研究内部控制审计中的几个基本问题

　　一、问题的提出

　　内部控制的基本思想早在西方的18世纪产业革命后期就产生了，经过长期的发展，特别是经过20世纪下半页制度基础审计的建立和深入研究，以及西方企业界对内部控制的重视和实践探索，已经发展得比较完善。1994年美国国会“反对虚假财务报告委员会（NCFR）”下属的由五个团体组成的“发起组织委员会（COSO）”重新修改他们在1992年发布的报告，发布了《内部控制——整体框架》的报告。这个报告得到了美国企业界和各专业团体的认可，成为内部控制发展史上的一个里程碑。在推行和应用COSO报告的过程中，为使本企业的内部控制更符合COSO报告并促其得到彻底的执行，美国企业的内部审计机构专门对内部控制展开审计，对企业内部控制的规范健全发挥了重要作用。

　　20世纪90年代，随着我国市场经济的逐步完善，企业规模化经营和资本大众化程度逐步提高，资本的所有权和经营权进一步分离，内部控制的重要性日益突出。近年来许多企业因内部失控导致企业失败，如巨人集团衰败、沈飞集团的“失踪”、郑州亚细亚关门等等，促使企业界越来越重视自身内部控制的建设。我国政府近年来开始加大对企业内部控制的推动作用。1996年财政部发布《独立审计具体准则第9号——内部控制和审计风险》，要求注册会计师审查企业内部控制。2000年中国证监会发布《公开发行证券公司信息披露编报规则》第1号、第3号、第5号，要求商业银行、保险公司、证券公司建立健全内部控制，同时要求注册会计师对其内部控制制度及风险管理系统的完整性、合理性和有效性进行评价，并以内部控制评价报告的形式作出报告。1999年颁布的《会计法》对内部会计监督制度作出了规定。2001年财政部发布《内部会计控制基本规范》（征求意见稿）和《加强货币资金内部控制的若干规定》（征求意见稿），是解决内部控制的基本及若干具体问题的文件。我国内部控制理论的研究起源于20世纪80年代，到目前对内部控制的讨论正炙，许多新观点新思路犹如百花齐放，但总体水平与西方相比无疑要低一个层次。在我国内部控制备受关注的大环境下，内部审计对内部控制建设的促进作用也慢慢发挥出来，目前国内许多企业已开始进行内部控制审计并积累了一定的实践经验，理论上的探讨也正在升温。

　　尽管在国内外内部控制与内部控制审计的研究取得丰硕的成果，内部控制审计在实践中也有一定经验，但是内部控制审计的许多基本问题还亟待澄清或讨论，这些问题大致有这些方面：

　　1、内部控制审计的地位。很多理论和实践工作者还不承认内部控制审计在内部审计工作中的独立地位，仍将其等同于作为审计程序一部分的内部控制评价。

　　2、内部控制审计的目标。业内人士一般认为，作为审计程序一部分的内部控制评价基本目标是为了确定审计重点和范围，而对内部控制的促进努力如出具管理建议书等只是它的副产品。对于独立审计类型的内部控制审计其审计目标是什么目前的观点还不统一。

　　3、内部控制审计的对象。许多权威论著中认为内部控制评价程序的对象是内部控制设计和执行的有效性，而内部控制审计的审计对象应该是什么还需我们作进一步探讨。

　　4、内部控制审计的方法体系。内部控制评价程序有一套很完整的方法体系，但对于内部控制审计，我们是否应循其体系而展开，是否应建立起一套特有的方法体系，这些需要我们做深入的研究。

