（三）成熟期——内部控制结构和内部控制整体架构
美国注册会计师协会的文献界定了会计控制概念，而公司的经理们创立并在实践中运用着管理控制概念，这两个概念形成鲜明的对照。如果对这两种善於内部控制的不同解释的同时并行这一事实视而不见，那麽任何设计内部控制系统的企图都是短视的，同时也是徒劳的。於是，人们提出了内部控制结构和整体架构的概念。
1.内部控制结构 （Internal Control Structure）
1988年4月美国注册会计师协会发布的《审计准则公告第55号（SAS N0.55），规定从1990年1月起以该文告取代1972年发布的《审计准则公告第1号》。该文告首次以内部控制结构（Internal Control Structure）一词取代原有的"内部控制"一词，而且文告提出的内部控制内容比以前更为实在，条理更加清楚。该文告的颁布和实施可视为内部控制理论研究的一个新的突破性成果。
以"财务报表审计对内部控制结构的考虑"为题的《审计准则公告第55号》指出："企业的内部控制结构包括为合理保证企业特定目标的实现而建立的各种政策和程式"，并且明确了内部控制结构的内容，具体如下：
（1）控制环境
所谓控制环境是指对建立、加强或削弱特定政策和程式效率发生影响的各种因素。具体包括：管理者的思想和经营作风；企业组织结构；董事会及其所属委员会，特别是审计委员会发挥的职能；确定职权和责任的方法；管理者监控和检查工作时所用的控制方法，包括经营计画、预算、预测、利润计画、责任会计和内部审计；人事工作方针及其执行、影响本企业业务的各种外部关系。例如由银行指定代理人的检查等。
（2）会计系统
会计系统规定各项经济业务的鉴定、分析、归类、登记和编报的方法，明确各项资产和负债的经营管理责任。健全的会计系统应实现下列目标：鉴定和登记一切合法的经济业务；对各项经济业务按时进行适当分类，作为编制财务报表的依据；将各项经济业务按适当的货币价值计价，以使列入财务报表；确定经济业务发生的日期，以便按照会计期间进行记录；在财务报表中恰当地表述经济业务以及对有关内容进行揭示。
（3）控制程式
控制程式指管埋当同所制订的用以保证达到一定目的的方针和程式。它包括下列内容：经济业务和经济活动的批准权；明确各个人员的职责分工，防止有关人员对正常业务图谋不轨的隐藏错弊；职责分工包括：指派不同人员分别承担批准业务、记录业务和保管财产的职责；凭证和帐单的设置和使用，应保证业务和活动得到正确的记载：对财产及其记录的接触和使用要有何保护措施；对已登记的业务及其计价要进行复核。
上述内部控制结构的内部与1972年颁布的内部控制定义相比有两个明显的改动：一是正式将内部控制坏境纳入内部控制范畴，二是不再区分会计控制和管埋控制。这些改变可以说是反映了70年代後期以来内部控制实务操作和理论研究的一个新动向。
2.内部控制整体架构（Internal Control一Integrated Framework）
1992午，美国"反对虚假财务报告委员会"（National Commission on Fraudulent Reporting），所属的内部控制专门研究委员会发起机构委员会（Committee of Sponsoring Organizations of the Tread-way Commission，简称COSO委员会），在进行专门研究後提出专题报告：《内部控制一一整体架构（Internal Control一Integrated Framework）》，也称COSO报告。经过两年的修改，1994年COSO 委员会提出对外报告的修改篇，扩大了内部控制涵盖范围，增加了与保障资产安全有关的控制，得到了美国审计署（General Accounting Office，GAO）的认可。与此同时。AICPA则全面接受COSO报告的内容，於1995年据以发布了《审计准则公告第78号》（SAS N0.78），并自1997年1月起取代了《审汁准则公告第55号》。
