一、內部控制評價的責任主體是董事會還是管理層
開展內部控制評價首先必須明確內部控制評價的責任主體，即應當由誰負責組織實施內部控制評價并對內部控制評價結果的可靠性負責。因為這一問題不僅關系到內部控制評價應當如何組織實施，而且關系到內部控制評價的質量。“如果從評價效率和評價準確性方面來講，評價主體的選擇比評價程序、評價方法等都重要，……評價主體的適當性嚴重影響著評價結論的準確性，甚至可以說，評價的準確性首先決定于誰來進行評價的問題。”（李連華，2007）
內部控制評價的責任主體不同于內部控制評價的操作主體，即由誰來具體實施內部控制評價。無論內部控制評價的責任主體是誰，內部控制評價的操作主體都是企業的內部審計機構及其人員或者外聘的社會審計組織及其人員，以及參與內部控制的各級管理者及其他員工。操作主體由企業內部審計機構及其人員擔任，還是外包給社會審計組織及其人員，這主要取決于兩種操作主體執行內部控制評價業務的成本效益比。學者們對內部控制評價的操作主體已有許多論述，筆者不準備對此進行深入闡述。
內部控制評價的責任主體與操作主體的關系是：責任主體要對評價結果向使用者負責。為此，它要組織和領導操作主體進行評價工作，并監控操作主體的工作質量；操作主體應當對責任主體負責，接受責任主體的領導和監督。不管是董事會還是管理層作為責任主體，責任主體都應當按照成本效益原則確定操作主體。
關于內部控制評價的責任主體，中美兩國內部控制規范的規定有著明顯的區別。我國2010年4月正式頒布的《企業內部控制評價指引》第二條規定：“內部控制評價，是指企業董事會或類似權力機構對內部控制的有效性進行全面評價、形成結論、出具評價報告的過程。”美國國會于2002年7月發布的《薩班斯—奧克斯利法案》（Sarbanes-Oxley Act）第302節規定：公司CEO、CFO或類似職務者必須書面聲明對內控設計和執行的有效性負責，并要求隨定期報告一同對外披露管理層對財務報告內部控制的評價報告。因此，我國規定的內部控制評價責任主體為董事會或類似權力機構，美國規定的責任主體是管理層，兩者規定明顯不同。
那么，內部控制評價的責任主體到底應當是董事會還是管理層呢？
二、不同目的的內部控制評價其責任主體不同
筆者認為內部控制評價的責任主體不能一概而論。總體來講，由于內部控制評價是內部控制監控的重要形式，內部控制又是由企業董事會、管理層和其他人員實施的，因此，內部控制評價也應當是由企業董事會、管理層和其他人員實施的。也就是說，內部控制評價主體既可能是董事會，也可能是管理層。具體來講，不同目的的內部控制評價，其評價的責任主體是不相同的。關于內部控制評價的目的，目前人們尚未有系統的研究和論述。內部控制評價的目的大體可分為三種：管理目的的評價、治理目的的評價和對外披露目的的評價。
所謂管理目的的評價，是指為了持續保持內部控制有效性所實施的內部控制評價。它可以是局部評價，也可以是全面評價。由于它是有效運行內部控制的重要方面，因此，其評價的責任主體是管理層。由于管理目的的內部控制全面評價工作量大、成本高，因此它通常與對外披露目的的評價結合進行。
所謂治理目的的評價，是指董事會及其審計委員會為了加強對內部控制的監督，在企業發生重大貪污舞弊、弄虛作假、案件事故，以及懷疑管理層有凌駕內部控制問題等情況下，指令內部審計機構及其人員或聘請外部審計組織及其人員，甚至審計委員會成員親自參與實施的，對相關內部控制的有效性進行的評價。它通常是局部進行的，遇有管理層凌駕等問題也可以全面進行。公司的“內部人控制”問題出現后，強化董事會對內部控制的治理、指導和監督責任就成為大勢所趨。以前，當公司出現丑聞時，很多人問：“管理層怎么讓這發生的？”現在，恐怕要問：“董事會怎么讓這發生的？”（周勤業、王嘯，2005）COSO《框架》認為，董事會及其審計委員會在內部控制中應當承擔治理、指導和監督責任，包括“通過選擇管理層，董事會在確定誠信與道德價值觀的期望方面發揮著重要作用，而且通過其監督活動來確認是否符合期望。同樣，通過保留在某些關鍵決策上的權力，董事會可以在高層次的目標設定和戰略規劃中發揮作用。董事會通過它提供的監督，廣泛地參與到內部控制之中。”
所謂對外披露目的的評價，是指為了對外披露反映企業內部控制有效性的評價報告所實施的內部控制評價。隨著安然、世通等一系列重大財務丑聞的爆發，人們發現在“內部人控制”日益嚴重的今天，管理層操縱財務成果和財務狀況的問題日益增多，且日益為財務報表審計所難以發現。在這種情況下，外部使用者僅僅根據財務報表及其審計報告進行判斷和決策，已經變得風險越來越大，深入了解財務報表生成過程的可靠性變得越來越重要。財務報表生成過程的可靠性主要取決于財務報告內部控制的有效性。因此，為了給外部使用者判斷財務報表可靠性提供更多可靠的依據，公司對外披露有關財務報告內部控制有效性的評價報告及其獨立審計師審計報告就成為必然的要求。
對外披露目的的內部控制評價通常要求全面評價，以便全面而真實地披露內部控制有效性評價，更好地為外部利益相關者各方服務。它通常與管理目的的全面評價結合進行，或者說它可以根據評價發現的內部控制缺陷情況，對外披露內部控制有效性信息和采取措施彌補內部控制缺陷。它是最常見的內部控制評價形式，有關評價主體的紛爭主要是針對這種形式的內部控制評價而言的。
