企业内部控制自我评价存在的问题及应对措施

摘要:企业内部控制自我评价是企业实现战略发展目标的合理保证。本文针对我国目前出台的《企业内部控制基本规范》及《企业内部控制配套指引》，结合目前我国企业内部控制自我评价存在的问题，探讨了企业在实施《企业内部控制评价指引》过程中应采取应对措施。

关键词:内部控制 自我评价 问题及应对措施

为了进一步加强企业内部控制，提高企业经营管理水平和风险防范能力，我国财政部、证监会、审计署、银监会、保监会于2008年5月联合下发了《企业内部控制基本规范》的通知，通知明确要求企业应当对内部控制的有效性进行自我评价，披露年度自我评价报告。2010年4月上述五部委又根据《基本规范》印发了《企业内部控制配套指引》的通知，规定自2011年起在境内外同时上市的公司施行，自2012年起在国内主板上市公司施行，并择机在中小板和创业板上市公司施行，也鼓励非上市大中型企业提前执行。因此，无论是国际形势、国内要求，还是自身发展的内在需要，企业当前开展内部控制自我评价工作显得尤为紧迫和必要。

一、企业内部控制自我评价的含义

内部控制自我评价（Control Self- Appraisal，简称CSA）是指公司定期或不定期地对自己及所属子公司的内部控制系统进行评价，评价内部控制的有效性及其实施的效率和效果以期能更好地实现内部控制的目标；是公司管理层和员工共同在公司内部为实现目标、 控制风险，而进行的内部控制系统的有效性和恰当性实施的自我评价方法。有效的内部控制自我评价是一个对内部控制效果的监督和测试的持续过程。

二、目前企业内部控制自我评价中存在的主要问题

随着2010年4月财政部等五部委《企业内部控制配套指引》的，我国已基本形成了与我国企业实际情况相适应并融合国际先进经验的企业内部控制规范体系。但由于内部控制自我评价在我国还处于起步阶段，企业对其运用还处于探索阶段，加之内部控制自我评价本身存在的固有缺陷，企业在运用过程中暴露不少值得注意的问题，具体有以下几个方面。

（一)由于企业管理者缺乏足够的重视，严重影响了内部控制实施和评价的环境

COSO（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting，简称COSO）报告中内部控制综合性框架将内部控制分为五个互相关联要素；COSO企业风险管理整体框架中更将其扩展为八个要素。无论是五要素还是八要素，都将控制环境作为能够顺利实施内部控制的首要条件。但由于我国目前部分企业法人治理结构仍不完善，治理层与管理层主要人员仍然大量重叠，企业的决策权过于集中，他们既是总经理也是董事长，同时扮演了管理者、决策者、监督者等多种角色，他们很难用内部控制来约束自己的行为，从而使内部控制制度本身在一定程度上形同虚设，严重影响了企业内部控制实施和评价的环境，致使整个企业的内部控制评价工作浮于表面，流于形式，仅达到被动应付政府和公众监督的目的。

(二)由于对内部控制评价的认识不足，未能很好地遵循内部控制的全面性原则

由于受传统观念及个人经验的制约，很多企业在很大程度上把内部控制的评价仅限定为与财务会计报表相关的内部控制，认为只要能够满足于注册会计师出具内部控制鉴证报告就行了，无需对其他非财务会计的内部控制进行评价；甚至还有人狭隘地将内部控制与内部牵制等同起来，在具体实施内部控制和评价过程中，未能对涉及到企业及所属单位的各种业务和事项的各项重大内部控制进行自我评价，致使企业在具体实施内部控制评价过程中不符合全面性原则。

(三)由于对注册会计师的过度依赖，在内部控制实施与评价过程中限制全员性参与

企业的活动是由人实施的,内部控制的政策和程序是由人运用的,因此内部控制效果由全员决定，内部控制不是内部审计部门或者财务部门一个部门或人员的事情。但由于很多企业受到内部控制自我评价能力的制约和管理层传统的“自我保护”意识的影响，在很大程度上依赖注册会计师为其出具“公允的”鉴证报告来满足证监会等政府监管部门的要求。但事实上由于注册会计师对企业的实际情况、运作流程缺少足够的了解，因此对企业评价的公允性是极其有限的。即使部分开展了内部控制自我评价的企业，评价主体则主要定位于内部审计人员和部分与内部控制关系密切的财务部门等，普通员工参与则受到限制。

(四)未能结合企业自身实际，选择合适的自我评价的方法，影响评价的效率和效果

《企业内部控制评价指引》第十五条规定，内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。但目前部分企业在开展内部控制自我评价时，过度强调全面性原则而忽视了重要性原则，对各业务环节评价时未能对重点领域有效配置资源，致使企业内部控制中的重大缺陷未能被发现，既影响了评价的效率，也影响了评价的效果。还有的企业在开展内部控制自我评价时，“移植”一些西方国家的“引导会议法”来进行内部控制自我评估，企图以会议形式代替调查和测试，免去实地查看等必要的评价程序，致使最终的评价结果与企业的客观实际不符合，严重影响了内部控制自我评价的效果。另外，较多企业在进行自我评价时，比较重视评价报告的撰写，而对评价过程中形成的工作底稿未能如实填写，致使评价报告的结论缺乏有效证据支持，严重影响了企业内部控制缺陷的分析。

