內部控制缺陷及其職業判斷研究

高育清　程家棟

內部控制缺陷及其職業判斷研究

高育清程家棟

首先從理論上構建內部控制缺陷判斷的框架，厘清判斷的層次、環節及證據特征，其次利用深圳迪博公司2011年的內部控制缺陷及相關數據，對我國上市公司內部控制缺陷的要素、層次、環節、類別與嚴重性進行統計分析揭示出其分布特征，并將上述分布與內部審計師對于嚴重性的判斷進行交叉分析，顯示維度上對于職業判斷的可識別性。

內部控制；職業判斷；內部控制缺陷

國內外關于內部控制信息的披露對公司治理的改進、財務信息質量以及投資決策影響等實證研究均證實了內部控制信息的市場價值與治理意義。內部控制缺陷的認定是內部控制評價的基礎和核心，同時該認定對職業判斷又有高度依賴，比如我國的《內部控制評價指引》中對于重要缺陷的表述：“重要缺陷是指一個或多個控制缺陷的組合，其嚴重程度和經濟后果低于重大缺陷，但仍有可能導致企業偏離控制目標?！睆谋硎隹矗瑑炔靠刂剖欠翊嬖谌毕莸呐袛嗳Q于是否存在控制目標偏離的可能性，重要與重大的區分界限是“是否導致企業嚴重偏離控制目標”，即存在是否偏離與偏離程度兩個層次的判斷。這些判斷不僅有賴于評價者的主觀認知，也因評價對象、不同時空而異，學界難以達成共識，如何提高內部控制評價中的職業判斷水平是一個值得研究的問題。近年關于內部控制的理論研究已頗為豐富，隨著規范的推進和數據庫的建立，量化研究也逐漸增加，從理論和數據上為內部控制職業判斷的研究提供了可能。內部控制缺陷的認定在很大程度上取決于評價者的職業判斷，其依據是什么，是否具有較高的一致性？

本文以我國2011年上市公司披露的內控信息為依托，研究我國上市公司內部控制缺陷的分布、與內部控制目標的關聯性以及相關職業判斷的一致性或差異性，為目前內部控制的實證研究提供補充性證據。

國外早期的內部控制缺陷及其評價的研究集中于與財務報告相關的內部控制缺陷及其財務信息后果，薩班斯-奧克斯來404條款之后則圍繞全面內部控制展開研究。Doyle（2007）將重大缺陷按照嚴重程度分為公司層和賬戶層，Bonnie K等（2009）從是否信息相關展開內控缺陷研究，結論是與信息相關的內部控制缺陷明顯多于與信息無關的內控缺陷。在內部控制缺陷的時間分布特征方面，Thomas G等（2012）研究了薩案之后的2004年至2010年內部控制缺陷報告，發現內部控制重大缺陷呈逐年下降趨勢，重大缺陷集中于會計記錄、政策與程序以及會計調整等財務信息相關缺陷；Weili Ge與Sarah Mc-Vay（2005）建立了內控風險的可能性及其后果的二維分析框架，描述了內控缺陷的行業分布，發現計算機、服務業、金融三個行業內部控制缺陷最突出，從類別看，薄弱的內控主要是與收入確認與存貨相關，公司的業務復雜程度也會影響到內控缺陷。

國內研究也頗為豐富，楊有紅、李宇立（2011）對內部控制缺陷的識別基礎，識別、評估與認定以及對外報告進行了理論上的梳理；南京大學課題組（2010）利用媒體信息對近十年來中國出現重大問題的代表性企業案例樣本進行了文獻式研究，統計中國企業內部控制重大缺陷的行業、企業性質以及時間分布，歸納了內部控制五要素中的突出問題及其相互影響；王惠芳（2011）對三項指引前后2009、2010年我國的473家上市公司內部控制缺陷及其披露進行統計分析，論述了內控缺陷認定中的核心問題：評價基礎的選擇與評價標準的確定，構建了原則性與規則性相結合的評價方法；陳武朝（2012）對在美上市公司的內部控制缺陷進行了文本提取，將內部控制缺陷分為公司層與交易或事項層，提出了依據跡象和定義兩種內部控制重大缺陷的認定方法；丁友剛（2013）運用內容分析法，從缺陷事件的性質、發生的可能性和影響的嚴重程度三個維度上考察上市公司內控缺陷認定的定性標準的制定情況。

