內(nèi)部控制的新發(fā)展及啟示

【摘要】在金融危機的背景下，企業(yè)內(nèi)部控制日益成為理論界和實務界關注的熱點。通過對內(nèi)部控制發(fā)展脈絡進行梳理，并對內(nèi)部控制的最新發(fā)展進行深入探討，結(jié)合我國的實際情況，對內(nèi)部控制發(fā)展的啟示作用進行分析和提煉，以求有助于我國企業(yè)內(nèi)部控制水平的進一步提高。

【關鍵詞】內(nèi)部控制 控制框架 公司治理

在社會經(jīng)濟運行過程中，內(nèi)部控制無疑是一個永恒的話題。在內(nèi)部控制漫長的發(fā)展過程中，內(nèi)部控制歷經(jīng)了萌芽、初步成型、發(fā)展、成熟、深化等諸多階段，內(nèi)部控制的概念、范圍和內(nèi)容也發(fā)生了重大變化。對內(nèi)部控制發(fā)展脈絡進行梳理，并在此基礎上對內(nèi)部控制的最新發(fā)展進行分析、總結(jié)和提煉，將有助于我們對包括內(nèi)部控制檢查與評價在內(nèi)的內(nèi)部控制要素的認識更加系統(tǒng)和深入，也有利于我國企業(yè)內(nèi)部控制的實施。

內(nèi)部控制的發(fā)展階段

根據(jù)不同劃分標準，內(nèi)部控制的發(fā)展階段可以有不同的劃分。從內(nèi)部控制發(fā)展的主要推動力角度，可以將內(nèi)部控制的發(fā)展劃分為如下階段:基于企業(yè)內(nèi)部管理的需要的階段(20世紀40年代前)、基于審計的階段(20世紀40年代至90年代初)、基于公司治理的階段(20世紀90年代至今)。其中，基于審計的階段和基于公司治理階段又可根據(jù)內(nèi)部控制的涵義和內(nèi)容的變化細分為若干分階段。上述階段的劃分列示如表1:

內(nèi)部控制的最新發(fā)展:內(nèi)部控制框架的深化

以COSO和COCO為代表的內(nèi)部控制框架標志著內(nèi)部控制理論已進入成熟和穩(wěn)定發(fā)展的階段。進入21世紀以來，為了更好地促進企業(yè)的內(nèi)部控制建設，各國在內(nèi)部控制框架理論的基礎上對內(nèi)部控制領域的文件和實務進行審視，并與時俱進地對內(nèi)部控制框架進行了發(fā)展和深化，取得了豐碩的成果。歸納起來，主要成果如下:

以風險管理為導向的內(nèi)部控制框架。在前述COSO和COCO內(nèi)部控制框架中，風險的識別、評估及應對都是重要的內(nèi)部控制要素或控制標準。隨著經(jīng)濟發(fā)展，企業(yè)迫切需要一種控制框架來幫助企業(yè)對風險進行有效的控制和管理。

鑒于此背景，經(jīng)過幾年的研究和醞釀，2004年COSO委員會正式發(fā)布了《企業(yè)風險管理—整體框架》的報告(以下簡稱COSOERM)。與1992年COSO內(nèi)部控制框架相比，COSOERM框架以風險管理為主線對內(nèi)部控制框架作了進一步的發(fā)展，它的正式發(fā)布意味著，公司治理層對內(nèi)部控制的構建及其效果的評價應當采取一種基于風險導向的方法。

加強對財務報告內(nèi)部控制有效性評價的外部監(jiān)管。反思丑聞產(chǎn)生的根源，內(nèi)部控制失效無疑難辭其咎。為了重建投資者對美國上市公司及資本市場的信心，該法案由美國眾議院金融服務委員會主席奧克斯利和參議院銀行委員會主席薩班斯聯(lián)合提出了《薩班斯—奧克斯利法案》(簡稱薩奧法案，下同)。

針對公司內(nèi)部控制失效進而導致管理層欺詐這一問題，法案專門做了相關規(guī)定，這些規(guī)定主要體現(xiàn)在三百零二條款和四百零四條款中。三百零二條款強化了公司管理層對財務報告的責任，主要內(nèi)容有:要求公司首要官員及首席財務官在季度/年度報告中簽字保證財務報告的可靠性和公允性，并承擔包括刑事責任在內(nèi)的法律責任;公司管理層對于內(nèi)部控制的建立和維持負責，并對信息披露過程中控制的有效性進行評估;強調(diào)財務人員的正直和財務報告系統(tǒng)控制的完整性。四百零四條款則從法律上要求管理層必須對公司內(nèi)部控制的有效性進行評價。

