内容摘要：2010年4月26日，财政部、证监会、审计署、银监会和保监会联合发布了《企业内部控制基本规范》，标志着中国企业内部控制法制化体系已初步形成。本文以我国《企业内部控制基本规范》的颁布为契机，分析了内部控制制度的发展和失效的原因，借鉴美国内部控制的发展历史，提出相应的务实性建议。
关键词：内部控制 控制五要素 准则制定 强制披露
2008年6月28日，财政部、证监会、审计署、银监会和保监会联合发布了《企业内部控制基本规范》并于2009年7月1日起先在上市公司范围内施行。2010年4月26日，上述有关部门又联合发布了企业内部控制配套指引，从而标志着中国企业内部控制法制化体系已初步形成。
内部控制理论的发展
内部控制的初级形式是内部牵制。据史料记载，远在公元前3600年前的美索布达米亚丈化时代，就存在着对支出钱财由两个不同岗位的人分别进行记录、核对的内部牵制实践活动。在公元600年左右的古埃及，出现了在记录官、出纳官和监督官之间记录、实付和审查各负其责，相互监督的内部牵制制度。西周时期规定每笔财赋的收、支必须经几个人分别记录、管理，说明当时内部牵制制度已基本形成。15世纪末在威尼斯出现的借贷记账法。一般认为内部控制的思想产生于18世纪产业革命以后，它是企业大规模化和资本大众化的结果。到20世纪初，随着股份公司规模日益扩大，所有权与经营权进一步分离，实践中逐步出现了一些组织、调节、制约和监督生产经营活动的方法，为了纠错查弊，有些企业建立了简单的内部控制制度。1929年美国注册会计师协会和联邦储备委员会（FRB）修订发布的《会计报表的验证》（Verification of Finan-cial Statements）是最早涉及内部控制的职业文献，而1936年发布的《独立公共会计师对会计报表的审查》（Examina-tion。f Financia1 Statements by Independent Public Accountants）是最早定义内部控制的。1949年，美国公共会计师协会（AICPA）出版了第一本审计学意义上的内部控制研究专著《内部控制一协作体系的要素及其对于管理层和独立公共会计师的重要性》，并首次给内部控制下了个定义：“内部控制包括在组织内部采用的，以保证资产安全性、核查会计数据的准确性和可靠性、提高运营效率、促进管理政策的贯彻和实施为目的的计划，以及所有与之相协调的方法和措施”。
20世纪50年代以后，世界市场竞争的加剧，促使内部控制扩大到企业内部各个领域，其内容也愈加丰富。1963年美国审计程序委员会在其发布的“审计程序第23号文件”中首次将内部控制划分为内部会计控制和内部管理控制。1994年美国管理会计师协会将内部控制定义为：“内部控制是这样一个整体系统，由管理者建立的、旨在以一种有序的和有效的方式进行公司的业务，确保其与管理政策和规章的一致，保护资产，尽量确保记录的完整性和正确性。美国虚假财务报告全国委员会的后援组织委员会-COSO委员会（Committee of Sponsoring Organizations of the Treadway Commission）1992年提出并于1994年修改的题为“内部控制一整合架构”的报告，提出了内部控制成分的概念，指出：内部控制是由企业董事会、经理阶层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成而提供合理保证的过程。
我国企业内部控制失效的原因
1996年美国注册会计师协会发布了《审计准则公告第78号》将内部控制划分为五种要素，即控制环境、风险评估、信息系统与沟通、控制活动、对控制的监督。内部控制整体框架报告面世后，将内部控制发展为立体框架结构，为建立控制标准奠定了基础，也为实际应用提供了方便。
（一）控制环境
