目前，世界經(jīng)濟(jì)已度過了國際金融危機(jī)爆發(fā)以來最困難的時期并逐步復(fù)蘇，全球經(jīng)濟(jì)逐步渡過金融危機(jī)的恐慌而進(jìn)入“后危機(jī)時代”。在后危機(jī)時代，世界將掀起新一輪的科技革命、產(chǎn)業(yè)革命，形成新能源、綠色經(jīng)濟(jì)等一系列競爭浪潮。后危機(jī)時代給中國企業(yè)提供了一個難得的發(fā)展機(jī)遇，中國企業(yè)應(yīng)克服障礙，積極應(yīng)對后危機(jī)時代的挑戰(zhàn)。
　　加強(qiáng)企業(yè)內(nèi)部控制和強(qiáng)化風(fēng)險管理已逐步被企業(yè)所認(rèn)可，尤其是經(jīng)歷此次金融危機(jī)后，無論是國內(nèi)的企業(yè)，還是國際上的知名大企業(yè)，加強(qiáng)企業(yè)內(nèi)部控制和強(qiáng)化風(fēng)險管理已成為逐步完善公司治理的一項重要內(nèi)容。
　　美國2002年頒布《薩班斯——奧克斯利法案》(Sarbanes-Oxley Act)，其中的404條款要求首席執(zhí)行官和首席財務(wù)官對主體財務(wù)呈報內(nèi)部控制的有效性進(jìn)行評價和報告。紐約證券交易所則要求所有的上市公司在2004年10月31日前，必須由內(nèi)部審計部門向管理當(dāng)局和審計委員會提供有關(guān)風(fēng)險管理程序和內(nèi)部控制系統(tǒng)的評估。我國于2006年6月5日出臺了《上海證券交易所上市公司內(nèi)部控制指引》，同年9月28日出臺了《深圳證券交易所上市公司內(nèi)部控制指引》，兩個指引的語言表述雖然略有不同但是都規(guī)定上市公司應(yīng)設(shè)立專門負(fù)責(zé)監(jiān)督檢查的內(nèi)部審計部門并直接對董事會負(fù)責(zé)，內(nèi)部審計部門定期檢查公司內(nèi)部控制缺陷，評估其執(zhí)行的效果和效率，并及時提出改進(jìn)建議。鑒于此，內(nèi)部控制的評估在公司治理中愈發(fā)重要，掌握和運用科學(xué)的內(nèi)部控制評估的方法至關(guān)重要。
　　
　　一、企業(yè)風(fēng)險管理框架對內(nèi)部控制自我評估的推動
　　傳統(tǒng)對內(nèi)部控制的測試與評價所遵循的邏輯順序是“控制—風(fēng)險—評價控制目的是否實現(xiàn)”，更多的是一種事后的反饋，在確認(rèn)內(nèi)部控制薄弱環(huán)節(jié)之后，提供信息以幫助管理層增強(qiáng)和完善內(nèi)部控制，這種事后的評價是“亡羊補(bǔ)牢”，而不是“未雨綢繆”，傳統(tǒng)的內(nèi)部控制評估方法難以滿足現(xiàn)代管理的需要。
　　2004年10月COSO正式出臺《企業(yè)風(fēng)險管理——整合框架》(Enterprise Risk Management Integrated Framework，簡稱ERM框架)。ERM框架把更多的注意力放到了企業(yè)風(fēng)險管理這一更加寬泛的領(lǐng)域。ERM是對內(nèi)部控制的擴(kuò)展，是包含四個目標(biāo)、八個要素和四個層次的整合框架，完全體現(xiàn)了管理者以企業(yè)風(fēng)險管理為己任的理念。首先，ERM在目標(biāo)方面增加了戰(zhàn)略目標(biāo)，將對企業(yè)的風(fēng)險關(guān)注重點引向了重大的、根本性的戰(zhàn)略問題；其次，在內(nèi)部控制框架五要素的基礎(chǔ)上增加了目標(biāo)設(shè)定、事件識別和風(fēng)險評估三個要素，與原來的風(fēng)險評估要素一起構(gòu)成了一個完整的風(fēng)險管理的基本過程；最后，ERM強(qiáng)調(diào)將企業(yè)風(fēng)險管理覆蓋所有層次，包括業(yè)務(wù)單元、子公司、分支機(jī)構(gòu)和公司的整體層次，而業(yè)務(wù)單元、子公司、分支機(jī)構(gòu)和公司的整體層次正是公司治理和內(nèi)部控制涉及的全部領(lǐng)域。
