控制自我评估CSA在交通企业中的应用实施

Abstract: Control self-assessment is a new technique and means in internal control system evaluation. On the base of introducing the produce and development of CSA, methods of CSA, advantages and disadvantages of CSA, the paper which agree with the internal control present condition of China’ transportation enterprise, analyse the significance of introducing CSA in transportation enterprise and further put forward concrete train of thought.
Key words: transportation corporation; control self-assessment; internal control; symposium

　　20世纪末，伴随着内部控制理论从独立论发展到结构论，再到框架论，内部控制系统评价也由传统的审计人员检查单据、实施符合性测试程序为导向，转为在审计人员指引下由管理部门和员工共同探讨，即“控制自我评估” （Control self-assessment，CSA）。如今，国际上已经掀起了一股CSA的热潮。

　　在交通基本建设快速发展和投资渠道多元化的过程中，交通企业要走向市场并创造经济效益，就必须对经营管理内控系统进行有效、全面的检查和评价。本文将探讨交通企业如何借鉴CSA方法，以不断完善内部控制系统。

一、CSA概述

（一）CSA的产生与演进

　　控制自我评估（CSA）是指企业内部为实现目标、控制风险而对内部控制系统的有效性和恰当性实施自我评估的方法。国际内部审计事协会（IIA）在1996年的研究报告中总结了CSA的三个基本特征：关注业务的过程和控制的成效；由管理部门和职员共同进行；用结构化的方法开展自我评估。加拿大标准协会将控制或风险自我评估（Control/Risk self-assessment，CRSA）取代CSA，其他和CSA换用的术语还有管理自我评估（Management self-assessment，MSA）、控制和风险自我评估（Control and Risk self-assessment，CRSA）以及经营自我评估（Business self-assessment，BSA）。

　　CSA最早由加拿大海湾（Gulf Canada）公司于1987年提出。促成该公司实施CSA的环境因素主要有两个：（1）一项法庭判决要求该公司报告内部控制；（2）传统审计程序在解决油和气的计量问题方面碰到了困难。会计和审计人员召开了研讨会议(facilitated- meeting)来说明双方的问题。并发现这是一种比一对一审计访谈更为有效地实现其目标的方法。

　　CSA的演进轨迹大致经历了四个主要阶段。第一阶段开始于上世纪80年代中期，CSA最初作为一种改善审计的工具被引入到加拿大海湾资源公司（Makosz and McCuaig，1990）。到了1990年，即第二阶段CSA扩展到欧洲，并在合同订立和商务谈判控制方面为内部审计师所认同。此时欧洲本土的大公司尝试执行CSA技术（Davies，1994）。在早期的执行过程中，CSA技术并非完全是正面和积极的。到了1990年代中期，处于第三阶段的CSA作为一种内部增值工具得到了企业界和从业人员广泛赞誉。21世纪初，随着IIA对内部审计定义的升级，CSA扬弃了事后监督、评价，发展成辅助组织及内部审计师进行事前、事中保证和咨询的第四阶段。

（二）CSA方法
　　CSA主要包括研讨会法、问卷调查法和管理层分析法等三种。组织进行内控制度自我评估时往往会同时采用几种方法。

　　研讨会法是一种从代表组织不同层次尤其是风险薄弱环节的工作组中收集内部控制信息，召集尽可能多的业务人员共同分享信息、讨论问题的方法。现场讨论应做到人尽其言，所有观点都应记录在案。研讨会的主持人（facilitators）应接受过有关内控制度设计和一般的简约化技能（facilitation techniques）的训练。

　　问卷调查法是一种用于只需简单回答为是/否或者有/无的调查工具。业务流程的具体操作者使用调查结果去评估他们的控制结构。

　　管理层分析法是任何不使用上述两种方法的方法。通过该方法，管理层可生成一种业务流程的全员研究。CSA专家（可能是内部审计师）将研究结果与其他经理和关键人物收集的信息结合起来。通过综合这些素材，CSA专家开发出一种业务流程的具体操作者在其CSA中可以运用的分析框架。

