內部控制評價方法及其在實踐中的應用研究

覃艷玲 上海龍旗科技股份有限公司

引言

在當今全球化、信息化和復雜多變的商業環境中，企業面臨著越來越多的內部和外部風險和挑戰，這些風險包括戰略風險、財務風險、合規性問題、信息安全漏洞、業務連續性風險、市場競爭壓力等。為了應對這些風險，企業需要建立有效的內部控制體系，以確保企業在復雜的內外部環境中，持續管理各類風險，以規則的確定性應對環境的不確定性，力求業務增長和風險的最優平衡，做好價值守護，保障公司持續健康發展。

一、內部控制的重要性及其對企業運營的影響

（一）內部控制的重要性

內部控制有助于確保企業的財務健康和可持續性，通過建立有效的內部控制體系，企業可以有效管理和監督財務流程，確保財務報告的準確性和透明度，提高投資者和股東的信任，吸引更多的投資和融資機會，[1]推動企業的發展和增長。財務健康也直接影響企業的長期穩定性，有助于避免財務危機和債務問題，維護企業的可持續性。

（二）內部控制對企業運營的影響

內部控制有助于預防和減少不正當行為。企業內部控制體系中的審計和監控程序可以幫助發現并阻止內部和外部的欺詐行為，包括防止員工的貪污行為、未經授權的數據訪問、財務報告造假等問題，通過降低不正當行為的風險，企業可以避免法律訴訟、聲譽損失和金融損失，維護企業的聲譽和可信度。內部控制有助于提高資源的合理利用和效率。有效的內部控制程序可以確保企業資源的有效配置和使用，減少浪費和資源的濫用，包括財務資源、人力資源、技術資源和物流資源，通過提高資源的合理利用，企業可以降低成本，提高生產效率，增加競爭力。內部控制還有助于降低風險和應對不確定性。企業面臨各種風險，包括市場風險、供應鏈風險、政策法規風險等。內部控制體系可以幫助企業識別、評估和管理這些風險，制定相應的風險管理策略和計劃，以應對外部環境的不確定性，企業更好地適應市場變化，減少損失和風險，增強企業的抗風險能力。

二、內部控制評價方法

（一）風險基礎評估法

風險基礎評估法強調風險識別。在評價過程中，企業需要全面審視其運營環境，包括內部和外部因素，以識別潛在的風險，這些風險可以涵蓋財務風險、合規性風險、操作風險、市場風險等各個方面，通過廣泛的風險識別，企業能夠更好地了解其面臨的挑戰和威脅。風險基礎評估法強調風險評估。一旦風險被識別，企業需要對其進行評估，以確定其重要性和影響的程度。評估風險的過程通常涉及定量和定性分析，以便為不同風險分配優先級和資源，企業更加重視和專注于那些對企業運營產生最大影響的風險。[2]風險基礎評估法注重風險管理。評估不僅僅是為了了解風險，更重要的是采取措施來管理和降低風險的影響，包括制定風險管理策略、建立風險應對計劃、分配資源、監督和追蹤風險的控制措施等，通過積極的風險管理，企業可以更好地保護自己免受風險的威脅，同時也能更好地把握機會，實現可持續的增長。風險基礎評估法的優勢在于它能夠將風險管理融入內部控制體系，使企業的內部控制更加靈活、適應性強，這種方法不僅關注財務方面的風險，還關注戰略、運營、合規性等多個方面的風險，幫助企業更全面地理解其運營環境。風險基礎評估法強調風險的動態性，鼓勵企業在不斷變化的環境中靈活調整風險管理策略。

（二）數據分析法

數據分析法強調數據的關鍵作用。在企業運營過程中，大量的數據被生成和記錄，包括財務數據、交易記錄、客戶信息、供應鏈數據等。數據分析法認為這些數據不僅是企業的寶貴資產，還可以用于發現潛在的風險和問題，通過對數據的收集、整理和分析，企業可以更準確地了解自己的運營情況，識別潛在的異常和問題。數據分析法注重風險識別，通過數據分析，企業可以快速識別不符合正常模式的行為和交易，發現潛在的風險，這種方法可以幫助企業識別財務欺詐、未經授權的訪問、供應鏈中斷、市場競爭壓力等各種風險。數據分析法的風險識別能力通常比傳統方法更敏捷和全面。[3]數據分析法注重風險評估。一旦風險被識別，企業可以利用數據分析技術來評估風險的潛在影響，通過建立模型和模擬分析，企業可以更好地了解不同風險事件的后果，以及如何降低其影響，企業為不同風險分配資源，并制定相應的風險管理策略。數據分析法注重風險管理，通過數據分析，企業可以不僅發現風險，還可以監督和追蹤風險的控制措施，包括持續監測交易、實時檢測異常、建立警報系統等。數據分析法的動態性使企業能夠更及時地采取措施來降低風險的影響，增強企業的抗風險能力。