　　在ERM的推動下，公司治理領(lǐng)域和包括內(nèi)部控制環(huán)節(jié)的風(fēng)險在內(nèi)的所有風(fēng)險成為內(nèi)部控制自我評估關(guān)注的對象。由于企業(yè)風(fēng)險管理是一個多向的、相互作用的過程，幾乎其中每一要素均能并且確實會影響其他要素。所以，要求內(nèi)部控制自我評估要樹立全局的觀念，從戰(zhàn)略層次至上而下地評估企業(yè)的固有風(fēng)險和剩余風(fēng)險。
　　在ERM框架中，現(xiàn)代內(nèi)部控制的測試與評價應(yīng)遵循的邏輯順序是“目標(biāo)——風(fēng)險——控制”，內(nèi)部控制自我評估緊密聯(lián)系企業(yè)的戰(zhàn)略目標(biāo)，更能體現(xiàn)其增值功能，有利于促進(jìn)組織目標(biāo)的實現(xiàn)。
　　
　　二、以風(fēng)險為導(dǎo)向的內(nèi)部控制自我評估
　　內(nèi)部控制自我評估(Control Self—Assessment，簡稱CSA)，是在內(nèi)部審計機(jī)構(gòu)的推動下公司不定期或定期地對自己及所屬子公司的內(nèi)部控制系統(tǒng)進(jìn)行評價，評價內(nèi)部控制的有效性及其實施的效率效果，以期能更好地實現(xiàn)內(nèi)部控制的目標(biāo)。
　　CSA強(qiáng)調(diào)內(nèi)部控制系統(tǒng)既不是內(nèi)部審計工作的責(zé)任，也不僅僅是高級管理層應(yīng)關(guān)心的問題，相反，應(yīng)該把它看成是所有雇員共同的責(zé)任。控制自我評估體現(xiàn)了應(yīng)該最先詢問那些參與了風(fēng)險評估過程以及執(zhí)行了整個控制過程的人，它所包含的不斷改善的理念與現(xiàn)代的全面質(zhì)量管理概念非常匹配，與整體協(xié)作的概念及群體學(xué)習(xí)的模式也有相通之處，因而在今天的商業(yè)社會中存在著巨大的潛能。
　　1.內(nèi)部控制自我評估的結(jié)構(gòu)
　　完整的內(nèi)部控制自我評估結(jié)構(gòu)包括以下幾個方面：
　　(1)管理者的支持。內(nèi)部控制自我評價開始于內(nèi)部審計部門和其他管理部門間良好的合作關(guān)系和相互的理解。內(nèi)部審計人員應(yīng)清楚地理解單位的文化、政治和環(huán)境，這些知識將有助于確立最適當(dāng)?shù)脑u價框架。管理者還要根據(jù)需要建立工作小組并了解小組及其成員。
　　(2)研討會。召開研討會有助于對選題進(jìn)行交流和探討。研討會的基調(diào)是雙向發(fā)現(xiàn)問題和共同分享信息。參加研討會的對象應(yīng)盡可能多，與討論的業(yè)務(wù)流程相關(guān)的人員，特別是風(fēng)險薄弱環(huán)節(jié)的工作人員必須到場參加討論。現(xiàn)場討論應(yīng)做到人盡其言，所有的觀點都應(yīng)記錄在案。
　　(3)自我評估報告。報告主要有三個部分：本次評價的內(nèi)部控制范圍和評價過程中的特殊情況；內(nèi)部控制各個環(huán)節(jié)的風(fēng)險程度，可用熱力圖來表示(風(fēng)險最高的是紅色，較高的是黃色，其次是深綠色，再次是淺藍(lán)色，風(fēng)險最低的為白色)；對標(biāo)紅色和黃色的高風(fēng)險環(huán)節(jié)進(jìn)行具體稱述，說明其狀況、影響，并提出改進(jìn)方案和方案的完成時間、責(zé)任人。如果對該高風(fēng)險管理層決定不采取措施，而是承受這一風(fēng)險，應(yīng)有管理層的書面承諾。
　　(4)行動計劃。行動計劃是實施內(nèi)部控制自我評價的必然結(jié)果。內(nèi)部控制自我評價幫助被評價單位建立一個大家共同認(rèn)同的目標(biāo)，所有的問題雖不會立即解決，但能有效地控制風(fēng)險，使被審計單位向預(yù)定目標(biāo)前進(jìn)。在制訂行動計劃時應(yīng)特別關(guān)注控制點和相應(yīng)的控制措施。不同的控制點，有著不同的業(yè)務(wù)內(nèi)容和控制目標(biāo)，因此需要采取不同的控制措施，才能預(yù)防和發(fā)現(xiàn)各種錯誤與舞弊。不同行業(yè)、公司為實現(xiàn)控制目標(biāo)所采取的控制措施也可能相去甚遠(yuǎn)，不能窮盡。需要審計師根據(jù)具體情況，運用職業(yè)判斷能力進(jìn)行確認(rèn)。
　　2.控制自我評估(CSA)的方式
