2002年的薩班斯一奧克斯利法案（Sarbanes-Oxley Act of 2002，本文簡稱薩班斯法案）對財務(wù)呈報程序產(chǎn)生了十分重大的影響。其中，404條款要求公眾公司管理當(dāng)局對企業(yè)內(nèi)部控制的有效性進(jìn)行披露報告，注冊會計師必須對該份報告進(jìn)行審計。在實踐層面，美國證券交易委員會（SEC）通過制定規(guī)則來具體執(zhí)行薩班斯-奧克斯利法案404條款，這些規(guī)則為CEO和CFO對主體財務(wù)呈報內(nèi)部控制（entity's inter nal control over financial reporting）和披露控制（disclosure control）的報告提供了指南；公眾公司會計監(jiān)管委員會（PCAOB）通過為注冊會計師制定審計準(zhǔn)則，直接影響注冊會計師該類審計合約的計劃與實施；COSO委員會制定內(nèi)部控制標(biāo)準(zhǔn)框架，作為管理當(dāng)局和注冊會計師進(jìn)行內(nèi)部控制評價的基礎(chǔ)。本文介紹上述幾方面的最新進(jìn)展。

　　一、薩班斯法案404條款與SEC規(guī)則

　　為了配合薩班斯法案404條款有關(guān)內(nèi)部控制規(guī)定的實施，SEC提出了“財務(wù)呈報內(nèi)部控制”的操作性定義。SEC規(guī)則13a-15（f）規(guī)定：財務(wù)呈報內(nèi)部控制是一個過程，由發(fā)行人的主要執(zhí)行官員、主要財務(wù)官員或者行使類似職權(quán)的人員設(shè)計或監(jiān)控，受發(fā)行人的董事會、管理當(dāng)局和其他人員所影響，為財務(wù)呈報的可靠性和財務(wù)報表（供外部使用的）的編制符合公認(rèn)會計原則提供合理的保證。具體包括以下控制政策和程序：（1）保持詳細(xì)合理的會計記錄，準(zhǔn)確公允地反映發(fā)行人資產(chǎn)的交易和處置情況；（2）為下列事項提供合理的保證：發(fā)行人對發(fā)生的交易進(jìn)行必要的紀(jì)錄，從而使財務(wù)報表的編制滿足公認(rèn)會計原則的要求；發(fā)行人所有的收支活動均得到管理當(dāng)局和董事的合理授權(quán)；（3）為下列事項提供合理保證，即防止或及時發(fā)現(xiàn)發(fā)行人的資產(chǎn)未經(jīng)授權(quán)地取得、使用和處置，因為發(fā)行人資產(chǎn)的取得、使用和處置會對財務(wù)報表產(chǎn)生重大影響。從SEC財務(wù)呈報內(nèi)部控制定義可以看出：其一，內(nèi)部控制是一個廣義的概念，涉及到企業(yè)管理的各個方面。SEC將主體對內(nèi)部控制的考慮限定在財務(wù)報表編制的內(nèi)部控制的范圍內(nèi)，因此使用了“財務(wù)呈報內(nèi)部控制”這一術(shù)語。其二，SEC期望其所定義的內(nèi)部控制與COSO委員會報告里的財務(wù)呈報目標(biāo)相一致。其三，規(guī)則特別提到了主體資產(chǎn)的利用與處理，意在資產(chǎn)保護(hù)。

