后危機時代基于ERM的企業內部控制評估

　　目前，世界經濟已渡過了國際金融危機爆發以來最困難的時期并逐步復蘇，全球經濟逐步渡過金融危機的恐慌而進入“后危機時代”。在后危機時代，世界將掀起新一輪的科技革命、產業革命，形成新能源、綠色經濟等一系列競爭浪潮。后危機時代給中國企業提供了一個難得的發展機遇，中國企業應克服障礙，積極應對后危機時代的挑戰。
　　加強企業內部控制和強化風險管理已逐步被企業所認可，尤其是經歷此次金融危機后，無論是國內的企業，還是國際上的知名大企業，都將加強企業內部控制和強化風險管理視為逐步完善公司治理的一項重要內容。
　　美國2002年頒布《薩班斯—奧克斯利法案》(Sarbanes-Oxley Act），其中的404條款要求首席執行官和首席財務官對主體財務呈報內部控制的有效性進行評價和報告。紐約證券交易所則要求所有的上市公司在2004年10月31日前，必須由內部審計部門向管理當局和審計委員會提供有關風險管理程序和內部控制系統的評估。我國于2006年6月5日出臺了《上海證券交易所上市公司內部控制指引》，同年9月28日出臺了《深圳證券交易所上市公司內部控制指引》，兩個指引的語言表述雖然略有不同，但是都規定上市公司應設立專門負責監督檢查的內部審計部門并直接對董事會負責，內部審計部門定期檢查公司內部控制缺陷，評估其執行的效果和效率，并及時提出改進建議。鑒于此，內部控制的評估在公司治理中愈發重要，掌握和運用科學的內部控制評估的方法至關重要。
　　
　　一、企業風險管理框架對內部控制自我評估的推動
　　
　　傳統對內部控制的測試與評價所遵循的邏輯順序是“控制—風險—評價控制目的是否實現”，更多的是一種事后的反饋，在確認內部控制薄弱環節之后，提供信息以幫助管理層增強和完善內部控制，這種事后的評價是“亡羊補牢”，而不是“未雨綢繆”，傳統的內部控制評估方法難以滿足現代管理的需要。
　　2004年10月COSO正式出臺《企業風險管理——整合框架》(Enterprise Risk Management Integrated Framework，簡稱ERM框架)。ERM框架把更多的注意力放到了企業風險管理這一更加寬泛的領域。ERM是對內部控制的擴展，是包含四個目標、八個要素和四個層次的整合框架，完全體現了管理者以企業風險管理為己任的理念。首先，ERM在目標方面增加了戰略目標，將對企業的風險關注重點引向了重大的、根本性的戰略問題；其次，在內部控制框架五要素的基礎上增加了目標設定、事件識別和風險評估三個要素，與原來的風險評估要素一起構成了一個完整的風險管理的基本過程；最后，ERM強調將企業風險管理覆蓋所有層次，包括業務單元、子公司、分支機構和公司的整體層次，而業務單元、子公司、分支機構和公司的整體層次正是公司治理和內部控制涉及的全部領域。
　　在ERM的推動下，公司治理領域和包括內部控制環節的風險在內的所有風險成為內部控制自我評估關注的對象。由于企業風險管理是一個多向的、相互作用的過程，幾乎其中每一要素均能并且確實會影響其他要素。所以，要求內部控制自我評估要樹立全局的觀念，從戰略層次至上而下地評估企業的固有風險和剩余風險。
　　在ERM框架中，現代內部控制的測試與評價應遵循的邏輯順序是“目標—風險—控制”，內部控制自我評估緊密聯系企業的戰略目標，更能體現其增值功能，有利于促進組織目標的實現。
　　
　　二、以風險為導向的內部控制自我評估
　　
　　內部控制自我評估(Control Self-Assessment，簡稱CSA)，是在內部審計機構的推動下，公司不定期或定期地對自己及所屬子公司的內部控制系統進行評價，評價內部控制的有效性及其實施的效率效果，以期能更好地實現內部控制的目標。
　　CSA強調內部控制系統既不是內部審計工作的責任，也不僅僅是高級管理層應關心的問題，相反，應該把它看成是所有雇員共同的責任。控制自我評估體現了應該最先詢問那些參與了風險評估過程以及執行了整個控制過程的人，它所包含的不斷改善的理念與現代的全面質量管理概念非常匹配，與整體協作的概念及群體學習的模式也有相通之處。因而在今天的商業社會中存在著巨大的潛能。
　　1.內部控制自我評估的結構
　　完整的內部控制自我評估結構包括以下幾個方面：
　　⑴管理者的支持。內部控制自我評價開始于內部審計部門和其他管理部門間良好的合作關系和相互的理解。內部審計人員應清楚地理解單位的文化、政治和環境，這些知識將有助于確立最適當的評價框架。管理者還要根據需要建立工作小組并了解小組及其成員。
　　⑵研討會。召開研討會有助于對選題進行交流和探討。研討會的基調是雙向發現問題和共同分享信息。參加研討會的對象應盡可能多，與討論的業務流程相關的人員，特別是風險薄弱環節的工作人員必須到場參加討論。現場討論應做到人盡其言，所有的觀點都應記錄在案。
　　⑶自我評估報告。報告主要有三個部分：本次評價的內部控制范圍和評價過程中的特殊情況；內部控制各個環節的風險程度，可用熱力圖來表示(風險最高的是紅色，較高的是黃色，其次是深綠色，再次是淺藍色，風險最低的為白色)；對標紅色和黃色的高風險環節進行具體稱述，說明其狀況、影響，并提出改進方案和方案的完成時間、責任人。如果對該高風險管理層決定不采取措施，而是承受這一風險，應有管理層的書面承諾。
　　⑷行動計劃。行動計劃是實施內部控制自我評價的必然結果。內部控制自我評價幫助被評價單位建立一個大家共同認同的目標，所有的問題雖不會立即解決，但能有效地控制風險，使被審計單位向預定目標前進。在制訂行動計劃時應特別關注控制點和相應的控制措施。不同的控制點，有著不同的業務內容和控制目標，因此需要采取不同的控制措施，才能預防和發現各種錯誤與舞弊。不同行業、公司為實現控制目標所采取的控制措施也可能相去甚遠，不能窮盡。需要審計師根據具體情況，運用職業判斷能力進行確認。
　　2.控制自我評估(CSA)的方式
　　CSA方法上有高度行為化模式的(如對流程、控制模型分析)，也有很機械化的(如調查問卷)，通常采用比較多的是引導會議法(Facilitate Meeting，有的也稱呼為工作坊法)。
　　引導會議法是聚集有關的人員在具有經驗的引導師(Facilitator，通常由對內部控制有一定認識的人擔任，可以是審計人員、管理者或員工)的引導下，對內部控制、風險等進行評價并提出改進意見。引導師的角色是引導組織的人員圍繞工作目標、內部控制和風險等問題作