内部控制评价整合研究

内部控制评价整合研究*吴秋生杨瑞平（山西财经大学会计学院030031）【摘要】为了充分发挥内部控制评价的作用，努力节约内部控制评价成本，财务报表审计目的、完善目的、披露

目的和内部控制审计目的的内部控制评价，应当进行一定的整合。本文根据不同目的内控评价在具体评价活动中所体现的内涵与协作需要，分别提出了外部主体内整合和内部主体内整合，这两类整合并称为主体内整合，是第一层次的整合，同时对基础资料与评价方法共享的主体间整合，赋予了第二层次整合的概念，通过这两个层次的整合，能更好的服务于多角度的评价标准和实现多维的评价目标，更加有效地推进内控完善和提升内控评价报告的质量。【关键词】内部控制内部控制评价整合

内部控制评价经历了一个不断发展的过程，起初大家关心报表审计目的的内部控制评价①，后来，企

业和外部注册会计师都开始关注自我完善目的的内部控制评价②，随着资本市场的发展，市场监管者要求

公司评价自身的内部控制情况，并对外披露③，再进一步要求由外部注册会计师对企业的内部控制进行审

计并对外报告④。目前，四种目的的内部控制评价都有其独特的重要作用，相应的都可能花费昂贵的成本，分别开展评价活动势必导致效率低、成本高，有必要整合实施。如《企业内部控制审计指引》就规定，注册会计师可以将内部控制审计与财务报表审计整合进行。如何整合好各种目的的评价，以最低的成本最大限度地发挥评价的作用，是目前急需研究解决的问题。一、成本与效率权衡：内部控制评价整合的内因企业内部控制评价是一个系统工程，涉及企业的公司治理层面和业务流程，需要投入大量人力物力，在内控评价中应密切结合企业治理结构的要求、业务特点以及企业规模的特点，正确处理成本与效益的关

55*①

②

③④

本文是2011年教育部人文社科规划基金课题“管理层凌驾内部控制预警指标体系研究”和2011年山西省软科学课题（编号：2011041069———04）的阶段性研究成果。20世纪40年代现代内部控制正式产生并进入了内部控制制度阶段，注册会计师在财务报表审计过程中需要通过了解被审计单位的

内部控制制度，评价各项业务的相关内部控制制度的有效性，据以确定审计抽样的重点和规模，保证审计质量，提高审计效率。这种为财务报表审计服务的内部控制评价可以称为财务报表审计目的的内部控制评价。企业要保证内部控制持续有效，就必须根据环境的变化进行内部控制评价，以发现内部控制在新环境下存在的问题，及时采取措施加以完善。这种为保证内部控制持续有效而实施的内部控制评价———内部控制自我评价产生了，我们也可以称之为完善目的的内部控制评价。内部控制自我评价最早是由加拿大海湾资源公司在上世纪80年代开始运用的……，大大推动了该公司内部控制的发展和完善（张谏忠、吴轶伦，2005）。1991年美国《联邦储蓄保险公司改善法案》开始要求特定的银行对外报告内部控制的有效性，对外披露目的的内部控制评价开始

