內部控制自行評估

內部控制制度建立以後，其制度設計是否適當，執行是否落實，應進行持續 監督及定期評估，以確保內部控制有效運作。實務上有些組織把控制及風險之評 估 交 由 各 營 運 單 位 管 理 階 層 自 行 負 責 ， 稱 為 內 部 控 制 自 行 評 估 （ control self-assessment，簡稱 CSA），此種作法自 1990 年代中期起，已逐漸受到重視與推廣。

依據「公開發行公司內部控制處理準則」，公開發行公司應自行評估其內部控 制制度。內部控制自行評估之目的，在於落實公司自我監督的機制、及時因應環 境的改變，以調整內部控制制度之設計及執行，並提昇內部稽核部門的評估品質 及效率。內部控制自行評估應涵蓋公司各類內部控制制度之設計及執行，並應於 內部控制制度訂定自行評估作業之程序及方法。公開發行公司決定自行評估作業 程序及方法時，應以風險評估的結果為基礎，並至少包含（1）確定應進行測試之 控制作業，（2）確認應納入自行評估之營運單位，（3）評估各項控制作業設計之 有效性，以及（4）評估各項控制作業執行之有效性。換言之，內部控制自行評估 應同時涵蓋內部控制設計及執行之有效性（鄭丁旺等，2012）。為使企業進行內部 控制制度設計及執行有效性之評估時，有相關的標準依據，金融監督管理委員會 參考 COSO「內部控制—整合架構」之相關指引，針對我國公開發行公司訂定「內 部控制制度有效性判斷參考項目」，以作為公司管理階層判斷其內部控制制度有效 性之依據。

為協助行政院所屬各機關辦理內部控制自行評估，行政院主計總處曾參酌我 國民間企業及美國聯邦政府作法，參考美國 COSO 於 2013 年修訂之「內部控制－

整合架構」觀念與所列 17 項原則及相關屬性，並配合我國政府特性及相關法令規 定，研訂內部控制制度整體層級有效性判斷參考項目及其相關細項，納為各機關 內部控制制度自行評估原則之附件供各機關參考。嗣為各機關整合運用持續性與 個別評估辦理監督作業，除整併例行監督、自行評估及內部稽核等監督作業外，

並簡化評估作業程序，以及賦予機關執行彈性，故停止適用內部控制制度自行評 估原則與政府內部稽核注意事項，另訂政府內部控制監督作業要點作為各機關執 行監督作業之依據。

依「國際專業實務架構」，有效風險管理與控制之三道防線，其中第一道防線 係屬營運管理的管理控制與內部控制措施，對照行政院訂頒之「政府內部控制監 督作業要點」規定，相當於機關內部各單位依其業務職掌所執行的「例行監督」

與「內部控制自行評估」，由於機關各項業務作業流程及控制重點係由各業管單位

所設計，並於第一線負責執行相關控制活動，較瞭解自身業務的真實情況，因此，

透過機關各業務營運單位自行定期檢討評估內部控制機制是否有效，有助於及時 發現內控問題及改善機會，並強化承辦同仁與管理人員承擔風險及內控之觀念與 責任；此外，由於內部稽核通常無法對所有業務項目執行全面性的查核，辦理內 部控制自行評估不僅能提高組織對內控檢查的涵蓋率，亦有助於內部稽核將有限 資源聚焦於機關高風險事項深入稽核，進而提升稽核的品質及效率。

本研究經彙整 4 個機關 2014 至 2017 年度內部控制自行評估辦理情形如表 4-18，由統計結果可知，該等機關自行評估結果仍有發現未依相關控制重點辦理等 內部控制缺失（即表列未符合或部分落實之情況），顯示自行評估應具有一定程度 之效果。A 機關及 I 機關 2013 年度部分自行評估缺失項目及其追蹤改善情形摘示 如表 4-19 及表 4-20。

表 4-18 自行評估結果統計表

272(96.11%) 不適用 11(3.89%)

落實 符合 318(96.95%)

不適用 10(3.05%)

落實 落實 280(90.03%)

部分落實 599(95.08%)

未符合 1(0.16%)

不適用 30(4.76%)

落實 符合 443(94.26%)

未符合 108(100%)

有效 落實 (100%)

