時(shí)下討論公司內(nèi)部控制，幾乎言必談《SOX法案》302條款和404條款。其實(shí)，這是遠(yuǎn)遠(yuǎn)不夠的。上市公司滿足了證券監(jiān)管機(jī)構(gòu)的要求，只不過是建立內(nèi)部控制機(jī)制的一部分，而不是全部。換句話說，實(shí)現(xiàn)透明可靠的財(cái)務(wù)報(bào)告，只是內(nèi)部控制的第一級(jí)基本目標(biāo)。而更為重要的內(nèi)部控制目標(biāo)，在于保護(hù)企業(yè)財(cái)產(chǎn)安全、實(shí)現(xiàn)有效率和有效益的經(jīng)營以及循規(guī)守法。同時(shí)，應(yīng)該強(qiáng)調(diào)的是，上市公司就數(shù)量而言只不過是全部企業(yè)中的很小一部分，眾多的非上市及中小企業(yè)同樣需要內(nèi)部控制。

　　UT斯達(dá)康的挫折

　　《SOX法案》全稱《公眾公司會(huì)計(jì)改革和投資者保護(hù)法案》(也簡(jiǎn)稱“薩班斯法案”)，系美國總統(tǒng)布什2002年7月30日簽署，自公布之日起30天內(nèi)對(duì)美國公司生效，對(duì)美國以外的公司則從2005年7月15日(后推延到2006年7月15日)之后結(jié)束的會(huì)計(jì)年度開始執(zhí)行。

　　由于我國實(shí)行自然會(huì)計(jì)年度，上市公司年度報(bào)告在每年4月底之前公布，而對(duì)內(nèi)部控制有效性的評(píng)估報(bào)告是與年度審計(jì)報(bào)告同時(shí)發(fā)布，所以，從某種意義上講，中國公司在2007年春季發(fā)布2006年年度報(bào)告之前，多出了半年左右的‘緩刑’時(shí)間。事實(shí)上，已經(jīng)有多家中國公司提前步入了《SOX法案》軌道，其中包括搜狐網(wǎng)、新浪網(wǎng)、亞信控股、UT斯達(dá)康等公司。

　　翻開亞信控股公司2005年年報(bào)，第49頁是德勤會(huì)計(jì)師事務(wù)所于 2006年3月15日簽署的獨(dú)立注冊(cè)公眾會(huì)計(jì)師事務(wù)所報(bào)告，其中，針對(duì)亞信公司與財(cái)務(wù)報(bào)告有關(guān)的內(nèi)部控制有效性，出具的是一份典型的、具有肯定含義的標(biāo)準(zhǔn)意見。

　　翻開UT斯達(dá)康公司2006年6月26日發(fā)布的2005年年報(bào)，在普華永道會(huì)計(jì)師行長(zhǎng)長(zhǎng)的審計(jì)師報(bào)告中，開頭是一段聲明，大意是：“我們對(duì)UT斯達(dá)康公司2004、2005年的合并財(cái)務(wù)報(bào)表、以及2005年的內(nèi)部控制實(shí)施了審計(jì)，我們的審計(jì)是遵循美國公眾公司會(huì)計(jì)監(jiān)管委員會(huì)制定的標(biāo)準(zhǔn))”；審計(jì)師報(bào)告末尾則是一段帶負(fù)面含義的綜合評(píng)價(jià)，大意是：“我們認(rèn)為，UT斯達(dá)康公司管理者關(guān)于對(duì)2005年底公司財(cái)務(wù)報(bào)告未能達(dá)到有效內(nèi)部控制的評(píng)價(jià)，在所有重要方面是公允表達(dá)的。我們還認(rèn)為，由于存在對(duì)實(shí)現(xiàn)控制標(biāo)準(zhǔn)的重要缺陷，UT斯達(dá)康公司沒有能夠達(dá)到基于COSO內(nèi)部控制整合框架的有效內(nèi)部控制”。

