編者按：從技術邏輯來說，審計就是對特定事項與既定標準之間的一致性獲取證據(jù)并發(fā)表意見，這里的特定事項就是審計主題（Audit Subject Matter）?？傮w來說，審計主題包括財務信息、非財務信息、行為、制度，審計就是圍繞上述四類主題與既定標準之間的一致性收集證據(jù)并發(fā)表意見。基于四類審計主題，分別形成財務信息審計、非財務信息審計、行為審計、制度審計。作為制度審計的基本形態(tài)，內部控制評價已經成為內部審計部門的主要業(yè)務；在外部審計師的業(yè)務中，內部控制審核及審計也越來越具有重要地位。然而，關于內部控制鑒證的許多基本理論問題，還處于碎片化的研究階段。從本期開始，本刊將連續(xù)刊發(fā)制度審計基本理論研究系列文章。

【摘 要】 關于內部控制鑒證的需求因素，需要回答三個基本問題，第一，為什么需要內部控制？第二，為什么需要內部控制鑒證？第三，內部控制鑒證為什么出現(xiàn)多樣化？文章以環(huán)境不確定性和人性假設為基礎，系統(tǒng)解答上述三個基本問題。環(huán)境不確定性、自利、有限理性，導致了風險，為了應對風險，產生了內部控制；同樣，由于環(huán)境不確定性、自利、有限理性，導致內部控制可能出現(xiàn)設計缺陷和執(zhí)行缺陷，為此，利益相關者需要對內部控制進行鑒證，以及時發(fā)現(xiàn)和彌合內部控制缺陷；由于委托代理關系多樣化、代理人自利和有限理性，同時，考慮成本效益原則，內部控制鑒證出現(xiàn)了多樣化。

【關鍵詞】 環(huán)境不確定性； 人性假設； 內部控制鑒證； 內部控制審計； 內部控制評估

【中圖分類號】 F239.44 【文獻標識碼】 A 【文章編號】 1004-5937（2017）13-0124-08

一、引言

內部控制鑒證就是對內部是否存在缺陷的評價，包括內部鑒證（也稱內部控制評估）和外部鑒證（也稱內部控制審計）。目前，內部控制鑒證已經成為民間審計、內部審計和政府審計的重要業(yè)務。然而，內部控制鑒證的需求因素是什么呢？也就是說，為什么需要內部控制鑒證呢？現(xiàn)有文獻涉及到內部控制外部鑒證的需求，但是，主要是研究了內部控制鑒證信息披露的動機，然而，內部控制鑒證可以不披露，所以，內部控制鑒證的需求因素和內部控制鑒證信息披露的需求因素應該是不同的。本文以環(huán)境不確定性和人性假設為基礎，研究內部控制鑒證的需求因素。

本文隨后的內容安排如下：首先是一個簡要的文獻綜述，梳理相關文獻；在此基礎上，以環(huán)境不確定性、人性假設為基礎，提出一個關于內部控制鑒證需求的理論框架；然而，用這個理論框架來解釋美國企業(yè)的內部控制外部鑒證變遷，以一定程度上驗證這個理論框架；最后是結論和啟示。

二、文獻綜述

內部控制鑒證的研究主題主要包括內部控制鑒證的需求因素、內部控制鑒證信息披露的影響因素及其后果[1-5]、內部控制鑒證判斷的一致性[6-10]及內部控制鑒證的一些技術問題[11-12]。與本文直接相關的主題是內部控制鑒證的需求因素，本文主要關注這類文獻。

對于內部控制外部鑒證的需求因素，現(xiàn)有文獻主要確認了監(jiān)管方式轉換和投資者保護兩類因素，一些文獻認為，實施內部控制審計制度是市場監(jiān)管的新抓手，各國監(jiān)管機構對微觀主體的監(jiān)管重心，逐漸從事后被動監(jiān)管轉變?yōu)檫^程控制，從財務信息質量監(jiān)管轉變?yōu)樨攧招畔①|量保證體系的監(jiān)管，實施企業(yè)內部控制審計，則是這一監(jiān)管方式變革的重要組成部分[13]；另外一些文獻認為，美國的《薩班斯-奧克斯利法案》404條款要求，公司管理層評價并報告內部控制的有效性并且要求獨立審計師對該報告進行審計，其主要原因是認為內部控制能為財務報告可靠性提供合理保證，所以，內部控制外部鑒證可以保護投資者的利益，重建投資者對資本市場的信心[13-17]。

關于內部控制內部鑒證的需求因素，一般認為是為了完善、健全內部控制，對內部控制不健全的組織進行內部控制鑒證，可發(fā)現(xiàn)其薄弱環(huán)節(jié)，從而起到完善、健全的作用；而對于內部控制相對完善的組織，由于組織內外部條件和環(huán)境都在不斷發(fā)生改變，控制風險的成因也在不斷發(fā)生變化，內部控制的其他相關成分變化也從未停止，因而，就需要內部控制鑒證來為內部控制如何應對變化做出指導[18-19]。

上述文獻對研究內部控制鑒證需求有一定的啟發(fā)作用，然而，總體來說，關于內部控制鑒證的需求還是缺少一個系統(tǒng)理論框架。本文以環(huán)境不確定性和人性假設為基礎，構建這個理論框架。

