一、內(nèi)部控制評價的責任主體是董事會還是管理層
開展內(nèi)部控制評價首先必須明確內(nèi)部控制評價的責任主體，即應當由誰負責組織實施內(nèi)部控制評價并對內(nèi)部控制評價結(jié)果的可靠性負責。因為這一問題不僅關(guān)系到內(nèi)部控制評價應當如何組織實施，而且關(guān)系到內(nèi)部控制評價的質(zhì)量?！叭绻麖脑u價效率和評價準確性方面來講，評價主體的選擇比評價程序、評價方法等都重要，……評價主體的適當性嚴重影響著評價結(jié)論的準確性，甚至可以說，評價的準確性首先決定于誰來進行評價的問題。”（李連華，2007）
內(nèi)部控制評價的責任主體不同于內(nèi)部控制評價的操作主體，即由誰來具體實施內(nèi)部控制評價。無論內(nèi)部控制評價的責任主體是誰，內(nèi)部控制評價的操作主體都是企業(yè)的內(nèi)部審計機構(gòu)及其人員或者外聘的社會審計組織及其人員，以及參與內(nèi)部控制的各級管理者及其他員工。操作主體由企業(yè)內(nèi)部審計機構(gòu)及其人員擔任，還是外包給社會審計組織及其人員，這主要取決于兩種操作主體執(zhí)行內(nèi)部控制評價業(yè)務的成本效益比。學者們對內(nèi)部控制評價的操作主體已有許多論述，筆者不準備對此進行深入闡述。
內(nèi)部控制評價的責任主體與操作主體的關(guān)系是：責任主體要對評價結(jié)果向使用者負責。為此，它要組織和領(lǐng)導操作主體進行評價工作，并監(jiān)控操作主體的工作質(zhì)量；操作主體應當對責任主體負責，接受責任主體的領(lǐng)導和監(jiān)督。不管是董事會還是管理層作為責任主體，責任主體都應當按照成本效益原則確定操作主體。
關(guān)于內(nèi)部控制評價的責任主體，中美兩國內(nèi)部控制規(guī)范的規(guī)定有著明顯的區(qū)別。我國2010年4月正式頒布的《企業(yè)內(nèi)部控制評價指引》第二條規(guī)定：“內(nèi)部控制評價，是指企業(yè)董事會或類似權(quán)力機構(gòu)對內(nèi)部控制的有效性進行全面評價、形成結(jié)論、出具評價報告的過程。”美國國會于2002年7月發(fā)布的《薩班斯—奧克斯利法案》（Sarbanes-Oxley Act）第302節(jié)規(guī)定：公司CEO、CFO或類似職務者必須書面聲明對內(nèi)控設(shè)計和執(zhí)行的有效性負責，并要求隨定期報告一同對外披露管理層對財務報告內(nèi)部控制的評價報告。因此，我國規(guī)定的內(nèi)部控制評價責任主體為董事會或類似權(quán)力機構(gòu)，美國規(guī)定的責任主體是管理層，兩者規(guī)定明顯不同。
那么，內(nèi)部控制評價的責任主體到底應當是董事會還是管理層呢？
二、不同目的的內(nèi)部控制評價其責任主體不同
筆者認為內(nèi)部控制評價的責任主體不能一概而論。總體來講，由于內(nèi)部控制評價是內(nèi)部控制監(jiān)控的重要形式，內(nèi)部控制又是由企業(yè)董事會、管理層和其他人員實施的，因此，內(nèi)部控制評價也應當是由企業(yè)董事會、管理層和其他人員實施的。也就是說，內(nèi)部控制評價主體既可能是董事會，也可能是管理層。具體來講，不同目的的內(nèi)部控制評價，其評價的責任主體是不相同的。關(guān)于內(nèi)部控制評價的目的，目前人們尚未有系統(tǒng)的研究和論述。內(nèi)部控制評價的目的大體可分為三種：管理目的的評價、治理目的的評價和對外披露目的的評價。
所謂管理目的的評價，是指為了持續(xù)保持內(nèi)部控制有效性所實施的內(nèi)部控制評價。它可以是局部評價，也可以是全面評價。由于它是有效運行內(nèi)部控制的重要方面，因此，其評價的責任主體是管理層。由于管理目的的內(nèi)部控制全面評價工作量大、成本高，因此它通常與對外披露目的的評價結(jié)合進行。
