我國企業內部控制規范體系評價

　　【摘要】 文章對我國企業內部控制規范體系的構成做了簡要介紹，并以前人研究的成果為依據對我國企業內部控制規范體系從基本規范、應用指南、評價和審計指引三方面進行簡要評價。
　　【關鍵詞】 內部控制； 規范體系； 評價
　　
　　一、我國企業內部控制規范體系的構成
　　
　　2010年4月26日，財政部會同證監會、審計署、銀監會、保監會在北京聯合發布了《企業內部控制規范配套指引》。該配套指引由21項應用指引（此次發布了18項，涉及銀行、證券、保險等業務的3項指引暫未發布）、《企業內部控制評價指引》與《企業內部控制審計指引》（兩者以下合稱為評價與審計指引）所組成，自2011年1月1日起首先在境內外同時上市的公司施行，自2012年1月1日起擴大到在上海證券交易所、深圳證券交易所主板上市的公司施行，并計劃在上述施行公司的基礎上，擇機在中小板和創業板上市的公司中施行。同時，鼓勵非上市大中型企業提前執行。
　　《企業內部控制規范配套指引》連同2008年5月發布的《企業內部控制基本規范》（自2009年7月1日在上市公司范圍內施行，鼓勵非上市大中型企業執行，以下簡稱為基本規范）共同構成了中國企業內部控制規范體系。如果說目前已在上市公司實施的《企業內部控制基本規范》還只是一個框架結構，主要界定內部控制的內涵、目標、要素，說明制定企業內部控制規范的目的、依據及該規范的適用范圍，操作性指導還不強，還是一個方向性指南的話，那么，《企業內部控制規范配套指引》則是企業加強和改進內部控制具體的、具有操作性的指南。
　　
　　二、對我國企業內部控制規范體系的評價依據
　　
　　筆者認為吳水澎教授等（2000）的文章到目前為止仍具有啟示意義，可以作為我們評價已形成的內部控制規范的基礎。他們認為：“根據控制論的一般原理，控制是作用者對被作用者的一種能動作用，被作用者按照作用者的這種作用而行動，并達到系統的預定目標。因此，可以從以下幾個方面來理解內部控制。其一，內部控制具有一定的目的性，為達成某種或某些目標而實施。其二，內部控制是為了達到某個或某些目標而進行的過程，且是一種動態的過程，是使企業的經營依循既定的目標前進的過程。它本身是一種手段而非一種目的。其三，內部控制不是某個事件或某種狀態，而是散布在企業作業中的一連串行動，是企業經營過程的一部分，與經營過程結合在一起，使經營過程發揮其應有的功能，并監督著企業經營過程的持續進行。換言之，內部控制與企業經營活動相互交織，為企業的基本經營活動而存在。其四，內部控制深受企業內部和外部環境的影響，環境影響企業目標的制定與實施。其五，企業中的每一個員工既是控制的主體又是控制的客體，既對其負責的作業實施控制，又受到他人的控制和監督。其六，所有內部控制都是針對‘人’而設立和實施的，企業內部會因此形成一種控制精神和控制觀念，直接影響到企業的控制效率和效果。”
　　
　　三、對我國企業內部控制規范體系的評價
　　
　　（一）對基本規范的評價
　　從基本規范來看，主要涉及到內部控制的基本理論問題，包括內部控制的本質、目標、原則、要素（對象）與方法。筆者認為，該基本規范較好地搭起了我國企業內部控制理論的基本框架。就本質界定來看，以“過程觀”來界定比較恰當，不僅強調了企業高層（董事會、監事會、經理層）的責任，而且明確了控制的全員性。就目標的界定來看，將目標界定為“合理保證企業經營管理合法合規、資產安全、財務報告及其相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略”也較恰當，不僅體現了1994年COSO報告中的合規性、財務報告真實性和經營效率性三個目標，也體現了2004年COSO報告中的促進企業實現發展戰略的目標，且增加了資產安全的目標，注重內部控制理論與實踐的歷史發展。可以看出，前三個目標是基礎，后兩個目標是深化。規范提出的內部控制五原則：全面性、重要性、制衡性、適應性、成本效益性原則具有重要指導意義。
