一、W市A公司內(nèi)部控制評價體系的案例分析
W市A公司是一所中外合作經(jīng)營企業(yè)。該公司的直接母公司是A（中國）投資有限公司，最終母公司是A能源有限公司。該公司主要從事能源、環(huán)保及相關(guān)領(lǐng)域的技術(shù)商務(wù)咨詢和服務(wù)等。
?。ㄒ唬┕緝?nèi)部控制評價體系的構(gòu)建為了實(shí)現(xiàn)對內(nèi)部控制本身及其執(zhí)行狀況的動態(tài)優(yōu)化和實(shí)時監(jiān)督，A能源有限公司于2004年根據(jù)《內(nèi)部控制——整體框架》（Internal Control-Integrated Frame-
work，簡稱“COSO報告”）和《薩班斯——奧克斯利法案》（Sarbanes-
Oxley Act，簡稱“SOA”）第404條款的要求開始著手建設(shè)本公司及其各子公司的內(nèi)部控制，由其審計委員會編寫了《內(nèi)部控制手冊》及一系列公司指導(dǎo)性文件，通過局域網(wǎng)向各子公司傳達(dá)，要求各子公司按照最終母公司的要求按期完成自身內(nèi)部控制的設(shè)計和執(zhí)行。實(shí)際上，A能源有限公司已經(jīng)設(shè)計出了一套全面且具有普遍性的內(nèi)部控制體系，各子公司只需要根據(jù)這個內(nèi)部控制體系來對照出自身適用的控制活動進(jìn)行自我評價，然后各子公司的直接母公司會定期派出內(nèi)部控制經(jīng)理（隸屬于直接母公司的財務(wù)部）到直接下屬的子公司進(jìn)行第二次評價，內(nèi)部控制經(jīng)理會根據(jù)兩次評價的結(jié)果寫出評價報告，提交給子公司管理層，供子公司修正。此外，A能源有限公司還開發(fā)設(shè)計了一個供各子公司向母公司反映其內(nèi)部控制自我評價情況的局域網(wǎng)系統(tǒng)（以下簡稱為“自我評價網(wǎng)絡(luò)”），直接母公司和最終母公司都可以通過這個系統(tǒng)來監(jiān)督子公司內(nèi)部控制自我評價的情況及進(jìn)度。
（1）內(nèi)部控制體系的構(gòu)建。A能源有限公司將內(nèi)部控制活動劃分為十二個環(huán)節(jié)（根據(jù)經(jīng)營環(huán)境及其它因素的變化，還可以適時增加或減少某些適用或不適用的環(huán)節(jié)）：總體控制環(huán)境、收入、與業(yè)務(wù)相關(guān)聯(lián)的采購類支出、人事類支出、固定資產(chǎn)類支出、存貨、生產(chǎn)制造、資金、財務(wù)報告、信息系統(tǒng)和信息技術(shù)、稅務(wù)和法律事務(wù)，針對每一個環(huán)節(jié)作了風(fēng)險評估，針對評估出的風(fēng)險制定出對應(yīng)的控制目標(biāo)，然后再根據(jù)控制目標(biāo)制定出詳細(xì)具體的控制活動，控制活動下又劃分出關(guān)鍵（Key）控制活動和一般控制活動。A能源有限公司的內(nèi)部控制設(shè)計過程如圖1所示：
由于控制活動多達(dá)兩百多項(xiàng)，A能源有限公司下屬的各子公司的經(jīng)營規(guī)模、管理復(fù)雜程度又不盡相同，因此A能源有限公司按一定標(biāo)準(zhǔn)將各子公司分為A、B、C三類，A類子公司必須對所有的控制活動進(jìn)行自我評價，B類子公司至少要對關(guān)鍵控制活動進(jìn)行自我評價（至于還需針對哪些一般控制活動，則看相關(guān)的具體要求），C類子公司則只需對關(guān)鍵控制活動進(jìn)行自我評價。W市A公司屬于C類子公司。A能源有限公司的內(nèi)部控制體系（由于控制活動數(shù)量較多，筆者只選取了小部分進(jìn)行列示）如表1所示：
