内部控制要素案例.docx

1、内部控制要素案例内部控制要素案例一、内部控制基本原理 L.R.Dicksee最早于1905年提出内部牵制(Internal Check)，他认为，内部牵制由三个要素构成:职责分工;会计记录;人员轮换。 George E.Bennett发展了内部牵制的概念，他于1930年给内部牵制制度下了一个完整的定义:内部牵制是账户和程序组成的协作系统，这个系统使得员工在从事本身工作时，独立地对其他员工的工作进行连续性的检查，以确定其舞弊的可能性。 20世纪40年代以前，通常使用的都是“内部牵制”，主要是为保护财产安全而设置。内部牵制的两个设想是: (1)两个或两个以上的人或部门无意识地犯同样的错误机会较少;

2、 (2)两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个或部门舞弊的可能性。内部牵制只是抓住了内部控制的部分内容，显然过于狭隘。 1947年，AICPA下属的审计程序委员会在其审计准则暂行公告中第一次正式提出了内部控制这一概念。1949年，审计程序委员会发布了一分特别报告“内部控制一种协调制度要素及其对管理当局和独立审计人员的重要性”。 该报告首次给内部控制制度下了如下权威定义: 包括组织的组成结构及该组织为保护其财产安全、检查其会计资料的准确性和可靠性，提高经营效率，保证既定的管理政策得以实施而采取的所有方法和措施。 1988年，审计准则委员会发布第55号审计准则公告，提出“

3、内部控制结构”这一概念。 第55号公告指出:内部控制结构是指为了对实现特定公司目标提供合理保证而建立的一系列政策和程序构成的有机总体，包括控制环境、会计系统及控制程序三个部分。 (1)控制环境 控制环境是对企业控制的建立和实施有重大影响的一组因素的统称。它们包括: A.管理哲学和经营风格:对实现利润目标、其他目标或预算的态度、对待风险的态度、对控制的需求、对内部和公开财务报表的重要性和尊严的态度等。 B.组织结构: C.董事会的职能; D.授权和分配责任的方式; E.管理控制方法; F.内部审计; 1 G.人事政策和实务; H.外部影响。 (2)会计系统 会计系统是企业为了汇总、分析、分类、记

4、录和报告企业交易，并保持对相关资产与负债而建立的方法和记录。一个的效的会计系统应能做到以下几点: A.确认并记录所有真实的交易; B.及时且充分详细地描述交易，以便在财务报表上对交易作恰当的分类; C.计量交易的价值，以便在财务报表 上记录其恰当的货币金额; D.确定交易发生的期间，以便将交易记录在适当的会计期间; E.在财务报表中恰当地表达的披露交易及相关事项。 (3)控制程序 控制程序同其他两个要素一样，也是为了合理保证公司目标的实现而建立的政策和程序，它既可以单独应用，也可以融合于控制环境或会计系统的特定组成部分。控制程序主要包括: A.恰当授权; B.职责分离(交易活动一般可划分:授权

5、、执行、记录、核准和保管); C.凭证和记录; D.按近控制; E.独立检查。 4、内部控制的完整框架 1985年，由AICPA、IIA、FEI、AAA、IMA等共同发起成立了“全国舞弊性财务报告委员会”(即Treadway委员会)。两年后，根据该会的建议，其赞助机构又成立了专门研究内部控制问题的组织，即COSO委员会。- 1992年美国国会的“反对虚假财务报告委员会”(NCFR)下属的由AAA、AICPA、IIA、FEI和IMA等专业团体组织参与的“发起组织委员会(COSO)” (1)COSO报告的目标 1992年，COSO提出了著名的“内部控制的完整框架”的研究报告，1994年进行了增补。

6、COSO报告提出内部控制的目标有三个: A(提高经营效率，取得好的经营效果; B(合理保证财务报告的可靠性; C(遵循有关的法规制度。 COSO委员会提出，内部控制是由企业董事会、经理阶层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的达成而提供合理保证的过程。其构成要素应该来源于管理阶层经营企业的方式，并与管理2 过程相结合。 (3)内部控制的要素 A.控制环境 任何企业的核心是企业中的人及其活动。人的活动在环境中进行，人的品性包括操守、价值观和能力等，它们是构成环境的重要要素之一，又与环境相互影响、相互作用。环境要素是推动企业发展的引擎，也是其他要素的核心。控

