目前有相當多的企業缺乏有效的內部控制審計機制。這緣于對企業內部控制必要性的理解還存在許多盲區，尚未真正意識到企業內部控制的必要性和重要性。這些企業的內部審計，還是依照進行了多年的傳統方式進行，主要是圍繞企業信息的完整性和可靠性，程序、計劃的實施情況，資產、資本的安全可靠，經營目標責任的完成情況，相關法律、政策的遵循狀況等方面來進行的。內部審計從當前企業的機構設置、審計方式、審計內容、工作重心和規范管理等方面，遠遠無法適應現代企業建立、健全內部控制制度的要求。主要表現為：首先，從機構設置看，目前相當多的企業審計機構及審計人員往往受相關人際關系影響及利益因素制約，很難完全公正、客觀、獨立、真實、深入地開展審計工作，提出的審計處理意見因為某些管理體制制約得不到有效的貫徹落實，因而漸漸失去了內部審計的權威性、主動性，審計部門成為很多企業可有可無的擺設，難以在內部控制監督、管理評價中取得令人滿意的社會效果。其次，從審計內容上看，很多企業的審計人員將主要審計精力用于企業財務數據的合法性、真實性的查證，用于企業生產經營管理的監督上，其審計的主要功能是查出錯誤，而非針對企業經營管理作出有價值的評判，及時相應的管理意見和建議，審計對象緊盯在賬本、憑證及會計報表等相關資料上，審查工作主要集中于企業財務領域而沒有積極延伸到企業的經營和管理領域。第三，從當前一般企業的審計方式來看，企業內部審計大多為事后審計,企業內部控制評價只是作為審計的一種運用手段，遠遠不能形成相對獨立的審計內容。因此，這種審計基本不能做到對企業內部控制進行全方位的有效評價和監督，真正實現事前預防，事中控制，把企業的經營風險降到最低程度。最后，從審計人員構成看,很多企業審計機構的人員多為財務部門出身，全面了解、掌握企業各相關業務知識的專門人才相對缺乏。而當前內部審計正由財務領域向經營、管理領域的拓展，審計人員的業務知識的缺失，嚴重制約了內部審計在企業內部控制制度中發揮更積極的作用。

當我們厘清了企業內部控制的難點和問題之后，對于企業內部控制審計的作用就有了針對性地認識，使內部控制審計成為監管部門的必然選擇。首先，《企業內部控制基本規范》的出臺為內部控制審計提供了較為規范的制度標準，使內部控制審計有規可循，有法可依。其次，內部控制審計是有效的低成本的監管手段。財務報告審計本身就需要對被審計企業的內部控制進行評估，因而審計人員對內部控制和財務報告的審計可同時進行，可有效降低企業的審計成本。再者，內部控制審計強調企業內部控制的自我評價，使內部評價與外部評價進行有機結合，這樣更利于將內部控制細化到管理流程之中。根據《企業內部控制基本規范》，內部控制審計是建立在內部控制自我評價基礎上的審計，是對管理人員作出的內部控制有效性評估報告進行全面鑒證。最后，內部控制審計要求對內部控制的有效性提供合理保證,較高程度的保證意見將加重審計人員工作的責任,從而較好避免審計流于形式，促進內部控制的完善。

因此，通過科學、高效的內部控制審計，積極促進企業內部控制建設。而內部控制審計應該重點在以下幾方面：

首先，企業內部控制環境的評價與審查。企業控制環境大體包含以下內容:企業的類型及經濟性質；企業法人治理結構；企業管理層的經營策略；提倡的企業組織文化；企業人力資源的政策及其執行方式；企業管理職責分工及相應人員能否勝任等等。因此，企業內部控制審計的重點是審查企業錯綜復雜的經營活動；企業法人治理結構是否有效和健全；企業管理行為準則是否健全和行之有效；企業組織文化的相關內涵及相關成員對組織文化的理解程度；企業管理層對違反控制程序的認識態度；企業職責劃分和組織結構是否合理；企業重要崗位的權力和責任的相稱程度及其相關成員的勝任能力；企業管理者擁有權限的集中程度；聘用企業職工的程序及相關的培訓制度；企業職工業的績效考核、激勵機制及淘汰機制等。

