企業的運營方式和運作環境都發生了極大的改變，業務系統和管理系統的內部控制之間相互交織，內部控制審計，尤其在缺陷分析、風險提示和深層挖掘等方面對內部審計人員在職業判斷能力上要求較高，內部審計人員整體素質還不能完全滿足內部控制審計的要求。

針對目前的一些問題，淺談一下自己的幾點看法：

（一）在評估時要充分作好評估前的準備和計劃，為非現場工作安排足夠的時間和人員，利用非現場方式完成評估前流程描述確認，風險分析等工作，做好進入現場的銜接，為現場評估工作的開展奠定堅實的基礎，提高評估工作的效率和效果。

（二）審計人員對評估樣本要進行科學地分析和充分地抽樣測試，做到測試范圍全，測試重點準，測試方法得當，抽查業務的代表性要強，防范測試失效風險。

（三）要防范評價不當風險，除了要做好內部控制了解、測試兩個環節工作外；審計人員還應從宏觀出發，統籌考慮，從各方面調查了解熟悉被審單位業務活動及其需設計的相應的內控系統，并充分利用審計技術對風險水平作出合理估計。

（四）內部控制建設的根本目的是促進企業的健康發展，而不能從應付外部審計或檢查出發來建設內部控制。企業管理層對內部控制系統擁有所有權，對內部控制系統承擔最終責任，管理層應不斷的加強內部控制體系的建設，并加強執行力度，保證內部控制的可鑒證性，確保企業經濟業務的穩健運行，同時也有利于內部控制評估的有效開展。

（五）企業要不斷地加強內部審計隊伍的建設，強化對內部審計人員的后續教育工作，不斷提升內部審計人員的業務素質，充分發揮內部審計機構和人員的作用，適時采用“請進來、走出去”的方式，加強對內部審計人員的思想與業務素質教育培養，強化內部審計人員的邏輯思維和綜合分析能力，加大考核力度，通過持續不斷地學習、培訓和實踐，提高內審工作的綜合駕馭能力，建設一支精干高效戰斗力強的內部審計隊伍。

總之，內部控制是企業自我約束、自我調節、自我監督的一種管理控制體系，是現代企業管理的重要組成部分。內部審計通過對內部控制制度的審計評估，找到管理上存在的問題和內部控制的薄弱環節，從而促進企業健全完善內部控制制度，改進組織管理、經營管理，提高管理效率，為挖掘企業潛力、提高經濟效益創造條件。

10.3969/j.issn.1001-8972.2010.12.100