作者：陳繼云
上海會計2002.6
COSO報告與內部控制研究
陳繼云
隸屬于美國國會的反對虛假財務報告委員會（NCFR）
主持的發起組織委員會COSO（The Committee of Sponsoring Organization of the Treadway Commission）是一個通過商業道德、有效的內部控制和公司治理結構以致力于改善財務報告的美國民間組織。COSO形成于1985年。研究導致虛假財務報告的偶發因素，并為上市公司及其獨立審計師，為SEC（美國證券交易委員會）和其他監管機構以及教育機構提供建議。該委員會由美國五個主要財務職業協會共同主辦：AAA（美國會計學會）、AICPA（美國注冊會計師協會）、FEI（財務經理協會）、IIA（內部審計師協會）和 NAA（全國會計師協會，現為 IMA、管理會計師協會）。它完全獨立于各主辦組織。代表來自于工業、公共會計、投資公司和NYSE（紐約證券交易所）。由于該委員會的第一任主席是James C．Treadway，因此通常稱為Treadway委員會。
一、COSO報告——《內部控制一整體框架》與內部控制研究
1992年Treadway委員會經過多年研究，針對公司行政總裁、其他高級執行官、董事、立法部門和監管部門的內部控制進行高度概括，發布《內部控制一整體框架》（Interna Control－Integrated Framework）報告，即通稱的COSO報告。該報告第一部分是概括；第二部分是定義框架，完整定義內部控制，描述它的組成部分，為公司管理層、董事會和其他人員提供評價其內部控制系統的規則；第三部分是對外部團體的報告；是為報告編制報表中的內部控制的團體提供指南的補充文件；第四部分是評價工具，提供用以評價內部控制系統的有用材料。
COSO報告提出內部控制是用以促進效率，減少資產損失風險，幫助保證財務報告的可靠性和對法律法規的遵從。COSO報告認為內部控制有如下目標：經營的效率和效果（基本經濟目標，包括績效、利潤目標和資源、安全），財務報告的可靠性（與對外公布的財務報表編制相關的，包括中期報告、合并財務報表中選取的數據的可靠性）和符合相應的法律法規。
COSO報告提出內部控制由五部分組成：
第一，控制環境（Control environment）。它包括組織人員的誠實、倫理價值和能力；管理層哲學和經營模式；管理層分配權限和責任、組織、發展員工的方式；董事會提供的關注和方向。控制環境影響員工的管理意識，是其他部分的基礎。
第二，風險評估（risk assessment）。是確認和分析實現目標過程中的相關風險，是形成管理何種風險的依據。它隨經濟、行業、監管和經營條件而不斷變化，需建立一套機制來辨認和處理相應的風險。
第三，控制活動（control activities）。是幫助執行管理指令的政策和程序。它貫穿整個組織、各種層次和功能，包括各種活動如批準、授權、證實、調整、經營績效評價、資產保護和職責分離等。
第四，信息和交流（information and communication）。
信息系統產生各種報告，包括經營、財務、守規等方面，使得對經營的控制成為可能。處理的信息包括內部生成的數據，也包括可用于經營決策的外部事件、活動、狀況的信息和外部報告。所有人員都要理解自己在控制系統中所處的位置，以及相互的關系；必須認真對待控制賦予自己的責任，同時也必須同外部團體如客戶、供貨商、監管機構和股東進行有效的溝通。
第五，監控（monitoring）。監控在經營過程中進行，通過對正常的管理和控制活動以及員工執行職責過程中的活動進行監控，來評價系統運作的質量。不同評價的范圍和步驟取決于風險的評估和執行中的監控程序的有效性。對于內部控制的缺陷要及時向上級報告，嚴重的問題要報告到管理層高層和董事會。