　　在控制要素（對象）上，基本規范采用的是1994年COSO報告中的五要素觀，而沒有采用2004年風險管理框架的八要素觀，是實事求是的做法。實際上，這也涉及到內部控制與風險管理的關系問題。關于內部控制與風險管理的關系，筆者贊成國務院國有資產監督管理委員會企業改革局副局長周放生在2009年中國企業內部控制高層論壇暨中國企業內部控制研究中心成立大會上主題發言的觀點，他認為：“公司治理的關鍵是董事會，而董事會的職能從本質上看就是控制風險。內部控制解決的是常規性風險，風險管理解決的是非常規性風險。內部控制主要體現在流程管理上。流程管理的內容主要包括兩個方面：一是業務流程，即規定完成業務的先后順序；二是管理流程，主要是對各風險管理點的標準。二者結合在一起才是真正的流程管理”。周放生（2009）還指出：“現在很多企業，包括中央企業在信息化方面投入了很大力量，有了很大發展，但仍然是兩張皮，還是信息孤島，而臺塑集團的信息化和流程管理卻是完全融為一體的，主要原因是我國企業的基礎管理落后”。
　　對于五要素之間的關系，筆者認為內部控制環境是基礎（說明在什么樣的環境下開展控制活動），風險評估是前提（說明要重點針對什么活動和在該活動的什么方面進行控制），控制活動是核心（說明對需要重點控制的活動或環節運用什么方法進行控制），信息與溝通是橋梁（以一定的方法對風險評估確定的應該控制的活動和環節開展控制，沒有信息的支持是無法達成目標的），監督是保障（沒有監督作為保障，控制的好壞在管理上沒有區別，則無法達到控制的目標）。就內部控制的方法來說，應該涉及到全部五個要素，既有內部控制環境的評價、改進方法，也有風險評估、風險管理策略的選擇方法；既有直接運用于控制活動的方法，也應有信息生產與溝通、監督的方法。
　　基本規范存在的不足主要體現在：1.在控制要素上僅提到內部監督，難以指導企業內部控制規范指引，也說明基本規范與指引有不相銜接的地方；2.對控制方法的說明不集中，僅在第28條較詳細地闡述了控制活動的方法，對其他要素控制的方法很少說明，如風險評價的方法、信息生產與溝通的方法、監督的方法等；3.如何建立反舞弊機制問題放在信息與溝通要素部分不恰當，筆者認為這應該是內部監督的內容；4.對董事會、監事會、經理層、審計委員會、內部審計部門的職責劃分不清。如第12條規定，董事會負責內部控制的建立健全和有效實施，監事會對董事會建立與實施內部控制進行監督，經理層負責組織領導內部控制的日常運行。但第13條又規定企業應在董事會下設立審計委員會，審計委員會負責審查企業內部控制，監督內部控制的有效實施和內部控制自我評價情況（而在自我評價規范中又沒有具體涉及到審計委員會），協調內部控制審計及其他相關事宜。從這些規定中可以看出，我國仍然沒有處理好內部公司治理問題。
　　（二）對18項應用指引的評價
