商业银行二级分支机构内部控制审计评价的新模式 新工具

      一、新模式

      《企业内部控制基本规范》（以下简称基本规范）要求加强企业内部的第一方审核，实施企业内部的自我审核和评价；同时，强调建立独立的第二方审计机构，实施独立审计。基本规范还要求企业建立双方审核流程和机制，实现可持续改进的内部监督。鉴于以上要求和当前面临的形势，商业银行二级分支机构可采用基于信息管理平台上的内部控制联动评价方式，即由商业银行二级分支行先自我测评，再由审计机构运用内部控制管理评价系统对自评结果进行审计评价，总体框架及流程如图1所示。这种新模式，既实现了企业内部第一方主动参与内部控制的意愿，又满足了内部审计独立评价的要求；同时，实现了内部审计由直接履行评价职责向指导二级分支机构自我测评以及履行再评估职能的转变。这种模式不仅能够符合基本规范的要求，确立审计机构“内部控制倡导者”的职业形象；同时，基于信息管理平台上的内部控制管理评价系统的广泛使用能够大幅度提高审计效率，利用现有审计资源实现对二级分支机构内部控制审计评价全覆盖的要求。

      图1 内部控制联动评价的总体框架及流程

      

      1、二级分支机构内部控制自我测评。内部控制自我测评流程分为三个阶段，即准备阶段、实施阶段、报告阶段。准备阶段，二级分支机构成立专门评价领导工作小组和自我测评小组，制订工作方案表；实施阶段，自我测评小组根据内部控制测试表完成关键控制点测试和分析；报告阶段，自我测评小组召开专题会议，与本机构相关部门人员交流和沟通测评结果、主要的内部控制缺陷以及针对缺陷提出的改进措施和建议，撰写简式评价报告并将相关结果提交审计机构。具体流程如图2所示。

      图2 二级分支机构内部控制自我测评流程图

      

      2、审计机构内部控制再评价。(1)内部控制再评价程序分为四个阶段，即准备阶段、实施阶段、报告阶段、反馈阶段。准备阶段，审计机构综合考虑审计资源、自我测评等情况，成立审计组，分析对比自评结果、确定现场检查重点；实施阶段，选择适当的测试技术和方法，对关键控制点、偏离度大的业务单元进行现场测试检验，根据自评结果以及现场抽检的测评结果进行综合判断，初步确定评分评级；报告阶段，召开专题会议，审议各审计组的综合评分、评级结果，确定最终评分、评级结果；反馈阶段，各审计组根据审计机构审定的评价结果，分别向二级分支机构出具审计意见书，并限期整改存在问题。(2)二级分支机构内部控制再评价的调整事项：一是二级分支机构未能在规定时间报送自我测评结果的，审计机构可以直接下调其评级；二是二级分支机构的自我测评结果跨越式向上迁徙并严重偏离审计评价结果的，可以直接减分并在反馈阶段给予通报；三是二级分支机构存在故意瞒报、弄虚作假或者造成不良影响的，应视情节轻重直接下调得分或评级；四是二级分支机构在连续三个评价期内内部控制状况未得到改善的，可以直接下调总评分。

      二、新工具

      1、《内部控制测试表》。基本规范明确提出，企业要制定内部控制缺陷认定标准，由审计机构对内部控制开展监督，并及时向董事会、监事会和经理层报告。为了保证二级分支机构的自我测评与审计机构再评价的有效性，审计机构制定了内部控制缺陷认定标准——《内部控制测试表》。《内部控制测试表》控制点的选择是运用风险导向审计原理确定主要业务流程的关键风险点，分为四步：一是梳理二级分支机构主要业务流程，明确相关的风险点和控制点，确定需评估重要领域。二是通过调查问卷、访谈、穿行测试等方法，测试和记录问题出现频率高、覆盖面广的业务操作环节，并与二级分支机构共同确定关键风险领域。三是运用风险评估技术和SPSS（社会科学统计软件包）统计软件量化各类风险的固有风险、控制风险和剩余风险。四是进行剩余风险排序，并据此确定关键领域风险点。具体如图3所示。

      图3 二级分支机构内部控制关键控制点

      

      2、管理评价信息系统。为实现内部控制审评价的流程化、标准化操作以及质量控制，提高工作效率，可自主研发和应用计算机系统，对内部控制审计评价实施流程控制。可运用六西格玛流程控制原理对内部控制审计评价流程进行定义、测量、分析、改进和控制，创建二级分支行内部控制管理评价信息系统，实现内部控制审计评价工作的网络化、电子化管理和控制。内部控制评价系统应具有自动化程度高、测试操作简单便捷、测试工作集中前移、测试过程实时监控、查询功能全面强大等特点，使审计工作效率大幅提高；同时，实现全过程流程化操作和专业化协作的运作模式（如图4所示）。

      图4 内部控制审计评价流程化操作和专业化分工图