对上市公司内部审计外包的探讨

　　近些年，关于内部审计外包的诸多方面一直都是国内外理论界与实务界关注和讨论的焦点，而且国外的实践也证明了内部审计外包能有效地帮助公司实现管理层的经营和战略目标。随着内部审计职能不断扩大，注册会计师事务所实力不断增强，将部分审计外包不失为我国上市公司未来的一条选择途径。由于目前内部审计外包在我国尚属新生事物，我国还没有完善的法律规范对其进行规范，文章试从国内外法律法规两个角度深入探讨我国上市公司是否具有内部审计外包的可行性。

　　一、前言

　　随着经济全球化浪潮日益深化以及市场经济的高速发展，企业原有的组织行为也越来越受到严重冲击。而现代市场经济的发展实质上就是专业化分工的发展，因而企业管理层应将关注的重点放在组织的关键性业务，即是将其相对有限的资源投入到核心业务中去，以提高自身的核心竞争能力。基于这种思想，西方国家的一些企业为了组织重塑和流程再造，逐渐将一些非核心业务外包，正是在这种背景下，二十世纪八十年代末最早由安达信、安永和毕马威等全球知名的咨询机构提出一种观点：对于资源有限的企业，完全可以将内部审计交给专业的服务公司（比如会计师事务所）来做，以节约资源投入到自己的核心业务上去，从而提高组织的核心竞争力，即内部审计外包。

　　所谓内部审计外包就是指企业管理层出于节省财务开支、提高内部审计质量和自身核心竞争力等因素的考虑，将本企业的内部审计工作部分或全部委托给会计师事务所或者其他专业人员完成的一种方式，又称内部审计外部化。

　　关于内部审计外包的形式，主要是分为四种：一是补充（Supplementation），即将部分的内部审计职能赋予第三方，如在一些关键的内审计项目中聘请外界专业人士或者在审计外地的分公司时，聘请懂当地语言或熟悉当地习俗的审计人员等。通过补充，外部签约人和公司内部审计部门可以共同完成短期内需要大量时间或者需要专门技术的工作。二是审计管理咨询（auditing management consultation），主要是指请咨询机构帮助企业确定企业内部审计机构设置、人员数量及配备情况，并有可能促进内部审计计划的形成和改进。三是全外包（total out souring），在这种外包形式下，企业不设内部审计部门，但是为了进行合理的经营性审计，就将内部审计职能全部外包给会计师事务所或咨询机构。它比较适合于本来就未设立也不打算设立内部审计职能的中小企业。四是合作内审，即部分外包，在这种外包形式下，内审工作由一个统一的项目或工作组来完成，成员包括内部审计师和外部审计师，但内部审计师和外部审计师对这种合作审计的结果分别承担不同的责任。

　　到目前为止，虽然由于多种原因，内部审计外包在我国应用的还很少，但多年来一直都是国内外理论界关注和争论的焦点。国内对其的研究主要集中在：一是内部审计外包可行性的理论依据。二是关于内部审计外包利弊的讨论。虽然很多论文中也提到法律的依据，但均是点到为止，比较浅显。因涉及到国内和国外上市两种情况，本文试从国内外法律法规两个角度深入探讨我国上市公司是否具有内部审计外包的可行性。

　　二、从美国法律法规的角度

　　1978年，美国注册会计师协会（即AICPA）发布的《审计人员职责委员会报告》中声称“传统的职业分界线已被证实不再适用。”

　　国际内部审计师协会（IIA）自1941年成立对“内部审计”这一概念做了第一次定义开始，至今共发表了7个内部审计定义，这些定义修改和发展的过程，记录了内部审计前进的足迹，其中前四次的定义中并未涉及到内部审计的主体性问题。1990年IIA发布的《内部审计实务标准》对内部审计的定义做了第五次修正：“内部审计工作是在一个组织内部建立的一种独立评价职能，目的是作为对该组织的一种服务工作，对其活动进行审查和评价。”这条定义突出的一点是，把内部审计定义为：是建立在一个组织内部的，暗示着内部审计的主体应该只局限于组织内部，外部主体不能参与内审工作，以与外部审计相区别。

　　1996年5月，AICPA发布了道德准则解释《征求意见稿：扩展的审计服务》，认为只要注册会计师不履行管理职能、进行管理决策或以客户的员工身份进行活动，就不会损害注册会计师的独立性。

