風險基礎內部控制評價體系構建

王學蓮

摘 要：從內部控制評價發展的趨勢來看，內部控制評價基本上都趨向于采用風險基礎評價方法，而我國對內部控制風險基礎評價方法應用不足。因此，將以評估影響內部控制目標實現的風險因素為起點，構建與組織目標相匹配的內部控制評價體系，評價影響目標實現的“風險與應對”有效性，分析研究內部控制缺陷，提出改進意見，以促進內部控制，合理保證組織目標的實現。

關鍵字：風險導向；內部控制；有效性；評價

中圖分類號：F272 文獻標志碼：A 文章編號：1673-291X（2016）26-0108-03

引言

巴塞爾銀行監管委員會（Basle Committee on Banking Supervision）在對20世紀90年代以來的系列銀行破產案例作了深入調查之后得出結論，認為著名商業銀行發生資金風險案件的原因，除了內部控制失效外，很難再找到其他因素了。如2008年興業銀行的期貨交易欺詐案，一位從事普通股指期貨對沖的交易員，闖過5道操作權限劃分嚴密的銀行審核系統關卡，獲取使用巨額資金的權限，虛構交易一年多而沒有被發現，使得法國興業銀行的內部控制成為眾矢之的。無獨有偶，我國近幾年金融機構風險案件也多發、頻發。如2016年1月農行爆發的39.15億元巨額票據案，按規定應保存在銀行保險柜的匯票被農行員工與票據中介內外勾結，提前取出套取資金非法流入股市；但由于股市下跌，巨額資金缺口導致票據到期無法兌付，而保險柜中的票據被換成了報紙，并且票據進出未建立臺賬。因此，在風險控制流程嚴密、監控系統發達、工作權限級別森嚴的金融機構出現風險案件頻發，使我們禁不住對自己的內部控制體系是否有效產生疑慮。所以，在風險空前險惡的當今，評價組織應對風險的內部控制是否有效是至關重要的。筆者將以評估影響內部控制目標實現的風險因素為起點，構建與組織目標相匹配的內部控制評價體系，對影響組織目標實現的“風險與應對”的有效性進行評價，研究分析內部控制缺陷，提出改進意見，以合理保證組織目標的實現。

一、內部控制評價發展狀況

目前，內部控制評價主要采取詳細評價法和風險基礎評價法兩種方法。詳細評價法以控制目標是否實現以及實現程度為出發點，對內部控制的完整性、合理性及有效性發表意見。即以內部控制框架為標準，對內部控制架構成要素是否存在進行判定，評價內部控制設計的有效性；根據內部控制現有業務流程和操作制度，測試控制是否按照規定的程序得到了執行，評價內部控制運行的有效性。這種方法的特點是從控制到風險，即從內部控制到相關目標實現的風險，忽視了內部控制本身的缺陷以及風險的不確性等因素，比較適合于內部控制的建立和保持。風險基礎評價法以影響組織目標實現的風險為基礎，首先，對影響組織相關目標實現的風險進行識別和確定；其次，判定應對目標風險所必需的控制是否存在、合理，即評價控制目標風險的應對措施設計的有效性；再次，對應對風險的控制措施運行的有效性進行評估，評價現有的控制措施是否得到了有效的運行；最后，研究分析控制措施的缺陷，判斷內部控制是否存在實質性漏洞。這種方法的特點是從風險到控制，即從內部控制相關目標實現的風險到內部控制，充分體現了以風險為基礎的理念。

從目前的現狀以及未來國際發展趨勢來看，內部控制評價基本上都趨向于采用風險基礎評價方法。從2007年開始，美國證券交易委員會發布的管理層報告內部控制指南（SEC，2007）和公共公司會計監督委員會發布的內部控制審計準則（PCAOB，2007）就采用了風險基礎評價方法。這一方法在英國、加拿大、日本等國的上市公司的內部控制年度評價也得到應用。我國2010年頒布的《企業內部控制評價指引》要求企業圍繞控制環境、風險評估、控制活動、信息與溝通、內部監督等五要素對內部控制設計與運行情況進行自我評估，屬于詳細評價法，但目前對風險基礎評價法應用不足。

二、風險基礎內部控制評價體系設計

由于風險管理已成為組織治理和管理的關鍵所在，所以對作為風險管理重要組成部分的內部控制進行評價時，應該充分體現風險管理理念。風險基礎評價法就是以評估控制目標實現的風險為起點，關注重大風險，僅評價充分應對風險的控制，根據風險發生的可能性和對目標的影響程度確定評價的重點業務單元、重要業務領域或業務流程環節等范圍獲取證據，判斷內部控制有效與否也是以風險為基礎，根據內部控制是否合理保證了可能發現或防止了重要風險得出評價結論，將風險管理理念貫穿始終。故結合風險管理理念和內部控制風險基礎評價法，構建以風險為基礎的內部控制評價程序圖（圖1）。

