根據全球審計信息網絡(GAIN)對內部審計職能轉變的調查,有57%的被調查者認為內部審計應該承擔起建議者的角色,并且63.9%的被調查者認為內部審計應該推進以風險管理制度審計為核心的職能轉變。這反映了現代內部審計的角色已經從監督信息真實性的受托責任履行,轉變為風險導向型的價值增加活動。2004年9月COSO委員會在《內部控制——整體框架》的基礎上,頒布了《企業風險管理——整合框架》,指出企業的風險管理要通過識別和控制可能對企業造成潛在影響的事項,為企業目標的實現提供合理保證。內部審計作為公司治理中風險管理的制度安排,在以風險管理為核心的內部控制中發揮著重要作用。這恰恰體現了審計免疫系統在企業微觀層面的功能要求。
一、風險管理框架下內部控制與內部審計的關系
(一)風險管理要求建立內部控制的免疫系統
所有的生產經營都面臨不確定性,企業在努力實現經營目標的同時,還必須判斷這些不確定性對實現經營目標構成的威脅到底有多大,并采取適當的措施予以限制。企業的風險管理能夠有效提高管理當局識別、評估和應對不確定性的能力,有助于經營價值的創造和保持(COSO,2004)。不確定性可能來源于外部宏觀環境的變化、內部生產經營的適應性和日常運營管理的失誤,并可能出現在企業發展的各個階段。由于人力和成本的限制企業無法徹底消除不確定性,只能通過風險管理將其限制在適當的范圍之內,因此實現經營目標的風險管理措施只能對其起到合理而非絕對的保障。有必要將內部控制納入到風險管理之中,借助內部控制在融入經營管理的特征,幫助企業建立起自身抵御風險侵蝕的免疫機能。有了自身的免疫力,就不僅能夠形成一道防火墻,發揮預警作用,防患于未然,而且當不確定性轉變成為現實侵入企業組織內部之時,還能夠調動企業自有的應急機制予以識別和消除。
(二)內部控制是內部審計的制度基礎
首先,內部審計是內部控制體系的重要組成部分。風險管理要求建立起內部控制的免疫系統,并要求內部審計調查和評估內部控制的適當性和有效性,適時提出改進建議。內部審計本身就是一種管理控制工作,是內部控制的一個環節和重要組成部分。其次,內部控制是有效開展內部審計的重要基礎。整個內部審計發展的歷史就是內部控制發展的歷史。內部控制在其發展的不同階段,對內部審計提出了不同的要求,從而推動了內部審計在內涵和外延上的擴展。內部審計被譽為“透視公司的窗口”,原因除了內部審計人員掌握多專業技能、內部審計活動涉及經營管理活動的各個領域外,還因為內部控制對內部審計的授權,使其具有了特殊的地位。只有保證內部控制的適當和有效,內部審計的治理作用才能得以凸顯。內部審計的完善性直接體現了內部控制的完善性。第三,評價和改進內部控制是內部審計的重要內容。內部審計對內部控制的評價和改進,是企業完善內部控制、保障經營目標得以實現的重要支持。評價活動是檢查內部控制的適當性、有效性的重要手段;在評價過程中提出的改進建議,是提高內部控制和經營目標契合度的重要基礎。內部審計通過評價活動能夠發現影響內部控制效率與效果的重要風險因素,通過改進建議促進內部控制不斷改善、幫助企業保持有效控制。
(三)內部審計是建設內部控制免疫系統的重要力量
現代內部審計雖然是內部控制的組成部分,但它的范圍涵蓋了風險管理和控制系統,其功能遠遠超過了原有的差錯防弊。現代內部審計的重要職責是評價企業風險管理的有效性,并在提出管理建議方面起關鍵作用。比如國際內部審計師協會就要求企業內部審計的職能要包括評價報告的可靠性、經營的效率和效果以及合法性,并在評價的過程中對企業風險管理的適當性和有效性進行檢查、評價、報告和提出改進建議。實際上,在風險管理中,內部審計就是承擔起了對防火墻的檢查更新和對應急機制的測試調整工作,是建設免疫系統的“清道夫”。
二、內部審計構建免疫系統的作用機制
國際內部審計師協會指出,內部審計是一種旨在增加組織價值和改善組織營運的、獨立客觀的確認和咨詢活動,它通過系統化、規范化的方法來評價和改善風險管理、內部控制和治理程序的效果,以幫助實現組織目標(IIA,1999)。風險導向下的內部審計追蹤企業經營目標的調整,通過監督控制、流程再造和價值創造來實現建設企業微觀免疫系統的目標。
(一)監督控制是內部審計免疫機能的防火墻
早在19世紀中葉,美國新興的大型企業就開始利用內部審計進行監督控制。這些企業成立了由股東或股東代表組成的審計委員會,監督審查責任人在經營管理中是否存在失職和資產濫用的行為(Watts和Zimmerman,1983)。在現代股份公司中,利用內部審計進行監督控制一直是督促遵守法律法規、防止利益侵奪、保護投資者權益的重要手段。一方面,內部審計通過檢查會計、財務以及其他業務,及時地揭露了違反法律法規、利用舞弊等手段侵奪利益的行為,維護了投資者的權益;另一方面,內部審計機構在授權和專業能力上的優勢,保障了它具有足夠的威懾力,能夠有效地遏制權力濫用行為。因此,通過監督控制活動,內部審計執行了構建免疫系統的防火墻的職責,起到了良好的風險防范作用。
