周映红

（东北大学计划财经处，沈阳110819）

基于BSC的企业内部控制自我评价体系构建

周映红

（东北大学计划财经处，沈阳110819）

近年来，由于相关规定的颁布，我国企业内部控制在理论制度的设计上取得了很大的进步，但对于评价的认识不足。目前我国对于内部控制的评价多数是在国家职能部门要求的基础上建立的，不是从实际情况出发而进行的主动评价，从而使得评价结果过于形式化。另外一个问题就是，内部控制评价的研究多数局限于定性研究，使得评价结果主观性较强，降低了评价结果的可靠性。定量研究虽已起步，但由于模型本身的局限性和指标的笼统性，降低了研究结果的实践性。

BSC；内部控制自我评价；管理熵

引言

2008年《企业内部控制基本规范》及2010年《企业内部控制配套指引》的颁布，极大助推了我国内部控制建设的发展，同时对我国企业内部控制的设计和评价奠定了理论基础。然而，我国企业在实践过程中仍旧存在大量问题。德勤事务所自2007年起，每年对我国上市公司进行内部控制调查，出具《中国上市公司内部控制调查分析》报告。根据德勤事务所2012年提供的报告显示，相关法律法规的颁布，使企业在内部控制建设方面日渐成熟，虽然进展速度缓慢，但是2011年调查结果比以往的内部控制效果要突出。另外，在内部控制评价方面，存在牵头部门不合适、评价基础经不起推敲等问题，而这些问题并没有得到有效解决。尽管上市公司对内部控制自我评价报告进行了披露，但从投资者反馈信息来看，投资者对企业的评价报告存在质疑，所以，企业应该站在管理者的角度，将内部控制建设作为企业管理的重要手段，结合企业自身的特点，建立更加科学可行的内部控制自我评价体系，为企业战略目标的实现保驾护航，以此来赢得投资者的关注。

虽然上海证券交易所和深圳证券交易所先后出台相关内部控制指引，鼓励企业披露自我评价报告，但是，从目前上市公司披露的内部控制自我评价报告来看，大部分披露形式为：首先对内部控制进行综述介绍，然后对企业的重点控制活动进行介绍，再指出企业内部控制存在的问题并给出整体的改进措施，最后对内部控制的有效性进行评价。无论是一个企业纵向比较，还是横向多家企业对照分析，其报告的内容和形式大同小异，都是简单的描述，并未对企业内部流程进行详细的讨论，基本上是走形式。并且，纯文字性的定性描述，由于自身缺陷的局限性，容易导致报告的失真。

综上所述，本文认为，我国企业关于内部控制的评价，应注重管理，从定性逐渐向定量转化，不仅是企业管理发展的需求，也是提高控制自我评价报告质量的需求。

一、控制自我评价研究回顾

控制自我评价（Control Self-Assessment，简称CSA）最早于1987年提出，它是由加拿大海湾资源有限公司的布鲁斯·麦克库艾格（Bruce MeCuaig）、提姆·里奇（Tim Leech）和保罗·马克索斯（Paul Makosz）在总结公司多年审计工作经验的基础上提出的一套审计方法和技术。随着《萨班斯——奥克斯利法案》（即SOX法案）等一系列法律法规的颁布，控制自我评价在国外得到飞速发展。Mary（1999）、Lori和Ed O'Donnell（2005）以及Susan（2007）对内部控制评价过程中的关注点进行了研究；Jack和Anna（2004）通过案例分析，对控制自我评价中检查内部控制缺陷和如何消除缺陷进行了讨论；IFAC（2011）对控制自我评价实践的原则作出了说明及实用性指导。目前，在实践中已形成了多种CSA方法，从其基本形式上来划分，主要有引导会议法、问卷调查法和管理结果分析法。

相对而言，我国对于控制自我评价研究才刚刚起步。林朝华和唐予华（2003），杨淑娥、戴耀华和樊明武（2006），王栋（2008）等均对CSA的理论演进与应用框架、实务方法等做了评价。也有部分学者，试着引进数学模型，进行定量研究。王立勇（2004）提出来可靠性数学模型进行内部控制的评价，以收款业务为例，进行了应用描述；骆良彬（2008）、韩传模和汪士果（2009）建立了基于AHP的模糊评价模型；王海林（2009）以信息系统为例，建立了IC-CMM模型；杨洁（2011）采用PDCA模式分计划、执行、检查和改进四个部分构建评价标准体系，结合模糊综合评价法和层次分析法，以定量评价为主、定性评价为辅的方式评价企业的内部控制。需要关注的是，林野萌和韩传模（2012）提出从管理角度出发，引进BSC进行评价的思想。

