随着我国上市公司开始全面编制并披露内部控制评价报告以来，内部控制体系评价过程中存在的诸多问题逐渐显现出来，如评价过于主观、可靠性差等等，尤其是在ERP环境下，内部控制的有效性问题引起我国广大企业的关注。笔者将从构建评价模型角度，对此进行探讨。
一、内部控制有效性的研究现状
1992年，COSO委员会制定了对全世界产生广泛影响的COSO报告，它认为内部控制整体架构主要由控制环境、风险评估、控制活动、信息与沟通、监督五项要素构成。它提出如果管理层能够保证企业的经营目标实现，企业在经营管理中能够遵守法律规章制度，并且企业财务报表真实可靠，则说明内部控制系统是有效的。RajendraPSrivastava（1985）在内部控制可靠性的理论模型中，提出内部控制系统输出信息与输入原始信息的可靠性、控制活动及控制活动的数量三个特征的观点；KPMG（1999）在其《内部控制：实务指南》中也强调：保证内部控制有效性需要一个持续的监督过程；DoyleJ、GeW、McVayS（2007）的研究认为，公司治理机制越健全，内部控制存在缺陷的可能就越小。Dr.DavidBrewerandWilliamList、CA、HonFBCS（2004）提出用诸如thetimeofdetection（TD）、Thetimethatthedamagecausedbytheeventisfixed（TF）、Thetimelimitafterwhich（TW）时间单位来测量内部控制有效性模型并提出用内部控制的成本效益来度量内部控制有效性。但我国大部分企业管理层对内部控制的内涵与外延的理解还停留在内部牵制阶段，认为内部控制就是“职责分工、岗位分离、授权授信、内部审计等”，与国际水平还有相当的差距。财政部在陆续出台的《企业内部控制基本规范》及其配套指引，标志着理论框架的日臻完善，这使我国逐渐摆脱了过去那种内部控制规范政出多门的状况，并日趋于规范化和统一化。然而，不管从国内视角还是国际视角，评价实践所依据的模型更多地体现了概念框架的性质，即主要侧重于提供一些原则性的指导意见，过于宽泛，其实践操作性不强。从目前来看，专门针对内部控制评价模型设计与应用的文献相对较少。鉴于此，笔者着眼于企业内部控制的有效性模型的构建。
二、ERP系统对内部控制有效性的影响
现代信息技术尤其是ERP技术在企业的广泛应用，极大地扩展了内控管理的广度和深度：一方面改变了传统会计系统的内部控制环境，提高了企业运行效率及整体绩效，使得内控目标得到持续优化；内控管理由依靠经验为主的评价方法逐步转变为凭借系统来实现标准化、统一化并快速实施创新的模式，定期评价变为实时考核，为企业及时发现内部控制设计存在的缺陷和执行过程中的种种缺失，并适时控制经营业务及企业管理中风险提供更加有效的依据；另一方面控制信息的实时共享也会暴露出内控体系方面一些亟待解决的问题，给财务控制提出了挑战，带来更大的安全风险。因此，在ERP环境下，企业更加需要注重内部控制的有效性。
三、引入能力成熟度的可行性
能力成熟度模型（CMM）是美国卡内基•梅隆大学软件工程学院开发的，它把软件开发视为一种过程，并根据统计质量管理的理论对软件开发进行过程管理，确保满足规范化、标准化的要求。并通过严格规范化的措施确保其遵守执行，从而使软件开发实现过程可控，结果具有可预见性，其核心是“持续改进”，让大多数问题在项目进行过程中就被提前发现，在过程中加以控制和管理。从系统论的角度看，企业内部控制有效性的评价主要有内外两个方面：企业内部控制制度的设计有效性和执行的有效性。来自内控设计的风险在网络技术的应用发展和ERP供应商的不断改进的情况下，风险在逐渐弱化。而表现在实施、使用过程中的执行有效性问题则比较突出、相对集中。因此，可以用企业内控有效性的能力增长度来进行评价，让不同级别的成熟度代表不同内控有效性的增长潜力，各个成熟度级别都是有明确定义的、并且能够向更高成熟度提升的平台。随着ERP内部控制的推广应用，企业必将由经验管理向科学管理、由定性管理向定量管理、由结果控制向过程控制、由反馈控制向前向控制转变。
