淺議內部審計在內部控制中的作用

一、內部審計在內部控制的作用分析

IIA《內部審計職業職務準則》中將內部審計活動定義為一種“確認”和“咨詢”活動，前者是指對組織的風險管理、內部控制和治理程序提供獨立的評價，后者是指提供建議及相關的客戶服務活動，其目的是增加組織價值和改善組織營運，包括顧問服務、建議和培訓[1]。這使得內部審計的手段與方法越來越豐富，在企業中起到的作用也越來越大。

1、評價業務促進內部控制體系的不斷完善。內部審計通過各種審計手段對影響企業目標實現的各種風險進行評估，從而評價內部控制的適當性和有效性。內部審計對內部控制的評價職能，一種表現為通過專項審計項目對內部控制進行評價，一種形式為內部控制自我評價。

內部控制審計是對企業內部控制設計和運行的有效性進行評價的過程。通過內部審計，可以得出內部控制是否有效的結論，并適時反映給管理層，促進內部控制的進一步改進。而內部控制自我評價是在對內部控制評價過程中，由內部審計部門牽頭，開創的一種新的檢查和評價內控有效性的方法。自我評價是在企業內部審計人員的領導下，由管理層和員工共同完成對流程中的風險和控制進行評價。內部控制自我評價彌補了內部審計在傳統模式當中對控制環境、控制意識、控制責任等軟控制評價的困難。

2、持續性監督業務實現對內部控制的實時監督。持續性監督被譽為是在流程中的監督。在業務流程設計中增加內部審計的監督職能，給業務流程增添最后一道防線，將會防患于未然，大大降低業務流程違法違規的風險。內部審計通過對內部控制設計的評價，可以幫助企業建立持續性監督。此外，在線審計也是內部審計發揮持續性監督職能的一個重要手段。在線審計是一種持續的、實時的、預警化的審計手段，在線審計的發展能夠嵌入各業務系統中，對系統中的異常數據進行實時提取，幫助內審人員及時發現疑點，從而馬上進行分析，這使得事中監督成為可能。

3、咨詢業務推動內部控制建設在企業的不斷發展。在內部控制自我評價中，內部審計已由原先的“查找問題”到“大家一起想辦法”，這樣的做法使得內部審計對內部控制的咨詢職能越發凸顯。咨詢職能除了體現在自我評價中，參與內部控制流程的設計、進行內部控制的培訓等也常成為內部審計的工作之一。在實踐中，內部審計人員可以承擔風險分析、經營效果和效率評價、標桿管理、企業流程再造支持、協助制定業績指標等咨詢業務[2]。 

4、內部審計在防舞弊中的意義。COSO報告將防舞弊放在信息與溝通要素之中。注冊舞弊審核師協會(Association of Certified Fraud Examiners，ACFE)2010年度的報告中表明，一個典型的美國組織機構每年因職務欺詐行為導致的損失占其年收入的5%[3]。實踐中內部審計對舞弊的防范直接體現在兩個方面，一是通過內部審計行為震懾舞弊者，二是可以通過內部審計專業技能發現舞弊線索。除了在防舞弊中的直接作用外，內部審計還能夠引導內部控制進行自我評價，從而使內部控制不斷從業務部門自身出發，自發地進行修正。

  通過內部審計的監督、評價、咨詢職能以及在防止舞弊職中發揮的作用，內部控制的健全性和有效性得到了保障，讓內部控制從一個靜態的組織結構變成了不斷完善的動態流程，使企業內部控制處于可控在控狀態，降低了企業的風險，有助于企業實現各項目標。

二、內部控制對內部審計的需求分析

勞倫斯·索耶認為，內部審計為了滿足管理層的需求而不斷發展，最有效的審計師是將管理層和組織的目標作為他們自己的計劃和活動中心，做到審計目標與管理目標一致。[4]不論在COSO報告，還是在風險體系框架中，都將內部審計作為內部控制五要素中監督角色的重要扮演者，并且認為內部審計應當參與到公司治理當中。《薩班斯-奧克斯利法案》就要求董事會下屬的審計委員會直接管理內部審計。

在企業發展的不同階段，不同的內部控制狀況對內部審計的需求重點有所不同（見表1）。內部審計在內部控制起作用的目標從查錯糾弊、保障合規合法性到為企業價值增值，內部審計的職能也是從“確認”到“咨詢”的發展。實踐中，內部審計在內部控制中發揮作用的具體方式是相似的。每個企業可以根據企業內部控制現狀選擇內部審計的重點監督方向和內容，從而促進內部控制的持續有效。下文將進一步闡述內部審計在內部控制中發揮作用的具體方式。

表1  內部控制對內部審計的需求

資料來源：根據相關文獻整理

三、 內部審計參與內部控制的具體方式方法

1、積極開展內部控制審計。內部控制審計主要圍繞內部控制的五要素，全面分析企業的關鍵風險點，對內部控制設計和運行的有效性進行審計并得出結論。內部控制審計可運用的方法有調查問卷法、比較分析法、穿行測試法，一般分為四個步驟：了解被審單位經濟業務——了解內部控制設計——評價內部控制設計——確定內部控制是否得到執行。通過上述步驟，審計人員對內部控制有效性進行全面的評價。

