简论以评价促进企业内部控制有效性的提升
虽然内部控制的重要性对一个企业来说是显而易见的，但是当一个企业的运转还算正常时，企业的负责人往往不会太重视，只有当企业出现危机，企业的治理结构发生变化或者受到其他外来因素刺激，比如公司即将上市或将被检查时，这个问题才会真正提上议事日程。因此，总体而言，国内许多企业的内部控制环境都不太理想，一些企业虽然已经建立起内部控制体系，各种制度也很全面，但实际效果并不明显。要改变这种状况，必须从企业内部控制有效性评价入手，具体地说，必须重点把握好以下几个问题。
一、内部控制有效性评价前应把握的两个问题
定期开展内部控制有效性评价，出具评价报告并向社会公开，是《企业内部控制基本规范》的明确规定。这一规定要得到很好地落实，必须确定评价的目的和要求。
（一）开展有效性评价的目的
开展企业内部控制的有效性评价，就是要检查企业建立与实施内部控制之后能在多大程度上保证企业内部控制目标的实现。具体地说，需要从内部控制的设计和内部控制的运行等两个方面来衡量。对内部控制设计是否有效的评价就是要看实现控制目标所必需的内部控制要素是否都已具备，并且设计是否合理。与之相适应，开展评价的目的就是要弄清楚以下问题：1.在发现并纠正财务报告中的重大错误方面，是否设计了相应的措施加以预防；2.在保障资产的安全方面，是否设计了相应的措施加以控制；3.在保证企业遵规守法方面是否设计了相关控制措施；4.在帮助提供企业经营效率、实现发展战略方面是否设计了有效措施。而检查企业内部控制运行的有效性就是要弄清楚现有的各种内控举措是否按规定得到了正确的执行。与之相关，进行评价的目的就是要掌握以下几个方面的情况：1.在评价期内，相关控制是如何运行的；2.相关控制的运行是否前后一致；3.控制人员必要的权限和能力是否已经具备；4.是否采用预防性控制、自动控制、人工控制等相关运行控制方式等。通过对上述两个方面情况的了解来预防和化解企业风险。
（二）进行有效性评价的要求
不同的企业，进行内控有效性评价的具体要求可能会不一样，但总体要求是差不多的，就是既要全面，又要突出重点；既要符合一般规定，又要考虑企业实际。具体地说，主要有以下三个方面的要求：一是内部控制评价应该尽可能系统全面，评价的范围应当包括内部控制设计与运行这两个方面，应该能够覆盖到企业的各项业务、各种事项，应该是对企业控制目标实施的全方位评价；二是内部控制评价应尽可能突出重点，主要是突出风险导向，要弄清楚企业发展的风险重点会发生在哪个领域、哪些环节，这些风险可能会产生哪些实际后果，必须找出企业发展中可能遇到的重点问题，不能眉毛胡子一把抓；三是内部控制评价不能忽视本企业的实际，必须考虑到企业目前的发展规模、所处的发展阶段、内外的环境状况、自身的业务特点等情况，要以事实为依据，以法律和政策为准绳，确保评价的结果能够得到充分的证据支持，确保评价工作能够对企业的发展有所帮助。这三个方面的要求分别体现了点与面，事实判断与价值判断的结合，缺一不可。
二、内部控制有效性评价组织与实施中的关键点
企业内部控制有效性评价的标准和要求确定之后，必须重点做好评价方法的选择、评价过程的管控以及评价结果的确认，这是评价工作是否成功的关键。
（一）恰当选择评价方法
内部控制有效性评价的方法很多，但主要有详细评价法和风险基础评价法这两种。前者主要是按照国际通行标准来设计内部控制框架，审视评价对象的内部控制的各种要素是否具备、设计是否合理，并通过相应的程序来测试运行的情况，最后对各种测试结果综合考虑，得出一个总体性的评价结论。后者实际上是一种从风险到控制的评价，评价工作的起点是评估对象要实现的目标及其对应的风险，评价的内容是企业应对这些风险的内部控制措施是否充分，评价工作的关键是收集到企业内部控制运行有效性的各种证据，在此基础上，最终对内部控制是否存在重大缺陷、是否构成重大漏洞作出认定。这两种方法各有利弊，前者简单易行，后者要求较高。
从操作上看，评价方法的选择应该根据被评价单位的情况以及评价的内容来确定。具体地说，可根据实际情况组织调查问卷，开展个别谈话、进行实地勘察，可考虑采用穿行测试法、抽样分析法等一些具体方法，充分收集被评价对象内部控制设计与运行情况的各种证据。尽量保证这些证据充分、适当，尽量保证所获取的证据能形成证据链，能为形成评价结论提供合理保证，或者说能反应实际情况或者说与实际工作具有高度的相关性。
（二）优化完善评价程序
