關于內部控制審計若干問題的思考

（臨沂市高級財經學校山東臨沂276000中國海洋大學管理學院會計系山東青島266100）

一、引言

近期的獐子島8億扇貝因冷水團不翼而飛的事件于2014年12月4日由大連證監局定性為存在內控不規范——其部分事項決策程序不規范、內部控制制度執行不規范。該事件在引起人們質疑的同時，也引發了人們對上市公司內部控制評價和審計的關注。《我國上市公司2013年實施企業內部控制規范體系情況分析報告》指出，內部控制審計報告披露存在內部控制審計結論中的非標準審計意見比例較低，內部控制評價結論與內部控制審計結論不一致，內部控制審計報告披露不規范和強調事項段的使用不規范等問題。上市公司存在審計師和管理層在內控審計的范圍、缺陷標準的認定、內控有效性的結論等方面的標準不一、結論不同的問題，影響了投資者對于上市公司內部控制有效性的判斷。

二、內部控制審計的發展

（一）國際內部控制審計的發展

內部控制審計的產生發展歷經了三個階段，分別是內部控制評價階段、內部控制審核階段、內部控制審計階段。美國會計師協會1939年發布的《第1號審計程序公告》第一次在財務報表審計增加了對內部控制審查評價的內容。而賬項基礎審計模式向制度基礎審計模式的轉變也使內部控制由最初在財務報表審計中受到關注逐步轉變為審計過程中一個關鍵性程序。

20世紀80年代，財務舞弊案的頻發和全美反舞弊性財務報告委員會對評估內部控制有效性的建議，使SEC要求管理層在年度報告中報告對財務報表和內部控制的責任以及評估內部控制的有效性，但由于巨大的制度運行成本不了了之。直到1991年《聯邦儲蓄保險公司改善法》出臺，強制要求大銀行管理層報告內部控制有效性并由注冊會計師對管理層的聲明進行驗證，曾反對內部控制報告的團體轉而支持對內部控制相關信息的披露和審核。隨著AICPA《財務報告內部控制的審核》的發布，美國實現了從財務報表審計中評價內部控制，到正式將內控審核規定為注冊會計師單獨承辦的鑒證業務的第二次飛躍。

2002年薩班斯-奧克斯利法案（SOX）的頒布，讓上市公司內部控制由自愿性披露轉化為強制性披露。內部控制審核階段進入了內部控制審計階段。2003年，SEC發布了《最終規則》，正式提出了財務報告內部控制的概念，對管理層如何披露公司財務報告內部控制提出了具體要求。使財務報告內部控制自我評估和內部控制審計制度擴大到公眾公司的同時，要求對公司財務報表進行審計的注冊會計師事務所對公司管理層的財務報告內部控制評估報告提供鑒證報告。PCAOB于2004年發布了《第2號審計準則——與財務報表審計相關的財務報告內部控制審計》（AS NO.2），關注了財務呈報內部控制的審計工作，以及這項工作與財務報表審計的關系問題。其明確了內部控制審計概念并提出了整合審計的理念，建立了一個新型的內部控制審計體系框架。為追求成本效益最大化，PCAOB在2007年以AS NO.5取代了AS NO.2，其主要變化體現在進一步優化自上而下的審計方法、增加對舞弊控制的評價、強調穿行測試的重要性等方面。2006年，歐盟修訂歐洲議會和歐盟理事會指令，明確要求注冊會計師應向公司審計委員會報告財務報告內部控制重大缺陷。通過實施企業內控審計識別、分析、認定、報告內控缺陷尤其是重大缺陷。日本在2007年發布了《財務報告內部控制評價與審計準則》。CICA也于當年發布了《與財務報表審計整合的財務報告內部控制審計》。現代審計因此進入了一個財務報表審計與財務報告內部控制審計并重的時代。

