内部控制有效性评价

□文/魏丽丽

内部控制有效性评价

□文/魏丽丽

本文从内部控制有效性评价的必要性、评价的方法、配套措施等方面，讨论内部控制有效性的自我评价。

内部控制；有效性；评价

企业内部控制的有效性是指内部控制为相关目标的实现提供超过合理保证水平的一种综合评价过程。《企业内部控制基本规范》第四十六条规定：企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内控制自我评价报告。如何对企业制定的内部会计控制的实施效果进行合理的评价，这是实施过程很重要的一个环节。

一、对内部控制有效性评价的必要性

即使企业建立并实施了内部会计控制制度，也并不意味着它就能在实际工作中发挥其应有的作用。所以，对内部控制的评价是有必要的，而其必要性主要体现在内部控制存在的缺点上。

（一）企业不具备完善的内部会计控制制度。在实际中，许多企业还不具备完善的内部会计控制制度，尤其是在许多中小企业中。国家出台的内部控制只具有原则性指导意见，缺乏可操作性的具体制度措施。企业在执行内部控制制度时，具体执行部门和岗位职责不清，而且缺乏有效的监督和奖惩制度，造成责任不能真正被落到实处。

（二）企业虽具备完善的内部会计控制制度，但执行力度不够。这是在我国企业中普遍存在的现象之一。事实上，它比没有完善的内部会计控制制度具有更大的欺骗性。由于内部控制系统发挥作用的主要因素是内部控制人员，他们的业务水平和职业素养的高低直接关系到控制系统的实施效果。所以，即使再好的内部控制制度，如果不能确保有效实施，也只能是一个挂在墙上的摆设，没有任何作用。

（三）企业出于某种目的而执行的虚假内部会计控制。有的企业出于某种目的，通过执行虚假的内部控制制度来欺骗利益相关者，以达到其所期望的结果。在这种情况下，企业内部控制不但形同虚设，而且还成为了某些企业达到非法目的的手段。在实际工作中，如果管理人员或部门超越岗位职能、滥用职权、蓄意营私舞弊等，那么再良好的内部会计控制系统也会失效。

（四）内部控制评价的相关法规规定不统一、不具体。我国颁布的有关内部控制评价的法规数量很多，但是这些法规没有对内部控制有效性进行详细的解释，界定的评价主体和评价内容不同。《企业内部控制基本规范》第四十六条规定：企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内控制自我评价报告。该规范没有具体规定内部控制有效性评价的主体和方式。而《企业内部控制评价指引（征求意见稿）》采用广义的内部控制概念，《企业内部控制鉴证指引（征求意见稿）》采用狭义的内部控制概念。可见，目前我国不同层次的法律、法规或监管规定对企业内部控制评价有不同的要求，对相关概念的界定不明确，所以在企业内部控制有效性评价和注册会计师进行内部控制审核过程中不可避免地会出现对相关概念混淆不清，影响评价工作的开展。

二、如何对内部控制有效性进行评价

（一）有效性评价的影响因素。企业内部控制有效性评价的影响因素需要从评价主体、评价标准、评价范围等几个方面分别考虑。

1、评价主体。一般而言，内部控制的评价分为内部评价和外部评价。我国在《企业内部控制基本规范》中规定：董事会负责内部控制的建立健全和有效实施，监事会对董事会建立与实施内部控制进行监督，经理层负责组织领导企业内部控制的日常运行；企业应当在董事会下设立审计委员会。审计委员会负责审查企业内部控制，监督内部控制的有效性实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。而内部控制的外部评价主体大多由独立第三方进行，实务中主要由会计师事务所承担。

2、评价标准。有效的内部控制离不开评价标准，内部控制的评价标准包括一般标准和具体标准。内部控制评价的一般标准主要包括评价企业内部控制的合法性、全面性、重要性、有效性。内部控制的全面性要求企业制定全面的内部控制和全过程自始至终的控制；内部控制的合法、合理性主要指企业内部控制设计和执行的遵循性和经济性。内部控制的有效性一方面要体现适用性的要求；另一方面应满足企业追求的目标。内部控制评价的具体标准是在一般标准的指导下形成的，可分为要素标准和作业标准。要素标准旨在评估五要素是否存在以及是否有效发挥作用基础上的主观判断；内部控制作业层次的标准主要是控制活动要素的细化，根据企业生产经营的特点来设计控制活动，以保证管理层的指令得以实现。

3、评价范围。在实务中，较多关注内部控制的报告目标，而对合法性目标和经营的有效性目标、尤其是战略目标关注比较少。笔者认为，有效的内部控制应是一个相辅相成、相互影响的系统，内部控制的目标缺一不可。在对内部控制评价时，不仅要关注其在合理保证财务报告真实、准确、完整以及不存在重大错报和舞弊方面的作用，更要关注能否为实现经营目标、战略目标，保证企业合法经营方面提供合理保证。

（二）有效性评价的方法。对企业内部控制有效性的评价是通过评价主体对企业现有的内部控制系统的设计和运行的健全性和有效性进行审查、测试、分析和评价的活动。目前，对内部控制有效性评价主要是详细评价法和风险基础评价法这两种方法。

1、详细评价法。所谓的详细评价法就是按照当时国际上认可的权威机构设计的内部控制框架，对照评价对象内部控制要素是否存在、设计是否合理，然后再通过一定的程序测试内部控制的运行是否有效，最后将测试设计的结果和运行的结果综合考虑，得出总体的评价结论。这种方法简单直接，易于找出差距，但由于模式、要素固定，往往可能会出现评价结果不可靠。为了解决以上问题，实务界和理论界又提出了风险基础评价法。

