为配合我国 5企业内部控制基本规范6 的实施及相关企业内部控制评价和应用指引的发布, 推动内部控制理论、内部控制实施、内部控制评价、内部审计和风险管理等问题的研究, 中国会计学会内部控制专业委员会于 2009年 4月 26日在北京紫玉饭店召开“首届内部控制专题学术研讨会”。本次会议由北京工商大学商学院承办。本次会议共收到论文83篇,来自高等院校、政府部门、研究机构、企事业单位和财经媒体的 150余人出席了本次学术会议。
本次会议的开幕式由中国会计学会内部控制专业委员会主任委员、北京国家会计学院院长高一斌教授主持, 北京工商大学校长谭向勇教授致欢迎词。财政部会计司司长、中国会计学会秘书长刘玉廷博士发表了“企业内部控制标准制定历程”的主题演讲, 北京工商大学副校长谢志华教授发表了“内部控制：本质与结构”的主题演讲。中国会计学会副秘书长周守华教授、中国会计学会内部控制专业委员会副主任委员、中山大学校长助理魏明海教授、财政部会计司朱海林处长出席了本次会议。
一、内部控制理论
内部控制理论是内部控制框架和标准制定的基础, 在整个内部控制体系中起基础性作用。在我国, 吴水澎, 邵贤弟,陈汉文(2000)、杨雄胜(2005 , 2006)、潘琰, 郑仙萍(2008) 等从不同的视角对内部控制理论进行了探讨。本次会议中进一步探讨了内部控制中的一些基本理论问题。
谢志华探讨了内部控制的本质和结构。作者指出企业组织关系包括设立关系和运行关系, 这两种关系决定了企业内部控制的本质及其结构。在企业组织关系中, 在发起设立时会形成平等的契约关系, 以此为基础所形成的企业内部控制的本质是制衡。而在运行时会形成科层的等级关系, 以此为基础所形成的企业内部控制的本质是监督。制衡和监督既相互区别又相互联系。制衡和监督的不同特征决定了内部控制的结构存在差异。一般来说, 在涉及企业相关利益主体和企业内部各分工主体的利益被侵蚀时, 应以制衡的方式形成内部控制, 而涉及企业不同层次主体确定的责任目标不被实现时, 应以监督的方式形成内部控制。
陈关亭讨论了企业内部控制的假说, 并着重分析了如下几个问题: 1.风险管理与管理的关系。作者认为, 管理包括机会管理和风险管理两个方面。机会管理主要是增加价值, 而风险管理主要防止价值减少。从管理的发展阶段看, 传统管理重视机会管理, 而轻视风险管理。而现代管理既重视机会管理也重视风险管理。2.风险管理与内部控制的关系。认为风险管理与内部控制并不是包含关系, 而是完全等价的。3.内部控制与财务报告的关系。作者认为, 既然企业可以做假账, 那么就同样可以超越内部控制, 内部控制很难防止虚假财务报告。4. 企业层面控制与业务层面控制的关系。认为企业层面控制应贯通业务层面控制。 5.COSO框架与我国内部控制现状。作者通过调查发现, 按照 COSO框架评价我国企业的内部控制, 还远未取得预期的效果。
二、内部控制实施
内部控制实施的研究主要涉及内部控制的实施环境和实施机制, 内部控制的实施成本, 以及内部控制的实施效果等领93域(杨有红, 胡燕, 2004 ; 陈志斌, 何忠莲, 2007 ; 黄京菁, 2005 ; 朱荣恩等, 2004 ; 戴彦, 2006 ; 于增彪等, 2007 , 等等)。考虑到 5企业内部控制基本规范 6 即将在我国上市公司施行, 深入分析现有内部控制规范在我国上市公司的实施状况及存在的相关问题, 对完善我国内部控制应用指引的制定和发布具有重要的指导作用。
