對實施企業(yè)內部控制自我評價的思考

王桂蓮

[摘要]《企業(yè)內部控制基本規(guī)范》要求審計委員會負責“審查企業(yè)內部控制，監(jiān)督內部控制的有效實施和自我評價情況”，但對于如何實施、怎樣實施并未提供指引一本文對內部控制自我評價概念作了界定，并探討了如何實施內部控制自我評價的方法和程序。

[關鍵詞]內部控制；自我評價；監(jiān)督；成本

在當前金融危機的情況下，建立和保持一個強有力的內部控制系統(tǒng)對任何組織的成功都是至關重要的。但是內部控制的執(zhí)行和遵循成本是一個不能回避的問題。相對而言，內部控制自我評價提倡的是以研討會的方式讓全體員工參與內部控制的建設。不僅有助于降低成本，而且符合人本管理的理念。因此，內部控制自我評價對企業(yè)的重要性不言而喻?！镀髽I(yè)內部控制基本規(guī)范》第二章內部環(huán)境中要求審計委員會負責“審查企業(yè)內部控制，監(jiān)督內部控制的有效實施和自我評價情況”，但對于如何實施、怎樣實施并未有具體指引。內部控制自我評價的現(xiàn)實意義是什么?如何具體實施內部控制自我評價等問題是每個企業(yè)應該關注的重要問題。

一、內部控制自我評價的概念及其特征

內部控制自我評價系統(tǒng)最早是由加拿大的海灣資源公司在上世紀八十年代開始運用的，并大大推動了該公司內部控制的發(fā)展和完善。近年來，其理念受到了國際內部審計協(xié)會等理論界和實務界的贊許和推廣。隨著經(jīng)濟全球化、決策低層化以及企業(yè)外部競爭多元化趨勢的日益加劇和加深，企業(yè)經(jīng)營風險加大。與此同時，內部審計人員由于對復雜多變的業(yè)務不盡熟悉，受人力資本、工作時間和工作地域的限制，完全依贛個別審計人員實施完整有效的審計監(jiān)督已不具可能性。在公司治理活動的推動下。企業(yè)內部管理的強化，使內部控制系統(tǒng)評價也由傳統(tǒng)的審計人員檢查單據(jù)、實施復核性測試程序為導向，轉為在審計人員指引下、由管理部門和員工共同研討、提出最佳改進措施的“內部控制自我評價”。

內部控制自我評價(CSA)是指公司定期或不定期地對自己及所屬子公司的內部控制系統(tǒng)進行評價，評價內部控制的有效性及其實施的效率和效果以期能更好地實現(xiàn)內部控制的目標。其一般的方法是內部審計人員與被評價單位管理人員組成一個小組，管理人員在內部審計人員的幫助下，對本部門內部控制的恰當性和有效性進行評價，然后根據(jù)評價和集體討論來改進建議，出具報告，由管理者實施(張諫忠、吳軼倫，2005)。J.Stephen Mcnally(2007)認為內部控制自我評價是一種管理技術，其運用可以向內部和外部重要的利益相關者確保一個組織的內部控制系統(tǒng)是可靠的。內部控制自我評價是一個持續(xù)的過程，管理層可憑借這種方法檢驗證實其內部控制的效果。也就是一個組織里的每個過程中的組長或個人都對其效果進行檢驗，核實關鍵的控制功能是否適當?shù)匕l(fā)揮，從而察覺或消除重要的誤報。綜上所述，內部控制自我評價是指公司管理層和員工共同在公司內部為實現(xiàn)目標、控制風險，而進行的內部控制系統(tǒng)的有效性和恰當性實施的自我評價方法。有效的內部控制自我評價是一個對內部控制效果的監(jiān)督和測試的持續(xù)過程。

“內部控制自我評價”體現(xiàn)了內部控制系統(tǒng)評價的嶄新觀念。發(fā)展至今，已由審計的技術和方法轉變?yōu)楣芾淼募夹g和方法。內部控制自我評價有三個基本特征：關注業(yè)務過程和控制成效；由管理部門和職員共同進行；用結構化的方法開展自我評估。企業(yè)不僅是建立和實施內部控制的主體，而且負責對內部控制狀況進行檢查、監(jiān)督和評價，增強了企業(yè)的自主性和責任感。內部控制的自我評價機制使內部控制的監(jiān)督由被動變?yōu)橹鲃?，是公司治理協(xié)調性和有效性的體現(xiàn)。

二、實施內部控制自我評價的益處

內部控制自我評價活動一般以研討會的形式進行，通過每個過程的人員及時發(fā)現(xiàn)存在的缺陷和可能導致的后果，主動采取改進行動，從而提高全員的內部控制意識。