　　CSA方法上有高度行為化模式的(如對流程、控制模型分析)，也有很機(jī)械化的(如調(diào)查問卷)，通常采用比較多的是引導(dǎo)會議法(Facilitate Meeting，有的也稱呼為工作坊法)。
　　引導(dǎo)會議法是聚集有關(guān)的人員在具有經(jīng)驗的引導(dǎo)師(Facilitator，通常由對內(nèi)部控制有一定認(rèn)識的人擔(dān)任，可以是審計人員、管理者或員工)的引導(dǎo)下，對內(nèi)部控制、風(fēng)險等進(jìn)行評價并提出改進(jìn)意見。引導(dǎo)師的角色是引導(dǎo)組織的人員圍繞工作目標(biāo)、內(nèi)部控制和風(fēng)險等問題作出討論，引導(dǎo)師并不參與討論或?qū)τ懻摰木唧w內(nèi)容表示肯定或否定態(tài)度。引導(dǎo)師只為參與者提供內(nèi)部控制、風(fēng)險管理等概念，確定CSA的討論方法，確保參與者均能自由地發(fā)表意見。
　　引導(dǎo)會議法不同于一般的會議，它本身不進(jìn)行任何決策，只提供評價及改進(jìn)意見。引導(dǎo)會議法應(yīng)采取以風(fēng)險為基礎(chǔ)的形式，這種形式檢查控制活動以確保檢查關(guān)鍵的經(jīng)營風(fēng)險。這種形式更易于甄別主要剩余風(fēng)險以便采取糾正行動，這種形式可能帶來更全面的自我評價。
　　大多數(shù)情況下，研討會由內(nèi)部審計人員或高層管理者充當(dāng)引導(dǎo)者，主持召開一系列的研討會來完成的。通常包括計劃、預(yù)備工作、單獨的研討會、系列的聯(lián)席會議、報告和行為方案的實施等一系列過程。內(nèi)部審計人員通過引導(dǎo)管理人員及員工參與CSA，可以將現(xiàn)代內(nèi)部控制的基本框架理念最佳實務(wù)等內(nèi)容傳授給所有人員，從而使其更好地履行職責(zé)。
　　
　　三、企業(yè)實施內(nèi)部控制評估成功的要點
　　1.保證控制自我評估參與人員的素質(zhì)。CSA小組成員的素質(zhì)高低對項目的成功推廣很關(guān)鍵。他們具體負(fù)責(zé)項目的推進(jìn)，應(yīng)具備必要的任職條件。成員應(yīng)擁有豐富的審計經(jīng)驗和扎實的財務(wù)知識，有發(fā)現(xiàn)問題、分析問題的能力；應(yīng)具備一定的管理知識，對該項目有認(rèn)同感；應(yīng)對業(yè)務(wù)有深入的了解，能帶領(lǐng)同伴提出建設(shè)性的改進(jìn)建議。應(yīng)對評價小組成員組織有針對性的培訓(xùn)，并對小組成員的工作進(jìn)行調(diào)整以保證他們有能力和精力完成評價工作。
　　2.必須創(chuàng)造一個毫無偏見的研討會環(huán)境。研討會是內(nèi)部控制自我評估項目中最主要、最具特色的一種開展方式，集中體現(xiàn)了CSA的核心理念，其也是一個發(fā)現(xiàn)問題、分析問題、解決問題和共同分享信息的雙向溝通過程。管理者必須樹立正確的內(nèi)部控制意識。內(nèi)部控制自我評估的順利進(jìn)行必須有管理當(dāng)局的大力支持，否則無法有效地調(diào)動全員積極性。
　　3.其次，發(fā)揮內(nèi)審人員作用，形成內(nèi)控評價合力。在我國現(xiàn)階段，內(nèi)部審計是內(nèi)部控制自我評估的重要推動者之一，通過內(nèi)部控制自我評估，使內(nèi)部審計人員不再僅僅是“獨立的問題發(fā)現(xiàn)者，而成為推動公司改革的使者”，將以前消極的以“發(fā)現(xiàn)和評價”為主要內(nèi)容的內(nèi)部審計活動向積極“防范和解決方案”的內(nèi)部審計活動轉(zhuǎn)變，從事后發(fā)現(xiàn)內(nèi)部控制薄弱環(huán)節(jié)轉(zhuǎn)向事前防范；從單純強(qiáng)調(diào)內(nèi)部控制轉(zhuǎn)向積極關(guān)注利用各種方法來改善公司的經(jīng)營業(yè)績。內(nèi)部審計人員廣泛接觸各部門人員，和各管理部門建立經(jīng)營伙伴關(guān)系，有利于共同采取措施，從整體上防范企業(yè)的經(jīng)營風(fēng)險。
　　(東北財經(jīng)大學(xué)津橋商學(xué)院；佳木斯大學(xué)經(jīng)濟(jì)管理學(xué)院)