財務報告內部控制評價：美日經驗與借鑒

（江西理工大學軟件學院 江西南昌 330013）

一、美國財務報告內部控制（ICOFR）評價

（一）ICOFR評價披露方式：由自愿轉為強制。美國早在1934年就強制要求企業建立和保持內部控制體系，為企業財務報告準確性和資產的安全性提供合理保障。1934年《證券交易法》是美國第一次對內部控制進行的立法。1977年美國國會通過的《反國外賄賂法》中有關會計條款就要求在美國上市的公司保持適當的內部控制系統，它極大提高了公司內部控制的地位。1979年和1988年SEC也曾兩次提議上市公司應對外披露內部會計控制信息，但因大、小公司質疑其執行成本過高遭到有關各方強烈反對而被擱置。之后，COSO在1992年發布了《內部控制——總體框架》，提出公司管理層應定期對企業內部控制的合理性及執行的有效性進行評價并對外出具報告，但當時內部控制信息始終是自愿披露的。因此，美國ICOFR由直接披露向強制披露的過程一直受到各方的爭議。

安然事件以及之后一系列財務丑聞的爆發，使企業監管層認識到有效的內部控制對于保證財務報告可靠性的重要作用。在這一背景下，2002年美國國會最終通過了《薩克斯—奧克斯利法案》（簡稱 SOX法案），該法案的302節和404節要求公司管理當局評價和報告公司的財務報告內部控制，獨立審計師對公司ICOFR的評價進行鑒證。2003年6月5日SEC發布了最終規則，規定了上市公司執行SOX法案內部控制信息要求的具體內容。隨后，美國成立了公眾公司會計監督委員會 （簡稱PCAOB），該委員會先后制定了審計準則第2號和第5號來規范和指導審計師的審計行為。至此，美國上市公司內部控制信息披露由自愿披露正式轉變為強制披露方式。

（二）ICOFR評價內容：由公司全部經營效率轉為與財務報告相關。根據SOX法案的302節“公司財務報告的責任”和404節“管理層對內部控制的評價”以及SEC的相關規定，美國上市公司ICOFR評價與報告應該包括兩部分內容：一是公司管理層對ICOFR有效性進行評價，并向公司審計委員會和對外發報告；二是注冊會計師對管理層ICOFR有效性評價發表鑒證意見。美國的做法是基于監管成本以及監管效力等因素的考慮，故監管層目前只選擇了對ICOFR的披露進行管制，對內部控制的其他方面則更多地采用自愿的形式，這突出了ICOFR的重要性，避免了內部控制披露要求的面面俱到，而實際執行時卻流于形式，所以ICOFR評價內容具有明顯的針對性和可操作性。

（三）ICOFR評價的執行成本：中小企業難以承受。SOX法案以及相關的根本性立法給美國公眾公司和投資者帶來了很大的利益，它對于投資者起到了重要的保護作用，是最為有效的威懾舞弊的防范措施。但它曾遭到美國包括大、小公司的利益集團的空前反對。他們認為執行404節和302節造成大量的執行成本。按照2003年6月SEC最終規則的估計，上市公司執行404節的平均成本在91 000美元左右。國際財務執行官協會（FEI）研究發現，第一年404節執行成本支出在310-810萬美元之間，第二年上市公司執行成本仍然高達380萬美元。設計和維護流程文件、測試關鍵控制和注冊會計師鑒證被認為是執行成本中最高的前三位 （美國Parveen P.Gupta，2006），與第一年實施 SOX 的成本相比，第二年執行SOX的各種成本大幅下降。此外還有以下潛在因素對注冊會計師評價ICOFR的成本有較大影響：（1）缺少SEC或其他專業組織制定的實務指南。（2）詳細評價法導致成本高、效率低。（3）注冊會計師和公司管理層執行團隊合作不佳以及受成本效益原則的困擾。為了進一步落實SOX法案，美國SEC和PCAOB采取了多項措施，以設法降低內部控制評價制度的成本和增進其執行效果。比如，推遲小企業及外國大企業404節的實施時間，針對小企業開發了《小企業內部控制框架》，制定第5號審計準則以取代第2號審計準則，精簡審計程序，使用整合審計的工作成果等。

