內(nèi)部控制評審（以下簡稱“內(nèi)控評審”）是指對內(nèi)部控制制度的健全性和執(zhí)行有效性進(jìn)行審查和評價，旨在發(fā)現(xiàn)和改進(jìn)內(nèi)部控制薄弱環(huán)節(jié)，促進(jìn)公司強(qiáng)化管理，提高經(jīng)營效益，實(shí)現(xiàn)健康可持續(xù)發(fā)展。薩班斯法案第404條款對此提出了嚴(yán)格而明確的要求，即公司管理層要對本公司內(nèi)控制度的有效性作出自我評審，向資本市場簽署內(nèi)控有效性聲明；而管理層對內(nèi)部控制的評價，擔(dān)任公司年報審計(jì)的會計(jì)公司應(yīng)當(dāng)對其進(jìn)行測試并提出獨(dú)立評審意見，覆蓋范圍包括內(nèi)控設(shè)計(jì)及執(zhí)行的有效性。中國聯(lián)通作為在上海、香港和紐約上市的公司，自2005年末開始就把內(nèi)控評審作為保證內(nèi)控建設(shè)有效性的一項(xiàng)重大項(xiàng)目來抓，經(jīng)過兩年多的摸索、實(shí)踐，逐步建立健全了內(nèi)控評審體系，積累了一些經(jīng)驗(yàn)。

　　中國聯(lián)通內(nèi)控評審建設(shè)及實(shí)施過程

　　一、制定評審工作計(jì)劃

　　中國聯(lián)通在2006年初根據(jù)公司的業(yè)務(wù)特點(diǎn)，制定了內(nèi)控評審工作計(jì)劃，明確了各個層面以及各個部門的職責(zé)：總部各部門、各省分公司的主要負(fù)責(zé)人是內(nèi)控建設(shè)工作的第一責(zé)任人，從總部到各省級分公司、各地市級分公司均要設(shè)立內(nèi)控辦公室，負(fù)責(zé)具體的組織協(xié)調(diào)工作。在確定評審范圍時，重點(diǎn)關(guān)注重要會計(jì)科目、重要經(jīng)營場所、重要業(yè)務(wù)流程、流程風(fēng)險評估、關(guān)鍵控制及相互之間的匹配關(guān)系，還制定了統(tǒng)一的記錄、測試和報告標(biāo)準(zhǔn)及對應(yīng)的測試方法。為保證評審工作的有效執(zhí)行，在確定測試執(zhí)行人員、職責(zé)分工后，明確分段測試具體時間，如應(yīng)當(dāng)在年末以前就對其年末流程和程序進(jìn)行復(fù)核，以確保年末流程和程序設(shè)計(jì)的有效性等。

　　二、確定重要經(jīng)營場所的覆蓋率

　　1、確定重要經(jīng)營場所的原則

　　中國聯(lián)通根據(jù)經(jīng)營場所相關(guān)財務(wù)狀況和經(jīng)營狀況、出現(xiàn)重大錯報的風(fēng)險、該經(jīng)營場所的業(yè)務(wù)流程/循環(huán)和內(nèi)控程序在集中處理或共享服務(wù)環(huán)境中所占的比重，把被評審經(jīng)營場所分為四類，即：A類:單一地市重要的經(jīng)營場所（公司資產(chǎn)或收入金額占公司總額的0.4%以上）；B類:具有特殊風(fēng)險會計(jì)科目的經(jīng)營場所；C類:匯總后被認(rèn)為重要的經(jīng)營場所；D類:單一地市不重要或匯總后仍不重要的經(jīng)營場所。根據(jù)2006年6月30日上市公司合并財務(wù)報表數(shù)據(jù)，被評審的經(jīng)營場所中A類公司占60.3%，保證了管理層直接評審的公司覆蓋公司資產(chǎn)或收入總額達(dá)到了60%以上。

　　2、確定重要經(jīng)營場所的數(shù)量

　?。?）按照自上而下的原則，省分公司為必審單位；（2）按照重要性原則，省會城市和資產(chǎn)或收入規(guī)模占全國匯總的0.4%以上的地市分公司為必審單位；（3）按照風(fēng)險的重要程度，以前年度發(fā)生過財務(wù)報告錯報、舞弊行為，或公司內(nèi)、外各項(xiàng)檢查、審計(jì)中發(fā)現(xiàn)重大問題的地市分公司為必審單位；（4）各省隨機(jī)選擇一個C類地市分公司對其公司層面控制的有效性（包括期末關(guān)賬程序、財務(wù)報表分析、監(jiān)控、反舞弊程序等總體控制活動）進(jìn)行獨(dú)立評估。但一旦被抽查到的C類地市分公司出現(xiàn)任何例外，審計(jì)師和公司管理層必須對所有C類地市公司的所有關(guān)鍵控制進(jìn)行測試。

