COSO框架在內部控制審計中的運用

吳娜德

摘要：實施內部控制是為了確保企業能有效實現其目的，《內部控制整合框架》即COSO框架是綜合了內部控制理論和實踐發展的產物，是現代內部控制極具權威性的框架。內部控制審計是對企業內部控制效果發表評價意見的一種獨立的監督活動。結合內部控制審計實踐，就COSO框架在內部控制審計中的指導意義、實際運用以及未來發展做初步探討。

關鍵詞：COSO框架;內部控制;內部控制審計;監督評價

引言

現階段，我國企業呈現出高質量發展的趨勢，企業管理逐步向科學化轉型，企業接收的各類信息日益增多，形態各異，為企業管理層的決策帶來了考驗。建立較為完備的內部控制體系可以通過對信息的提取、分析、整理、篩選，使之成為保障企業健康運行的有效數據。如何對內部控制運轉體系做出合理的評價，成為內部控制審計的重要任務之一。

一、COSO框架在內部控制審計中的指導意義

（一）COSO框架的意義及內容

COSO框架最早是由美國反虛假財務報告委員會的建議，由其下屬的COSO委員會，在專門研究內控制度的基礎上發布的，旨在討論財務報告中舞弊行為發生的根本原因，并找到解決的方法和途徑。美國注冊會計師協會全面接受了COSO報告，并以此發布了《審計準則公告第78號》，奠定了COSO報告在內部控制方面的重要地位以及所具有的權威性。經過多年的實施和運作，這套整合框架在業內倍受推崇，在全球得到了廣泛的推廣和應用。

COSO框架提出了一個多維度立方體模型的概念，即企業的營運目標、財務報告目標以及合規性目標，通過監督、信息和溝通、內控活動、風險評估以及內控環境等“五要素”穿插、貫穿于業務活動中，以此為戰略目標的最終落地提供合理保證。

（二）COSO框架對我國內部控制審計的影響

每個企業的內部控制建設依賴于良性的發展環境，企業生存的內外環境發生變化，必然導致內部控制滯后、失效或缺陷的產生，使得管理者需要對內部控制的健全性、適應性進行不間斷地評價，及時發現漏洞和問題，便于企業持續改進，這就是內部控制審計具有的價值意義，較為成熟的COSO框架就為內部控制審計工作的思路和方向提供了指引。

（1）理念相符。COSO框架報告認為，企業內部控制是由企業董事會、經理以及其他員工共同實施的。我國的內部控制制度建設是伴隨社會經濟的發展一同進步的。2008年，財政部、審計署、保監委、銀監委、證監委五部委聯合下發了《企業內部控制基本規范》，成為建立企業內部控制體系的綱領性文件，提出了內部控制的執行者是企業董事會、監事會、經理層和全體員工，這與COSO框架的理念如出一轍，都認為內部控制是需要公司上下統一認可并共同遵守的規則。

（2）方向一致。COSO框架報告認為內部控制制度的目的是為了實現基本經濟目標，保證對外公布的財務報告的可靠以及符合相應法律法規，簡單地說，就是體現效益性、可靠性及遵從性。我國內部控制體系目標是保證企業經營管理合法合規、資產的安全、財務報告及相關信息真實完整、提高經營效率和效果以及促進企業實現既定的發展戰略。這是對COSO框架報告進行了具體的闡述，更符合我國的國情。管理者啟動內部控制審計的初衷同樣也是為了企業管理的更為順暢、安全和有序。

（3）提供標準。在執行審計的過程中，審計人員制定審計方案，運用審計技術，對企業內部控制進行審查、分析、測試和評價，可以說，內部控制審計是對原有內部控制，在層次上實現再控制。審計最終的目的是為了改善經營管理，提升企業運營質量，COSO框架就起到很好的借鑒作用，它較為系統的評價體系，逐步成為主要的審計評價標準之一，為審計人員明確了審計方向，在出具內部控制審計的最終報告時提供了參考意見。

二、COSO框架在內部控制審計中的實際運用

我國內部控制審計的執行主體，分為注冊會計師（CPA）、內部審計師（IA），兩者遵循的審計準則不同，但都是以相應的內部控制規章制度、準則為指導。筆者就以對某一單位實施內部控制審計為例，說明在COSO框架內核理論指導下實施的審計過程。

（一）了解控制環境，制定審計目標

（1）治理架構。股東大會、董事會、監事會和管理層是否明確職責，議事機制、決策機制是否健全，并且運作良好，形成合理的職責分工和制衡機制，是公司規范管理的必然要求。通過從外部管理部門調取相關資質證明材料，查閱公司章程、規章制度以及會議紀要、決議等文件，確定治理架構的合法以及合規性。

（2）管理架構。管理架構是保證公司正常運轉的重要因素，機構的設置與劃分以及人員的職責權限，直接影響到企業經營目標的實現。通過與被審計單位員工的交流，了解被審計單位內部橫向與縱向的業務關系，搜集員工手冊、崗位職責表等信息，繪制詳細的組織架構圖，了解權利與責任的落實情況。同時，從業務的特性考量，搜集了行業內相關單位的管理模式，進行對比分析，評價單位管理模式的優勢與薄弱之處。