三、內部控制鑒證需求：理論框架

關于內部控制鑒證的需求因素，需要回答三個基本問題，第一，為什么需要內部控制？第二，為什么需要內部控制鑒證？第三，內部控制鑒證為什么出現(xiàn)多樣化？對于第一個問題，一般來說，內部控制是基于風險防范的需要，而風險又源于環(huán)境不確定性和人性假設，所以，環(huán)境不確定和人性假設是內部控制的引致因素。對于第二個問題，一般來說，正是由于內部控制可能存在缺陷，不能達到其預定目標，所以，需要對內部控制進行鑒證，而環(huán)境不確定和人性假設又是內部控制缺陷的引致因素?？傮w來說，可以從環(huán)境不確定性和人性假設兩個因素出發(fā)，解釋為什么需要內部控制，為什么需要內部控制鑒證。對于第三個問題，主要原因是委托代理關系不同，從而出現(xiàn)不同的內部控制鑒證需求。上述框架如圖1所示，實線部分是第一個基本問題，虛線部分是第二個和第三個基本問題。

（一）為什么需要內部控制

COSO委員會2013版《內部控制——整合框架》指出，內部控制是一套由企業(yè)的董事會、管理層及其他人員實施的程序，以合理確保有關運營、報告以及合規(guī)的目標得以實現(xiàn)。

2008年，財政部等五部委聯(lián)合制定的《企業(yè)內部控制基本規(guī)范》指出，內部控制是由企業(yè)董事會、監(jiān)事會、經理層和全體員工實施的、旨在實現(xiàn)控制目標的過程。內部控制的目標是合理保證企業(yè)經營管理合法合規(guī)、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。

2012年，財政部頒布的《行政事業(yè)單位內部控制規(guī)范（試行）》指出，內部控制是指單位為實現(xiàn)控制目標，通過制定制度、實施措施和執(zhí)行程序，對經濟活動的風險進行防范和管控。單位內部控制的目標主要包括：合理保證單位經濟活動合法合規(guī)、資產安全和使用有效、財務信息真實完整，有效防范舞弊和預防腐敗，提高公共服務的效率和效果。

上述三個內部控制方面的權威規(guī)范，雖然表述不同，但共同的內核是，內部控制是組織內部為實現(xiàn)特定目標而建立的一個系統(tǒng)，這個系統(tǒng)為特定目標的達成提供支持或保證。然而，為什么需要建立這樣一個系統(tǒng)來支持或保證目標的達成呢？其原因是，目標的達成存在不確定性，這些不確定性就稱為風險，所以，內部控制是通過防范風險以支持或保證目標的達成。然而，不確定性為什么會產生呢？其原因是，存在一些因素影響目標的達成，這些因素稱為風險因素，所以，內部控制首先要評估風險因素，包括識別風險因素、分析風險因素、確定風險應對策略，在此基礎上，建立控制措施來應對這些風險因素。如果風險因素評估沒有差錯，應對這些風險因素的措施也是有效的，則風險因素對內部控制目標的影響就能得到有效抑制，從而內部控制目標的達成就能得到支持或保證。

看來，內部控制的邏輯起點和關鍵是風險因素評估。那么，有哪些風險因素呢？《內部控制——整合框架（2013）》及《行政事業(yè)單位內部控制規(guī)范（試行）》并未對風險因素進行分類，《企業(yè)內部控制基本規(guī)范》將風險因素分為內部因素和外部因素，內部風險因素包括人力資源因素、管理因素、自主創(chuàng)新因素、財務因素、安全環(huán)保因素、其他內部因素；外部風險因素包括經濟因素、法律因素、社會因素、科學技術因素、自然環(huán)境因素、其他外部因素。

然而，上述這些因素為什么會對內部控制目標的達成產生負面影響呢？根本的原因有兩個，一是環(huán)境不確定性，二是人性假設。先來看環(huán)境不確定性。任何一個組織在確定其內部控制目標時，都會對影響內部控制目標的內部環(huán)境因素和外部環(huán)境因素有所評估，并以評估為基礎來決定內部控制目標。在內部控制目標達成過程中，如果上述這些環(huán)境因素按預期的情況進行變化，則這些因素對內部控制目標的影響也就在預期之內。然而，上述這些環(huán)境因素完全可能與設定內部控制目標時的評估不一樣（稱為環(huán)境差異），從而出現(xiàn)環(huán)境不確定性或環(huán)境差異，這些環(huán)境不確定性或差異，對內部控制目標的達成形成非預期的影響，從而使得設定的內部控制目標之達成具有不確定性。環(huán)境不確定性或環(huán)境差異的產生有兩個原因，一是設定內部控制目標時，對環(huán)境因素的評估存在遺漏，一些重大的環(huán)境因素沒有包括進來；二是對環(huán)境因素的變動估計錯誤，環(huán)境因素的實際變動與估計的可能變動有重大差異。從某種意義上來說，內部控制目標是因變量，而環(huán)境因素是自變量，根據(jù)對自變量的估計，設定了因變量的目標，如果自變量不變，則因變量也不變，從而內部控制目標能達成；如果自變量發(fā)生了非預期變化，則因變量顯然也會發(fā)生相應的偏離，從而內部控制目標的達成出現(xiàn)偏離。為此，需要建立內部控制系統(tǒng)，識別和評估這些環(huán)境因素的變化，并采取有效的控制措施。

