风险导向性审计评价为
企业内部控制缺陷认定标准及实践方法探析 （深圳能源集团股份有限公司 赖一锋）摘要：2011年是企业内部控制规范体系实施和执行的元年，许多上市公司和大中型企业按照财政部五部委发布的企业内部控制基本规范及企业内部控制配套指引的要求，严格组织实施，努力探索符合本企业实际的内部控制实施机制。而其中内部控制缺陷（以下简称：内控缺陷）认定是整个内部控制规范体系中重要的组成部分，也是企业内部控制评价指引里面的核心环节，它在一定程度上决定内部控制评价的成效，具有一定难度，需要运用职业判断。本文从实际案例入手，着重向读者介绍深圳能源集团股份有限公司（以下简称：深圳能源集团）内控缺陷认定标准的主要内容和制定依据，并深层分析理论标准赋予实践的可操作性方法，详细阐述内控缺陷认定对企业带来的实际意义，为企业有效实施内控缺陷认定工作提供参考。关键词：内控缺陷认定标准；方法；意义一、 内控缺陷的定义和分类内控缺陷是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的执行存在弱点和偏差，不能及时发现并纠正错误与舞弊的情况。根据内控缺陷的成因或来源、对于目标的影响程度以及表现形式，其可分为设计缺陷和执行缺陷、重大重要和一般缺陷、财务报告和非财务报告缺陷。其中，财务报告内控缺陷是指不能及时防止或发现并纠正财务报表错报的内控缺陷；非财务报告内控缺陷是指针对除财务报告目标之外的其他目标造成影响的内控缺陷。这些目标一般包括战略目标、经营目标、合规目标等。本文主要围绕财务报告内部控制重大、重要和一般缺陷认定进行阐述。二、深圳能源集团概况、风险管理与内部控制咨询项目（以下简称：风控项目）及内控缺陷认定标准介绍（一）深圳能源集团概况深圳能源集团是1993年1月16日经深圳市人民政府办公厅深府办复1993355 号文批准，由深圳市能源集团有限公司作为唯一发起人，以社会募集方式设立。1993 年9 月3 日公司股票在深圳证券交易所上市，是全国电力行业第一家在深圳上市的大型股份制企业，也是深圳市第一家上市的公用事业股份公司。2006 年8月，深圳能源集团启动非公开发行股票收购深能集团资产实现整体上市。公司经营范围主要为各种常规能源和新能源的开发、生产、购销等。（二）深圳能源集团风控项目简介为夯实基础，进一步规范公司治理，深圳能源集团首先从企业自身发展考虑，具有前瞻性地启动了风控项目。2008年10月深圳能源集团按照高标准严要求的原则聘请专业国际咨询机构为企业提供风险管理及内部控制咨询服务。深圳能源集团成立了以集团董事长亲自领导，集团各部门负责人等人员共同组成的领导机构和工作机构，在集团总部及其部分重要分子公司有效地开展风险管理及内部控制工作。截止目前，深圳能源集团已完成集团本部及下属12家企业的风险评估和内控梳理工作（涵盖合计资产在80%以上的重点单位），根据各自企业特点评估出企业重大风险和梳理出共性缺陷，建立了企业重大风险应对策略及解决方案，形成风险管理手册、内部控制手册和风险管理与内部控制考核等一批实质性成果。（三）深圳能源集团内控缺陷认定标准介绍2010年，深圳能源集团启动内部控制有效性自查及复查工作，建立起企业全面内部控制自我检查及监督机制，见图1： （图1）其中，内控缺陷认定工作是整个内部控制评价体系的核心部分，重中之重。鉴于此，深圳能源集团同期着手在咨询机构成果交付的基础上，结合与财务年报审计机构多轮讨论的结果，独立研究整理出符合企业实际的内控实务手册内部控制手册，手册内对内控缺陷认定标准进行了详细的阐述，见图2深圳能源集团内控缺陷认定标准框架：（图2）根据内部控制评价体系中发现的不足，应从定性和定量两方面考虑，判断是否构成内控缺陷，并判断是否对实现企业目标产生重大影响。