【摘要】近年来，随着组织内部控制和风险管理要求的加强，内部审计的工作重心逐步已经由传统的财务审计逐步向内部控制和风险管理转移。内部控制审计作为内部审计的重要业务类型，已经成为组织实现对内部控制进行监督的常规方式，调研组所在的单位开展内控审计已经占据审计资源的一半以上，并仍有进一步扩大的趋势。本文从准确定位内部审计在企业内部控制中的地位入手，系统分析论述了实现内部审计与内控体系建设两者之间相互促进，助力企业价值提升和长远发展的途径与方法。
【关键词】 国有企业 内部控制 内部审计
21 世纪初国内外财务舞弊案件频发之后，内部控制倍受关注。为了发挥内部审计在内部控制中的作用，我国政府监管部门通过各种形式积极推动内部审计的发展。2010年4月26日财政部会同证监会、审计署、国资委、银监会、保监会等部门发布了《企业内部控制配套指引》，要求执行该指引的企业应对内部控制有效性进行自我评价，并披露年度自我评价报告，同时聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。该指引自2011年首先在境内外同时上市的公司实施，2012年扩大到上证交易所和深证交易所主板上市公司实施，择机在中小板和创业板上市公司施行。2012年国务院国资委、财政部《关于加快构建中央企业内部控制体系有关事项的通知》（国资发评价〔2012〕68号）要求各中央企业自2013年起，定时向国资委报送内部控制评价报告。各地方国资委均要求各下属出资企业在2-3年内建立并执行覆盖全集团（公司）的内部控制体系。在此基础上，各地方国资委均要求各下属出资企业在一定期限内建立并执行覆盖全集团（公司）的内部控制体系。这种从上至下的行政化要求，对国有企业内部控制发展有着极大的助力，而内控审计作为内部控制体系中的重要一环，也是在上述法律法规、文件通知密集出台的期间得以迅速发展。2015年中国内审协会开展的以“内部控制审计”为主题的理论研讨再次将内部审计实践在内部控制中发挥的作用推至高点。
一、内部审计在内部控制框架中的定位
随着经济发展，内部审计职能从单一的实施监督职能，逐渐向评价、控制、咨询等方向发展，内部审计涉入内部控制范围，与内部控制发展相契合。由于内部审计与内部控制最终目标一致，内部审计构成内部控制的重要组成部分，而内部审计的主要产品和审计对象也逐步发展为内部控制，内部审计成为监督和评价内部控制的主要手段。在内部控制建立、评价和审计三个不同阶段，内部审计有着不同的职能定位。
1、内部审计在“内部控制建立”中的定位
内部控制的建立健全按规定应由董事会负责，对内部控制建设中的重大问题并做出决策，属于“一把手工程”。而具体的事务性建设工作应由内部控制部门负责。然而很多企业组织织架构中都未能专门设置内部控制部门，其实际建立工作往往落在内部审计身上。这主要是因为内部审计对企业的经营活动比较熟悉，其内部控制标准比较容易制定，技术上也能够胜任。按照内部控制制定流程，企业内部其它各职能部门其全体员工也都在内部控制的建立过程中承担相应职责并发挥积极作用。如采购部门应当建立采购工作的具体业务流程，但之后的审核工作则由内部审计部门负责，最终交由董事会批准实施。
2、内部审计在“内部控制评价”中的定位
根据《企业内部控制配套指引》，内部控制评价主要由内部审计机构和人员来进行，虽然可以委托会计事务所进行专门的内部控制评价，但是内部审计机构和人员仍然是这一工作的主要承担者，因为内部审计机构是企业监督、评价和鉴证财务信息及相关管理信息而专门设立的独立职能机构，自然成为内部控制评价的重要主体。内部审计侧重于内部管理的内部控制评价，可以为内部控制审计做好准备，是注册会计师进入企业进行内部控制审计前的过渡，由内部审计实施的内部控制评价具有外部注册会计师进行内部控制审计无法替代的作用，也为未来的内部控制鉴证做铺垫。
3、内部审计在“内部控制审计”中的定位
根据《企业内部控制配套指引》，内部控制审计属于一种保证及咨询业务，主要由注册会计师进行，但是在内部控制审计计划、实施和完成阶段，均需考虑内部审计及其机构的作用。一是计划阶段需要利用内部审计的工作成果和人员。指引第九条指出，注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用企业内审人员等的工作及可利用程度，相应减少本应该由注册会计师执行的工作。对于风险较高的控制项目，注册会计师应当更多地对其进行亲自测试。二是实施阶段也需要关注内部控制审计开展情况。指引第十一条指出，注册会计师测试企业层面控制，应当把握重要性原则，至少应当关注：与内部环境相关的控制，针对董事会、经理层凌驾于控制之上的风险而设计的控制；企业风险评估过程；对内部信息传递和财务报告流程的控制；对内部控制有效性的内部监督和自我评价。其中，内部审计属于控制环境有关的控制，并对企业控制的有效性开展内部监督和自我评价。