朱荣恩从我国内部控制实践的角度分析了上市公司对内部控制理论的理解, 尤其是内部控制基本规范和相关指引的应用方面存在的一些误区。作者认为, 在内部控制实践中应当正确认识和理解以下几个方面的关系: 1.内部控制五要素之间的内在联系。控制 (内部) 环境是内部控制的基础, 风险评估是内部控制的依据, 控制活动是实现控制目标的手段, 信息沟通则是载体, 监控是内部控制目标的保证。2.内部控制的要素、目标及实施主体的关系。内部控制的要素、实施主体、目标是相互融合的, 任何一个目标的实现都需要所有的实施主体共同努力, 都体现在每一个要素的构成中。内部控制就是实施内部控制主体为达到内部控制目标而采取的一系列内部控制要素的过程。3.内部控制与风险管理的关系。内部控制与风险管理并非平行的关系, 应该说内部控制是风险管理的一个重要组成部分, 而风险管理则是内部控制的发展和延续。4.内部控制五要素与应用指引的对应关系。内部控制是一个整体框架, 包括要素、目标和实施主体, 因此其落地生根也不仅仅是要素与应用指引的对应, 而应该是整个理论框架与各个业务进行融合的结果。5.内部控制与企业管理制度的关系。从本质上讲, 内部控制是框架、要素、成分, 而企业管理制度则是直接面对企业的具体业务。因此不能简单地把制度转入内控, 而应该把内控的要素、成分嵌入到企业的日常管理要求之中。6.正确认识IT平台在内部控制中的应用问题。
IT平台仅仅是一个工具, 并非内部控制实施和应用的充分必要条件。郑洪涛和张颖从内部控制目标实现、内部控制规范遵循、内部控制具体方法、内部控制组织体系和内部控制监督检查五个方面对我国企业内部控制的实施现况进行了问卷调查(有效问卷为201份)。调查结果显示, 从内部控制目标实现的情况看, 68%的企业认为经营的合法合规只能通过内部控制得到中等或较大程度的保障。71%和 65%的企业认为内部控制能够为资产安全性和经营的效率效果提供中等程度以上的保证。仅有约 33%的企业认为财务报告目标能够在很大程度上得以实现。大约 75%的企业认为内部控制仅能够在较小或中等程度上保障战略目标的实现。从内部控制规范遵循看, 有近一半的企业在很大程度上或完全遵循 5企业内部控制基本规范6 的要求进行内部控制的设计和实施。 39 %的企业在很大程度上或者完全遵循 5中央企业全面风险管理指引6 的有关规定。从内部控制具体方法看, 尽管基本的、传统的内部控制方法, 如职务分离和授权审批控制, 在企业中得到较好地运用, 而先进的、非传统的内部控制方法, 如绩效考评则有待进一步推广运用。企业还需要对重点内部控制方法, 如预算控制给予特别关注。从内部控制组织体系看, 内部控制的重大决策掌握在管理层的企业比例高达 55 %, 作者认为这可能是导致企业内部控制失效的主要原因。从内部控制监督检查看, 目前我国企业内部审计机构大多由总经理领导, 但我国大多数企业内部审计机构并没有定期对内部控制有效性进行专门评价。
尽管 70%的被调查企业(141家)开展了内部审计评价, 但内部审计评价对于改进内部控制实施的作用非常有限。
吴江龙和刘兴锋认为企业内部控制规范的建立与实施必须要借助一个“载体”, 这个载体就是企业的财务工程体系。其中财务工程是企业以价值为导向、紧扣战略目标、循环有效的战略财务系统。财务工程犹如一个功能齐全的“大厦”, 以清晰的远景目标及战略为“屋脊”；以合理的财务组织结构、CFO的素质和权利定位以及子公司财务委派为“栋梁”；以科学管理工具的应用和有效管理程序的实施为“支柱”；以价值链为主线的业务经济循环流程和严格的内控制度为“根基”。建立科学的管控流程和管控制度, 通过体系的纵向管控与横向集成, 实现“制度管人、流程管事”理念下战略财务体系的循环运营。作者认为, 企业可以从以下几个方面优化财务工程体系, 全面推进内部控制的实施: 1.提升财务战略, 优化“控制环境”; 2 .科学设置财务组织结构, 为“控制活动”奠定基础; 3.以预算管理为主线, 强化“控制活动”; 4.加强内部审计,强化“监督制约”; 5 .推动 ERP实施, 搭建“信息沟通”的快捷渠道; 6.完善业务流程与管理制度, 使内部控制落到实处。