　　應用指引是對內部控制要素進行控制時的具體應用指南。從已公布的各項具體應用指引來看，重點突出了對風險的關注，這點值得肯定。已公布的18項應用指引都在總則部分說明了企業應關注的風險，這可看成企業風險評價的基礎和指南。就其他四個方面的要素來看，內部控制環境涉及到組織架構、發展戰略、人力資源、社會責任和企業文化5個具體指引。就控制活動來說，涉及到資金活動、采購業務、資產管理、銷售業務、研究與開發、工程項目、擔保業務、業務外包、財務報告9個具體指引，存在的主要問題是沒有生產控制的內容。在過去的征求意見稿中有一個成本費用規范，現在也取消了。過去征求意見稿中沒有全面預算規范，現在加了一個全面預算規范，筆者認為應將過去的成本費用規范與現在的全面預算規范結合起來。關于信息與溝通要素，涉及到內部信息傳遞和信息系統兩個具體指引。劉玉廷（2010）將此次公布的18項應用指引歸為三大類，第一類為環境類指引，第二類為控制活動類指引，第三類為控制手段類指引，包括全面預算、合同管理、內部信息傳遞和信息系統4項。第三類作為方法也可以，但并沒有和內部控制要素間的銜接。
　　
　　（三）對評價與審計指引的評價
　　具體應用指引中沒有涉及到監督，因而這里權且把評價指引作為內部監督的核心內容，而把審計指引作為外部監控的核心內容。自我評價內部控制指引雖然就董事會的全面評價責任、評價的程序和方法、內部審計部門在評價實施過程中的作用、內部控制設計缺陷和運行缺陷的認定、內部控制評價報告的披露等問題進行了規范，但實際上評價也包括了對內部監督的評價，所以，此處又不全是監督問題。因而從基本規范到評價指引，內部監督由誰監督、監督什么、監督的程序與方法、監督結果的處理都不是很清楚。況且評價是由董事會負責，而內部監督又是由監事會負責，這樣一來，內部監督具體應用指南就成了空缺。
　　這里權且把企業內部控制審計作為企業內部控制外部監督的一種作用機制，那么，它有什么特點和不足呢？企業內部控制審計指引包括了總則、計劃審計工作、實施審計工作、評價控制缺陷、完成審計工作、出具審計報告、記錄審計工作七個部分，并附錄了內部控制審計報告的參考格式。應該說，該指引就內部控制審計各環節的活動作了較詳細的規范，尤其是對審計實施的方法、重要性的把握、可能存在重大缺陷的跡象、出具非標準內部控制審計報告的條件的規定較詳細，具有可操作性。該指引的不足主要表現在：1.過度關注財務報告內部控制審計，對非財務報告內部控制審計關注不夠；2.在實施審計工作的部分，指引規定注冊會計師應當按照自上而下的方法實施審計工作，筆者認為這種表述不科學，不管是企業層面的測試還是業務層面的測試，都應當采取自上而下、上下結合的方式進行測試；3.對內部控制審計報告的披露方式沒有作詳細的規定。筆者同意劉玉廷、王宏（2010）的觀點：“鑒于內部控制自評報告、審計報告與管理層討論與分析、年度財務報告、財務報表審計報告等有直接內在聯系，建議企業在年度報告中一并披露內部控制審計報告”。
　　
　　四、簡短結論
　　
　　我國目前已經形成的企業內部控制規范體系，是我國企業內部控制實踐經驗的總結，既吸收了國際的先進經驗，又考慮了我國的實際情況，其意義十分重大，是全面提升經營管理水平的重要舉措（劉玉廷，2010），具有科學性，因而實施好該規范體系必將全面提升我國企業的現代化管理水平，但還存在這樣或那樣需要完善的地方，它有待于社會各界的共同努力使之不斷得到提升。
　　
　　【參考文獻】
　　［1］ 吳水澎，陳漢文，邵賢弟.企業內部控制理論的發展與啟示［J］.會計研究， 2000（5）：2-8.
　　［2］ 周放生.企業的風險管理及內部控制［J］.中國流通經濟，2009（11）：11-13.
　　［3］ 劉玉廷.全面提升企業經營管理水平的重要舉措——《企業內部控制配套指引》解讀［J］.會計研究，2010（5）：3-16.
　　［4］ 劉玉廷，王宏.企業提升內部控制有效性的重要制度安排——關于實施企業內部控制注冊會計師審計的有關問題［J］.會計研究，2010（7）：3-10.