企業(yè)內(nèi)部控制評(píng)價(jià)方法的比較

企業(yè)內(nèi)部控制評(píng)價(jià)方法的比較

自2002年《美國(guó)薩班斯-奧克斯利法》（sox法）頒布以來(lái)，商業(yè)評(píng)估和注冊(cè)會(huì)計(jì)師對(duì)內(nèi)部控制的審計(jì)已成為焦點(diǎn)，一些國(guó)家和地區(qū)相繼提出了類似的要求。強(qiáng)制要求本身的制定往往是相對(duì)容易的,但是,企業(yè)的管理層如何評(píng)價(jià)內(nèi)部控制以及注冊(cè)會(huì)計(jì)師如何審計(jì)內(nèi)部控制卻沒(méi)有想象的那么容易,這不但涉及到內(nèi)部控制評(píng)價(jià)理念的差別,還涉及到適當(dāng)評(píng)價(jià)方法的選擇。一、有效的內(nèi)部控制和企業(yè)內(nèi)部監(jiān)督(一)控制內(nèi)部控制盡管相關(guān)各方都在探討內(nèi)部控制的評(píng)價(jià),追求有效的內(nèi)部控制,但并沒(méi)有就內(nèi)部控制的有效性給出一個(gè)確切的定義。內(nèi)部控制不是獨(dú)立存在的,從本質(zhì)上來(lái)說(shuō)它服務(wù)于企業(yè)的目標(biāo),派生于企業(yè)的經(jīng)營(yíng)和管理,從而,內(nèi)部控制的目標(biāo)也是派生于企業(yè)的目標(biāo)。所以,從本源的角度來(lái)看,內(nèi)部控制的有效性是指內(nèi)部控制為相關(guān)目標(biāo)的實(shí)現(xiàn)提供的保證程度或水平,有效性不同的內(nèi)部控制可以提供不同程度的保證,其變動(dòng)范圍應(yīng)當(dāng)是從0到100%,如圖1所示。一般情況下,不同企業(yè)的內(nèi)部控制系統(tǒng)運(yùn)行在不同的有效性水平上,同樣,某一特定內(nèi)部控制系統(tǒng)在不同時(shí)點(diǎn)的運(yùn)行可能也不同。盡管內(nèi)部控制是一個(gè)過(guò)程,其有效性卻是該過(guò)程在某一時(shí)點(diǎn)的狀態(tài)或情形(COSO,1992)。這就產(chǎn)生了一個(gè)問(wèn)題:是評(píng)價(jià)內(nèi)部控制在某一時(shí)點(diǎn)的有效性,還是某一時(shí)期的有效性?對(duì)一項(xiàng)具體的控制活動(dòng)來(lái)說(shuō),如果僅僅是在某一個(gè)時(shí)點(diǎn)對(duì)其有效性進(jìn)行評(píng)價(jià),那么,這個(gè)有效性是該指該項(xiàng)控制活動(dòng)在這一時(shí)點(diǎn)的狀態(tài)或情形。但是,從本質(zhì)上來(lái)說(shuō)企業(yè)內(nèi)部控制是一個(gè)整體系統(tǒng),而整體系統(tǒng)的有效性就必須具有一定的穩(wěn)定性,只評(píng)價(jià)某一個(gè)時(shí)點(diǎn)的有效性并沒(méi)有太大的價(jià)值和意義。另一方面,內(nèi)部控制是為相關(guān)目標(biāo)乃至企業(yè)目標(biāo)的實(shí)現(xiàn)提供合理保證,而相關(guān)目標(biāo)的實(shí)現(xiàn)都存在一個(gè)過(guò)程,都與一定的期間(如財(cái)務(wù)年度)相對(duì)應(yīng)。所以,上市公司內(nèi)部控制的年度評(píng)價(jià)應(yīng)當(dāng)是評(píng)價(jià)上市公司內(nèi)部控制截至財(cái)務(wù)報(bào)告日或最近財(cái)務(wù)年度的有效性,是對(duì)內(nèi)部控制在某個(gè)期間有效性的評(píng)價(jià)。(二)要素層面的內(nèi)部控制研究評(píng)價(jià)內(nèi)部控制的有效性,首先要解決的一個(gè)問(wèn)題就是什么是有效的內(nèi)部控制。解決這一問(wèn)題的方法主要是制定一個(gè)企業(yè)內(nèi)部控制框架,很多國(guó)家和機(jī)構(gòu)都對(duì)這個(gè)問(wèn)題進(jìn)行了研究,包括美國(guó)注冊(cè)會(huì)計(jì)師協(xié)會(huì)、美國(guó)的反欺詐財(cái)務(wù)報(bào)告委員會(huì)發(fā)起組織委員會(huì)(COSO)、英國(guó)財(cái)務(wù)報(bào)告理事會(huì)等,都制定了內(nèi)部控制的框架或標(biāo)準(zhǔn)來(lái)闡述有效內(nèi)部控制應(yīng)當(dāng)具備的要素和內(nèi)容。通過(guò)這個(gè)企業(yè)內(nèi)部控制框架界定內(nèi)部控制的含義,確定內(nèi)部控制的目標(biāo),描述有效的內(nèi)部控制通常情況應(yīng)該具備的要素。