COSO报告指出：内部控制是一个过程，受企业董事会、管理当局和其他员工影响，旨在保证财务报告的可靠性、经营的效果和效率以及现行法规的遵循。它认为内部控制整体架构主要由控制环境、风险评估、控制活动、资讯与沟通、监督五项要素构成。
归结上述文献，我们认为：内部控制是为合理保证单位经营活动的效益性、财务报告的可靠性和法律法规的遵循性，而自行检查、制约和调整内部业务活动的自律系统。其贯穿於经营活动的全部过程，包括控制环境、风险评估、控制活动、资讯与沟通，监督等要素，并受企业董事会、管理阶层及其他人员影晌。
需要指出的是，内部控制并不仅限於企业单位，同样也存在於其他各类经济组织和行政事业单位中。只是作为一种经济组织，企业这种典型形式比较具有代表性，因而，本文主要以企业物件研究内部控制，但其原埋及评价的方法同样也适用於其他各类经济组织和行政事业单位之中。
二、内部控制的要素
内部控制的内容，归恨结底是由基本要素组成的。这些要素及其构成方式，决定着内部控制的内容与形式。设计内部控制，可以根据企业特徵和需求（例如企业规模、业务构成、管理水平等），对内部控制要素加以有机组合。我们认为，COSO报告提出的内容控制五项要素，具有较强的理论可取性和实践可行性，本文将以此为基础，简要阐述内部控制的要素及其结构。
（一）控制环境
控制环境提供企业纪律与架构，塑造企业文化，并影响企业员工的控制意识，是所有其他内部控制组成要素的基础。控制环境的因素具体包括：
（1）诚信的原则和道德价值观。无论是企业最高管理层还是其他成员都应当做到：严格一致地保持诚信行为和道德标准；不要盲目追求不切实际的目标，以致形成不必要的压力；对敏感职位之间的财务分工要准确明细，以避免造成偷窃资产或隐藏不佳绩效的引诱；加强企业的内部审核制度；发挥董事会的职能，使其客观监督企业的高层管理阶层；提供道德方面的指导，使所有雇员在一般和特定环境下能够保持正确的判断；制作文字化的行为准则和政策声明，将其传达给全体雇员；将诱发人们不诚实、非法和不道德行为的动机降至最低。
（2）评定员工的能力。管理部门须制定正式或非正式的职务说明书，逐项分析并规定各工作岗位所须具备的知识和技能。
（3）董事会和审计委员会。组成这两个机构须考虑的因索主要包括：成员的经验；相对於管理层的独立性；外部董事的比例；其成员叁与管理的程度；所采取措施的适宜性；对管理层提出问题的深度和广度；他们与内部、外部审计人员的关系实质。
（4）管理哲学和经营风格。主要考虑：对待和承担经营风险的方式；依靠档化的政策、业绩指标以及报告体系等与关键经理人员沟通；对财务报告的态度和所采取的措施；对资讯处理以及会计功能、人员所持的态度；对现有可选择的会计准则和会计数值估计所持有的谨慎或冒进态度。
（5）组织结构。企业的组织结构是指为公司活动提供计画、执行，控制和监督职能的整体框架。具体应考虑：组织结构的合适性，及其提供管理企业所需资讯的沟通能力；各主管人员所负责任的适当性；按照主管人员所担负的责任，判断其是否具备足够的知识及丰富的经验；当环境改变时，企业配合改变其组织结构的程度；员工，尤其是负责管理及监督职能的员工人数的充足程度。
（6）责任的分配与授权。强调对於组织内的全部活动要合理有效地分配职责和许可权，并为执行任务和承担职责的组织成员特别是关键岗位的人员，提供和配备所需的资源并确保他们的经验和知识与职责许可权相匹配，要使所有员工知道：他们的工作行为，以及职责担负形式和认可方式，与达成组织目标的联系。
