财务报告内部控制_一个悖论

管理层报告财务报告内部控制指 引
Байду номын сангаас
1934证券交易法
中规则 13a- 15 ( c) 和 15d- 15 ( c) 评价要求的途径
( SEC, 2007) 。
68
对资产的接触控制 , 以及内部审计; 管理控制是指主要涉及到经营效率和管理政策, 而与财务记录不直接 相关的组织计划, 以及各种方法和程序。这类控制一般包括统计分析 , 工时和动作研究, 绩效报告 , 员工 培训计划, 以及质量控制。 1963年 , A ICPA 在 审计程序公告第 33号 中又重申了这一定义。这是 I C FR (内部会计控制 ) 的第一个定义。从定义中可以看出, ICFR 并不单指 财务记录的可靠性 , 还包括 资产的保护 。应该说 , 自 I C FR 的概念产生之日起, 资产的保护 和 财务记录的可靠性 就紧密相 连 , 二者相互作用 , 须臾不可分开。其中的道理不难理解。没有资产的保护, 就不可能实现账、实核对 ; 没有资产的保护, 财务信息的可靠性也成了 无源之水、无本之木 。 这就出现了一个有趣的现象 : 为了实现财务报告目标的所谓 ICFR 之中, 竟然内在地包含了资产的保 护 , 它不仅与财务报告目标相关 , 而且更多地是经营层面控制目标的要求, 因为从广义上看, 企业所有的 经营管理活动, 都围绕资产的保值增值展开, 都涉及资产的保护。 如果这样来理解资产的保护 , 就不是 I C FR 所能涵盖 , 只有定位为内部控制才行。个中矛盾 A I C PA、 COSO、 SEC 和 PCAOB 自然心知肚明, 并为避免从广义上来理解资产保护做出了种种努力, 试图讲清如何 将资产保护中的财务报告目标与经营目标分开 , 但这些努力说服力不够。 1972年 , A ICPA 就指出, 对资产保护有三种理解。第一种是广义理解, 将企业管理决策过程全部涵 盖在内 ; 第二种是资产的保护仅仅指在业务处理和相关资产的处置过程中保护资产免受有意或无意错误导 致的损失; 第三种是资产保护仅指保护资产免遭因故意致错导致的损失。并进一步指出, 此前的定义中关 于资产保护部分应该按照第 2种解释来理解 ( A ICPA, 1973)。很显然 , 这一理解将管理决策过程排除在 资产保护之外。但是, 仅仅联系业务处理和相关资产的处置过程来谈资产保护有舍本逐末之嫌 , 因为无决 策 , 就无所谓业务处理和相关资产的处置。 为此, A I C PA 在 审计准则公告第 1 号 (下称 SAS N o . 1 ) 中, 开始联系业务处理流程, 基于管 理决策过程来定义会计控制。 A ICPA 首先将经济业务界定为 企业经营的基本要素和内部控制的主要对象 。并认为 业务处理和相 关资产管理的主要职能包括业务的授权、执行和记录, 以及对最终形成的资产承担受托经营责任 。这里, 交易的授权是指管理层在特定条件下为特定目的做出的关于交易、转让或使用资产的决策 ( A ICPA, 1973)。 在此基础上, A ICPA 先定义了管理控制, 认为 : 管理控制包括但不限于与导致管理层业务授权的决 策过程相关的组织计划、程序和记录。这一授权是一个与达成组织目标的责任直接相关的管理职能 , 并且 它是建立业务会计控制的起点。 进而提出: 会计控制包括与资产保护和财务记录的可靠性相关的组织 计划、程序和记录 , 旨在合理保证: a. 业务的执行按照管理层的一般和特殊授权 ; b . 对交易进行必要的 记录: 以 ( 1) 使财务报表的编制符合一般公认会计原则或任何其他适用于该报表的标准, ( 2) 保持资产 的受托经营责任; c . 接触资产只能按照管理层的授权; d . 按照适当的时间间隔 , 将资产的账存与实存核 对 , 并就出现的任何差异采取适当的行动。 ( A I C PA, 1973)。 基于这一定义 , A ICPA 在该公告的第 640 节 内部控制报告 中将资产的保护界定为 防止未经授 权地使用或处置资产 。 可以看出, A ICPA 认识到离开管理决策来谈会计控制和资产保护是不适当的, 因此, 它试图将管理 控制和会计控制结合起来。并有意改变了此前的定义先讲会计控制的做法, 改为先定义管理控制, 认为管 理控制就是与业务处理流程中的授权决策过程相关的控制, 并将其作为会计控制的起点。应该说, 这里我 们已经看到了会计控制和管理控制融合的趋势 , 是一个进步。但是 , 仅出于避免广义理解资产保护的考 虑 , 人为地将一个完整的业务处理流程分为两个部分, 导致了决策与执行和记录的脱节, 并没有完全克服 此前的定义离开管理决策过程谈资产保护的弊端。 1988年 , A ICPA 发布 审计准则公告第 55号 (下称 SAS N o . 55 ) 取代 SAS No. 1 中关于内部控 制的条款, 提出了 内部控制结构 的观点。该公告指出: 企业的内部控制结构是指为合理保证企业特
