浅析企业内部控制及其内部审计.

1、浅析企业内部控制及其内部审计摘要 近年来，随社会生产力的发展和科学技术的进步，全经济一体化进程加速企业 之间的竞争加剧，重会计信息失真的情况也越演越烈。 2002年 7月，美国总统 布什签署了萨班斯 - 奥克斯利法案，对于上公司建立并保持有效的内部控制 作出了明确、具体的规定。 本文通过浅析信息失真的原因，提出企业内部控制应抓好的几个环节，并且阐 明内审计在内部控制中发挥的作用，以期与内控建设及内审人员探讨之。一、企业应加强内部控制建设 近年来，我证券市场会计信息失真的情况层出不穷，从“琼民源”到“银广 夏”，从“郑百文”到“蓝田股份”，造假案件越来越多，中股市和中投资者 的信心遭受了沉重打击

2、，近期内陆股指已滑落至 8 年来的最低点。究其原因， 笔者认为有如下重要几点：（ 1）我国未把建立和强化内部控制作为企业的一法律责任。萨班斯 - 奥克斯 利法案规定对于上市公司及其高管理人员出现的提供虚财务信息的行为要给 予严厉的刑事及经济处罚。这样就使得那些蠢蠢欲动者的造假成本增加，相应 减少造假几率。而目前在我国从法律角度缺乏对企业内部控制方面的法制建 设、内部审计和独立审计等相关方面的行为准则的实质性约束。（2）市场对于虚假信息有需求才会有上市公司的供给。目前上市公司中绝大多 数为国有大中型企业，而这些企业在 1998 年以前总体效益低下，要上市就需要 包装，过度包装就会有虚假会计信息的

3、存在。在这一过程中，中国证监会及注 册会计师事务所从一开始就没有形成完全拒绝虚假会计信息的机制，甚至出现 了“深天勤”帮助“银广夏”造假的丑闻，这在一定程度上削弱了企业的控制 意识。（3）大多数上市公司内控制度有名无实，权力集中、缺乏制衡、财务信息不对 称、控制环境薄弱、企业短期行为严重等，都造成了企业内部控制的失效。 从上述分析中可以看出，要形成一个良好的投资环境，国家与企业需要做的努 力都非常大。尤其对于企业而言，其自身内部控制建设尤为关键，笔者借 COSO 框架为基础，认为应该抓好以下几个重要环节：1、建立健全内部控制体系框架根据萨班斯 - 奥克斯利法案要求，在美国上市的国内一些大型公司

4、目前已经 或正在建立符合上市地和中国法律要求，结合企业自身特点和需求，以 COS（框 架为基础的内部控制体系，并且按照其要求规范化运做。这是一个好的迹象。 笔者认为，要想真正改善中国内陆地区的投资环境、树立中国企业在国际资本 市场上良好、诚信的形象，就必须在内陆上市公司中大力推行内部控制体系建 设：国家相关机构应从立法角度加强企业内部控制的法律法规等强制性约束和 准则规范；上市公司应该在 2-3 年内逐步建立起内部控制体系，模式可以以 cos框架为基础并结合企业自身实际来设计、运行。另外，还要加重对于制造 虚假会计信息的处罚力度，增加制造虚假会计信息的成本；同时加强对会计师 事务所的管理，使得

5、注册会计师保持其执业的规范性和独立性，从而在整个社 会形成一种拒绝虚假会计信息的机制。2、强化企业内部控制环境建设，建立真正意义上的法人治理结构控制环境是整个内部控制的基础，是其他一切要素的核心，它的好坏直接影响 到企业内部控制的贯彻执行和企业经营目标、整体战略目标的实现。（1）要大力提倡和营造一种“控文化”。一方面董事会和管理层负责促进在道 德和完整性方面的高标准并在机构中建立一种文化，向各级人员强调和说明内 控的重要性；另一方面，企业所有员工都必须认可理解他们在内控程序中的作 用，并在程序中发挥作用。（2）完善公司治理结构的核心是实现剩余索取权和剩余控制权由集中对称分布 走向分散对称分布。

6、以国有控股上市公司为例，由于国有股一股独大和终极所 有者缺位，目前的治理结构表现出“行政干预经营者控制”的基本特征。 为了实现治理结构的效率改进，国有企业改革必须由行政干预下的股东主权模 式转变为企业主权模式，可以以转让部分国有股权的方式使公司的股权结构多 元化、合理化，公众或机构投资者参与公司治理，从而使公司目标是为了追求 所有利益相关者的整体收益最大化，而不仅仅是服务于股东利益最大化，真正 实现治理结构的效率改进，为内部控制有效运行营造一个良好的制度环境。3、 建立相应的激励约束机制，把核心人员及其员工的短期行为长期化BR股票 期权制度在理论上是可以解决这个问题，重要的是在具体化操作的过程

