作者：夏鹏 | 北京大华融智管理咨询有限公司
来源：《财务与会计》2022年第14期
自2006年国务院国资委发布《中央企业全面风险管理指引》，2008年财政部等五部委联合发布《企业内部控制基本规范》及2010年发布《企业内部控制应用指引》等相关配套指引以来，企业内部控制建设已成为企业防范经营风险、提升管理水平的重要抓手，各企业尤其是国有企业和上市公司内部控制体系的建立和完善，使得企业内部控制实现了从无到有、从有到优的跨越和发展。国务院国资委于2019年印发《关于加强中央企业内部控制体系建设与监督工作的实施意见》、2020年印发《关于做好2021年中央企业内部控制体系建设与监督工作有关事项的通知》后，国有企业开始了风险管理体系、内部控制体系、合规管理体系“三合一”建设工作，企业内部控制体系建设向着“一体化”方向纵深发展，为企业实现高质量发展进一步夯实了管理基础。
内部控制评价在企业内部控制体系建设和运行过程中发挥着十分重要的作用，通过对企业内部控制体系建设和运行过程进行追踪反馈，检验内部控制体系建设和实施成果，发现内部控制体系存在的设计和运行缺陷，分析造成缺陷的原因，推动缺陷整改，促进内部控制体系不断优化和持续有效。内部控制评价作为国有企业一项例行性工作，每年集团下级企业都要向集团总部、集团总部要向国资委报送内部控制评价报告，上市公司还要公开披露内部控制评价报告和内部控制审计报告，但在企业内部控制评价过程中，还存在一些影响内部控制评价质量和效果的问题，需要加以研究解决。

一、企业内部控制评价的依据

企业内部控制评价的依据主要包括《企业内部控制基本规范》《企业内部控制应用指引》《企业内部控制评价指引》（以下简称《指引》），以及上级主管部门、企业的内部控制管理相关制度，企业内部控制管理手册和企业内部控制流程文档。其中，《指引》是指导企业进行内部控制评价工作的主要纲领性文件。
根据《指引》，企业内部控制评价“是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程”。内部控制的有效性分为设计有效性和运行有效性。设计有效性是指“为实现控制目标所必需的内部控制程序都存在并且设计恰当”，通俗地说，就是做到“应有尽有”“有即恰当”；运行有效性是指“在内部控制设计有效的前提下，内部控制能够按照设计的内部控制程序正确地执行”，通俗地说，就是做到“有规必依”“依则合辙”。
内部控制评价的目的是对企业内部控制的有效性进行评价，从而达到以评促改、以评促用的效果。以评促改是指通过内部控制评价，发现内部控制在设计方面存在的缺陷，促进企业内部控制体系不断完善；以评促用是指通过内部控制评价，发现内部控制在运行方面存在的缺陷，促进各部门严格执行内部控制，不断提高企业经营管理水平和风险防范能力。
内部控制评价的核心在于对内部控制缺陷的认定。《指引》按照内部控制缺陷成因或来源，将内部控制缺陷分为设计缺陷和运行缺陷。设计缺陷是指因缺少为实现控制目标所必须的控制，或者现有控制设计不当而产生的缺陷。因为该缺陷的存在，即使内部控制体系正常运行，也难以实现控制目标。运行缺陷是指设计合理且适当的内部控制由于运行不当而产生的缺陷，包括未按设计的方式或意图运行、运行的时间或频率不当、没有得到一贯有效运行、由不恰当的人员执行、执行人员缺乏必要授权等。由于该缺陷的存在，致使内部控制体系运行之后，也不能有效地实现控制目标。
内部控制缺陷在层级上可分为重大缺陷、重要缺陷和一般缺陷。重大缺陷是指“一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标”；重要缺陷是指“一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标”；一般缺陷是指“除重大缺陷、重要缺陷之外的其他缺陷”。
企业内部控制评价的成品是内部控制评价报告。在内部控制评价报告中，除了描述内部控制评价的依据、范围、程序和方法，内部控制缺陷认定情况及整改措施外，还要形成内部控制是否有效的结论。如果企业内部控制不存在重大缺陷，就认定企业内部控制有效；否则就认定企业内部控制无效。
对于上市公司来说，除了上述依据外，还应按照《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》（以下简称《规则》）开展内部控制评价工作。《规则》按照影响内部控制目标的具体表现形式，将内部控制缺陷分为财务报告内部控制缺陷和非财务报告内部控制缺陷。财务报告内部控制缺陷是指不能合理保证财务报告可靠性的内部控制缺陷；非财务报告内部控制缺陷是指虽不直接影响财务报告可靠性，但对除财务报告可靠性以外的其他内部控制目标产生不利影响的内部控制缺陷。《规则》还提供了年度内部控制评价披露参考格式，作为上市公司年度内部控制评价报告的统一编制模板。

