企业内控评价体系框架构建研究

单鸿英

【摘  要】随着现代企业制度的逐步建立和规范，为了更好地防范企业风险，内部控制评价水平理应得到提升，以此保障企业健康可持续发展，维护企业股东及社会公众的利益。内部控制评价最初应用于企业审计工作，随着内部控制评价的完善和发展，其逐步成为企业内部控制的重要环节，广泛运用于监督企业内部控制的运行，对改进企业内部控制具有重要作用。企业开展内部控制，目的是保障企业朝着预期的内控目标运行，防御与抵御風险。因此，论文简要介绍了内部控制评价体系的相关理论，分析了内部控制评价体系在企业内控管理中应用的现状，提出了企业内部控制评价体系的构建策略，以供参考。

【关键词】内部控制；内控评价；风险管理

【中图分类号】F275                                             【文献标志码】A                                                 【文章编号】1673-1069（2023）03-0100-03

1 引言

在市场经济的发展过程中，出现了一系列的财务造假、舞弊等事件，为我国的市场经济、证券市场带来了冲击。为保障市场经济发展的稳定性，对于企业内部控制管理的关注度越来越高，成为企业、学界、政府和社会公众研究的热点，我国也逐渐加强对于企业内部控制质量的评价和监督，发布了《企业内部控制基本规范》《企业内部控制应用指引》《企业内部控制审计指引》等配套文件，对企业内部控制有效性的评价要素进行了规定。现阶段，审计要求企业对内部控制的有效性作出合理的评价并出具评价报告，但是这一过程存在评价标准不客观、评价方法难以量化的问题，导致内部控制评价可能存在披露报告质量不高、可比性不强、形式大于实质的问题，影响内部控制评价的作用。

作为内部控制良好运行的保障之一，内部控制评价是企业内部控制管理体系中极为重要的一环。行之有效的内控评价体系不仅有利于企业健康持续运行，对于市场经济有序扩张、国民经济健康发展具有巨大影响。本文对这一课题进行研究，从内部控制目标实现风险管控出发，为评价体系框架的建立奠定基础，并提出内控评价体系框架构建的优化建议。

2 内部控制评价体系的相关理论

2.1 内部控制自我评价方法

企业为了更好地了解和掌握内部运行是否有序，企业广泛运用内部控制自我评价方法，具体是指企业内部审计部门在全体员工的协调下，利用实地查验法、调查问卷法、管理结果分析法等，对内部控制进行分析、评价，并且根据自我评价的结果提出行之有效的改进报告和建议，从而帮助管理人员对内部控制的缺陷进行改善、优化，提升经营效率、优化管理秩序。一般来说，内部控制自我评价可以分为详细评价法和风险基础评价法两种。

详细评价法的思路是，确定风险管理是否有效的判断主要依据该系统的各个要素是否完整并且能否发挥作用。具体而言，详细评价法对企业的内部控制与内部控制框架进行对照，首先判断内部控制设计的要素是否完备、设计是否具有有效性；其次通过开展测试，评价内部控制的各个构成要素是否运行有效，在此基础上评价内部控制的整体有效性。这一理论已得到普遍的认同，但是在实践过程中存在的问题在于，如何通过对照框架或者标准来判断企业内部控制设计的有效性，企业往往注重框架整体与组成要素之间的关系，但是可能会忽视各个组成要素之间的关系，当只考虑内部控制中的一个目标时，需要所有要素都满足框架才会被认定为控制有效，但是实际上，因为内部控制中各个要素是会相互影响、相互渗透的，有些企业虽然具备完整的内部控制要素，但是并不能代表所有都可以实现执行目标，一些要素的执行可能会导致另外的要素脱离原有的控制目标。

风险基础评价法是以控制风险为导向，对照内部控制目标实现的风险评估来评价企业的内部控制。具体的方法是，首先，对企业自身内部控制实现目标过程中的风险进行分析；其次，对照这些风险，分析企业是否有相应的内部控制措施进行防范和应对，这一步骤实际上就是在测试企业内部控制是否设计有效；再次，在设计有效的基础上对现有的内部控制运行效果进行测试，判断其有效性；最后，对内部控制运行过程中的缺陷进行评价，判断内控执行过程中的漏洞是否构成实质性危害，从而对内部控制的有效性得出最终结论。风险基础评价法更加体现以风险为导向的原则和自上而下的理念。

