（会计学专业论文）我国上市公司实施内部控制自我评价研究.pdf

摘要 摘要 “安然 、“世通 等一系列财务丑闻被揭发之后，国际资本市场受到了重 磅冲击。美国国会遂于2 0 0 2 年7 月出台了萨班斯一奥克斯利法案( 简称s o x 法案) 法案核心条款之一，即4 0 4 条款，要求公众公司管理当局对企业内部控 制进行自我评价，并披露内部控制评价报告，标志着内部控制信息强制披露时代 的到来。 在我国，上海证券交易所和深圳证券交易所也分别于2 0 0 6 年6 月和9 月颁 布了上市公司内部控制指引，该指引要求我国上市公司进行内部控制自我评 价并披露公司内部控制相关信息。内部控制自我评价是提高公司风险应对能力和 经营管理效率的一种重要理念和方法，我国上市公司必须从战略的高度来认识实 施内部控制自我评价的重要意义。 本文力求为内部控制自我评价提供理论支持和实践指导。首先，笔者通过检 索文献，对近期国内外监管机构和学者的相关研究成果进行了综述；其次，笔者 分析了内部控制外部评价与内部控制自我评价的联系与区别、内部审计和内部控 制自我评价的联系与区别，明确了内部控制自我评价的概念；再次，对我国上市 公司实施内部控制自我评价的现行规范进行了分析，并利用近年的统计数据，分 析了我国上市公司实施内部控制自我评价的主要特点；最后，笔者建立了实施内 部控制自我评价的整体框架，即评价范围、实施主体、评价时间、评价方法、评 价报告。 关键词：上市公司；内部控制；自我评价 a b s t r a c t a b s t r a c t a f t e rs e d e so ff i n a n c i a ls c a n d a l s 。s u c ha s “e n r o n ”a n d w o d d c o m 。w a s r e v e a l e d 。t h ei n t e m a t i o n a ic a p i t a im a 水e ts u f f e r e das e d o u sb l o w a f t e rt h a t t h eu s c o n g r e s sp r o m u l g a t e dt h e “s a r b a n e so x l e ya c to f2 0 0 2 ”i nj u l y 。 2 0 0 2 ( s o xi na b b r e v i a t e d ) o n eo ft h ec o r ep r o v i s i o n so ft h eb i l l ，w h i c hi ss o x s e c t i o n4 0 4 ，r e q u i r e dt h ea u t h o r i t i e so fp u b l i cc o m p a n i e st od oi n t e m a lc o n t r o l s e l f - a s s e s s m e n to ft h e i r c o m p a n i e sa n dd i s c l o s e t h e r e p o r t s o ft h e a s s e s s m e n t t h es o xs e c t i o n4 0 4i n d i c a t e dt h ea r r i v a io fm a n d a t o r y d i s c l o s u r eo ft h ej n t e m a lc o n t r o i j n f o r m a t i o n i nc h i n a ，t h es h a n g h a is t o c ke x c h a n g ea n ds h e n z h e ns t o c ke x c h a n g e i s s u e dt h e ”g u i d e l i n e so ni n t e r n a lc o n t r o lo fl i s t e dc o m p a n i e s ”i nj u n ea n d s e p t e m b e r ，2 0 0 6 t h eg u i d e l i n e sr e q u i r e dl i s t e dc o m p a n i e so fc h i n at od o i n t e m a ic o n t r o ls e l f - a s s e s s m e n ta n dd i s c l o s et h ei n f o r m a t i o nr e l a t e dt oi n t e r n a i c o n t r 0 1 c s ai sa ni m p o r t a n tc o n c e p ta n dm e t h o dw h i c hi m p r o v e st h e e f f i c i e n c yo ft h eo p e r a t i o n a lm a n a g e m e n to fl i s t e dc o m p a n i e s c h i n a sl i s t e d c o m p a n