比如,COSO的《內(nèi)部控制-整合框架》構(gòu)建了包括三類目標(biāo)、五個(gè)構(gòu)成要素的內(nèi)部控制框架,《企業(yè)風(fēng)險(xiǎn)管理-整合框架》構(gòu)建了包括四類目標(biāo)、八個(gè)構(gòu)成要素的企業(yè)風(fēng)險(xiǎn)管理框架等,這些框架也就是所謂的內(nèi)部控制評(píng)價(jià)標(biāo)準(zhǔn)。COSO把內(nèi)部控制定義為,“由主體的董事會(huì)、管理層和其他人員實(shí)施的,用來(lái)為經(jīng)營(yíng)效果和效率、財(cái)務(wù)報(bào)告的可靠性、遵守適用的法律法規(guī)三類目標(biāo)的實(shí)現(xiàn)提供合理保證的一個(gè)過(guò)程”。以這一定義來(lái)看,有效的內(nèi)部控制被界定為能夠?yàn)閮?nèi)部控制目標(biāo)的實(shí)現(xiàn)提供合理保證的內(nèi)部控制。之所以是合理保證而不是絕對(duì)保證,是因?yàn)槿祟愒跊Q策過(guò)程中的判斷可能有紕漏、建立內(nèi)部控制需要考慮相關(guān)的成本和效益、個(gè)人缺失可能會(huì)導(dǎo)致故障的發(fā)生、控制可能會(huì)因?yàn)閮蓚€(gè)或多個(gè)人員的串通而被規(guī)避以及管理層越過(guò)內(nèi)部控制等固有局限。因此,我們可以對(duì)有效的內(nèi)部控制得出以下兩點(diǎn)結(jié)論:1.合理保證和絕對(duì)保證的區(qū)間:coso對(duì)有效內(nèi)部控制的界定眾所周知,絕對(duì)保證是指100%的保證,有效的內(nèi)部控制提供的既然是合理保證,就不是絕對(duì)的100%的保證。美國(guó)《證券交易法》條款13(b)(7)把“合理保證”和“適當(dāng)詳細(xì)”定義為“這樣一種詳細(xì)水平和保證程度,它使謹(jǐn)慎的高級(jí)職員在處理它們自己的事務(wù)時(shí)感到滿意”。盡管我們很難準(zhǔn)確地確定合理保證具體是什么水平的保證,但是,可以確定的是在合理保證和絕對(duì)保證之間必然存在一個(gè)區(qū)間。所以,COSO對(duì)有效內(nèi)部控制的這種界定只可能是界定了有效內(nèi)部控制的一個(gè)下限,而不是上限。從邏輯和理論上來(lái)看,有效的內(nèi)部控制是指能夠?yàn)閮?nèi)部控制目標(biāo)的實(shí)現(xiàn)提供合理或者更高水平保證的內(nèi)部控制,或者講,有效的內(nèi)部控制不是一個(gè)點(diǎn),而是存在一個(gè)判定區(qū)間。這個(gè)區(qū)間的上限為1,即100%的絕對(duì)保證,下限是一個(gè)不確定的數(shù)值,它取決于人們的判斷,設(shè)定為P0,這個(gè)區(qū)間就是[P0,1]。如圖2所示。只要內(nèi)部控制保證相關(guān)目標(biāo)實(shí)現(xiàn)的水平落入這個(gè)區(qū)間,那么,該內(nèi)部控制就是有效的內(nèi)部控制。反之,則是無(wú)效的。2.有效內(nèi)部控制的有效性由于內(nèi)部控制不同目標(biāo)實(shí)現(xiàn)的影響因素不同,所以,對(duì)于內(nèi)部控制的不同目標(biāo)而言,有效內(nèi)部控制的含義是不同的,合理保證的內(nèi)容是不一樣的。對(duì)于財(cái)務(wù)報(bào)告的可靠性、遵循相關(guān)的法律法規(guī)這兩個(gè)目標(biāo)來(lái)說(shuō),企業(yè)內(nèi)部控制可以合理保證它們的實(shí)現(xiàn),因?yàn)檫@兩類目標(biāo)的實(shí)現(xiàn)處于企業(yè)的控制范圍之內(nèi),并且取決于企業(yè)相關(guān)控制活動(dòng)完成的好壞。而對(duì)于經(jīng)營(yíng)目標(biāo)和戰(zhàn)略目標(biāo)來(lái)說(shuō),卻不是這樣。企業(yè)內(nèi)部控制不能防止糟糕的判斷或決策,也不能防止那些能夠?qū)е陆?jīng)營(yíng)業(yè)務(wù)沒(méi)有達(dá)到經(jīng)營(yíng)目標(biāo)的外部事項(xiàng)。也就是說(shuō),企業(yè)經(jīng)營(yíng)目標(biāo)和戰(zhàn)略目標(biāo)的實(shí)現(xiàn)除了受到自身因素的影響外,還要受到外部因素的影響,并不總是處在企業(yè)的控制范圍之內(nèi)。因此,企業(yè)內(nèi)部控制盡管能夠增大管理層做出更好決策的可能性,但不能合理保證這些目標(biāo)的實(shí)現(xiàn),只能合理的保證管理層以及起監(jiān)督作用的董事會(huì)了解企業(yè)向著實(shí)現(xiàn)目標(biāo)的方向前進(jìn)的程度。