關于內部控制缺陷認定的研究

翟瑩

【摘要】在上市公司內部控制的建立、評價及審計中，內部控制缺陷的認定都是最基礎的問題，然而由于中西方均缺乏關于內部控制缺陷認定的系統研究，目前的內部控制規范對于內部控制缺陷認定也存在諸多亟待完善的地方。本文旨在通過對上市公司內部控制評價報告分析研究，找出內部控制缺陷認定存在的問題，并提出改進意見。

【關鍵詞】內部控制缺陷，認定，改進建議

20世紀爆發的世通安然等重大財務舞弊事件讓全球資本市場開始關注企業內部控制的建設。2002年7月，美國國會通過《薩班斯--奧克斯利法案》。2008年6月，我國財政部、證監會、審計署、銀監會和保監會五部委聯合發布《企業內部控制基本規范》；2010年4月，五部委又聯合發布《企業內部控制配套指引》。一系列指引和規范的出臺充分顯示出了我同監管部建立完善的上市公司內部控制制度的迫切要求，同時也標志著我國企業實際的內部控制建設也駛入了快車道。

一、內部控制缺陷定義及分類

（一）內部控制缺陷定義

內部控制缺陷是指內部控制制度建立或執行未達到預期標準，不能及時防范和控制影響企業控制目標實現的風險。根據我國《企業內部控制評價指引》規定，內部控制缺陷通常分為設計缺陷和運行缺陷，其中設計缺陷是指企業內部控制制度未涵蓋實現控制目標所必需的重要控制措施，或現有重要控制措施設計不合理，導致控制目標無法實現；運行缺陷是指控制執行者未按照內部控制制度要求執行，或控制執行者不具備有效執行控制的能力，導致控制目標無法實現。

（二）內部控制缺陷分類

對于內部控制缺陷的分類，國內外學者從各自的角度出發，對內控缺陷種類進行了一定的劃分。

Ge和Mcvay（2005）將內控重大缺陷分為九大類：會計類、培訓類、期末報告和會計政策類、收入確認類、職務分離類、賬戶核對類、子公司類、高管類和技術類。他們通過對S0X法案生效后披露重大控制缺陷的261家公司進行研究，結果發現，公司認定和披露最多的內控缺陷類別為：收人確認類、職務分離類、期末報告和會計政策類以及賬戶核對類。Jeffrey Doyle等人（2006）將內控重大缺陷按其形成原因分為三類：人員歸因類、復雜性歸因類和一般歸因類。他們對披露重大內控缺陷公司的特征進行了研究，結果發現，披露重大內控缺陷的公司具有規模小、成立時間短、財務羸弱、業務復雜、增長迅速以及正經歷重組等特征。Jacqueline S. Hammersley 等（2007）按照審計難易程度將內控缺陷分為較難審計類和容易審計類，其中較難審計類內控缺陷包括關鍵人員類、財務報告和控制環境類；容易審計類內控缺陷包括人員類、控制系統類、交易核算類以及日常業務控制類。通過咨詢會計師事務所合伙人和公司高管，他們對SOX法案頒布后內控缺陷披露的市場反應進行了研究，結果發現，市場對那些可能發生內控缺陷的公司反應普遍不好，內控缺陷越嚴重，披露的信息含量越模糊，市場負面反應越大。

與西方相比，中國學者對內部控制的研究起步較晚，目前多是研究內部控制自我評價報告的披露問題，對內控缺陷的關注度較低。王飛（2006）探討了商業銀行內部控制缺陷的表現形式，如組織結構設置、監督約束機制、業務流程安排、風險管理評估、內部審計作用及人員管理等方面的問題。建議通過完善稽核審計體系及權力制約機制等措施改進上市公司內部控制。魯清仿（2009）認為公司內控缺陷具有相對性，故應在評估公司年度治理整改報告的基礎上結合相關規定，將內部控制重大缺陷的界定標準分為兩類：上市公司中報或年報中有修訂或“補丁”行為的及存在審計師變更的。齊保壘和田高良（20lO）在財務報告內部控制缺陷影響因素的研究中，將實質性缺陷與重大薄弱環節劃分為會計類、期末報告與會計政策類、收入確認類和子公司控制類等4種類型。南京大學課題組（20lO）利用媒體對112家公司內控的報道，總結了目前我國企業內部控制存在的缺陷，如內控環境缺陷、風險評估缺陷、控制活動缺陷、信息溝通缺陷和內部監督缺陷，其中表現突出的內控缺陷是：控制環境中的員工控制和經理層控制缺陷，風險評估中的戰略風險評估缺陷，控制活動中控制盲區缺陷，信息溝通中的內部報告缺陷和對外披露缺陷。內部監督中的內部審計缺陷。