i e sm u s tr e c o g n i z et h ei m p o r t a n c eo ft h ei m p l e m e n t a t i o no fc s af r o m as t r a t e g i ch e i g h t t h i sa r t i c l es e e k st op r o v i d et h e o r e t i c a ls u p p o r ta n dp r a c t i c a lg u i d a n c eo f t h ei m p l e m e n t a t i o no fc s a f i r s t l y ，ls e a r c h e dt h el i t e r a t u r e ，o nw h i c hi r e v i e w e dt h er e c e n ts t u d i e so fc s a s e c o n d l y ，la n a l y z e dt h er e l a t i o na n d d i s t i n c t i o nb e t w e e ni n t e m a lc o n t r o ie x t e r n a l a s s e s s m e n ta n ds e l f - a s s e s s m e n t ， a n db e t w e e ni n t e r n a la u d i t i n ga n di n t e r n a lc o n t r o ls e l f - a s s e s s m e n t ，w h i c h c l e a r l yd e f i n e dt h ec o n c e p to fc s a t h i r d l y ，ia n a l y z e dt h ee x i s t i n gn o r m s r e l a t e dt ot h ei m p l e m e n t a t i o no fi n t e r n a ic o n t r o is e l f - a s s e s s m e n to nl i s t e d c o m p a n i e si nc h i n a ，a f t e rw h i c hia n a l y z e dt h em a i nf e a t u r e s o ft h e i m p l e m e n t a t i o no fc s ai nc h i n a sl i s t e dc o m p a n i e s i nt h el a s t 。it r yt os e tt h e o v e r a l lf r a m e w o r kf o rt h ei m p l e m e n t a t i o no fi n t e r n a lc o n t r o ls e l f - a s s e s s m e n t ， w h i c hi n c l u d e st h e s c o p e o ft h ea s s e s s m e n t ，t h e s u b j e c t s o ft h e i m p l e m e n t a t i o n ，t h et i m eo fa s s e s s m e n t ，t h em e t h o d so fa s s e s s m e n t ，t h e r e p o r to fc s a k e yw o r d s ：i i s t e dc o m p a n y ；i n t e r n a lc o n t r o l ；c o n t r o ls e l f - a s s e s s m e n t 厦门大学学位论文原创性声明 本人呈交的学位论文是本人在导师指导下，独立完成的研究成 果。本人在论文写作中参考其他个人或集体已经发表的研究成果，均 在文中以适当方式明确标明，并符合法律规范和厦门大学研究生学 术活动规范( 试行) 。 另外，该学位论文为() 课题( 组) 的研究成果，获得() 课题( 组) 经费或实验室的 资助，在() 实验室完成。( 请在以上括号内填写课 题或课题组负责人或实验室名称，未有此项声明内容的，可以不作特 别声明。) 声明人( 签名) ： 铉。饧产曰 刀卵年年月2 p 日 | 厦门大学学位论文著作权使用声明 本人同意厦门大学根据中华人民共和国学位条例暂行实施办 法等规定保留和使用此学位论文，并向主管部门或其指定机构送交 学位论文( 包括纸质版和电子版) ，允许学位论文进入厦门大学图书 馆及其数据库被查阅、借阅。本人同意厦门大学将学位论文加入全国 博士、硕士学位论文共建单位数据库进行检索，将学位论文的标题和 摘要汇编出版，采用影印、缩印或者其它方式合理复制学位论文。 本学位论文属于： () 1 经厦门大学保密委员会审查核定的保密学位论文， 于年 月日解密，解密后适用上述授权。 ( v ) 2 不保密，适用上述授权。 ( 请在以上相应括号内打“”或填上相应内容。