一、美國COSO內(nèi)部控制框架的主要內(nèi)容及其實施情況
?。ㄒ唬┟绹鳦OSO內(nèi)部控制框架的發(fā)展歷程
COSO是全國虛假財務(wù)報告委員會下屬的發(fā)起人委員會（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting）的英文縮寫。 1985年，美國注冊會計師協(xié)會（AICPA）、美國會計學會（AAA）、財務(wù)經(jīng)理人協(xié)會（FEI）、內(nèi)部審計師協(xié)會（IIA）、管理會計師協(xié)會（IMA）聯(lián)合創(chuàng)建了反虛假財務(wù)報告委員會，旨在探討財務(wù)報告中舞弊產(chǎn)生的原因，并尋找解決之道。1987年，根據(jù)該委員會的建議，其創(chuàng)辦機構(gòu)成立COSO委員會，專門研究內(nèi)部控制、風險管理和反舞弊問題。
1992年，COSO發(fā)布了《內(nèi)部控制——整合框架》，受到國際內(nèi)部控制理論界和實務(wù)界的廣泛關(guān)注，被世界上許多企業(yè)所采用，也被各國內(nèi)控標準制定機構(gòu)所借鑒或采用。2001年安然事件爆發(fā)后，美國于2002年出臺了薩班斯（SOX）法案。根據(jù)薩班斯法案第404節(jié)條款以及美國證券交易委員會（SEC）的實施標準，要求公眾公司的管理層評估和報告公司最近年度的財務(wù)報告內(nèi)部控制的有效性。2004年，美國公眾公司會計監(jiān)督委員會（PCAOB）發(fā)布了第2號審計準則，要求注冊會計師對公眾公司財務(wù)報告內(nèi)部控制有效性進行審計。SEC與PCAOB均明確提出COSO內(nèi)部控制框架可以作為企業(yè)內(nèi)部控制體系建立的參考性標準，表明COSO框架已正式成為美國上市公司開展內(nèi)部控制體系建設(shè)與實施的標準。2008年，中國財政部聯(lián)合證監(jiān)會、審計署、銀監(jiān)會、保監(jiān)會等五部委發(fā)布的《企業(yè)內(nèi)部控制基本規(guī)范》，也是在借鑒COSO內(nèi)控框架的基礎(chǔ)上，結(jié)合中國企業(yè)內(nèi)控實踐制定而成的。
然而，自COSO內(nèi)控框架發(fā)布二十多年以來，企業(yè)的經(jīng)營環(huán)境和管理模式經(jīng)歷了巨大變化，新技術(shù)和復雜組織結(jié)構(gòu)的不斷涌現(xiàn)，以及愈加嚴格的監(jiān)管要求，促使企業(yè)在滿足COSO內(nèi)控框架運營、合規(guī)、財務(wù)報告內(nèi)控目標的基礎(chǔ)上，越來越關(guān)注公司治理和風險管理，越來越重視非財務(wù)報告內(nèi)部控制。此外，近年來由于內(nèi)部控制失效而發(fā)生的一系列的舞弊事件以及國際金融危機的破壞性影響，也進一步要求加強和完善內(nèi)部控制標準。順應(yīng)形勢要求，2010年9月，COSO啟動了《企業(yè)內(nèi)部控制整體框架》審核與更新項目，并聘請普華永道會計師事務(wù)所（PWC）作為項目的支持方，著手新框架的制訂工作。2010年9月至2011年1月，COSO對700多家使用COSO內(nèi)控框架的單位進行問卷調(diào)查。結(jié)果顯示，大部分反饋意見支持對COSO內(nèi)控框架進行修訂和更新，但不建議推倒重來。2011年12月，COSO發(fā)布了新框架的征求意見稿，面向全球公開征求意見。2013年5月，COSO正式發(fā)布新的內(nèi)部控制框架。
?。ǘ┬碌腃OSO內(nèi)部控制框架的基本內(nèi)容和主要變化