　　解讀普華永道會(huì)計(jì)師行的審計(jì)聲明和審計(jì)意見，我們至少結(jié)識(shí)了這樣幾個(gè)關(guān)鍵概念：有關(guān)財(cái)務(wù)報(bào)告的內(nèi)部控制、公眾公司會(huì)計(jì)監(jiān)管委員會(huì)(PCAOB)、管理者自己對(duì)內(nèi)部控制的評(píng)價(jià)、COSO內(nèi)部控制整合框架、內(nèi)部控制重要缺陷、等等。

　　怎樣理解這些概念？從UT斯達(dá)康的審計(jì)意見能夠得到何種啟示呢？

　　從404條款、COSO框架到PCAOB

　　《SOX法案》的目標(biāo)是加強(qiáng)公司治理、重建投資者的信心和化解誠信危機(jī)。其中，針對(duì)內(nèi)部控制的內(nèi)容主要是404條款。該條款引用COSO內(nèi)部控制框架，作為對(duì)公司內(nèi)部控制有效性進(jìn)行審核的專業(yè)標(biāo)準(zhǔn)。404條款提出的內(nèi)部控制評(píng)審要求，目的在于通過加強(qiáng)內(nèi)部控制來改進(jìn)公司治理狀況，最終加強(qiáng)公司的責(zé)任。

　　COSO內(nèi)部控制框架的內(nèi)容涵蓋企業(yè)運(yùn)營的各個(gè)領(lǐng)域，要求管理層必須記錄、檢查內(nèi)部控制系統(tǒng)的有效性、提供足夠的證據(jù)并對(duì)內(nèi)部控制的有效性公開發(fā)表聲明。其中，對(duì)內(nèi)部控制的定義是：由董事會(huì)、管理當(dāng)局和其他員工實(shí)施的、為保證財(cái)務(wù)報(bào)告的可靠性、經(jīng)營的有效性、以及遵循現(xiàn)行法規(guī)的等目標(biāo)，達(dá)成所設(shè)定企業(yè)目標(biāo)而提供合理保證的政策和實(shí)施程序。在這個(gè)定義中，既界定了內(nèi)部控制的實(shí)施主體，也明確了內(nèi)部控制的三個(gè)主要目標(biāo)：透明可靠的財(cái)務(wù)報(bào)告；有效率和效益的經(jīng)營；循規(guī)守法和保護(hù)企業(yè)財(cái)產(chǎn)安全。

　　COSO 報(bào)告將內(nèi)部控制的整體架構(gòu)表達(dá)為五要素，分別是控制環(huán)境、風(fēng)險(xiǎn)評(píng)估、控制活動(dòng)、信息與溝通與監(jiān)督。

　　說到COSO內(nèi)部控制框架，就不能不提及1985年成立的反對(duì)舞弊虛假財(cái)務(wù)報(bào)告委員會(huì)，該委員會(huì)的重點(diǎn)任務(wù)是研究舞弊性財(cái)務(wù)報(bào)告產(chǎn)生的原因及對(duì)策。根據(jù)該委員會(huì)1987年工作報(bào)告的建議，又組成一個(gè)專門研究?jī)?nèi)部控制問題的委員會(huì)，這就是COSO。1992年，COSO提交的《內(nèi)部控制——整體框架》，就是著名的COSO報(bào)告。經(jīng)過兩年的修改，1994年，COSO委員會(huì)提出了報(bào)告修改版，擴(kuò)大了內(nèi)部控制涵蓋的范圍，增加了與保障資產(chǎn)安全有關(guān)的控制，得到美國審計(jì)總署(GAO)的正式認(rèn)可。與此同時(shí)，美國注冊(cè)會(huì)計(jì)師協(xié)會(huì)AICPA全面接受COSO內(nèi)部控制框架。

　　COSO內(nèi)部控制框架提出了強(qiáng)化內(nèi)部控制的體系結(jié)構(gòu)，具有重要的歷史意義和現(xiàn)實(shí)意義。不過，盡管其重要性早已得到專業(yè)界的普遍認(rèn)可，但在實(shí)際應(yīng)用方面一直比較滯后，直到《SOX法案》404條款明確將其作為建立內(nèi)部控制的依據(jù)，局面才有所改觀。自此，COSO內(nèi)部控制框架在建立、審核和評(píng)價(jià)公司內(nèi)部控制機(jī)制方面具有了法理依據(jù)地位。

