基于內部控制五要素構建內部審計質量控制體系

秦小楠

[摘 要] 內部審計作為內部控制的關鍵因素，在風險管理中起著重要作用， 同時，內部控制的實質是風險管理。本文首先分析了內部審計、內部控制和風險管理的關系；然后借鑒內部控制五要素的思路，基于內部審計的環境、風險管理、內部審計活動、信息與溝通以及對內部審計進行監控5個要素來構建內部審計的質量控制體系；最后，對五要素之間的關系做了闡述。

[關鍵詞] 內部審計；環境；風險管理；信息溝通

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2014 . 17. 008

[中圖分類號] F239.45 [文獻標識碼] A [文章編號] 1673 - 0194（2014）17- 0012- 03

1 引 言

內部審計是公司治理的重要組成部分，能夠有效發現并提示風險，被認為是企業風險控制的第三道防線和內部控制的重要組成部分。而內部審計質量作為內部審計的安身立命之本，對降低內部審計風險，完善企業全面風險管理框架，有著至關重要的作用。近年來，IIA致力于在全球范圍內推廣內部審計質量管理，同時，中國內部審計協會于2012年4月發布了《 內部審計質量評估辦法（試行）》和《中國內部審計質量評估手冊（試行）》，對我國內部審計質量控制有著實質性的指導意義。

2 內部控制、內部審計和風險的關系（問題的提出）

國際內部審計師協會理事會于2001年對內部審計的最新定義為：“內部審計是一種獨立客觀的保證和咨詢活動，其目的在于為組織增加價值和提高組織的運作效率，它通過系統化和規范化的方法，評價和改進風險管理、控制和治理過程的效果，幫助組織實現其目標。”

另外，內部控制和風險管理有諸多的相同點：它們都是由董事會、監事會、經理層和全體員工共同實施的；要想取得效果都需非常重視過程管理；一方面，風險評估是內部控制的五要素之一，另一方面，要進行有效的風險管理必須重視內部控制的建設。因此，內部審計是內部控制的重要手段，內部審計、內部控制都是為風險管理服務的，是風險管理的重要組成部分。

由此可見，內部審計、內部控制和風險管理三者相互依存、相互制約的，共同形成一個有機整體，為企業安全運營保駕護航，有助于組織戰略目標的實現。

3 文獻綜述

如何加強內部審計的質量控制，也是我國學者近年來研究的熱點問題。王小力（2012）認為影響內部審計質量的因素較多，內部審計機構質量控制、審計項目質量控制和審計人員質量控制是內部審計質量控制的3個直接因素。同時，內部審計質量管理可以借鑒COSO內部控制理念，這為構建內部審計質量管理框架提供了新思路。吳曉鳳（2012）對內部審計質量從內部審計質量控制的目標、審計業務主體單元和內部審計的八要素3個維度進行了內部審計質量控制的設計。《中國內部審計質量評估手冊（試行）》設計了內部審計質量評估指標，即可以從內部審計環境和內部審計業務兩大方面進行評估，為內部審計機構進行質量控制提供了一個統一的衡量尺度。總之，內部審計質量取決于多方面的因素，包括內部審計環境、內部審計戰略、內部審計人員專業勝任能力、內部審計專業管理與專業技術等，這些方面相互聯系、制約，具有系統性。下面，本文在分析當前內部審計質量影響因素的基礎上，借鑒COSO內部控制五要素理念，從5個方面構建內部審計質量管理控制體系。

4 基于COSO框架五要素構建內部審計質量控制體系

在COSO框架中，內部控制的5個要素分別是：控制環境、風險評估、信息溝通、控制活動和對控制的監控。基于這個思路，筆者從5個方面構建內部審計的質量控制體系，包括：內部審計環境、風險評估、信息溝通、內部審計活動和監控。

4.1 內部審計環境

控制環境提供企業紀律與架構，塑造企業文化，并影響企業員工的控制意識，是其他內部控制組成要素的基礎。在內部控制五要素中，控制環境是基礎，是關鍵，如果控制環境不好，企業的內部控制就不會好。而在內部審計建設中，內部審計環境同樣也是處于至關重要的地位。內部審計環境影響全體員工的意識，為內部審計提供了基礎。筆者認為，內部審計環境主要包括內部審計機構設置、人力資源政策、企業文化、治理結構、組織機構設置與權責分配等多個方面。

