COSO

一、COSO内部控制体系概要

    内部控制的内容，归根结底是由基本要素组成的。这些要素及其构成方式，决定着内部控制的内容与形式。设计内部控制，可以根据企业特征和需求（例如企业规模、业务构成、管理水平等），对内部控制要素加以有机组合。

    COSO报告将内部控制定义为：内部控制是一个过程，它受到董事会、管理人员和其他职员的影响，以期为实现经营的效果和效率、财务报告的可靠性及遵守相关的法律法规提供合理保证。

早期的内控制度一般只强调两项目标，一是财务报告的可靠性目标，二是合规性目标。COSO报告在此基础上对企业内部控制的目标进行了完善。

    COSO内控制度的首要目标是为了合理确保经营的效果和效率(基本经济目标，包括绩效、利润目标和资源的安全)。其后才是保证财务报告的可靠性(与对外公布的财务报表编制相关的，包括中期报告、合并财务报表中选取的数据的可靠性)和遵循相应的法律法规这两个传统的内控目标。

     究其原由，乃是因为任何一个企业管理层的职责，都是要拟订相应目标并通过合理配置自身的人力、物质资源以达到这些目标。内部控制制度实际上也就是为了满足管理层的这些需要而制定的。

 

二．内部控制的组成要素

     COSO报告提出，内部控制由五个要素组成的，即控制环境、风险评估、控制活动、信息与沟通和监控。五要素中，各个要素有其不同的功能，内部控制并非五个要素的简单相加，而是由这些相互联系、相互制约、相辅相成的要素，按照一定的结构组成的完整的、能对变化的环境做出反应的系统。控制环境是整个内控系统的基石，支撑和决定着风险评估、控制活动、信息传递和监督，是建立所有事项的基础；实施风险评估进而管理风险是建立控制活动的重点；控制活动是内部控制的主要组成部分；信息传递贯穿上下，将整个内控结构凝聚在一起，是内部控制的实质；监督位于顶端的重要位置，是内控系统的特殊构成要素，它独立于各项生产经营活动之外，是对其他内部控制的一种再控制。

    企业都面临来自内部和外部的不同风险，对这些风险都必须加以评估。风险评估是管理层识别、分析实现目标过程中所面临的风险，从而制定决定如何管理风险的制度基础。它随经济、行业、监管和经营条件而不断变化，需建立一套机制来辨认和处理相应的风险。

风险评估的前提条件，是在各个管理层次上制定协调一致的目标。在管理当局找出风险并采取必要措施之前，首先要确定目标。内部控制在这方面的目标主要是，在整个组织内部制定协调一致的目标，并找出关键性的成功因素。确定和分析风险的过程是一个持续的过程，它是有效内部控制的一个关键性因素。

     内部控制系统需要监控。监控是由适当的人员，在适当及时的基础下，评估控制的设计和运作情况的过程。不同评价的范围和步骤取决于风险的评估和执行中的监控程序的有效性。

监控活动由持续监控和个别评估组成，它为企业内部控制能持续有效运作提供保证。持续的监控活动在营运过程中发生，包括例行的管理和监控活动，以及其他员工为履行其职务所采取的行动。尽管持续监控程序可以有效的评价内部控制体系，但企业有时需要组织个别评估以直接监视控制系统的有效性，这种做法还可对持续性监控程序加以评估。

     COSO报告认为，企业内部每一成员在实施内部控制方面都扮演着一定的角色，对内部控制也都负有一定的责任，报告也对企业中各层次人员的控制职责做出如下具体设计：

管理层：CEO对整个控制系统负责。

董事会：管理层对董事会负责，由董事会设计治理结构，指导监管的进行。

内部审计师：内部审计对评价控制系统的有效性具有重要作用，对公司的治理结构行使着监管的职能。

内部其他人员。明确各自的职责，积极主动参与、配合内部控制制度的实施。

外部人员：公司的外部人员也有助于控制目标的实现。而且由于其相对独立于企业的身份，更具有可靠性。

    COSO报告指出:内部控制实际上只能帮助而并不能保证基本经营目标的实现，它存在很多固有的局限因素，具体如下：

成本限制。内部控制的设计和运行需要耗费人力、物力，这就是它本身的成本。内部控制越完善，其所需成本就越高。如果这个成本超过企业风险或错误可能造成的损失和浪费的话，无论此时的内控制度有多么完善，则毫无疑问这样都是不经济的，也是不可取的。

人为错误。无论设计多么完美的内部控制系统，都会因设计人经验和知识水平的限制而有所缺陷。同时，执行人员的失误，如粗心大意、判断失误、对指令有误解等，也可能会使内部控制系统发挥不出其应用的作用。

