美国COSO内控框架(2013)的六大变化

美国COSO内控框架（2013）的六大变化

2011年12月，美国科索委员会（COSO）发布了新版内控框架的征求意见稿，面向全球公开征求意见。2013年5月，COSO正式发布新内控框架。

新COSO内控框架的主要变化

新COSO内控框架共包括4部分内容：一是内容摘要，对新框架进行高度总结，包括内部控制的定义、目标、原则、内部控制的有效性和局限性等，使用对象为首席执行官和其他高级管理层、董事会成员和监管者。二是框架内容和附录，包括内部控制的组成部分及相关的原则和关注点，并为各级管理层在设计、实施内部控制和评估其有效性方面提供了指导。三是评估内部控制系统有效性的解释性工具，为管理层在应用框架特别是评估有效性方面提供了模板和行动方案。四是外部财务报告内部控制：方案和示例摘要，在准备外部财务报告过程中为应用框架中的要素和原则提供了实际的方案和示例。

新COSO内控框架在内部控制的定义、内部控制五要素、评估内控体系有效性的标准等方面与旧框架保持了一致。与旧框架相比，新框架的变化主要表现在以下几个方面：细化了内控框架的结构内容。新框架最显著的变化是在旧框架的基础上，提炼出内部控制五要素的17项总体原则。五项基本要素和17项总体原则组合起来就构成了内部控制的标准，适用于所有的组织。每一项总体原则又由代表其重要特征的多个关注点所支持。这些关注点旨在为管理层提供具体的指引，协助其设计、实施和执行内控，以及评估相关原则是否存在和发挥效用。每个关注点都与17个原则中的某个原则相对应，而每一项原则也都与五要素中的某个要素相对应。

扩大了报告目标的范畴。新内控框架在报告对象和报告内容两个维度上对报告目标进行了扩展。在报告对象上，既要面向外部投资者、债权人和监管部门，确保报告符合有关监管要求；又要面向董事会和经理层，满足企业经营管理决策的需要。

在报告内容上，除了包括传统的财务报告，还涵盖了市场调查报告、资产使用报告、人力资源分析报告、内控评价报告、可持续发展报告等非财务报告。归纳起来，新COSO内控框架共有四类报告目标：内部财务报告、内部非财务报告、外部财务报告以及外部非财务报告。新框架对报告目标的扩展与我国内控规范体系中对报告范畴的有关规定基本相同。

强调管理层判断的使用。新COSO框架对五要素的分解不是按照子要素来进行的，而是作为“原则”来呈现的，即强调“基于原则”的内控实施和管理层判断的使用。新框架并未要求对17项原则及其关注点进行单独评估以确定其是否存在或有效。管理层可以自由判断新框架所提供关注点的合适度或相关度，然后根据企业的具体情况，来选择和考虑与某一特定原则密切相关的关注点。可以说，在这一点上，COSO新框架吸取了《萨班斯法案》通过以后旧框架实施成本高的教训，使内控实施更加灵活，同时节省了实施成本。

强化公司治理的理念。新框架包括了更多公司治理中有关董事会及其下属专门委员会的内容，强调董事会的监督对内部控制有效性的重要作用。这与我国《企业内部控制基本规范》及《组织架构》应用指引中有关公司治理的规定相一致。

增加了反舞弊与反腐败的内容。与旧框架相比，新框架包含了更多关于舞弊与欺诈的内容，并且把管理层评估舞弊风险作为内部控制的17项总体原则之一，重点加以阐述。这与我国内部控制规范体系在反腐败工作中的重要作用不谋而合。

充分考虑了不同商业模式和组织结构的内部控制。随着经济全球化的发展、技术的不断进步和人才竞争的加剧，近年来企业的商业模式和组织结构发生了巨大变化，企业在运营过程中更多地使用第三方提供的产品或服务，管理层更加关注包括供应商和客户在内的价值链管理。

为此，新框架专门分析了不同商业模式和组织结构下内部控制的有效性问题。

总之，新框架并没有改变旧框架关于内部控制的基本概念和核心内容，而是对旧框架的某些概念和指引进行更新和改进，以期反映近年来企业经营环境的演变、监管机构的要求和其他利益相关者的期望。

新COSO内控框架的应用前景广阔

COSO将于2014年12月15日用新内控框架替代1992年版的内控框架。COSO认为，旧框架中的重要概念和原则是基本合理的，并且被市场广泛接受，因此，在过渡期内应该允许旧框架正常使用。但是，在过渡期间，企业在为外部报告目标而运用COSO内控框架时，需要明确披露其使用的是1992年版本还是2013年版本。COSO鼓励企业在可行的情况下，尽快将内部控制程序及相关文件转换成2013年版的新框架。为此，COSO还在其网站上公布了一个新旧框架转换实施方案，供使用者参考。