4.1.1 內部審計機構設置

從世界各國內部審計實踐看，內部審計機構隸屬關系大體有3種類型：受董事會領導、受總裁或總經理領導、受財務負責人領導。不管哪種隸屬類型，都要求內部審計機構必須具有較強的獨立性，獨立于其他職能部門，獨立于領導的意志，內部審計行為才會不受限制，內部審計結論才具有客觀公正性，審計建議才能被適當采納。在我國，目前實際上大多數內審機構在總經理直接領導下開展工作，同時接受政府審計機關和社會審計組織的指導，在部門設置上公司內部審計與其他職能部門并行，這將難以避免內部審計受各方利益牽制，難以開展獨立的審計活動。實際上，內部審計部門既受公司董事會領導，又受總經理的牽制，加之董事會成員與經理成員高度重疊，這種公司治理結構和內部審計機構的設置模式使得內部審計機構的職能難以發揮。

基于此，筆者建議，內部審計部門應在董事會下設置，其地位應高于其他職能部門。同時，在審計業務上向審計委員會負責并報告業績，在行政上向董事會負責并報告工作。以此提高內部審計的獨立性，樹立內部審計的權威性。

除此之外，公司審計部沒有自己獨立的經濟來源，在很大程度上獨立性會受到損害。因此，公司要為內部審計工作提供基本的經費，提供必要的設備（比如計算機硬件、軟件）、辦公條件及用車等，同時審計人員的工資也要有合理的保證，不能過低，這樣才能保證有優秀的人才愿意到內部審計機構工作。

4.1.2 內部審計負責人

責任權限及管理理念和風格。除了上述從機構設置方面強化內部審計的獨立性之外，內部審計負責人權利權限也會影響到內部審計的獨立性進而影響審計質量。內部審計負責人的權限不宜過低，過低則沒有話語權，會影響審計工作的開展，進而影響審計的結論和審計決議的實施。結合上述內部審計機構的設置，一般來說，內部審計應該在董事長的領導下開展工作，同時再設一名具體審計工作的負責人。

同時，內部審計負責人的管理理念是企業文化的一部分，是影響到內部審計工作方式及發展方向的重要因素，包括目標是否與組織同步、接受風險的類型和程度、對內部審計的重視程度等。為確保內部審計質量，內部審計負責人首先要對內部審計有足夠的重視程度，重視內部審計工作的開展和落實；同時還要確保其管理理念與組織目標保持一致；最后，要加強對風險的關注，并為公司風險管理和預警服務。此外，內部審計負責人還要對上與組織管理層有效溝通以獲得支持，對下選拔人才并以現代內部審計理念引導全體內部審計人員，起到良好的溝通和橋梁作用。

4.1.3 人力資源政策

道德價值觀及專業勝任能力。內部審計是靠內部審計人員來完成的，因此，內部審計質量還受內部審計人員的道德價值觀和專業勝任能力的影響。IIA和CIIA均頒布了內部審計人員職業道德規范，并將其作為內部審計人員首要的強制性遵循的規定。道德和勝任能力這兩個重要的因素，相輔相成，缺一不可。現代經濟的調整發展，對內部審計人員的素質提出了更高的要求。內部審計負責人在實施人力資源政策時，必須從誠信、客觀、保密、應有的職業審慎等多個方面考核其道德價值觀；此外，還要從其所具備的審計知識、技能以及諸如調研能力、分析能力、溝通能力、寫作能力等其他能力方面進行考核。為了保持內部審計人員的職業道德及專業勝任能力，還要注重內部審計人員的繼續教育。

此外，公司還要制定完善的內部審計手冊。把內部審計活動、內部審計流程、內部審計人力資源政策等以明文的方式規范下來，并傳達給每一個人。

4.2 風險管理

風險評估是是實施內部控制的重要環節，主要包括目標設定、風險識別、風險分析和風險應對。內部審計質量控制同樣也應以風險控制為基礎予以開展，內部審計質量控制的過程就是規避和降低風險的過程。內部審計的實質是揭示風險，如果內部審計不能發現并規避風險，內部審計工作就失去了意義。因此，要想做好內部審計質量控制，必須關注內部審計部門在風險評估和控制方面的成就。

內部審計質量控制應考慮的風險包括被審計單位風險和審計風險。

（1）被審計單位的風險。內部審計部門在關注被審計單位的風險時，要關注被審計單位內部因素、外部環境的影響。外部環境重點關注行業狀況，諸如：所在行業的市場供求與競爭、產品生產技術的變化等因素； 還要關注和本行業有關的法律環境和監管環境有沒有重大變化；此外，還應該考慮整體的經濟環境對本公司有沒有沖擊。一般來說，公司的下列事項可能會給被審計單位帶來風險：被審計單位的管理層的誠信、重要崗位人員有沒有變化、公司治理結構有沒有嚴重的缺陷、組織結構是否有效率、公司的研發水平能否跟得上行業發展的步伐、市場占有率如何、有沒有重大的戰略性投資活動等，因此，內部審計評價內部環境時要重點關注這幾個方面來考核。

