披露目的内部控制评价问题探讨.doc

1、披露目的内部控制评价问题探讨【摘 要】 随着内部控制信息披露制度的实施，内部控制评价的主体、内容和方法等成为人们争论的热点。文章基于目的是主体行为的导向理论，认为不同目的内部控制评价的主体、客体和方法会有所不同。当前强制实施的披露目的的内部控制评价，应当由公司管理层负责，对财务报告内部控制进行评价，并采用缺陷识别法。 【关键词】 内部控制； 内部控制评价； 披露目的 进入本世纪，美国等西方国家相继爆发了许多重大财务欺诈案件，且舞弊规模屡创新高，暴露了公司治理和财务信息真实可靠性保障系统存在的重大缺陷。为了弥补这些重大缺陷，美国于 2002 年颁布了著名的SOX 法案 ，对公司保持有效的内部控制

2、和进行内部控制有效性评价与审计提出了强制性的法定要求，要求内部控制评价报告及其审计报告应当与相应的财务报告一起对外披露。这引起了人们对披露目的内部控制评价研究的热情，形成了若干理论纷争，包括应当由治理层还是管理层来负责这种评价，应当评价全目的内部控制还是财务报告内部控制，应当采用自我评价方还是独立评价方法等。这些都亟需从理论上予以澄清，才能保障和提高披露目的内部控制评价的质量，促进企业完善内部控制，保障投资者获得真实有用的信息。 一、不同目的的内部控制评价其体系内容不同 到目前为止，人们对内部控制的评价目的主要有以下四种：审计目的、咨询目的、完善目的和披露目的。 最早出现的是审计目的的内部控制

3、评价。第二次世界大战结束后，企业规模迅速扩大，传统的详细审计无以为继，财务报表审计必须采用抽查法，要抽查就必须有根据地确定抽多少和抽什么的问题，于是注册会计师们把目光集中到了内部控制上，因为内部控制是财务报告真实可靠性的基本保障机制，其有效性对财务报告真实可靠性有着直接的重大影响，内部控制越有效报表审计的抽样规模就可以越小，相关内部控制有效性较差的业务或账户比较容易出现重大错报，就应当作为抽查的重点，进行样本规模较大的审查，因此，制度基础审计产生了。这种审计方法要求注册会计师在进行审计时，应当首先进行内部控制了解，通过了解结果进行判断后，如果认为内部控制比较有效，就需要对内部控制有效性进行评价

4、，以便据以确定实质性测试的抽样规模和审查重点。因此，审计目的的内部控制评价产生了，它也被人们称为“内部控制评审” 。随着内部控制的发展，其在防范错误与舞弊方面的作用日益为企业所认识和重视，建立和健全内部控制成为企业管理当局的迫切需要。由于财务报表审计师精通内部控制，又有提高审计服务质量赢得客户的需求，因此，在企业管理人员的请求下，20 世纪 50 年代起，注册会计师在为企业提供财务报表审计服务的同时，开始应约以“管理建议书”的形式为企业提供完善内部控制的建议，咨询目的的内部控制评价由此产生。20 世纪 70 年代初，随着经济全球化的来临，市场竞争日益激烈，企业面临的外部环境日益不确定，风险越来

5、越多、越来越大。为了适应这种环境，企业必须强化内部凝聚力和免疫力。由于内部控制具有这种功能，因此，内部控制建设开始由内部会计控制拓展为全员参与、全过程控制的全面内部控制，同时，全面评价以便充分完善内部控制的工作即完善目的的内部控制评价得到了企业管理层的高度重视。这种评价肇始于 20 世纪 70 年代初期加拿大海湾石油公司开始实施的“内部控制自我评估（CSA） ”。 披露目的的内部控制评价最早产生于 20 世纪 70 年代。经济全球化后，美国的一些跨国公司利用贿赂外国政府或国有企业进行不正当竞争，为了遏制这种行为，美国政府监管部门开始要求企业特别是跨国公司、上市公司一方面要加强内部控制建设，以严

