企业内部控制测评体系研究
内部控制测评是指审计人员通过调查了解被审计单位内部控制的设置和运行情况，并进行相关测试，对内部控制的健全性、合理性和有效性做出评价，以确定是否依赖内部控制和实质性测试的性质、范围、时间和重点的活动。开展内部控制测评的目的在于，通过测试评估被审计单位的内部控制体系是否实现业务流程的全覆盖、内部控制体系是否按预期发挥作用以确保企业的经营战略能高效而经济地实现。
内部控制测评已经越来越广泛地被当作企业持续规范运营的重要手段，并作为持续完善内部控制体系建设的重要组成部分。
一、企业内部控制测评体系现状
2008年，财政部等联合颁布《企业内部控制基本规范》（下称《规范》）要求企业进行内部控制自我检查评价，2010年财政部等五部委联合发布《内部控制配套指引》（下称《指引》）从内部控制审计、应用和评价三个方面对内部控制进行了规范，这标志着企业内部控制测评体系框架基本确立，这种理论格局一直保持并沿用至今。
在内部控制测评实际操作层面，目前普遍流行的做法分为两个两类：第一类是从控制环境、风险评估、控制活动、信息与沟通和监督五个维度开展测评工作。第二类是审计人员将企业的内部控制活动分为销售与收款、采购与付款、生产与费用、筹资与投资等业务循环，从企业关键业务流程入手，开展全方位的内部控制测评工作。
2014年，中国证券监督管理委员会、财政部联合发布的《公开发行证券的公司信息披露编报规则第21号――年度内部控制评价报告的一般规定》（下称《规定》）要求，上市公司在股份公司及其分、子公司开展内控测评价，以达到掌握公司内部控制实际情况、编制并披露《年度内部控制报告》的目的。由于暂未有相关规定强制其他企业执行内部控制测评，因而内控测评工作较广泛地在上市公司及其分子公司中开展。
二、企业内部控制测评体系存在的问题
（1）测试标准和规范的可操作性不强。测试是评价的基础，测试依据的标准和规范直接影响评价质量。审计署发布的《审计机关内部控制测评准则》只从控制环境、风险评估、控制活动、信息与沟通和监督五个要素做了原则性的规定，并无可供执行的操作细则。在内部控制测评价工作实践中，审计人员只能依据原则制定操作流程，这很大程度上影响了评价结果质量，削弱了内部控制测评工作本身对促进管理的价值。
（2）测试手段单一，应对作弊能力不高。审计人员常用的内部控制测试手段有观察、访谈、检查文件以及流程再执行等。在开展内部控制测试工作时，由于工作手段比较单一，受限于测试人员能够看到的外在表象和文件材料，以及在访谈中相关人员的工作描述，在应对被审计单位人员隐瞒、材料作弊的能力十分有限，可能影响评价结论。
（3）内部控制缺陷重要性评价体系缺失。在实际内部控制测评工作中，由于没有内部控制缺陷重要性评价体系，审计人员只能参考《审计机关审计重要性与审计风险评价准则》，判断潜在缺陷对被检查单位的预算收入或支出总额、资产总额、净资产、营业收入总额、净利润等可能产生影响作为判断基础，对内部控制缺陷的重要性做出判断。专门针对内控测试评价指标体系的缺失，很大程度上影响了内部控制测评的信度。
（4）内控测评工作的价值被低估。《规定》明确指出，开展内控测评的目的就是披露《年度内部控制报告》，但并未就报告中披露的内控缺陷整改落实期限、质量要求和责任做出明确要求，存在重视测评、轻视整改落实的情况。内部控制测评在规范公司运营、降低企业运营风险的重要作用没有得到充分的发挥，工作价值被低估。
三、完善企业内部控制测评体系的对策
（1）制定内部控制测试操作细则。在内部控制测试工作过程中，执行明确的操作细则有利于降低因审计人员个人偏好给测试取证工作带来的负面影响，为审计负责人加强内部控制测评质量控制和监督提供依据。内部控制测评操作细则更应统筹考虑测评工作各主体、全过程进行规范。例如，审计人员应当于审计工作开始前几天发布审计通知、审计所需材料清单及其各项材料的质量要求、统计数据的模板等、内部控制测评访谈应该从哪几个方面开展、抽样样本数量应当占总体样本的指导比例、缺陷样本的确认及其缺陷程度的认定、内部控制测评结论编制责任以、缺陷整改落实及反馈责任的界定等。
（2）创新内部控制测评手段，提高抵御风险能力。传统内部控制测评手段的优势在于其可以无边界地触及到企业内部控制的每一个环节，可以帮助审计人员发现可能存在的问题。正是由于这些手段的开放性，审计人员可能无法通过观察、询问、检查等手段获取客观的信息，导致内部控制测评工作产生超额的工作量、增加内控测评工作的成本。因此，创新内部控制测评工作手段，就显得十分必要。例如，关注同行企业内部控制测评报告中常出现的问题，进行“对照式”测评、“带着问题”就发现某些涉及企业经营管理的重大问题开展专项内部控制测评、与财务审计合并开展内部控制测评等。
（3）建立内部控制测评缺陷评价体系。评价是内部控制测试的结果，评价的质量直接决定着内部控制测试的质量，因而通过量化指标计算出内部控制缺陷，从而确定其重要性水平，应当是提升内部控制测评工作质量的题中之意。建议建立统一的内部控制测评缺陷重要性评价标准，即当何种控制条件不具备时，对企业内部控制的影响程度的重要性水平、各种抽样样本占总体样本比下的缺陷重要性水平等，从内部控制和公司治理的高度，为企业提供高质量的内部控制测评专业的结论。
（4）颁布内部控制测评缺陷整改落实指引。作为《规定》的配套措施，颁布《内部控制测评缺陷整改落实指引》规定整改落实的期限要求、质量标准，监督、检查措施、信息披露要求等，重视发现问题的同时更加注重缺陷的整改落实，充分发挥内部控制测评工作的重要价值。
四、结论
内部控制体系建设是企业建立健全现代企业管理制度的必由之路，也是上市公众公司加强公司治理、增强企业持续经营能力、满足监管机构要求的必然选择。内部控制测评是内部控制体系建设自我优化的重要手段。作为新兴的专业领域，无论是理论建设层面还是在实际操作层面，企业内部控制测评都需要从测试操作细则、评价指标体系以及工作手段和内部控制专项工作价值提升等方面不断摸索、总结、提升。
（作者单位为深圳海油工程水下技术有限公司）