　　1.薩班斯法案404條款要求首席執(zhí)行官（CEO）和首席財務(wù)官（CFO）對主體財務(wù)呈報內(nèi)部控制的有效性進(jìn)行評價和報告。該份報告包括在公司按年度遞交給SEC的10K表格（Form 10K）中，為此，SEC已經(jīng)為其注冊成員制訂了規(guī)則，要求公司的10K表格必須包括：（1）管理當(dāng)局對企業(yè)財務(wù)呈報內(nèi)部控制的年度報告，具體為：①關(guān)于管理當(dāng)局建立和維護(hù)適當(dāng)企業(yè)財務(wù)呈報內(nèi)部控制的責(zé)任報告；②管理當(dāng)局用于評價企業(yè)財務(wù)呈報內(nèi)部控制有效性的方法框架的報告；③管理當(dāng)局對到最近財年末為止的企業(yè)財務(wù)呈報內(nèi)部控制的有效性的評價，包括企業(yè)財務(wù)呈報內(nèi)部控制是否有效的聲明，其中，必須披露管理當(dāng)局所確認(rèn)定的企業(yè)財務(wù)呈報內(nèi)部控制的任何重大弱項，如果存在一個或多個重大弱項，則管理當(dāng)局不得認(rèn)定其財務(wù)呈報內(nèi)部控制是有效的；④一個聲明，即會計事務(wù)所（對公司包含在年報中的財務(wù)報表進(jìn)行審計的機構(gòu)）已經(jīng)對管理當(dāng)局的財務(wù)呈報內(nèi)部控制有效性評價意見簽發(fā)鑒證報告。（2）會計師事務(wù)所的鑒證報告，提供審計人員對管理當(dāng)局財務(wù)呈報內(nèi)部控制評價意見的鑒證報告。（3）財務(wù)呈報內(nèi)部控制的變動，對于任何重大地影響或可以合理預(yù)期將重大地影響企業(yè)財務(wù)呈報內(nèi)部控制的任何變動都應(yīng)予以披露，該項披露要求從2003年8月14日起生效。上面所提及的其他規(guī)定，如管理當(dāng)局對企業(yè)財務(wù)呈報內(nèi)部控制有效性的報告及相關(guān)審計人員鑒證意見的生效日期，由公司的歸檔狀態(tài)決定，即①對第一個財政年度在2004年6月15日或以后結(jié)束的所謂“加速編報”（Accelerated filer）公司，必須在該財政年度的年報中開始遵守內(nèi)部控制報告和鑒證要求；②小規(guī)模公司、外國私人發(fā)行人和其他非加速編報公司，要求在2005年4月15日或之后結(jié)束的財政年度年報中遵循新規(guī)則的所有規(guī)定。

　　2. 薩班斯法案302條款要求對主體“披露控制與程序”的有效性作出季度報告。為此，在SEC規(guī)則中，引入了一個新的概念，即“披露控制和程序”。SEC規(guī)則13a-15（e）將披露控制和程序定義為：被設(shè)計出來的控制和程序，應(yīng)確保根據(jù)法案要求填寫和提交的報告中發(fā)行人應(yīng)該披露的信息，按照委員會規(guī)則所規(guī)定的期間和格式，進(jìn)行記錄、處理、匯總和報告�！芭�露控制和程序”包含證券交易法報告中所有重大的財務(wù)和非財務(wù)信息控制，包括重要合同簽訂、戰(zhàn)略關(guān)系變化、管理當(dāng)局薪酬或法律事件等，其所包含的信息超過主體財務(wù)呈報內(nèi)部控制的范圍。SEC的S-K規(guī)章307條款，要求管理當(dāng)局披露公司主要執(zhí)行官、主要財務(wù)官或者履行類似職權(quán)的人員在對到報告期間的披露控制和程序進(jìn)行評價的基礎(chǔ)上，就企業(yè)披露控制和程序的有效性作出評價。除了對披露控制的報告外，公司的季度報告也必須披露主體財務(wù)呈報內(nèi)部控制的重大變動。值得注意的是，在這些季度性文件中，沒有要求管理當(dāng)局一定要對財務(wù)呈報內(nèi)部控制進(jìn)行評估和報告（只是要求按年度進(jìn)行其評價），也沒有要求公司獨立審計人員一定要對管理當(dāng)局的披露控制評價作出鑒證。

　　3. SEC建議所有公眾公司建立信息披露委員會，以監(jiān)督披露的生產(chǎn)和核查過程。包括核查10Q-10K和其他SEC文件，盈利發(fā)放和其他適當(dāng)披露的公眾信息；確定需要披露的重大性事件和交易；確定在披露控制和程序的設(shè)計和執(zhí)行中的重大缺陷和不足；評價CEO和CFO對可能影響披露的重大信息的關(guān)注度。信息披露委員會的存在和有效運行，將會在評價主體內(nèi)部控制有效性的工作范圍和工作性質(zhì)方面產(chǎn)生重要影響：其一，信息披露委員會職能的有效運行，是強化主體控制環(huán)境的一個要素；其二，披露委員會的工作可以形成文檔，以利于工作小組縮減其工作范圍。

