一、引言
2008年5月25日，財政部會同證監會、審計署、銀監會、保監會五部委聯合發布了《企業內部控制基本規范》（簡稱《基本規范》），為我國內部控制規范體系的構建提供了框架。《基本規范》第十條規定“接受企業委托從事內部控制審計的會計師事務所，應當根據規范及其配套辦法和相關執業準則，對企業內部控制的有效性進行審計，出具審計報告。會計師事務所及其簽字的從業人員應當對發表的內部控制審計意見負責。”這一規定標志著內部控制審計正式進入我國注冊會計師業務領域。
為推進《基本規范》的實施，使內部控制規范發揮應有的作用，財政部再次會同證監會、審計署、銀監會、保監會五部委于2010年4月15日印發了包括18項應用指引、1項評價指引和1項審計指引的《企業內部控制配套指引》（簡稱《配套指引》）。《配套指引》自2011年1月1日起首先在境內外同時上市的公司施行，自2012年1月1日起擴大至上海證券交易所、深圳證券交易所主板上市的公司施行。這意味著內部控制審計將于2012年度大幅度展開，并強制施行。
根據《企業內部控制審計指引》（簡稱《審計指引》）的規定，內部控制審計，是指會計師事務所接受委托，對特定基準日內部控制設計與運行的有效性進行審計。其中，內部控制應當涵蓋財務報告內部控制和非財務報告內部控制，內部控制審計應是對企業整個內部控制系統實施審計，并對其設計的合理性、運行的有效性發表審計意見。但《審計指引》卻區分了注冊會計師應對財務報告和非財務報告內部控制審計所承擔的責任，因此，內部控制審計必須明確區別財務報告與非財務報告內部控制。而兩者的邊界如何明晰？至今尚缺乏明確的指南。此外，內部控制審計還面臨著內部控制規范體系還不夠完善，內部控制審計標準還不夠明確、不夠具體，非財務報告內部控制本身的復雜性導致其缺陷難以被認定等諸多不利因素。這些不利因素將使注冊會計師陷入判斷標準缺乏、專業勝任能力不足等困境，在審計意見的發表上，容易引發與客戶的嚴重分歧，出現“各持己見”“爭論不休”的局面。
二、內部控制審計所面臨的困境
（一）審計范圍困境
何謂內部控制？《基本規范》借鑒了COSO委員會發布的《內部控制整體框架》（COSO報告）的定義，即內部控制是由企業董事會、監事會、經理層和全體員工實施的，旨在實現控制目標的過程。它由內部環境、風險評估、控制活動、信息與溝通和內部監督五要素構成。其中，內部控制目標定位于合理保證經營管理合法合規、資產安全、財務報告及相關信息真實完整性，提高經營效率和效果，促進企業實現發展戰略。
由定義不難看出，企業內部控制貫穿于企業整個經營管理過程，“嵌入”企業經營管理的方方面面。換言之，內部控制在企業經營管理過程中無時不在、無處不在，但又難以觸摸、準確把握，企業內部控制已經被泛化、抽象化了。在這種情況下，如果把企業內部控制整體作為鑒證對象，必將導致內部控制審計范圍亦被泛化，在審計實踐中難以準確把握審計的邊界，給審計實務帶來困難，相應地也將大幅度地增加審計成本。然而，若沿襲傳統，將審計范圍圈定于財務報告內部控制，卻難以滿足日益增長的投資者和其他利益相關者的審計需求。自2001年安然事件爆發，直至2008年全球性金融危機以來，投資者和其他利益相關者越來越清楚地認識到僅僅關注財務報告的真實公允性是遠遠不夠的，還應同時關注經營的合法合規、資產安全完整、企業戰略目標的實現等等，單純的財務報告審計目標已不能滿足利益相關者的需求，市場需求的變化無形地將審計領域延伸到了整個的企業內部控制系統。但客觀需求與主觀約束的沖突客觀存在，內部控制審計陷入了“兩難”困境。