串通舞弊。内部控制的制约机能，是担当不兼容职务的人员相互验证、共同见证的结果。在实际工作中，如果处于不兼容职务上的有关人员相互串通、相互勾结，就失去了内部控制中相互制约的基本功能，内部控制也就很难发挥作用了。

计划落后于变化。企业是处在一个无时无刻不在变动的市场中的，但其内部控制制度一般都是为曾经发生、重复发生的业务而设计的，这也使其对不正常的或未能预料到的“例外”业务类型失去控制力。

  三、内部控制与公司治理

  1.公司治理的概念。公司治理，从狭义的角度进行理解，是指所有者主要是股东对经营者的一种监督与制衡机制，即通过一种制度安排，来合理地配置所有者与经营者之间的权利与责任关系。若从广义角度进行理解，是指包含法律、文化等在内的有关企业控制权和剩余索取权分配的一整套制度安排，其决定企业目标的实现。

从主要功能上来说，公司治理的范围可以包括：股东、董事会――决策者；管理阶层――执行者；审计人员（包括内部审计人员及外部审计人员）――监督者；其他利益关系人（例如：顾客、供应商、债权人及员工等）――影响者等。从这个角度来讲，内部审计人员应该在公司治理中占有一席之地。因为沟通公司治理各功能主体的重要工具就是会计信息系统。因此，会计信息系统本身是公司治理结构的组成部分，而且会计信息更严重地制约和影响着公司治理结构中其他制度安排效用的高低。会计信息系统提供的会计信息的真实可靠是内外部激励机制正常运行的前提条件，而有效的审计监督制度是确保这一前提条件实现的关键。外部审计对公司财务报表进行审计，并对其公允性发表审计意见，从而起到增强会计信息可信性的作用。而内部审计处于公司内部，对于公司内部控制、管理经营活动、风险管理都有透彻深入的了解，与外部审计人员相比，内部审计对公司治理发挥的作用在层面上更为深入，在范围上更为广泛。

      2、公司治理的核心是内部控制。在上述公司治理定义中，我们可以看到，公司治理这一制度安排所决定的企业目标、决策人及风险和收益的分配都围绕风险展开；风险直接影响目标的实现；而决策人对风险的控制和管理直接决定目标是否能够实现及实现的程度；治理结构中各部分的人员需要承担所分配的一定风险并获得相应的收益。另外，从解释公司治理问题产生的经济学观点来看，无论是契约理论中提及的不完备契约，还是信息经济学中提及的信息不对称，以及代理理论中提及的代理问题，这些引发公司治理产生的因素究其实质都属于风险，都是使企业目标无法实现的各种潜在的、可能发生的事件。公司治理是组织应对风险的战略反应，其职责核心就是确保有效的内部控制方案的适当性，因此公司治理中包含一些战略性的内部控制的因素。例如：公司董事会所设定的公司经营管理基调是风险偏好型或是风险规避型；再如公司高层管理当局（CEO）在经营风格、理念、管理哲学中包含的风险态度等。这些都涉及到内部控制的基本理念。因此，内部控制是公司治理的核心。

 

四、内部审计是内部控制的重要部分

  1.内部控制与内部控制的联系日趋紧密。在决定内部控制政策，并在此基础上评估特定环境中内部控制的构成时，董事会应对诸多风险问题进行深入思考。比如：公司面临风险的性质和程度；公司可承受风险的程度和类型；风险发生的可能性；公司减少事故的能力及对已发生风险的影响；实施特殊风险控制的成本，以及从相关风险管理中获取的利益。执行风险控制政策是管理层的职责，在履行其职责的过程中，管理层应确认、评价公司所面临的风险，并执行董事会所设计、运行的内部控制政策。

      2.内部审计理论的新发展。顺应内部审计理论及实务的变化，国际内部审计师协会（IIA）在1999年对内部审计重新定义，即“内部审计是用来增加组织价值和改善组织运营的独立、客观的保证和咨询活动。它以系统的、专业的方法对风险管理、控制及治理过程的有效性进行评价和改善，帮助组织实现其目标。”

这一新定义将内部审计的范围延伸到风险管理和公司治理，认为内部审计是针对内部控制及治理过程的有效性进行评价和改善所必需的。

     3、内部控制是内部审计的主要职责。随着现代企业内部控制时代的来临，内部审计的工作重点也发生了变化，现代内部审计除了关注传统的内部控制之外，更加关注有效的内部控制机制和健全的公司治理结构。在风险导向内部审计的观念下，年度审计计划与公司最高层的风险战略连接在一起，内部审计人员通过对当前的风险分析确保其审计计划与经营计划相一致，使用风险管理原则改变审核过程。风险管理成为组织中的关键流程，促使内部审计的工作重点不仅是测试控制，而且包括确认风险及测试管理风险的方法。在风险导向的内部审计中，控制仍然重要，但分析、确认、揭示关键性的经营风险，才是内部审计的焦点。

