谈关于内部控制的创新及其对审计工作的影响

摘  要： 内部控制的创新体现在内容在不断丰富、目标在逐渐拓展，对风险的认识在不断深化、更关注整体和内控的外延在延伸，相应地会影响审计的范围和审计责任以及会促使审计业务流程的转变。如何加强审计风险管理，有效控制和规避风险，提高审计质量，是当前审计界关注的热点问题

关键词：控制　创新　风险　影响
 内部控制的发展经历了一个从低级到高级、从局部到整体的过程。内部控制是受企业董事会、管理层和其他员工的影响，旨在取得经营的效率和效果、财务报告的可靠性和遵循适当的法规等目标而提供合理保证的一种过程。内部控制不仅对企业本身的经营效率和效果的提高有着直接的作用，而且也影响到企业内部审计人员的工作范围和注册会计师审计范围及审计责任。1992年COSO报告将内部控制的要素从三要素重新划分为五要素，使人们对内部控制的认识实现了一次历史性的飞跃。2004年反虚假财务报告委员会针对诸多企业发生的管理层舞弊事件，并结合《萨班斯—奥克斯利法案》的相关要求提出企业内部控制应当与企业风险管理相结合，同时提出了企业风险管理的基本要素。可以说，这个报告的提出使人们对内部控制的认识上升到前所未有的高度。使人们对内部控制的认识从局部转为整体、从微观转为宏观、从具体转为战略、从重视与会计相关的内部控制转为以风险管理为核心的高度。本文试图解析内部控制的这些变化以及对注册会计师审计工作的影响。
　　一、内部控制的创新主要体现在以下几个方面
 1、内容的丰富。1992年COSO报告（committeeofsponsoringorganization）将内部控制划分为控制环境、风险评估、控制活动、信息与沟通、监控等五个要素，而2004年COSO报告将企业风险管理框架的基本要素确定为内部环境、目标设定、事项识别、风险评估、风险反应、控制活动、信息与沟通、监控等八大要素。较之以往相比，内部控制的内容得到了极大的丰富。对与内部控制的相关要素的划分更加清晰，使企业对风险的控制能够落到实处，从而增强了控制的可操作性。风险管理的外延要比内部控制广阔得多。该报告强调内部控制框架的建立应与企业风险管理相结合，内部控制应该作为企业风险管理的有机组成部分，新的报告不再使用内部控制框架概念，而是使用风险管理框架的概念。内容的丰富必然会促使认识的深化，必然会促使企业管理层在建立和实施内部控制时考虑的更周全，更具战略性和前瞻性。
 2 、风险认识的深化。尽管在1992年COSO报告中也将风险评估纳入到内部控制一体化框架作为其要素之一，但是对风险的认识还很有限，认识的程度还仅仅限于风险识别和风险分析。风险识别包括对外部因素如技术发展、竞争、经济变化以及内部因素如员工素质、公司活动性质、信息处理系统的特点进行检查；风险分析涉及到估计风险的重大程度，评估风险发生的可能性。在COSO新的报告中，对风险的分析更透彻。新的报告增加了三个风险管理要素：目标设定、事项识别和风险反应。现代企业竞争日趋激烈，不仅要面临国内市场的竞争，还要面临国际市场的竞争；不仅要面临产品市场的竞争，还要面临经理人市场的竞争，企业的风险比以往任何时候都大，如何规避这些风险是企业的头等大事，说企业管理应当以风险管理也丝毫不为过。风险实际上指明了内部控制存在和必要的理由，如果企业没有这些风险也就不需要内部控制。对企业风险问题认识的肤浅必然会使内部控制的建立和实施误入歧途。因此新的报告在第二个要素中明确提出了风险管理应进行目标设定，目标的设定指明了内部控制的实施方向，使内部控制的设立更具针对性，和企业的战略更加吻合，以更好地实现企业的战略目标，使内部控制产生应有的效果。接着该报告就深入阐述了事项识别。企业的风险在各个管理级次和各个部门都有可能出现，企业风险管理框架深入探讨了潜在事项的概念，认为潜在事项是指来自于企业内部和外部资源的，可能影响企业战略的执行和目标实现的一件或者一系列偶发事项。存在潜在的积极影响的事项代表机遇，而存在潜在负面影响的事项则称为风险。企业关键是要识别和控制存在潜在负面影响的事项。企业风险管理框架采用一系列技术来识别有关事项并考虑有关事项的起因，对企业过去和未来的潜在事项以及事项的发生趋势进行度量。