內(nèi)部控制缺陷識別標(biāo)準：理論框架和案例分析

【摘 要】 內(nèi)部控制缺陷識別標(biāo)準是判斷特定事項是否屬于內(nèi)部控制缺陷的依據(jù)，包括內(nèi)部控制偏差識別標(biāo)準、內(nèi)部控制缺陷與內(nèi)部控制局限性劃分標(biāo)準、風(fēng)險承受度標(biāo)準。內(nèi)部控制偏差識別標(biāo)準包括內(nèi)部控制設(shè)計偏差識別標(biāo)準和執(zhí)行偏差識別標(biāo)準。前者有四種情形：相關(guān)法律法規(guī)或強制性規(guī)范——強制標(biāo)準；行業(yè)內(nèi)部控制規(guī)范——相對標(biāo)準；通用內(nèi)部控制規(guī)范——參考標(biāo)準；控制與風(fēng)險的匹配性——絕對標(biāo)準。內(nèi)部控制缺陷與內(nèi)部控制局限性劃分標(biāo)準主要基于成本效益原則。風(fēng)險承受度標(biāo)準需要按控制主體和各個控制目標(biāo)聯(lián)合考慮，形成一個體系。

【關(guān)鍵詞】 內(nèi)部控制缺陷； 識別標(biāo)準； 內(nèi)部控制偏差； 內(nèi)部控制瑕疵； 內(nèi)部控制局限性

【中圖分類號】 F239.0 【文獻標(biāo)識碼】 A 【文章編號】 1004-5937（2017）19-0122-06

一、引言

內(nèi)部控制鑒證主要是尋找缺陷并對缺陷進行等級劃分，前者稱為缺陷識別，后者稱為缺陷認定。無論是缺陷識別還是缺陷認定，都需要標(biāo)準，并需要用不同的標(biāo)準，本文關(guān)注前者。缺陷識別標(biāo)準是判斷特定事項是否有缺陷的標(biāo)準，同樣的事項，選擇不同的評價標(biāo)準會得出不同的評價結(jié)論，所以，適宜的缺陷識別標(biāo)準是內(nèi)部控制鑒證的要素之一。沒有適宜的評價標(biāo)準，就沒有實質(zhì)意義上的內(nèi)部控制鑒證，有時甚至比沒有內(nèi)部控制鑒證更糟糕[ 1 ]。

關(guān)于內(nèi)部控制缺陷識別標(biāo)準有一些研究，但總體上還不夠深入，不過有一點共識，認為內(nèi)部控制缺陷識別標(biāo)準具有多樣性，并不存在放之四海而皆準的識別標(biāo)準。然而，如何在多樣的標(biāo)準中選擇適用的識別標(biāo)準并未得到研究。

本文從過程視角來認識內(nèi)部控制缺陷識別標(biāo)準，以內(nèi)部控制缺陷識別標(biāo)準多樣性為前提，研究內(nèi)部控制缺陷識別標(biāo)準之選擇。隨后的內(nèi)容安排如下：首先是一個簡要的文獻綜述，梳理內(nèi)部控制缺陷識別標(biāo)準相關(guān)文獻；在此基礎(chǔ)上提出一個關(guān)于內(nèi)部控制缺陷識別標(biāo)準選擇的理論框架；然后用這個理論框架來分析經(jīng)典例證，以一定程度上驗證本文提出的理論框架；最后是結(jié)論和啟示。

二、文獻綜述

根據(jù)本文的主題，相關(guān)文獻包括兩部分，一是管理審計標(biāo)準相關(guān)研究，二是內(nèi)部控制鑒證標(biāo)準相關(guān)研究①。

管理審計標(biāo)準的研究主要涉及管理審計標(biāo)準的重要性及如何確定管理審計標(biāo)準。關(guān)于管理審計標(biāo)準的重要性，Santocki[ 2 ]分別于1974年和1982年對管理審計做了兩次調(diào)查，結(jié)果顯示在制約管理審計發(fā)展的八個因素中，缺乏審計標(biāo)準是第一位因素。Vinten[ 3 ]曾專門對英美兩國的管理審計做了比較研究，他的結(jié)論為“英國的管理審計落后于美國管理審計的主要原因是英國的管理審計不像美國那樣采用正式且固定的程序，從而不像美國那樣更多地強調(diào)標(biāo)準控制”。王光遠[ 1 ]指出“審計準則和評價標(biāo)準是管理審計走向科學(xué)與規(guī)范的標(biāo)志，沒有合理的評價標(biāo)準就等于沒有實質(zhì)意義的管理審計，有時甚至比沒有管理審計還要糟糕；審計準則和評價標(biāo)準是建設(shè)管理審計科學(xué)的關(guān)鍵”。

