【編者的話】
加強企業(yè)內(nèi)控制度建設(shè)能夠有效防范經(jīng)營風險，然而對內(nèi)控制度應當如何進行評價，尚缺乏明確的標準和方法，建立一套完善的、具有可操作性的企業(yè)內(nèi)控評價體系勢在必行。
本期財務(wù)監(jiān)管專欄的主題即為內(nèi)控制度評價，著重分析了內(nèi)控制度評價標準體系的框架和關(guān)鍵要素，同時通過案例分析展示企業(yè)集團加強財務(wù)內(nèi)控的實踐經(jīng)驗。
鄒慷行/文
企業(yè)內(nèi)部控制評價是對內(nèi)部控制執(zhí)行有效性的檢測，目前我國的內(nèi)部控制評價標準體系尚未建立。今年3月，財政部發(fā)布了財會便（2007）7號關(guān)于印發(fā)《企業(yè)內(nèi)部控制規(guī)范-基本規(guī)范》和17項具體規(guī)范（征求意見稿）的通知，其目的在于推動國內(nèi)上市公司實行內(nèi)部控制自我評價制度和注冊會計師審計制度，填補企業(yè)內(nèi)部控制標準的空白，從而為建立企業(yè)內(nèi)部控制評價體系打下基礎(chǔ)。
在實際審計工作中，對被審計單位企業(yè)的內(nèi)部控制進行評價，必須要有一套客觀可行的基本參照標準。這套標準不僅可為企業(yè)自我評估和改進其內(nèi)部控制以及注冊會計師發(fā)表評價意見提供依據(jù)，還可以為各方面的溝通與理解提供統(tǒng)一的基礎(chǔ)。我國在內(nèi)部會計控制的建設(shè)與完善方面雖已進入起步階段，但有關(guān)內(nèi)部會計控制的標準和評價體系較為薄弱，制約了企業(yè)內(nèi)部控制的有效執(zhí)行。因此，建立一套完善的、符合實際的、具有可操作性的企業(yè)內(nèi)部控制評價體系已勢在必行。
內(nèi)部控制評價體系框架
研究、制定一套具有統(tǒng)一性、公認性和完善性，既符合實際又具有可操作性的評價標準體系，應從目標定位、內(nèi)容范圍以及設(shè)置方式等方面來綜合考慮，既可以從企業(yè)管理與控制的目標入手，也可以從內(nèi)部控制要素入手。但無論怎樣，企業(yè)內(nèi)部控制評價標準都可以分為一般標準和具體標準兩部分，一般標準以具體標準為基礎(chǔ)，同時也是具體標準的升華，二者相輔相成，缺一不可，共同構(gòu)成一個完整的評價體系。
這里所說的一般標準大致包括3方面，即完整性、合理性、有效性。具體標準由內(nèi)部控制要素評價標準和作業(yè)層級評價標準兩部分組成，其中要素評價標準可分為5個方面，即控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)督；作業(yè)層級評價標準因其繁瑣復雜，難以窮盡，如以生產(chǎn)性企業(yè)為例進行框架構(gòu)建，可分為5個業(yè)務(wù)循環(huán)，即銷售業(yè)務(wù)循環(huán)、購貨業(yè)務(wù)循環(huán)、生產(chǎn)業(yè)務(wù)循環(huán)、薪金業(yè)務(wù)循環(huán)和理財業(yè)務(wù)循環(huán)。在內(nèi)部控制評價的具體標準中，要素評價標準以作業(yè)層級評價標準為基礎(chǔ)。
一般標準測試的3大方面
首先是完整性。企業(yè)內(nèi)部控制是否完整是評價一般標準中首要的一條，同時又是基礎(chǔ)。若內(nèi)部控制的完整性都達不到，則內(nèi)部控制的合理性與有效性就無從談起了。