     内部审计作为内部控制的重要组成部分，其在风险管理中发挥不可替代的独特作用，主要有以下几方面：（1）能够客观地、从全局的角度管理风险。风险在企业内部具有感染性、传递性、不对称性等特征，即一个部门造成的风险或疏于风险管理所带来的后果往往不是由其直接承担，而会传递到其他部门，最终可能使整个企业陷入困境。因此对风险的认识、防范和控制需要从全局考虑，而各业务部门又很难做到这一点。内部审计人员不从事具体业务活动，独立于业务管理部门，这使得他们可以从全局出发、从客观的角度对风险进行识别，及时建议管理部门采取措施控制风险。（2）控制、指导企业的风险策略。由于内部审计部门处于企业的董事会、总经理与各职能部门之间，内部审计人员能够充当企业长期风险策略与各种决策的协调人。通过对长期计划与短期计划的调节，内部审计人员可以调控、指导企业的风险管理策略。（3）内部审计部门的建议更易引起重视。内部审计部门独立于管理部门，其风险评估的意见可以直接上报给董事会，这会加强管理当局对内部审计部门意见的重视程度。

 

五、在风险管理目标下，公司治理与内部审计的整合

  COSO于2001年起着手进行企业风险管理研究，并力图建立一个类似于内部控制框架的、具有理论与实践意义的风险管理框架，其在为企业风险管理研究项目制定的目标中明确指出：风险管理框架必须和内部控制框架相协调，把控制目标的建立嵌入到某种形式的风险管理过程中去。而在内部控制方面，将领域扩展到控制环境等“软控制”要素上时，就决定了公司治理与内部控制的相互交汇。在COSO报告的内部控制定义中，特别提出“内部控制过程受组织的董事会、管理层和其他人员影响”，由此可见“软控制”因素对组织内部控制的影响是深远的。而内部控制对公司治理的影响也是巨大的。内部控制为组织的经营目标、财务目标及遵循性目标的实现提供合理保证，同样为公司治理机制的运行提供了保障。良好的内部控制有助于完善契约，减轻信息不对称的影响，并对代理人形成一定的控制约束，因此从一定程度上说，内部控制与公司治理的相关内容可以整合一致。而作为内部控制重要组成部分的内部审计，也不可避免地在风险管理的基础上，与公司治理的目标的交汇。

     在新的内部审计定义下，内部审计参与到公司治理与风险管理中，帮助组织发现并评价重要的风险因素，促进组织改进风险管理体系；评价并改进组织的治理程序，为组织的治理做贡献；同时继续原有的对控制效率和效果的评价作用，帮助组织保持有效的控制。此时的内部审计人员是风险专家，通过对风险的把握来评价公司治理及内部控制，并促进公司治理和内部控制的改善，从而实现对风险的掌握与驾驭。在风险管理这一统一的核心下，公司治理与内部控制实现了一定程度的整合，为组织增加了价值；同样，在风险管理这一统一的核心下，内部审计与公司治理实现了整合。在公司治理中，内部审计发挥着越来越重要的作用。   

   鉴于内部审计在确保公司内部控制制度有效运转及管理和控制风险等方面的独特作用，内部审计师已被看作是与董事会、高级管理层、外部审计师构成有效公司治理的四大基石之一。内部审计师拥有的风险管理、内部控制的知识与技能，能帮助公司治理实现其核心目标：控制风险以促进组织目标实现。因此，在公司治理中，内部审计是组织内部不容忽视的一支力量。 

  目前，我国内部审计一般尚未与公司治理相结合，成为公司治理的有机部分，对风险管理也不够关注。为此，要逐步完善企业法人治理结构，明确企业外部和内部的委托代理关系，培养管理者的竞争意识和风险意识，形成内部审计的需求市场，为内部审计的发展创造良好的环境。同时，要顺应内部审计科学发展的客观规律，在实践中有意识地推动风险导向内部审计的发展。从强调确认和测试控制的完整性，逐步转向强调确认和测试风险是否得到有效管理；从传统的强调关注风险因素，逐步转向关注前景规划。内部审计的建议应不再仅是强化控制、提高控制效率和效果，而应该包括规避风险、转移风险和控制风险，通过风险管理的有效化，评价并改进组织的治理程序，提高公司整体的管理效率和效果。