關(guān)于如何確定管理審計標(biāo)準，Emmanuel和Otlty[ 4 ]指出“實踐中沒有一種不變的、普遍適用的管理原則可供所有組織的管理者遵循，各個組織必須因地制宜，及時有效地對環(huán)境做出反映。只有這樣，才能實現(xiàn)有效管理”。根據(jù)這種思路，評價標(biāo)準必須能反映出組織在管理過程中因地制宜的能力和效果。Reenbaum[ 5 ]指出管理過程評價標(biāo)準由以下方面組成：“得到認可的管理慣例，由職業(yè)組織所頒發(fā)的法規(guī)和準則，遵守法律的情況，同行業(yè)公司間的比較。”鄭石橋[ 6-7 ]提出管理過程評價模式分為定性評價模式和定量評價模式。定性評價模式主要有質(zhì)量認證模式、內(nèi)部控制模式、企業(yè)升級模式和標(biāo)準化模式，定量評價模式主要有工作流技術(shù)模式、平衡計分卡模式。

關(guān)于內(nèi)部控制鑒證標(biāo)準相關(guān)研究，一些文獻主張從內(nèi)部控制結(jié)果來建立內(nèi)部控制評價標(biāo)準，不同的文獻提出了不同的評價指標(biāo)體系[ 8-9 ]。另外一些文獻主張采用《COSO內(nèi)部控制整體框架》《企業(yè)風(fēng)險管理框架》《企業(yè)內(nèi)部控制規(guī)范》等權(quán)威規(guī)范作為內(nèi)部控制標(biāo)準[ 10-11 ]。還有一些文獻認為“由于各經(jīng)濟組織的具體情況不同，內(nèi)部控制的管理模式及控制系統(tǒng)也不盡一致。因此，如果用一把尺子和審計標(biāo)準來評價一個單位、一個行業(yè)的內(nèi)部控制是否健全和有效，是比較困難的”[ 12 ]。

上述文獻顯示，管理審計標(biāo)準和內(nèi)部控制鑒證標(biāo)準的研究還未深入，但有一點共識，就是管理審計和內(nèi)部控制鑒證標(biāo)準具有多樣性，并不存在放之四海而皆準的審計標(biāo)準。既然如此，如何選擇審計標(biāo)準就成為非常重要的問題。而恰恰這個問題缺乏相關(guān)研究。另外，從內(nèi)部控制結(jié)果來評價內(nèi)部控制的一個重要問題是潛在的內(nèi)部控制缺陷可能還沒有形成負面結(jié)果，如果只是從結(jié)果來評價內(nèi)部控制，事實上是不考慮內(nèi)部控制潛在缺陷的。基于此，本文主張從過程視角來建立瑕疵行為審計標(biāo)準，以瑕疵行為審計標(biāo)準多樣性為前提，研究審計標(biāo)準之選擇。

三、內(nèi)部控制缺陷識別標(biāo)準體系及其選擇：理論框架

（一）內(nèi)部控制缺陷識別的鑒證標(biāo)準和鑒證準則體系

內(nèi)部控制缺陷識別標(biāo)準是判斷特定事項是否是缺陷的標(biāo)準，而缺陷判斷是一個過程，在這個過程中，每個步驟都需要做出判斷。審計師在做出相應(yīng)的判斷時，需要信賴一定的標(biāo)準，同時，其本身的判斷行為也需要有一定的規(guī)范，所以，整個過程中需要建立兩種規(guī)范。一是審計師做出判斷的依據(jù)，這就是審計標(biāo)準，在內(nèi)部控制鑒證中也就是鑒證標(biāo)準；二是審計師行為規(guī)范，也就是審計程序和方法的規(guī)范，也稱為審計準則，在內(nèi)部控制鑒證中也就是鑒證準則。所以，對于內(nèi)部控制缺陷識別來說，鑒證標(biāo)準和鑒證準則是一個體系，在主要的判斷階段都有相應(yīng)的標(biāo)準。一般來說，內(nèi)部控制缺陷識別的邏輯過程大致如圖1所示。

首先是識別內(nèi)部控制偏差，特定事項是否屬于內(nèi)部控制偏差，如果是，屬于何種偏差，這需要判斷標(biāo)準，而如何判斷，需要有行為規(guī)范，前者是鑒證標(biāo)準，后者是鑒證準則；其次，對于系統(tǒng)性的內(nèi)部控制偏差，需要再判斷，區(qū)分為內(nèi)部控制缺陷和內(nèi)部控制局限性，這需要鑒證標(biāo)準，也需要鑒證準則；再次，對于確認的內(nèi)部控制缺陷，需要評估其風(fēng)險暴露，這需要風(fēng)險暴露的評估準則；最后，需要將評估的風(fēng)險暴露結(jié)果與風(fēng)險承受度相比較，這需要風(fēng)險承受度標(biāo)準，也需要規(guī)范審計師對比行為的鑒證準則。endprint

總體來說，內(nèi)部控制缺陷識別過程中，既有鑒證標(biāo)準，也有鑒證準則，這些標(biāo)準作為一個體系，貫穿于內(nèi)部控制缺陷識別的各主要階段，其基本情況如表1所示。根據(jù)本文的主題，下面主要討論相應(yīng)的鑒證標(biāo)準，不涉及鑒證準則。