7、中要掌 握好激励和约束的度，一定要使激励和约束相适应，这需要各个公司根据其自 身的特点和需要设计出合理的期权额度和行权价格等具体实施细节，并且要建 立良好的人力资源管理机制，提高公司有关雇佣、训练、待遇、业绩考评及晋 升等政策和程序的合理程度。通过这种激励和约束，使公司核心人员更关注公 司长远的发展，从根源上消除制造虚假会计信息的动机。4、建立和完善ERP建设，完善内部控制信息披露机制 通过信息化手段整合企业资源可以提高内部控制效率和优化内部控制流程。国 外大多数先进企业都已选择了适合自己的 ERP软件，利用ERP系统进行有效的 判断、决策和控制。目前我们中石油在内控建设中也在逐步整合信息系统

8、，但 原来我们的各类系统纷杂繁多，彼此之间相互联系不太紧密，这些都造成了今 后内控测试工作的不便。因此笔者建议，应该尽早关注并实施企业资源计划（ERP 。 ERF可以把企业全部业务涉及到的资源整合起来，企业每一个员工都 被明确地赋予在内部控制中所应承担的职责，并且通过信息和沟通系统，使每 一个人都能顺畅、快捷地获取他们在执行、控制经营过程中所需要的信息，并 交换这些信息。企业运作层面的供应、生产、销售交易资料，只要是与财务有 关的，都会在财务系统中自动生成，实现财务分析和业务运作的同步进行，使 得内部控制动态化，也在很大程度上减轻了对于信息系统内部测试的工作量。 萨班斯 -奥克斯利法案 404

9、条款中明确要求上市公司在年报告中，必须说明 公司管理层建立和维持良好内部控制并建立相应的制度和机制来保证公司内部 有合理的控制结构和控制措施。以往人们更关注财务会计信息，而实际信息的 真实可靠来源于企业内部控制，内部控制越好，其信息越可靠，审计实质性测 试就可相应减少。因此为了提高企业内控意识，提高其信息质量，企业必须建 立起内部信息披露制度，在进行内部控制自我评估后，向社会公开披露其内部 信息。5、建立风险评估体系及内部控制制度评价体系随着我国进入 WTO国内企业将会面临更大的环境变化和生存风险。每个企业 都应该认真分析并识别出自身存在的风险，建立一个风险数据库，要分析风险 的重要性程度、评

10、估风险发生的可能性或频率、并且找出企业应该如何应对管理风险的方法。我们可以将控制的重点转到那些重要业务流程和重要会计科目中去，建立风险评估制度，并且在制度中要明确评估风险的方法，并且应该根 据企业环境的变化不断更新风险。对企业而言，建立健全内部控制制度是一个渐进的过程，我们应当建立起内部 控制评价体现来，随时应该关注：现有流程中的控制措施是否全面涵盖了风 险，这些控制措施设计是否合理，是否形成了充分的控制证据，这些控制措施 是否在相关规章制度中予以体现。我们应该根据情况的变化和出现的问题对相 应的内部控制制度作出及时修正或建立新的内控制度。只有不断进行自我评估 和改进，才能建立起行之有效的内控

11、体系。除上所述，另外，按照cosO架要求，内部审计在内部控制体系中扮演着重要的角色，下面我们一并来探讨一下：二、内部审计在内部控制中的作用1、内部控制与内部审计的关系 内部控制与内部审计之间存在一种相互依赖、相互促进的内在联系。（ 1）内部审计是内部控制的一个不可或缺的组成部分。内部审计是为加强内部 经济监督和经营管理的需要而逐渐发展起来的，是企业内部一种独立的评核工 作，通过检查会计、财务及其他业务，为管理当局提供咨询、建议等服务。在 cosO架中内部审计作为监督的一个重要角色置于整个内控的较高层。 （2）内部审计又是对内部控制的控制。内部审计又是全面审查、监督内控制度 的专门组织，它立于会

12、计控制之外，具有其他任何部门和控制所无法代替的重 要作用。目前，内部审计范围已从传统的财务收支审计扩展到经营管理的各方 面，另外根据国际惯例，内部审计通常代表管理层对整个企业内部控制制度的 健全性、有效性及其遵循情况等进行评价，所以它又是对内部控制的控制。2、内部审计在内部控制中的作用（1）内部审计的角色由监督者逐步转变为控制者 内部审计曾一度被定位于“监督者”的角色。英国著名的特恩布尔报告认为， 内部审计师的主要作用是“确证和建议”，而不再是以往的“监督和复核”。 这一转变赋予了内部审计更多的内涵，也将内部审计定位成增值性审计。目 前，内部审计职能已逐渐发展为“保证和咨询服务”，内部审计正在

