​企业内部控制有效性评价体系的构建

企业内部控制有效性评价体系的构建

许 瑜，冯均科

一、引言

从21世纪初“安然事件”的发生到“通用电气”380亿美元财务造假事件的披露，从“银广夏事件”的曝光到“康美药业”300亿资金的无故“蒸发”，这一系列财务造假事件与企业内部控制失灵具有密切关系，掀起了中外理论界和学术界关于内部控制研究的一股热潮。而我国资本市场还处于探索阶段，使得我国上市公司内部控制缺陷程度远远高于发达国家。所涉及的内部控制失效事件中，不仅有“琼民源事件”“獐子岛事件”等企业财务造假问题，还包括高管利用手中权力为自己谋取私利的案件∶曾经的全国劳模、原广东省物资集团董事长庄耀滥用职权、贪污受贿约5.7亿元；原龙煤集团分公司副总经理于铁义利用职务之便受贿约3亿元；原通化金马药业的董事长闫永明被指控职务侵占罪，涉案金额约2亿元；原白云农工商联合公司总经理张新华非法转移国有资产、犯贪污罪和受贿罪，涉案金额约3.4亿元。根据《企业家刑事风险分析报告（2014-2018）》的统计∶2014~2018年间，企业家犯罪案件总计分别为902件（1099人）、793件（921人）、1458 件（1827人）、2319件（2922人）和222件（2773人），呈现出逐渐递增的趋势，且民营企业家的犯罪案件数和人数远高于国有企业家；从所涉及的职务来看，企业主要负责人（包括法人代表、董事长、经理、厂长、矿长等正职和副职）犯罪比率已占到全部案件的66.38%，远远高于其他职务11。不可否认，财务造假事件和企业家犯罪行为给企业带来了巨大的损失，严重地影响了资本市场的健康发展，而企业内部控制缺陷给上述事件的发生提供了便利。如何提升内部控制有效性，已经成为确保我国上市公司健康发展、维护国家和人民利益的焦点问题。

随着学术界和理论界对企业内部控制有效性问题的日益关注，加上政府相关部门规章制度的引导，我国上市公司内部控制制度建设得到了部分改善，但其有效性仍不尽人意。图1列示了2009～2018年间我国A股上市公司内部控制自我评价报告中披露的缺陷情况。数据来源于国泰安数据库中的“内部控制研究数据库”，存在一家上市公司披露多个类别内部控制缺陷的情况，此处数据表示的是各类型缺陷的个数。由图1可见，我国上市公司于2009年开始披露内部控制缺陷，随着国家对上市公司内部控制信息披露要求的不断加强，尤其是当2010年4月《企业内部控制配套指引》发布以后，各上市公司内部控制缺陷披露总数基本呈现逐年递增的趋势。

       图1企业内部控制缺陷总数


图2展示的是不同产权性质企业的内部控制缺陷数据。由图2可以看出，在2012年之前，披露内部控制缺陷的上市公司以国有企业为主。但此后，随着我国内部控制相关披露制度的不断规范，上市公司内部控制缺陷问题得以更多地暴露，非国有企业披露的内部控制缺陷数量不断攀升，甚至在2017 年和2018年超过了国有企业。

图2 不同产权性质企业的内部控制缺陷数据

上市公司对我国国民经济的发展有着重要的拉动作用，是经济发展的晴雨表。内部控制缺陷的存在，破坏了企业内部控制制度这道防火墙，严重地影响了上市公司的健康发展。如何提高上市公司内部控制有效性，已经成为目前我国资本市场亟须解决的问题。内部控制有效性的客观评价无疑是加强企业内部控制的重要途径。


二、现有企业内部控制有效性的评价标准

要想客观地评价上市公司内部控制的有效性，就必须制定合理的评价标准。综观国内外学者的研究成果，内部控制有效性的评价标准主要有三种，具体见表1。


（一）以内部控制目标的实现程度衡量

 内部控制的根本目的是协调、控制和激励企业的各个组成部分，保证企业目标的实现。可见，实现既定目标是内部控制有效性评价的核心。内部控制有效性应该以"为相关控制目标的实现提供的保
内部控制有效性评价标准具体方法自行构建内部控制目标实现的指标

