中国内部审计2001.10

内部控制与内部审计

丁欣

一、内部控制的内涵

根据国际内部审计师协会的定义，“内部控制是一个要靠组织的董事会成员、管理层和其他员工去实现的过程，实现这一过程是为了合理地保证：经营的效果性和效率性、财务报告的可信性、对有关法律和规章制度的遵循性。”金融机构内部控制，是金融机构管理层为了保证经营目标的全面实现而制定并组织实施的、对内部部门和人员从事的业务活动进行风险控制、制度管理和相互制约的制度、措施、程序和方法。金融企业的内部控制制度，是指金融企业内部的风险控制制度，即金融企业对经营活动中可能出现的各种风险进行预防和控制的管理制度。

根据内部控制的表现形态，内部控制实际上分为硬控制和软控制两大类。

硬控制是指那些关于职责分离、权力制衡等有形的政策、标准、程序和设施。随着内部控制理论在组织管理中的应用，我们发现即使是在一个硬控制系统十分健全的组织中，仍可能会出现某种问题或欺诈行为。例如，当工作人员不能胜任其工作时，就可能造成失误；再如，当工作人员不够诚信时，可能会合谋，发生道德风险；还有，管理人员可能利用他们的特权凌驾于内部控制系统之上。

软控制是指那些与有效的沟通、道德规范、管理哲学、激励机制、员工素质等有关的趋向与无形的因素。软控制在一定程度上弥补了上述硬控制的局限性。近年发展起来的内部审计理论愈来愈认识到这些软控制因素在组织成功实现目标中的作用，并不同程度地将这种无形因素纳入内部控制的构成要素，如COSO模型中提到的控制环境，COCO模型中更多地强调的组织文化、共同的目标、决策方式、报酬结构、事后的检讨等理念。

二、内部审计及其在内部控制中的地位

从控制体系的层次看，内部审计是内部控制的组成部分。对一个组织的控制有三个层次，第一个层次是指具体的操作层次的内部控制，又分为两级控制：第一级指建立在具体操作人员水平的内部控制，防止操作风险的发生；第二级是指建立在管理人员水平的内部控制，旨在对操作人员形成监督，保证第一级内部控制的有效性。第二个层次的控制是指独立于具体操作和管理之外的内部审计，仍然是内部控制的范畴。一个组织中的内部审计部门直接向独立的审计委员会、董事会或最高决策人负责，对具体的操作和管理部门内部控制的充分性和潜在的风险进行评价，并提出审计建议，旨在降低第一个层次内部控制无效产生的风险，从整体上保证组织目标的实现。第三层控制即外部的监督和审计。对于一个组织来说，这是外部控制范畴，外部监督和审计往往通过立法和检查评价活动，促进一个组织加强内部控制。事实上，从更高一级系统看，外部监督和审计（如政府监管、国家审计等）也是包括众多组织的一个经济整体内部控制构成部分。内部审计在控制体系中的定位见下图：

三、加强内部审计，促进内部控制

随着我国加入WTO组织，金融业的竞争加剧，使得这一领域潜在的风险远远高于传统行业。目前我国金融业内部控制制度基本建立，对高风险的业务部门、工作岗位和操作环节规定了业务操作规程、实行了授权授信制度等，但还不完善，主要表现为内控制度执行弱化，实质是款控制不充分。在这种情况下，应充分加强内部审计，促进内部控制，因为：

l、内部审计部门是一个组织内部控制层次的重要组成部分，分析、评价组织中各部门内部控制的充分性。内部审计本身的完善与否直接体现一个组织内部控制是否健全。美国公司理事协会委员会发表的一份报告，详细陈述了改进审计委员会的独立性、业务水平以及它们工作效果的建议，提出“组织应该有一个强有力的、独立的审计委员会”，在“保证适当发现和管理风险方面起关键性作用”。目前，我国内部审计部门在组织中的定位需要进一步规范，以增强独立性，直接向独立的审计委员会、董事会和最高决策者负责。

2．内部审计以风险为导向，通过调查、研究、分析和审计，将识别到的风险进行量化，对一个组织的内部控制充分性进行评价。风险评价体系包括调查的方法、资料整理的方法、风险量化的方法、降低风险的建议。

3．随着金融领域的进一步开放，我们将会看到内部控制在公司治理中的地位越来越重要。一方面金融机构会进一步重视内部控制在防范风险方面的作用，另一方面金融业务的不断创新也内部控制的有效性提出挑战。如网络银行业务的发展，减少了众多中间环节，拓宽了个人的职责范围。内部审计人员除了要掌握现代计算机审计技术外，还肩负着推进组织软控制的重任，以满足现代管理的需求。必须认识到，内部控制是一个动态的管理系统，根据环境的变化和风险点的转移需要对具体的控制手段进行删减和更新。内部审计要及时掌握这种变化，通过识别潜在的风险来评价组织的硬控制和软控制是否充分，发挥“风险顾问”的作用，以增进管理效率。

（作者单位：中国人民银行内审司）