從系統(tǒng)的觀點出發(fā)，可以從企業(yè)資源利用角度去審視：應有“人力資源控制系統(tǒng)、物力資源控制系統(tǒng)、財力資源控制系統(tǒng)、信息資源控制系統(tǒng)”；從經(jīng)營環(huán)節(jié)角度去審視：應有“供應環(huán)節(jié)控制系統(tǒng)、生產(chǎn)環(huán)節(jié)控制系統(tǒng)、銷售環(huán)節(jié)控制系統(tǒng)”；等等。在對內(nèi)部控制的完整性作出判斷時，還應當考慮到企業(yè)經(jīng)營規(guī)模及業(yè)務(wù)復雜程度的影響。一般情況下，企業(yè)經(jīng)營規(guī)模愈大，業(yè)務(wù)復雜程度就愈高，對內(nèi)部控制的完整性要求也愈高。
其次是合理性。企業(yè)設(shè)置內(nèi)部控制切忌照抄照搬，因此應當考慮企業(yè)內(nèi)控設(shè)計和執(zhí)行時的適應性和經(jīng)濟性。因為，企業(yè)所處行業(yè)、組織規(guī)模、交易性質(zhì)、經(jīng)濟技術(shù)條件、人員素質(zhì)等方面存在著很大的差異，不同的企業(yè)就應當根據(jù)其不同的特點設(shè)置內(nèi)部控制制度。
在對某一企業(yè)評價其內(nèi)部控制的適用性時，要注意控制點的設(shè)置是否合理，有沒有安排過多或不必要的控制點；在每一個需要控制的地方是否都建立了控制環(huán)節(jié)；控制職能是否劃分清楚；人員間的分工和牽制是否恰當，既不能分工過細，又能起到相互牽制的作用。同時，內(nèi)部控制的適用性要以經(jīng)濟性為限制條件。
第三是有效性。企業(yè)內(nèi)部控制的有效性應該體現(xiàn)在是否能為提高經(jīng)營效益、提供可靠財務(wù)報告和遵循法律法規(guī)方面提供合理保證，有效性是內(nèi)部控制的精髓。在內(nèi)部控制評價的3個一般標準中，內(nèi)部控制的有效性以其完整性與合理性為基礎(chǔ)，內(nèi)部控制的完整性與合理性則以其有效性為目的。
在對企業(yè)內(nèi)控制度的有效性進行審核評價時，要注意內(nèi)部控制不僅僅需要在總體上是有效的，而且需要各項具體制度也要有明確的目的并發(fā)揮其自身的作用。要審核內(nèi)部控制系統(tǒng)是否相互協(xié)調(diào)，自相矛盾；是否顧此失彼、相互制約；是否有利于整體功能的發(fā)揮。要關(guān)注內(nèi)部控制是否適度，如果過嚴則會使管理活動失去活力，影響相關(guān)方積極性的發(fā)揮；過寬又會引起運行的機制失調(diào)，達不到控制目的。
具體標準測試的5大要素
在對內(nèi)控制度進行評價時，只有先從操作性較強的具體標準入手，對具體內(nèi)控制度的設(shè)計與運行有了認識之后，才能從整體上對企業(yè)內(nèi)部控制的完整、合理、有效作出判斷。對具體標準的評價方法常用的有“詢問、觀察、檢查、重新執(zhí)行”。企業(yè)內(nèi)部控制評價可以按下列步驟展開：
首先是企業(yè)控制環(huán)境。以《上市公司內(nèi)部控制指引》為依據(jù)，對企業(yè)進行測評。主要有：企業(yè)治理結(jié)構(gòu)是否完善，董事會、監(jiān)事會和股東大會等管理架構(gòu)是否合法運作和科學決策；是否建立有效的激勵約束機制和樹立風險防范意識；企業(yè)管理層及業(yè)務(wù)環(huán)節(jié)是否開展內(nèi)控培訓，讓內(nèi)部風險防范成為高管的共識；是否培育良好的企業(yè)精神和內(nèi)部控制文化，創(chuàng)造全體職工充分了解并履行職責的環(huán)境；企業(yè)高管人員和采購人員是否簽訂誠信承諾書，對所有的重要原材料及設(shè)備供應商，在購銷活動中首先簽訂陽光協(xié)議，要求其操作過程透明公開，禁止商業(yè)賄賂等行為。