（二）內(nèi)部控制偏差識別標(biāo)準及其選擇

內(nèi)部控制偏差是對內(nèi)部控制應(yīng)然狀況的偏差，既然如此，內(nèi)部控制的應(yīng)然狀態(tài)就是內(nèi)部控制偏差的識別標(biāo)準，凡是與應(yīng)然狀態(tài)不一致的，就是偏差。那么，內(nèi)部控制的應(yīng)然狀態(tài)應(yīng)該是什么樣呢？這需要區(qū)分兩種偏差，一是內(nèi)部控制設(shè)計偏差，二是內(nèi)部控制執(zhí)行偏差。相應(yīng)地，也有不同的識別標(biāo)準。

1.內(nèi)部控制設(shè)計偏差識別標(biāo)準

就內(nèi)部控制設(shè)計偏差來說，其偏差識別標(biāo)準是指設(shè)計的內(nèi)部控制應(yīng)該達到的應(yīng)然狀態(tài)。一般來說，內(nèi)部控制的應(yīng)然狀態(tài)之標(biāo)準具有四種情形：

第一，相關(guān)的法律法規(guī)或強制性規(guī)范——強制性標(biāo)準。一些法律法規(guī)或強制性規(guī)范對內(nèi)部控制的某些方面作出了明文規(guī)定，對于這些明文規(guī)定的偏差就是違規(guī)違法，所以，內(nèi)部控制設(shè)計凡是違背了相關(guān)的法律法規(guī)或強制性規(guī)范，則肯定要判斷為內(nèi)部控制偏差，并在后續(xù)的判斷中確定為內(nèi)部控制缺陷。例如，《中華人民共和國公司法》《中華人民共和國會計法》對相關(guān)內(nèi)部控制的規(guī)定屬于法律性規(guī)定，《上海證券交易所上市公司內(nèi)部控制指引》《深圳證券交易所中小板上市公司規(guī)范運作指引》都屬于強制性規(guī)范，對于這些權(quán)威規(guī)范的違背，可以直接判斷為內(nèi)部控制偏差。

第二，行業(yè)內(nèi)部控制規(guī)范——相對標(biāo)準。一些行業(yè)組織制定了適用于本行業(yè)的內(nèi)部控制規(guī)范，這些內(nèi)部控制規(guī)范是根據(jù)本行業(yè)的業(yè)務(wù)經(jīng)營及其風(fēng)險特點來制定的，具有較強的行業(yè)針對性，并且，對于本行業(yè)的內(nèi)部控制慣例也會包括在這種行業(yè)規(guī)范之中。例如，巴塞爾銀行監(jiān)管委員會頒布的《銀行系統(tǒng)的內(nèi)部控制框架》及中國銀監(jiān)會頒布的《商業(yè)銀行市場風(fēng)險管理指引》《固定資產(chǎn)貸款管理暫行辦法》《流動資金貸款管理暫行辦法》和《個人貸款管理暫行辦法》《項目融資業(yè)務(wù)指引》《商業(yè)銀行流動性風(fēng)險管理指引》《商業(yè)銀行操作風(fēng)險管理指引》《商業(yè)銀行合規(guī)風(fēng)險管理指引》《商業(yè)銀行內(nèi)部控制指引》都是銀行業(yè)內(nèi)部控制行業(yè)規(guī)范，證監(jiān)會頒布的《證券公司內(nèi)部控制指引》是證券業(yè)內(nèi)部控制行業(yè)規(guī)范，保監(jiān)會頒布的《保險公司內(nèi)部控制基本準則》是保險業(yè)內(nèi)部控制行業(yè)規(guī)范，財政部頒布的《電力行業(yè)內(nèi)部控制操作指南》是電力行業(yè)內(nèi)部控制行業(yè)規(guī)范，財政部頒布的《石油石化行業(yè)內(nèi)部控制操作指南》是石油石化行業(yè)內(nèi)部控制規(guī)范。

行業(yè)規(guī)范體現(xiàn)了行業(yè)特征，所以，一般來說，特定組織的內(nèi)部控制設(shè)計如果與行業(yè)內(nèi)部控制規(guī)范不同，有很大可能是內(nèi)部控制偏差。但是，即使是同一行業(yè)的組織，由于其特定的環(huán)境條件不同，在內(nèi)部控制方面也可能具有一定的差異性，從而也可能需要偏差行業(yè)內(nèi)部控制規(guī)范，在這些情形下對行業(yè)內(nèi)部控制規(guī)范的偏差，就不宜確定為偏差?？傮w來說，用行業(yè)內(nèi)部控制規(guī)范作為標(biāo)準來判斷內(nèi)部控制偏差具有較強但非絕對的適用性，是相對標(biāo)準。此外，行業(yè)內(nèi)部控制規(guī)范的行業(yè)范圍要適宜，不能是過于廣泛，而應(yīng)該是具有相同或類似業(yè)務(wù)經(jīng)營及風(fēng)險特征的組織之集合。例如制造業(yè)各企業(yè)具有不同的業(yè)務(wù)，也有不同的風(fēng)險特征，所以，不宜作為一個行業(yè)，而其中的石油石化企業(yè)則可以作為一個行業(yè)。

