基于COSO框架的增值型内部审计体系

      COSO内部控制整合框架（以下简称COSO框架）是在美国反虚假财务报告委员会的号召下，由COSO委员会于1992年9月提出并实施的，2013年5月经过多次修订后，发布了新的框架内容。按照2013版COSO框架对内部控制的定义，内部控制主要是为组织提供合理保证，使其实现运营、报告和遵循目标的一套体系。其中运营目标是组织运营的效果和效率，资产安全不受损失。报告目标是组织内外部财务和非财务报告的可靠性、及时性、透明度等。遵循目标是遵守法律法规和相关制度规范。2013版的COSO框架提出了基于内部控制五要素的17项总原则，其中，控制环境方面主要包括，组织对正直和道德等价值观做出承诺、董事会对内部控制的推进与成效进行监督、管理层围绕战略目标建立健全组织架构、授权机制、人才管理等。风险评估方面主要包括，组织目标设定、风险识别和分析、风险应对等。控制活动方面主要包括，通过控制活动将风险对目标实现的影响降到可接受水平，并通过合理的政策制度保证流程程序。信息与沟通方面主要包括，确保内外部信息沟通有效，使各执行主体能及时取得公司经营过程中所需的信息。监督方面主要包括，实施持续或独立评估以确认内部控制的有效性、评价内部控制的缺陷并及时反馈（框架体系如图1所示）。

      一、控制环境——构建良好的实施增值型内部审计的环境

      控制环境是实现增值型内部审计的基础。构建良好的企业文化氛围、完善的治理结构、优秀的内部审计人才队伍，有利于增值型内部审计的实施，为企业增加价值。

      1.培育“增值型内部审计”理念的企业文化。通过宣传、培训增值型审计理念，转变公司领导及全体员工对内部审计的认识，使其认识到：增值型内部审计已从过去着重查处问题，向解决问题、总结经验、推广经验转变；从过去的事后审计向事前审计转变；从过去单一关注财务审计，向关注流程和风险管理审计转变；从过去与被审计单位的检查关系向共赢关系转变。

      2.完善治理机构，提高审计工作的有效性。总部层面，审计要对审计委员会和管理层双重负责；分公司层面，审计要对集团审计部和地区公司总经理负责，以保证内部审计的客观性和独立性。

      

      3.提高内部审计人员素质，打好审计增值的人力资源基础。一是大力弘扬审计人员职业操守和道德规范，形成良好的审计文化和审计氛围；二是通过培训、自学等形式，丰富内部审计人员的知识和技能；三是适当引入懂生产运营、法律和信息技术等专业的人才；四是在组织审计组时，抽调生产和管理专家，以缓解审计人员专业能力不强的问题。

      二、风险评估——分阶段评估增值型内部审计风险

      评估增值型内部审计风险，是有效实施增值型内部审计的起点。按照审计阶段划分，内部审计风险主要包括审计项目立项风险、审计项目实施风险、审计成果转化风险以及审计日常咨询服务质量风险。

      1.评估审计项目立项风险。增值型审计关注项目立项是否围绕着公司经营目标，以风险为指导，为公司经营目标服务。

      2.评估审计项目实施风险。增值型审计关注项目实施过程中是否做到了降低审计风险、提高审计质量、节约审计成本。

      3.评估审计成果转化风险。增值型审计项目关注审计成果是否得到有效转化，能否为公司增值。

      4.评估审计日常咨询服务质量风险。增值型审计关注是否能够在日常工作中为各个管理层级提供有价值的建议。

      三、控制活动——制定有效实施增值型内部审计的程序和措施

      1.建立以风险为导向的审计项目立项机制。年度内部审计计划应与公司决策风险、公司经营风险联系在一起。国资委要求国内大型企业每年都要编制风险管理年报。在风险管理年报编制的过程中，需要以公司的战略目标、KPI指标等为依据，评估公司第二年面临的重要风险。在内部审计项目立项时，可以结合风险管理年报中评估的重要风险领域，来确定年度审计工作重点。对存在重大经营风险的环节，有针对性地安排专项审计项目，以揭示风险并加以控制和防范。

      2.制定审计工作程序和具体流程来贯彻执行统一的标准。各个公司可以制定适合本公司的内部审计工作程序，强调审计工作各关键点的风险及控制措施。如制定统一的审计方案实施模板，可以将审计项目进行分类，对不同类型的项目，制定具体的审计重点和审计方法，提示审计中可能出现的风险。

      3.建立审计成果转化机制。适时对审计发现的问题和日常审计咨询时积累的疑点进行风险分析，并向公司各个层级提示风险；对重复发现的审计问题进行综合数据分析，从制度设计上、制度执行上查找问题产生的原因，并形成专题报告和管理建议书，使审计成果有效转化。

      4.建立审计问责和激励机制。对审计中发现的问题和好的做法进行分析，对问题责任人进行追责，对审计中发现的好的做法，进行经验推广，并纳入业绩考核。

      5.建立审计日常咨询服务通道。与公司管理层决策、各个业务部门实际操作相结合，从审计的视角提出日常工作中切实可行的建议，为公司各个层级服务。

      6.适时开展风险预警。事前、事中要对风险进行持续监控，及时提示风险，为公司风险应对提供参考，使审计关口前移，提前控制和规避风险，促进公司价值最大化和持续发展。