2、风险基础评价法。这种方法的思路是从风险到控制，主要是：首先，以评估对象要实现的相关目标所对应的风险为起点；其次，识别和确定企业充分应对这些风险的内部控制是否存在；再次，通过收集内部控制运行有效性的证据并进行评价；最后，对控制是否存在缺陷和构成重大漏洞作出评估。这种方法从财务报表整体开始，然后到账户；从公司层面的控制到活动层面的控制，具体体现了企业风险管理的理念和有的放矢地瞄准相关目标进行评价的风险基础观，使评价更有效，避免与内部控制框架的简单核对，关注了企业的风险，并提高了评价的效益。但是，这种评价方法需要评价主体自身必须具备很高的职业判断能力。

3、风险基础评价法的优势。首先，风险基础评价法以评估实现内部控制相关目标的风险为起点，避免了与内部控制框架的简单核对，有更广泛的适用性、灵活性，并且提高了评价的成本效益；其次，风险基础评价法对企业内部控制测试内容和范围更加有针对性；最后，风险基础法在识别和评估企业应对内控目标风险时需要更高的专业判断能力。风险基础评价法是目前和未来对企业内部控制评价方法的总体发展趋势，只有评价方法得当、有效，才能为完善企业内部控制提供更加有利的依据。

（三）完善有效性的配套措施

1、有效的内部控制披露制度。内部控制有效性的强制披露制度一直以来备受关注。一些有关上市公司内部控制信息披露的研究结果表明：我国上市公司内部控制信息披露程度较低；上市公司信息披露受到公司盈利能力、财务报告质量和公司财务状况显著影响；上市公司信息披露存在自愿披露动力不足、披露流于形式以及隐瞒不利消息等问题。

对此，笔者建议：（1）要求上市公司将内部控制信息按照统一内容与格式实施强制性披露，这样做有利于投资者了解上市公司的相关信息及进行投资决策；（2）证监会应对上市公司内部控制信息披露的格式、内容要求统一规范，尤其对经营业绩不佳、财务报告存在质量问题和财务状况异常的上市公司内部控制披露进行特殊规定，以规范披露行为，并对披露虚假内部控制信息的上市公司实施严厉的制裁；（3）需要特别强化外部特别是注册会计师对上市公司内部控制披露信息的审核报告。

2、重视内部环境的影响。内部环境是整个内部控制的基础，反映了董事会、最高管理当局和企业所有者对内部控制及其重要性的整体态度及其控制政策、措施和行为。有效的控制环境至少对内部控制起到下列影响：（1）公司治理结构实际上就是所有者、董事会和高级管理人员三者之间权力分配和制衡关系的一种制度安排。董事会在公司内部控制中的地位尤为重要，内部控制是否有效取决于董事会是否积极主动地参与并监督管理层的经营行为，因此应加强董事会的建设，充分发挥董事会的作用；（2）企业文化是组织在发展过程中逐步形成的并为个体都承认的共有的价值体系。企业内部控制要素的实施受到如经营风格、诚信原则、道德价值观等的影响，这些是企业文化的重要体现；（3）人力资源是内部控制有效实施的保证，只要员工有胜任能力并值得信赖，即使缺少其他控制措施，也可以高水平地完成工作。

3、强化外部评价和监控制度。内部控制的有效性离不开企业内部的控制和监督。企业应当结合内部的监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。但企业的自我评价存在评价虚拟化、流于形式的问题，使内部控制建设停留在规范、制度和手册上而未真正有效运行。鉴于此，有必要加强外部监督和评价制度。《基本规范》的第十条规定了由会计师事务所对企业内部控制的有效性进行审计，并出具审计报告的相关条款。可见，我国由过去重视企业内部控制的自我检查发展为重视外部评价机构的评价结果。

4、完善相关法律法规。《基本规范》的制定发布为上市公司加强内部控制建设提供了基础性、权威性的指引，必将有利于提高上市公司的经营管理水平和风险防范能力，有利于资本市场的持续健康发展。《基本规范》在合理借鉴2004年COSO报告企业风险整体框架的基础上，特别结合了我国的具体情况，在内部控制目标、内涵、理念和整体思路上更接近于我国的实际。目前，我国不同层次的法律、法规或监管规定对企业内部控制评价有着不同的要求，对相关概念的界定不明确，但我们有理由相信，内部控制理论和实践是一步步完善的过程，随着内部控制的完善，内部控制有效性将在企业风险管理上发挥越来越大的作用。

三、总结

有效性是内部控制的精髓所在，是内部控制真正发挥作用的关键，是其完整性与合理性的最终归宿。如果企业的内部控制不能实现对经营和财务活动的“有效控制”，那么内部控制就失去了存在的价值。完善有效的企业内部控制制度是保证现代企业制度正常运行的基础，而内部控制有效性的提高则是提升一个企业全面管理水平的关键所在。因此，要不断探索，寻求完善内部控制系统的方法，从而真正建立起符合各自企业特点的高效率的内部控制系统。

[1]于静涛.强化内部审计，防止企业内部控制制度实效[J].理论学习，2007.8.

[2]朱彩婕，张代宝.内部控制有效性问题探讨[J].山东经济，2007.5.

F27

A

（作者单位：河北经贸大学）