论文部分内容阅读
摘要：加强内部控制必须强调其监督与评价问题，内部审计、内部控制的自我评估与外部评估影响上市公司内部控制建设的有效性。加强内部审计，大力推行内部控制的自我评估制度，完善内部控制的外部评价机制是加强上市公司内部控制监督与评价的三大途径。
关键词：内部控制；内部审计；评估
引言
内部控制对于企业的重要性是不言而喻的，几乎所有的企业都相应地建立了自己的内部控制制度。尤其是上市公司，不管是出于加强内部管理的自愿还是屈于外部信息需求者的压力，内部控制制度似乎一应俱全，台情合理。然而，这些内部控制制度到底“管”了些什么，谁又来对其负责，如何对上市公司的内部控制制度进行监督与评价，就成为一个非常重要的问题。基于此，本文重点分析我国上市公司内部控制中的监督与评价机制问题，并尝试着提出了一些有针对性的意见和建议。
一、内部控制之监督与评价机制存在的问题
监督机制是公司内控制的重要组成部分，是公司的利益相关者对公司代理人的经营行为、过程或决策等经营活动实施客观、及时的监控所涉及的一系列监督制度的总称。公司监督机制包括内部监督机制和外部监督机制。现实中由于企业仅仅注重有关制度的建立，而不注重相关制度的执行，这成为我国企业内部控制普遍薄弱的一个关键性因素。在内部控制的监督过程中，内部审计、内部控制自我评估以及内部控制的外部评价都发挥着重要的作用。
(一)内部审计对于内部控制的监督问题
内部审计不但是企业内部控制的一个重要组成部分，更是影响监督内部控制其他环节的主要力量。1993年，在国家审计署的推动下，我国的很多企业仓促地建立起内部审计机构。但是，很多企业并没有将内部审计与企业内部管理机制联系起来，这就使得内部审计制度的地位虚脱。没有得到充分的重视与有效地实施。
1 内部审计缺乏独立性
在我国改制上市的国有企业中，普遍采取内部设置与其他业务部门平行的内审机构，直接归企业总会计师或财务主管分管并向其负责报告工作。在这种内部审计组织体制下，由于审计人员受审计单位各种利益关系、人际关系的影响。使内审机构及其人员工作的独立性不强，不能客观、真实、公正、深入地开展工作，做出的审计处理决定也因管理体制上的制约而得不到有效的贯彻执行。
2 内部审计人员的素质普遍不高
现实中，内部审计人员在配置上大多数来自财会人员，存在专业相对单一、知识结构不够合理、缺乏应有的知识和技能、审计行为不规范等一系列问题。直接导致对内部审计的职能定位理解不清，所提审计建议的可操作性不强，内部审计的作用大打折扣。
(二)内部控制的评估制度问题
对内部控制的评价普遍被认为有利于提高公司所披露的内部控制信息的可信赖程度。其评价的方式可以分为两种：内部控制的自我评估和内部控制的外部评估。
1 内部控制的自我评估中存在的问题
“控制自我评估(Control Serf-As-sessment.CSA)”，是指由企业自身不定期或定期地对其内部控制系统进行评估，主要评估内部控制的有效性及其实施的效率效果，以期更好地达成内部控制目标。CSA的概念最早在20世纪80年代由布鲁斯·麦克艾格(Bruce McCuaig)提出，而后在海湾公司的子公司加拿大海湾能源公司开展。其特点是易于评价与实施。评价工作由作为被评价对象的个人或由其所组成的小组做出。CSA采用了电子投票装置来对结果进行表决，以确保投票是匿名进行的，从而可以保证评价结果更为客观和准确，这点备受支持者推崇。研究表明。实施CSA的方法对于企业加强管理、提高效率，改进流程和控制风险都有着积极的作用。
2001年4月我国颁布了《公开发行证券的公司信息披露内容与格式准则第11号——上市公司发行新股招股说明书》，对上市公司再融资的申报材料提出了新的要求。该文件第59条规定。“发行人应披露管理层对内部控制制度的完整性、合理性及有效性的自我评估意见，同时应披露注册会计师关于发行人内部控制评价报告的结论性意见”。但是在这种条件下进行的内部控制信息披露，难以达到内部控制的义务和责任，在向投资者提供决策有用的信息等方面还远远不够。笔者认为控制的自我评估制度应当在更宽泛的范围中被应用，并且应当更具强制性、指导性与对外公开性。
