内部控制评审

【摘要】本文从内部控制、内部控制评审定义和相互关系的深入分析入手，以内部控制评价为目标，以内部控制要素的评审为基础，以内部控制系统的业务流程测试检查为手段，对内部控制评审的内容、程序、方法、评价标准等进行了初步探讨。

【关键词】内部控制　控制评审　评价

近年来，国内相关机构和企事业单位顺应单位管理的内在需要，逐步引入了内部控制及内部控制评审的理论，组织开展了一系列理论研究和实务探索，取得了一定成果。本文以内部控制评价为目标，以内部控制要素的评审为基础。以内部控制系统的业务流程测试检查为手段，对内部控制评审的内容、程序、方法、评价标准等进行了初步探讨。

一、内部控制、内部控制评审的定义

(一)内部控制的定义

在西方国家，内部控制的概念具有历史性，内部控制(InternalControl)一词，最早出现在1936年美国会计师协会的《注册会计师对财务报表的审查》文告中。之后，随着内部控制理论以及认识的不断发展。至二十世纪的七十年代在美国以及其他一些西方国家和组织，内部控制概念的内涵和外延也都发生了较大的变化，内部控制理论由最初的“内部牵制理论”阶段，发展到“内部会计控制与内部管理控制”时期。

1992年。美国反欺诈性财务报告委员会的主办机构委员会(即COSO委员会)了《内部控制――整体框架》报告，即著名的COSO报告，报告对内部控制的定义为：“内部控制是由单位董事会、经理当局以及其他员工为达到财务报告的可靠性、经营活动的效率和效果、相关法律法规的遵循等三个目标而提供合理保证的过程”。COSO报告同时认为内部控制包括内部控制环境、风险识别与评估、内部控制活动、监督评价与纠正、信息交流与反馈等五个相互联系的要素，这五大要素服务于上述三大目标。这也是目前比较成熟的内部控制理论，它受到了各国理论界和实务界的广泛关注和普遍认可，国际内部控制理论也因此发展到“内部控制结构和内部控制整体框架理论”阶段。此后，COSO报告也成为美国各界，乃至世界上许多国家和组织制定内部控制文件的依据。

在我国，许多部门、机构和行业也从自身需要出发对内部控制作出过定义，但大都是根据部门或行业不同要求而各有侧重。本文所探讨的内部控制和内部控制评审主要是基于COSO报告的定义。

(二)内部控制评审的定义

目前，国内外的理论界和实务界对内部控制评审的定义尚未形成统一的认识。COSO报告认为，在内部控制系统中，所有部门、岗位都在其中充当着角色。从内审的角度来看，内部控制评审是指以内审人员为主，吸收相关专业技术人员和专家参加的，对内部控制系统建设、实施情况进行的调查、测试、分析、审核和评价等系统性活动，主要测评内部控制系统是否健全、合理，以及执行是否有效，以便进一步完善内部控制系统，改进控制方法和手段，降低控制成本，堵塞管理漏洞，提高内部控制效率，保证生产经营管理活动有序、高效、健康地运行。

二、内部控制评审的内容

内部控制系统的设计不论是按部门、按项目，还是按业务流程。都是围绕内部控制环境、风险识别与评估、内部控制活动、监督评价与纠正、信息交流与反馈这五大要素进行的，因此内部控制评审也应是对内部控制五大要素的评审，评审的内容就是内部控制系统五大要素的各项内容是否健全、是否合理以及执行是否有效。

(一)自部控制环境评审的内容

内部控制环境是内部控制的基础。它是影响和制约其他控制要素发挥作用的重要因素。内部控制环境的评审是指对内部控制系统所依存的软硬环境的各项因素运作状况的健全性、合理性和有效性所进行的评审。评审的内容主要有：组织架构的建立、规范运作和分权制衡：内部控制系统中董事会的建立和完善责任，监事会的监督责任，高级管理层的执行和完善责任；内部控制目标的建立、改进和实现；健康的企业文化建立情况和企业文化为内部控制提供适宜环境；人力资源政策和程序、人力资源日常管理情况等。

(二)风险识别与评估评审的内容

风险识别与评估是指识别和分析那些妨碍实现经营管理目标的各项因素的活动，它包括风险识别和风险分析评估两部分，对风险的分析评估构成了风险管理决策的基础。

风险识别与评估的评审是指对来自内外部对生产经营、财务报告、经营管理目标有影响的各种风险的识别与评估情况所进行的评审。评审的内容是风险识别与评估机制及其运行是否健全、合理、有效，主要包括在经营管理活动中风险的识别和评估是否充分、合理：识别和获取适用法律法规要求的程序建立和执行的情况；与风险识别和评估相对应的内部控制措施方案的内容及执行情况等。

(三)自部控制活动评审的内容

内部控制活动是指为了确保经营管理目标的实现，指导员工实施管理指令，管理和化解风险而采取的政策和程序，包括高层检查、直接管理、信息加工、实物控制、确定指标、职责分离等。

内部控制活动的评审是指对为进行管理和化解风险而采取的控制活动情况所进行的评审。评审的内容是内部控制活动的健全性、合理性、有效性，主要包括所采取的控制措施和程序的健全、合理、有效程度；计算机系统环境下，为确保信息的完整、安全和可用性而采取措施的健全、合理和有效程度；应急预案的建立和执行、应急设备和设施的定期检查情况等。