（二）我國內部控制審計的發展

2006年，上交所和深交所分別發布了內部控制指引，倡導上市公司披露內部控制自我評估報告和會計師事務所的審核評價意見。2008年5月，財政部、證監會、審計署、銀監會和保監會聯合頒布了 《企業內部控制基本規范》（財會[2008]7號）。2010年4月，五部委又聯合發布了18項《企業內部控制應用指引》《企業內部控制評價指引》和《企業內部控制審計指引》，我國企業內部控制規范體系應用范圍逐漸擴大。五部委要求，企業要對內部控制的有效性進行自我評價并出具年度自我評價報告，同時聘請事務所對其財務報告內部控制的有效性進行審計，出具審計報告。自2012年1月1日起施行的 《企業內部控制審計指引實施意見》在《企業內部控制審計指引》的基礎上，對執行內部控制審計各個關鍵環節的要求進行補充和細化，從業務約定書簽訂，到總體審計策略和具體審計計劃的制定、審計工作實施，以及控制缺陷評價，形成審計意見到最終的審計報告出具都進行了較為詳細的規定。

三、內部控制審計目標的定位

SOX頒布之后，美國開始實施財務報告內部控制審計。AS NO.5第三段規定，財務報告內部控制審計的目標是對公司財務報告內部控制的有效性發表意見。之所以選擇財務報告控制概念，首先是由于將內部控制的目標集中在財務報告可靠性上，更有利于保護廣大投資者的利益；其次，內部控制的核心目標是合理保證財務報告的可靠性；最后，歷史上注冊會計師對管理層內部控制評估的檢查、評價或鑒證的范圍從來就是針對內部控制。根據我國《企業內部控制審計指引》的規定，內部控制審計是指會計師事務所接受委托，對特定基準日被審計單位內部控制設計與運行的有效性進行審計。注冊會計師應當對財務報告內部控制的有效性發表審計意見，并對內部控制審計過程中注意到的非財務報告內部控制的重大缺陷，在內部控制審計報告中增加“非財務報告內部控制重大缺陷描述段”予以披露。這里內控審計包含了兩個目標，不僅要對財務報告內部控制有效性發表意見，還要評價非財務報告內部控制有效性。筆者認為，針對我國內控審計市場現狀來說，這一目標是否具有現實性還有待商榷。與非財務報告內部控制相關的評價活動類似于私人物品，而財務報告內部控制具備了公共物品的非排他性和非競爭性的基本特征，具有公共物品的性質。內部控制審計的性質是提供類似于公共物品的服務，這種性質決定了內部控制審計的目標是評價與財務報告可靠性有關的內部控制的有效性，而不是全部內部控制的有效性。

內部控制有三大目標：（1）財務報告的可靠性；（2）經營的效率和效果；（3）遵守適用的法律法規要求。然而，注冊會計師對內部控制的有效性進行審計的終極目標是為了保證財務報告及其相關信息的真實可靠，公允反映。根據SEC對財務報告內部控制的定義——首席執行官和首席財務官就符合公認會計準則外部使用目的之財務報告的可靠性和財務報告的編制提供合理保證而制定或監督制定并由發行人董事會、管理層和其他人員實施的程序。而非財務報告內部控制主要是滿足企業自身的需要，如保證企業在法律法規的框架下從事經營活動，保證經營的效率和效果等。現今的法律和訴訟體系對于內控的合規性目標就已經產生了一定的監督和保證作用，而對經營效率目標的保證的內部控制活動一方面具有私密性的特征，另一方面，注冊會計師的鑒證業務主要是針對財務報告而言，其目的是查錯揭弊和驗證財務報表的真實性和公允性，主要發揮降低信息風險、信息增值和信息甄別的作用。對于企業經營效率和效果的內部控制進行有效性保證，似乎已經超出了注冊會計師的業務和能力范圍，也無形中增加了注冊會計師的執業風險。

因此，筆者認為內部控制審計的具體目標應為對財務報告內部控制的設計與運行的有效性發表審計意見。而與非財務報表內部控制有關的設計與評價活動則主要由企業內部審計完成，或者作為非注冊會計師的非鑒證業務如內部控制咨詢等。但需要強調同一事務所不可同時涉及內部控制咨詢與內部控制審計業務，否則將因為自我評價的不利影響，損害內控審計的獨立性和審計意見的可信性。

四、內部控制審計與財務報表審計

（一）內部控制審計與財務報表審計的區別

1.審計目標及范圍不同。內部控制審計目標是注冊會計師對內部控制設計和運行的有效性進行審計并發表審計意見。財務報表審計的目標是注冊會計師通過對財務報表是否按照適用的會計準則和相關會計制度的規定編制和是否在所有重大方面公允反映被審計單位的財務狀況、經營成果和現金流量進行審計并發表審計意見。