（三）綜合評價方法

綜合評價方法的核心思想是多方法融合，它認為不同的評估方法各自具有優點和局限性，將這些方法結合起來可以彌補各自的不足，提高評價的全面性和準確性。綜合評價方法通常包括傳統評價方法、現代評價方法和其他自定義方法的結合，以確保評價的多維度和全面性。綜合評價方法注重評估的全面性。企業內部控制是一個復雜的體系，涵蓋財務控制、合規性控制、操作控制等多個方面。綜合評價方法強調要全面地評估這些方面，以確保企業在各個層面都能有效管理風險和問題，這種全面性有助于發現潛在的問題和短板，提前采取措施進行改進。綜合評價方法注重數據的綜合應用。[4]在評價過程中，它倡導利用各種數據和信息源，包括財務數據、操作數據、合規性數據等，以綜合分析和評估內部控制的有效性，從多個角度審視內部控制體系，準確捕捉問題和風險。綜合評價方法注重綜合報告和建議。在評價結束后，綜合評價方法通常要生成綜合報告，總結不同評估方法的結果和發現，提供全面的評價意見和建議，企業更好地了解內部控制的狀況，并提供改進措施的指導。

三、內部控制評價方法在實踐中的優化策略

（一）結合風險管理與評價

1.完善風險識別和評估流程

要建立一個系統化的方法和流程，以確保全面而準確地識別和評估風險，這個過程應當始于明確的風險識別目標，包括確定哪些風險領域是最關鍵的，然后采用多種渠道和方法，如SWOT分析、頭腦風暴會議、數據分析、市場研究等，收集和整理與這些風險領域相關的信息。需要建立一個有效的風險評估模型，這個模型應該考慮風險性和影響，以及它們的相互關系。一種常用的模型是風險矩陣，將風險按照重要性和影響分為不同的等級，這個模型應當根據企業的具體情況進行定制，以確保對不同風險的評估更加符合實際情況。要確保風險識別和評估流程的參與者具有必要的專業知識和培訓，包括培訓員工，使其能夠識別潛在的風險，并了解如何使用評估模型進行風險評估。[5]要鼓勵跨部門和跨層級的合作，以確保多維度的視角和經驗被納入風險識別和評估過程中。建立一個有效的風險信息收集和報告系統至關重要，這個系統應當能夠及時捕捉和記錄與風險相關的信息，確保信息的準確性和可追溯性。要建立一個定期的風險報告機制，向高層管理層匯報風險的狀態和趨勢，以便他們能夠及時采取措施。風險識別和評估流程應當是一個不斷改進的過程。企業要定期回顧并審查識別和評估的方法以及結果，根據反饋和經驗教訓進行調整并改進，這個過程應當是一個持續的循環，以確保風險識別和評估流程始終保持高效和有效。

2.整合風險管理和評價體系

要在評價的初期階段明確風險管理的目標和范圍，在開始評價之前，需要明確定義風險管理的目標，包括確定評價的重點領域、關鍵風險和目標風險等，確保評價的方向與風險管理的目標一致。要將風險管理的方法和工具整合到評價過程中，包括使用風險識別和評估工具，以識別潛在的風險，以及使用風險管理方法，制定相應的風險應對策略。評價人員需要具備風險管理的專業知識和技能，以確保評價和風險管理之間的協同作用。要建立一個有效的風險信息共享和報告機制，評價的結果和風險信息應該能夠及時傳達給相關部門和決策者，以便他們能夠采取相應的行動，這個機制可以包括定期的風險報告、風險信息數據庫、定期的風險會議等，以確保風險管理和評價之間的信息流暢和溝通暢通。要將風險管理作為評價的一部分進行持續監督和改進，不僅要在評價過程中考慮風險管理，還要在評價后不斷審查和改進風險管理的方法和策略，包括對風險應對計劃的定期審查和更新，以確保其與實際情況保持一致。