再來看人性假設。如果說環(huán)境不確定性主要是影響內部控制目標達成的物的因素（當然，物是人操持的，也離不開人的影響），那么，人性假設則是影響內部控制目標達成的人的因素。人性假設是關于人性的設定，歷史上出現(xiàn)過多種人性假設；例如，人性惡、人性善假設，經濟人、社會人、復雜人假設等。筆者認為，人性假設應該是現(xiàn)實生活中正常人在正常情形下表現(xiàn)出來的人性，這里有兩個關鍵因素，一是正常人，也就是普通人，而不是社會中的特殊群眾；二是正常情形下，不是特殊情形下。根據(jù)這兩個限定條件，Williamson[20]認為，一般來說，人性主要有兩個方面，一是自利，二是有限理性。所謂自利是指人會計算、有創(chuàng)造性、能尋求自身利益最大化，表現(xiàn)為經濟人。人出于自利之目的并不一定會損害他人利益，相反，有可能增進他人利益。但是，自利也可能會帶來對他人利益的損害。每個人由于自利的本能，在一定的條件下可能出現(xiàn)機會主義行為，此時的自利就可能損害他人的利益。有限理性（Bounded Rationality）理論認為，人的行為是有意識的理性，但這種理性又是有限的，人并不能在任何情形下都做出最優(yōu)選擇[21]。由于人是具有有限理性的，所以，人可能出現(xiàn)次優(yōu)行為或次優(yōu)問題。特別需要說明的是，次優(yōu)行為不同于Simon[21]的次優(yōu)選擇，后者是指沒有做出最優(yōu)選擇，而前者是指即使在當前的環(huán)境下，也沒有做出最適宜的選擇，還存在改進的潛力，其優(yōu)秀程度低于次優(yōu)選擇。

那么，人性假設如何影響內部控制目標之達成呢？先來看自利。人的自利可能產生機會主義傾向，相關的人如果有了機會主義傾向，就會偏離組織目標甚至以犧牲組織目標為代價來追求個人目標，從而形成風險因素或影響組織目標達成。有機會主義傾向的人可能從兩個路徑形成風險因素或影響內部控制目標之達成，一個路徑是采取逆向行為，直接實施一些與控制目標要求相背離的行為，從而形成風險因素；二是卸責，主要是不作為，從而使得風險因素沒有得到有效抑制。以《企業(yè)內部控制基本規(guī)范》確定的目標為例，內部控制的目標是合理保證企業(yè)經營管理合法合規(guī)、資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。就合法合規(guī)目標來說，有機會主義傾向的人為了自己的利益可能會違規(guī)，這是逆向行為；也可能是對于違規(guī)行為的控制不力，從而使得違規(guī)行為泛濫，合規(guī)合法性目標難以達成，這是卸責。就資產安全目標來說，有機會主義傾向的人可能會揮霍組織資源以滿足自己的需要，甚至采取舞弊行為來非法占有組織的資產，這是逆向行為；或者是對于相關資產的安全性不在意，任憑一些不安全因素的發(fā)生，這是卸責。就財務報告及相關信息真實完整目標來說，有機會主義傾向的人為了自己的利益可能會故意弄虛作假，這是逆向行為；也可能是對于信息真實完整的控制不力，這是卸責。就經營目標和戰(zhàn)略目標來說，即使有機會主義傾向的人，一般也不會有意出現(xiàn)逆向行為，主要是卸責，表現(xiàn)為不努力工作，沒有付出足夠的精力和時間來實現(xiàn)這些目標。

再來看有限理性如何影響內部控制目標之達成。有限理性對內部控制目標達成的影響，主要路徑是次優(yōu)行為，也就是由于人的非故意行為產生錯誤或失誤，從而造成了風險因素或影響內部控制目標的達成。以《企業(yè)內部控制基本規(guī)范》確定的目標為例，就合法合規(guī)目標來說，由于不知道相關法律法規(guī)或錯誤地理解了相關法律法規(guī)，可能出現(xiàn)違規(guī)行為；就資產安全來說，由于非故意行為，可能造成財產的損失浪費，或者由于非故意原因，讓他人從本人負責的工作中獲取了非法利益；就財務報告及相關信息真實完整目標來說，由于非故意原因，使得信息計算或加工錯誤或遺漏，或者由于非故意原因，讓他人的弄虛作假行為得逞；就經營目標和戰(zhàn)略目標來說，由于非故意原因，可能出現(xiàn)不當行為，從而對經營目標和戰(zhàn)略目標出現(xiàn)負面影響，或者由于非故意原因，使得他人損害本組織經營目標和戰(zhàn)略目標的行為得以實施。

以上分析了環(huán)境不確定性、人性假說、風險、內部控制之間的關系，總體來說，有如下結論：環(huán)境不確定性或環(huán)境差異對內部控制目標的達成形成非預期的影響，從而使得設定的內部控制目標之達成具有不確定性；人性的自利會產生機會主義行為，表現(xiàn)為逆向行為和卸責，通過機會主義行為形成風險因素或影響內部控制目標之達成；人性的有限理性會產生次優(yōu)行為，出現(xiàn)非故意的錯誤或失誤，從而造成風險因素或影響內部控制目標的達成；為了應對上述風險因素對內部控制目標的影響，需要建立內部控制系統(tǒng)。