并在风险度量中提出了风险偏好和风险容忍度的概念。风险偏好是指企业在实现其目标的过程中愿意接受的风险的数量。企业的风险偏好与企业的战略直接相关，企业在制定战略时，应考虑将该战略的既定收益与企业的风险偏好结合起来，目的是要帮助企业的管理者在不同战略间选择与企业的风险偏好相一致的战略。风险偏好的概念是建立在风险容忍度概念基础上的。风险容忍度是指在企业目标实现过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现差异的可容忍限度。在确定各目标的风险容忍度时，企业应考虑相关目标的重要性，并将其与企业风险偏好联系起来。新的报告对风险的考虑更加全面和透彻，有利于管理层内部控制制度的建立和实施，使企业能够站在更高的层次、更宽阔的视野来认识内部控制，使人们对风险的认识从单纯的风险分析和风险识别扩大到目标设定—事项识别—风险计量—风险反应—风险评估，可以将风险管理落到实处。
 3、关注整体比关注控制细节更有效。新的报告名称之所以改为《企业风险管理—总体框架》，就是强调整体的效果而非注重微观细节上的控制。风险本身是一个系统，其形成原因和构成要素很多也很复杂，如果面面俱到、事无巨细地都进行涉及是不可能的也是不值得的，因为风险的管理是有成本的，也要遵循成本—效益原则。目前我国企业特别是国有企业在具体项目上的控制制度应有尽有，他们往往忽视了企业的重大风险，导致企业出现重大损失。要强调整体上的效果就必须遵循抓大放小的原则，因此，ERM框架强调董事会与管理层应该将精力放在可能产生重大风险环节上，而不是所有细小环节上。只有当企业总体而言出现偏离风险容忍度的重大风险时，管理层才需要采取一定的控制活动。
 4、环境价值观念知识经济的时代要求是实现社会经济的可持续发展，主导资源有效配置，环境和生态的优化与平衡。为适应这种要求，理财人员要善于处理和协调好各种公共关系，努力做到加强与财政、税务、银行、物价及上级主管部门的联系，以便得到他们的指导和支持，协调财务部门与公司内其他部门之间的关系，以便得到他们的理解和配合。
 对于审计人员来说，不仅要明确审计的本职职能，及时完成审计任务，不断提高自身业务水平，同时存在对审计工作的拓展和创新责任。审计创新是审计工作和审计人员不断保持与时俱进的动力，只有实现了审计工作地不断开拓创新，审计工作才会干出特色，取得成绩。
 二、对审计工作的影响
 1、扩大了注册会计师的审计范围，加大了注册会计师的审计责任。随着人们对内部控制认识的逐步深入，内部控制的外延在不断扩大，比如注册会计师在评估风险时必须考虑内部环境，内部环境所涉及的范围就比内部控制结构中的控制环境所涉及到的内容广阔得多。根据最新的注册会计师审计准则的要求，注册会计师在确定进一步审计程序的性质、时间和范围时仍然要以控制测试的结论为基础，所以注册会计师在进行控制测试时要想取得充分、适当的证据，除了关心和收集财务领域的证据之外，还必须关注与之相关的非财务领域，这些非财务领域的资料或状况与所证实的认定的关联程度究竟有多大，需要注册会计师进行科学的专业判断，这样无形中就会加大注册会计师的责任。
 内部控制会影响审计抽查的范围和时间。审计的过程就是在分析评价被审计单位内部控制的基础上，搜集证据，分析证据，并据此作出审计结论的过程。审计证据可以分为资料证据和检查证据。如果一个单位的内部控制健全有效，其会计记录自然会是客观真实的，审计人员抽查的资料就会较少，从而相应减少审计人员核查资料的时间；反之，则审计人员就要抽查较多的资料，甚至进行详细审计。审计工作是通过执行一定的审计程序来获取所需要的审计证据，审计程序不同，所获得的证据也就不同，进而会影响到审计结论。因此，设计合理的审计程序，是审计成功的保证。如果被审计单位有着良好的内部控制制度，审计人员可以直接应用企业内部审计人员的资料，而不需要亲自搜集资料，节省审计时间。
 随着我国《独立审计准则—审计风险》的出台，注册会计师在评估审计风险时不能只考虑与会计相关的内部控制，而应当考虑与实现“四大目标”相关风险的所有方面，从这个意义上来说，注册会计师的审计领域比以往更大，审计风险要素