控制环境设定了被审计单位的内部控制基调，影响员工对内部控制的认识和态度。包括六要素：对诚信和道德价值观念的沟通与落实；对胜任能力的重视；治理层的参与程度；管理层的理念和经营风格；组织结构及职权与责任的分配；人力资源政策与实务。目前企业控制环境存在缺陷，存在的主要问题有：
1.对诚信和道德价值观念的沟通没有做到位。很多企业都只是走走形式，没有落实。管理层没有及时处理不诚实，非法或不道德行为，不利于诚信和道德价值观念的营造和保持。
2.对胜任能力不重视。表现为：财务人员以及信息管理人员不具备与被审计单位业务性质和复杂程度相称的足够的胜任能力和培训，在发生错误时，不能通过调整人员或系统来加以处理；管理层没有配备足够的财务人员以适应业务发展和有关方面的需要；财会人员不具备理解和运用会计准则所需的技能。
3.公司治理结构不完善。长期以来，我国一些企业的董事会与经理班子重合，董事会大体等于经理层，股东大会、董事会、监事会的职责分工不明，形同虚设。
4.管理层的理念和经营风格僵化。由于过去我国长期处于计划经济的条件下，许多管理者的管理思想还停留在行政领导的角色上，没有从根本上转变经营观念，大多数管理者还不习惯应用现代管理方法，往往是用行政命令“治理企业”而不是管理企业。
5.组织结构不健全，组织框架未能满足内部控制机制运作、企业监控需要的职能。表现为：内部控制体系中的组织架构混乱，管理控制体系缺失；部门职责没有明确，部门间缺乏制衡关系；单位内部没有明确的职责划分，没有将业务授权，业务记录，资产保管和维护，以及业务执行的责任尽可能的分离。
6.人力资源政策不尽合理和有效。表现为：由于员工手册、岗位职责没有明确或培训的缺失，员工对禁止事项及自身职责权限不明确；员工缺乏岗位胜任能力；激励机制不公平不合理；考核机制不合理不明确；没有设定适当的程序，对分散在各地区和海外的经营人员建立和沟通人力资源政策与程序。
（二）风险评估
任何经济组织在经营活动中都会面临各种各样的风险，风险对其生存和竞争能力产生影响。风险评估是企业内部控制的前提。企业只有适当识别、评估与企业发展目标相关的风险，才能确定风险控制点与风险应对措施，通过内部控制活动将风险控制在企业可接受水平之内。我国企业在风险评估方面明显存在不足，许多企业的内部控制还停留在查错防弊阶段。
（三）信息系统与沟通
与财务报告相关的信息系统是企业应对情况改变、保证控制有效的“神经系统”，良好的信息沟通有助于提高内部控制的效率和效果。不重视信息在控制系统中的基础地位，是我国内部控制存在的一大不足，这种不足与我国内部控制理论宣传片面突出权力制衡而忽视信息系统建设不无关系。当一些国有资产流失甚至被侵吞案件曝光时，这些问题是由于缺乏一个强有力的信息系统而不能及时地得以发现并制止，而不是因为在这些地方权力失去了监督和制约，缺乏有效的内部控制制度。
（四）控制活动
控制活动包括与授权、业绩评价、信息处理、实务控制和职责分离等相关的活动，是内部控制的主体内容，企业通过设计、执行控制活动措施，将各个风险控制点上的风险降至企业的可接受水平。我国企业控制活动方面的问题具体包括：有些业务领域未建立必要的内控制度，或未纳入内部控制制度中；授权审批制度不完善，审批权限过于集中；管理层在预算，利润和其他财务及经营业绩方面没有清晰的目标，公司不能清晰的记录这些目标并监控；会计系统中的数据与实务资产没有定期核对，造成账实不符；交易授权、交易记录和资产保管等职责分配给同一个员工，提高了发生舞弊和不当行为的风险；识别与目标业绩差异的计划和报告系统不完善，并不能及时像适当层次的管理层报告。
（五）对控制的监督
对控制的监督是指企业评价内部控制在一段时间内运行有效性的过程，包括及时评价控制的设计和运行，以及根据情况的变化采取必要的纠正措施。它是企业内部控制活动得以有效执行的重要保障。我们研究中发现，我国企业对控制监督的问题主要集中在以下几个方面：企业的内部审计职能残缺，内部审计部门的独立性得不到保证；企业不能定期评价内部控制，从而无法充分获得内部控制有效运行的证据；内部审计人员和注册会计师在检查监督的过程中提出的建议，管理层不接纳，也不能及时纠正控制运行中的偏差。
