企业内部控制效率评价方法的探讨

企业内部控制效率评价方法的探讨

一、内部控制效率的评价缺乏科学性内部控制效率是学术研究和实践管理的核心问题。因为内部控制规范的制定、控制制度的执行、控制效果的评价等,无疑都是基于内部控制效率及其如何提升这一主题而展开的。然而,目前的现实情况却是,对于内部控制效率,理论上既没有合乎逻辑的理论框架,实务中又缺乏有效的评价方法,以至于人们在内部控制效率的语义内涵、衡量标准和测度方法上难以形成统一的意见(杨洁,2011),实务工作者难以对企业的内部控制有效性做出综合评价,影响企业对内外风险的及时反应(韩传模,汪士果,2009)。同时,内部控制效率评价的繁琐程序和高成本也大大制约着内部控制的实施效果。基于此,本文拟以内部控制效率为核心,探讨有关内部控制效率的理论框架和量化指标的设计问题,以便在内部控制效率评价与现行的财务指标之间找到某种勾连和逻辑上的联系,为完善内部控制效率评价体系,降低内部控制效率的评价成本,提高内部控制效率评价的准确性、全面性和简便性探索一条可行的路径。二、组成和完善理论体系内部控制效率的理论框架是内部控制效率的各理论要素按照一定的结构形式共同组成的理论体系。作为一个主题突出、相对完整的理论框架体系,它应该对内部控制效率的概念内涵、外在特征、形成路径、组成要素等做出准确的界定和理论表述,并且需要对这些要素之间的相互关系进行合乎逻辑的架构设计(见图1)。(一)以“效率”为核心的内部控制评价建立内部控制效率评价的理论框架,首先需要解决的是其概念基础的选择问题。我国目前是以“有效性”为概念基础来评价内部控制的效果。按照财政部2008年颁布的《企业内部控制评价指引》和《企业内部控制审计指引》的精神,所谓的内部控制评价或者内部控制审计都是围绕着内部控制的有效性进行评价测试和审计的。然而,“有效性”这一概念是否适合于表达内部控制的管理成效,以及由此可能会带来哪些方面的不利影响,现在看来是值得深入思考和进一步探讨的。因为“有效性”是一种定性的存在状态的评价和描述。受这种思想影响,企业的内部控制评价必然是重定性分析而轻定量评判,并由此导致评价结论不准确,缺乏量化信息,内部控制信息披露质量总体不尽如人意等问题(杨雄胜,李翔,邱冠华,2007)。以我们看来,与“有效性”相比,“效率”(Efficiency)概念更适合用于内部控制评价。换而言之,内部控制评价应该以“效率”为核心概念来建立自己的理论体系和开发相应的评价工具(林钟高,徐虹,2009)。因为“效率”是一个量的比较概念,以此为基础进行内部控制的效果评价,可以提高评价的准确性,增加评价结论的信息含量。这也是本文之所以选择以“内部控制效率”为核心来建立内部控制评价的理论框架和设计其相关评价指标的主要原因。这里的内部控制效率,我们参考西蒙、罗宾斯在“效率准则”、“效率管理”中的相关论述,将其定义为,内部控制在设计和执行过程中所表现出来的控制成效的集合。其内涵要义是工作成效,外在表现形式,一是不同对象之间的数量比较,如控制成本与控制收益之比、实际与目标之比等。这种效率通常代表着手段与目的之间的对比;二是同一对象本身的质量改善,如控制制度的覆盖率、可行性等;三是同一对象本身的数量增加或者减少,如利润增长率、损失降低率等。在内容上,后两种形式的控制效率通常代表着同一被控对象在不同时期之间的质量或者数量上的变化。(二)风险降低论与内部控制效率内部控制效率评价,取决于对内部控制定义、本质属性和成效载体的不同认识。其中,不同的属性定义将直接影响到内部控制效率的理论框架和效率评价指标的具体构成。