6、格执行国家法律，保证会计资料的真实可靠，方便查证贿赂行为；另一方面要求企业内部审计机构定期系统评价内部控制，向政府监管部门提交内部控制自评报告，以便政府监管部门评价公司内部控制的有效性。披露目的的内部控制评价显出端倪。20 世纪 90 年代，随着信息社会的来临，上市公司股权日益分散和流动，日益成为公众公司，公司财务信息对公众的投资决策影响越来越大，作为财务信息真实可靠性的基本保障系统内部控制系统的有效性，也日益为社会公众所关注。为了便于对内部控制有效性进行评价，1994 年 COSO 发布内部控制整合框架 。进入本世纪，美国等西方国家相继爆发了许多重大财务欺诈案件，暴露了公司治理和财务信息真实

7、可靠性保障系统存在重大缺陷。为了弥补这些重大缺陷，保障公司治理的有效性和财务信息的真实可靠性，美国于 2002 年颁布了著名的SOX 法案 ，要求公司必须对财务报告内部控制有效性进行评价，并将评价报告随同财务报告一起对外披露，披露目的的内部控制正式产生。 人的实践活动以目的为导向，目的贯穿实践过程的始终。不同目的的内部控制评价，其负责的主体、评价的对象、评价的组织方法都会有所差异。现有关于内部控制评价的学术争议，很多是源于人们对评价目的的忽视或混淆。 二、披露目的内部控制评价的责任主体应为管理层 对于披露目的内部控制评价主体，中美两国的法律法规规定有着明显的差异，这种差异主要体现在谁作为最终的

8、责任主体对内部控制评价报告的真实性、可靠性负责。 SOX 法案将内部控制评价的责任主体定位于公司的管理层，其第302 款规定，首席执行官、首席财务官及类似职能人员必须对所提交的年度或季度报告签署书面证明，在定期报告中声明有责任建立并保持有效的内部控制，对内部控制设计的合理性和运行的有效性发表评估意见，就内部控制设计或运行中与财务报告相关的重大控制缺陷向外部审计师和公司董事会下属的审计委员会报告。 2010 年我国财政部等五部委联合发布企业内部控制评价指引规定：“内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。 ”明确指出：“内部控制重

9、大缺陷应当由董事会予以最终认定，内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门，企业董事会应当对内部控制评价报告的真实性负责。 ”可见，我国将内部控制评价的责任主体定位于公司的董事会。 我国学者王立勇、张秋生（2004）主张由内部审计部门接受董事会及其审计委员会的委托对内部控制进行评价。周勤业、王啸（2005）主张将内部控制评价的责任落实到实际执掌公司大权的关键人和实际负责公司资产安全和财务可靠性的高级管理人员身上。董美霞（2010）认为应该将内部控制评价的最高决策权交给监事会，对董事会及管理层的内部控制执行情况进行评价，指导和评价审计委员会的工作。 不同信息使用者的

10、需求不同决定了不同目的的内部控制评价，适当的内部控制评价主体决定了内部控制评价结果的公允性，而评价主体的界定与内部控制评价的目标有关。内部控制由谁负责，是关系到内部控制能否发挥实效的根本问题（周勤业、王啸，2005） 。所以，对于内部控制评价主体的定位至关重要。 从责任分工来看，评价主体可以分为责任主体和执行主体。责任主体组织领导执行主体的评价工作，保证评价工作质量，并对披露的内部控制评价报告的真实、完整性负责；执行主体负责具体执行内部控制的评价工作，接受责任主体的领导和监督。 笔者认为应当从保证评价质量和提高评价效率的原则出发确定内部控制评价责任主体。因此，主张由企业管理层负责内部控制评价，

