论文部分内容阅读
【摘 要】 由于上市公司内部控制评价报告缺乏对内部控制成本项目的披露，且其评价报告一般为描述性报告，可供参考的内部控制（下文“内控”即为“内部控制”）量化信息少之又少。文章引出“内部控制评价报表”这一概念，并对内部控制评价报表的基本框架进行分析设计，结果表明内部控制评价报表有利于进行内控成本与效益的均衡分析，有利于完善内控评价报告的内容，有助于审计工作的开展，能增强对企业的监督作用。
【关键词】 内控评价报表； 评价报告； 内控成本； 上市公司
中图分类号：F275 文献标识码：A 文章编号：1004-5937（2014）24-0106-04
一、国内与国外的内部控制研究现状
我国对内部控制的研究成果可以从现有的关于内控的基本规范以及一系列的配套指引说起。2008年5月，我国颁布了第一部《企业内部控制基本规范》，其施行范围是上市公司，对还没上市的大中型企业目前还没强制的要求；到2010年4月，又相继出台了《企业内部控制应用指引》（内含18项具体的应用指引）、《企业内部控制评价指引》以及《企业内部控制审计指引》，目前其施行范围包括境内外同时上市的公司以及上交所和深交所的主板上市公司，同样没有对非上市的大中型企业提出强制要求。《企业内部控制配套指引》的发布，表明我国基本建成属于自己的企业内部控制规范体系。但是从上面相关的政策出台时间来看，我国对内部控制的研究时间还是比较短暂，关于内部控制的研究成果还不够丰硕，因此亟需继续探究内部控制有待改进的地方，从而为完善内部控制的理论体系以及实践操作的可行性增砖添瓦。
因美国对内部控制的研究有很深的历史背景，所以本文以美国对内控的研究为代表，简练地说明内控的研究现状。美国关于内控的研究获得的阶段性成果有：1992年，发布了COSO报告，也就是《内部控制整合框架》，该报告将完备的理论基础和现实的实践可操作性系统地衔接起来，是目前全球内部控制发展领域最具权威的报告，并被各国效仿。2002年，因安然以及安达信等丑闻倒逼美国颁布萨班斯—奥克斯利法案，即SOX（简称萨班斯法案），这项法案的重要特色之一就是强制性地披露内部控制评价报告，提高会计信息质量。2004年，美国又在COSO报告的基础上，出台了《企业风险管理——整合框架》，该框架所列的内控要素有8个，比COSO框架多出3个，进一步完善了内控报告的内容，更好地指导内控评价。
无论是国内的内控体系还是美国的内控框架，都认为内部环境、风险评估、控制活动、信息与沟通以及内部监督是内部控制的五要素，也同样要求披露内部控制评价报告。但是与《萨班斯法案》强制性要求披露内部控制信息相比，国内关于内控信息披露的格式以及内容规范等方面还需要深入研究。现行的规范并不要求审计师的评价报告对外公开披露，仅上报证监会和证券交易所即可。这在一定程度上不利于公众监督，降低了审计师对内部控制评价的严肃性，也不利于审计师执业水平的提高，而且削弱了上市公司内控信息披露的可信度。同时，内部控制评价报告的内容还不能够满足信息披露的需求。目前通用的内部控制评价报告一般是描述性的报告，能够获取实质性的被量化的信息比较少，所以本文在此现状下，提出一个新概念，即“内部控制评价报表”，一种被量化的报表，对内部控制评价报告内容予以补充。
二、内部控制评价报表的简要介绍
内部控制评价报表是指实施内部控制的主体对外提供的反映主体的内部控制成本投入以及内部控制执行效果的报表，是对内部控制评价报告的补充。这种内部控制评价报表一般适用于履行内部控制评价报告义务的主体，本文指上市公司。由公司内部的审计部门负责，会计部门协助，完成每个会计年度内部控制评价报表的编制，并于每个会计年度终了的四个月内协同财务报表以及内部控制评价报告一起对外公布。内部控制评价报表主要服务于审计机构、保荐机构等中介机构以及权威监管部门和相关投资者等。其内容列示该会计年度内部控制成本投入的具体项目、重要财务指标以及主要风险点控制的评分值，同时要求各个实施内部控制的主体提供内部控制评价报表的附件，比如组织系统图、业务层面的采购与付款循环的流程图、存货与生产循环流程图以及销售与收款循环流程图、工作分配图等。通过以上阐述，不难发现内部控制评价报表对于补充内部控制评价报告，完善内部控制评价体系的重要作用。