7、制环境为其他要素提供了基础。 COSO报告为评价每一个因素提出了操作指南。如，管理的哲学和经营风格可通过检查管理层所接受的经营风格的性质、管理层与下属相互关系的次数、管理层对财务报告的态度等来评估。 B.风险评估 企业必须制定目标，该目标必须和生产、营销、财务等作业相结合。为此，企业也必须设立可辨认、分析和管理相关风险的机制，以了解自己所面临的风险，并适时加以处理。 风险评估包括风险识别和风险分析。风险识别包含检查诸如技术开发、竞争和经济变化等因素，以及诸如人员质量、组织活动的性质和信息系统处理的特征等内部因素。风险分析涉及重要性的评价、风险发生可能性的评估，并要考虑如何管理风险。 C.控制活

8、动 企业必须制定控制政策及程序，并予以执行， 以帮助管理当局保证其控制目标的实现，其用以辨认并用以处理风险所必须采取的行动业已有效落实。 组织控制活动包括了确保雇员执行管理层政策和程序。控制活动包括控制系统的审核、实物控制、职务分离和信息系统控制。 D.信息和沟通 围绕在控制活动周围的是信息与沟通系统。这些系统使企业内部的员工能取得他们在执行、管理和控制企业经营过程中所需的信息，并交换这些信息。 对信息系统的识别、掌握报告财务和经营信息对控制组织的活动是有用的。在组织内部，职员必须取得使他们能理解自身在内部控制系统中作用的信息，认真履行其内部控制的责任。如有必要，向高层管理者报告问题。 信息和

9、沟通系统使当事机构的人员能够掌握和交换所需信息，以便执行、管理和控制其经营状况。 E.监督 整个内部控制的过程必须施以恰当的监督，通过监督活动在必要时对其加以修正。监控是一个评价内部控制运行组织的过程。 管理层通过检查定期的控制活动所形成的结果以及实施特定的评价来监控测控制系3 统。定期的控制活动包括交实物资产与所记录的数据相比较、培训研究会以及外审计师和内部审计师的检查。特定的评价在范围和次数上是不确定的。定期控制活动期发现的缺陷要经常向负责任监督人员报告;特定评估期间找出的缺陷要正常地与组织的高层沟通。2003年7月美国COSO颁布了企业风险管理框架的讨论稿，并于2004年4月颁布正文。同

10、1992年的COSO报告相比，新的COSO报告增加了一个观念、一个目标、两个概念和三个要素。 “观念”指风险组合观，即企业风险管理要求企业管理者以风险组合的观点看待风险，对风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。 “目标”指战略目标，即企业的目标包括战略目标，并且该目标覆盖了企业编制的所有报告。 “概念”指针对风险度量提出的风险偏好和风险容忍度的概念。风险偏好指企业在实现其目标的过程中愿意接受的风险的数量。风险容忍度指在企业目标实现过程中对差异的可接受程度。 “要素”指目标制定、事项识别和风险反映。 (1)风险管理的定义 一个由企业的董事会、管理层和其他员工共同参与的，应用

11、于企业战略制定和企业内部各个层次和部门的，用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的，为企业目标的实现提供合理保证的过程。 (2)风险管理目标 战略目标:战略目标与高层目标相关，和企业使命相一致并支持它。 经营目标:经营目标与企业运营的效果和效率有关，包括业绩和利润目标，运营变化以管理层对结构和业绩的选择为基础。 报告目标:报告目标与组织报告可靠性有关，包括对内和对外报告，以及财务信息和非财务信息。 遵循目标:遵循目标与组织遵循相关法律法规有关。 (3)企业风险管理的构成要素 A.内部环境 体现了整个组织的特征，影响到企业员工的风险意识，是其他风险管理构成要素的基础，为

12、企业风险管理提供了一个规则和概括。内部环境包括企业风险管理哲学、风险偏好和风险文化、董事会的缺陷、企业员工的忠诚度、价值取向、管理哲学和运营模式、权责划分、人力资源政策等。 B.目标设定 4 每个企业都要面临来自企业内部和外部的各种风险，设定目标是企业进行有效地事项识别、风险评估和风险对策的前提。设定目标应当区分不同的管理层次和内部结构，目标应当建立在战略的高度，为企业的运营目标、财务报告目标和遵循目标建立一个基础。设定目标还应当与企业风险偏好保持一致。 C.事项识别 业管理层应当识别影响企业战略实施成功和企业目标实现的潜在事项。对企业带来消极影响的事项被称为风险，要求管理层进行评估和采取措施