所以,有效的內(nèi)部控制,對(duì)于財(cái)務(wù)報(bào)告目標(biāo)和合規(guī)目標(biāo)來(lái)說(shuō)指的是能夠合理保證財(cái)務(wù)報(bào)告可靠性、遵循相關(guān)的法律法規(guī),而對(duì)于經(jīng)營(yíng)目標(biāo)和戰(zhàn)略目標(biāo)來(lái)說(shuō),指的則是能夠合理保證管理層和董事會(huì)及時(shí)了解目標(biāo)正在實(shí)現(xiàn)的程度。因此,評(píng)價(jià)企業(yè)內(nèi)部控制的有效性實(shí)際上是在判斷企業(yè)內(nèi)部控制能夠?yàn)橄嚓P(guān)目標(biāo)的實(shí)現(xiàn)提供的保證水平是否處于有效內(nèi)部控制的區(qū)間。如果企業(yè)內(nèi)部控制為相關(guān)目標(biāo)的實(shí)現(xiàn)提供的保證水平達(dá)到甚至超過(guò)了合理保證的水平,也就是在有效內(nèi)部控制的區(qū)間內(nèi),那么它就是有效的;如果提供的保證水平低于合理保證的水平,那么,它就是無(wú)效的,如圖3所示。(三)公司內(nèi)部控制是否能夠保證好由于內(nèi)部控制有效性的評(píng)價(jià)是基于潛在事項(xiàng)的判斷,而不是實(shí)際發(fā)生的事項(xiàng),有效的內(nèi)部控制為相關(guān)目標(biāo)的實(shí)現(xiàn)提供的只是合理保證,而不是絕對(duì)保證,所以,相關(guān)目標(biāo)實(shí)際實(shí)現(xiàn)了的內(nèi)部控制不一定是有效的內(nèi)部控制,相關(guān)目標(biāo)沒(méi)有實(shí)際實(shí)現(xiàn)的內(nèi)部控制也不一定是無(wú)效的內(nèi)部控制。以財(cái)務(wù)報(bào)告內(nèi)部控制的評(píng)價(jià)為例,評(píng)價(jià)財(cái)務(wù)報(bào)告內(nèi)部控制的有效性是基于公司的內(nèi)部控制能否防止或及時(shí)發(fā)現(xiàn)一個(gè)潛在的重要錯(cuò)報(bào),而不是根據(jù)一個(gè)重要錯(cuò)報(bào)是否實(shí)際已經(jīng)發(fā)生,從而評(píng)價(jià)財(cái)務(wù)報(bào)告內(nèi)部控制能否合理保證財(cái)務(wù)報(bào)告的可靠性。所以,財(cái)務(wù)報(bào)表實(shí)際沒(méi)有發(fā)生重要錯(cuò)報(bào)時(shí),內(nèi)部控制不一定是有效的內(nèi)部控制,而財(cái)務(wù)報(bào)表實(shí)際發(fā)生了重要錯(cuò)報(bào)時(shí),內(nèi)部控制也不一定是無(wú)效的內(nèi)部控制。假定合理保證的水平為P0,財(cái)務(wù)報(bào)表發(fā)生重要錯(cuò)報(bào)的固有風(fēng)險(xiǎn)為MR,內(nèi)部控制沒(méi)有防止或及時(shí)發(fā)現(xiàn)重要錯(cuò)報(bào)的風(fēng)險(xiǎn)為CR,則財(cái)務(wù)報(bào)表最終發(fā)生錯(cuò)報(bào)的風(fēng)險(xiǎn)FR=MR×CR。按照內(nèi)部控制評(píng)價(jià)的一般邏輯,如果FR<(1-P0),則財(cái)務(wù)報(bào)告內(nèi)部控制是有效的,如果FR>(1-P0),則財(cái)務(wù)報(bào)告內(nèi)部控制是無(wú)效的。二、優(yōu)化評(píng)價(jià)方法盡管不存在適合所有公司的內(nèi)部控制評(píng)價(jià)方法,但是,無(wú)論是對(duì)內(nèi)部控制評(píng)價(jià)方法進(jìn)行規(guī)制,還是企業(yè)自由選擇自己的評(píng)價(jià)方法,都要考慮評(píng)價(jià)思路和方法的適當(dāng)性。一個(gè)適當(dāng)?shù)膬?nèi)部控制評(píng)價(jià)思路和方法至少要滿足以下幾個(gè)方面的條件。(一)可靠性評(píng)價(jià)根據(jù)該思路和方法對(duì)內(nèi)部控制的有效性進(jìn)行評(píng)價(jià)形成的結(jié)論要具有一定程度的可靠性,也就是對(duì)內(nèi)部控制有效性的判斷出現(xiàn)錯(cuò)誤的風(fēng)險(xiǎn)要足夠低,至少要降到適當(dāng)?shù)乃?這是一種適當(dāng)?shù)脑u(píng)價(jià)方法首先必須具備的條件。評(píng)價(jià)結(jié)論的可靠性不夠高,不能達(dá)到一個(gè)合理水平的評(píng)價(jià)方法所形成的評(píng)價(jià)結(jié)論是難以被認(rèn)可的。