内部审计在内部控制评价中的角色定位[摘要]2008年6月和2010年4月，财政部会同证监会、审计署、银监会、保监会先后发布了《企业内部控制基本规范》及配套指引，要求符合规定的企业必须对本企业内部控制的有效性进行自我评价，并披露年度自我评价报告。这从法规上将内部控制评价强制化、规范化，内部控制评价不再仅是执行内部控制审计前的辅助程序。同时也是企业评估内控体系、查找管理漏洞、促进健康运行的专项工作。内部审计作为保证受托责任履行的一种控制机制。其执业理念、职能定位也应随之调整和转型，为引导企业价值增值发挥最大效用。[关键词]内部审计内部控制角色定位一、内部审计与内部控制评价的耦合关系(一)内部控制评价是内部审计的执行秘诀内部审计常被简单地认为是查错纠弊，局限在单一的财务领域。事实上，内部审计与内部控制是相伴而生的，内部审计首先要保证和评价的就是内部控制的有效性，一旦内部控制失效，财务报告的可靠性就无从谈起。各方对内部审计的定义足以体现这一点。现代内部审计之父索耶(1990)认为，内部审计是对组织中各类业务和控制进行独立评价，以确定是否遵循公认的方针和程序，是否符合规定和标准，是否有效和经济地使用各种资源，是否正在实现组织的目标。我国内部审计协会在2003年6月发布的《内部审计准则》中指出，内部审计是组织内部的一种独立客观的监督和评价活动，它通过审查和评价经营活动及内部控制的适当性、合法性和有效性来促进组织目标的实现。国际内部审计师协会(iia)在最新的内部审计定义中，将内部审计的职能定位为确认和咨询。从字面上看，与“监督和评价”有差异，但实际上是“监督和评价”的延伸。可见，监督、评价和改善内部控制是内部审计的基本职责。根据《企业内部控制评价指引》(以下简称“指引”)，在内部控制评价中，内部审计关心的并非仅是内部会计控制，而应扩展为广义控制，要与特定的社会及组织文化联系起来。因此，“内部审计人员评价组织机构各专门领域的内部控制的技能是他们渗透到组织中的敲门砖”(moeller，2006)，其中最具代表性的技术手段是内部控制自我评估。在国际内部审计师协会(iia)2002年的调查中，内部控制自我评估被列作“当前内部审计最佳实务”中的第2位，在“未来将愈加重要的实务”中排名第1。我国内部审计协会专门制定了《内部审计具体准则第21号——内部审计的控制自我评估法》，指导内部审计人员如何运用控制自我评估法进行内部控制评价。(二)内部审计执行内部控制评价更具权威性按照指引，董事会承担内部控制评价的责任，企业根据自身需要，可以授权内部审计部门负责内部控制评价的具体组织实施工作，也可以委托外部审计师进行内部控制评价。考虑到独立性和审计经验，许多企业在很大程度上会聘请外部审计师为其进行内部控制评价。但从实践来看，内部审计主导的内部控制评价更全面，提出的建议更适合本企业行业特点，整体上更具权威性。一是内部审计置身于组织内控环境中，具有敏锐的观察力，随时能够洞察控制的缺陷，及时开展日常评价和专项评价等特点，其结果是主动的、积极的、深入的，而外部审计师根据合同的约定提供定期服务，对企业缺乏系统、全面的了解，内容具有滞后性，其结果是被动的、消极的、表面的；二是内审人员是组织的雇员，又是其他成员的同事和朋友，更易取得他们的信任与合作，特别在评价包括控制氛围、职业道德、诚实品质、胜任能力等“软控制”方面，可以进行无芥蒂沟通，从中发现隐藏在不同层面的控制弱点，而外部审计师无法卸除组织成员的防范和戒备之心，涉及“软控制”的评价多半会流于形式，浮于表面；三是内部审计作为组织的内部成员，其工资、福利、个人价值实现等都与组织息息相关，为实现组织的价值增值，获得组织和其他成员的认可，他们有着强烈的责任感，会更积极地履行职责，提出适合企业实际情况的解决方案，而外部审计师独立于组织之外，出于审计风险、成本效益等考虑，往往对与会计信息内容相关的内部控制给予更多的关注，对无法深入的地方只能套用通行的内部控制框架或标准，从而评价效率和效果不尽如人意。(三)内部审计与内部控制评价成果可相互利用内部审计与内部控制评价是两个独立的活动，但不是相互割裂开来的，两者在技术层面和实务工作中运用的许多方法是相同的，部分工作内容是相似的。在常规审前调查阶段，内部审计人员通常会关注企业的内部控制状况，如：环境控制、业务控制、资金管理控制、会计系统控制、内部稽核控制、信息系统控制等，通过查找内部控制的薄弱环节，确定审计重点，这些关注的内容也是内部控制评价的主要内容；在现场审计时，内部审计人员会运用询问、观察、抽样等方法对内部控制进行测试，以发现审计线索，这些审计方法在内部控制评价中也广泛运用。可以说，内部审计与内部控制评价之间的相互作用是贯穿于各自工作的始终。因