上市公司內部控制審計相關問題的探討

摘要 內部控制審計在我國目前來說還是一項新興業務，無論是在理論界還是在實務界均有許多問題需要研究。本文鑒于在去施內部控制審計過程中一些有爭議的問題提出一些個人的見解，

關鍵詞 內部控制 內部控制審計 內部控制基本規范內部控制配套指引

中圖分類號：C931.2 文獻標識碼：A

2008年5月，財政部會等五部委聯合發布了《企業內部控制基本規范》(以下簡稱《規范》)，標志著我國內部控制審計業務即將展開。2010年4月，五部委又聯合發布了《企業內部控制配套指引》(以下簡稱《指引》)，雖然正式的準則在我國還未出臺，但是指引的發布無疑是確定了注冊會計師內部控制審計的標準。這個標準的確立標志著在我國保證財務報告可靠性機制建設也被鍵到了同等重要的地位。同年底，深交所在《關于做好上市公司2010年度報告披露工作的通知》也明確要求中小企業板和創業板公司應當至少每兩年要求獨立的第三方，即會計師事務所對公司與財務報告相關的內部控制有效性出具一次內部控制審計報告。

內部控制審計的定義是會計師事務所接受企業委托，對企業特定基準日(下文會對基準日進行討論)內部控制設計與運行的有效性進行審計，并對其有效性發表審計意見。與傳統的審計業務相比，內部控制審計業務在我國還處于起步階段，尚存在很多理論和實務問題亟待進一步解決，本文利用現有的《規范》、《指引》，對企業內部控制審計相關問題展開討論。

1 關于內部控制審計業務的類型和目的

從我國這些年發布的相關規定來看，早期對于內部控制審計業務的類別或是目的是不太明確的。我們從2002年國家發布的《內部控制審核指導意見》可以注意到，從內部控制審計的定義和后面所述的審計報告的引言段的相關規定來看，審計業務的類引是注冊會計師對管理層的對內控的評估進行審核并就此發表審計意見：但該指導意見在審計報告的意見段里又說明審計結果應當說明被審計單位于某一基準日在所有重大方面是否保持了與財務報表相關的、有效的內部控制，這其實又表明內部控制審計的目的是對公司內部控制的有效性進行評價并出具鑒證報告。時至2008年5月22日發布的《企業內部控制基本規范》對于審計業務的類別采用的是后者觀點，即對有效性進行評價：“指引征求意見稿”對鑒證報告的引言段的規定及示例又明顯的偏向前者。

內部控制審計究竟屬于哪一種業務，它的目的到底是提高管理層自我評估的可信性還是由第三方進行的、與管理層的自我評估并行的內部控制評價?如果是后者的話，那么管理層對內部控制進行自我評估并公開報告的意義又在哪里?實際上，內部控制評價與注冊會計師是兩種不同的責任。真正在執業的過程中必須得理清這兩者之間的關系，管理層的責任是建立、健全內部控制，并有效的實施內部控制，最后評價其有效性；而注冊會計師的責任是在實施審計工作的基礎上對內部控制的有效性發表審計意見。基于成本與效益原則，兩者的工作是可以相互利用的。在對企業內部控制自我評價工作的評估上，注冊會計師可以判斷或是決定是否利用內部人員的工作，當然不管是否利用他人的工作，會計師事務所都應對發表的審計意見承擔全部責任。綜上所述，內部控制審計到底是哪一種類型實際上是不重要的，只要在審計的過程中我們能明確為什么要進行這樣的審計，怎么來權衡審計成本與效益就可以了。

2 關于內部控制審計的方法

一項新的業務，我們了解審計的目的后，接著需要知道如何來進行審計，也就是按什么方法按什么步驟來進行審計。是依托傳統財務報表審計，還是借鑒現代風險導向審計的理念?SOX頒布后，眾多專家學者及一些專業機構都對如何對內部控制進行審計提出了自己的方法，經過研究國外現行的做法，發現其中有一共同點就是基本上都使用了自上而下的方式實施內部控制審計。結合實施風險導向審計的思路，《指引》也規定采用自上而下的審計方法實施審計工作。

自上而下的方式第一層是從財務報表層次初步了解內部控制整體風險。第二層是識別企業的內部控制，第三層是識別重要賬戶、列報及其相關的認定，第四層是了解錯報的可能來源及選擇將要進行測試的財務報告相關控制，最后一層是執行控制測試。

這種方法始于報表層次，結束于控制測試，注冊會計師通過初步了解與財務報表相關的風險，可以從整體上識別或是了解為保證財務報告合法公允的內部控制而必需具備的公司層面的內部控制。注冊會計通過對企業層面內部控制的評價結果，并以這個結果來重新調整測試其他控制的性質、時間、范圍及人員安排等。有鑒于此，注冊會計師也可以直接在審計業務的初期階段就對企業層面的內控進行評價，在一定程度上節約審計成本。

在第三個層次上，注冊會計師在考慮某賬戶或列報的重要性時要注意不要首先就考慮相關控制的影響，應把考慮的重點放在極可能發生錯報的領域，放在發生這種錯報的原因上，以此來確定潛在錯報的可能來源。

