內部控制缺陷的分類與認定

彭凡

2008年6月，我國發布了《企業內部控制基本規范》，并于2010年4月發布了包括《企業內部控制應用指引》、《企業內部控制評價指引》和《企業內部控制審計指引》的《企業內部控制配套指引》，至此，我國已基本建成了內控規范體系。根據指引要求，上市公司和非上市大中型企業需要對自身內控有效性進行評價并出具經會計師事務所審計的自我評價報告。而內控有效性的重難點是內控缺陷的識別和認定。然而，我國已發布的文件中在內控缺陷識別與認定方面仍然存在一定弊端，對企業的實務指導性較差。因此內部控制缺陷的認定，特別是非財務報告內部控制缺陷的認定，是企業內部控制評價工作中面臨的重大挑戰之一。

一、內控缺陷的分類

內控是被審計單位為了合理保證財務報告的可靠性、經營的效率和效果以及對法律法規的遵守，由治理層、管理層和其他人員設計和執行的政策及程序。而內控缺陷即是設計或執行不到位而使企業可能招致的風險。我國《企業內部控制評價指引》將內控缺陷分為設計缺陷和運行缺陷，其中設計缺陷是指企業內控制度未涵蓋實現控制目標所必需的重要控制措施，或現有重要控制措施設計不合理，導致控制目標無法實現；運行缺陷是指控制執行者未按照內控制度要求執行，或控制執行者不具備有效執行控制的能力，導致控制目標無法實現。SEC下屬的PCAOB將內控缺陷分為一般缺陷、重要缺陷和重大缺陷，類似地，《企業內部控制評價指引》按照內控缺陷的影響程度將其分為一般缺陷、重要缺陷和重大缺陷，不同程度的內控缺陷在審計中需要報送給企業不同層級的管理層。

除了我國相關文件對企業內控缺陷根據不同標準對企業內控缺陷進行了分類，國內外學者也對內控缺陷進行了分類。國外學者對內控缺陷的研究較早，Ge&Mcvay（2005）根據企業實際存在內控缺陷將內控缺陷分為賬戶類缺陷、培訓類缺陷、期末報告和會計政策類缺陷、收入確認類缺陷、職務分離類缺陷、賬戶核對類缺陷、子公司類缺陷、高管類缺陷和技術類缺陷等九類，其中收人確認類缺陷、職務分離類缺陷、期末報告、會計政策類缺陷和賬戶核對類缺陷等五類缺陷發生的頻率較高。Doyleet al.（2007）從按照內控缺陷所涉及問題的嚴重性將內控缺陷分為公司層面內控缺陷和賬戶層面內控缺陷。Jacqueline &Hammersley（2007）按照審計難易程度將內控缺陷分為難審計內控缺陷和易審計內控缺陷，又將難審計內控缺陷細分為關鍵人員缺陷、財務報告缺陷和控制環境缺陷，而將易審計內控缺陷細分為系統缺陷、交易核算缺陷和日常業務控制缺陷。Klammet al.（2012）以內控缺陷持續對企業的持續影響作為研究的著眼點，將內控缺陷劃分為與信息技術相關的公司層面缺陷、與信息技術不相關的公司層面缺陷以及會計賬戶層面缺陷三個類別。

國內對于內控缺陷的研究起步較晚。南京大學課題組（2010）按照內控五要素將內控缺陷分為控制環境缺陷、風險評估缺陷、控制活動缺陷、信息與溝通缺陷以及內部監督缺陷五大類。單華軍（2010）以深市上市公司作為研究對象，發現其內控評價報告中較多的是披露培訓類、董事會類、內部審計類、子公司類等方面的缺陷。此外，有學者在內控缺陷大類中進行細分。魯清仿（2009）把內控重大缺陷的界定標準分為兩類：上市公司中報或年報中有修訂或“補丁”行為及存在審計師變更的。齊保壘和田高良（2010）將實質性缺陷與重大薄弱環節劃分為會計類、期末報告與會計政策類、收入確認類和子公司控制類等四種類型。

二、內控缺陷認定的方法

內控缺陷通?？梢酝ㄟ^定量或定性的方法進行認定，也可以采用二者相結合的方法。一般情況下，與財務報告相關的內控缺陷采用定量分析，而非財務報告相關內控缺陷量化難度較大，采用定性分析法。為保證不同期間內控評價結果的可比性，各期間的評價方法應該保持一致。

