萨班斯—奥克斯利法案下公司内部控制的思考(2)
2017-01-01 01:01
导读：二、COSO框架应该成为中资保险公司完善公司内部控制的标准 第2号审计标准依据COSO制定的内部控制框架制订，在“管理层用于开展其评估的框架”一节中
二、COSO框架应该成为中资保险公司完善公司内部控制的标准 第2号审计标准依据COSO制定的内部控制框架制订，在“管理层用于开展其评估的框架”一节中，明确管理层要依据一个适宜且公认的由专家群体遵照应有的程序制定的控制框架，来评估公司财务报告内部控制的有效性。在美国，为管理层的评估目标提供的适宜框架就是COSO框架。 COSO是一个由IIA和AICPA在内的众多组织组成的联盟，它开发出内部控制综合框架模型，称作COSO框架。SEC对PCAOB发布的第2号审计标准的认同，从一个侧面承认了COSO框架，表明COSO框架已正式成为内部控制的标准。在这样的背景下，要完善公司的内部控制，准确理解COSO界定的内部控制的目标、内容、概念是一项最基础的工作。
（一）内部控制的目标 通常情况下，对于组织来说，内部控制的目的是保证实现以下组织目标。 组织运行的效果与效率。所谓效果，就是组织实现组织目标的程度；所谓效率，就是指一定的资源投入所带来的产出量。 财务报告的可靠性和完整性。财务报告是综合反映组织经营效果和效率的文件，同时也是组织风险控制的重要依据。财务报告的不真实、不完整往往是组织的重要风险之源。 符合相关的法律法规和合同。违反法律法规和合同，既可能给组织带来较高的违法或违约成本，更可能隐含着对组织资产或股东利益更严重的危害。
（二）内部控制的内容 内部控制主要由控制环境、风险评价、控制活动、信息和沟通及监督5个部分组成。 控制环境，指影响组织实行内部控制的各种因素，其中包括组织特征、产品与服务构成、组织文化、领导风格、法律制度、管理层对内部控制的认识和组织信息管理系统等。这些因素都直接或间接地对内部控制的推行、效果或效率产生正面或负面影响。 风险评价，指对风险的真实性、风险可能造成的损失、防范风险可能采取的有效措施、这些措施可能产生的效果和风险发生后将产生的内外部影响进行分析和评价。 控制活动，是对可能发生或已经发生的风险采取应对措施，纠正偏差，使组织的运行朝着既定目标发展，其中包括相关的政策和程序。 信息沟通，内部控制涉及到组织的各个环节和各个方面，为了获得充分准确的信息、控制措施得到充分响应、风险评估客观公正，广泛的信息来源和相关人员之间的充分沟通与理解是内部控制中十分重要的工作环节。 监督，整个内部控制过程，包括风险评价和控制措施，本身都必须处于有效的监控之中，并根据具体情况进行及时的动态调整，以提高内部控制的准确性、有效性和控制效率。
（三）对内部控制概念的理解 对内部控制可以从3个方面来理解： 内部控制是动态过程。内部控制是一个过程，是实现目标的手段，而不是结果本身。组织目标是由组织的宗旨决定的。它包括具体目标和实现目标的效率。内部控制是防止那些可能影响组织目标有效率地实现的风险因素造成实际损失、或者使损失降低到最低限度的，贯穿于组织各项活动中的一系列行为或措施。环境影响内部控制，内部控制随环境变化而变化。 内部控制受人员沟通程度的影响。内部控制受到组织内各层次人员的影响，而不仅仅是简单地制定出一本制度手册或规章。单纯的
规章制度只是一种机械的控制措施。组织虽然按照规章制度来运行，但人是具有个人目标、个人情感的能动性个体，他们可以在很大程度上影响规章制度的实施效率和效果。他们的行为可能受到其个人利益的驱使，也可能受其误解或抵触情绪的驱使。因此，内部控制必须建立在充分沟通的基础上。 内部控制提供的是合理保证。对管理层或董事会而言，内部控制提供的只是合理的保证，而不是绝对的保证。内部控制措施，无论设计的多么完美、运行的多么好，组织目标实现的可能性受到内部控制制度所固有局限性影响。内部控制也仅能为董事会和管理部门实现组织目标提供合理的保证。 第2号审计标准认为，COSO框架能确认出内部控制的运营效率和效果、财务报告的可靠性、遵守适用的法律和规章三大主要目标，而这三大目标都会对财务报告产生重大的影响，是关于财务报告的内部控制的组成部分。此外，标准将控制环境、风险评估、控制活动、信息和沟通、监控作为框架的五大组成要素，服务于上述三大目标。 事实上，当今世界另外几个主流内部控制框架如加拿大的CoCo、英国的Cadbury报告、国际内部审计师协会（11A）的SAC、信息系统审计与控制协会（1SACA）的Cobit都与COSO框架紧密相关。我国有关部门制定的内部控制标准，包括证监会发布的“证券公司内部控制指引（2003）”、人民银行发布的“商业银行内部控制指引（2002）”、中国内部审计协会发布的“内部审计准则——内部控制（2003）”，其核心目标也与COSO框架一脉相承。 总之，无论COSO框架，还是PCAOB的努力，有一点是非常明确的，就是要在公司内部建立一个基本的控制框架，作为管理层评估财务报告内部控制的基准。这也是公司到一定程度在管理方面的必然要求，它受公司治理、价值创造、风险和机会、管制、文化、技术发展及受托责任等各方面的。我们应该从COSO的框架中吸收合理的内核、应从中汲取经验，这会有助于中资保险公司管理层次的提升，执行能力的到位。毕竟，我们正面临一个国际化的舞台，在一些标准、框架的执行上应与全球主流框架保持一致，这样才有沟通的可能，有平等对话的可能，有进一步发展的可能。