2.2 内部控制评价层次分析法

层次分析法是由美国运筹学家沙旦在20世纪70年代提出的，就是将复杂的问题进行分解，对分解出的各个要素再具体划分目标、准则，并对相关要素进行量化，层次分析法是一种实现定性与定量相结合的多准则决策方式。具体而言，层次分析法首先需要将复杂问题进行细化分解并划定层次；其次根据分解后问题的性质进行分类，形成多层次的决策结构，并针对每一个底层要素对于所属高层要素的相对重要性划定相关要素的权重。层次分析法通过分解、层次化的方式将复杂问题转化为简单问题，降低管理者的判断难度。

层次分析法具有以下几点显著特征：一是应用原理简单。层次分析法充分结合了定性与定量的方式，但是不涉及十分高深的数学逻辑理论，整个方法的应用过程较为简单，计算过程也比较简便，整个方法易于掌握和接受，各个行业和规模的企业管理者均可使用这一方式。二是兼具实用性与灵活性。层次分析法是从问题的复杂本质出发进行分解，更多地应用定性的分析和判断，偏向于依赖决策者的经验和主观判断，所需的定量数据较少且不复杂。三是系统性。通过将需要解决的复杂问题进行分解细化，逐步将复杂问题层层转换成简单问题并形成系统，系统针对每个要素赋权后逐步解决问题，并递增到最终的核心问题，实现由表象到本质的分解，得到更为准确的结果。

3 内部控制评价体系在企业内控管理中应用的现状

3.1 内部控制评价主体分析

按照现行的《审计准则》要求，企业的内部控制评价只规定了第三方注册会计师在开展审计工作时对其与财务报告相关的内部控制进行评价即可，但是，随着企业发展的不断深化，这种局限的外部评价模式已经无法及时发现问题并解决问题，也无法满足企业的内部管理要求，企业开始逐渐偏向实现内部化自我评价，即通过企业的内部审计部门来实现内部控制评价。但是，从实际操作来看，现阶段还有很大一部分的企业尚未建立专业的审计部门，或者企业的内部审计部门并不具备专业性和独立性，往往受制于总经理或财务部门，难以发挥出理想的审计职能，无法实现内部控制的自我评价和自我优化。因此，要想实现有效的内部控制评价，企业必须确认内部控制的评价主体。

3.2 内部控制评价标准分析

随着内部控制规范理论的逐步完善，我国不断规范内部控制评价的实务操作和理论指导，财政部等国家机关颁布了《内部会计控制规范》《内部控制审核指导意见》等系列文件，成为企业开展内部控制管理的重要参考，对于各行各业的相关内部控制规范起到了重要作用，相关文件要求企业将内部会计控制作为主要部分，兼顾与会计相关的控制。但是，不可忽视的是，虽然有规范性文件作为指导，很多企业管理人员仍然对内部控制评价缺乏正确的认知和足够的重视，对于内部控制知其然而不知其所以然，对于一些核心和基本问题如“评价什么、如何评价”等都没有清晰的了解。财政部等未明确企业内部控制评价的具体标准以及具体方法，导致各个企业之间采取的内部控制评价标准和方法都各不相同，同一行业或地区的企业内部控制体系的有效性和完整性究竟如何，无法进行相互比较，难以形成规范效应，无法建立统一、完整的内部控制评价标准。

3.3 内部控制评价披露分析

一是內控自我评价的结论与真实情况不符。虽然上市公司披露其内部控制评价结论，但调查结果显示，存在部分上市公司的内部控制评价结论与内部控制审计意见不一致的情况，在个别上市公司出具了内控整体有效或者内控缺陷认定为一般缺陷的结论后，注册会计师认为其存在重大的内部控制缺陷，严重影响投资者的判断。

二是内部控制缺陷的认定不当。在内部控制审计中，一些上市公司在出具的自我评价报告中，将导致重大损失或违法违规后果的事项，未按规定认定为重大内部控制缺陷，而仅将其作为“其他重大事项说明”进行披露。另外，一些公司在内部控制自我评价中未能恰当执行内部控制缺陷认定标准，对部分重大缺陷避重就轻、擅自更改缺陷的等级和类型。

三是内控缺陷整改不及时。在进行内部控制自我评价以及内控审计后，发现的内部控制缺陷未能进行及时整改，内控评价和内控审计的作用未能充分发挥，只是流于形式。

3.4 内部控制评价方法分析

目前，我国企业进行内控评价主要是依据COSO五要素原则进行定性判断，很少能够涉及企业内控水平的量化，从现阶段我国公司实施内控评价方法的情况来看，仍然存在内控评价动力不足、评价方法科学性合理性不足、评价方法不符合成本效益原则、评价标准及框架建设的研究不足等普遍问题。