证程度”来衡量，保证程度越高，企业内部控制
就越有效。


1.自行构建内部控制目标实现的指标体系衡量。

有学者依据内部控制的目标，自行构建指标体系测算企业内部控制指数。例如，程晓陵、王怀明 以企业经营管理是否合法合规、资产是否安全以及财务报告信息是否真实完整这三个基本目标来衡量企业内部控制有效性。张先治、戴文涛结合我国制度环境，采用目标导向评价体系法，从战略目标、财务报告的可靠性、经营活动的效率和效果以及法律法规的遵循四个方面构建了企业内部控制评价指标体系。也有学者从战略目标、经营目标、财务报告目标、合理性目标以及资产安全目标五个方面，来衡量内部控制目标的实现程度8-10。
这种方法下自行构建的指标体系包含的信息丰富，能更全面地衡量企业内部控制的有效性，这是较为常用的一种方法。但这种方法构建的指标体系容易受到学者个人主观判断的影响且指标体系构建复杂，数据的搜集和处理工作量较大，同时，数据处理方法的合理性也对研究结果起到决定性作用。


 2.采用权威机构指数衡量。

有学者直接采用权威机构提供的内部控制指数数据来评价企业内部控制有效性。例如，深圳迪博企业风险管理技术有限公司和中山大学合作推出的“迪博内部控制指数”（简称“迪博指数”），受到国内学者和业界的高度认可。该指标来源于公司年报数据，基于内部控制五大要素的实现程度设计而成，第一层包含五大要素指标的大目标，第二层包含六十三个具体指标的小目标，数据来源于企业披露的年报、审计报告、内部控制评价报告等公开发布的信息，综合性较强，能够客观、真实地反映上市公司内部控制的有效性水平【11-13】。同时，东北财经大学内部控制研究中心以及厦门大学内部控制指数课题组等构建的内部控制指数也受到了学者的关注，但由于相关数据并没有完全公开，因此，在应用范围上没有迪博指数广泛。

 这种方法专业性和全面性较强，而且不会产生因为单个作者对内部控制有效性的理解不同、构建的指标体系不一致而造成对内部控制有效性的衡量产生偏差，尤其迪博指数作为一种公开数据，更是受到了学术界的青睐。但这种方法也可能造成指数千篇一律的情况，不利于体现作者的个人看法。

（二）以企业披露的内部控制信息衡量

 高质量的信息披露提高了企业信息透明度，有助于股东和其他利益相关者了解企业的各项运行情况。上市公司可以通过自评报告和鉴证报告向外界披露内部控制有关信息，向市场传递企业内部控制的建设情况。

 1.以企业公开披露的内部控制信息结果来判断。内部控制自评报告的发布，目的是使利益相关者了解企业内部控制制度建设情况，保障其合法利益。SOX法案实施后，内部控制信息披露所具有的决策价值使其成为西方学者研究的热点问题。国外学者通常是以企业“是否按照美国证券交易委员会（SEC）要求披露内部控制实质性缺陷（Material Weakness）”作为衡量标准，如果企业内部控制存在实质性缺陷，则不能判断该公司财务报告内部控制是有效的。Paletta和Alimehmetil1/以“是否披露内部控制的程序和内部控制报告”来判断内部控制是否有效。但值得注意的是，由于SOX法案具有法律效力，因此美国上市公司对外披露的公开报告质量较高，基本能够如实地反映企业的内部控制缺陷问题。

