实施内控审计：上市公司与事务所的双赢，本文主要内容关键词为：上市公司论文,内控论文,事务所论文，此文献不代表本站观点，内容供学术参考，文章仅供参考阅读下载。
背景意义
重在“防止内部控制评价报告走形式”
为顺应国际资本市场监管变革趋势，2008年5月和2010年4月，财政部会同证监会、审计署、银监会和保监会分别发布了《企业内部控制基本规范》和《企业内部控制审计指引》等企业内部控制制度，确立了我国企业内部控制审计制度，要求执行内部控制规范体系的企业，必须聘请会计师事务所对其财务报告内部控制有效性进行审计。其中《企业内部控制审计指引》自2011年1月1日起在境内外同时上市的公司施行，自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行。
《企业内部控制审计指引》指出，内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。它的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。
就实施内部控制审计对上市公司的意义，财政部企业内部控制标准委员会咨询专家、中天恒会计师事务所总裁李三喜接受本报记者采访时指出，实施内部控制审计，由注册会计师对内部控制评价报告有效性发表独立的审计意见，这有利于防止内部控制评价报告走形式，从而促进上市公司内部控制建设的深入进行。而内部控制评价报告则是公司吸引投资者的重要因素，是上市公司加强内部控制建设的重要推进力。
“总体而言，就是通过会计师事务所对上市公司内部控制有效性的监督活动，促使其建立健全内部控制体系和有效执行，增强内部控制效能，促进全面提升风险防范能力和经营管理水平，从而确保其健康持续发展。不同审计机构实施内部控制审计的作用也不完全一样。政府审计机关和内部审计机构实施内部控制审计主要是满足监管和管理需要，促使被审计单位加强内部控制建设，改善管理。会计师事务所进行的鉴证性质的内部控制审计主要是发挥独立第三方的鉴证作用，对维护投资者利益和资本市场秩序具有特殊的作用。”李三喜补充道。
中注协有关负责人就有关《意见》问题回答记者提问时也表示，企业内部控制审计制度的确立，改变了企业在上市或再融资时才委托注册会计师对内部控制进行审计的局面，使得企业内部控制审计与财务报告审计一样，成为经常性、周期性业务，上市公司每年要与年报一同公布企业内部控制审计报告。实施企业内部控制审计的意义在于，注册会计师对企业内部控制有效性进行客观、独立的鉴证，不仅能够监督、推动企业将内部控制规范落到实处，促进企业加强内部控制规范建设，提升财务报告风险防范能力，同时也能够进一步提升企业信息披露的透明度，增强投资者对企业财务信息可靠性的信心，对保护投资者权益和社会公众利益具有重要作用。
“既然实施内部控制审计有如此重要的作用”，李三喜说，“执行我国《企业内部控制基本规范》及配套指引的上市公司和非上市大中型企业，应当对内部控制的有效性进行自我评价，披露年度自我评价报告，同时应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。当然，实施内部控制审计不能走形式，否则难以发挥如此重大的作用。”
本质要求
实施内控审计 事务所必须注重独立性
李三喜表示，会计师事务所在执行财务报表审计时帮助企业财务舞弊的事件已屡见不鲜，其根源是会计师事务所缺乏独立性。他认为，内部控制审计作为会计师事务所的一项专项审计，如果缺乏独立性，也会发生类似财务报表审计的舞弊事件。
李三喜认为，要规范会计师事务所与企业的关系，保持注册会计师的独立性还有很长的路要走，可以从委托、收费、监管等方面努力。假设如果有个独立于企业的机构委托会计师事务所进行审计，并支付费用，注册会计师的独立性会就会大大增强。
“这个道理很简单，会计师事务所是由企业自己确定的，费用又是由其支付的，会计师事务所审计怎么能保持独立性呢？”李三喜说：“这说起来容易做起来难。国资委履行出资人职责，正在大胆探索对于国有企业的经济责任审计与财务报表审计由国资委统一委托并付费的模式。
对于事务所的独立性，已受到世界范围的关注。欧盟内部市场委员会正力促出台严格的监管规则，迫使大型会计师事务所放弃非审计业务，并同小型审计机构分享业务。根据欧盟委员会内部市场委员会的监管草案，主要包括禁止非审计业务、“联合审计”规定以及“强制性轮换”等主要内容。
就欧盟制衡“四大”这一事件，李三喜认为，这对一直强调本土会计师事务联合做大、混业经营的注册会计师行业的监管思路多少有点应该反思的作用。不能盲目求大，不能大而不倒。不管是多么大的会计师事务所，不管其出身如何，一旦有舞弊行为必须问责。
