1、内部控制的创新及其对审计工作的影响内部控制的发展经历了一个从低级到高级、从局部到整体的过程。内部控制是受企业董事会、管理层和其他员工的影响，旨在取得经营的效率和效果、财务报告的可靠性和遵循适当的法规等目标而提供合理保证的一种过程。内部控制不仅对企业本身的经营效率和效果的提高有着直接的作用，而且也影响到企业内部审计人员的工作范围和注册会计师审计范围及审计责任。1992 年 COSO 报告将内部控制的要素从三要素重新划分为五要素，使人们对内部控制的认识实现了一次历史性的飞跃。2004 年反虚假财务报告委员会针对诸多企业发生的管理层舞弊事件，并结合萨班斯奥克斯利法案的相关要求提出企业内部控制应当与企
2、业风险管理相结合，同时提出了企业风险管理的基本要素。可以说，这个报告的提出使人们对内部控制的认识上升到前所未有的高度。使人们对内部控制的认识从局部转为整体、从微观转为宏观、从具体转为战略、从重视与会计相关的内部控制转为以风险管理为核心的高度。本文试图解析内部控制的这些变化以及对注册会计师审计工作的影响。一、内部控制的创新主要体现在以下几个方面1.内容的丰富。1992 年 COSO 报告（committeeofsponsoringorganization）将内部控制划分为控制环境、风险评估、控制活动、信息与沟通、监控等五个要素，而 2004 年COSO 报告将企业风险管理框架的基本要素确定为内部
3、环境、目标设定、事项识别、风险评估、风险反应、控制活动、信息与沟通、监控等八大要素。较之以往相比，内部控制的内容得到了极大的丰富。对与内部控制的相关要素的划分更加清晰，使企业对风险的控制能够落到实处，从而增强了控制的可操作性。风险管理的外延要比内部控制广阔得多。该报告强调内部控制框架的建立应与企业风险管理相结合，内部控制应该作为企业风险管理的有机组成部分，新的报告不再使用内部控制框架概念，而是使用风险管理框架的概念。内容的丰富必然会促使认识的深化，必然会促使企业管理层在建立和实施内部控制时考虑的更周全，更具战略性和前瞻性。2.目标的拓展。1992 年的 COSO 报告将内部控制定义为“内部控制
4、是一个受到董事会、经理层和其他人员的影响，旨在取得：经营效率和效果、财务报告的可靠性和遵循适当的法规等目标而提供合理保证的一种过程。”从该定义中可以看出内部控制能实现三个目标。这三个目标没有触及到企业战略，是战术层次的目标。在 2004 年的COSO 报告企业风险管理总体框架即 ERM 框架在对内部控制的定义中细化和拓展了相关目标。ERM 框架（enterpriseriskmanagement）指出：内部控制是一个过程、被人影响、应用于战略制定、贯穿于企业各个层级、旨在识别影响组织的事件并在组织的风险偏好范围内管理风险、合理保证、为了实现各种目标。由于在 1992 年的报告中没有明确提出内部控
5、制对资产的安全和完整目标，实际上，对很多企业特别是中小企业而言，内部控制制度设立和执行的主要目标可能就是保护资产的安全和完整。而在2004 年的报告中明确提出了“保护资产” 或“保护资源”的概念。并在内部控制的定义中明确指出内部控制可以实现各类目标，各类目标不仅包括以前所提到的三个目标，而且还应当实现企业的战略目标。战略目标是企业最高层次的目标，是指导和制约战术目标的，企业所有的活动应该围绕着战略目标的实现而进行，内部控制的建立和实施也不例外，如果企业在战略制定方面出现了真空，企业的战术就会迷失方向，企业的损失会更大，巴林银行的倒闭和中航油巨亏事件就是很好的例证，它们并不是没有完善的内部控制，
6、而是在战略制定之时出现了权力真空。因此新的 COSO 报告提出了一个新的目标战略目标，不仅强调企业内部控制应当与企业本身的战略制定和实施紧密地联系在一起，而且强调了内部控制就是首先针对企业战略的。3.风险认识的深化。尽管在 1992 年 COSO 报告中也将风险评估纳入到内部控制一体化框架作为其要素之一，但是对风险的认识还很有限，认识的程度还仅仅限于风险识别和风险分析。风险识别包括对外部因素如技术发展、竞争、经济变化以及内部因素如员工素质、公司活动性质、信息处理系统的特点进行检查；风险分析涉及到估计风险的重大程度，评估风险发生的可能性。在 COSO 新的报告中，对风险的分析更透彻。新的报告增加
7、了三个风险管理要素：目标设定、事项识别和风险反应。现代企业竞争日趋激烈，不仅要面临国内市场的竞争，还要面临国际市场的竞争；不仅要面临产品市场的竞争，还要面临经理人市场的竞争，企业的风险比以往任何时候都大，如何规避这些风险是企业的头等大事，说企业管理应当以风险管理也丝毫不为过。风险实际上指明了内部控制存在和必要的理由，如果企业没有这些风险也就不需要内部控制。对企业风险问题认识的肤浅必然会使内部控制的建立和实施误入歧途。因此新的报告在第二个要素中明确提出了风险管理应进行目标设定，目标的设定指明了内部控制的实施方向，使内部控制的设立更具针对性，和企业的战略更加吻合，以更好地实现企业的战略目标，使内部