对此,目前主要有“价值创造论”和“风险降低论”两种代表性的观点。其中“价值创造论”认为,内部控制是内生于公司财务价值链之中的因素,其首要目标是服务于公司的价值创造(李心合,2007;李万福,林斌,宋璐,2011)。照此理解,内部控制效率主要体现在公司价值的增量上,其评价自然就应该以公司价值的相关概念如企业市值、会计利润等为基本元素来建立自己的理论框架和设计相应的考核指标。而“风险降低论”则是将内部控制等同于风险管理,或者是把内部控制视为风险管理的一部分(杨雄胜,2005;COSO报告,2004;谢志华,2007;英国Turnbull报告,2005等)。在这种观点下,既然内部控制的本质是一种风险管理活动。那么,其效率必然体现在风险程度的降低上。因此,就应该以风险降低程度、损失减少金额等相关概念为基础来建立内部控制效率评价的理论框架和设计相应的考核指标体系。很显然,这两者关于内部控制效率的认定基础、体现指标和评价结论是完全不同的。在前一种观点下,企业价值指标值越大,意味着内部控制效率越好;而在后一种观念下,企业风险值越小,则意味着内部控制效率越好,两者的性质和评价方向是正好相反的。对于这两者如何选择,我们的意见是,以“价值创造”为核心来构建内部控制效率的理论框架,同时将“风险降低论”归置在“价值创造论”之下来建立统一的评价指标体系。这一思路既符合内部控制向价值创造导向进行转型的发展趋势(李心合,2007),也符合风险管理的属性特征。具体理由是:第一,“价值创造”反映着内部控制的本质属性。内部控制虽然强调制衡和监督,但是本质上还是通过规避风险来增加公司的价值。第二,“价值创造”反映着内部控制的终极目标追求,而“风险降低”只是内部控制的一个过渡性目标。现实中,企业不能为内控而内控,而是需要将内部控制置于企业价值创造这一框架之下并且服务于这一主旨才有实际意义。第三,以“价值创造”为标准能够保证考核评价结论的统一性,避免评价结论可能出现的相互矛盾。(三)执行效率至上论的评价思想企业的内部控制系统有设计和运行两个基本环节,因此,对于内部控制效率也可以从这两个节点上进行观测和衡量。其中,设计效率通常指内部控制设计的成效。对于其效果衡量,理论上既可以按照成本—收益之间的对比关系来计算,也可以根据控制制度的严密程度来衡量。目前的情况是,由于制度设计成本和制度控制收益的数据体系没有建立起来,得不到相关的数据,因此实务中基本上是根据内部控制制度设计的合理性、严密性来认定内部控制制度的设计效果。如果内部控制制度没有缺陷,就认为内部控制设计是有成效的。反之,就是无效的。这样以来,本该进行量化的内部控制设计效率的衡量问题就被简化成了对内部控制完整性的定性分析了。这也是内部控制效率衡量时需要解决的问题之一。执行效率是指内部控制制度在实际执行中表现出来的实际效果。目前尽管大家对内部控制效果的内在含义、外围边界、构成内容等尚存有异议(李万福,林斌,宋璐,2011),但是,其在增强企业资产安全性、财务信息可靠性、经营合法合规性及提高经营效率效果等方面的积极作用已经被理论界和实务界所广泛认可。按照原本含义,这种成效应该根据控制制度实施之后在上述控制目标上所体现出来的实际效果来衡量。但是,实际上目前却是采用符合性测试程序,根据岗位操作行为和制度规范之间的比对来完成的。如果岗位操作行为和制度要求一致的话,就认为内部制度执行是有效的。反之,就是无效的。如此以来,执行效率的衡量并没有和目标类指标直接相联系,使得执行效率的观测和衡量与控制目标无法对应,发生了偏离。真正的执行效率并没有被完全的观测到和提取出来。