企業(yè)內(nèi)部控制評(píng)價(jià)方法的比較

張宜霞

【摘要】 企業(yè)內(nèi)部控制框架提供了一個(gè)有效內(nèi)部控制系統(tǒng)的模板，也是評(píng)價(jià)內(nèi)部控制有效性的標(biāo)準(zhǔn)，但是，根據(jù)內(nèi)部控制框架或標(biāo)準(zhǔn)對(duì)內(nèi)部控制有效性進(jìn)行評(píng)價(jià)，卻可以選擇不同的起點(diǎn)或切入點(diǎn)。使用不同的評(píng)價(jià)思路和方法，即詳細(xì)評(píng)價(jià)法和風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法是目前采用的兩種主要方法，各有優(yōu)勢和特點(diǎn)。

【關(guān)鍵詞】 內(nèi)部控制；詳細(xì)評(píng)價(jià)法；風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法

評(píng)價(jià)企業(yè)內(nèi)部控制的有效性實(shí)質(zhì)是評(píng)價(jià)內(nèi)部控制為相關(guān)目標(biāo)的實(shí)現(xiàn)提供的保證水平是否達(dá)到或超過合理保證的水平。如果保證的水平處于有效內(nèi)部控制的區(qū)間內(nèi)，則內(nèi)部控制是有效的，如果保證的水平低于合理水平，則內(nèi)部控制是無效的。從另一個(gè)角度來看，就是評(píng)價(jià)相關(guān)目標(biāo)的風(fēng)險(xiǎn)在經(jīng)過內(nèi)部控制之后是否已經(jīng)降低到了一個(gè)適當(dāng)?shù)乃?，如果已?jīng)降到了一個(gè)適當(dāng)?shù)乃剑瑒t內(nèi)部控制是有效的；反之，則無效。從內(nèi)部控制評(píng)價(jià)本身以及目前的發(fā)展情況來看，主要存在詳細(xì)評(píng)價(jià)法和風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法兩種方法。

一、詳細(xì)評(píng)價(jià)法

在《企業(yè)內(nèi)部控制——整合框架》中，COSO指出，確定某一內(nèi)部控制系統(tǒng)是否有效是一種在評(píng)估五個(gè)要素是否存在以及是否有效發(fā)揮作用基礎(chǔ)上的主觀判斷，這些要素也是有效內(nèi)部控制的標(biāo)準(zhǔn)。COSO還指出，認(rèn)定一個(gè)主體的企業(yè)風(fēng)險(xiǎn)管理是否“有效”，是在對(duì)八個(gè)構(gòu)成要素是否存在和有效運(yùn)行進(jìn)行評(píng)估的基礎(chǔ)之上所作的判斷，構(gòu)成要素也是判定企業(yè)風(fēng)險(xiǎn)管理有效性的標(biāo)準(zhǔn)。在美國證券交易委員會(huì)2003年6月通過的實(shí)施SOX法案404節(jié)的規(guī)則（SEC，2003）以及后來發(fā)布的管理層評(píng)價(jià)指南中，都強(qiáng)調(diào)內(nèi)部控制評(píng)價(jià)的程序必須足以既能評(píng)價(jià)財(cái)務(wù)報(bào)告內(nèi)部控制的設(shè)計(jì)，又能測試運(yùn)行的有效性。因此，遵循這個(gè)思路，很多企業(yè)和事務(wù)所都曾經(jīng)采用過詳細(xì)評(píng)價(jià)法。這種方法的基本思路是：以內(nèi)部控制框架或標(biāo)準(zhǔn)為參照物，根據(jù)內(nèi)部控制框架的構(gòu)成要素是否存在評(píng)價(jià)內(nèi)部控制的設(shè)計(jì)有效性，測試內(nèi)部控制的運(yùn)行有效性，最后綜合設(shè)計(jì)和運(yùn)行的評(píng)價(jià)對(duì)內(nèi)部控制的有效性做出總體評(píng)價(jià)，評(píng)估內(nèi)部控制目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)，判斷是否存在重大漏洞（material weaknesses，MW），確定內(nèi)部控制是否有效。詳細(xì)評(píng)價(jià)法的邏輯和程序如圖1所示：