定量分析法可以參考審計準則關于重要性水平的相關規定。在審計中，一般以資產總額、凈資產、營業收入等財務報告科目金額為基礎乘以0.5%-1%的某一比例，以此金額作為標準。將審計過程中已發現的錯報、推斷的錯報及以前年度發現應調整而未調整的錯報等匯總數與標準金額對比。如果匯總金額超過標準金額，則認為該內控存在重大缺陷，否則不存在。

非財務報告內控缺陷一般不會直接造成財務報告錯報，但會造成企業經營效率等方面的負面影響，最終仍然可能會對財務報告項目造成一定影響。非財務報告內控雖然無法量化，但是可以參照《企業內部控制評價指引》所列出的內控可能存在重大缺陷的跡象來進行定性分析：董事、監事和高級管理人員舞弊；更正已經公布的財務報表；當期財務報表存在的重大錯報，未通過內部控制在運行過程中發現；企業審計委員會和內部審計機構對內部控制的監督無效。這些無法涵蓋所有內控缺陷跡象，企業需要根據自身實際情況，進行分析，盡早發現內控缺陷，作出相應對策，提高企業經營效率。

三、內控缺陷認定的難點與對策

（一）內控缺陷認定的難點

雖然內控缺陷認定有一定的制度可循，但我國相關制度出臺較晚，仍有不完善之處。此外，企業間有共性也有個性，總有制度不能涵蓋的地方。所以在實務中，對企業內控缺陷認定仍然存在一些難點。

1.相關制度所帶來的內控缺陷認定難點

非財務報告相關內控缺陷認定標準不夠嚴明。與財務報告相關內控缺陷認定有明確的數據支持不同，非財務報告相關內控缺陷只有憑借《企業內部控制評價指引》中有限的要求及企業自身經驗來界定，大多只能用定性分析法，不僅可操作性較差，結果精確度也較低。

內控缺陷重要程度的劃分標準不夠明晰。我國《企業內部控制審計指引》認為重大缺陷“可能導致企業嚴重偏離控制目標”，重要缺陷“嚴重程度和經濟后果低于重大缺陷，但仍有可能導致企業偏離控制目標”，一般缺陷是“除重大缺陷、重要缺陷之外的其他缺陷”。這些均是概括性說明，實際操作中仍會有一定難度。

2.實務操作中內控缺陷認定的難點

企業所建立的內控制度存在缺陷。盡管《企業內部控制基本規范》的發布對企業內控制度的建立有很大的指引作用，而且經過近幾年的發展，也能得到一定完善。但是，有時會存在企業的內控制度在建立之初就已偏離經營目標的情況。而在進行內控缺陷認定時，為了掩蓋這一事實，會作出失實的內控評價，忽略或刻意輕視部分內控制度。

我國《企業內部控制基本規范》要求企業從公司層面進行內控缺陷認定，而《企業內部控制評價指引》僅要求注冊會計師對財務報告內控有效性發表審計意見，而對非財務報告內控僅在存在重大缺陷時才予以披露。這樣二者對于內控有效性評價的范圍不統一，可能導致信息披露結果不一致。

（二）內控缺陷認定的對策

一是完善相關政策規定。一方面，企業和注冊會計師對內控評價的范圍不一致，應該對兩方的評價范圍進行統一，有了注冊會計師的審計，能增加企業層內控自我評價的可信度，也能對管理層起到督促作用。另一方面，內控相關制度在實務操作中的難度主要是由于缺乏更加明細的規定。一些原則性的說法，譬如“可能”、“偏離控制目標”等，需要更加具體的說明，最好能進行量化，使企業在操作中有章可循。

二是完善企業內控制度。一方面，有條件的企業可以建立專門的內控部門，聘請專業人員，對企業的內控制度進行優化，并督促其有效執行。另一方面，在企業所有者和管理層建立合理有效的制衡機制，使管理層在內控制度設計和運行階段都能最大限度地保證以企業目標為方向，由董事會和審計委員會實行監督職能。

三是監管部門嚴格要求。監管部門應該關注企業內控相關信息披露。例如，統一企業內控評價報告的披露格式，不同程度的內控缺陷進行不同程度的披露；督促企業及時對信息進行披露，為投資者提供及時有用的信息；對于信息披露不合格的企業，給予處罰。 （作者單位：陜西省交通工程咨詢公司）