（二）為什么需要內部控制鑒證

以上討論了內部控制的需求因素。然而，內部控制系統(tǒng)能否真的為控制目標的達成提供支持或保證呢？答案是不一定！其原因是，內部控制可能存在缺陷，由于內部控制缺陷的存在，其功能發(fā)揮受到限制，從而不能為內部控制目標的達成提供支持或保證。根據(jù)美國《管理層內部控制評價指引》和《第5號審計準則——與財務報告審計相結合的財務報告內部控制審計》以及我國的《企業(yè)內部控制評價指引》和《企業(yè)內部控制審計指引》，內部控制缺陷分為設計缺陷和執(zhí)行缺陷，前者主要是指內部控制的結構和程序不完整，遺漏了一些必要的控制，或者控制設計不合理，從而導致即使按照控制設計執(zhí)行了，仍無法達到控制的目標；后者則是指一項控制雖然設計合理，但沒有得到有效的執(zhí)行，或者執(zhí)行控制的員工沒有得到合理的授權或資質，從而導致控制不能得到有效的執(zhí)行。根據(jù)內部控制缺陷對控制目標達成的影響程度，內部控制缺陷分為重大缺陷、重要缺陷和一般缺陷。當存在重大缺陷，內部控制目標存在現(xiàn)實或潛在的重大偏離，內部控制整體無效；當存在重要缺陷時，內部控制目標存在現(xiàn)實或潛在的重要偏離，雖然內部控制整體仍然有效，但是，在某些方面可能是無效的；當存在一般缺陷時，內部控制目標會出現(xiàn)一些現(xiàn)實或潛在偏離，這些偏離不具有重大或重要性，內部控制存在需要改進的瑕疵。

那么，內部控制缺陷為什么會存在呢？內部控制缺陷同樣源于環(huán)境不確定性和人性假設，其基本情況如表1所示。

下面具體分析如何引致缺陷。先來看自利與內部控制缺陷。自利主要表現(xiàn)為有意行為，自利人在設計內部控制時，一方面可能故意將一些對自己有利的風險因素不予評估，或者是不設計控制措施，或者是設計的控制措施不足以應對這種風險；另一方面，自利人在設計內部控制時可能出現(xiàn)卸責，不認真進行內部控制評估和控制措施設計，從而使得風險評估和控制措施設計都存在缺陷。自利還會影響內部控制執(zhí)行，自利人在執(zhí)行內部控制時可能是選擇性執(zhí)行，凡是對自己有利的內部控制措施就執(zhí)行，對自己不利的內部控制措施就不執(zhí)行或執(zhí)行不力；自利人還可能為了自己的利益凌駕于內部控制之上，使得內部控制形同虛設；自利人在執(zhí)行內部控制時還可能出現(xiàn)卸責，從而使得內部控制不能得到有效執(zhí)行。

有限理性主要表現(xiàn)為非故意行為，其產生內部控制缺陷的路徑與自利相似。一方面，有限理性人可能由于非故意原因，將一些重要的風險因素遺漏，或者是設計的控制措施不足以應對其擬應對的風險，這些都表現(xiàn)為風險暴露超過風險容忍度，并在此基礎上產生了內部控制設計缺陷；另一方面，有限理性人在執(zhí)行內部控制時，可能由于非故意原因，未能有效地執(zhí)行內部控制，從而出現(xiàn)風險控制未能達成預定目標，產生內部控制執(zhí)行缺陷。

環(huán)境不確定性會影響內部控制設計和執(zhí)行。一方面，一般來說，風險評估和風險應對措施之設計都是以一定的環(huán)境條件為基礎的，如果環(huán)境條件發(fā)生了變化，則風險可能發(fā)生變化，或者是風險應對措施需要發(fā)生變化。如果以不變應萬變，則這種內部控制就難以達成其目標。所以，環(huán)境不確定性的存在可能使得原來設計的內部控制不適應新的環(huán)境，從而使得內部控制出現(xiàn)設計缺陷。另一方面，內部控制的執(zhí)行也需要一定的環(huán)境條件，如果環(huán)境條件發(fā)生了變化，則原來執(zhí)行的內部控制可能也難以有效執(zhí)行，從而出現(xiàn)內部控制執(zhí)行缺陷。例如，信息技術在內部控制中有廣泛的應用，但是，如果操作這種信息技術內部控制的人員發(fā)生了變化，新來的人對相關信息技術不了解，則這種內部控制措施的有效執(zhí)行就存在問題。

正是由于自利、有限理性、環(huán)境不確定性等因素的存在，內部控制可能存在缺陷，而這些缺陷的存在，就意味著內部控制目標可能出現(xiàn)重大、重要和一般偏離，這就損害了內部控制目標利益相關者的利益，這些利益相關者為了維護自己的利益，就產生了鑒證內部控制缺陷的需求，通過內部控制鑒證，及時地發(fā)現(xiàn)內部控制缺陷并使之得到彌補，從而為內部控制目標之達成奠定更加可靠的基礎。

以上分析了自利、有限理性、環(huán)境不確定性、內部控制缺陷、內部控制鑒證之間的關系，總體來說，有如下結論：自利、有限理性、環(huán)境不確定性可能引致內部控制設計缺陷和執(zhí)行缺陷，這些缺陷的存在可能損害內部控制目標利益相關者的利益，這些利益相關者為了維護自己的利益，就產生了鑒證內部控制缺陷的需求，通過內部控制鑒證，及時地發(fā)現(xiàn)內部控制缺陷并使之得到彌補，從而為內部控制目標之達成奠定更加可靠的基礎。

（三）內部控制鑒證為什么出現(xiàn)多樣化

雖然是內部控制缺陷損害了利益相關者的利益，從而導致了內部控制鑒證需求，但是，從現(xiàn)實生活來看，內部控制鑒證出現(xiàn)了多樣化，表現(xiàn)為兩個方面，一方面，許多情形下，并沒有出現(xiàn)內部控制鑒證；另一方面，內部控制鑒證出現(xiàn)了多種類型。這其中的原因是什么呢？