保密学位论文 应是已经厦门大学保密委员会审定过的学位论文，未经厦门大学保密 委员会审定的学位论文均为公开学位论文。此声明栏不填写的，默认 为公开学位论文，均适用上述授权。) 声明人( 签名) ：巧篼。白p 臼 叫年_ - p 乒j 2 o f t 第一章绪论 第一章绪论 一、研究背景和意义 2 0 0 2 年，连续发生的“安然 、“世通 等一系列财务欺诈案件，对国际资本 市场造成了重磅冲击，美国国会遂于2 0 0 2 年7 月出台了( 2 0 0 2 年公众公司会计改 革和投资者保护法案，又称萨班斯一奥克斯利法案( 简称s o x 法案) 。萨班 斯一奥克斯利法案第4 0 4 条款是法案的核心条款之一，它规定：公众公司管理 层负责建立和维护有效内部控制体系、公众公司管理层必须于财政年度末对内部 控制体系的有效性进行评价。萨班斯一奥克斯利法案的颁布标志着内部控制 信息强制披露时代的到来。 4 0 4 条款意味着公众公司不仅承担建立和评价以往不需要认证的符合4 0 4 条 款要求的内部控制体系的责任，还要对这个体系的健全性、有效性进行自我评价， 并将经过注册会计师审计的评价报告在公众公司向s e c 递交年度财务报告时被 要求一并递交。与此同时，国际上许多证券市场也纷纷要求上市公司管理层对 公司的内部控制状况做出承诺，并要求会计师事务所对其内部控制开展全面调 查，全球掀起一股强制实行内部控制自我评价的浪潮，内部控制自我评价这一课 题受到各国监管部门、职业界和专家学者的高度关注。 随着国际经济一体化进程的加速，我国资本市场国际化步伐也紧紧跟上了美 国的节奏。上海证券交易所2 0 0 6 年6 月5 日发布了上海证券交易所上市公司内 部控制指引，于2 0 0 6 年7 月1 日实施，要求上交所上市公司在年度报告披露的同 时披露年度内部控制自我评价报告。深圳证券交易所也在2 0 0 6 年9 月2 8 日相继发 布了深圳证券交易所上市公司内部控制指引( 下称指引) ，要求深市主板 公司自2 0 0 6 年9 月2 8 日至2 0 0 7 年6 月3 0 日期间建立健全公司内部控制制度，并从 2 0 0 7 年年报开始，按照指引的要求披露内控制度的制定和实施情况，该指 引自2 0 0 7 年7 月1 日起实施。2 0 0 8 年6 月，财政部、证监会、审计署、银监会、 保监会五部委联合发布了被称为“中国版萨班斯法案”的企业内部控制基本规 范，同时，在基本规范的基础上，分别制定发布了企业内部控制应用指 引( 征求意见稿) 、企业内部控制自我评价指引( 征求意见稿) 和企业内部 2 0 0 7 年6 月，s e c 正式批准p c a o b 审计准则5 号取代审计准则2 号，作为内部控制外部评价的最新指引。 新的审计准则不再要求注j i | 会计帅对公司管理层所做的内部控制评价进行鉴证，仅要求其自行评价公司财 务报告内部控制的有效性。 我国上市公司实施内部控制自我评价研究 控制鉴证指引( 征求意见稿) ，为内部控制评价和鉴证的实施提供具体指导。 内部控制自我评价已然成为我国上市公司的法定责任。即使抛开法规对上市 公司审计监管要求，内部控制自我评价也是有效防范风险、提高经营管理效率的 重要方法和工具，我们必须从公司战略高度来认识实施内部控制自我评价的重要 意义。因此，我们有必要对这一课题进行深入研究，并将研究结果广泛运用到公 司内部控制治理中，笔者正是基于这样的目的来完成这篇论文。 二、相关研究文献综述 关于内部控制自我评价问题，国内外均有一些研究。国外监管部门和职业组 织的主要贡献包括美国c o s o 委员会内部控制一整合框架( 1 9 9 2 ) 和企业风险 管理一整合框架( 2 0 0 4 ) ；s e c 、p c a o b 面对执行s o x 法案4 0 4 条款存在成本与效益 激烈争端的情况下不断出台更新的相关规定，女f l p c a o b 审计准则2 号( 2 0 0 4 ) 、财 务报告内部控制一小型上市公司指引( 2 0 0 6 ) 、管理层内部控制评价概念公告 ( 2 0 0 6 ) 、管理层内部控制评价解释性指引( 2 0 0 7 ) 和p c a o b 审计准则5 号与财 务报表审计相整合的财务报告内部控制审计；加拿大c o c o 委员会的控制指南 ( 1 9 9 5 ) 、评价控制指南( 1 9 9 9 ) ；英国t u r n b u l l 报告( 1 9 9 9 ，2 0 0 5 ) 。这些研究 成果已经成为权威的内部控制制定标准，被各国监管部门借鉴用于指定本国的内 部控制规范。 在我国，上海证券交易所和深圳证券交易所也分别予2 0 0 6 年6 月和9 月公布 了上市公司内部控制指引；2 0 0 8 年6 月，财政部、证监会、审计署、银监会、 保监会五部委联合发布了被称为“中国版萨班斯法案”的企业内部控制基本规 范，同时，在基本规范的基础上，分别制定发布了企业内部控制应用指 引( 征求意见稿) 、企业内部控制自我评价指引( 征求意见稿) 和企业内部 控制鉴证指引( 征求意见稿) ，为内部控制评价和鉴证的实施提供具体指导。除 了先后出台的内部控制规范和指引之外，学者们对内部控制自我评价的研究主要 有：( 1 ) 内部控制评价方法的研究，主要介绍了实施内部控制自我评价的方法、 实施主体、评价指标体系等。