鄭石橋

【摘 要】 內(nèi)部控制缺陷是超過可容忍的風(fēng)險(xiǎn)暴露，它與內(nèi)部控制局限性、內(nèi)部控制例外事項(xiàng)、內(nèi)部控制偏差這些概念，既有聯(lián)系，也有區(qū)別。內(nèi)部控制缺陷識別是尋找和確認(rèn)內(nèi)部控制缺陷，首先是尋找內(nèi)部控制偏差，然后從偏差中識別出需要進(jìn)行風(fēng)險(xiǎn)暴露評估的內(nèi)部控制缺陷，在此基礎(chǔ)上區(qū)分不同的內(nèi)部控制目標(biāo)，通過定量或定性方法評估內(nèi)部控制缺陷的風(fēng)險(xiǎn)暴露，將風(fēng)險(xiǎn)暴露評估結(jié)果與風(fēng)險(xiǎn)承受度相比較，確認(rèn)內(nèi)部控制缺陷。內(nèi)部控制缺陷認(rèn)定是將確認(rèn)的內(nèi)部控制缺陷分為不同的等級，需要將確認(rèn)的內(nèi)部控制缺陷分為兩類，一類通過定性標(biāo)準(zhǔn)將其劃分為不同等級，一類通過定量標(biāo)準(zhǔn)將其劃分為不同等級。

【關(guān)鍵詞】 內(nèi)部控制缺陷； 內(nèi)部控制缺陷識別； 內(nèi)部控制缺陷認(rèn)定； 內(nèi)部控制風(fēng)險(xiǎn)暴露； 風(fēng)險(xiǎn)承受度

【中圖分類號】 F239.44 【文獻(xiàn)標(biāo)識碼】 A 【文章編號】 1004-5937（2017）18-0119-06

一、引言

內(nèi)部控制鑒證對優(yōu)化內(nèi)部控制、提升組織的管理水平和資本市場效率具有重要的作用。內(nèi)部控制鑒證內(nèi)容是內(nèi)部控制缺陷，在鑒證內(nèi)部控制缺陷的基礎(chǔ)上，通過內(nèi)部控制缺陷性與有效性的互補(bǔ)關(guān)系，確定內(nèi)部控制有效性。從某種意義上來說，內(nèi)部控制鑒證就是尋找內(nèi)部控制缺陷并對內(nèi)部控制缺陷進(jìn)行等級劃分的過程。一般來說，尋找內(nèi)部控制缺陷稱為內(nèi)部控制缺陷識別，而對內(nèi)部控制缺陷進(jìn)行等級劃分則稱為內(nèi)部控制缺陷認(rèn)定。目前，從內(nèi)部控制鑒證實(shí)務(wù)來看，內(nèi)部控制缺陷識別和認(rèn)定已經(jīng)成為內(nèi)部控制評價(jià)或?qū)徲?jì)的重大挑戰(zhàn)之一[ 1 ]。

圍繞內(nèi)部控制缺陷識別和認(rèn)定，有大量的工作性研究文獻(xiàn)，也有一定數(shù)量的學(xué)術(shù)性研究文獻(xiàn)，還有一些權(quán)威規(guī)范的規(guī)定。然而，目前仍然存在三個(gè)主要問題，一是相關(guān)概念混亂，二是邏輯框架缺乏，三是相關(guān)標(biāo)準(zhǔn)缺乏。本文認(rèn)為概念是基礎(chǔ)，概念不清楚則無法構(gòu)建邏輯框架，而邏輯框架不清楚則無法進(jìn)行制度構(gòu)建和實(shí)施鑒證行動(dòng)。基于此，本文致力于厘清內(nèi)部控制缺陷識別和認(rèn)定的相關(guān)概念及構(gòu)建邏輯框架。由于篇幅所限，本文不涉及相關(guān)標(biāo)準(zhǔn)。

隨后的內(nèi)容安排如下：首先是簡要的文獻(xiàn)綜述，梳理內(nèi)部控制缺陷識別和認(rèn)定的相關(guān)文獻(xiàn)；在此基礎(chǔ)上，厘清內(nèi)部控制缺陷識別和認(rèn)定的相關(guān)概念；然后提出內(nèi)部控制識別和認(rèn)定的邏輯框架；最后是結(jié)論和啟示。

二、文獻(xiàn)綜述

內(nèi)部控制缺陷有許多研究文獻(xiàn)，本文主要關(guān)注兩類文獻(xiàn)，一是內(nèi)部控制缺陷相關(guān)概念，二是內(nèi)部控制缺陷識別和認(rèn)定的邏輯步驟。