?。?）內(nèi)部控制評價體系的構(gòu)建。主要包括：
一是評價主體。在各子公司，總經(jīng)理和財務(wù)總監(jiān)對內(nèi)部控制評價工作負(fù)責(zé)，每一項(xiàng)控制活動都應(yīng)有相應(yīng)的負(fù)責(zé)人，而負(fù)責(zé)人由公司管理層開會協(xié)商決定，并非由一個或兩個人決定。如果由于受到自身經(jīng)營規(guī)模和業(yè)務(wù)繁簡程度的限制，公司管理層經(jīng)過開會協(xié)商仍無法確定某項(xiàng)控制活動的負(fù)責(zé)人，可以向直接母公司的內(nèi)部控制經(jīng)理求助，以確?？刂苹顒拥呢?fù)責(zé)人都是能夠勝任的。公司負(fù)責(zé)內(nèi)部控制的工作人員都必須熟讀《內(nèi)部控制手冊》，以了解內(nèi)部控制的概念和重要性、如何設(shè)計、執(zhí)行及自我評價內(nèi)部控制，以及如何將內(nèi)部控制的精神傳達(dá)到每個公司員工。由于內(nèi)部控制自身的局限性，在評價過程中只要發(fā)現(xiàn)《內(nèi)部控制手冊》中有未提及或不適用的內(nèi)容都可以向最終母公司的內(nèi)部控制負(fù)責(zé)人反映，甚至與之討論。
二是評價方法。相應(yīng)負(fù)責(zé)人首先進(jìn)行第一次自我評價，將評價情況及時反映到自我評價網(wǎng)絡(luò)中，然后各子公司的直接母公司會按照最終母公司的時間部署定期派出內(nèi)部控制經(jīng)理（隸屬于直接母公司的財務(wù)部）到直接下屬的子公司進(jìn)行第二次評價，內(nèi)部控制經(jīng)理會根據(jù)兩次評價的結(jié)果寫出評價報告，提交給子公司管理層，供子公司修正，以進(jìn)行第二次、第三次自我評價。無論是相應(yīng)負(fù)責(zé)人的自我評價，還是直接母公司內(nèi)部控制經(jīng)理的評價，他們都會根據(jù)一個統(tǒng)一的評價標(biāo)準(zhǔn)來確定其評價等級。評價等級分為五個等級，分別用1、2、3、4、5表示，從1到5，從低到高。A能源有限公司的內(nèi)部控制評價等級說明見表2。需要說明的是，該評價等級僅針對適用于本公司的控制活動，不適用于本公司的控制活動則單獨(dú)列為“不適用”。
表2中所提到的“支持文件”是指能夠證明控制活動存在并且有效的文件，文件形式可以多樣化，可以是紙質(zhì)文件（如合同）、電子版文件（如通知全體員工的電子郵件）或者其它形式的文件，只要是能夠證明控制活動存在并且有效的可見資料都可以作為支持文件。
?。ǘ┕緝?nèi)部控制評價體系的實(shí)施 相應(yīng)負(fù)責(zé)人在對某項(xiàng)控制活動進(jìn)行自我評價時，首先應(yīng)判斷此項(xiàng)控制活動是否適用于本公司，如果不適用則先列為“不適用”；如果適用則再判斷是否存在此項(xiàng)控制活動，若不存在則直接評定為1，同時應(yīng)擬定詳細(xì)的行動計劃以改進(jìn)現(xiàn)狀的不足；若存在則繼續(xù)下一步判斷是否有足夠的支持文件，如果沒有支持文件或支持文件不足以支持，則評定為2，同時也應(yīng)擬定具體的行動計劃以使此項(xiàng)控制活動能及時有文件作為支持。