　　一项IIA基金资助的研究表明，大部分组织选择研讨会法执行CSA。IIA建议执行一项组织分析来决定如何有效地接受和支持参会者实事求是的发言。如果组织文化属支持性的，IIA推荐采用研讨会法。如果组织文化不属于支持性的，那么调查问卷的回复和管理层对内控制度分析能够强化控制环境。

（三）执行CSA的主要优势和缺陷

1、主要优势

（1）CSA在对沟通的有效性、管理理念、信息质量、管理层的道德与诚信等“软”控制评估方面通常优于传统的内控制度评估技术。

（2）CSA能够巩固和加强控制环境。CSA使得相关员工和管理层认识到内部控制是企业每个人的义务并且控制的存在是为了实现经营目标。此外，CSA激励员工持续改进系统并促进全员对企业控制环境的全面理解；各位员工更了解他们对内控的责任。

（3）通过CSA获得的证据通常比使用传统内控制度评估方法获得的更加可靠。研讨会上的结论往往经过高度证实，比传统通过调查问卷收集的结果更加可信。

2、主要缺陷

　　尽管CSA受到多方的追捧，根据IIA研究基金资助的研究项目披露，该方法同时存在一些缺陷。前安达信公司研究人员Richard P.Tritter 和Daniel S.zittnan将CSA的缺陷归纳为参与CSA人员选择的错误、计划过程过于简单、从大规模项目开始执行CSA、缺少管理层支持和对CSA效果性关注过于狭窄等五点。

二、交通企业引入CSA的意义

　　由美国反对虚假财务报告委员会的赞助组织委员会COSO发布的《内部控制——整体框架》的研究报告，成为迄今为止对内部控制最为全面的论述。COSO将内部控制系统划分为五大要素：控制环境、风险评估、控制活动、信息与沟通、监控。我们将以COSO的整体性构架为分析框架，紧密结合交通企业内部控制的现状，全面剖析交通企业执行CSA的意义。

（一）提升控制环境

　　在交通企业内部，其管理当局一般是集权管理，重大审批权集中于董事长和总经理；以国有股权为主，所有权与经营权的分离程度不大；关键管理人员由上级主管部门任命，以控制各主要职能部门。交通企业管理上的集权，决定了其控制环境有别于其他类型的企业，并有其独特的控制文化。这种控制文化直接影响员工价值观、职业道德与胜任能力等各个方面，并导致其管理哲学倾向于集权和非正式管理的做法。

　　按照新的内控理论，内审人员不再是内部控制的唯一责任主体。企业的所有成员都对内部控制有相应的责任。利用CSA可以起到有效教育并帮助管理人员明确并愿意承担其责任的作用。CSA可以通过影响员工来对控制环境产生积极的贡献。当一般操作人员参与CSA过程时，他们不仅学会了对内控进行持续的日常评估，而且提高了控制意识。管理人员或工作组其他人员参与评价内部控制、评估风险，对所发现的薄弱环节提出行动计划，评估经营目标完成的可能性，从而提高他们对组织目标以及内部控制在实现这些目标中所起到的作用的认识。总的说来，CSA可以使得组织的内部控制意识及文化得到加强。

（二）预测并控制风险

　　交通企业在经营管理活动中所涉及的各种突出风险主要表现在以下几个方面：（1）企业行为容易短期化，不利于企业的长期发展。许多企业的行为依据所有者的喜好而定，受所有者整体素质的影响，相对缺乏对企业中长期的规划和调整。（2）经营者行为受上级行政部门的控制，往往为了顾及各方的利益关系，而使得无法遵循企业的既定规章制度，导致内部控制效率低下。（3）会计控制系统的健全性和有效性不高（如岗位及人员设置、相互牵制等方面），引起的会计信息失真，从而带来了信用风险。（4）由于监控政策与程序相对简单、宽松，社会监督和内部审计的相对缺位，导致了舞弊风险的加大。（5）安全生产风险。交通企业的特殊性，还反映出安全风险较为突出。