8、控制产生应有的效果。接着该报告就深入阐述了事项识别。企业的风险在各个管理级次和各个部门都有可能出现，企业风险管理框架深入探讨了潜在事项的概念，认为潜在事项是指来自于企业内部和外部资源的，可能影响企业战略的执行和目标实现的一件或者一系列偶发事项。存在潜在的积极影响的事项代表机遇，而存在潜在负面影响的事项则称为风险。企业关键是要识别和控制存在潜在负面影响的事项。企业风险管理框架采用一系列技术来识别有关事项并考虑有关事项的起因，对企业过去和未来的潜在事项以及事项的发生趋势进行度量。并在风险度量中提出了风险偏好和风险容忍度的概念。风险偏好是指企业在实现其目标的过程中愿意接受的风险的数量。企业的风险偏好
9、与企业的战略直接相关，企业在制定战略时，应考虑将该战略的既定收益与企业的风险偏好结合起来，目的是要帮助企业的管理者在不同战略间选择与企业的风险偏好相一致的战略。风险偏好的概念是建立在风险容忍度概念基础上的。风险容忍度是指在企业目标实现过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现差异的可容忍限度。在确定各目标的风险容忍度时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来。新的报告对风险的考虑更加全面和透彻，有利于管理层内部控制制度的建立和实施，使企业能够站在更高的层次、更宽阔的视野来认识内部控制，使人们对风险的认识从单纯的风险分析和风险识别扩大到目
10、标设定事项识别风险计量风险反应风险评估，可以将风险管理落到实处。4.关注整体比关注控制细节更有效。新的报告名称之所以改为企业风险管理总体框架，就是强调整体的效果而非注重微观细节上的控制。风险本身是一个系统，其形成原因和构成要素很多也很复杂，如果面面俱到、事无巨细地都进行涉及是不可能的也是不值得的，因为风险的管理是有成本的，也要遵循成本效益原则。目前我国企业特别是国有企业在具体项目上的控制制度应有尽有，他们往往忽视了企业的重大风险，导致企业出现重大损失。要强调整体上的效果就必须遵循抓大放小的原则，因此，ERM 框架强调董事会与管理层应该将精力放在可能产生重大风险环节上，而不是所有细小环节上。只有
11、当企业总体而言出现偏离风险容忍度的重大风险时，管理层才需要采取一定的控制活动。5.扩大了控制环境的内涵。在 2004 年新的报告 ERM 框架中将首要要素改为内部环境，而在内部控制结构观念和 1992 年的 COSO报告中均是以控制环境的名称出现的，这一变更并不是简单的名称变更，而是范围的变更、理念的变更。体现了风险管理范围的扩大。在传统的控制环境要素中认为控制环境包括：经营哲学、组织结构等方面的内容，ERM 框架中强调了内部控制环境包含了一个组织的气氛，形成一个组织和人员识别与看待风险的基础。它确立了企业的风险文化，既要认可预期发生的事项，也要认可未预期发生的事项，因而丰富了控制环境的内涵。
12、二、对注册会计师审计工作的影响1.扩大了注册会计师的审计范围，加大了注册会计师的审计责任。随着人们对内部控制认识的逐步深入，内部控制的外延在不断扩大，比如注册会计师在评估风险时必须考虑内部环境，内部环境所涉及的范围就比内部控制结构中的控制环境所涉及到的内容广阔得多。根据最新的注册会计师审计准则的要求，注册会计师在确定进一步审计程序的性质、时间和范围时仍然要以控制测试的结论为基础，所以注册会计师在进行控制测试时要想取得充分、适当的证据，除了关心和收集财务领域的证据之外，还必须关注与之相关的非财务领域，这些非财务领域的资料或状况与所证实的认定的关联程度究竟有多大，需要注册会计师进行科学的专业判断，
13、这样无形中就会加大注册会计师的责任。另外，萨班斯法案第 103 款要求，注册会计师在审计报告中描述对内部控制结构和程序进行测试的范围，并在审计报告中或者单独出具一份报告陈述有关内部控制情况。如果是在审计报告中陈述内部控制情况，无疑会加大注册会计师的审计范围，加大了注册会计师的审计成本和相应的责任。随着我国独立审计准则审计风险的出台，注册会计师在评估审计风险时不能只考虑与会计相关的内部控制，而应当考虑与实现“四大目标”相关风险的所有方面，从这个意义上来说，注册会计师的审计领域比以往更大，审计风险要素中的检查风险随之增大。2.促使审计业务流程的转变。随着人们对内部控制认识的深化，审计业务流程也发生
14、了根本性的转变。每一个阶段的审计业务流程和该阶段对内部控制的认识是分不开的。传统的审计业务流程是以强调微观的内部控制制度作为基础的，这从传统的审计风险模型就可以看出：审计风险=固有风险 控制风险 检查风险。注册会计师在执行会计报表审计业务时，先要单独评估固有风险和控制风险，进而确定检查风险的可接受水平。该模型没有将审计风险作为一个整体进行评价。为此，国际审计准则以及中国独立审计准则都强调摒弃原来的审计业务流程，遵循全新的审计风险模型以设计相应的审计程序。审计风险=重大错报风险 检查风险。这里的重大错报风险是指财务报表在审计前存在重大错报的可能性，模型的转变是人们对内部控制认识深化的结果，实际上是要求审计人员在评价有关被审计单位的风险时应当将其作为一个整体。