二、日本財務報告內部控制評價

（一）日本ICOFR評價依據：兩個層次。日本ICOFR評價依據包括兩個層次：法律法規層次——2006年6月日本議會通過的《金融商品交易法》；技術規范層次——2007年2月日本企業會計審計會正式發布的《關于財務報告內部控制評價與審計準則以及財務報告內部控制評價與審計實施準則的制定（意見書）》和同時頒布的《財務報告內部控制評價與審計準則》（簡稱為評價與審計準則），以及《財務報告內部控制評價與審計實施準則》（簡稱為實施準則），要求上市公司自2008年4月1日以后開始進行會計年度ICOFR的評價與審計。以上法規共同為企業管理層以及公認會計師對ICOFR評價提供指導。日本內部控制評價與審計準則主要由三部分組成：內部控制基本框架、財務報告內部控制評價及報告和財務報告內部控制的審計。“財務報告內部控制評價及報告”和“財務報告內部控制的審計”分別闡述了管理層對財務報告內部控制的有效性評價和注冊會計師進行審計的思路。

（二）日本ICOFR的基本框架——超越COSO框架。在借鑒美國SOX法案主要內容的基礎上，日本在意見書中規定了全新的內部控制框架，提出了建立內部控制的四個目標和六個基本要素。四目標：除了COSO報告中包括的提高業務活動的效率性、財務報告的可靠性與經營活動的合法性三個目標外，還增加了“資產保全”目標。內部控制的基本要素，除了吸收美國COSO報告中的關于控制環境、風險評估、控制活動、信息與溝通和監控被多數國家認可的五要素以外，考慮到隨著IT環境變化發展，IT滲透企業以及信息系統反饋與ICOFR制度密切相關，日本增加了“對IT的應付”這一新的基本要素。IT的應對在內部控制框架中體現了日本信息技術的飛躍發展對組織產生的深刻影響。IT內部控制是日本內部控制框架的重要特征。在管理層評估內部控制有效性時，日本與美國都是采用自上而下基于風險導向的方法。但與美國不同的是，日本意見書實施準則規定：由管理層評估使用IT的控制是評估業務水平控制的重要內容。實施準則包括：使用IT內部控制的評價、評價范圍的決定、評價單位的認定及使用IT的內部控制的構建狀況和運行狀況有效性的評價四方面。

（三）日本ICOFR評價——與財務報告審計相關聯。具體體現在：（1）ICOFR評價與財務報表審計協同進行。兩個審計過程可由同一個注冊會計師執行，并且可互相利用對方的審計證據。這樣可以縮小測試范圍，減少審計工作量和降低執行成本。（2）主要評價與財務報告相關的內部控制。內部控制是一個非常廣泛的概念，日本審計準則的內部控制評價范圍只與財務報告相關，這與美國相同。日本準則同時對公認會計師進行ICOFR的評價范圍做了要求，其內容主要包括管理層對內部控制評價范圍的適當性、評價范圍所選擇方法的合理性、內部控制有效性評價適當性以及內部控制重大缺陷的報告適當性等幾部分。（3）內部控制評價報告原則上可與財務報表審計合并編制。所以日本財務報告內部控制評價執行標準是與財務報告審計相關聯的。日本以上的做法也是基于成本效益原則的考慮。