重要内容
整体层面和业务层面均要当做审计重点
据中注协负责人介绍，企业内部审计内容包括企业治理结构、机构设置、企业文化、人力资源政策等内部控制环境因素，以及企业识别风险的评估程序、应对风险的具体措施和信息传递有效性、保证内部控制规范建设和有效运行的机制等，全面评价企业设计和运行的内部控制是否能够合理保证财务报告及相关信息合法、真实、完整，以及用于保护资产安全的内部控制是否可靠。
对此，李三喜指出，内部控制审计就是对被审计单位特定基准日内部控制设计与运行的有效性的审查和评价，包括控制环境、风险评估、控制活动、信息与沟通和内部监督五要素或内部环境、目标设定、事件识别、风险评估、控制活动、信息与沟通和监控内部监督八要素的审查和评价。把内部控制整体框架及其要素作为内部控制审计关键点是正确的，还应把业务层面上的内部控制作为内部控制审计的重要内容。如不把业务层面的内部控制作为审计重点，内部控制审计工作难以深入，表面化，容易走形式。
“简单说，内部控制审计内容包括整体层面控制审计和业务层面审计两个重要方面。”李三喜介绍，中天恒3C框架，把内部控制分为财务控制、业务控制和管理控制，与之相适应，内部控制审计内容应包括财务控制审计、业务控制审计和管理控制审计三个方面。“这种分法便于在内部控制审计实践中操作。”他说。
审计方式
内控审计应采取独立审计形式
在审计实务中，长期以来不论是财务报表审计、经济责任审计，还是经济效益审计等审计类型中，都把对内部控制健全、有效性作为一项重要审计内容，不是把内部控制审计作为一种独立审计类型。也就是说，内部控制审计涉及两种形式。一是独立审计形式。内部控制审计是对内部控制的有效性发表意见，对象是内部控制，应出具单独的审计报告。因此，可以肯定地说内部控制审计是一项单独的业务。既然是一项单独的业务，那么内部控制审计与财务报表审计等其他审计类型区别开来，采取单独审计形式。二是整合审计形式。整合审计形式就是将内部控制审计与财务报表审计整合进行的一种审计形式。
李三喜认为，内部控制的独立审计与整合审计这两种形式各有特点，整合审计可以提高审计工作效率，但对内部控制审计的工作质量难以提高。单独审计有利于提高审计工作质量，但审计效率较低，也会增加审计成本。从相互监督、确保独立性的角度看，内部控制审计应采取独立审计形式。
“在整合审计形式下，内部控制审计与财务报表审计都是由同一批审计人员完成，两者之间必然存在联系和协调的问题，两者应该相结合。审计人员对于财务报告内部控制所获得的了解与其为对管理层评估发表意见所实施的程序是相关联的，如同审计人员对于财务报告内部控制所获得的了解与其为对财务报表发表意见而实施的评估控制风险的程序是相互关联的。因此审计人员获得的了解能与实施程序紧密结合从而提高效率。”李三喜说。
他还介绍，从中天恒会计师事务所整合进行财务报表审计和财务报告内部审计实践看，内部控制审计团队一般先于财务报表审计团队一周的时间进入被审企业，在对财务报告内控有效性作出总体评估的基础上，对实施财务报表审计的性质、时间和范围作出适当调整和完善之后，通过对财务报表的实质性分析复核，再来验证财务报告内控的有效性。
关键问题
现在不具备全面内控审计条件但应逐渐向其过渡
对于实施内部控制审计时应注意的关键点，李三喜认为，在内部控制审计实务中，审计机关和内审机构基于监管和管理需要的内部控制审计应根据资源情况、组织需求来决定，既可以是全面内部控制审计，也可以是局部审计，即对某个部门或某个控制要素进行审计。会计师事务所从事的鉴证类内部控制审计要遵循有关鉴证规范的统一要求，不能仅仅满足委托要求。
他进一步指出，到底会计师事务所内部控制审计鉴证范围是什么，目前业界存在内部控制整体论和财务报告内部控制论两种观点。内部控制整体论者认为内部控制审计的范围应涵盖内部控制整体，财务报告内部控制论者认为内部控制审计的范围应仅限于财务报告内部控制。从理论上说，既然称之为内部控制审计，那么内部控制审计的范围应涵盖内部控制整体。但从历史上看，会计师事务所内部控制审计鉴证的范围从来只是针对财务报告内部控制，美国、日本和加拿大等国家均要求会计师事务所就财务报告内部控制发表意见，尚无一例要求对内部控制整体发表意见。我国《企业内部控制审计指引》第四条规定：注册会计师应当对财务报告内部控制发表审计意见，并对审计过程中注意到的非财务报告内部控制的重大缺陷，在审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。严格意义上说，仅对财务报告内部控制发表意见的审计，不能叫内部控制审计，而应称之为财务报告内部控制审计。