这已经成为内部控制效率计量中非常明显的一个缺陷。设计效率和执行效率,由于其观测点位不同、反映内容不同,注定其评价结论必然存在着较大差异,甚至可能出现矛盾。理论上,在对设计效率和执行效率评价之后,两者之间可能会出现以下几种组合:第一,设计效率和执行效率都低;第二,设计效率和执行效率都高;第三,设计效率高、执行效率低;第四,设计效率低、执行效率高。在上述四种组合分布中,第一和第二种由于两者相互一致,比较容易做出合理的解释。但是,对于第三和第四种组合来说就可能遇到判断上的困难。比如,对第三种情况来说,既然执行效率低或者说控制制度根本没有得到贯彻执行,那么这种情况下能够得出控制制度完善和具有可行性的评价结论吗?显然讲不通。同样的困局也会发生在第四种情况上,既然设计效率低或者说内部控制制度本身就不完整、不具有可行性,那么怎么可能会有较高的执行效率呢?如果有的话,这种较高的执行效率又是来自于哪里呢?如此等等,目前的理论不仅无法给出一个合乎逻辑的解释,而且实务中也给企业的内部控制管理带来了一些难题。因为它们会陷入迷惘,无法对内部控制效率的整体结论做出准确的判断。对于上述设计效率和执行效率可能出现的评价结论的背反现象,我们认为,重要的是需要找到设计效率和执行效率的共同基础,然后在基础上形成一个统一的评价结论。对此,我们的意见是,坚持“执行效率至上论”的评价思想。也就是说,当设计效率和执行效率不一致时,以执行效率的高低为统一标准来评价内部控制的整体效果。这实际上是实践检验标准或者是“重结果而不重过程”的评价思想在内部控制上的体现。其合理性的意义在于:一方面,结果导向的评价思想有助于提高内部控制的实际效果;另一方面,在内部控制链条中,执行是设计的后续环节。提高设计效率的目的就是为了提高制度的执行力。高效率的内部控制设计应该通过内部控制执行效率的提高得以体现。因此,以执行效率为统领来评价内部控制的整体效率也具有逻辑上的合理性。按照这种评价思想,如果内部控制执行效率低,就意味着内部控制设计上一定存在着缺陷。反之,如果内部控制执行效率高,也就可以反推证明,企业的内部控制设计一定是比较完整、具有可行性的,或者说虽然形式上可能不完整、不严密,但是却是最贴合企业实际的简单而管用的。因为,无论从理论还是从管理实践上讲,一个不具有可行性的控制制度在实际中是不可能得到贯彻和执行的。(四)在总体效率评价上,应综合采用各要素的上升方式来衡量内部控制效率与内部控制目标存在着对应性。控制效率反映着可以衡量的控制任务的完成结果。按照控制效率与控制目标之间的对应关系,内部控制效率可以分为资产安全效率、财务报告可靠性效率、经营活动合规合法效率、经营效果效率、战略管理效率等分项效率。这些分项效率反映着与内部控制目标相对应的内部控制的各个侧面和重点。它们之间既是相互独立的,也是相互联系的(日本会计审议会,2007)。因为一个类别的目标可能会与另一个类别的目标交叉或者支持另一个目标(COSO,1997)。在实际工作中,企业通常将控制目标分解嵌入作业流程,分配到一个或者几个部门或岗位,共同支撑着整个内部控制系统的运行。内部控制的各个要素也同时体现在该系统的各种关系中并发挥着作用。目前对于内部控制的分项效率,已经存在着基于审计测试所发展出来的理论概念和方法体系,但是,对于内部控制整体效率而言,却迄今为止还没有一个令人信服的理论分析框架。甚至对于整体效率与分项效率之间的关系都缺乏一个清晰而合乎逻辑的解释。这种理论滞后也直接影响到了内部控制整体效率评价方法的研究和设计问题。目前对于内部控制整体效率的衡量,学术界主要有两种研究倾向和效率评价建议:一种是先计算出各个分项效率,然后按照权重相加而形成内部控制的整体效率。