二、国有企业内部审计在内部控制体系建设中的现状分析
自2012年国务院国资委发文要求加快构建企业内部控制体系开始至今两年的时间内，大部分国企已经结合自身实际，建立了相应的内部控制框架体系，并依托组织框架推进控制措施的贯彻执行，实现对组织内部控制的持续改进。大部分国企建立和实施内部控制制度体系基本按照常规的五大要素：内部环境、风险评估、控制活动、信息与沟通、监督评价。课题组所在的国有独资企业拥有投资企业28家，其中全资、控股企业17家，参股企业11家，其中4家为上市公司，目前集团持有市值约70亿元，是本市最具影响力的重点国有独资集团。该集团2014年应国资委的监管要求参照这一框架，建立了集团层面的内部控制框架体系（详见附表1）。但目前相当一部分国有企业的内控体系建设仍处于初级起步阶段，其要素是否齐全内容是否完整，是否存在各种缺陷和问题，尚有待检验。通过调研集团的下属企业和其他国企的内控建设现状，进行分析如下：
1、内部控制目标与企业目标存在脱节
国有企业内部控制体系建设更多是从规范和防范风险的角度出发，而企业生产经营的根本目标是企业价值最大化。目前，在国有企业全面建立并执行全覆盖内部控制体系的规定下，部分国有企业无论规模大小都将内控体系建设当成一项硬性任务来完成，存在为建制度而建制度的情况。在此前提下，有的单位内部控制制度完全交给会计师事务所等中介机构完成，有的单位几乎照搬照抄其它企业，完全不考虑所建的内控制度是否适合自身的需求。如课题组调研发现，一些内控建设相对有效的大型上市国有企业基本上都是由企业自行建设，并在随后的工作中边建边改、逐步完善。而其它的企业内部控制建设设脱离企业的实际，背离了价值最大化的目标。如有的下属企业，由于规模较小只有1名监事而未建立监事会，但其规章中监事会议事规则完全参照大中型企业相关规定，未过行任何修改。
2、内部控制体系建设没有形成多部门合力
在国企内部，内部控制与内部审计密不可分，内部审计是内部控制的重要组成部分，内部控制则是内部审计的监督对像。课题组调研发现，一些国有企业顺应管理需要近两年来才成立内部审计部门，很多企业内控建立、评价和审计都是由内审部门独立完成的。在企业内控体系建立过程中，各职能业务部门在负责相关风险源点的梳理和制度的建立后，简单认为其后的监督执行应当全部交由内审部门负责，而忽视了其对下属企业的监督指导职能。事实上，在某些事项上，这些职能部门的监督评价比内审部门更具有发言权，更具有专业性和权威性，更易发现内部控制中存在的薄弱环节。课题组调研下属的上市公司内部控制制度时发现，内控运行良好的上市公司在公司组织架构中权力制衡较好，如江山股份（600862）各部门通过内控体系建设与实施的契机通力合作，根据管理需要和实际操作流程中发现的问题重新梳理公司内部管理制度200多个，修订完善139个，使制度更具有“操作性和有效性”。由此可见，内控的监督评价不能仅由内审部门完成，只有各部门通力合作、各负其职，才能取得理想效果。
3、内部控制与成本效益存在一定脱节
随着组织规模的日益扩大和管理层级的日趋复杂，内部控制对于组织良好运行的作用变得越来越不可替代。但是，内部控制毕竟只是一些具体的政策和程序，只能由人来制定并由人来执行。对于部分组织规模较小的单位，由于人员编制较紧，经常需要一个员工身兼数职，如何克服公平与效率这一矛盾，实现必要的岗位分离和风险控制。一方面，增加人员强化内部控制，必然会增加控制实施成本，另一方面，内部控制预期收益存在模糊性，两者之间的取舍令许多管理者深感困惑。
4、内部审计在内部控制评价中的主体地位良莠不齐
内部控制评价主要由内部审计机构和人员来进行，课题组调研下属的上市公司内部控制制度发现，在主板上市的国企，内部审计得到公司高层充分认可，其分管领导具有话语权，内审人员根据计划每年进行重点检查2次，每月1-2次抽查进行内部控制测试，发现公司一般、重要和重大缺陷，形成公司内部控制自评报告；在中小板上市和未上市的国企中，内部审计在对内部控制评价中的主体地位相对较弱，内部控制评价主要委托会计师事务所进行，内审人员主要从事日常的财务绩效审计、专项审计和离任审计等工作，内部审计参与内部控制建设和评价由于监管的缺乏略显薄弱。
三、以内部审计的转型为切入点提高内控有效性的路径探索
现代企业内部控制理论认为，企业内部控制失效必然是因为内部控制在设计或运行过程中存在着漏洞，这些漏洞将不同程度地影响内部控制的有效性，进而影响控制目标和组织目标的实现。目前，国有企业的内部控制评价和内部控制审计刚刚以规范和指引的形式启动，很多问题还亟待明确。内部审计在理论上是以监督评价职能嵌入公司治理体系中，但其对内控监督的效果如何，需要从两个角度观察探索：一是内部审计是否改进了内部控制？二是内部审计是否能防止内控失效？
