国外审计：加拿大规范企业内部控制的实践与特点

      近年来，大多数加拿大企业的内部控制系统和程序能适应经营环境的变化，这主要得益于加拿大的职业会计师团体、证券监管当局出台的一系列涉及内部控制规范的文告。其中，最著名的当属加拿大特许会计师协会(CICA)负责的控制规范委员会(Criteria of Control Board, 简写为CoCo)发布的“控制指南”(Guidance on Control，以下简称“CoCo指南”)和多伦多证券交易所(TSE)的“Dey报告”。

　　一、“CoCo指南”对内部控制的规范及特点

　　CoCo专门对控制系统的设计、评估和报告进行研究和发布指南。它对指导和规范企业内部控制进行了诸多创新。

　　1、控制的概念和性质

　　CoCo将“内部控制”的概念扩展到“控制”，其定义为“是一个企业中的要素集合体，包括资源、系统、过程、文化、结构和任务等，这些要素结合在一起，支持达成该企业的目标”。

　　CoCo对控制性质的理解明确了以下几点：

　　控制需要企业内所有成员的参与，包括董事会、管理层和所有其他员工;

　　控制对达成企业目标只能提供合理的保证，而不是绝对的保证，这是因为 控制本身存在内在的缺陷，如存在人为的错误或成本、效益约束等;

　　控制的终极目的是为了创造财富，而不只是单纯地控制成本。

　　有效的控制需要保持独立和整体、稳定和适应变化之间的平衡。

　　2、控制的基本要素和20个规范标准

　　“CoCo指南”认为控制的基本要素包括：目标、承诺、能力、学习和监督，这四个基本要素通过“行动”联结成一个循环。CoCo从四个基本要素出发，制定出了有效控制的20个规范标准，概述如下：

　　“目标”在于明确企业发展的方向及发展过程中的风险和机遇，包括任务、前景和战略计划。目标设定是一个动态连续的过程，并需要随时在企业内沟通，以便及时协调多个目标之间可能发生的冲突。建立目标首先要识别和评估重要的内部和外部风险，风险评估涉及估计事件的可能性及其后果的严重程度;其次要制定达成目标的指导计划及管理风险的政策，包括物质和人力资源的分配、可量度的业绩指标等。

　　“承诺”在于形成企业的同一性和价值观。企业应培育互相信任的氛围，建立和沟通以诚信为基石的伦理价值观。企业的人力资源政策、权力和职责的界定应与企业的伦理价值观和目标一致。

　　“能力”在于增强企业的竞争力，员工应拥有设计和执行控制活动所必需的知识、资源、技术和工具。控制活动应保证信息的完整、精确和可获取性。当将控制活动设计于电脑程序中时，得考虑逻辑和物理的准入限制、备份和恢复等技术支持。

　　“学习和监督”着眼于企业的发展，指从工作中持续学习和自我检查。企业应监督外部和内部环境的变化，定期质询企业目标中隐含的假定是否仍然成立。管理层应确保合理地应对目标和环境变化，并建立和实施相应的后续控制措施。

　　3、“CoCo指南”与COSO报告的区别

　　CoCo对控制概念的扩展与美国著名的COSO报告存在以下区别：

　　COSO和CoCo都认为风险评估是控制的组成要素。但CoCo更明确地将风险管理视为控制的组成要素;

　　CoCo认为控制包括识别和降低以下两种风险：(1)无法保持企业识别和利用机会的能力;(2)无法保持企业的弹性(适应的能力)。COSO则没有提及;

　　CoCo对“监督”的理解包括对经营成果的监督，COSO则只关注对特定控制活动的监督;

　　CoCo认为“有效控制”的标准是指能让员工拥有可信赖的信息，并能在管理风险过程中灵活地适时利用，使企业仅仅保留可以接受的风险，从而为达到企业目标提供合理程度的保证，并且增进外部团体的信任。

　　4、CoCo的进展

　　CoCo对控制的进一步研究有1999年发布的“评估控制指南”(Guidance on assessing Control)。该指南描述了形成一份评估报告的10步程序，其中评估的重点是关于目标的信息和相关风险的管理。CoCo对控制的评估着眼更多的是企业未来，而不是对过去的评价。例如评估未来持续成功的机会;审查与未来业绩表现、机遇和风险相关的信息;评价需要特殊关注和监督的控制要素信息;以及战略审查、项目批准和准备如何应付突发事件等。CoCo还特别强调企业制定战略计划和明确管理层执行战略计划的能力，它在2000年4月发布的“董事指南-应对董事会的风险”中，指明战略计划审查是董事会的责任。

　　二、“Dey报告”对董事会在内部控制中的职责界定及进展

　　80年代，内部控制在加拿大仅仅被视为是中层管理人员和财会部门的职责，董事会对内部控制惟一起作用的是审计委员会。TSE于1994年12月发布了称为“Dey报告”的指南，该报告题为“董事何去何从?提高加拿大公司治理的指南”。该报告提出“整合企业的内部控制和管理信息系统”是董事会的5个“首要责任”之一，对此责任的解释为：有效地履行董事会的责任需要有效的控制和信息系统来支持。例如，在批准企业战略时，董事会需明确各种评价战略的标准和监督执行战略的体系;同样，在审查和批准财务信息时，董事会需要企业的审计系统来通报数据的完整性和对会计原则的遵循。总之，董事会必须关注内部控制和信息系统，因为它是履行其他责任必须依靠的机制。该报告对董事会责任的界定提高了内部控制在加拿大上市公司中的重要性，并有助于改善公司的控制环境。

　　TSE、加拿大风险投资交易所(CDNX)和CICA于2000年组成了联合委员会(Joint Committee on Corporate Governance，JCCG)对加拿大公司执行“Dey报告”的情况进行跟踪研究。2001年11月，JCCG发布了题为“超越遵循：建立治理的文化”的报告，该报告对建立治理文化提出了15条建议。

　　与CoCo强调对战略计划的控制相呼应，“JCCG报告”的第7条建议指出，“应该明确董事会的责任不仅是采用战略计划程序。董事会应在考虑经营的机会和风险基础上，对战略方向和批准战略计划负责。董事会应对管理经营风险的系统进行检查和监督，并应定期与管理层一起审查战略环境、出现的新机会和风险，以及它们对企业战略方向的隐含意义”。JCCG报告的其他建议如果能有效地执行，会显著改善内部控制的环境。

　　三、结语

　　从加拿大规范企业内部控制的实践中可以看出，加拿大的职业团体和监管机构对内部控制的理解和规范上有其创新和独到之处。首先，内部控制的定义得到扩展。例如，CoCo认为内部控制包含了除决策制定以外的所有常见管理活动，并且从系统论的角度涉及到与控制有关的企业外部环境。其次，规范内部控制的标准更为具体，“CoCo指南”的20个规范标准对企业实施内部控制具有较强的指导意义。再次，对内部控制的评估更着眼于企业的未来发展，CoCo强调评估内部控制时应评价与未来业绩表现、机会和风险相关的信息，当然，内部控制的作用只是发现和减少未来的风险，却不是发现重大的发展机会。第四，企业内部控制的责任层面由下往上从中层管理人员变动到董事会。这从Dey报告及JCCG报告等规范文告中得到体现。最后，为适应成本约束，加拿大企业试图通过整合内部控制程序来提高效率，这也表明内部控制不是目的，而是为了获得经济效益的一种手段。