□文/潘 虹

（鄭州升達經貿管理學院 河南·新鄭）

安然事件和世通事件爆發(fā)后，美國于2002年7月頒布了《薩班斯-奧克斯利法案》。該法案的第404 節(jié)以及美國證券交易委員會（SEC）的相應實施標準，要求上市公司管理層評估和報告公司最近年度財務報告的內部控制的有效性，第404 節(jié)還要求上市公司聘請外部審計師對管理層的內部控制評估意見出具“證明”。自此拉開了內部控制鑒證的帷幕。隨后，美國公眾公司會計監(jiān)督委員會（PCAOB）分別于2004年3月和2007年6月發(fā)布了其第2 號審計準則《與財務報表審計相關的針對財務報告內部控制的審計》和第5 號審計準則《與財務報表審計相結合的財務報告內部控制審計》，這兩個準則主要對內部控制審計進行了更為具體的要求，并闡述了內部控制審計與財務報表審計之間的關系。在我國，中國注冊會計師協(xié)會（以下簡稱中注協(xié)）于2008年頒布了《企業(yè)內部控制鑒證指引（征求意見稿）》，財政部會同證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會于2010年制定了《企業(yè)內部控制應用指引第1 號——組織架構》等18 項應用指引及配套指引，配套指引包括《企業(yè)內部控制評價指引》和《企業(yè)內部控制審計指引》明確要求執(zhí)行該指引的上市公司和非上市大中型企業(yè)，應當對內部控制的有效性進行自我評價，披露年度自我評價報告，同時應當聘請會計師事務所對財務報告內部控制的有效性進行審計并出具審計報告。由此可見，內部控制的審計工作及其規(guī)范問題已經引起了我國監(jiān)管部門及學術界的高度關注。但是，目前依然有一些問題存在爭議，這些問題關系到內部控制審計這種制度能否達到預期的效率和效果。本文擬對我國內部控制審計中存在的幾個問題進行初步的探討。

一、內部控制審計業(yè)務的性質

根據提出意見的對象不同，審計業(yè)務可以分為基于責任方認定的業(yè)務和直接報告業(yè)務。因此，內部控制審計有兩種選擇：一是針對被審計單位管理層做出的內部控制自我評價報告提出結論，屬于基于責任方認定的業(yè)務；二是針對被審計單位的內部控制有效性提出結論，屬于直接報告業(yè)務。由于這兩種業(yè)務性質的不同，導致注冊會計師與管理層的責任劃分、審計程序、發(fā)表審計意見的依據、審計報告的內容和格式都會有所不同。在基于責任方認定的業(yè)務中，注冊會計師的責任是對被審計單位管理層做出的內部控制自我評價的再評價，審計對象是內部控制自我評價報告，審計的重點是管理層的自我評價報告是否真實、公允地反映了被審計單位內部控制的情況，而不是內部控制的有效性，盡管內部控制的有效性是注冊會計師做出判斷的基礎。在審計報告中應明確提及管理層的內部控制自我評價報告，如果被審計單位內部控制存在重大缺陷，但是管理層已經在自我評價報告中進行了充分的披露，那么注冊會計師依然應當發(fā)表無保留意見的審計報告。只有當被審計單位的內部控制存在重大缺陷，而管理層未在自我評價報告中進行披露，或未進行充分披露時，注冊會計師才發(fā)表非無保留意見的審計報告。而在直接報告業(yè)務中，注冊會計師直接對被審計單位內部控制的有效性發(fā)表審計意見，責任是對內部控制的有效性提供合理保證，重點在于評價內部控制的有效性，在審計報告中無需提及管理層做出的自我評價報告，審計報告的意見類型由內部控制是否有效來決定，而與管理層的自我評價報告的意見類型無關。