(二)成本效益評(píng)價(jià)不但內(nèi)部控制本身存在成本效益的問(wèn)題,內(nèi)部控制評(píng)價(jià)也存在成本效益的問(wèn)題。適當(dāng)?shù)钠髽I(yè)內(nèi)部控制評(píng)價(jià)方法必須考慮評(píng)價(jià)引起的成本和效益問(wèn)題,要符合成本效益原則,具有一定的效益性。(三)適用范圍及靈活性原則不同企業(yè)的內(nèi)部控制不同,評(píng)價(jià)內(nèi)部控制有效性的具體方法也有所不同,這取決于公司的特定情況和控制的重要性。一種評(píng)價(jià)方法應(yīng)當(dāng)具有廣泛的適用性和靈活性,才能得到不同規(guī)模、不同行業(yè)、不同類型企業(yè)的應(yīng)用和參考。尤其是如果制定統(tǒng)一的內(nèi)部控制評(píng)價(jià)指南或規(guī)范,更要考慮評(píng)價(jià)方法對(duì)不同規(guī)模、不同行業(yè)和不同類型企業(yè)的適用性,要允許企業(yè)根據(jù)自己內(nèi)部控制的特定情況靈活調(diào)整具體的評(píng)價(jià)方法、評(píng)價(jià)程序和評(píng)價(jià)內(nèi)容,設(shè)計(jì)一個(gè)滿足企業(yè)需要并為評(píng)估結(jié)果提供合理保證的評(píng)價(jià)過(guò)程。(四)價(jià)內(nèi)部控制設(shè)計(jì)合理性測(cè)試內(nèi)部控制的評(píng)價(jià)程序必須是全面的,足以既能評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的合理性,又能測(cè)試運(yùn)行的有效性。所以,評(píng)價(jià)范圍和內(nèi)容要全面,評(píng)價(jià)結(jié)論要根據(jù)設(shè)計(jì)有效性和運(yùn)行有效性的評(píng)價(jià)來(lái)形成的。(五)控制有效性的評(píng)價(jià)結(jié)果的證據(jù)適當(dāng)?shù)淖C據(jù)文件是內(nèi)部控制有效運(yùn)行本身所必需的,一種適當(dāng)?shù)脑u(píng)價(jià)思路和方法必須為內(nèi)部控制有效性的評(píng)價(jià)結(jié)果(包括測(cè)試)提供合理的證據(jù)文件支持。提供合理的支持證據(jù)一方面是為了確保評(píng)價(jià)結(jié)論的可信性,另一方面是為其他人評(píng)價(jià)或?qū)徲?jì)內(nèi)部控制保留必要的痕跡。這些條件既是一個(gè)適當(dāng)?shù)脑u(píng)價(jià)方法必須具備的,也是判斷一個(gè)評(píng)價(jià)方法是否適當(dāng)?shù)臉?biāo)準(zhǔn)和依據(jù)。三、標(biāo)的風(fēng)險(xiǎn)是否在內(nèi)部控制之后是否已經(jīng)降低評(píng)價(jià)企業(yè)內(nèi)部控制的有效性實(shí)質(zhì)是評(píng)價(jià)內(nèi)部控制為相關(guān)目標(biāo)的實(shí)現(xiàn)提供的保證水平是否達(dá)到或超過(guò)合理保證的水平。從另一個(gè)角度來(lái)看,就是評(píng)價(jià)相關(guān)目標(biāo)的風(fēng)險(xiǎn)在經(jīng)過(guò)內(nèi)部控制之后是否已經(jīng)降低到了一個(gè)適當(dāng)?shù)乃?如果已經(jīng)降到了一個(gè)適當(dāng)?shù)乃?則內(nèi)部控制是有效的,反之,則無(wú)效。盡管企業(yè)內(nèi)部控制框架提供了一個(gè)有效內(nèi)部控制系統(tǒng)的一般模板,也是評(píng)價(jià)內(nèi)部控制有效性的標(biāo)準(zhǔn),但是,根據(jù)內(nèi)部控制框架或標(biāo)準(zhǔn)對(duì)內(nèi)部控制的有效性進(jìn)行評(píng)價(jià)卻可以選擇不同的起點(diǎn)或切入點(diǎn),使用不同的評(píng)價(jià)思路和方法。從內(nèi)部控制評(píng)價(jià)本身以及目前的發(fā)展情況來(lái)看,主要存在詳細(xì)評(píng)價(jià)法和風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法兩種方法。(一)對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)進(jìn)行分析和判斷在《企業(yè)內(nèi)部控制-整合框架》中,COSO指出,確定某一內(nèi)部控制系統(tǒng)是否有效是在評(píng)估五個(gè)要素是否存在以及是否有效發(fā)揮作用基礎(chǔ)上的主觀判斷。