　　通过CSA，可以提高交通企业在设计和保持控制与风险系统中的涉及度，甄别风险暴露情况，并决定正确的行动。CSA执行者可以首先与其员工进行面对面访谈，然后与工作组的成员们详细讨论，把讨论结果诸如目标、成功的障碍、风险、现有的控制与所必需的控制等，形成一个电子数据模板，并根据其发生的可能性与影响程度对风险进行加权平均，排成高风险区、中风险区和低风险区。这样，各相关部门便可以根据此电子数据模板有的放矢，采取措施，将来还可以据此进行持续重估。

（三）细化控制活动

　　从企业对高级管理阶层的控制来看，交通企业更多地是建立较宽松的，而不是书面的、硬性的控制程序和政策，不是特别重视高级管理阶层的职能分工，而常常对企业员工以利害导向实施控制。从经营绩效的评价标准来看，交通企业更多地围绕利润目标考核，而较少将利润目标分解到各个层次。

　　为了收获良好的CSA的效果，CSA的工作团队与管理阶层需要共同制定运营的主要目标及为达成主要目标的8～12项支持性目标，从而使控制活动得到了进一步的细化。

（四）加强信息流动与沟通

　　交通企业对信息（特别是企业内部产生的信息）的收集和加工不够重视，只注重它与外部的沟通和内部信息的顺流沟通，而不注重甚至忽视组织内部的横向沟通和逆流沟通。企业内部与外部的信息不对称问题也十分严重，会计信息失真所带来的机会成本正在不断加大，企业内部对信息加以处理处于较低级的阶段，导致企业很难将信息转换成抵消或纠正偏差的控制指令并实现系统的目标。

　　CSA与整体运作的概念及群体学习的模式有相互吻合之处。CSA提供了一个从基层往上的沟通资讯管道，这个管道激发所有相关人员坦诚合作的精神及利害与共的意识，促进企业内各部门的协调，加强信息流动与沟通。

（五）完善对内部控制的监控

　　要确保内部控制能够随时适应新情况，内部控制就必须被监控。在内部控制的监控过程中，有两项职能发挥着重要作用。一是内部审计；二是控制自我评估。目前交通企业对自身的监控十分薄弱。这主要是由于缺乏社会审计监督，以及政府约束失败。在大多数公路施工企业中，内部审计机构形同虚设，对内部控制的缺陷往往不能及时发现并向上级报告，内部系统有效性的评价也基本上流于形式。

　　国外有关CSA的研究和应用表明，实施CSA方法对于一个企业加强管理，提高劳动生产率，改进内部审计程序和业务经营程序，以及控制风险等都有着积极的作用。执行CSA，有利于经常发现和解决内部控制过程中出现的问题。另一方面，通过CSA，内部审计和经营人员合作起来对经营活动进行评价。由于依靠经营人员在CSA中的活跃参与，减少了收集信息的时间和审计中所需执行的验证程序，参与CSA的人员对经营过程能了解得更为彻底。因此，这种合作提高了内部审计人员可获信息的数量和质量，把审计人员从对立者、监督者转变为企业发展的参与者、推动者，使内审更具效率与效果。

三、交通企业运用CSA的具体思路

　　总的来说，交通企业运用CSA，应由交通企业的各个营运部门自行组成评估组织，定期针对本部门经营流程和风险控制情况进行评估，用以判断企业内部控制的效率和效果，判定是否能合理保证达成控制目标，找出经营过程控制中的问题，并提出改进控制的新措施。鉴于目前西方用得比较多的采纳研讨会法，笔者将以研讨会为例阐述交通企业运用CSA的具体思路。

（一）取得管理阶层的承诺与支持。管理层也许认为控制管理仅仅是内审群体的职责，而CSA只不过实现了内部审计人员到一般员工的简单转换。这种思维最终可能导致CSA不能贯彻到底并真正为企业管理提供有力保障。因此，CSA的实施需要管理层经营理念的转变以及强有力的支持，需要管理阶层对CSA的认知、承诺与支持。在集权管理的交通企业内，争取管理层的支持尤为重要。在组织没有使用CSA前，导入者必须向管理层推销CSA。介绍的重点为CSA克服了传统内部审计对软控制评审的缺陷，并强化内部员工的风险与控制意识。这项措施既可以影响企业的控制文化，又充实引导研讨会法的能量。取得管理层的支持后，再成立内部控制质量评估（或研讨）小组。