2 内部控制的外部评估中存在的问题
(1)缺乏完整的内部控制制度外部评估的标准。现实条件下，由于我国并不存在完整的内部控制标准，使得注册会计师对内部控制进行评价具有操作方面的障碍。按照陈关亭和李妹所做的比较，我国的规范与美国相关规范间的主要区别在于对内部控制信息披露缺乏强制性和普遍性的明确规定，对披露形式缺乏统一要求，使得上市公司在内部控制信息披露上存在过大的选择性和随意性。
(2)内部控制制度外部评估者的范围过于狭窄。现实中。我国内部控制的外部评估，主要是指由注册会计师对企业内部控制制度进行的评估。中国注册会计师协会根据中国证监会的要求，于2002年5月发布了《内部控制审核指导意见》，以指导注册会计师对内部控制的评价业务。该意见指出“本意见所称内部控制审核，是指注册会计师接受委托，就被审核单位管理当局对特定日期与会计报表相关的内部控制有效性的认定进行审核，并发表审核意见”。但是。正如前文提到的中国证监会提出的《证券公司内部控制指引》中所指出的对内部控制的规范，显然注册会计师进行评价的企业内部控制，并不局限于企业与会计报表相关的内部控制。理论上讲，内部控制的所有构成部分都应当是内部控制评价的范围，但由于注册会计师的知识、经验和法律责任等方面的原因，注册会计师对内部控制进行评价的范围主要是指与会计报表相关的内部控制，从而导致了内部控制制度外部评估者的范围过于狭窄。
二、完善内部控制之监督与评价机制的相关对策
在内部控制的监督过程中，内部审计和内部控制的评价机制发挥着重要的作用，强化内部审计建设和推行控制评估机制是实现有效监督的重要手段。
(一) 加强内部审计的措施
1 加强内部审计的独立性 按照国际内部审计师协会(llA)理事会于1999年6月26日通过的内部审计的新定义：内部审计是一种独立、客观的保证和咨询活动，其目的是增加组织的价值和改善组织的经营。它通过系统、规范的方法评价和改善组织的风险管理、控制和管理过程的有效性，帮助组织实现其目标。为了更好地实现内部审计帮助企业实现目标的职能，内部审计机构需要直接向董事会及管理当局提供多方面的服务。因此，要解决内 部审计的独立性问题，就应当让内部审计机构直接受命于审计委员会和管理当局的领导。这种改制可以保证内部审计机构的独立性，并且有利于内部审计机构发挥其职能。
2 提高内部审计人员的整体素质
为了使上市公司能够拥有有效的内部审计监督部门，笔者提供了两种可行的改善方法。方法一：注重对员工职业素质的培养，系统地为每位员工的职业生涯进行规划。为他们提供教育培训、学习交流的机会，有效地提高内部审计人员的技能和知识水平，调动员工的积极性，增强他们的学习能力、创新能力和竞争能力，尽可能地为每位员工提供施展才华的舞台。方法二：采用外包的手段，既保证了内部审计的独立性。也为其操作性提供了强有力的保证。由于外包适用于那些以高度重复、高度自动化，或者是两者相结合为特征的工作程序，适用于内部审计。上市公司可以在权衡其成本——效益，包括可能的增值与相应增加的风险后，在可控的条件下采用这种方式。但是。需要申明的是：外包并不意味着解除公司对外包业务的责任。这就需要我国制定专门的、完善的针对外包业务的各项问题的法律及规定。以确保有章可循、有法可依。如果单靠外部审计监督，终将引起另一起“世界通信”的悲剧。
一套良好的内部审计运行机制包括：规范的审计行为、有效的实质参与活动和有力的审计报告。但是如果缺乏独立性、内审人员的素质不合格，则内部审计将变为空瓶一个。当然，为了有效地实行监督与纠正机制，仅凭内部审计是不够的，还得依靠有效的内部控制的评价机制。