綜上所述，內部控制缺陷的分類不一而足，相應的評價也是多維的，既有基于控制活動測試的過程評價，也有基于控制目標實現的結果評價；既有遵循性為主的直接評價，也有依托異常表征的間接評價；既有框架式評價也有問題導向的評價。實證方面，關于內部控制缺陷形成的一致觀點是：隨著內部控制規范化的推進，重大缺陷呈逐年減少的趨勢；從類型分布看，大部分研究支持內部控制缺陷集中于與財務信息質量相關的控制的觀點。需要對內部控制缺陷的多維分類進行邏輯關系的梳理，以便能夠更加準確地判斷各種判斷和評價可能產生的偏差，在此基礎上展開的實證研究，才可能厘清研究的意義。

一、內部控制評價的職業判斷

見圖1。

審計領域對內部控制的關注始于制度基礎導向審計，其目的是將有限的審計資源配置于審計風險較大的領域，以節約審計成本、實現審計目標。基于此，審計中控制風險的定義是“控制風險是指某一個賬戶或某一類交易單獨或連同其他賬戶或交易發生重大的錯報或漏報，未能被會計系統或其他內部控制系統及時防止、發現或糾正的可能性?！彪m然現行的風險導向審計不再區分固有風險與控制風險，而將之合并為重大錯報風險，但年報審計中對內部控制關注的目的未發生改變，即與財務信息質量相關的內部控制。內部控制有效的實質標準是內部控制目標的實現，形式標準則是各項控制活動的執行。內部控制缺陷由原來的控制偏差與實際錯報之間的邏輯關系置換為現在的控制偏差與控制目標的偏離：控制偏差指的是控制沒有得到有效執行，控制偏差的存在使錯報發生（偏離控制目標）的概率增加，但并不必然導致實際錯報（偏離控制目標）。但是，如果發生了錯報（偏離控制目標）一定是控制出現偏差。不難推斷，如果內部控制的評價是對結果的評價，就存在忽視內部控制偏差的危險。

圖1內部控制缺陷判斷圖

類似地，控制偏差嚴重程度的評價包括控制偏差導致控制目標偏離的可能性和偏離所導致的后果的嚴重性兩個方面。實踐中多采用專家評分法，不足之處是具有很大的主觀性；次佳的評價依據是對實際偏差的觀測以及偏離控制目標的直接后果的取證；更加綜合的評價是對企業經營目標或經營戰略實現的影響，適用于內部控制的整體合理性評價?？傊?，結果的評價能夠獲取可驗證性相對好的證據，滿足了評價的便利性要求，不足之處在于：一是偏離了內部控制偏差概念本身，存在低估內部控制偏差的風險；二是綜合評分對改進控制行為沒有直接的借鑒作用。

二、內部控制缺陷的總體分布

以深圳迪博公司2011年的內部控制缺陷數據庫、內部控制評價數據庫和內部控制審計數據庫等三個數據庫具有完整數據的217家上市公司為樣本，公司相關其他數據來自國泰安數據庫，這些缺陷大都屬于內部審計師自我披露的內部控制缺陷。217家公司合計存在704條內部控制缺陷，公司之間差異較大。內部控制缺陷超過10個的公司有6家，介入5個和10個之間的公司有33家，小于5個的有178家。排在前10位的公司依次為深賽格、安徽合力、華意壓縮、康芝藥業、太鋼不銹、太陽電纜、深華發A、冀東水泥、ST康達爾和西儀股份。其中，深賽格屬于租賃服務業，太陽電纜屬于計算機軟件咨詢與服務業，其他8家均為加工制造業。內控缺陷數量最多的是深賽格，結合內容分析，深賽格集中體現在電商中的客戶管理較為混亂；安徽合力、華意壓縮控制活動的缺陷存在于采購、銷售、存貨管理等所有業務環節，反映了內部管理極不規范；深華發集中體現為控制活動、信息與溝通兩個控制要素的缺陷，導致財務信息失真。