我国也有部分学者从自我评价报告入手来评价企业内部控制有效性。当公司披露了内部控制缺陷时，即被认定为内部控制有效性较差。但由于我国内部控制信息披露制度起步较晚，并不是所有上市公司均披露了内部控制报告。因此，国内部分学者采用相关替代指标来衡量内部控制有效性，比如“是否受到证监会或交易所的违规处罚”“是否存在财务重述""财务报告是否被出具非标准意见等。在强制性披露要求出台以前，还有部分学者采用“内部控制自评报告或者内部控制鉴证报告是否披露”作为内部控制是否有效的衡量标准119，20。由于我国的《内部控制基本规范》和《内部控制配套指引》操作性不强，同时缺乏严格的法律惩罚条例，很容易造成上市公司报喜不报忧的局面，内部控制缺陷披露缺乏真实性，直接影响了企业提供的内部控制自评报告可靠性。

这种方法客观性较强，数据也容易获得，但由于内部控制缺陷的披露可能会给企业造成负面影响，所以企业可能会存在故意隐瞒信息、公布的内部控制信息不真实的情况，将会影响内部控制有效性判断的结果。

 2.以企业披露的内部控制信息详细程度来判断。

虚假披露公司信息，企业可能会承担一定的风险。因此，当上市公司存在内部控制问题时，选择不披露或者少披露才是最优方案。可见，企业所披露内部控制信息的详尽程度，在一定程度上可以反映内在的内部控制水平。赵息、张西栓采用年度报告中提及的“内部控制次数”来衡量企业内部控制有效性。

内部控制信息详细程度确实能够在一定程度上反映高管的心理动态，能够在一定程度上起到衡量内部控制有效性的目的，但由于内部控制信息的详细程度与企业披露习惯有关，与有效性之间仍然存在偏差，因此，很少有作者采用这一指标进行衡量。

（三）以内部控制要素构建情况衡量

 内部控制要素的合理设置以及良好运行保证了内部控制目标的实现，要素设置的全面性影响内部控制有效性。大部分学者以COSO报告中的五要素作为评判标准，根据这五大要素构建评价体系来衡量企业内部控制有效性。骆良彬、王河流依据内部控制五大要素构建了三级指标体系，运用层次分析法对内部控制质量进行了评价。和丽芬、朱学义、王传彬24从五个方面建立了20个二级指标，采用分值加总的平均值对企业内部控制质量进行衡量。池国华、郭菁晶从“整合观”的角度出发，以内部控制五要素为逻辑框架，构建了一套兼具科学性与可操作性的内部控制质量评价指标体系。陈汉文、黄轩昊认为"过程观"的内部控制指数构建理念更符合内部控制评价与审计的要求，并依据五要素构建了指标体系。

 内部控制要素构建情况与内部控制最终运行情况及其效果之间确实存在一定联系，但不是绝对的联系。因此，是否能采用内部控制要素设计情况来判断运行结果的有效性，仍然存在一定的争议。可见，目前学术界对于如何准确衡量内部控制有效性仍然存在争议。本文认为，虽然内部控制的过程和要素都很重要，但目标实现才是内部控制的最终目的。结合以上分析，本文认为“目标观”更符合内部控制制度设置的初衷。

三、企业内部控制有效性评价指标体系的构建

（一）内部控制有效性评价指标的构建原则

为了保证所构建的内部控制有效性评价指标体系的科学性与适当性，本文在选取指标时遵循以下原则

1.系统性原则。企业内部控制是一个涉及企业整体各方面、复杂的控制系统。因此，在进行内部控制有效性度量时，需要拥有全局观和系统观，所建立的指标体系必须具有足够的覆盖面，能够系统、全面地反映企业内部控制有效性的情况，要防止指标选取的片面性以及出现重大的评价盲点。同时，指标体系在构建过程中要注意层次分明、结构清晰，各指标之间要有一定的逻辑关系、相辅相成，防止指标的简单堆积。

2.可行性原则。评价体系中选取的指标必须保证可行性原则，既要确保指标体系切合实际、便于操作，又要确保可以顺利地运用到实践中，否则指标体系的建立就失去了意义。这就要求在构建评价指标体系的过程中，既要保证体系的系统性，又要考虑相关数据的可获得性，增加指标的量化程度，明确指标的含义和范围，以便更好地指导评价人员进行具体操作。

