内部控制自我评估形式与方法探疑 ——以中国电信定西分公司为例
中国电信定西分公司审计室 刘军
【内容摘要】本文阐述了内部控制自我评估产生的背景及发展，结合中国电信定西分公司内部控制自我评估实际情况，重点说明了内部控制自我评估的形式和方法，介绍了与自我评估方法相关的技术。
关键词：内部控制 自我评估 形式 方法
一、内部控制自我评估产生及发展
内部控制自我评估是在1987年由加拿大海湾资源有限公司的内部审计人员设计的一套新方法，当时该公司面临着法庭判决要求该公司报告内部控制和传统审计程序在解决问题方面碰到了困难两个方面的问题，他们决定召开引导会议来说明双方的问题，他们发现这种方法是一种比传统审计更为有效地实现其目标的方法。这一方法就叫做控制自我评估（CSA）。控制自我评估法的应用带来了意想不到的效果：内部审计由此提高了审计效率；参与内控自我评估人员由此受到了内部控制方面的教育；内部控制的改进措施由此得到了人们的积极回应；公司管理层对内部控制的了解则更为清晰、深入和及时。经过几年的尝试，通过这种方法，已经能够逐步提供该公司全部活动的可靠且最新的信息。运用这种方法，主要的风险经常在刚出现时就会被识别，在损失尚未蔓延前，公司的高级管理层就能采取纠正措施。海湾公司独创的控制自我评估（CSA）理念受到国际内部审计协会的赞许和推广，其工作方法逐步在全球得到广泛应用。控制自我评估能够有效进行“软控制”的评价，提升控制环境，尽快找到并解决问题，预测并控制风险，使内部审计更具效率与效果。在国际内部审计师协会2002年的调查中，控制自我评估被列作“当前内部审计最佳实务”中的第二位，在“未来将愈加重要的实务”中排名第一。并且，这种方法的应用已从内部审计扩展至其他领域，组织管理层以此为基础发展出风险自我评估、道德自我评估、管理自我评估等新的管理工具，控制自我评估法已跨越出了内部审计领域，成为一种新型的管理工具。
中国内部审计协会于2006年5月9日发布了《内部审计具体准则第21号-内部审计的控制自我评估法》，以规范内部审计人员在审计活动中应用控制自我评估法，提高审计效率，对于这种方法的具体应用、内部审计人员如何推动其应用进行了规范。根据准则的定义，内部控制自我评估法是指由对内部控制的制定与执行负有责任的组织相关管理人员对内部控制进行评价的过程。内部控制自我评估法区别于其他内部控制审计方法的特征所在就是评估内部控制的主体不再是内部审计人员，而是对内部控制的制定和执行负有责任的管理人员。
美国政府在2002年颁布了《萨班斯-奥克斯利法案》（简称SOX法案），其中404条款要求上市公司的首席执行官(CEO)和首席财务官(CFO)必须对本企业与财务报告有关的内部控制发表诚信声明，出具评价报告。对面临SOX法案约束的上市公司管理层而言，控制自我评估更是一种有效和常用的方法。
2002年至2004年间中国电信在美国纽约和香港成功上市后，为不断加强完善企业内部控制体系以适应外部监管和内部发展的要求，中国电信在2005年自上而下组织开展了内部控制自我评估，建立了内部控制评估体系，明确了自我评估的程序和方法，并且顺利通过了毕马威的内部控制审计。随后几年，定西分公司按照中国电信的要求不断完善和优化内部控制自我评估的程序和方法，成为了公司内部控制制度持续改进完善的长效机制。
二、内部控制自我评估的形式和方法
在《内部审计具体准则第21号-内部审计的控制自我评估法》中，说明内部控制自我评估的主要方法包括：专题讨论会、问卷调查法和管理分析法。西方国家虽然在实践中已经发展了多至20余种的内部控制自我评估方法，但从其基本形式来看，也就是以上三种，但译名略有不同，即：引导会议法、问卷调查法和管理结果分析法。准则规定，内部审计人员应用控制自我评估法时，应当根据行业特性、组织文化、管理风格、员工素质等灵活选用适当的方法。