新的COSO內(nèi)控框架共包括四部分內(nèi)容：一是內(nèi)容摘要，對新框架進行高度總結(jié)，包括內(nèi)部控制的定義、目標、原則、內(nèi)部控制的有效性和局限性等，使用對象為首席執(zhí)行官和其他高級管理層、董事會成員和監(jiān)管者。二是框架內(nèi)容和附錄，包括內(nèi)部控制的組成部分及相關(guān)的原則和關(guān)注點，并為各級管理層在設(shè)計、實施內(nèi)部控制和評估其有效性方面提供了指導。附錄包括詞匯表、對于小型企業(yè)的特殊考慮、與1992版的變化總結(jié)和框架的非重要性附加參考。三是評估內(nèi)部控制系統(tǒng)有效性的解釋性工具，為管理層在應(yīng)用框架特別是評估有效性方面提供了模板和行動方案。四是外部財務(wù)報告內(nèi)部控制：方案和示例摘要，為在準備外部財務(wù)報告過程中應(yīng)用框架中的要素和原則提供了實際的方案和示例。
由于1992年版的COSO內(nèi)部控制框架中關(guān)于內(nèi)部控制的基本原則和核心內(nèi)容在現(xiàn)有環(huán)境下仍然有效，所以新的COSO內(nèi)控框架在內(nèi)部控制的定義、內(nèi)部控制五要素（控制環(huán)境、風險評估、控制活動、信息與溝通和內(nèi)部監(jiān)督）、評估內(nèi)控體系有效性的標準等方面與舊框架保持了一致。與舊框架相比，新框架的變化主要表現(xiàn)在以下幾個方面：
1．細化了內(nèi)控框架的結(jié)構(gòu)內(nèi)容。新框架最顯著的變化是在舊框架的基礎(chǔ)上，提煉出內(nèi)部控制五要素的17項總體原則。五項基本要素和17項總體原則組合起來就構(gòu)成了內(nèi)部控制的標準，適用于所有的組織。每一項總體原則又由代表其重要特征的多個關(guān)注點所支持。這些關(guān)注點旨在為管理層提供具體的指引，協(xié)助其設(shè)計、實施和執(zhí)行內(nèi)部控制，以及評估相關(guān)原則是否存在和發(fā)揮效用。每個關(guān)注點都與17個原則中的某個原則相對應(yīng)，而每一項原則也都與五要素中的某個要素相對應(yīng)。
2．擴大了報告目標的范疇。舊框架中的內(nèi)控三個目標之一是財務(wù)報告的可靠性，目的是為了滿足外部監(jiān)管要求，確保編制可靠的公開發(fā)表的財務(wù)報告。這里的財務(wù)報告是指對外公布的財務(wù)報告，如上市公司的年報和季報，而新的內(nèi)控框架在報告對象和報告內(nèi)容兩個維度上對這個目標進行了擴展。在報告對象上，既要面向外部投資者、債權(quán)人和監(jiān)管部門，確保報告符合有關(guān)監(jiān)管要求；又要面向董事會和經(jīng)理層，滿足企業(yè)經(jīng)營管理決策的需要。在報告內(nèi)容上，除了包括傳統(tǒng)的財務(wù)報告，還涵蓋了市場調(diào)查報告、資產(chǎn)使用報告、人力資源分析報告、內(nèi)控評價報告、可持續(xù)發(fā)展報告等非財務(wù)報告。歸納起來，新的COSO內(nèi)控框架共有四類報告目標：內(nèi)部財務(wù)報告、內(nèi)部非財務(wù)報告、外部財務(wù)報告以及外部非財務(wù)報告。新框架對報告目標的擴展與我國內(nèi)控規(guī)范體系中對報告范疇的有關(guān)規(guī)定基本相同。
3．強調(diào)管理層判斷的使用。新的COSO框架對五要素的分解不是按照子要素來進行的，而是作為“原則”來呈現(xiàn)的，即強調(diào)“基于原則”的內(nèi)控實施和管理層判斷的使用。新框架并未要求對17項原則及其關(guān)注點進行單獨評估以確定其是否存在或有效。管理層可以自由判斷新框架所提供關(guān)注點的合適度或者相關(guān)度，然后根據(jù)企業(yè)的具體情況，來選擇和考慮與某一特定原則密切相關(guān)的關(guān)注點。可以說，在這一點上COSO新框架吸取了自2002年美國薩班斯法案通過以后，舊框架實施成本高的教訓，使內(nèi)控實施更加靈活，同時節(jié)省了實施成本。