針對財務報告內部控制在某一基準日有效性的審計，審計人員應當獲取財務報告內部控制在足夠長期間運行有效性的證據，可以短于財務報告期。在財務報表審計中，注冊會計師也必須了解內部控制，但僅在下列兩種情況下才應當實施控制測試程序：一是在評估認定層次重大錯報風險時，認為控制的運行是有效的；二是僅依靠實施實質性程序不足以提供認定層次充分、適當的審計證據。控制測試的范圍一般為整個報告期。

此外，內部控制審計中要關注內部控制期后事項。在基準日后至審計報告日前（以下簡稱期后期間），內部控制可能發生變化，或出現其他可能對內部控制產生重要影響的因素。注冊會計師應當詢問是否存在這類變化或因素，并獲取被審計單位關于這類變化或因素的書面聲明。但在財務報表審計中，并未要求對影響內部控制的期后事項加以關注。

2.對內部控制有效性評價結論的準確程度要求不同。AS NO.5將財務報告內部控制審計定位為合理保證的鑒證業務，因此，不僅要求注冊會計師了解內部控制，評價和測試內部控制有效性以確定控制風險的高低，還要收集充分適當的審計證據判斷內部控制的設計和執行是否都符合所采用的內部控制評價標準。因此，內部控制審計對內部控制有效性評價結論具有較高的準確程度。財務報表審計只是為了衡量控制風險的高低，將其作為實質性程序性質、時間和范圍的確定依據，不需要單獨對財務報告內部控制的有效性提供報告，因此對內部控制的有關評價相對來說準確度和信賴度較低。

3.審計報告的內容不同。內部控制審計報告審計意見沒有保留意見這一類型，只有無保留意見、否定意見和無法表示意見三種審計意見類型，并且在滿足兩種條件時，對內部控制出具無保留意見的內部控制審計報告：一是在基準日，被審計單位按照適用的內部控制標準的要求，在所有重大方面保持了有效的內部控制；二是注冊會計師已經按照 《企業內部控制審計指引》的要求計劃和實施審計工作，在審計過程中未受到限制。然而，對內部控制發表了否定意見并不表明財務報表一定存在重大錯報。注冊會計師應該確定被出具否定意見的內部控制審計報告對財務報表審計意見的影響，并在內部控制審計報告中予以說明。

4.對注冊會計師的要求不同。內部控制審計是貫徹實施企業內部控制規范體系的重要制度安排，同時也改變了我國會計師事務所業務結構單一的局面，為注冊會計師行業做強做大提供了新的業務增長點，其對注冊會計師的職業判斷能力和專業勝任能力都有了更高的要求。與財務報表審計中了解和測試內部控制不同，報表審計中只需要簡單了解內部控制以確定控制風險，而內部控制審計相對風險較高，而且鑒證對象是非財務數據，不像財務報表審計中可以精確的量化評價。注冊會計師需要掌握標準、規范且成熟有效的內控評價或審計流程及方法論，并熟悉內部控制規范和評價標準，類似的缺陷可能在某些公司歸屬于重大缺陷，而在另外一些公司卻被歸屬于重要缺陷，甚至一般缺陷。內控缺陷的評價是內控審計的重點和難點，在評價內部控制缺陷是否重大時，需要注冊會計師進行大量的職業判斷。而報表審計中對于內部控制的了解和評價僅限于確定控制風險的大小，不用認定內部控制缺陷類型，要求的有效性結論也不需要太精確。因此，注冊會計師應該加強內部控制方面的職業判斷能力和專業勝任能力并注重內控審計方法和程序的掌握。

（二）內部控制審計與財務報表審計的聯系

1.最終目的相同。和財務報表審計一樣，注冊會計師在對內部控制的有效性進行審計的最終目的都是為了保證財務報告及其相關信息的真實可靠，公允反映。兩者都是收集充分適當的證據提供鑒證服務，向公司外部信息使用者提供決策有用的高質量會計信息提供合理保證，降低信息風險。內部控制審計是審計財務信息的生產流程，而報表審計是審計財務信息的本期成果，其共同目的都是提高對外公布的財務報表信息的質量。

