从内部控制历史
看内部控制发展
——内部控制的信息化改造
——对内部审计的影响
（石爱中）
内部控制的历史发展轨迹
1、单要素内部控制
内部牵制
内部控制的最初形态
主要目的：资产及其记录的安全，防止
舞弊和差错发生。
物理牵制、职责牵制、簿记牵制等。
内部控制的历史发展轨迹
2、两要素内部控制
内部会计控制和内部管理控制（1949美
国注册公共会计师协会）。包括组织机
构和方法措施。
内部管理控制包括统计分析、业绩报告、
培训计划、质量控制等。
特点：将管理问题纳入控制视野。
内部控制的历史发展轨迹
3、三要素内部控制
组织机构、方法程序、内部审计（1981
国际会计师联盟、1986最高审计机关国
际组织）。
控制环境、会计制度、控制程序（1988
美国注册公共会计师协会）。
以“框架”论取代“制度”。
内部控制的历史发展轨迹
控制环境是革命性变化。
控制环境包括：管理部门经营理念和风
格、组织结构、董事会及其委员会的职
能、确认责任的方法、监控方法（经营
计划、利润计划、预算、预测、责任会
计、内部审计等）。
将控制环境和内部审计引进内部控制视
野。
内部控制的历史发展轨迹
4、五要素内部控制
控制环境、风险评估、控制活动、信息
沟通、内部监控（1992美国防止虚假财
务报告委员会）。
内部控制的历史发展轨迹
控制环境：正直和道德、激励和引导、
道德指引和彰显道德行为、各种岗位所
需的知识和技能、董事会和审计委员会
的职能、管理哲学和经营风格、组织结
构、划分职权和责任、人力资源政策。
控制环境的内容进一步扩大。
内部控制的历史发展轨迹
风险评估：
确定目标：经营、财务、法律等，纳入
总体战略。
风险识别：辨别影响战略的风险因素。
外部因素：技术进步、市场变动、竞争
环境、新法律、自然灾害、经济周期等
因素。
内部控制的历史发展轨迹
组织层面因素：信息系统崩溃、雇员素
质低劣、培训和激励有问题、董事会和
审计委员会职责不到位等。
业务层面因素：销售、生产、市场开拓、
产品研发、技术研发等。
内部控制的历史发展轨迹
风险分析：分析并估计风险因素的影响
力及可能性，考虑需要采取的措施。识
别变化的环境和条件，估计对目标实现
的影响。
内部控制的历史发展轨迹
控制活动：
预算和预测控制。
报告控制。
业务记录和授权控制。
实物控制。
预警控制。
职责分离控制。
内部控制的历史发展轨迹
信息沟通：
建立信息系统，满足经营管理需要、战
略决策需要和组织内外沟通需要。
内部监控：
管理者监控。
内部审计监控。
外部审计监控。
内部控制的历史发展轨迹
5、八要素内部控制
美国的防止虚假财务报告委员会提出了
《企业风险管理框架》，2004年。
八项要素是：控制环境、目标确定、事
件识别、风险评价、风险反应、控制活
动、内部监控、信息沟通。
内部控制的历史发展轨迹
五要素内部控制的风险评估被分解为目
标确定、事件识别、风险评价和风险反
应。
特点：内部控制框架与企业风险管理框
架相融合。
内部控制的逻辑发展轨迹
1、基于职责结构的内部控制
将组织内部职责进行细分，并研究相互
关系，并建立制约关系。
出纳与会计、资产保管与会计记录、业
务授权与资产保管、经营责任与记录责
任等。
内部控制的逻辑发展轨迹
2、基于业务结构的内部控制
将组织的业务类型进行细分，并研究相
互关系，并建立关联和制约关系。
内部控制的作用范围扩大到经营管理领
域，形成了内部管理控制。
内外部审计师的不同关注点。
内部控制的逻辑发展轨迹
3、基于组织结构的内部控制
前两者注重执行层面，但更重要的是决
策层面、战略层面、决策与执行层面的
关系、执行与监督层面的关系，这就需
要从组织结构上进行规划，从整体上达
到控制的目的。在管理层面上，决策、
执行、监督相分离；在业务层面上，执
行与监督相分离。
内部控制的逻辑发展轨迹
4、基于风险结构的内部控制
内部控制不再局限于单项岗位、单项职
责、单项业务、单项流程，而是要包括
组织活动的全过程、全体人员，控制视
角不仅包括几个关键控制点，还要包括
所有可能诱发风险的所有活动上。
内部控制的逻辑发展轨迹
5、基于信息结构的内部控制
内部控制越复杂，其缺陷就越明显。
过分依赖人、制度、组织结构、管理和
业务流程的细分、程序的严谨，造成了
内部控制成本高、效率低、反应速度迟
缓、灵活性差。