　　3、確定評審組織方式

　　任何成功的活動都離不開正確的、與實(shí)際相結(jié)合的組織方式。中國聯(lián)通將評審分為總部直接評審和各省級分公司組織評審、委托評審三種方式。

　?。?）總部直接評審?？偛颗沙?0個評審組對中國聯(lián)通所屬31個省分公司、27個省會分公司以及資產(chǎn)或收入占全國總額0.4%以上的30個地市分公司、聯(lián)通紅籌公司下的聯(lián)通國際、聯(lián)通（澳門）子公司及10個華盛省分公司進(jìn)行現(xiàn)場評審；（2）對總部層面各部門的評審，委托會計(jì)師事務(wù)所按總部層面的關(guān)鍵控制點(diǎn)進(jìn)行現(xiàn)場評審；（3）其余的地市分公司由總部委托所在省分公司評審。

　　三、確定評審面

　　內(nèi)部控制按照控制方式分為：公司層面控制、信息系統(tǒng)控制、業(yè)務(wù)流程控制。中國聯(lián)通內(nèi)控評審相應(yīng)的也從這三個方面分別開展。

　　1、公司層面控制（即控制環(huán)境）的評審

　　公司層面控制是整個內(nèi)控活動的前提和基礎(chǔ)，對公司內(nèi)控的效率和效果起關(guān)鍵作用。中國聯(lián)通公司層面控制分總部、省級分公司、市級分公司三個層面，對其評審包括以下13項(xiàng)主要內(nèi)容：員工行為準(zhǔn)則、審計(jì)委員會的監(jiān)督、會計(jì)政策和程序手冊、期末財務(wù)報告（其中財務(wù)報告程序和期末結(jié)賬程序是重要的一項(xiàng)測試項(xiàng)目）、董事會及高級管理層的監(jiān)督、人力資源管理、權(quán)限與職責(zé)分配、反舞弊、風(fēng)險評估、經(jīng)營業(yè)績分析、內(nèi)部審計(jì)職能、管理層的自我評估、信息披露委員會。

　　2、信息系統(tǒng)控制的評審

　　信息系統(tǒng)控制是指管理和控制公司內(nèi)部與信息技術(shù)有關(guān)的活動，它是滲透到公司各個管理環(huán)節(jié)的控制措施。信息系統(tǒng)控制評審的內(nèi)容包括兩個部分：信息系統(tǒng)總體控制、信息系統(tǒng)應(yīng)用控制。中國聯(lián)通的經(jīng)營資料和經(jīng)營所得絕大部分依靠計(jì)費(fèi)系統(tǒng)、營賬系統(tǒng)中的運(yùn)算結(jié)果反映。尤其是各項(xiàng)業(yè)務(wù)收入報告，各項(xiàng)資費(fèi)套餐的計(jì)費(fèi)及分析，代理傭金的計(jì)提、稽核和支付，有價卡、手機(jī)終端等資產(chǎn)的進(jìn)銷存管理，這些復(fù)雜的數(shù)據(jù)必須依靠信息系統(tǒng)的支撐才能完成。因此，中國聯(lián)通的信息系統(tǒng)控制內(nèi)控評審關(guān)注的重點(diǎn)是：各個相關(guān)的IT系統(tǒng)應(yīng)用控制是否按照規(guī)定的內(nèi)容提供與形成財務(wù)報告相關(guān)的數(shù)據(jù)。如月末財務(wù)確認(rèn)收入數(shù)據(jù)是否通過系統(tǒng)形成；代理傭金，手機(jī)攤銷，積分管理的核算、支付、審批、稽核等功能是否通過系統(tǒng)實(shí)現(xiàn)。

　　3、業(yè)務(wù)流程控制（控制活動）的評審

　　業(yè)務(wù)流程控制是指在業(yè)務(wù)層面上確保管理層的指令得到實(shí)施的政策和程序。業(yè)務(wù)流程控制評審的內(nèi)容按照財務(wù)報告重要科目的對應(yīng)關(guān)系來設(shè)置，中國聯(lián)通公司通過系統(tǒng)梳理從業(yè)務(wù)活動發(fā)生起點(diǎn)到最終形成財務(wù)報告的全過程，將業(yè)務(wù)流程控制（控制活動）的評審分為以下6個部分：資本性支出、收入、成本費(fèi)用、資金及資產(chǎn)、財務(wù)及信息披露、其他共性部分。

