试论国家审计中的内控制度测评

程昭荣　　2006-7-14 来源:中国审计网
在我国国家审计中，提出实施内控制度测评的要求已经有好多年，审计机关在制定项目审计实施方案时，都必不可少的要有内控制度测试的内容。然而，在审计实践中，由于没有具体的、现实的操作细则以及严格的考核标准，导致审计人员不做不行，做又不知怎样做，做到什么程度才算符合要求。因此，在国家审计项目中，内控制度测评可以说是一项摆设，没有实质性进展。本文拟从国家审计的目的与社会审计的目的为出发点，探讨国家审计实施内控制度测评的重要性和必要性，国家审计参照社会审计内控制度测评的内容和方法在审计实践中的困难，提出了深化国家审计实施内控制度测评的思考和建议。
一、内部控制及内部控制测试的重要性和必要性
(一) 内部控制制度
内部控制制度是第二次世界大战以后，现代市场经济飞速发展，科学技术的发达，企业组织规模的扩大，管理层次的增多，市场竞争的激烈，营销战略管理的实施，为保证企业财产安全完整，会计及其他经济信息的真实正确，内部各部门协调有效地运转，经营方针的实施，经营战略目标的实现而建立的内部自我调整系统。
美国治理舞弊财务报告全国委员会下设机构垂得威后援委员会(COSO)，1992年9月公布了“内部控制综合框架”报告。这份报告对内部控制作了如下定义：内部控制是为了达到业务的有效性和效率性，财务报告的可靠性以及相关的法律和规章的遵从性三个范畴方面的目的，旨在提供合理的保证，而由单位董事会、经营者及其他成员实施的一种过程。内部控制包括：控制环境、风险评估、控制活动、信息和沟通及监督五个因素，并专门将监督作为一个独立的因素。内部审计在企业内部天然的监督作用，使其自然成为内部控制方式之一。
(二) 内部控制测评及其重要性和必要性
内部控制的调查和评价是审计的重要方面。美国审计总署(GAO)特别重视对内部控制的评价，认为内部控制在防止和揭发舞弊中居于中心地位。审计师提供关于内部控制有效性的报告，这是一项基本的重要活动。
内部控制测评，是指审计人员通过调查了解被审计单位内部控制的设置和运行情况，并进行相关测试，对内部控制的健全性、合理性和有效性作出评价，以确定是否依赖内部控制和实质性测试的性质、范围、时间和重点的活动。建立健全内部控制并保证其有效实施是被审计单位的责任，审计人员的责任是对内部控制的健全性和有效性进行评价。通过了解和测试内部控制，可以初步评价控制风险，初步确定控制制度保证程度系数，决定是否采取依赖内部控制审计策略，为确定实质性测试的程序和范围服务。如果能依靠测试和评价内部控制来开展审计工作，那么，就既能提高审计效率，又能保证审计质量。
二、内部控制测评的内容和方法
(一) 内部控制测试的内容
按照现行《国家审计基本准则》、《审计机关内部控制测评准则》、《审计质量控制办法》等的要求，审计人员进行内部控制测评主要有五个方面的内容：一是对被审计单位控制环境进行了解。主要有：被审计单位的高层管理人员和其他管理人员的控制意识和诚信程度；经营规模及业务复杂程度；组织机构和相关制度；各部门的分工和职责；主要财政预算和财务计划，人力资源政策等。二是对被审计单位的风险评估进行了解。主要有：被审计单位如何确定风险、评估风险的重要性；如何将风险发生的可能性与管理目标、经营计划和财务报告的相关内容联系起来，并采取相应的措施。三是对被审计单位的控制活动进行了解。主要有：被审计单位各项业务处理程序的授权批准，职责分工，实物控制，凭证与记录的设置和运用，独立的检查程序等控制手段的设置与执行情况。四是对被审计单位的信息与沟通情况进行了解。主要有：被审计单位管理和经营活动的主要业务类别；处理各类经济业务的程序；各项业务的会计处理程序和所依据信息的来源；会计系统的设计和重要的会计凭证、账簿种类以及会计报表项目；各部门间信息的传递方式等。五是对被审计单位的内部监督情况进行了解。主要有：被审计单位日常性的监督检查方法，即管理者为监督各项工作的运行而使用的预算、计划、责任报告等制度与方法；内部审计的设置和工作情况等。