(五)内部控制自我评价与整改措施脱节，缺乏内部控制整改和自我完善的长效机制

落实整改是内部控制持续完善的关键，但由于很多企业的管理层对评价过程中所发现的问题重视不够，没有制定详细整改计划，或是制订了整改计划，也仅限于被动应付监管部门的检查，对整改措施的落实缺乏必要的认识和有效的监控，致使控制风险依然存在。另一方面，由于企业管理层不愿意改变原来固有的管理风格，致使原有的执行偏差得不到根本上的更正，整改措施仅限于对以往发生过的事项进行补救，而对未来发生的事项缺乏有效应对措施和自我完善的长效机制，限制了企业内部控制自我评价在促进企业内部控制中的作用。

三、企业在实施内部控制自我评价时应采取的措施

为了防止企业在实施内部控制自我评价时出现上述问题，充分发挥内部控制自我评价在完善内部控制系统和促进企业长期发展中的作用，特提出以下应对措施供参考。

(一)强化企业风险意识，大力倡导企业文化建设，培育良好的企业内部控制评价环境

一个良好的企业文化是企业内部环境的重要组成部分，其涉及到企业的发展战略、经营目标体系、组织结构等方面。一个良好的企业文化对企业员工及管理者往往会产生重要的影响，比如企业共同的价值观念规定了企业的价值取向，会使员工对事物的评判形成共识；以人为本的企业文化强化了团体意识，使企业职工之间形成强大的凝聚力和向心力；企业哲学和企业道德规范能够适度调节经营者和普通员工面临的诸多矛盾，自觉地约束自己。因此企业应当将企业文化作为与高科技发展同等重要的系统工程来建设，要大力建设和倡导人人关心企业发展，人人参与企业发展的良好企业文化氛围，培育良好的内部控制环境。

(二)认真落实和完善公司法人治理结构，从制度上保证企业内部控制评价的良好实施

落实和完善公司法人治理结构，就是要求企业在决策、执行、监督上建立一种制度性安排，合理界定股东会、董事会、总经理层和监事会的职责范围，以便各司其职，协调一致地开展工作。建议企业董事会、总经理层和监事会成员一般分设且主要成员不要交叉任职，特别是董事长一般不应兼任总经理，以保证出资者和董事会、董事会和总经理层相互间信托、委托和监督关系的确定，从制度上保证企业内部控制制度实施和评价具备一个良好的基础。

(三)大力加强和改进企业职能部门建设，提高企业内部控制自我评价的胜任能力

内部审计部门是内部控制评价工作的主要执行者，内部审计部门要将内部控制自我评价贯穿于内部审计工作始终，企业应当赋予内部审计部门开展内部控制评价的权利和义务。企业加强内部审计部门的进行内部控制评价的职能作用，实际上也是企业内部控制系统的建设的一部分。因此企业应重注对内部审计及内部控制专业人员的培训，不断提高他们在内部控制及内部控制自我评价方面的相关专业技能，以使他们在评价过程中能承担起引导者的角色，协助企业管理当局改进内部控制系统，提高企业内部控制自我评价胜任能力。

(四)结合企业实际，充分运用各种评价方法，确保评价的效率和效果

企业应当根据《企业内部控制基本规范》和《企业内部控制评价指引》的有关要求，结合自身内部控制设计与运行的实际情况，制定出具体的内部控制评价办法。内部控制评价工作组可以结合被评价单位的实际情况，采取现场测试、个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，因地制宜地收集被评价单位内部控制设计和运行是否有效的证据。企业在进行自我评价时，对评价过程中形成的工作底稿要及时记录，要形成对评价报告结论的支持性证据，以便进行企业内部控制缺陷的分析。

(五)加强对内部控制缺陷的整改监督，建立内部控制自我完善的长效机制

企业在对内部控制进行监督的过程中,应根据确定的标准对监督所发现的控制缺陷进行认定，包括内部控制缺陷是设计缺陷还是运行缺陷，是一般缺陷、重要缺陷还是重大缺陷等.。要及时准确分析缺陷的性质和产生的原因,提出整改方案,采取适当的形式向董事会、监事会或者经理层报告。企业应当对内部控制缺陷整改情况采取持续监控与专项监控相结合的办法，确保企业内部控制缺陷得到及时整改，使企业内部控制制度日趋完善，建立企业内部控制自我完善长效机制。

参考文献:

[1]CommitteeofSponsoringOrganizationsoftheTreadwayCommission，COSO，EnterpriseRiskManagement-IntegratedFramework［EB/OL］.2004.09

[2]财政部,关于印发《企业内部控制基本规范》的通知［S］.财会〔2008〕7号

[3]财政部等五部委,《关于印发企业内部控制配套指引的通知》［S］.财会〔2010〕11号

[4]《内部会计控制规范》课题研究组,《内部会计控制规范操作实务》［M］，中国商业出版社,2004