　　四、確定關(guān)鍵控制點(diǎn)

　　根據(jù)重要性原則，內(nèi)控評審主要圍繞關(guān)鍵控制點(diǎn)進(jìn)行。中國聯(lián)通全國各個分公司中，目前只有山東、浙江和廣東三個省實(shí)施ERP系統(tǒng)管理，所以在確定關(guān)鍵控制點(diǎn)時按是否實(shí)施ERP系統(tǒng)分別確定：ERP省分公司關(guān)鍵控制點(diǎn)共有676個點(diǎn)、非ERP省分公司共有583個點(diǎn)、華盛公司共有63個點(diǎn)；總部各部門共有392個點(diǎn)。

　　五、組織評審人員培訓(xùn)

　　中國聯(lián)通公司在進(jìn)行內(nèi)控評審前，組織評審人員進(jìn)行了集中培訓(xùn)，對參與培訓(xùn)的人員明確內(nèi)控建設(shè)評審工作的整體要求，要求參與培訓(xùn)的人員重點(diǎn)掌握內(nèi)控建設(shè)評審的方法和對關(guān)鍵控制點(diǎn)的分析評價，統(tǒng)一評價標(biāo)準(zhǔn)，并教育評審人員要遵循以下5項(xiàng)原則：獨(dú)立性、客觀性、規(guī)范性、全面性的原則，自上而下的原則，關(guān)注重點(diǎn)的原則，注重效果的原則，注重文檔記錄的原則。

　　六、評審實(shí)施

　　各評審小組成員要根據(jù)《中國聯(lián)通省級分公司內(nèi)部控制規(guī)范》所確定的控制措施編制《內(nèi)控評審工作底稿》，依據(jù)該《底稿》的具體要求對《內(nèi)控制度規(guī)范》設(shè)計(jì)的健全性與執(zhí)行的有效性進(jìn)行現(xiàn)場測試。

　　1、中國聯(lián)通公司內(nèi)控評審的主要內(nèi)容包括控制環(huán)境評審、控制活動評審和IT信息系統(tǒng)控制評審。

　　（1）公司層面控制（控制環(huán)境）評審。①檢查《員工職業(yè)道德守則》、《不相容職務(wù)相互分離暫行規(guī)定》、《風(fēng)險評估管理辦法》及《反舞弊暫行規(guī)定》等制度的培訓(xùn)和規(guī)范執(zhí)行情況；②檢查經(jīng)營信息定期分析、財務(wù)數(shù)據(jù)出現(xiàn)重大波動的分析報告，主要經(jīng)濟(jì)活動授權(quán)審批，經(jīng)營發(fā)展目標(biāo)實(shí)施以及人力資源政策等控制要求的落實(shí)執(zhí)行情況。

