由于美國安然、世通、施樂、默克制藥等一批大公司會計丑聞接連曝光，誠信危機(jī)震撼著美國及國際社會。為了提高民眾對美國金融市場和政府經(jīng)濟(jì)政策的信心，2002年7月25日,美國總統(tǒng)布什簽署了《薩班斯——奧克斯利法案》，中國在境外上市公司隨之執(zhí)行。中國石油天然氣集團(tuán)公司所屬上市公司中國石油天然氣股份有限公司（簡稱“股份公司”）從2004年開始在上市公司實(shí)施企業(yè)內(nèi)部控制。中國石油天然氣股份有限公司遼陽石化分公司（簡稱“遼陽石化”）作為股份公司的上市企業(yè)，按照股份公司的總體部署，于同年啟動內(nèi)控體系建設(shè)。經(jīng)過幾年的努力，形成了一套遼陽石化的內(nèi)部控制和風(fēng)險防控體系。
一、企業(yè)內(nèi)部控制體系概述
早期的內(nèi)部控制在內(nèi)容側(cè)重點(diǎn)和形式上都打上了審計專業(yè)或行業(yè)的烙印，被定義在與財務(wù)審計密切相關(guān)的狹窄的范疇。1992年，美國的COSO委員會設(shè)計了一個新的內(nèi)部控制框架，即COSO框架。COSO框架是被廣泛認(rèn)可的內(nèi)部控制整體框架國際標(biāo)準(zhǔn)。按照COSO內(nèi)部控制框架建立內(nèi)控體系，是企業(yè)梳理管理流程、規(guī)范管理制度、提升整體管理水平的契機(jī)。
COSO框架包括五個基本要素：控制環(huán)境、風(fēng)險評估、控制活動、信息和溝通、監(jiān)督。
中石油借鑒COSO內(nèi)部控制框架，落實(shí)上市地的法律法規(guī)的要求、《中央企業(yè)全面風(fēng)險管理指引》和《企業(yè)內(nèi)部控制基本規(guī)范》等國內(nèi)外監(jiān)管法規(guī)的各項(xiàng)要求，結(jié)合公司實(shí)際，圍繞COSO框架的五個基本要素，闡明內(nèi)部控制關(guān)注點(diǎn)、管理措施，以及建立和運(yùn)行內(nèi)部控制體系統(tǒng)一執(zhí)行的制度、管理規(guī)范和文檔性記錄，編制內(nèi)部控制管理手冊。
二、企業(yè)內(nèi)部控制測試的要點(diǎn)
為保證內(nèi)部控制體系運(yùn)行的持續(xù)有效性，針對體系日常運(yùn)行情況，內(nèi)部控制部門應(yīng)定期或不定期組織開展內(nèi)部控制測試。內(nèi)部控制測試是按照規(guī)定的程序、方法和標(biāo)準(zhǔn)，針對控制目標(biāo)，對企業(yè)內(nèi)部控制體系設(shè)計有效性和執(zhí)行有效性進(jìn)行檢查，旨在發(fā)現(xiàn)內(nèi)部控制體系在設(shè)計層面和執(zhí)行層面是否存在偏差。內(nèi)部控制測試形式主要包括管理層測試、評價測試、自我測試、外部審計。其中自我測試是由企業(yè)自己組織、針對本單位內(nèi)部控制設(shè)計和運(yùn)行的有效性實(shí)施的檢查過程。自我測試應(yīng)滿足以下要求：（1）自我測試應(yīng)堅(jiān)持以風(fēng)險為導(dǎo)向，兼顧覆蓋面，重點(diǎn)關(guān)注高風(fēng)險領(lǐng)域和業(yè)務(wù)薄弱環(huán)節(jié)；（2）每個測試單位的重要業(yè)務(wù)流程覆蓋率不低于70%，關(guān)鍵控制覆蓋率要達(dá)到90%。內(nèi)部控制測試的目的在于：一是為管理層出具評估報告提供支持；二是通過測試，促進(jìn)內(nèi)部控制相關(guān)要求的貫徹執(zhí)行，發(fā)現(xiàn)內(nèi)部控制體系存在的不足，及時進(jìn)行整改完善。