在应用计算机进行信息处理的条件下，审计人员应当对被审计单位计算机信息系统的控制环境和应用控制进行测评，以确定其可靠程度和下一步审计方法。
简而言之，就是检查内部控制制度建立健全情况，也就是内部控制制度的客观存在性；内部控制制度执行是否有效；内外部监管是否到位。
(二) 内部控制测评方法
按照现行《国家审计基本准则》、《审计机关内部控制测评准则》、《审计质量控制办法》等(以下简称《准则》)的要求，审计人员进行内部控制测评分为下列四个步骤：1.对内部控制进行调查了解；2.对内部控制进行初步评价，评估控制风险；3.对内部控制的执行情况进行符合性测试；4.提出内部控制测评结果，并利用测评结果确定实质性测试的范围、重点和方法。
对内部控制的调查了解和初步评价可以采用下列方法：1.查阅被审计单位的各项管理制度和相关文件；2.询问被审计单位管理人员和其他有关人员；3.检查内部控制过程中形成的文件和记录；4.观察被审计单位的业务活动和内部控制的实际运行情况。
对内部控制进行符合性测试的具体方法，可以通过检查文件资料、询问、现场观察、重做某项业务等方法来测试内部控制制度是否得到有效执行来操作。测试的方式主要有以下两种：1.按照业务处理过程检查业务处理程序中的各项内部控制规定是否得到执行；2.选择有关经济业务，对业务处理程序中的关键控制点进行测试，检查其是否真正发挥作用。
通过对被审计单位内部控制实施上述了解和符合性测试后，应当综合分析被审计单位内部控制的健全性和有效性，提出内部控制测评结果，评估控制风险，并据此确定实质性测试的范围、重点和方法，对是否依赖被审计单位的内部控制及依赖的程度作出决策。
确定实质性测试重点领域时，应当考虑以下三个方面：1.缺少内部控制的重要业务领域；2.内部控制设置不合理，控制目标不能实现的领域；3.内部控制没有发挥作用的领域。测试的具体方法，应当针对内部控制缺陷和可能产生的后果提出对应的检查措施，以核实相关的财政收支、财务收支和会计处理是否真实、合法。
三、实际操作中的难点
(一) 国家审计与社会审计的目的不同。随着经济全球化、一体化地推进，我国国家审计为了与国际接轨，由最初并不太强调内部控制检查到慢慢地对此引起重视和执行。但审计的内容和方法，基本上是借鉴社会审计那一套，尤其是审计方法的可操作性及效果性很差。国家审计和社会审计目的不同，而实现目的的手段(即方法)却一致，这就使国家审计实践中的内部控制测评不易操作，仅仅停留在口号上，没有实质性的进展。国家审计在相当长的一段时期内最主要的目的之一是查错纠弊。而社会审计最主要的目的是社会公共鉴证。两者的审计责任区别也很大。国家审计如果按照社会审计的那一套方法，填表、走程序，也许表没填完、程序还没走到头，审计结束的时间就到了，也许什么问题也没有发现，连最基本的审计目标都不能实现。举个简单例子：公证审计报告上写的很清楚，提供会计资料是被审计单位的责任，我们的责任是对提供的资料进行审查，即使查的是假帐，那也不是审计的责任。社会审计的责任是对外公证，能不能发现问题不是主要的，相反只要按程序办了，假帐真查，也不影响其发表意见。除非爆发像安然事件一类的事情，否则社会审计也不会负什么责任。如果国家审计也学社会审计的样子，要求被审计单位就其提供审计所需的资料进行承诺，这种做法本身就值得商榷，加之，被审计单位也很清楚这个承诺不具有任何法律约束力，为了不驳审计机关或者审计人员的面子，被审计单位可以毫无顾忌地随便承诺。如果国家审计依赖被审计单位的承诺，那么和社会审计又有什么区别，如果不依赖，那让被审计单位承诺又有什么意义。
(二) 内控制度测试工作量大。被审计单位内部控制涉及方方面面。就内部控制制度建立、健全与否，审计人员要给出结论，必须先问、再看、然后发表意见。如果不能全部看，只检查了部分，审计人员只能就看过的发表意见，没检查的，不能说，也绝不能以已经检查的内容来推断总体。这说明，对一个单位内控制度进行总体评价绝非易事。