關(guān)于內(nèi)部控制缺陷相關(guān)概念，國外的一些權(quán)威規(guī)范涉及內(nèi)部控制缺陷、內(nèi)部控制重大缺陷、內(nèi)部控制重要缺陷、內(nèi)部控制一般缺陷、內(nèi)部控制局限性[ 2-6 ]。國內(nèi)的相關(guān)權(quán)威規(guī)范也涉及上述概念。就學(xué)術(shù)研究文獻(xiàn)來說，根據(jù)白華、高立[ 7 ]及曹丹、董佳宇[ 8 ]的文獻(xiàn)綜述，國外文獻(xiàn)很少研究內(nèi)部控制缺陷相關(guān)概念。國內(nèi)的不少文獻(xiàn)研究內(nèi)部控制缺陷的概念，一般認(rèn)為，內(nèi)部控制缺陷是內(nèi)部控制過程存在的缺點(diǎn)或不足，這種缺點(diǎn)或不足直接導(dǎo)致了內(nèi)部控制無法為控制目標(biāo)的實(shí)現(xiàn)提供合理保證[ 9-12 ]。一些文獻(xiàn)還研究了內(nèi)部控制缺陷與內(nèi)部控制局限性的關(guān)系，認(rèn)為二者的共性是都會導(dǎo)致內(nèi)部控制目標(biāo)受阻，但是，二者存在本質(zhì)區(qū)別，不能將內(nèi)部控制局限性確認(rèn)為內(nèi)部控制缺陷[ 9，11 ]。還有一些文獻(xiàn)分析了內(nèi)部控制缺陷性和有效性的關(guān)系，認(rèn)為二者是互補(bǔ)關(guān)系，從100%減去內(nèi)部控制缺陷性就是有效性[ 9，13 ]。

關(guān)于內(nèi)部控制缺陷識別和認(rèn)定的邏輯步驟，美國PCAOB-AS5及日本《關(guān)于財(cái)務(wù)報(bào)告內(nèi)部控制評價(jià)與審計(jì)準(zhǔn)則以及財(cái)務(wù)報(bào)告控制評價(jià)與審計(jì)實(shí)施準(zhǔn)則的制定（意見書）》都選擇“從上到下，風(fēng)險(xiǎn)導(dǎo)向”這種風(fēng)險(xiǎn)基礎(chǔ)法作為主流方法。也有一些學(xué)術(shù)文獻(xiàn)研究不同模式的效率[ 14-15 ]。國內(nèi)文獻(xiàn)也有一些研究內(nèi)部控制缺陷識別和認(rèn)定的邏輯步驟，南京大學(xué)會計(jì)與財(cái)務(wù)研究院課題組[ 16 ]提出了基于內(nèi)部控制要素的內(nèi)部控制評價(jià)基本框架及模式。王惠芳[ 17 ]認(rèn)為，內(nèi)控缺陷規(guī)范標(biāo)準(zhǔn)應(yīng)采用規(guī)則式與原則式相結(jié)合的制定思路。李宇立[ 18 ]認(rèn)為，缺陷的識別與認(rèn)定是一個(gè)過程，包含三個(gè)步驟：首先，確定風(fēng)險(xiǎn)偏好和風(fēng)險(xiǎn)容忍度；其次，將單位層面的風(fēng)險(xiǎn)容忍度“自上而下”地在各層級分配；最后，將敞口風(fēng)險(xiǎn)與對應(yīng)的風(fēng)險(xiǎn)容忍度進(jìn)行對比。廖高玲[ 19 ]提出了原則式與規(guī)則式互補(bǔ)的框架。李丹平[ 20 ]提出基于目標(biāo)導(dǎo)向的內(nèi)部控制缺陷認(rèn)定，將內(nèi)部控制缺陷分為已經(jīng)造成了內(nèi)部控制目標(biāo)偏離的內(nèi)部控制缺陷和潛在的尚未造成內(nèi)部控制目標(biāo)偏離的內(nèi)部控制缺陷，通過結(jié)果評價(jià)和過程評價(jià)，認(rèn)定內(nèi)部控制缺陷。

上述權(quán)威規(guī)范和研究文獻(xiàn)，對于我們認(rèn)知內(nèi)部控制缺陷識別和認(rèn)定有較大的啟發(fā)，然而，關(guān)于內(nèi)部控制缺陷識別和認(rèn)定，仍然存在三個(gè)問題：一是相關(guān)概念混亂，二是邏輯框架缺乏，三是相關(guān)標(biāo)準(zhǔn)缺乏。本文將致力于厘清前兩個(gè)問題。

三、內(nèi)部控制缺陷識別和認(rèn)定的相關(guān)概念之厘清

（一）內(nèi)部控制缺陷識別和內(nèi)部控制缺陷認(rèn)定

內(nèi)部控制缺陷識別和內(nèi)部控制缺陷認(rèn)定的概念沒有明確界定。從邏輯上來說，內(nèi)部控制鑒證包括兩個(gè)步驟，一是尋找內(nèi)部控制缺陷，二是對已經(jīng)找到的內(nèi)部控制缺陷劃分等級。本文將前者稱為內(nèi)部控制缺陷識別，后者稱為內(nèi)部控制缺陷認(rèn)定。上述兩個(gè)步驟存在重大差異。然而，很多文獻(xiàn)將上述兩個(gè)步驟混為一談。