　　2004年3月，依照《SOX法案》成立的公眾公司會(huì)計(jì)監(jiān)管委員會(huì)(PCAOB)發(fā)布第2號(hào)審計(jì)準(zhǔn)則《與財(cái)務(wù)報(bào)告審計(jì)協(xié)同進(jìn)行的對(duì)內(nèi)部控制的審計(jì)》，并于2004年6月得到美國證監(jiān)會(huì)(SEC)的批準(zhǔn)，成為內(nèi)部控制審計(jì)的法理依據(jù)。該準(zhǔn)則要求審計(jì)師明確發(fā)表兩項(xiàng)意見，一是針對(duì)管理層自己的流程評(píng)估，評(píng)價(jià)其結(jié)論是否在合理的基礎(chǔ)上得出，是否令人心服；二是獨(dú)立測(cè)試內(nèi)部控制的有效性，以確認(rèn)管理層的評(píng)估是否正確，并得到公允表達(dá)。

　　對(duì)公司的內(nèi)部控制進(jìn)行評(píng)估，就是要確認(rèn)公司管理層是否有效地進(jìn)行了以下工作：確認(rèn)評(píng)估對(duì)象、范疇；評(píng)估控制的失效風(fēng)險(xiǎn)；評(píng)估主要發(fā)現(xiàn)是否與評(píng)估結(jié)果相一致；評(píng)估缺陷的嚴(yán)重性；就主要發(fā)現(xiàn)與有關(guān)方面進(jìn)行溝通，等等。評(píng)估報(bào)告中所說的重要缺陷(material weakness)，是一個(gè)或多個(gè)控制弱點(diǎn)(control deficiency)的組合，重要缺陷會(huì)對(duì)公司財(cái)務(wù)數(shù)據(jù)流程(授權(quán)、處理、報(bào)告)造成負(fù)面影響，導(dǎo)致不能防范或發(fā)現(xiàn)財(cái)務(wù)信息的錯(cuò)報(bào)。審計(jì)人員將測(cè)試發(fā)現(xiàn)的問題進(jìn)行匯總并評(píng)估，確認(rèn)這些問題是否構(gòu)成重要缺陷，從而形成審計(jì)意見。當(dāng)財(cái)務(wù)報(bào)告的內(nèi)部控制存在一個(gè)或一個(gè)以上重要缺陷，審計(jì)師必須發(fā)表否定意見。

　　于是，我們?cè)赨T斯達(dá)康公司和亞信公司的2005年度報(bào)告中，讀到了針對(duì)公司內(nèi)部控制的審計(jì)意見。其中，普華永道在為UT斯達(dá)康公司2005年度報(bào)告出具的審計(jì)師報(bào)告中，指出了UT斯達(dá)康公司在控制環(huán)境、所屬單位監(jiān)控、關(guān)聯(lián)方交易、財(cái)務(wù)人員勝任能力等多個(gè)方面存在的十多項(xiàng)重要缺陷。

　　內(nèi)控機(jī)制的真正目的

　　設(shè)計(jì)企業(yè)內(nèi)部控制機(jī)制，是否只是為了應(yīng)對(duì)外部壓力、滿足形式上的需要，如應(yīng)付監(jiān)管機(jī)構(gòu)、向股東交代、給社會(huì)各界看；強(qiáng)化內(nèi)部控制是否是企業(yè)經(jīng)營管理的需要？答案似乎顯而易見：內(nèi)部控制當(dāng)然既要保證滿足外部要求，也要保證企業(yè)正常運(yùn)營。然而，現(xiàn)實(shí)社會(huì)中的情況遠(yuǎn)非如此簡(jiǎn)單與理想化。

　　我們知道，《SOX法案》404條款要求的內(nèi)部控制建設(shè)及有效性審計(jì)，是針對(duì)財(cái)務(wù)報(bào)告的。從UT斯達(dá)康公司和亞信公司的年度報(bào)告中讀到的針對(duì)內(nèi)部控制的審計(jì)意見，無論肯定含義還是否定含義，都只是針對(duì)財(cái)務(wù)報(bào)告的編制和公布。換句話說，都只是針對(duì)生產(chǎn)經(jīng)營結(jié)果的財(cái)務(wù)表述和信息披露，而不是針對(duì)生產(chǎn)經(jīng)營和管理本身。然而，在COSO內(nèi)部控制框架文件中，透明可靠的財(cái)務(wù)報(bào)告只是企業(yè)內(nèi)部控制系統(tǒng)的三大主要目標(biāo)之一。