中石油內(nèi)部控制測試內(nèi)容分為公司層面、業(yè)務(wù)活動層面和信息系統(tǒng)控制有效性測試。公司層面控制測試是對確保管理層獲得在公司內(nèi)部各個領(lǐng)域都有適當(dāng)?shù)目刂茩C(jī)制在發(fā)揮作用的保證的重要機(jī)制控制的檢查，包括COSO五要素中的董事會、審計委員會、反舞弊等十七個主題。業(yè)務(wù)活動層面控制測試是對具體業(yè)務(wù)流程進(jìn)行的測試，測試內(nèi)容包括戰(zhàn)略發(fā)展、經(jīng)營業(yè)務(wù)和管理支持三大領(lǐng)域，涵蓋油氣業(yè)務(wù)、工程技術(shù)服務(wù)、工程建設(shè)服務(wù)、裝備制造業(yè)務(wù)、礦區(qū)服務(wù)和金融業(yè)務(wù)等板塊的業(yè)務(wù)流程。信息系統(tǒng)控制測試分為信息系統(tǒng)總體控制測試和信息系統(tǒng)應(yīng)用控制測試兩部分。信息系統(tǒng)總體控制測試（GCC）是指對企業(yè)信息技術(shù)的開發(fā)、實(shí)施、運(yùn)行、維護(hù)和管理等方面的控制測試；信息系統(tǒng)應(yīng)用控制測試（AC）是指對應(yīng)用軟件中的電算化步驟以及用以控制不同種類交易處理的相關(guān)手工操作程序的測試。
內(nèi)部控制測試業(yè)務(wù)活動層面的測試一般采用跟單作業(yè)和關(guān)鍵控制抽樣測試兩種方式。跟單作業(yè)是選取一筆或一筆以上的業(yè)務(wù)，從業(yè)務(wù)發(fā)生開始，一直追蹤至該筆業(yè)務(wù)反映到公司財務(wù)報告的測試流程；關(guān)鍵控制抽樣測試是針對業(yè)務(wù)活動的關(guān)鍵控制，根據(jù)控制頻率，抽取適當(dāng)數(shù)量的樣本，以樣本代表總體，通過檢查樣本，判斷關(guān)鍵控制執(zhí)行總體情況。跟單測試適用于手工控制與應(yīng)用系統(tǒng)控制測試，關(guān)鍵控制抽樣測試適用于手工控制、應(yīng)用系統(tǒng)控制及電子表格控制測試。內(nèi)部控制測試的基本方法包括詢問、觀察、檢查和再執(zhí)行等。
在實(shí)踐中，內(nèi)部控制測試必須堅(jiān)持以下關(guān)鍵原則：（1）控制測試不等于實(shí)質(zhì)性測試，不一定需要大量的樣本；（2）編制控制頻率參照表（適用于手工控制）；（3）需要對工作的目標(biāo)非常明確，如對應(yīng)的風(fēng)險點(diǎn)；（4）需要非常清晰的思維，明確測試的重點(diǎn)；（5）需要經(jīng)驗(yàn)和職業(yè)判斷；（6）關(guān)注內(nèi)涵而非形式。
三、遼陽石化內(nèi)部控制測試
從2006年到2010年，遼陽石化已迎接股份公司評價測試一次，管理層測試兩次。每年按公司總體工作部署，開展自我測試一到兩次。每次自我測試前，都嚴(yán)格按照上述的測試內(nèi)容、方法和原則，做好測試方案，成立測試組，明確分工、職責(zé)和匯報機(jī)制。2010年，是內(nèi)控與風(fēng)險管理工作重點(diǎn)從體系建設(shè)向強(qiáng)化執(zhí)行轉(zhuǎn)變的關(guān)鍵一年，遼陽石化加大了自測的范圍和力度，重要業(yè)務(wù)流程覆蓋率達(dá)到90%，關(guān)鍵控制覆蓋率達(dá)到98%。同時，結(jié)合某些領(lǐng)域突出問題專項(xiàng)治理工作安排，開展專項(xiàng)測試，堵塞管理漏洞，切實(shí)促進(jìn)內(nèi)部管理。
1．基本情況
在測試中，也發(fā)現(xiàn)了一些例外事項(xiàng)，針對這些例外事項(xiàng)，組織專業(yè)人員進(jìn)行分析，屬于認(rèn)知類的，對其進(jìn)行宣貫培訓(xùn)；屬于流程設(shè)計類的，與相關(guān)部門結(jié)合實(shí)際，優(yōu)化流程；屬于管理類的，由管理部門和業(yè)務(wù)部門溝通，打通流程，使工作能夠順暢開展……通過測試，優(yōu)化流程，強(qiáng)化風(fēng)險控制，增強(qiáng)工作的針對性、有效性、可控性，提升管控力和執(zhí)行力，培育內(nèi)控文化，養(yǎng)成內(nèi)控習(xí)慣，推動內(nèi)控與風(fēng)險管理工作上水平。幾年來，遼陽石化的內(nèi)部控制工作得到了股份公司的認(rèn)可，內(nèi)部控制有效，評價結(jié)果為優(yōu)秀。