二、內部控制缺陷認定中存在的問題

（一）內部控制設計缺陷難以客觀評價

2008 年《企業內部控制基本規范》發布后，大多數企業結合自身情況建立了內部控制制度，企業重要的經營活動有章可循、有法可依，并通過對照制度檢查評價，內部控制的運行缺陷得到及時發現和糾正，企業的經營行為得到規范，基礎管理不斷夯實。但通常情況下，內部控制制度是按照管理層的意圖設計和運行的，當制度本身存在缺陷，特別是存在如不當授權、濫用職權、個人決策等治理層面的問題，執行者一般很難發現或糾正。因此，企業內部控制自我評價中，對設計缺陷通常難以客觀評價。

（二）非財務報告內部控制缺陷難以準確認定

《企業內部控制評價指引》將非財務報告內部控制有效性納入了內部控制評價范圍，今后對于影響企業戰略目標實現、制約經營效益和效率提升、威脅資金資產安全以及違法違規行為等可能造成企業偏離控制目標的事項，企業在披露內部控制評價報告時要如實予以反映。但目前由于非財務報告內部控制缺陷的認定和披露等要求沒有明確界定，難以通過定量分析法予以認定，也沒有先例可以參照，這就給企業的實際操作帶來了難度，也降低了這項制度要求的效力和嚴肅性。

（三）不同企業內部控制缺陷的認定標準

難以統一內部控制的有效性是內部控制為企業目標實現提供的保證程度，從本質上講內部控制服務于企業目標。由于企業目標不盡相同，經營業務范圍和業務規模存在較大差異，因此，企業的內部控制也必然是個性化的。從嚴格意義上講，不同企業內部控制缺陷的認定標準不能“一刀切”，需要因地制宜，具體分析和評價。這就給這項工作的實施帶來了一定的困難，也給報告使用者帶來了一定的難度。

三、內部控制缺陷的整改建議

（一）改善內部控制環境，重視企業組織架構建設企業內部應建立完整的內部控制制度體系和清晰的業務流程 ，合理地對公司各個職能部門和人員進行責任分工、控制和考核，對每一個部門的責任和利益明確界定，防止權力重疊 ，也避免出現權力真空。通過匯編內部管理制度、業務流程圖、權限指引等 ，促進企業各層級員工明確機構設置和職責分工 ，正確行使職權。

（二）內部控制制度的環境適應性，制定內部控制的戰略目標

內部控制是為了上市公司應對不同階段的風險而建立的，隨著全球一體化進程的加快 ，企業面臨的風險愈加多變、復雜，公司的快速增長必須伴隨著相適應的內部控制的改變和適應。公司的過快成長可能會超出其內部控制作用的范圍，因此，公司需要花時間來建立新的政策和程序，并需要配備相應素質的人力資源在管理和技術等方面與之相匹配。《企業風險管理—整體框架》明確指出，戰略目標是內部控制的最高層次目標。因此，公司要重視內部控制的戰略目標，從總體層面上實現對風險的識別與控制。建設自我企業文化，承擔社會責任，培養員工的認同感。

（三）提高企業員工綜合素質，培養風險意識

管理層應在日常工作中加強風險管理，建立健全風險預測、風險評估、風險控制和風險約束機制，并且在技術上制定風險回避、風險轉移和風險分散等管理策略，以有效防范和控制風險；并實時監督評價內控效果，及時采取措施化解風險。其次，全體員工應樹立風險意識，積極貫徹實施企業內部控制制度，使內控政策落到實處。內部控制是由人來完成的，而“軟控制”即組織內部人員的道德觀和能力是內部控制有效的關鍵因素之一。上市公司應強調“軟控制”的作用，著手培養自己的人才，根據企業戰略目標配備相應的人力資源，加強對每位職工的職業道德教育和技能培訓，提高人員的綜合素質。

（四）加快企業信息化建設，完善企業活動控制

企業的快速發展，無論是從資金流、信息流、還是實物流，無論是從預算管理、工程項目進展、資產管理，企業快速成長帶來的龐大信息量無時無刻不在考驗企業的內部控制制度。我國2010年上市公司內部控制缺陷分部表明，控制活動類內控缺陷與強相關于控制手段類內控缺陷，因此，應融合先進的IT技術，加強企業各部分信息的融合，將人事制度化，將制度信息化，將信息軟件化。ERP以及SAP信息化建設可以極大地提升內部控制制度透明度，進而有利于制度的執行與監管。

參考文獻：

[1]南京大學會計與財務研究院課題組．論中國企業內部控制評價制度的現實模式[J]．會計研究，2010，（6）：51—61.

[2]田高良，齊保壘，李留闖．基于財務報告的內部控制缺陷披露影響因素研究[J]．南開管理評論，2010，（4）：134—141.

[3] 美國管理會計師協會，張先治等譯．2008．財務報告內部控制與風險管理．第l版．大連：東北財經大學出版社.