為擺脫“兩難”困境，《審計指引》采取了折衷策略，即在形式上把鑒證對象擴大到企業內部控制整體，實質上卻將內部控制一分為二，區別對待。如《審計指引》第四條規定，注冊會計師應當對財務報告內部控制的有效性發表審計意見，并對內部控制審計過程中注意到的非財務報告內部控制的重大缺陷，在內部控制審計報告中增加“非財務報告內部控制重大缺陷描述段”予以披露。《審計指引》并未要求注冊會計師對非財務報告內部控制發表審計意見，也不要求注冊會計師為之承擔審計責任，注冊會計師所承擔的僅僅是重大缺陷的披露責任。在未明確非財務報告內部控制審計責任的前提下，機會主義必將驅使注冊會計師仍將審計的重心置于財務報告內部控制的審計，在非財務報告內部控制審計上將支付盡可能少的審計成本，在整合審計中難以有效兼顧非財務報告內部控制的審計。因此，披露“非財務報告內部控制重大缺陷”很可能流于形式，難以實現《基本規范》所設定的內部控制審計目標。這一規定同時表明，注冊會計師對非財務報告內部控制所提供的保證是有限保證，并沒有上升到鑒證層次，準確地說，是非財務報告內部控制的審核，而不是非財務報告內部控制的審計。所以說我國的內部控制審計還不是完整意義上的審計，《審計指引》的規定與《基本規范》的基本要求存在一定的沖突。
撇開《審計指引》與《基本規范》的沖突，僅就財務報告與非財務報告內部控制的區分而言，現狀是：理論上缺乏深入的研究，實務層面也沒有明確的指南。從字面上分析，財務報告內部控制是與財務信息的真實公允性相關的內部控制，但實質上，任何內部控制缺陷或漏洞都有可能影響財務信息的真實公允性，財務報告內部控制與非財務報告內部控制的界限實質上很難劃清。例如，管理層凌駕于內部控制之上，應屬于非財務報告內部控制缺陷，但其經濟后果必然反映在財務信息里，影響財務信息的真實公允性，是否也可以歸為財務報告的內部控制呢？因此，財務報告與非財務報告內部控制間的關系是一個相互融合、互為作用、相互轉化的動態關系，其間模糊的、漂移著的界限，必將給財務報告與非財務報告內部控制的劃分帶來困難，審計責任的認定亦是困難重重。
（二）鑒證標準困境
內部控制審計屬于鑒證業務，提供的是合理保證，要求將審計風險降至可接受的低水平，并發表積極的審計意見。作為一項獨立的鑒證業務，內部控制審計同樣必須具有獨立的鑒證目標、鑒證對象、鑒證標準和鑒證報告。從鑒證業務要素上看，內部控制審計的另一個難點在于鑒證標準（即審計標準）的建設。
目前，我國已經建立了含《基本規范》和《配套指引》在內的內部控制規范體系，從法律地位來看，該規范體系自然成為內部控制審計標準。但該規范體系是典型的原則導向的“游戲規則”。作為原則導向的規則，其顯著特點是適應性、通用性強，只提供一般性、原則的規范，執行者可以依據規范，結合本企業實際靈活設計、執行，執行者具有較大的自由裁量權。其不足顯而易見，主要表現在可操作性較差，往往存在“柔性有余、剛性不足”，如果將其作為鑒證標準，因標準不具體，缺乏應有的“剛性”，極易產生認識偏差和觀點分歧，出現判斷上的困難。因此，僅僅以現行企業內部控制規范體系作為內部控制審計的標準，將會導致內部控制審計陷入鑒證標準困境。
另外，我國企業內部控制審計的目標是對內部控制的設計與運行的有效性發表意見。就審計實務而言，就是要獲取充分、適當的證據證明被審計單位內部控制的設計與運行是否存在缺陷，存在缺陷的嚴重程度如何，等等。何謂內部控制缺陷？缺陷的嚴重程度如何衡量？至今，無論在理論上，還是在實務層面都缺乏系統的研究，尤其在內部控制缺陷嚴重程度的劃分上沒有一個可供操作的、可量化的公認標準，大都停留在從定性的角度描述缺陷的嚴重程度，我國也不例外。如《企業內部控制評價指引》（簡稱《評價指引》）規定，內部控制缺陷包括設計缺陷和運行缺陷，根據缺陷的影響程度分為重大缺陷、重要缺陷和一般缺陷。一個或多個控制缺陷的組合可能導致企業嚴重偏離控制目標的，認定為重大缺陷；如果嚴重程度和經濟后果低于重大缺陷，但仍有可能導致企業偏離控制目標的，認定為重要缺陷；除重大、重要缺陷以外的其他缺陷則為一般缺陷。偏離控制目標的嚴重程度如何衡量？這里的“可能”是多大的可能？這些問題都需要具體化，也沒有量化的標準，而是將這一標準的制定權授予了企業。如《評價指引》規定，缺陷認定的具體標準則由企業根據規范要求自行確定。企業確定具體的缺陷認定標準是否符合規范要求？是否客觀、公正、合理？能否作為內部控制審計針對內部控制缺陷認定的標準？又應該由誰來認證企業制定的標準呢？政府？還是注冊會計師？如果是政府，政府能完成這一浩大的工程嗎？如果是注冊會計師，符合獨立性要求嗎？這些問題均需要進一步研究，一一明確。在解決這一系列問題之前，內部控制審計必將處于缺陷認定的困境之中。如果內部控制缺陷認定存在困難，恰當的審計意見就難以形成，內部控制審計的目標也就難以實現。