企业开展内部控制有效性评价工作必须按照一定的程序来进行。虽然每一个企业在操作程序上可能会有所不同，但大同小异，概括起来说，应按照以下要求优化相关环节：1.内部控制评价部门应由内部审计部门或者其他专门机构担任，应能独立行使职权，具备必要的专业能力和道德素养，能搞好沟通协调，有一定的权威性；2.制定评价工作方案应该切合实际，应在分析经验管理风险领域的基础上，确定包括明确评价主体范围、工作任务、人员组织进度安排以及费用预算等内容的评价方案；3.应抽调业务骨干，按照法定要求，采取回避原则，组成评价工作组，评价前要组织培训，以保证检查评价工作的质量；4.实施现场测试应按照了解情况、确定范围、现场检查、编制报告以及提交结论等步骤逐一展开；5.应在全面复核的基础上，分类汇总评价结果，进行定性与定量分析，提出整改建议并责成责任部门予以落实；6.应在汇总评价结果并认定内部控制缺陷的基础上，及时撰写评价报告。 （三）科学认定内部控制缺陷
内部控制检查评价的目的主要不是为了总结经验，而是为了发现企业风险，换句话说，是为了查找企业内控缺陷和问题。这是企业内部控制的负向维度，它意味着一个企业内部控制的设计与运行没有办法合理地保证内控目标的实现。总体上说，企业内控缺陷按不同的标准大致可分为三类：一是一般缺陷、重要缺陷和重大缺陷；二是内控设计上的缺陷和内控制度运行中的缺陷；三是财务报告内部控制缺陷和非财务报告内部控制缺陷。在认定各种缺陷时，应该有一个适当的标准。比如，对于财务报告内部控制缺陷的认定，主要是看它会不会导致内部控制不能及时防止、发现并纠正财务报表错误的问题发生，以及它连同其它缺陷可能会导致错报金额究竟会有多少。而对于非财务报告内部控制缺陷的认定，应当有定性和定量两个方面的具体标准，定性的标准可依据缺陷潜在的负面影响的性质和范围等来确定，而定量标准的依据则是缺陷造成的财产损失的绝对数量及相应比例。
三、内部控制有效性评价后结果的转化与使用
内部控制有效性评价的结果最终会以评价报告的形式体现，而评价报告中必须体现有效性控制的结论：要么有缺陷，要么没有缺陷。对于不存在重大缺陷的情形，就要出具控制有效的结论；对于有重大缺陷的情形，则需描述该重大缺陷的产生的原因、具体的表现形式，以及它对控制目标的实际影响程度。这些描述对企业的整改和今后实现内部控制有效性目标意义重大。作为一项检查性的工作，到此也就可以告一段落了，但是，内部控制有效性评价的目标不只是为了一份报告，更不能将它束之高阁。对内部控制有效性评价结果的重视和使用才是评价工作的最终落脚点。
（一）对内加大整改的力度
查出问题不是检查评价的目的，解决问题才是检查评价的目的所在。对于内部控制有效性评价中发现的问题，要通过及时整改来加以解决。实践中，虽然企业内部控制人员对缺陷的整改很重视，但是，企业中其他一些重要部门比如销售部门可能就会找出各种理由，比如以本季度销售任务重，在完成相应业绩之后再来整改之类的理由来推脱。一旦发生此类情况，内部控制缺陷整改的整体进度就可能会受到影响。对此，可以尝试采取以下办法：1.参考内审整改的方法。也就是与各部门的绩效或者业绩挂钩。比如可以向企业决策层申请，将各部门负责人的绩效考核拿出一定比例来作为考核指标，将这部分考核指标确定为内部控制缺陷整改的有效性与及时性。2.与各部门负责人签订责任状。这种办法国有企业比较常见，民营企业可以借鉴。责任状签订后就可以明确责任了，一旦内部控制有效性评价中发现的问题没有或不及时整改，后来又被会计事务所查出问题的，该部门就难咎其责。3.与部门负责人的荣誉挂钩。国人一般好面子，不妨利用这一因素来促进整改工作，比如，企业内部控制部门可以按照内部控制缺陷的数量以及整改的进度，做一些内部控制工作配合度排名，排定先进与落后。如果每个月的排名垫底，部门负责人会有羞耻感，从而真正重视整改工作。
（二）对外发布客观评价报告
除了作为内部整改的依据外，按照《企业内部控制基本规范》的要求，内部控制有效性评价的结果还应该披露，让政府监管部门、投资者及其他利益相关方、中介机构、研究机构知晓，这些部门或人员是企业内部控制有效性评价结果的重要使用者。他们一般会通过评价报告来了解企业内部控制设计与运行情况。由于目前很多公司对外发布的自我评价报告基本上“报喜不报忧”，避重就轻，即使出现内部控制缺陷，大多也只是认定为一般缺陷，很少会认定为重要缺陷或者重大缺陷，因为，重要缺陷和重大缺陷需要董事会审批，而在审批的过程中一些重要信息往往被“过滤”掉。因此，需要国家加强对这一领域的监管，通过创建诚信文化、明晰责任主体，完善法律制度，统一披露标准，迫使企业公布准确的、负责任的信息。与此同时，相关部门或人员在使用评价报告时，还应该与内部控制审计信息、内部控制监管信息、财务报告信息等结合使用，全面分析、相互印证，全方位监督企业的信息披露行为，促使企业真正提高内部控制的有效性。
- 上一篇：探讨房地产企业做好财务管理的具体措施
- 下一篇：浅析现代企业管理者的人文素养
