一、內部審計與內部控制評價的耦合關系
(一)內部控制評價是內部審計的執行秘訣
內部審計常被簡單地認為是查錯糾弊，局限在單一的財務領域。事實上，內部審計與內部控制是相伴而生的，內部審計首先要保證和評價的就是內部控制的有效性，一旦內部控制失效，財務報告的可靠性就無從談起。各方對內部審計的定義足以體現這一點?，F代內部審計之父索耶(1990)認為，內部審計是對組織中各類業務和控制進行獨立評價，以確定是否遵循公認的方針和程序，是否符合規定和標準，是否有效和經濟地使用各種資源，是否正在實現組織的目標。我國內部審計協會在2003年6月發布的《內部審計準則》中指出，內部審計是組織內部的一種獨立客觀的監督和評價活動，它通過審查和評價經營活動及內部控制的適當性、合法性和有效性來促進組織目標的實現。國際內部審計師協會(IIA)在最新的內部審計定義中，將內部審計的職能定位為確認和咨詢。從字面上看，與“監督和評價”有差異，但實際上是“監督和評價”的延伸?？梢?，監督、評價和改善內部控制是內部審計的基本職責。
根據《企業內部控制評價指引》(以下簡稱“指引”)，在內部控制評價中，內部審計關心的并非僅是內部會計控制，而應擴展為廣義控制，要與特定的社會及組織文化聯系起來。因此，“內部審計人員評價組織機構各專門領域的內部控制的技能是他們滲透到組織中的敲門磚”(Moeller，2006)，其中最具代表性的技術手段是內部控制自我評估。在國際內部審計師協會(IIA)2002年的調查中，內部控制自我評估被列作“當前內部審計最佳實務”中的第2位，在“未來將愈加重要的實務”中排名第1。我國內部審計協會專門制定了《內部審計具體準則第21號――內部審計的控制自我評估法》，指導內部審計人員如何運用控制自我評估法進行內部控制評價。
(二)內部審計執行內部控制評價更具權威性
按照指引，董事會承擔內部控制評價的責任，企業根據自身需要，可以授權內部審計部門負責內部控制評價的具體組織實施工作，也可以委托外部審計師進行內部控制評價。考慮到獨立性和審計經驗，許多企業在很大程度上會聘請外部審計師為其進行內部控制評價。但從實踐來看，內部審計主導的內部控制評價更全面，提出的建議更適合本企業行業特點，整體上更具權威性。
一是內部審計置身于組織內控環境中，具有敏銳的觀察力，隨時能夠洞察控制的缺陷，及時開展日常評價和專項評價等特點，其結果是主動的、積極的、深入的，而外部審計師根據合同的約定提供定期服務，對企業缺乏系統、全面的了解，內容具有滯后性，其結果是被動的、消極的、表面的；二是內審人員是組織的雇員，又是其他成員的同事和朋友，更易取得他們的信任與合作，特別在評價包括控制氛圍、職業道德、誠實品質、勝任能力等“軟控制”方面，可以進行無芥蒂溝通，從中發現隱藏在不同層面的控制弱點，而外部審計師無法卸除組織成員的防范和戒備之心，涉及“軟控制”的評價多半會流于形式，浮于表面；三是內部審計作為組織的內部成員，其工資、福利、個人價值實現等都與組織息息相關，為實現組織的價值增值，獲得組織和其他成員的認可，他們有著強烈的責任感，會更積極地履行職責，提出適合企業實際情況的解決方案，而外部審計師獨立于組織之外，出于審計風險、成本效益等考慮，往往對與會計信息內容相關的內部控制給予更多的關注，對無法深入的地方只能套用通行的內部控制框架或標準，從而評價效率和效果不盡如人意。
(三)內部審計與內部控制評價成果可相互利用
內部審計與內部控制評價是兩個獨立的活動，但不是相互割裂開來的，兩者在技術層面和實務工作中運用的許多方法是相同的，部分工作內容是相似的。在常規審前調查階段，內部審計人員通常會關注企業的內部控制狀況，如：環境控制、業務控制、資金管理控制、會計系統控制、內部稽核控制、信息系統控制等，通過查找內部控制的薄弱環節，確定審計重點，這些關注的內容也是內部控制評價的主要內容；在現場審計時，內部審計人員會運用詢問、觀察、抽樣等方法對內部控制進行測試，以發現審計線索，這些審計方法在內部控制評價中也廣泛運用?？梢哉f，內部審計與內部控制評價之間的相互作用是貫穿于各自工作的始終。因此，兩者的工作成果也是可以相互利用和融合的。