11、理由如下：其一，内部控制的设计和运行主要是由公司的管理层负责完成的，无疑对其运行情况最为熟悉，由其进行内部控制评价效果最好，成本最低；其二，内部控制评价属于日常执行事务，理应属于管理层的职责，如果交由董事会执行，不但董事会难以胜任，而且会弱化董事会对内部控制的监督职能，出现自我评价的问题，反而不利于提高评价质量；其三，董事会和监事会可以通过聘请外部审计师进行内部控制审计，或亲自对内部控制运行情况进行检查、质询，对管理层实施的内部控制评价工作进行有效监督可以合理保证管理层认真做好评价工作。 至于执行主体的选择，笔者主张遵循成本效益原则来选择。由内部审计机构执行内部控制评价，其优点是内部审计人员熟

12、悉内部控制建设和运行情况，且企业不需要增加额外成本，有利于提高评价效率，节约评价成本；缺点是内部审计人员独立性低，往往难以客观披露评价结果，而且内部审计人员规模和能力往往有限，可能难以满足评价工作要求。由外聘注册会计师执行内部控制评价，优缺点正好相反。所以，企业高层管理者应当根据本企业内部审计人员规模、能力和内部控制评价业务需要进行综合平衡，合理确定评价执行主体。需要指出的是，不论由内部审计师还是由外部审计师执行评价，企业都应当成立由高管领导、内部或外部审计师牵头、各部门负责人参加的内部控制评价工作组，进行全员参与的内部控制评价。因为，实际执行控制的人对相关内部控制有效性最有发言权。 三、披露

13、目的内部控制评价的内容应为财务报告内部控制 关于内部控制评价的内容，目前主要有两种观点：全面内部控制观与财务报告内部控制观。COSO（1994）虽然基于内部控制的三大目标（营运的效果和效益、财务报告的可靠性和相关法规的遵循）定义了内部控制范畴，但同时强调对外披露和审计目的的内部控制评价应当关注“财务报告内部控制” 。2002 年美国颁布的SOX 法案 ，更是强制要求上市公司对“财务报告内部控制”有效性进行评价和审计。其后，根据SOX 法案成立的 PCAOB 在 2004 年 6 月颁布的审计准则第 2 号准则及其后补充修改的 5 号准则中，明确指出了“内部控制评价就是对财务报告内部控制有效性作

14、出评价” 。2010 年我国财政部发布的企业内部控制评价指引要求以评价财务报告内部控制有效性为主，适当关注非财务报告内部控制有效性。 学者们对此也有不同看法。南京大学会计与财务研究院课题组（2010）认为固守财务报告内部控制为内部控制评价的内容，会人为地削弱内部控制评价的社会功用，只有树立全口径内部控制评价的理念，才能在中国社会经济发展中真正地发挥内部控制评价制度的积极作用。王惠芳（2009）认为应该借鉴美国的做法，缩小内部控制评价的范围，将内部控制评价范围限定于财务报告内部控制，这样更好地突出了财务报告内部控制的重要性，具有明显的针对性和可操作性。 笔者认为，所有内部控制内容的评价都是可以评

15、价和有用的，具体到每次内部控制评价而言，其评价内容应当依据评价目的的需要进行确定。因此，披露目的内部控制评价的内容都应当是财务报告内部控制。这主要是因为财务报告内部控制具有外部性，需要对外披露。财务报告内部控制外部性具体表现为：它是财务报告可靠性的基本保障机制，其有效性直接影响财务信息可靠性，进而对财务报告外部信息使用者会产生影响。Donaldson（2005）认为， SOX 法案第 302 和 404 条款规定内部控制披露要求的主要目的是通过提高公司披露的准确性和可靠性来保护资本市场投资者，有效的内部控制能够提高财务报告的准确性，从而为利益相关者提供高质量的财务信息。只有财务报告内部控制有效