（3）人力資源政策。切實可行的人力資源政策，體現公平、公正、激勵的薪酬體系會為企業的發展注入新鮮血液，極大地激發企業整體的活力和創新力。筆者在審計過程中，查閱員工的薪酬、考核、晉升以及獎懲等制度，評價被審計單位的人力政策是否具有可持續性。人員的素質是內部控制執行的決定因素，在審計過程中，對于人員招聘環節進行了重點關注，尤其是一些關鍵部門人員的錄用，在筆試面試的基礎上，是否進行了誠信調查，從而有效地甄別應聘者，防止雇傭不合格人員。

（二）實施風險評估，明確審計范圍

完善的風險管理體系，可以有效地認識、規避和防范風險，并針對風險的程序，制定風險管理策略，提出風險解決方案，從而增強單位風險管理理念。

（1）構筑框架。風險是未來目標實現與否的一種假設和預測，因此對風險進行評估就是通過科學的方法，對風險產生的可能性、導致的后果進行的一種量化。在審計實踐中，筆者借鑒COSO框架的立體模型，設定目標，在充分評估單位組織、機制、制度等方面的信息后，梳理業務流程，緊扣業務環節，建立初步的風險控制模型，識別風險。

（2）信息收集。信息的收集包括內部控制工作的組織情況、建設情況、關鍵崗位管理情況以及財務信息的編制上報情況。根據審計單位的實際業務，重點搜集了資產、負債、收支、預算等方面的管理情況，以便評估會計信息質量是否做到真實、全面、完整、公允。

（3）風險分析。風險是伴隨著經營過程產生而不斷變化的，是無法消除的，但可以通過分析，進行合理防范。筆者采用多種評價方法相結合的方式，分析被審計單位風險。調查分析每一階段、每一業務環節時，使用流程圖分析法，發現潛在風險，找出引起風險發生的關鍵點，明確單位的風險狀況。針對重要事項，運用事件樹分析法，按順序演化業務的過程，從邏輯上分析產生結果的原因和主要節點。根據風險評價結果結合風險級別，測評影響程序，突出審計重點，劃定審計范圍和樣本量。

（三）檢查控制活動，分析相關程序

控制活動能否落到實處，使制度發揮應有的效應，達到控制目標的手段是檢驗企業管理能力的主要標準。控制是一系列過程的總和，不是單一和獨立的，而是立體和交織的。筆者主要圍繞被審計單位以下五方面的業務實施了審計。

（1）不相容職務分離控制。識別被審計單位的不相容職務，不同職務之間的職責與權限是否得到合理界定，職務之間是否存在相互牽制、相互制約。確認被審計單位是否實施必要的保障措施和回避制度，以保證在單位內部充分體現權利與責任彼此制衡的效果。

（2）授權審計批程序控制。建立從上而下的授權審批的理念對組建授權審批體系具有十分重要的意義。在確定審批組織機構后，以審計的全面性和重要性為基礎，對審批事項進行梳理，確定重點和關鍵事項，統籌分析。

（3）會計系統控制。對被審計單位所發生的能以貨幣計量的經濟業務進行確認、記錄、計算和報告，以保證會計信息的真實和完整性。審計內容涉及會計的機構、崗位的設置，從業人員的配備，勝任業務的能力以及管理制度和工作程序等多個方面。

（4）財產物資的保管控制。審計日常管理制度和定期清查制度的建立情況，采用查看資產記錄、實地盤點、核對賬實，審查處置、外借資產的相關文件，復核工作流程等方式，以評價財產保管工作的質量和安全情況。

（5）預算和績效控制。通過審查被審計單位全面預算管理制度的編制、審定、下達和執行情況，指出單位在管理能力、運營效率、發展趨勢以及績效考評體系中的利弊，提供符合被審計單位業務實際的審計意見和建議。

（四）測試信息溝通，獲取處理能力

內部信息的收集、處理和傳遞程序，涵蓋了內部控制的整個過程，是內部控制各個結點連接的橋梁和紐帶。現代企業管理的信息化控制程度越來越強，正潛移默化地改變著企業傳統的管理模式。因此，在內部控制審計中，審計人員應主動適應環境的變化，轉變審計理念，創新審計方法。筆者從以下三方面實施了審計。

（1）厘清崗位界限。了解被審計單位的各類軟件系統，分清各系統的管理職責，尤其是手工操作中不易合并的崗位，在信息管理中出現的合并現象。

（2）注重痕跡管理。手工管理會留存較多的紙質信息，而數據化管理的方向是無紙化。萬一出現問題，追溯就會出現一定的難度。筆者所審計的單位，會計核算實現了電算化，其余業務尚未全面實現數據化管理，紙質留痕相對完整，但也反映出，處理效率不高、信息共享度較低的問題。