(二)推行内部控制的评估制度
1 大力推行内部控制的自我评估制度
目前已有不少关于内部控制的模型和框架。由于中国证监会正在逐步引进美国的《萨班斯法案》(以下简称SOX法案)，因此，了解该法案中的重点问题，将对我国正确认识、把握该法案，从而理性地看待我国资本市场的相关事件以及相应的对策问题，不无裨益。SOX法案的另一个名称是“公众公司会计改革与投资者保护法案”。该法案将控制自我评估定义为：“控制自我评估(CSA)是一个主导过程，审计师在此过程中协调一群在专门领域有专长的工作成员。该过程的目标是识别管理层确定的关键营运领域中内部控制的改进机会。”SOX法案的主要内容之一，就是要求上市公司在年报中必须包括公司内部控制状况的陈述，并要求公司管理层对公司的内部控制和诚信负责。该法案强制公司管理层负责对公司内部控制进行评估，明确了其应承担的责任，尤其是对股东所承担的受托责任，同时也加大了对公司管理层及白领犯罪的刑事责任。研究表明，CSA是组织监督和评估内部控制系统的主要工具，它将运行和维持内部控制的主要责任赋予公司管理层，同时使员工、内部审计与管理层一道承担对内部控制评估的责任。由此可见，上市公司内部控制自我评估的强制执行已成为一种趋势，尤其对于上市公司来说，高级管理人员对内部控制自我评估的报告，将成为衡量公司内部控制状况的重要参考项目。为此，我国上市公司可试行定期或不定期的进行CSA，以便经常发现和解决内部控制过程中出现的问题。
对上市公司来说，建立内部控制的自我评估制度有其必要性。
(1)从理论角度进行分析：按照信息经济学的理论观点。把出现非对称信息的情况称为信息的不对称性，正是由于信息的不对称性导致了委托代理契约中的逆向选择和道德风险问题。由于现代企业普遍存在所有权与经营权的分离，使得企业内部出现了委托代理链条，由于代理者和代理人之间信息的不对称。因此存在逆向选择和道德风险问题。为了减少管理层的道德风险。股东或董事会采取了各种监督和激励机制，其中监督主要是各种制衡机制；激励则主要是各种各样的新制度。但管理层并没有向股东所预期的那样兼顾股东和他们自己的利益，而是更多的选择使其自身效用最大化的行为举措。简而言之，管理层的价值取向是自身利益最大化。随着一些大型公司内幕的曝光，公众越来越失去了对公司管理人员的信任。由于代理问题的存在，并且管理层负责包括监督在内的内部控制工作，监督就意味着持续地进行自我评估。
(2)从实践角度进行分析：以宝钢国际为例。2004年CSA项目通过在宝钢国际设备工程事业部的若干业务单元尝试，取得了预期的效果。三个业务单元分别在采购询价和比价、规范合同文本、供应商的选择和信息维护等方面针对各自的业务特点总结出了相应的风险热力图、关键流程风险认定和改进建议，并落实了具体的责任人和改善时间。宝钢国际管理层在对CSA进行深入研讨，并借鉴COSO报告具体要求实践后认为：CSA对提高管理水平。完善内部控制制度及公司治理水平是有效的；并且完善的内部控制是企业资源规划(ERP)实施和业务流程优化的保证。由此可见，在我国上市公司中推广管理层的内部控制自我评估制度是有其必要性的。
在建立我国上市公司的内部控制自我评估制度时，应当谨循的基本原则是：负责评价的人应当具备胜任能力，应通晓评价主体、控制要素和评价目标；评价应是公正和客观的，并且是完整和可靠的；评价结果应以恰当的方式传达给相关负责人，以此对过度的风险进行控制，并获取改善效率的机会；保存记录以便对所实施的评价进行趋势研究。
2 完善内部控制的外部评估制度
建立完整的内部控制外部评估的标准，有利于明确注册会计师的职责范围、责任承担等细节问题，最终为投资者提供可靠的信息来源。
为了弥补内部控制外部评估在范围上的不足，笔者建议采取的改善方法是：借助注册会计师以外的力量，从不同的角度对上市公司内部控制状况进行评估，例如，可以借助银行的监管力量。遗憾的是，由于我国的资本市场尚处于发展阶段，我国的银行监督机制基本不存在。格罗斯曼和哈特IGrossman
