曾經最具創新精神、全球排名第16的Enron在一起丑聞中迅速瓦解；曾經推動了美國反壟斷立法進程的WorldCom涉及會計舞弊，然而舞弊最初的揭露者并不是具有高度獨立性的外部審計師———而是內部審計師。這使人們思考如何建立健全的公司治理結構、如何定位內部審計在公司治理過程中扮演的角色。INSTI－TUTEOFINTERNALAUDITORS認為健全的公司治理結構是構建在“董事會、高級管理層、內部審計師和外部審計師”的有效協同之上的，這是公司治理賴以存在的四大基石。公司治理是董事會實施的各種流程和框架的組合，這個組合告知、指導、管理和監督著組織的各項活動，為實現公司目標服務。也就是為了防止脫離目標的情況，才建立了這一整套關系體系。內部審計作為這套體系的基石之一，如何高效地發揮作用是值得關注的問題。結合實踐工作來看，以下幾個方面關系到內部審計能否在公司治理層面充分發揮積極作用。

1內部審計的地位

公司治理是為了實現組織目標而建立的一整套關系體系，這套體系中最重要的關系就是“所有權和控制權分離所導致的受托責任關系”，這套體系最基礎的控制系統就是“股東大會和董事會、董事會和高級管理層”組成的這兩個控制系統，目的是有效監管治理參與者對股東承擔的受托責任。OrganizationforEconomicCo-operationandDevelopment在現代公司治理的原則中，論述了股東、董事會、經理層和利益相關者的關系，但只是較傳統觀點引入了利益相關者，并沒有改變這一基本的受托責任關系。審計產生的根本原因并不是會計中需要審核稽查的因素，而是前述的“所有權和控制權分離所導致的受托責任關系”。這從源頭上揭示了審計與公司治理的關系，也說明了審計應扮演的角色。可以說內部審計要想在公司治理層面發揮作用，就需要介入這一受托責任關系。介入的方式要由董事會與高級管理層就“內部審計的地位和報告關系”達成一致，一致的表達形式可能是內部審計制度、審計章程、會議紀要或其他任何形式，但其實質就是一份協議、一份董事會與高級管理層達成的、關于內部審計部門在權力、宗旨和職責范圍等方面的協議。這份協議決定了內部審計部門在組織中的地位和相應的報告關系。模糊的關系會給內審工作帶來很多障礙和不必要的摩擦，甚至會陷入進退維谷的境地。從國際范圍內的最佳實務來看，內部審計部門都是隸屬于董事會的，這樣內審部門就順利地介入了治理層面的受托責任關系之中；但是目前也有很多公司的內部審計部門在實質上還是隸屬于經理層甚至財務部門，這種情況下內部審計就無法在公司治理層面發揮作用（以下將述及的內部審計是指在實質上隸屬于董事會的內部審計）。內部審計部門在組織架構中的地位決定了其可能發揮的作用。實際工作中，要想內部審計在公司治理層面作出貢獻，必須在地位和報告關系上給出一個董事會和高級管理層都接受的、明確的定義，這會給內部審計工作提供理由，創造便利的條件。

2在風險評估方面發揮作用

根據ERM框架，“全面風險管理是一個過程，這個過程受董事會、管理層和其他人員的影響，這個過程從企業戰略制定一直貫穿到企業的各項活動中，用于識別那些可能影響企業的潛在事件并管理風險，使之在企業的風險偏好之內，從而合理確保企業取得既定的目標”。在全面風險管理過程中，管理層需要識別風險、分析風險因素、管理風險（包括根據企業的風險容忍度來選擇對不同風險的應對方案，承擔、減少還是規避等問題）、穩妥地獲取風險收益；內部審計是要對管理層風險管理過程的有效性進行評估，借助評估結果和審計意見的發表，對風險管理過程的持續改進做出貢獻。在具體的評估過程中，主要評估：