財(cái)政部等頒布的《企業(yè)內(nèi)部控制基本規(guī)范》第四十五條規(guī)定，“企業(yè)應(yīng)當(dāng)制定內(nèi)部控制缺陷認(rèn)定標(biāo)準(zhǔn)，對監(jiān)督過程中發(fā)現(xiàn)的內(nèi)部控制缺陷，應(yīng)當(dāng)分析缺陷的性質(zhì)和產(chǎn)生的原因，提出整改方案，采取適當(dāng)?shù)男问郊皶r(shí)向董事會、監(jiān)事會或者經(jīng)理層報(bào)告”。中國內(nèi)部審計(jì)協(xié)會《第2201號內(nèi)部審計(jì)具體準(zhǔn)則——內(nèi)部控制審計(jì)》第二十二條規(guī)定，“內(nèi)部審計(jì)人員應(yīng)當(dāng)根據(jù)獲取的證據(jù)，對內(nèi)部控制缺陷進(jìn)行初步認(rèn)定，并按照其性質(zhì)和影響程度分為重大缺陷、重要缺陷和一般缺陷”。這里的內(nèi)部控制缺陷認(rèn)定，無法區(qū)分是指對尋找到的內(nèi)部控制缺陷之確認(rèn)，還是對內(nèi)部控制缺陷劃分等級。筆者推測，應(yīng)該是兩方面的含義都有。endprint

財(cái)政部等頒布的《企業(yè)內(nèi)部控制評價(jià)指引》第十七條規(guī)定，“內(nèi)部控制評價(jià)工作組應(yīng)當(dāng)根據(jù)現(xiàn)場測試獲取的證據(jù)，對內(nèi)部控制缺陷進(jìn)行初步認(rèn)定，并按其影響程度分為重大缺陷、重要缺陷和一般缺陷”。很顯然，這里的內(nèi)部控制缺陷認(rèn)定是指對內(nèi)部控制缺陷劃分等級，并未包括對尋找到的內(nèi)部控制缺陷之確認(rèn)。縱觀《企業(yè)內(nèi)部控制評價(jià)指引》，找不到關(guān)于對尋找到的內(nèi)部控制缺陷之確認(rèn)的相關(guān)規(guī)定。筆者推測，應(yīng)該是將內(nèi)部控制缺陷識別作為內(nèi)部控制缺陷認(rèn)定處理了。

財(cái)政部等頒布的《企業(yè)內(nèi)部控制審計(jì)指引》第二十條規(guī)定，“注冊會計(jì)師應(yīng)當(dāng)評價(jià)其識別的各項(xiàng)內(nèi)部控制缺陷的嚴(yán)重程度，以確定這些缺陷單獨(dú)或組合起來，是否構(gòu)成重大缺陷”。中國注冊會計(jì)師協(xié)會頒布的《企業(yè)內(nèi)部控制審計(jì)指引實(shí)施意見》規(guī)定，“注冊會計(jì)師要對內(nèi)部控制缺陷進(jìn)行評價(jià)，以劃分為不同等級”。很顯然，這里的缺陷評價(jià)，就是對內(nèi)部控制缺陷劃分等級。

通過對上述權(quán)威規(guī)范的描述，不難發(fā)現(xiàn)，現(xiàn)有的權(quán)威規(guī)范并未區(qū)分內(nèi)部控制缺陷識別和內(nèi)部控制缺陷認(rèn)定，只是籠統(tǒng)地作為內(nèi)部控制缺陷認(rèn)定，而內(nèi)部控制缺陷認(rèn)定也沒有統(tǒng)一的名稱，有的規(guī)范中稱為內(nèi)部控制缺陷評價(jià)。

確認(rèn)一種狀態(tài)是不是內(nèi)部控制缺陷，對已經(jīng)確認(rèn)的內(nèi)部控制缺陷進(jìn)行等級劃分，這是兩項(xiàng)有重要區(qū)別的審計(jì)工作，其依賴的審計(jì)標(biāo)準(zhǔn)不同，使用的審計(jì)程序也不同，完全不能將二者混為一談。為此，本文將尋找內(nèi)部控制缺陷這一過程稱為內(nèi)部控制缺陷識別，對已經(jīng)識別的內(nèi)部控制缺陷劃分等級這一過程稱為內(nèi)部控制缺陷認(rèn)定。它們依賴的標(biāo)準(zhǔn)不同，采用的技術(shù)方法不同，但是，共同組成內(nèi)部控制鑒證的核心內(nèi)容。

（二）內(nèi)部控制缺陷及其與相關(guān)概念的關(guān)系

內(nèi)部控制缺陷及其與相關(guān)概念之間的關(guān)系并未明確界定。與內(nèi)部控制缺陷相近的概念有三個(gè)，一是內(nèi)部控制偏差，二是內(nèi)部控制局限性，三是內(nèi)部控制例外事項(xiàng)。只有將它們四者聯(lián)系起來分析，才能厘清內(nèi)部控制缺陷的實(shí)質(zhì)。

關(guān)于內(nèi)部控制缺陷，COSO-IC和COSO-RM的定義是，已經(jīng)察覺的、潛在或?qū)嶋H的缺點(diǎn)，抑或通過強(qiáng)化措施能夠帶來目標(biāo)實(shí)現(xiàn)更大可能性的機(jī)會。PCAOB-AS5從財(cái)務(wù)報(bào)告內(nèi)部控制缺陷角度指出，當(dāng)控制的設(shè)計(jì)或運(yùn)行不能使管理層或員工在履行其日常職責(zé)的過程中防止或及時(shí)發(fā)現(xiàn)錯(cuò)誤，那么，財(cái)務(wù)報(bào)告內(nèi)部控制就存在缺陷。同時(shí)，COSO-IC和COSO-RM都使用了內(nèi)部控制局限性這個(gè)概念，還列舉了局限性的典型表現(xiàn)：決策過程中可能出現(xiàn)錯(cuò)誤判斷；執(zhí)行過程中可能出現(xiàn)錯(cuò)誤或過失；因勾結(jié)串通或管理層越權(quán)而失效；制約與控制帶來的收益與執(zhí)行控制成本之間的權(quán)衡。