　?。?）控制活動評審。圍繞資本性支出、收入、成本費(fèi)用、資金及資產(chǎn)、財務(wù)及信息披露以及其他共性6個影響財務(wù)信息真實(shí)性的業(yè)務(wù)流程，檢查各分公司內(nèi)控制度的健全性及執(zhí)行的有效性；依據(jù)控制活動發(fā)生的頻率，抽取一定數(shù)量的樣本，測試各項(xiàng)控制措施的執(zhí)行情況和效果。①在檢查內(nèi)控設(shè)計(jì)是否健全時，主要檢查內(nèi)部控制是否結(jié)合被測評省分公司的實(shí)際并涵蓋了公司經(jīng)營管理中需關(guān)注的重點(diǎn)問題及重點(diǎn)風(fēng)險；內(nèi)控制度是否明確了公司各項(xiàng)經(jīng)營活動的管理要求；風(fēng)險控制措施是否存在缺陷和漏洞，能否防范經(jīng)營管理中的不規(guī)范行為，有效降低和控制經(jīng)營管理中的風(fēng)險；是否制定了清晰、明確的業(yè)務(wù)流程，流程的起點(diǎn)、終點(diǎn)以及中間涉及的各控制點(diǎn)、控制標(biāo)準(zhǔn)、各個崗位間的職責(zé)分工是否明確。②在檢查內(nèi)控執(zhí)行是否有效時，主要檢查各項(xiàng)經(jīng)營活動是否按已制定的流程文檔規(guī)范執(zhí)行；實(shí)際執(zhí)行與流程文檔的描述存在什么差異；實(shí)際執(zhí)行中各項(xiàng)流程文檔是否有效地涵蓋和控制了經(jīng)營活動中的主要風(fēng)險點(diǎn)；各級公司各個崗位的相關(guān)人員是否理解掌握內(nèi)控流程文檔的控制要求、本崗位的主要職責(zé)、主要風(fēng)險點(diǎn)以及相應(yīng)的控制措施；能否有效地控制當(dāng)前公司經(jīng)營過程中存在的風(fēng)險，解決公司在經(jīng)營活動中的突出問題。③在檢查執(zhí)行過程是否保留了完整和可靠的文檔記錄時，要注意驗(yàn)證每個業(yè)務(wù)控制環(huán)節(jié)，核實(shí)實(shí)際執(zhí)行情況與流程圖、流程描述及風(fēng)險控制文檔的描述是否一致；驗(yàn)證業(yè)務(wù)活動所經(jīng)過的流程和控制是否有完整和可靠的文檔記錄，是否保留了控制實(shí)施證據(jù)。④在驗(yàn)證業(yè)務(wù)控制流程設(shè)計(jì)和執(zhí)行的一致性時，從業(yè)務(wù)發(fā)生開始，抽取一定數(shù)量的樣本，通過對用戶入網(wǎng)資料的審核、服務(wù)的開通、網(wǎng)絡(luò)運(yùn)行、網(wǎng)間結(jié)算、計(jì)費(fèi)出賬、確認(rèn)收入等一直到壞賬的追繳、收回及生成會計(jì)報表的全過程測評，驗(yàn)證業(yè)務(wù)控制流程設(shè)計(jì)和執(zhí)行是否一致。

　　(3)IT信息系統(tǒng)控制評審。圍繞信息系統(tǒng)總體控制和應(yīng)用控制的要求，中國聯(lián)通對系統(tǒng)開發(fā)及變更管理、數(shù)據(jù)備份管理、日常維護(hù)管理、安全管理、系統(tǒng)自動控制、系統(tǒng)用戶權(quán)限和電子表格管控等情況進(jìn)行檢查，同時針對各省分公司IT管控指標(biāo)達(dá)標(biāo)率進(jìn)行評審。

　　2、為保證公司資金安全，中國聯(lián)通在進(jìn)行內(nèi)控各環(huán)節(jié)的評審的同時，也對資金安全狀況進(jìn)行了調(diào)查。內(nèi)容包括非正常開立銀行賬戶或存款、3個月以上（含3個月）銀行未達(dá)賬項(xiàng)、12個月以上應(yīng)收款項(xiàng)等。

　　3、中國聯(lián)通在完成上述工作的基礎(chǔ)上，統(tǒng)一了現(xiàn)場評審需提交的主要工作文檔，要求各評審小組按照文檔內(nèi)容的要求填寫完整，并經(jīng)評審人員、評審小組負(fù)責(zé)人、被測評單位簽字蓋章確認(rèn)，以利于評審各環(huán)節(jié)的責(zé)任認(rèn)定。

　　4、在現(xiàn)場評審工作中，中國聯(lián)通從以下3個方面入手，確保評審的有效性：

　?。?）強(qiáng)調(diào)時點(diǎn)：內(nèi)控評審不同于傳統(tǒng)財務(wù)報表審計(jì)，后者可以通過結(jié)賬日后的調(diào)整實(shí)現(xiàn)財務(wù)報表的公允反映。而內(nèi)控是否有效（包括設(shè)計(jì)的有效、執(zhí)行的有效以及保留準(zhǔn)確、完整的文檔記錄）是基于財務(wù)報告結(jié)賬日（即資產(chǎn)負(fù)債表日）是否存在并有效地執(zhí)行了控制活動，并保留執(zhí)行后的文檔記錄，因此整改完成日不能遲于財務(wù)報告結(jié)賬日。

　?。?）強(qiáng)調(diào)文檔記錄的重要性：包括業(yè)務(wù)流程文檔、控制活動證據(jù)和評審工作底稿，缺一不可，而且文檔的記錄必須準(zhǔn)確、完整、詳實(shí)，以備外部審計(jì)師審閱。開始評審工作前，控制活動責(zé)任人必須將重要控制活動證據(jù)按次序準(zhǔn)備齊全。