其次是企業風險管理的評價與審查。我們應該充分認識到，在現代市場經濟復雜的環境中，企業的風險控制機制是企業不能忽視的重要管理程序。企業風險控制管理的主要內容大概為：建立企業有效的風險管理體系，對企業面臨的各類風險進行深入分析；全面研判影響企業組織目標實現的各種現實和潛在的風險。因此，企業內部控制審計應該著力于審查被審企業是否按照相關程序配備專業人員，對企業資金流通環節、高風險項目和重要管理崗位等可能出現的問題進行，應對演練和有效防范；考評企業的抗風險能力；審查企業是否建立起相對可靠的風險應對機制。

第三，企業控制活動的評價與審查?？刂苹顒邮菦Q定企業內部控制成敗之關鍵，如果缺乏系統的控制活動,企業內部控制的風險意識再強，環境再好，內部控制也不能起到應有的作用。企業控制活動主要內容是：企業不兼容職務必須盡早分離；企業所有經營活動均應進行相應授權；企業有效控制記錄和憑證的真實性；企業所有資產和記錄的完整性；企業獨立的業務審核程序。因此，企業內部控制審計主要重點應該是審查企業控制活動對企業組織目標實現的具體作用；在企業建立控制活動是否具有可操作性；控制活動在企業能否有效的順暢執行；控制活動對企業是否能完全做到有效的規避和識別風險。

最后就是企業信息與溝通的評價與審查。其主要目的是保障企業信息的真實性與溝通的時效性。企業信息與溝通主要包含如下內容：充分保障企業管理信息系統的正常、有序運行；準確、及時、完整地記錄下企業所有相關信息；企業管理核心信息系統得到充分的安全保障。因此，企業內部控制審計的重點是審查企業獲取財務信息以及非財務信息的相關能力；企業傳遞信息的渠道是否暢通、便捷；企業對信息的處理是否準確和及時；企業的管理信息系統是否有安全保障。

我們可以看出，通過嚴格科學的內部控制審計，能讓企業的內部控制建設更規范和系統，更有利于企事業內部控制建設不斷上臺階。而我們更應該清楚，企業內部控制審計也需要與時俱進，跟上時代的發展，不斷探索新思路，新方法。首先，企業內部審計對企業內部控制評價的范圍，不能僅僅局限于企業內部會計控制。大家知道，很長時間以來，人們對企業內部控制評價的理解，一直體現在企業制度基礎的審計上，大量集中于企業會計控制。我國很多大中型國有企業，會計制度建設比較充分和健全，但因為控制環境問題受到長期忽略，使企業管理環節普遍存在某些缺陷，這就容易導致企業會計控制失靈并出現很多問題。因此，內部控制理論的學習對審計人員日益緊迫。我們應該對企業內部控制的評價，拓展到企業內部控制的每個層面，觸及到每一個重要的控制系統，特別是對控制環境中企業文化建設和企業法人治理結構等過去被審計忽略的方面，給予足夠的建議和關注，這樣才能有效地促進企業內部控制的建設。其次，企業內部控制審計運用風險導向內部控制評價模式。風險導向內部控制評價模式，在企業內部審計領域的充分運用，審計人員需要在審計方法上進行切實改變，把傳統評價模式，即只對企業內部控制系統的歷史運營情況提出意見和建議，改變為把審計重點著力于評判企業未來經營發展所面臨的潛在風險，審查企業為降低和消除這些風險所進行的管理活動上來。充分結合企業制定的經營管理目標，內部控制評價的重點，以風險評估的結果為評判基礎，根據其影響程度、風險性質和企業可承受能力，去系統地評判內部控制的有效性和可行性。對企業是否將其存在的風險能夠降低到企業可以承受的水平，作出控制措施的客觀評價，企業根據自身風險管理的需求提出并決定管理、控制風險的方法和具體建議，尋找降低風險的有效途徑，將審計結果直接與企業經營目標和風險控制緊密聯系在一起，對企業經營認真把脈，為企業創造更多的價值。

總之，企業內部控制審計是內部控制的必要手段，是加強和規范內部控制的重要措施。

本文作者：陳崇嘉 單位：成都鐵路局多元經營集團公司審計部