三、内部控制评价报表的分析设计
（一）内部控制评价报表的分析
本文假设上市公司的内控成本项目大体一致，且所披露的内部控制成本项目不涉及商业机密。基于信号传递理论，上市公司愿意公开内部控制报表而向市场传递其积极信号。
基于内部控制评价报告的内容缺乏足够的量化信息，尤其是缺乏对内部控制成本项目以及关键风险点控制的量化信息披露，使得上市公司内部控制信息披露不够完整，不能满足信息使用者对内控的信息需求，同时增加了上市公司的造假舞弊风险。因此本文在内控评价报告存在上述缺陷的情况下，将内部控制评价报表的内容分为内部控制成本投入、重要财务指标和主要风险点控制评分三大部分。
1.内部控制成本投入
内部控制成本主要包括内控建设成本、内控运行成本以及内控的监督反馈成本这三大板块，而这三大板块又分别有各自的积极成本和消极成本。本文所述的积极成本就是指公司为了达到内控的目标而投入的必要成本，比如内控的设计成本，信息系统的建设、更新、维护成本，内部审计成本等。消极成本是指因内控缺陷而造成的损失，即负面成本，比如因内部人员的舞弊而造成的损失、信息系统存在隐患而造成的损失以及违法违规而导致的罚款等。消极成本越低反映了内部控制越有效。本文所述的内部控制成本是指可以量化核算的部分，无法量化的成本项目（例如审批程序的增加延长了审批周期从而降低了工作效率、因内部环境的消极氛围而使员工产生懒散的工作态度等）应在内部控制评价报表的附注中予以说明。 2.重要财务指标
根据会计报表中的数据得出重要财务指标。主要列示两类财务指标，一类是为债权人所关注的企业偿债能力指标，另一类是为投资者所关注的企业盈利能力指标。其中企业偿债能力指标包括流动比率、速动比率、资产负债率、负债对所有者权益比率、应收账款周转率以及存货周转率等。企业盈利能力指标包括总资产报酬率、资本收益率、销售利润率和净资产利润率等。这些财务指标基本能反映出企业是否存在债务风险以及报告期的经营状况，在某种程度上可以反映内部控制的有效性，所以将其列示于内控评价报表中，方便信息使用者从整体上把握和评价内部控制。
3.主要风险点控制评分
根据《企业内部控制应用指引》，主要风险点可从公司层面和业务层面来分析。其中公司层面主要包括内部环境、风险评估、控制活动、信息与沟通以及监督五个要素，公司对这五要素再分别进行子项目的划分，最后通过对各要素所对应的子项目的风险点控制评分合计得出各个要素的评分。例如，公司层面的内部环境可划分为组织机构、发展战略、人力资源、企业文化和社会责任五个子项目，对五个子项目的风险点控制评分的合计结果即为内部环境的评分。而业务层面主要包括采购与付款循环、存货与生产循环、销售与收款循环、资金活动、资产管理、信息系统管理、预算与财务报告以及其他业务，公司再对这些业务分别进行子项目的划分，通过对各业务所对应的子项目的风险点控制评分合计得出各业务的评分。例如，存货与生产循环可划分为仓储保管、领用发出、盘点清查、存货处置以及生产环节五个子项目，对五个子项目的风险点控制评分的合计结果即为存货与生产循环的评分。公司内部需要确定具体的评分方法和评分标准对各个风险控制点进行评分。信息使用者可根据各个风险控制点的评分值判断内部控制是否有效。
（二）内部控制评价报表的设计
四、内部控制评价报表的作用
（一）有利于进行内控成本与效益的均衡分析
由于内控成本的部分数据无法在财务报表中列示，各上市公司在公布内控评价报告时也疏于对内控成本的详细信息进行披露，这就给内控成本投入与效益的研究带来很大的不便，导致很多学者对此问题的研究仅仅局限于理论研究。没有充分的现实数据作支撑，仅通过理论研究得出的结论一般不具有足够的说服力。因此通过具体列示各项内控成本投入，能方便挖掘内控成本信息，探究企业内控成本投入与效益之间的关系，为评价内部控制执行的有效性提供另一途径。
（二）有利于完善内控评价报告的内容
企业的内部控制评价报告是按照《企业内部控制基本规范》、《企业内部控制应用指引》的要求以及本企业内部控制制度的具体情况进行披露的。主要包含内部环境、风险评估、控制活动、信息与沟通、内部监督等内容。这些内容主要是从定性的方面来阐述的，缺乏足够的量化信息。所以，内部控制评价报表的产生不仅会丰富内部控制评价的内容，使得定性与定量相结合，综合评价内部控制的有效性，而且会把有效的被量化的内部控制信息简洁明了地列示在报表上，方便读者查阅。
