一、内部控制的含义
国际审计准则对内部控制的定义是指管理当局为确保其管理目标有序有效地实现而制定和实施的管理政策和控制程序，包括遵循管理制度、保护资产安全、防止和发现错误和舞弊、确保会计记录的准确性和完整性、及时编制可信的财务信息。
内部控制的发展经历了一个漫长的时期。“内部控制”一词最早出现在正文中，它作为审计术语出现在审计文献中是在1936年。美国注册会计师协会在其公告《注册会计师对财务报表的审查》中首次正式使用了“内部控制”一词，该公告指出:“注册会计师在制定审计程序时应当考虑的一个重要因素是审查企业的内部约束和控制。
内部控制漫长的发展过程基本上可以分为六个阶段:内部牵制、内部控制体系、内部控制结构、内部控制总体框架、企业风险管理与改进总体框架。图一。从内部控制到全面风险管理的演变内部密封阶段
总的来说，40年代以前是内部遏制阶段。内部牵制是指一个人不能完全控制账户，另一个人不能独立控制的制度。一个员工的业务和另一个员工的业务必须是相互补充、相互牵制的，即必须对业务进行组织上的职责分工和交叉检查或交叉控制，从而相互牵制，防止错误或滥用。这就是内部控制的雏形。它在科赫会计词典中的定义是:“为提供有效的组织和运作，防止错误和其他非法业务发生而制定的业务流程。其主要特点是以这样一种方式划分组织职责，即任何个人或部门都不能单独控制任何一项或部分业务权利，而通过充分发挥其他个人或部门的职能来交叉检查或交叉控制每项业务。”长期以来，人们对上述内部控制的概念没有根本的异议，以至于内部控制在现代内部控制理论中仍然占据着非常重要的地位，成为现代内部控制理论中组织控制和岗位分离控制的雏形。
内部控制系统阶段在内部牵制思想的基础上，内部控制制度的概念应运而生。内部控制制度的形成可以说是传统内部牵制思想和古典管理理论相结合的产物。1949年，美国会计师协会审计程序委员会发表了一份题为《内部控制、协调系统要素及其对管理部门和注册会计师的必要性》的专题报告，首次对内部控制做出了如下权威定义:“内部控制是企业为保护资产、保证会计数据的可靠性和准确性、提高经营效率、促进管理部门制定的政策的实施而制定的组织计划和各种补充方法和措施。”
内部控制制度思想认为，内部控制应分为内部会计控制和内部管理控制两部分。内部会计控制包括与财产安全和财产记录可靠性相关的所有方法和程序。内部会计控制在于保护企业资产，检查会计数据的准确性和可靠性。内部管理控制包括组织规划的所有方法和程序，主要涉及运营效率和政策的执行。内部管理控制是为了提高运营效率，督促相关人员遵守既定的管理政策。西方学术界在研究内部会计控制和内部管理控制时，逐渐发现两者密不可分，相互联系。因此，20世纪80年代提出了内部控制结构的概念。注:内部会计控制制度最早由美国证券交易法案于1934年提出。该法规定，证券发行人应设计并维护一套能够为真实可靠的财务信息提供合理保证的内部控制制度。1958年，美国审计程序委员会发布了《独立审计师评估内部控制范围报告》，将内部控制分为内部会计控制和内部管理控制。内部控制结构阶段自20世纪80年代以来，内部控制的理论研究取得了新的进展，人们对内部控制的研究重点也从一般意义逐渐深入到具体内容。其标志是美国AICPA于1988年5月发布的《审计准则公告第55号》。在公告中，“内部控制结构”的概念取代了“内部控制制度”，并指出:“企业内部控制结构包括为实现企业特定目标提供合理保证而建立的各项政策和程序。”认为内部控制结构由以下三个要素构成:控制环境、会计制度和控制程序。阐明了内部控制结构三要素的内容。控制环境:所谓控制环境，是指影响建立、加强或削弱特定政策和程序的效率的各种因素。主要表现在股东、董事会、经营者和其他员工对内部控制的态度和行为上。会计制度:规定各种经济业务的确认、计量、记录、归集、分类、分析和报告的方法。那就是建立企业内部的会计制度。控制程序:控制程序是指管理当局为确保实现某些目的而制定的政策和程序。
与以往的内部控制定义相比，内部控制结构有两个特点:一是将内部控制环境纳入内部控制范畴；第二，它不再区分会计控制和管理控制。至此，企业管理实践中产生的内部控制活动，经过审计人员的理论总结，已经从实践升华为理论。内部控制整合框架理论1992年，由美国会计协会、注册会计师协会、内部审计师协会、财务经理协会和管理会计师协会等成立的美国虚假财务报告全国委员会后备组织委员会。，专门研究内部控制问题，发布了指导内部控制的纲领性文件《COSO报告》，并于1994年进行了补充。这份报告是内部控制发展史上的又一个里程碑。
