内部控制概念的发展及我国企业内控问题对内部控制的关注最初源自企业自身对规范化管理和股东掌握企业运营的准确信息的需要。

此外最重要的推动因素就是外部审计师审计财务报表的要求。

此后，各国政府也逐渐开始积极推动内部控制领域的进程，以期减小企业的舞弊和违规行为对市场经济秩序的消极影响。

因此，内部控制理论与实践的不断发展是学术界、职业组织、大型企业及政府组织共同推动作用的结果。

此外，内部控制领域的发展历程显示，一些影响巨大的公司经营失败或舞弊事件的发生，往往加速了内部控制理论研究以及实践应用的发展进程，并催生了一些里程碑式的文献和立法规定。

最典型的代表莫过于美国2002年出台的《萨班斯一奥克斯利法案》。

该法案的第404条款不仅要求公司管理层定期评估公司财务内控的有效性，并且要求外部审计师对管理层的评估结果和公司财务内控的有效性出具审计意见。

而对于该法案的出台，世通和安然的两个巨型舞弊案件可以说是“功不可没”的。

那幺，内部控制的作用究竟是什幺呢?如果用一句话概括，那就是：有效的内部控制有助于在合理的程度上提高企业运营的效果和效率、保护企业资产，确保财务报告的可靠性以及企业对法律法规的遵循。

在国际经济社会日益强调企业内部控制重要性的背景下，本文旨在回顾有关发达国家和地区在内部控制领域的探索历程，简要介绍在各内部控制权威文件中应用最为广泛的美国COSO内部控制框架，并为我国企业加强内部控制的途径提出一些经验性的建议。

一、国际上具影响力的内部控制指南简要回顾关于内部控制的框架，不同机构都对其有不同的理解，其中以美国反对虚假财务报告委员会的发起组织委员会COSO发布的“COSO内部控制框架”得到最广泛的认可。

除此之外，加拿大的“CoCo内部控制框架”、英国一定范围内得到了广泛的应用。

(一)COSO框架上世纪80年代，美国企业虚假财务报告丑闻层出不穷，许多大公司突现经营失败，立法机构、政府监管机构和职业组织对虚假财务报告问题表现出了空前的关注。

在这一背景下，1985年，美国注册会计师协会(AICPA)、美国会计学会(AAA)、国际内部审计师协会(IIA)、管理会计师协会(IMA)、财务经理协会(FEI)发起成立了一个民间组织“反对虚假财务报告委员会”，希望研究虚假财务报告的产生原因并推荐解决办法(该委员会的第一任主席为JamesTreadway，是前SEC委员，因此以后该委员会也被简称为Treadway委员会)。

该委员会在调查中发现，在其研究样本中，将近50％的财务舞弊事件可以全部或部分归咎于内部控制失败。

该委员会同时认为，应该建立一个统一的、可操作的内部控制框架。

继而，五个发起组织成立了一个委员会，即COSO。

建立之初的目的是负责研究开发一个内部控制的权威性定义和指南。

COSO在1992年9月完成了这项任务，公布了最终报告《内部控制——综合性框架》(通常被称为COSO 报告)，在世界上第一次提出了一个系统的内部控制框架。

COSO将内部控制定义为：“内部控制是受企业董事会、管理层和其它职员共同作用，为实现经营效果性和效率性、财务报告的可靠性以及对适用的法律、法规的遵循性等目标提供合理保证的一种过程。

”较之于传统的内部控制概念，这一定义的发展在于将内部控制作为一种动态的过程而不仅是静态的制度来阐述。

内部控制不应仅仅着眼于会计和财务报告，还应针对经营活动的效率、效果和遵循法律法规。

这个广义的定义体现了现代意义上的全程和全面的控制理念。

相应地，内部控制框架也被划分为五个内部控制要素，如：控制环境、风险评估、控制活动、信息与沟通、监控。

COSO框架是世界上最早发布的权威性内部控制框架，其它若干具有影响力的控制框架很大程度上都借鉴了COSO的工作成果，加之美国首屈一指的经济影响力等因素，COSO直到现在仍是世界上应用最广泛的内部控制框架。

2001年12月2日，美国能源巨子安然公司(Enron)宣告破产，成为全球各界人士关注的焦点。

此案与世通案件一起，直接导致了2002年7月30日((2002年萨班斯．奥克斯利法案》(以下简称“萨班斯法案”或“法案”)的出台。

法案的第404条要求上市公司管理层需建立和维持充分的与财务报告相关的内部控制，并评估公司与财务报告相关的内部控制的有效性。

美国证券交易会于2003 年6月份就萨班斯法案第404条所制定的“最终条例”明确表示COSO 内部控制框架可以作为评估企业内部控制的标准。

虽然COSO内部控制框架在“最终条例”中并非唯一的指定标准，但是证交会、上市公司会计监督委员会(PCAOB)及美国注册会计师协会在其对审计标准的有关征求意见稿中曾多次提及COSO可以作为评估企业内部控制的标准。

所以绝大多数美国上市公司皆采用了COSO内部控制框架作为评估公司内部控制的标准，以符合萨班斯法案的要求。

(二)加拿大的CoCo框架在美国提出了COSO之后，加拿大特许会计师公会(CICA)成立了控制标准委员会(CoCo委员会)。

CoCo委员会的工作目标是提高管理层决策质量，协助公司通过控制、风险管理和公司治理的手段提升经营业绩。

CoCo在1995年11月开发出了“控制原则标准”(the Criteria of Control Principles，即“CoCo”框架)。

CoCo框架包括“目标导向rpose)、致力投入(Commitment)、能力胜任(Capability)、监督与学习(Monitoring andLearning)”四大类控制标准。