(四)监督评价与纠正评审的内容

监督评价与纠正是指由特定人员对一定时期的内部控制运行状况进行评估和实施纠正的情况，可采取持续监督和个别评估分别进行或两者结合进行的方式。

监督评价与纠正的评审是指对内部控制监督评价与纠正机制及其运行情况是否健全、合理、有效所进行的评审，主要包括内部控制绩效监测程序建立和执行；内部控制系统监督评价书面程序的建立和执行：对内部控制进行不断完善的情况等内容。

三、内部控制评审方法

内控评审的方法多种多样，可以使用一种方法，也可以同时使用多种方法进行，要根据评审的实际灵活运用，不应有所限制和局限，评审方法的选择应以符合实际、科学方便、经济实用为原则。

(一)抽样法

通过抽取一定数量且具有代表性的样本进行调查和测试，根据样本来推断总体状况的一种评审方法。它需要在制定评审实施方案时确定具体的抽样规模和比例，评审人员从财务凭证和合同的签订人手，对每一业务流程或特定控制点抽取一定数量的业务进行测试，据此来推断内部控制的总体状况。在抽取样本时，所抽样本要有一定的代表性，尽可能包括大、中、小三种金额类型，以便全面反映内部控制的执行情况，可采取整批抽样、分层抽样、系统抽样、随机抽样等方式。在抽样方法中，重要的是样本范围的制定和抽取，只要按照合理的允许的误差科学地抽取了样本，通过对样本的评审是能够满足对单位整个经济活动的评审需要的。

(二)穿行测试法

穿行测试也称全程测试，通常用于对业务流程或具体业务的测试与评价。即评审人员在每一类循环中选择一笔或若干笔具体业务，比照业务流程从头到尾检查其实际处理过程，检查测试该流程步骤和控制点的执行情况，以验证所描述的内部控制的客观性和真实性。这是内部审计经常运用的一种简便易行的技术方法，特别适用于对内部控制的评审中，通过对一笔或若干具体业务的穿行测试，可以比较直观有效的反映一个或若干业务流程的内部控制情况。

(三)证据检查珐

证据检查法是内控评审工作最重要的检查方法之一。评审人员在运用抽样、穿行测试等评审方法时，要求被评审单位在限定的时间内，提供被评审业务主要控制点对应的相关资料，如凭证、账簿、报表、借据、协议合同等等。通过对这些书面证据的检查，验证各项控制措施在实际业务操作中是否得到了有效的贯彻执行。

(四)压力测试法

即测试被评审单位关键业务处理程序和控制措施能够承受的压力程度以及在承受相应压力时所发挥的作用。

(五)流程图法

流程图法主要用于内部控制系统的健全性和合理性测试，即利用符号和图形来表示被评审单位组织结构、职责分工、权限、经营业务的性质及种类，各种业务处理规程、各种会计记录等内部控制状况的示意图。流程图法的运用可以使评审人员清晰地看出被评审单位内部控制系统如何运行，业务的风险控制点和控制措施，有助于发现各内部控制系统的缺陷和评审重点。

四、内部控制评价标准与结果

评审组在现场评审结束后，应依据内部控制评价标准，对被评审单位进行综合评价并出具评审报告。综合评价应坚持定性分析与定量分析相结合的原则，做到量化合理、定性准确。在对各项评审内容严格审查、测试和初步评价的基础上，应对单位整个内部控制系统的健全性、合理性以及执行的有效性做出全面评价，内部控制的评价标准也就是内部控制是否健全、是否合理适用以及执行是否有效的问题。

(一)自部控制的健全性

内部控制的健全性是指单位根据生产经营管理的自身需要，应设置的内部控制系统的内容都比较完备，而且所设置的内部控制系统对单位的生产经营管理活动的全过程能进行自始自终的控制。健全性评价可依据评分分为优、良、基本健全、不健全四个级次。

(二)内部控制的合理性

内部控制的合理性主要是指内部控制设计和执行时的适用性、合规性、经济性，它是在健全性的基础上对单位内部控制更深一层次的要求，评审组根据对内部控制评审内容的测试结果做出评价。合理性评价同样可依据评分分为优秀、良好、基本合理、不合理四个级次。

(三)自部控制的有效性

内部控制的有效性是指设计比较健全、比较合理的内部控制在单位的生产经营管理过程中，能够得到贯彻执行并发挥作用，实现其为单位提高经营效率、规避财务风险和经营风险、遵循国家法律法规提供合理保证的目标。有效性是内部控制的精髓，评审组应根据对内部控制评审内容的测试结果，对各项业务目标是否能够实现，各项业务风险的评估与规避情况如何，内部控制所起到的作用与效果如何等等做出评价。有效性的评价同样可依据评分分为优秀、良好、基本有效、无效四个级次。

五、结束语

客观地讲，再好的制度也有它的局限性，单位内部控制也是如此，再者，制度的制定和执行都是由人来完成的，在单位内部控制系统中，不管是单位的管理者还是一般员工，他们既是内部控制的执行者，又是各个控制环节的被控制对象，其观念、素质和责任意识都影响着内部控制的效率和效果。另外，内部控制是单位管理的一部分，它是一个动态的管理过程，是在不断发展变化的，且内部控制评审对我国单位来说尚处在初级阶段，因此需在实践中积极借鉴国外先进或成功的经验与做法，但不能照搬照套，应紧密结合未来发展变化的情况，与时俱进，对其不断地加以总结、改进和提高。