如公司在“現(xiàn)金保管”上有嚴(yán)格的控制，但是沒有形成正式的規(guī)章制度，那么就是沒有足夠的支持文件，這時相應(yīng)負(fù)責(zé)人應(yīng)及時敦促有關(guān)人員起草相關(guān)的規(guī)章制度，再送交具有相關(guān)修改、批準(zhǔn)權(quán)限的管理人員進(jìn)行修改、批準(zhǔn)，最后向相關(guān)部門（或人員）公布；如果有足夠的支持文件，則評定為3。3也是目前A能源有限公司要求各子公司無論A、B、C類，都必須達(dá)到的等級。至于4和5，由于A能源有限公司目前在這兩個評價等級上的建設(shè)還不盡成熟，因此未做要求，加上W市A公司目前自身經(jīng)營規(guī)模和業(yè)務(wù)繁雜程度的限制，現(xiàn)在如果要達(dá)到4甚至5在經(jīng)濟(jì)上也是不適用的。
子公司直屬母公司的內(nèi)部控制經(jīng)理定期來對相應(yīng)負(fù)責(zé)人的自我評價進(jìn)行再評價時，首先會依次詢問每位相應(yīng)負(fù)責(zé)人負(fù)責(zé)的控制活動的情況，主要是通過詢問、觀察、查看相關(guān)支持文件和討論來判斷相應(yīng)負(fù)責(zé)人所作的自我評價是否真實(shí)，如果覺得不甚真實(shí)則會做出自己的再評價并提出改進(jìn)建議，最后會向子公司內(nèi)部控制工作的最終負(fù)責(zé)人（總經(jīng)理和財務(wù)總監(jiān)）提交評價報告，上面會列出子公司相應(yīng)負(fù)責(zé)人原先的自我評價、內(nèi)部控制經(jīng)理本人的再評價及改進(jìn)建議等。相應(yīng)負(fù)責(zé)人只需查看評價報告中自己負(fù)責(zé)的控制活動，一方面按照評價報告及時更新自我評價網(wǎng)絡(luò)，一方面更新自己負(fù)責(zé)的控制工作。比如，自我評價時列為“不適用”或者評為3的控制活動，經(jīng)過內(nèi)部控制經(jīng)理的考證判斷被評定為1或2，那么相應(yīng)負(fù)責(zé)人就必須盡快擬訂詳細(xì)的行動計劃來改進(jìn)此項(xiàng)控制活動。
綜上所述，A能源有限公司建設(shè)的內(nèi)部控制評價體系就是對CSA的運(yùn)用。但是這種運(yùn)用并沒有局限于某一時點(diǎn)或某幾個時點(diǎn)，而是從時點(diǎn)有效性和時期有效性入手，堅(jiān)持定期自我評價，從而保持自我評價的一貫性。實(shí)際上，通過這種自我評價，W市A公司從一年前一開始進(jìn)行自我評價時的幾乎90%的控制活動（不包括“不適用”的控制活動）的評價等級都在3以下，到現(xiàn)在的幾乎99%的控制活動（不包括“不適用”的控制活動）的評價等級都達(dá)到了3；從開始不甚規(guī)范的文件管理鏈到一系列正式文件及較為規(guī)范的文件管理鏈的出臺；從開始只能通過電子郵件向公司員工傳達(dá)內(nèi)部控制思想和共享文件到現(xiàn)在可以通過公司自己開發(fā)的網(wǎng)上公共文件圖書館供公司各部門自由共享非保密文件，公司員工的內(nèi)部控制意識得到了提高，公司的控制環(huán)境得到了有效地改善，W市A公司的內(nèi)部控制評價取得了預(yù)期的效果。
二、案例對構(gòu)建我國企業(yè)內(nèi)部控制評價體系的啟示