先來分析沒有內部控制鑒證的情形。根據(jù)本文前面的分析，內部控制缺陷源于自利、有限理性和環(huán)境不確定性，一般來說，這些因素是普通存在的，所以，內部控制缺陷具有普通性，只是程度不同而已。由于內部控制缺陷具有普通性，內部控制缺陷對內部控制目標利益相關者的不利影響也具有普通性。一些情形下沒有內部控制鑒證，并不是這些情形下的內部控制不存在缺陷，而是存在內部控制缺陷，但是利益相關者并沒有內部控制鑒證的需求。這其中的原因是什么呢？有兩方面的原因，第一，內部控制鑒證是需要付出成本的，在有些情形下，內部控制鑒證可能不符合成本效益原則，出于成本效益的考慮，利益相關者選擇不進行內部控制鑒證。第二，利益相關者不介意內部控制缺陷可能造成的利益損害，如果某組織的利益相關者對本組織的利益不很關注，或者是本組織的利益多寡與利益相關者的關聯(lián)較弱，則利益相關者本身可能就不關注這個組織的目標達成情況，當然也不會介意支持或保證該組織目標達成的內部控制是否存在缺陷。

再來分析內部控制鑒證類型多樣化。從現(xiàn)實生活來看，內部控制鑒證有多種類型，內部鑒證包括自我鑒證和獨立鑒證，外部鑒證當然是獨立鑒證，也區(qū)分為注冊會計師鑒證和政府審計鑒證，這其中的原因是什么呢？從根本上來說，內部控制鑒證類型多樣化的原因是委托代理關系多樣化和人性假設，一方面，不同類型的委托代理關系，產生不同的內部控制目標利益相關者，從而產生不同的內部控制鑒證需求，進而需要不同的內部控制鑒證主體來實施；另一方面，自利和有限理性也會導致不同鑒證主體實施的內部控制鑒證各有利弊，從而需要不同內部控制鑒證的組合。下面具體分析委托代理關系、人性假設和內部控制鑒證類型多樣化的關系。

一些文獻將內部控制內部鑒證等同內部控制自我鑒證，嚴格意義上來說，這是不正確的。內部控制內部鑒證區(qū)分為自我鑒證和內部獨立鑒證兩種情形，自我鑒證是內部控制當事人對自己實施的內部控制所進行的鑒證，而本組織內部與所鑒證內部控制無關的部門對內部控制所實施的鑒證就是內部獨立鑒證。例如，財務部對本部門的內部控制的鑒證就是自我鑒證，而審計部對財務部的內部控制的鑒證就是內部獨立鑒證。從內部控制鑒證需要角度來看，有兩個基本問題需要回答，第一，為什么需要內部鑒證？第二，為什么自我鑒證和內部獨立鑒證并存？

關于為什么需要內部鑒證，任何一個組織內部都存在委托代理關系，委托人和代理人之間存在激勵不相容、信息不對稱，再加上組織環(huán)境存在不確定性，自利的代理人完全有條件偏離委托人的期望，出現(xiàn)機會主義傾向，實施機會主義行為[22]，為了應對代理人的機會主義行為，委托人會推動建立一整套治理機制，內部控制是其中的重要內容[23]。所以，內部控制是委托人抑制代理人機會主義行為，保障其利益不受損害的制度設計。正是基于此，委托人當然會關注內部控制是否存在缺陷，從而有內部控制鑒證需求。另外，即使代理人沒有實施機會主義行為，代理人也是有限理性的，這種有限理性也可能帶來內部控制設計缺陷或執(zhí)行缺陷，從而損害委托人的利益，所以，基于代理人的有限理性，委托人也會產生內部控制鑒證需求。

雖然如此，為什么自我鑒證和內部獨立鑒證并存呢？自我鑒證與內部獨立鑒證相比，由于對所鑒證的內部控制非常熟悉，所以，最有可能發(fā)現(xiàn)內部控制所存在的缺陷，并且有利于后續(xù)整改。但是，如果內部控制缺陷是對當事人有利的缺陷或者報告這種缺陷對當事人帶來負面影響，由于自利的原因，當事人可能不報告、不整改這種內部控制缺陷。由于自我鑒證不具有獨立性，所以，不能完全依賴自我鑒證，必須在自我鑒證的基礎上，再實施內部獨立鑒證。

以上分析了內部鑒證需求及其多樣化的原因，下面分析外部鑒證需求及其多樣化的原因。這里有兩個基本問題需要回答，第一，為什么需要外部鑒證？第二，外部鑒證為什么區(qū)分為政府審計鑒證和注冊會計師鑒證？

本文前面分析指出，內部控制鑒證源于內部控制利益相關者保護其自己利益的需求，內部控制外部鑒證需求源于在組織外部存在外部利益相關者。一般來說，任何一個組織都存在外部利益相關者，組織內部控制目標的達成狀況會影響這些外部利益相關者的利益，所以，這也是自己的利益，這些外部利益相關者會有內部控制鑒證需求。然而，為什么不能直接依賴內部鑒證的結論呢？其原因是，內部鑒證是受到組織管理層控制的，而外部利益相關者和組織管理層是委托代理關系，激勵不相容、信息不對稱，再加上組織環(huán)境存在不確定性，由于管理層作為代理人同樣可能出現(xiàn)機會主義行為，從而使得提供的內部控制鑒證報告出現(xiàn)虛假，正是在這種背景下，不受組織管理層控制的外部獨立機構所提供的內部控制鑒證恰好滿足了外部利益相關者的需要。

