企业内部控制规范讲解基本规范讲解.docx
《企业内部控制规范讲解基本规范讲解.docx》由会员分享，可在线阅读，更多相关《企业内部控制规范讲解基本规范讲解.docx（33页珍藏版）》请在冰豆网上搜索。
企业内部控制规范讲解基本规范讲解
第一章《企业内部控制基本规范》讲解
21世纪初，根据第二次修订的《会计法》，财政部制定发布了单位内部会计控制规范，包括《内部会计控制规范一基本规范（试行〉》和《内部会计控制规范一货币资金（试行〉》等一系列具体规范，实施效果很好。
在此基础上，结合国内国外经济发展形势变化，借鉴国际先进经验和做法，经过近十年的不断探索和完善，逐渐形成了企业内部控制规范体系，由《企业内部控制基本规范》（以下简称《基本规范》〉和配套指引组成。
《基本规范》在企业内部控制规范体系中处于最高层次，起统驭作用，建立了内部控制的总体框架和基本要求，是制定配套指引和完善企业内控制度的依据。
配套指引是《基本规范》的具体化，包括系列应用指引、评价指引和审计指引，将在后续章节中逐一进行讲解。
本章重点对《基本规范》加以解读。
《基本规范》共七章五十条，各章分别是：
总则、内部环境、风险评估、控制活动、信息与沟通、内部监督和附则。
―、关于总贝丨]
总则既是《基本规范》的总说明，也是配套指引乃至整个内控规范体系的总要求。
总则规定了企业内部控制规范体系的基本问题，包括制定与实施内部控制规范的意义、制定依据、适用范围、内控目标、原则、要素、组织实施、监督检查，以及引入注册会计师审计等制度安排。
（一）内部控制的意义和依据
《基本规范》第一条阐明了制定与实施内部控制规范的意义。
一是加强和规范企业内部控制的需要。
一般而言，各类存续企业大都建立了相应的管理制度，但是需要根据内控规范要求，对原有制度进行修改、完善和提升；对于新建企业，更需要依据内控规范，构建企业内控制度和管控流程。
二是有助于全面提升企业经营管理水平和风险防范能力，促进企业可持续发展。
全面提升企业经营管理水平和风险防范能力是内控体系的核心问题，尤其是在当前我国应对国际金融危机、加快转变经济发展方式的时代背景下，内控规范体系对于提升企业核心竞争力，促进企业在后金融危机时期可持续发展，具有特别重要的现实意义和深远的历史意义。
三是有利于维护社会主义市扬经济秩序和社会公众利益。
企业尤其是上市公司是创造社会财富的市场经济主体和宏观经济的细胞。
调整产业结构，转变发展方式，提升发展质量，维护市场经济秩序和社会公众利益，从企业做起至关重要。
广大企业也只有不断强化内部控制，才能实现维护市场经济秩序和社会公众利益的目标。
根据《基本规范》第一条规定，制定企业内部控制规范的基本依据是《中华人民共和国公司法》、《中华人民共和国证券法》、《中华人民共和国会计法》和其他有关法
律法规。
企业内部控制规范体系与上述法律法规是协调一致的。
从某种程度上讲，企业内控规范是贯彻落实上述法律法规，保证各类经济活动合法合规的具体制度和办法。
（二）企业内部控制规范的实范围和时间安排
《基本规范》第二条明确规定，企业内部控制规范适用于中华人民共和国境内设立的大中型企业。
首先是上市的大中型企业，包括境内外同时上市的公司和主板上市公司。
具体实施时间要求为：
自2011年1月1日起在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施行；在此基础上，择机在中小板和创业板上市公司施行。
对非上市公司的大中型企业，包括国有企业、国有控股企业和外商投资企业等，鼓励提前执行。
小企业和其他单位可以参照企业内部控制规范建立与实施内部控制。
对于其他单位包括行政事业单位和非营利组织，财政部将待企业内控规范体系建设与实施有序推开后，择机推进非企业单位的内控规范研究制定工作。
大中型企业和小企业的划分标准按照国家有关规定执行。
目前一般参照国家经贸委、国家计委、财政部、国家统计局《关于印发中小企业标准暂行规定的通知》（国经贸中小企〔2003〕143号）的规定执行。
如表1-1所示，其中大型和中型企业须同时满足所列各项条件的下限指标。
上市公司不区分规模，均应执行基本规范。
表1-1统计上大中小型企业划分标准
行业名称
指标名称
计算单位
大型
中型
小型
工业企业
从业人员数
人
2000及以上
300-2000以下
300以下
销侮额
万充
30000及以上
3000~30000以下
3000以下
资产总额
万元
40000及以上
4000~40000以下
4000以下
建筑业企业
从业人员数
人