二、企业内部控制评价体系存在的问题

（一）评价结果缺乏可比性
尽管缺陷认定标准中有定量的部分，但总体来说，目前企业内部控制评价仍是一种定性评价，只能得出企业内部控制有效或无效的结论，而不能比较同一企业不同时期或不同企业同一时期内部控制水平的高低。如不同时期内部控制评价结论同样都是有效的企业，其内部控制水平有无变化？同一时期内部控制评价结论同为有效的不同企业内部控制水平有无差别？目前的内部控制评价体系无法得出可比的结论，原因在于缺乏定量评价。
（二）缺陷认定标准缺乏一致性
《指引》未明确内部控制缺陷认定标准如何确定，由企业根据《企业内部控制基本规范》及其配套指引自行设计；《规则》将内部控制缺陷认定标准分为定量标准和定性标准。因此，对于定量标准，不同企业关于认定指标的选择和不同层级缺陷之间的数量边界都不一样；对于定性标准，不同企业在指标选择和表述方式上差异较大。表1归纳了不同上市公司财务报告内部控制缺陷认定的定量标准，在定量标准中既有比例标准，也有金额标准；在比例标准中，既有“营收的一定比例”“利润的一定比例”，也有“总资产的一定比例”“净资产的一定比例”等，或者几者兼而有之。可以看出，不同企业关于内部控制缺陷认定的定量标准各不相同，定性标准更是“五花八门”，由此造成同一事项在有的企业可能是重大缺陷，在有的企业可能只是重要缺陷或一般缺陷，影响了内部控制评价结果的科学性和公平性。
（三）评价程序缺乏规范性
《指引》第三章对于企业内部控制评价程序作了提纲挈领式的规定：“内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节”，并简要描述了评价工作方案的内容、评价工作组的职责、现场测试的方法；《指引》第四章阐述了内部控制缺陷的分类、分级，并提出了编制内部控制缺陷认定汇总表的要求；《指引》第五章提出：“内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露”。但上述规定仍缺乏对于内部控制评价程序全面、详细、系统的操作指引，很多方面需要企业自行完善、补充，造成实际工作中各企业操作不一。《规则》则基本上没有内部控制评价程序的相关内容。
（四）评价报告缺乏统一性
不同的企业，特别是上市公司和非上市公司，由于内部控制评价的依据有所不同，因而在内部控制评价报告的内容、要素和格式上也有所不同。
《指引》规定：“内部控制评价报告至少应该披露如下内容：1.董事会对内部控制报告真实性的声明；2.内部控制评价工作的总体情况；3.内部控制评价的依据；4.内部控制评价的范围；5.内部控制评价的程序和方法；6.内部控制缺陷及其认定情况；7.内部控制缺陷的整改情况及重大缺陷拟采取的整改措施；8.内部控制有效性的结论”。《规则》规定：“公司年度内部控制评价报告应包括如下要素：1.标题；2.收件人；3.引言段；4.重要声明；5.内部控制评价结论；6.内部控制评价工作情况；7.其他内部控制相关重大事项说明”。
两相对照，《规则》除了格式上更规范外，内容上比《指引》简单。除少数上市公司按照《指引》要求披露内部控制评价报告外，多数上市公司都是按照《规则》要求披露内部控制评价报告，有的上市公司图省事，只按照《规则》的最低要求披露，导致上市公司内部控制评价报告比较概括、笼统，反而不如非上市公司详尽和具体，不能全面反映公司内部控制建立和运行的实际情况和风险控制水平。非上市公司一般按照《指引》的分类，将内部控制缺陷分为设计缺陷和运行缺陷；上市公司一般按照《规则》的分类将内部控制缺陷分为财务报告内部控制缺陷和非财务报告内部控制缺陷，更有甚者，一些上市公司内部控制评价报告中仅有内部控制有效的结论，而缺少缺陷分析及整改情况这些重要内容，由此造成不同企业内部控制评价报告披露格式和内容不一。
（五）评价存在形式主义倾向
一些企业虽然成立了内部控制评价领导小组，但小组只是“挂名”，在内部控制评价过程中并未实质性地发挥组织、领导、协调作用，实际评价工作由审计部等主责部门“唱独角戏”，未形成联调联动机制。
另外，企业内部控制评价方式单一，大都是自评价，少有聘请第三方进行评价的。即使是上市公司，也都是以自评价报告为基础，内部控制审计更多地是对企业内部控制自评价的复核。长此以往，内部控制评价就会流于形式，其应有的功能和作用反而退居其次了。
（六）评价报告的应用不够
有的企业不重视对企业内部控制失效或发生缺陷的原因、性质和影响进行分析，也不重视缺陷的整改，更没有将内部控制评价结果与企业绩效考核和奖惩挂钩，不能正本清源、举一反三，也不能惩前毖后、治病救人，造成“年年整改年年犯，年年缺陷一个样”的情况，内部控制评价报告的有用性不能充分发挥。
企业内部控制评价体系如何完善，如何让评价结果更好地服务于企业财务与业务，促进企业长效发展？由于页面篇幅有限，具体内容可扫码进入小程序阅读~
夏鹏：关于完善企业内部控制评价体系的思考-财资数科