然而，外部鑒證為什么區(qū)分為政府審計鑒證和注冊會計師鑒證？其原因是委托代理關系不同，一般來說，任何一個組織都要使用一定的資源，而資源的來源無非是兩種類型，一是來源于公共資源，個人不要求回報的供資也類似于公共資源，這種情形下形成的組織就是公共組織；二是資源來源于私人，這種情形下形成的組織就是私營組織。當然，有些組織的資源同時來源于兩種渠道，此時，何種渠道為主，該組織就屬于何種類型。無論是私營組織還是公共組織，其直接供資者與該組織的管理層形成委托代理關系，直接供資者是委托人，該組織的管理層是代理人。委托人基于其自身利益的保護，希望對其供資的組織之內部控制進行鑒證。對于特定的組織來說，對該組織的內部控制進行鑒證有兩個選擇，一是委托人自己建立專門機構來實施內部控制鑒證，二是從市場上購買該種鑒證服務。不同的組織有不同的選擇，對于私營組織來說，由于該組織的委托人共同供資的只有該組織，如果建立一個專門機構來實施內部控制鑒證，可能不符合成本效益原則，相反，直接從市場上購買具有專業(yè)水平的注冊會計師來實施內部控制鑒證成本會低于自己建立專門的機構，所以，私營組織的外部利益相關者，主要聘請注冊會計師實施內部控制的外部鑒證。公共組織的供資者則不同，作為委托人或供資者可能給許多的公共組織提供了資源，是許多公共組織的委托人，此時，如果自己建立一個專門機構來對這些公共組織的內部控制進行鑒證，是符合成本效益原則，如果這個專門機構主要從事對公共組織的內部控制鑒證，還可以發(fā)展出專業(yè)優(yōu)勢，從而更加顯現(xiàn)效率效果，政府審計機構鑒證公共組織的內部控制就出現(xiàn)了。

以上分析了委托代理關系、人性假設和內部控制鑒證類型多樣化的關系，總體來說，有如下結論：由于成本效益原則制約或利益相關者不介意內部控制缺陷造成的利益損害，一些組織沒有內部控制鑒證。內部控制是委托人抑制代理人機會主義行為、保障其利益不受損害的制度設計，同時，代理人的有限理性也可能帶來內部控制缺陷，所以，在委托代理關系下，基于代理人的自利和有限理性，委托人會產生內部控制鑒證需求，而委托代理關系可以分為內部委托代理關系和外部委托代理關系，從而出現(xiàn)了內部鑒證和外部鑒證。外部鑒證有兩種選擇，委托人或者自己建立機構，或者從市場上聘請，由于成本效益的考慮，公共組織的委托人建立了政府審計機構來實施內部控制鑒證，而私營組織的委托人則從市場上聘請注冊會計師來實施內部控制鑒證。

四、內部控制鑒證需求：美國企業(yè)的內部控制外部鑒證變遷分析

本文以上以環(huán)境不確定性、人性假設為基礎，提出了一個內部控制鑒證需求的理論框架。理論的生命力基于其能解釋現(xiàn)實世界中的真實現(xiàn)象。由于數(shù)據(jù)方面的限制，無法用數(shù)據(jù)來檢驗。同時，由于本文提出的內部控制鑒證需求理論框架涉及的問題較多，也無法用一個例證來說明所有的問題。本文以美國內部控制外部鑒證制度的變遷為例，用本文的理論框架來分析變遷的原因，以一定程度上驗證本文的這部分理論。

一般來說，美國企業(yè)的內部控制外部鑒證大致經歷了三個階段：財務報表審計中的內部控制評價階段、財務報告內部控制審核階段、財務報告內部控制審計階段[24-25]。為什么會經歷這樣的變遷呢？下面，用本文提出的理論框架來解釋這種變遷。

（一）財務報表審計中的內部控制評價階段（20世紀初至20世紀60年代）

1936年，美國注冊會計師協(xié)會在其發(fā)布的《獨立注冊會計師對財務報告審查》文告中，首次提出審計師在制定審計程序時，應考慮的一個重要因素就是審查企業(yè)的內部牽制和控制。1939年，美國注冊會計師協(xié)會的審計程序委員會公布了《審計程序文告第1號》，增加了對內部控制審查的內容，之后在發(fā)布的多個文件、法令中明確提出以內部控制為基礎的審計程序。

嚴格說來，這個階段并不存在內部控制鑒證，因為并不要求對內部控制發(fā)表意見，只是為了提高審計效率，在審計程序中考慮內部控制的作用，從而需要對內部控制進行審查。與本文主題相關的問題是，為什么這個階段沒有內部控制外部鑒證需求呢？并不是這個階段的內部控制不存在缺陷，而是這個階段的內部控制缺陷給外部利益相關者造成的損害還不是顯著，并未能引起外部利益相關者的關注，由于成本效益的考慮，外部利益相關者對內部控制進行鑒證的需求不強，所以，沒有獨立的外部內部控制鑒證。

（二）財務報告內部控制審核階段（20世紀70年代至20世紀90年代）

1978年，美國科恩委員會（Cohen Commission）建議管理當局在披露財務報告時，提交一份關于內部控制系統(tǒng)的評價報告，說明管理當局對會計系統(tǒng)及其控制的評估，并要求注冊會計師對該報告進行證明。1987年，Treadway委員會于在其報告中也提出了類似的建議。上述兩個建議都未被采納。

美國國會于1991年頒布《聯(lián)邦儲蓄保險公司改善法案》，第36節(jié)規(guī)定，資產總額在5億美元以上的大銀行必須評估并報告內控的有效性，同時要求注冊會計師對管理層有關內控的聲明進行驗證。從此，內部控制審核作為獨立的業(yè)務登臺亮相。1993年，為了規(guī)范注冊會計師執(zhí)行內部控制審核業(yè)務，AICPA發(fā)布了SSAE No.2《財務報告內部控制的審核》，內部控制評估成為獨立的審核業(yè)務。