( 2 ) 国外内部控制评价研究进展的介绍，主要介 绍了国外实施内部控制评价的情况，及其在我国开展内部控制评价的思考圆。( 3 ) 周春喜内部会计控制评价指标体系及其评价明审计研究，2 0 0 2 ( 2 ) ；f e 屯勇内部控制系统评价定量分析的 数学模型【j 】审计研究，2 0 0 4 ( 4 ) ：陈汉文，张宜霞企业内部控制的有效性及其评价方法【j 】审计研究，2 0 0 8 ( 3 ) 。 朱荣恩，应唯，袁敏美国财务报告内部控制评价的发展及对我国的启示 j 会计研究，2 0 0 3 ( 8 ) ；林朝 华，唐予华c s a 内部控制系统评价的新观念与新方法 j 上海会计，2 0 0 3 ( 1 ) 。 2 第一章绪论 内部控制评价案例研究，这些基于某个企业的案例研究介绍了c s a 在我国企业的 实施情况。 综上所述，对内部控制自我评价的研究已经有了相当的理论基础，内部控制 自我评价在实践中也有了一定的应用空间。然而与内部控制评价体系相关的诸多 问题仍有争议，未有定论。我国对内部控制自我评价的研究主要停留在对国外内 部控制理论的介绍、数学方法在内部控制综合评价中的应用以及初步的个案研 究，对实践的直接而且普遍指导作用不强，本文力求为实践提供理论支持和实践 指导，希望有利于内部控制自我评价工作在实践中的开展。 三、本文的研究内容和文章的框架结构 本文第一章论述了论文的研究背景和意义，并对国内外监管机构规范和理论 研究文献进行了简单综述。 在本文第二章，笔者首先分析了c o s o 委员会发布的指导内部控制实践的纲领 性文件一内部控耕一整合框架，它将内部控制作为一个动态循环的过程， 能够体现内部控制自我评价在提高内部控制系统的有效性，从而提高经营管理效 率、促进公司战略目标实现等方面的价值，因此笔者将其作为本文的研究基础， 并讨论了内部控制的要素；其次，笔者分析了几个相关概念之间的联系与区别： 内部控制外部评价与内部控制自我评价的联系与区别、内部审计和内部控制自我 评价的联系与区别，从而从概念上准确界定了内部控制自我评价的内涵和要素。 最后，笔者探讨了实施内部控制自我评价的理论和现实意义。 在本文第三章，笔者首先通过资料检索，列示了我国资本市场上对上市公司 内部控制评价主要相关规范，并对其中的重要规范进行讨论和分析，指出其中存 在的问题；其次，笔者利用近年来的统计数据，分析了我国上市公司实施内部控 制自我评价的特点。 第四章是论文的重点，笔者试图建立实施内部控制自我评价的整体框架。所 谓整体框架就是实施c s a 必须包含的所有要素，包括评价范围、评价主体、评价 时间和频率、评价方法和步骤，自我评价报告等。 本文第五章，笔者对研究结论进行了总结，指出了研究的初步结论和存在的 不足。 张谏忠，吴轶伦内部控制自我评价在宝钢中的运用 j ，审计研究，2 0 0 2 ( 1 ) ；于增彪等，瞿卫菁， 等企业内部控制评价体系的构建基于亚新科工业技术有限公司的案例研究 j 审计研究，2 0 0 7 ( 3 ) 。 3 我国上市公司实施内部控制自我评价研究 本文在学习和借鉴前人相关研究成果的基础之上，融入了自己对内部控制自 我评价的认识和理解，纵观全文，窃以为本文在以下几个方面略有特色： 1 笔者从实施c s a 的角度出发，从国际流行的内部控制概念和要素中确定了 内部控制的概念，并对c s a 的概念、c s a 与内部控制外部评价、c s a 与内部审计等 的联系与区别进行了分析，明确界定了内部控制自我评价的概念和主要特点。 2 通过收集资料，笔者对我国资本市场上对内部控制自我评价的相关规范进 行分析，指出了我国内部控制评价标准存在的问题。并利用近年来的统计数据， 分析了我国上市公司实施内部控制自我评价过程中存在的问题。 3 建议在实施内部控制自我评价的过程中贯彻风险基础原则，区别于我国现 阶段实务工作中采用的详细评价法，提高评价的成本效益和效率。 4 提出了内部控制量化评价方法一要素评分法，即给内部控制整体要素和 子要素赋予一定的权重和分值，然后由经过系统培训的评价委员来评分，得出各 个关键控制要素的分值，然后自动生成风险程度热力图。 4 第二章内部控制自我评价的理论分析 第二章内部控制自我评价的理论分析 内部控制自我评价作为一种先进的管理理念和管理工具，必须有充分的理论 支持，包括内部控制的概念和要素、各控制要素的含义、内部控制自我评价的概 念、c s a 与相关概念的联系与区别、实施c s a 的意义等。在本文的第二章，笔者对 内部控制自我评价进行了理论分析。 第一节内部控制的概念和要素 从实施c s a 的视角分析 对企业内部控制进行评价主要包括对内部控制设计的健全性、合理性和运行 有效性进行的评价，那么什么样的内部控制系统才是合理和有效的呢，许多国家 制定了内部控制的整体框架，也就是一个评价标准。本节主要从实施c s a 的视 角对这些评价标准进行了分析。 一、国外流行的内部控制概念及要素分析 内部控制制度的发展经过了内部牵制( 2 0 世纪4 0 年代以前) 、内部控制制度 ( 2 0 世纪4 0 年代一7 0 年代) 、内部控制结构( 2 0 世纪8 0 年代一9 0 年代) 、内部控制 整合框架( 2 0 世纪9 0 年代以后) 几个标志性阶段。