3000及以上
600~3000以下
600以下
销售额
万元
30000及以上
3000“30000以下
3000以下
资产总额
万元
40000及以上
4000~40000以下
4000以下
批发业企业
从业人员数
人
200及以上
100~200以下
100以下
销售额
万元
30000及以上
3000~30000以下
3000以下
零哲业企业
从业人员数
人
500及以上
100-500以下
100以下
销皙额
万元
15000及以上
1000~15000以下
1000以下
交通运输业企业
从业人员数
人
3000及以上
500-3000以下
500以下
销傻额
万元
30000及以上
3000~30000以下
3000以下
邮政业企业
从业人员数
人
1000及以上
400~1000以下
400以下
销售额
万元
30000及以上
3000~30000以下
3000以下
住宿和餐饮业企业
从业人员数
人
800及以上
400-800以下
400以下
销侮额
万元
15000及以上
3000~15000以下
3000以下
（三）内部控制的定义和目标
《基本规范》第三条明确指出，内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。
首先，这一定义强调了企业领导者尤其是董事会、监事会和经理层在建立与实施内部控制中的重要作用。
如果企业领导者对于内部控制没有足够的认识和高度的重视，内部控制是难以有效实施的。
其次，明确了内部控制是全体员工的共同责任。
企业的各级管理层和全体员工都应当树立现代管理理念，强化风险意识，以主人翁的姿态积极参与内部控制的建立与实施，并主动承担相应的责任，而不是被动地遵守内部控制相关规定。
最后，指明了内部控制是一个过程。
内部控制是对企业生产经营过程的控制，也是对实现企业发展目标过程的控制。
同时，内部控制又是一个不断优化完善的过程，只有起点，没有终点，必须坚持不懈、持之以恒地持续改进。
《基本规范》第三条第二款规定了内部控制的目标为五个方面。
一是合理保证企业经营管理合法合规；二是维护资产安全；三是保证财务报告及相关信息真实完整；四是提高经营效率和效果；五是促进企业实现发展战略。
企业经营管理合法合规强调的是企业要在法律允许的经营范围内开展经营活动，严禁违法经营、非法获利。
资产安全主要是防止资产流失。
要确保企业的各项存款等货币资金的安全，防止被挪用、转移、侵占、盗窃。
同时还要保护实物资产，防止低价出售，要充分发挥资产效能，提髙资产管理水平。
财务报告及相关信息反映了企业的经营业绩，乃至企业的价值增值过程。
财务报告反映企业的过去与现状，并可预测企业的未来发展，是投资人进行投资决策、债权人进行信贷决策、管理者进行管理决策和宏观经济调控部门进行政策决策的重要依据。
同时，财务报告作为社会公共产品，其真实完整地体现了企业履行的社会责任。
提高经营效率和效果构成企业内部控制的重要目标。
企业建立和实施内部控制的内在要求之一是相互制銜、相互监督，这一要泶看似与提高效率效果相矛盾，实际上是协调一致的。
因为忽视控制的经营管理，将导致重大风险的发生，可能造成企业难以为继，最终降低了经营的效率效果。
因此，企业必须正确认识和处理强化内部控制与提髙效率效果的关系。
促进企业实现发展战略是内部控制的最高目标，也是终极目标。
只要企业在内控上下工夫，切实保证经营管理合法合规、资产安全完整、财务报告及相关信息真实可靠、经营效率效果稳步提高，就一定能提高核心竞争力，促进实现发展战略。
在上述五个控制目标中，企业经营管理合法合规、资产安全完整、财务报告及相关信息真实完整是内部控制的基础目标。
我国早期的内部控制是从基础目标开始的。
在现代市场经济条件下，建立现代企业制度，促进企业长远发展，不仅要求企业必须围绕这3个基础目标真抓实干，而且必须在提高经营效率和效果上更上一层楼，最终促进企业实现发展战略。
（四）内部控制的原则
《基本规范》第四条规定了企业建立与实施内部控制的五项原则：
一是全面性原则；二是重要性原则；三是制衡性原则；四是适应性原则；五是成本效益原则。
全面性原则强调内部控制应当贯穿决策、执行和监督的全过程，覆盖企业及其所属单位的各种业务和事项。
千里之堤溃于蚁穴。
企业建立和实施内部控制应当避免存在盲区和空白，一定要将相关控制渗透到决策、执行、监督等各个管理环节，实现全
面、全员、全过程控制。
重要性原则要求内部控制在兼顾全面的基础上，格外关注重要业务事项和高风险领域。
