关于COSO的新内控框架

easylife乐乐妈 2016-05-09

展开全文

标签：

coso

2013年5月14日，美国COSO如期发表了新的内部控制框架。因为正值国内的内部控制实施的高潮，COSO新的内控框架在国内引起了很多兴趣。笔者也接到了来自媒体和业内专家的一些询问，本文就是对这些问题的答复的汇总。

国内关于COSO新内控框架的问题集中在两方面：

1. 新的内控框架和老的内控框架主要有什么区别？

2. COSO的新内控框架对国内企业的内控实施有什么影响？

1. 关于COSO新老内控框架的区别

COSO新的内控框架与老的内控框架在基本概念和基础结构上面没有区别。和老的内控框架一样，新内控框架依然使用同样的关于内控定义，同样的五个要素，以及同样的“立方”结构。因此，新老内控框架没有根本上的差别。

然而，COSO新老内控框架还是有些显著的差别。据COSO说，这些差别反映了自1992年老内控框架发表以来，政治和商业环境的变化，特别是技术的发展，以及世界范围内实践的结果。这些差别有结构性的和非结构的两种。新老内控框架在结构上的差别主要表现在两个方面：

l 报告目标；

l 原则。

老内控框架的三个目标中有一个是财务报告。其实这个财务是指的外部财务报告，如上市公司的年报和季报。而新的内控框架延伸了这个目标。目前的报告目标不仅包括外部财务报告，而且包括了内部财务报告、内部非财务报告和外部非财务报告。这无疑扩大了COSO内控框架的实施范围，突出了内部控制对运营过程的作用。对一般性报告的重视，和COSO近些年来越来越重视内控过程的信息沟通是一致的。例如，COSO在2009年曾经发表了关于内控框架的监督评价指南。新的内控框架在评价内控的有效性方面使用了该指南中的内容。

新的内控框架中把五个要素分解成了相应的17个原则。按COSO的说法，这些原则代表了有关的要素，而且由于“这些原则是直接从要素中提炼出来，实体可以通过应用所有这些原则来实现有效的内部控制”。所以，在某种意义上，说新内控框架是17要素的框架也无不可。

这种把要素进一步细分的效果是便利了实施。由于每一个要素都更细，实施可以更加条理化，而且方便了评价的过程。值得注意的一点是对要素的分解不是作为子要素来呈现，而是作为“原则”来呈现的。这是新框架的一个特点，即其强调“基于原则”的内控实施。于此相联系的，是COSO新框架中一个老框架没有的特点，即强调管理层判断的使用。

基于原则的实施和依赖管理层的判断，都弱化了内控的形式化。在这一点上，COSO甚至说，实体不必拥有一个形式上正规的内控体系，但仍然可能拥有有效的内控。

这些改进，应当说是吸取了自2002年美国萨班斯法案通过以后，世界范围内使用COSO老内控框架大规模实施内控的经验和教训。新内控框架，使内控实施更加灵活，同时节省了实施成本。

新老内控框架的一个非结构的差别在于对内部控制的有效性的评价标准。新老内控框架都认为内部控制应该为主体的目标实现提供合理保证，但是解释不通。老内控框架认为：

“如果董事会和管理层能够合理保证以下三个方面，则内部控制可以在三类目标中任何一类上分别被判断为有效：

l 他们了解主体的经营目标得以实现的程度；

l 公开财务报表的编制是可靠的；

l 符合使用的法律和法规。”

而新内控框架则认为：

“一个有效的内部控制体系将影响组织目标实现的风险降低到可接受的水平，无论这些风险与一个、两个或三个类别的目标相关。”换句话说，新内控框架认为内控是为了控制风险在一定范围之内。这就指出了内控作为管理风险的手段的本质。

新老内控框架的这个差别是非常值得注意的。在理论上，这个差别是本质上的。简单说，老内控框架不是基于风险的，而新内控框架是基于风险的。在实践上，老内控框架的有效性通常是“事后”检查的结果，而新内控框架的有效性是基于风险评估的，是“事前”判断的结果。新老内控框架的这个差别的影响将会是深远的。在未来，它将会影响到关于内控评价和审计的一系列问题，引起内控评价和审计的程序设计、标准制定、报告和监督的执行等方面的改变。所以，我们需要密切注意SEC和PCAOB关于新内控框架的任何相应动作。

2. 关于COSO新内控框架对国内企业的实施的影响

对按照COSO的内控框架实施内控的在美上市公司，COSO新内控框架的影响不大，因为SEC和PACOB已经在前几年做了大量的工作。这些工作在一定程度上，弥补了COSO老内控框架的缺点，特别是在帮助中小企业实施内控方面，如缓解了中小企业内部控制的成本。可以说，在一定程度上，这次COSO的新内控框架是对SEC和PCAOB的工作的承认。而且，对上市公司的内控的审计，依据的是SEC和PCAOB的规定文件。这次COSO新内控框架的发表并不意味着SEC和PCAOB会做出相应的调整。所以，短时间内，COSO新内控框架对在美上市公司没有影响。