內部控制評價中一部分內容可以借助全年常規審計項目的結果，匯總、分析其中涉及內部控制的內容，對內部控制作出評價。尤其是大的集團公司，可以利用這種形式的內部控制評價方式對下屬分(子)公司的內部控制進行檢查評價。同樣，專項的內部控制評價是分步驟、有計劃地對企業各部門、各環節的內部控制進行全面測試，覆蓋面比內部審計更廣、更深，內部審計可以直接對評價中注意到的高風險和非正常項目進行復核來確定審計工作目標，從而減少審計所需收集信息的時間和審計所需執行的驗證程序，提高審計效率。
二、內部審計在內部控制評價中的角色定位
隨著外部環境競爭的加劇和內部管理的強化，企業內部控制體系日益復雜，評價內部控制的內容由最初的內部牽制措施擴展為內部環境、風險評估、控制活動、信息與溝通、內部監督等5大要素。如果僅依靠內部審計單一力量檢查單據、實施符合性測試程序是遠遠不夠的。內部控制評價的主體應當多元化，應形成由董事會總體負責、監事會和審計委員會負責監督、全體員工共同參與的多層次評價體系。那么，內部審計在整個評價過程中應如何定位呢?許多研究文獻表明，內部審計承擔的應是引導者的角色。由此引申，筆者認為，內部審計在評價活動的不同階段，其角色定位應各有側重。
(一)在評價準備階段，做一名示范者和營銷者
內部審計本身是內部控制系統的一部分，在組織評價其他控制時，其自身建設的好壞往往會被其他成員所關注，進而影響他們對內部審計的信任度和參與內部控制評價的積極性。在實施內控評價之前，內部審計應加強自身建設，為其他成員做出示范和榜樣。一是提高自身專業勝任能力。通過參加內控培訓和自身學習，了解國際、國內評價工作的發展趨勢和先進方法，能夠運用風險管理流程制定評估計劃，借助信息技術手段識別、分析和監測風險，在實
踐活動中不斷探索和創新內控評價的新思路和新方法。二是完善內部審計的制度建設。合格的內部審計應當建立良好的內審制度，如內部審計章程、內部審計手冊、內控評價辦法等，使內審工作向規范化、科學化的方向發展。三是規范工作底稿格式。盡可能設計和使用統一的工作底稿，以確定不同成員進行評價工作的標準，也便于后續整理匯總工作的開展。這樣，既可以起到以身作則的作用，也為今后的評價工作質量提供保證，得到其他部門的尊重。
內部審計在做好自身建設的同時，還應當積極營銷內部控制的新理念和內控評價的先進方法，如：在公司內部局域網開辟專欄、發放內控宣傳手冊、召開動員培訓大會等，通過傳播內控評價知識，讓企業所有成員了解內控體系的精髓和實施內控評價的目的、內容及程序，取得管理層和基層員工的支持，為內部控制評價的順利開展打好基礎。
(二)在實施評價階段，做一名引導者和記錄者
眾所周知，內控體系是個復雜的系統工程，涉及各個層面和環節，是全員參與和全員控制的。要對控制的硬性和柔性部分進行有效衡量，每個參與作業的人應當最有發言權。目前西方發達國家廣泛運用和我國積極推行的內部控制自我評價法就充分體現了這一點。內部控制自我評價法是由組織的全體成員共同參與，集體討論，提出最佳改進措施的運營程序。內部審計憑借對控制評價概念的深厚知識和熟悉的組織營運作業流程，在此過程中擔任引導者的角色。
1 內部審計人員與被評價單位管理人員組成小組，與公司高級管理層進行訪談，確定本次評價的范圍和重點。之后，小組成員運用調查問卷和訪談關鍵崗位員工的方式了解業務流程、控制環境，在內部審計的指導下，進行必要的穿行測試和分析性復核，初步確定中、高風險區，作為下一步研討的重點。