13、充分发挥 其评价职能的作用，增加组织价值和改善经营管理，提高有关数据和信息的相 关性和可靠性；通过咨询活动，为管理当局提供专业服务，为风险管理出谋划 策，降低企业风险，从而在实质上促进财务报告内容的确定性和质量的提高。 内部审计师也应该成为企业内部战略的计划者。（2）风险导向内部审计是内部审计的发展方向 随着风险导向内部控制时代的来临，内部审计的工作重点也发生变化，由“控 制”转向“风险”。在风险导向内部审计观念下，年度审计计划与公司最高层 的风险战略连接在一起，内部审计人员通过对当前的风险分析确保其审计计划 与经营计划相一致，使用风险管理原则改变审核过程。当前我国企业内部审计 主要将大部分精

14、力用于财务数据的真实性、合法性的查证和生产经营的监督， 管理审计尚未得到广泛的开展。因此，笔者认为要顺应内部审计科学发展的客 观规律，在实践中有意识地推动内向型管理审计的发展。从强调确认和测试控 制完整性，逐步转向强调确认和测试风险是否得到有效管理。审计建议应不再 仅是强化控制、提高控制效率和效果，而应该是规避风险、转移风险和控制风 险，通过风险管理的有效化，提高整体管理效率和效果。（3）促进公司治理结构的完善和有效性，提高会计信息的质量 国外把必须设置内部审计机构作为一个公司若要上市的必备条件之一，以显示 其内部治理结构的完整性。在 COS（框架中更是将内部审计的作用作为要素之一 进行了描述

15、和要求。萨班斯 - 奥克斯利法案 404条款明确了管理层必须对企 业内控运行情况进行有效性评估，这一被称之为“管理层测试”的过程通常由 内部审计部门代表管理层来进行，内部审计部门通过对日常活动的监督和控 制，从而减少风险，保证财务信息数据的加工、传递和披露的可靠性。笔者认 为，今后可以通过持续的内部控制测试将审计范围延伸到企业生产经营的方方 面面，而且在很大程度上可以替代例如常规财务审计、制度审计合同审计等审 计，并且其审计成果也可被其他专项审计所利用，从而将审计工作的重心转移 到咨询和建议上来。（4）内部审计作用的充分发挥有赖于其地位的进一步提高 要加强内部审计工作，首先要提高内部审计的地位

16、。内部审计应该具有独立性 和权威性，它代表企业董事会和管理当局对其他部门开展的业务活动及其成 果、内部控制执行情况进行监督。在国外，内部审计部门是直接对董事会中的 审计委员会负责，具有较强的相对独立性，内审部门的许多人也最终进入了企 业高级管理层。但在我国，由于种种原因，内部审计独立性实际被大大削弱 了，甚至有些企业将内部审计与纪检、监察部门合并在一起，极大影响了内部 审计的独立性。笔者建议，上市公司在建立内控体系之时，应当根据相关法律要求建立并发挥 好审计委员会的职能，对于内部审计部门的设置应当高于其他职能部门，应该 设立如总审计师等职位专门负责本企业的内部审计工作及与其他部门的协调工 作；

17、内部审计部门应当隶属于审计委员会和企业最高管理当局，实行双向负责 制，在特殊情况下可以越过管理当局直接向审计委员会报告，这样就可以提高 内部审计的地位和独立性，维护必要的内部审计权威，从而充分发挥内部审计 在内部控制中的重要作用。（5）内部审计作为监督要素中的最高层次，在内控体系中发挥着重要作用 根据COS（框架中“监督”要素的要求，企业的监督可以分为持续性监督活动和 内部审计定期的、相对独立的评估两部分。这样一来，可以将整个内控体系划 分为三个相对独立的控制层次：第一个层次是经济业务发生部门严格按照企业 内部设计的程序、相互牵制的制度开展业务活动，建立起第一道监控防线。有 关人员在处理业务时，必须明确业务处理的权限和应承担的责任，严格按照控 制步骤流程办理。第二个层次，经济业务最终的流向都是反映到财务报表中 去，因此财务部门就要在事后建立起第二道监控防线。要对原始的数据、凭 证、票据进行日常性、规范化的检查稽核，要及时把监督的过程和信息反馈给 财务负责人。第三个层次，内部审计部门要建立起以“查”为主的监督防线， 通过内部控制测试来发现管理流程中的不足和风险，提出改进措施，促进内控 体系建设趋于完善。总之，加强企业内部控制，建立健全内部控制体系，是企业自身的需求，也是企业面对市场风险与挑战的需要。内部审计部门更应该发挥好作用，认总