二维体系的内部控制有效性的评价探索

郑博文　李丛

摘 要：内部控制有效性是当今会计学术界广泛讨论的重要议题，也是企业内部控制制度的灵魂。本文通过厘清内部控制本质和内部控制有效性内涵，借鉴国内外现有研究成果，建立了基于风险控制和战略目标导向的二维体系模型，同时引入资产规模作为控制变量对我国上市公司的内部控制有效性做出评价，并在此基础上，提出了我国企业要提高实物控制水平、加大创新投入和树立行业内部控制标杆等相关建议。

关键词：内部控制；内部控制有效性；二维体系

一、前言

关于企业内部控制有效性的研究，最早起步的是美国。其中最具盛名的是美国COSO委员会（the Committee of Sponsoring Organizations of the National Commission of Fraudulent Financial Reporting），它于1992年9月颁布了指导内部控制实践、引领内部控制发展的纲领性文件《内部控制——整合框架》，它第一次阐释了内部控制制度的有效性和执行的有效性，把原本人们对内部控制的还较为原始的认识推进到了前所未有的高度，被誉为是人类内部控制发展史上里程碑般的成就。COSO报告不仅明确地提出了内部控制应由内部环境、风险评估、控制活动、信息与沟通和内部监督五要素组成，还指出内部控制应旨在为财务报告的可靠性、经营活动的效率和效果及相关法律法规的遵循性的实现提供合理保证的三个目标。不仅如此，内部控制发展并没有停止。此后，COSO委员会于2004年根据美国颁布的《萨班斯——奥克斯利法案》（Sarbanes-Oxley Act）正式发布了《企业风险管理整体框架》（Enterprise Risk Management-Integrated Framework，即ERM），把内部控制与风险管理相融合，扩展到了战略领域，提出了内部控制八要素。于此同时，我国为规范我国公司的内部控制，保护投资者权益，借鉴西方经验，先后出台了《上交所上市公司内部控制指引》和《深交所上市公司内部控制指引》，并先后在我国的上市公司内部推行。2008年6月28日，以财政部为首的五部委联合发布了中国第一部《企业内部控制基本规范》（以下简称“基本规范”）。2010年4月26日，五部委联合发布了《企业内部控制配套指引》。这些纲领性文件的颁布， 标志着我国“以防范风险和控制舞弊为中心、以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、方法科学、体系完备”的企业内部控制规范体系建设目标基本建成。企业内部控制规范体系结构的明确给理论界和实务界对于企业内部控制及其有效性的评价问题指明了方向。

二、内部控制的有效性及其发展历程和本质

1.内部控制有效性内涵

关于内部控制有效性内涵的定义，国内外的学者们都做了大量的研究。COSO报告认为，有效的企业内部控制系统是指，企业的经营目标实现、可靠披露的财务报表、相关法律和规章制度的遵守能够得到公司的治理层和管理层合理地保证。KPMG（1999）在其《内部控制：实务指南》中则强调企业建立与实施内部控制对实现控制目标提供合理保证的程度与内部控制的有效性相一致，其中内部控制的有效性包括内部控制设计的有效性和内部控制运行的有效性。我国学者周小燕（2012）在其发表的《我国企业内部控制指标体系》中提出企业内部控制制度的有效在于能不能杜绝本应杜绝的错弊行为，其有效程度取决于在多大程度上保证目标的实现。我国学者柴芳云（2010）认为，企业内部控制的有效性就是内部控制为相关目标的实现提供超过合理保证水平的一种综合评价过程。本文借鉴国内外现有的研究思想，笔者认为实现内部控制目标需要以其功能的实现做为基础，只有内部控制功能正常发挥作用，内部控制目标才能实现。所以内部控制有效性就可以通过判断内部控制功能是否发挥作用及发挥的程度来进行评价。当企业的内部控制功能不能实现内部控制目标时，内部控制是无效的；否则，内部控制是有效的。企业内部控制的有效性取决于企业内部控制功能的实现程度。企业内部控制有效性判断的基本思路如图所示：

2.内部控制的发展历程及本质功能

内部牵制阶段是内部控制萌芽阶段。这一阶段的主要特点是以任何个人或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的责任分工，每项业务通常发挥其他人或部门的功能进行交叉检查或交叉控制（《柯氏会计辞典》）。该定义基于两个假设：（1）假设两个和两个以上的个人和部门发生同样的错误的概论很小；（2）假设两个和两个以上的个人和部门发生串通舞弊的可能性也大大降低。犯错误和舞弊均可归类为风险的范畴，故内部牵制可以防范风险。