2.1戰略風險

戰略風險作為企業面臨的最大風險,是未來的不確定性對戰略目標的影響，這種影響產生于環境、資源、能力、競爭等因素發展的不平衡性。內部審計需要確認管理層對重大風險的識別和管控情況，是否建立了風險識別框架（包括戰略風險組織體系和戰略風險預警機制為保障的戰略風險控制系統）、是否沒有考慮或沒有有效管理對組織戰略目標構成重大影響的風險。

2.2信息的可靠性

主要是指財務信息和運營部門提供的運營信息，國際會計準則委員會（IASC）認為，可靠性的構成要素包括“忠實反映、實質重于形式、中立性、審慎性、完整性”；美國財務會計委員會（FASB）對可靠性的定義包括“反映的真實性、可驗證性和中立性”；中國財政部頒發的會計準則對此的表述是“以實際發生的交易或者事項為依據進行會計確認、計量和報告，如實反映、保證會計信息真實可靠、內容完整”。無論何種定義，可靠性風險產生的原因都與內控、經營壓力等事項直接相關，而內部審計就要識別這些事項，評估這些事項對信息可靠性的影響。

2.3資產安全風險

資產是指企業擁有或者控制的、預期會給企業帶來經濟利益的資源，包括購買、生產、建造行為或其他交易或者事項，企業享有某項資源的所有權，或者雖然不享有某項資源的所有權，但該資源能被企業所控制。預期會直接或者間接導致現金和現金等價物流入企業的潛力，所以說資產安全的風險關乎了企業現狀和未來的發展。內部審計應當在管理層管控措施的基礎上，對影響資產安全狀況的現時和潛在因素進行評估，包括評估管理層的管控措施。

2.4法律風險

法律風險的內容非常廣泛，包括：與公司資本有關的風險（如：出資不實風險、隱名出資人、股權結構不合理、控股股東與小股東權益分歧等）；合同類風險（如：合同簽訂、合同履行、合同管理不當引發的法律風險等）；財稅法律風險（如：信息披露及時性和真實性、統計資料、檔案管理、投融資、稅務管理、資金管理、會計核算、關聯交易、發票及票據管理不當）；市場營銷類風險（如：產品或服務的法律風險、營銷方案制訂的法律風險、廣告宣傳的法律風險、市場競爭的法律風險）；人力資源類（如：合同制用工、勞務派遣、培訓合同、合同文本不當風險、員工信息保管不當風險等）；安全生產法律風險(如：生產經營單位負責人安全責任風險、生產經營單位安全保障風險、安全事故應急救援和處理風險、安全生產管理不當風險、警示標志不當風險、安全設備、特種設備、危及安全的工藝、設備的管理風險、危險物品的管理風險、生產經營場所的安全管理風險、危險作業風險、勞動防護用品風險、重大危險源管理風險、安全生產監督管理不當等風險)。各類與法律有關的風險無法窮舉，但他們都無一例外地影響著公司各個方面，因此內部審計必須評價公司在各個方面是否符合法律的規定，否則產生的可能是重大的、超出容忍范圍的風險。

2.5其他風險

包括沒有包含在上述分類，但構成對戰略目標及運營過程產生影響的各類情況，如：跨國經營類（進出口經營權資格、技術進出口、貨物進出口、國際服務貿易、電子數據交換（EDI）中的國際運輸、國際支付與結算、國際貿易壁壘、國際政治因素、文化和信仰的沖突），環境保護類（排污、環境污染處罰、環境污染侵權等）；再如：訴訟（仲裁）中的證據、時效等風險；重大重要項目風險、媒體的負面報道，等等。這與法律風險類似，也是無法窮舉，也是影響到公司各個方面，因此內部審計也必須識別和評價公司面臨的這些風險，否則也可能產生重大的、超出容忍范圍的風險。另外，在風險管理環節還需要對內部審計和管理層的角色進行區分：將內審從風險的管理職責中分離出去，由內部審計部門負責對風險管理過程的有效性和充分性進行檢查和評價。在審計報告中對不足之處提出建議，幫助管理層進行改進。如果沒有對內部審計地位的正確理解，往往會使內部審計承擔對風險的直接管理責任，這無論是對公司治理還是對內部審計職能的發揮都有難以評估的負面影響。