　　4.SEC要求公司的主要執(zhí)行官和主要財務(wù)官簽署兩個書面證明，包括在公司的10Q和10K表格中。

　　這兩個書面證明是薩班斯法案302和906條款所要求的。（1）302條款，具體細(xì)化到SEC規(guī)則13a-14 （a）/15d-14（a）中，要求在呈交SEC季度和年度報告時提出證明：包括已經(jīng)核查了[某個確定注冊公司的]的特定報告；報告中沒有存在任何重大的錯報和漏報而導(dǎo)致對本期報告產(chǎn)生了誤導(dǎo)性的信息；呈報的財務(wù)報表和其他報告公允地反映了注冊公司在所報告期間和時點上的財務(wù)狀況、經(jīng)營業(yè)績和現(xiàn)金流動狀況；對建立和維護(hù)公司的披露控制和程序（如證券交易法13a-15（e）/15d-15（e）規(guī)定）和企業(yè)財務(wù)呈報內(nèi)部控制報告（如證券交易法13a-15（f）/15d-15（f））承擔(dān)責(zé)任；已經(jīng)向公司的審計師和公司董事會的審計委員會進(jìn)行披露（或者行駛相同職權(quán)的人），等等。（2）906條款，包括對具體聯(lián)邦犯罪法典的證明，如證明報告是完全符合1934證券交易法的12（a）或15（d）中的條款要求，報告中的信息在所有重大方面公允地反映了企業(yè)的財務(wù)狀況和經(jīng)營成果。

　　二、薩班斯法案404條款與PCAOB審計準(zhǔn)則

　　為了配合審計人員對管理當(dāng)局財務(wù)呈報內(nèi)部控制有效性評價的審計工作，2004年P(guān)CAOB發(fā)布了第2號審計準(zhǔn)則（AS2），用以指導(dǎo)審計的計劃與實施。

　　1.AS2提出財務(wù)呈報內(nèi)部控制審計的目標(biāo)是，對管理當(dāng)局就企業(yè)財務(wù)呈報內(nèi)部控制有效性的評價發(fā)表意見。這個目標(biāo)分解為兩個步驟：管理當(dāng)局必須對主體的內(nèi)部控制進(jìn)行評估并得出結(jié)論；審計人員將對管理當(dāng)局就內(nèi)部控制有效性的評價是否公允作出評價并發(fā)表獨立意見。因而，對內(nèi)部控制進(jìn)行了雙重評價，先是由管理當(dāng)局，然后是審計人員。在一些情況下，審計人員可能對已經(jīng)由企業(yè)執(zhí)行過的測試進(jìn)行再測試，不過，這并不減除管理當(dāng)局對于內(nèi)部控制存檔、測試和報告的責(zé)任。AS2指出，管理當(dāng)局在財務(wù)呈報內(nèi)部控制審計過程中的責(zé)任有：對企業(yè)財務(wù)呈報內(nèi)部控制有效性承擔(dān)責(zé)任；運用恰當(dāng)?shù)目刂茦?biāo)準(zhǔn)評估企業(yè)財務(wù)呈報內(nèi)部控制的有效性；有足夠的證據(jù)（包括文件）來支持其評估結(jié)論；就到最近財年末為止企業(yè)財務(wù)呈報內(nèi)部控制的有效性作出書面的評估報告。如果管理當(dāng)局未完成上面列舉的責(zé)任，那么，審計人員應(yīng)以書面的形式與管理當(dāng)局和審計委員會進(jìn)行溝通，明確其對財務(wù)呈報內(nèi)部控制的審計無法滿意地完成，以至無法發(fā)表意見。