我國《企業(yè)內(nèi)部控制基本規(guī)范》《企業(yè)內(nèi)部控制評價(jià)指引》《第2201號內(nèi)部審計(jì)具體準(zhǔn)則——內(nèi)部控制審計(jì)》《企業(yè)內(nèi)部控制審計(jì)指引》均使用了內(nèi)部控制缺陷這個(gè)概念，但是沒有界定這個(gè)概念?！镀髽I(yè)內(nèi)部控制基本規(guī)范》《企業(yè)內(nèi)部控制評價(jià)指引》《第2201號內(nèi)部審計(jì)具體準(zhǔn)則——內(nèi)部控制審計(jì)》沒有使用內(nèi)部控制局限性這個(gè)概念?！镀髽I(yè)內(nèi)部控制審計(jì)指引》要求內(nèi)部控制審計(jì)報(bào)告中說明內(nèi)部控制局限性，但是并沒有明確界定這個(gè)概念。可見，在我國的相關(guān)權(quán)威規(guī)范中，并未嚴(yán)格區(qū)分內(nèi)部控制缺陷和內(nèi)部控制局限性。

一些學(xué)術(shù)文獻(xiàn)涉及內(nèi)部控制缺陷和內(nèi)部控制局限性的區(qū)別，主要體現(xiàn)在：內(nèi)部控制缺陷是內(nèi)部控制設(shè)計(jì)者在設(shè)計(jì)過程中未意識到的缺點(diǎn)，以及內(nèi)部控制執(zhí)行過程中不按設(shè)計(jì)意圖運(yùn)行而產(chǎn)生運(yùn)行結(jié)果偏差的可能；內(nèi)部控制局限性則是設(shè)計(jì)者在設(shè)計(jì)過程中事先預(yù)留的風(fēng)險(xiǎn)敞口，以及運(yùn)行過程中按照設(shè)計(jì)意圖運(yùn)行也無法實(shí)現(xiàn)控制目標(biāo)的可能[ 9，11 ]。

至于內(nèi)部控制偏差、內(nèi)部控制例外事項(xiàng)，幾乎所有的相關(guān)權(quán)威規(guī)范都沒有涉及，只是在一些會計(jì)師事務(wù)所的操作指南和上市公司的內(nèi)部控制評價(jià)指引中有一些規(guī)定①。

本文認(rèn)為，內(nèi)部控制偏差、內(nèi)部控制缺陷、內(nèi)部控制局限性、內(nèi)部控制例外事項(xiàng)存在重大差異。正確區(qū)分它們，是內(nèi)部控制缺陷識別的前提。它們之間的關(guān)系如圖1所示。

內(nèi)部控制偏差是對內(nèi)部控制應(yīng)然狀況的偏差，這種偏差又分為兩種情形：一是由于偶然性因素的作用而產(chǎn)生的，稱為偶然性偏差；二是由于系統(tǒng)性因素的作用而產(chǎn)生的，稱為系統(tǒng)性偏差。這兩種偏差的重要區(qū)別是：偶然性偏差完全是由偶然因素造成的，并不是內(nèi)部控制系統(tǒng)本身的原因而產(chǎn)生的，一般來說，不會重復(fù)發(fā)生。例如，某人因?yàn)榧彝ゼm紛而心情不好導(dǎo)致內(nèi)部控制失誤，因?yàn)闃O端天氣導(dǎo)致某機(jī)器不能有效運(yùn)行，這些只是在極為偶然的情形下發(fā)生的內(nèi)部控制偏差，并不能表明內(nèi)部控制系統(tǒng)以后還會產(chǎn)生同樣的偏差。系統(tǒng)性偏差是由內(nèi)部控制系統(tǒng)本身的原因而產(chǎn)生的，并且，只要條件具備，還可能重復(fù)發(fā)生。例如，某崗位存在不相容職能，致使該崗位員工貪污，只要該崗位職能不變，則該崗位還可能發(fā)生貪污行為，所以，系統(tǒng)性偏差表明內(nèi)部控制系統(tǒng)本身存在瑕疵，這種系統(tǒng)性偏差稱為內(nèi)部控制瑕疵，只要這種瑕疵沒有得到修復(fù)，以后還可能繼續(xù)發(fā)生內(nèi)部控制偏差。

