内部控制发展的5个阶段.doc

内 部 控 制 专 题宁夏广播电视大学副教授刘慧萍电子邮箱：liuhp联系电话：[phone]主要内容 内部控制国际发展历程 我国内部控制发展动因与最新动态 我国企业内部控制基本规范与指引一、内部控制国际发展历程 内部控制的发展经历了一个漫长的时期，“内部控制”一词最早见诸于文字，是作为审计术语出现在审计文献中的 1936年，美国会计师协会(美国注册会计师协会的前身)在其发布的注册会计师对财务报表的审查文告中，首次正式使用了“内部控制”这一专门术语，其中指出：“注册会计师在制定审计程序时，应考虑的一个重要因素是审查企业的内部牵制和控制，企业的会计制度和内部控制越好，财务报表需要测试的范围则越小。”内部控制漫长的发展过程，基本上可以分为内部牵制、内部控制制度、内部控制结构、内部控制整体框架、企业风险管理整体框架五阶段。（一）内部牵制阶段 一般认为，上世纪40年代以前是内部牵制阶段。 内部牵制就是指一个人不能完全支配账户，另一个人也不能独立地加以控制的制度，某位职员的业务与另一位职员的业务必须是相互弥补、相互牵制的关系，即必须进行组织上的责任分工和业务的交叉检查或交叉控制，以便相互牵制，防止错误或弊端。这就是内部控制的雏形。柯氏会计词典给它下的定义是：“为提供有效的组织和经营，并防止错误和其他非法业务发生而制定的业务流程，其主要特点是以任何个人或部门不能单独控制任何一次或一部分业务权利的方式进行组织上的责任分工，每项业务通过正常发挥其他个人或部门的功能进行交叉检查或交叉控制。”人们对上述内部牵制概念长期以来没有根本的异议，以致在现代的内部控制理论中，内部牵制仍占有相当重要的地位，并成为现代内部控制理论中有关组织控制、职务分离控制的雏形。（二）内部控制制度阶段在内部牵制思想的基础上，产生了内部控制制度的概念。内部控制制度的形成，可以说是传统的内部牵制思想与古典管理理论相结合的产物。1949年美国会计师协会的审计程序委员会发表了一份题为内部控制、协调系统诸要素及其对管理部门和注册会计师的必要性的专题报告，该报告对内部控制首次做出了如下权威定义：“内部控制是企业所制定的旨在保护资产、保证会计资料可靠性和准确性、提高经营效率、推动管理部门所制定的各项政策得以贯彻执行的组织计划和相互配套的各种方法及措施。”内部控制制度思想认为内部控制应分为内部会计控制和内部管理控制两个部分。内部会计控制包括与财产安全与财产记录可靠性有关的所有方法和程序。内部会计控制在于保护企业资产、检查会计数据的准确性和可靠性. 内部管理控制包括组织规划的所有方法和程序，这些方法和程序主要与经营效率和贯彻执行方针有关。内部管理控制在于提高经营效率，促使有关人员遵守既定的管理方针。西方学术界在对内部会计控制和内部管理控制研究时，逐步发现这两者是不可分割、相互联系的。因此在20世纪80年代提出了内部控制结构的概念。注：(1)最早提出内部会计控制系统的是1934年美国发布 的证券交易法。该法规定：证券发行人应设计并维护一套能够为财务信息真实可靠目标提供合理保证的内部控制制度。(2)1958年，美国审计程序委员会又发独立审计人员评价内部控制的范围的报告将内部控制分为内部会计控制和内部管理控制（三）内部控制结构阶段 进入20世纪80年代以来，内部控制的理论研究又有了新的发展，人们对内部控制的研究重点逐步从一般涵义向具体内容深化。其标志是美国AICPA于1988年5月发布的审计准则公告第55号(SAS55)。在公告中，以“内部控制结构”概念取代了“内部控制制度”，并指出：“企业内部控制结构包括为提供取得企业特定目标的合理保证而建立的各种政策和程序。”认为内部控制结构由下列三个要素组成：控制环境、会计系统和控制程序。明确了内部控制结构的三要素的内容。控制环境：所谓控制环境是指对建立、加强或削弱特定政策和程序的效率发生影响的各种因素。主要表现在股东、董事会、经营者及其他员工对内部控制的态度和行为。会计系统：规定各项经济业务的确认、计量、记录、归集、分类、分析和报告的方法。也就是要建立企业内部的会计制度。控制程序：控制程序指管理当局可制定的用以保证达到一定目的的方针和程序。与以前的内部控制定义相比，内部控制结构有两个特点：一是将内部控制环境纳入内部控制的范畴，二是不再区分会计控制和管理控制。至此，在企业管理实践中产生的内部控制活动，经过审计人员的理论总结，已经完成从实践到理论的升华。 （四）内部控制整合框架理论在1992年，由美国会计学会、注册会计师协会、美国内部审计师协会、财务经理人员协会和管理会计师协会等组织成立的专门研究内部控制问题的美国虚假财务报告全国委员会的后援组织委员会(Committee Of Sponsoring Organization of the Tread way Committee.简称COSO委员会)发布了指导内部控制的纲领性文件COSO报告内部控制整体框架，并于1994年进行了增补，这份报告堪称内部控制发展史上的又一里程碑。COSO报告指出，内部控制是由公司董事会、管理层和其他员工实施的，为实现经营的效果性和效率性、财务报告的可靠性以及适用法律法规的遵循性等目标提供合理保证的一个过程。（一个定义）。内部控制的根本目的是防范风险。根据COSO委员会的这一定义，内部控制是为达到目标提供合理保证而设计的过程。具体来说，是为了达到提供可靠财务报告、遵循法律法规和提高经营效率效果等目标。（三个目标）。COSO提出了企业内部控制的整体框架，在COSO内部控制框架中，管理层需要履行的职责包括5个步骤或要素：控制环境(Control environment)、风险评估(Risk assessment)、控制活动(Control activities)、信息与沟通(Information and communication)和监控(Monitoring)。（五个要素）1.控制环境。控制环境作为内部控制整体框架中所有构成要素的基础，为内部控制提供了前提和结构。其特征是先明确定义机构的目标和政策，再以战略计划和预算过程进行支持；然后，清晰定义利于划分职责和汇报路径的组织结构，确立基于合理年度风险评估的风险接受政策；最后，向员工澄清有效控制和审计体系的必要性以及执行控制要求的重要性，同时，高级领导层需对文件控制系统作出承诺。控制环境决定了企业的基调，直接影响企业员工的控制意识。2.风险评估。风险评估是确定和分析目标实现过程中的风险，并为决定如何对风险进行管理提供基础。这一环节是COSO内部控制整体框架的独特之处。把风险评估作为要素引入到内控领域，这是第一次。在风险评估过程中，管理层识别并分析实现其目标过程中所面临的风险，从而制定决定如何管理风险的制度基础。管理层应该在审计师开始审计之前，识别那些重大的风险，并基于这些风险发生的可能性和影响采取措施缓和这些风险。随后，审计师对这一风险评估过程进行评价。3.控制活动。控制活动是指确保管理层的指令得以实现的机制，包括那些被识别能够缓和风险的活动。控制活动存在于组织的所有层面及组织所有的功能中，如核准、授权、验证、调节、复核经营绩效、保障资产安全、职务分工及信息系统等。4.信息与沟通。信息是指员工能够获得其工作中所需要的信息，是确保员工履行职责的必要条件。沟通是各级人员接收最高管理层关于控制责任的指令方式和他们对待内部控制的严肃程度，包括信息向上的、向下的、横向的、在组织内外自由的流动。在企业运行和目标实现过程中，组织的各个层面都需要一系列包括来自企业内部和企业外部的财务和运营信息。信息系统对战略行动提供支持，并融入到经营活动中。5监督。监督是由实时评价内部控制执行质量的程序组成的，这一程序包括持续监督、独立评价，或者是二者的综合。独立评价的范围和频率取决于所评估的风险程度，内部控制系统需要被监督，监督能够确保内部控制的有效运行。控制的监督要素包括经理人员日常的监督，审计师和其他群体定期的审核以及经理人员用以揭示和纠正已知的缺陷与不足的程序。监督可以用来保证其他控制的运行。COSO将内部控制要素以一个金字塔结构提出，其中控制环境作为金字塔的最底部，风险评估和控制活动位于上一层次，信息和沟通接近顶部，监督处于最顶端。内部控制各要素之间的关系如图11所示：控制环境是整个控制系统的基础，没有它，其他要素就成了空中楼阁。任何一个组织（企业或公司）的控制环境都要受其组织结构、组织文化以及信息与沟通系统的影响，反过来它又影响着业务流程、员工控制意识、具体控制活动及其监督活动的效率和效果图11 内部控制五要素的关系监督（持续进行中）控制环境（基础）信息与沟通控制活动风险评估（组成结构）图11表明：五大要素中，控制环境是基础，是其余要素发挥作用的前提条件。如果没有一个有效的控制环境，其余四个要素无论其质量如何，都不可能形成有效的内部控制。风险评估、控制活动、信息与沟通是整个控制框架的组成要素，监督则是对另四个要素所进行的持续不间断的检验和再控制。内部控制理论COSO报告的出台，引起了世界会计学界的广泛研究兴趣，加深了各界对内部控制认识的重要性，基本上统一了业界的认识，这对人们进行企业内部控制的研究极具时代意义。