　　2.AS2要求審計人員評估管理當(dāng)局應(yīng)用于評價主體內(nèi)部控制的程序方法的可靠性；復(fù)核和使用一些管理當(dāng)局、內(nèi)部審計人員和其他人的評價過程中取得的測試結(jié)果；或自己進(jìn)行測試，以形成獨立意見。（1）對管理當(dāng)局評價程序的評估。準(zhǔn)則要求審計人員必須理解和評價管理當(dāng)局對財務(wù)呈報內(nèi)部控制有效性的評價過程。在取得理解之后，審計人員要確定管理當(dāng)局是否執(zhí)行了以下步驟：第一，決定需要測試的控制，包括所有與財務(wù)報表重大會計賬戶和披露有關(guān)的認(rèn)定的控制。一般來說，這些控制指有關(guān)發(fā)生、授權(quán)、記錄、處置和報告財務(wù)報表重要賬戶和披露以及報表中的相關(guān)認(rèn)定的控制；對遵循公認(rèn)會計原則的會計政策選擇與運用的控制；反舞弊的程序和控制；其他控制及其所依賴的信息技術(shù)總控制；對重要的偶發(fā)性和非系統(tǒng)性交易如涉及判斷和估計的賬目的控制；企業(yè)層面的控制，包括控制環(huán)境和年末財務(wù)報表編制過程的控制，如記入總分類帳的業(yè)務(wù)金額匯總的程序控制、記錄調(diào)整和非調(diào)整事項的控制活動（如報表合并、重分類等）。第二，評價控制失敗將導(dǎo)致的錯報的可能性和其他有效控制能夠達(dá)到相同控制目標(biāo)的程度。第三，確保對多區(qū)域和多分部公司的評價涵蓋了下屬公司和部門。第四，評價控制設(shè)計的有效性。第五，評價控制執(zhí)行的有效性，比如內(nèi)部審計的控制測試，管理當(dāng)局指導(dǎo)下的其他人進(jìn)行的控制測試，利用服務(wù)機構(gòu)的控制報告，控制應(yīng)用證據(jù)的審查，進(jìn)行自我評估測試以及部分的管理當(dāng)局持續(xù)監(jiān)督活動。僅僅完成這項評估是不夠的。為評估企業(yè)財務(wù)呈報內(nèi)部控制的有效性，管理當(dāng)局必須對與所有重大會計科目和披露有關(guān)的認(rèn)定的控制進(jìn)行評估。第六，確定財務(wù)呈報內(nèi)部控制缺陷的重大性和可能性。第七，與審計人員和其他人員溝通。第八，評價結(jié)果是否合理，是否支持管理當(dāng)局的評估結(jié)果。

　　3. AS2指出如果導(dǎo)致財務(wù)報表重大錯報的錯誤或舞弊在控制得到遵守的情況下會被制止或被發(fā)現(xiàn)，那么財務(wù)呈報內(nèi)部控制的設(shè)計就是有效的。審計人員判定企業(yè)控制能否滿足控制的標(biāo)準(zhǔn)是：確定企業(yè)每個部門的控制目標(biāo)；確定滿足每個目標(biāo)的控制；如果控制有效執(zhí)行，確定內(nèi)部控制是否能防止或發(fā)現(xiàn)導(dǎo)致財務(wù)報表重大錯報的錯誤或舞弊。

　　4. AS2指出審計人員評價運行的有效性通過判定控制是否如其設(shè)計般執(zhí)行，執(zhí)行控制的人員是否具備必要的權(quán)力和素質(zhì)以有效地執(zhí)行控制程序來進(jìn)行。對運行有效性的控制測試，包括對相關(guān)人員的詢問、相關(guān)證據(jù)的檢查、公司經(jīng)營活動的觀察以及控制應(yīng)用的重復(fù)執(zhí)行。對于測試控制的時間安排，AS2作出了詳細(xì)規(guī)定，比如準(zhǔn)則指出，對于重要的非常規(guī)性交易、帶有高度主觀判斷的賬戶或程序以及期末調(diào)整記錄的控制，審計人員應(yīng)該在接近或正在那個時點上實行控制測試，而不是針對一段時期。對于控制測試的范圍，AS2要求審計人員每年都要收集足夠的證據(jù)，證明企業(yè)對財務(wù)呈報內(nèi)部控制包括對所有內(nèi)部控制環(huán)節(jié)的控制是否有效執(zhí)行。這就意味著，審計人員每年必須收集控制有效性的證據(jù)，這些控制涉及所有財務(wù)報表重大賬戶和披露有關(guān)的認(rèn)定。另外，AS2還對其他人員的工作的應(yīng)用、財務(wù)呈報內(nèi)部控制有效性的意見發(fā)表、財務(wù)呈報內(nèi)部控制審計與財務(wù)報表審計的關(guān)系等內(nèi)容作出了規(guī)范。