20世纪40年代末至70年代初，美国注册会计师协会（AICPA）多次对内部控制进行了权威性的定义，将触角伸入管理领域，有了管理控制的雏形。20世纪70代至90年代初内部控制概念演变为“内部控制结构”，并提出了内部控制结构包括控制环境、会计制度和控制程序三要素。

随着经济的不断发展、企业面临应对日益复杂的环境及风险控制的需要。20世纪90年代以来，内部控制研究开始逐渐从完全出于审计便利的需要开始着眼于企业整体以及利益相关者。内部控制的研究逐渐形成内部控制和风险管理的整体框架，并且逐渐在实务层面强调内部控制和风险管理的应用。1992年，美国COSO委员会的报告，即《内部控制——整合框架》提出内部控制包含控制环境、风险评估、控制活动、信息与沟通、监控活动五要素，不仅重视事前预防，更重视风险评估。由此风险控制的内涵和范围进一步扩大。进入21世纪，由于安然事件等一系列财务欺诈丑闻，内部控制框架一些改进建议纷纷在理论界与实务界中提出。这些宝贵的建议强调内部控制框架的建立应与风险管理相结合。随之，美国COSO委员会于2004年发布《内部控制——整合框架》，提出了风险组合观，扩大了报告目标的范畴，增加了战略目标，以全面风险管理为导向，降低企业风险。由于内部控制能带给组织风险的保障，也同时会给组织造成效率上的损失，而内部控制的最终目标就是为了实现组织战略目标，所以内部控制的外延逐渐延伸到了战略目标导向领域。

综上所述，内部控制的目标是通过保证内部各层级委托代理关系中代理人信托责任的履行，进而保证组织目标实现的过程。风险控制是指组织在风险和收益期望组合既定的前提下，合理确保其经营过程符合其目标期望的过程。内部控制是为了降低组合内部代理问题而建立的一套风险控制机制，本质上是风险控制。而随着经济社会的发展，内部控制的外延战略目标导向功能也显得尤其重要。

基于前文，笔者认为内部控制有两大部分组成（见表1）：风险控制是内涵，战略目标导向是外延。一个良好的内部控制体系，一是应对组织内部的人员的行为进行约束，比如不相容职位相分离、严密的授权审批系统等；二是应该通过控制活动激励员工紧贴组织的战略目标去实现企业的愿景、使命和目标。

本文试图从内部控制的本质出发来寻找内部控制有效性的评价体系：风险控制+战略目标导向。保证组织的风险控制和实现组织的整体目标相结合。

风险控制，是风险管理者采取各种措施和方法，降低风险事件发生的概率，或者减少风险事件发生所造成的损失。随着经济环境和组织环境的变迁，内部控制的思想内涵在不断发展：从简单经济环境下的实物风险控制，发展到报告风险控制、经营风险控制以及合规性风险控制。风险控制就是要实现实物风险控制、报告风险控制、经营风险控制、合规性风险控制。因此，我们可以通过量化这四个指标来实现内部控制中风险控制有效性的计量。

战略目标导向反映了一个组织实施的战略方向，有管理学界的大师曾说：“正确地做事，不如做正确的事”，战略目标是组织最高层次的目标，组织内其它各类目标都是战略目标的细化，都应该为组织的战略目标所服务。内部控制的目标也是如此。组织的内部控制只有将风险控制和战略目标导向相结合才能使组织的内部控制效用最大化，使组织的绩效最大化、风险最小化。

此外，公司内部控制的有效性还可能与公司规模的大小有关。如Doyle（2007）发现，规模较小的公司更容易披露内部控制缺陷。不同的公司规模导致公司对内部控制的关注度不同，对于风险控制和战略目标导向对内部控制有效性的影响有不同的偏差干扰。基于此，笔者认为有必要将组织规模设置为控制变量，这样更能反映一般的内部控制有效性。

三、企业内部控制有效性评价指标体系的构建

1.内部控制有效性的指标说明与模型的建立

（1）指标说明

据前文所述，内部控制有效性是基于相同的组织规模下，对组织风险状况下的控制有效性和战略目标实现水平的定量评价。这样，基于风险控制和战略目标导向的内部控制有效性评价体系可以如下表（表2）所示：