成为法定要求。2001年安然事件等重大财务欺诈案的相继发生表明，要有效判断财务报告的可靠性，必须深入了解财务报告内部控制的有效性，必须评价、对外报告和审计内部控制。因此，2002年美国颁布了《萨班斯—奥克斯利法案》，要求上市公司必须进行披露目的的内部控制评价，并要求对披露目的的评价报告进行审计。有了披露目的的内部控制评价要求，就有了内部控制审计的要求；进行内部控制审计的主要工作就是对内部控制有效性进行独立评价，以验证被审计单位内部控制信息披露的真实性。因此，披露目的的内部控制评价催生了内部控制审计目的的内部控制评价。系，避免一味强调评价的完整性，忽视效率和成本（杨有红、王宏，2010）。目前，财务报表审计目的的内部控制评价、完善目的的内部控制评价、披露目的的内部控制评价和内部控制审计目的的内部控制评价等四种目的的内部控制评价都是必要的，但分别进行有较多的弊端。首先是评价成本高不经济。不管是财务报表审计目的的内部控制评价、完善目的的内部控制评价、还是披露目的的内部控制评价、内部控制审计目的的内部控制评价，都需要较为彻底的对被评价企业内部控制的设计、构成、实际运行及其运行结果开展调查、测试、分析、评估、提出修改意见等，四类评价分别开展就需要分别进行一遍以上一系列的工作，每一遍工作的开展都需要花费大量的人力、物力、财力，评价成本很高，这不管对评价者还是被评价者来说都是很不经济的。其次是耗时长效率损失严重。一般来说，现代企业都比较庞大或复杂，四类内控评价中某一类评价的开展都需要花费较长的时间，这对评价工作本身来说是缺乏效率和不经济的。不仅如此，每一次评价活动的开展都会或多或少影响到企业的生产经营活动和经营管理工作，打乱企业既有的工作秩序，对被评价企业的生产经营本身的运行效率也会有较大的影响，在一个经营年度内四类评价分别开展，将会占用企业大量的、宝贵的经营时间和精力，使企业发生较大的效率损失。二、评价客体相同与评价主体知识共享：内部控制评价整合的基础财务报表审计目的的内部控制评价、完善目的的内部控制评价、披露目的的内部控制评价和内部控制审计目的的内部控制评价等四类评价都是对企业的内部控制系统所开展的评价，都需要对同一套内部控制系统开展评价，他们所需要了解的基本情况是同源的，而且可能是大致相同的，所不同的是开展独立的分析和评估、独立出具评价意见，这就为各类内控评价的整合提供了现实可能，这不但可以减少评价者的成本耗费而且能降低被评价者的效率损耗。一般来说，四类内控评价所需要开展的调查、测试、分析、评估与诊断等一系列工作可以分为现状调查与基础资料的搜集阶段、分析与独立判断阶段、出具评价结论与提出建议阶段。一方面，在现状调查和基础资料的搜集阶段，完善目的的内部控制评价和披露目的的内部控制评价的评价主体对被评价客体的情况了解天然地较为全面和熟悉，他们所拥有的对于本企业内部控制设计及运行特征的隐性知识可以为外部主体共享，而且财务报表审计目的的内部控制评价和内部控制审计目的的内部控制评价的评价主体在这个阶段开展工作时本身就需要得到客体及完善目的的内部控制评价和披露目的的内部控制评价的评价者的配合和协助。在这一阶段，财务报表审计目的的内部控制评价和内部控制审计目的的内部控制评价的评价主体需要共享完善目的的内部控制评价和披露目的的内部控制评价的评价主体的相关知识，特别是隐性知识。另一方面，财务报表审计目的的内部控制评价和内部控制审计目的的内部控制评价的评价主体一般都是经过系统训练的专业人士，他们一般具有专业的内部控制体系建设和评价的系统知识，掌握一定的系统性的评价方法或评价工具，在评价方案拟定、评价组织、评价实施等方面具有丰富的经验等，刘玉廷、王宏（2010）就提出适当利用企业内控自评工作及其成果，可以相应减少注册会计师的工作，提高内控审计效率。所以，在整个内控评价过程中完善目的的内部控制评价和披露目的的内部控制评价的评价主体需要共享财务报表审计目的的内部控制评价和内部控制审计目的的内部控制评价的评价主体的知识和智慧。这是开展内部控制评价整合、提高评价效率的关键前提。三、由主体内整合到主体间整合：内部控制评价整合的必由之路目前，人们研究较多的是内部控制审计与财务报表审计的整合（PCAOB，2004、2007；CICA，2008）。将内部控制审计和财务报表审计整合进行，必将对提高审计效率、发挥审计的协同效应以及最终