COSO報告在其內控框架體系中對各層次人員的控制職責作了設計。（l）管理層：CEO最終負責整個控制系統。對大公司， CEO可把權限分配給高級經理，并評價其控制活動，然后，高級經理具體制定控制的程序和人員責任；對小公司，一切可更為直接，由最高經理具體執行。（2）董事會：管理層對董事會負責，由董事會設計治理結構，指導監管的進行。有效的董事會應掌握有效的上下溝通渠道，設立財務、內部審計等職能，防止管理層超越控制，有意歪曲事實來掩蓋管理的缺陷。（3）內部審計師：內審對評價控制系統的有效性具有重要作用，對公司的治理結構行使者監管的職能。（4）內部其他人員：明確各自的職責，提供系統所需的信息，實現相應的控制；對經營中出現的問題，對不合法、違規行為有責任與上級溝通。（5）外部人員。公司的外部人員也有助于控制目標的實現，如外部審計可提供客觀獨立的評價，通過財務報表審計直接向管理階層提供有用信息；另如法律部門、監管部門、客戶、其他往來單位、財務分析師、信用評級公司、新聞媒體等也都有助于內部控制的有效執行。
COSO報告也提出：內部控制實際上只能幫助而并不能保證基本經營目標的實現，因此．內部控制有很多固有的局限因素，如果使用的信息不真實、員工相互串通、甚至小錯誤都會使它崩潰。
二、《虛假財務報告： 1987－1997美國上市公司的分析》與內部控制研究
1．報告的主要內容。
Treadway委員會于1999年 3月發布《虛假財務報告：1987－1997美國上市公司的分析》以檢查該委員會從1987年的研究報告提出的十年間，發布虛假財務報告的公司的數目是否減少及其管理層的特征（研究小組從1987年1月至1997年12月《會計與審計公告》。Accounting and Auditing Releases中隨意挑選出因違反1934年證券交易法Rule10（b）－5或1933年證券法Section17（a）而發布虛假財務報告的195家上市公司進行研究），從而了解該委員會的成效并提供改善美國公司財務報告環境的建議基礎。該報告分為五部分：第一部分為概況和介紹；第二部分描述了用以確認虛假財務報告的樣本案例的方法，以及用以收集與每個樣本案例有關的數據來源；第三部分著重敘述對高級經理、董事會和審計委員會成員、內部外部審計師有啟示作用的見解；第四部分歷史性回顧了自Treadway委員會1987年報告發表以來曾有過的針對財務報告欺詐所作的努力；第五部分概述了自20世紀80年代后期以來進行的學術研究的重大發展。
2．報告中對內部控制的研究發現及建議。
通過對研究結果的分析發現，產生虛假財務報告的現象與控制環境有密切的關系，主要涉及了高級管理層和董事會。（1）高級管理層：經調查，在72％案例中的CEO、43％案例中的CFO（首席財務官）與虛假財務報告有關，在83％的案例中單獨或同時有CEO、CFO與虛像財務報告有關。另外還涉及財務經理、COO （首席經營官）、其他高級副總裁和董事會成員。（2）審計委員會：大多數公司的審計委員會很少開會甚至沒有審計委員會。經調查，涉及舞弊的公司的審計委員會一般一年只開一次會，25％的被調查公司沒有審計委員會，65％的審計委員會會計工作不稱職或沒有在主要的會計、財務崗位上的工作經驗。（3）董事會：內部人控制現象嚴重。經調查，60％的董事是內部人或與公司管理層有特殊關系的“灰色”（gray）董事、這些董事和經理擁有近1／3的公司股份，CEO、總裁個人擁有近17％．大約40％的幸事會沒有獨立的外部董事，（4）裙帶關系：在董事、經理以及有顯著權利的個人之間的家庭關系很普遍。經調查，近40％的公司提供了有家庭關系的證據，約半數公司的創始人仍是現在在任的CEO，或最初的CEO仍在位，超過20％的公司的管理人員同時擁有不相容職權如 CEO與 CFO。
針對上述的調查結果，研究人員就高級管理層和董事會的控制環境問題提出一些建議：（l）如同COSO報告《內部控制一整體框架》中所強調的，不能過于夸大控制環境的重要性。要控制高級管理人員面臨的壓力。了解財務報告要求的高級管理人員要指導其他高級管理人員理解財務報告問題，限制過于偏激的報告；董事會成員和審計師要監督防止經理利用財務知識舞弊。（2）對于收入低于5千萬美元、審計委員會弱小的公司中出現的舞弊，強調嚴格的審計委員會工作的重要性，對于更小的公司也同樣重要。（3）需要認真考慮小公司是否要象大公司那樣強調董事的獨立性和專門技能。由于小公司的權利比較集中，有一個嚴謹的董事會監督功能也許也很重要。（4）由于獨立的審計委員會的效果可能被其所獲得的信息的質量、范圍所限制，要有效行使監督職能，審計委員會就需獲取可靠的財務和非財務信息及行業的標準數據，對此，董事會和審計委員會應相互合作以獲取和其他信息提供者提供的相關、可靠信息。（5）投資者應意識到由家庭關系或個人集權所可能帶來的復雜問題。
（作者單位：南京審計學院）