深圳能源集团内部控制手册中为财务报告内控缺陷制定了定性标准框架，凡具有以下特征的缺陷，至少定位为重大缺陷：发现公司管理层存在的任何程度的舞弊；已经发现并报告给管理层的重大内控缺陷经过合理的时间后，并未加以改正；控制环境无效；影响收益趋势的缺陷；影响关联交易总额超过股东批准的关联交易额度的缺陷；外部审计发现的重大错报不是由公司首先发现的；其他可能影响报表使用者正确判断的缺陷。由于内控缺陷定性很大程度需要运用评价者的专业经验进行职业判断，具有一定难度，所以在认定时，更多的是靠集体的智慧和讨论，加以可量化的标准，以此形成合理准确的结果。在研究定量标准时，深圳能源集团主要参考年度财务报表审计方法，围绕重要性水平、重要性水平所使用基准及比例三项关键因素进行分析：1、重要性水平，主要是基于对构成财务报表的任何一个报表产生重大影响的错报最小汇总数考虑重要性水平。在执行财务报表审计时，其总体目标是获取财务报表在整体上是否不存在重大错报的合理保证，无论该错报是由于舞弊还是错误导致，从而使外部审计机构对财务报表是否在所有重大方面按照适用的财务报告框架的规定编制和发表意见。同理，涉及财务报告的内控缺陷在认定时亦可进行合理预期和估算，以分析出财务报告内控缺陷可能导致的财务报表错报和漏报的重要程度。2、基准，在确定财务报告内控缺陷认定基准时，需对主体的财务报表要素、财务报表使用者关注项目（例如，以财务业绩评价为目标的使用者可能特别关注利润、收入或净资产）以及基准的相对波动性等因素进行综合分析和考虑。根据目前企业实际情况，深圳能源集团近三年营收稳定，保持年均上亿的税前利润水平，相对资产等基准来说，税前利润的波动性不会太大，且备受投资者及财务报表使用者所关注。鉴于此，深圳能源集团确定了以持续经营业务的税前利润作为财务报告内控缺陷认定的基准，并以经审计的近三年平均数据加以计算。3、比例，根据上市公司财务报表审计，用于确定重要性水平的通常方法是对当期持续经营业务税前利润进行估计，并将其乘以一定的区间比例。深圳能源集团财务报告内控缺陷认定的比例主要按照上市公司年报审计的要求(包括年报审计重要性水平和报表使用者所关注的项目)，结合企业的资产规模以及风险承受能力等因素，与年报审计机构进行充分沟通讨论之后确定。 (图3 深圳能源集团财务报告内控缺陷定量认定标准模型)三、内控缺陷认定标准实践方法探析企业开展内部控制评价，主要工作内容之一就是要找出内控缺陷并有针对性地进行整改。由于内部控制重大缺陷及其整改情况需要在内部控制自我评估报告中予以披露，如果报告期内重大缺陷未得到有效整改，那么企业的整体内部控制有效性将被予以否定。所以内控缺陷认定工作在内控报告流程当中越发的重要，其所揭示是企业整个内控管理情况，影响上市企业在战略、运营等各方面的发展，关系到上市企业的切身利益，其认定标准备受外部投资者、客户、供应商、中介机构和监管部门所关注。深圳能源集团将缺陷认定放在内部控制复查工作之后，见图4： (图 4)主要是考虑专业化测试（即内部控制有效性复查）之后缺陷增加的可能性以及需要采用规范专业的方法对内控缺陷进行统一审核和认定，以增加认定结果的科学性及准确性。而专题型讨论会则可被认定为是一种有效的方法或程序，它是控制自我评估（Control Self Assessment.CSA）中主要的方法之一。我们可以采用CSA程序，在对内控缺陷定性部分进行专业分析和认定时，如内控环境、内部信息沟通以及一些控制活动等无法使用定量标准认定的内控缺陷时，通过集中有关专业人员和业务岗位人员就内控缺陷对影响目标实现的严重程度进行分析讨论，展开头脑风暴，并根据事先准备好的评估标准，综合考虑缺陷发生的次数、性质、风险重要性水平以及评价者对业务价值和目标的理解、工作经验等因素，对各纬度因素，包括内控缺陷发生的可能性以及对战略、财务、资产安全、法律及日常运营的影响程度进行打分，所得分数进行加权平均为该缺陷的综合评分，当缺陷综合评分值在一定区间时，则该缺陷被认定为重大、重要或一般缺陷。