综上所述，目前对于内部控制评价的方法还是以定性为主，虽然定量方法已彰显头脚，但其方法本身还存在一些问题。比如，可靠性数学模型实施的假设条件与现实不符；由于AHP方法受理论基础的限制，在目标定位及层次划分上有较大的局限性，评价结果比较偏向于内部控制制度的有效性，忽视了执行的有效性；IC-CMM模型的前提是企业应有特定的内部控制制度，然而在现实情况中，很多企业都不具备这一特点；基于PDCA循环的评价模型弥补了AHP模糊评价方法的缺陷，同时考虑了内部控制制度的有效性和执行的有效性，但是，在选择二级指标设计要经过实践检验；虽然韩传模是从管理角度出发，将BSC引入内部控制评价体系中，为控制自我评价提供了一个新的方案，但是其在维度的划分有待于进一步提升。尽管根据需要将顾客维度改为投资者维度，却忽略了其他的相关者；另一方面，对于各个维度项目的判断只是粗略的定性描述，主观因素过强，使得评价结果不够准确，在指标选取和评价的可靠性、科学性上有待改善。

二、平衡计分卡适用性

平衡计分卡（balance score card，简称BSC）是目前普遍应用的业绩评价方法之一，将其引入到控制自我评价体系的可行性可以从以下两方面说明。

（一）公司治理、内部控制和业绩评价的关系

一方面，公司治理的重要部分是内部控制。合理有效的内部控制能保证决策制定的科学性和执行的有效性，因而，对于内部控制的评价，不但要考虑审计，更重要的要考虑管理，要将审计和管理结合在一起进行分析研究，及时对内部控制进行评价，如对管理中存在问题要及时进行修订，以保障企业持续运营。另一方面，监督和激励是公司治理的核心，对内部控制有效性的评价，应参照业绩评价的方法进行分析。BSC作为有效的业绩评价方法，可以通过相关的财务指标和非财务指标对经营者的业绩进行评价。同时，通过内部控制的执行结果来反映企业内部控制的有效性，而执行结果的好与坏将直接影响到企业的经营效益，这种评价是与业绩评价相类似的，故将BSC引进内部控制来进行评价是可行的。

（二）BSC自身特点的适用性

平衡记分卡的设计包括了财务角度、顾客角度、内部经营流程、学习和成长。BSC打破了传统的只重视财务指标的管理方法，体现了一种平衡思想。BSC实现了财务与非财务衡量方法之间的平衡、长期目标与短期目标之间的平衡、企业组织内部和外部群体的平衡、结果性指标和过程性指标的平衡、管理业绩和经营业绩的平衡等多个方面的平衡。根据《企业内部控制基本规范》对于内部控制的描述，内部控制是一个过程，这个过程是为了实现一定的控制目标而执行的。这里的控制目标可以看做是控制结果，内部控制的有效性评价就是过程是否有效和结果是否有效的评价，需要对过程和结果综合来评价。而BSC可以实现过程和结果的平衡，所以可以将BSC引入到内部控制的评价中。

三、体系构建

本文在指标的设计上，分为过程型指标和结果型指标两部分，综合利用定性指标和定量指标来实现控制的自我评价。对于企业来说，社会评价的好与坏是企业自身内部控制执行的结果，所以，可以从外部相关者所反馈的信息来进行控制的自我评价。根据BSC的内部结构和自我控制评价的需要，将整个体系划分为财务维度、内部流程维度、学习和成长维度以及外部利益相关者维度。

（一）过程型指标体系的设计

根据《企业内部控制配套指引》（简称具体指引）中关于项目的划分以及企业具体内部控制制度的项目划分，将各个控制项目划分入各个维度中。各个维度所包含项目如图1所示。

图1 各个维度项目划分

对于每个维度下每个项目可以从制度的设计、控制环境、风险评估、信息与沟通、控制活动以及监督六个方面来评价。具体每个方面的评价内容，根据企业实际情况和具体指引来设计。

1.财务维度

资金管理：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；是否具有完善的资金管理体系制度；是否建立了资金管理的风险评估体系；是否定期核对检查相关数据资料；对筹资、投资、营运资金管理是否完善；是否有对资金活动进行有效监督的体制，定期或不定期对其进行检查评价，并设有且落实责任追究制度。