為什么科恩委員會和Treadway委員會提出內部控制鑒證建議而又未被采納？為什么《聯(lián)邦儲蓄保險公司改善法案》又做出獨立審核內部控制的規(guī)定？

20世紀70年代以來，美國財務報告舞弊已經引起了社會的廣泛關注，專門研究反財務報告欺詐的Treadway委員會成立，根據(jù)該委員會的研究，納入研究范圍的欺詐財務報告案例中約有50%是因內控失效導致的，在其提出的防止欺詐實務指引框架中，設計和實施有效的內部控制是重要的措施。另外，1977年實施的美國《反國外賄賂法案》，要求公司在保持健全會計記錄的同時，設計、建立和保持有效的內部會計控制系統(tǒng)，以作為防范公司對外國政府官員進行非法的政治援助或賄賂的措施?？梢姡谶@個階段，相關各界已經認識到內部控制缺陷帶來的損害，因此，希望在建立健全內部控制的同時，還實施內部控制外部鑒證。根據(jù)上述建議，SEC希望以立法的形式來推動內部控制的外部鑒證。然而，這些建議并沒有被采納，主要的原因之一是認為內部控制外部鑒證成本很高。

然而，1991年的《聯(lián)邦儲蓄保險公司改善法案》又為何做出獨立審核內部控制的規(guī)定呢？這與當時的背景相關，20世紀80年末期以來，由于美國商業(yè)銀行破產頻發(fā)，引起民眾對聯(lián)邦存款保險公司命運的擔憂。而商業(yè)銀行的內部控制是其應對風險的重要措施。在這種背景下，內部控制外部鑒證的效益就更加突顯，相關各方在權衡內部控制外部鑒證的成本效益時，就認為效益大于成本，從而商業(yè)銀行內部控制外部鑒證作為獨立業(yè)務在這種背景下出現(xiàn)了。由于這些商業(yè)銀行是私營組織，并不是公共組織，所以，注冊會計師是鑒證主體。

（三）財務報告內部控制審計階段（21世紀初至今）

2002年7月，美國國會發(fā)布《薩班斯-奧克斯利法案》（SOX），其中302和404條款規(guī)定，公司首席執(zhí)行官、首席財務官或類似職務者必須書面聲明對內控設計和執(zhí)行的有效性負責，并要求隨定期報告一同對外披露管理層對財務報告內部控制的評價報告，該報告還需經負責公司定期報告審計的注冊會計師的審計。

從而，上市公司內部控制外部審計作為一項獨立業(yè)務就出現(xiàn)了。這里有兩個問題需要回答，第一，為什么會出現(xiàn)這種業(yè)務？第二，為什么是這種業(yè)務是審計而不是審核？

在SOX之前，已經有多個機構多次提議對公司內部控制進行外部鑒證，但是，都以成本效益原因未能得到實施。事實上，相關各方對內部控制外部鑒證成本效益的權衡都是主觀判斷，并無客觀的數(shù)據(jù)。21世紀初，安然、世通等舞弊事件的發(fā)生，極大地動搖了投資者對資本市場的信心，這些事件的發(fā)生，突顯了內部控制缺陷給外部利益相關者帶來的損害，從而突顯了內部控制外部鑒證的巨大價值。相關各方認為，上市公司內部控制的外部鑒證符合成本效益原則，應該成為獨立的業(yè)務。同時，將這種獨立業(yè)務定性為審計，而不是類似于《聯(lián)邦儲蓄保險公司改善法案》中的審核，其原因是要求這種鑒證具有更高的保證程度。一般來說，審核提供的是有限保證意見，而審計提供的是合理保證意見。在SOX立法的背景下，相關各方對內部控制外部鑒證寄予很高的希望，所以，也要求較高的保證程度。另外一個需要解釋的問題是，由于美國上市公司基本上私營組織，所以，這些公司的內部控制外部鑒證當然由注冊會計師來實施。

以上根據(jù)本文提出的理論框架，分析了美國內部控制外部鑒證變遷的三個階段，總體來說，本文提出的內部控制外部鑒證理論能解釋美國內部控制外部鑒證的變遷。

五、結論和啟示

關于內部控制鑒證的需求因素，需要回答三個基本問題，第一，為什么需要內部控制？第二，為什么需要內部控制鑒證？第三，內部控制鑒證為什么出現(xiàn)多樣化？本文以環(huán)境不確定性和人性假設為基礎，系統(tǒng)解答上述三個基本問題。

關于為什么需要內部控制，有如下結論：環(huán)境不確定性或環(huán)境差異對內部控制目標的達成形成非預期的影響，從而使得設定的內部控制目標之達成具有不確定性；人性的自利會產生機會主義行為，表現(xiàn)為逆向行為和卸責，通過機會主義行為形成風險因素或影響內部控制目標之達成；人性的有限理性會產生次優(yōu)行為，出現(xiàn)非故意的錯誤或失誤，從而造成風險因素或影響內部控制目標的達成；為了應對上述風險因素對內部控制目標的影響，需要建立內部控制系統(tǒng)。

關于為什么需要內部控制鑒證，有如下結論：自利、有限理性、環(huán)境不確定性可能引致內部控制設計缺陷和執(zhí)行缺陷，這些缺陷的存在可能損害內部控制目標利益相關者的利益，這些利益相關者為了維護自己的利益，就產生了鑒證內部控制缺陷的需求，通過內部控制鑒證，及時發(fā)現(xiàn)內部控制缺陷并使之得到彌補，從而為內部控制目標之達成奠定更加可靠的基礎。