内部控制的逻辑发展轨迹
大家倾向于简化内部控制的主要原因可
能是：高配置，低手段，设计高级，运
用手段却非常初级。当然，这有一个发
展过程。
传统手工手段限制了内部控制的作用和
作用范围。
内部控制的逻辑发展轨迹
运用信息技术可以：
降低控制成本。
使控制更加灵活。
将人为控制变为自动程序控制。
形成手工条件下不可能设计的控制。
快速处理信息和反馈信息，提高控制效
率和效果。
内部控制的逻辑发展轨迹
什么是基于信息结构的内部控制？
就是将基于职责结构、业务结构、组织
结构、风险结构的内部控制与信息技术
相集成。一是要利用信息技术对职责结
构、业务结构、组织结构、风险结构的
内部控制进行改造和调整。二是要使内
部控制的运作方式信息化。
内部控制的信息化改造
1、环境控制的信息化改造
实际上是营造一个适于信息化工作的环
境和氛围。
决策层、管理层和全体员工提高对信息
化的认识。
改变经营管理风格和方式，变粗放型为
集约和内涵型。
内部控制的信息化改造
对单位的组织结构按照信息化的要求进
行改造，使之能适应信息化的工作环境
和控制方式。
整理岗位、管理、业务和技术流程，明
确可进行信息化改造的环节，为之设计
信息子系统，并将其集成到统一的管理
信息系统之中。
内部控制的信息化改造
培训管理人员和全体员工，使其具备相
应的观念和技能。
正确确定各管理层面、职能部门、管理
岗位、操作岗位在信息化管理的业务流
程中的职权和责任。
内部控制的信息化改造
2、风险评估的信息化改造
风险源于组织的战略决策，不同的目标
面临不同的风险和机会。内部控制的设
置就是为了管理风险，发现机会，实现
组织的战略目标。这是全新理念。
风险可以分为决策风险和执行风险，风
险管理则主要针对着两种风险。
内部控制的信息化改造
要明确决策过程和执行过程，将管理流
程、业务流程和信息流程用信息技术加
以集成，形成一个适于组织的管理信息
系统，用于目标的确定、风险的识别、
风险的分析、风险的反应、环境和条件
的识别和机会的确定。
内部控制的信息化改造
3、控制活动的信息化改造
控制活动的信息化与其它要素的信息化
是一致的，也是一体的，如预算控制、
预测控制、报告控制、预警控制等控制
系统实际上应该是管理信息系统的组成
部分。
内部控制的信息化改造
但是，对于控制活动中的记录控制、授
权控制、物理控制、职责分离控制等也
要重新设计，使之适应于信息化的内部
控制环境。
内部控制的信息化改造
4、信息沟通的信息化改造
建立适于组织特点和规模、业务特点和
规模的管理信息系统，其中最重要的可
能是决策支持系统、会计信息系统和业
务信息系统。决策支持系统应该是一个
平台，其上应该集成了各种财务性的子
系统、非财务性的子系统、监督性的审
计子系统。
内部控制的信息化改造
5、内部监控的信息化改造
三种监控：领导、职能和独立型。领导
型监控和职能性监控应完全嵌入管理信
息系统，审计信息系统则应相对独立。
在内部控制之内，它是系统的一部分。
在内部控制之外，它是相对独立的子系
统，监控管理信息系统的其它子系统。
内部控制的信息化改造
审计信息系统应该包括审计管理系统和
审计实施系统（包括联网审计系统）。
对大型组织而言，可能需要高度集成化
和网络化，例如，集团化组织和跨国跨
地区组织。
内部控制演进对内部审计影响
1、内部审计的双重身分
内部审计既在内部控制之中，又在内部
控制之外，发挥着其它监控机制所不能
发挥的作用。
自上世纪后期起，内部审计就开始做内
部控制自我评估工作。这种工作最能说
明内部审计的独特身份。
内部控制演进对内部审计影响
2、内部审计的工作内容和领域
内部控制发展对内部审计工作内容产生
了决定性的影响。
单要素内部控制关心资产及其记录的安
全。
两要素内部控制进一步关心资产及其记
录安全性之外的管理问题。
内部控制演进对内部审计影响
三要素内部控制开始关注控制环境。
五要素内部控制又将控制重心转向组织
的风险领域。
八要素内部控制实际上是从企业风险管
理的角度来看待内部控制，将内部控制
与风险管理融为一体。
内部控制演进对内部审计影响
随着内部控制要素发生的巨大变化，决
策层、管理层、外部利益相关人关注的
领域，理当成为内部审计关注的对象和
有所作为的领域，如风险管理、经营管
理、效率管理等领域。在内部审计实务
中也确实出现了风险导向、管理导向、