在《企業(yè)風(fēng)險(xiǎn)管理-整合框架》中,COSO也指出,認(rèn)定一個(gè)主體的企業(yè)風(fēng)險(xiǎn)管理是否“有效”,是在對(duì)八個(gè)構(gòu)成要素是否存在和有效運(yùn)行進(jìn)行評(píng)估的基礎(chǔ)之上所作的判斷。在美國(guó)證券交易委員會(huì)2003年6月通過(guò)的實(shí)施SOX法案404節(jié)的規(guī)則(SEC,2003)以及后來(lái)發(fā)布的管理層評(píng)價(jià)指南中,都強(qiáng)調(diào)內(nèi)部控制評(píng)價(jià)的程序必須足以既能評(píng)價(jià)財(cái)務(wù)報(bào)告內(nèi)部控制的設(shè)計(jì),又能測(cè)試運(yùn)行的有效性。因此,遵循這個(gè)思路,很多企業(yè)和事務(wù)所都曾經(jīng)采用過(guò)詳細(xì)評(píng)價(jià)法。這種方法的基本思路是:以內(nèi)部控制框架或標(biāo)準(zhǔn)為參照物,根據(jù)內(nèi)部控制框架的構(gòu)成要素是否存在評(píng)價(jià)內(nèi)部控制的設(shè)計(jì)有效性,然后測(cè)試內(nèi)部控制的運(yùn)行有效性,最后綜合設(shè)計(jì)和運(yùn)行的評(píng)價(jià)對(duì)內(nèi)部控制的有效性做出總體評(píng)價(jià),評(píng)估內(nèi)部控制目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn),判斷是否存在實(shí)質(zhì)性漏洞(MW),確定內(nèi)部控制是否有效。詳細(xì)評(píng)價(jià)法的邏輯和程序如圖4所示:這種思路和方法在企業(yè)最初進(jìn)行內(nèi)部控制建設(shè)或日常的評(píng)價(jià)中應(yīng)用較多。此外,在SOX法案開始時(shí),企業(yè)的管理層在評(píng)價(jià)內(nèi)部控制以及注冊(cè)會(huì)計(jì)師審計(jì)內(nèi)部控制時(shí)基本上都是遵照美國(guó)公共公司會(huì)計(jì)監(jiān)督委員會(huì)在2004年發(fā)布的第2號(hào)審計(jì)準(zhǔn)則(PCAOB,2004)執(zhí)行的,采用的基本上也是這種思路。這種思路和方法的特點(diǎn)是從控制到風(fēng)險(xiǎn),即從內(nèi)部控制到相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)。這種評(píng)價(jià)思路和方法首先要根據(jù)現(xiàn)有的內(nèi)部控制框架評(píng)價(jià)企業(yè)內(nèi)部控制的設(shè)計(jì)和運(yùn)行,識(shí)別出控制缺陷,然后判斷是否是實(shí)質(zhì)性漏洞,從而判斷內(nèi)部控制的有效性。評(píng)價(jià)運(yùn)行有效性可以采用測(cè)試的方法確定相關(guān)的內(nèi)部控制是否得到了有效實(shí)施,從理論和實(shí)務(wù)上來(lái)說(shuō)不存在太大的問(wèn)題。而評(píng)價(jià)設(shè)計(jì)的有效性在該方法中則是對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)進(jìn)行的,所以,最關(guān)鍵的問(wèn)題是如何對(duì)照企業(yè)內(nèi)部控制框架或標(biāo)準(zhǔn)確定內(nèi)部控制設(shè)計(jì)的有效性。這種對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)判斷設(shè)計(jì)有效性的思路應(yīng)當(dāng)是來(lái)自于COSO的《內(nèi)部控制-整合框架》等報(bào)告中提出的控制的完整性概念。COSO在這個(gè)報(bào)告中明確指出,內(nèi)部控制框架的這些組成要素和標(biāo)準(zhǔn)適用于整個(gè)內(nèi)部控制系統(tǒng),或者是一類或多類目標(biāo)。當(dāng)考慮任何一類目標(biāo)的控制時(shí),例如有關(guān)財(cái)務(wù)報(bào)告的控制,所有五個(gè)要素都應(yīng)該滿足才能得出有關(guān)財(cái)務(wù)報(bào)告的控制是有效的結(jié)論。但是,內(nèi)部控制的組成要素之間具有相互補(bǔ)充、相互滲透的關(guān)系,盡管五個(gè)組成要素都應(yīng)該被滿足,但是這并不意味著在不同的企業(yè)中每個(gè)組成要素都得到同樣的執(zhí)行。不同組成要素之間存在某種平衡,因?yàn)閮?nèi)部控制能夠滿足多個(gè)目標(biāo),一個(gè)組成要素中的控制可能會(huì)滿足另外一個(gè)組成要素范疇內(nèi)的控制需要實(shí)現(xiàn)的目標(biāo)。