(三) 内控制度测试只有原则，没有细则，可操作性差。内控制度的可操作性及执行是否有效，更难评价。内控制度的可操作性方面，通过询问可能问出缺陷来，但执行的有效性，却不能靠问来明晰。因为你问被审计单位，他肯定说执行好着呢。对内部控制的执行情况进行符合性测试如何进行？上述相关《准则》上也讲了，主要靠到现场观察、重做某项业务等方法来测试。但对如何观察、如何重做某项业务以测试被审计单位的业务活动和内部控制的实际运行情况，上述《准则》并没有指出。而且，最难的还不是这些，而是审计取证。即使你看到了没有有效执行，指出后当事人及时纠正了，但由于不良后果还没有显现或者不规范操作没能留下文字性记录，审计人员拿不到证据，也无法发表意见。
对金融审计，国家审计署金融审计司与几个特派办联合编写了《商业银行审计指南》《资产管理公司审计指南》(以下简称《指南》)及计算机审计版。该《指南》虽对内控制度测评的内容作了详尽的介绍，但由于受审计时间、人力和经费的限制，在审前调查阶段，由于对被审计单位的情况不可能了解的很全很透，因而，审计人员就无法回答《指南》中提出的问题，无法完成《指南》中对内控制度符合性测试设计的哪些表格，从而也无法综合分析被审计单位内部控制的健全性和有效性，提出内部控制测评结果，评估控制风险，对是否依赖被审计单位的内部控制及依赖的程度作出决策，并据此确定实质性测试的范围、重点和方法。就去年的金融资产管理公司审计和今年的农行审计，作为一线审计人员，也很想利用《指南》实现对被审计单位内控制度检查的目的，以规避审计风险，然而事与愿违。
(四) 衡量标准不清，责任不明。确定审计职责的依据一方面要考虑其必要性，另一方面还应看其可能性。也就是说社会的需要还应与审计主体的可能性相结合。如果脱离了审计发展的实际而将一些在当前条件下无法做到的事项确定为审计的职责，这种职责是无法履行的。《审计机关内部控制测评准则》是参照社会审计相关准则制定的，要求每个审计项目都要有内控测评这项内容，但具体怎么审计、审计到什么程度以及如何检查衡量审计人员是否尽职没有明确的法定要求，完全由审计组或审计人员自行决定，审计实施方案中不写不行，写了也没办法完全按要求做，或者索性就不按要求做，因此产生的审计风险，给审计人员以心理上的压力，使审计人员陷入两难的境地。
在审前调查阶段和审计现场实施中，如果完全按照《指南》的程序操作了，也未必就能发现内控制度可操作性和有效性以及监管是否到位等问题，审计组没有人能填出内控测评的那些表，即使填了也是瞎填，审计风险同样存在。即使在审计完全结束之后，审计组人员也不敢拍着胸脯就一个单位的整体内控情况给一个肯定的评价。而是一种在审计检查之后，就所发现问题的评价和处理处罚，或者说是一种就事论事。
正是因为上述几方面的原因，如果国家审计不重视对内控制度测评的规范，可能会造成许多不良后果。一是审计机关的工作任务弹性大；二是审计工作规范程度受到影响；三是审计工作质量标准不具体，责任不明确。
四、措施建议
(一) 围绕国家审计的目标、任务探讨适合国家审计的方法程序，制定相应的可操作的内控测评细则。
(二) 核定国家审计项目审计工作量，以合理确定审计项目所需审计人员、审计工作日，规避审计风险，节约审计成本。
(三) 正向思维和逆向思维并重
在现行《准则》框架下，采用正向思维。就金融审计而言，从审前调查到现场审计，一方面抽专人严格按照《指南》走程序，进行内控测评，目的是为履行审计职责，但能否保证获得充分适当的审计证据以表明内部控制的设计和运行是否有效，藉此来降低控制风险的评估水平，审计人员心中没底。在实际审计中，审计人员主要采用的是逆向思维。即：在了解被审计单位基本情况的前提下，依靠审计人员的经验和专业判断，确定检查重点，发现问题，通过查出的问题去反证被审计单位内控制度的簿弱环节以及内外部监督是否到位。
(四) 充分利用内部审计、外部监管机构和社会审计的工作成果
由于内部审计本身就是对被审计单位内部控制执行情况的一种监督形式，是对内部控制的控制，且检查方式方法是全方位的，既有现场的，也有非现场的；既有事前，更多的是事中，也有事后；最关键的一点是情况熟悉。利用外部监管机构和社会审计的工作成果，可以减少审计资源的浪费，更好地发挥审计监督体系的整体功能。
（程昭荣　审计署西安特派办）