如表2：缺陷描述缺陷基本信息1、资产安全。缺乏应急处理机制，在发生突发事件时可能无法对突发事件提供及时有效的处理，可能会对企业资产造成重大损失。所属流程发现的次数缺陷性质是否关键控制流程风险的重要性水平极轻微的（1分）轻微的（2分）中等的（3分）重大的（4分）极重大的（5分）公司在各自的管理程序或管理标准中规定了事故调查处理程序，但对于重大的安全突发应急事件，缺乏具体的应急预案或处理程序。社会责任1设计缺陷是高 （表2）在会议的组织形式上，内控职能管理部门负责会议的准备、组织召开、议程和标准的制定及引导整个会议的有序进行，而管理层、流程负责人或业务人员为主要参与者并具体实施评估认定工作（这主要考虑“业务专家”站在自身业务的角度更清楚内控缺陷的关键性和所带来的风险，评估结果会更趋于合理和准确）。在评估过程中可设置观察员角色，主要监控并记录整个会议过程是否按照既定方向发展，不会偏离会议目标。评估的结果在会后将形成书面记录进行汇总整理及征求相关部门意见之后提交给董事会予以最终审定。在评估过程中，如采用投影仪和电子投票技术则可以增进整个评估认定的效率，为重大缺陷的认定提供及时的回馈。若有关资源允许，企业在实施CSA程序时可采用信息化平台对内控缺陷进行在线评估和认定，通过现代化的手段来管理和实施上述工作，可有效规避时间和空间上的限制。除上述评估方法外，我们亦可采用以风险为导向的评估方法来认定内控缺陷，此方法依据COSO内部控制框架对目标风险控制关系的定义，以企业风险评估为基础，将控制目标、流程级风险、内部控制以及相应的内控缺陷进行关联，通过评估流程级风险的重要性水平来确定对应的内部控制的关键性水平以及控制一旦失效后对整个控制目标实现的影响程度，以此认定出内控重大、重要和一般缺陷。此外，根据风险控制的特性和关系，一个流程级风险可能对应的是一个控制点或多个控制点，通过上述方法可实现对内控缺陷的批量认定，最大程度地提升整个评估认定工作的效率。见图5：（图5）四、阐述内控缺陷认定对企业所带来的实际意义企业进行内部控制体系构建的过程，就是结合自身的内外部环境因素确定内部控制目标，根据目标制定内部控制制度，并且遵循内控的设计实施内部控制的过程。在这个过程中，内部控制的设计存在漏洞或设计的不合理，以及执行者没有按照设计好的制度执行都有可能使得企业偏离内部控制的目标，影响企业的抗风险能力，产生内控缺陷。而这当中内控缺陷认定及缺陷信息是内部控制信息披露中的核心内容，其反映的是上市企业内部管理现状，所披露的内部控制信息准确和完整与否直接影响投资者、债权人等利益相关者对企业整体内部控制管理情况的了解和决策，增加了上市企业在资本市场运作的不确定性，阻碍了企业的发展。在具体工作中，由于COSO内部控制框架对目标风险控制架构有明确的定义，而风险、内控及内控缺陷之间也存在鲜明的逻辑关系，内控缺陷的严重程度以及相应的整改工作都需要企业内部监督部门重点关注和持续监控，以引导内部审计对重大和重要内控缺陷及整改情况集中力量开展审计监督。如内控缺陷认定过程本身存在不足或缺陷，没有对内控缺陷进行清晰的界定，那么以风险为导向的审计工作很难精确地找出流程控制当中真正需要集中力量整治的控制缺陷或薄弱环节，在一定程度上可能影响审计质量，增加审计资源和审计风险。 因此，内控缺陷认定对于上市企业在内控自我评价以及内控信息披露方面非常重要，急需建立一套完善的、科学的、统一的且可操作性的指引来指导企业真正有效开展内部控制评价及缺陷认定工作。由于我国企业内部控制信息披露处于起步期的特定阶段，对