（一）内部审计开展内部控制评价的途径
我们国家要求的内控评价范围广，有利于企业全面实现内部控制目标，但也将面临很大的挑战；内部控制评价对评价的流程、程序、底稿等要求很高，体现了专业审计的特点，但内部控制评价指引的内容很简练，仅仅包括评价内容、流程、缺陷认定和评估报告；目前我国绝大多数企业尤其是国有企业在这方面的相关的制度和操作规范基本上是空白。因此内部审计工作必须转型以适应新的内部控制评价的工作要求，主要需要从以下方面着手：
1、提升内部审计负责人专业能力。内部审计负责人是内部审计部门的领导核心，作为一个部门的关键性人物，其基本素质和能力直接决定了该部门的业绩水平和职业能力。内部审计负责人的专业能力可以从年龄、学历、资历和工作经验等维度加以综合判断。有实证研究结果表明内部审计负责人专业能力越强，越能显著提高内部控制质量[2],提升内部审计负责人专业能力对完善和改进内部控制质量方面发挥重要的作用。
2、尝试对内部控制评价单独立项。随着企业内部控制建设进程的加快，传统的报表审计、经济责任审计已远远不能满足管理层对内部审计的要求，内部审计应将内部控制的监督、评价作为重要的工作内容，单独立项，专门评价，分步骤、有计划地对企业各部门、各环节的内部控制进行综合评价和全面测试，衡量企业内部控制建立健全程度和抵御风险能力，寻找内部控制薄弱环节，提出强化内部控制建设的措施，以防范和化解企业各种经营风险，提高企业管理水平。
３、设立“以内控为主线，风险为导向”的日常内部审计思路。不仅通过内部控制评价，确定审计重点和审计风险，用以指导审计工作，而且还要对该项业务涉及的内部控制的健全性、适当性、执行的有效性进行评价，评价其关键控制和程序能否保证内控目标的实现，能否有效地抵御和控制企业的各种风险，发现控制弱点和控制缺陷，及时报告管理层。
４、要充分适应内部控制体系信息化的趋势。当前企业信息化建设发展较快，而相应的内部控制建设过程中信息化环节也逐步增多。与之相比的内部审计信息化能力与上述需求尚不适应。内部审计部门要充分了解企业生产运营、系统使用的优势，重视审计专用软件与企业业务软件的协同应用，这将成为今后内部控制评价工作的一个重要举措。
（二）内部审计参与内部控制审计的途径
内部控制审计作为一种鉴证业务，主体是外部注册会计师。相对于内部控制评价，内部审计在内部控制审计中由审计主体变为被审计对象，我国国有企业内部控制和内部控制审计均处于起步阶段，未上市公司的国有企业基本未开始实施。借鉴国内外上市公司内部控制审计经验，课题组提出内部审计参与内部控制审计的途径的建议：
1、充分发挥内部审计连续审计的优势。相对于外部审计年度审计的特点，内部审计的时间几乎不受制约。内审人同具有了解企业运营过程、组织结构和运营环境的优势，能够在一些被审计事项发生的同时或是发生的不久，由内部审计人员进行审计。相对于内部控制体系建设的长期性特点，内部审计便于在日常审计中发现存在的控制缺陷，从而进一步完善企业的内控体系。
2、充分调动其它业务资源形成内控合力。内部控制的目标与组织目标是一致的，而内部审计机构实施的内部控制审计是对组织内部控制设计与运行的有效性进行审查和评价活动。更容易使企业全员参与内控制度的建立和执行，也更容易防范和发现对实现组织战略目标、运营效率和效果、财务报告或遵循适用的法律和法规等方面可能产生的负面影响的控制措施，进行实现风险的管控。
3、充分抓好内部审计结果整改落实。内部审计监督可以发现很多生产经营中的问题，如果查出的问题不能在内控制度层面得到有效的解决，不但查出的问题不能得到及时有效解决，而且会出现屡审屡犯的歪风。所以要坚决避免“破窗效应”，国有企业应当建立内部审计整改的闭环机制，对未能从根本上做好问题整改，建立立制的部门和单位，必须严格追责问责。
参考文献:
[1]审计研究编辑部．内部控制系统评价的探讨--中国审计学会和中国内部审计学会在淄博市召开专题研讨会[J]．审计研究,1991(6)
[2]王兵、张丽琴.内部审计特征与内部控制质量研究[J].南京审计学院学报,2015(1)
[3]王兵、刘力云、张立民.中国内部审计近 30 年发展:历程回顾与启示[J].会计研究,2013(10)
[4]李应峰.加快国有企业内部审计的转型建设内部控制的监督评价机制[J].时代金融,2014(1)
[5］张先治，戴文涛． 公司治理结构对内部控制影响程度的实证分析［J］． 财经问题研究， 2010( 7) : 89-95．
[6］张颖，郑洪涛． 我国企业内部控制有效性及其影响因素的调查与分析［J］． 审计研究， 2010( 1) : 75-81．
[7]章之旺、李宗彦，内部审计理论前沿[M].中国时代经济出版社
[8]鲍国明、刘力云，现代内部审计[M].中国时代经济出版社