经营导向、业务导向、业绩导向等内部
审计类型。
内部控制演进对内部审计影响
以风险管理为例：
比较传统的观点和实务是，内部审计部
门需要评估组织的风险管理体系，评估
风险报告。
比较激进的观点和实务是，直接评估和
报告风险。
这也说明了，内部审计部门既在风险管
理部门之外，又在风险管理体系之内。
内部控制演进对内部审计影响
初级实务：（安永会计师事务所《风险
管理与财务报告实务》）
财务报告是风险管理系统的组成部分。
财务报告系统需要有七大要素：合理的
组织结构、合理的会计帐户、符合标准
的会计政策、规范的核算流程、有效的
内部会计控制、信息化的作业平台、符
合职业准则的会计师团队。
内部控制演进对内部审计影响
七大要素也就是七大风险点，内部审计
要对这七大风险点进行识别和评估。
例如：如果组织结构和岗位职责设计不
合理，就会隐藏着舞弊和差错的风险。
再如：会计帐户设置的不合理，影响到
组织的决策分析和执行（如上市规则要
求组织提供分部销售资料，如提供不了
就会影响组织的上市决策的执行）。
内部控制演进对内部审计影响
复杂实务：（清华大学《企业战略风险
管理》）从风险识别的内容看内部审计
工作内容的发展变化。
国际视角：
经济一体化的影响：发达国家转移传统
产业，造成环境污染、生态破坏、资源
耗竭。
内部控制演进对内部审计影响
信息化的影响：我国目前正处在初中级
工业化阶段，与后工业化阶段发达国家
相比，国际竞争力明显处于劣势。
知识经济的影响：我国在知识产业、无
形资产、隐形知识方面，与发达国家差
距还比较大，在产业链上处在末端。
国际政治变化、经济波动、战争影响。
内部控制演进对内部审计影响
国内视角：
转型期的影响：快速转型，利益格局变
化，社会动荡，社会风险加大。
战略调整的影响：竞争领域引进民间资
本，垄断领域拆分，竞争性逐渐增强。
加入世贸组织的影响：扩大开放，跨国
公司进入，争夺市场、人才，挤压了生
存空间。
内部控制演进对内部审计影响
宏观经济政策的影响：宽松转向中性，
再转向从紧，对组织的决策和经营将产
生巨大影响。
新政策法律法规的影响：例如，税法调
整（如费改税、食品安全法）等都会直
接影响组织的经营和决策。
经济周期的波动影响：周期处于低谷，
绝大部分企业会感到度日如年。
内部控制演进对内部审计影响
产业结构调整的影响：传统产业应该有
危机感。
产业政策调整的影响：淘汰类、限制类
产业应该有危机感。
地区政策调整的影响：没有优惠政策的
地区应该有紧迫感。
转变经济增长方式的影响：高能耗、高
投入、高污染的产业应该有危机感。
内部控制演进对内部审计影响
行业视角：
行业竞争的影响：用户要求越来越高，
价格空间越来越低，替代品越来越多，
使行业竞争日趋激烈。
行业集中度的影响：行业集中度逐渐提
高，竞争对手的实力越来越强。
行业利润率变化的影响：传统行业利润
率下降，形成对全行业的威胁。
内部控制演进对内部审计影响
内部视角：
A、生产运营：
研发：没有新产品，产品技术含量低。
采购：采购成本高，控制力弱，存在供
应紧张和中断现象。
存货：积压、陈旧、损耗、减值。
质量：质量低、服务差、退货多。
内部控制演进对内部审计影响
效率：生产组织效率低，成本上升，竞
争力下降。
生产能力：生产能力过剩或不足。
信息化：信息化水平低，从设计、组织
生产到销售、结算，都使用传统手段。
（这是致命的缺陷，新型工业化被认为
是工业化加信息化）
内部控制演进对内部审计影响
营运：不能实现均衡生产。
安全：设备损坏，员工伤亡。
环境保护：污染环境，受到处罚。
社会责任：违法用工，损害员工权益。
B、研发：
没有核心竞争力概念，没有形成核心竞
争力。
内部控制演进对内部审计影响
研发投入不足，没有技术研发中心。
脱离市场需求搞研发。
研发人员闲置。
研发数据管理有漏洞，造成技术资料泄
密。
C、营销：
内部控制演进对内部审计影响
没有分析市场竞争态势，没有市场需求
预测，找不到市场定位，对市场反应能
力不足。
没有明确的营销策略和目标。
定价不合理。
销售渠道不畅，营销费用居高不下，应
收帐款过多。
内部控制演进对内部审计影响
缺乏促销手段，过分依赖价格手段。
缺乏品牌策略。
客户满意度下降。
D、人力资源：
人才缺乏。
人事管理混乱。
留不住人才，流失严重。
内部控制演进对内部审计影响