　　2001年IIA发布的《内部审计实务标准》对内部审计的定义做了第七次修订：“内部审计是一种独立、客观的保证和咨询活动，其目的在于为组织增加价值和提高组织的运作效率，它通过系统化和规范化的方法，评价和改进风险管理、控制和治理过程的效果，帮助组织实现其目标。”它去掉了“在组织内部”的限定，解除了内部审计业务主体的限制，暗示着内部审计作为一项客观的活动，并非必须在组织内部设立，亦可以通过外包来获得，从而使内部审计外包成为可能。

　　2002年通过的《萨班斯——奥克斯利法案》（SOA）第201条款被禁止的行为中规定：会计师事务所向证券发行人提供审计服务的同时提供内部审计外包服务是违法，即不能将报表审计与内部审计同时交给同一会计师事务所来做。虽然萨班斯法案对内部审计外包做出了限制，但并未完全禁止，即由除提供报表审计服务以外的其他会计师事务所提供内部审计外包是允许的。

　　由上可以看出，我国的公司要想在美国上市，在做好内部控制的同时，将部分内审业务外包给非提供财务报表审计的其他会计师事务所在法律上是可行的。

　　三、从中国法律法规的角度

　　1983年8月，国务院转发了审计署《关于开展审计工作几个问题的请示》，首次提出建立内部审计监督制度。

　　1994年颁布的《中华人民共和国审计法》中明确规定：“国务院各部门和地方人民政府各部门、国有的金融机构和企业事业组织，应当按照国家有关规定建立健全内部审计制度。”

　　2006年7月1日《上海证券交易所上市公司内部控制指引》：“公司应确定专门职能部门负责内部控制的日常检查监督工作”，“公司可根据自身组织架构和行业特点安排该职能部门的设置。”

　　2007年7月1日《深圳证券交易所上市内部控制指引》：“公司应按照本指引规定设立内部审计部门，直接对董事会负责。”

　　2008年6月28日，财政部、证监会、审计署、银监会、保监会五部委联合发布《企业内部控制基本规范》中规定：“企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。”

　　2009年10月3日，《国务院办公厅转发财政部关于加快发展我国注册会计师行业若干意见的通知》中提出：为大力发展会计、审计等经济鉴证类中介行业，“力争通过5年左右的时间，大幅度拓展会计师事务所的执业领域。在巩固原有财务会计报告审计、资本验证等业务的基础上，积极向企事业单位内部控制、管理咨询等相关业务领域延伸，推动大型会计师事务所业务转变和升级，加速向高端型、高附加值、国际化业务发展。”

　　2010年4月26日，财政部、证监会、审计署、银监会、保监会联合发布了《关于印发企业内部控制配套指引的通知》中要求：“2011年1月1日起在境内外同时上市的公司施行与自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司”施行该指引。执行配套指引的公司，应当对内部控制的有效性进行自我评价，披露年度自我评价报告，同时应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。

　　以上是我国内部审计逐步发展的一个过程。可以看出，内部审计只是一种范围性的概念，而不是主体性的概念。我国的法律法规大多仅是针对建立健全内部审计制度和机构做出了相关的规定，但对内部审计具体是由组织内部自置的审计机构实施，还是可以部分外包给中介机构实施，即对内部审计的主体并未做出限定。因而不管是内置还是部分外包只要履行了内部审计的相关职能，使内控环节存在且发挥了其应有的作用，都是符合我国法律规定的。特别是原来属于内部审计三驾马车之一的内部控制审计，在2010年五部委联合发布的“关于印发企业内部控制配套指引的通知”明确规定“2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司”，“应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。”即由独立的会计师事务所接受委托，负责公司的内部控制审计，出具内部控制审计报告。虽然这里的内部控制审计仅是针对与财务报表相关的内部控制，而不是企业内部控制的整体，但或多或少亦从侧面证明了内部审计外包是可行的。

　　综上所述，内部审计其实是一种制度建设，其所依托的组织形式并不是法律法规强制规范的内容。内部审计外包的实质是内部审计主体的外部化，而不是内部审计内涵的改变，内部审计外包无论是在美国还是在国内从法律法规的角度来看均是可行的。