關于內部控制鑒證為什么出現(xiàn)多樣化，有如下結論：由于成本效益原則制約或利益相關者不介意內部控制缺陷造成的利益損害，一些組織沒有內部控制鑒證。內部控制是委托人抑制代理人機會主義行為、保障其利益不受損害的制度設計，同時，代理人的有限理性也可能帶來內部控制缺陷，所以，在委托代理關系下，基于代理人的自利和有限理性，委托人會產生內部控制鑒證需求，而委托代理關系可以分為內部委托代理關系和外部委托代理關系，從而出現(xiàn)了內部鑒證和外部鑒證。外部鑒證有兩種選擇，委托人或者自己建立機構，或者從市場上聘請。由于成本效益的考慮，公營組織的委托人建立了政府審計機構來實施內部控制鑒證，而私營組織的委托人則從市場上聘請注冊會計師來實施內部控制鑒證。

美國企業(yè)的內部控制外部鑒證大致經歷財務報表審計中的內部控制評價、財務報告內部控制審核、財務報告內部控制審計三個階段，本文提出的內部控制外部鑒證理論能解釋美國內部控制外部鑒證的變遷。

根據(jù)本文的結論，鑒證需求是內部控制鑒證的動力，沒有動力，內部控制鑒證就不會產生。目前，以我國上市公司為代表的公司企業(yè)已經初步有了內部控制鑒證制度（也許是制度移植的結果），而公共組織還未能建立這種制度，其重要原因是鑒證需求不強，需求不強的原因可能是沒有人真正關心公共組織內部控制缺陷帶來的損害，所以，政府作為公共組織的供資者，應該以成本效益原則為基礎，通過立法的形式建立公共組織內部控制鑒證制度。

【參考文獻】

[1] PETER M C，F(xiàn)ERGUSON C，HALL J.Auditor conservatism and voluntary disclosure：Evidence from the Year 2000 systems issue[J]. Accounting & Finance，2003，43（1）：21-40.

[2] BRONSON S N，CARCELLO J V，RAGHUNANDAN K. Firm characteristics and voluntary management reports on internal control[J]. Auditing：A Journal of Practice &Theory，2006，25（2）：25-39.

[3] ROGIER D，KNECHEL W R.Economic incentives for voluntary reporting on internal risk management and control systems[J]. Auditing：A Journal of Practice&Theory，2008，27（1）：35-66.

[4] 林斌，饒靜.上市公司為什么自愿披露內部控制鑒證報告[J].會計研究，2009（2）：45-52.

[5] 方紅星，金韻韻.公司特征、外部審計與內部控制信息的自愿披露[J].會計研究，2009（10）：44-52.

[6] ASHTON R H. An experimental study of internal control judgments[J].Journal of Accounting Research，1974，12（1）：143-157.

[7] ASHTON R H，Brown P R.Descritive modeling of auditor internal control judgments：replication and extension[J].Journal of Accounting Research，1980，18（1）：269-277.

[8] HAMILTON R E，Wright W F. Internal control judgments and effecots of experience：replications and extensions[J]. Journal of Accounting Research，1982，20（2）：756-765.

[9] TABOR R H. Internal control evaluations and audit program revision：some additional evidence[J]. Journal of Accounting Research，1983，21（1）：348-354.

[10] WU G.Preparerscontrol-risk assessments under alternative audit-review processes[J]. Accounting and Finance，2012，52（S1）：433-454.

[11] MAUTZ R K，MINI D L.Internal control evaluation and audit program modification[J]. Accounting Review，1966，41（2）：283-291.

[12] SMITH A. The relationship of internal control evaluation and audit sample size[J]. Accounting Review，1972，47（2）：260-269.

[13] 陳毓圭.充分認識內部控制審計制度重要意義 將內部控制審計業(yè)務做好做實做到位——在企業(yè)內部控制審計業(yè)務培訓班上的講話[J].中國注冊會計師，2012（1）：12-15.

[14] 吳秋生.內部控制審計有關問題探討[J].中國注冊會計師，2010（4）：60-64.

[15] 楊瑞平.內部控制審計有關問題探索[J].商業(yè)研究，2010（4）：63-67.

[16] 胡繼榮，徐飛，管小敏.風險導向下的財務報告內部控制審計研究[J].江西社會科學，2011（12）：216-220.

[17] 黃秋菊.對我國《企業(yè)內部控制審計指引》有關問題的探討[J].中國注冊會計師，2014（3）：66-72.

[18] 曹宇.內部控制審計理論研究[J].經濟視角，2011（8）：79-80.

[19] 李健.內部控制審計理論研究[J].中國證券期貨，2011（1）：87-88.

[20] WILLIAMSON O E. The modern corporation：origins，evolution，attributes[J].Journal of Economics Literate，1981，19（4）：1537-1568.

[21] SIMON H A.A behavioral model of rational choice[J].The Quarterly Journal of Economics，1955，69（1）：99-118.

[22] FAMA E F，JENSEN M C.Separation of ownership and control[J]. Journal of Law and Economics，1983，26（2）：301-325.

[23] 鄭石橋，陳丹萍.機會主義、問責機制和審計[J].中南財經政法大學學報，2011（4）：129-134.

[24] 朱榮恩，應唯，袁敏.美國財務報告內部控制評價的發(fā)展及對我國的啟示[J].會計研究，2003（8）：48-53.

[25] 張龍平，陳作習，宋浩.美國內部控制審計的制度變遷及其啟示[J].會計研究，2009（2）：75-80.