　　可以這樣說，作為著眼于保護(hù)社會(huì)公眾利益的證券監(jiān)管機(jī)構(gòu)，不論是美國的SEC還是中國的證監(jiān)會(huì)，最關(guān)注的當(dāng)然是與證券市場(chǎng)正常運(yùn)轉(zhuǎn)密切相關(guān)的公司財(cái)務(wù)信息披露質(zhì)量，因?yàn)樨?cái)務(wù)信息披露影響到投資人(包括現(xiàn)實(shí)投資人和潛在投資人)、其他利益相關(guān)者的決策行為和后果；而對(duì)于公司的現(xiàn)實(shí)投資人、經(jīng)營決策者、管理層以及員工來講，實(shí)現(xiàn)透明可靠的財(cái)務(wù)報(bào)告只是內(nèi)部控制的第一級(jí)基本目標(biāo)。

　　一句話，滿足《SOX法案》404條款的要求，只不過是建立內(nèi)部控制機(jī)制的一部分，而不是全部。更何況，上市公司以至公眾公司，只是全社會(huì)中所有企業(yè)中的一小部分。對(duì)于更多的非上市、非公眾企業(yè)來說，內(nèi)部控制的目標(biāo)當(dāng)然就更不僅僅限于透明可靠的財(cái)務(wù)信息了。

　　如是觀之，既使得到了外部審核和評(píng)價(jià)的肯定意見，并不意味著公司內(nèi)部控制機(jī)制就一定是令人滿意的！更為重要的內(nèi)部控制目標(biāo)，在于有效率和有效益的經(jīng)營、循規(guī)守法和保護(hù)企業(yè)財(cái)產(chǎn)安全。

　　這樣，對(duì)公司至少提出了兩點(diǎn)要求。

　　首先，設(shè)置必要的內(nèi)部控制部門，給予適當(dāng)?shù)穆毼缓捅匾穆殭?quán)，特別要注意內(nèi)部控制部門‘空化’問題，不要讓內(nèi)部控制部門成為擺設(shè)品。

　　其次，人員配置和制度設(shè)計(jì)要匹配，絕對(duì)避免身兼具有角色沖突性的多個(gè)職務(wù)；同時(shí)要注意，在人員配置時(shí)應(yīng)避免關(guān)系密切人員或者利益密切人員進(jìn)行相互監(jiān)督；應(yīng)最大可能地預(yù)先控制經(jīng)理人道德風(fēng)險(xiǎn)漏洞。

　　自我評(píng)價(jià)與內(nèi)部審計(jì)

　　其實(shí)，我國企業(yè)內(nèi)部控制已經(jīng)不是最新命題，目前至少已經(jīng)具備了包含“內(nèi)部控制”字樣的諸種規(guī)范文件和實(shí)踐：2001年起財(cái)政部頒布《內(nèi)部會(huì)計(jì)控制規(guī)范》系列，2002年中央銀行頒布《商業(yè)銀行內(nèi)部控制指引》，2002年證監(jiān)會(huì)頒布《證券公司內(nèi)部控制指引》，2004年銀監(jiān)會(huì)頒布《商業(yè)銀行內(nèi)部控制評(píng)價(jià)試行辦法》，等等；我國商業(yè)銀行、證券公司等金融機(jī)構(gòu)的年度報(bào)告中，已經(jīng)實(shí)施并包含了注冊(cè)會(huì)計(jì)師針對(duì)會(huì)計(jì)報(bào)表和財(cái)務(wù)信息的內(nèi)部控制審核評(píng)價(jià)報(bào)告。

　　只是，由于強(qiáng)化公司內(nèi)部控制并非一朝一夕之事，加之專業(yè)性強(qiáng)，所以沒有成為大眾媒體緊緊追逐的熱點(diǎn)，只有專業(yè)人士才會(huì)仔細(xì)跟蹤觀察。由于《SOX法案》涉及所有中國在美上市的公司，讓國內(nèi)媒體和民眾對(duì)內(nèi)部控制問題特別關(guān)心起來。