2 召集與評價主題有關的人員參加研討會。在會上，內部審計一方面要營造相互信任的氣氛，引導與會人員坦率、自由地交流，同時進行啟發性提問，鼓勵較沉默的參與者發言，避免讓較多話者壟斷整個局面；另一方面要在每一階段進行小結，使與會者明白討論到了什么樣的程度，哪些問題清楚了，哪些問題尚無定論等，確保有系統地討論，深入問題的核心。在進行訪談和研討會時，內部審計人員應耐心聆聽，記錄所有訪談對話和參與者的討論，并與書面調查問卷、測試取得的書面材料一起整理形成工作底稿，作為內控評價的證據文件，以支持評價結果。
(三)在形成評價意見階段，做一名協調者和撰寫者
全員參與內控評價可以使組織的內控整體意識得到加強，改善內部控制環境。但不同的管理人員對內部控制發表意見通常是從自身角度出發，以控制自身風險最低為標準，較少考慮內控的整體有效性和成本效益性，以致不可避免地出現與組織其他部門或人員意見相左的情況。此時需要內部審計進行協調，從組織層面考慮整體的評價意見，并及時與高級管理層溝通和匯報。
內部控制是否有效，一般是根據現有的內部控制框架來判斷組織的內部控制設計和運行是否存在實質性漏洞。也就是說，內部控制的5大要素都應該滿足框架要求才能得出控制有效的結論，但采用這種簡單的一一對應方法勢必會造成評價結論的偏差。實質上，內部控制的組成要素之間本身就具有相互補充和滲透的關系，存在著某種程度的平衡，如果把每一個控制環節都做得很完美，提供絕對保證的內部控制系統而并非最優的控制系統，往往會形成過度控制，導致不必要的額外成本支出。相反，恰恰是多個效果有限的控制在一起，就可以達到滿意的效果。因此，內部審計在形成評價意見時，應進行綜合分析，協調各方意見，促成雙方達成共識，站在組織的高度上，評價內部控制系統設計的完整性和運行的有效性，既要指出控制中的“空白點”和“風險點”，又要指出在控制目標實現提供合理保證的前提下是否存在冗余節點。
內部審計根據評價過程中的工作底稿和評價小組對內控缺陷進行的主客觀評分和評級，填寫《內部控制缺陷清單》，顯示評價結果和依據，據此撰寫評價意見，并將建議事項發展為改善措施計劃，最終形成自我評價結果。內部審計可以結合內部控制評價的特點，在以報告形式為主的前提下，適當補充其他表現形式，如使用流程圖形式，以便更直觀地揭示內控缺陷點；也可用圖文并茂的形式編寫《內部控制案例集》，在系統內展示評價成果，提高風險控制意識。
(四)在整改落實階段，做一名督促者和再評價者
內部控制評價不是階段性工作，是連續的循環往復的過程，需要經歷評價、整改、再評價，以實現自我完善。內部審計人員作為組織中獨立的監督機構，在評價意見落實階段，無疑是整改的督促者，同時對內部控制是否持續有效也需做好再評價工作。
在實行整改監督時，監督的方式應當多樣化。一是根據內部控制評價結果建立分層次的整改監督計劃，對控制風險較高的控制缺陷，在整改期結束時立即進行實地調查，并在今后的一段時期內每月進行測試，以驗證其有效性；對控制風險中等的控制缺陷?？刹捎门c日常審計合并追蹤的方式進行后續監督；對控制風險較低的控制缺陷，可采取報送方式取得整改報告和相關證明材料進行檢查。二是建立評價結果和整改工作反饋制度。由內部審計部門牽頭，與被評價部門或單位一起召開內部控制通氣會，將內部控制評價結果告知被評價者；對內部控制嚴密、經營效益顯著的單位，進行內部控制經驗推廣和典型宣傳，使行之有效的內部控制手段實現系統內共享；對發現的重大和重要缺陷進行通報，讓大家引以為戒；聽取被評價者對整改工作的意見，掌握整改進度，提出適宜操作的整改建議。三是將內部控制評價結果和整改情況作為內部績效考評的重要依據，增強領導班子對內部控制體系建設的重視程度，進一步完善整改監督配套手段，促進傳導整改責任意識與壓力。
內部審計不能存在一勞永逸的觀念。隨著人員、流程、系統和外部環境的變化，已制定的控制應對措施所起的作用會逐漸弱化。因此，內部審計要結合具體實際情況對內控評價效果進行再分析和再評價，提醒企業對已經識別的風險點要及時更新，對可能隱匿的新風險點要重新梳理，通過持續檢測和反省內部控制設計與運行，不斷消除內部控制缺陷，以增強企業抗風險能力。