（2）審計風險。內部審計要為風險管理服務，必須關注自身的審計風險。審計風險可以從以下幾個方面入手：首先是審計計劃。審計計劃是開展內部審計的第一步，也是整個審計工作的基礎和起點。制訂詳盡周密的計劃，有助于審計工作的開展，更能有效地發現風險。在計劃中，除了對人員分工和時間作出安排之外，還要指出審計的重點領域和擬解決的重要問題。其次是審計證據的搜集。依據審計計劃，搜集充分適當的審計證據是審計質量控制的基本保證。在搜集審計證據時，隨著信息了解的深入，還要關注公司新的風險點，并對新的風險點進行調查，獲取證據。最后，形成完善的審計報告并予以落實。內部審計報告的形成和落實，對內部審計質量控制至關重要。因為即便是審計計劃和過程做得再好，如果因為某種壓力或者原因，最終沒有在審計報告中體現，在內部管理中也沒有予以實施，內部審計質量最終會受到嚴重損害。基于此，完善的報告（提出問題）和落實（解決問題）是質量控制體系中關鍵的一步。此外，審計風險還要關注審計人員的專業勝任能力和職業道德，對內部審計人員的素質有著更高的要求。在風險管理中，還要注重各個風險管理的環節：風險的識別、風險的評估和風險的應對，三者環環相扣，緊密相連。

4.3 內部審計活動

必要的內部審計活動是內部審計質量得到保證的前提，借鑒外部審計的經驗，內部審計活動流程應當包括制訂詳盡的計劃、了解內部控制、風險評估和實質性的審計程序。風險評估在上文中已經陳述，此處不再展開。內部審計必須執行的程序應該包括：多方面的檢查文件和記錄，包括財務資料相關的文件和其他文件；定期和不定期對實物資產進行盤點；必要時對與外部單位的交易進行函證；同時，還要綜合運用內部的信息和外部的信息進行分析，以發現可能存在的重大風險。內部審計應在分析內外部信息的基礎上，對審計業務各階段進行質量管理，以提高審計質量。

4.4 信息與溝通

內部審計質量控制離不開信息與溝通。信息與溝通能夠及時、準確、完整地收集信息并以適當的方式在企業內部及外部及時傳遞和溝通，信息與溝通既是實施內部控制的重要條件，也是進行風險管理和內部審計的重要手段。信息與溝通貫穿于內部審計質量管理的整個過程，包括信息在企業內部和與企業外部有關方面的溝通。

（1）內部信息溝通。內部審計機構應及時準確地收集、整理與內部審計相關的信息，并確保信息在本部門、管理層、員工之間有效溝通。首先，本部門溝通有利于內部審計理念、技術和經驗在部門內部充分共享并達成共識，使內部審計人員能清楚地理解自身工作與組織目標之間的關系。內部審計負責人對本部門溝通起關鍵的作用，其審計理念和態度會決定整個內部審計部門的環境。其次，內部審計還要重視與管理層即上級進行溝通。一方面，內部審計部門應適時把審計過程中發現的重要問題與管理層溝通，有助于內部審計部門在公司重大事項上提供建議和忠告，發揮管理職能；另一方面，內部審計部門也要通過與管理層溝通來進一步了解管理層對內部審計的要求和定位，以便于更好地調整自己的工作，為協助管理層決策和加強內部控制提供更好的服務。最后，內部審計部門還要與員工即下級做好溝通。眾所周知，內部控制是全員參與的，內部審計質量的加強也同樣離不開員工。公司員工對公司存在問題和風險有著更切身的了解，因此，內部審計部門在開展工作時要注重向員工搜集信息；同時，內部審計部門還是管理層與員工溝通的橋梁，一方面把員工的意見和建議反饋給管理層，另一方面也需要把管理層的理念和應對措施傳遞給員工來具體執行。

（2）外部信息獲取。很多時候，瀏覽外部信息相比內部信息，更能為內部審計人員提供好的審計思路，更易于找到公司的風險點，特別是當這家公司是公眾公司即上市公司時，外部信息至關重要。因此，內部審計部門在工作時，絕不應該僅僅依靠企業內部信息。要獲取外部信息有多種來源：首先要關注行業協會。通過行業協會可以了解公司在行業中的地位、市場占有率、公司技術能力是否能跟得上行業發展步伐，這些都是評價公司風險的重要指標；其次，如果是上市公司，還可以從報紙、雜志、網絡等多個渠道了解外部對公司的評價，再結合內部信息，來發現公司存在的重大問題和風險。