上述案例是立足于全面提升企業(yè)內(nèi)部控制和管理水平，以風(fēng)險為導(dǎo)向但又突破了傳統(tǒng)審計范疇的內(nèi)部控制評價實(shí)踐的有益嘗試。從完整性來看，其控制目標(biāo)直接著眼于企業(yè)經(jīng)營管理的需要，以風(fēng)險為導(dǎo)向，這從源頭上超越了傳統(tǒng)的內(nèi)部會計控制，保證了內(nèi)部控制評價的完整性；從合理性來看，如案例所述，最終母公司根據(jù)經(jīng)營規(guī)模和業(yè)務(wù)繁雜程度將各子公司分為A、B、C三類，每一類子公司所需進(jìn)行的內(nèi)部控制評價的內(nèi)容都是與其經(jīng)營規(guī)模和業(yè)務(wù)繁雜程度相一致的。此外，各子公司還有充分的自主判斷權(quán)，由于W市A公司的經(jīng)營規(guī)模較小、業(yè)務(wù)繁雜程度較低，因此適用于它的控制活動實(shí)際上只有六十多項(xiàng)。這樣也保證了內(nèi)部控制評價的合理性；從有效性來看，基于控制環(huán)節(jié)分析和風(fēng)險評估過程設(shè)計的控制活動奠定了詳細(xì)指導(dǎo)、評價和改進(jìn)的基礎(chǔ)，而其中的關(guān)鍵控制活動則保證了評價能夠重點(diǎn)突出、抓住要害。
?。ㄒ唬┤珕T參與內(nèi)部控制評價 全員參與是近些年各類管理實(shí)踐都普遍強(qiáng)調(diào)的要點(diǎn)之一，它對于增強(qiáng)員工主動性、塑造優(yōu)秀的企業(yè)文化、提高經(jīng)營管理效益等都有著積極的意義。在評價內(nèi)部控制時強(qiáng)調(diào)全員參與同樣具有豐富的內(nèi)涵。作為評價對象的內(nèi)部控制體系包含多重風(fēng)險評估和控制目標(biāo)，涉及企業(yè)多個層面和各項(xiàng)業(yè)務(wù)，僅僅依靠個別部門實(shí)施評價工作顯然是不可能的。通過員工的廣泛參與，一方面可以對企業(yè)和業(yè)務(wù)層面的各類風(fēng)險進(jìn)行更透徹的分析和評價，并進(jìn)一步對控制活動的完善實(shí)施有效評價；另一方面可以增強(qiáng)員工的風(fēng)險管理和內(nèi)部控制意識，此種意識在原先僅處于被控制地位時是很難自覺形成的。在案例中，確保公司所有員工了解內(nèi)部控制的重要性也作為一項(xiàng)控制活動；相應(yīng)負(fù)責(zé)人在評價過程中只要發(fā)現(xiàn)《內(nèi)部控制手冊》中有未提及或不適用的內(nèi)容都可以向最終母公司的內(nèi)部控制負(fù)責(zé)人反映；W市A公司管理層通過開發(fā)的網(wǎng)上公共文件圖書館供公司員工交流，都充分反映了“全員參與”的思想，該公司員工對內(nèi)部控制的認(rèn)識和積極性確實(shí)也得到了顯著的提高。
?。ǘ┮燥L(fēng)險為導(dǎo)向企業(yè)內(nèi)部控制評價體系是一個復(fù)雜的系統(tǒng)，涉及到生產(chǎn)經(jīng)營的方方面面，以什么為導(dǎo)向?qū)τ谶@一系統(tǒng)非常關(guān)鍵。超越審計范疇的內(nèi)部控制評價必然強(qiáng)調(diào)對管理控制功能的全面評價，以保證經(jīng)營效率和效益的目標(biāo)既涉及各類生產(chǎn)流程和管理流程對人、財、物等資源的有效利用，又涉及物資、資金和信息的匹配與協(xié)調(diào)，使管理者既能謹(jǐn)慎地承接風(fēng)險，又能將風(fēng)險維持在一個合理的水平之內(nèi)，其復(fù)雜性遠(yuǎn)遠(yuǎn)超過了僅針對內(nèi)部會計控制的評價體系。