內(nèi)部控制框架中的監(jiān)督檢查要素的進一步深化和CSA內(nèi)部評估工具的興起。針對公司丑聞事件所暴露出來的內(nèi)部控制有效性欠缺的問題，COSO委員會也進行了反思和專門的對策研究。他們對內(nèi)部控制框架中的監(jiān)督檢查要素進行了深化，于2007年發(fā)布了《內(nèi)部控制監(jiān)督檢查指南》討論稿。該指南明確了進行有效監(jiān)督檢查的兩個基本原則，歸納分析了影響監(jiān)督檢查有效實施的三個主要影響因素，從機制建設層面和方法層面為有效實施內(nèi)部控制檢查提供了具體指引。

在對內(nèi)部控制進行內(nèi)部監(jiān)督和評價的工具層面，一種新興的內(nèi)部控制評估方法，即內(nèi)部控制自我評估(Control Self-Assessment，CSA)也得到了很大的發(fā)展。從本質(zhì)上看，CSA是一個動態(tài)有機過程，它能夠幫助公司股東識別出所面臨的風險，適時監(jiān)測處理風險的內(nèi)控制度，以及評價或評估內(nèi)控制度的適當性。CSA突出的作用和非凡的效果已得到理論界、企業(yè)界、審計界的認可，已成長為主流的審計和內(nèi)部控制建設及評估的工具。

信息與相關技術的內(nèi)部控制得到了重視和發(fā)展。當今社會已是信息社會，信息技術的應用已遍布企業(yè)經(jīng)營和管理的環(huán)節(jié)，也是內(nèi)部控制所要面對的一個控制環(huán)境。在COSO內(nèi)部控制框架中，所有的組成要素，特別是風險評估、控制活動和信息與溝通，都要考慮信息技術的應用所帶來的挑戰(zhàn)和機遇。1996年，美國審計和控制基金會發(fā)布了名為《信息與相關技術的控制目標》(COBIT)的公告，該公告提供了一種能使管理者將控制要求、技術問題與業(yè)務風險聯(lián)系起來的IT治理框架，對信息技術環(huán)境下內(nèi)部控制的建設及評估提供了指導。2005年底發(fā)布了COBIT的第四版公告，強調(diào)法規(guī)的遵從性，幫助組織提升從IT獲得的價值，使IT操作與商務運營相結(jié)合，并支持在IT治理方面的持續(xù)改進。

內(nèi)部控制發(fā)展的啟示

從內(nèi)部控制的發(fā)展階段的劃分及其最新發(fā)展，可以得出如下啟示:

公司治理(包括企業(yè)內(nèi)部管理，下同)、獨立審計和政府推動是推動內(nèi)部控制發(fā)展的三駕馬車。在這三個主要推動力中，公司治理的需要是內(nèi)生的、持久的、根本的推動力。因此，內(nèi)部控制的理論研究與實務開展應首先立足于提高公司治理、改進企業(yè)管理水平以更好的實現(xiàn)組織的目標和降低風險的需要，同時兼顧獨立審計界降低審計成本、合理界定審計責任的需求，而政府在對內(nèi)部控制進行立法要求時，應著眼于引導企業(yè)認識到組織的發(fā)展和目標實現(xiàn)需要一個良好的內(nèi)部控制體系，進而能夠自覺地結(jié)合企業(yè)的實際情況進行適合自身的內(nèi)部控制體系建設;在具體立法條款設置時，宜采用原則導向，而非規(guī)則導向，因為過于具體的規(guī)則，將可能使企業(yè)將內(nèi)部控制建設視為一項被動遵從的事項，而非是企業(yè)實現(xiàn)組織目標、謀求更好發(fā)展的一個必不可少的機制和過程。

基于風險導向的內(nèi)部控制成為內(nèi)部控制的發(fā)展主流。自從2004年COSO委員會發(fā)布ERM公告正式確立風險管理內(nèi)部控制框架以來，世界主要國家和地區(qū)都紛紛發(fā)布公告加以響應，認為將內(nèi)部控制與風險管理相融合，建立基于風險導向的內(nèi)部控制框架是企業(yè)有效應對所面臨風險以提高公司治理水平進而為組織目標的實現(xiàn)提供合理保證的有效途徑。同時，基于風險導向的理念還為內(nèi)部控制建設和持續(xù)改進提供了一種科學、有效的方法，如最近興起的控制自我評估(CSA)就是基于風險識別、評估和應對基礎之上的。

內(nèi)部控制有效性的監(jiān)督檢查和外部評價是當前內(nèi)部控制建設的重點。目前，針對財務報告內(nèi)部控制的外部評價體系已經(jīng)基本成型，但是需要注意的是，外部評價的效果需要有企業(yè)內(nèi)部控制的內(nèi)部檢查與評價作為支撐，兩者必須協(xié)同發(fā)展，如果只強調(diào)外部評價而忽視企業(yè)內(nèi)部控制的內(nèi)部檢查與評價，則可能會導致企業(yè)內(nèi)部控制的評價因缺乏堅實的支撐基礎而流于形式。(作者單位:首都經(jīng)濟貿(mào)易大學會計學院)