关键词：内部控制；内部审计；评估
引言
内部控制对于企业的重要性是不言而喻的，几乎所有的企业都相应地建立了自己的内部控制制度。尤其是上市公司，不管是出于加强内部管理的自愿还是屈于外部信息需求者的压力，内部控制制度似乎一应俱全，台情合理。然而，这些内部控制制度到底“管”了些什么，谁又来对其负责，如何对上市公司的内部控制制度进行监督与评价，就成为一个非常重要的问题。基于此，本文重点分析我国上市公司内部控制中的监督与评价机制问题，并尝试着提出了一些有针对性的意见和建议。
一、内部控制之监督与评价机制存在的问题
监督机制是公司内控制的重要组成部分，是公司的利益相关者对公司代理人的经营行为、过程或决策等经营活动实施客观、及时的监控所涉及的一系列监督制度的总称。公司监督机制包括内部监督机制和外部监督机制。现实中由于企业仅仅注重有关制度的建立，而不注重相关制度的执行，这成为我国企业内部控制普遍薄弱的一个关键性因素。在内部控制的监督过程中，内部审计、内部控制自我评估以及内部控制的外部评价都发挥着重要的作用。
(一)内部审计对于内部控制的监督问题
内部审计不但是企业内部控制的一个重要组成部分，更是影响监督内部控制其他环节的主要力量。1993年，在国家审计署的推动下，我国的很多企业仓促地建立起内部审计机构。但是，很多企业并没有将内部审计与企业内部管理机制联系起来，这就使得内部审计制度的地位虚脱。没有得到充分的重视与有效地实施。
1 内部审计缺乏独立性
在我国改制上市的国有企业中，普遍采取内部设置与其他业务部门平行的内审机构，直接归企业总会计师或财务主管分管并向其负责报告工作。在这种内部审计组织体制下，由于审计人员受审计单位各种利益关系、人际关系的影响。使内审机构及其人员工作的独立性不强，不能客观、真实、公正、深入地开展工作，做出的审计处理决定也因管理体制上的制约而得不到有效的贯彻执行。
2 内部审计人员的素质普遍不高
现实中，内部审计人员在配置上大多数来自财会人员，存在专业相对单一、知识结构不够合理、缺乏应有的知识和技能、审计行为不规范等一系列问题。直接导致对内部审计的职能定位理解不清，所提审计建议的可操作性不强，内部审计的作用大打折扣。
(二)内部控制的评估制度问题
对内部控制的评价普遍被认为有利于提高公司所披露的内部控制信息的可信赖程度。其评价的方式可以分为两种：内部控制的自我评估和内部控制的外部评估。
1 内部控制的自我评估中存在的问题
“控制自我评估(Control Serf-As-sessment.CSA)”，是指由企业自身不定期或定期地对其内部控制系统进行评估，主要评估内部控制的有效性及其实施的效率效果，以期更好地达成内部控制目标。CSA的概念最早在20世纪80年代由布鲁斯·麦克艾格(Bruce McCuaig)提出，而后在海湾公司的子公司加拿大海湾能源公司开展。其特点是易于评价与实施。评价工作由作为被评价对象的个人或由其所组成的小组做出。CSA采用了电子投票装置来对结果进行表决，以确保投票是匿名进行的，从而可以保证评价结果更为客观和准确，这点备受支持者推崇。研究表明。实施CSA的方法对于企业加强管理、提高效率，改进流程和控制风险都有着积极的作用。
2001年4月我国颁布了《公开发行证券的公司信息披露内容与格式准则第11号——上市公司发行新股招股说明书》，对上市公司再融资的申报材料提出了新的要求。该文件第59条规定。“发行人应披露管理层对内部控制制度的完整性、合理性及有效性的自我评估意见，同时应披露注册会计师关于发行人内部控制评价报告的结论性意见”。但是在这种条件下进行的内部控制信息披露，难以达到内部控制的义务和责任，在向投资者提供决策有用的信息等方面还远远不够。笔者认为控制的自我评估制度应当在更宽泛的范围中被应用，并且应当更具强制性、指导性与对外公开性。