　　三、薩班斯法案404條款與COSO委員會

　　《企業(yè)風(fēng)險管理綜合框架》內(nèi)部控制標(biāo)準(zhǔn)體系是公司內(nèi)部管理當(dāng)局與外部注冊會計師完成財務(wù)呈報內(nèi)部控制有效性評價的基礎(chǔ)。

　　在美國，COSO委員會于1992年制定的內(nèi)部控制綜合框架（IC-IF）是至今管理當(dāng)局和注冊會計師在財務(wù)呈報內(nèi)部控制有效性評價方面的依據(jù)之一。薩班斯法案404條款頒布之后的一個新變化是，COSO委員會于2004年9月29日正式發(fā)布了《企業(yè)風(fēng)險管理綜合框架》（ERM-IF），并提出將以ERM取代IC- IF.何時取代，未見時間表，但趨勢既定。

　　1. COSO委員會提出，企業(yè)風(fēng)險管理是企業(yè)的董事會、管理層和其他員工共同參與的一個過程，應(yīng)用于企業(yè)的戰(zhàn)略制定和企業(yè)的各個部門和各項經(jīng)營活動，用于確認(rèn)可能影響企業(yè)的潛在事項并在其風(fēng)險偏好范圍內(nèi)管理風(fēng)險，對企業(yè)目標(biāo)的實現(xiàn)提供合理的保證。根據(jù)管理者經(jīng)營的方式劃分，企業(yè)風(fēng)險管理包括八個相互關(guān)聯(lián)的組成要素：內(nèi)部環(huán)境、目標(biāo)設(shè)定、事件識別、評估風(fēng)險、應(yīng)對風(fēng)險、控制活動、信息與溝通和監(jiān)督。內(nèi)部環(huán)境是企業(yè)風(fēng)險管理的基礎(chǔ)，為企業(yè)風(fēng)險管理所有其他組成部分運行提供了平臺和結(jié)構(gòu)。

　　企業(yè)的目標(biāo)制定是企業(yè)風(fēng)險管理的起點，是其他步驟的驅(qū)動力量。整個過程是環(huán)環(huán)相扣的。在目標(biāo)制定的前提下，企業(yè)需對影響目標(biāo)的風(fēng)險進(jìn)行事件識別，進(jìn)而對識別的事項進(jìn)行風(fēng)險評估，風(fēng)險評估驅(qū)動風(fēng)險反應(yīng)，影響控制活動，信息與溝通和監(jiān)督貫穿于企業(yè)風(fēng)險管理的整個過程，并對前面的各個組成要素進(jìn)行修正。這樣，企業(yè)風(fēng)險管理不只是一個直線過程，即一個組成部分只會對下一個部分產(chǎn)生影響，而且是一個多元化的相互作用的過程，即幾乎任何組成部分都能夠并將會影響另一個部分。企業(yè)風(fēng)險管理的八個組成部分體現(xiàn)的是一個動態(tài)的過程，是一個有機的整體。