第一，內部控制自我評價增加了業(yè)務流程執(zhí)行者的責任，總體上也增加了經(jīng)營管理階層的經(jīng)營管理責任。實施內部控制自我評價的首要步驟，需要確保內部控制的過程和程序已經(jīng)建立并清晰地解釋。每個業(yè)務流程的組長必須理解由他或她的部門所擁有的整個計劃，包括每個小組成員的作用以及如何由小組相互聯(lián)系實行控制活動。然后要求每個業(yè)務流程的組長檢測他們的控制效果，履行制定的檢驗手冊，核實證據(jù)并且證實控制是否按所設計運行。該流程的組長親自負責監(jiān)督和證實該部門整個年度內部控制的效果。一個有效的自我評價把內部控制的責任感帶到了每個業(yè)務流程小組的每個成員。事實上，由那些直接對交易加工處理的人、或者是對某個過程履行關鍵控制的人證實經(jīng)營活動的效果是最好的安排。通過調動這些不同的個人的積極性，使他們對作為控制的主人、他們的責任、以及控制意識等獲得了更好的理解。

第二，有效的內部控制自我評價會促進對法律法規(guī)的持續(xù)遵循。它是通過將內部控制有效性的評價鑲嵌于每日的活動或例行的程序中提供了保證。最重要的是實施內部控制的自我評價使得管理階層更有可能發(fā)現(xiàn)對現(xiàn)有的控制活動加以改善或合理化的機會，取消多余的、無效的控制，減輕內部控制系統(tǒng)可能存在的缺陷，使某個過程的組長和個人對他們在過程中的特有的作用加深了理解。因而，自我評價的結果很可能使企業(yè)的內部控制系統(tǒng)得以加強并且合理化，自然使得管理當局遵循法律法規(guī)演化為一個持續(xù)的過程。

第三，內部控制自我評價可能成為一個有效的培訓工具。實施自我評價的過程并在整個年度內對其進行檢驗，有助于那些對交易進行加工處理的人理解他們在整個計劃里的作用，結果使他們在履行其工作時變得更有效。自我評價也使得經(jīng)營管理階層，特別是每個過程的組長更好地理解關鍵的控制和由小組中每個成員所發(fā)揮的作用之間的聯(lián)系。自我評價的文件可以被另一個小組中的新的成員進行復核，這樣對于他們總體上的作用和對內部控制的義務就能迅速地達成。一個有效的自我評價確保內部控制培訓變成了常規(guī)的一部分。

第四，降低內部控制的遵循成本。內部控制法律法規(guī)的遵循，常常要增加內部審計人員或雇傭新的人員，從而提高了內部控制的成本。實施一個有效的自我評價，管理當局就能減少或消除對第三方的依賴。從而使內部審計的功能更加關注那些有壓力的和戰(zhàn)略上的需要，從而減少了純粹出于遵循而增加的成本。由于內部控制自我評價是一個在廣泛的范圍內員工參與的過程，因而不會對其中的某一個人造成過度的負擔。

第五，強化內部控制的環(huán)境。有效的自我評價不只提高了內部控制的遵循效率，而且提高了公司總體上的控制意識。由于在管理當局和全體員工較寬的范圍內執(zhí)行，組織將更好地培訓和激勵員工，特別是當自我評價的責任經(jīng)由業(yè)績的復核可以被計量或獎勵的話，更易于對雇員的激勵。

另外，自我評價使管理當局能夠識別

內部控制的不足，對控制的失敗具有很大的預防性的作用。員工對內部控制具有了一致的認識并能在控制缺陷發(fā)生時加以識別和更正，而不是在發(fā)現(xiàn)故障之后才補救。有效的自我評價將提高經(jīng)營管理階層和高管之間的交流，并且對高管和外部審計師就組織的內部控制有效運行提供較大的保證。

三、內部控制自我評價的具體實施方法和步驟

內部控制自我評價方法常用的有三種：即研討會法、問卷調查法和管理結果分析法。其中，研討會法是指把管理當局和員工召集起來就特定的問題或過程進行面談和討論的一種方法。問卷調查法是利用問卷工具使得受訪者只要做出簡單的“是／否”或“有／無”的反應，控制流程的執(zhí)行者則利用調查結果對內部控制系統(tǒng)做出評價。無論采用何種方法或結合使用幾種方法。都需要了解實施的步驟。