四、基于ERP系统的内部控制有效性模型设计
（一）内控有效性的能力成熟度等级划分
参考借鉴CMM的理念思维，必须先将内控有效性的能力成熟度等级定义为一个能反映企业内控有效性能力不断改进水平的演变平台，成熟度等级可划分为五个，分别是：第一个是初始级，第二个是可管理级，第三个是已标准化级，第四个可评价级，第五个是优化级。每个能力成熟度等级相应反映企业内控在不同阶段的不同特征及有效性状况，其模型框架如图1所示。1.初始级阶段。通常企业内部控制的初始级阶段是混乱无序的，突出主要表现在企业对ERP系统模块具体内容不清楚，对基于ERP的内部控制需求不明确，对如何基于ERP系统实施内控不知道；内部控制体系设计不健全、不完善，即使设计完善，执行也存在问题，而且遇到问题经常放弃原有方案。总体而言，主要表现为企业的内部控制体系随着ERP系统的实施不断进行调整与变更，其实施结果无法预测，常常超预算或拖进度，没有形成稳定的内部控制体系，更谈不上有效性了。2.可管理级阶段。在可管理级阶段，相较初始级有了一定提升和改进，表现在：企业能够针对ERP软件实现内部控制的功能负责，对于管理过程出现的问题时能够及时发现并相应采取改进办法和措施，积累了一定的基于ERP系统实施内部控制的经验，对ERP软件实现内部控制达到了制度化、可控制的程度，但存在的不足是对企业新旧内部流程很少进行对比分析，可能会忽视文档管理，这些问题会带来内部控制的后期维护隐患。但就整体而言，这个阶段执行基本有效，能够进行。3.已标准化级阶段。在已标准化级阶段，表现在基于ERP实施过程的内部控制管理得到了相应系统的阐述，并且全部能够标准化其主要活动领域，体现在不仅能够对内控过程及其可交付的文档内容有标准、对内控目标计划有明确定义，而且能够对企业各个部门、环节的责任有明确规定，内部控制管理达到了文档化标准要求，使内控管理人员能够获得精确、即时的状态信息，能够很好地理解并遵循内部控制管理制度。这个阶段，内部控制制度成熟、设计合理，执行有效。4.可评价级阶段。在可评价级阶段，主要表现在已标准化级基础上对内控目标及其实施过程建立了定量化的评价管理，能够量化内部控制的评价指标体系的各种因素，分析内部控制的成熟度水平，并通过量化分析对内部控制采取相应措施。因此，整个阶段具有可评价的高质量。5.优化级阶段。在优化级阶段，内控有效性已达到了最高级，企业通过管理变革的合理预期、有效控制，通过ERP系统的应用使内部控制过程持续优化，最终实现预期结果。该层级内部控制体系设计合理且适当，执行非常有效，有助于企业战略目标的实现。
（二）应用内控有效性能力成熟度模型策略
内控有效性能力成熟度模型在对能力成熟度等级划分中充分体现出了“持续改进”的理念，主张企业在既有管理机制下逐步对内部控制过程调整，在管理过程中改进、纠正，逐渐达到规范化、制度化的管理目标。但模型并未能明确提出怎么做才能达到某一能力成熟度。从企业管理实际出发，首先，必须考虑到内控有效性能力提高的是持续不断改进的过程，需要通过持续不断地提高内控管理人员自身素质，提升内控管理人员应用管理思维，不管改进完善ERP系统的实施管理制度来逐步实现。其次，企业都有各自的特点和具体情况，需要在企业管理实践中不断改进、修正，设置适应企业自身关键过程域和成熟度目标，才能达到ERP实施管理的效率最大化。最后，内控制有效性能力成熟度模型追求的是连续的过程，企业的内控有效性能力成熟度水平的提高是无止境的。
三、结论
内控有效性能力成熟度模型依据CMM的分级把内控有效性情况相应地进行了分级，从ERP系统管理现状从国内外进行了分析，提出了影响基于ERP系统的内控管理能力提升的关键因素，从而达到了使内控管理能力能够持续改进的目的。然而，以上对内部控制有效性管理能力成熟度模型的分析只是模型的基本形态，要逐步完善这个模型，还需要在深入研究内部控制有效性实施过程的基础上尝试设定该模型在分级上的关键过程及实践。
作者：王国清