13、。具有积极作用的事项可以抵销负面的的影响或者给企业带来机会，管理层将机会和企业战略、目标制定结合起来。企业管理层在识别潜在事项时，应当从整个企业组织的角度进行考虑。 D.风险评估 风险评估与影响企业目标实现的潜在事项有关，管理层应当从可能性和影响两个方面来评估事项。通常采用定量和定性的方法，潜在事项正面和负面的影响可以被逐个测试到。对潜在的负面事项的评估包括固有风险评估和剩余风险评估。 风险评估结束之后，管理层应当决定该如何应对风险。风险应对策略主要有回避、减缓、分担和接受四种。在制定应对策略时，管理层应考虑成本效益原则，在风险容忍度和预期范围内选择应对策略。 F.控制活动 控制活动能有助于确

14、保管理层对风险对策执行而采取的政策和程序，它贯穿于整个组织、各个层次和不同的功能部门，具体包括支持、授权、证实、确认、业绩评价、资产保全和责任明确。 G.信息和沟通 每个企业都需要识别和记录那些有关企业管理的外部事项和内部事项的信息财务信息和非财务信息，并将这些信息以适应的方式在规定的期限内传达给企业员工来实施企业风险管理和其他任务。信息系统将企业内部产生的数据资料和外部事项、活动、状况等信息，提供给管理决策使用。通过在组织内上、下级之间信息传递，能够产生有效的沟通。企业全体人员都应从管理层处清楚地获得必须在企业风险管理中承担的责任。每个人都应当明确自己在企业风险管理中的角色，自己如何与其他人

15、的工作进行协调。企业必须建立一种向上反馈重要信息的沟通方式，并且在对外方面也要建立一个有效的沟通。 H.监督 企业风险管理活动应当建立监督机制，这种监督是对企业风险管理现状和各组成部分效绩进行评价的过程。通过持续监督和个别评价或者两者的结合来实现监督。持续监督是对日常的管理活动采取的，个别评价则主要是根据评估风险的性质和程度，以及持续监督5 过程的效率来确立。因此企业风险管理中的缺陷可由下而上传递，从而使重要的问题传递到管理层和董事会。 企业的层级，包括整个企业、各职能部门、各条业务线及下属各个子公司。 企业风险管理三个维度的关系是:全面风险管理的八个要素都是为企业的四个目标服务的;企业各个层

16、级都要坚持服从企业的四个目标;第个层级都必须从以上八个方面进行风险管理，该框架适合各种类型的企业或机构的风险管理。 二、我国企业内部控制基本规范 关于印发企业内部控制基本规范的通知 为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据国家有关法律法规，财政部会同证监会、审计署、银监会、保监会制定了企业内部控制基本规范，现予印发，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。执行本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计

17、师事务所对内部控制的有效性进行审计。 执行中有何问题，请及时反馈我们。 2008年07月10日 企业内部控制基本规范 第一章 总 则 第一条 为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据中华人民共和国公司法、中华人民共和国证券法、中华人民共和国会计法和其他有关法律法规，制定本规范。 第二条 本规范适用于中华人民共和国境内设立的大中型企业。 小企业和其他单位可以参照本规范建立与实施内部控制。 大中型企业和小企业的划分标准根据国家有关规定执行。 第三条 本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实

18、施的、旨在实现控制目标的过程。 内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。 第四条 企业建立与实施内部控制，应当遵循下列原则: (一)全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。 6 (二)重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。 (三)制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。 (四)适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，

19、并随着情况的变化及时加以调整。 (五)成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。 第五条 企业建立与实施有效的内部控制，应当包括下列要素: (一)内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。 (二)风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。 (三)控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。 (四)信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业

20、内部、企业与外部之间进行有效沟通。 (五)内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。 第六条 企业应当根据有关法律法规、本规范及其配套办法，制定本企业的内部控制制度并组织实施。 第七条 企业应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。 第八条 企业应当建立内部控制实施的激励约束机制，将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系，促进内部控制的有效实施。 第九条 国务院有关部门可以根据法律法规、本规范