这一原则强调企业建立与实施内部控制应当突出重点、兼顾一般，着力防范可能对企业产生“伤筋动骨”的重大风险。
比如，企业通常强调的“三重一大”，正是这一原则的充分体现。
又如，企业开展并购重组尤其是跨国并购重组过程中，就应当根据重要性原则，重点防范并购中的评估论证、定价机制、文化融合等重大风险。
制衡性原则要求内部控制在治理结构、机构设置及权责分配、业务流程等方面相互制约、相互监督，同时兼顾运营效率。
相互制衡是建立和实施内部控制的核心理念，更多地体现为不相容机构、岗位或人员的相互分离和制约。
无论是在企业决策、执行环节，还是在监督环节，如果做不到不相容岗位相互分离和制约，将会造成滥用职权或串通舞弊，导致内部控制的失败，给企业经营发展带来重大隐患。
适应性原则要求内部控制与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化加以调整。
这一原则强调的是企业建立与实施内部控制绝非—蹴而就，要克服一劳永逸的思想，做到与时俱进，在保持相对稳定的基础上不断加以优化改进。
在当今日益激烈的市场竞争环境中，经营风险更具复杂性和多变性。
企业应当根据内外部环境的变化，适时地对内部控制加以调整和完善，防止出现“道高一尺、魔高一丈”的现象。
成本效益原则要求实施内部控制必须权衡成本与效益，以适当的成本实现有效控制。
实施内部控制是要花费成本的，尤其是按照内部控制规范的要求，聘请注册会计师实施内部控制审计或弓I入外部咨询机构进行内部控制设计和评价工作，难免增加企业成本。
但从企业可持续发展的角度来权衡利弊，只有建立一套科学有效的内部控制体系并狠抓有效实施，才能真正做大做强，打造成“百年老店”，在澈烈的市场竞争中立于不败之地。
风物长宜放眼量。
企业应当克服短视之见，立足长远，抓好内部控制的建立与实施。
（五）内部控制的要素
《基本规范》第五条规定了内部控制的五要素，即内部环境、风险评估、控制活动、信息与沟通和内部监督。
内部控制五要素是立足我国国情、借鉴国际经验的产物。
1958年10月，美国会计师协会下属审计程序委员会发布《审计程序公告第29号》，将内部控制分为管理控制和会计控制。
1988年，美国注册会计师协会发布《审计准则公告第55号》，提出了“三分法”的概念，即内部控制包括控制环境、会计系统和控制程序三个部分。
1992年，美国0030委员会发布《内部控制整体框架》…（^。
报告〉，认为内部控制由控制环境、风险评估、控制活动、信息与沟通、监督五要素构成。
安然事件爆发后，出于全面加强风险管理的考虑，2004年美国0030委员会制定了《企业风险管理整合框架》，在五要素的基础上，将风险评估拆分、细化为目标设定、事项识别、风险评估和风险应对，从而形成八要索的框架。
尽管如此，美国上市公司按照萨班斯法案404条款的要求进行财务报告内部控制管理层评价和注册会计师审计时，其评价
和审计的依据仍是1992年0050报告的五要索。
根据我国实际情况，《基本规范》确立的仍是内部控制的五要素，但吸收了〔050八要索的全部成分。
正因为如此，美国0030委员会在《基本规范》发布会上的贺信中明确指出，《基本规范》与包括0050内控框架在内的世界领先的内部控制框架在所有主要方面保持了一致。
我国内部控制规范体系的目标、对象和要素的关系，如图1-1所承。
：
；'"？
-：
/^'^
信息与沟通
控制活动
图1-1内部控制目标、对象和要素三位一体图（六）内部控制的组织实施
内部控制规范建设是一项系统工程，内部控制的实施更为关键。
《基本规范》的第六条至第十条分别从企业、政府部门、中介机构三个不同的角度对确保企业内部控制的有效实施提出严格要求。
第一，企业建立和实施内部控制，至少要做好三个方面的工作。
一是按照《基本规范》第六条的规定，根据有关法律法规、本规范及配套指引，制定本企业的内部控制制度并组织实施。
企业主要负责人应当重视内控工作，加强组织领导，成立工作组，组织专门人员，制定工作方案，结合本企业实际情况，对企业内控制度和管控流程进行全面梳理优化。
二是按照《基本规范》第七条的规定，根据修订后的企业内控制度和管控流程，组织软件专业人员对现有的信息系统进行改造升级，将优化后的流程固化到信息系统中，促进内部控制流程与信息系统的有机结合，从而实现对业务和事项的自动控制，减少或消除人为操纵因素。
三是根据《基本规范》第八条的规定，建立和完善实施内部控制的激励约束机制，将各责任单位和全体员工实施内部控制的情况纳人绩效考评体系，促进内部控制的有效实施。
：
傘乂'令二：
：
：
：
:
:
.