這種思路和方法在企業(yè)最初進(jìn)行內(nèi)部控制建設(shè)或日常的評(píng)價(jià)中應(yīng)用較多。此外，在SOX法案開始實(shí)施時(shí)，企業(yè)的管理層在評(píng)價(jià)內(nèi)部控制以及注冊(cè)會(huì)計(jì)師審計(jì)內(nèi)部控制時(shí)，基本上都是遵照美國公共公司會(huì)計(jì)監(jiān)督委員會(huì)在2004年發(fā)布的第2號(hào)審計(jì)準(zhǔn)則（PCAOB，2004）執(zhí)行的，采用的基本上也是這種思路。當(dāng)然，在具體的運(yùn)用上，不同的企業(yè)和事務(wù)所又略有不同。

這種思路和方法的特點(diǎn)是從控制到風(fēng)險(xiǎn)，即從內(nèi)部控制到相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)。這種評(píng)價(jià)思路和方法首先要根據(jù)現(xiàn)有的內(nèi)部控制框架評(píng)價(jià)企業(yè)內(nèi)部控制的設(shè)計(jì)和運(yùn)行，識(shí)別出控制缺陷，然后判斷是否為實(shí)質(zhì)性漏洞，從而判斷內(nèi)部控制的有效性。評(píng)價(jià)運(yùn)行有效性可以采用測試的方法確定相關(guān)的內(nèi)部控制是否得到了有效實(shí)施，從理論和實(shí)務(wù)上來說不存在太大的問題，而評(píng)價(jià)設(shè)計(jì)的有效性在該方法中則是對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)進(jìn)行的，所以，最關(guān)鍵的問題是如何對(duì)照企業(yè)內(nèi)部控制框架或標(biāo)準(zhǔn)確定內(nèi)部控制設(shè)計(jì)的有效性。這種對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)判斷設(shè)計(jì)有效性的思路應(yīng)當(dāng)是來自于COSO的《企業(yè)內(nèi)部控制——整合框架》等報(bào)告中提出的控制的完整性概念。COSO在這個(gè)報(bào)告中明確指出，內(nèi)部控制框架的這些組成要素和標(biāo)準(zhǔn)適用于整個(gè)內(nèi)部控制系統(tǒng)，或者是一類或多類目標(biāo)。當(dāng)考慮任何一類目標(biāo)的控制時(shí)，例如有關(guān)財(cái)務(wù)報(bào)告的控制，所有五個(gè)要素都應(yīng)該滿足才能得出有關(guān)財(cái)務(wù)報(bào)告的控制是有效的結(jié)論。但是，內(nèi)部控制的組成要素之間具有相互補(bǔ)充、相互滲透的關(guān)系，盡管五個(gè)組成要素都應(yīng)該被滿足，但是這并不意味著在不同的企業(yè)中每個(gè)組成要素都得到同樣的執(zhí)行。不同組成要素之間存在某種平衡，因?yàn)閮?nèi)部控制能夠滿足多個(gè)目標(biāo)，一個(gè)組成要素中的控制可能會(huì)滿足另外一個(gè)組成要素范疇內(nèi)的控制需要實(shí)現(xiàn)的目標(biāo)。而且，控制降低風(fēng)險(xiǎn)的程度是不同的，所以，效果有限的多個(gè)控制一起實(shí)施可以達(dá)到滿意的效果。

鑒于上述原因，盡管內(nèi)部控制的框架或標(biāo)準(zhǔn)描述了一個(gè)有效的內(nèi)部控制系統(tǒng)所應(yīng)當(dāng)具備的構(gòu)成要素，如果采用簡單的一一對(duì)應(yīng)的方法對(duì)照內(nèi)部控制框架來評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性，就有可能產(chǎn)生兩個(gè)問題：一個(gè)是成本高，效率低；另一個(gè)是評(píng)價(jià)結(jié)論的不可靠性。內(nèi)部控制框架或標(biāo)準(zhǔn)描述這些構(gòu)成要素時(shí)，是把企業(yè)抽象成一個(gè)主體，并沒有考慮企業(yè)所處的國家、所處的行業(yè)、企業(yè)的規(guī)模等特定的因素，其目的是構(gòu)建一個(gè)通用的內(nèi)部控制標(biāo)準(zhǔn)和參照物。但是，并不是所有的企業(yè)（如不同規(guī)模的企業(yè)、不同行業(yè)的企業(yè)）都必須具備與內(nèi)部控制框架或標(biāo)準(zhǔn)完全一樣的內(nèi)部控制才算是有效，而且，這個(gè)框架中的所有要素涉及的控制與內(nèi)部控制目標(biāo)的相關(guān)性和對(duì)內(nèi)部控制目標(biāo)的重要性是不同的。因此，一一對(duì)應(yīng)的對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性必定會(huì)評(píng)價(jià)了過多的、不必要的控制，導(dǎo)致成本高而效率低，這一點(diǎn)已經(jīng)在美國上市公司過去幾年實(shí)施SOX法案的經(jīng)歷中得到了體現(xiàn)。同時(shí)，有效的內(nèi)部控制并不要求所有的要素同等程度的存在，因?yàn)閮?nèi)部控制要素本身具有一定的相互補(bǔ)充性和相互替代性，存在某種程度的平衡，并且這種替代或平衡在很多情況下并不能確切地衡量，也不能準(zhǔn)確地體現(xiàn)在內(nèi)部控制的框架或標(biāo)準(zhǔn)中。所以，一一對(duì)應(yīng)的對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性必定會(huì)出現(xiàn)評(píng)價(jià)結(jié)論的偏差：按照內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)可能是一個(gè)缺陷，但是，實(shí)際上卻是有效的，這一點(diǎn)很明顯地體現(xiàn)在了不同規(guī)模企業(yè)內(nèi)部控制的評(píng)價(jià)上。為此，美國COSO于2006年發(fā)布了《較小規(guī)模公眾公司財(cái)務(wù)報(bào)告內(nèi)部控制指南》。