(二)流程再造是內部審計免疫機能的自我更新機制
科技進步和激烈競爭形成了復雜的經濟環境,增加了企業營運的不確定性。隨著時間的推移,原先內部控制的有效性將由于資源、環境的變化逐漸減弱,有可能無法及時應對新的風險。要確保內部控制持續有效的運行,對內部控制體系的評價和調整就必不可少。內部審計在對內部控制的適當性和有效性進行評價的過程中要提出建議,目的就是要改進持續監控活動的途徑,在新環境下對監督控制進行流程再造,從而將內部審計嵌入到控制活動之中。流程再造保證了免疫系統的自我更新,使得內部控制能夠實時動態地響應變化環境的要求。這既是風險管理的核心要求,也是內部審計職責的重要轉變。
(三)價值創造是內部審計免疫機能的最終目標
伴隨著流程再造的實踐,內部審計也在對內部控制的評價、建議中幫助企業實現價值增值。當免疫機能有效地提高了企業應對風險的能力時,也增進了企業創造價值的能力。內部審計以系統化、規范化的方法實施風險管理,及時發現和糾正經營管理中存在的問題從而避免可能的損失。同時,經過多次審計完善的內部控制流程,不僅能夠實現風險防范,也能夠提高業務流程的效率,從而提高內部控制和治理程序的效果,改善經營業績和提高整體價值。IIA在1999 年所通過的內部審計的新定義,就肯定了內部審計的確認和咨詢活動能夠改善經營并增加價值。
監督控制是內部審計的重要手段,流程再造是內部審計的核心職責,價值創造是內部審計的最終目的,三者共同締造了企業的微觀防疫系統,形成了三星拱月并相互支持的局面。彼此關系如圖1所示。
三、內部審計是建設免疫系統的內在要求與具體措施
在建設企業免疫系統的要求下,內部審計以內部控制為制度基礎,內部控制以內部審計為安全衛士發揮屏障作用,保障企業經營環境的健康并提高運營活動的效果。構建免疫系統對內部審計的內在要求包括,第一,內部審計工作要以風險防范為主導。審計工作要轉變過去“病后治理”的觀念,主動積極地以風險防范為主導,促進企業內部業務管理與風險管理的融合,重視對道德風險的評估。通過監控風險管理來優化組織流程、改進組織營運。第二,內部審計工作要以合法安全為核心。“免疫系統”理論將審計提升到了維護安全的角度,作為子系統的內部控制要充分發揮內部審計在揭示問題、抵御侵害方面的優勢,以保證資產安全和運營的合法為核心,來提升公司價值創造活動的成效。第三,內部審計活動要以制度建設為保障。通過檢查、核對企業經營管理的各項記錄,從風險管理的角度,對各種管理制度和控制措施的完善性和有效性進行評價;從流程再造和價值創造的角度,對現有的內部控制缺陷提出改進建議。第四,內部審計還要注重對自身工作的評價與調整。內部審計作為內部控制體系中的重要環節,其職責范圍還應包括對自身工作的評價。同時,內部審計工作應該根據企業戰略目標的變化調整內容,內部審計人員也要不斷補充其它領域的知識,尤其是風險管理和流程再造方面的知識,熟悉企業的經營背景和各項業務活動。
內部審計機構發揮審計免疫功能,促進和完善企業內部控制,應當以內部控制的內在要求為核心,按照控制環境、風險評估、控制活動、信息溝通和內部監督的框架體系,圍繞企業戰略目標采取以下措施。一是要加強內部審計人員的培訓,提高專業素質,強化風險防范意識。要求他們能夠充分理解現代內部審計的作用機制和企業發展的戰略目標,通過自我學習和企業培訓的方式掌握將兩者結合的途徑。二是要對企業現有的控制流程進行摸底,借助信息系統并采用測試技術了解可能存在的缺陷。同時可以采用調查、訪談以及內部研討會的方式發現現存的問題。三是結合戰略目標有針對性地提出改進建議,目的是建立長效和具有自我更新功能的內控機制。四是要對內部控制的實施效果進行持續的跟蹤和評估,鞏固安全機制的運行效率和經營效果。內部審計人員應著重從制度上、體制上完善內部控制。通過審計調查,及時接受、傳遞和儲存內部控制體系“免疫”情況的信息,及早地發現 “病因”;建立集“事前介入、事中督查、事后審計”三位為一體的審計監督機制,從預防性著手(劉國常等,2009)。圖2描繪了包含上述內在要求和具體措施的內部審計的運行體系。
國家審計署審計長劉家義(2008)強調指出,審計的本質是經濟運行的“免疫系統”。 內部審計作為審計免疫系統的微觀層面,同樣有責任承擔起“免疫系統”的功能,有責任更早地感受風險,有責任更準確地發現問題,有責任更及時地提出建議。通過健全制度體系達到風險防范的目的,更好地發揮預防和監督功能,實現企業的經營目標,提高工作績效。內部審計工作的可持續性開展,內部控制制度的不斷強化,是發揮審計免疫系統功能作用的基本保證,也是促進企業可持續性發展的重要保障。