V 機關 符合 599(84.49%)

未符合 13(1.83%)

不適用 97(13.68%)

落實 符合 636(87.48%)

未符合 18(2.48%)

不適用 及其他 73(10.04%)

落實 落實 678(91.87%)

部分落實 717(99.4%)、

部分落實 40(0.6%)］

I 機關 符合 833(96.08%)

未符合 3(0.35%)

不適用 31(3.58%)

落實 符合 844(85.42%)

未符合 6(0.61%)

不適用 138(13.97%)

落實 落實

表 4-19 Ａ機關 2016 年度內部控制自行評估缺失項目追蹤表(摘錄)

讓同仁自己再確認是否有落實執行相關控制作業的效果。（D1）

照我參與觀察的經驗，我覺得自行評估大多數是沒有落實辦理，各單位對於 自己業管的業務，通常不認為會有什麼疏漏，再加上自評每年才做一次或兩次，

同仁多半會憑印象去勾選，認為沒有什麼問題，因此自行評估的效果及可靠度就 比較薄弱。（C2）

一般各單位同仁在自評作業時多半會有隱惡揚善的心理，不會自曝其短，通 常都會勾選有落實辦理，然而真正的實況為何，並不容易從書面上看出來，除非 自評後實際發生了相關缺失或透過其他機制來加以驗證，因此其實質效果恐怕是 有限的。（A1）

一般同仁多半把自行評估當做例行公事，抱著虛應故事的敷衍心態，因此我 覺得它的效果非常有限，但我們都會提醒各單位自評結果自己要負責，因為整個 機關是根據各單位評估結果，才去確認整體的內部控制落實與有效程度，就像做 身體健康檢查，人的手腳等各個器官確認沒有問題後才會得出全身健康與否的結 論。（B3）

我覺得同仁依自評表逐項進行評估時，未必都會很認真的去看過去一年來自 己負責的業務是不是真的完全落實，尤其沒有落實或部份落實還必須填寫具體改 善作法，所以同仁可能會傾向於勾選完全落實，因此，此一機制在實際執行時難 免會有流於形式的狀況。（A2）

綜合上述機關辦理內部控制自行評估書面資料及訪談意見，本研究認為自行 評估機制在實務執行上所面臨的最大問題為機關能否落實辦理，並產生符合實況 的評估結果，自行評估機制的目的在於發現問題，並藉此尋求解決或改善的機會，

而非一個完美無缺失的評估結果。然而我國因文化及國情等因素，員工多半不願 意自曝其短，因而使自評作業流於形式，未能真正發揮其效益，反而讓機關管理 階層或執行自評人員認為此一機制徒增工作負擔，卻無實質效益的錯誤印象。目 前行政院所屬各機關執行內部控制自行評估多半以書面文件由各業管單位承辦同

仁與主管勾選及複核，相較於非第一線執行控制活動之第三者如內部稽核或其他 外部團體來執行評核，雖較不具客觀性，惟因內稽或外部團體評核等機制仍屬抽 查性質，未若自行評估機制評估範圍能完整涵蓋機關所有業務之控制活動，因此，

本研究認為透過機關各單位自行評估內部控制有效性之作法仍有其必要，惟如何 促使機關同仁落實辦理自行評估工作，應為政府部門須持續努力的課題。

過去民間企業實務上執行內部控制自行評估除了採問卷調查方式進行外，亦 有透過召開研討會的方式，由營運單位指派熟悉業務的成員組成工作團隊開會互 相交流溝通，針對企業流程、風險及控制作業進行評估，並做必要的修正（鄭丁 旺等，2012），此種作法，透過團隊合作及腦力激盪的方式，有助於改善營運流 程之控制效果，惟其成效取決於管理階層的認同與支持，並有賴承辦幕僚單位妥 善籌備與執行，或可供各機關自行衡酌是否採用此種方式辦理自行評估，不過根 據筆者長期服務公部門的觀察，召開研討會的事前籌備與事後綜整報告等作業費 時，若機關審酌結果仍維持採發放書面文件（或問卷）的作法進行，為避免產生 流於形式的狀況，應設法提供同仁落實辦理自行評估的誘因，相關獎懲機制的設 計，不論是棍子或胡蘿蔔，各機關允宜多加善用。