系統(tǒng)性偏差表明內(nèi)部控制存在瑕疵，但是，內(nèi)部控制瑕疵又分為兩種類型，一是內(nèi)部控制缺陷，二是內(nèi)部控制局限性。這二者的共性是它們都會導(dǎo)致內(nèi)部控制目標(biāo)偏離，所以從結(jié)果視角來看二者無區(qū)別。但是，內(nèi)部控制局限性是源于成本效益原則的考慮，在某些情形下，明知有風(fēng)險(xiǎn)暴露，但是如果對該風(fēng)險(xiǎn)進(jìn)行控制則不符合成本效益原則，所以有意識地放任這些風(fēng)險(xiǎn)。而內(nèi)部控制缺陷則不同，它并不是有意識的風(fēng)險(xiǎn)暴露，從制度設(shè)計(jì)來說，對這些風(fēng)險(xiǎn)進(jìn)行控制是符合成本效益原則的，之所以形成風(fēng)險(xiǎn)暴露，要么是未能識別這些風(fēng)險(xiǎn)，要么是設(shè)計(jì)的應(yīng)對措施不足以應(yīng)對這些風(fēng)險(xiǎn)，要么是設(shè)計(jì)的應(yīng)對措施沒有得到有效執(zhí)行，總之是對本該應(yīng)對的風(fēng)險(xiǎn)未能有效地應(yīng)對。從這個(gè)意義上，有些文獻(xiàn)認(rèn)為，正是由于內(nèi)部控制局限性的存在，所以內(nèi)部控制目標(biāo)不能絕對保證，正是內(nèi)部控制缺陷的存在使得內(nèi)部控制擬提供的保證程度未能達(dá)成[ 9，11 ]。

至此，內(nèi)部控制偏差可以分為三種類型，一是內(nèi)部控制缺陷，二是內(nèi)部控制局限性，三是偶然因素造成的內(nèi)部控制偏差，前兩者組成內(nèi)部控制瑕疵。很顯然，內(nèi)部控制局限性造成的偏差和偶然因素造成的內(nèi)部控制偏差無法通過內(nèi)部控制鑒證來提升優(yōu)化其水平并進(jìn)而達(dá)到抑制其偏差的目的，都界定為內(nèi)部控制例外事項(xiàng)，內(nèi)部控制鑒證只能針對內(nèi)部控制缺陷。正確地厘清它們之間的關(guān)系，是有效識別內(nèi)部控制缺陷的前提。endprint

四、內(nèi)部控制缺陷識別和認(rèn)定的邏輯框架

（一）內(nèi)部控制缺陷識別和認(rèn)定的總體邏輯框架

內(nèi)部控制鑒證的內(nèi)容是內(nèi)部控制缺陷性。從邏輯上來說，內(nèi)部控制鑒證包括三個(gè)步驟：一是尋找內(nèi)部控制缺陷，一般稱為內(nèi)部控制缺陷識別；二是對已經(jīng)識別的內(nèi)部控制缺陷進(jìn)行等級分類，一般稱為內(nèi)部控制缺陷認(rèn)定；三是在此基礎(chǔ)上，根據(jù)內(nèi)部控制缺陷性和有效性的互補(bǔ)關(guān)系，確定內(nèi)部控制有效性。一般來說，只有內(nèi)部控制存在重大缺陷時(shí)，才能確定其整體無效。當(dāng)然，內(nèi)部控制缺陷識別和認(rèn)定本身還有許多步驟。大致來說，內(nèi)部控制缺陷識別和認(rèn)定的總體邏輯過程如圖2所示。

（二）內(nèi)部控制缺陷識別的邏輯框架

內(nèi)部控制缺陷識別就是尋找并確認(rèn)內(nèi)部控制缺陷。根據(jù)圖2所示，內(nèi)部控制缺陷識別首先是通過審計(jì)程序來尋找內(nèi)部控制偏差。一般來說，尋找內(nèi)部控制偏差有兩種模式：一是風(fēng)險(xiǎn)基礎(chǔ)法（risk-based audit approach），也稱為原則導(dǎo)向法，其特點(diǎn)是從“風(fēng)險(xiǎn)”到“控制”；二是控制基礎(chǔ)法（control-based audit approach），也稱為規(guī)則導(dǎo)向法，還稱為詳細(xì)評價(jià)法，其特點(diǎn)是“控制”到“風(fēng)險(xiǎn)”[ 14-15，21 ]。美國的PCAOB-AS5、日本《關(guān)于財(cái)務(wù)報(bào)告內(nèi)部控制評價(jià)與審計(jì)準(zhǔn)則以及財(cái)務(wù)報(bào)告控制評價(jià)與審計(jì)實(shí)施準(zhǔn)則的制定（意見書）》及我國的內(nèi)部控制審計(jì)準(zhǔn)則都選擇“從上到下，風(fēng)險(xiǎn)導(dǎo)向”這種風(fēng)險(xiǎn)基礎(chǔ)法作為主流方法。

對于識別的內(nèi)部控制偏差，要將其區(qū)分為內(nèi)部控制缺陷和內(nèi)部控制例外事項(xiàng)。對于確認(rèn)的內(nèi)部控制缺陷，要評估其風(fēng)險(xiǎn)暴露。風(fēng)險(xiǎn)暴露是指風(fēng)險(xiǎn)與應(yīng)對措施之差異，它源于控制措施不足以應(yīng)對其擬應(yīng)對的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)暴露有三個(gè)原因：一是未能有效識別風(fēng)險(xiǎn)，致使有的風(fēng)險(xiǎn)沒有設(shè)計(jì)應(yīng)對措施；二是設(shè)計(jì)的控制措施不足以應(yīng)對其擬應(yīng)對的風(fēng)險(xiǎn)；三是設(shè)計(jì)的內(nèi)部控制措施未能得到有效執(zhí)行，所以不能有效應(yīng)對其擬應(yīng)對的風(fēng)險(xiǎn)。內(nèi)部控制基本要素的任何一方面存在缺陷，都可能導(dǎo)致上述三個(gè)原因的產(chǎn)生。例如，風(fēng)險(xiǎn)評估要素存在缺陷，致使一些重要的風(fēng)險(xiǎn)未能識別；控制活動(dòng)或控制環(huán)境或信息與溝通設(shè)計(jì)不當(dāng)或執(zhí)行不力，致使風(fēng)險(xiǎn)未能得到有效應(yīng)對；內(nèi)部監(jiān)視失敗，致使內(nèi)部控制系統(tǒng)未能有效運(yùn)行，從而風(fēng)險(xiǎn)未能得到有效應(yīng)對。