4．強化公司治理的理念。新框架包括了更多的公司治理中有關(guān)董事會及其下屬專門委員會（包括審計委員會、薪酬委員會、提名與治理委員會等）的內(nèi)容，強調(diào)董事會的監(jiān)督對內(nèi)部控制有效性的重要作用。這與我國《企業(yè)內(nèi)部控制基本規(guī)范》及《組織架構(gòu)》應(yīng)用指引中有關(guān)公司治理的規(guī)定相一致。
5．增加了反舞弊與反腐敗的內(nèi)容。與舊框架相比，新框架包含了更多的關(guān)于舞弊與欺詐的內(nèi)容，并且把管理層評估舞弊風險作為內(nèi)部控制的17項總體原則之一，重點加以闡述。這與我國內(nèi)部控制規(guī)范體系在反腐敗工作中的重要作用不謀而合。
6．充分考慮了不同商業(yè)模式和組織結(jié)構(gòu)的內(nèi)部控制。隨著經(jīng)濟全球化的發(fā)展、技術(shù)的不斷進步和人才競爭的加劇，近年來企業(yè)的商業(yè)模式和組織結(jié)構(gòu)發(fā)生了巨大變化，企業(yè)在運營過程中更多地使用第三方提供的產(chǎn)品或服務(wù)，管理層更加關(guān)注包括供應(yīng)商和客戶在內(nèi)的價值鏈管理。為此，新框架專門分析了不同商業(yè)模式和組織結(jié)構(gòu)下內(nèi)部控制的有效性問題。
總之，新框架并沒有改變舊框架關(guān)于內(nèi)部控制的基本概念和核心內(nèi)容，而是對舊框架的某些概念和指引進行更新和改進，以期反映近年來企業(yè)經(jīng)營環(huán)境的演變、監(jiān)管機構(gòu)的要求和其他利益相關(guān)者的期望。COSO前任主席David L. Landsittel表示：“新框架無意改變內(nèi)部控制原有的定義、評估方法或管理模式，而是給使用者提供了更加全面、準確的內(nèi)部控制概念、指引和案例?！?br />
?。ㄈ┬碌腃OSO內(nèi)部控制框架與COSO發(fā)布的其他內(nèi)部控制、風險管理文件之間的關(guān)系
除了《內(nèi)部控制——整合框架》1992年版和2013年版外，近年來，COSO還發(fā)布了一系列與內(nèi)部控制、風險管理相關(guān)的文件，較為重要的有：《企業(yè)風險管理框架》（2004）、《較小型公眾公司財務(wù)報告內(nèi)部控制指南》（2006）、《內(nèi)部控制體系監(jiān)督指南》（2009）等。COSO專門對新框架與這些文件的關(guān)聯(lián)關(guān)系做出如下解釋： COSO將于2014年12月15日用《外部財務(wù)報告內(nèi)部控制：方案和示例摘要》替代《較小型公眾公司財務(wù)報告內(nèi)部控制指南》；COSO認為內(nèi)部控制是企業(yè)風險管理的一部分，企業(yè)風險管理在范圍上更加廣泛，新的COSO內(nèi)部控制框架與《企業(yè)風險管理框架》互為補充；2009年COSO發(fā)布的《內(nèi)部控制體系監(jiān)督指南》對管理層仍舊是相關(guān)和有用的資料。
?。ㄋ模┬碌腃OSO內(nèi)部控制框架的實施時間及應(yīng)用前景
COSO將于2014年12月15日用新的內(nèi)控框架替代1992年版的內(nèi)控框架。COSO認為，舊框架中的重要概念和原則是基本合理的，并且被市場廣泛接受，因此，在過渡期（2013年5月14日至2014年12月15日）內(nèi)應(yīng)該允許舊框架正常使用。但是，在過渡期間，企業(yè)在為外部報告目標而運用COSO內(nèi)部控制框架時，需要明確披露他們使用的是1992年版本還是2013年版本。 COSO鼓勵企業(yè)在可行的情況下，盡快將內(nèi)部控制程序及相關(guān)文件轉(zhuǎn)換成2013年版的新框架。為此，COSO還在其網(wǎng)站上公布了一個新舊框架轉(zhuǎn)換實施方案，供使用者參考。