（二）进行详细、周密的规划。CSA的工作团队与管理阶层共同制定营运单位的主要目标及为达成主要目标的8～12项支持性目标。规划还包括针对支持性目标准备研讨会的问题，遴选及通知参与人员，决定日期，安排场所及设备，编制研讨会之资料等。其中遴选参与人员和主持人尤为重要。（1）选择合适的人员参与CSA。尽管CSA强调全员参与，但毕竟参加研讨会的人数有限，否则易造成管理和协调上的困难，所以在人选上应该注意代表性和广泛性兼而有之。要选取那些关键点的控制人，而且要对参加人进行适当的培训，以使他们明确CSA的工作方法，并对控制程序有深入的了解。（2）选择合适的人员作为CSA的主持人是执行CSA的关键。一个CSA主持人应该善于和别人交流，也是一个良好的倾听者，适合充当“教练”角色，而不是“警察”。主持人不但应有拔尖的审计能力和良好的谈话技巧，同时对内部控制应有透彻的了解。他或她应该专长于组织中松散而相关的信息、概念和观点。内审人员、聘请的外部审计人员、控制专家、内部员工等只要符合条件的均可担任。

（三）让控制观念深入每个员工。作为一种相对较新的发展中的方法，CSA的成功与员工的有效参与直接相关。聪明的经理和内部审计师谋求组织各级管理层对CSA的支持。CSA的支持者应该将项目向组织中将要参与执行的各部门人员进行推销。即使是低层管理人员甚至更底层的员工对项目的成功也是极为关键的。他们在识别特定区域的风险方面发挥着重要作用，其意见可能成为解决CSA过程的方案的一部分。CSA执行时可以通过交叉培训、内部引导与匿名决策等方式扩大员工的控制意识。

（四）从规模较小的项目开始执行CSA。专家们建议从小项目开始执行CSA技术，然后向外延展。从小项目入手，能够循序渐进进行学习，对其变化也好控制，不满意结果的风险可以明显减少。

（五）召开研讨会。在CSA工作进程中，研讨会发挥着重要的作用。召开研讨会，通常每次3小时，会期1-2天。研讨会的气氛必须使参与人员均能公开、坦诚及彼此信任，以收集思广益之效。在研讨会中，参加者要针对某一个问题表态时，为了鼓励开诚布公的讨论，组织一般采取无记名投票的方式。由加拿大Compu Touch 有限公司推出的Option Finder软件提供了解决这一问题的良好模式。Option Finder不仅能够限时用柱状图显示统计的表决结果，而且不透露个人信息，使用非常方便。企业若采用CSA，应该有相应的计算机软件支持，以提高工作效率。

（六）报告研讨的结果。在CSA研讨会结束后，工作团队应根据讨论的工作底稿，包括CSA成员对于成功，阻碍及建议的回馈，尽速加以汇总整理，送参与人员复核。然后分析共同的问题及改善的困难与机会，提出报告初稿，连同参与人员的建议及详细的工作底稿，于两星期内送请单位管理阶层。会后作出研讨会报告，包括会议中认定的内部控制效果及取得成绩，发现内部控制的问题。
（七）提出行动计划。CSA的最后阶段是协助管理阶层针对研讨会的报告所提出之问题，与该单位的最高管理阶层再开会讨论（时间可能2～5小时），由管理阶层决定优先顺序，拟订行动方案，以改善CSA团队所发现的重大问题。在会后两周内，将正式的报告分送所有的营运单位管理阶层及CSA参与人员。
（八）对CSA效果性关注宽泛一些。内部审计师被典型地培养成仅仅关注财务控制和其他硬控制（比如具体而又易于测量的管理信息系统）。传统内部审计重点仅关注一些数字和具体结果，可能忽视一些重要的可能给组织带来灾难性影响的风险管理和控制执行因素。要使CSA获得成功，内部审计师和经理必须进一步拓宽视野，考虑如运营程序、道德规范、目标等更软的控制，并认识到这些控制如何适合组织的企业文化。