文档介绍：理解内部控制
那些能够准确解释COSO内部控制框架的审计师为管理层提供了巨大的价值。
内部控制知识是内部审计技能中最基本的。然而,内部控制不是由审计师负责,而是由管理层负责。审计师负责为管理层提供有关内部控制如何运行的信息。
美国内部控制的正式定义是由“反虚假财务报告委员会”发起成立的一个赞助组织委员会(COSO)在“内部控制——整体框架”的研究报告中提出的。审计师必须能够解释这个框架,从而帮助管理层完成他们的职责。
定义内部控制
根据COSO委员会的定义,内部控制是为达到目标提供合理保证而设计的过程。具体来说,是为了达到提供可靠财务报告、遵循法律法规和提高经营效率效果等目标。
COSO内部控制框架中,管理层需要履行的职责包括5个步骤或要素。COSO将内部控制要素以一个金字塔结构提出,其中控制环境作为金字塔的最底部,风险评估和控制活动位于上一层次,信息和沟通接近顶部,监督处于最顶端。
控制环境
控制环境不仅包括非正式的,经常是无形的软控制,例如道德价值观,诚信原则,管理哲学,胜任的能力等,同时还包括组织结构和职责划分等更为正式的控制。控制的其他要素发挥作用都依赖于这一基础的可靠性。当经济景气,公司股价持续较高时,金字塔底部的任何弱点可能都不会明显。然而,当经济低迷时,控制环境就可能会受到来自管理层对于持续盈利,奖金红利以及其他一些短期目标的期望的压力。所以在经济景气时期内部控制尚且还可以,但在经济低迷时则需要加强。
管理层和内部审计师需要理解处于金字塔底部各因素的状况,但不是为了改变它们,而是要考虑它们对于其他控制要素的影响。许多软控制的特性在于只能由员工自己对其进行评价。为了能理解控制环境,审计师访问员工,使用自我评价工作坊和问卷调查等方法。当审计报告中包含非正式控制,这些自我评价的结果就成为支持非正式控制状况的证据。
风险评估
在风险评估过程中,管理层识别并分析实现其目标过程中所面临的风险,从而制定决定如何管理风险的制度基础。管理层应该在审计师开始审计之前,识别那些重大的风险,并基于这些风险发生的可能性和影响采取措施缓和这些风险。随后,审计师对这一风险评估过程进行评价。
期望风险评估能够保证完全地识别并提出所有的风险是不可行的。风险评估过程中讨论的目的是为了控制,即由一组人讨论决定如何处理与某一目标有关的三、四个重要风险。控制是实际的讨论,不是风险的结果列示。随着小组成员对于如何处理风险的讨论,他们开始能够更好地理解目标,提高处理其他未知风险的能力。
无论是审计师或是其他人都不能代替负责实现组织目标的经理人员和员工进行风险评估。然而,审计师可以对经理和员工进行风险评估技术培训,使工作坊在协助识别和管理风险以及帮助组织建立起一套在评估中使用的通用风险语言方面变得更容易。
控制活动
控制活动是指确保管理层的指令得以实现的机制,包括那些被识别能够缓和风险的活动。这些控制很大程度上是基于审批活动。运输货物、支付帐单、等待客户定单、购买资产等活动都需要实施具体的,基于活动的控制。所以要求具备大量的有关特定活动的知识来决定应该实施怎样的针对性控制。
COSO控制框架提出风险控制矩阵,分析企业经营目标、风险和控制。这个矩阵只是建立控制活动的一种方法。其他建立控制活动的方法还有流程图;分析业务输入、处理、输出的完整性、准确性、授权