3在內部控制效率和效果方面發揮作用

內部控制在國際范圍內有多個模型，包括：美國的COSO框架、加拿大的COCO模型、英格蘭及威爾斯特許會計師協會的CADBURY模型、倫敦股票交易所制定的TURNBULL模型等等。無論那個模型都是為了管理風險，從而合理高效地實現組織目標，因此控制應在符合成本效益的原則下，保持效率和效果的統一。其中，加拿大的COCO是在COSO框架的基礎上發布的控制標準，是一個便于對控制進行判斷的模型。下面以COCO為基礎說明內部審計需要在哪些方面評價內控的效率和效果：

3.1目標

內部審計師應當評價各級員工對戰略目標的認知程度，戰略一般是從高層制定，并向下推廣。那么內部審計師就應當評價企業內部對戰略的理解，包括各個事業部或職能部門是否明白自身在戰略中的地位。其次應當評估管理層是如何促進目標實現的，比如具體的行動方案、部門的計劃，以及與此相對應的預算和績效工具的運用。

3.2約定

企業內部的約定包括達成共識的價值觀、權利和職責的分配。價值觀是實際行動的表現，而非口頭的宣講，一個良好的價值氛圍一定有高層的垂范作用，并能形成一種互相信任的良好氛圍，這個氛圍能加快信息的溝通效果；權利和職責的分配能夠方便各層級的人員開展工作，在相互牽制的前提下明確了每個部門和崗位的職責，便于他們工作的開展；這兩項的共同作用是融洽地對職權進行區分，相互牽制卻不互相推諉地保持高效控制。在這一部分，內審人員應該在價值觀層面、權責劃分等方面進行審計確認，通過審計確認，促進各部門和人員在共同的價值觀的指引下，按各自的職權范圍開展工作，對超出職權或妨礙目標的情況提出審計意見，促進約定的效果。

3.3能力

員工所具備的知識、所掌握的技能、能夠運用的工具是控制賴以咨詢的前提；部門之間的協作是部門能力的體現。能力能夠保證控制活動充分執行、具有前后銜接的關系；能夠保證溝通渠道和信息的傳遞。在這一部分，內審人員應該對這些能力及與此相關的溝通渠道、溝通效果等方面進行確認，對不足的部分提出審計意見，間接幫助組織實現目標。

3.4監控和學習

良好的控制應該能夠監控到企業外部和內部的環境因素，敏銳洞悉其中的變化和所帶來的風險對企業目標的影響；應該對目標執行情況、績效情況進行監控，包括衡量績效、執行情況的對比、對良好效果的獎勵、對偏差的糾正措施。在這一部分，內部審計人員應該重點關注企業是否建立了相應的監控措施，是否能夠跟蹤到實際的執行情況，對目標執行出現偏差時（如預算超支、指標沒有達成、績效考核不佳、控制的效果不佳等情況），是否及時采取了救治措施，通過對這些信息的確認可以促進這一控制過程（這區別與內審的監督職能），通過對管理層實施的監控和學習活動的評價來促進公司的控制的有效性和實現的效果。

4在遵循性方面發揮作用

遵循性審計有時候也被稱為合規性審計，是最為傳統的內部審計職能，主要包括：

4.1對法律法規的遵循情況

內部審計人員要關注公司制度、實際經營行為與法律法規是否抵觸，更重要的是要關注公司是否建立了不違法亂紀、依法經營的控制措施。因為對法律法規的遵循情況（包括所有的審計事項）都不能僅僅依賴內部審計人員對結果的評價，解決問題的根本是所建立的控制措施本身就應當避免這項風險的產生，審計人員更重要的是評估和監督這個控制過程的有效運作。