 3.可比性原则。可比性原则要求所构建的企业内部控制有效性评价指标体系既要保证同一个企业的纵向可比（指标具有一致性），也要保证不同企业的横向可比（指标具有普遍适用性）。因此，在内部控制有效性的评价指标选取过程中，企业应该选择具有普遍代表意义的指标，还要尽量避免随意更换相关评价指标，以保证评价结果的可比性。

4.成本效益原则。企业的内部控制活动必定会消耗大量资源，同时也会给企业带来由于修复内部控制缺陷而产生的收益。因此在企业资源有限的情况下，内部控制有效性的评价不可能兼顾每一个细节，评价指标体系的建立要找到成本与收益之间的平衡点。内部控制有效性的评价是一个持续的过程，评价指标应尽可能少而精，坚持重点突出，舍去对内部控制有效性影响不是很大却需要企业花费大量人力、物力才可实现的目标，从而达到企业利益最大化的目的。

（二）内部控制有效性评价体系的指标选取

不同利益相关者对企业内部控制的目标要求有所不同，因此，企业所构建的内部控制有效性评价指标体系应该体现层次性、多样性、系统性等特点。本文根据上述原则，考虑《企业内部控制基本规范》的要求，同时参考张旺峰、张兆国和杨清香，池国华和杨金额等的研究思路，以“目标观”为导向，从合法合规目标、财务报告目标、资产安全目标、经营目标、战略目标五个方面构建指标体系，衡量内部控制目标的实现程度。

图3 企业内部控制目标体系

1.合法合规目标。

合法合规目标是指，要确保企业既要遵循国家的法律法规等相关政策，也要遵守市场及行业准则，是内部控制的根本目标。在目前的社会大环境下，对法律法规的遵循是企业持续发展的门槛和根本，是企业生存的底线，也是利益相关者的共同需求。有效的内部控制使企业的高管和员工树立了较强的法律观念，对于保证企业经营的合法合规性起到了重要的作用。如果企业或相关责任人存在违规处罚行为，则通常认为企业并没有遵循合法合规的经营目标。当然，当企业存在诉讼事项且公司为被告方时，通常也可以判定企业未能按照规章制度要求经营的可能性较大。因此，依据合法合规性目标的要求，本文选取“是否存在被动未决诉讼事项”和“是否存在违规处罚行为”两个指标来衡量该目标。

2.财务报告目标。

 财务报告的可靠性是对企业运行效果进行正确衡量与评价的保证，是内部控制的基础目标。财务报告是利益相关者了解企业经营状况的基本渠道，真实、准确、完整的财务报告既有利于企业管理层实施科学决策，又有利于企业在市场中树立良好的形象，对于降低投资者的风险、促进资本市场的健康发展具有重要意义。完善的内部控制制度能够对企业的各项活动形成有效的制约机制，从而提高财务信息质量，抑制财务报表错报和盈余管理行为。由于我国内部控制披露制度还不够完善，因此，财务报告目标更多地应该由企业财务报告情况来体现。通常当企业存在财务报告重述行为时，则意味着企业前期的财务报告存在差错，未能真实地反映企业的财务状况。同理，当企业存在盈余管理行为时，意味着企业或者经营者出于自身利益最大化的目的对财务报告进行了调整，也意味着企业对外报送的财务报告并不是完全真实的。而当企业的财务报告被出具非标准审计意见时，则直接意味着外部审计对于企业报出的财务报告的真实性、准确性和完整性表示不认可，企业财务报告目标并未达成。因此，依据财务报告目标的要求，本文选取“是否存在财务重述”“财务报表的审计意见”以及“是否存在盈余管理行为”三个指标来衡量该目标。