COSO內(nèi)控新框架的發(fā)布，將會引起內(nèi)控評價和內(nèi)控審計的一系列問題，包括內(nèi)控評價和審計程序的設(shè)計、標準的制定、報告和監(jiān)督的執(zhí)行等方面的改變。到目前為止，美國證監(jiān)會（SEC）和美國公眾公司會計監(jiān)督委員會（PCAOB）還沒有就是否采用、何時采用、如何采用COSO內(nèi)控新框架表態(tài)。但是，由于舊框架的重要概念和基本原則已獲得市場廣泛認可且未做本質(zhì)性改變，對于那些已經(jīng)歷了多年薩班斯法案404條款合規(guī)工作的在美上市公司來講，可以花費較低的轉(zhuǎn)換成本，將企業(yè)內(nèi)部控制體系從舊框架下轉(zhuǎn)換到新框架下。對于眾多參考COSO舊的內(nèi)控框架制定的世界各國內(nèi)部控制標準體系來講，新框架同樣具有重要的參考價值和借鑒意義?？梢哉f，新的COSO內(nèi)部控制框架具有廣闊的應(yīng)用前景。
二、加拿大企業(yè)內(nèi)部控制框架的主要內(nèi)容及其實施情況
?。ㄒ唬┘幽么驝OCO內(nèi)部控制框架的出臺背景
由于美國職業(yè)會計團體在國際上的權(quán)威地位，西方其他國家職業(yè)會計師團體一直緊跟其后。因此，1992年美國COSO框架誕生后，迅速被奉為經(jīng)典。借鑒美國模式，1992年加拿大特許會計師協(xié)會（CICA）成立了控制基準委員會（The Canadian Criteria of Control Board，以下簡稱COCO），該委員會的使命是制定發(fā)布加拿大內(nèi)部控制系統(tǒng)設(shè)計、評估和報告的標準。
1995年10月，COCO借鑒美國COSO內(nèi)控框架（1992），正式發(fā)布了關(guān)于內(nèi)部控制的框架性文件——《控制指南》（Guidance on Control ）。隨后，COCO又陸續(xù)發(fā)布了《評估控制指南》（Guidance on assessing Control）等一系列指導性文件，為COCO內(nèi)部控制框架的應(yīng)用提供了具體詳盡的操作規(guī)范，這些文件共同構(gòu)成了包含內(nèi)部控制系統(tǒng)設(shè)計、評估和報告等環(huán)節(jié)在內(nèi)的、較為完整系統(tǒng)的加拿大內(nèi)部控制框架體系。
?。ǘO具特色的COCO內(nèi)部控制框架體系
COCO內(nèi)部控制框架在一定程度上借鑒了美國COSO內(nèi)部控制框架，同時也提出了有別于COSO內(nèi)部控制框架的先進觀點，主要表現(xiàn)在：
1．擴展了內(nèi)部控制的概念。從內(nèi)控控制的定義來看，COCO將“內(nèi)部控制”的概念擴展到“控制”，定義為“是一個企業(yè)中的要素集合體，包括資源、系統(tǒng)、過程、文化、結(jié)構(gòu)和任務(wù)等，這些要素結(jié)合在一起，支持達成該企業(yè)的目標”，從系統(tǒng)論的角度來研究與控制有關(guān)的企業(yè)外部環(huán)境，淡化企業(yè)內(nèi)部與外部的界限。
2．基于公司治理和管理活動的內(nèi)部控制觀。隨著內(nèi)部控制概念的拓展和內(nèi)部控制實務(wù)的復雜化，內(nèi)部控制與管理活動之間的界限變得越來越模糊，內(nèi)部控制逐漸往管理方向靠攏。COCO框架采用基于公司治理和管理活動的內(nèi)部控制觀，有別于美國COSO框架采用的基于獨立審計的內(nèi)部控制觀，在內(nèi)容和措辭方面更加簡潔、更多地使用管理術(shù)語，易于企業(yè)管理人員理解和使用。