而且,控制降低風(fēng)險(xiǎn)的程度是不同的,所以,效果有限的多個(gè)控制一起可以達(dá)到滿意的效果。鑒于上述原因,盡管內(nèi)部控制的框架或標(biāo)準(zhǔn)描述了一個(gè)有效的內(nèi)部控制系統(tǒng)所應(yīng)當(dāng)具備的構(gòu)成要素,如果采用簡(jiǎn)單的一一對(duì)應(yīng)的方法對(duì)照內(nèi)部控制框架來(lái)評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性,就有可能產(chǎn)生兩個(gè)問(wèn)題:一個(gè)是成本高,效率低;另一個(gè)是評(píng)價(jià)結(jié)論的不可靠性。內(nèi)部控制框架或標(biāo)準(zhǔn)描述這些構(gòu)成要素時(shí),是把企業(yè)抽象成一個(gè)主體,并沒(méi)有考慮企業(yè)所處的國(guó)家、所處的行業(yè)、企業(yè)的規(guī)模等特定的因素,其目的是構(gòu)建一個(gè)通用的內(nèi)部控制標(biāo)準(zhǔn)和參照物。但是,并不是所有的企業(yè)(如不同規(guī)模的企業(yè)、不同行業(yè)的企業(yè))都必須具備與內(nèi)部控制框架或標(biāo)準(zhǔn)完全一樣的內(nèi)部控制才算是有效,而且,這個(gè)框架中的所有要素涉及的控制與內(nèi)部控制目標(biāo)的相關(guān)性和對(duì)內(nèi)部控制目標(biāo)的重要性是不同的。因此,如果一一對(duì)應(yīng)的對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性必定會(huì)評(píng)價(jià)了過(guò)多的、不必要的控制,導(dǎo)致成本高而效率低,這一點(diǎn)已經(jīng)在美國(guó)上市公司過(guò)去幾年實(shí)施SOX法案的經(jīng)歷中得到了體現(xiàn)。有效的內(nèi)部控制并不要求所有的要素同等程度的存在,因?yàn)閮?nèi)部控制要素本身具有一定的相互補(bǔ)充性和相互替代性,存在某種程度的平衡,并且這種替代或平衡在很多情況下并不能確切的衡量,也不能準(zhǔn)確的體現(xiàn)在內(nèi)部控制的框架或標(biāo)準(zhǔn)中。所以,如果一一對(duì)應(yīng)地對(duì)照內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的有效性必定會(huì)出現(xiàn)評(píng)價(jià)結(jié)論的偏差:按照內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)可能是一個(gè)缺陷,但是,實(shí)際上卻是有效的。這一點(diǎn)很明顯的體現(xiàn)在了不同規(guī)模企業(yè)內(nèi)部控制的評(píng)價(jià)上。根據(jù)內(nèi)部控制框架或標(biāo)準(zhǔn)評(píng)價(jià)內(nèi)部控制本身并沒(méi)有錯(cuò),但是,內(nèi)部控制的框架或標(biāo)準(zhǔn)本身是一個(gè)通用的框架,更多的關(guān)注內(nèi)部控制的“WhatandWhy”,即使是COSO在2006年發(fā)布的《較小規(guī)模公眾公司財(cái)務(wù)報(bào)告內(nèi)部控制指南》也“主要被設(shè)計(jì)用于幫助管理者建立和保持有效的財(cái)務(wù)報(bào)告內(nèi)部控制”,盡管這些框架或標(biāo)準(zhǔn)提供了評(píng)價(jià)有效性的標(biāo)準(zhǔn),但不足以說(shuō)明如何完成內(nèi)部控制有效性的評(píng)價(jià)。所以,這個(gè)思路如果用于內(nèi)部控制的建立和保持應(yīng)當(dāng)是比較適合的,而要用于內(nèi)部控制有效性的年度評(píng)價(jià)則并不是十分恰當(dāng),這一點(diǎn)在美國(guó)上市公司過(guò)去幾年的經(jīng)歷中得到了充分的體現(xiàn)。(二)風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法企業(yè)內(nèi)部控制的另一種思路和方法是從風(fēng)險(xiǎn)到控制,即從內(nèi)部控制相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)到內(nèi)部控制。