對財務報告內部控制審計相關問題的探討

邢廣旭

摘 要 內部控制審計這一制度安排，為財務報告的使用人了解企業內部控制，增強對財務報告的信心提供了保證。本文主要以財務報告為視角，重點探討了與財務報告相關的內部控制審計問題，希望對會計和審計實務工作者有所啟發。

關鍵詞 財務報告 內部控制 審計

中圖分類號：F239 文獻標志碼：A

《企業內部控制基本規范》及其《企業內部控制配套指引》的發布，標志著我國企業內部控制規范體系的建設基本完成。但是，任何一個制度都需要強有力的監督才能發揮有效的作用，所以由第三方審計師對內部控制進行鑒證并進行披露已經被世界上大多數國家所共識。2002年7月，美國國會批準了《薩班斯——奧克斯利法案》（簡稱“《SOX》”），要求社會公眾公司管理層對內部控制進行自我評價并對外報告，同時要求擔任公司年報審計的會計公司對管理層的評價報告進行鑒證并出具審計報告。2004年3月，美國公眾公司會計監管委員會（簡稱“PCAOB”），發布了《與財務報表審計同時進行的財務報告內部控制審計》（簡稱“AS2”）； 2007年6月，PCAOB又發布了取代AS2的《與財務報表審計結合的針對財務報告內部控制的審計》（AS5）；2010年4月，我國財政部等部門聯合發布了《企業內部控制審計指引》要求會計師事務所接受委托，對上市公司內部控制設計與運行的有效性進行審計，并出具審計報告。但是，內部控制審計畢竟是一項新生事物，對其相關問題展開研究，對于正確指導會計和審計實務工作具有重要的意義。

一、關于內部控制審計的目標

世界公認的內部控制研究機構美國COSO委員會認為，如果公司的經營目標得到了某程度的實現、財務報告可以信賴、適用的法律法規得到了遵循，即可以認為內部控制是有效的。AS5指出，財務報告內部控制審計的目標是對公司財務報告內部控制的有效性發表意見，財務報告內部控制的有效性包括設計和運行兩個方面，任何一個方面存在重大漏洞，便可以被認定為無效的。我國《企業內部控制審計指引》指出，內部控制審計是指會計師事務所接受委托，對特定基準日內部控制設計與運行的有效性進行審計。在內部控制審計業務中，注冊會計師提供的保證水平要高于原來的內部控制審核業務提供的保證水平。內部控制審核在收集證據的性質、時間和范圍方面是有意識的加以限制的，而內部控制審計則要收集充分的和適當的審計證據，以期為內部控制審計意見提供較高程度的保證。

二、關于內部控制審計的對象

（一）內部控制審計對象的類型。

AS5把財務報告內部控制審計的目標界定為“審計師就公司財務報告內部控制的有效性發表意見”，我國《企業內部控制審計指引》也指出，內部控制審計的目的是對財務報告內部控制的有效性發表意見，對于在審計過程中注意到的非財務報告內部控制的重大缺陷，注冊會計師應當在內部控制審計報告中增加“說明段”予以披露。由此可見，財務報告內部控制審計指向的對象都是內部控制而不是公司管理層對內部控制的自評報告。

（二）內部控制審計對象的時空范圍。

內部控制的目標包括合規性目標、經營目標、財務目標和戰略目標，財務目標只是內部控制目標之一。AS5僅要求注冊會計師對與財務報告相關的內部控制進行審計。《SOX》要求，公眾公司財務年報中應當包括內部控制報告，其內容包括對公司管理層建立和維護內部控制系統及相應控制程序充分有效的責任的強調，管理層最近財政年度末對內部控制體系及控制程序有效性的評估，擔任公司年報審計的會計公司應當對管理層對內部控制的評估進行測試和評價，并出具評價報告。我國《企業內部控制審計指引》強調會計師事務所對企業特定基準日內部控制設計與運行的有效性進行審計。PCAOB也認為財務報告內部控制有效性是針對具體某一時點的。由于財務報告內部控制是一個連續的和動態的過程，有些控制政策和程序運行后不會留下審計軌跡，因此審計師在財務報告內部控制審計過程中只能獲取某一時點的充分而有效的審計證據，從而也只能對該時點控制的有效性提供合理的保證。

三、關于內部控制審計的依據

AS5指出，審計師在財務報告內部控制審計過程中，應當采用與公司管理層評價財務報告內部控制同樣的標準，即共同認可的控制框架。美國證券交易委員會（簡稱“SEC”）要求管理層采用一個適當的、被認可的、包括向公眾廣泛征求意見的團體制定的控制框架作為評價公司財務報告內部控制有效性的基礎，COSO發布的內部控制整體框架即是這樣的一個框架。COSO 報告是由美國注冊會計師協會、美國會計協會、內部審計協會、管理會計師協會和財務經理人協會共同制定，其專業導向性，決定了其關注的重點是會計和財務問題，普華永道會計師事務所承擔了大量的工作，可以作為財務報告內部控制的評價標準。而且COSO報告的權威性在世界上得到了廣泛的認可。