魏明海探讨了股东合谋的内部控制问题。具体包括: 1.股东之间是否存在合谋 (带来舞弊 )? 2. 股东合谋会否影响企业价值和信息的可靠性? 3 .现有的内控制度安排能否抑制股东合谋? 4.现有的内控制度安排能否缓解股东合谋对企业价值和信息可靠性的影响? 作者分析得出, 共享控制权并不必然意味着制衡, 股东的类型（category）或身份（identity）决定了股东之间是相互制衡, 还是更有可能达成合谋, 股东的制衡或合谋角色会影响企业价值。作者通过对冠福家用公司收入确认方法变更的分析, 得出股东合谋也会影响会计信息的可靠性。基于上述分析, 作者认为应从以下几个方面来发挥股东在完善内部控制中的作用: 1.内控制度安排中不排除股东; 2.在治理结构和企业文化中, 凸显股东文化; 3.发挥大股东的监督与治理作用; 4.发挥机构投资者的监督与治理作用; 5.体现股东权利制衡的原则。同时, 在强化股东在内部控制中的作用和地位时, 还应当加强股东之间股权交易、股东权益保护的内部控制, 在内部控制中体现善意行使控制权的法律精神, 以约束股东之间、以及股东与代理人之间的合谋。
李国忠以中国神华为例分析了内部控制体系的建设与完善。中国神华自上市以来, 建立了以风险管理为导向的内部控制体系。具体做法是, 从风险评估入手确认需重点管控的重大风险, 针对确定的风险再造风险管控流程, 构建以风险为导线、责任为主线的内控体系基础框架, 开展年度检讨、实施管理改进。作者认为, 企业应当从以下几个方面来提升全面风险管理的水平: 1.构建全面风险管理体系基础框架; 2.建立风险动态重估机制; 3.建立经营指标风险动态监控预警机制; 4. 实施风险导向审计; 5. 开展风险管理考核; 6. 搭建全面风险管理信息系统框架。总之, 作者认为, 内部控制与风险管理是企业的免疫系统, 内部控制与风险管理工作是否有效, 事关企业的成败。风险管控住了不会出大问题, 风险不管控迟早要出大问题; 风险导向审计是企业的体检中心, 重点应关注风险评估的预知性及风险管控措施的有效性。
三、内部控制评价与内部审计
企业应如何实施内部控制的自我评估, 这些自我评估报告的披露产生的影响如何？以及外部审计应如何通过增值服务来满足投资者对风险评估和管理的需要, 也成了内部控制研究中的一个重要问题。
王斌从股东投资的两种期望(收益和风险控制) 的相互矛盾关系分析入手, 认为股东的风险控制期望可以通过自身投资策略来分散, 从而无须过分强调其对受托经营者的经管责任、要求, 否则不利于经营者管理潜力发挥并满足股东预期收益; 同时, 经营者作为受托责任方, 一方面在努力实现股东增值目标的同时, 另一方面也应培养自身风险控制意识, 并将其内置于经营活动的控制机制之中。透过股东期望和经营者风险管理间关系的分析, 作者认为, 股东风险控制的期望, 需通过外部审计额外增加的“风险提示服务”来满足, 由此, 外部审计被赋予了其应有的社会价值; 而经营者风险管理则需要通过重新界定内部审计职责来规范, 即: 流程导向的内部控制检查与财务审计、内部风险评估和关键风险因素(KRFs)、风险管理报告, 由此, 内部审计被赋予了其应有的组织价值。另外作者认为, 内部审计人员不仅需要更新观念, 而且需要提高知识和技能, 从而更好实现经营者风险管理目标。
