中國內部審計2001.10
內部控制與內部審計
丁欣
一、內部控制的內涵
根據國際內部審計師協會的定義，“內部控制是一個要靠組織的董事會成員、管理層和其他員工去實現的過程，實現這一過程是為了合理地保證：經營的效果性和效率性、財務報告的可信性、對有關法律和規章制度的遵循性?！苯鹑跈C構內部控制，是金融機構管理層為了保證經營目標的全面實現而制定并組織實施的、對內部部門和人員從事的業務活動進行風險控制、制度管理和相互制約的制度、措施、程序和方法。金融企業的內部控制制度，是指金融企業內部的風險控制制度，即金融企業對經營活動中可能出現的各種風險進行預防和控制的管理制度。
根據內部控制的表現形態，內部控制實際上分為硬控制和軟控制兩大類。
硬控制是指那些關于職責分離、權力制衡等有形的政策、標準、程序和設施。隨著內部控制理論在組織管理中的應用，我們發現即使是在一個硬控制系統十分健全的組織中，仍可能會出現某種問題或欺詐行為。例如，當工作人員不能勝任其工作時，就可能造成失誤；再如，當工作人員不夠誠信時，可能會合謀，發生道德風險；還有，管理人員可能利用他們的特權凌駕于內部控制系統之上。
軟控制是指那些與有效的溝通、道德規范、管理哲學、激勵機制、員工素質等有關的趨向與無形的因素。軟控制在一定程度上彌補了上述硬控制的局限性。近年發展起來的內部審計理論愈來愈認識到這些軟控制因素在組織成功實現目標中的作用，并不同程度地將這種無形因素納入內部控制的構成要素，如COSO模型中提到的控制環境，COCO模型中更多地強調的組織文化、共同的目標、決策方式、報酬結構、事后的檢討等理念。
二、內部審計及其在內部控制中的地位
從控制體系的層次看，內部審計是內部控制的組成部分。對一個組織的控制有三個層次，第一個層次是指具體的操作層次的內部控制，又分為兩級控制：第一級指建立在具體操作人員水平的內部控制，防止操作風險的發生；第二級是指建立在管理人員水平的內部控制，旨在對操作人員形成監督，保證第一級內部控制的有效性。第二個層次的控制是指獨立于具體操作和管理之外的內部審計，仍然是內部控制的范疇。一個組織中的內部審計部門直接向獨立的審計委員會、董事會或最高決策人負責，對具體的操作和管理部門內部控制的充分性和潛在的風險進行評價，并提出審計建議，旨在降低第一個層次內部控制無效產生的風險，從整體上保證組織目標的實現。第三層控制即外部的監督和審計。對于一個組織來說，這是外部控制范疇，外部監督和審計往往通過立法和檢查評價活動，促進一個組織加強內部控制。事實上，從更高一級系統看，外部監督和審計（如政府監管、國家審計等）也是包括眾多組織的一個經濟整體內部控制構成部分。內部審計在控制體系中的定位見下圖：
三、加強內部審計，促進內部控制
隨著我國加入WTO組織，金融業的競爭加劇，使得這一領域潛在的風險遠遠高于傳統行業。目前我國金融業內部控制制度基本建立，對高風險的業務部門、工作崗位和操作環節規定了業務操作規程、實行了授權授信制度等，但還不完善，主要表現為內控制度執行弱化，實質是款控制不充分。在這種情況下，應充分加強內部審計，促進內部控制，因為：
l、內部審計部門是一個組織內部控制層次的重要組成部分，分析、評價組織中各部門內部控制的充分性。內部審計本身的完善與否直接體現一個組織內部控制是否健全。美國公司理事協會委員會發表的一份報告，詳細陳述了改進審計委員會的獨立性、業務水平以及它們工作效果的建議，提出“組織應該有一個強有力的、獨立的審計委員會”，在“保證適當發現和管理風險方面起關鍵性作用”。目前，我國內部審計部門在組織中的定位需要進一步規范，以增強獨立性，直接向獨立的審計委員會、董事會和最高決策者負責。
2．內部審計以風險為導向，通過調查、研究、分析和審計，將識別到的風險進行量化，對一個組織的內部控制充分性進行評價。風險評價體系包括調查的方法、資料整理的方法、風險量化的方法、降低風險的建議。
3．隨著金融領域的進一步開放，我們將會看到內部控制在公司治理中的地位越來越重要。一方面金融機構會進一步重視內部控制在防范風險方面的作用，另一方面金融業務的不斷創新也內部控制的有效性提出挑戰。如網絡銀行業務的發展，減少了眾多中間環節，拓寬了個人的職責范圍。內部審計人員除了要掌握現代計算機審計技術外，還肩負著推進組織軟控制的重任，以滿足現代管理的需求。必須認識到，內部控制是一個動態的管理系統，根據環境的變化和風險點的轉移需要對具體的控制手段進行刪減和更新。內部審計要及時掌握這種變化，通過識別潛在的風險來評價組織的硬控制和軟控制是否充分，發揮“風險顧問”的作用，以增進管理效率。
（作者單位：中國人民銀行內審司）