在中注協(xié)于2002年發(fā)布的《內部控制審核指導意見》中指出“本意見所稱內部控制審核，是指注冊會計師接受委托，就被審核單位管理當局對特定日期與會計報表相關的內部控制有效性的認定進行審核，并發(fā)表審核意見?！庇纱丝梢姡吨笇б庖姟穼炔靠刂茖徲嫎I(yè)務劃歸為基于責任方認定的業(yè)務，即對管理層認定的再認定。上海證券交易所（以下簡稱上交所）2006年6月發(fā)布的《上海證券交易所上市公司內部控制指引》也采用的是基于責任方認定的業(yè)務觀，其第三十二條指出，“公司董事會應在年度報告披露的同時，披露年度內部控制自我評估報告，并披露會計師事務所對內部控制自我評估報告的核實評價意見?！倍钲谧C券交易所（以下簡稱深交所）則認為內部控制審計屬于直接報告業(yè)務，在其分別于2006年9月和2007年12月發(fā)布的《深圳證券交易所上市公司內部控制指引》和《中小企業(yè)板上市公司內部審計工作指引》中都指出上市公司在聘請注冊會計師對公司進行年度審計的同時，應對公司內部控制的有效性出具鑒證報告。中注協(xié)于2008年7月發(fā)布的《企業(yè)內部控制鑒證指引（征求意見稿）》以及財政部等五部委于2010年制定的《企業(yè)內部控制審計指引》均采用的是直接報告業(yè)務觀。由此可見，目前我國對于內部控制審計業(yè)務性質的界定存在著不同的意見，不同部門制定的規(guī)章制度之間存在著矛盾。

筆者認為，無論采用基于責任方認定的業(yè)務觀還是直接報告業(yè)務觀，其根本目的是相同的，即促進企業(yè)建立健全內部控制，合理保證企業(yè)目標的實現(xiàn)。但將內部控制審計界定為直接報告業(yè)務更為合理，原因有以下幾點：

首先，從審計成本看，無論是將內部控制審計界定為基于責任方認定的業(yè)務還是直接報告業(yè)務，均需要注冊會計師對被審計單位內部控制的有效性進行測試，而注冊會計師若要對被審計單位管理層的內部控制自我評價報告發(fā)表意見，還要測試自我評價報告與內部控制情況是否相符，審計成本大大增加。

其次，從預期使用者的角度看，無論是獲取內部控制自我評價報告還是內部控制審計報告，預期使用者的目的都是了解內部控制的有效性，進而對被審計單位的運營情況作出判斷。因此，直接對內部控制的有效性提供保證更符合預期使用者的需要。

最后，從注冊會計師的責任上看，管理層出具的內部控制自我評價報告是針對被審計單位所有的內部控制，而注冊會計師進行內部控制審計則側重于對于財務報告有關的內部控制發(fā)表意見。若要求注冊會計師對內部控制自我評價報告發(fā)表審計意見，則需要注冊會計師了解和測試所有的內部控制，從而大大增加了注冊會計師承擔的審計責任。

因此，將內部控制審計界定為直接報告業(yè)務是合適的，《企業(yè)內部控制審計指引》第二條中也明確指出“本指引所稱內部控制審計，是指會計師事務所接受委托，對截至特定日期企業(yè)內部控制的有效性進行審計，并發(fā)表審計意見。”很明顯，《企業(yè)內部控制審計指引》已經將內部控制審計界定為直接報告業(yè)務。

二、內部控制審計業(yè)務的范圍

美國COSO 委員會于1992年9月發(fā)布的《內部控制整合框架》（以下簡稱COSO 報告）已經成為美國普遍接受的內部控制規(guī)范，其他各國的內部控制規(guī)范也大都參考了COSO 報告中對內部控制的界定。COSO 報告指出，內部控制有三大目標，即財務報告目標、經營目標和合規(guī)性目標。為了實現(xiàn)內部控制目標，管理層制定的內部控制活動中有一部分并不直接與財務報告相關，例如人力資源控制、經營業(yè)績分析、組織結構控制等。注冊會計師在對內部控制進行審計時，是對內部控制整體發(fā)表意見，還是僅對與財務報告有關的內部控制發(fā)表意見呢？

我國《企業(yè)內部控制基本規(guī)范》中要求對企業(yè)內部控制的有效性進行審計，并沒有明確指出是內部控制整體還是僅針對與財務報告有關的內部控制?！渡虾ＷC券交易所上市公司內部控制指引》中要求會計師事務所對內部控制自我評估報告發(fā)表意見，管理層做出的內部控制自我評價是針對內部控制整體的評價，因此我們可以將該指引理解為要對內部控制整體進行審計。而在《內部控制審核指導意見》、《深圳證券交易所上市公司內部控制指引》以及《中小企業(yè)板上市公司內部審計工作指引》中則明確界定了審計對象是與財務報告相關的內部控制。

