企业内部控制评价再评价问题研究.docVIP

企业内部控制评价的再评价问题研究 　　企业内部控制规范体系对企业内部控制设置了两种评价方式：即内部控制审计和内部控制评价。根据《企业内部控制审计指引》和《企业内部控制规范评价指引》的定义，前者是指“会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计”，是外部机构对企业内部控制作出的专业评价；后者是指“企业董事会或类似权利机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程”，是企业作出的自我评价。两项指引的共同之处是都着眼于评价内部控制有效性，核心内容都是对内部控制缺陷进行认定或评价。 　　从制度的初衷看，设置两种评价方式的根本目的无非是所谓以评促建（或者以评促改），通过评价内部控制的有效性，促使有关方面关注、发现企业内部控制的缺陷并予以披露和修复，从而提高内部控制的有效性，帮助企业更好地实现内部控制的目标。从2009年内部控制基本规范实施，到18项应用指引和评价指引、审计指引分别于2011年、2012年在境内外同时上市的公司和上海深圳两家证券交易所主板上市公司施行，企业的内部控制及其有效性的评价等积累了一定的经验，也随之产生了一些质疑和问题。 　　一、上市公司内部控制评价实践及其问题 　　李丹平收集了2011年我国在境内外同时上市的68家企业披露的2011年企业内部控制评价报告，对这些企业所进行的内部控制自我评价进行了研究，发现23家企业（占33.82%）仅仅提及财务报告相关控制目标，17家企业（占23.88%）未提及内控缺陷认定标准；35家企业（占52.24%）详细披露了内控缺陷认定标准。其中重大缺陷认定定性标准包括15类，基本涵盖《评价指引》和《审计指引》列举的内容；28家企业制定了相对数、绝对数等定量标准。38家企业（占55.88%）披露了内控缺陷，其余30家企业则未提及内控缺陷；披露内控缺陷的企业对缺陷的整改措施和整改情况语焉不详。68家企业的评价报告显示，虽然评价指引规定有“至少应当披露”的内容，但是自我评价应该怎么做、必须披露哪些内容显然大相径庭。特别是，理论界和实务界对两个极端问题都有点不知所措，或者信心不足：第一，如果内部控制评价一团糟，评价报告完全造假，结果会怎样？第二，如果内控评价到位、披露详尽，结果又会怎样？ 　　笔者认为，企业内部控制评价面临的问题，特别是内控缺陷整改情况说明过于抽象，说明内控评价工作往往止于披露，离“以评促建”的目标还很遥远；其根源在于企业内部控制评价缺乏完善的再评价机制，即有关方面（如监管机构、外部关系人）对企业内控评价的好坏不够关心，或者虽然关心但是无法进行适当评价，或者虽然能够作出适当评价但是无法通过评价发挥必要影响，由此导致实际工作中，企业没有动力把内部控制评价做实做好，从而在自我评价中过于随意，对评价的结果想披露多少就披露多少、想怎么披露就怎么披露。 　　二、内部控制评价的再评价机制 　　本文所称内部控制评价的再评价机制，是通过完善相关制度、营造特定环境、创造必要条件，使监管机构和企业外部关系人对企业内部控制评价作出适当评价，形成行政、经济、道义等方面的影响，激励企业切实做好内控评价、实现以评促建目标的一个完整系统。 　　1.再评价的主体：监管机构、外部关系人 　　即使没有正式的再评价机制，现行制度提出企业内部控制评价及其报告的要求，说明内控评价及其评价是有需求的。企业自身是第一需求人：通过组织开展内部控制评价，可以促进内部控制制度的贯彻落实，较好地实现内部控制目标。但是，就目前的情况看，企业的需求是有限的。企业的追求主要是其关注的特定内控环节和事务，内控评价有助于强化那些环节的控制就够了；至于内控评价报告怎么写，披露的内容对外部单位和人员有没有价值，企业并没有详加考虑的动力。内控规范的制定者是第二需求人：内控规范的制定者有兴趣和动力推动规范体系的贯彻实施，因此对高质量的内控评价工作和内控评价报告有明显需求；但是从企业内部控制系列规范来看，内控规范的制定者也缺乏明确的职能和有效手段来实现对企业内控评价的监管。企业的外部关系人是内部控制及其评价报告的第三需求人：从萨班斯法案到COSO内控框架，都是肇始于保护企业外部关系人的利益，因此外部关系人应该是内控评价及其报告的本原需求人。但是外部关系人影响内控评价工作的途径稀缺。对于上市公司而言，外部关系人中的股东赖以表达自己影响力的方式是“用脚投票”；其他关系人，尤其是处于弱势地位的债权人和潜在投资者等，基本上处于逆来顺受的被动地位。显然，要构建内控评价的再评价机制，必须要有适当的制度安排，让监管机构、企业外部关系人真正有动力、有能力对企业内控评价进行再评价，同时要为再评价发挥影响疏通渠道。 　　2.内控评价的再评价制度 　　根据现行企业内部控制规范体系，内部控制主要还是被视为