有學(xué)者提出，“有目標(biāo)才有風(fēng)險，沒有目標(biāo)也就無所謂有風(fēng)險。因此，目標(biāo)的設(shè)定是風(fēng)險評估的先決條件。管理階層必須先制定目標(biāo)，然后才能夠辨識達(dá)不成該目標(biāo)的風(fēng)險，并采取必要的管理風(fēng)險的行動”。上述案例則提供了與這個觀點(diǎn)相反的觀點(diǎn)：評估控制環(huán)節(jié)中的各種風(fēng)險，再根據(jù)風(fēng)險制定出控制目標(biāo)，進(jìn)行內(nèi)部控制評價的最終目的就是看是否將風(fēng)險維持在了一個合理的水平之內(nèi)，以保證企業(yè)的可持續(xù)發(fā)展。實(shí)際上這個最終目的也是其進(jìn)行內(nèi)部控制評價的最終控制目標(biāo)。
?。ㄈ?qiáng)化對行為的規(guī)范與引導(dǎo)合理的組織行為是組織目標(biāo)實(shí)現(xiàn)的基礎(chǔ)，內(nèi)部控制本身提供了對組織行為的規(guī)范和引導(dǎo)，但其對組織行為的引導(dǎo)作用存在以下局限性：內(nèi)部控制體系內(nèi)容復(fù)雜、邊界相對模糊，使得一個完善制度的制定較其它制度困難得多，而企業(yè)內(nèi)外環(huán)境的變化又會不斷提出新的要求；企業(yè)在發(fā)展過程中會形成各種類型的規(guī)章制度，其中必然包含相關(guān)的控制制度，出于制定成本和操作便利的考慮，或許并不需要獨(dú)立的內(nèi)部控制制度，這樣就會使組織行為失去明確的指導(dǎo)；從紙張上的規(guī)定到公司員工的有效行動無法實(shí)現(xiàn)自動轉(zhuǎn)換而需要通過機(jī)制設(shè)定來加以保證時，內(nèi)部控制評價就成為應(yīng)對該局限的有限途徑，通過對組織行為設(shè)定具體的標(biāo)準(zhǔn)、選擇適當(dāng)?shù)脑u價方法并嚴(yán)格執(zhí)行可以實(shí)現(xiàn)對行為的有效規(guī)范和引導(dǎo)。在案例中，W市A公司從開始不甚規(guī)范的文件管理鏈到一系列正式文件及較為規(guī)范的文件管理鏈的出臺，通過內(nèi)部控制自我評價直接為組織行為的改進(jìn)提供了指導(dǎo)。
?。ㄋ模┲匾晫芾硇畔⑾到y(tǒng)安全性的保護(hù)隨著互聯(lián)網(wǎng)和電子商務(wù)的興起，對信息系統(tǒng)內(nèi)部控制的評價已經(jīng)超出了以為財務(wù)報表審計為主的外部審計提供服務(wù)的范圍，與信息安全相關(guān)的防火墻檢測、安全診斷、信息技術(shù)認(rèn)證以及會計電算化賬務(wù)系統(tǒng)的控制要求不斷涌現(xiàn)。機(jī)房的隔離保護(hù)、軟件的版權(quán)問題、核心數(shù)據(jù)的丟失被竊都可能會給企業(yè)帶來巨大的負(fù)面沖擊，內(nèi)部控制自我評價對管理信息系統(tǒng)的重視能為企業(yè)提供多重保障。上述案例提供了對“災(zāi)難恢復(fù)計劃管理”這一控制活動的評價，所謂的“災(zāi)難”指的是像洪水或9·11事件那樣破壞性極大的天災(zāi)人禍，雖然這類事件發(fā)生的頻率很小，但如果平常就能通過內(nèi)部控制自我評價做到防患于未然，對企業(yè)乃至國家來說都有極大的好處。