提高财务信息质量起到根本性的推动作用（谢晓燕、张龙平、李晓红，2009）。这种整合实质上主要是两种外部审计目的内部控制评价的整合，这两类内控评价都是由被评价客体外部的审计师所实施的，所以，这类整合一般是同一个评价主体所进行的整合，我们把这种整合称之为主体内整合。同样道理，自我完善目的的内部控制评价、自我披露目的的内部控制评价也有必要和可能整合开展，这两类内控评价都是由公65司为主体进行的自我评价，因此这两者可以整合实施，这种整合也属于主体内整合。为了区别，我们称前者为外部主体内整合，后者为内部主体内整合，而且，我们把这两类整合并称为第一层次整合。从充分发挥内部控制评价的作用，最大限度地节约内部控制评价成本、提高内部控制评价效率的要求出发，除了进行主体内的内部控制评价的整合，在实践中还可以进行主体间的内部控制评价整合，我们把主体间的内部控制评价整合称之为第二层次整合。需要予以注意的是，主体间整合既包括外部主体与内部主体之间的整合与协调，如外部审计师与公司内部之间；也包括内部主体间董事会、管理层等不同评价主体之间的整合与协作。因而内部主体和外部主体虽然主体不同，视角及目的不同，但是，评价的客体基本一致，所以，在具体评价工作的开展上，在评价方法的选用上，特别是在调查、测试等基础资料的搜集阶段进行一定的整合，以提高内部控制评价的效率。四、主体协调与工作配合：两层次整合具体实施中的关键由于不同目的的内部控制评价在责任主体、具体内容、评价标准、评价流程、评价方法和评价报告等方面都有不同的要求，因此，第一层次的整合可以从评价的主体、内容、环节、标准、方法和报告等全方位入手，而第二层次的整合主要是指评价主体间的评价基础资料搜集、评价方法选择、评价活动的统筹安排等方面的协同整合，这需要更多关注和区分不同评价主体间在各个工作任务上的异同，更好的实现评价目标和整合效果。（一）主体整合与协调：内部控制评价整合实施的前提

不同目的的内部控制评价主体是不相同的：有关法律法规对报表审计或内部控制审计目的的评价主体规定是很明确的，就是企业董事会（或独立董事组成的审计委员会，下同）聘请的注册会计师；完善目的的评价或对外披露内部控制目的的评价行为主体就是内部控制的主体，根据COSO发布的《内部控制———整合框架》的规定，内部控制是由董事会、管理层和其他员工实施的，因此，完善目的的评价主体

应当包括企业董事会、管理层和其他员工；关于披露目的的评价主体，中美两国法律法规的规定有着明显的差异，我国2010年4月正式颁布的《企业内部控制评价指引》规定为董事会或类似权力机构；美国《SOX法案》规定为管理层。根据权力制衡原理，这两类目的的评价主体只能分别整合而不能混为一体，他们在某些方面具体工作或活动中可以协调与合作（也就是开展第二层次的整合），不能组成一个工作组完全替代地开展这两类目的的内部控制评价。在评价过程中可以考虑让管理层参加联合评价工作组的基础资料调查测试阶段的工作，这是因为管理层是内部控制的具体设计和执行者，他们承担着不断完善内部控制的职责，需要通过参加整合型评价，尽可能全面、细致地发现内部控制存在的缺陷，以便采取措施加以完善，实现内部控制评价的完善目的；同时，内外部审计师要想全面、深入地了解内部控制实际情况，就必须与管理人员进行交谈与沟通，必须向管理人员询问和调查。因此，管理人员在联合工作组中应当认真回顾和总结执行内部控制的体会，深入学习内部控制规范，相互交流和研究内部控制运行情况，详细提出完善内部控制的建议，与内外部审计师进行坦诚交流，如实回答内外部审计师的询问和调查。评价结束后应当及时采取措施弥补评价发现的内部控制缺陷。管理层在评价中应当有自我评价的主人翁意识，自觉揭露内部控制存在的问题，主动配合内外部审计师的调查。内外部审计师参加评价工作，既可以充分利用自我评价的成果，又可以促进管理层自我评价质量的提高。但同时管理层的自我评价对于审计师判断会存在一定的“光环效应”，从而造成审计师在降低审计成本的同时以偏概全、产生判断偏误（Arel，KaplanandDonnell，2006）。为此，内外部审计师在评价工作中应当积极与管理人员进行总结、交流和研讨等自我评价活动，对发现的可能存在内部控制缺陷的业务，要通过检查内部控制形成的文件、询问管理人员、观察有关控制活动、进行实地检验等方法进行独立的检查，查清有关缺陷的性质、产生原因以及可能的后果，以便如实进行报告。为了保证内部审计师能够如实报告评价发现的内部控制缺陷，企业应当赋予内部审计部门和人员具有充分独立性和客观性，使其接受企业最高管理层的领导和董事会或类似权力机构监督和指导，独立于具体经营管理活动之外。为了明确和强化有关人员的责任意识，保证评价报告的真实性，内部控制评价报告应当由内部审计部门负责人、总经理75