COSO报告对我国的会计理论和会计实务方面都具有重大的启示和借鉴意义。在理论方面的启示，首先体现在我国各级会计人员必须加深对内部控制的认识，内部会计控制是内部控制的核心组成部分，必须转变原有过时的内部会计控制观念和思想，以便更好地促进企业内部控制管理，使内部会计控制思想得到企业各个阶层的自觉遵守，“软控制”在企业中得到生根发芽，这是企业管理中最为推崇和有效的控制方法。在实务方面的启示，我国应吸收COSO报告的研究成果，对我国企业的内部会计的控制环境、控制过程和风险评估等进行重新审视并加以完善和提高，以便建立一套更适合我国企业的内部控制办法。（五）企业风险管理整合框架阶段背景：安然事件股东损失亿美元世通事件亿美元的会计舞弊案萨班斯法案企业风险管理架构在1992年COSO报告的基础上，结合萨班斯-奥克斯法案在财务报告方面的要求，进行了扩展研究。COSO对风险管理框架的定义是：“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制定并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理的保证”。与1992年COSO报告提出的内部控制整体架构相比，企业风险管理架构增加了一个观念、一个目标、两个概念和三个要素，即“风险组合观”、“战略目标”、“风险偏好”和“风险容忍度”的概念以及“目标制定”、“事项识别”和“风险反应”要素。1.5.1提出了一个新的观念风险组合观企业风险管理要求企业管理者以风险组合的观点看待风险，对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。对企业内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风险可以超过企业总体的风险偏好范围。因此，应从企业总体的风险组合的观点看待风险。1.5.2增加了一类目标战略目标，并扩大了报告目标的范畴内部控制架构将企业的目标分为经营、财务报告和合规性三类目标。企业风险管理架构也包含三个类似的目标，但是其中只有两个目标与内部控制架构中的定义相同，财务报告目标的界定则有所区别。内部控制架构中的财务报告目标只与公开披露的财务报表的可靠性相关，而企业风险管理架构中报告目标的范围有很大的扩展，该目标覆盖了企业编制的所有报告，既包括内部报告，也包括外部报告；包括企业内部管理者使用的报告，也包括向外部提供的报告；包括法定报告，也包括向其他利益相关者提供的非法定报告；既包括财务信息，也包括非财务信息。此外，企业风险管理架构比内部控制架构增加了一类新的目标战略目标。该目标的层次比其他三个目标更高。企业的风险管理在应用于实现企业其他三类目标的过程中，也应用于企业的战略制定阶段。1.5.3提出了两个新概念“风险偏好”和“风险容忍度”从广义上看，风险偏好是指企业在实现其目标的过程中愿意接受的风险的数量。企业的风险偏好与企业的战略直接相关，企业在制定战略时，应考虑将该战略的既定收益与企业的风险偏好结合起来。风险容忍度的概念是建立在风险偏好概念基础上的，是指在企业目标实现的过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现的差异的可容忍限度。在确定各目标的风险容忍度时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来。15.4增加了三个风险管理要素，对其他要素的分析更加深入，范围上也有所扩大企业风险管理架构新增了三个风险管理要素：“目标制定”、“事项识别”和“风险反应”。此外，风险管理架构更加深入地阐述了其他要素的内涵，并扩大了相关要素的范围。在控制环境要素上，企业风险管理架构将“控制环境”扩展为“内部环境”，更加直接、广泛地关注风险是如何影响企业的风险文化。在风险评估方面，企业风险管理架构建议从固有风险和残存风险的角度来看待风险；还要求注意相互关联的风险，确定一件单一的事项如何为企业带来多重的风险。在信息与沟通方面，企业风险管理架构扩大了企业信息和沟通的构成内容，认为企业的信息应包括来自过去、现在和未来潜在事项的数据。总的来讲，新的架构强调在整个企业范围内识别和管理风险的重要性。COSO委员会强调风险管理框架必须和内部控制框架相一致，把内部控制目标和要素整合到企业全面风险管理过程中。因此，风险管理框架是对内部控制框架的扩展和延伸，它涵盖了内部控制，并且比内部控制更完整、有效。