企业内部控制

一、内部控制与风险管理日益融合

学者们一般把内部控制的发展历程划分为五个不同的阶段：内部牵制（internal check）阶段、内部控制制度（internal control system）阶段、内部控制结构（internal control structure）阶段、内部控制整体框架（internal control integrated framework）阶段、风险管理整体框架（risk management integrated framework）阶段。

根据《柯氏会计辞典》（Kohler’s Dictionary for Accountant）的定义，内部牵制是指“以提供有效的组织和经营，并防止错误和其他非法业务发生的业务流程设计”。内部牵制的主要特点是以任何个人或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的责任分工，每项业务通过正常发挥其他个人或部门的功能进行交叉检查或交叉控制。在经历了1929—1933年“大危机”之后，美国于1934年颁布《证券交易法》（Securities Exchange Act of 1934），首次以法律的形式明确企业对建立和评价财务报告内部控制（internal control over financial reporting）的责任。

随着抽样审计的推广，注册会计师行业对发展内部控制起到了重要的推动作用。内部控制从早期较为简单的内部牵制逐渐演变为涉及组织结构、岗位职责、人员素质、业务处理程序和内部审计等比较严密的内部控制制度体系。美国注册会计师协会（American Institute of Certified Public Accountants，AICPA）于1958年10月发布的第29

Accountants，AICPA）于1958年10月发布的第29号审计程序公告（Statement of Auditing

Procedures，SAP）《独立审计人员评价内部控制的范围》（Scope of the Independent Auditor’s Review of Internal Control）[19]和1972年发布的第54号审计准则公告（SAS 54）《审计师对内部

控制的研究与评估》（The Auditor’s Study and

Evaluation of Internal Control）中，将内部控制划分为会计控制（accounting control）和管理控制（administrative control）两个部分。其中，会计控制是直接与资产保护和财务记录相关的控制，管理控制主要关注运营效率和执行管理政策。

内部控制发展到内部控制结构阶段的标志是

AICPA在1988年发布的第55号审计准则公告（SAS 55）《财务报表审计中对内部控制结构的考虑》（Consideration of the Internal Control Structure in a Financial Statement Audit）。SAS 55首次提出了“内部控制结构”的概念，指出内部控制结构包括三要素：控制环境（control environment）、会计系统（accounting system）和具体控制程序（specific control procedures）。

1985年，美国成立了“反虚假财务报告委员会”（National Commission on Fraudulent Financial Reporting，NCFR，即Treadway委员

会1

）。1992年，NCFR下属的“COSO委员

会”（Committee of Sponsoring Organizations of the Treadway Commission，COSO）发布报告《内部控制：整体框架》（Internal Control：Integrated Framework，IC框架），风险管理正式成为内部

Framework，IC框架），风险管理正式成为内部控制研究的核心要素。受其影响，AICPA于1996年发布第78号审计准则公告（SAS 78）《财务报表审计中对内部控制的考虑：对55号审计准则公告的修订》（Consideration of Internal Control in a Financial Statement Audit：An Amendment to SAS 55），全面接受了COSO报告的观点；英格兰和威尔士特许会计师协会（Institute of Chartered Accountant in England and Wales，ICAEW）下属的公司治理财务委员会（Cadbury委员会）于1994年11月发布的《内部控制和财务报告》（Internal Control and Financial Reporting，也称“Cadbury报告”）、ICAEW 下属的公司内部控制工作小组（Turnbull小组）于1999年9月发布的《内部控制——关于联合规则的董事指南》（Internal control：Guidance for Directors on the Combined Code，也称“Turnbull指南”）、加拿大特许会计师协会（CICA）下属的控制标准委员会（Criteria of Control Board，CoCo）于1995年11月发布的《控制指南》（Guidance on Control），都在很大

程度上借鉴了1992版COSO报告的研究成果2。

进入21世纪，尤其是在“安然事件”等财务欺诈案爆发后，内部控制研究的重点侧重于寻求企业内部管理需要与外部市场监管要求之间的均衡，财务报告内部控制再次成为评估的对象和关注的焦点。2004年9月，COSO委员会发布报告《企业风险管理：整体框架》（Enterprise Risk Management：Integrated Framework，ERM框架），标志着内部控制进入了“风险管理整体框