资产管理：相关内部控制制度的设计与具体指引和规范相比是否存在不足；是否建立健全资产管理体制；是否对资产管理的流程定期跟踪检查，及时改进检查出现的问题；相关部门是否定期对相关资料、数据进行核对检查；对于存货、固定资产、无形资产的管理程序是否合理完善；是否定期对资产进行盘点，落实实现责任追究制度。

财务报告：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；是否对财务报告相关工作有明确科学的管理体制；是否定期检查企业会计政策和估计符合国家相关规定；财务信息沟通是否合理完善；财务报告的编制、披露、分析是否真实、公平、合理、科学；内审部门是否对财务相关报告进行定期检查。

全面预算：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；预算管理制度和相关部门的职能是否健全；是否有健全的预算风险控制防范体系；是否定期编制预算执行报告；对预算编制、执行、考核是否具有明确科学的流程制度规定；是否定期或不定期对预算执行进行监督，并进行预算结果的质询。

2.内部流程维度

采购业务：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对于采购流程是否设有健全的制度体系；是否定期对采购流程进行评估，及时发现薄弱环节并改进；相关部门是否定期对相关数据、资料进行核对；对于购买、付款、退货是否有明确科学的流程规定；是否设有采购后评估相关体制。

外包业务：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对于外包业务的划分选择、承包商的选择是否设有严格健全的制度体系；是否定期或不定期对外包流程进行评估，及时发现薄弱环节并改进；相关部门是否定期对相关数据、资料进行核对；对于承包商选择、外包业务验收是否有明确科学的流程规定；是否设有外包业务事后评估体系，并落实责任追究制度。

工程项目：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对于工程项目的可行性分析、决策、建设、竣工等流程有明确的规定；可行性报告、造价、验收等是否经过专业人员的考核审批；相关部门的数据、资料是否定期核对；对于工程的立项、招标、造价、建设、验收等方面的流程规定是否合理；是否有成本管理责任制，将成本责任具体到人。

担保项目：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对于担保的审批、评估、执行、监督等是否有严格的标准和流程；是否定期对担保单位的经营和财务状况进行检测；担保相关材料是否符合规定，相关部门是否进行数据资料的核对沟通；对担保的调查评估、审批、执行和监督是否有严格健全的流程；是否定期检查担保业务授权批准制度，并设有担保责任追究制度。

合同管理：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对于合同的拟定、审批、执行等是否设有严格健全的流程体系；是否定期对合同中的薄弱环节进行评估；是否做到合同信息的保密，是否有对签订合同的企业进行了解的措施；对合同的订立、履行是否有严格完善的流程；是否设有相关的考核和责任追究制度。

内部信息与沟通：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；是否有明确的信息传递机制；是否定期对传递过程中的薄弱环节进行评价；内部报告的形成、使用是否有严格完善的流程；是否有反舞弊机制。

销售业务：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对于销售合同订立、销售收款等是否设有严格健全的制度体系；是否定期对销售活动的薄弱环节进行评估；相关部门的数据、资料等是否定期核对；对于销售合同的订立、市场的开发、货款收回等是否有严格健全的流程；是否对顾客、销售政策等定期进行检查，并设有责任追究制度。

3.学习与成长维度

人力资源、社会责任、发展战略和组织结构属于环境类指引，所以不细分五要素进行评价。

人力资源：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；对人员需求计划设定、人员的选聘、人力资源的开发、激励、人员的离职等是否有明确完善的流程制度。

社会责任：是否对安全生产、环境保护、资源节约和员工权益保护等有明确的措施。

发展战略：对于发展战略的制定、实施是否有明确的相关措施和规定。

组织结构：组织结构的设计是否符合相关的规定；是否对定期对组织框架的运行效率进行评估。

企业文化：是否有明确的核心价值观、发展愿景；是否对文化建设进行相关的宣传培训、解读与报导。

研究与开发：相关内部控制制度的设计与具体指引和规范相比是否有缺陷；是否设有相关部门，并且配备相应的专业人员；是否实施对开发关键风险进行监控；对于立项和研究、开发与保护有严格的流程制度规定；对于相关资料借阅保管、相关人员的责任落实严格流程规定。