借鉴美国经验完善中国内部控制制度
（一）了解内部控制的步骤
现代意义的内部控制产生于企业科学管理的需要，在西方国家，内部控制制度已被企业广泛采用并日趋完善。在我国，20世纪90年代起才发布了一系列有关内部控制的法律条文，开始并逐步加强对内部控制的推行。从世界范围看，美国内部控制评价的发展历史最悠久、最有代表性，值得我们借鉴。我们应该借鉴PCAOB在内控报告审计业务方面的先进经验．首先要了解内部控制的步骤：第一，识别需要降低哪些风险领域以预防财务报表中发生重大错报；第二，记录相关的内部控制；第三，评估控制的执行，比如实行穿行测试；第四，评估内部控制的设计。然后不断完善内控报告审计方法，以提高审计质量和效率。具体表现在：审计人员有效地结合内控报告审计和财务报表审计：注册会计师在选择进一步审计程序的性质、时间和范围时，应当注意使某些程序不为被审计单位遇见或事先了解；应重点关注交易形成内部控制重大漏洞的领域，如关联方交易和股票期权业务等；在合理使用他人的工作方面，审计人员应是对特定工作有胜任能力的人员，他们在特定事实和环境下，依靠自身的判断，结合使用定量方法和定性方法，来决定重新执行他人工作的程度，使审计人员能够不在低风险领域重复工作，把精力更好地集中在高风险控制上；审计人员要分析来自客户方面的影响因素，并及时与客户及其审计委员会进行沟通，以提高内控报告审计活动的效率。
（二）结合我国实际情况
由于不同模式的准则具有不同的利弊，准则制定模式的选择在会计界一直存在普遍的争议。一方面我国对内部控制研究相对落后，另一方面实践中上市公司大多数并不具备完善的内部控制制度，所以在规范内部控制审核时更多采用原则性的方式，这样就为内部控制审核的质量低下埋下隐患。美国新一轮IC-FR审计准则的制定并没有采用一贯的“规则式”的规范指导审计人员的审计，其原因就在于内部控制的多样性和复杂性决定了准则不可能通过统一的标准规范所有的行为。我国内部控制评价发展比较缓慢和评价活动对人员素质比较高，制定过于原则化的准则只会能让审计人员在某些情况下忽略对重要控制缺陷或指标的关注，所以在制定准则时应该考虑在一些方面选择更加具有操作性的要求取代审计人员的判断，以提高内部控制的审计质量。
（三）强制披露内部控制信息
调查发现内部控制信息披露的规定并没有得到有效执行；披露流于形式，内部控制信息自愿披露动力不足，董事会自愿披露的比例不到10％。我国上市公司内部控制信息披露的相关规定没有得到切实有效的执行，上市公司内部控制信息披露存在着自愿性披露动力不足、披露流于形式以及隐瞒不利消息的问题。我国企业应该强制要求所有上市公司披露内控报告及其审计报告，以使利益相关者能够借助该报告判断公司的管理情况和财务报告质量，同时督促上市公司强化内部控制并借以减少公司丑闻和重大财务错弊。其他非上市公司，可由其投资者、债权人等利益相关者决定是否对外提供内控报告和注册会计师的独立审核意见。
参考文献：
1.冯增强.内部控制制度的历史演进及未来发展.北方经济，2002
2.谢裴清，刘普，李名威.河北农业大学学报，2009
3.杨雄胜，李翔，邱冠华.中国内部控制的社会认同度研究.会计研究，2007
4.刘明辉，张宜霞.内部控制的经济学思考.会计研究，2002.8
5.于增彪等.企业内部控制评价体系的构建.审计研究，2007.3
6.朱荣恩，应唯，袁敏.美国财务报告内部控制评价的发展及对我国的启示.会计研究，2003.8
7.李心合.内部控制：从财务报告导向到价值创造导向.会计研究，2007.4
8.杨雄胜.内部控制理论研究新视野.会计研究，2005.7
9.张笠.美国内部控制审计准则最新发展与启示.财务与会计导刊，2007(11)