缺乏激励机制，奖励政策不合理。
凝聚力差，没有形成企业文化。
员工涣散，经常完不成工作任务，或不
认真履行职责。
E、管理体制和组织结构：
高层管理者素质低下。
管理跨度过宽，管理者处于忙乱之中。
内部控制演进对内部审计影响
决策无程序，缺乏科学性，经常发生决
策失误现象。
规章制度执行度差，经常处于有章不循
状态。
上下管理层之间缺乏沟通，信息传递速
度慢，传递渠道不畅。
组织机构臃肿，管理费用居高不下。
内部控制演进对内部审计影响
职能部门功能不全，界限不清，经常发
生扯皮现象，管理效率低下，反应速度
太慢。
治理结构不健全，没有制衡机制。
岗位设置不合理。
F、舞弊：
经常发生管理人员舞弊、雇员舞弊和违
法行为，经常出现授权不清的现象。
内部控制演进对内部审计影响
G、财务：
汇率变动风险。
利率变动风险。
变现能力差，现金回笼慢，产生流动性
风险。
缺乏投资决策信息，造成投资失败。
应对违约能力差，形成合同风险。
内部控制演进对内部审计影响
举债不当，或使用债务资金不当，导致
财务失败。
担保不当，遭受损失。
信用调查和管理不当，遭受货款损失。
预算和计划不切实际。
财务报表不能真实地反映财务状况、经
营成果和现金流动状况。
内部控制演进对内部审计影响
缺乏纳税意识，因逃税造成罚款损失。
H、战略管理：
竞争战略、多样化经济战略、集团管理
战略、跨国经营战略、购并战略等等。
内部控制演进对内部审计影响
以上从风险识别角度看到，内部控制所
涉及的领域十分宽泛，而内部控制又是
内部审计的工作领域，因而内部审计领
域也应该是十分广泛的。
内部审计要想真正实现转型，要想发挥
更大的作用，就必须更加关注内部控制
所涉及的领域，并将其逐步纳入自己的
视野和工作内容。
内部控制演进对内部审计影响
3、信息技术对内部审计的影响
信息技术将成为内部审计高效履行职责
的关键影响因素。
组织的各种过程日益复杂；组织各个组
成部分的信息化水平日益提高。
各种新型审计类型和方式日益增多。
信息技术成为监控必不可少的手段。
内部控制演进对内部审计影响
内部审计应该：
熟悉本组织的管理信息系统。
了解对信息技术的需求。
掌握运用信息化手段进行审计的技术方
法。如数据式审计方法、系统内部控制
审计方法、信息系统审计方法、联网审
计方法等。
内部控制演进对内部审计影响
了解信息技术治理的理论和方法，使信
息技术的运用与组织的目标相一致。
有条件的组织还要培养自己的内部信息
技术审计师，承担起信息系统战略规划
审计、信息系统软硬件审计、系统开发
审计、信息系统管理审计、信息安全审
计等更加专业化的审计任务。
内部控制演进对内部审计影响
在运用信息化手段工作的初期，应尽可
能地将自己融入组织的管理信息系统，
是自己成为管理信息系统中相对独立的
一个子系统，而不能成为绝对独立的单
独系统。
内部控制演进对内部审计影响
一个取得初步成功的案例：大庆石油管
理局审计部的做法。
中国内部审计刊登了大庆石油管理局审
计部的4篇文章（2006年12期）：
《创新发展理念，推行先进技术，稳步
提高审计工作水平》
《开展联网审计，实时监控企业经营活
动》
内部控制演进对内部审计影响
《计算机审计环境下，通过审计日记实
施质量控制》
《利用计算机技术开展非财务数据审计
的探讨》
读过这些文章之后，抛开具体的内容，
我们可以得到以下一些结论，有以下几
点感想：
内部控制演进对内部审计影响
她们已经提高了认识，认识到计算机技
术和信息技术对于内部审计的重要性。
她们认真学习，大胆尝试，大胆借鉴，
勇于实践，取得了实效。
她们开始将自己融入企业的管理信息系
统（审计与财务、资产、计划、经营等
相关部门建立了数据接口）。
内部控制演进对内部审计影响
她们利用直接从数据中心服务器读取数
据和在数据中心设置前置机的技术实现
了联网审计。
她们利用网上实时监控技术实现了事后
审计向事中事前审计的转变。
她们已经开始脱离单纯财务审计的传统
实务，开始利用非财务数据进行非财务
类型的审计。
内部控制演进对内部审计影响
她们已经开始涉足风险管理领域，在企
业实施专业化、集团化转型过程中，实
施对日常经营管理活动的跟踪监督，对
于建立风险防范机制发挥了重要作用。
她们利用信息化手段对审计质量进行控
制，将信息技术引入审计管理领域，提
高了审计质量。