21、及其配套办法，明确贯彻实施本规范的具体要求，对企业建立与实施内部控制的情况进行监督检查。 第十条 接受企业委托从事内部控制审计的会计师事务所，应当根据本规范及其配套办法和相关执业准则，对企业内部控制的有效性进行审计，出具审计报告。会计师事务所及其签字的从业人员应当对发表的内部控制审计意见负责。 为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务。 第二章 内部环境 第十一条 企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。 7 股东(大)会享有法律法规和企业章程规定的合法

22、权利，依法行使企业经营方针、筹资、投资、利润分配等重大事项的表决权。 董事会对股东(大)会负责，依法行使企业的经营决策权。 监事会对股东(大)会负责，监督企业董事、经理和其他高级管理人员依法履行职责。 经理层负责组织实施股东(大)会、董事会决议事项，主持企业的生产经营管理工作。 第十二条 董事会负责内部控制的建立健全和有效实施。监事会对董事会建立与实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。 企业应当成立专门机构或指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。 第十三条 企业应当在董事会下设立审计委员会。审计委员会负责审查企业内部控制，监督内部控制的有效实施和

23、内部控制自我评价情况，协调内部控制审计及其他相关事宜等。 审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。 第十四条 企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。 企业应当通过编制内部管理手册，使全体员工掌握内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。 第十五条 企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。 内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告;对监督检查中发现的内部

24、控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。 第十六条 企业应当制定和实施有利于企业可持续发展的人力资源政策。人力资源政策应当包括下列内容: (一)员工的聘用、培训、辞退与辞职。 (二)员工的薪酬、考核、晋升与奖惩。 (三)关键岗位员工的强制休假制度和定期岗位轮换制度。 (四)掌握国家秘密或重要商业秘密的员工离岗的限制性规定。 (五)有关人力资源管理的其他政策。 第十七条 企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。 第十八条 企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创

25、新和团队协作精神，树立现代管理理念，强化风险意识。 董事、监事、经理及其他高级管理人员应当在企业文化建设中发挥主导作用。 企业员工应当遵守员工行为守则，认真履行岗位职责。 8 第十九条 企业应当加强法制教育，增强董事、监事、经理及其他高级管理人员和员工的法制观念，严格依法决策、依法办事、依法监督，建立健全法律顾问制度和重大法律纠纷案件备案制度。 第三章 风险评估 第二十条 企业应当根据设定的控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估。 第二十一条 企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。 风险承受度是企业能够承担的风

26、险限度，包括整体风险承受能力和业务层面的可接受风险水平。 第二十二条 企业识别内部风险，应当关注下列因素: (一)董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素。 (二)组织机构、经营方式、资产管理、业务流程等管理因素。 (三)研究开发、技术投入、信息技术运用等自主创新因素。 (四)财务状况、经营成果、现金流量等财务因素。 (五)营运安全、员工健康、环境保护等安全环保因素。 (六)其他有关内部风险因素。 第二十三条 企业识别外部风险，应当关注下列因素: (一)经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素。 (二)法律法规、监管要求等法律因素。 (三)

27、安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素。 (四)技术进步、工艺改进等科学技术因素。 (五)自然灾害、环境状况等自然环境因素。 (六)其他有关外部风险因素。 第二十四条 企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。 企业进行风险分析，应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。 第二十五条 企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。 企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风

28、险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。 9 第二十六条 企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。 风险规避是企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。 风险降低是企业在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。 风险分担是企业准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。 风险承受是企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者

29、减轻损失的策略。 第二十七条 企业应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。 第四章 控制活动 第二十八条 企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。 控制措施一般包括:不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。 第二十九条 不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。 第三十条 授

30、权审批控制要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。 企业应当编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权。特别授权是指企业在特殊情况、特定条件下进行的授权。 企业各级管理人员应当在授权范围内行使职权和承担责任。 企业对于重大的业务和事项，应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。 第三十一条 会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理

31、程序，保证会计资料真实完整。 企业应当依法设置会计机构，配备会计从业人员。从事会计工作的人员，必须取得会计从业资格证书。会计机构负责人应当具备会计师以上专业技术职务资格。 大中型企业应当设置总会计师。设置总会计师的企业，不得设置与其职权重叠的副职。 10 第三十二条 财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。 企业应当严格限制XX的人员接触和处置财产。 第三十三条 预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。 第三十四条 运营分析控制要求企业建立运营情况分析制度，经理层应当综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。 第三十五条 绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系，对企业内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。 第三十六条 企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。 第三十七条 企业应当建立重大风险预警机制