（3）確保信息安全。信息的儲存安全是內部控制的新課題，信息的損壞、刪除、篡改帶來的損失往往是巨大的，不可逆轉的。筆者依據被審計單位的信息安全管理和信息技術的情況，重點審計了數據的輸入與輸出、文件存儲與保管、網絡安全管理、存儲信息的介質和環境等方面的控制情況，發現該單位的備份機制不完善、計算機機房人員進出不登記等問題，顯示出單位在信息安全管理制度上的欠缺。

（五）評價內部監督，衡量執行質量

內部監督是對內部控制制度的執行情況進行的復核和檢查，是企業內部的自我免疫系統，這是一項持久性的工作，既是從現象發現問題的過程，更是從本質解決問題的過程，它從另一個視角，服務于經營管理。

（1）內部審計。內部審計部門是內部控制健全和有效的合理保證。筆者所審計的單位設置了獨立于財務的內審部門，并配備了相應的專職內審人員。內審部門制定的全年審計計劃經決策層審批，對每項審計業務都出具了審計報告，發現問題，提出審計建議。綜合反映出，內部審計部門能夠較獨立地、客觀地行使職權，對企業的內部控制具有積極作用。

（2）自我完善。企業管理層對于環境的變化，是否能有相應的應對機制，不斷完善和優化。筆者在審計中發現，被審計單位每年都會出臺下發新的規章制度，涉及多個業務版塊和管理內容。一些外部檢查反映出的問題，能及時處理，按時上報整改情況。表明該單位管理層主觀上較為重視內部控制建設，并且有持續改進的行為。

三、COSO框架在內部控制審計中的未來發展

COSO自頒布以來，致力于研究內部控制體系，為財務信息、公司治理、法律環境提供了服務和幫助，其普遍性、通用性和全面性逐步被世界各國所接受。現代企業的管理的復雜性越來越高，科學技術日新月異，在這一大環境下，COSO也在逐步地更新和完善，適時地推出新的框架，擴展和延伸應用，相應的要求表述也更為清晰。COSO框架的新改變，將為內部控制審計帶來全新的內容、標準和目標，使內部控制審計的覆蓋更全面，審計報告更具時代特點。

（一）有助于提供審計思路

新興市場的出現，交易類型的多樣化，技術條件的新進展，寓意著風險管理是今后一段時期的發展趨勢，推動著內部控制的轉型和升級。面對這一形勢，COSO出臺的新框架，新增加了風險管理框架，并重申了內部控制是風險管理的一部分。風險管理審計應運而生，它是企業風險管理的一個重要監督和評價手段。內部控制審計則是風險管理審計的重要組成部分。筆者從審計實踐出發認為，風險管理理念引領著內部控制的發展，為內部控制審計提出了新的要求，加入了新的元素，特別是在對管理過程和經營系統審計評價時，兩者必然會相互交叉、融合，形成合力，推動企業內部控制和風險管理變得更加有效和完整。

（二）有助于構建監督體系

COSO框架通過引進風險管理，把內部控制與風險緊密聯系起來，使得企業的監督體系不僅局限于內部和微觀，還包括主動監測外部和宏觀，這樣才能保證內部控制系統是動態的、持續的。傳統的內部控制審計主要是偏重于企業內部的管理評價，往往忽視外部可能對企業有重大影響的各類要素的監督。因此，內部控制審計除了關注數據的準確性、計量的合規性、流程的規范性以外，今后，對企業“軟實力”的評估也需要強化，如企業文化、團隊管理、品牌價值等在企業內部管理中的作用，企業對市場、法律、利率等變化的敏感度和監控力度的強弱等都應作為評價體系中的一部分，從而促使企業構筑起全方位的監督體系。

（三）有助于實現戰略目標

經濟發展的不同時期，企業的發展目標是不同的。我國已經進入了中國特色社會主義新時代，高質量發展是我國企業的發展定位，各項經濟工作都應圍繞這一中心。COSO框架雖然在某些方面仍然有不足，但是它的架構體系是全局性、拓展性的，并不局限于當前的具體的目標，具有一定的戰略性。這些與我國未來企業發展的總體布局在本質上是一致的。在內部控制審計過程中合理運用COSO框架，形成統一的內部控制概念，審計目標和審計效率會得到提高，也可為企業長遠發展提供驅動力。

結語

總之，COSO框架在內部控制審計中的運用具有重要的意義，在具體的應用過程中還需要結合組織的發展實際需要以及COSO框架的具體應用要求等加強實踐探索與創新，這樣才能更好地提升應用效果。

參考文獻

[1]美國管理會計師協會（IMA）主編.財務規劃、績效與控制[M].舒新國，程秋芬譯.北京：經濟科學出版社，2012.8：56–60.

[2]李敏.會計控制與風險管理[M].上海：上海財經大學出版社，2015.（9）：121–124.

[3]袁小勇.內部審計：怎樣才能有所作為[M].北京：經濟科學出版社，2014.（3）：140–143.

[4]葉超云.公司內部審計[M].北京：機械工業出版社，2013.3（2016.7重印）：58–62.