*
本文得到教育部人文社会科学规划项目 ( 08 J A 630030) 、审计署重点课题 I CFR 就是 内部会计控制 。分析如下 : 其一 , II ( A ) 3 SEC 在 款中明确表示 , 萨班斯法案 和 证券交易 法 我们的定义与
财政支出绩效审计评价标准及审计质量控制研究 ICFR , 证 券交易法 和 反海 外贿赂法 SEC 的相 关条款需 要修改。其 二, 中的指出 :
财务报告内部控制: 一个悖论
白 华 高 立
501632) ( 暨南大学管理学院
*
摘要
从历史发展 、 实践考察和理论逻 辑等三 个视角 来看 , 财务 报告内 部控制 面临着 两难困 境 。 从历 史发 展
看 , 围绕资产保护展开的一桩历 史公案表明 , 财务报告内部 控制无 法离开资 产保护 而单独 存在 。 但若 广义理 解 资产保护 , 就须定位为 内部控制 ; 而狭义理解资产保护 , 会 导致人 为割裂经 营活动 与财务 报告之 间的关 系 。 从 实践考察看 , 无论是横 向分离还是纵向分离 , 都无法从内部控制 系统中 分离出 一个所 谓的财 务报告内 部控制 系 统 。 从理论逻辑看 , 财务报告内 部控制是审计和监管当局 自我界 定责任 范围的 一个权 宜之计 。 总 之 , 财务报 告 内部控制研究 陷入了一个为不能独立存在的系统寻找独 立存在的 理由的尴尬 境地 。 因此 , 应该尽 早用 制 取代 财务报告内部控制 。 财务报告内部控制 资产保护 悖论 关键词 内部 控
资助。 用的是
用的是
内部会计控制 。法与法之间是不能冲突的 , 否则 , 中用的是 致性 足 I CFR , 在 ( SEC, 2003 ); 其三 ,
反海外 贿赂法 的 概要
最 终规则
证券交易法
13 ( b ) ( 2)
( B ) 中关于内 部会计控制的描 述具有一 遵照本解释指引实施 的评价是一种满
在 SEC 的建议下 , 国 证券交易法 审计准则公告第 1 号 中关于内部会计控制的定义 , 被写进 了 1977年的美国 反海外贿 赂法 ( FCPA ) , 美
的相关条款也相应地做出修改。因此 , 这三个文件关于内部会计控制的定义是一致的。
69
定目标的实现而建立的各种政策和程序 , 并指出 , 对于财务报表审计而言 , 企业的内部控制结构由控 制环境、会计系统和控制程序等三个要素构成。 这一定义不再将内部控制分为会计控制和管理控制 , 而 是提出了内部控制结构的概念。 那么, 如何认识 A ICPA 的内部控制结构呢 ? 先看 SEC 的观点。 SEC 在 最终规则 管理层对财务 报告内部控制的报告及其对定期披露的证明 ( 下称 最终规则 ) 中评论 SAS No . 55 时, 指出 在这个 定义中 , 资产的保护不再是一个主要的目标, 而是控制程序要素的一个子集 ( SEC, 2003) 。若将内部控 制结构看成是一个整体 , SEC 的话是令人费解的 , 因为从整体上看三要素, 将资产的保护放在控制程序中 并不影响定义本身是涵盖资产保护目标的。但是, SEC 的评论给我们透露了一个信息, 那就是在内部控制 结构中 , 居于核心地位的是 会计系统 , 控制环境是基础, 控制程序是手段和工具, 二者都是服务于会 计系统的。在会计系统中, 不明确指出资产保护目标, 就意味着它不是整个内部控制结构的主要目标。可 见 , SEC 之所以认为在 SAS No. 55的定义中, 资产保护不是主要目标, 是因为它是站在 会计系统 要 素上来看的 , 而不是基于整个内部控制结构。 SAS No . 55 指出 : 会计系统是指为识别、收集、分析、归 类、记录和报告一个企业的经济业务, 并为保持对资产和负债的受托经营责任 , 而建立的各种方法和记 录。 对比 SAS No . 1 关于 会计控制 的定义, 我们发现, SAS No . 55 的会计系统中仅仅包括了 会计 控制 中的财务信息的可靠性部分, 而没有包括资产的保护。这就是 SEC 立论的基础。同时这也体现了 A ICPA 的立场。在 SAS No. 55 中 , A ICPA 指出 , 在计划审计工作中, 了解内部控制结构是为了用于识别 潜在错报的类型, 考虑影响重大错报风险的因素和设计实质性测试程序。 这里就没有涉及到资产的保 护。可以认为, SAS N o . 55 围绕会计系统提出的内部控制结 构事实上就是 SAS N o . 1 中讲的 会计 控 制 。不同的是, 在 SAS No . 1 中, 是基于业务处理流程 , 在其中分离出会计控制 , 而在 SAS No. 55 中 , 是基于一个整体的控制系统 , 在其中分离出一个会计系统。两相比较 , 后者对内部控制的理解和对会计控 制的界定明显优于前者 , 是一个进步。 