[精品]内部审计、内部控制审计与企业内部控制评价辨析

内部审计、内部控制审计与企业内部控制评价辨析 内部审计、内部控制审计与企业内部控制评价辨析 企业内部控制规范体系发布以来，内部控制成为会计界乃至企 业高管人员热议的话题，内部控制、内部监督、内部审计、内部控制 审计、内部控制评价等词汇经常见诸各类媒体。然而，热议归热议, 人们对企业内部控制的相关问题的认识并不清晰。笔者多次碰到企业 界的老总们提出同一个问题内部监督、内部审计、内部控制审计、 内部控制评价分别是怎么回事，或者说，企业开展内部控制，到底需 要做些什么企业家们的纠结反映出当前推动企业内部控制规范实 施，特别是开展内部控制评价工作时面临的困惑，实际上就是要解决 两个问题一是如何理解内部监督、内部审计、内部控制审计和内部 控制评价的内涵，二是如何协调组织内部控制（含内部监督）、内部 审计、内部控制审计和内部控制评价等工作，笔者拟结合制度规范的 规定，谈谈个人看法。一、内部控制评价与内部控制审计 内部控制评价是对企业内部控制工作所做出的评价。企业内部控制 评价指引将内部控制评价定义为“企业董事会或类似权力机构对内 部控制的有效性进行全面评价、形成评价结论、出具评价报告的过 程”，并且规定“企业董事会应当对内部控制评价报告的真实性负 责”。显然，该指引所称企业内部控制评价是特指企业董事会或者类 似权力机构做出的自我评价，笔者称之为狭义的内部控制评价。实际 上，就字面意思而言，“企业内部控制评价”并未限定谁对企业内部 控制进行评价，除了企业内部控制评价指引规定的自我评价，企 业主管部门和利益相关者、其他独立主体也可以对该企业内部控制做 出评价，这些评价构成“广义的”内部控制评价。从广义的角 度看待内部控制评价，自然而然离不开“内部控制审计”。企业内 部控制审计指引第二条规定，“本指引所称内部控制审计，是指会 计师事务所接受委托，对特定基准日内部控制设计与运用的有效性进 行审计”。这个规定说明，会计师事务所作为独立主体，接受委托对 企业内部控制有效性进行的“审计”，即“按照本指引的要求，在实 施审计工作的基础上对内部控制的有效性发表审计意见”，就是审计 指引定义的内部控制审计。不可否认，对内部控制的有效性发表审计 意见，本质上就是对内部控制做出的评价，属于“广义的”内部控制 评价的范畴。由于企业对自身内部控制有效性的评价与会计师 事务所对企业内部控制有效性的评价从实施主体、目的、评价程序与 方式方法都有不同，所以这两个“评价”工作由内部控制规范体系中 企业内部控制评价指引、企业内部控制审计指引两个文件做出 规范。内部控制评价作为自我评价，由企业自己完成，董事会对内控 有效性所做评价负责；内部控制审计作为特定的外部评价形式，由会 计师事务所完成，注册会计师对内控有效性发表的意见承担责任。笔 者认为，在内部控制规范体系实施时间较短的情况下，如果从字面意 思理解，把企业对自身内部控制的自我评价与会计师事务所对企业内 部控制的审计混为一谈，很容易将内部控制评价和内部控制审计混淆。 二、内部控制评价与内部监督开展内部控制评价需要“对内部 控制的有效性进行全面评价”，而企业内部控制基本规范要求， 企业建立与实施有效的内部控制，应当包括内部环境、风险评估、控 制活动、信息与沟通和内部监督五大要素。其中，内部监督“是企业 对内部控制建立与实施情况进行监督检查，评价内部控制的有效性， 发现内部控制缺陷，应当及时加以改进”。所以，进行内部控制评价， 必然要熟悉“内部监督”。比较内部控制评价与内部监督的概念，发 现两者的核心内容都是“评价内部控制的有效性”，如何理解二者之 间的关系、有没有重复劳动笔者认为，企业家们的困惑一部 分来自“企业内部控制评价”、“内部监督”两个概念客观存在的模 糊性。第一，两者都是自我评价，两个定义没有强调彼此差异；第二， 在企业实施内部控制过程中，内部监督是贯穿始终的一个要素，基本 规范第六章还详细列出了日常监督、专项监督等内容，可以说是企业 内部控制工作的一部分。但所谓内部控制评价又不存在日常评价与专 项评价之说，而且，内部控制评价的内容还包括对“内部监督”的评 价，如果套用内部监督的概念，内部控制评价是对“评价内部控制的 有效性”的评价，这个表达确实不好理解。第三，在基本规范中，内 部控制自我评价报告的内容出现在第五章“内部监督”部分，又让人 感觉内部控制评价是内部监督的一个部分；但是内部控制评价指引要 求“开展内部监督评价”、“对内部监督机制的有效性进行认定和评 价”，明确表达了对包括内部监督在内的五个要素进行评价的思想， 似乎不宜将内部控制评价视为内部监督的一部分。虽然内部控 制规范体系对内部监督和内部控制评价的规定，无论是条文安排方面 还是概念的逻辑关系方面，都有可进一步探讨之处，但是规范体系对 企业做的事情表述得很清楚企业实施内部控制过程中，必须设置内 部监督机构、健全内部监督机制、对内部控制情况进行有效监督；同 时，还要根据基本规范和评价指引的要求，对包括内部监督在内的五 要素进行自我评价。三、内部监督与内部审计内部审计是 企业家们实施内部控制无法回避的有一个概念。中国内部审计协会发 布的中国内部审计准则第1101号一内部审计基本准则将内部审 计定义为“一种独立、客观的确认和咨询活动，它通过运用系统、规 范的方法，审查和评价组织的业务活动、内部控制和风险管理的适当 性和有效性，以促进组织完善治理、增加价值和实现目标”。给人的 感觉是，内部审计的一部分内容是“审查和评价内部控制的有效性”， 与内部控制基本规范对“内部监督”的定义“企业对内部控制建立 与实施情况进行监督检查，评价内部控制的有效性”基本一致。内部 审计定义中还涉及“审查和评价组织的业务活动”和“风险管理”， 而内部监督同样也包括业务活动控制、风险评估和管理等。在专业机 构给出的定义里，内部监督、内部审计就像一对双胞胎，难怪企业家 们会惊呼“分不清内部审计和内部监督的区别”。另外，内部 控制基本规范规定，企业应“制定内部控制监督制度，明确内部审计 机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职 责权限，规范内部监督的程序、方法和要求”。显然，内部控制基本 规范认为企业内部监督的主体主要就是内部审计机构（或经授权的其 他监督机构）。也就是说，在实务工作中，内部监督主要也是由内部 审计机构完成。考虑到内部监督和内部审计两个定义的高度近似、实 务工作的密不可分，因此有的人干脆把两者合二为一、不分彼此，统 称内部审计监督”。一endprint--一startprint一但 是，两者合二为一并不能解决问题。内部审计基本准则第二章第 六条规定，“内部审计机构和内部审计人员应当保持独立性和客观性, 不得负责被审计单位的业务活动、内部控制和风险管理的决策与执 行。”这一规定明确表明，内部审计机构和人员不得负责该单位内部 控制的决策与执行，是独立于内部控制系统之外的一项审查评价活动。 因此，内部审计当然也独立于内部监督之外，完全不是一回事更加不 能相互替代。企业家们的困惑由此产生内部控制规范体系要求企业 建