（三）有助于审计工作的开展
企业通过制定以及披露内部控制评价报表，把一系列内控成本投入、重要的财务指标以及评分结果列示出来，将会简化外部审计程序，减少审计的工作量。通过查看业务流程图以及工作分配图，审计人员可以迅速弄清楚工作程序和流程，找出内部控制的关键点和核心环节，有针对性地分析关键点的控制情况。通过查看内控评价报表中的内控建设成本、内控运行成本以及内控监督反馈成本中的消极成本，审计人员可以尽快发现内控的薄弱环节，以便对症下药。
（四）能增强对企业的监督
内部控制评价报表的编制完善了内控评价报告的内容。监管部门通过内控评价报表所显示的内控成本投入、重要财务指标以及主要风险点的控制评分等信息更方便地了解公司的内控情况，防范公司因内部控制的缺陷而导致造假舞弊现象的产生。广大投资者也可以通过内控评价报表来判断其内控是否完善，评价公司因内控缺陷而导致的风险，辅助投资者作出更有利的投资决策。这也从侧面驱使上市公司必须重视内部控制，有利于完善内部控制体系。
五、结论
由上文分析得知，内部控制评价报表集中列示了内控的量化信息，是对内部控制评价报告的补充。上市公司通过披露内部控制评价报表有助于审计工作的开展，有助于公众对公司的监督，有利于防范因内控缺陷而导致的舞弊造假风险。目前，国内外还没有提及“内部控制评价报表”这一概念，但是随着经济的发展，利益相关者对目标公司的信息要求越来越高，披露内部控制评价报表将是完善内控评价体系的一个趋势。
【参考文献】
[1] 乔莉楠，刘国峰.企业内部控制运行成本与效益均衡研究[J].会计之友，2012（10上）：28-31.
[2] 李连华，唐国平.内部控制效率：理论框架与测度评价[J].会计研究，2012（5）.
[3] 林斌，饶静.上市公司为什么自愿披露内部控制鉴证报告？——基于信号传递理论的实证研究 [J].会计研究，2009（2）.
[4] [美]Treadway 委员会发起组织委员会（COSO）.《内部控制——整合框架》中译本[M]. 方红星，译.2008.
[5] 全国内部控制编审委员会.企业内部控制主要风险点、关键控制点与案例解析[M].上海：立信会计出版社，2012.
【关键词】 内控评价报表； 评价报告； 内控成本； 上市公司
中图分类号：F275 文献标识码：A 文章编号：1004-5937（2014）24-0106-04
一、国内与国外的内部控制研究现状
我国对内部控制的研究成果可以从现有的关于内控的基本规范以及一系列的配套指引说起。2008年5月，我国颁布了第一部《企业内部控制基本规范》，其施行范围是上市公司，对还没上市的大中型企业目前还没强制的要求；到2010年4月，又相继出台了《企业内部控制应用指引》（内含18项具体的应用指引）、《企业内部控制评价指引》以及《企业内部控制审计指引》，目前其施行范围包括境内外同时上市的公司以及上交所和深交所的主板上市公司，同样没有对非上市的大中型企业提出强制要求。《企业内部控制配套指引》的发布，表明我国基本建成属于自己的企业内部控制规范体系。但是从上面相关的政策出台时间来看，我国对内部控制的研究时间还是比较短暂，关于内部控制的研究成果还不够丰硕，因此亟需继续探究内部控制有待改进的地方，从而为完善内部控制的理论体系以及实践操作的可行性增砖添瓦。
因美国对内部控制的研究有很深的历史背景，所以本文以美国对内控的研究为代表，简练地说明内控的研究现状。美国关于内控的研究获得的阶段性成果有：1992年，发布了COSO报告，也就是《内部控制整合框架》，该报告将完备的理论基础和现实的实践可操作性系统地衔接起来，是目前全球内部控制发展领域最具权威的报告，并被各国效仿。2002年，因安然以及安达信等丑闻倒逼美国颁布萨班斯—奥克斯利法案，即SOX（简称萨班斯法案），这项法案的重要特色之一就是强制性地披露内部控制评价报告，提高会计信息质量。2004年，美国又在COSO报告的基础上，出台了《企业风险管理——整合框架》，该框架所列的内控要素有8个，比COSO框架多出3个，进一步完善了内控报告的内容，更好地指导内控评价。
