内部审计在上市公司内部控制中的职能.doc

内部审计在上市公司内部控制中的职能 关键词：内部控制? 内部审计? 内部控制自我评估? 保证活动? 咨询活动 一、什么是内部控制 一经提到内部控制，大部分人都会有一个模糊的概念，好像知道那是在说什么，但是又没办法用语言清晰地表达出它的确切定义，这从侧面反映出内部控制与我们的工作是息息相关的。1992年美国反舞弊性财务报告委员会(COSO)发布了《企业内部控制整合框架》，在国际范围内第一次正式提出了内部控制的定义，并形成了有关内部控制的理论体系。目前我国的《企业内部控制基本规范》也正是基于COSO的相关理论提出的，这里就引用该“规范”对内部控制的定义：“内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程”。内部控制的这一定义向我们揭示了两个核心理念： 1．内部控制是全员参与的。也就是说内部控制不仅仅是董事会和监事会的事情，同时还关系到公司的经理层和一般员工，不同层级的人员、机构在企业的内部控制中承担着各自的职责； 2.内部控制是一个过程，确切地说应该是一个动态的过程。或许有部分人会把“内部控制”简单理解成“制度”，其实这是两个不同性质的概念，一般对制度的定义是“约束人的行为的政策与程序”，它并不是一个过程的概念。为了帮助更好地理解内部控制与制度之间的关系，我们可以做这样的类比：“内部控制”与“制度”的关系就好比“操作”与“操作手册”的关系，操作是一个过程，《操作手册》则是规范这一个过程的制度。 内部控制由内部环境、风险评估、控制活动、信息与沟通、内部监督五大基本要素构成，是一个包含搭建内部控制环境、建立风险评估机制、制定并实施各项控制措施、收集和传递与内部控制相关的信息、对内部控制的建立和实施情况进行监督检查的循环运作的过程。我们可以认为制度是内部控制各项要素的载体，内部控制的各项要素应该在最大程度上以制度的形式予以明确。 二、监管机构对企业内部控制的要求 我们还是先来看看美国的监管要求，之前已经提到，1992年美国的COSO委员会发布了一个《企业内部控制整合框架》，实际上这只不过是一份非官方的指导性标准，并不具备法律效力。真正把对企业的内部控制要求上升到法律层面的是，2002年美国国会出台的《2002年公众公司会计改革和投资者保护法案》，也就是我们所熟知的萨班斯法案。该法案404条款要求：上市公司在年度报告中包含管理层对内部控制的评价，担任公司年报审计的会计公司应该对其进行测试和评价，并出具评价报告。 现在我们再回过头来看看我国的监管要求，2008年6月28日“财政部 证监会 审计署 银监会 保监会关于印发《企业内部控制基本规范》的通知”(财会[2008]7号)要求：《企业内部控制基本规范》自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行；执行本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。实际上，该“通知”应该是美国萨班斯法案404条款和COSO《企业内部控制整合框架》的结合体，总体来说，我国的监管机构对企业的内部控制有以下两点要求： 1.根据《企业内部控制基本规范》搭建内部控制框架，以持续保证内部控制设计的有效性和执行　的有效性； 2.在公司年报披露的同时，披露内部控制自我评估报告。 三、企业如何开展内部控制建设工作 内部控制建设是一项系统的、持续性的工作，内部控制建设的过程同时也是制度建设的过程，内部控制建设就是以制度建设为载体，完善内部控制各项要素的过程。对于企业来说，内部控制建设最核心的问题是如何持续保证内部控制设计的有效性和执行的有效性，以实现组织的目标。 我们首先必须明确一种认识，那就是任何一家企业都是存在内部控制的，问题的核心是内部控制是否有效，即企业的内部控制在设计和执行上是否能够符合一般要求。《企业内部控制基本规范》对内部控制的各个基本要素做了详尽的描述，企业应当从内部控制的五大基本要素着手，完善内部控制。为贯彻落实《企业内部控制基本规范》，企业至少应该实施以下几项工作： 1.对现有制度进行全面梳理并持续改进，确保内部控制设计的有效性。 之所以要求企业对现有制度进行一次全面梳理主要是基于以下两方面的考虑：一、内部控制的设置必须根据企业内外部环境的变化而不断完善，但是由于长期缺乏有效的内部控制自我评估机制和监督检查机制，我国企业可能普遍存在现有内部控制设置与管理要求不相符的现象；二、《企业内部控制基本规范》引入了崭新的国际先进的内部控制理念，企业有必要根据新的理念对原有的内部控制设置进行重新梳理。但是一次的全面梳理并不意味着内控建设工作的终结，企业还应当结合下面将要谈到的内部控制自我评估机制和监督检查机制，不断地发现内部控制设计和执行上的缺陷，并持续完善。