　　5、内部控制审计报告。内部控制审计应怎样报告其审计结果，报告应包含哪些内容才能充分发挥出它对内部控制建设的作用等等，也需要去进一步思考。

　　本文即定位于内部审计，从内部控制建设角度出发，就以上内部控制审计的一些基本问题发表一些看法。

　　二、内部控制审计的地位

　　COSO报告《内部控制——整体框架》认为，内部控制由控制环境、控制风险、控制活动、信息与沟通以及监控组成，是一个覆盖整个经济实体的系统，所有部门岗位都在其中充当着角色，内部审计也是如此。内部审计“在评估内部控制的有效性中充当着重要的角色”，同时还“充当意义重大的监控角色”，即既要评价内部控制是否控制有效，提出完善内部控制的意见，又要检查内部控制执行情况，督促执行内部控制。内部审计机构在进行各种审计如财务审计、经营审计时，通常要进行内部控制评价程序来确定审计的重点和范围，这过程中通常会对内部控制的设计和执行情况提出意见，但是因为目标和方法所限，不能深入具体，且往往是片面的局部的，并不能获得彻底的了解，很难提出建设性的针对内部控制的审计意见。面对这样的情况，内部审计机构应如何承担起完善内部控制、监控其执行任务？单独针对内部控制展开审计就很有必要，内部控制审计也因此就有了产生和发展的现实动因，成为并列于内部审计各类审计的一种审计类型，与它们具有相同地位。

　　上述内容说明内部控制审计的产生是因为其他审计种类无法完成内部审计在内部控制系统中的职责。实际上这只是表明着内部控制审计之于内部审计机构实现其职责来说具有必要性。如果把内部控制审计放到更大视野中，置于整个内部控制系统的运动发展中，我们就会发现如果没有内部审计机构，内部控制审计之于内部控制系统也是必需的，也就是说内部控制体系应有相应的组织或机制来执行内部控制审计。对于内部控制不健全的经济组织，必须有相应的组织进行内部控制审计，以发现何处需要设置或加强控制，应设置什么恰当控制或怎样去加强控制，是一种健全完善作用。对于内部控制健全的经济组织，内部控制也不是定置不变的，由于组织内外部环境和条件的变化，引起控制风险的变化，内部控制其他成分也相应地要变化以适应内外部环境条件变化，就需要有相应的机制来监测环境条件变化，并指明应如何变化，——这就需要内部控制审计，这是之于内部控制体系的发展，是一种发展完善的功能。不管内部控制健全与否，内部控制执行检查和监控工作都是必须的，否则内部控制功能难于实现，这就要求内部控制体系中必须有一种相应的机制来承担这种功能，——内部控制审计就有这种功能，它的检查督促执行的“监控”职能。内部控制成分中的“监控”还有其他机制来执行，例如管理者定期不定期地检查内部控制的执行，也是“监控”。虽在即时的监控使内部控制正常运行的工作承担这大部分工作，但由于是局部的内部自行运作的监控，是日常的工作，在监控的力度，彻底程度，监控结果信息横向纵向的沟通等上，都不能与内部控制审计相比，是不可能代替内部控制审计的监控职能的。

　　总体上说，我国企业的内部控制较为落后，与西方发达国家企业相比不仅体系不健全，“内部人控制”比较严重，更甚的还在内部控制基本观念上，认为内部控制只是一大堆制度，没有将内部控制当作企业运作要件的、相互间紧密联系的系统，没有将企业运营融入这个系统中。赶上先进水平还有很长一段路要走。在我国目前这种现状下，内审机构开展内部控制审计其必要性和重要性是无须讨论的，更进一步的我们还要将内部控制审计融入内部控制的建设中，把内部控制审计当作建设内部控制的重要手段，在重视检查督促其执行的同时，更重视如何改造完善内部控制。

　　综上论述，内部控制审计之于内部审计，具有和其他审计类型同等的地位；内部控制审计之于内部控制系统，是内部控制系统的自我完善机制，促使自身实现新陈代谢，是内部控制得以彻底执行的必不可少的机制，促使其功能得以实现。