217家上市公司內控缺陷平均數量為3.25個，有31家公司缺陷數在均值以上，標準差為2.36，說明公司之間內部控制存在較大差異。

三、內部控制缺陷的多緯度分析及缺陷嚴重性的交叉分析

表1　內部控制缺陷及其嚴重性分布表

（一）內部控制五要素缺陷

內部控制五要素的劃分源自COSO委員會，控制環境作為控制基礎，為其他要素提供約束和結構，風險評估會直接關系到公司戰略或目標制定，控制活動是控制目標實現的手段，信息與溝通是控制的載體，而內部監督又為控制執行提供保障。從表1可以看出，內控缺陷要素分布由高到低依次為：控制環境、控制活動、信息與溝通、控制監督、風險評估、其他（主要為關聯方管理）。控制環境的影響重大而廣泛，對其缺陷進一步細分，主要集中于兩個方面：內控制度設計與執行、組織結構與權責分配。說明了制度建設是上市公司內部控制缺陷發生的“重災區”，從其文字表述來看，差異性較大，有些比較空泛如“進一步完善內部控制體系”；有些則較為具體，如“公司董事會與經理層就重大固定資產投資等權限不明晰”。與五要素的交叉分析顯示，內控缺陷存在嚴重偏離的集中于控制活動，反映該要素上內部控制評價有較好的辨識度。

（二）財報缺陷與非財報缺陷

依據內部控制缺陷可能導致的后果，分為財報缺陷與非財報缺陷。財報缺陷意味著該項內部控制可能影響到財務報表的信息質量，進而影響資本市場的金融資源配置效率，非財報缺陷則是指該內部控制缺陷不會對財務報表產生直接的影響，影響到企業的經營效率或者法律法規的遵循。統計發現，屬于財報缺陷的有80個，屬于非財報缺陷的有624個，嚴重或重大缺陷集中于非財務錯報。雖然統計顯示沒有舞弊造成的財務錯報，但從少量已披露的財報錯報來看，金額較為巨大。新華制藥影響的金額最大，為6073萬元，康芝藥業的錯報金額最小，為3000萬元。造成上述結果的可能解釋為：（1）審計主體獨立性所致。內部審計在披露內部控制缺陷時由于獨立性不及外部審計而導致的選擇性披露。（2）外部監督影響。財報缺陷是外部審計師的關注點，外部監督的存在有利于減少相關內部控制缺陷。由于內控缺陷所引發的錯報金額信息披露較少且個體差異較大，所以不具有代表性。

（三）缺陷的環節與層次

在控制風險評價中，需要識別控制缺陷屬于設計缺陷還是運行缺陷，二者都會影響內部控制的有效性，但前者是一種系統性缺陷，后者則可能是控制環境因素所致，也可能源自內部控制的固有局限。704個內部控制缺陷中，設計缺陷為251個，運行缺陷為387個，66個雙重缺陷分布于48家公司，說明內部控制制度設計不合理較為嚴重，而且制度形同虛設的情況更為普遍。

依據缺陷層次，分為公司整體層與部門層的內部控制缺陷。該分類對于財務審計的意義在于：公司整體層的內部控制需要考慮其廣泛性和嚴重程度對總體審計策略的影響，而部門層的控制缺陷則更容易與認定層的重大錯報風險相關聯，進而影響進一步審計程序的制定。統計結果顯示重大缺陷集中于公司層，但部門層的重要缺陷絕對數和相對數均高于公司層。