首先,要評(píng)估相關(guān)目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn);其次,識(shí)別和確定企業(yè)充分應(yīng)對(duì)這些風(fēng)險(xiǎn)的內(nèi)部控制是否存在,即評(píng)價(jià)內(nèi)部控制的設(shè)計(jì)應(yīng)對(duì)相關(guān)目標(biāo)實(shí)現(xiàn)風(fēng)險(xiǎn)的有效性;第三,識(shí)別和確定內(nèi)部控制運(yùn)行有效性的證據(jù),評(píng)價(jià)現(xiàn)有的控制是否得到了有效的運(yùn)行;最后,對(duì)控制缺陷進(jìn)行評(píng)估,判定是否構(gòu)成實(shí)質(zhì)性漏洞,確定內(nèi)部控制是否有效。對(duì)于不同的目標(biāo)來(lái)說(shuō),目標(biāo)風(fēng)險(xiǎn)的含義、內(nèi)部控制實(shí)質(zhì)性漏洞的含義是不相同的,在評(píng)價(jià)每一類目標(biāo)時(shí)都需要做具體設(shè)定。風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法的邏輯和程序如圖5所示。“自上而下”和“風(fēng)險(xiǎn)基礎(chǔ)”的理念在這種方法中得到了充分的體現(xiàn)?！帮L(fēng)險(xiǎn)基礎(chǔ)”主要體現(xiàn)在:以評(píng)估控制目標(biāo)實(shí)現(xiàn)的風(fēng)險(xiǎn)為起點(diǎn);關(guān)注重要的財(cái)務(wù)報(bào)告和披露風(fēng)險(xiǎn)與問(wèn)題;僅評(píng)價(jià)充分應(yīng)對(duì)風(fēng)險(xiǎn)的控制;證據(jù)的獲取和場(chǎng)所的選擇根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果;評(píng)價(jià)結(jié)論(內(nèi)部控制是否有效)也是風(fēng)險(xiǎn)基礎(chǔ)的,判斷有效與否是根據(jù)內(nèi)部控制是否相當(dāng)可能沒(méi)有防止或發(fā)現(xiàn)財(cái)務(wù)報(bào)表中的重要錯(cuò)報(bào)?！白陨隙隆敝饕w現(xiàn)在:從財(cái)務(wù)報(bào)表整體開始,然后到賬戶、披露;從公司層面的控制開始,然后到活動(dòng)層面的控制。美國(guó)證券交易委員會(huì)和公共公司會(huì)計(jì)監(jiān)督委員會(huì)2007年6月最終分別發(fā)布的管理層報(bào)告內(nèi)部控制的指南(SEC,2007)和內(nèi)部控制審計(jì)準(zhǔn)則(PCAOB,2007)都采用了這一思路。風(fēng)險(xiǎn)基礎(chǔ)評(píng)價(jià)法與詳細(xì)評(píng)價(jià)法的區(qū)別類似于財(cái)務(wù)報(bào)表的詳細(xì)審計(jì)與財(cái)務(wù)報(bào)表的風(fēng)險(xiǎn)基礎(chǔ)審計(jì),主要體現(xiàn)在以下幾個(gè)方面:四、沒(méi)有對(duì)內(nèi)部控制的評(píng)價(jià)由于我國(guó)不同行業(yè)、企業(yè)內(nèi)部控制的規(guī)制隸屬于不同的部門,內(nèi)部控制的法規(guī)建設(shè)一直處于各自為政的局面。關(guān)于內(nèi)部控制的評(píng)價(jià),出現(xiàn)的正式官方文件主要有中國(guó)證券監(jiān)督管理委員會(huì)2001年發(fā)布的《關(guān)于做好證券公司內(nèi)部控制評(píng)審工作的通知》、注冊(cè)會(huì)計(jì)師協(xié)會(huì)2002年發(fā)布的《企業(yè)內(nèi)部控制審核指導(dǎo)意見(jiàn)》和中國(guó)銀行業(yè)監(jiān)督管理委員會(huì)2004年發(fā)布的《商業(yè)銀行內(nèi)部控制評(píng)價(jià)試行辦法》。注冊(cè)會(huì)計(jì)師對(duì)內(nèi)部控制的審核主要是了解內(nèi)部控制的設(shè)計(jì)、評(píng)價(jià)內(nèi)部控制設(shè)計(jì)的合理性以及測(cè)試和評(píng)價(jià)內(nèi)部控制執(zhí)行的有效性。對(duì)商業(yè)銀行內(nèi)部控制的評(píng)價(jià)包括過(guò)程評(píng)價(jià)和結(jié)果評(píng)價(jià),過(guò)程評(píng)價(jià)是對(duì)內(nèi)部控制環(huán)境、風(fēng)險(xiǎn)識(shí)別與評(píng)估、內(nèi)部控制措施、監(jiān)督評(píng)價(jià)與糾正、信息交流與反饋等體系要素的評(píng)價(jià),結(jié)果評(píng)價(jià)是對(duì)內(nèi)部控制主要目標(biāo)實(shí)現(xiàn)程度的評(píng)價(jià)。