目前，国外最具代表性的内部 控制框架集中在世界上具有重大影响的发达国家：美国、英国和加拿大，主要包 括以下几种： ( 一) c o s o 委员会发布内部控制整合框架 1 内部控制整合框架中内部控制的概念 1 9 9 2 年，c o s o 委员会发布了著名的c o s o 报告，即内部控制整合框架。 该报告认为“内部控制是由董事会、管理层和其他职员实施的一个过程，其目的 是为经营的有效性和效率、财务报告的可靠性、相关法律法规的遵循性的实现提 供合理保证 。1 9 9 4 年c o s o 在相信1 9 9 2 年报告中对内部控制的定义是适当的基础 上，补充了一个资产保护目标。这个概念得到公司董事会、管理当局、投资者、 债权人、审计人员及专家学者的普遍认可，成为迄今最权威的关于内部控制的认 识。 尽管在2 0 0 4 年，c o s o 委员会在内部控制概念的基础上进行拓展和精心设计， 陈汉文，张宜霞( 2 0 0 8 ) 评价内部控制的有效性实际上是在判断企业内部控制能够为相关目标的实现提 供的保讧e 水平是否处于有效内部控制的区间，即“合理保证”，这个区间的下限是指这样一种详细水平和保 证水平，“它使谨慎的高级职员在处理他们自己的事务时感到满意”，上线时绝对保证水平。 5 我国上市公司实施内部控制自我评价研究 发布了 企业风险管理整合框架，提出企业风险管理的概念，形成一个更 加充分关注风险的概念体系。但是正如c o s o 委员会主席所讲的一样，“企业风险 管理整合框架并不打算、也的确没有取代内部控制整体框架，只是将内部 控制融入其中，更加关注企业风险管理过程 。内部控制整合框架已被 纳入政策、规则和法规之中，并被无数家企业用来对它们为实现既定目标所采取 的行动加以更好的控制，仍然是满足相关法律、法规要求最权威的、最广泛认可 的标准。 2 内部控制整合框架中内部控制要素分析 在c o s o ( 1 9 9 2 年) 发布的报告内部控制整合框架中，内部控制包 含了五个相互关联的要素：控制环境、风险评估、控制活动、信息与沟通、监控。 用图形来表示五个要素之间的关系如下图1 所示： 图1 ：c o s o 内部控制整合框架 图片资料来源：c o s o 内部控制整合框架 c o s o 内部控制整合框架中五要素的含义如下： ( 1 ) 控制环境 控制环境作为内部控制整合框架中所有其他构成要素的基础，为内部控制提 供了前提和结构。控制环境因素包括诚信、道德价值观及员工的胜任能力；管理 o ) c o s o 制定，方红星主译内部控制整合框架 m 东北财经大学出版社，2 0 0 8 。 6 第二章内部控制自我评价的理论分析 层的经营理念与管理风格；董事会及审计委员会；组织机构、授权和职责分配； 人力资源政策及实施。 ( 2 ) 风险评估 风险评估是指确定和分析目标实现过程中的风险，并为决定如何对风险进行 管理提供基础。它包括风险的识别、风险分析和转移风险的管理。 ( 3 ) 控制活动 控制活动是指为了确保管理层的指令得以实施的政策和程序，一般包括职责 分离、实物控制、信息处理、业绩评价等。 ( 4 ) 信息与沟通 信息是沟通的基础，一般包括信息的识别、获得与报告等；沟通一般包括内 部沟通与外部沟通，这样可以使企业保持开放式的交流，避免和消除误解，使信 息得到更好的使用。 ( 5 ) 监控 c o s o 项目组认为监控是由实时评价内部控制执行质量的程序组成的，这一 程序包括持续监督、独立评价、或是两者的综合。 ( 二) 英国发布的卡德伯瑞( c a d b u r y ) 报告 1 卡德伯瑞( c a d b u r y ) 报告中内部控制概念 英国的卡德伯瑞( c a d b u r y ) 报告( 1 9 9 4 ) 在对c o s o 报告( 1 9 9 2 ) 所阐述的 内部控制的理解基础上将内部控制定义为：整个控制体系( 财务控制和其他控制) 的建立，是为实现运营的效果和效率、内部财务控制、遵守法律法规的目标提供 合理保证。此时，英国内部控制主要关注的是内部财务控制。到了t u r n b u l l 指南 ( 2 0 0 5 ) 就包含了内部控制与风险管理的思想。虽然没有针对内部控制做出具体 的定义，但是却反映了内部控制的目标，即经营的效果和效率、内部报告与外部 报告的可靠性以及遵守相关的法律、规章制度以及和商业道德有关的内部政策。 2 - 卡德伯瑞( c a d b u r y ) 报告中内部控制要素分析 在英国财务报告理事会( f r c ) 公布的t u r n b u l l 指南( 2 0 0 5 ) 中，提出了内 部控制系统的四个要素，即控制环境、控制活动、信息与沟通、监控。控制环境 强调了董事会、管理层、员工对内部控制及公司风险所需承担的职责和采取的态 度；控制活动包括识别风险、控制措施、明确界定责任人、授权人、员工的责任 和权利等等；信息与沟通要求董事长与管理层定期就内部控制问题进行沟通，及 7 我国上市公司实施内部控制自我评价研究 时发现存在的风险，同时通过信息与沟通还可以快速识别内控弱点，及时将改进 措施向管理层报告；监控指明了公司董事会负责评价内部控制执行情况。 ( 三) 加拿大c o c o 委员会报告 1 c o c o 委员会报告中内部控制的概念 加拿大c o c o 委员会在控制指南( 1 9 9 5 ) 中则将“内部控制的概念扩展 到“控制”，c o c o 的概念比c o s o 的更加宽泛，指出“控制是一个企业中的要素集 合体，包括实体资源、系统、过程、文化、结构和任务等，这些要素组合在一起 能够支持人们实现企业的目标 。c o c o 界定了“控制”的三类目标：经营的效率 和效果、内部和外部报告的可靠性以及遵守适用的法律、规章及内部控制。 2 c o c o 委员会报告中内部控制要素分析 1 9 9 5 年，加拿大特许会计师协会( c i c a ) 的控制标准委员会c o c o 发布了控 制指南，c o c o “控制 的基本要素包括：目的、承诺、能力、监督和学习，这四 个基本要素通过“行动 连结成一个循环。目的可以使有能力的人承担责任并付 之以行动，监督和学习使企业保持正确的发展方向，并对经营业绩加以评价，以 便必要时重新调整目标，如此这般，循环往复。控制构成要素的内容如表1 所示： 表1 ：控制构成要素的内容 目的承诺能力监督和学习 1 目标( 包括任1 相互信任1 知识、资源、技1 监督内部与外 务、前景和战略计2 价值观术和工具部的环境变化 划)3 人力资源政策2 信息与沟通2 后续控制措施 2 风险的识别与4 权利与职责的3 控制活动 评价界定 3 指导规划 4 风险管理政策 二、中国的内部控制概念和要素分析 ( 一) 中国法规中内部控制概念 在我国，财政部2 0 0 1 年颁布了内部会计控制规范基本规范( 试行) ， 8 第二章内部控制自我评价的理论分析 其中对内部会计控制是这样定义的：“本规范所称内部会计控制是指单位为 了提高会计信息质量，保护资产的安全、完整，确保有关法律法规和规章制度的 贯彻执行等而制定和实施的一系列控制方法、措施和程序 。从定义中可以看出 “防范会计信息失真，提高会计信息质量 是当时内部控制所要着力解决一个问 题。但是随着企业组织规模的不断扩大和经营复杂程度的提高，使得内部会计控 制已经不能适应这种变化。 财政部在2 0 0 7 年颁布的企业内部控制规范基本规范( 征求意见稿) 中对内部控制作如下定义：“本规范所称内部控制，是指由企业董事会、管理层 和全体员工共同实施的、旨在合理保证实现以下基本目标的一系列控制活动：企 业战略；经营的效率和效果；财务报告及管理信息的真实、可靠和完整；资产的 安全完整；遵循国家法律法规和有关监管要求。” 经过广泛争取意见和建议，2 0 0 8 年6 月，财政部、证监会、审计署、银监会、 保监会五部委联合发布了被称为“中国版萨班斯法案的企业内部控制基本规 范，其中对内部控制的定义做了进一步完善，指出“本规范所称内部控制，是 由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。 内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关 信息真实完整，提高经营效率和效果、促进企业实现发展战略。 ( 二) 中国法规中内部控制要素分析 我国在2 0 0 8 年颁布的企业内部控制基本规范中指出：企业建立与实旋 有效的内部控制，应当包括下列要素：内部环境，它是企业实旌内部控制的基础， 一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化 等；风险评价，它是企业及时识别、系统分析经营活动中与实现内部控制目标相 关的风险，合理确定风险应对策略；控制活动，它是企业根据风险评价结果，采 用相应的控制措施，将风险控制在可承受度之内；信息与沟通，它是企业及时、 准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之 间进行有效沟通；内部监督，它是企业对内部控制建立与实施情况进行监督检查， 评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。 三、从实施c s a 的角度分析内部控制的概念和要素 基于以下原因，同时综合考虑各方面因素，笔者认为，c o s o 内部控制 整合框架相对较成熟、较稳定，并且已经被作为权威的规范加以推荐，而且我 9 我国上市公司实施内部控制自我评价研究 国的内部控制基本规范参照的框架仍是五要素框架，因此，本文将内部控制一 整合框架中内部控制的定义作为实施内部控制自我评价的理论依据，并借鉴 其中的经典五要素作为评价依据。 1 国际社会普遍认可。在各国监管部门的法规中基本涵盖了c o s o 对内控的 定义，尤其是对五要素的规范，已被作为衡量企业内部控制是否建立健全的标准。 而我国的企业内部控制基本规范尽管在要素设置上同时吸取了企业风险管 理整合框架的先进理念，比如我图内部控制要素中风险评价要素主要包括 目标设定、风险识别、风险分析和风险应对，但是在整体上主要借鉴了c o s o 内部 控制五要素框架。综合考虑各方面因素，五要素框架相对较成熟、较稳定，包括 美国证监会等推荐、参照的框架仍是五要素框架。 2 从内部控制的实质看，它是一个动态循环的过程，如下图所示： 泐：+ o 内部 企业 改进 控制对照 内郝 评价 标准 控制 ”评价设计有效性h 是 豁； 镕 o 1 确定内部 r 一 无效内部控制 巍， 厂 控制是否 弋否7 l 伺删粉刺。 