三、美日經驗對我國的借鑒

美國的財務報告內部控制體系較為成熟，而日本的經濟和人文環境與我國較為相似，美、日兩國ICOFR評價經驗對于我國上市公司如何實施ICOFR評價具有重要的借鑒意義。

（一）關注IT的應對。2008年6月我國五部委聯合發布了《企業內部控制基本規范》，表明我國在內部控制評價和審計中取得了重大成就。但基本規范中提出的我國內部控制五要素中不包括內部控制IT的應對，這不得不說是一個缺憾。目前IT環境迅速發展，IT已滲透到企業經濟業務的各方面，組織的業務內容在很大程度上依賴信息技術，組織信息系統與IT高度結合，如果離開了IT信息技術上市公司將無法進行業務活動。上市公司各項業務活動對IT的應對已成為公司實現內部控制目標必不可少的內容，因此我國應借鑒日本的做法，將IT的應對作為內部控制的基本要素之一，及時制訂與IT內部控制相關的ICOFR評價和審計的具體措施。

（二）通過法律形式對我國ICOFR的有效性評價進行強制性規定并嚴加監管。我國開展內部控制評價和審計工作時間不長，取得了一定的成就，企業內控重視程度、經營管理水平、風險防范與應對能力都有顯著提高，但也存在不少問題。截至2012年12月1日，滬、深交易所共有2 492家上市公司，其中2 244家披露了內部控制評價報告，占比90.64%，還有9.36%沒披露；有2 236家上市公司未披露內控缺陷，占比99.64%，8家上市公司內控存在重大缺陷。內部控制審計情況：2012年共有1 532家上市公司披露了內部控制審計報告，占比僅為61.48%，其中內控審計結論為標準無保留意見的為1 506家，占98.%，非標準意見的是26家，占1.7%。從中可以看出，目前還有不少上市公司未披露ICOFR評價和審計的情況，公司財務報告的可靠性無法得到保證。所以我國有必要借鑒美國的做法，通過法律形式對ICOFR的有效性評價進行強制性規定。為了更好地推動內控規范體系的落地，應針對不同行業以及企業現實需求，研究特殊行業運作特點、共性風險和行之有效的控制措施，及時制定和發布行業實務指南。針對目前有些公司內控缺陷認定的隨意性，監管部門應研究制定內控缺陷認定指南。在修改《會計法》、《證券法》等相關法律法規時增加內部控制相關條款，提升內控要求的法律層次，進一步明確企業及相關中介機構對內控的責任。要建立健全考試和培訓制度，將內控的規范知識納入到會計從業和專業技術職稱考試以及繼續教育的內容中，培育壯大內控專業技術隊伍人才。財政部、證監會及派出機構要加大監管資源的投入，形成合力，加大對有關企業、會計師事務所和咨詢機構實施規范體系的監督檢查力度，堅決查處內控評價工作走過場、缺陷認定不客觀、評價結論不適當和內控信息披露不充分的違規違法行為。

（三）明確內部控制評價范圍和審計方法與財務報告相關且協同整合。根據前面的論述可知，第一，目前美國和日本的內部控制評價與財務報告相關，這樣可突出重點和降低高昂的評價費用以降低內控評價的工作阻力，使公司內控評價工作得以順利開展。第二，美國第5號審計準則明確指出，審計人員在進行財務報告審計的同時進行ICOFR的審計，并提出了整合審計理念，日本在相關準則中也明確要求內部控制審計和財務報告審計兩個過程協同進行，并且可以由同一家會計師事務所的同一注冊會計師進行，因為它們程序關聯，目標一致，相互補充。而我國《企業內部控制應用指引》和《企業內部控制評價指引》規定企業內部控制評價范圍是全面的評價，與其相適應的鑒證必然是全面的。由于企業內部控制具有復雜性和多樣性，注冊會計師對被審計單位內部控制進行全面了解和評價是非常困難的。另外，我國《企業內部控制審計指引》規定注冊會計師可以進行內部控制審計，也可將內部控制審計與財務報告審計整合進行。這與美國和日本的相關規定不同。所以建議我國應借鑒日、美兩國的做法，將我國企業內部控制的評價范圍和方法明確為與財務報告相關且協同整合進行。這樣不僅可以充分利用審計資源，而且還可以大大降低ICOFR評價成本，提高ICOFR的評價質量和效率。