第三，通用內(nèi)部控制規(guī)范——參考標(biāo)準。這是對于所有的組織都適用的內(nèi)部控制應(yīng)然標(biāo)準。就國際來說， COSO-IC[ 13 ]、COSO-RM[ 14 ]、COSO-IC[ 15 ]是各種組織通用的內(nèi)部控制偏差識別標(biāo)準；INTOSAI[ 16 ]頒布的《公共部門內(nèi)部控制指引》是公共部門通用的內(nèi)部控制偏差識別標(biāo)準。就國內(nèi)來說，財政部等[ 17-18 ]頒布的《企業(yè)內(nèi)部控制規(guī)范》及相應(yīng)的《應(yīng)用指引》是企業(yè)內(nèi)部控制偏差識別的通用標(biāo)準，國有資產(chǎn)監(jiān)督管理委員會[ 19 ]頒布的《中央企業(yè)全面風(fēng)險管理指引》是中央企業(yè)內(nèi)部控制偏差識別的通用標(biāo)準，財政部[ 20 ]頒布的《行政事業(yè)單位內(nèi)部控制規(guī)范（試行）》是行政事業(yè)單位內(nèi)部控制偏差識別的通用標(biāo)準[ 10-11 ]。

用通用內(nèi)部控制規(guī)范來識別內(nèi)部控制偏差需要謹慎地進行，理性地判別。從本質(zhì)上來說，內(nèi)部控制是風(fēng)險評估和風(fēng)險應(yīng)對的體系，對于特定的組織來說，必須因地制宜。然而，由于通用標(biāo)準具有廣泛的適用性，所以，其針對性相對較弱。對于特定的組織而言，與通用內(nèi)部控制規(guī)范不一致并不一定就是偏差，需要從風(fēng)險與控制的對應(yīng)關(guān)系來判斷其是否屬于偏差。所以，通用內(nèi)部控制規(guī)范只是判斷內(nèi)部控制偏差的參考標(biāo)準或邏輯起點，不應(yīng)該作為絕對標(biāo)準[ 4，12 ]。

第四，控制與風(fēng)險的匹配性——絕對標(biāo)準。內(nèi)部控制是為其目標(biāo)提供保障的系統(tǒng)，如果沒有提供其擬提供的保障程度，則是內(nèi)部控制失敗，也就是內(nèi)部控制缺陷。那么，內(nèi)部控制是如何提供保障的呢？基本邏輯是尋找風(fēng)險和應(yīng)對風(fēng)險。所以，從本質(zhì)上來說，內(nèi)部控制缺陷就是風(fēng)險暴露超過可容忍的程度，識別內(nèi)部控制缺陷首先要識別風(fēng)險暴露。雖然風(fēng)險暴露不一定是內(nèi)部控制缺陷，但是內(nèi)部控制缺陷肯定存在風(fēng)險暴露。正是從這個意義出發(fā)，內(nèi)部控制偏差識別的基本邏輯是判斷控制與風(fēng)險之間的匹配性，凡是二者不匹配的，就是內(nèi)部控制偏差。從邏輯上來說，控制與風(fēng)險之間不匹配有三種情形：一是風(fēng)險未能識別，所以針對該風(fēng)險也就沒有必要控制；二是風(fēng)險已經(jīng)識別，但即使在考慮其他措施的彌補之后，設(shè)計的控制仍然不足以應(yīng)對該風(fēng)險；三是設(shè)計的控制措施超出了其所應(yīng)對的風(fēng)險。前兩種情形屬于控制不足，后一種情形是控制過度，它們都屬于內(nèi)部控制偏差。

從本質(zhì)來說，任何情形下的內(nèi)部控制偏差判斷都是指控制與風(fēng)險不匹配。所以，從這個意義上來說，這種內(nèi)部控制偏差認定標(biāo)準具有普通適用性，具有絕對標(biāo)準的性質(zhì)。但是，由于這種標(biāo)準具有很強的主觀性，一般來說，只有其他標(biāo)準不存在的情形下才采用這種標(biāo)準。從另外一個角度來說，通用內(nèi)部控制規(guī)范、行業(yè)內(nèi)部控制規(guī)范、法律法規(guī)是對一定范圍內(nèi)的風(fēng)險與控制之間的匹配關(guān)系的經(jīng)驗總結(jié)，遵守了這些規(guī)范，也就做到了風(fēng)險與控制的匹配，也就不屬于偏差；違背了這些規(guī)范，也就沒有做到風(fēng)險與控制的匹配，也就發(fā)生了內(nèi)部控制偏差。正是由于不同的偏差識別標(biāo)準具有不同的適用性，所以，內(nèi)部控制偏差識別標(biāo)準的使用有如下順序：法律法規(guī)和強制性規(guī)范——行業(yè)內(nèi)部控制規(guī)范——通用內(nèi)部控制規(guī)范——控制與風(fēng)險的匹配性。通過上述步驟之后所確定的內(nèi)部控制偏差，表示該組織的內(nèi)部控制設(shè)計與應(yīng)然狀態(tài)之間存在差距，這種差距也就是內(nèi)部控制設(shè)計瑕疵。endprint