控制j 存在实质 。评价运；f 有效性v 性缺陷 图2 内部控制动态循环过程 从图2 可以看出，内部控制制度的设计是企业内部控制的运行基础，设计完 成之后必须经过执行阶段；内部控制评价是对设计和执行两个环节的恰当性和有 笔者认为，c o s o 企业风险管理整合框架并没有替代内部控制整合框架，只是一定程度e 把内部控 制要素表述的l 更加具体化，冈此选用c o s o 内部控制整合框架中的五要素作为本文的研究皋础。但住实 施c s a 过程中仍然基十风险管理的理念，并结合丫风险管理整合框粲的内容，基于风险丽实施内部控 制自我评价。 1 0 第二章内部控制自我评价的理论分析 效性等进行测试、分析作出合理的评价，并针对设计和运行中存在的实质性缺 陷，提出整改意见并跟踪；内部控制自我评价作为内部控制过程中关键的环节， 是一个承前启后的环节，它既是对已有控制的总结，又是未来改进控制体系的重 要依据。内部控制自我评价能够有效预防和发现内部控制设计和运行中存在的问 题，从而有的放矢地对其缺陷加以改进。 有些规范中内部控制概念不尽科学，比如有的规范中把内部控制作为控制政 策和程序的制定与实施，认为内部控制是静态的规范的罗列，而没有将内部控制 看作一个动态循环的过程，这种概念混淆了内部控制与内部控制制度的概念，也 不符合内部控制的实质。 而内部控制整合框架中认定内部控制是企业由董事会、管理层和其 他职员实施的一个“过程”，这说明c o s o 委员会充分认识了内部控制的实质，并 将其作为一个动态循环的过程；另一方面，内部控制整合框架中内部控 制的五要素包含了“监控 要素，c o s o 项目组认为监控是由实时评价内部控制执 行质量的程序组成的，这一程序包括持续监督和独立评价，把内部控制评价作为 内部控制运行中重要因素。 3 通常认为，实施企业内部控制自我评价主要是基于审计监管的要求和提 高企业营运效率的目的，但笔者认为，实施内部控制自我评价更是为企业提供一 种咨询服务，其目标不仅局限在满足法律法规，而应当致力于提高企业营运效率， 实现企业的战略目标。 在内部控制整合框架对内部控制的定义中，将企业内部控制目标表 述为“财务报告的可靠性、相关法律法规之遵循、企业营运效率和效果 ，而且 要素设置也没有将实施内部控制的目标局限在财务领域和监管领域，因此将其作 为实施c s a 的依据，更有利于实现c s a 的目标。 第二节内部控制自我评价的概念 一、内部控制自我评价的概念和特征 ( 一) 内部控制自我评价的概念 国际内部审计协会对内部控制自我评价的定义：c s a 是由内部审计人员与被 审计单位管理人员共同组成一个评价小组，管理人员在内部审计人员的帮助下， 在企业风险管理整合框架中，在经营目标、报告目标和合规目标基础上，增加了企业战略目标，我 国的企业内部控制基本规范中也包含丫战略目标，更加科学。 l l 我国上市公司实施内部控制自我评价研究 对本部门内部控制的恰当性和有效性进行评价，然后根据评价和集体讨论提出改 进建议并出具评价报告，交由管理者实施。 笔者认为一个科学的内部控制自我评价的概念，应当包含以下要素：c s a 的 本质、c s a 的实施主体、c s a 的范围( 对象) 、c s a 的目标、实施c s a 的方法，研究人 员或者实务工作者可以从这个概念中充分认识至i j c s a 的涵义。所以国际内部审计 协会给出的c s a 的概念不尽科学，按照上面的思路我们来重新构建内部控制自我 评价的概念。 笔者认为，内部控制自我评价是指企业管理当局为及时、清楚掌握企业内部 控制设计的恰当性和运行的有效性状况，提高内部控制质量，全面降低企业风险， 提高企业营运效率，在内部审计部门的协调和全体员工的参与下，采用调查问卷 法、引导会议法、管理结果分析法等方法，定期或不定期地对企业的内部控制整 体要素和具体要素评价和讨论，提出改进建议并出具评价报告，将发现的内部控 制缺陷交由管理者整改的持续、循环的过程。 ( - - ) 内部控制自我评价的特征 基于对内部控制自我评价的理解，笔者认为，c s a 主要有以下几方面的特征： 1 依靠全员参与 尽管各国法规都规定企业内部控制的设计、实施和维护是管理当局的职责， 但是完善的内部控制体系必须依赖于企业员工的支持和参与。c s a 将员工纳入实 施主体范围内，企业员工与管理层和内部审计人员一起对内部控制体系承担责 任，提高了员工的责任意识和自我控制意识，激发了全体员工认真执行内部控制 制度的热情，改善了企业内部控制环境，真正做到了全员评价、全员控制，实现 了内部控制体系质的飞跃。 2 c s a 是一个动态循环过程 内部控制自我评价是内部控制这个过程的关键环节和重要内容，其本身也是 一个动态循环的过程。以引导会议法实施过程为例，c s a 实施过程包括确定评价 范围、选择引导人员、组成评价小组、召开研讨会、形成评价报告、落实整改措 施。