　　三、内部控制审计的目标

　　（一）内部控制目标

　　为了论述内部控制审计的目标，本文先简要论述一下内部控制的目标。

　　在内部控制发展过程中，最早期的内部控制思想是以帐簿之间的核对、帐簿记录与财产实物的一致性及会计报表数据的可靠性为核心内容的，其控制目标可以概括为保证会计信息的准确、保护资产的完整。1949年美国注册会计师协会将提高经营效率、帮助推行企业管理政策两个目标增加进来，意味着人们已认识到内部控制应与企业营运相结合。1994年COSO委员会发布的《内部控制——整体框架》中将内部控制的目标确定为“合理保证运营目标的有效性和效率、财务报告的可靠性、遵守相关法律和规章”，将合理保证遵守法律规章作为内部控制的一个目标。

　　从以上简单回顾，我们可以看出保护资产的安全完整和保证会计信息真实完整是内部控制的基本目标，经过长期的发展这两个目标始终被人们认可。在认识到内部控制是一个系统且须与经营管理紧密结合之后，内部控制设置就必须充分考虑如何提高企业的经营效率，不仅不能因为设置控制而使原来简单的程序变得复杂，致使运营效率降低，而且必须要精心设计控制使业务处理更加高效，使控制信息的传达沟通更加快速便捷，因此提高经营效率应是内部控制的目标。同样，既然内部控制系统要与企业经营管理紧密结合，那么企业确定的经营目标的实现就必然要借助于内部控制，否则无法与经营管理结合，因此实现企业运营目标也应成为内部控制的目标。现代企业是处在具体的法律政策环境中的，必须要合法经营，而法律的遵守单单靠企业成员的守法自觉性是不行的，需要有特定的机制来加以制约，这种制约机制就属于内部控制；更重要的是国家针对企业制订了许多法规、政策来引导、约束或规范企业的行为，如产业政策、工商管理规章、税收法规、银行结算法规等等许多，这些需要企业去执行，企业为了不违反这些规章，就设置一些控制来约束自身的行为，这对于企业来说是十分重要的，因此促使企业遵守法律规章也是内部控制的目标。

　　2001年我国财政部发布《内部会计控制基本规范》（征求意见稿）对内部控制的目标作了具体规定，把内部控制目标确定为五个，其中大部分都是上述的观点，只有两个目标本文持反对意见。其一，“建立行之有效的风险控制系统，强化风险管理，确保单位各项业务活动健康运行”。为了强化风险管理而设置控制如果只考虑使业务活动健康运行，而不考虑精心设计控制使运行效率得以提高，就可能会产生因设置控制环节过多而降低运营效率的后果。其二，“确保国家有关法律法规和单位内部规章制度的贯彻执行”。本文基于这样一个见解来分析这个目标的适当与否：内部控制如果深究其构成可以分为内部控制预设体系（为方便起见和易于理解，本文中所述“内部控制”即与其等同）和内部控制预设体系的执行两部分，内部控制预设体系又可分为内部控制机制和内部控制制度。由此见解单位内部规章制度本身就是内部控制的一部分，概念上就矛盾。

　　上述内部控制目标只是作为控制系统的系统目标，其下还可以分成多个层次的管理层和作业层目标，这些目标都应服从系统目标。

　　综上本文认为内部控制目标为：1、保护资产的安全完整，2、保证会计资料的真实完整，3、提高运营效率，帮助实现运营目标，4、保证遵守国家法律规章。

　　（二）内部控制审计目标与内部控制目标

　　前已述及，内部控制审计实际是内部控制系统的一部分，是内部控制系统自身的功能，是实现自身新陈代谢、自我完善的机制，是内部控制执行环节的要件，促使其功能得以实现。从系统论的观点出发，整个系统有系统目标，内部单位有子目标，子目标应该该内单元的运行目标应与整个系统目标一致，否则系统不成为系统。因此从这角度看，内部控制审计目标与内部控制目标应是一致的，否则内部控制系统至少会运行不畅。从内部控制自我完善上看，内部控制审计通过仔细分析每类控制的环境和风险，评估某类控制的健全性、有效性，这个评估的过程中实际就是以内部控制目标来作为引导原则和衡量标准的，例如对现金控制的审计，必须将内部控制若干目标——保护资产的安全完整、保证会计资料的真实完整、保证遵守国家法律规章置于控制措施前，从目标的实现出发展开，就是引导原则，然后分析控制对实现目标的风险，即分析控制能否实现控制目标，就是衡量标准。从内部控制执行环节上看，更直接地表现出目标的一致性，因为内部控制如果未执行，其控制目标当然就无法实现，而内部控制审计部分工作就是为内部控制的执行服务的，它的功能就是为了实现内部控制目标，目标当然是一致的。