无论是国内的内控体系还是美国的内控框架，都认为内部环境、风险评估、控制活动、信息与沟通以及内部监督是内部控制的五要素，也同样要求披露内部控制评价报告。但是与《萨班斯法案》强制性要求披露内部控制信息相比，国内关于内控信息披露的格式以及内容规范等方面还需要深入研究。现行的规范并不要求审计师的评价报告对外公开披露，仅上报证监会和证券交易所即可。这在一定程度上不利于公众监督，降低了审计师对内部控制评价的严肃性，也不利于审计师执业水平的提高，而且削弱了上市公司内控信息披露的可信度。同时，内部控制评价报告的内容还不能够满足信息披露的需求。目前通用的内部控制评价报告一般是描述性的报告，能够获取实质性的被量化的信息比较少，所以本文在此现状下，提出一个新概念，即“内部控制评价报表”，一种被量化的报表，对内部控制评价报告内容予以补充。
二、内部控制评价报表的简要介绍
内部控制评价报表是指实施内部控制的主体对外提供的反映主体的内部控制成本投入以及内部控制执行效果的报表，是对内部控制评价报告的补充。这种内部控制评价报表一般适用于履行内部控制评价报告义务的主体，本文指上市公司。由公司内部的审计部门负责，会计部门协助，完成每个会计年度内部控制评价报表的编制，并于每个会计年度终了的四个月内协同财务报表以及内部控制评价报告一起对外公布。内部控制评价报表主要服务于审计机构、保荐机构等中介机构以及权威监管部门和相关投资者等。其内容列示该会计年度内部控制成本投入的具体项目、重要财务指标以及主要风险点控制的评分值，同时要求各个实施内部控制的主体提供内部控制评价报表的附件，比如组织系统图、业务层面的采购与付款循环的流程图、存货与生产循环流程图以及销售与收款循环流程图、工作分配图等。通过以上阐述，不难发现内部控制评价报表对于补充内部控制评价报告，完善内部控制评价体系的重要作用。
三、内部控制评价报表的分析设计
（一）内部控制评价报表的分析
本文假设上市公司的内控成本项目大体一致，且所披露的内部控制成本项目不涉及商业机密。基于信号传递理论，上市公司愿意公开内部控制报表而向市场传递其积极信号。
基于内部控制评价报告的内容缺乏足够的量化信息，尤其是缺乏对内部控制成本项目以及关键风险点控制的量化信息披露，使得上市公司内部控制信息披露不够完整，不能满足信息使用者对内控的信息需求，同时增加了上市公司的造假舞弊风险。因此本文在内控评价报告存在上述缺陷的情况下，将内部控制评价报表的内容分为内部控制成本投入、重要财务指标和主要风险点控制评分三大部分。
1.内部控制成本投入
内部控制成本主要包括内控建设成本、内控运行成本以及内控的监督反馈成本这三大板块，而这三大板块又分别有各自的积极成本和消极成本。本文所述的积极成本就是指公司为了达到内控的目标而投入的必要成本，比如内控的设计成本，信息系统的建设、更新、维护成本，内部审计成本等。消极成本是指因内控缺陷而造成的损失，即负面成本，比如因内部人员的舞弊而造成的损失、信息系统存在隐患而造成的损失以及违法违规而导致的罚款等。消极成本越低反映了内部控制越有效。本文所述的内部控制成本是指可以量化核算的部分，无法量化的成本项目（例如审批程序的增加延长了审批周期从而降低了工作效率、因内部环境的消极氛围而使员工产生懒散的工作态度等）应在内部控制评价报表的附注中予以说明。 2.重要财务指标
根据会计报表中的数据得出重要财务指标。主要列示两类财务指标，一类是为债权人所关注的企业偿债能力指标，另一类是为投资者所关注的企业盈利能力指标。其中企业偿债能力指标包括流动比率、速动比率、资产负债率、负债对所有者权益比率、应收账款周转率以及存货周转率等。企业盈利能力指标包括总资产报酬率、资本收益率、销售利润率和净资产利润率等。这些财务指标基本能反映出企业是否存在债务风险以及报告期的经营状况，在某种程度上可以反映内部控制的有效性，所以将其列示于内控评价报表中，方便信息使用者从整体上把握和评价内部控制。
3.主要风险点控制评分