獲取行業信息最經常使用且有效的辦法之一，是與行業協會保持緊密聯系。行業協會匯集著本行業各類信息，并設有專業研究機構，對理念和實務操作均具有指導性和引領性，從行業及時獲取信息能推動內部審計質量管理的提升。

內部審計部門不管是與公司內部的員工、管理層還有本部門做內部信息溝通，還是了解外部信息時，都需要建立流暢的溝通機制，必要時可以運用信息化手段建立一個信息溝通的平臺，以有利于上下級、內外部和部門內部的有效溝通。

4.5 內部審計質量監控

內部審計質量控制是一個持續、動態的過程，內部審計質量的提高，需要時時監控與改進。對內部審計質量的監控包括公司內部監控和外部評估。

（1）內部監控。內部監控可以分為兩種方式，包括日常的持續監控和定期的內部評估。內部審計機構應建立持續監控體制，來對審計項目進行實時、全過程的監控。一般來說，內部審計機構負責人因為具備豐富的審計經驗，其職位也具有一定的權威性，因此應當由其來擔當最終監控人。此外，為了使得內部監控更有效和具體可行，內部審計機構專項審計崗位經理對自己手下的人員進行具體的監控。最終監控人需要監控全局性的問題，比如評價重要或者關鍵的內部控制、公司重大的事項以及管理層和治理層關心的重要問題等；而內審崗位經理則需要對審計程序的適當性和審計證據的充分性以及工作人員是否勝任進行具體監控，并就監控中的重大問題向上一級監控人即內部審計負責人報告，并對其負責。此外，定期進行內部評估也是建立內部審計質量體系的關鍵。內部評估小組的成員，除了包括內部審計部門的成員之外，還可以由財務部門、審計委員會以及公司內部管理層和治理層成員組成，盡量避免僅僅由內部審計部門人員來做自我評估。這種評估最好形成一種常態，每年末或者半年進行一次，隨機抽取一定項目進行檢查，并出具評估報告，就評估中發現的問題與內部審計機構溝通，以促使內部審計質量的提高。

（2）外部評估。國際內部審計師協會和中國內部審計協會均對內部審計的內部評估和外部評估做了規范性的要求。2012年5月，中國內部審計協會對中鐵大橋局集團有限公司內部審計質量進行了評估，這也是我國第一個內部審計質量外部評估項目，標志著我國內部審計質量外部評估進入了實質階段。外部評估形式可以采用同業檢查，也可以聘請會計師事務所等專業機構檢查。外部評估的方式也有很多種，比如近年來討論的全面質量管理、ISO評估模型等。在評估時，要注重一些內部審計為組織增加價值的指標。

5 內部審計五要素之間的相互關系

上述五要素之間，并不是孤立的，而是相互聯系相互制約的，其表現為：①內部審計環境是基礎，是做好其他4個要素的關鍵。比如內部審計環境中，要求制定詳細的內部控制手冊，而這個手冊要發揮作用，還要依賴信息與溝通要素，把手冊下發到每一個員工手里，做好信息的溝通；同時在內部審計活動中，要求相關人員認真執行。內部審計環境較好，基于領導重視內部審計工作，為內部審計活動和內部審計監控奠定了良好的基礎。②信息與溝通是建立內部審計質量體系的基本手段。因為不管是良好的內部控制環境，還是業務過程中的審計活動、對內部審計監控與風險管理，都離不開溝通這個手段。③風險管理是五要素的靈魂。基于前面內部審計、內部控制和風險管理的關系，內部審計和內部控制都是為管理當局進行風險管理服務的，進而實現為組織增值。因此，考核內部審計質量，離開不開風險管理這個因素。

主要參考文獻

[1]COSO.企業風險管理—— 整合框架[M].方紅星，譯.大連：東北財經大學出版社，2005.

[2]中國內部審計協會.內部審計質量評估辦法（試行）[S].2012.

[3]吳曉鳳.借鑒COSO理論構建內部審計質量控制模式[J].中國內部審計，2012（9）：58-59.

[4]閻銀泉.內部審計質量評價指標體系研究——基于平衡計分卡的視角[J].財會通訊，2012（33）：46-47.

[5]于伯新.依托內部控制體系開展審計質量內部評估[J].中國內部審計，2013（5）：32-33.

[6]王旭輝，時現.基于二維視角的內部審計質量保障體系研究[J].財會通訊：綜合（上），2013（5） ：106-109.

[7]饒慶林，譚文浩.內部審計質量控制體系思考[J].財務通訊，2010（10）：87-88.