內部控制係指一種過程，由企業董事會、管理階層與其他成員負責設計及執行，以合理確認營運、報導與遵循等相關目標之達成。
Internal control is a process, effected by an entity’s board of directors, management, and other personnel, designed to provide reasonable assurance regarding the achievement of objectives relating to operations, reporting, and compliance.
- COSO Internal Control - Integrated Framework (2013)
中文的版本是來自於金管會《建立內部控制制度核心原則》，可以看得出來台灣內控的定義是遵循COSO Internal Control - Integrated Framework (2013)的架構，那什麼是COSO呢？
COSO簡介
COSO是美國的一個委員會，全名是Committee of Sponsoring Organizations of the Treadway Commission，主要在三個主題提供各界引導及協助：企業風險管理、內部控制制度及嚇阻舞弊。
關於內控的這個主題，COSO於1992年發布了Internal Control - Integrated Framework，其中提及的觀念在全球大部分的國家獲得認同（包含台灣），雖然各國根據國情背景不同，各自發展屬於各國的內控制度，但其架構大同小異。
而2013年因應環境的變遷，COSO提出了Internal Control - Integrated Framework的更新版，這也是文章開頭所引用那段原文的出處。
台灣的內控理論與架構
遍尋台灣各個組織及準則，發現《審計準則公報第48號－瞭解受查者及其環境以辨認並評估重大不實表達風險》有定義內控，但對內控的各個要素並沒有多加說明，只專注於針對內控的了解及查核要如何執行。金管會發布之《建立內部控制制度核心原則》還是最為完整。
不過，為了讓內控的規範具有約束力，台灣於《公開發行公司建立內部控制制度處理準則》定義及規範內控，此係依據《證券交易法》第14-1條所訂定，經金管會所發布生效。
公開發行公司之內部控制制度係由經理人所設計，董事會通過，並由董事會、經理人及其他員工執行之管理過程，其目的在於促進公司之健全經營，以合理確保下列目標之達成：
一、營運之效果及效率。
二、報導具可靠性、及時性、透明性及符合相關規範。
三、相關法令規章之遵循。
（完整條文請詳《公開發行公司建立內部控制制度處理準則》第3條）
公開發行公司之內部控制制度應包括下列組成要素：
一、控制環境
二、風險評估
三、控制作業
四、資訊與溝通
五、監督作業
（完整條文請詳《公開發行公司建立內部控制制度處理準則》第6條）
而內控規範於《公開發行公司建立內部控制制度處理準則》，代表什麼？
- 非公開發行公司並不需要遵循，但仍可參考此架構建立內控制度
- 公司要申請公開發行，或者是後續的興櫃、上櫃及上市，都必須依法建立內控制度
公開發行公司應具備的內控制度
法規規範公開發行公司應建立的內控制度，姑且稱之為狹義的內控制度，如下：
- 內控總則（實務上的認定）
- 銷售、採購、生產、研發...資訊等9大循環（建立內控準則第7條及第9條）
- 印鑑管理辦法、票據管理辦法等18項管理辦法（建立內控準則第8條）
- 核決權限表（實務上的認定）
- 內部稽核實施細則（建立內控準則第4條）
- 自行評估作業程序（建立內控準則第21條）
- 取得或處分資產作業程序（公開發行公司取得或處分資產處理準則）
- 衍生性資產作業程序（公開發行公司取得或處分資產處理準則）
廣義來說，內控制度還包含了其他種種的管理辦法，例如說銷售循環下面的客戶徵信管理辦法、訂單處理管理辦法、出貨管理辦法等。
狹義的內控制度訂定及修正都要經董事會通過，
（實務上有些公司會在職務授權及代理人管理辦法中寫道：核決權限表除須經董事會核決之項目外，餘授權董事長核決生效並於事後提報董事會）
而廣義上包含的其他管理辦法，則由總經理核決生效即可。
既然有此差別，各位應該不難想像為何銷售循環下面還要訂定客戶徵信管理辦法，就是因為其修訂較為簡單（總經理核決就好），所以相關細節多半都規範於管理辦法，內控則為框架。
以上提供內控制度基本的介紹及指引，希望能幫助公司建立內控制度，以合理確認營運、報導與遵循等相關目標之達成。
本文獲創嶼會計師事務所同意轉載，原文請由此去。