（7）人力资源政策及实务。内部控制是由人来进行并受人的因素影响，保证组织所有成员具有一定水准的诚信、道德观和能力的人力资源方针与实践，是内部控制有效的关键因素之一。具体包括：有完善的招聘与选拨方针及操作性程式；对新员工进行企业文化和道德价值观的导向培训；对违反行为准则的任何事项，制订纪律约束与处罚措施；对业绩良好的员工，制订具有奖励和激励作用的报酬计画，并避免诱发不道德行为；根据阶段性的业绩评估结果，对员工予以晋升、指导以及奖罚。
（二）风险评估
每个企业都面临来自内部和外部的不同风险，这些风险都必须加以评估。评估风险的先决条件，是制定目标。风险评估就是分析和辨认实现所定目标可能发生的风险。
（1）目标。企业的整体目标，通常是由企业的理念及其所追求的价值所决定的，而与之相配合的是企业下一级各部门的具休目标。整体目标主要是：营运目标，包括绩效和获利目标及保障资产的安全，使其免受损失；财务报告目标，防止对外报送不真实的财务报告；遵循目标，企业遵循国家的相关法律法规。
（2）风险。辨识和分析风险的过程是一种持续及反复的过程，也是有效内部控制的关键组成要素，管理阶层须谨慎注意各部门阶层的风险，并采取必要的管理措施。企业的风险一般是由外部因素和内部因素所产生的。外部因素包括：科技发展；顾客的需求或预期改变；竞争；新的法律和行政命令；自然灾害；经济环境改变等。内部因素包括：资讯系统处理的中断；聘用员工的品质、培训方法及激励制度；经理人员的责任改变；企业活动的性质以及员工可接近资产的程度；董事会或监事会不够坚定或无效等。
（3）环境变化後的管理。经济、产业及管理的环境都是会改变的，企业的活动应随之改变。因此，风险评估中最基本的部分，就是如何辨认已发生的改变，并采取必要的行动。这些改受因素包括：行业环境的改变；新员工；业务迅速成长；新科技；新业务、产品、作业；公司重组；国外业务等。
（三）控制活动
企业管理阶层辩识风险，继之应针对这种风险发出必要的指令。控制活动，是确保管理阶层的指令得以执行的政策及程式，如核准、授权、验证、调节、复核营业绩效、保障资产安全及职务分工等。 控制活动在企业内的各个阶层和职能之间都会出现，这主要包括：
（1）高层经理人员对企业绩效进行分析。管理阶层记录经营活动 （如：市场的扩展、生产过程改良、成本的控制）的结果，然後再与预算、预测、前期及竞争者的绩效相比较，以衡量目标达成的程度和监督计画 （如：新产品开发、合资经营、融资行为）的执订情况。
（2）直接部门管理。负责某一部门的经理人员复核自己所负责部门的业绩报告，检查本部门各业务活动的情况，以便辨认趋势。
（3）对资讯处理的控制。对资讯系统的控制活动可分为两类，第一类是一般控制（general control），它帮助管理阶层确保系统能持续、适当的运转；第二类是应用控制 （application control），它包括应用软体中的电算化步骤及相关的人工程式。（一般控制包括：对资料中心运作的控制；对系统软体的控制；存取安全的控制；对应用系统的发展及维护的控制。（应用控制包括：输入控制；输出控制）。
（4）实体控制。保护设备、存货、证券、现金和其他资产的实体安全，定期盘点并与控制记录所显示的金额相比较。
（5）绩效指标的比较。把不同的几套数据资料（如：经营资料与财务资料）相互比较，分析它们之间的关系，然後再进行调查与纠正。以存货为例，其绩效指标包括：购货价差、订单中"紧急订货"比例、总订单中退货的比例。管理阶层需要调查超出计画的结果或者不正常的趋势，辨认采购作业的目标无法达成的原因。
（6）分工。分工即指将责任划分，再将不相容职务分派给不同的员工，以降低错误或不当行为的风险。
（四）资讯与沟通
