【編者的話】
加強企業(yè)內控制度建設能夠有效防范經營風險，然而對內控制度應當如何進行評價，尚缺乏明確的標準和方法，建立一套完善的、具有可操作性的企業(yè)內控評價體系勢在必行。
本期財務監(jiān)管專欄的主題即為內控制度評價，著重分析了內控制度評價標準體系的框架和關鍵要素，同時通過案例分析展示企業(yè)集團加強財務內控的實踐經驗。
鄒慷行/文
企業(yè)內部控制評價是對內部控制執(zhí)行有效性的檢測，目前我國的內部控制評價標準體系尚未建立。今年3月，財政部發(fā)布了財會便（2007）7號關于印發(fā)《企業(yè)內部控制規(guī)范-基本規(guī)范》和17項具體規(guī)范（征求意見稿）的通知，其目的在于推動國內上市公司實行內部控制自我評價制度和注冊會計師審計制度，填補企業(yè)內部控制標準的空白，從而為建立企業(yè)內部控制評價體系打下基礎。
在實際審計工作中，對被審計單位企業(yè)的內部控制進行評價，必須要有一套客觀可行的基本參照標準。這套標準不僅可為企業(yè)自我評估和改進其內部控制以及注冊會計師發(fā)表評價意見提供依據，還可以為各方面的溝通與理解提供統(tǒng)一的基礎。我國在內部會計控制的建設與完善方面雖已進入起步階段，但有關內部會計控制的標準和評價體系較為薄弱，制約了企業(yè)內部控制的有效執(zhí)行。因此，建立一套完善的、符合實際的、具有可操作性的企業(yè)內部控制評價體系已勢在必行。
內部控制評價體系框架
研究、制定一套具有統(tǒng)一性、公認性和完善性，既符合實際又具有可操作性的評價標準體系，應從目標定位、內容范圍以及設置方式等方面來綜合考慮，既可以從企業(yè)管理與控制的目標入手，也可以從內部控制要素入手。但無論怎樣，企業(yè)內部控制評價標準都可以分為一般標準和具體標準兩部分，一般標準以具體標準為基礎，同時也是具體標準的升華，二者相輔相成，缺一不可，共同構成一個完整的評價體系。
這里所說的一般標準大致包括3方面，即完整性、合理性、有效性。具體標準由內部控制要素評價標準和作業(yè)層級評價標準兩部分組成，其中要素評價標準可分為5個方面，即控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)督；作業(yè)層級評價標準因其繁瑣復雜，難以窮盡，如以生產性企業(yè)為例進行框架構建，可分為5個業(yè)務循環(huán)，即銷售業(yè)務循環(huán)、購貨業(yè)務循環(huán)、生產業(yè)務循環(huán)、薪金業(yè)務循環(huán)和理財業(yè)務循環(huán)。在內部控制評價的具體標準中，要素評價標準以作業(yè)層級評價標準為基礎。
一般標準測試的3大方面
首先是完整性。企業(yè)內部控制是否完整是評價一般標準中首要的一條，同時又是基礎。若內部控制的完整性都達不到，則內部控制的合理性與有效性就無從談起了。
從系統(tǒng)的觀點出發(fā)，可以從企業(yè)資源利用角度去審視：應有“人力資源控制系統(tǒng)、物力資源控制系統(tǒng)、財力資源控制系統(tǒng)、信息資源控制系統(tǒng)”；從經營環(huán)節(jié)角度去審視：應有“供應環(huán)節(jié)控制系統(tǒng)、生產環(huán)節(jié)控制系統(tǒng)、銷售環(huán)節(jié)控制系統(tǒng)”；等等。在對內部控制的完整性作出判斷時，還應當考慮到企業(yè)經營規(guī)模及業(yè)務復雜程度的影響。一般情況下，企業(yè)經營規(guī)模愈大，業(yè)務復雜程度就愈高，對內部控制的完整性要求也愈高。
其次是合理性。企業(yè)設置內部控制切忌照抄照搬，因此應當考慮企業(yè)內控設計和執(zhí)行時的適應性和經濟性。因為，企業(yè)所處行業(yè)、組織規(guī)模、交易性質、經濟技術條件、人員素質等方面存在著很大的差異，不同的企業(yè)就應當根據其不同的特點設置內部控制制度。
在對某一企業(yè)評價其內部控制的適用性時，要注意控制點的設置是否合理，有沒有安排過多或不必要的控制點；在每一個需要控制的地方是否都建立了控制環(huán)節(jié)；控制職能是否劃分清楚；人員間的分工和牽制是否恰當，既不能分工過細，又能起到相互牽制的作用。同時，內部控制的適用性要以經濟性為限制條件。
第三是有效性。企業(yè)內部控制的有效性應該體現在是否能為提高經營效益、提供可靠財務報告和遵循法律法規(guī)方面提供合理保證，有效性是內部控制的精髓。在內部控制評價的3個一般標準中，內部控制的有效性以其完整性與合理性為基礎，內部控制的完整性與合理性則以其有效性為目的。