2.程序關聯。兩者都要了解和測試內部控制，并且對內部控制有效性的定義和評價方法相同。財務報表審計中，為了解和評價被審計單位的內部控制情況，注冊會計師可以采用詢問被審計單位人員、觀察特定控制的運用、檢查文件和報告、追蹤交易在財務報告信息系統中的處理過程（穿行測試）等方法。內部控制審計中，也需要綜合運用詢問、觀察、檢查相關文件及重新執行、穿行測試等程序。注冊會計師可以利用內部控制審計所取得的審計證據和內部控制有效性評價中發現的缺陷來決定財務報表審計中進一步審計程序的性質、時間和范圍。

3.方法相同且有交叉。兩者都采取風險導向審計模式，注冊會計師首先實施風險評估程序，識別和評估重大缺陷（或錯報）存在的風險。在此基礎上，有針對性地采取應對措施，實施相應的審計程序。注冊會計師在內部控制審計中采用的是自上而下的方法。與財務報表審計方法一樣，這種審計方法也是基于全面風險管理基礎的以風險為導向的審計方法選擇。自上而下的方法始于財務報表層次，以注冊會計師對內部控制整體風險的了解開始，然后，將關注重點放在企業層面的控制上，并將工作逐漸下移至重要賬戶、列報及其相關認定。隨后，驗證其對被審計單位業務流程中風險的了解，并選擇能足以應對評估的每個相關認定的重大錯報風險的控制進行測試。一是從財務報表層次初步了解內部控制整體風險；二是識別、了解和測試企業層面控制；三是識別重要賬戶、列報及其相關認定；四是了解潛在錯報的來源并識別相應的控制；五是選擇擬測試的控制。

在審計流程上，注冊會計師都要先制定審計計劃，評估內部控制整體風險，確定重要性水平，識別重要賬戶、列報及其相關認定，確定執行內部控制審計業務所需資源的性質、時間安排和范圍，收集充分適當的審計證據并出具鑒證報告。兩者均要識別重點賬戶、重要交易類別等重點審計領域且確定的重要性水平相同。注冊會計師在財務報告審計中確定重要性水平，旨在檢查財務報告中是否存在重大錯報；在財務報告內部控制審計中確定重要性水平，旨在檢查財務報告內部控制是否存在重大缺陷。由于審計對象、判斷標準相同，因此二者在審計中確定的重要性水平亦相同。

五、結論

內部控制審計強化了上市公司信息披露，提高了財務信息質量，是貫徹實施企業內部控制規范體系的重要制度安排，同時也改變了我國會計師事務所業務結構單一的局面，為注冊會計師行業做強做大提供了新的業務增長點。我國的內部控制審計也正處于摸索階段，還有許多地方值得探討和改進。要在明確內部控制審計目標的基礎上，結合我國資本市場和審計市場的實際情況，不能完全對西方的內控審計條文實行“拿來主義”。在內部控制審計和財務報表審計的整合方面，還需要更加深入的研究整合的程序與方法，使內部控制審計不但不成為上市公司的成本和負擔，還能與財務報表審計一起發揮成本效益最大化的作用，更好地保護投資者的利益。

普華永道中國金融業市場主管合伙人表示：“站在企業的角度，將內部控制審計與財務報表審計結合起來進行，不但有助于降低企業的審計成本，節省企業的時間及人工投入，更有助于企業完善與財務報告相關流程的管理，促進企業財務報告信息質量的提升。”由同一家事務所進行整合審計，不僅有利于提高審計效果和效率，降低審計成本，減少重復勞動，而且可以避免審計判斷出現不一致的情形，降低企業聘請不同事務所實施審計的負擔。而上文分析的內部控制審計與財務報表審計的區別和聯系也印證了可以將內部控制和財務報表整合審計，這也是美國內部控制審計所采用的審計方式。將兩者整合起來進行審計，一方面可以有力提升財務報表審計和內部控制審計的效果和效率。另一方面，內部控制審計與報表審計的結果在多個方面可以互相利用、互相支持，達到更好的審計質量。