　　必須指出，從形式上建立起完整的企業(yè)內(nèi)部控制制度，并不等于為企業(yè)實(shí)現(xiàn)正常運(yùn)營加上了保險(xiǎn)鎖。內(nèi)部控制制度的‘控制’功能決不會(huì)自動(dòng)發(fā)揮。任何內(nèi)部管理制度，無論其理論基礎(chǔ)如何雄厚、實(shí)施方案如何詳盡，在其實(shí)施過程中能不能發(fā)生作用，能不能落到實(shí)處，能不能達(dá)到效果，關(guān)鍵因素還是在于‘人’。制度不是自動(dòng)化機(jī)器，不會(huì)自動(dòng)運(yùn)轉(zhuǎn)，制度要依靠全體員工來落實(shí)。作為制度的制訂者和監(jiān)督者，董事會(huì)和高管層首先要率己，帶頭遵守，才能上行下效，保證制度真正落實(shí)和貫徹。

　　控制自我評(píng)價(jià)(CSA)就是一種使內(nèi)部控制融入組織程序的自我審查機(jī)制，它強(qiáng)調(diào)經(jīng)理層的控制意識(shí)和控制的責(zé)任，由公司全體員工共同對(duì)風(fēng)險(xiǎn)控制進(jìn)行持續(xù)評(píng)價(jià)、持續(xù)監(jiān)控或關(guān)鍵監(jiān)控?？刂谱晕以u(píng)價(jià)有自身理論模型和一整套措施，但具體由誰來負(fù)責(zé)日常執(zhí)行呢？

　　于是，內(nèi)部審計(jì)制度閃亮登場(chǎng)。

　　歷史上，內(nèi)部審計(jì)制度就是作為組織機(jī)構(gòu)的控制職能而產(chǎn)生的，服務(wù)于組織的督察、考核、評(píng)價(jià)等控制職能。傳統(tǒng)的內(nèi)部審計(jì)偏重在財(cái)務(wù)方面，現(xiàn)代內(nèi)部審計(jì)則跳出了財(cái)務(wù)圈子。盡管內(nèi)部審計(jì)本身就是控制的一個(gè)類型，但還有更大范圍的其他多種控制。內(nèi)部審計(jì)的具體角色就是幫助考核、評(píng)價(jià)其他的多種控制。在組織機(jī)構(gòu)建立計(jì)劃并根據(jù)運(yùn)營著手計(jì)劃執(zhí)行時(shí)，一定會(huì)監(jiān)控運(yùn)營狀況，確保實(shí)現(xiàn)組織機(jī)構(gòu)的既定目標(biāo)，我們可以將這些深層次的努力看作是控制?；诳刂颇康模瑑?nèi)部審計(jì)人員會(huì)檢查和評(píng)價(jià)組織的所有活動(dòng)，從而為組織提供保障服務(wù)。內(nèi)部審計(jì)人員通過評(píng)價(jià)現(xiàn)有的控制，就能幫助有關(guān)的責(zé)任人更有效的實(shí)現(xiàn)結(jié)果，并為協(xié)助改進(jìn)有關(guān)控制提供依據(jù)。當(dāng)然，現(xiàn)在的內(nèi)部審計(jì)行業(yè)，不僅僅關(guān)注內(nèi)控，它還關(guān)注風(fēng)險(xiǎn)管理、治理過程的有效性。

　　毫無疑問，《SOX法案》404條款使內(nèi)部審計(jì)人員的角色和職責(zé)再一次發(fā)生變化。在組織機(jī)構(gòu)整體的內(nèi)部控制框架中，內(nèi)部審計(jì)的重要性較以往增加了許多。為了使內(nèi)部控制框架有效，審計(jì)人員必定要很好的理解內(nèi)部控制，每一位涉及《SOX法案》404條款評(píng)審的內(nèi)部審計(jì)人員，都應(yīng)當(dāng)了解公認(rèn)會(huì)計(jì)原則(GAAP)及其相應(yīng)的財(cái)務(wù)控制?！禨OX法案》的條款不僅對(duì)美國上市公司的內(nèi)部審計(jì)人員產(chǎn)生了重要的影響，還引發(fā)了當(dāng)代內(nèi)部審計(jì)的新規(guī)則?，F(xiàn)在的內(nèi)部審計(jì)，在同審計(jì)委員會(huì)、高層管理者(特別是財(cái)務(wù)高管)以及外部審計(jì)師打交道時(shí)，必須扮演稍微不同的角色。