（三）專業勝任能力困境
內部控制審計對注冊會計師專業勝任能力提出的挑戰，使之面臨困境的因素主要體現在以下三個方面：
1.審計證據的獲取
劉玉廷博士（2010）認為，內部控制缺陷的認定，特別是非財務報告內部控制缺陷的認定，是企業內部控制評價工作中面臨的重大挑戰之一。其實，內部控制缺陷，尤其是非財務報告內部控制缺陷的認定，不僅是企業內部控制評價工作面臨的挑戰，也是內部控制審計面臨的重大挑戰。由于信息的非對稱性，在信息的占有上，評價優于審計。內部控制評價是企業管理層（內部人）實施的，具有顯著的信息優勢；而內部控制審計是由注冊會計師（外部人）實施的，在信息的獲取或占有上明顯處于劣勢。從這一角度看，內部控制審計面臨的挑戰遠大于內部控制評價。只不過評價與審計面臨挑戰的實質不同，內部控制評價所面臨的挑戰可能更多的來源于自我評價的約束，而內部控制審計所面臨的主要問題是信息（或證據）的獲取，發現并認定內部控制缺陷。
2.復雜環境的透視
《基本規范》要求，企業應當按照內部環境、風險評估、控制活動、信息與溝通、內部監督五要素建立與實施有效的內部控制。與之相對應，內部控制審計自然也需要按照五要素對被審計單位內部控制的設計和運行的有效性實施審查，獲取充分、適當的審計證據。而內部控制五要素涵蓋了企業經營管理系統的所有方面，尤其是企業實施內部控制的基礎——內部環境，不僅包含了治理結構、機構設置及權責分配、內部審計、人力資源政策，還包括企業文化。對如此豐富、復雜的內部環境進行評估、審查，無疑是對注冊會計師的專業勝任能力的一種巨大挑戰，對注冊會計師的綜合素質、經營管理經驗、執業水平與經驗、職業判斷能力、溝通與談判能力等均提出了極高的要求。在高度專業化的今天，注冊會計師可能難以勝任這高度一體化的內部審計工作。
3.可借鑒經驗的缺乏
對非財務報告內部控制實施審查并披露發現的缺陷，是我國內部控制規范體系賦予注冊會計師業務的新內容。雖然美國國會于2002年7月發布了《薩班斯—奧克斯利法案》（SOX），其中的302和404條款要求對內部控制實施審計，開啟了內部控制審計之先河，但其核心仍然是財務報告內部控制，并未要求對非財務報告內部控制實施審計。此外，日本、加拿大等要求對內部控制實施審計的國家均未要求對內部控制整體發表審計意見。同時，雖然傳統的財務報表審計需要了解被審計單位的內部控制，關注內部控制的設計與運行的有效性，但長期以來注冊會計師所關注的也只是財務報告內部控制，風險評估也是針對財務報告內部控制進行的。因而，缺乏針對非財務報告內部控制審查的經驗，也沒有國際上的執業經驗可供借鑒。
以上因素的共同影響，致使注冊會計師缺乏應有的內部控制審計能力，尤其是對財務報告內部控制的審計方面，明顯存在專業勝任能力不足。審計能力不足必然制約審計質量，如果這一矛盾難以在短期內解決，內部控制審計可能難以達到預定的目標。
三、應對困境的策略思考
針對我國內部控制審計面臨的三大挑戰，筆者提出以下應對策略：
（一）在劃分財務報告與非財務報告內部控制的界限方面給予更明確的指南
雖然傳統的財務報表審計是建立在內部控制審查基礎上的風險導向審計，但其核心是財務報告內部控制的審查，并不要求明確區分財務報告與非財務報告內部控制。直至今日，無論是審計理論，還是審計實務，均沒有對財務報告與非財務報告內部控制的定義進行深入研究，對兩者的界限也沒有進行深入的探討。從現行的《中國注冊會計師審計準則第1211號——了解被審計單位及其環境并評估重大錯報風險》可見一斑，準則所要求了解的應該是內部控制整體，并沒有強調財務報告內部控制。而《審計指引》區分了財務報告內部控制和非財務報告內部控制，并賦予了注冊會計師不同的責任，即審計責任和披露責任。因此，內部控制審計必須明確區分財務報告和非財務報告內部控制。正如前文所述，由于財務信息處于企業信息鏈的末端，具有綜合性，任何一個內部控制缺陷，如果產生了相應的經濟后果都會在財務信息中體現，該項控制即與財務報告相關，都可以將其歸為財務報告內部控制，明確區分財務報告與非財務報告內部控制并非易事。所以，必須加強對財務報告與非財務報告內部控制定義與界限劃分的研究，為內部控制審計實務提供更具體、更明確的指南。