3.资产安全目标。

资产安全性反映了董事会、管理层对企业的基本需求，是内部控制的重要目标。资产是能够给企业带来经济利益的资源，是企业赖以生存和发展的基础保障，其重要性程度不言而喻。资产的安全性除保证资产物理层面的安全之外，更多地体现为资产的价值安全，即公允价值的高低。完善的内部控制制度可以防止资产在使用过程中被非法占用、挪用和转移，同时也能防止企业资产公允价值过低而对企业绩效产生影响。若企业发生资产减值损失，则意味着企业在资产清查工作中对于已经丧失价值的资产进行了全部或者部分的财务核销，导致了企业资产公允价值的降低。而如果企业资产过多地被关联方占用，就会严重影响企业自身的正常运营，最终影响获利能力。同样，当企业存在对外担保时，就有可能会因法律纠纷而导致企业资产发生巨额损失，严重影响企业的资产安全性。因此，依据资产安全性目标的要求，本文选取“资产减值损失比率”“资产关联方占有率”以及"对外担保率"三个指标来衡量该目标。

4.经营目标。

企业经营效果和效率是企业设立内部控制制度的最根本目的，是内部控制的核心目标。完善的内部控制制度可以协助企业识别各类风险，并推动企业经营管理的健康发展，最终提高企业的盈利能力。企业的经营目标可以通过经营效果和经营效率两个方面体现。经营效果是指企业资产的运用效果，即经营活动后的最终产出，体现的是企业的获利能力，通常用资产的盈利能力指标加以衡量。经营效率是指企业资产的运用效率，即经营活动中的投入产出比，体现的是企业的营运能力，通常用资产的周转率指标加以衡量。因此，依据经营目标的要求，本文选取“营业利润率”“净资产收益率”“净利润现金含量”“存货周转率”“应收账款周转率”“总资产周转率”等六个指标来衡量该目标。

5.战略目标。

企业战略是指企业依据自身情况和外部环境，制定适合自身发展的思路，是企业内部控制的前瞻性目标。战略目标是一种整体性要求，体现了企业中长期所要求的发展水平，表明了企业战略期间的总体任务，是企业发展的根本方向。完善的内部控制制度能够保证企业形成合理的组织框架以及人员分工，最终确保企业战略目标的实现。企业的战略目标主要是通过本企业在行业中的竞争力情况、企业的可持续发展能力、企业目前的风险水平及风险承受能力来判断。

表2 内部控制有效性评价指标体系一级指标合法合规

企业的行业竞争力越强，意味着相较于市场中其他企业更能有效地向市场提供产品或服务，必定是企业战略规划中所追逐的目标。可持续发展能力是企业稳健增长、确保市场地位的要求，同样也是企业战略规划中的重点考虑。当然，在企业稳定发展的过程中不可避免地会面临各种风险。在战略制定过程中，企业除了追求高速发展，也要将风险控制在可接受的范围内。因此，依据企业战略目标的要求，本文选取"市场占有率”“风险系数”“销售增长率”和“托宾Q值”四个指标来衡量该目标。

企业内部控制五大目标之间相互联系、相互制约，最终可以实现企业资源优化配置的根本目标。根据以上分析并结合我国资本市场状况和数据的可获性，本文构建的内部控制有效性评价指标体系如表2所示。

四、结语

 内部控制有效性对于确保企业可持续发展起到十分重要的作用。政府相关规章制度的引导，使得我国上市公司内部控制制度建设得到了部分改善，但其有效性效果仍不尽人意。如何衡量和提高上市公司内部控制有效性，已经成为目前我国资本市场亟须解决的问题。本文结合我国内部控制制度相关政策的推行，在现有衡量标准存在争议的情况下，以更符合内部控制制度设置动因的“目标观”为导向，并且结合我国资本市场和上市公司的特点构建了更优的内部控制评价指标体系。本文的研究结论为更合理地衡量内部控制有效性提供了理论支持，也为企业改善内部控制有效性提供了理论指导。

当然，企业内部控制有效性的评价工作是一项动态的系统工程，评价指标体系并不是一成不变的。同时，本文仅仅选取了具有较强代表性的指标，也可能存在指标体系构建不全面的情况。因此，在今后的研究中，应该紧密观察外部环境，尤其是资本市场的变化，不断调整和充实指标体系，以便更好地指导企业的内部控制制度建设。