（2）模型建立

①实物控制目标（SC）

实物控制目标的目的就是为了降低企业或组织实物财产损失的风险，保证实物财产的安全和完整。如果一个企业的资产收益率高于行业平均水平，可以认为这个企业的资产配置效率较高。本文选用固定资产周转率，进一步体现了每单位实物资产实现的周转能力的高低。由于固定资产在企业和组织中较为重要，固定资产能体现一个企业的盈利能力，固定资产在企业资产总额中一般都占有较大的比例，固定资产的安全、完整对企业的生产经营影响极大，故在评价企业的实物控制目标时应予以高度的重视，固定资产的周转速度越快，企业的资金利用效率就越高。

②可靠性目标（Reliability）

依据美国反欺骗性财务报告委员会（COSO）对内部控制的定义“内部控制是由企业董事会、经理层和其他员工实施的，用来为经营效果和效率、财务报告的可靠性、遵守适用的法律法规三类目标的实现提供合理保证的一个过程”。由此可见可靠性目标指的是财务报告的可靠性。不可靠的财务报告会增加一个组织的失败风险，降低企业的价值。对于财务报告的可靠性水平，笔者认为可以选用内部控制的重大缺陷、财务报表的非无保留意见来度量。如果一家企业当年财务报表审计意见类型为标准无保留，则设为0，保留意见和否定意见为-1。如果一个企业在年度报告中披露了内控的重大缺陷，则“内部控制的重大缺陷”为-1，若无，则为0。综上，可靠性目标满足一下等式：

③经营性目标（ROA）

经营性目标，可以用企业的投入和产出比例来表示。在投入一定的情况下产出越高，则企业的经营效率越高；相反，在产出一定的情况下，投入越少，意味着企业的绩效越好。

因此，笔者认为经营性目标可以用总资产净利率来衡量，公式如下：

④合规性目标（Legitimacy）

合规性目标，笔者认为可以用当年是否收到证券交易所和证监会的处罚来衡量。如果收到，那么“合规性目标”为-1，否则为0。

⑤市场导向（MO）

市场份额占有率是衡量一个企业成功战略导向的指标之一。一家企业的市场占有率较高，意味着它在市场上更有竞争力。笔者认为市场导向可以用市场份额占有率的2年平均值来衡量，公式如下：

⑥创新导向（IO）

上市公司的研发支出分为很多项目。如资产负载表中的“无形资产”、“研发支出”等。由于研发支出的费用化部分很大地成分上不能确定的转化为企业的最终产品。为了衡量未来收益报酬能有效流入企业的研发创新，笔者认为应该选用研发支出（资本化）估算较为妥帖。本文考虑到创新战略的周期性，取近2年的平均值来近似衡量该公司的创新导向。

⑦公司规模（LN SIZE）

公司规模，用上市公司年末总资产的自然对数来量化，公式如下：

四、我国上市公司内部控制有效性的评价设计

1.样本的选取

本文选取上海证券交易所、深圳证券交易所A股上市公司2013年-2014年财务报表、审计报告和财务报告附注中的数据为样本。剔除ST、*ST为开头的、数据缺失的或者数据极端异常的上市公司数据，取得2148个样本。

2.内部控制有效性评价结果分析

根据表3所示，实物控制目标的均值为13.38，标准差达到88.859，过大的标准差表明我国上市各公司之间的实物控制水平的差距较大，固定资产管理水平参差不齐。各上市公司在实物资产管理的能力和水平还有待提升。在统计样本中，有25.6%的公司在可靠性目标衡量中数值≤-1，其中有5.6%的公司在可靠性目标的衡量上数值为“-2”。这说明，我国有25.6%的上市公司存在不同程度上的内部控制缺陷，其中有5.6%的公司被注册会计师出具了“保留意见”、“无法表示意见”或“否定意见”的审计报告，意味着这些公司的财务报表可靠性较差，内部控制相对薄弱。我国上市公司之间创新导向差距较大，标准差达1.953，这说明我国有一些上市公司近年来更加重视对科技的投入，使企业能通过创新来实现企业自身的战略目标。样本中“经营性目标”、“合规性目标”、“市场导向目标”等标准差较小，样本较为平稳，但从均值来看数值均较小，这说明我国上市公司在符合监管层的规定、资产报酬率、市场占有率等方面的控制能力较弱，内部控制有效性整体偏低。从最大值与最小值的对比来看（MAX-MIN），每一项控制目标的极值差异均较大，这说明在该项控制目标上做的最好的公司与做的最差的公司有较为明显的差异。巨大的差异可以帮助我们找出行业标杆，为内部控制有效性的建设树立榜样，提供指导。