2006年7月,財(cái)政部發(fā)起成立了企業(yè)內(nèi)部控制標(biāo)準(zhǔn)委員會(huì),開始進(jìn)行統(tǒng)一內(nèi)部控制標(biāo)準(zhǔn)的建立,2007年3月,內(nèi)部控制標(biāo)準(zhǔn)委員會(huì)發(fā)布了《企業(yè)內(nèi)部控制規(guī)范》的征求意見(jiàn)稿。2006年7月,上海證券交易所發(fā)布了《上海證券交易所上市公司內(nèi)部控制指引》。2006年9月,深圳證券交易所發(fā)布了《深圳證券交易所上市公司內(nèi)部控制指引》。總體上看,目前我國(guó)內(nèi)部控制法規(guī)建設(shè)的重點(diǎn)還是統(tǒng)一的內(nèi)部控制標(biāo)準(zhǔn),盡管相關(guān)法規(guī)已經(jīng)要求企業(yè)評(píng)價(jià)內(nèi)部控制的有效性,但沒(méi)有對(duì)內(nèi)部控制評(píng)價(jià)的方法進(jìn)行指導(dǎo)和規(guī)范。從我國(guó)企業(yè)內(nèi)部控制評(píng)價(jià)的現(xiàn)狀來(lái)看,主要有以下幾種情況:(1)有些企業(yè)內(nèi)部控制的建設(shè)主要基于傳統(tǒng)的經(jīng)驗(yàn),缺乏有效的內(nèi)部控制標(biāo)準(zhǔn)或框架指導(dǎo)。(2)有些企業(yè)盡管通過(guò)咨詢機(jī)構(gòu)或其他途徑參考了內(nèi)部控制的標(biāo)準(zhǔn)或框架,但是,無(wú)論是內(nèi)部控制的建設(shè),還是評(píng)價(jià),都停留在內(nèi)部控制標(biāo)準(zhǔn)或框架的表面上。從內(nèi)部控制的建設(shè)來(lái)看,只是機(jī)械的模仿內(nèi)部控制框架的一些構(gòu)成要素和內(nèi)容,建立了書面規(guī)則和制度意義上的內(nèi)部控制,而很少對(duì)控制環(huán)境等基礎(chǔ)性因素進(jìn)行改進(jìn)和完善。從內(nèi)部控制的評(píng)價(jià)來(lái)看,在評(píng)價(jià)內(nèi)部控制時(shí)主要關(guān)注的是業(yè)務(wù)活動(dòng)層面的具體控制活動(dòng)和措施,對(duì)于企業(yè)層面的控制關(guān)注不足,很少考慮對(duì)內(nèi)部控制的整體有效性進(jìn)行評(píng)價(jià)。(3)有些企業(yè)根據(jù)通用的內(nèi)部控制標(biāo)準(zhǔn)或框架建立了內(nèi)部控制系統(tǒng),按照相關(guān)要求對(duì)內(nèi)部控制進(jìn)行了評(píng)價(jià),但在內(nèi)部控制的建設(shè)和評(píng)價(jià)方面面臨一系列問(wèn)題和困難:首先,依據(jù)的內(nèi)部控制框架是國(guó)外的,而國(guó)內(nèi)尚沒(méi)有發(fā)布類似的、能得到國(guó)際互認(rèn)的框架,內(nèi)部控制框架的解釋權(quán)在他不在我。其次,無(wú)論是內(nèi)部控制的建設(shè)還是評(píng)價(jià)延續(xù)了以往結(jié)果導(dǎo)向的習(xí)慣,重結(jié)果,輕過(guò)程,對(duì)過(guò)程的效率和成本效益關(guān)注不足。再次,過(guò)分依賴于咨詢機(jī)構(gòu),沒(méi)有從企業(yè)的實(shí)際情況出發(fā)設(shè)計(jì)有效的內(nèi)部控制體系和評(píng)價(jià)方法。第四,內(nèi)部控制的各種評(píng)價(jià)形式?jīng)]有得到充分的整合和協(xié)調(diào),重復(fù)性工作較多。最后,企業(yè)傳統(tǒng)的體制和習(xí)慣等控制環(huán)境因素難以在短期內(nèi)得到根本的改變。上述情況都反映出我國(guó)企業(yè)內(nèi)部控制評(píng)價(jià)存在的根本問(wèn)題就是:評(píng)價(jià)的動(dòng)力不足;缺乏本土化的評(píng)價(jià)標(biāo)準(zhǔn);評(píng)價(jià)方法不夠科學(xué)和合理,不符合成本效益原則;對(duì)內(nèi)部控制及其評(píng)價(jià)的研究不足,沒(méi)有充分結(jié)合企業(yè)自身的情況,采用風(fēng)險(xiǎn)基礎(chǔ)的方法。盡管不同的國(guó)家、不同的評(píng)價(jià)主體在評(píng)價(jià)內(nèi)部控制時(shí)所用的方法和程序存在差異,但從目前的現(xiàn)狀以及未來(lái)國(guó)際發(fā)展趨勢(shì)來(lái)看,基本上都趨向于采用風(fēng)險(xiǎn)基礎(chǔ)的方法。美國(guó)證券交易委員會(huì)和公共公司會(huì)計(jì)監(jiān)督委員會(huì)2007年分別發(fā)布的管理層報(bào)告內(nèi)部控制的指南和內(nèi)部控制審計(jì)準(zhǔn)