完善我国企业内部控制审计的思考

（国网冀北电力有限公司平泉县供电分公司 河北承德067000）

一、内部控制审计的含义

内部控制审计是指委托会计师事务所对特定基准日内部控制设计与运行的有效性进行审计。

（一）内部控制审计的范围界定。内部控制审计的范围，既决定着注册会计师在审计工作中的范围，同时也决定了审计的质量、成本和责任，以及审计的可行性。内部控制审计的范围界定包括两个方面：一是时间范围，二是业务范围。

（二）内部控制审计的目标。对公司财务报告内部控制的有效性发表意见是财务报告内部控制审计的目标。这说明内部控制审计目标的重点并不是要发现重大错报，而是形成关于内部控制有效性的意见。因此，审计师在内部控制审计中的目标是获得关于内部控制设计、执行或运作有效性的严重弱点或重大缺陷的充分、恰当的证据，并为内部控制有效性出具鉴证意见。

二、我国内部控制审计的现状与问题

近几年来，我国监管部门加大了企业内部控制规范建设和实施的力度。但整体看来，我国内部控制审计仍处于初步发展阶段，还有很多亟待改进之处。

（一）我国内部控制审计现状描述。

1.政府制度体系建设方面。我国内部控制审计的制度体系正在不断发展，且以内部控制基本规范和配套指引的发布为形成标志。但内部控制审计制度体系的建设是一项长期的系统工程，而我国仍处于初步发展阶段，所以政府对于内部控制审计的监管环境的建设就显得更加紧迫和重要。

2.企业内控信息披露方面。内部控制信息披露是指上市公司向投资者提供以内部控制状况等相关信息为内容的披露行为。自上海和深圳证券交易所于2006年发布《上市公司内部控制指引》之后，内部控制信息披露的格式和内容开始相对规范。

3.审计机构审计执行方面。总体上看，我国境内外同时上市的公司内控审计执行情况良好，但也应注意到，多数境内外同时上市的公司几年前即已着手进行内部控制建设，逐步摸索到现在，而且与国内主板公司和其他企业相比，境内外同时上市的公司有着更为完善的管理基础和更为规范的内部运行机制，从而对内部控制审计的推进难度也大大降低。所以，在全面评估我国企业内部控制审计的总体现状时，应充分考虑到这些差别。

（二）我国内部控制审计存在的问题。

1.政府层面。（1）内部控制法制建设不完善。当前我国对未按照规定披露信息或所披露的信息有虚假记载、误导性陈述或者重大遗漏的上市公司管理层处罚较轻。（2）内部控制审计的监管力度不强。一是对内部控制所披露信息监管不足。二是对审计机构的监管不足。三是按内部控制水平分类监管不足。

2.企业层面。（1）内控信息自愿披露积极性不高。（2）披露的内控信息质量不高。（3）缺乏内控专业人才。

3.审计机构层面。（1）审计机构服务质量参差不齐。从各年度企业内部控制审计的状况来看，各会计师事务所存在的最大差别是内控审计执业能力。（2）信息系统审计力量不足。目前看来，绝大部分上市公司及其他企业有着较高程度的管理信息化水平，相对应的是，部分会计师事务所信息系统审计力量并不充足，内部控制审计中不能实施充分的信息系统审计程序，系统审计团队建设还处于起步阶段。（3）内部控制审计业务的评价标准不完善。对内部控制审计业务的评价，缺乏适当的标准对非财务数据进行评价，这也是我国目前的内部控制审计报告中均未披露与非财务报告相关的内部控制重大缺陷的很重要的一个原因。

（三）我国内部控制审计存在问题的根源剖析。

1.政府层面。（1）当前我国上市公司内部控制缺陷披露的自愿性和内部控制审计发展仍处于起步阶段，所以在内部控制审计法制建设和监管方面还存在很多有待改善的地方。（2）我国的内部控制法制建设目前处于部门规章层面，并未上升至法律法规层面，导致对内部控制信息虚假披露的处罚较轻和监管力度不足的问题。（3）我国上市公司内部控制整体水平偏低，差异显著。我国监管机构目前还没有做到可依据各上市公司内部控制水平进行分类监管，从而导致监管重点不突出。（4）企业实施内部控制审计依靠政府监管部门颁布的内部控制规范文件为政策指引，但是作为新兴理论的内部控制，在我国发展实施的时间较短，既缺乏推进内部控制审计发展的专业人才，也缺少理论支撑与实践指导。