對確認(rèn)的內(nèi)部控制缺陷進(jìn)行風(fēng)險(xiǎn)暴露評估，要區(qū)分不同的內(nèi)部控制目標(biāo)分別進(jìn)行。因?yàn)閮?nèi)部控制目標(biāo)有多種，任何一個(gè)組織對于不同的控制目標(biāo)會有不同的風(fēng)險(xiǎn)承受度（如圖3所示），同時(shí)，任何一個(gè)內(nèi)部控制缺陷對于不同的內(nèi)部控制目標(biāo)會有不同的影響，如果不區(qū)分內(nèi)部控制目標(biāo)，則無法確定風(fēng)險(xiǎn)暴露。

內(nèi)部控制缺陷風(fēng)險(xiǎn)暴露評估要區(qū)分現(xiàn)實(shí)缺陷和潛在缺陷分別評估?，F(xiàn)實(shí)缺陷是指已經(jīng)對內(nèi)部控制目標(biāo)形成影響的缺陷，潛在缺陷指還未對內(nèi)部控制目標(biāo)形成影響的缺陷?，F(xiàn)實(shí)缺陷按從樣本推斷總體的方法，根據(jù)對樣本的影響來推斷這種缺陷對總體的可能影響。潛在缺陷要估計(jì)兩個(gè)方面：一是影響發(fā)生的可能性；二是一旦發(fā)生，其影響程度。這兩方面結(jié)合起來，就是潛在影響的期望值。很顯然，兩者都具有主觀判斷，但是，潛在缺陷的主觀判斷成分更大[ 12 ]。風(fēng)險(xiǎn)暴露評估要兼顧內(nèi)部控制過程和結(jié)果，有定性和定量的許多技術(shù)方法，限于篇幅，這里不展開討論。

以每個(gè)內(nèi)部控制目標(biāo)為基礎(chǔ)進(jìn)行風(fēng)險(xiǎn)暴露評估之后，要將評估的風(fēng)險(xiǎn)暴露與該目標(biāo)的風(fēng)險(xiǎn)承受度相比較，確定超過可容忍的風(fēng)險(xiǎn)暴露。一般來說，它們?nèi)咧g有如下關(guān)系：

超過可容忍的風(fēng)險(xiǎn)暴露（ORi）=風(fēng)險(xiǎn)暴露評估值（ERi）-風(fēng)險(xiǎn)承受度（ARi）

這里的i表示第i項(xiàng)內(nèi)部控制目標(biāo)。如果ORi小于零，則不必確認(rèn)為內(nèi)部控制缺陷；只有當(dāng)ORi大于零時(shí)，才確認(rèn)為內(nèi)部控制缺陷[ 12，18 ]。

另外，KPMG[ 22 ]的調(diào)查發(fā)現(xiàn)，只有極少數(shù)公司對風(fēng)險(xiǎn)偏好進(jìn)行了定義和溝通，僅25%的公司對風(fēng)險(xiǎn)偏好有正式的闡述，絕大多數(shù)公司并沒有定義和溝通風(fēng)險(xiǎn)偏好。風(fēng)險(xiǎn)偏好與風(fēng)險(xiǎn)承受度是異曲同工的，沒有風(fēng)險(xiǎn)偏好的確定，當(dāng)然也無從談風(fēng)險(xiǎn)承受度的確定。所以，對于大多數(shù)企業(yè)來說，ORi的確定具有挑戰(zhàn)性。

（三）內(nèi)部控制缺陷認(rèn)定的邏輯框架

對于已經(jīng)確認(rèn)的內(nèi)部控制缺陷，要對其劃分等級，這就是內(nèi)部控制缺陷認(rèn)定。美國PCAOB-AS5、日本《關(guān)于財(cái)務(wù)報(bào)告內(nèi)部控制評價(jià)與審計(jì)準(zhǔn)則以及財(cái)務(wù)報(bào)告控制評價(jià)與審計(jì)實(shí)施準(zhǔn)則的制定（意見書）》及我國《內(nèi)部控制評價(jià)指引》《內(nèi)部控制審計(jì)指引》都將內(nèi)部控制缺陷嚴(yán)重程度劃分為三個(gè)等級：重大缺陷，重要缺陷，一般缺陷。由于內(nèi)部控制缺陷要分控制目標(biāo)來識別，所以其認(rèn)定自然也要按不同的內(nèi)部控制目標(biāo)來進(jìn)行。以我國《企業(yè)內(nèi)部控制基本規(guī)范》所確定的內(nèi)部控制目標(biāo)為基礎(chǔ)，內(nèi)部控制缺陷認(rèn)定的基本情形如表1所示。