在對企業(yè)內控制度的有效性進行審核評價時，要注意內部控制不僅僅需要在總體上是有效的，而且需要各項具體制度也要有明確的目的并發(fā)揮其自身的作用。要審核內部控制系統(tǒng)是否相互協(xié)調，自相矛盾；是否顧此失彼、相互制約；是否有利于整體功能的發(fā)揮。要關注內部控制是否適度，如果過嚴則會使管理活動失去活力，影響相關方積極性的發(fā)揮；過寬又會引起運行的機制失調，達不到控制目的。
具體標準測試的5大要素
在對內控制度進行評價時，只有先從操作性較強的具體標準入手，對具體內控制度的設計與運行有了認識之后，才能從整體上對企業(yè)內部控制的完整、合理、有效作出判斷。對具體標準的評價方法常用的有“詢問、觀察、檢查、重新執(zhí)行”。企業(yè)內部控制評價可以按下列步驟展開：
首先是企業(yè)控制環(huán)境。以《上市公司內部控制指引》為依據，對企業(yè)進行測評。主要有：企業(yè)治理結構是否完善，董事會、監(jiān)事會和股東大會等管理架構是否合法運作和科學決策；是否建立有效的激勵約束機制和樹立風險防范意識；企業(yè)管理層及業(yè)務環(huán)節(jié)是否開展內控培訓，讓內部風險防范成為高管的共識；是否培育良好的企業(yè)精神和內部控制文化，創(chuàng)造全體職工充分了解并履行職責的環(huán)境；企業(yè)高管人員和采購人員是否簽訂誠信承諾書，對所有的重要原材料及設備供應商，在購銷活動中首先簽訂陽光協(xié)議，要求其操作過程透明公開，禁止商業(yè)賄賂等行為。
其次是企業(yè)風險。企業(yè)管理層應對影響企業(yè)目標實現的內、外部各種風險進行分析，考慮其可能性和影響程度，制定必要的對策。在對企業(yè)風險防范作測評時，應重點關注企業(yè)是否建立完整的風險評估體系，是否建立審計委員和風險管理部門，是否對經營風險、財務風險、市場風險、政策法規(guī)風險和道德風險等進行持續(xù)監(jiān)控；是否對已發(fā)現的企業(yè)各類風險有控制措施，如內控制度執(zhí)行情況的檢查和監(jiān)督，以及相關制度是否向子公司延伸，以確保子公司的經營安全。
同時，還要關注對相關業(yè)務項目及已知風險點是否進行定期檢查評估、提示及完善，如在日常經營風險管理中對“重大采購二次詢價”，建立“不合格供應黑名單”是否有實時監(jiān)控。是否對客戶建立資信信息檔案、是否定期梳理與公司發(fā)展戰(zhàn)略不符的業(yè)務或項目等等。
第三是企業(yè)控制活動。企業(yè)管理層為確保風險對策有效執(zhí)行和落實所采取的措施和程序，主要包括批準、授權、驗證、協(xié)調、復核、定期盤點、記錄核對、財產的保護、職責的分離、績效考核等內容。
在對企業(yè)控制活動測試時，要重點審核組織機構方面采取的控制活動和內控制度方面采取的控制活動。在組織結構方面重點審核：機構、崗位及職責權限是否合理設置和分工，不相容職務是否相互分離，是否成立相關法律事務部門和職能，對采購與驗收等環(huán)節(jié)是否設置相互監(jiān)督制度，做到人員分離。企業(yè)是否把業(yè)務流程作為內部控制制度建設的重點，設置關鍵控制點和反饋系統(tǒng)。在內控制度建設方面重點審核：企業(yè)是否制定了董事會的議事規(guī)則、總經理事權規(guī)則、財務管理制度、采購管理制度、投資管理制度、合同管理制度、子公司管理制度、內控檢查監(jiān)督制度等。
第四是企業(yè)信息與溝通。在對企業(yè)信息活動測試時，要重點審核公司是否已制定公司內部信息和外部信息的管理政策，確保信息能夠準確傳遞，確保董事會、監(jiān)事會、高級管理人員及內部審計部門及時了解公司及其控股子公司的經營和風險狀況，確保各類風險隱患和內部控制缺陷得到妥善處理;公司的日常業(yè)務包括資產、財務管理等是否實行流程表單化管理和建立ERP系統(tǒng)。
第五是企業(yè)檢查與監(jiān)督。在對企業(yè)該項活動測試時，要重點審核公司是否已制定了內部控制檢查監(jiān)督辦法，該項工作是否在董事會或審計委員會直接領導下，有風險管理部門或審計部門具體負責實施，并有相關制度。如：基建項目是否有竣工決算審計制度、主要領導的離任是否實施責任審計，重大投資、擔保、抵押、關聯(lián)交易是否建立審核會簽制度；以及是否有對公司重要物資、設備、原材料定期盤點和不定期的抽查制度，對公司現金、銀行賬戶的抽查制度等。
綜上所述，注冊會計師對企業(yè)內部控制作出評價，包括被評價的企業(yè)內控制度是否符合我國有關法律法規(guī)和證券監(jiān)管部門的要求，是否對企業(yè)重大風險、嚴重管理舞弊及重要流程錯誤等方面有控制和防范作用等，都有賴于建立一個完善的企業(yè)內部控制評價標準體系。相信通過有關部門的高度重視和實踐的積累，一套比較成熟的、適合中國國情的企業(yè)內部控制評價標準體系不久將會建立。
