内部控制评审在企业内部审计中的应用

王志勇

摘要：健全、完善的内部控制离不开内部审计的监督和评价。只有明确企业内部审计在内控评审中的必要性，理解内控评审在内部审计中的应用，客观认识内控评审的潜在风险并采取切实可行的措施，才能更好地发挥企业内部审计的作用。

关键词：内部控制评审 企业内部审计 应用

0 引言

美国安然公司和世界通讯公司的破产，导致了社会公众财富惨痛的损失，并威胁到了美国乃至世界经济秩序的运行；我国银广厦、中航油事件，也严重影响了资本市场的健康发展。研究结果表明，内部控制存在缺陷是导致这些企业经营失败并最终铤而走险、欺骗投资者和社会公众的重要原因。科学、合理的内控制度是保证企业有效运营的基础与前提，而健全、完善的内控制度又离不开内部审计的监督与评价。只有明确企业内部审计在内控评审中的必要性，理解内控评审在内部审计中的应用，客观认识内控评审的潜在风险并采取切实可行的措施，才能更好地发挥企业内部审计的职能，使其更好地为企业内部控制的建立、健全、合理及有效运行服务。

1 内部控制评审的必要性

1.1 企业内部控制的局限性，从客观上要求进行内部控制评审

①人为错误：内部控制效果与实施控制的人员素质和工作质量密切相关。人是容易犯错误的，既使大多数人都具有良好的动机和意图，也有少数别有用心的人弄虚作假或素质低下造成工作失误，如果人员安排失当，内部控制就起不到应有的作用。②串通舞弊：内部控制将不相容职责适当分离，可以避免单独一人舞弊。但是，两个或更多的人串通舞弊就有可能避开此类控制。③超越制度：如果企业主要管理者故意弄虚作假，跳过管理程序，内部控制就会失效。④环境变化：随着企业外部经营环境的不断发展以及内部治理结构的不断深化，今日有效的控制制度，也许明天就会失效。所以内部控制不是一劳永逸的，需要不断更新、完善。⑤成本效益原则：成本效益原则在内部控制中的广泛运用，从客观上使内部控制存在薄弱环节。综上所述，不断强化企业内部控制评审，是内部控制的内在需要和保证其在实际工作中得到贯彻落实、发挥作用的客观要求。

1.2 内部审计人员进行内控评审是企业适应内外部环境，进行现代化管理的必然选择 内部控制作为公司治理的关键环节和经营管理的重要举措，在企业发展壮大中具有举足轻重的作用。随着经济全球化趋势加快，公司经营的内外部环境日益复杂，风险不断增大，公司的风险管理和内部控制是其发展和规避风险的保障。充分发挥内部审计在内部控制中的监督和评价作用，促进企业及时更新和完善内部控制，防范经营风险、财务风险和法律风险，也是企业内部控制对内部审计的要求。

1.3 内部审计机构在企业中的环境和信息优势，使其在内部控制评审中的重要性日益凸出 内部审计机构在组织、人员、工作和经费等方面独立于被审计单位，不直接参与企业的经营管理，因此在评价企业内部控制时具有较强的客观性、公正性和权威性；内部审计机构一般受企业审计委员会或CEO直接领导，内控评审中发现的问题和提出的建议更容易受到高层领导的关注，从而得到有效执行；虽然内部审计具有同体监督的特点，其独立性是相对的，但正是其具有的这种相对的独立性，使其既有别于内部控制体系中的其它部门，又不同于社会审计，在内控评审中具有特殊地位和优势。因此，国内、外学者和管理机构都高度重视内部审计在企业内部控制评审中的作用。

2 内部控制评审在企业内部审计中的应用

2.1 从理论上探讨内部控制评审在企业内部审计中的应用 ①评价企业内部控制的健全性和有效性，据以编制和调整审计工作方案，确定实质性测试的重点和范围，减少实质性测试的工作量，以提高审计效率，节约审计成本。②获得企业内部控制设计、执行缺陷方面的重要信息，帮助审计人员提出完善内部控制、加强经营管理、提高经济效益的建议。

2.2 内部控制评审在内部审计实践中的应用举例

2.2.1 通过询问法确定审计重点。例如，今年5月份，我们对某工程竣工决算情况进行了审计。在调查了解该项目内部控制时，通过询问使用单位设备管理员，发现财务已转资设备与实际使用设备在型号、种类、数量方面有较大出入，财务、计划、供应、施工、使用等部门职责划分不清，设备管理混乱。于是，我们将设备清查与核对作为实质性审计的重点之一，取得了审减设备45台套、设备费765万元，审增设备12台套设备费136万元，取得直接审计成果529万元的好成绩。

2.2.2 通过“穿行测试”发现审计线索。我们在对某物资供应单位进行内控评审时，选取原盐、原煤等7类物品进行穿行测试，发现库存煤炭未按月进行盘点，不符合控制点5.1的要求，此控制点未得到有效执行。我们在风险评估的基础上，实施了追加的审计程序，聘请专业人员对物资中心总库煤场进行了盘点，确认煤炭盘盈3.42万吨,金额1139.78万元。同时，在进行账实核对的过程中，又发现16.09万吨煤炭发出后未及时办理出库，影响了热电厂的成本核算，取得了较好的审计效果。