2.內(nèi)部控制偏差執(zhí)行識別標(biāo)準

內(nèi)部控制執(zhí)行偏差識別有兩個問題，一是判斷是否發(fā)生偏差，二是分析偏差發(fā)生的原因，在此基礎(chǔ)上將偏差分為系統(tǒng)性偏差和偶然性偏差。

判斷偏差是否發(fā)生，其識別標(biāo)準是特定組織的內(nèi)部控制制度，凡是沒有得到正確執(zhí)行的內(nèi)部控制，對于該組織來說，都屬于內(nèi)部控制執(zhí)行偏差。

然而，內(nèi)部控制鑒證的目的是發(fā)現(xiàn)缺陷并通過整改來優(yōu)化內(nèi)部控制，對于不能優(yōu)化的內(nèi)部控制偏差需要排除。一般來說，內(nèi)部控制執(zhí)行偏差有兩種情形：一是由于偶然性因素的作用而產(chǎn)生的，稱為偶然性偏差；二是由于系統(tǒng)性因素的作用而產(chǎn)生的，稱為系統(tǒng)性偏差。偶然性偏差純粹是偶然原因造成的，并不表示內(nèi)部控制執(zhí)行有瑕疵，當(dāng)然也無法通過整改來優(yōu)化。系統(tǒng)性偏差表示內(nèi)部控制執(zhí)行有瑕疵，可以通過整改來優(yōu)化，當(dāng)然，是否要整改，還要考慮成本效益原則。

那么，區(qū)分內(nèi)部控制執(zhí)行瑕疵（也就是系統(tǒng)性偏差）和偶然性內(nèi)部控制偏差的標(biāo)準是什么呢？一般來說，是否具有合理的重發(fā)性是判斷偶然偏差與執(zhí)行瑕疵的分水嶺。如果具有合理的重發(fā)性，則表明這種執(zhí)行偏差可能會經(jīng)常性，這是內(nèi)部控制執(zhí)行瑕疵；相反，如果不具有合理的重發(fā)性，則該執(zhí)行偏差再發(fā)生的可能性很小，完全是由于一些偶然因素所引發(fā)的，不是執(zhí)行瑕疵。一般來說，在下列情形下內(nèi)部控制執(zhí)行偏差具有重發(fā)性：一是專業(yè)勝任能力不夠，對所執(zhí)行的內(nèi)部控制不理解或不具備執(zhí)行該控制的專業(yè)能力；二是責(zé)任心不夠，即使專業(yè)勝任能力足夠，但是對于所執(zhí)行的內(nèi)部控制不認真負責(zé)，粗枝大葉，甚至玩忽職守。上述情形都會以合理的可能性導(dǎo)致內(nèi)部控制執(zhí)行偏差重復(fù)發(fā)生。

（三）內(nèi)部控制缺陷與局限性劃分標(biāo)準

經(jīng)過內(nèi)部控制偏差識別，識別出了內(nèi)部控制偏差，在這些偏差中剔除了偶然性偏差，剩下的偏差就是需要關(guān)注內(nèi)部控制瑕疵，包括內(nèi)部控制設(shè)計瑕疵和內(nèi)部控制執(zhí)行瑕疵。

然而，內(nèi)部控制瑕疵并不一定就是內(nèi)部控制缺陷，還需要將內(nèi)部控制設(shè)計瑕疵劃分為內(nèi)部控制缺陷和內(nèi)部控制局限性，從而也就需要一個劃分標(biāo)準。本文前面已經(jīng)指出，內(nèi)部控制偏差識別標(biāo)準有四種情形，不同情形下內(nèi)部控制缺陷與內(nèi)部控制局限性的劃分標(biāo)準不同。

當(dāng)采用法律法規(guī)或強制性規(guī)范作為內(nèi)部控制偏差識別標(biāo)準時，一般來說，法律法規(guī)或強制性規(guī)范本身應(yīng)該已經(jīng)考慮了內(nèi)部控制局限性，所以，這類標(biāo)準提出的內(nèi)部控制要求是寬容了內(nèi)部控制局限性之后的要求，在種情形下的內(nèi)部控制瑕疵都應(yīng)該界定為內(nèi)部控制缺陷。

當(dāng)采用行業(yè)內(nèi)部控制規(guī)范作為內(nèi)部控制偏差識別標(biāo)準時，一般來說，行業(yè)內(nèi)部控制規(guī)范是對行業(yè)內(nèi)部控制成功經(jīng)驗的總結(jié)，應(yīng)該考慮了內(nèi)部控制局限性，所以，這種情形下的內(nèi)部控制瑕疵都是內(nèi)部控制缺陷。

當(dāng)采用通用內(nèi)部控制規(guī)范作為內(nèi)部控制偏差識別標(biāo)準時，并沒有清晰的判斷標(biāo)準，還需要有大量的主觀判斷。同樣，當(dāng)采用控制與風(fēng)險的匹配性作為內(nèi)部控制偏差識別標(biāo)準時，根本就沒有顯性的判斷標(biāo)準，只是根據(jù)風(fēng)險與控制之間是否匹配來判斷。所以，在上述兩種情形下，需要將內(nèi)部控制瑕疵再區(qū)分為內(nèi)部控制缺陷和內(nèi)部控制局限性。