（二）制定規則導向的內部控制標準，使內部控制審計標準具體化，降低職業判斷風險
現行企業內部控制規范體系實為原則導向的規范體系，在內部控制設計和運行中發揮著重要的、原則性的指導作用，但作為鑒證標準，尚需要進一步具體化，以便于衡量被審計單位的內部控制，提高審計判斷的客觀性和準確度。如何建立內部控制具體標準？有兩個途徑可供選擇：一是在國家層面制定統一的內部控制具體標準；二是由企業根據已發布的企業內部控制規范體系，結合本企業實際（包括所處行業的特點、企業規模、組織架構、內部控制的特別要求、企業管理慣例等）自主制定，經權威機構（如行業組織）認證之后執行。因企業的具體情況千差萬別，不可能做到整齊化一，全國統一的標準只能束縛企業行為，所以第二條路徑才是理性的選擇。即企業應根據企業內部控制規范體系的原則要求，設計符合本企業特點與管理要求的內部控制。唯有制定個性化、科學合理的內部控制具體標準，才能為內部控制審計提供明確的、具體的、可操作的鑒證標準。
另一方面，注冊會計師在執行內部控制審計過程中會遇到各種典型案例，這些案例的成功處理就是以后內部控制審計的很好判例。因此，注冊會計師應當注意收集、整理成功的典型審計案例，積極著手內部控制審計案例庫建設，為將來的內部控制審計提供判例依據。
（三）取消內部控制重大缺陷的分類，量化重要缺陷和一般缺陷的判斷標準
我國企業內部控制規范體系將內部控制缺陷分為重大缺陷、重要缺陷和一般缺陷。從三種缺陷的定義看，明顯存在界限模糊的弊端，尤其是重大缺陷與重要缺陷的區分，無論是評價，還是審計都難以準確認定，這必然給審計判斷帶來困難。另外，區分重大缺陷與重要缺陷的現實意義不僅不明顯，反而會使信息使用者感到迷茫。因此，采用“兩分法”，根據內部控制缺陷的性質及其產生經濟后果的重要性，將其劃分為重要缺陷和一般缺陷，并從質和量兩個方面加以認定。缺陷性質的認定可采用關鍵控制點認定法，即明確各項關鍵業務，如果關鍵業務缺乏有效控制，出現缺陷，即可認定為重要缺陷；從量上看，可借鑒我國《注冊會計師審計準則第1221號——重要性》關于重要性水平的確定標準。如果一項或多項內部控制缺陷的組合導致的經濟后果超過了以下標準，即可認定為重要缺陷：（1）對于以營利為目的的企業，來自經常性業務的稅前利潤或稅后凈利潤的5%，或總收入的0.5%；（2）對于非營利組織，費用總額或總收入的0.5%；（3）對于共同基金公司，凈資產的0.5%。如果被審計單位的內部控制存在缺陷，但無論是在質的方面，還是在量上都不滿足重要缺陷認定標準的，則認定為一般缺陷。有了公認的量化標準，才能有效避免注冊會計師與被審計單位在缺陷認定上的分歧，當定量認定與定性認定相互補充、相互印證時，將大大提高缺陷認定的說服力。
（四）加強“復合型”注冊會計師培養，豐富注冊會計師企業管理的實踐經驗，提升執業能力
內部控制審計對注冊會計師來說既是機遇，也是挑戰。注冊會計師只有加強綜合素質培養，不斷積累企業經營管理的實踐經驗和內部控制審計的執業經驗，不斷提高執業質量和執業水平，才能抓住機遇，應對復雜的內部控制審計。
在加強注冊會計師綜合素質和執業能力培養過程中，應注意做好以下幾點：（1）注冊會計師必須加強專業理論學習，不斷提高專業理論水平，拓寬知識面，全面、系統地掌握管理學、金融學、系統論、控制論、企業文化、公司治理、信息技術等領域的理論知識，將自身打造成名副其實的“復合型”高級會計人才；（2）注冊會計師必須深入企業調查研究，積極參與企業經營管理，親歷內部控制設計與運行過程，通過企業實踐掌握內部控制規律，積累實際的企業管理經驗；（3）注冊會計師和會計師事務所必須做好審計案例的剖析與總結工作，探尋內部控制缺陷的“多發地”和“弱點”，總結經驗教訓，為內部控制審計提供活生生的判例，為注冊會計師業務培訓提供典型案例。●