問題的關(guān)健是，如何將內(nèi)部控制缺陷認(rèn)定為不同等級呢？國內(nèi)外的相關(guān)權(quán)威規(guī)范都要求審計(jì)師自行確定內(nèi)部控制缺陷認(rèn)定標(biāo)準(zhǔn)。內(nèi)部控制缺陷認(rèn)定的核心是風(fēng)險(xiǎn)暴露評估，而風(fēng)險(xiǎn)暴露評估又有定性評估和定量評估兩種情形。定性評估主要適用于對內(nèi)部控制目標(biāo)有影響但是又難以通過量化的方式來確定其影響程度，或者雖然能主觀判斷其影響但是這種判斷的主觀成分太大，以至于不具有合理的可靠性。對于這些內(nèi)部控制缺陷，要通過不斷的經(jīng)驗(yàn)積累，采用例舉的方式來確定其缺陷等級。例如，財(cái)政部頒布的《企業(yè)內(nèi)部控制審計(jì)指引》第二十二條規(guī)定，下列跡象表明內(nèi)部控制可能存在重大缺陷：注冊會計(jì)師發(fā)現(xiàn)董事、監(jiān)事和高級管理人員舞弊；企業(yè)更正已經(jīng)公布的財(cái)務(wù)報(bào)表；注冊會計(jì)師發(fā)現(xiàn)當(dāng)期財(cái)務(wù)報(bào)表存在重大錯(cuò)報(bào)，而內(nèi)部控制在運(yùn)行過程中未能發(fā)現(xiàn)該錯(cuò)報(bào)；企業(yè)審計(jì)委員會和內(nèi)部審計(jì)機(jī)構(gòu)對內(nèi)部控制的監(jiān)督無效。定量評估主要適用于能量化風(fēng)險(xiǎn)暴露的內(nèi)部控制缺陷，認(rèn)定的基本思想是根據(jù)超過可容忍的風(fēng)險(xiǎn)暴露（ORi）程度，一般將這種超過程度劃分為三個(gè)等級，按超過程度分別確定為重大缺陷、重要缺陷、一般缺陷。當(dāng)然，無論是定性認(rèn)定還是定量認(rèn)定，都需要確定缺陷認(rèn)定標(biāo)準(zhǔn)。定性標(biāo)準(zhǔn)和定量標(biāo)準(zhǔn)制定也涉及許多問題，由于篇幅所限，這里不展開討論。endprint

雖然內(nèi)部控制缺陷風(fēng)險(xiǎn)暴露有定性評估和定量評估，但是它們的使用具有邏輯順序。首先判斷是否屬于定性評估范圍，如果是，則按定性標(biāo)準(zhǔn)進(jìn)行認(rèn)定；如果不適用定性評估，則按定量標(biāo)準(zhǔn)進(jìn)行認(rèn)定。事實(shí)也是如此，研究發(fā)現(xiàn)在美上市公司的許多重大缺陷是根據(jù)內(nèi)部控制審計(jì)準(zhǔn)則指出的表明公司內(nèi)部控制可能存在重大缺陷的重要跡象來認(rèn)定的，其他的則通過重大缺陷的定義來認(rèn)定[ 23 ]。

五、結(jié)論和啟示

內(nèi)部控制鑒證的核心內(nèi)容是內(nèi)部控制缺陷識別和認(rèn)定，圍繞內(nèi)部控制缺陷識別和認(rèn)定，有一些相關(guān)的權(quán)威規(guī)范和大量的研究性文獻(xiàn)。然而，目前仍然存在三個(gè)主要問題，一是相關(guān)概念混亂，二是邏輯框架缺乏，三是相關(guān)標(biāo)準(zhǔn)缺乏。本文主要關(guān)注前兩個(gè)問題。

從本質(zhì)上來說，內(nèi)部控制缺陷是超過可容忍的風(fēng)險(xiǎn)暴露，是由過程缺陷而導(dǎo)致的結(jié)果偏差。它與內(nèi)部控制局限性、內(nèi)部控制例外事項(xiàng)、內(nèi)部控制偏差這些概念，既有聯(lián)系，也有區(qū)別。內(nèi)部控制缺陷識別是尋找和確認(rèn)內(nèi)部控制缺陷，首先是通過風(fēng)險(xiǎn)基礎(chǔ)法或控制基礎(chǔ)法尋找內(nèi)部控制偏差，然后從偏差剔除例外事項(xiàng)，識別出需要進(jìn)行風(fēng)險(xiǎn)暴露評估的內(nèi)部控制缺陷，在此基礎(chǔ)上，區(qū)分不同的內(nèi)部控制目標(biāo)，通過定量或定性方法評估內(nèi)部控制缺陷的風(fēng)險(xiǎn)暴露，將特定內(nèi)部控制目標(biāo)的風(fēng)險(xiǎn)暴露評估結(jié)果與事先確定的相應(yīng)控制目標(biāo)的風(fēng)險(xiǎn)承受度相比較，確認(rèn)內(nèi)部控制缺陷。內(nèi)部控制缺陷認(rèn)定是將確認(rèn)的內(nèi)部控制缺陷分為不同等級，需要將確認(rèn)的內(nèi)部控制缺陷分為兩類，一類通過定性標(biāo)準(zhǔn)將其劃分為不同等級，一類通過定量標(biāo)準(zhǔn)將其劃分為不同等級。