即将资产安全效率、财务报告可靠性效率、经营活动合规合法效率、经营效果效率、战略管理效率等分项效率赋予一定的权重,然后相加得出内部控制效率的综合性评价。这种方法的合理性在于其假设内部控制的各个单项控制措施对总体控制效率的贡献和影响是不同的。但是,其并不具有现实可行性。因为实务中我们很难找到一个合理的依据来确定各个单项控制措施的权重系数。另一种是按照内部控制的组成要素先测试各个控制要素的效率,然后再简单加总而形成内部控制的整体效率。这种评价方法的重心在于测试对内部控制系统的设计和执行效果,但是它没有和控制目标建立起必然的联系,无法直接反映控制目标的完成程度;而且就内部控制结构本身来说,各个控制要素的效率简单相加之后是否等于总体的控制效率,也缺乏足够的理论依据和说服力。我们认为,目前在内部控制总体效率评价上之所以遇到一些困难,主要是对整体效率与分项效率之间的关系,以及在整体效率衡量的基本思路上存在着误区,以至于大家误以为将分项效率以某种形式进行综合或者相加之后就可以形成整体效率。其实这是一种认识角度和认识路径上的误解。因为在和内部控制目标相对应的各个分项控制效率中,资产安全效率、合法合规效率、财务报告可靠性效率、经营效果效率、战略管理效率并不是平行独立的关系,而是存在着一种呈梯次状态的、由单一内涵向综合内涵的递进包含的关系结构。其递进包含顺序是:(1)合法合规性效率包含了财务报告可靠性效率。因为财务报告的可靠性是根据遵守会计准则和相关规范的情况来判断的;(2)经营效果效率包含了合法合规性效率和资产安全性效率由上述分析可知,内部控制效率实际上存在着低级、中级和高级三个递进层次。低级的控制效率仅包含单一的目标内容,中级效率反映着两个以上的控制目标的要求,高级效率综合了所有的控制目标,反映着企业整体意义上的控制效率。这样看来,战略管理效率无疑应该是反映企业整体控制效率的最佳选择。然而,实际上由于战略管理效率是面向未来时间的,和基于本期业绩考评的时间要求不一致,因此在实践中比较合理而且又务实性的选择是以经营效果效率作为反映企业内部控制整体效率的评价指标。这是因为:一方面,在内容上经营效果效率和战略管理效率都具有同样的综合性和概括性,都能够反映和体现企业内部控制的整体效率;另一方面,经营效果效率是现在意义上的效率,可以反映企业本期或者本年度在内部控制领域从设计到执行、从资产安全控制到战略管理执行的所有努力和管理成效。按照这种评价思想,如果企业的经营效率高,那么就意味着内部控制各个分项效率综合之后的效果好,或者是高低分项效率之间相互抵减之后的净控制效果最好,而不需要再对各个分项效率进行人为的主观打分,然后相加去评价企业的内部控制整体效率。(五)控制措施与控制目标间的非线性对应关系,可能产生“误差”从严格的科学意义上讲,无论是分项效率还是总体效率,其真实效率由于其内在的复杂性都是无法完全观测到的。即对于我们来说,内部控制效率其实就是一个“黑箱”。人们所能够观测和计算的,只是我们可以在某个(或某些)目标上能够观察到并且又可以用财务指标(或非财务指标)进行测算的那部分效率。这一部分效率又称为可测效率。这就决定着企业对内部控制效率的评价,只能建立在可观测效率的概念之上。而在真实效率和可测效率之间,由于一些主客观因素的影响,必然存在着一定程度的观测误差或者“噪音”问题。其影响因素之一是,控制措施与控制目标之间的非线性对应关系。在内部控制系统设计时,尽管人们总是想方设法地使控制措施与控制目标之间保持清晰的对应关系。