“可以肯定地说，审计机构对内部控制进行全面控制审计是方向，内部控制进行全面内控审计的内容不仅包括财务报表相关的内部控制，还包括业务控制和管理控制等方面的审计内容，基于专业胜任能力、报告义务和成本负担等方面的考量，审计机构通常是对与财务报表相关的内部控制进行审计。这是因为以财务会计知识见长的审计人员终究不是企业经营管理方面的专家，不具备对业务控制和管理控制进行审计的专业能力。要满足对全面内部控制审计的要求，还需要精通经营管理方面的专业人员，当然不一定是审计师，可以是管理咨询师、经济师等。实事求是地说，我国现阶段审计机构还不具备对内部控制整体进行审计的条件，需要积极创造条件，逐步向全面控制审计方向过渡。”李三喜表示。
“不管是对全面内部控制审计，还是对局部内部控制审计，内部控制审计内容均应包括内部控制设计与运行两个方面。内部控制的设计很重要，内部控制运行更重要，都是内部控制审计的重要内容。就具体而言，建设项目、采购业务、销售业务是公认的高风险领域，是必须关注的关键领域，其相应的业务人员尤其是相关领导是高风险人群，是关键之中的关键。”李三喜说。
“当然，上市公司及其国有企业要业绩，财务报告虚假风险不可避免；上市公司及其国有企业不缺钱，盲目投资风险长期存在；上市公司及其国有企业治理结构不完善，内部人控制不会短期消失；经济不景气或货币紧缩情况下，现金断流风险日益严重。诸如此类，确实是需要关注的关键控制点。”李三喜补充道。
专家建议
由证监会委托并出资聘请事务所审计
企业是内部控制规范建设和执行的主体，对内部控制的有效性承担主体责任，事务所审计则是鉴证监督责任。
企业方面，为保证内部控制规范的有效实施，发挥实效，中注协有关负责人对企业实施内部控制规范提出三点建议：
首先，企业管理层应高度重视内部控制规范体系建设实施工作，要建立健全内部控制领导体制和组织机构，根据基本规范及其配套指引的要求，大力推动内部控制规范体系实施，对业务流程进行系统梳理，识别重要业务流程、流程中容易出错的环节、关键控制点，并抓紧开展内部控制自我评价工作，查漏补缺，为会计师事务所开展内部控制审计工作奠定良好的基础。
其次，企业须尽早落实聘请会计师事务所进行内部控制审计事宜。在财务报表审计中，如果发现重大错报，只要被审计单位最后时刻同意审计调整，注册会计师即可签发无保留意见审计报告。内部控制审计则不同，在内部控制审计中，如果发现被审计单位内部控制存在重大缺陷，注册会计师提请企业整改后，还要跟踪考察整改情况，才能得出控制是否有效的结论，进而决定是否签发无保留意见的审计报告。例如，对于每季运行一次的控制，如果存在重大缺陷，被审计单位需要整改后再运行6个月，注册会计师才能得出控制是否有效的审计结论。因此，企业最好在上半年决定事务所聘请事宜。
再次，推动实现内部控制自我评价工作与内部控制审计工作的良性互动。企业应充分认识内部控制审计业务特点，在开展内部控制自我评价工作时，应当及时与注册会计师沟通和互动，提高自我评价工作可利用程度，降低审计成本，提高工作效率。同时，企业应充分理解内部控制审计工作是一项单独业务，需要事务所增加新的投入，在工作中提供充分的支持。
事务所方面，李三喜分别就独立性和人才建设方面提出建议。
“上市公司审计能否由证监会统一委托并付费呢？”李三喜建议，对内部控制审计也应该尝试上文中提及的国资委模式。
李三喜还表示，既然内部控制审计是会计师事务所的一项专项审计，就有专业化要求，这需要具有专业化的注册会计会计师队伍。为此，李三喜建议，监管部门要扶持、鼓励从事内部控制审计专业服务的会计师事务所。
本报短评
内控审计绝不是可有可无之事
中注协《企业内部控制审计指引实施意见》的发布，对于会计师事务所实行内部控制审计具有重要指导意义。
笔者以为，在企业内部控制审计实践过程中，对上市公司及会计师事务所都是一个挑战。内部控制审计不仅能够检验企业的内部控制效果，督促企业完善运行机制，夯实企业增值基础，提升企业价值，也能够拓展注册会计师新业务，考验增强注会独立性与提升其公信力。内部控制审计绝不是可有可无的事。会计师事务所要抓住内部控制审计指引实施的机会，拓展相关业务。而上市公司通过实施内部控制，完善流程与公司治理，提升会计信息质量，这也是对资本市场、对经济社会健康发展的有力支持。
笔者真心希望在内部控制审计实施的过程中，上市公司与事务所能够实现双赢。
标签：企业内部控制审计指引论文; 内部控制论文; 财务报告论文; 财务报表审计论文; 国际四大会计师事务所论文; 内控体系建设论文; 内控管理论文; 内部控制缺陷论文; 审计质量论文; 会计与审计论文; 内部审计独立性论文; 审计流程论文; 注册会计师论文; 有效市场论文; 审计目标论文; 风险内控论文; 财会论文;