内部控制测试探索与实践——以中国石油所属销售企业为案例[2]
简介：在财政部、证监会、审计署、银监会、保监会五部委联合发布《企业内部控制基本规范》的指导下，2010年4月26日，财政部会同证监会、审计署、银监会、保监会发布了《企业内部控制配套指引》，其中《企业内部控制评价指引》第四十六条指出，“企业应当结合内部监督情况，定期对内部控 ...
其次，抽取样本进行检查，关注设计的流程和控制在实际工作中是否执行；流程和控制执行是否与《内部控制管理手册》的要求相符合，且留下了相关实施证据。如，根据访谈结果，获取年度、月度销售计划，检查销售计划的相关编制、审核、审批、执行控制流程及其相关控制的执行情况。
最后，通过测试发现在相关控制方面出现的偏差，即例外事项，应及时予以记录，并取得测试发现的例外事项相关证据的复印件或扫描件。如发现5-8月份销售计划未按照流程和控制要求报主管领导审批，就是例外事项。
（三）测试总结与报告阶段
测试总结与报告阶段是指测试人员完成全部测试后，对测试内容进行整理分析后编制测试报告并上报，内控与风险管理部下发改进意见书的过程。该阶段是按照测试实施阶段发现的例外事项来组织工作，因此对销售企业来说没有特殊之处。该阶段的主要工作包括：
（1）汇总整理相关的例外事项，对测试发现的例外事项进行原因分析。（2）与被测试单位对测试结果进行沟通确认，并联合提出有效的整改建议。（3）根据确认的例外事项，按照统一的测试报告模板，编制内部控制测试报告。
需要特别指出的是，例外事项可分为设计层面例外事项和执行层面例外事项。设计层面例外事项一般包括应有的控制不存在或设计不合理、实际执行的控制没有被记录或记录不准确、已有的控制缺乏必要的制度或制度不完善三类；执行层面例外事项一般包括控制未执行或执行不完整、控制执行程序错误、缺少控制实施证据或实施证据不完整三类。
在测试报告审批后，内控与风险管理部将针对测试发现例外事项编制改进意见书，下发被测试销售企业整改落实，并根据实际情况，选择现场或者非现场进行改进测试，保证例外事项得到确实有效的整改。
三、对内部控制测试的思考
通过如上中国石油所属销售企业内部控制测试案例的介绍和分析中可以看出，内部控制测试工作是了解、判断企业内部控制有效性的最直接、最有效的方法和手段；通过内部控制测试发现的例外事项，也是企业管理层开展内部控制自我评价的最主要依据。通过多年的内控测试工作的实践经验，笔者建议其他企业在开展内部控制测试过程中主要关注“测试什么？依据什么开展测试？谁去测试？如何落实例外事项的整改？”四个问题。具体的思考如下：
1．开展有效的风险评估，把握测试的重点
在内部控制测试的整个过程中，企业要严格按照风险导向的基本方法，通过定量和定性相结合的方法评估确定影响内部控制目标实现的可能性和影响程度，根据被测试单位的实际情况，确定重要风险对应的重要业务流程和关键控制，作为内部控制测试的重点。只有这样，测试组才能真正对被测试单位的主要风险环节、风险易发环节进行测试，才能真正发现管理的薄弱环节，才能对内部控制的有效性发表意见。若纯粹依赖随意性的抽取来确定测试范围，极有可能本末倒置，检查的内容不能真正反映企业的风险，检查的结果不能代表企业内部控制的总体情况。
2．建立系统的测试标准，提升测试的效果
在测试实施前，企业应建立健全内部控制测试标准，包括测试标准程序、测试单位范围确认标准、测试内容范围确认标准、各个业务环节的重要风险和关键控制要求、测试底稿及工具、例外事项判定和分类标准、报告模板等。只有搭建了系统化的内部控制测试标准，才能从方法论源头上保证测试结果的完整性、系统性、客观性。
3．配备专业的测试团队，保证测试的质量
在测试中最重要的资源之一就是人力资源，测试团队的好坏直接影响到测试的结果。因此在测试前期，测试组成员的选拔需要根据被测试单位的情况予以分配和组合，如前述的对销售企业开展测试，最好能匹配有销售企业管理或销售企业内部控制测试经验的人员参与测试。当然了，在前期对测试组成员的培训、考试等也是必不可少的。长期借助外部中介机构的情况下，可以加强对中介机构人员的准入与考核，保证测试人员的专业经验和胜任能力。
4．完善有效的责任机制，保证测试的整改
测试发现例外事项在于规范和提升管理，因此，企业需要建立与内部控制测试配套的责任机制，明确各单位负责人、各部门负责人、各岗位在内部控制设计与运行中的职责，明确每个流程、每个风险、每个控制的责任岗位、责任人，并将控制设计与执行的情况纳入绩效考核体系中，只有这样内部控制测试发现问题才能得到确实有效的整改，才能保证内部控制的持续有效。
Total:212
责任编辑：
参与评论
验证码：
用户名