上面只是c s a 的一个循环过程，这个过程的结束意味着企业要重新审视内部 控制体系，发现存在的新问题，从而再次对内部控制体系进行评价、改进 1 2 第二章内部控制自我评价的理论分析 二、内部控制自我评价与相关概念区分 ( 一) 内部控制外部评价与内部控制自我评价概念比较 1 两者的联系 企业内部控制的目标是提高经营效率和效果、保证企业遵循相关法律和法 规、提供可以信赖的财务报告，为了实现这些目标，必须满足一定的要求，包含 内部控制制度的设计合理性、运行有效性、符合成本效益原则等要求。对照相关 法律法规的要求，对单位现行的内部控制设计的恰当性和运行的有效性进行分 析、评价等工作，这就是内部控制的评价理论依据。具体来讲，内部控制评价是 指企业对内部控制系统的健全性、恰当性和有效性进行测试和分析，指出评价中 发现的内部控制体系中存在的不足，并提出相应的改进意见，并报告评价结果。 依据评价主体的不同，内部控制评价可以分为外部评价和内部评价两种。 外部评价是指由独立审计师或政府审计机构等对企业的内部控制系统实施的评 价。企业内部控制内部评价，是企业在内部审计部门的引导下，由企业管理当局 对内部控制系统实施的评价，也就是内部控制自我评价。 2 两者的区别 ( 1 ) 评价目标不同 内部控制外部评价目标是评估控制风险，从而通过符合性测试和实质性测试 达到降低审计风险的目的。而内部控制自我评价通过发现和整改企业内部控制制 度设计和运行中存在的缺陷，降低经营风险，从而提高企业运行的效率，更好地 实现企业目标。 ( 2 ) 评价范围不同 内部控制外部评价是为会计报表的认定服务，评价范围主要是影响会计报表 信息质量的内部控制制度，主要内容是评价这些与企业财务和资产安全完整相关 的内部控制制度是否能够及时发现和纠正错误与舞弊；而且外部评价一般与年度 财务报表审计一同进行或者临近日期进行，从对某个时点或者较短时间段的评价 结论推断内部控制是否在报告年度内一贯运行。内部控制自我评价范围包含影响 企业经营的所有内部控制，涵盖控制环境、风险评估、控制活动、信息与沟通、 监控五个整体要素和各个业务层次的具体内部控制，而且c s a 在年度报告期内时 笔者认为内部控制外部评价与内部控制鉴证概念等同，是注册会计师对企业内部控制系统实施的评价和 鉴证。 1 3 我国上市公司实施内部控制自我评价研究 间控制比较灵活，可以就某项内部控制进行专门评价，也可以对企业内部控制整 体要素同时进行评价。所以内部控制外部评价的范围较内部控制自我评价小、时 间范围也短。 ( 3 ) 评价方法不同 内部控制外部评价和内部评价都可以采用传统的评价方法，包括检查交易和 事项内部控制制度来验证内部控制制度设计的完整性和恰当行、观察和询问企业 正在进行的内部控制活动来反映企业内部控制的运行状况、选择相应的交易和事 项重新执行来验证内部控制运行的有效性等；因此传统的评价方法只能用来评价 诸如财务报告、资产与记录的接触、信息传递、授权授信、岗位分离等“硬控制”。 而内部控制自我评价包括问卷调查法、引导会议法、管理结果分析法等，从方法 论上讲，c s a 的实现途径更加宽广，因此可以评价诸如高层管理人员的经营理念 和管理风格、管理层和员工的职业道德和胜任能力、公司治理环境等“软控制”。 ( 二) 内部审计与内部控制自我评价概念比较 1 两者的联系 ( 1 ) 实施内部控制自我评价需要依赖内部审计部门的工作 内部审计是由企业内部机构或者人员，对其自身内部控制的有效性、财务信 息真实完整性以及经营的效率和效果进行的一种评价活动；而内部控制自我评价 由企业内部审计部门引导，由企业管理层和全体员工共同参与；在实施内部控制 自我评价的过程中，需要大量使用内部审计部门已经收集的审计证据和以往的审 计结论，这些信息往往成为实施内部控制自我评价过程中可资信赖的资料来源。 一定意义上讲，企业内部审计是内部控制系统的一部分，而内部控制自我评价是 内部审计工作的重要内容，因此，监督和评价内部控制的健全有效是内部审计的 重要职责，内部控制制度的遵循和有效运行离不开内部审计工作。 ( 2 ) 内部控制自我评价对内部审计过程的作用 内部控制自我评价可以用来评估企业整体风险和业务、财务报表披露风险、 控制活动运行状况、反映道德价值观以及控制效果，还可用于评价旨在减少这些 风险的各项控制以及对有关政策和规程的全面遵循情况。 在实施c s a 的过程中，内部审计人员与被审计人员以及被审计人员之间都要 持续地相互对话，这种交互作用增强了彼此之间的沟通，树立的相互之间的信任。 1 4 第二章内部控制自我评价的理论分析 同时，这也是一种内部控制的培训，尤其对企业员工来讲，审计人员不断把内部 控制的思想灌输给企业员工。这种沟通有利于审计人员更好的了解有关的业务职 能，而被审计单位和人员也会更好地理解并参与内部控制评价。 实施内部控制自我评价会发现企业内部控制系统设计和运行中存在的缺陷， 尽管对这些缺陷进行整改主要是企业管理层的责任，但是内部审计人员仍然要开 展后续跟进工作，监控那些和控制问题有关的行动事项的执行进度，而作业流程 层面的员工和企业管理层是这个解决问题过程中的一部分，因此在执行行动事项 方面可能会较为容易一些。 2 两者的区别 ( 1 ) 内部审计人员所起作用不同 传统的内部审计工作主要是由企业内部审计部门或者人员进行的，内部审计 人员采用抽样审计对其关注的控制要点进行审计，执行审计程序和报告内部控制 缺陷的工作都是由内部审计部门或者人员独立完成的；而内部控制自我评价是在 企