4.外部利益相关维度

因其不属于十八项指引范围，所以不按照五要素划分。

供应商：供应商档案是否及时更新；和供应商之间信息共享程度。

顾客：顾客满意程度。

零售商：和零售商之间信息共享度，零售商档案是否及时更新。

投资者：信息披露程度；企业所聘请事务所的规模；所聘请事务所的排名。

分包商：分包商档案是否及时更新，分包商资质评估程序是否符合企业要求。

（二）结果型指标体系的设计

定量指标可以说是从内部控制执行结果来侧面反映内部控制的有效性，本文在定量体系的构建过程中，部分指标很大程度以财务指标、供应链合作者评价指标以及业绩评价指标为基础。因为，这些指标都是企业经营活动的重要参数，而内部控制自始至终贯穿于企业经济活动中，从而在一定程度上这些指标也是内部控制执行的结果，可以侧面反映内部控制执行的有效性。选取哪些指标进行评价，则要视企业具体情况，从回避风险的角度来选取。主要有财务维度指标、内部流程维度指标、学习与成长维度指标及外部利益相关者维度指标。下面主要对财务指标的选取进行研究分析。

财务维度各个评价项目所选取的指标如表1所示。

表1 财务维度指标

资金管理需要注意的风险包括筹资决策不当可能引起的负债危机或导致企业筹资资本过高、投资决策不当，导致资金利用效率低、资金管理调度不合理导致运营不畅。所以，选取衡量偿债能力、投资收益、营运能力的指标进行评价。

资产管理需要注意的风险包括存货积压、货物盘亏带来的损失、固定资产管理更新不善带来的损失、无形资产核心技术落后或所属权不清等问题带来的损失。所以，选取相关资产的周转率、收益率等指标来评价。

全面预算需要注意的风险包括，预算编制不科学，导致盲目经营、资源浪费；考核不严导致管理流于形式。所以，用费用降低率来定量衡量是否造成资源浪费。

财务报告需要注意的风险包括，违反国家统一准则带来企业声誉受损、出具虚假报告、报告利用不合理。所以用出具标准审计意见的次数来定量评价财务报告的真实性。

四、评价方法

熵（entropy）指的是体系的混乱的程度，在控制论、概率论、数论、天体物理、生命科学等领域都有重要应用，并且在不同的学科中又引申出更为具体的定义，是各领域十分重要的参量。在管理学领域，管理熵是指任何一种管理的组织、制度、政策方法等，在相对封闭的组织运动过程中，总呈现出有效能量逐渐减少，而无效能量不断增加的一个不可逆的过程。这也就是组织结构中的管理效率递减规律（任佩瑜，张莉，宋勇，2001）。

敖世友（2009）将管理熵引入到企业内部控制评价中，建立了内部控制评价的管理熵模型。他通过对管理熵和管理耗散理论的阐述分析，得出基于复杂性科学提出的管理熵适合应用于企业系统的研究，并且可以为定性描述的问题予以量化提供科学依据。所以，作者认为，管理熵是评价内部控制的最佳工具，以管理熵值的大小作为评价企业内部控制系统无序度的依据，从而弥补定性判断的不足。本文借鉴该模型进行最终的评价，以下是对该模型的概述。具体实施步骤可概括为：

第一步，企业可以根据以上指标体系，由专家或企业根据实际情况，分别对每个维度各个评价项目的风险进行评估，计算各个项目体系的管理熵值，从而形成一个管理熵值矩阵，记为S。

第二步，根据管理熵值表，运用回归分析的方法，计算各个项目系统之间的相关系数，从而形成相关系数矩阵，记为u。

第三步，对每个维度下每个评价项目系统的影响程度设立权重，假设其权重矩阵为θ。

第四步，计算各个维度的管理熵值，Sj=Si×u×θ。j=1，2，3，4

第五步，确定各个维度的权重，进而计算整个管理熵值。设各个维度的权重为βm（m=1，2，3，4），则最后的管理熵值S=Sj×βm（j=1，2，3，4；m=1，2，3，4）。