焱务活动2业务；3动1哚务单元0
第二，企业应当聘请注册会计师对内部控制的建立与实施情况进行审计，并出具审计报告。
对于内部控制的设计和评价工作，企业可以聘请中介机构提供专业咨询服务，并积极做好配合工作。
企业可以聘请同一家会计师事务所开展财务报告和内部控
制整合审计，以促进审计资源的有效利用。
但为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务。
第三，强化政府有关监管部门对企业建立与实施内部控制的行政监督。
根据《基本规范》第九条规定，国务院有关部门，包括财政部、审计署、证监会、银监会、保监会、国资委等政府监管部门，应当根据有关法律法规和内部控制规范，明确贯彻实施内部控制规范的具体要求，并对企业建立与实施内部控制情况进行监督检查。
二、关于内部环境
《基本规范》第五条规定，内部环境是企业建立与实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。
内部环境影响着企业内部控制的方方面面，是内部控制其他四个构成要素的基础，在企业内部控制建立与实施中发挥着基础性作用。
现代企业如果没有良好的内部环境，内部控制就会形同虛设。
（一）组织架构
在内部环境中居于基础地位的是组织架构，包括治理结构、内部机构设置和权责分配。
企业实行现代企业制度，必须建立健全治理结构，科学设置内部机构，合理分配职责权限。
《基本规范》第十一条明确规定，企业应当根据国家有哭法律法规和企业章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，包括股东大会对重大事项的表决权、董事会的经营决策权、监事会的监督权、经理层的组织实施等，以形成科学有效的职责分工和制衡机制。
上述规定是与《公司法》等有关法律法规协调一致的。
在实践中，尽管上市公司和实行现代企业制度的非上市企业普遍按照上述有关要求不断完善治理结构，但扔存在决策和执行的交叉问题，如董事会和经理层的职权重叠、相互混淆。
如何处理好两者之间的关系，需要在实践中进―步探索，妥善加以解决。
从内部控制角度来讲，决策权和经营权相分离，体现了内部控制理念。
董事会和经理层应当厘清定位，履行各自相应的职责。
董事会应更多地从战略角度对企业发展的重大问题进行决策，经理层应落实董事会决议，更多地抓好决策执項于。
关于机构设置及权责分配，《基本规范》第十四条规定，企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。
这就要求企业编制内部管理手册，使全体员工掌握内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。
《基本规范》第十二条和第十三条规定了董事会、监事会、经理层在内部控制建立与实施方面的职责权限。
一是强调了董事会对内部控制的建立健全和有效实施负责。
监事会对董事会建立与实施内部控制进行监督。
董事会下设立审计委员会，负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。
审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。
二是经理层负责组织领导企业内部控制的日常运行。
有条件的企业应当成立专门机构，或者指定适当的机构，具体负责组织协调内部控制的建立实施及日常管理工作。
比如，中石油成立内部控制部，中石化在企业改革与管理部设立了内控处，具体牵头组织内部控制相关工作。
鉴于治理结构、机构设置及权责分配问题在内部控制建立与实施方面的基础性作用，财政部等五部委在配套指引中单独制定了《企业内部控制应用指引第1号一组织架构》，明确了组织架构方面的主要风险点及相关内部控制措施。
（二）人力资源
人力资源作为内部环境的重要组成部分，是指企业在建立和完善组织架构的基础上，如何充分发挥“人”的作用。
“人”是企业中最重要最活跃的因素，是企业发展的源泉和动力，也是某些风险的制造者和内部控制的实施者。
再好的制度，也需要“人”去执行。
好的制度必须配备结构合理的优秀人力资源。
《基本规范》第十六条和第十七条规定，企业应当制定和实施有利于企业可持续发展的人力资源政策，明确了人力资源政策的主要内容，强调要将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工索质。
通常情况下，人力资源管理最应关注的是留住、用好“人才”，首先是管理团队，其次是专业技术团队，然后是企业全体员工。
因此，在配套指引中单独制定了《企业内部控制应用指引第3号一人力资源》，全面论述了人力资源在企业发展中的重要作用，提出了人力资源管理中的主要风险点及控制措施。
（三）企业文化
企业文化作为软实力，其在企业经营发展中的深层次影响和决定性作用日益显现出来。