3．要素加具體標準的內(nèi)部控制架構(gòu)。COCO內(nèi)部控制框架認為在任何一個企業(yè)中，控制均包括目標（Purpose）、承諾（Commitment）、能力（Capability）、監(jiān)控和學習（Monitoring and Learning）四個最基本的要素。在內(nèi)部控制四要素下，COCO還設(shè)計了20條具體的內(nèi)部控制標準來充實框架。內(nèi)部控制標準是內(nèi)部控制理論與實務(wù)的橋梁，既豐富了COCO內(nèi)部控制框架的內(nèi)容，也為內(nèi)部控制實務(wù)使用COCO內(nèi)部控制框架提供了具體指導。
4．全面評估、兼顧未來的內(nèi)部控制評估方法。COCO的《評估控制指南》描述了形成一份評估報告的10個步驟，其評估的重點是關(guān)于目標的信息和相關(guān)風險的管理。COCO對內(nèi)部控制的評估不僅僅是對過去的評價，更著眼于企業(yè)的未來。例如評估未來持續(xù)成功的機會和風險；審查與未來業(yè)績表現(xiàn)、機遇和風險相關(guān)的信息；評價需要特殊關(guān)注和監(jiān)督的控制要素信息；以及戰(zhàn)略審查、項目批準和準備如何應(yīng)付突發(fā)事件等。
5．重視發(fā)揮人的作用。COCO框架重視內(nèi)部控制參與者，即人的作用。COCO框架中的四個要素目標、承諾、能力、監(jiān)控和學習均與人緊密相關(guān)：企業(yè)員工在執(zhí)行企業(yè)所指派的任務(wù)時，以對企業(yè)目標的理解為指南，并以其能力（包括所擁有的信息、資源、技能、工具等）作為支撐；員工的承諾是充分發(fā)揮能力和保持最優(yōu)努力水平的保證；員工必須對其工作業(yè)績和外部環(huán)境進行監(jiān)控以便及時采取適當?shù)暮罄m(xù)行動，并在調(diào)整過程中學會更好地完成工作。
?。ㄈ┹^為寬松的內(nèi)部控制實施要求
2002年美國薩班斯法案出臺后，加拿大證監(jiān)會（Canadian Securities Administrators，以下簡稱CSA）也著手研究制定加拿大上市公司實施內(nèi)部控制的有關(guān)政策措施。2005年至2008年，CSA先后發(fā)布了公司治理指引（2005）、公司治理實踐的披露（2005）、年度報告的聲明（2008）等與內(nèi)部控制有關(guān)的上市公司規(guī)則。其中“年度報告的聲明”類似于美國薩班斯法案第404條款，要求加拿大上市公司的首席執(zhí)行官（CEO）和首席財務(wù)官（CFO）每季度評價財務(wù)報告相關(guān)內(nèi)部控制和披露控制與程序的設(shè)計有效性，及每年度評價財務(wù)報告相關(guān)內(nèi)部控制和披露控制與程序的運行有效性。相對于美國薩班斯法案的嚴厲實施要求，加拿大采取較為寬松的內(nèi)部控制實施政策，即加拿大上市公司只需在年報中披露其與內(nèi)部控制相關(guān)的信息，而不要求聘請注冊會計師對財務(wù)報告相關(guān)內(nèi)部控制和披露控制與程序的有效性進行審計。
?。ㄋ模┙陙鞢OCO內(nèi)控框架逐漸走向衰退
加拿大證監(jiān)會認可的、可供加拿大上市公司使用的內(nèi)部控制框架共有三個：美國COSO內(nèi)控框架、英國公司治理準則和加拿大COCO內(nèi)控框架。盡管COCO內(nèi)控框架具有簡潔易懂、實施成本低等優(yōu)點，但是近年來其應(yīng)用情況不容樂觀。目前，大多數(shù)加拿大上市公司采用美國COSO內(nèi)控框架；少數(shù)上市公司采用英國公司治理準則；僅有十家左右的上市公司采用加拿大COCO內(nèi)控框架。
正如加拿大COCO委員會前任主席Michael Gunns先生所言，由于美國COSO內(nèi)控框架在全球內(nèi)部控制領(lǐng)域的領(lǐng)先地位，加上COCO內(nèi)控框架實踐指導性不強，且沒有強制內(nèi)控審計的制度安排，加拿大COCO內(nèi)控框架正逐漸走向衰退。