根據(jù)內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)內(nèi)部控制本身并沒有錯(cuò)，但是，內(nèi)部控制的框架或標(biāo)準(zhǔn)本身是一個(gè)通用的框架，更多地關(guān)注內(nèi)部控制的“What and Why”，即使是COSO 2006年發(fā)布的《較小規(guī)模公眾公司財(cái)務(wù)報(bào)告內(nèi)部控制指南》也“主要被設(shè)計(jì)用于幫助管理者建立和保持有效的財(cái)務(wù)報(bào)告內(nèi)部控制”，盡管這些框架或標(biāo)準(zhǔn)提供了評(píng)價(jià)有效性的標(biāo)準(zhǔn)，但不夠細(xì)致，不足以說明如何完成內(nèi)部控制有效性的評(píng)價(jià)。所以，這個(gè)思路如果用于內(nèi)部控制的建立和保持應(yīng)當(dāng)是比較適合的，而如果用于內(nèi)部控制有效性的年度評(píng)價(jià)則并不是十分恰當(dāng)，這一點(diǎn)在美國上市公司過去幾年的經(jīng)歷中得到了充分的體現(xiàn)。

二、風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法

企業(yè)內(nèi)部控制的另一種思路和方法不是從控制到風(fēng)險(xiǎn)，而是從風(fēng)險(xiǎn)到控制，即從內(nèi)部控制相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)到內(nèi)部控制。首先，要評(píng)估相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)；其次，識(shí)別和確定企業(yè)充分應(yīng)對(duì)這些風(fēng)險(xiǎn)的內(nèi)部控制是否存在，即評(píng)價(jià)內(nèi)部控制的設(shè)計(jì)應(yīng)對(duì)相關(guān)目標(biāo)實(shí)現(xiàn)風(fēng)險(xiǎn)的有效性；第三，識(shí)別和確定內(nèi)部控制運(yùn)行有效性的證據(jù)，評(píng)價(jià)現(xiàn)有的控制是否得到了有效的運(yùn)行；最后，對(duì)控制缺陷進(jìn)行評(píng)估，判定是否構(gòu)成實(shí)質(zhì)性漏洞，確定內(nèi)部控制是否有效。對(duì)于不同的目標(biāo)來說，目標(biāo)風(fēng)險(xiǎn)的含義、內(nèi)部控制重大漏洞的含義是不相同的，在評(píng)價(jià)每一類目標(biāo)時(shí)都需要做具體設(shè)定。風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法的邏輯和程序如圖2所示：

“自上而下”和“風(fēng)險(xiǎn)基礎(chǔ)”的理念在這種方法中得到了充分的體現(xiàn)?！帮L(fēng)險(xiǎn)基礎(chǔ)”主要體現(xiàn)在：以評(píng)估控制目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)為起點(diǎn)；關(guān)注重要的財(cái)務(wù)報(bào)告和披露風(fēng)險(xiǎn)與問題；僅評(píng)價(jià)充分應(yīng)對(duì)風(fēng)險(xiǎn)的控制；證據(jù)的獲取和場所的選擇根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果；評(píng)價(jià)結(jié)論（內(nèi)部控制是否有效）也是風(fēng)險(xiǎn)基礎(chǔ)的，判斷內(nèi)部控制是否有效也是以內(nèi)部控制是否很可能防止或發(fā)現(xiàn)財(cái)務(wù)報(bào)表中的重要錯(cuò)報(bào)為依據(jù)的?！白陨隙隆敝饕w現(xiàn)在：從財(cái)務(wù)報(bào)表整體開始，然后到賬戶、披露；從公司層面的控制開始，然后到活動(dòng)層面的控制。美國證券交易委員會(huì)和公共公司會(huì)計(jì)監(jiān)督委員會(huì)2007年6月分別發(fā)布的管理層報(bào)告內(nèi)部控制的指南（SEC,2007）和內(nèi)部控制審計(jì)準(zhǔn)則（PCAOB，2007）都采用了這一思路。