2.企业层面。（1）由于企业的内生需求，外部的监管要求只是起到推动作用，这就要求企业内部控制审计加快推动实施。但是目前看来，大多数公司对内部控制的认识仍停留在查漏补缺、应对监管的层面，因而对于内控审计缺乏动力，内控信息自愿披露积极性不高，仅局限于满足“合规”要求，不求完善。（2）虽然企业内控规范体系对内部控制建设、评价、审计等重要领域做出了原则性的规定，但对于部分公司来说，对以风险评估为基础的内控建设方法还较为陌生，内部控制的自我评价也是一项全新的过程。

3.审计机构层面。（1）2011年是企业内控规范体系开始实施的第一年，会计师事务所面临着严峻的问题考验，既要尽快掌握内控审计技术方法，又要以风险为导向做好内控审计工作，同时，由于对内控审计业务重视程度不够，技术准备不充分的会计师事务所需要进一步加强执业规范的完备程度、内控审计质量复核体系及对员工的培训。（2）标准的适当与否直接影响着最终的目标实现。目前我国内部控制审计业务评价标准不够完善的一个重要原因是内部控制具有其特殊性，即以非财务数据为鉴证对象，对其进行评价是相当困难的，要制定一个适当的标准自然更难。

三、我国内部控制审计的改进措施

对于我国企业内部控制审计在政府制度体系建设、企业内控信息披露、审计机构审计执行方面存在的问题，各方应该合力将内部控制审计完善化。

（一）加强内控审计的法规监管。目前推动我国内控建设更多的是依靠行政部门的力量，如财政部、证监会等，相比较美国等国家，我国在法律层面对内控建立的责任、义务并没有专门加以规定，更没有相关惩戒规定。因此，我国应尽快修订和完善法律层面关于加强国家对内部控制及其审计方面的立法。

（二）完善内控审计的评价标准。首先，对现行规范体系中关于内部控制审计的相关规章、文件进行梳理，处理相互间不协调之处，统一内控审计的评价标准，降低遵循成本和执行难度。其次，根据企业的实际情况和对现实的需求，相关监管部门应开始对一些典型行业进行调查，对其具体运作特点、所存在的共性风险和有效的控制措施加以了解，在此基础上制定并发布分行业的内控缺陷认定的通行做法，为内控审计工作的开展提供更加具有参考价值和指导意义的标准。

（三）改善内控审计的程序方法。随着社会的进步和经济的持续发展，企业经营管理模式也随之发生变化，内控审计的内容和方法也发生了很大改变。在新环境条件下，以创新为关键点，通过树立创新意识，转变工作方式和工作重点做好内控审计工作，可以进一步提高内控审计的监督能力和工作质量。

1.加强内控审计软件技术开发。随着内控建设的日益推进，内控体系建设的一项最基础的工作体现为信息化。在信息化环境下，企业内控进行审计的内容变得更为复杂，审计技术的要求更高，审计部门开发出与新的环境相适应的审计软件的要求更为迫切，加快审计软件更新速度，与企业新环境下内控审计需要相适应。

2.风险导向审计。通过实施风险导向内部控制审计，可以找出控制弱点，使内控审计更有针对性，节约审计资源。从风险的角度，通过评分形式，以定性和定量相结合的方法对被审计对象的内部控制五要素及总体进行评价，使评价更全面、审计结论具有更强的说服力、可比性和继承性。

3.联合内部控制审计与财务报表审计。将财务报表审计与内部控制审计相结合，从成本—效益原则考虑，在保证审计质量的前提下，实行双重目的审计可以减少注册会计师的工作量，节省审计成本。

（四）改进内部控制的内部审计。提高内部审计人员素质，完善内部审计工作。这主要体现的是内部审计和外部审计相互配合的问题。伴随着内部审计人员素质的提高，相对独立性也会有所提升，内部审计工作将为内控审计工作提供更为合理和有效的审计证据，这将对整合内部审计和外部审计力量，节省外部审计的时间，提高内部控制审计的效率发挥更大的作用。

（五）提高审计人员的能力素质。针对内控实施过程中人才严重缺乏的问题，政府、审计机构、企业各方面应该共同努力，提高内控审计人员的能力素质。首先，财政部等相关部门应组织探索内控人才的培养和认证机制，将内控人才的培养推动至全社会范围内。其次，企业要加大内控人才的自主培养力度，可以适当借助外部咨询机构的力量，但应注重内外审计相互配合，加强沟通与交流，注重对本企业人才的培养和使用。再次，审计机构要积极培养核心力量，研究探索最新内控知识，跟踪我国内控建设推进实施的最新进展，加强组织学习培训、优化业务结构，精心组建更加专业的团队、提升内控审计的质量。最后，审计师个人在实践中要不断积累和掌握，提高审计职业判断能力，充分发挥审计师个性，对重要的实际发现进行集体审计判断。