【編者的話】
加強企業內控制度建設能夠有效防范經營風險，然而對內控制度應當如何進行評價，尚缺乏明確的標準和方法，建立一套完善的、具有可操作性的企業內控評價體系勢在必行。
本期財務監管專欄的主題即為內控制度評價，著重分析了內控制度評價標準體系的框架和關鍵要素，同時通過案例分析展示企業集團加強財務內控的實踐經驗。
鄒慷行/文
企業內部控制評價是對內部控制執行有效性的檢測，目前我國的內部控制評價標準體系尚未建立。今年3月，財政部發布了財會便（2007）7號關于印發《企業內部控制規范-基本規范》和17項具體規范（征求意見稿）的通知，其目的在于推動國內上市公司實行內部控制自我評價制度和注冊會計師審計制度，填補企業內部控制標準的空白，從而為建立企業內部控制評價體系打下基礎。
在實際審計工作中，對被審計單位企業的內部控制進行評價，必須要有一套客觀可行的基本參照標準。這套標準不僅可為企業自我評估和改進其內部控制以及注冊會計師發表評價意見提供依據，還可以為各方面的溝通與理解提供統一的基礎。我國在內部會計控制的建設與完善方面雖已進入起步階段，但有關內部會計控制的標準和評價體系較為薄弱，制約了企業內部控制的有效執行。因此，建立一套完善的、符合實際的、具有可操作性的企業內部控制評價體系已勢在必行。
內部控制評價體系框架
研究、制定一套具有統一性、公認性和完善性，既符合實際又具有可操作性的評價標準體系，應從目標定位、內容范圍以及設置方式等方面來綜合考慮，既可以從企業管理與控制的目標入手，也可以從內部控制要素入手。但無論怎樣，企業內部控制評價標準都可以分為一般標準和具體標準兩部分，一般標準以具體標準為基礎，同時也是具體標準的升華，二者相輔相成，缺一不可，共同構成一個完整的評價體系。
這里所說的一般標準大致包括3方面，即完整性、合理性、有效性。具體標準由內部控制要素評價標準和作業層級評價標準兩部分組成，其中要素評價標準可分為5個方面，即控制環境、風險評估、控制活動、信息與溝通、監督；作業層級評價標準因其繁瑣復雜，難以窮盡，如以生產性企業為例進行框架構建，可分為5個業務循環，即銷售業務循環、購貨業務循環、生產業務循環、薪金業務循環和理財業務循環。在內部控制評價的具體標準中，要素評價標準以作業層級評價標準為基礎。
一般標準測試的3大方面
首先是完整性。企業內部控制是否完整是評價一般標準中首要的一條，同時又是基礎。若內部控制的完整性都達不到，則內部控制的合理性與有效性就無從談起了。
從系統的觀點出發，可以從企業資源利用角度去審視：應有“人力資源控制系統、物力資源控制系統、財力資源控制系統、信息資源控制系統”；從經營環節角度去審視：應有“供應環節控制系統、生產環節控制系統、銷售環節控制系統”；等等。在對內部控制的完整性作出判斷時，還應當考慮到企業經營規模及業務復雜程度的影響。一般情況下，企業經營規模愈大，業務復雜程度就愈高，對內部控制的完整性要求也愈高。
其次是合理性。企業設置內部控制切忌照抄照搬，因此應當考慮企業內控設計和執行時的適應性和經濟性。因為，企業所處行業、組織規模、交易性質、經濟技術條件、人員素質等方面存在著很大的差異，不同的企業就應當根據其不同的特點設置內部控制制度。
在對某一企業評價其內部控制的適用性時，要注意控制點的設置是否合理，有沒有安排過多或不必要的控制點；在每一個需要控制的地方是否都建立了控制環節；控制職能是否劃分清楚；人員間的分工和牽制是否恰當，既不能分工過細，又能起到相互牽制的作用。同時，內部控制的適用性要以經濟性為限制條件。
第三是有效性。企業內部控制的有效性應該體現在是否能為提高經營效益、提供可靠財務報告和遵循法律法規方面提供合理保證，有效性是內部控制的精髓。在內部控制評價的3個一般標準中，內部控制的有效性以其完整性與合理性為基礎，內部控制的完整性與合理性則以其有效性為目的。