內部控制審計體現了內部審計對內部控制的事后監督，有助于內部審計人員發現本公司的風險控制點，對風險控制點的控制情況進行評價，將存在的問題匯報給管理層，督促管理層進行整改，并且可以對整改情況進行后續審計，使得內部控制處于可控的狀態，并得以不斷改進和完善。

2、認真參與事中控制。事中控制讓內部審計從檢查系統向控制系統轉變。事中控制的方式主要體現在持續性監督方面，在流程中嵌入內部審計的監督環節，主要可以有以下幾個方面：第一，進行招投標業務的監督。招投標業務的監督分為四個主要控制點“編制招標文件——開標——評標——定標”。在編制標書環節，內部審計主要關注招標文件是否符合國家規定，標底價格是否合理，對不符合《招投標法》的條款及時向業務部門提出進行修訂。開標的審計監督主要圍繞投標人的資質，標書的密封完好性和有效性，開標程序的規范性等方面。在評標方面，要監督評標人員的組成方式是否合規，評標方法是否科學，評標程序是否嚴密。定標審計主要是審查定標程序是否合規，在定標之后有無及時發放中標通知書以及簽訂合同等方面。第二，參與合同訂立過程的監督。內部審計人員參與合同簽訂過程的審計，實現合同審計的日常化。主要審查：合同項目的可行性審查和效益性，合同簽約方的選擇是否符合公平、公正和效益原則，合同價格是否存在明顯偏差現象，合同條款是否合規合法，是否存在“先執行后簽訂”的情況。第三，開展在線審計。在線審計是一種全新的審計方法，它讓實時監督和全過程審計變得可能，審計人員可以借助在線審計軟件，通過設置好的審計模型，對業務數據進行實時抓取，及時發現數據異常情況，或是通過系統對異常數據進行預警，及時發現存在的問題，提高審計效率和效果。第四，嘗試開展內部控制自我評價。內部控制自我評價在產生之初是內部審計進行內部控制評審時的新型審計方式。隨著內部控制自我評價的發展，內部控制自我評價已經成為管理層改進內部控制的管理工具。

3、審慎進行事前預防。事前預防主要體現在內部審計“咨詢”的職能上，內部審計在經濟業務發生之前提出建議，由業務部門決定采納與否，從而實現為企業價值增值的目標。

第一，對現有的內部控制提出意見和建議，具體方式可以是參與制度建設評審。內部審計利用專業優勢，分析公司每項活動中存在的風險點，根據風險點查找公司是否有對應的控制措施。在公司的職能部門體系中，各部門很多制度都是從自己專業出發制定，忽視了橫向聯系。內部審計部門恰恰注重部門之間的橫向聯系。在實際工作中，內部審計人員最有條件發現體系上的控制薄弱，例如控制制度之間出現重復、矛盾、缺失，造成了執行的困難。內部審計部門可以從公司整體風險控制點出發，提出制度制定體系和流程再造的建議，為管理層提供參考。第二，對管理者和員工進行內部控制的培訓。內部審計對內部控制的意義了解最為透徹。內部審計的地位越高，就越有條件影響管理層對實施內部控制的態度。同時，內部審計人員對企業面臨的風險點以及控制措施最為熟悉，內部審計人員可以對企業其他員工進行培訓，闡述內部控制的原則、控制活動中的注意事項、每位員工的控制職責，讓員工在了解內部控制的同時，增加對內部審計人員的認同感。

內部審計通過事后監督、事中控制、事前預防形式，在內部控制中形成了“三位一體”的全方位作用（如圖1）。

圖1 內部審計在內部控制中發揮作用的具體方式

其中，內部控制審計是基礎。內部審計人員通過內部控制審計，全面分析公司的風險點，對內部控制設計和運行的有效性進行評價，提出意見和建議，并將結果匯報給總經理。總經理聽取意見后，召集管理層，進行內部控制自我評價。內部審計人員通過內部控制審計掌握公司整體內部控制情況，為確定事中控制、事前預防的重點提供借鑒，提高監督和咨詢的效果。此外，從事后監督到事前預防，也是內部審計“確認”職能到“咨詢”職能的連續統一演變。內部控制審計是內部審計“確認”職能的履行，事中控制業務視情況既可能是“確認”職能也可能是“咨詢”職能的履行，而事前預防業務則體現了內部審計“咨詢”職能的履行。 

------------------

參考文獻：

[1]IIA. International Standards for the Professional Practice of Internal Auditing . http://www.theiia.org

[2]黨紅.反職務欺詐與自我保健.2011.

[3] Sawyer ,邰先宇等譯.索耶內部審計—現代內部審計實務(第五版)上冊.北京：中國財政經濟出版社，2005.

[4]Sawyer ,邰先宇等譯.索耶內部審計—現代內部審計實務(第五版)上冊.北京：中國財政經濟出版社，2005.