風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法與詳細(xì)評(píng)價(jià)法的區(qū)別類似于財(cái)務(wù)報(bào)表的詳細(xì)審計(jì)與財(cái)務(wù)報(bào)表的風(fēng)險(xiǎn)基礎(chǔ)審計(jì)，主要體現(xiàn)在以下幾個(gè)方面：

第一，風(fēng)險(xiǎn)基礎(chǔ)法首先評(píng)估實(shí)現(xiàn)內(nèi)部控制相關(guān)目標(biāo)的風(fēng)險(xiǎn)，根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果對(duì)照企業(yè)的內(nèi)部控制，參考內(nèi)部控制框架來判斷企業(yè)內(nèi)部控制設(shè)計(jì)的有效性。這樣做的好處是：一方面，可以充分考慮企業(yè)特定的情況，避免與內(nèi)部控制框架的簡單核對(duì)，具有更好的成本效益性和更廣泛的適用性和靈活性；另一方面，關(guān)注最重要的風(fēng)險(xiǎn)，提高了評(píng)價(jià)的成本效益和效率。

第二，風(fēng)險(xiǎn)基礎(chǔ)法在確定內(nèi)部控制的測試范圍和收集證據(jù)時(shí)也是以風(fēng)險(xiǎn)評(píng)估為基礎(chǔ)的，這樣同樣可以提高評(píng)價(jià)的成本效益和效率。

第三，風(fēng)險(xiǎn)基礎(chǔ)法需要更高程度的專業(yè)判斷。無論是評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性，還是測試內(nèi)部控制運(yùn)行的有效性都是根據(jù)最初的風(fēng)險(xiǎn)評(píng)估和后續(xù)的風(fēng)險(xiǎn)評(píng)估進(jìn)行的，這與詳細(xì)評(píng)價(jià)法下根據(jù)一個(gè)確定的框架來評(píng)價(jià)相比需要更高程度的專業(yè)判斷。

三、結(jié)論

比較上述兩種評(píng)價(jià)方法的優(yōu)劣以及從國際發(fā)展的總體趨勢來看，風(fēng)險(xiǎn)基礎(chǔ)的內(nèi)部控制評(píng)價(jià)方法必然是未來的發(fā)展方向，因?yàn)闊o論是基于成本效益的考慮，還是與企業(yè)的實(shí)際情況相結(jié)合，從確保評(píng)價(jià)的合理性來說，風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法都比詳細(xì)評(píng)價(jià)法具有明顯的優(yōu)勢。但是，值得注意的是，風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法比詳細(xì)評(píng)價(jià)法對(duì)企業(yè)管理層和審計(jì)人員的要求要高得多。在詳細(xì)評(píng)價(jià)法下，管理層和審計(jì)人員更多的是在做一種核對(duì)和檢查的工作，直接對(duì)企業(yè)的經(jīng)營管理和內(nèi)部控制的判斷相對(duì)不多。而在風(fēng)險(xiǎn)基礎(chǔ)法下，管理層和審計(jì)人員需要做出很多的判斷，比如，需要識(shí)別與企業(yè)控制目標(biāo)相關(guān)的風(fēng)險(xiǎn)，識(shí)別相關(guān)的控制以及判斷相關(guān)控制是否充分。所以，采用風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法要求管理層和審計(jì)人員具有更高的專業(yè)技能，必須在企業(yè)內(nèi)部控制與風(fēng)險(xiǎn)管理方面具有非常專業(yè)的基礎(chǔ)知識(shí)和判斷能力，才能更加有效地完成內(nèi)部控制的評(píng)價(jià)，提供一份可靠性較好的內(nèi)部控制評(píng)價(jià)報(bào)告?！?/p>

【主要參考文獻(xiàn)】

[1] COSO，Enterprise Risk Management-Integrated Framework，2004，（9）.

[2] PCAOB，Auditing Standard No 5 –An Audit of Internal Control Over Financial Reporting That Is Integrated with An Audit of Financial Statements，2007，（5）.

[3] SEC，Management's Report on Internal Control Over Financial Reporting，2007，（5）.