CoCo在控制指南中明确声昵CoCo建立在COSO的基础上，但同时指出，CoCo提出了一些在COSO报告中并未明确阐述的概念。

例如CoCo明确指出“组织需要定期审视其设定的目标背后的假定和前提。

”这一点在COSO中是没有的。

(三)英国综合守则(Combined code)的Turnbull指南英国的综合守则是1998年由公司治理委员会(也称Hampel委员会)综合了Hamperl、Cadbury以及Greenbury报告的成果而制定的(已于2003年7月进行了修订)。

综合守则为公司治理制定了标准，并且作为伦敦证券交易所上市规则的附件，对所有英国上市公司具有约束力。

综合守则中涉及内部控制的条款为C2和C2．1(98年版为D2和D2．1，内容未变)，要求“董事会有责任维持一个良好的内部控制系统，以保护股东的投资和公司的资产；董事会应当至少每年一次对公司内部控制系统的有效性进行审视，并向股东报告其已经完成了此项工作。

审视工作必须覆盖所有重要的控制，包括财务控制、经营控制和合规控制，以及风险管理系统”。

由于许多公司并不清楚如何操作上述规定，于是在1999年9月英格兰和威尔士特许会计师协会(The Institute ofChartered Accountants inEngland&Wales)出台了Turnbull指南，即“内部控制——综合守则的董事指南”(InternalControlGuidanceforDirectorson the Combined Code)，对如何满足综合守则的要求提出了操作性的指导，并最终成为综合守则的一部分，成为英国上市公司必须遵循的规定。

Turnbull指南的内部控制框架与COSO较为相似，也把控制分为经营、财务和合规控制，同样要求评估与COSO相似的内部控制元素。

Turnbull指南的内部控制框架包括四项要素：风险评估、控制环境和控制活动、信息和沟通、监控，即将COS0框架中控制环境和控制活动两个要素合并为一个要素。

Turnbull指南的特点是更加关注风险与控制的关系并更加着重阐述这种关系。

二、COSO内部控制框架简介COSO内部控制框架是三维的。

内部控制的目标(第一维)是合理确保经营的效率和效果、财务报告的可靠性以及对法律遵循。

内部控制由控制环境、风险评估、控制活动、信息和沟通及监控五个元素(第二维)构成，五个元素间相辅相成，联系紧密，且必须共同发挥作用才能为企业目标实现提供合理保证。

此外，对于企业内的任何业务单位或经营活动(第三维)，同样也需要五个元素共同作用，方能达到该业务单位或经营活动的相关目标。

(一)控制环境(Control environment)控制环境提供企业纪律与架构，塑造企业文化和正确的价值观，并影响企业员工的控制意识和工作能力是所有其它内部控制组成要素的基础。

控制环境的因素具体包括：正直守德的价值取向、对员工胜任能力的关注、董事会或审计委员会、管理哲学和经营风格、公司组织结构、职权和职责的分配、人力资源政策及实务。

(二)风险评价(Risk assessment)每个企业都面临来自内部和外部的不同风险，这些风险都必须加以评价，以找出有效的应对方法。

评价风险的先决条件是制定目标。

风险评价就是分析和识别威胁所定目标实现的风险。

经济、法律及管理的环境等内外部因素不断变化，企业主动地发现和处理由于情况变化所带来的风险是很有必要的。

(三)控制活动(Control activity)控制活动是确保管理层的指令得以执行的政策及程序，是管理层识别和评估风险后，对控制这些风险所实行的针对性措施。

政策通常回答必须做什幺事情，而程序则回答具体应该怎样做的问题。

控制活动包括授权审批、核对、关键绩效指标、资产安全控制及职责分离等各种类型。

企业控制活动又可以分为人工控制和信息系统控制两大类。

控制活动是各控制要素中数量最大的一类，因此企业控制活动的设计必须进行成本和收益的权衡。

此外，控制活动应尽可能用书面方式予以规定和沟通。

(四)信息与沟通(Informationandcommunication)内部控制的全过程都需要高质量的信息以及顺畅的沟通。

高质量信息具有内容相关、正确、提供及时以及便于获取等特征。

在现代企业中，信息系统的广泛应用正是为了提高信息质量。

同时，高质量的信息还应能够以适当的形式及时、准确地沟通至信息需求者。

企业不仅应当致力于提升内部沟通的有效性，以便控制责任人能够履行其职责，还应关注与企业外部的沟通问题。

外部沟通(如客户、供应商、审计师等)有助于管理层建立企业目标，向外传递企业理念和工作标准，并从外部了解内部控制的运行状况。

(五)监控(Monitoring)内部控制系统需要监控。

监控是由适当的人员，在适当及时的基础下，评价控制的设计和运作情况的过程。

这一活动由持续监督、个别评价所组成，其可确保企业内部控制能持续有效的运作。

持续监督活动在营运过程中发生，它包括例行的管理和监督活动，以及其它员工为履行其职务所采取的行动。

尽管持续监督程序可以有效地评价内部控制体系，但企业有时需要组织例外评价（即个别评价）以直接监视控制系统的有效性。

这种做法更可评价持续性监督程序。

评价的范围和频率，视风险的大小及控制的重要性而定。