4.2公司行為規范和商業慣例

在這方面，內部審計人員首先要考慮企業是否存在相應的行為規范，這包括張貼的行為守則、發放的工作手冊、正式與非正式場合的宣講、培訓等各種形式；對商業慣例的遵循程度，企業除審計部門之外，是否有相應的控制系統來保證行為規范和商業慣例的運行情況，比如舉報和獎懲措施，以及獎懲措施的落實和糾偏效果。

4.3考核系統和報告機制

考核系統包括董事會與經營層簽訂的合同、任務指標的完成情況、計劃執行情況、預算執行情況、工資薪金的考核等與此有關的內部管理工具，包括考核標準的制定情況、這一過程的建立和有效運行情況。報告機制指應當在公司內部建立的充分而有效的報告體系，包括基層對中層的報告、中層對高級管理層的報告、高級管理層對董事會的報告機制，這個體系應該能夠充分及時地反饋風險管理和控制過程的情況。良好的機制應該有書面的政策、渠道暢通、溝通及時，內部審計師通過評估，要確認這一體系是否存在，運轉的效率和效果，并把這一結構反饋給董事會和高級管理層，從而促進報告機制的有效運行。

5內部審計產品

內部審計應當有書面的工作成果，這個書面的成果就是內部審計師所生產的產品。內部審計工作中，對風險的評估、審計范圍的劃定、審計資源的分配、審計過程的督導、質量保證與改進等一系列程序的建立，都是為了能夠持續地生產出合格的、高質量的產品，并通過產品來參與經營和治理的過程，這就是內部審計產品理論。內審產品的質量決定了內部審計在增加價值和改善運營方面所能發揮的作用。內審產品是在開展工作的過程中產生的，所以說開展工作的過程就是內部審計師評價并改善風險管理、內部控制及公司治理的過程，也就是內部審計在經營和治理方面發揮作用的過程。在更多的時候，內審產品會提交給高級管理層和董事會。產品的表現形式是多樣的，有：業務的確認結果、問題或風險的分析結果、富有建設性的審計建議等多種形式，但無論形式如何，確認和咨詢都交織在內審產品中。雖然這兩部分產生于不同的立場，但相互的交織更能為高級管理層和董事會提供協助，從而改善公司運營，增加價值。

5.1在高級管理層方面

內部審計師可以站在管理層的立場上，以高質量的內審產品，幫助管理層對內部控制進行優化和持續改進。在內控和治理過程并不完善的時候，內審產品會更多地包含咨詢成果，監督立場的適當淡化會更加調動管理層的參與程度，從而更充分地發揮作用。

5.2在董事會方面

內部審計師擁有相對獨立的立場和高度的客觀性，當然要讓董事會認可這一點，需要持續的、高質量的內審產品。這可能需要日積月累的付出，用實際的內審產品來贏得董事會的信賴，這種信賴是來之不易的。在這樣的立場上，內部審計給董事會提供風險管理、內部控制、遵循性等方面的報告。同時，憑借董事會的影響，能更大程度上督促改進運營過程中的不足（除非董事會打算接受容忍度之外的風險），能夠促使建立更加良好的道德風尚。通過高質量的內審產品，將審計職能發揮到整個受托責任關系的層面，從而確保受托責任的有效履行，穩固公司治理的基礎。

6結束語

綜上，在良好的文化氛圍中，構建“董事會、高級管理層、內部審計師和外部審計師”這四大基石，確保相互之間的有效協同，就能保證一個健全的公司治理過程。四大基石要有效協同，就要明確內部審計師在公司治理過程中的地位，使內部審計師介入“股東、董事會、高級管理層和利益相關者”這一受托責任關系中。內部審計通過一系列的質量控制程序和審計師的專業能力，來產出高質量的內審產品。內部審計通過其產品在風險管理、內部控制、制度遵循性、經營活動等方面發揮作用，來促進公司治理過程的持續改進、合理保證公司治理過程的有效性。隨著規章制度的逐步完善、各項準則與國際趨同、先進的公司治理觀念的運用，內部審計在公司治理方面將扮演著越來越重要角色，發揮更加積極的作用。

作者：王鷹武 單位：青海互助青稞酒股份有限公司