根据《企业内部控制应用指引》，主要风险点可从公司层面和业务层面来分析。其中公司层面主要包括内部环境、风险评估、控制活动、信息与沟通以及监督五个要素，公司对这五要素再分别进行子项目的划分，最后通过对各要素所对应的子项目的风险点控制评分合计得出各个要素的评分。例如，公司层面的内部环境可划分为组织机构、发展战略、人力资源、企业文化和社会责任五个子项目，对五个子项目的风险点控制评分的合计结果即为内部环境的评分。而业务层面主要包括采购与付款循环、存货与生产循环、销售与收款循环、资金活动、资产管理、信息系统管理、预算与财务报告以及其他业务，公司再对这些业务分别进行子项目的划分，通过对各业务所对应的子项目的风险点控制评分合计得出各业务的评分。例如，存货与生产循环可划分为仓储保管、领用发出、盘点清查、存货处置以及生产环节五个子项目，对五个子项目的风险点控制评分的合计结果即为存货与生产循环的评分。公司内部需要确定具体的评分方法和评分标准对各个风险控制点进行评分。信息使用者可根据各个风险控制点的评分值判断内部控制是否有效。
（二）内部控制评价报表的设计
四、内部控制评价报表的作用
（一）有利于进行内控成本与效益的均衡分析
由于内控成本的部分数据无法在财务报表中列示，各上市公司在公布内控评价报告时也疏于对内控成本的详细信息进行披露，这就给内控成本投入与效益的研究带来很大的不便，导致很多学者对此问题的研究仅仅局限于理论研究。没有充分的现实数据作支撑，仅通过理论研究得出的结论一般不具有足够的说服力。因此通过具体列示各项内控成本投入，能方便挖掘内控成本信息，探究企业内控成本投入与效益之间的关系，为评价内部控制执行的有效性提供另一途径。
（二）有利于完善内控评价报告的内容
企业的内部控制评价报告是按照《企业内部控制基本规范》、《企业内部控制应用指引》的要求以及本企业内部控制制度的具体情况进行披露的。主要包含内部环境、风险评估、控制活动、信息与沟通、内部监督等内容。这些内容主要是从定性的方面来阐述的，缺乏足够的量化信息。所以，内部控制评价报表的产生不仅会丰富内部控制评价的内容，使得定性与定量相结合，综合评价内部控制的有效性，而且会把有效的被量化的内部控制信息简洁明了地列示在报表上，方便读者查阅。
（三）有助于审计工作的开展
企业通过制定以及披露内部控制评价报表，把一系列内控成本投入、重要的财务指标以及评分结果列示出来，将会简化外部审计程序，减少审计的工作量。通过查看业务流程图以及工作分配图，审计人员可以迅速弄清楚工作程序和流程，找出内部控制的关键点和核心环节，有针对性地分析关键点的控制情况。通过查看内控评价报表中的内控建设成本、内控运行成本以及内控监督反馈成本中的消极成本，审计人员可以尽快发现内控的薄弱环节，以便对症下药。
（四）能增强对企业的监督
内部控制评价报表的编制完善了内控评价报告的内容。监管部门通过内控评价报表所显示的内控成本投入、重要财务指标以及主要风险点的控制评分等信息更方便地了解公司的内控情况，防范公司因内部控制的缺陷而导致造假舞弊现象的产生。广大投资者也可以通过内控评价报表来判断其内控是否完善，评价公司因内控缺陷而导致的风险，辅助投资者作出更有利的投资决策。这也从侧面驱使上市公司必须重视内部控制，有利于完善内部控制体系。
五、结论
由上文分析得知，内部控制评价报表集中列示了内控的量化信息，是对内部控制评价报告的补充。上市公司通过披露内部控制评价报表有助于审计工作的开展，有助于公众对公司的监督，有利于防范因内控缺陷而导致的舞弊造假风险。目前，国内外还没有提及“内部控制评价报表”这一概念，但是随着经济的发展，利益相关者对目标公司的信息要求越来越高，披露内部控制评价报表将是完善内控评价体系的一个趋势。
【参考文献】
[1] 乔莉楠，刘国峰.企业内部控制运行成本与效益均衡研究[J].会计之友，2012（10上）：28-31.
[2] 李连华，唐国平.内部控制效率：理论框架与测度评价[J].会计研究，2012（5）.
[3] 林斌，饶静.上市公司为什么自愿披露内部控制鉴证报告？——基于信号传递理论的实证研究 [J].会计研究，2009（2）.
[4] [美]Treadway 委员会发起组织委员会（COSO）.《内部控制——整合框架》中译本[M]. 方红星，译.2008.
[5] 全国内部控制编审委员会.企业内部控制主要风险点、关键控制点与案例解析[M].上海：立信会计出版社，2012.