对上市公司内部审计外包的探讨

　　近些年，关于内部审计外包的诸多方面一直都是国内外理论界与实务界关注和讨论的焦点，而且国外的实践也证明了内部审计外包能有效地帮助公司实现管理层的经营和战略目标。随着内部审计职能不断扩大，注册会计师事务所实力不断增强，将部分审计外包不失为我国上市公司未来的一条选择途径。由于目前内部审计外包在我国尚属新生事物，我国还没有完善的法律规范对其进行规范，文章试从国内外法律法规两个角度深入探讨我国上市公司是否具有内部审计外包的可行性。

　　一、前言

　　随着经济全球化浪潮日益深化以及市场经济的高速发展，企业原有的组织行为也越来越受到严重冲击。而现代市场经济的发展实质上就是专业化分工的发展，因而企业管理层应将关注的重点放在组织的关键性业务，即是将其相对有限的资源投入到核心业务中去，以提高自身的核心竞争能力。基于这种思想，西方国家的一些企业为了组织重塑和流程再造，逐渐将一些非核心业务外包，正是在这种背景下，二十世纪八十年代末最早由安达信、安永和毕马威等全球知名的咨询机构提出一种观点：对于资源有限的企业，完全可以将内部审计交给专业的服务公司（比如会计师事务所）来做，以节约资源投入到自己的核心业务上去，从而提高组织的核心竞争力，即内部审计外包。

　　所谓内部审计外包就是指企业管理层出于节省财务开支、提高内部审计质量和自身核心竞争力等因素的考虑，将本企业的内部审计工作部分或全部委托给会计师事务所或者其他专业人员完成的一种方式，又称内部审计外部化。

　　关于内部审计外包的形式，主要是分为四种：一是补充（Supplementation），即将部分的内部审计职能赋予第三方，如在一些关键的内审计项目中聘请外界专业人士或者在审计外地的分公司时，聘请懂当地语言或熟悉当地习俗的审计人员等。通过补充，外部签约人和公司内部审计部门可以共同完成短期内需要大量时间或者需要专门技术的工作。二是审计管理咨询（auditing management consultation），主要是指请咨询机构帮助企业确定企业内部审计机构设置、人员数量及配备情况，并有可能促进内部审计计划的形成和改进。三是全外包（total out souring），在这种外包形式下，企业不设内部审计部门，但是为了进行合理的经营性审计，就将内部审计职能全部外包给会计师事务所或咨询机构。它比较适合于本来就未设立也不打算设立内部审计职能的中小企业。四是合作内审，即部分外包，在这种外包形式下，内审工作由一个统一的项目或工作组来完成，成员包括内部审计师和外部审计师，但内部审计师和外部审计师对这种合作审计的结果分别承担不同的责任。

　　到目前为止，虽然由于多种原因，内部审计外包在我国应用的还很少，但多年来一直都是国内外理论界关注和争论的焦点。国内对其的研究主要集中在：一是内部审计外包可行性的理论依据。二是关于内部审计外包利弊的讨论。虽然很多论文中也提到法律的依据，但均是点到为止，比较浅显。因涉及到国内和国外上市两种情况，本文试从国内外法律法规两个角度深入探讨我国上市公司是否具有内部审计外包的可行性。

　　二、从美国法律法规的角度

　　1978年，美国注册会计师协会（即AICPA）发布的《审计人员职责委员会报告》中声称“传统的职业分界线已被证实不再适用。”

　　国际内部审计师协会（IIA）自1941年成立对“内部审计”这一概念做了第一次定义开始，至今共发表了7个内部审计定义，这些定义修改和发展的过程，记录了内部审计前进的足迹，其中前四次的定义中并未涉及到内部审计的主体性问题。1990年IIA发布的《内部审计实务标准》对内部审计的定义做了第五次修正：“内部审计工作是在一个组织内部建立的一种独立评价职能，目的是作为对该组织的一种服务工作，对其活动进行审查和评价。”这条定义突出的一点是，把内部审计定义为：是建立在一个组织内部的，暗示着内部审计的主体应该只局限于组织内部，外部主体不能参与内审工作，以与外部审计相区别。

　　1996年5月，AICPA发布了道德准则解释《征求意见稿：扩展的审计服务》，认为只要注册会计师不履行管理职能、进行管理决策或以客户的员工身份进行活动，就不会损害注册会计师的独立性。