（一）三种主要评估方法的特点
1.专题讨论会是指内部审计人员召集组织相关管理人员就内部控制的特定方面或过程进行讨论及评估的一种方法。
专题讨论会一般采用以下主要形式：（1）以目标为基础的形式，是指围绕实现目标的最佳方式展开讨论，并评价现有内部控制是否能促进组织目标的实现；（2）以风险为基础的形式，是强调对影响目标实现的各种风险进行识别，并确定现有风险管理过程是否适当、有效；（3）以控制为基础的形式，是对现有内部控制的运行情况进行讨论，评估其有效性；（4）以过程为基础的形式，是对组织业务流程的各个环节进行讨论和分析，以提出改善或简化流程的建议。从应用的效果上看，专题讨论会法是最好的，最能够达到目的，但是要成功应用专题讨论会的成本和可能会遇到的困难也是最大的，其评估结果受组织文化、管理风格以及参与人员素质的影响。
2.问卷调查法是指内部审计人员就内部控制的特定方面或过程以书面问卷的形式向组织相关管理人员收集意见的一种方法。
调查问卷法能在节约时间和成本的基础上收集到管理人员对内部控制的意见等相关有用信息，但局限性主要在于：评估的内部控制会受限于问题的设计；问卷结果的可靠性很有可能会由于管理人员填写时的敷衍态度而打折扣；各单位或部门的负责人会隐瞒现有的内部控制问题。
3.管理分析法是指内部审计人员就内部控制的特定方面或过程向相关管理人员收集信息，并将之与其他来源的信息一起进行综合分析的一种方法。
管理分析法是由内部审计人员通过询问、面谈等方式向管理人员收集其对内部控制评估的相关信息，将这些信息与内部审计人员通过观察、检查书面文件等方式得到的信息一并综合分析。这种方式介于传统的内部控制审计与完全以管理人员为主体的专题讨论会两种之间，也是一种比较节约成本的内部控制自我评估方法。
在以上三种方法中，专题讨论会法能够最大限度发挥内部控制自我评估的优点，这也是内部审计实务发展的趋势。此外，针对具体控制活动还有询问、文件检查、重新履行、观察等评估方法。
（二）几种主要评估方法在中国电信定西分公司内部控制自我评估中的应用
由于电信企业内部控制比较复杂，所涵盖范围不断扩大，涉及层面多，在实际的内部控制评估操作过程中，我公司针对不同的评估对象，采用相适应的评估方式，以达到最佳的评估效果。
1．对内部控制公司层面（控制环境、风险管理、信息与沟通、监督）自我评估时，我公司主要采取问卷调查的方式。这钟方式能节约时间和成本，让受访者有充分时间去理解掌握内部控制的相关内容及含义，调查问卷设计上也简便明了，在“同意、基本同意、不同意、不了解”选项上打勾即可，设定的问卷调查对象是公司管理层和关键控制岗位员工，这些人员一般能以认真的态度对待问卷。内部审计人员对问卷调查结果进行分析汇总，形成对公司层面内部控制总体情况的评估结论。
2．对内部控制设计有效性自我评估时，我公司采取调查问卷、个别访谈、集体讨论（即：专题讨论会）的方式。先由执行人就所负责的控制点的设计有效性填写调查问卷，由于执行人熟悉自己所在岗位的经营活动及内部控制情况，应该能够反映真实情况；再由评估团队人员对填写问卷调查的执行人进行个别访谈，询问相关人员对内部控制失效风险和内部控制设计有效性的认识，核实执行人填写调查问卷的情况，并进行记录；最后，由流程牵头部门组织该流程各控制点执行人进行集体讨论，应用专题讨论会的效果，一般采取以控制和过程为基础的形式，管理层和执行人对流程的目标、风险、过程等进行充分讨论交流，审计人员对讨论情况进行记录，从而达到对流程内部控制设计有效性的评估。