所謂治理目的的評價，是指董事會及其審計委員會為了加強對內(nèi)部控制的監(jiān)督，在企業(yè)發(fā)生重大貪污舞弊、弄虛作假、案件事故，以及懷疑管理層有凌駕內(nèi)部控制問題等情況下，指令內(nèi)部審計機構(gòu)及其人員或聘請外部審計組織及其人員，甚至審計委員會成員親自參與實施的，對相關(guān)內(nèi)部控制的有效性進行的評價。它通常是局部進行的，遇有管理層凌駕等問題也可以全面進行。公司的“內(nèi)部人控制”問題出現(xiàn)后，強化董事會對內(nèi)部控制的治理、指導和監(jiān)督責任就成為大勢所趨。以前，當公司出現(xiàn)丑聞時，很多人問：“管理層怎么讓這發(fā)生的？”現(xiàn)在，恐怕要問：“董事會怎么讓這發(fā)生的？”（周勤業(yè)、王嘯，2005）COSO《框架》認為，董事會及其審計委員會在內(nèi)部控制中應當承擔治理、指導和監(jiān)督責任，包括“通過選擇管理層，董事會在確定誠信與道德價值觀的期望方面發(fā)揮著重要作用，而且通過其監(jiān)督活動來確認是否符合期望。同樣，通過保留在某些關(guān)鍵決策上的權(quán)力，董事會可以在高層次的目標設(shè)定和戰(zhàn)略規(guī)劃中發(fā)揮作用。董事會通過它提供的監(jiān)督，廣泛地參與到內(nèi)部控制之中?！?br />
所謂對外披露目的的評價，是指為了對外披露反映企業(yè)內(nèi)部控制有效性的評價報告所實施的內(nèi)部控制評價。隨著安然、世通等一系列重大財務丑聞的爆發(fā)，人們發(fā)現(xiàn)在“內(nèi)部人控制”日益嚴重的今天，管理層操縱財務成果和財務狀況的問題日益增多，且日益為財務報表審計所難以發(fā)現(xiàn)。在這種情況下，外部使用者僅僅根據(jù)財務報表及其審計報告進行判斷和決策，已經(jīng)變得風險越來越大，深入了解財務報表生成過程的可靠性變得越來越重要。財務報表生成過程的可靠性主要取決于財務報告內(nèi)部控制的有效性。因此，為了給外部使用者判斷財務報表可靠性提供更多可靠的依據(jù)，公司對外披露有關(guān)財務報告內(nèi)部控制有效性的評價報告及其獨立審計師審計報告就成為必然的要求。
對外披露目的的內(nèi)部控制評價通常要求全面評價，以便全面而真實地披露內(nèi)部控制有效性評價，更好地為外部利益相關(guān)者各方服務。它通常與管理目的的全面評價結(jié)合進行，或者說它可以根據(jù)評價發(fā)現(xiàn)的內(nèi)部控制缺陷情況，對外披露內(nèi)部控制有效性信息和采取措施彌補內(nèi)部控制缺陷。它是最常見的內(nèi)部控制評價形式，有關(guān)評價主體的紛爭主要是針對這種形式的內(nèi)部控制評價而言的。
其實，披露目的的內(nèi)部控制評價責任主體確定與披露目的的財務報告責任主體確定是一個相同的問題。大家知道，財務報告編制的責任主體是管理層，應當由管理層親自或聘請社會專家編制，由管理層對財務報告的可靠性負責；董事會通過聘請注冊會計師對財務報表進行審計，將財務報告和財務報表審計報告一同對外披露來履行其對財務報告的治理責任。同樣道理，內(nèi)部控制評價的責任主體也應當是管理層，應當由管理層親自或聘請社會專家評價，由管理層對評價報告的可靠性負責；董事會通過聘請注冊會計師對內(nèi)部控制評價報告進行審計，將評價報告及其審計報告一同對外披露來履行其對評價報告的治理責任。
三、內(nèi)部控制責任主體出現(xiàn)爭議的原因分析
一些人之所以將董事會認定為對外披露目的的內(nèi)部控制評價的責任主體，主要原因是他們誤以為內(nèi)部控制監(jiān)控就是董事會對內(nèi)部控制的監(jiān)督，誤以為內(nèi)部控制評價就是內(nèi)部控制審查。比如，我國《企業(yè)內(nèi)部控制基本規(guī)范》就把內(nèi)部控制的監(jiān)控要素命名為內(nèi)部監(jiān)督要素，《內(nèi)部控制評價指引》也把測試檢查以收集證據(jù)的方法規(guī)定為內(nèi)部控制評價的基本方法。其實，內(nèi)部控制的監(jiān)控與內(nèi)部控制的監(jiān)督是兩種性質(zhì)不同的工作，它們的責任主體、工作內(nèi)容、工作方式、工作方法等都有明顯的區(qū)別。