韩传模和汪士果在利用三维结构解析企业内部控制系统基础上, 建立了基于风险导向、示意结构的递阶层次指标体系。基于层次分析(APH )系统工程方法, 通过两两比较建立判断矩阵, 求解具体控制措施到风险因素、次级控制目标直至战略目标的排序向量, 整合单项控制措施模糊评价结论, 以此得出企业针对主要业务流程和关键控制措施、主要风险因素、整体或单项控制目标的内部控制有效性、健全性和遵循度评分, 从而为企业和注册会计师执行内部控制基本规范开展内控有效性评价提供灵活适用的技术工具。
李书锋和李秋燕回顾了审计委员会的发展历程和成立动机, 发现审计委员会设立的目的与上市公司成立审计委员会的动机并不一致。作者指出, 我国在资本市场监管以及上市公司治理方面, 都与美国等西方国家存在差距。审计委员会在中国的发展应该结合中国的国情。当前在我国股权改革以及公司治理结构还不完善的情况下, 完全照搬国外把审计委员会设置在董事会下面, 不一定有利于其监管目的的发挥和保证其维护中小股东在内的弱势群体利益。
杨有红对我国沪市862家上市公司2007年年报中内部控制自我评估报告的披露状况进行了分析。作者发现, 2007年自愿披露内部控制自我评估报告的公司虽然比 2006年有所提高, 但占比仍然比较低。原因主要包括以下三个方面: 1 . 评价依据缺乏统一性。在我国, 内部控制的评价标准包括 5企业内部控制基本规范6、5中央企业全面风险管理指引6、5上海证券交易所上市公司内部控制指引6 和 5深圳证券交易所上市公司内部控制指引6。这些法规的执行范围相互交叉, 法规的内容相互联系但又不完全相同, 同一个公司可能同时适用不只一个内部控制规范, 因此在执行过程中可能给公司造成困扰, 在对公司内部控制进行评价时缺乏统一的评价依据, 因此难以出具评估报告。2 . 自我评价意识不强。原因主要是企业对内部控制自我评估在提高公司治理透明度和树立投资者信心的功能方面认识不强。 3 . 评价成本过高。截止 2008年我国尚未发布可操作性的评估指南, 从而大大提高自我评估的成本, 这限制了管理层自我评估的积极性。通过进一步对披露自我评估报告与未披露自我评估报告的公司的会计差错更正、审计意见和受证监会处罚情况进行对比, 作者发现, 两类公司无论是在财务报告的可靠性或是合规性上均有显著不同, 披露自我评估报告的公司其内部控制有效性更强。
主要参考文献
陈志斌, 何忠莲. 2007 . 内部控制执行机制分析框架构建, 会计研究, 10 : 46-52
黄京菁. 2005 . 美国 SOA404条款执行成本引发争议的评论, 审计研究, 9 : 86- 89
潘琰, 郑仙萍. 2008 . 论内部控制理论之构建: 关于内部控制基本假设的探讨, 会计研究, 3 : 63-67
杨雄胜. 2005 . 内部控制理论研究新视野, 会计研究, 7 : 49-54
杨雄胜. 2006 . 内部控制理论面临的困境及其出路, 会计研究, 2 : 53-59
杨有红, 胡燕. 2004 . 试论公司治理与内部控制的对接, 会计研究, 10 : 14-18
吴水澎, 陈汉文, 邵贤弟. 2000 . 企业内部控制理论的发展与启示, 会计研究, 4 : 2- 8
于增彪, 王竞达, 瞿卫菁. 2007 . 企业内部控制评价体系的构建——基于亚新科工业技术有限公司的案例研究, 审计研究, 3 : 47-52
朱荣恩, 应唯, 吴承刚, 邓福贤. 2004 . 关于企业内部会计控制应用效果的问卷调查, 会计研究, 10 : 19-24
(北京工商大学商学院毛新述杨有红)