但是,实际上要做到这一点是非常困难的,甚至是不可能的。因为控制措施与控制目标之间经常会出现一对一、一对多、多对一、多对多等复杂的网络化关系。这种复杂结构无疑大大增加了对控制效率的观测难度。影响因素之二是,对观测指标选择的局限性。观测指标是根据控制目标设计的,用于捕捉和计量控制措施实施之后体现在控制目标上的或好或坏的变化。这些变化是各种控制措施执行之后发生的管理效应传递的结果。从理论上讲,如果人们具有充分的理性,能够设计出完备的观测指标体系,那么就可以观测到发生在控制目标上的所有变化,从而对控制效率做出完全准确的衡量。然而,现实情况是,由于受“有限理性”的限制,人们根本不可能设计出足够多的和足够精确的观测指标,这就使得人们无法观察到发生在控制目标上的所有变化,或者在评价各种控制措施的管理效率时必然存在着一定程度的遗漏。三、控制效率的认定测度是人们从数量上精确认识社会与自然现象的手段。在管理学中,测度是通过指标或者指标体系来实现控制目标和控制结果之间的连接和对比,从而对控制效率做出认定和评价。因此,内部控制效率测度的核心问题就是需要设计出与内部控制目标的内涵要求相一致,同时又覆盖内部控制过程和反映相关岗位工作人员业绩的指标体系。本着这一思想,我们认为,可以建立如图2所示的由三类11个指标构成的指标体系来实现对内部控制效率的计量。(一)盖率质量从投入-产出的角度理解,内部控制设计环节产出的固化对象是企业的各种控制制度。因此,其工作效率的高低,一是体现在所设计的控制制度的质量上;二是所投入的设计成本是否具有良好的性价比。为此,我们可以通过两组指标来衡量其效率:一组用来反映控制制度的质量;一组用来反映设计制度的成本。具体指标如下:(1)覆盖率。该指标用来考核内部控制制度的全面性。理论上讲,百分之百的覆盖率是指企业的内部控制制度应该涵盖企业的所有业务和所有的作业流程,不能有空白点。作为经验性的判断法则是,我们可以沿着纵向控制链条看控制制度能否上至董事会、下至基层员工,涵盖他们所有的活动;沿着横向控制链条看控制制度能否涵盖从供、产、销到售后服务等所有部门、所有岗位。如果控制制度能够上下到底、左右到边,就说明其达到了全覆盖,即覆盖率为100%。(2)一致性。该指标反映各项内部控制制度之间的相互衔接程度。这种一致性,一是体现在各项控制制度的目标指向具有统一性;二是体现在各项控制制度所界定的岗位职责权限清晰、边界明确,相互之间既能够衔接而又没有大面积的交叉重叠。(3)可行性。该指标反映着内部控制制度在企业实务中的可操作程度。在实践中,主要指制度实施所需要的条件是否具备以及实施控制制度可能带来的成本与收益的对比结果。如果预期的控制收益或者减少的风险损失比较明显,通常认为是可行的。否则,就是“小题大做”,“得不偿失”,不具有可行性。(4)设计成本。该指标反映企业在内部控制设计过程中的投入程度。其指标形式,既可以用设计成本的绝对额表示,也可以采用设计成本与内部控制制度个数之间的相对比率来表示。指标的含义是,同质量的内部控制制度体系,其设计成本低,则意味着工作效率高;反之,亦然。(二)实际效率质量控制内部控制制度的执行,可以从执行过程和执行结果两个方面来考察其实际效率。其中,前者反映着内部控制执行过程和事前设定的控制制度的一致性程度;后者侧重于行为效应传递到被控对象之后所产出的效果大小或者反应是否显著,反映着内部控制实施之后所产生的经济后果。1.测定项目的确定内部控制执行过程的效率主要反映着内部控制制度在工作中是否被执行以及执行到位的程度。其衡量标准是行为过程和规定标准之间的比对。具体测量,既可以通过正向的符合率指标来完成,也可以通过反向的失控率指标来进行。