3.基于公司同一规模下的内部控制有效性差异检验

根据前文所述，笔者把公司的规模和公司的成长性作为控制变量，来研究不同规模的公司内部控制有效性差异。表3也得出了，在每一项控制目标上，各个公司之间的内部控制有效性差异较为显著的结论。笔者将从近似的公司规模中来探索内部控制有效性的差异，为公司提高内部控制有效性水平提出建议。

笔者先将样本按公司规模的自然对数从高向低排列，选取前100个公司为高资产规模公司，后100个位低资产规模公司，将高资产规模和低资产规模公司进行比较，如表4。

从资产规模大的公司和资产规模小的公司双方的标准差对比来看，双方总体上标准差的差异较大。资产规模大的公司在实物控制目标、经营性目标、合规性目标、创新导向和市场导向等方面标准差小于资产规模小的公司，而在可靠性目标方面标准差大于资产规模小的公司；在实物控制上，资产规模大的公司标准差很小，而资产规模小的公司标准差却很大，这说明资产规模大的公司实物控制水平较为一致，而资产规模小的公司在实物控制上差别很大，这也说明资产规模较小的公司里面有实物控制十分优秀的公司，也有实物控制水平较差的公司。在可靠性目标上，资产规模大的公司标准差较大，这说明资产规模大的公司里面对可靠性目标的控制水平差异较大，也说明并不是所有资产规模大的公司都能充分有效地实现可靠性的控制目标。

再从双方的均值来看，资产规模大的公司在可靠性目标、经营性目标、合规性目标和市场导向方面比资产规模小的公司做的好，但资产规模较大的公司的实物控制目标和创新导向明显低于资产规模较小的公司。这些结果表明，大的资产规模并不能代表企业的内部控制是充分有效的。我们可以从中得到启示，资产规模大的公司可能会为做到经营合规、占领市场或保证财务报表的可靠而忽略实物控制和创新，导致资产利用效率降低，最终导致市场份额的下降。这在无形中增大了企业的经营风险，为企业将来的失利留下了隐患。资产规模较大的公司应该努力提高资产利用率，增强实物控制水平，更应该加大对创新的投入，增强企业的核心竞争力。

五、对于提高公司内部控制有效性的建议

我国资本市场从90年代起，经历30多年的发展，逐步规范上市公司的公司治理和内部控制，如今已经取得一些成效。但在内部控制有效性方面仍不尽如人意。笔者根据前文得出的结论，认为可以从以下几个方面提高公司的内部控制有效性：（1）资产规模大的公司应该加强公司实物控制的效率，提高实物资产的利用程度，避免资产闲置、浪费等问题发生。（2）资产规模大的公司应该避免安于现状，要努力加大对创新的投入，进一步提高市场占有率，保证公司能实现自身的愿景和使命。（3）资产规模小的公司应该努力提高公司的实物控制水平、可靠性目标和合规性目标，重视市场导向，完善公司的内部控制制度，推进内部控制的执行，改进内部控制缺陷来提高公司的内部控制有效性。资产规模小的公司同样要重视创新投入，增强创新向利润的转化能力，保证企业战略目标的实现。（4）我国的监督管理部门应该抓内部控制典型，树立内部控制标杆，全面提升我国公司内部控制的有效性，为企业的良好发展打下坚实的基础。

参考文献：

[1]蒙丽珍，朱萍，刘圣妮.内部控制与风险管理[M].大连：东北财经大学出版社，2011.

[2]丁友刚.内部控制、风险控制与风险管理——基于组织目标的概念解说与思想演进[J].会计研究，2007，12：51-54.

[3]步磊，范亚东.公司治理结构对内部控制有效性的影响研究[J].会计之友，2014，8：42-45.

[4]Committee of Sponsoring Organizations of the Treadway Commission. Internal Control—Integrated Framework，July 1992 Edition.

[5]COSO，2004，Enterprise Risk Management—Integrated Framework.

[6]周小燕.我国企业内部控制有效性评价指标体系[J].财经科学，2012，8：117-124.

[7]赵建凤.上市公司股权结构对内部控制有效性的影响研究[D].北京：首都对外经贸大学，2013.

[8]黄为娥.内部控制理论的新发展及其对我国的启示[D].厦门：厦门大学，2006.