　　2001年IIA发布的《内部审计实务标准》对内部审计的定义做了第七次修订：“内部审计是一种独立、客观的保证和咨询活动，其目的在于为组织增加价值和提高组织的运作效率，它通过系统化和规范化的方法，评价和改进风险管理、控制和治理过程的效果，帮助组织实现其目标。”它去掉了“在组织内部”的限定，解除了内部审计业务主体的限制，暗示着内部审计作为一项客观的活动，并非必须在组织内部设立，亦可以通过外包来获得，从而使内部审计外包成为可能。

　　2002年通过的《萨班斯——奥克斯利法案》（SOA）第201条款被禁止的行为中规定：会计师事务所向证券发行人提供审计服务的同时提供内部审计外包服务是违法，即不能将报表审计与内部审计同时交给同一会计师事务所来做。虽然萨班斯法案对内部审计外包做出了限制，但并未完全禁止，即由除提供报表审计服务以外的其他会计师事务所提供内部审计外包是允许的。

　　由上可以看出，我国的公司要想在美国上市，在做好内部控制的同时，将部分内审业务外包给非提供财务报表审计的其他会计师事务所在法律上是可行的。

　　三、从中国法律法规的角度

　　1983年8月，国务院转发了审计署《关于开展审计工作几个问题的请示》，首次提出建立内部审计监督制度。

　　1994年颁布的《中华人民共和国审计法》中明确规定：“国务院各部门和地方人民政府各部门、国有的金融机构和企业事业组织，应当按照国家有关规定建立健全内部审计制度。”

　　2006年7月1日《上海证券交易所上市公司内部控制指引》：“公司应确定专门职能部门负责内部控制的日常检查监督工作”，“公司可根据自身组织架构和行业特点安排该职能部门的设置。”

　　2007年7月1日《深圳证券交易所上市内部控制指引》：“公司应按照本指引规定设立内部审计部门，直接对董事会负责。”

　　2008年6月28日，财政部、证监会、审计署、银监会、保监会五部委联合发布《企业内部控制基本规范》中规定：“企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。”

　　2009年10月3日，《国务院办公厅转发财政部关于加快发展我国注册会计师行业若干意见的通知》中提出：为大力发展会计、审计等经济鉴证类中介行业，“力争通过5年左右的时间，大幅度拓展会计师事务所的执业领域。在巩固原有财务会计报告审计、资本验证等业务的基础上，积极向企事业单位内部控制、管理咨询等相关业务领域延伸，推动大型会计师事务所业务转变和升级，加速向高端型、高附加值、国际化业务发展。”

　　2010年4月26日，财政部、证监会、审计署、银监会、保监会联合发布了《关于印发企业内部控制配套指引的通知》中要求：“2011年1月1日起在境内外同时上市的公司施行与自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司”施行该指引。执行配套指引的公司，应当对内部控制的有效性进行自我评价，披露年度自我评价报告，同时应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。

　　以上是我国内部审计逐步发展的一个过程。可以看出，内部审计只是一种范围性的概念，而不是主体性的概念。我国的法律法规大多仅是针对建立健全内部审计制度和机构做出了相关的规定，但对内部审计具体是由组织内部自置的审计机构实施，还是可以部分外包给中介机构实施，即对内部审计的主体并未做出限定。因而不管是内置还是部分外包只要履行了内部审计的相关职能，使内控环节存在且发挥了其应有的作用，都是符合我国法律规定的。特别是原来属于内部审计三驾马车之一的内部控制审计，在2010年五部委联合发布的“关于印发企业内部控制配套指引的通知”明确规定“2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司”，“应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。”即由独立的会计师事务所接受委托，负责公司的内部控制审计，出具内部控制审计报告。虽然这里的内部控制审计仅是针对与财务报表相关的内部控制，而不是企业内部控制的整体，但或多或少亦从侧面证明了内部审计外包是可行的。

　　综上所述，内部审计其实是一种制度建设，其所依托的组织形式并不是法律法规强制规范的内容。内部审计外包的实质是内部审计主体的外部化，而不是内部审计内涵的改变，内部审计外包无论是在美国还是在国内从法律法规的角度来看均是可行的。