（二）應用信息技術

1.應用自動化軟件以提高評價效率

要采用適用的自動化工具和軟件，以減少手動操作和減輕評價人員的工作負擔。自動化工具可以涵蓋各個評價階段，從風險識別到評估和報告。例如，數據分析工具可以用于分析大規模的數據集，以發現潛在的異常和問題，而不需要手動逐一檢查。自動化工具還可以用于自動生成評價報告和圖表，提高報告的質量和速度。要整合不同的自動化工具和軟件，以構建一個完整的評價平臺，這個平臺應該能夠支持多種評價方法和工具的無縫集成，以滿足不同評價任務的需求，需要選擇適用的工具和軟件，并確保它們能夠與現有的評價流程和系統集成。要進行培訓和技能提升，以確保評價人員能夠充分利用自動化工具和軟件，包括提供培訓課程和資源，使評價人員了解如何正確使用這些工具，并發揮其最大潛力。培訓還應該包括如何解釋和分析自動化工具生成的結果，以便更好地理解評價的結果和風險。要建立一個有效的自動化工具和軟件管理體系，以確保其穩定性和可靠性，包括定期更新和維護工具和軟件，以確保其適應不斷變化的評價需求。需要建立一套規范和標準，以確保評價人員正確和一致地使用自動化工具和軟件。

2.數據分析在內部控制評價中的應用

要使用數據分析來識別潛在的風險和問題。企業生成和存儲了大量的數據，包括財務數據、交易記錄、操作數據、客戶信息等等，通過對這些數據進行分析，可以快速發現不符合正常模式的行為和交易，識別潛在的風險。例如，通過異常檢測算法，可以檢測到財務欺詐、未經授權的訪問、供應鏈中斷等風險事件。數據分析能夠幫助評價人員更全面地了解內部控制的有效性。要使用數據分析來評估風險性和影響，通過建立模型和模擬分析，可以更準確地評估不同風險事件的重要性和潛在影響，為不同風險分配資源和優先級，以便更好地管理風險。例如，通過概率模型，可以估算市場競爭壓力對企業銷售的潛在影響，制定相應的市場戰略。

（三）提高員工培訓與參與度

要在企業內部建立明確的內部控制政策和標準，要明確定義內部控制的目標和原則，制定相關政策和程序，確保員工了解并遵守這些政策和標準。內部控制政策應包括風險識別、風險評估、風險應對等方面的具體要求，以指導員工在工作中如何履行內部控制的職責。要提供專業的培訓和教育，以幫助員工理解內部控制的基本概念和原則。培訓可以包括內部控制的基礎知識、風險識別和評估的方法、風險管理的重要性等方面的內容，是讓企業各層級、各職能、各業務單元具備識別風險、評估風險、應對風險、檢測風險的能力，并且在企業文化中滲入風險意識，摸排風險隱患，用大概率思維應對小概率事件，力爭把風險化解在源頭。要建立內部控制的監督和反饋機制，包括建立內部控制的監測和報告系統，以便員工能夠及時報告潛在的問題和風險。要建立一個反饋機制，將監測結果和報告傳達給員工，并鼓勵他們提出改進建議。員工需要知道他們的反饋是被重視的，可以用于改進內部控制體系，要建立內部控制文化，將內部控制的理念融入到企業的日常運營中，這需要領導層的積極支持和示范，以及員工的積極參與。內部控制文化應該強調風險管理和持續改進的重要性，鼓勵員工主動參與內部控制的建設和改進，保證管理層的決策有效落實。

結語

傳統的內部控制評價方法，如財務審計法和合規性測試法，雖然具有一定的可靠性和權威性，但存在一些局限性。隨著商業環境的不斷變化和信息技術的快速發展，現代企業對內部控制評價提出了新的要求。現代評價方法，如風險基礎評估法和數據分析法，強調風險管理與內部控制的整合，以及數據驅動的審計和分析技術的應用，這些方法更加靈活、全面，能夠更好地適應企業的需求和挑戰。深入研究內部控制評價方法的有效性、優化策略和在實踐中的應用變得至關重要，有助于企業更好地管理風險，提高內部控制的質量，為學術界和業界提供有關內部控制評價的最佳實踐和經驗教訓。