總體上看，多維度的統計顯示，內部控制缺陷集中于控制環境與控制活動、以非財報缺陷為主、運行缺陷多于設計缺陷、公司整體層缺陷多于部門層缺陷。從嚴重程度來看，內部控制缺陷主要是一般缺陷，即可能導致控制目標的偏離，但不會嚴重偏離；重大缺陷集中于公司層、非財報缺陷、設計缺陷和控制活動。

四、研究結論

（一）從我國上市公司的內部控制缺陷的數量分布來看，集中于控制環境與控制活動

控制環境作為一個基礎要素對其他控制要素存在廣泛而深刻的影響，而控制活動則體現了企業的管理水平，不僅意味著企業應該從制度的文化環境、組織結構、權力配置等方面營造良好的管理氛圍；也意味著合理配置授權、評價、信息處理、實物控制等控制工具，并確保控制政策與程序得到有效執行，企業制度建設任重道遠。

（二）內部控制缺陷的數量意味著控制偏差發生的范圍以及可能性

內部控制缺陷的數量會影響內控偏差發生的可能性大小，如果一個企業出現較多的內部控制缺陷，那么其發生內控偏差的可能性會增大，反之，發生的可能性較小。因此注冊會計師在職業判斷時，往往要關注企業內控缺陷的數量。

（三）注冊會計師還應關注控制缺陷的性質

應識別內部控制缺陷屬于設計層還是運行層，有財務后果的還是影響經營效率的。內部控制缺陷如果屬于設計層次的，從性質來看更加嚴重，更容易被認定為重大缺陷。內控缺陷環節對注冊會計師職業判斷的影響較大。如果一個公司的內部控制缺陷為設計缺陷，則該缺陷為源頭環節的缺陷，其影響范圍較大，有可能會波及數個部門的工作流程，反之，如果該缺陷為運行缺陷，那么說明其制度的制定是符合要求的，只是在后續的執行中出現一些錯誤，其影響范圍較小，對公司造成的影響也隨之減小。所以注冊會計師在職業判斷時，往往比較重視內控缺陷的環節。

（四）非財報缺失由于并不由財報反映，因此并不受到重視，公司往往也會選擇隱瞞

我國企業的非財報缺陷的數量也遠多于財報缺陷，注冊會計師在判斷時應注意到非財報缺陷，該類錯報雖然不會對財務信息帶來直接影響，但是蘊含著巨大的重大錯報風險。注冊會計師應關注內控缺失發生的嚴重程度，看其是否會引起持續經營能力的變化，在企業存在持續經營疑慮時管理層受到壓力較大，進而增大財務信息風險。

［1］楊有紅，李宇立.內部控制缺陷的識別、認定與報告［J］.會計研究，2011.3：76-80.

［2］陳武朝.在美上市公司內部控制重大缺陷認定、披露及對我國企業的借鑒［J］.審計研究，2012.1：103-109.

［3］丁友剛，王友超.上市公司內部控制缺陷認定標準研究［J］.會計研究，2013.12：79-85.

［4］方紅星，張志平.公司治理結果對內部控制有效性的影響［J］.審計研究，2012.4：53-61.

［5］李育紅.公司治理結構與內部控制有效性—基于中國滬市上市公司的實證研究［J］.財經科學，2011：69-75.

［6］李宇立.自我感知的內部控制缺陷間的關系——基于問卷調查的路徑分析［J］.審計研究，2011.6：74-81.

［7］羅彬.內部控制環境理論研究［J］.重慶工商大學學報，2007（24）：67-70.

［8］屈小蘭.審計職業懷疑研究綜述［J］.審計研究，2012（3）：69-75.

［9］王惠芳.上市公司內部控制缺陷認定：困境破解及框架構建［J］.審計研究，2011.2：71-76.

［10］深圳市迪博企業風險管理技術有限公司.中國上市公司2013年內部控制白皮書摘要［J］.上海證券報，2013.9.

（作者單位：襄陽職業技術學院經濟管理學院、上海立信會計師事務所）