其次是企業(yè)風險。企業(yè)管理層應對影響企業(yè)目標實現(xiàn)的內(nèi)、外部各種風險進行分析，考慮其可能性和影響程度，制定必要的對策。在對企業(yè)風險防范作測評時，應重點關(guān)注企業(yè)是否建立完整的風險評估體系，是否建立審計委員和風險管理部門，是否對經(jīng)營風險、財務(wù)風險、市場風險、政策法規(guī)風險和道德風險等進行持續(xù)監(jiān)控；是否對已發(fā)現(xiàn)的企業(yè)各類風險有控制措施，如內(nèi)控制度執(zhí)行情況的檢查和監(jiān)督，以及相關(guān)制度是否向子公司延伸，以確保子公司的經(jīng)營安全。
同時，還要關(guān)注對相關(guān)業(yè)務(wù)項目及已知風險點是否進行定期檢查評估、提示及完善，如在日常經(jīng)營風險管理中對“重大采購二次詢價”，建立“不合格供應黑名單”是否有實時監(jiān)控。是否對客戶建立資信信息檔案、是否定期梳理與公司發(fā)展戰(zhàn)略不符的業(yè)務(wù)或項目等等。
第三是企業(yè)控制活動。企業(yè)管理層為確保風險對策有效執(zhí)行和落實所采取的措施和程序，主要包括批準、授權(quán)、驗證、協(xié)調(diào)、復核、定期盤點、記錄核對、財產(chǎn)的保護、職責的分離、績效考核等內(nèi)容。
在對企業(yè)控制活動測試時，要重點審核組織機構(gòu)方面采取的控制活動和內(nèi)控制度方面采取的控制活動。在組織結(jié)構(gòu)方面重點審核：機構(gòu)、崗位及職責權(quán)限是否合理設(shè)置和分工，不相容職務(wù)是否相互分離，是否成立相關(guān)法律事務(wù)部門和職能，對采購與驗收等環(huán)節(jié)是否設(shè)置相互監(jiān)督制度，做到人員分離。企業(yè)是否把業(yè)務(wù)流程作為內(nèi)部控制制度建設(shè)的重點，設(shè)置關(guān)鍵控制點和反饋系統(tǒng)。在內(nèi)控制度建設(shè)方面重點審核：企業(yè)是否制定了董事會的議事規(guī)則、總經(jīng)理事權(quán)規(guī)則、財務(wù)管理制度、采購管理制度、投資管理制度、合同管理制度、子公司管理制度、內(nèi)控檢查監(jiān)督制度等。
第四是企業(yè)信息與溝通。在對企業(yè)信息活動測試時，要重點審核公司是否已制定公司內(nèi)部信息和外部信息的管理政策，確保信息能夠準確傳遞，確保董事會、監(jiān)事會、高級管理人員及內(nèi)部審計部門及時了解公司及其控股子公司的經(jīng)營和風險狀況，確保各類風險隱患和內(nèi)部控制缺陷得到妥善處理;公司的日常業(yè)務(wù)包括資產(chǎn)、財務(wù)管理等是否實行流程表單化管理和建立ERP系統(tǒng)。
第五是企業(yè)檢查與監(jiān)督。在對企業(yè)該項活動測試時，要重點審核公司是否已制定了內(nèi)部控制檢查監(jiān)督辦法，該項工作是否在董事會或?qū)徲嬑瘑T會直接領(lǐng)導下，有風險管理部門或?qū)徲嫴块T具體負責實施，并有相關(guān)制度。如：基建項目是否有竣工決算審計制度、主要領(lǐng)導的離任是否實施責任審計，重大投資、擔保、抵押、關(guān)聯(lián)交易是否建立審核會簽制度；以及是否有對公司重要物資、設(shè)備、原材料定期盤點和不定期的抽查制度，對公司現(xiàn)金、銀行賬戶的抽查制度等。
綜上所述，注冊會計師對企業(yè)內(nèi)部控制作出評價，包括被評價的企業(yè)內(nèi)控制度是否符合我國有關(guān)法律法規(guī)和證券監(jiān)管部門的要求，是否對企業(yè)重大風險、嚴重管理舞弊及重要流程錯誤等方面有控制和防范作用等，都有賴于建立一個完善的企業(yè)內(nèi)部控制評價標準體系。相信通過有關(guān)部門的高度重視和實踐的積累，一套比較成熟的、適合中國國情的企業(yè)內(nèi)部控制評價標準體系不久將會建立。