內(nèi)部控制是為其目標(biāo)實現(xiàn)而建立的一個系統(tǒng)，但是，這個系統(tǒng)并不為內(nèi)部控制目標(biāo)的實現(xiàn)提供絕對保證，這主要有兩方面的原因。一是有些外部因素對目標(biāo)的影響是無法有效應(yīng)對的；二是對于能有效應(yīng)對的因素，由于成本效益的考慮，也不能通過設(shè)計和執(zhí)行控制措施來應(yīng)對。這兩方面共同表現(xiàn)為內(nèi)部控制局限性。所以，判斷內(nèi)部控制局限性有兩個標(biāo)準。第一，對于未能應(yīng)對的風(fēng)險，該組織是否有能力來有效應(yīng)對？如果沒有這種能力，則判斷為內(nèi)部控制局限性。第二，對于該組織有能力應(yīng)對的風(fēng)險，如果采取更有力的應(yīng)對措施，是否符合成本效益原則？如果不符合成本效益原則，則判斷為內(nèi)部控制局限性，如果符合成本效益原則，而該組織在內(nèi)部控制設(shè)計中沒有設(shè)計有效的應(yīng)對措施，則屬于內(nèi)部控制缺陷。

（四）風(fēng)險承受度標(biāo)準

根據(jù)一定的標(biāo)準，將內(nèi)部控制瑕疵劃分為內(nèi)部控制局限性和內(nèi)部控制缺陷之后，對于內(nèi)部控制缺陷要進行風(fēng)險暴露評估，這種過程并不需要信賴什么判斷標(biāo)準，但需要對評估程序和方法進行規(guī)范，這表現(xiàn)為內(nèi)部控制鑒證準則，而不是內(nèi)部控制鑒證標(biāo)準。然而，風(fēng)險暴露評估之后，需要將評估的風(fēng)險暴露值與可容忍的風(fēng)險承受度進行比較，這里的可容忍的風(fēng)險承受度就是內(nèi)部控制缺陷鑒證的標(biāo)準之一。

風(fēng)險承受度標(biāo)準應(yīng)該是一個標(biāo)準體系。首先，不同的控制目標(biāo)會有不同的風(fēng)險承受度，其原因是不同的目標(biāo)外部因素對其影響程度不同，有些目標(biāo)主要受到組織內(nèi)部因素的影響，而有些因素則受到組織外部因素的影響較大，很顯然，內(nèi)部控制系統(tǒng)對不同情形的目標(biāo)所能提供的保障程度不同，從而需要不同的風(fēng)險容忍度。其次，內(nèi)部控制是一個分層級的體系，組織作為一個整體是內(nèi)部控制主體，組織內(nèi)部的某一業(yè)務(wù)模塊、組織內(nèi)部的某一部門、組織內(nèi)部的每個崗位都是內(nèi)部控制主體，每個層級的內(nèi)部控制主體都有內(nèi)部控制目標(biāo)，不同層級的內(nèi)部控制目標(biāo)體系都應(yīng)該有風(fēng)險容忍度。所以，目標(biāo)體系和控制主體組合起來形成了風(fēng)險承受度標(biāo)準體系，如表2所示。

四、內(nèi)部控制缺陷識別標(biāo)準及其選擇：例證分析

本文從理論上分析了內(nèi)部控制缺陷識別標(biāo)準體系及其選擇，理論的生命在于其解釋現(xiàn)實世界的能力，下面用本文提出的理論框架來分析相關(guān)的經(jīng)典例證，以一定程度上驗證該理論框架。

（一）中國石油天然氣股份有限公司內(nèi)部控制缺陷識別

1.相關(guān)文本規(guī)定

中國石油天然氣股份有限公司（簡稱中石油）制定了《中石油內(nèi)部控制測試規(guī)范》，在該規(guī)范中將發(fā)現(xiàn)的內(nèi)部控制例外事項區(qū)分為三種類型：設(shè)計層面文本規(guī)范性、設(shè)計層面非文本規(guī)范性、執(zhí)行層面。

設(shè)計層面文本規(guī)范性例外事項包括：已有的控制沒有在流程圖、風(fēng)險控制文檔中進行描述，風(fēng)險控制文檔描述不符合四要素要求，其他。

設(shè)計層面非文本規(guī)范性例外事項包括：應(yīng)有的控制不存在或不完善，不相容崗位未進行分離，已有的控制沒有要求必要的實施證據(jù)，已有的控制缺乏必要的制度或程序文件以及制度或程序文件不完善。endprint

執(zhí)行層面的例外事項包括：已有的控制在實際中沒有執(zhí)行，其他。

對于執(zhí)行層面的例外事項的識別要經(jīng)歷以下程序：確定描述的控制在實際工作中是否得到執(zhí)行以及執(zhí)行中的控制在風(fēng)險控制分析文檔中是否得到描述，是否留下事實證據(jù)，確定例外事項能否代表總體以及追加測試是否仍存在。