2 内部控制的外部评估中存在的问题
(1)缺乏完整的内部控制制度外部评估的标准。现实条件下，由于我国并不存在完整的内部控制标准，使得注册会计师对内部控制进行评价具有操作方面的障碍。按照陈关亭和李妹所做的比较，我国的规范与美国相关规范间的主要区别在于对内部控制信息披露缺乏强制性和普遍性的明确规定，对披露形式缺乏统一要求，使得上市公司在内部控制信息披露上存在过大的选择性和随意性。
(2)内部控制制度外部评估者的范围过于狭窄。现实中。我国内部控制的外部评估，主要是指由注册会计师对企业内部控制制度进行的评估。中国注册会计师协会根据中国证监会的要求，于2002年5月发布了《内部控制审核指导意见》，以指导注册会计师对内部控制的评价业务。该意见指出“本意见所称内部控制审核，是指注册会计师接受委托，就被审核单位管理当局对特定日期与会计报表相关的内部控制有效性的认定进行审核，并发表审核意见”。但是。正如前文提到的中国证监会提出的《证券公司内部控制指引》中所指出的对内部控制的规范，显然注册会计师进行评价的企业内部控制，并不局限于企业与会计报表相关的内部控制。理论上讲，内部控制的所有构成部分都应当是内部控制评价的范围，但由于注册会计师的知识、经验和法律责任等方面的原因，注册会计师对内部控制进行评价的范围主要是指与会计报表相关的内部控制，从而导致了内部控制制度外部评估者的范围过于狭窄。
二、完善内部控制之监督与评价机制的相关对策
在内部控制的监督过程中，内部审计和内部控制的评价机制发挥着重要的作用，强化内部审计建设和推行控制评估机制是实现有效监督的重要手段。
(一) 加强内部审计的措施
1 加强内部审计的独立性 按照国际内部审计师协会(llA)理事会于1999年6月26日通过的内部审计的新定义：内部审计是一种独立、客观的保证和咨询活动，其目的是增加组织的价值和改善组织的经营。它通过系统、规范的方法评价和改善组织的风险管理、控制和管理过程的有效性，帮助组织实现其目标。为了更好地实现内部审计帮助企业实现目标的职能，内部审计机构需要直接向董事会及管理当局提供多方面的服务。因此，要解决内 部审计的独立性问题，就应当让内部审计机构直接受命于审计委员会和管理当局的领导。这种改制可以保证内部审计机构的独立性，并且有利于内部审计机构发挥其职能。
2 提高内部审计人员的整体素质
为了使上市公司能够拥有有效的内部审计监督部门，笔者提供了两种可行的改善方法。方法一：注重对员工职业素质的培养，系统地为每位员工的职业生涯进行规划。为他们提供教育培训、学习交流的机会，有效地提高内部审计人员的技能和知识水平，调动员工的积极性，增强他们的学习能力、创新能力和竞争能力，尽可能地为每位员工提供施展才华的舞台。方法二：采用外包的手段，既保证了内部审计的独立性。也为其操作性提供了强有力的保证。由于外包适用于那些以高度重复、高度自动化，或者是两者相结合为特征的工作程序，适用于内部审计。上市公司可以在权衡其成本——效益，包括可能的增值与相应增加的风险后，在可控的条件下采用这种方式。但是。需要申明的是：外包并不意味着解除公司对外包业务的责任。这就需要我国制定专门的、完善的针对外包业务的各项问题的法律及规定。以确保有章可循、有法可依。如果单靠外部审计监督，终将引起另一起“世界通信”的悲剧。
一套良好的内部审计运行机制包括：规范的审计行为、有效的实质参与活动和有力的审计报告。但是如果缺乏独立性、内审人员的素质不合格，则内部审计将变为空瓶一个。当然，为了有效地实行监督与纠正机制，仅凭内部审计是不够的，还得依靠有效的内部控制的评价机制。
(二)推行内部控制的评估制度
1 大力推行内部控制的自我评估制度