企业在其经营过程中，需按某种形式辨识、取得确切的资讯，并进行沟通，以使员工能够履行其责任。资讯系统不仅处理企业内部所产生的资讯，同时也处理与外部的事项、活动及环境等有关的资讯。企业所有员工必须从最高管理阶层清楚地获取承担控制责任的资讯，而且必须有向上级部门沟通重要资讯的方法，并对外界顾客、供应商、政府主管机关和股东等做有效的沟通。
（1）资讯系统。资讯系统处理企业内部资讯和外部资讯。内部资讯资料包括采购资料、销售交易资料、内部营业活动资料和内部生产过程资料；外部资讯资料包括显示本企业产品的需求发生改变时，某种特定市场或行业的经济资料，用於企业生产的商品的资料，显示顾客偏好的市场情报，竞争对手产品开发活动的资讯，立法机 关与行政机关所发布的资讯。企业建立良好的资讯系统，必须做到；建立良好的资讯系统支援策略，资讯系统与企业营运应有效的结合；选择更新资讯系统的最佳时间；有很好的资讯品质。
（2）沟通。企业的资讯系统提供有效资讯给适当的人员，通过沟通，使员工能够知悉其营业、财务报告及遵循法律的责任。企业沟通包括内部沟通和外部沟通。内部沟通需要做到：所有的员工，特别是那些负有重要营业责任或财务管理责任的员工，除了得到用 以管理其负责活动的重要资料以外，还应当得到来自最高管理层 需谨慎承担内部控制责任的清楚资讯；必须让每个人清楚的知道个 人所担负的特定任务，了解内部控制制度的各项规定、它们如何生效，以及他 （她）在控制系统中所扮演的角色及所承担的责任；员工在其执行任务时，一旦有非预期的事项发生，除了要注意该事项本身之外，还应当注意导致该事项发生的原因，如此才有办法辨认潜在缺失，采取行动，并预防再度发生；员工必须知道他 （她）所负责的活动是怎样与他人的工作发生关联的；员工必须拥有在组织中向上沟通重要资讯的方法。外部沟通应做到：顾客和供应商能经过开放的沟通管道输入重要的资讯；与相关的外部团体沟通，以便获悉关於本企业内部控制功能的重要资讯；外部审计人员对企业营业、相关业务问题及控制系统审计後，可以提供给管理阶层及董事会重要的控制资讯；政府主要机关 （如：银行或保险机关）所报导的复核或检查的结果，可以有效的弭补控制的缺失。
（五）监督
内部控制系统需被监督。监督是由适当的人员，在适当及时的基础下，评估控制的设计和运作情况的过程。监督活动由持续监督、个别评估所组成，其可确保企业内部控制能持续有效的运作。
（1）持续的监督活动。持续的监督活动在营运过程中发生，它包括例行的管理和监督活动，以及其他员工为履行其职务所采取的行动。持续监督活动包括：负责营运的管埋阶层 （operating managerment）在履行其日常的管理活动时，取得内部控制系统持续发挥功能的资料，当营运报告、财务报告与他们所得到的资料有大偏离时，可对报告提出质疑；来自外界团体的沟通，可以验证内部资讯的正确性，并能及时反映问题的所在；适当的组织机构及监督活动，可用来辨识缺失；各个职务的分离，使不同员工之间可以彼此相互检查，以防止舞弊；把资讯系统所记录的资料同实际资产核对；内、外部稽核人员定期提出强化内部控制系统的建议；培训课程、规划会议和其他会议，可把控制是否有效的重要资讯反馈给管理阶层；定期要求员工陈述他们是否了解企业的行为准则，并加以遵守，对於负责业务和财务的员工，则要求他们陈述某些特定控制是否都予执行，管理阶层或内部稽核人员还必须验证这些陈述是否确实。
（2）个别评估。尽管持续监督程式可以有效的评价内部控制体系，但企业有时需要组织例外评估以直接监视控制系统的有效性，这种做法可评估持续性监督程式。评估的范围和频率，视风险的大小及控制的重要性而定。
（3）报告缺陷。内部控制的缺失应由下往上报告，某些缺失应报告给高层管理阶层及董事会知道。
[1]