具体来说，一是内控评价停留在内部控制标准与框架的表面。很多公司在实施内部控制评价时会选择借助第三方专业机构的能力或参考行业优秀的内控标准框架，但是往往在实际操作中只停留在标准的表面，过多关注业务活动层面具体的控制活动及措施，而无法站在全局的层面上对企业整体的控制有效性进行评价。

二是内控评价实践操作困难。部分公司按照通用的内控制度和框架建立内控系统，但是在实践中，习惯于延续结果导向，忽视评价过程，导致评价不符合成本效益原则，无法取得预期效果；或是公司过于依赖第三方专业机构，而忽视了公司自身的独特性和实际情况；或是采取的内控评价方法过于杂乱，无法在公司内部形成协调效应，导致员工容易陷入重复性工作，影响工作效率的提升。

4 企业内部控制评价体系的构建策略

4.1 分析内部控制目标实现的风险

内部控制是企业保证自身合规经营、资产安全、财务报告信息真实完整的重要战略手段，根据企业自身战略目标规划的不同，内部控制的目标也会有所差异，在每个不同的内控目标要求下，企业所面临的风险也有所不同，内部控制就是为了防范和控制这些风险。因此，对内控目标的风险进行分析，是企业构建内控评价体系的基础。

一是合法合规风险。企业的经营管理必须符合国家相关法律法规的规定，内部控制的重要目标之一就是保证企业的经营过程与国家法律、规章制度、政府政策、行业规定等保持一致，避免合规风险。

二是资产安全风险。资产是企业运行的基础，保证企业能够维持原有的目的进行资金周转，资金、存货、固定资产、无形资产等各类资产的价值不发生减损是内部控制的重要目标，根据企业所持有资产的不同可以将资产安全风险进行进一步细分。

三是财务报告风险。财务报告是企业对外发布的信息，必须符合相关信息管理规定，保证财务报告及相关信息真实完整。

四是经营效率风险。企业的最终目的是获取利润，其投入与产出的对比是衡量企业经营实质的重要标准。

4.2 识别目标实现风险对应的内部控制流程

一是加强项目可行性分析控制。价格波动带来的风险是企业经营过程中最为普遍的风险之一，包括高价风险、低价风险以及价格调整风险，进行价格控制是为了应对价格变动不合理而进行的风险防范，为此必须优化项目的可行性分析控制。针对计划的项目，从有关的市场、土地情况、技术需求、社会偏好、文化氛围等各项因素开展全方位的论证分析，判断每个项目的可行性以及投入产出比，从而挑选出最适合企业的项目方案。在可行性分析过程，对市场价格进行定位和预期是一个重要环节，通过市场分析，为项目预期的市场定价以及未来价格波动的情况进行评估，保证项目制定的价格合理，将价格风险控制在合理范围。

二是加强项目成本控制。企业项目的执行必须考虑全过程的风险，充分了解各个环节面对的成本费用，从而针对性制定成本控制策略。例如，针对土地，成本控制主要体现在招拍挂环节，企业必须在土地项目立项之前对土地成本进行合理测算，设定合理的成本竞拍价格，以保证企业以合理的成本获取土地。

4.3 确定评价体系要素

首先，确定评价内容。根据风险基础评价法的逻辑基础，相关人员必须了解内部控制的目标，分析其实现风险管理，对照评价内部控制设计的有效性、合理性。

其次，要结合定性与定量原则，对各个控制环节的重要性进行赋权，可以应用德尔菲法、问卷调查法等，确定内控目标体系下各个环节的重要程度比重，将其转化为定量的数值。

再次，确定评价方法及评价程序。结合企业的运行情况，综合采用实地查验、抽样测试、穿行测试等方式，收集有关企业内部控制是否有效运行的证据，从而实现对内控设计及运行效果的客观评价。

最后，确定评价标准。内部控制评价的标准包括内部控制的完整性、内部控制的合理性以及内部控制的有效性。其中，完整性包括企业内部控制是否覆盖了相应的经营活动以及经营活动的全过程；合理性是指企业的内部控制应当结合企业自身实际情况、规模大小以及业务特征和文化氛围；有效性包括内部控制要合理保证财务报告信息的可靠性以及保证企业管理人员能够通过内部控制充分了解经营目标以及实现进度。

【参考文献】

【1】刘品含.企业内部控制评价体系建设相关问题分析[J].中国集体经济，2023（4）：70-73.

【2】吴金玲.风险管理视域下企业内部控制评价机制探究[J].中国商人，2023（1）：154-155.