实际测量时,前者可以采用符合控制规范的观测点除以全部或者抽样观测点的个数来计算。后者则使用不符合行为标准的观测点除以全部或者抽样观测点的个数来计算。无论采用符合率还是失控率,执行过程效率的测度和评价,在实际测量时都应该针对着某个岗位而不是整个企业来进行。因为在实际工作中,控制任务已经被分解到各个工作岗位。只有通过岗位效率的测评,才能在全样本或者抽样的基础上来完成对整个企业内部控制制度执行过程的效率评价。2.设计效率与执行效率的度量执行结果效率是体现在控制目标上的效率。这是从产出角度对内部控制效果的测度。因此,其和内部控制目标之间存在着明显的对应性,而无论这种对应关系是一对一的简单关系,还是一对多、多对一、多对多的较为复杂的关系。根据内部控制措施实施后控制效应可能导致的被控制对象所发生的结果变化,对于执行结果效率的观测和衡量可以通过如下指标来完成。(1)资产损失率指标。该指标和资产安全性目标有着直接的对应性,反映着资产安全目标的完成程度。同时还可以体现合法合规性目标的执行情况。(2)信息(或财务信息)真实率。该指标主要反映财务信息真实性目标的完成情况。财务报告信息真实性,从职业角度讲,其实就是指对会计准则和相关规范的遵守情况。真实性信息也就意味着财务报告的编制和相关信息的确认、计量等符合会计准则和相关规范的要求。因此,会计信息真实率虽然和财务报告真实性目标是直接对应的,但它同时也和合法合规性目标存在着明显对应关系,是作为合法合规性目标中的一个专门法规的遵守情况而存在的。(3)诉讼次数。该指标反映着企业在合法合规性目标上的控制效果。(4)罚没支出。该指标是反映合法合规性的另一个指标。其与诉讼次数的区别在于它是一个价值指标,表明在合法合规性目标上失控所导致的最终经济后果。从性质上讲,它比诉讼次数更能够说明在合法合规上的失控严重性。因为诉讼次数多未必导致经济损失,企业尚有胜诉的可能性。而如果发生罚没性支出,则意味着企业存在着一定程度的过错并要承担相应的经济责任。(5)资产利润率。该指标在性质上直接对应着经营效果效率目标,但同时又和合法合规性目标、资产安全性目标、财务报告信息真实性目标和战略管理目标有显著的对应与关联性。因此,具有高度的综合性特征,可以反映企业整体内部控制效率的高低。(6)企业价值。该指标也是综合反映企业经营效果效率目标实现程度的指标之一。其与资产利润率不同的是:一则该指标主要适用于上市公司;二则它的计量基础是资本市场的价值而不是会计数据。所以,受企业外部因素影响比较大。(7)市场占有率。该指标可以衡量一个企业的销售收入在市场同类产品中所占的比重。由于同行业之间具有明显的相互竞争关系,因此这一指标在某种程度上可以用来说明企业的竞争优势和战略管理的成效,并对资产利润率指标、企业价值指标起到一定的补充作用。上述反映内部控制设计效率与执行效率的11个度量指标中,从指标数据的性质和获取方式来看,有些指标的数据,如设计成本、资产损失率、诉讼次数、罚没支出、资产利润率、企业价值、市场占有率等,都可以从企业日常会计核算资料与统计数据中直接得到,或者通过简单的数据处理而分拣、提炼所得出。而有些指标的数据,如覆盖率、符合率、失控率、一致性、可行性,则需要借助于专门的符合性测试程序和抽样审计技术来获得数据及形成评价结论。这就决定着与这些指标相对应的内部控制效率评价不可能经常地(如每月)进行,而是需要间隔较长的时间和花费较大的评价成本。此外,对于其中反映内部控制体系质量特征的评价指标,如一致性、可行性等,由于在评价时需要借助于逻辑结构分析方法和职业判