本文的結(jié)論啟示我們，內(nèi)部控制缺陷識別和認(rèn)定是一個(gè)復(fù)雜的系統(tǒng)工程，這一過程中需要很多的職業(yè)判斷，也面臨很多的選擇，主觀成分較多。為此，一方面需要從業(yè)人員具有較高的職業(yè)素養(yǎng)，需要對被審計(jì)單位的內(nèi)部控制有深刻的理解，更需要對內(nèi)部控制鑒證相關(guān)權(quán)威規(guī)范的要義有深刻的把握；另一方面，相關(guān)職業(yè)組織要盡可能頒布一些職業(yè)指引，將成功的經(jīng)驗(yàn)分享給大家；同時(shí)還要加強(qiáng)監(jiān)管，防止濫用職業(yè)判斷，將內(nèi)部控制鑒證形式化。

【參考文獻(xiàn)】

[1] 劉玉廷.全面提升企業(yè)經(jīng)營管理水平的重要舉措——《企業(yè)內(nèi)部控制配套指引》解讀[J].會計(jì)研究，2010（5）：3-16.

[2] COSO（Committee of Sponsoring Organizations of the Treadway Commission）.Internal control-integrated framework[Z].1994.

[3] COSO（Committee of Sponsoring Organizations of the Treadway Commission）.Internal control-integrated framework[Z].2013.

[4] COSO（Committee of Sponsoring Organizations of the Treadway Commission）.Enterprise risk management -integrated framework[Z].2004.

[5] PCAOB.第5號審計(jì)準(zhǔn)則——與財(cái)務(wù)報(bào)告審計(jì)相結(jié)合的財(cái)務(wù)報(bào)告內(nèi)部審計(jì)[R].2007.

[6] 日本企業(yè)會計(jì)審議會.關(guān)于財(cái)務(wù)報(bào)告內(nèi)部控制評價(jià)與審計(jì)準(zhǔn)則以及財(cái)務(wù)報(bào)告內(nèi)部控制評價(jià)與審計(jì)實(shí)施準(zhǔn)則的制定（意見書）[R].2007.

[7] 白華，高立.內(nèi)部控制缺陷實(shí)證研究的最新進(jìn)展：一個(gè)文獻(xiàn)綜述[J].財(cái)會通訊，2011（5）：111-114.

[8] 曹丹，董佳宇.內(nèi)部控制缺陷研究：基于國外實(shí)施研究動(dòng)態(tài)文獻(xiàn)綜述[J].時(shí)代金融，2014（10）：194-197.

[9] 楊有紅，李宇立.內(nèi)部控制缺陷的識別、認(rèn)定與報(bào)告[J].會計(jì)研究，2011（3）：76-80.

[10] 劉建偉，鄭瞳.內(nèi)部控制缺陷概念、分類與認(rèn)定[J].財(cái)會月刊，2012（12）：74-75.

[11] 田娟，余玉苗.內(nèi)部控制缺陷識別與認(rèn)定中存在的問題與對策[J].管理世界，2012（6）：180-181.

[12] 李宇立.內(nèi)部控制缺陷研究：理論分析和經(jīng)驗(yàn)證據(jù)[M].中國財(cái)政經(jīng)濟(jì)出版社，2013.

[13] 陳漢文，張宜霞.企業(yè)內(nèi)部控制的有效性及其評價(jià)方法[J].審計(jì)研究，2008（3）：48-54.

[14] MORRILL J B，MORRILL C K，KOPP L S.Internal control assessment and interference effects[J].Behavioral Research in Accounting，2012，24（1）：73-90.

[15] ZHENG B Z，PATEL C，EVANS E.An experimental examimation of juegments of chinese professional auditors in evaluation internal control systems[J].Corporate Ownership & Control，2015，12（4）：791-806.

[16] 南京大學(xué)會計(jì)與財(cái)務(wù)研究院課題組.論中國企業(yè)內(nèi)部控制評價(jià)制度的現(xiàn)實(shí)模式：基于112個(gè)企業(yè)案例的研究[J].會計(jì)研究，2010（6）：51-62.

[17] 王惠芳.內(nèi)部控制缺陷認(rèn)定：現(xiàn)狀、困境及基本框架重構(gòu)[J].會計(jì)研究，2011（8）：61-67.

[18] 李宇立.內(nèi)部控制缺陷識別與認(rèn)定的技術(shù)路線：基于管理層視角的分析[J].中南財(cái)經(jīng)政法大學(xué)學(xué)報(bào)，2012（3）：113-119.

[19] 廖高玲.企業(yè)內(nèi)部控制缺陷認(rèn)定框架設(shè)計(jì)[J].會計(jì)師，2013（7）：60-61.

[20] 李丹平.目標(biāo)導(dǎo)向的內(nèi)部控制缺陷認(rèn)定研究[D].暨南大學(xué)碩士學(xué)位論文，2013.

[21] 姚剛.內(nèi)部控制審計(jì)論[M].中國財(cái)政經(jīng)濟(jì)出版社，2013.

[22] KPMG.Understanding and articulating risk appetite[R].2009.

[23] 陳武朝.在美上市公司內(nèi)部控制重大缺陷認(rèn)定、披露及對我國企業(yè)的借鑒[J].審計(jì)研究，2012（1）：103-109.endprint