但是, 这一做法产生了一个 A ICPA 最不愿意看到的后果, 那就是资产保护成为一个广义的概念。为 此 , A ICPA 采用了几种办法加以应对。一是明确指出 : 一般而言 , 与审计不相关的内部控制结构的政策 和程序 , 注册会计师不需要考虑。例如, 与某些管理决策过程的经济性、效率性和效果性相关的政策和程 序 ( A ICPA, 1988) 。二是通过采取将资产保护隐含地放在控制程序要素中, 仅在附录中论及资产保护 等方式来淡化处理资产保护问题。可见, A ICPA 清楚地知道 ICFR 是离不开资产保护的 , 但为了避免广义 理解资产保护, 它片面强调了财务信息的可靠性, 而有意忽视了资产保护的重要性。 A ICPA 面临的困境是 , 如果排除授权与决策过程 , 那么控制系统就不是一个整体 , 一个完整的内部 控制结构就被破坏了, 而不排除 , 资产保护就泛化了; 如果在会计系统中不谈资产保护, 会计系统就变成 了一个只有 账 而无 实 的空中楼阁 , 而谈资产的保护又不能不涉及到授权与决策过程。这就是一 个悖论 , 它为 COSO 框架的矛盾 , 以及 COSO 与 GAO 的争议埋下了伏笔。 2 . COSO 主导阶段 ( 1992 年 2002年 ) 1995年 12月 , A ICPA 发布 审计准则公告第 78号 (下称 SAS No . 78 ) , 承认 COSO 内部控制 整合框架 , 并规定自 1997年 1月起取代 SAS No. 55 。 2001 年 5 月, A ICPA 发布 审计准则公告第 94 号 ( 下称 SAS No. 94 ), 对信息技术条件下注册会计师对内部控制的考虑进行了规范。其中也采 用了 COSO 的观点。 在分析这两个公告之前, 有必要先看看 COSO 框架。 COSO 将 A I C PA 的内部控制结构 , 发展成一个由五 要素构成的整体框架, 将控制目标拓展为涵盖经营的效率与效果、财务报告的可靠性和相关法律法规的遵循 性等在内的目标体系。这在内部控制发展史上具有重要意义。它表明人们不再仅仅基于独立审计的考虑来研 究内部控制, 而是为了全面实现企业的经营管理目标。但是 COSO 框架并没有完全摆脱 A ICPA 的影响。如引 言中所述, 在提出整体框架后 , COSO 又提出了 ICFR 的观点。既然内部控制是一个整体 , 如何能分离出 一个所谓的 ICFR? 这岂不是又回到 A I C PA 的老路上去了? 事实正是如此。在前述 SEC 对 SAS N o . 55的评论 语后, SEC 接着讲了一句话: COSO 报告效仿了这一做法。 不仅如此, COSO ( 1992 and 1994) 更进了一 步。它是明确将资产保护归入经营目标之中。但是, 完全不讲资产保护在 ICFR 中的作用又难以令人信服, 70
一 、引言 财务报告内部控制 (下称 ICFR ) 究竟是什么? 见诸官方文件的定义与解释似乎已有定论, 毋须再 行研究。于是, ICFR 成为一个被一致公认的概念, 它本身不再被看成研究的对象。国外文献侧重于研究 ICFR 信息披露的影响因素 ( H o itash et a. l , 2009)、实施效果 ( A shbaugh- Skaife et a.l , 2009) 和市场反 应 ( H amm ersley et a.l , 2007) 。而 国 内 文 献大 多 以 介 绍 为主 , 如 周 勤 业 和王 啸 ( 2005 ) 、张 龙 平 等 ( 2009) 等。但一个值得玩味的现象引起了笔者对 ICFR 本身的研究兴趣。 COSO ( 1992 and 1994) 提出 内部控制 整合框架 时, 就指出内部控制是一个整体 , 应该按照五个要素来理解内部控制。但是 , 就在这个框架中, COSO 提出 了 ICFR 的概念、并在 向外部各方的报 告 部分 , 对其定义、范围、 内容及其报告范本等进行了规定 , 认为管理层内部控制报告的责任应该定位于 I C FR。问题是 , 既然能将 内部控制分开来理解, 为何制订一个整体框架 ? 这不是存在自相矛盾之处吗 ? 二 、悖论的历史考察: 一桩围绕资产保护展开的公案 顾名思义, ICFR 似乎仅与财务报告的可靠性相关 , 而不涉及企业经营管理相关的内部控制。其实不 然。回顾 ICFR 的发展历史, 探寻一桩围绕 资产保护 而展开的历史公案, 有助于我们认识这一点。 1 . A ICPA 主导阶段 ( 1958 年 1992年 ) 1958年 , A ICPA 的审计程序委员会在 审计程序公告第 29 号 中将内部控制分为 会计控制 和 管理控制 。 并指出: 会计控制是指主要涉及到与资产的保护和财务记录的可靠性直接相关的组织计 划 , 以及各种方法和程序。这类控制一般包括授权与批准系统 , 账务处理与经营或资产保管的职责分离 ,