COSO报告指出，内部控制由公司董事会、管理层和其他员工实施，是一个为实现经营的有效性和效率、财务报告的可靠性以及遵守适用的法律法规的目标提供合理保证的过程。内部控制的根本目的是防范风险。根据COSO委员会的定义，内部控制是为实现目标提供合理保证的过程。具体来说，它旨在提供可靠的财务报告，遵守法律法规，提高运营效率。COSO提出了企业内部控制的总体框架。在COSO内部控制框架中，管理层应履行的职责包括五个步骤或要素:控制环境、风险评估、控制活动、信息与沟通以及监控。1.控制环境。控制环境作为内部控制整体框架中所有要素的基础，为内部控制提供了前提和结构。其特点是首先明确规定组织的目标和政策，然后由战略计划和预算流程予以支持；然后，明确界定有利于职责分工和报告路径的组织架构，建立基于合理的年度风险评估的风险接受政策；最后，向员工阐明有效控制和审计系统的必要性以及实施控制要求的重要性。同时，高层领导需要对文件控制系统做出承诺。控制环境决定了企业的基调，直接影响员工的控制意识。2.风险评估。风险评估是对目标实现过程中的风险进行识别和分析，为决定如何管理风险提供依据。这种联系是COSO总体内部控制框架的独特之处。首次将风险评估引入内部控制领域。在风险评估过程中，管理层识别和分析在实现其目标的过程中所面临的风险，从而制定决定如何管理风险的制度基础。管理层应在审计师开始审计之前识别这些重大风险，并根据这些风险的可能性和影响采取措施减轻这些风险。随后，审计员评估这个风险评估过程。3.控制活动。控制是指确保执行管理层指示的机制，包括那些被确定为减轻风险的活动。控制存在于组织的所有层次和职能中，如批准、授权、验证、调整、业务绩效审查、资产安全、工作分工和信息系统。4.信息和通信。信息是指员工在工作中能够获得所需要的信息，是保证员工履行职责的必要条件。它是传达各级人员接受最高管理层关于控制责任的指示的方式，以及他们对待内部控制的严肃性，包括信息在组织内外的向上、向下、水平和自由流动。在企业经营和目标实现的过程中，组织的各个层次都需要来自企业内外的一系列财务和经营信息。信息系统支持战略行动，并集成到业务活动中。5.监督。监督由评价内部控制实施质量的实时程序组成，包括持续监督、独立评价或两者的结合。独立评价的范围和频率取决于被评估的风险程度，内部控制系统需要监督，这可以确保内部控制的有效运行。控制的监督要素包括管理人员的日常监督、审计人员和其他团体的定期审计，以及管理人员用来揭示和纠正已知缺陷和不足的程序。监督可用于确保其他控制措施的运行。COSO提出了一个金字塔结构的内部控制要素，其中控制环境是金字塔的底部，风险评估和控制活动在上层，信息和沟通在上层，监督在上层。内部控制要素之间的关系如图2所示:
从图2可以看出，在这五个要素中，控制环境是其他要素发挥作用的基础和前提。没有有效的控制环境，其他四个要素无论质量如何，都无法形成有效的内部控制。风险评估、控制活动、信息和沟通是整个控制框架的组成部分，而监督是对其他四个要素的持续检查和重新控制。
内部控制理论《COSO报告》的出台，引起了世界会计界的广泛研究兴趣，加深了各行各业对内部控制知识的重视，基本统一了业界的认识，对人们研究企业内部控制具有重要意义。COSO报告对中国会计理论和实践有很大的启示和借鉴意义。理论启示是，我国各级会计人员必须深化对内部控制的认识。内部会计控制是内部控制的核心部分。必须改变原有的过时的内部会计控制观念和思路，从而更好地促进企业的内部控制管理，使内部会计控制思想被企业各个层面自觉遵守，“软控制”在企业中生根发芽。这是企业管理中最受推崇、最有效的控制方法。在实践中，我国应吸收COSO报告的研究成果，重新审视和完善我国企业的内部会计控制环境、控制流程和风险评估，从而建立一套更适合我国企业的内部控制方法。企业风险管理集成框架阶段背景:
安然事件-股东损失700亿美元世通事件-110亿美元的会计欺诈案萨班斯奥克斯利法案在1992年COSO报告的基础上，结合萨班斯-奥克斯利法案在财务报告方面的要求，对企业风险管理框架进行了扩展。O COSO将风险管理框架定义为:“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制定，并贯穿于整个企业，旨在识别可能影响主体的潜在事项，管理风险使其处于主体的风险能力之内，并为主体目标的实现提供合理的保障”。与1992年COSO报告提出的整体内部控制框架相比，企业风险管理框架增加了一个概念、一个目标、两个概念和三个要素，即风险组合观、战略目标、风险偏好和风险容忍度的概念，以及目标设定、风险识别和风险应对的要素。图3 COSO企业风险管理总体框架1)提出一个新概念——风险组合观。
企业风险管理要求企业管理者从风险组合的角度看待风险，识别相关风险并采取措施使企业承担的风险在风险偏好范围内。对于企业中的每个单位来说，其风险可能在其风险承受范围内，但从企业整体来看，总风险可以超过企业整体的风险偏好。因此，应该从企业整体风险组合的角度来看待风险。