2.分析

很顯然，設(shè)計層面文本規(guī)范性、設(shè)計層面非文本規(guī)范性都屬于內(nèi)部控制設(shè)計缺陷。設(shè)計層面文本規(guī)范性關(guān)注的是制度文本形式方面的缺陷，而設(shè)計層面非文本規(guī)范性關(guān)注的是制度文本實質(zhì)方面的缺陷，前者根據(jù)中石油自己的文本形式方面的規(guī)定進行判斷，后者則主要根據(jù)控制與風(fēng)險的匹配性進行判斷?！皯?yīng)有的控制不存在或不完善，不相容崗位未進行分離”都是控制不足以應(yīng)對風(fēng)險，這屬于本文理論框架中提出的“絕對標(biāo)準”。

執(zhí)行層面例外事項的判斷，首先，要“確定描述的控制在實際工作中是否得到執(zhí)行以及執(zhí)行中的控制在風(fēng)險控制分析文檔中是否得到描述、是否留下事實證據(jù)”，關(guān)注的是執(zhí)行的內(nèi)部控制和制度文本規(guī)定的內(nèi)部控制是否一致，這里的判斷標(biāo)準是制度文本規(guī)定的內(nèi)部控制。其次，對于識別的例外事項，要“確定例外事項能否代表總體以及追加測試是否仍存在”，這里的實質(zhì)是要區(qū)分能代表總體的例外事項和不能代表總體的例外事項。能代表總體的例外事項作為內(nèi)部控制缺陷，不能代表總體的例外事項不作為內(nèi)部控制缺陷。這是的例外事項類似于本文理論框架中的“內(nèi)部控制偏差”，這里的能代表總體的例外事項類似于本文理論框架中的“系統(tǒng)性偏差”，而不能代表總體的例外事項類似于本文的“偶然性偏差”。

所以，總體來說，用本文提出的理論框架能解釋中石油內(nèi)部控制缺陷識別的相關(guān)規(guī)定。

（二）我國相關(guān)的權(quán)威規(guī)范對內(nèi)部控制缺陷識別標(biāo)準的規(guī)定

財政部等[ 17 ]頒布的《企業(yè)內(nèi)部控制基本規(guī)范》第十條規(guī)定“接受企業(yè)委托從事內(nèi)部控制審計的會計師事務(wù)所，應(yīng)當(dāng)根據(jù)本規(guī)范及其配套辦法和相關(guān)執(zhí)業(yè)準則，對企業(yè)內(nèi)部控制的有效性進行審計，出具審計報告”。財政部等[ 18 ]頒布的《企業(yè)內(nèi)部控制審計指引》、中國注冊會計師協(xié)會頒布的《企業(yè)內(nèi)部控制審計指引實施意見》都有類似精神。

這些權(quán)威規(guī)范對內(nèi)部控制審計的缺陷判斷標(biāo)準作出了規(guī)定，采用的是通用標(biāo)準，所以，只能是參考標(biāo)準。

財政部等[ 18 ]頒布的《企業(yè)內(nèi)部控制評價指引》第五條規(guī)定“企業(yè)應(yīng)當(dāng)根據(jù)《企業(yè)內(nèi)部控制基本規(guī)范》《應(yīng)用指引》以及本企業(yè)的內(nèi)部控制制度，圍繞內(nèi)部環(huán)境、風(fēng)險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督等要素，確定內(nèi)部控制評價的具體內(nèi)容，對內(nèi)部控制設(shè)計與運行情況進行全面評價”。中國內(nèi)部審計協(xié)會[ 22 ]頒布的《第2201號內(nèi)部審計具體準則——內(nèi)部控制審計》第九條也有類似規(guī)定。

這些權(quán)威規(guī)范對內(nèi)部控制評價的缺陷判斷標(biāo)準作出了規(guī)定，內(nèi)部控制設(shè)計缺陷的判斷標(biāo)準是《企業(yè)內(nèi)部控制基本規(guī)范》及《應(yīng)用指引》，采用的是通用標(biāo)準，只能是參考標(biāo)準，而內(nèi)部控制執(zhí)行缺陷的判斷標(biāo)準是本企業(yè)的內(nèi)部控制制度。

總體來說，我國的內(nèi)部控制鑒證相關(guān)權(quán)威規(guī)范對內(nèi)部控制缺陷識別基本上都采用了通用標(biāo)準，一些規(guī)范還區(qū)分了內(nèi)部控制設(shè)計缺陷識別標(biāo)準和執(zhí)行缺陷識別標(biāo)準。本文的理論框架可以解釋這些規(guī)定。

五、結(jié)論和啟示

內(nèi)部控制缺陷識別標(biāo)準是判斷特定事項是否是缺陷的標(biāo)準，同樣的事項，選擇不同的評價標(biāo)準，會得出不同的評價結(jié)論。本文從過程視角來認識內(nèi)部控制缺陷識別標(biāo)準，以內(nèi)部控制缺陷識別標(biāo)準多樣性為前提，研究內(nèi)部控制缺陷識別標(biāo)準及其選擇。