近年，隨著信息技術(shù)的發(fā)展，在測試中，我們還引進(jìn)了內(nèi)控測試系統(tǒng)。內(nèi)控測試系統(tǒng)包括了ARIS系統(tǒng)和AAM系統(tǒng)，其主要作用就是在內(nèi)控測試期間對測試活動進(jìn)行支持。內(nèi)控測試系統(tǒng)建設(shè)的基礎(chǔ)性工作就是在ARIS系統(tǒng)中維護(hù)內(nèi)控測試的靜態(tài)數(shù)據(jù)（流程，風(fēng)險，控制的信息），并將ARIS系統(tǒng)中的靜態(tài)數(shù)據(jù)通過數(shù)據(jù)同步的方式轉(zhuǎn)入到AAM系統(tǒng)中，在AAM系統(tǒng)中記錄內(nèi)控測試的結(jié)果，并出具內(nèi)控測試的統(tǒng)計報表，在線提交整改意見和整改反饋。
內(nèi)控測試系統(tǒng)的引進(jìn)，使得測試信息的傳遞變得隨時、準(zhǔn)確，測試相關(guān)表單一目了然，信息永久保存，方便日常查詢使用，減少了大量人工分類匯總等工作，節(jié)省了人力、物力、財力和時間。
2．經(jīng)驗(yàn)與啟示
從我企業(yè)內(nèi)部控制測試的實(shí)踐中，總結(jié)出內(nèi)部控制測試工作質(zhì)量取決于如下幾方面。
?。?）測試方案。測試前要制定統(tǒng)一、周詳?shù)臏y試方案，對測試單位、內(nèi)容、測試工具、人員及時間安排等都要有明確規(guī)定。測試人員只要嚴(yán)格按方案的要求執(zhí)行，就能保證測試工作規(guī)范有序，基本做到不同人員對同一內(nèi)部控制進(jìn)行測試時，履行相同的測試程序，采用相同的測試方法，得出大致相同的測試結(jié)果，不產(chǎn)生大的差異，保證了測試質(zhì)量和匯總分析以及總體評價的客觀性。
?。?）測試工具。測試工具應(yīng)該是權(quán)威部門，借鑒該領(lǐng)域先進(jìn)的測試實(shí)踐設(shè)計制作的，包括各種表單、模版，權(quán)限測試工具等。測試的表單是一套相互關(guān)聯(lián)的表單，如測試計劃表、測試表、抽樣測試表、例外事項(xiàng)匯總表等。測試模版確定每個測試點(diǎn)測試的內(nèi)容、樣本總體、樣本量、測試方法、步驟等。權(quán)限測試工具是用來測試信息系統(tǒng)控制的。
（3）測試重點(diǎn)。每個業(yè)務(wù)流程都設(shè)計了許多控制，內(nèi)控測試關(guān)注的是針對重要風(fēng)險設(shè)立的關(guān)鍵控制，而不是全部控制，這也符合現(xiàn)代管理善于抓重點(diǎn)、注重工作效率和效果有機(jī)結(jié)合的管理理念。
?。?）訪談技術(shù)。訪談是內(nèi)控測試的基本方法之一，通過訪談被測試人，從他的回答中測試人員可以確定控制是否存在以及控制執(zhí)行人對控制的理解程度，還能發(fā)現(xiàn)大量內(nèi)控存在問題的線索。
?。?）抽樣方法。抽樣方法科學(xué)合理，才能提高測試結(jié)果的可靠程度。利用統(tǒng)計學(xué)原理，采用隨機(jī)抽樣的方法，根據(jù)控制頻率確定樣本量，這樣的測試結(jié)果要比僅靠職業(yè)判斷確定樣本量的方法更科學(xué)。
?。?）測試人員素質(zhì)。要保證測試工作質(zhì)量，測試人員的素質(zhì)是不容忽視的一個關(guān)鍵因素。在測試前，要對測試人員進(jìn)行培訓(xùn)，確保參加測試的人員熟悉測試要求，精通相關(guān)測試工具的使用。
?。?）測試系統(tǒng)。在上述因素都具備的前提下，如果再有一套科學(xué)完善的測試系統(tǒng)，對于開展測試工作來說，將是如虎添翼。
終上所述，全文闡述了中石油內(nèi)部控制測試的方式、方法和內(nèi)容，以及內(nèi)部控制測試關(guān)注的要點(diǎn)，并以遼陽石化內(nèi)部控制測試工作為例進(jìn)行了說明，可供其他企業(yè)借鑒來開展內(nèi)部控制測試工作。