《基本规范》第十八条和第十九条对企业文化建设提出了基本要求，规定企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导团队协作精神，树立现代管理理念，强化風险意识；同时，强调董事、监事、经理及其他高级管理人员应当在企业文化建设中发挥主导作用，强调高管人员应增强法律观念和意识，严格依法决策、依法办事、依法监督。
因此，在企业内部控制配套指引中单独制定了《企业内部控制应用指引第5号一一企业文化》，明确了企业文化建设的风险点及主要管控措施。
（四）内部审计
《基本规范》突出了内部审计独立于内部控制设计与执行的地位和作用。
《基本规范》第十五条规定，企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。
内部审计在内部控制中的职责主要是对内部控制的有效性进行监督检查，对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。
在实务中，部分企业建立了专门的内部控制机构，也有一部分企业没有建立内部控制机构，而是由内部审计机构代为履行内部控制相关职责。
企业应当按照内部控制监督检查与评价独立于内部控制的设计和运行的原则，逐步建立健全权责明晰的内部
控制相关机构或强化内部审计机构在内部控制监督检查与评价中的作用。
除此之外，发展战略和社会责任也属于内部环境的重要组成部分。
考虑到发展战略同属于控制目标，社会责任同属于控制活动，在配套指引中专门制定了《企业内部控制应用指引第2号一一发展战略》和《企业内部控制应用指引第4号一一社会责任》两个内部环境类应用指引，明确了企业制定、实施发展战略和履行社会责任的主要风险点及管控措施。
三、关于风险评恬
风险评估由目标设定、风险识别、风险分析和风险应对构成。
风险评估是内部控制的重要环节，在企业生产经营过程中，只有进行科学的风险评估，自觉地将风险控制在可承受范围之内，才能实现企业的可持续发展。
现代企业面临激烈的市场竞争，风险无处不在。
企业要生存发展，就必然要面对来自内外部的各种各样的风险。
换句话说，企业总是在应对各类风险和拿兆战的过程中贏得生存和发展。
风险并不可怕，可怕的是没有风险意识，不知晓风险，不能准确地识别风险，不能采取有效的风险应对策略。
忽视风险盲目发展，必然导致企业处于不利地位甚至破产倒闭。
不做事不发展看似没有风险，然而逆水行舟不进则退，不发展本身也是一种风险。
风险评估贯穿于企业生产经营过程的始终，也贯穿于内部控制的始终。
（一）目标设定
《基本规范》第二十条规定，企业应当根据设定的控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估。
这里所指的设定的控制目标主要是指总则中规定的内部控制五目标。
如前所述，企业实现了内部控制的五个方面的目标，就能够实现可持续发展，就能够转变发展方式。
实现企业经营的合法合规，需要进行风险评估；实现资产安全目标，需要进行风险评估；实现财务报告及相关信息真实完整，需要进行风险评估；实现提高经营效率和效果，需要进行风险评估；实现企业发展战略，需要进行风险评估。
所以风险评估首先要设定目标。
目标设定后，要根据既定目标有计划地全面、系统、持续地收集内外部相关信息。
企业可以利用信息化手段，加大信息收集量，提髙信息的准确性和及时性，以使企业结合实际情况，及时进行风险评估。
（二）风险识别
风险识别是在目标设定的基础上，密切关注内外部主要风险因素。
《基本规范》第二十二条和第二十三条列示了企业内外部各种风险因索。
配套指引中的系列应用指引列出了企业至少应当关注的主要风险，这些风险是在企业内部控制实施过程中，通过日常或定期的评依程序与方法加以识别。
这些风险因素具体化为各项应用指引中的主要风险。
在企业生产经营过程中，应将各类风险进行分类整理，形成企业的风险清单。
（三）风险分析
根据《基本规范》第二十四条的规定，风险分析是指在风险识别的基础上，采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
企业进行风险分析，应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。
风险的定性分析，是指通过观察与分析，借助于经验和判断对风险进行分析的方法。
定性分析一般不需要运用大量的统计资料，使用起来简单易行。
诙方法主要是通过问卷、面谈及研讨会等形式进行风险分析，依靠专业人员的经验和直觉，或者行业标准及惯例等，对风险相关要素的大小或高低程度进行定性分级。
在不需要进行量化时，或者进行定量分析需要的数据无法取得，以及出于成本效益原则考虑釆用定量分析方法不经济时，一般应采用定性分析。
风险的定量分析，是指运用一些数据分析模型，将有关风险及其影响予以量化，在此基础上判断风险重要性程度的方法，如敏感度分析法和盈亏平衡分析法等。
定量分析需要对构成风险的各个要素和潜在损失程度赋予数值或货币金额，使风险分析的整个过程和结果均被量化。
定量分析的方法通常能够提供更高的精确度
升级会员 