四、內部控制有效性的認定問題

（一）內部控制缺陷的概念。

內部控制缺陷指的是內部控制設計和運行中存在的漏洞，會影響內部控制目標的實現。內部控制是允許存在瑕疵的，AS5指出：“對那些沒有以合理可能性導致財務報表發生重大錯報的控制來說，即使存在缺陷，也沒有必要進行測試。”但是，內部控制的缺陷不應當為控制目標的實現提供合理保證。因而內部控制缺陷是與控制目標相聯系的。

（二）內部控制缺陷的分類。

對內部控制缺陷進行分類是十分重要的，因為審計師是缺陷的類型來確定審計意見的類型的。AS5根據將控制缺陷劃分為一般缺陷、重大缺陷和實質性漏洞三個層次，并列舉了實質性漏洞的信號。重大缺陷也稱實質性漏洞，是指一個或多個控制缺陷的組合，可能嚴重影響內部整體控制的有效性，進而導致企業無法及時防范或發現嚴重偏離整體控制目標的情形，例如管理層風險意識薄弱，或者的風險偏好與企業的經營特征不匹配等；重要缺陷是指一個或多個一般缺陷的組合，其嚴重程度低于重大缺陷，但導致企業無法及時防范或發現嚴重偏離整體控制目標的嚴重程度依然重大。例如，有關缺陷造成的負面影響在部分區域流傳，為公司聲譽帶來損害。是指除重要缺陷、重大缺陷外的其他缺陷。

（三）內部控制缺陷的認定。

內控缺陷和內控局限性都會影響內控目標的實現，但二者是不同的。內部控制局限性指的是內部控制能夠為控制目標的實現提供合理保證，但是卻不能提供絕對保證。COSO列舉了內控局限性的典型表現：決策過程中可能出現錯誤判斷、執行過程中可能出現的錯誤或過失；因勾結串通或管理層越權而失效；控制成本與收益的權衡等。

五、內部控制審計與財務報表審計的整合問題

財務報告內部控制審計的目標是對財務報告內部控制有效性發表意見，財務報告審計的目標是對財務報表的公允性發表意見，二者都是對企業管理層對財務信息的認定提供合理保證。鑒于此，將二者進行整合將有助于提高審計效率，降低審計風險。《SOX》規定，內部控制審計應當由為公司出具審計報告的會計師事務所來進行；AS2和AS5均明確提出，財務報告相關內部控制審計應當與財務報告審計結合進行。我國《企業內部控制審計指引》規定：“注冊會計師可以單獨進行內部控制審計，也可以將內部控制審計與財務報表審計整合進行”。在對財務報告內部控制審計與財務報表審計整合進行時，注冊會計師應有效地、協同地計劃和執行審計工作以實現兩者的目標，在審計過程中既要考慮財務報告內部控制審計得出的結論對財務報表審計的影響，也要考慮財務報表審計得出的結論對財務報告內部控制審計的影響。

六、內部控制審計的導向性問題

AS5為財務報告內部控制審計設計了一種自上而下的風險導向審計方法。風險導向的意思是注冊會計師將審計資源集中于高風險領域，以提高審計效率，降低審計風險。自上而下的意思是指，注冊會計師首先要關注公司層面的內部控制，即控制的頂層設計；然后是重要的報表項目和重要賬戶余額和發生額的控制，最后才是業務層面的控制，即具體業務流程的具體控制。由于企業層面的內部控制主要涉及到的是控制環境因素，如公司組織架構、企業文化、人力資源政策和程序、職責分工等，這些因素決定了內部控制的基調，是內部控制的基礎，同時也是內部控制的短板。控制環境出現問題，也就意味著其他層面的內部控制都可能會出現問題。如公司治理存在缺陷、不相容職務沒有進行分離這些企業層面的設計缺陷，既容易導致管理層舞弊，不可避免地會導致財務報表層面和業務層面的內部控制出現問題。換而言之，企業層面的控制決定了財務報表層面的控制，進而決定了業務層面的內部控制，其風險也是逐級下移和擴散的，控制了企業層面的風險，也就等于控制住了其他層面的風險。所以，自上而下的內部控制審計方法就是以風險為導向的審計理念的具體體現。這種自上而下的，以風險為導向的審計方法將引導注冊會計師將審計工作的重點指向下一步的高風險領域，為注冊會計師制定審計策略、安排審計計劃提供了路線圖。□

（作者單位：中國平煤神馬集團財務資產部）

參考文獻：

[1]李明輝，張艷.上市公司內部控制審計若干問題之探討.審計與經濟研究，2010（03）.

[2]龍鳳姣.企業內部控制缺陷認定方法探討.商業會計，2012（11）.