16、了，才能够合理保证企业财务信息披露的真实公允，才能够有效维护投资者的利益、促进资本市场健康稳定发展。因此，有外部性的财务报告内部控制，其有效性信息就必须对外披露；披露目的的内部控制评价内容应当是财务报告内部控制。非财务报告内部控制不具有明显的外部性，主要是企业内部事务，所以，不需要也不能对外披露。需要说明的是，以财务报告内部控制为披露目的内部控制评价的内容，并不限制评价者对注意到的非财务报告内部控制缺陷向管理层提出改进建议，只是这些缺陷和建议不需要对外披露。如果出于完善内部控制的目的进行内部控制评价，则评价的范围就应当是全面的内部控制，就需要向管理层提交全面反映内部控制有效性的评价报告。 四、

17、披露目的内部控制评价的方法应采用缺陷识别法 关于内部控制评价应当采用的方法，目前也有两种观点：缺陷识别法和指标评价法。 缺陷识别法为SOX 法案和国外多数学者所认同。 SOX 法案规定，内部控制评价必须识别是否有重要缺陷和重大缺陷，如果发现一个重大缺陷就不能认定内部控制有效。基于此，国外学者对重大缺陷识别的研究主要集中于重大缺陷的分类、影响因素和披露后的市场反应等方面（陈武朝，2012） 。 我国学者大多主张采用指标评价法综合评价内部控制有效性（王立勇，2004；戴彦，2006；于增彪等，2007；池国华，2010；张先治等，2011） ，也有学者主张采用详细评价、风险基础评价（陈汉文等，20

18、08）和测试识别、迹象识别（杨有红等，2011）等缺陷识别法来评价内部控制有效性。 笔者认为，不同目的的评价需要用不同的方法去实现。披露目的的内部控制评价的目的是鉴证财务报告内部控制的有效性，即能否合理保证财务报告的可靠性。这对于保护投资者及其他利益相关者的权益意义重大。因此，披露目的的内部控制评价必须有可靠的质量保证。如果从正面评价财务报告内部控制是否健全和有效，不仅工作量巨大，不经济，而且不能因为评价认为大多数或绝大多数内部控制是有效的而得出内部控制有效的结论，必须全面彻底审查清楚整个财务报告内部控制是否都是有效的才能得出内部控制有效的结论，这是难以做到的，不可行的，也没有这个必要，因为任

19、何企业的内控都不可能是也不必要是尽善尽美的。因此，披露目的的内部控制评价只能从反面即财务报告内部控制是否存在重大缺陷入手进行评价。因为，如果发现一个重大缺陷就不能认定财务报告内部控制有效。从披露信息的决策有用性角度出发，应重点考察内部控制重大缺陷披露的信息含量（Hamersley et. al.，2008） 。因此，披露目的的内部控制评价应当采用缺陷识别法。 缺陷识别法就是首先对财务报告真实可靠性面临的重大风险进行全面评估；然后根据评估出来的重大错报风险确定企业是否已经实施了充分有效的相关内部控制，是否已经将重大风险控制在可接受的水平之内。如果不是，则表明存在重大缺陷。 【主要参考文献】 1

20、吴秋生，杨瑞平.内部控制评价整合研究J.会计研究，2011（9）：55-60. 2 王立勇，张秋生.对我国现行内部控制评价主体定位的研究J.北京交通大学学报（社科版） ，2004（4）：45-49. 3 陈武朝.在美上市公司内部控制重大缺陷认定、披露及其对我国企业的借鉴J.审计研究，2012（1）：103-108. 4 Donaldson， W. Testimony Concerning the Impact of the Sarbanes-Oxley Act. House Committee on Financial Services， U.S. House of Representativ

21、esJ. Washington， D.C.Government Printing Office，2005：452-478. 5 Hammersley J.S.， L. A. Myers，C.Shakespesre. Market Reactions to the Disclosure of Internal Control Weaknesses and to the Characteristics of Those Weaknesses under Section 302 of the Sarbanes Oxley Act of 2002J. Review of Accounting Studies，2008（13）：141-165.