其實，披露目的的內部控制評價責任主體確定與披露目的的財務報告責任主體確定是一個相同的問題。大家知道，財務報告編制的責任主體是管理層，應當由管理層親自或聘請社會專家編制，由管理層對財務報告的可靠性負責；董事會通過聘請注冊會計師對財務報表進行審計，將財務報告和財務報表審計報告一同對外披露來履行其對財務報告的治理責任。同樣道理，內部控制評價的責任主體也應當是管理層，應當由管理層親自或聘請社會專家評價，由管理層對評價報告的可靠性負責；董事會通過聘請注冊會計師對內部控制評價報告進行審計，將評價報告及其審計報告一同對外披露來履行其對評價報告的治理責任。
三、內部控制責任主體出現爭議的原因分析
一些人之所以將董事會認定為對外披露目的的內部控制評價的責任主體，主要原因是他們誤以為內部控制監控就是董事會對內部控制的監督，誤以為內部控制評價就是內部控制審查。比如，我國《企業內部控制基本規范》就把內部控制的監控要素命名為內部監督要素，《內部控制評價指引》也把測試檢查以收集證據的方法規定為內部控制評價的基本方法。其實，內部控制的監控與內部控制的監督是兩種性質不同的工作，它們的責任主體、工作內容、工作方式、工作方法等都有明顯的區別。
內部控制監控是內部控制五個構成要素之一，是一個不斷對內部控制體系的運行質量進行自我評估的過程。它可以通過持續監控活動、個別評價或兩者的結合來實現。持續監控發生在經營過程中，包括日常的管理和監控活動，以及員工在履行其職責過程中所采取的其他行動。個別評價則獨立于經營過程外，是對內部控制體系運行有效性進行的評價。個別評價可以針對重點風險領域進行局部評價，也可以針對全部或某一個內部控制目標進行全面評價；可以由董事會負責組織實施，也可以由管理層負責組織實施。評價的基本方法是自我評估法，并不需要收集充分、適當的證據，但仍需要作詳細、真實的記錄。因為內部控制評價工作是一種有組織的自我反思的、自覺報告工作，必須由參與內部控制的全體人員積極參加，進行批評和自我批評。內部審計部門及其人員或聘請的社會審計組織及其人員在其中的職責主要是組織，在此基礎上參與評價和對重大和重要缺陷進行查實反映。（楊瑞平，2010）自我評估的常用方法主要有以下三種：
引導會議法。該法是指把管理層和員工召集起來，形成一個工作組（work terms of workshop），就特定的內部控制問題或過程進行面談和討論，以獲取有關內部控制評價關注點或指標實際情況信息的一種方法。
問卷調查法。該法是指內部控制評價者利用事先準備好的內部控制評價調查問卷對受訪者（承擔并行使內部控制職責者）進行調查，根據受訪者回答的“是/否”或者“有/無”情況，獲取有關內部控制評價關注點或指標實際情況信息的一種方法。
管理結果分析法。該法是指內部控制評價人員通過學習企業經營管理過程，了解經營管理結果，結合從其他方面收集的信息，獲取有關內部控制評價關注點或指標實際情況信息的一種方法。
內部控制的監督則是董事會及其審計委員會對內部控制承擔的責任之一。其監督的內容包括管理層建設和運行內部控制的情況、評價和完善內部控制的情況等。它可以通過審定管理層的內部控制建設或完善方案，實施治理目的的內部控制評價，通過與內部或外部審計師溝通、接受員工舉報等了解內部控制存在的問題并質詢管理層，督促管理層糾正內部控制重大缺陷并追究有關人員責任，聘請外部審計師對披露目的的內部控制評價報告進行審計等方式來進行。（楊瑞平，2010）監督的方法主要是檢查批判的方法，包括審閱、核對、查詢、函證、觀察、復算等，監督者的身份獨立于被監督對象，它既要求獲取充分、適當的證據，又要求作詳細、如實的記錄。
董事會對內部控制的監督，可以通過董事會及其審計委員會親自組織實施治理目的的內部控制評價等方式來實現，但不能通過董事會及其審計委員會負責對外披露目的的內部控制評價來實現。如果由董事會及其審計委員會負責對外披露目的的內部控制評價，出具評價報告，再由董事會及其審計委員會聘請外部審計師對評價報告進行審計，就會出現自己組織評價自己聘請審計的“自我評價”問題，既不利于保證評價的質量，也不利于保證審計的質量。這可以從目前我國一些上市公司提供的內部控制評價報告質量狀況得到證明。近年來，我國有越來越多的上市公司開始在年度報告中提供董事會或其審計委員會編制內部控制評價報告，但從閱讀這些評價報告了解的情況看，這些報告幾乎沒有披露內部控制重大和重要缺陷，極少數報告所披露的所謂缺陷也大多不是真正的內部控制缺陷。顯然，幾乎無缺陷披露的內部控制評價報告與我國上市公司內部控制的實際情況是不相符的，相當多的權威人士認為，“對我國內部控制現狀不宜估計過高”（王宏，2008）。因此，由董事會或其審計委員會負責的內部控制評價，其真實性也是很值得懷疑的，其作用是很有限的，甚至是負面的。
【參考文獻】
［1］ 李連華.內部控制理論結構［M］.廈門大學出版社，2007.
［2］ 鄭洪濤，張穎.企業內部控制學［M］.東北財經大學出版社，2009.
［3］ 王宏.基于國際視野和科學發展的我國內部控制框架體系研究［M］.東北財經大學出版社，2008.
［4］ 楊瑞平.企業內部控制環境研究［M］.經濟科學出版社，2010.