2)增加了一类目标——战略目标，扩大了报告目标的范围。内部控制结构将企业的目标分为三类:运营、财务报告和合规。企业风险管理框架也包含三个类似的目标，但其中只有两个与内部控制框架中定义的目标相同，而财务报告目标的定义则不同。内部控制结构中的财务报告目标仅与公开披露的财务报表的可靠性有关，而企业风险管理结构中报告目标的范围已大大扩大，涵盖了企业编制的所有报告，包括内部和外部报告；包括企业内部管理人员使用的报告，以及对外提供的报告；包括提供给其他利益相关者的法定报告和非法定报告；包括财务信息和非财务信息。此外，与内部控制框架相比，企业风险管理框架增加了一种新的目标——战略目标。这个目标比其他三个目标有更高的层次。企业风险管理应用于实现企业其他三个目标的过程中，也应用于企业的战略制定阶段。
3)提出了两个新概念——“风险偏好”和“风险容忍度”广义而言，风险偏好是指企业在实现目标的过程中愿意接受的风险大小。企业的风险偏好与企业的战略直接相关。企业在制定战略时，应考虑将战略的既定收益与企业的风险偏好相结合。风险容忍度的概念基于风险偏好的概念，风险偏好是指企业目标实现过程中差异的可接受程度，是企业基于风险偏好设定的相关目标实现过程中差异的可容忍限度。在确定每个目标的风险容忍度时，企业应考虑相关目标的重要性，并将其与企业的风险偏好联系起来。
4)增加了三个风险管理要素。对其他要素的分析更加深入，范围扩大。企业风险管理框架增加了三个新的风险管理要素:目标设定、事件识别和风险应对。此外，风险管理框架进一步阐述了其他要素的内涵，扩大了相关要素的范围。在控制环境要素上，企业风险管理框架将“控制环境”扩展到“内部环境”，更加直接和广泛地关注风险如何影响企业的风险文化。在风险评估方面，企业风险管理框架建议从固有风险和剩余风险的角度看待风险；还要求关注相互关联的风险，确定单个事件如何给企业带来多重风险。在信息和沟通方面，企业风险管理框架扩展了企业信息和沟通的内容，认为企业信息应包括过去、现在和未来潜在事件的数据。
一般来说，新的体系结构强调在整个企业中识别和管理风险的重要性。COSO委员会强调，风险管理框架必须与内部控制框架保持一致，并将内部控制目标和要素融入企业的整体风险管理流程。因此，风险管理框架是内部控制框架的延伸，涵盖了内部控制，比内部控制更加完整和有效。完善风险管理框架2016年6月，COSO发布了《企业风险管理——协调战略与绩效》修订版。2017年9月6日，COSO发布了新版企业风险管理框架:企业风险管理——与战略和绩效的整合。从征求意见稿到正式版，企业风险管理框架中的要素和原则从以企业战略和绩效为中心，转变为融入企业战略、绩效和价值提升之中，这也是标题文字改变后正文整体内容变化的直接体现。
新框架从企业的使命、愿景和核心价值出发，以提高主体的价值和绩效为目标，强调嵌入企业管理的经营活动和核心价值链。从主要要素和内容上，都发生了翻天覆地的变化，从而使一个全新的“管理框架”诞生了。这种视角是一种新的企业管理视角，对于企业管理来说是一种观念上的转变。在原有的“控制框架”下，会计师事务所可以在执行内部控制框架的基础上，帮助企业加强风险管理，但新的“管理框架”更像是企业决策者或企业管理顾问的关注。近年来，风险导向管理的概念逐渐出现。企业管理领域中常见的公司治理、企业文化、战略管理、卓越绩效、危机管理、高效沟通等都可以通过应用该框架实现规范化和科学化。因为风险基础管理的理念将成为主流，渗透到企业管理的方方面面，所以了解COSO 1992年和2004年发布的《内部控制框架》和《企业风险管理框架》的人都应该清楚地知道，两个框架都列出了企业内部控制和风险管理的局限性，而且这两个框架的局限性基本相同，这从另一个角度证明了2004版的《企业风险管理框架》仍然是一个大内部控制的“控制框架”。在新的框架中，删除了关于风险管理局限性的章节。作为一套“管理系统”而非“控制系统”，突破原有局限不言而喻。三。内部控制与全面风险管理的关系
1.全面风险管理涵盖内部控制。2003年7月，COS发布了《全面风险管理框架征求意见稿》，明确指出全面风险管理体系框架包括内部控制这一子系统。除了内部控制的三个目标，全面风险管理还增加了战略目标；全面风险管理的八个要素包括了内部控制的全部五个要素，增加了目标设定、事件识别和风险对策三个要素。从时间顺序和内容上看，全面风险管理是内部控制的扩展和延伸。
2.内部控制是全面风险管理的必要组成部分。内部控制的动力来源于企业对风险的认识和管理。对于企业面临的大部分经营风险，或者说企业所有业务流程中的风险，内部控制制度是一种必要的、高效的、有效的风险管理方法。同时，保持充分的内部控制系统也是国内外许多法律法规的合规要求。因此，满足内部控制制度的要求也是企业风险管理制度应达到的基本状态。来源:腾讯新闻