最后，注冊會計師在前期工作的基礎上，評價公司的內部控制是否足以應對相關認定的重大錯報風險，并選擇對后續審計結論具有重要影響的控制來做測試。選擇什么控制來進行測試，有個最低的標準，即看這項控制單獨或累積起來是否足以應對相關認定的重大錯報風險。

采用這種方法，審計人員能夠將人力物力放在風險較高的地方，即大的節約成本，并且通過對賬戶、認定、控制等一層一層推進的了解，更有助于注冊會計師發現被審計單位內部控制的重大缺陷。但是，在實際執業的過程中，該方法的運用也可能存在一些不能解決的問題。實際工作中怎么來對公司層控制來進行評估是有困難的，行業不同、公司體制不同，這個評估的標準難以歸一，又比如什么才是有效的控制環境，也沒有一個統一的標準，而且也難以統一。那如果公司層控制存在問題，注冊會計師是否就可以判斷為重大缺陷了?如果不認定為重大缺陷，那么問題的存在又會導致財務報告內部控制在哪些方面會存在重大缺陷?通過評價公司層控制是不是一定能夠減少做控制測試的工作，或是在多大程度上減少測試工作?歷來的文獻研究也表明，這種方法確實可以引導注冊會計師更為有效發現重大缺陷，但是也不能否認這個方法的弊端。指引實際明確了，自上而下方式只是一種審計思路，與其它方法相比可以大大提高審計的效率和效果，它并不一定就是審計人員將要執行審計程序的順序。

3 關于整合審計

《指引》規定，注冊會計師既可單獨進行內部控制審計，也可將內部控制與財務報表結合起來進行審計(即我們所說的整合審計)。在實務中，由于兩者之間存在相同之處，如兩者都屬于鑒證業務，都屬于基于責任方的認定，兩者工作的最終目的都是為利益相關者提供高質量的財務信息，注冊會計師出于各方面的考慮更加傾向于將兩者結合起來進行整合審計。《指引》從計劃審計工作、實施審計工作到完成審計工作各個階段，都立足于進行整合審計。

進行整合審計，就要找出整合審計在實施過程中的關鍵整合點。為達到財務報表審計目標(合法性、公允性)，注冊會計師要執行風險評估程序、內部控制測試及實質性程序，其中風險評估程序就包含了解內部控制。內部控制審計要達審計目標也要執行相關的審計程序，同樣也包括風險評估程序里的了解內部控制這個環節。如果預期控制的運行是有效的，或僅通過實質性程序不能提供認定層次的充分適當的審計證據時，那就要進行內部控制測試了。由以上分析，將進行控制測試作為實施事例審計的關鍵整合點。如圖1所示。

4 其他問題

4.1 審計基準日

在內部控制審計中，注冊會計師發表的審計意見究竟是時點的概念還是時優段的概念，歷來也有爭議。從以往學者所做的研究中可以看到，大部分學者對此是持時段的觀點的，他們認為內部控制本身就是一個持續運行的過程，對某一個時點上的內部控制來作評價是沒有任何意義的。但從實務來看，美國和日本的審計師在進行內控審計時常常將會計報表期間資產負債表日作為內部控制的特定時點，也就是說他們是持一個時點觀的。

《規范》也只是籠統的規定了基準日，并沒有明確的來說明是時點還是時段的內部控制。按照現行指引的規定，注冊會計師是對特定基準日內部控制的有效性發表意見，那么在發表審計意見之前肯定是需要獲得內部控制在一段時間內有效運行的證據的，這段時間有可能短于企業財務報表涵蓋的期間，因此，雖然指引明確是對企業資產負債表日內部控制的設計和運行發表審計意見，但是我們在把握這個基準日時不能把它簡單的理解為一個時點概念，而應該考慮內控在這個時點之前是否有效，以及在此之后是否能延續。

4.2 內控審計缺陷

就內部控制審計而言，在實務中注冊會計師依據什么樣的標準來評價企業內控的有效性?財務報表的審計我們都知道是看財務報表是否合法、是否公允，看是否合國家的上行法及其他的相關法規；從實踐來看，美國的內部控制審計的基本框架是依據的COSO發布的報告，在我國目前的實務中，許多上市公司和會計師事務所都是以基本規范作為基準的，當然也有一些上市公司采用《上海證券交易所上市公司內部控制制度指引》和《商業銀行內部控制指引》等標準。注冊會計師如何判定內部控制的缺陷程度有多大，直接關系到最后審計意見類型的確定。內部控制標準只是一個通用的沒有細化的標準，不可能完全與企業的環境相適應，而且，內部控制標準也只是一個最低的要求，在這種情況下，符合內部控制的標準并不一定就達到了內部控制的目標。那么此時，注冊會計師是否就應當認為內控是存在缺陷的呢?個人認為，在認定一個缺陷是否是缺陷、是否是重大缺陷時，還是應該以適用的內控標準作為基本的判定依據，如果內控標準達不到內控的目標，而能達到控制目標的內部控制而在當時符合企業成本效益原則前提條件下能做到的話。則能夠認定為內控存在缺陷。反之，如果內控在功能上能達成有關的控制目標，但在形式上與內控標準不符的話，則不應該認定內控存在缺陷，作適當的披露即可。