图18-3企业内部空制的重要性

罗伯特.R.穆勒的著作《COSO内部控制指南》(2013版)将内部控制的主要内容，概括为一个定义、三类目标、五项要素和十七项原则。

 

1．内部控制的定义

COS01992年首版内部控制框架，给出了内部控制概念的多维度描述，内部控制被定义为:“内部控制是一个流程，它受到一个组织的董事会、管理层以及其他人员的影响，为达成以下战略目标提供有力的保障:

· 运营的效率与效果;

· 财务报告的可靠性;

· 遵守适用的法律法规。

 

COSO2013年再版内部控制框架并未改变首版内部控制这一基础定义，而且还采用了一个新的三维模型来描述一个企业的内部控制系统，如图18-4所示:COSO三维模型的顶部，表示内部控制的三类目标---营运控制、报告控制和合规性控制;三维模型的正前方表示内部控制的五个关键要索素---控制环境、风险评估、控制活动、信息与沟通、监控活动，这是再版框架变化最大的地方。企业的组织结构是内部控制的第三个重要维度，显示在模型的右侧，它展现了内部控制在整个组织结构中的相关要素，包括公司层面、分支机构、运营单元或包含着如销售、购买、生产以及营销等关键商业流程的部门。

 

 

3、内部控制五个关键要素

(1)控制环境。COSO首版内部控制框架，将控制环境要素置于底部....是其他内部控制要素的基础。该要素在再版中位于框架的顶层旨在突出地反映该要素的地位。但它仍应该被看作所有其他内部控制要素的基础。

控制环境要素，受到包括企业的历史和价值观、市场、竞争和监管在内的各种内外部因素的影响。控制环境受到标准、流程、结构的限定，这些标准、流程和结构引导不同层级的人行使其内部控制的职责，依据企业目标来决策。控制环境还可以被看作内部控制文化的同义词。诚信、道德和价值观、监管、责任和业绩评估等有效的内部控制文化要素都能够使控制环境更为有效。有效控制环境能够起到如下作用:支持实现企业目标的风险评估、执行控制活动，使用信息与沟通系统以及运行监管活动

(2)风险评估。COSO内部控制框架将风险定义为对企业实现某些目标有不利影响的事件发生的可能性。风险可以影响一个企业的方方面面。比如，企业的生存能力、行业竞争力、财务状况、声誉，以及产品、服务和员工的整体质量。

现实中风险不可能降低为零，管理层必须设置较为谨慎的风险容忍度，企业实现目标的风险应当与事项设置的风险容忍度相互关联。在此基础上，风险评估是管理各种风险的决策基础。风险评估的前提之一是确立企业各个层面的风险目标，管理层在确立企业各个层面与经营、财务报告及合规的相关目标后，还要考虑这些目标是否恰当。另外，风险评估还要求管理层考虑外部环境可能发生的变化以及自身经营模式可能导致内部控制失效的因素。

再版COSO内部控制框架，将风险评估视作关键要素，，在内部控制流程建设过程中，企业应当根据2013版COSO框架指引中风险评估方面列出的四项原则，建立或调整现有的风险管理流程。

(3)控制活动。控制活动是整个COSO内部控制框架中最核心的要素。控制活动是指保证管理层降低实现目标所承担风险的指令得以实施的各项活动。控制活动贯穿整个组织，遍及各个层级、业务单元和流程以及技术环境。控制活动按照性质可以划分为预防性控制措施和途查性控制措施，它们包含一系列手工控制措施和自动化控制措施，例如授权、批准、验证、调节、经营业绩评价等.

再版内控框架再次强调了风险管理对建立有效内控系统的重要性，这条原则强调了控制活动与风险评估相结合，理解和不断改进企业经营流程，以及建立有效的职责分离控制体系的重要性，相对于首版框架而言，再版强调了T控制对企业建立有效内部控制的重要性，为企业的内部控制建设指明了方向，同时还强调了内部控制的适用性，即企业在实施内部控制时需要考虑企业规模与经营范围。

(4)信息与沟通。信息是内部控制实现企业目标的重要因素，管理层利用企业内外部资源，获取、产生并使用相关的高质量信息来支持内部控制各项要素发挥作用。在COSO定义中，信息的供给、分享和获取通过沟通这一持续反复的过程来实现。内部沟通是使信息在企业内部上传下达、广泛传播的一种方式。外部沟通使得企业获取相关外部信息，并对外部各方的需求和预期予以反馈。

信息与沟通要素主要用于辅助其他要素有效运行，其中包括与内部和外部报告相关的控制目标，企业在运用COSO内部控制框架建设内部控制系统时，应当充分考虑不同报告目标对信息与沟通系统的影响。

(5)监控活动。监控活动可以评估控制环境、风险评估等其他要素以及内部控制目标的运行情况。企业应该使用持续评估和个别评价的程序，确认在企业内部及其子单元内部控制系统的有效运行。监控活动是组织评价内部控制有效性的重要工具。