淺談內控架構 Control framework

筆者註：這一篇文章涉及很多專有名詞，如果不是從事會計及審核工作的朋友可能未看到一半便會沒有興趣，敬請多多包涵。

內控架構有很多不同的理論，最廣為人知的要算是COSO的那一個。COSO 全名是Committee of Sponsoring Organizations of the Treadway Commission，是一個由五個專業團體所資助的美國組織，早於1985年創辦，其目的是要找出企業財務報告造假的成因及如何避免的方法。COSO於1992年發表了一份名為《內部控制—整合框架 Internal Control—Integrated Framework》的報告，COSO認為一家企業的良好內部控制必需擁有五大要素，包括Control environment (內控環境)， Risk assessment (風險評估)，Control activities (控制活動)，Information & communication (資訊與溝通)，和Monitoring (監督)。由於這個架構是一個三角型，我們稱呼這個架構做COSO三角形或COSO金字塔。內控環境位於底部，代表這要素是內控的基礎，往上看分別是風險評估，控制活動及位於最頂部的監督，而在兩旁的資訊與溝通則代表資訊能夠自由貫穿其他四個要素。

_

當Enron及WorldCom事件爆發後，企業管治成為全球的熱門話題，很多公司都需要改善其內控架構，加上美國Sarbanes-Oxley (SOX) 法例明確要求上巿公司需要參考COSO的架構以改善其內控，所以從那時開始它便被廣泛應用。不過當時COSO的架構有些不合時宜，在2001年COSO開始修訂原有的架構，並在2004年推出一個全新的《企業風險管理－整合框架Enterprise Risk Management — Integrated Framework》。新架構由三角形變成了正立方形，五大要素變成八大要素，包括Internal environment (內部環境)，Objective setting (目標設定)，Event identification (事項辨認)，Risk assessment (風險評估)，Risk response (風險回應)，Control activities (控制活動)，Information & communication (資訊與溝通)和Monitoring (監督)，而且還重申四個企業目標 (Objectives) 的重要性，包括Strategic (策略性)，Operation (營運)，Reporting (報導) 及 Compliance (遵循)。新的架構比舊有的全面，但較复雜，詳細資料可以到COSO的網站找得到，他們有一份多個語言版本的要覽 (Executive Summary)，可按以下連結下載，費用全免。
http://www.coso.org/ERM-IntegratedFramework.htm

另外，在2006年6月COSO推出了一份《Internal Control over Financial Reporting – Guidance for Smaller Public Companies 財務報導的內部控制－較小型公開發行公司指引》及2009年1月的《Guidance on Monitoring Internal Control Systems》。其要覽可以在這裡下載 http://www.coso.org/IC.htm，費用全免。

除了美國COSO的內控架構外，世界各地還有其他的內控架構，例如英國的Cadbury Report所提及的企業管治系統 (Corporate Governance System)，以及後期相繼推出的Greenburg Report，Hampel Committee Report及Combined Code。又例如IBM公司自己創立的CARES內控架構和US POSTAL自己創立的 Image 2000內控架構等等，其實每個架構背後的理論都是大同小異，分別在於如何演繹及應用的層次而已。例如Cadbury Report主要關注Shareholders的利益，而COSO，CARES 及Image 2000主要幫助企業如何達成目標。不過由於SOX的關係，現在講內控架構，大多數人就只會講COSO了。例如大陸於2008年5月推出的《企業內部控制基本規範》，其中要求企業的內部控制應包括上述COSO的五大要素 (但為何只用92年版的COSO model而不用最新的04版本呢？)，並要求所有上巿公司於2009年7月起施行。全文可以在這裡下載：
http://www.gov.cn/zwgk/2008-07/02/content_1033585.htm

如有錯漏或有其他心得, 請大家指正及提出來研究。謝謝!

至於每一個內控要素及目標的詳細要求，我將會另文再談。

－－－－－－－－

相關文章連結：

下一篇文章：COSO內控要素：內控環境（一）
_

&&&&&&&&