 2、改进了审计业务的流程：风险导向审计要求审计人员运用“自上而下”和“自下而上”相结合的审计思路，对财务报表做出合理的专业判断。从审计流程上看，风险导向审计的业务流程更加严密。
　　风险导向审计的总体思路要求审计人员将了解被审计单位的经营环境和经营活动作为审计的起点，分析评估被审单位财务报表可能出现重大错报风险的领域，设计控制测试程序和实质性测试程序。在设计实质性测试程序时，对评价出的高风险领域（异常或意外事项）实施更详细的实质性程序。这样，有限的审计资源就可以集中到高风险领域，有利于审计人员有效地控制风险和节约成本，增强审计程序的实施效果。若具体到一项特定的审计业务，审计人员既要严格按照风险导向审计的整体业务流程来开展审计活动，又要针对不同客户的不同情况、业务特点、风险评估的情况，确定在这项业务中所要实施的具体的审计程序。在风险导向审计的要求下，具体审计程序的制定有其特有的“循序渐进”性。审计程序不是一成不变的，而是一环扣一环的，这个环节程序的评估或是实施结果。直接影响到下个环节执行程序，例如，对于一家被审计对象，如果在控制环境评估中发现企业的战略非常激进，经营方式大量使用赊销，还发现公司的一个疑似关联公司为此次审计项目的客户提供一些信用担保。这里会产生三个后续问题，一是很大可能存在特定风险一需要证实或是排除担保公司是不是关联方，这种信用担保对公司究竟有什么影响。如果证实是关联方就会有非常多的后续工作去做。二是影响内部控制测试，激进的战略导致这个公司的销售收款循环的风险会远远地超过普通企业，在做内部控制测试的时候就要多做很多工作，如穿行测试、更大范围的内部控制测试等。三是影响一些科目的实质性测试，如应收账款，执行的程序比一般企业更严格更复杂。总之，现代审计是一种循环递推的、证据驱动的、基于判断的风险评估过程。该规则应该适用于经济责任审计工作。
 3、促使审计业务流程的转变：随着人们对内部控制认识的深化，审计业务流程也发生了根本性的转变。每一个阶段的审计业务流程和该阶段对内部控制的认识是分不开的。传统的审计业务流程是以强调微观的内部控制制度作为基础的，这从传统的审计风险模型就可以看出，即审计风险＝固有风险×控制风险×检查风险。注册会计师在执行会计报表审计业务时，先要单独评估固有风险和控制风险，进而确定检查风险的可接受水平。该模型没有将审计风险作为一个整体进行评价。为此，国际审计准则以及中国独立审计准则都强调摒弃原来的审计业务流程，遵循全新的审计风险模型以设计相应的审计程序，审计风险＝重大错报风险×检查风险。这里的重大错报风险是指财务报表在审计前存在重大错报的可能性，模型的转变是人们对内部控制认识深化的结果，实际上是要求审计人员在评价有关被审计单位的风险时应当将其作为一个整体。
 4、注重审计人员的专业胜任能力：我国审计执业的总体水平与经济发达国家相比还存在一定的差距，具体表现在审计队伍知识结构单调、人员素质欠佳、法律责任意识较低。而风险导向审计比起制度基础审计在更大程度上依赖于审计人员对风险的分析、判断、评估的能力和经验，并在评估的基础上采取有针对性的审计程序，具备这种能力的人员的欠缺。正是我们目前推广这一审计模式的一大难点。在风险导向审计下能否合理、有效地分析评估客户财务报表存在的重大错报风险，是决定审计工作成败的关键，必将成为评价会计师事务所及审计人员个人专业胜任能力的关键尺度。在当前会计师事务所法律风险很低和审计市场竞争不太规范的情况下，审计人员缺乏自我提升业务水准的压力，满足于中、低端市场。最新统计表明在2007年度会计师事务所全国百强排行榜上居前的均为“四大”在中国的相关事务所。目前“四大”在中国的分支机构正在向中、低端市场扩张。对于中国审计职业界来说，除通过联合增强实力外，改变理念，学习借鉴国外同业先进的技术方法及工作经验，提升执业水准，提高识别风险、评估风险的能力，尤其是从产生重大错报的根源去把握和评估风险，进而采取有效的应对措施来降低风险，经过不断探索和知识积累增强应对各种复杂情况的能力，才是生存和发展的关键。

相关论文