3．对内部控制执行有效性采取调查问卷、询问、文件检查、重新履行、观察等多种方法。我公司的做法是：先由执行人就所负责的控制点的执行有效性填写调查问卷，促使执行人对所负责控制点的执行情况进行自我检查；再由评估人员根据控制点的类型和重要程度等，合理选择询问、文件检查、重新履行、观察其中一种或多种方法对控制点执行有效性进行检查，询问是了解内部控制设计和执行情况的方法，文件检查是通过抽取并检查内部控制生成的记录和文件来检查内部控制是否有效实施的方法，重新履行是通过重新履行某项内部控制程序来验证既定的控制措施是否正确执行的方法，观察是通过实地观察有关人员的工作情况以确定既定控制措施是否有效执行的方法。通过对控制点采取多种方法的检查，以确保评估结果的有效性、准确性。
通过内部控制自我评估，能够及时发现内部控制缺陷，通过切实加强缺陷整改，堵塞管理漏洞，使得定西分公司的内部控制有了显著提高，员工内控意识逐步增强，内控执行力得到贯彻，确保了内部控制体系得到有效运行，顺利通过毕马威的外部审计。2007年以来中国电信推动各省级公司运用信息化手段组织进行内部控制自我评估，推广使用内控支撑系统，完善了自我评估手续和文档，针对控制点优化和固化了评估方法，进一步提高了我公司内部控制自我评估的效率和效果。
三、与内部控制自我评估方法相关的技术
（一）结合风险评估技术
在内部控制自我评估过程中引入风险评估技术，对评估对象进行风险分析，能够把握评估重点，关注高风险领域。风险评估技术有基于知识的分析方法（又称作经验方法）、基于模型的分析方法、定性分析和定量分析，无论何种技术，共同的目标都是找出企业面临的风险、影响以及差距，运用这些技术使得内部控制自我评估更具有针对性，能够有效加强对重大风险因素和风险管理薄弱环节的评估，可以节省大量精力、人员、时间和资源，提高审计效率和质量，促进企业风险管理。
（二）恰当运用抽样技术
在开展自我评估时，不可能去检查核实企业涉及内部控制的全部内容或每一笔交易，这时就要考虑采用适当的抽样方法，以提高评估工作效率，节约时间。抽样就是在从评估对象总体中选取一定数量的样本进行测试，并根据测试结果，推断对评估对象总体特征的一种方法。在评估过程中运用抽样技术，要确认评估对象总体范围、样本量、样本的选取、审查样本、进行评价。抽样方法有属性抽样、变量抽样，可以在不同的测试中运用。
（三）充分利用信息技术
随着计算机技术应用的不断普及，在当前计算机环境下，评估涉及的数据资料可能不再是书面纸质形式，而是数据库等电子数据形式，这就需要利用计算机进行辅助评估，自我评估过程也可以使用计算机应用系统开展，企业的信息系统也要开展内部控制自我评估，这些都不可避免地要使用信息技术。应用计算机信息化技术可以大大提高评估的工作效率和效果，例如：中国电信运用“内控评估支撑系统”，在已有的办公信息系统上，实现内控细则的管理、内控自我评估及检查的系统化和对内控评估结果分类汇总的电子化，规范了评估方法和程序，大大提高评估的效率。
综上所述，在内部控制自我评估中应根据企业实际情况，采取合理的形式，运用恰当的评估方法，充分发挥内部控制自我评估这一重要工具，而且内部审计应当充分利用自身在内部控制上的优势，合理计划安排，激发管理人员对内部控制的积极性和责任感，不断地发现问题、解决问题，从而对内部控制进行持续监督和改进，确保内部控制设计和执行有效，有效防范企业风险。
参考文献：
[1]王光远 严晖，2006年:内部审计具体准则第21号《内部审计的控制自我评估法的解析》[J]，中国内部审计（9），P10-P13。
[2]中国内部审计协会,2004年：实施内部审计业务（CIA考试指定辅导书）[M],中国时代经济出版社，P125-P127。
[3]中国内部审计协会,2005年：内部审计理论与实务[M],中国石化出版社，P148-P153。 [4]唐予华 林朝华，2003年：CSA:内部控制系统评价的新观念与新方法[J]，上海会计（1），P15-P17。