根据计算所得管理熵值的评价结果，可以对企业的内部控制进行定量分析，一步步倒推到具体是哪项指标的相关管理需要改进，从而更加准确的完善企业的内部控制。

当然，对于内部控制具体评价方法不仅仅局限于管理熵，模糊AHP法也是常用方法之一，企业可以根据实际情况，选取适合的方法对上述指标体系进行评价。

结语

企业在进行控制自我评价的过程需要注意以下几点：第一，控制自我评价与传统的内部控制评价相比，评价的主体不仅仅局限于内部审计人员，而是包括管理层和各级员工，是企业各个层次员工都参与的一项评价活动。所以，在各个项目的评价时，除向各个相关部门的管理层进行调查外，还应该随机选取的各部门各个环节的基层员工进行调查，获取信息。第二，对于评分的给定，不仅仅依赖于内部审计人员。针对每项被评估的项目，可以以问卷调查的形式，由相关部门的管理层和一线员工就指标体系的指标分别打分，最后综合所有问卷，最后由内部审计人员结合所有分数，通过一定的方法给出最后得分。第三，修改建议的提出不仅仅靠管理层和内部审计人员，而是全员参加的一个过程。针对评价结果，找出需要完善改进的环节，组织包含一线员工在内的研讨会，以匿名的方式进行修改建议的征集。第四，最后评价报告由内部审计部门整理完成，并在企业内部公示，由企业全体员工对报告进行审阅，无异议纰漏后，形成最终报告，并对薄弱环节进行改善。

当然，控制自我评价体系一旦在企业形成，企业就可以设计相应的信息系统来完成整个评价过程。例如，通过设计审计权限，可以只对本部门的项目进行评估，同时评分结果由管理信息系统自动生成。所以，一旦形成固定的信息系统平台，控制自我评价过程不需人工操作，通过现代化的技术手段来完成，提高了管理效率和便利化程度，企业对内部控制实时进行监控，有助于加强管理，及时发现问题并解决问题，保证企业运营高效、管理规范、持续运营。

控制自我评价是一项全员参与的评价活动，能够促进各个层次的交流，可以有助于所有员工更好理解和承担对有效的内部控制和风险管理的责任和义务。同时，控制自我评价将评价范围扩广，可以及时识别风险、防范风险，有助于提高企业整体内部控制的自觉性，改善企业控制环境，提高审计的效率，从而保证企业的有效高效运营。控制自我评价将会普遍被企业运用，对其定量研究也将是未来研究的一种趋势。

[1]敖世友.基于管理熵的企业内部控制评价研究[J].四川大学学报：哲学社会科学版，2009，（4）：77-81.

[2]德勤会计师事务所[R].中国上市公司内部控制调查分析报告，2012.

[3]韩传模，汪士果.基于AHP的企业内部控制模糊综合评价[J].会计研究，2009，（4）：55-61.

[4]林朝华，唐予华.CSA：内部控制系统评价的新观念与新方法[J].上海会计，2003，（1）：15-18.

[5]骆良彬，王河流.基于AHP的上市公司内部控制质量模糊评价[J].审计研究，2008，（6）：84-90.

[6]林野萌，韩传模.基于BSC与AHP的企业内部控制评价体系构建[J].商业会计，2012，（5）：94-96.

[7]王栋.内部控制评估新方法CSA—在我国的应用分析[J].价值工程，2007，（5）：153-156.

[8]王海林.内部控制能力评价的IC-CMM模型研究[J].会计研究，2009，（10）：53-59.

[9]王立勇.内部控制系统评价定量分析的数学模型[J].审计研究，2004，（4）：53-59.

[10]任佩瑜，张莉，宋勇.基于复杂性科学的管理熵、管理耗散结构理论及其在企业组织与决中的作用[J].管理世界，2001，（6）：142-147.

[11]杨洁.基于PDCA循环的内部控制有效性综合评价[J].会计研究，2011，（4）：82-87.

[12]杨淑娥，戴耀华，樊明武.CSA：一个内部控制发展的前沿[J].当代财经，2006，（6）：79-82.

[13]IFAC.2011.Evaluating and Improving Internal Control in Organizations.

[14]MaryB.Curtis，A.FayeBorthick..Evaluation of Internal Control from a Control Objective Narrative.[J]Journal of Information Systems，1999，13（l）：63～81.

[15]Jack E.Kiger，Anna.M.Rose，.Internal Control Evaluation of a Restaurant：A Teaching Case[J].Issues In Accounting Education，2004，19，（2）：229～237

[16]Lori S.Kopp，Ed O'Donnell.The influence of a business-process focus on category knowledge and internal control evaluation[J]. Accounting，Organizations and Society，2005，（30）：423-434.

[17]Susan S.Lightle.Assessing the Control Environment[J].Internal Auditor，2007，（12）：51-56.

[责任编辑 杜 娟]

F279.23

A

1673-291X（2017）23-0143-04

2017-03-15

周映红（1975-），女，辽宁沈阳人，会计师，硕士，科长，从事财务实务及相关理论研究。