內(nèi)部控制監(jiān)控是內(nèi)部控制五個構(gòu)成要素之一，是一個不斷對內(nèi)部控制體系的運行質(zhì)量進行自我評估的過程。它可以通過持續(xù)監(jiān)控活動、個別評價或兩者的結(jié)合來實現(xiàn)。持續(xù)監(jiān)控發(fā)生在經(jīng)營過程中，包括日常的管理和監(jiān)控活動，以及員工在履行其職責過程中所采取的其他行動。個別評價則獨立于經(jīng)營過程外，是對內(nèi)部控制體系運行有效性進行的評價。個別評價可以針對重點風險領(lǐng)域進行局部評價，也可以針對全部或某一個內(nèi)部控制目標進行全面評價；可以由董事會負責組織實施，也可以由管理層負責組織實施。評價的基本方法是自我評估法，并不需要收集充分、適當?shù)淖C據(jù)，但仍需要作詳細、真實的記錄。因為內(nèi)部控制評價工作是一種有組織的自我反思的、自覺報告工作，必須由參與內(nèi)部控制的全體人員積極參加，進行批評和自我批評。內(nèi)部審計部門及其人員或聘請的社會審計組織及其人員在其中的職責主要是組織，在此基礎(chǔ)上參與評價和對重大和重要缺陷進行查實反映。（楊瑞平，2010）自我評估的常用方法主要有以下三種：
引導會議法。該法是指把管理層和員工召集起來，形成一個工作組（work terms of workshop），就特定的內(nèi)部控制問題或過程進行面談和討論，以獲取有關(guān)內(nèi)部控制評價關(guān)注點或指標實際情況信息的一種方法。
問卷調(diào)查法。該法是指內(nèi)部控制評價者利用事先準備好的內(nèi)部控制評價調(diào)查問卷對受訪者（承擔并行使內(nèi)部控制職責者）進行調(diào)查，根據(jù)受訪者回答的“是/否”或者“有/無”情況，獲取有關(guān)內(nèi)部控制評價關(guān)注點或指標實際情況信息的一種方法。
管理結(jié)果分析法。該法是指內(nèi)部控制評價人員通過學習企業(yè)經(jīng)營管理過程，了解經(jīng)營管理結(jié)果，結(jié)合從其他方面收集的信息，獲取有關(guān)內(nèi)部控制評價關(guān)注點或指標實際情況信息的一種方法。
內(nèi)部控制的監(jiān)督則是董事會及其審計委員會對內(nèi)部控制承擔的責任之一。其監(jiān)督的內(nèi)容包括管理層建設(shè)和運行內(nèi)部控制的情況、評價和完善內(nèi)部控制的情況等。它可以通過審定管理層的內(nèi)部控制建設(shè)或完善方案，實施治理目的的內(nèi)部控制評價，通過與內(nèi)部或外部審計師溝通、接受員工舉報等了解內(nèi)部控制存在的問題并質(zhì)詢管理層，督促管理層糾正內(nèi)部控制重大缺陷并追究有關(guān)人員責任，聘請外部審計師對披露目的的內(nèi)部控制評價報告進行審計等方式來進行。（楊瑞平，2010）監(jiān)督的方法主要是檢查批判的方法，包括審閱、核對、查詢、函證、觀察、復算等，監(jiān)督者的身份獨立于被監(jiān)督對象，它既要求獲取充分、適當?shù)淖C據(jù)，又要求作詳細、如實的記錄。
董事會對內(nèi)部控制的監(jiān)督，可以通過董事會及其審計委員會親自組織實施治理目的的內(nèi)部控制評價等方式來實現(xiàn)，但不能通過董事會及其審計委員會負責對外披露目的的內(nèi)部控制評價來實現(xiàn)。如果由董事會及其審計委員會負責對外披露目的的內(nèi)部控制評價，出具評價報告，再由董事會及其審計委員會聘請外部審計師對評價報告進行審計，就會出現(xiàn)自己組織評價自己聘請審計的“自我評價”問題，既不利于保證評價的質(zhì)量，也不利于保證審計的質(zhì)量。這可以從目前我國一些上市公司提供的內(nèi)部控制評價報告質(zhì)量狀況得到證明。近年來，我國有越來越多的上市公司開始在年度報告中提供董事會或其審計委員會編制內(nèi)部控制評價報告，但從閱讀這些評價報告了解的情況看，這些報告幾乎沒有披露內(nèi)部控制重大和重要缺陷，極少數(shù)報告所披露的所謂缺陷也大多不是真正的內(nèi)部控制缺陷。顯然，幾乎無缺陷披露的內(nèi)部控制評價報告與我國上市公司內(nèi)部控制的實際情況是不相符的，相當多的權(quán)威人士認為，“對我國內(nèi)部控制現(xiàn)狀不宜估計過高”（王宏，2008）。因此，由董事會或其審計委員會負責的內(nèi)部控制評價，其真實性也是很值得懷疑的，其作用是很有限的，甚至是負面的。
【參考文獻】
［1］ 李連華.內(nèi)部控制理論結(jié)構(gòu)［M］.廈門大學出版社，2007.
［2］ 鄭洪濤，張穎.企業(yè)內(nèi)部控制學［M］.東北財經(jīng)大學出版社，2009.
［3］ 王宏.基于國際視野和科學發(fā)展的我國內(nèi)部控制框架體系研究［M］.東北財經(jīng)大學出版社，2008.
［4］ 楊瑞平.企業(yè)內(nèi)部控制環(huán)境研究［M］.經(jīng)濟科學出版社，2010.