　?。?）強(qiáng)調(diào)評審工作底稿：評審工作底稿應(yīng)滿足美國公認(rèn)審計(jì)準(zhǔn)則的基本要求，以作為外部審計(jì)師用以評價公司自我評估是否有效的基礎(chǔ)。中國聯(lián)通要求各評審小組對不同階段進(jìn)行的測試工作底稿分別妥善保管，以備日后進(jìn)行整改后的更新測試參考。

　　七、提交評審報告

　　中國聯(lián)通要求各評審小組在評審現(xiàn)場結(jié)束后一周內(nèi)提交評審報告和現(xiàn)場評審工作文檔，并對評審報告的編制提出了具體的要求，即評審小組出具的評審報告要說明分公司內(nèi)部控制建設(shè)的總體概況、整改目標(biāo)完成進(jìn)度，并詳細(xì)描述未整改的問題，與業(yè)務(wù)流程相關(guān)的關(guān)鍵控制點(diǎn)設(shè)計(jì)和執(zhí)行的缺陷，以及有關(guān)問題對財務(wù)報告的影響，分析問題形成的原因、存在的風(fēng)險和對分公司整改的具體要求。

　　八、評估測試結(jié)果

　　為了確認(rèn)內(nèi)控是否有效運(yùn)行，中國聯(lián)通還要求各評審小組在測試后編制一個有關(guān)所有內(nèi)控缺陷、重要缺陷和實(shí)質(zhì)性漏洞的清單，記錄每個缺陷的原因并且評估必要的糾正行動，還要對每個糾正后的內(nèi)控缺陷進(jìn)行重新測試，以證明它的運(yùn)行有效性，從而為財務(wù)報表認(rèn)定提供支持。

　　中國聯(lián)通內(nèi)控評審建設(shè)的實(shí)施效果和啟示

　　中國聯(lián)通內(nèi)控評審實(shí)施兩年來，為公司內(nèi)控建設(shè)取得階段性的重要成果提供了堅(jiān)實(shí)的保障。在對香港披露的2006年度內(nèi)控評審報告中，普華審計(jì)機(jī)構(gòu)對中國聯(lián)通內(nèi)部控制建設(shè)和評審結(jié)果給予了肯定并出示了無保留意見，同時，公司以零缺陷報告順利通過了薩班斯法案審計(jì)。通過對中國聯(lián)通內(nèi)控評審建設(shè)的實(shí)例分析，筆者認(rèn)為內(nèi)控評審的質(zhì)量直接決定了內(nèi)控建設(shè)的效果。結(jié)合上述分析，筆者談幾點(diǎn)心得和建議，以供參考與討論。

　　第一，內(nèi)控工作具有強(qiáng)制性，不能以個人意志為轉(zhuǎn)移。薩班斯法案是一部保護(hù)投資者的法律，具有強(qiáng)制性。因此任何在美國上市的公司都必須嚴(yán)格執(zhí)行。不論管理者是否情愿，也不管企業(yè)管理水平高低，都必須無條件提供經(jīng)過外部審計(jì)師進(jìn)行評估的管理層內(nèi)控報告。

　　第二，內(nèi)控的目的是推動公司高效運(yùn)轉(zhuǎn)，不能為了內(nèi)控而內(nèi)控。內(nèi)部控制是提升公司經(jīng)營效益及財務(wù)報告真實(shí)性的重要舉措，注重研究探討問題產(chǎn)生的原因并尋求解決辦法。因此做內(nèi)控不能搞形式主義，應(yīng)該根據(jù)本單位的業(yè)務(wù)情況制定具體的風(fēng)險控制措施，把復(fù)雜問題簡單化，使工作流程制度化，更好地為經(jīng)營發(fā)展服務(wù)。

　　第三，內(nèi)控評審的各環(huán)節(jié)應(yīng)規(guī)范化、格式化、明確化，不能隨意認(rèn)定。中國聯(lián)通在2006年度內(nèi)控評審建設(shè)中，從重要經(jīng)營場所覆蓋率、樣本量、工作底稿、關(guān)鍵控制點(diǎn)到現(xiàn)場工作記錄、文檔依據(jù)登記表和缺陷評估表等均設(shè)定了明確的格式和標(biāo)準(zhǔn)，使得公司在實(shí)施與評審時有法可依、有據(jù)可查。而統(tǒng)一的工作底稿也便于評審人員和被審人員的溝通，同時評審人、責(zé)任人、整改時限等細(xì)化要求也便于認(rèn)定和考核。

　?。ㄗ髡邌挝? 中國聯(lián)通有限公司廣西分公司）