內部控制自我評價的實施包括定義其性質和范圍；開始實施；對實施進行測試和復核；總結具體的經(jīng)驗和教訓；開始下一輪實施過程。一般主要通過以下幾個步驟來實現(xiàn)：

(一)研究采用的內部控制自我評價的模式

研究采用的內部控制自我評價應取得管理層的支持，由內部審計人員參與設計，必要時聘請外部審計人員或相關的專家?guī)椭O計。其結構一般包括；管理者的支持及工作小組的創(chuàng)建。并恰當安排小組成員。有助于內部審計部門和其他部門開展合作和增加相互理解。參與的人員要有對各自控制環(huán)境的風險發(fā)表意見的機會，可以采用定期舉行會議的形式。對發(fā)現(xiàn)的問題可由審計師以職業(yè)的眼光進行判斷，以預防各種錯弊。

(二)定義內部控制自我評價的范圍、原則和目標

每個組織關于內部控制自我評價范圍、原則和目標并不相同，但一般應采用全員參與的、整個流程范圍的自我評價。并要在所有的關鍵的利益相關者之間進行交流、調整，如內部審計師、高層管理人員和董事會。

(三)作用和責任的限定

有效的內部控制自我評價關鍵在于對參與者的作用和責任的限定。包括過程的崗位責任者，內部控制自我評價的測試人員以及經(jīng)營的復核者。一般而言，一個過程的崗位負責人應該是一個擁有較強的項目管理技術的專家并且足夠資深，以確保無論在何種情況下，內部控制自我評價能優(yōu)先排序。對測試人員要實行詳細的檢驗，并將相應的結果文件化，測試人員必須對自我評價的過程理解和所測試的基本控制進行適當?shù)臋嗪?，并且以合理程度的專業(yè)懷疑態(tài)度和獨立性進行測試。內部控制自我評價的復核人員也必須對實施有效的復核過程有足夠的理解。對某一個既定的過程而言，自我評價復核人員邏輯上通常是這個過程的崗位負責人。

(四)確定內部審計人員的功能

出于遵循法律法規(guī)的需要，一般都由內部審計人員正式地對內部控制自我評價進行評估并發(fā)表相應的意見；或者他們只是簡單地對某個既定過程的基本的內部控制在一般的基于風險的審計范圍內進行審計。無論內部控制自我評價在結構上采用何種方式，關鍵的是對上述人員的作用加以規(guī)定，并從項目涉及的各個參與人的視角進行協(xié)調，達成一致意見。

(五)全面實施內部控制自我評價

在建立了內部控制自我評價的總體的結構、原則和預期后，就需要將相應的培訓列入日程中。培訓涉及內部控制的性質、審計功能和目標，對那些沒有審計經(jīng)驗的參與者要使其領會內部控制自我評價項目的具體要求。

(六)提出實施的具體要求

對每一個關鍵控制的目標如何進行測試要制定測試手冊。包括事先確定樣本的規(guī)格、具體測試的步驟、步驟保留的證據(jù)以及每項測試通過與不通過的組成內容?？梢远嗦犎⊥獠繉徲嫀熂捌渌麑＜业囊庖?。

(七)實施測試和復核

在進行內部控制自我評價測試期間，對每一位內部控制自我評價的測試者而言，首先應該復核已有的內部控制文件，包括關鍵控制和有關的測試手冊以及分配的每一個責任領域；其次按照事先建立的測試手冊和正式的文件實施適當?shù)膬炔靠刂谱晕以u價測試，必要時要保持有關的證據(jù)。每個測試人應該與該過程的崗位責任人和具體的個人就潛在的、新的內部控制缺陷進行討論，完成測試。某個過程的崗位負責人或涉及的個人應該對內部控制自我評價測試的文件進行復核，包括詳細描述實施的測試、達成的結論和任何支撐的證據(jù)。

(八)矯正已確認的內部控制的缺陷

在內部控制自我評價測試中，如果內部控制的缺陷已經(jīng)被確認，或者是對所設計的控制有某些擔心或者失敗已確認，則應盡快啟動對差異的矯正。確認已有的控制和最佳的控制之間的差距，從而不斷改善、發(fā)現(xiàn)和掌握使內部控制程序和內部控制本身更有效的方法。

(九)總結經(jīng)驗，完善內部控制自我評價

實施內部控制自我評價后，要正式地征求反饋意見，總結經(jīng)驗和教訓，使其不斷得到完善。

綜上所述，內部控制自我評價帶來的內部控制評價變革：一是有效進行軟控制的評價；二是提升控制環(huán)境；三是盡快發(fā)現(xiàn)并解決問題；四是預測并控制風險；五是使內部審計更加具有效率與效果。