圖1 風險基礎內部控制評價程序圖

（一）設定相關目標

由于組織在不同時期、發展階段所面臨的風險因素是不同的，內部控制需要規避的風險自然也是不一樣的，組織應當動態設定不同發展時期內部控制的目標重心。在具體設定內部控制目標時，應當根據組織內部權責結構進行設計和劃分層次，將組織各層級目標與各風險點相匹配，不僅要強調組織內部控制總體目標，而且還要明確各管理層級的內部控制子目標。相關各目標的設定是內部控制評價的出發點，因此，是否實現了其目標是內部控制評價的落腳點尤為重要。所以，內部控制評價應該從內部控制為相關目標實現提供合理保證水平的目標出發，對控制的設計和運行的有效性進行評價，判斷內部控制所規定的目標是否實現。COSO委員會在《企業風險管理控制框架》將內部控制目標界定為四類：戰略目標、經營目標、報告目標以及合規目標，滿足了不同評價主體的需求。如監管部門在推動實施內部控制評價時，其目標可能更多關注于內部控制對于信息提供和披露方面所達到的報告目標和合規目標；而組織自身進行的內部控制評價時，其目標就不僅局限于報告目標和合規目標，而更多注重內部控制是否有助于組織戰略目標的實現和實現企業經營的效果和效率，是否達到戰略目標和經營目標實現的合理保證水平。

（二）評估相關目標實現的風險點

首先，識別和分析影響相關目標實現可能發生的風險，確定重要風險點。將重要風險點對應的控制點作為評價內部控制有效性的指標。其次，參考重要風險點發生的可能性、影響等因素確定對應控制點的權重值。權重賦值一般有層次分析法、專家評分法、專家模糊排序法、對數排序法和集值統計法等方法。由于同一指標對不同組織的影響程度不同，組織可以根據自身的特點和應對風險的能力、偏好等靈活確定，以保證指標權重的適用性和恰當性。設每個重要風險點對應的控制目標集P=（P1，P2，…，Pi，…，Pn ），相應的權重集為W=（W1，W2，…，Wi，…，Wn ），其中：P是該項業務內部控制評價的總目標，Pi代表子目標（即一級指標），Wi表示指標Pi在P中的比重， 。設子目標的因素集pi=（pi1，pi2，pi3，…，pij），相應的權重集為wi=（wi1，wi2，wi3，…，wij），i，j=（1，2，...，n），其中，wi表示pij在Pi中的比重， 。

（三）評價應對風險的內部控制

對上述確定的內部控制評價指標一一評價相對應的控制的有效性。首先，構造評語集。設V=（V1，V2，…，V i，…，Vn）是一個評價集合，表示指標因素由優到差的各級評語。通常評語設為“優”、“良”、“中”、“差”四個等級。本文設n=4，V=（V1，V2，V3，V4）分別表示評語為“優”、“良”、“中”、“差”，其中：V1～V4∈[0，1]，各評語的值可參考0.9≤V1≤1，0.7≤V2<0.9，0.5≤V3<0.7，0.5

（四）評價結果

根據組織內部控制目標層次結構圖，對每一個層級的各子目標的因素進行加總，然后將對各個子因素的評價綜合成對主因素的評價。由于組織目標的實現除了受自身因素的影響外，還要受到眾多外部因素的影響，并不總是處在組織的內部控制范圍內，因此，有效的內部控制為組織目標的實現只能提供合理的保證，而不是絕對的保證。評價內部控制有效性的實質是評價內部控制為相關目標的實現提供的保證水平是否達到或超過合理保證的水平。設內部控制保證水平為Pi，變動范圍應當是從0%—100%，根據組織接受風險的態度確定內部控制合理保證水平為P0，則[P0，1]為有效的內部控制區間，[0，P0]為無效的內部控制區間，如圖2所示。

圖2 內部控制有效性的變動范圍

1.子目標評價結果：

Pi= pij wij

其中：pij=vivj，表示子目標集中每個因素的評價得分。

2.總目標評價結果：

P=

如果內部控制評價結果P∈[P0，1]區間，表示內部控制是有效的，說明內部控制為相關目標的實現提供的保證水平達到甚至超過了合理保證水平；反之，則表示內部控制是無效的，說明不能為相關目標的實現提供合理的保證水平。

結語

風險基礎內部控制評價體系以影響組織相關目標實現的風險為起點，關注重要風險，僅對充分應對風險的控制進行評價，揭示內部控制實質性漏洞，促使組織有的放矢地建立健全內部控制體系，充分應對可能面臨的風險，使內部控制更具動態性和適用性，提高評價的效率和成本效益。風險基礎內部控制評價體系既適合對內部控制整體進行評價，也適合單項內部控制評價，同時可以根據組織的行業特點、風險偏好、風險承受能力等特定情況，來確定各評價指標和權重，具有更廣泛的靈活性和適用性。

參考文獻：

[1] 張先治，戴文濤.中國企業內部控制評價系統研究[J].審計研究，2011，（1）：69-78.

[2] 郭慶平.人民銀行內審工作轉型與發展探索[M].北京：中國金融出版社，2011.

[3] 劉玉廷.全面提升企業經營管理水平的重要舉措——《企業內部控制基本規范》解讀[J].會計研究，2010，（5）：3-16.

[4] 南京大學會計與財務研究院課題組.論中國企業內部控制評價制度的現實模式[J].會計研究，2010，（6）：51-61.

[5] 陳漢文，張宜霞.企業內部控制的有效性及其評價方法[J].審計研究，2008，（3）：11-54.

[6] 楊愛群.風險導向內部審計在企業風險管理中的應用探討[J].商場現代化，2007，（2）：163-165.