由于內(nèi)部控制缺陷判斷有多個邏輯步驟，所以，內(nèi)部控制缺陷識別標(biāo)準也存在多個步驟，包括內(nèi)部控制偏差識別標(biāo)準、內(nèi)部控制缺陷與內(nèi)部控制局限性劃分標(biāo)準、風(fēng)險承受度標(biāo)準。內(nèi)部控制偏差識別標(biāo)準包括內(nèi)部控制設(shè)計偏差識別標(biāo)準和執(zhí)行偏差識別標(biāo)準。內(nèi)部控制設(shè)計偏差識別標(biāo)準有四種情形：相關(guān)的法律法規(guī)或強制性規(guī)范——強制標(biāo)準；行業(yè)內(nèi)部控制規(guī)范——相對標(biāo)準；通用內(nèi)部控制規(guī)范——參考標(biāo)準；控制與風(fēng)險的匹配性——絕對標(biāo)準。內(nèi)部控制執(zhí)行偏差識別標(biāo)準，一是該組織的內(nèi)部控制制度，二是判斷內(nèi)部控制偶然偏差的合理可重復(fù)性原則。內(nèi)部控制缺陷與內(nèi)部控制局限性劃分標(biāo)準主要基于成本效益原則，符合成本效益原則的內(nèi)部控制瑕疵是內(nèi)部控制局限性，不是缺陷。風(fēng)險承受度標(biāo)準需要結(jié)合控制主體和控制目標(biāo)綜合考慮，形成一個體系。

本文的研究啟示我們，內(nèi)部控制鑒證決不是一個單純的程序性工作，在這個工作中充滿職業(yè)判斷，而判斷控制與風(fēng)險是否匹配是這個過程的實質(zhì)，脫離這個實質(zhì)，形式主義的內(nèi)部控制鑒證可能沒有多少實際性意義，內(nèi)部控制缺陷識別要“實質(zhì)重于形式”。

【參考文獻】

[1] 王光遠.管理審計理論[M].北京：中國人民大學(xué)出版社，1996：126.

[2] SANTOCKI J. Management audit：a job for the accountant？[M].Management Accounting （London），1983：35-37.

[3] VINTEN G.Internal audit in persrectivea US/UK comparison[M].Internal Audit（Spring），1991：3-9.

[4] EMMANUEL C，OTLTY D. Accounting for management control[M].Van Norstrand Reinhold Co Ltd，1985：27-28.

[5] REENBAUM H G. Management auditing as a regulatory tool [M].Praeger Publisher，1987：31.

[6] 鄭石橋.管理審計評價標(biāo)準研究[D].上海財經(jīng)大學(xué)博士學(xué)位論文，2001.endprint

[7] 鄭石橋.管理審計評價標(biāo)準建立模式探討[J].中國內(nèi)部審計，2011（1）：32-35.

[8] 周春喜.內(nèi)部會計控制評價指標(biāo)體系及其評價[J].審計研究，2002（1）：56-59.

[9] 張先治，戴文濤.中國企業(yè)內(nèi)部控制評價系統(tǒng)研究[J].審計研究，2011（1）：69-78.

[10] 張龍平，陳作習(xí).財務(wù)報告內(nèi)部控制評價標(biāo)準研究[J].審計月刊，2009（2）：35-37.

[11] 謝曉燕，程富.內(nèi)部控制評價標(biāo)準：比較與改進——基于外部審計的視角[J].財會通訊，2010（3）：62-65.

[12] 王文娣.內(nèi)部控制審計的評價標(biāo)準[J].中國審計，1997（11）：28.

[13] COSO（Committee of Sponsoring Organizations of the Treadway Commission）.Internal control- Integrated Framework[R].1994.

[14] COSO（Committee of Sponsoring Organizations of the Treadway Commission）.Enterprise Risk Management -Integrated Framework[R].2004.

[15] COSO（Committee of Sponsoring Organizations of the Treadway Commission）.Internal control- Integrated Framework[R].2013.

[16] INTOSAI（The International Organisation of Supreme Attestation Institutions）.Guidelines for Internal Control Standards for Public Sector[R].2004.

[17] 財政部，證監(jiān)會，審計署，銀監(jiān)會，保監(jiān)會.關(guān)于印發(fā)《企業(yè)內(nèi)部控制基本規(guī)范》的通知[A].2008.

[18] 財政部，證監(jiān)會，審計署，銀監(jiān)會，保監(jiān)會.關(guān)于印發(fā)《企業(yè)內(nèi)部控制配套指引》的通知[A].2010.

[19] 國有資產(chǎn)監(jiān)督管理委員會.關(guān)于印發(fā)《中央企業(yè)全面風(fēng)險管理指引》的通知[A].2006.

[20] 財政部.關(guān)于印發(fā)《行政事業(yè)單位內(nèi)部控制規(guī)范（試行）》的通知[A].2012.

[21] 中國注冊會計師協(xié)會.關(guān)于印發(fā)《企業(yè)內(nèi)部控制審計指引實施意見》的通知[A].2011.

[22] 中國內(nèi)部審計協(xié)會.第2201號內(nèi)部審計具體準則——內(nèi)部控制審計[A].2013.endprint