3 内部控制评审可能带来的审计风险及其防范控制措施

3.1 企业控制标准体系和评价体系的不健全、不规范给审计人员进行内控评审带来了较大的评价风险 企业控制标准体系和评价体系是内控体系建设的基础，又是适应证券监管的迫切需要。在过去一段时间，多数企业只是制定了一些零散的规章制度，尚未建立起控制标准体系和评价体系；也有少数企业借鉴国内外内控方面的做法，初步建立了控制标准体系和评价体系，但存在控制点设置不合理、权限设计粗放、评价体系过于简单，评价指标操作性差等诸多弊端。当前情况下，缺乏一套具有统一性、公认性、科学性的企业内部控制标准，使内审机构进行内部控制评审缺乏明确标准，给审计人员进行内控评审带来了较大的评价风险。当前，企业应高度重视内部控制的建设工作，加快建立健全控制标准体系和评价体系的步伐。企业应根据有关法律法规的要求，发挥自身力量，或者适当借助中介机构提供的咨询服务，设计并不断改进和完善经营管理制度和内部控制，持续提高经营管理和内部控制效能。企业内审部门也应根据本企业的实际情况，结合开展内控评审的经验，积极探索，制定完善一套具有本企业特色、切实可行的内控评审《操作规程》和《评价指标体系》。《操作规程》应针对内控评审的特点，明确从审计准备到实施阶段直至审计报告阶段的操作程序、内容和要求，对审计行为进行严格规范。《评价指标体系》应针对本企业的特点，结合内控评审的要求，制定出一套切实可行的定量和定性指标来。

3.2 “人的因素”是审计人员进行内控评审时应着重防范的风险 内部审计可以采取如下措施来防范人为因素对内控评审的不利影响：一是倡导企业开展文化建设，全员参与，提高企业各级管理人员、工作人员的思想和业务素质。二是建议企业建立反舞弊机制，完善投诉、举报管理制度，通过设置舞弊举报热线，明确投诉、举报处理程序、办理时限和办结要求，确保投诉、举报成为企业反舞弊和加强内部控制的重要途径。三是无论内部控制评价结果多么完美，审计人员都不能完全依赖，还应适当进行实质性测试。

3.3 审计抽样方法本身蕴藏着风险 审计抽样，是指审计人员在实施审计程序时，从审计对象总体中选取一定数量的样本进行测试，推断总体特征的一种方法。审计抽样会产生两种风险，一种是抽样风险，一种是非抽样风险。抽样风险，是指审计人员依据样本测试结果形成的审计结论，与审计对象总体特征不相符合的可能性。抽样风险是抽样技术所固有的，它是因测试的样本量不足整个总体而引起的。非抽样风险，是指审计人员因采用不恰当的审计程序或方法，或因误解审计证据等未能发现样本中实际存在的误差的可能性。非抽样风险与审计人员采用的抽样方法无关。控制抽样风险有两个途径：一是调整样本量，增加样本量可以降低抽样风险；二是采用恰当的抽样方法，合理保证样本的代表性；非抽样风险无法量化，但是可以通过对审计人员有效的训练，对审计程序的精心设计，对审计工作的适当计划、指导、监督和复核等，将其控制在较低的水平。应大力提倡应用计算机软件进行辅助审计抽样，这样不但可以节约时间，并能减少审计人员选取随机数时发生错误的可能性，而且可以通过计算机程序自动记录。同时，不断学习和积累审计抽样经验，力求合理确定抽样参数和样本量，将内控评审风险降到最低。

3.4 计算机信息系统在企业中的广泛应用带来了新的内控评审风险 随着计算机技术的迅猛发展和社会信息化程度的不断提高，信息系统在企业中得到了迅速普及和广泛应用。在计算机环境下，信息系统的内部控制是否健全、合理并得到切实执行将直接影响到会计信息及其他经营信息的真实、完整和可靠性。由于计算机数据处理与手工处理有许多不同，从而产生了与传统手工处理方式截然不同的新的内部控制模式。对计算机信息系统进行内控评审，主要风险表现在：审计经验不足；计算机审计人员缺乏；企业的各种应用软件审计人员不会使用或不熟悉；由于缺乏原始记录，对被审单位提供的电子数据的真实性、完整性难以确认；在计算机环境下，内部控制转变为对人和机器两方面的控制，而且多数情况下是以对机器的控制为主；同时，计算机又容易受到电脑“黑客”的入侵和“病毒”的侵袭，电子化信息数据易于被滥用、篡改和丢失，且不留任何蛛丝马迹等等。

当前，企业内审人员进行内控评审还存在诸多难点和问题，如审计人员经验不足，生产经营知识欠缺，被审计单位对内控评审不理解、不支持等。我们不要被这些困难吓倒，一定要坚定信念，转变观念，充分认识到内控评审在企业内部审计中的地位和作用，并不断加强内控理论研讨，注重内控经验总结交流，创新内控审计技术手段，使内部控制评审在企业内部审计中的应用上升到一个新水平！

参考文献：

[1]董大胜.审计技术方[M].北京：中国时代经济出版社，2005.