　　前面本文提出在我国目前的环境下，内部控制审计应纳入内部控制建设中。如果这个命题正确，那么在我国特殊环境下内部控制审计更应将内部控制目标当作自己的目标。在内部控制基础薄弱的环境里，重要的是内部控制的建设，而建设的过程应该是目标引导的过程，否则容易导致盲目建设。这种目标就内部控制目标，是综合考虑现实条件和先进思想的目标，围绕它制定控制能更简便直接，控制更有效。而内部控制审计作为建设内部控制的重要手段，就要用内部控制目标来引导审计，这样才能在更短的时间内建设起更为健全的内部控制。

　　综上论述，内部控制审计目标与内部控制目标是一致的。

　　（三）内部控制审计目标的层次性

　　内部控制审计的目标就是内部控制的目标，也就是内部控制系统的系统目标。但内部控制审计作为内部控制系统的一个单元，它也应该有服从于系统目标的子目标。内部控制审计子目标也就是它的第二层次目标，是更为具体的目标。鉴于目前我国企业内部控制普遍落后的现状，从上述内部控制审计应纳入内部控制建设的观点出发，以下这部份讨论以内部控制处于不完善状态为起点。为实现内部控制的目标，内部控制审计必须通过审计发现控制空白处、薄弱处，提出设计改进措施，——这是为了补充完善内部控制，这是我国目前要做的主要完善工作；另外还要监测内外部环境条件的变化，提出修改、设计新的内部控制以适应环境条件变化的意见，——这是实际是为了再生内部控制，这是完善的内部控制系统的自我维护、新陈代谢，这两方面都是为了内部控制的完善。同时，内部控制审计通过系统深入的检查内部控制执行情况，作出执行情况的评价，报告和发布执行检查信息，——为了检查内部控制执行情况；同时通过检查执行情况，发现执行不恰当的提出意见指出如何执行，发现怠于执行的督促执行，——这是为了督促内部控制执行，这两方面是为了内部控制的执行。

　　实际上，为了完善内部控制和为了内部控制执行这两方面的审计在操作上是不能分开的，没有先后次序，是一支枝条上的两个果实，通过同一程序而获得的。在检查内部控制执行的过程中能得到完善的意见，在评估内部控制是否有效时要获得更具建设性意见必须检查内部控制执行结果。

　　总结上述，内部控制审计的目标层次可以表示为如下：

　　四、内部控制审计的对象

　　权威观点认为，审计的对象是经济组织的财务收支及与其有关的经营管理活动，以及作为提供这些经济活动信息载体的会计资料及其相关资料。会计资料和其他相关资料实际只是审计对象的实物表象，其所反映的被审计单位的财务收支及其有关的经营管理活动才是审计对象的本质。内部控制审计对象在信息载体上要超出上述的范围，因为会计资料及其相关资料所涵盖的内容有限，并不能将大部分内部控制文件包括在内，比如岗位职责文件，人事管理制度，许多生产管理制度等等。本文认为，内部控制审计对象的实物载体可概括为“控制文件与控制信息资料”。“控制文件与控制信息资料”是经济组织设计和执行内部控制过程中所形成所有资料，其中“控制文件”是针对内部控制设计来说的，是设计内部控制形成的文件，包括预算制度审批制度内部报告制度等各种管理制度、业务程序手册、岗位说明书等等，“控制信息资料”则是针对内部控制执行来说的，是执行内部控制过程中形成的记录控制信息的资料，不仅包括账簿凭证报表、定货单、销货单等会计资料和与会计有关的资料，还包括各类内部分析报告、重大决策过程记录等等记录控制信息的资料。“控制文件与控制信息资料”实际是内部控制系统运行过程中形成的各种文件和信息资料。