目前已有不少关于内部控制的模型和框架。由于中国证监会正在逐步引进美国的《萨班斯法案》(以下简称SOX法案)，因此，了解该法案中的重点问题，将对我国正确认识、把握该法案，从而理性地看待我国资本市场的相关事件以及相应的对策问题，不无裨益。SOX法案的另一个名称是“公众公司会计改革与投资者保护法案”。该法案将控制自我评估定义为：“控制自我评估(CSA)是一个主导过程，审计师在此过程中协调一群在专门领域有专长的工作成员。该过程的目标是识别管理层确定的关键营运领域中内部控制的改进机会。”SOX法案的主要内容之一，就是要求上市公司在年报中必须包括公司内部控制状况的陈述，并要求公司管理层对公司的内部控制和诚信负责。该法案强制公司管理层负责对公司内部控制进行评估，明确了其应承担的责任，尤其是对股东所承担的受托责任，同时也加大了对公司管理层及白领犯罪的刑事责任。研究表明，CSA是组织监督和评估内部控制系统的主要工具，它将运行和维持内部控制的主要责任赋予公司管理层，同时使员工、内部审计与管理层一道承担对内部控制评估的责任。由此可见，上市公司内部控制自我评估的强制执行已成为一种趋势，尤其对于上市公司来说，高级管理人员对内部控制自我评估的报告，将成为衡量公司内部控制状况的重要参考项目。为此，我国上市公司可试行定期或不定期的进行CSA，以便经常发现和解决内部控制过程中出现的问题。
对上市公司来说，建立内部控制的自我评估制度有其必要性。
(1)从理论角度进行分析：按照信息经济学的理论观点。把出现非对称信息的情况称为信息的不对称性，正是由于信息的不对称性导致了委托代理契约中的逆向选择和道德风险问题。由于现代企业普遍存在所有权与经营权的分离，使得企业内部出现了委托代理链条，由于代理者和代理人之间信息的不对称。因此存在逆向选择和道德风险问题。为了减少管理层的道德风险。股东或董事会采取了各种监督和激励机制，其中监督主要是各种制衡机制；激励则主要是各种各样的新制度。但管理层并没有向股东所预期的那样兼顾股东和他们自己的利益，而是更多的选择使其自身效用最大化的行为举措。简而言之，管理层的价值取向是自身利益最大化。随着一些大型公司内幕的曝光，公众越来越失去了对公司管理人员的信任。由于代理问题的存在，并且管理层负责包括监督在内的内部控制工作，监督就意味着持续地进行自我评估。
(2)从实践角度进行分析：以宝钢国际为例。2004年CSA项目通过在宝钢国际设备工程事业部的若干业务单元尝试，取得了预期的效果。三个业务单元分别在采购询价和比价、规范合同文本、供应商的选择和信息维护等方面针对各自的业务特点总结出了相应的风险热力图、关键流程风险认定和改进建议，并落实了具体的责任人和改善时间。宝钢国际管理层在对CSA进行深入研讨，并借鉴COSO报告具体要求实践后认为：CSA对提高管理水平。完善内部控制制度及公司治理水平是有效的；并且完善的内部控制是企业资源规划(ERP)实施和业务流程优化的保证。由此可见，在我国上市公司中推广管理层的内部控制自我评估制度是有其必要性的。
在建立我国上市公司的内部控制自我评估制度时，应当谨循的基本原则是：负责评价的人应当具备胜任能力，应通晓评价主体、控制要素和评价目标；评价应是公正和客观的，并且是完整和可靠的；评价结果应以恰当的方式传达给相关负责人，以此对过度的风险进行控制，并获取改善效率的机会；保存记录以便对所实施的评价进行趋势研究。
2 完善内部控制的外部评估制度
建立完整的内部控制外部评估的标准，有利于明确注册会计师的职责范围、责任承担等细节问题，最终为投资者提供可靠的信息来源。
为了弥补内部控制外部评估在范围上的不足，笔者建议采取的改善方法是：借助注册会计师以外的力量，从不同的角度对上市公司内部控制状况进行评估，例如，可以借助银行的监管力量。遗憾的是，由于我国的资本市场尚处于发展阶段，我国的银行监督机制基本不存在。格罗斯曼和哈特IGrossman