筆者認為，對內部控制整體進行審計和對與財務報告有關的內部控制審計各有利弊，可從以下幾個方面進行分析：

首先，從預期使用者的角度看，預期使用者通過獲取財務報表審計報告和內部控制鑒證報告來增強或降低其對財務報告的信賴程度，從而影響其做出的經濟決策。因此，預期使用者主要關注的是上市公司財務報告的可靠性，其對內部控制審計的訴求也主要針對與財務報告有關的內部控制。

其次，從管理層的角度看，管理層設計和實施內部控制，除了合理保證財務報告的可靠性之外，還有經營目標和合規(guī)性目標。因此，管理層更加希望注冊會計師對內部控制整體發(fā)表意見，這相當于對上市公司提供了高質量的管理咨詢。

最后，從審計成本和注冊會計師的責任上看，對內部控制整體進行審計審計成本大大增加，并且注冊會計師要合理保證內部控制整體運行的有效性，其承擔的法律責任也大大增加。

因此，我們認為將審計對象界定為與財務報告相關的內部控制是合理的，但同時也應當適當?shù)目紤]到與經營目標和合規(guī)性目標相關的內部控制?！镀髽I(yè)內部控制審計指引》第二條指出“本指引中內部控制審計的范圍，主要是企業(yè)為了合理保證財務報告及相關信息真實完整、資產安全而設計和執(zhí)行的內部控制。用以合理保證資產安全的內部控制，可能涉及合理保證經營效率和效果、經營管理合法合規(guī)的內部控制?！?/p>

三、內部控制審計業(yè)務的主體

內部控制審計業(yè)務和財務報表審計業(yè)務是否可以由同一家會計師事務所來承接呢？

《內部控制審核指導意見》、《上海證券交易所上市公司內部控制指引》、《深圳證券交易所上市公司內部控制指引》、《中小企業(yè)板上市公司內部審計工作指引》均沒有明確說明內部控制審計應單獨作為一項審計業(yè)務與財務報表審計分開承接?！镀髽I(yè)內部控制基本規(guī)范》也僅要求“為企業(yè)內部控制提供咨詢的會計師事務所，不得同時為同一企業(yè)提供內部控制審計服務?！?/p>

有學者認為，兩種審計業(yè)務的目標不同、審計對象不同、發(fā)表審計意見的方式不同，將兩種業(yè)務整合在一起，難以保證審計質量，也無益于審計效率的提高。并且，一個會計師事務所同時承接這兩項審計業(yè)務會提高服務費用，增加事務所對某一客戶的依賴程度，從而影響注冊會計師的獨立性，因此應將內部控制審計作為單獨一項業(yè)務由其他事務所承接。

筆者認為，了解被審計單位的內部控制并對其進行控制測試本身就是財務報表審計過程中很重要的一項工作，同時這也是內部控制審計的核心工作。注冊會計師在對內部控制進行審計的過程中重點關注的是與財務報告相關的內部控制，如果沒有審計財務報表，就無法對與財務報告相關的內部控制有效性發(fā)表意見。因此，把兩種審計業(yè)務整合起來，有利于注冊會計師對被審計的單位的內部控制進行全面的了解和測試，從而降低審計成本，提高審計質量。《企業(yè)內部控制審計指引》第六條中也規(guī)定了“注冊會計師應當將內部控制審計與財務報表審計整合進行。”

我國內部控制審計制度起步較晚，很多問題依然存在爭議，實施過程中也存在一些問題。只有立足國情，借鑒國際慣例，不斷探索，才能做出恰當?shù)倪x擇。

［1］闞京華.我國內部控制發(fā)展的制度性缺陷與完善［J］.審計與經濟研究，2006.3.

［2］李明，張艷.上市公司內部控制審計若干問題之討論——兼論我國內部控制鑒證指引的制定［J］.審計與經濟研究，2010.2.

［3］劉明輝.內部控制鑒證：爭論與選擇.會計研究［J］.會計研究，2010.9.