在對企業內控制度的有效性進行審核評價時，要注意內部控制不僅僅需要在總體上是有效的，而且需要各項具體制度也要有明確的目的并發揮其自身的作用。要審核內部控制系統是否相互協調，自相矛盾；是否顧此失彼、相互制約；是否有利于整體功能的發揮。要關注內部控制是否適度，如果過嚴則會使管理活動失去活力，影響相關方積極性的發揮；過寬又會引起運行的機制失調，達不到控制目的。
具體標準測試的5大要素
在對內控制度進行評價時，只有先從操作性較強的具體標準入手，對具體內控制度的設計與運行有了認識之后，才能從整體上對企業內部控制的完整、合理、有效作出判斷。對具體標準的評價方法常用的有“詢問、觀察、檢查、重新執行”。企業內部控制評價可以按下列步驟展開：
首先是企業控制環境。以《上市公司內部控制指引》為依據，對企業進行測評。主要有：企業治理結構是否完善，董事會、監事會和股東大會等管理架構是否合法運作和科學決策；是否建立有效的激勵約束機制和樹立風險防范意識；企業管理層及業務環節是否開展內控培訓，讓內部風險防范成為高管的共識；是否培育良好的企業精神和內部控制文化，創造全體職工充分了解并履行職責的環境；企業高管人員和采購人員是否簽訂誠信承諾書，對所有的重要原材料及設備供應商，在購銷活動中首先簽訂陽光協議，要求其操作過程透明公開，禁止商業賄賂等行為。
其次是企業風險。企業管理層應對影響企業目標實現的內、外部各種風險進行分析，考慮其可能性和影響程度，制定必要的對策。在對企業風險防范作測評時，應重點關注企業是否建立完整的風險評估體系，是否建立審計委員和風險管理部門，是否對經營風險、財務風險、市場風險、政策法規風險和道德風險等進行持續監控；是否對已發現的企業各類風險有控制措施，如內控制度執行情況的檢查和監督，以及相關制度是否向子公司延伸，以確保子公司的經營安全。
同時，還要關注對相關業務項目及已知風險點是否進行定期檢查評估、提示及完善，如在日常經營風險管理中對“重大采購二次詢價”，建立“不合格供應黑名單”是否有實時監控。是否對客戶建立資信信息檔案、是否定期梳理與公司發展戰略不符的業務或項目等等。
第三是企業控制活動。企業管理層為確保風險對策有效執行和落實所采取的措施和程序，主要包括批準、授權、驗證、協調、復核、定期盤點、記錄核對、財產的保護、職責的分離、績效考核等內容。
在對企業控制活動測試時，要重點審核組織機構方面采取的控制活動和內控制度方面采取的控制活動。在組織結構方面重點審核：機構、崗位及職責權限是否合理設置和分工，不相容職務是否相互分離，是否成立相關法律事務部門和職能，對采購與驗收等環節是否設置相互監督制度，做到人員分離。企業是否把業務流程作為內部控制制度建設的重點，設置關鍵控制點和反饋系統。在內控制度建設方面重點審核：企業是否制定了董事會的議事規則、總經理事權規則、財務管理制度、采購管理制度、投資管理制度、合同管理制度、子公司管理制度、內控檢查監督制度等。
第四是企業信息與溝通。在對企業信息活動測試時，要重點審核公司是否已制定公司內部信息和外部信息的管理政策，確保信息能夠準確傳遞，確保董事會、監事會、高級管理人員及內部審計部門及時了解公司及其控股子公司的經營和風險狀況，確保各類風險隱患和內部控制缺陷得到妥善處理;公司的日常業務包括資產、財務管理等是否實行流程表單化管理和建立ERP系統。
第五是企業檢查與監督。在對企業該項活動測試時，要重點審核公司是否已制定了內部控制檢查監督辦法，該項工作是否在董事會或審計委員會直接領導下，有風險管理部門或審計部門具體負責實施，并有相關制度。如：基建項目是否有竣工決算審計制度、主要領導的離任是否實施責任審計，重大投資、擔保、抵押、關聯交易是否建立審核會簽制度；以及是否有對公司重要物資、設備、原材料定期盤點和不定期的抽查制度，對公司現金、銀行賬戶的抽查制度等。
綜上所述，注冊會計師對企業內部控制作出評價，包括被評價的企業內控制度是否符合我國有關法律法規和證券監管部門的要求，是否對企業重大風險、嚴重管理舞弊及重要流程錯誤等方面有控制和防范作用等，都有賴于建立一個完善的企業內部控制評價標準體系。相信通過有關部門的高度重視和實踐的積累，一套比較成熟的、適合中國國情的企業內部控制評價標準體系不久將會建立。