　　内部控制审计对象在本质上应该在财务收支和有关经营管理活动这两个大范围内，但其具体的内容应该是什么还需讨论。从内部控制系统的角度看，内部控制审计直接面对的是审计对象载体，即控制文件和控制信息资料，既包括控制财务收支方面的，又包括控制生产活动和其他经营活动方面的。这些载体所记载的内容就是内部控制审计的本质对象。但如果我们依照审计本质对象的一般概括即财务收支及与其有关的经营管理活动两个方面，来分析那些载体所记载的具体内容，那就走入了误区，因为内部控制审计是对专门针对内部控制展开的审计，而从内部控制结构或成分来看，对财务收支的控制和对有关经营管理的控制都是一样的，都包括控制环境、控制活动或程序等等那些内容，从那两方面分析很难得出理想的结论，这是其一；其二，如果把财务收支和相关经营管理活动看成是横向的话，那么对它们实施的控制就处于纵向，而我们要审计的是纵向的控制，而不是横向的财务收支和相关经营管理活动，因此我们要换个视角，从对它们的控制上来分析。

　　其他审计种类一般都要实施内部控制评价程序。对于评价内部控制这一特定审计程序，审计的焦点集中在内部控制上，这一点与内部控制审计相似，因此我们可以从中获得有益的启示。按照现代审计理论观点，内部控制评价程序所评价的是内部控制“设计和执行的有效性”，上文提到的2000中国证监会发布的文件要求注册会计师对上市公司的内部控制制度及风险管理系统的“完整性、合理性和有效性”进行评价。可以看出内部控制“设计和执行的有效性”，及“完整性、合理性和有效性”实际就各自的审计本质对象。从内部控制系统运行（包括它的生成）状态角度出发，它们审计本质对象实际是通过分析内部控制系统运行可能出现的问题而归纳总结出来的，因此我们也可以依照来分析。

　　从上述内部控制目标可知，内部控制审计的第三层次目标是补充完善、再生内部控制和检查督促内部控制执行。补充完善内部控制是因为：其一，经济组织有些重要业务没有设置控制，处于控制系统之外，说明内部控制还不健全，需要补充设计有效的控制完善内部控制；其二，对某些业务设计的控制本身不能有效地控制该业务，即使是彻底执行也难以达到控制目标，这是控制设计有效性有问题，需要修改以完善内部控制。再生内部控制是因为：其一，原来设计的控制能有效达到控制目标，但随着内外部环境条件的变化，而使有效的控制变得无效，需要重新设计有效的控制；其二，随着内外部环境条件的变化，经济组织开始从事新的业务，由于新业务处在控制系统之外，使原来健全的内部控制变得不健全，需要设计新的有效控制加以控制。归纳起来，补充完善、再生内部控制都是因为内部控制设计的健全性和有效性可能有问题，需要通过审计来完善。检查督促内部控制执行是因为内部控制可能没有得到很好的执行，需要通过审计来了解和报告执行情况，督促执行。执行上可能存在问题，实际上也就是内部控制遵循上的问题，为统一起见，本文姑且称之为“遵循性”有问题。从上述可知，内部控制可能在健全性、有效性和遵循性上出现问题。因此，比照现代审计理论确定的内部控制评价程序审计对象，在我国目前企业内部控制的现状下，本文认为内部控制审计的本质对象是内部控制的健全性、有效性和遵循性。

　　综上所述，内部控制审计作为载体的审计对象是控制文件与控制信息资料，其审计对象的本质是内部控制的健全性、有效性和遵循性。