COSO新框架的发布，将会引起内控评价和内控审计的一系列问题，包括内控评价和审计程序的设计、标准的制定、报告和监督的执行等方面的改变。到目前为止，SEC和PCAOB还没有就是否采用、何时采用、如何采用COSO新框架表态。但是，由于旧框架的重要概念和基本原则已获得市场广泛认可且未做本质性改变，对于那些已经历了多年《萨班斯法案》404条款合规工作的在美上市公司来讲，可以花费较低的转换成本，将企业内控体系从旧框架下转换到新框架下。对于众多参考COSO旧框架制定的世界各国内控标准体系来讲，新框架同样具有参考价值和借鉴意义。

加拿大企业内控框架如何走向衰落？

由于美国职业会计团体在国际上的权威地位，西方其他国家职业会计师团体一直紧跟其后。因此，1992年美国COSO框架诞生后，迅速被奉为经典。借鉴美国模式，1992年加拿大特许会计师协会（CICA）成立了控制基准委员会（下称“COCO”）。

该委员会的使命是制定发布加拿大内控系统设计、评估和报告的标准。

1995年10月，COCO借鉴1992年版的美国COSO内控框架，正式发布了内控的框架性文件———《控制指南》。随后，COCO又陆续发布了《评估控制指南》等一系列指导性文件，为COCO内控框架的应用提供了具体详尽的操作规范。这些文件共同构成了包含内控系统设计、评估和报告等环节在内的、较为完整系统的加拿大内控框架体系。

极具特色的内控框架体系

COCO内控框架在一定程度上借鉴了美国COSO内控框架，同时也提出了有别于COSO内控框架的先进观点，主要表现在：扩展了内控的概念。从定义来看，COCO将“内控”的概念扩展到“控制”，定义为“一个企业中的要素集合体，包括资源、系统、过程、文化、结构和任务等，这些要素结合在一起，支持达成该企业的目标”，从系统论的角度来研究与控制有关的企业外部环境，淡化企业内部与外部的界限。

基于公司治理和管理活动的内控观。随着内控概念的拓展和内控实务的复杂化，内控与管理活动之间的界限变得越来越模糊，内控逐渐往管理方向靠拢。COCO框架采用基于公司治理和管理活动的内控观，有别于美国COSO框架采用的基于独立审计的内控观，在内容和措辞方面更加简洁、更多地使用管理术语，易于企业管理人员理解和使用。

要素加具体标准的内控架构。COCO内控框架认为在任何一个企业中，控制均包括目标、承诺、能力、监控和学习4个最基本的要素。在内控四要素下，COCO还设计了20条具体的内控标准来充实框架。内控标准是内控理论与实务的桥梁，既丰富了COCO内控框架的内容，也为内控实务使用COCO内控框架提供了具体指导。

全面评估、兼顾未来的内部控制评估方法。COCO的《评估控制指南》描述了形成一份评估报告的10个步骤，其评估的重点是关于目标的信息和相关风险的管理。

COCO对内部控制的评估不仅是对过去的评价，更着眼于企业的未来。例如评估未来持续成功的机会和风险；审查与未来业绩表现、机遇和风险相关的信息等。

重视发挥人的作用。COCO框架重视内部控制参与者，即人的作用。COCO框架中的4个最基本的要素均与人紧密相关。

COCO内控框架逐渐走向衰退

2002年，美国《萨班斯法案》出台后，加拿大证监会（CSA）也着手研究制定加拿大上市公司实施内控的有关政策措施。其中，2008年发布的“年度报告的声明”类似于美国《萨班斯法案》第404条款。相对于《萨班斯法案》的严厉实施要求，加拿大采取较为宽松的内控实施政策，即加拿大上市公司只需在年报中披露其与内控相关的信息，而不要求聘请注册会计师对财务报告相关内控和披露控制与程序的有效性进行审计。

加拿大证监会认可的、可供加拿大上市公司使用的内控框架共有3个：美国COSO内控框架、英国公司治理准则和加拿大CO鄄CO内控框架。尽管COCO内控框架具有简洁易懂、实施成本低等优点，但是近年来其应用情况不容乐观。目前，大多数加拿大上市公司采用美国COSO内控框架；少数上市公司采用英国公司治理准则；仅有10家左右的上市公司采用加拿大COCO内控框架。

正如加拿大COCO委员会前任主席迈克尔·冈恩斯所言，由于美国COSO内控框架在全球内部控制领域的领先地位，加上COCO内控框架实践指导性不强，且没有强制内控审计的