　　可以說，隨著《SOX法案》在全球影響的擴(kuò)展，內(nèi)部審計(jì)發(fā)揮作用的范圍及其所扮演的角色都在不斷擴(kuò)大，而組織機(jī)構(gòu)對(duì)于內(nèi)部審計(jì)職能的期望也在不斷增加。如何構(gòu)建戰(zhàn)略性的內(nèi)部審計(jì)職能以便為組織機(jī)構(gòu)增值，如何培養(yǎng)具有勝任能力的內(nèi)部審計(jì)人員服務(wù)于組織機(jī)構(gòu)，不僅是高層管理當(dāng)局考慮的問題，也成為困惑當(dāng)前內(nèi)部審計(jì)行業(yè)人員的關(guān)鍵問題。

　　固有局限

　　必須指出，無論內(nèi)部控制制度被設(shè)計(jì)得多么完美，運(yùn)行得多么符合設(shè)計(jì)者的預(yù)期，都不是萬能的，因?yàn)槠渥陨泶嬖谥逃械膬?nèi)生性局限，具體表現(xiàn)在以下幾個(gè)方面。

　　首先，人為疏忽、分心、疲憊、誤解指令、判斷失誤等，可能使健全有效的內(nèi)部控制失靈；

　　其次，內(nèi)部控制一般是為經(jīng)常發(fā)生的經(jīng)濟(jì)業(yè)務(wù)而設(shè)計(jì)的，因此一旦發(fā)生異?；蛭搭A(yù)計(jì)到的業(yè)務(wù)，就會(huì)有失控或原有控制不適用的可能性；

　　第三，管理階層為美化企業(yè)財(cái)務(wù)業(yè)績(jī)或遵循法令狀況等目的，不遵守已經(jīng)明確制定的政策或程序(美國Treadway委員會(huì)曾指出，至少有66%的欺詐性財(cái)務(wù)報(bào)告訴訟案，與最高管理當(dāng)局逾越內(nèi)部控制有關(guān))；

　　最后，控制成本與效益都是難以確切計(jì)量的，因此需要運(yùn)用主觀判斷做出決策。

　　并且，在出現(xiàn)以下幾種情況時(shí)，內(nèi)部控制將很有可能失效：

　　一是串通舞弊謀取個(gè)人私利：不兼容職務(wù)分離是為了達(dá)到相互監(jiān)督的效果，但若負(fù)有不同職責(zé)的員工串通舞弊，或本企業(yè)員工通過外部關(guān)系規(guī)避控制，協(xié)同作弊，將會(huì)導(dǎo)致內(nèi)部控制失效；

　　二是濫用權(quán)力：如果公司管理層故意舞弊，不受法規(guī)、制度的約束，將會(huì)導(dǎo)致內(nèi)部控制失效；

　　三是如果執(zhí)行內(nèi)部控制制度的人員素質(zhì)較差，不具備勝任能力，難以履行其控制職責(zé), 內(nèi)部控制制度也難以發(fā)揮作用。

　　在我國的銀行業(yè)，內(nèi)部控制的固有局限性體現(xiàn)得最為明顯。一般而言，金融業(yè)尤其是銀行業(yè)的內(nèi)部控制制度建設(shè)，在我國企業(yè)界是走在前面的。但最近幾年，銀行業(yè)不斷出現(xiàn)違規(guī)違法案件，并造成一定的經(jīng)濟(jì)損失和行業(yè)信譽(yù)損失。這不僅告訴我們內(nèi)部控制制度建設(shè)的重要性，而且也充分說明建設(shè)制度固然重要，有效地實(shí)施制度更為重要。