　　2.內(nèi)部控制綜合框架到企業(yè)風(fēng)險管理綜合框架，不是局部的修補和簡單改良，而是在理念上的本質(zhì)突破。體現(xiàn)在從“控制環(huán)境”到“內(nèi)部環(huán)境”，這一修改使得企業(yè)關(guān)注的范圍不再局限于控制方面，而是從更寬闊的視野更綜合更直接地考慮各種因素對風(fēng)險的影響；目標(biāo)制定中增加“戰(zhàn)略目標(biāo)”，使企業(yè)在追求短期利益的同時，從戰(zhàn)略的高度關(guān)注企業(yè)的長遠(yuǎn)目標(biāo)和可持續(xù)發(fā)展；將“風(fēng)險評估”擴(kuò)展為“事件識別”“風(fēng)險評估”和“風(fēng)險反應(yīng)”，不是對原“風(fēng)險評估”進(jìn)行簡單的細(xì)化，而是代表著企業(yè)風(fēng)險意識日益增強和積極主動管理風(fēng)險。企業(yè)風(fēng)險管理強調(diào)應(yīng)對所有事件既包括正面事件與負(fù)面事件進(jìn)行綜合識別，并且應(yīng)該將其以適當(dāng)?shù)慕M合方式加以看待，而后通過對固有風(fēng)險和剩余風(fēng)險的綜合評估做出適當(dāng)?shù)娘L(fēng)險應(yīng)對措施。這樣一方面可以減少經(jīng)營偏差的發(fā)生及相關(guān)成本和損失，另一方面有利于企業(yè)抓住機會（正面事件），及時調(diào)整策略，以達(dá)到經(jīng)營和獲利目標(biāo)，避免資源浪費。

　　四、啟示

　　美國上市公司監(jiān)管機構(gòu)推出的一系列針對內(nèi)部控制的制度安排，對我國市場監(jiān)管頗具借鑒意義。2004年年底發(fā)生的中航油（新加坡）事件說明了借鑒的緊迫性，盡管中航油（新加坡）內(nèi)部存在風(fēng)險控制方面的內(nèi)部控制制度，照理應(yīng)該是能夠滿足企業(yè)風(fēng)險管理需要的，但由于管理層對內(nèi)部控制的破壞，內(nèi)部控制制度形同虛設(shè)，進(jìn)而導(dǎo)致悲劇發(fā)生。這個案例告訴我們，必須評估企業(yè)內(nèi)部控制的設(shè)計與執(zhí)行兩個方面的有效性，確保內(nèi)部控制規(guī)范真正落到實處，從而維護(hù)正常的市場秩序，保護(hù)投資人、債權(quán)人、經(jīng)營者的長遠(yuǎn)利益。從這個意義上看，借鑒薩班斯法案、SEC規(guī)則、PCAOB的審計準(zhǔn)則和COSO的企業(yè)風(fēng)險管理，我國監(jiān)管機構(gòu)在上市公司內(nèi)部控制制度的強制性規(guī)定方面，應(yīng)該有所作為。

　　主要參考文獻(xiàn)

　　Public Company Accounting Oversight Board ， 2004， Auditing Standard No. 2 - An Audit of Internal Control Over Financial Re- porting Performed in Conjunction with An Audit of Financial Statements

　　Michael Ramos， 2004， How to Comply with Sarbanes - Oxley Section 404， John Wiley ＆ Sons， Inc.

　　The Committee of Sponsoring Organization of the Treadway Commission， 2004， Enterprise Risk Management - Integrated Frame- work， Executive Summary Framework.

　　The Committee of Sponsoring Organization of the Treadway Commission， 2004， Enterprise Risk Management - Integrated Frame- work， Application Techniques

　　嚴(yán)暉，2004，風(fēng)險導(dǎo)向內(nèi)部審計研究，廈門大學(xué)博士學(xué)位論文打印稿

　　朱榮恩，賀欣，2003，內(nèi)部控制框架的新發(fā)展——企業(yè)風(fēng)險管理框架，《審計研究》，6

　　陳漢文，王華，鄭鑫成，2003，《安達(dá)信：事件與反思》，暨南大學(xué)出版社

　　劉宗柳，陳漢文，2000，《企業(yè)內(nèi)部控制：理論、實務(wù)與案例》，中國財政經(jīng)濟(jì)出版社

　　吳水澎，陳漢文，邵賢弟，2000，論改進(jìn)我國企業(yè)內(nèi)部控制，《會計研究》，9

　　吳水澎，陳漢文，邵賢弟，2000，企業(yè)內(nèi)部控制理論的發(fā)展與啟示，《會計研究》，5