05章 企业内部控制 调整后.docx

05章 企业内部控制 调整后.docx

《05章 企业内部控制 调整后.docx》由会员分享，可在线阅读，更多相关《05章 企业内部控制 调整后.docx（34页珍藏版）》请在冰豆网上搜索。

05章企业内部控制调整后

第五章　企业内部控制

　　考点分析

内部控制的目标和原则、内部控制五要素、内部控制建设的组织形式、企业和业务层面控制（比如汇率风险、研发控制、组织架构控制、业务外包以及投资决策等）、内部控制评价以及内部控制审计、企业风险管理。

　　内容框架

（1）内控规范体系框架

（2）内部控制体系建设

　　（3）内部控制评价和审计

　　（4）企业风险管理

　　本章的主要内容包括：

　　一是内部控制的目标、原则与要素。

　　●内部控制目标5项内容：

促进遵循国家法律法规；促进维护资产安全、促进提高信息报告质量；促进提高经营效率和效果；促进实现发展战略。

　　●内部控制原则5项内容：

全面性原则；重要性原则；制衡性原则；适应性原则；成本效益原则。

　　●內部控制要素5项内容：

内部环境、风险评估、控制活动、信息与沟通和内部监督。

　　二是企业内部控制建设的组织形式。

　　内部控制建设是一项系统工程，需要企业董事会、监事会、经理层及内部各职能部门共同参与并承担相应的职责。

　　三是企业层面和业务层面控制。

　　●企业层面控制5项内容：

组织架构控制、发展战略控制、人力资源控制、社会责任控制和企业文化控制。

　　●业务层面控制13项内容：

资金活动控制、采购业务控制、资产管理控制、销售业务控制、研究与开发控制、工程项目控制、担保业务控制、业务外包控制、财务报告控制、全面预算控制、合同管理控制、内部信息传递控制和信息系统控制。

　　四是内部控制信息系统建设。

利用信息化手段整合和优化内部控制系统。

　　五是内部控制评价。

内部控制评价，是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。

　　六是内部控制审计。

内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。

　　七是企业风险管理。

风险管理是企业从战略制定到日常经营过程中对待风险的一系列信念与态度，目的是确定可能影响企业的潜在事项，并进行管理，为实现企业的目标提供合理的保证。

包括风险识别、风险分析及风险应对策略。

　　考点一：

内部控制的目标、原则与要素

　　一、内部控制定义

　　●內部控制的定义：

內部控制是由企业董事会、监事会、经理层和全体员工共同实施的、旨在实现控制目标的过程。

　　○董事会：

董事会是內部控制实施的主体之一，此外，董事会、董事长也应受内部控制制约。

　　○实施主体：

董事会是决策者，经理层是执行者，监事会是监督者，他们都是內部控制实施的主体；此外，內部控制还需要全体员工的参与实施。

　　○过程：

內部控制不能凌驾于企业经营活动之上，它必须嵌入企业生产经营的整个过程；过程是动态的，适合企业的才是最好的。

　　二、内部控制目标

　　●内部控制的目标：

是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。

（一）促进遵循国家法律法规（合规目标）

　　守法和诚信是企业健康发展的基石。

逾越法律的短期发展终将付出沉重代价。

内部控制要求企业必须将发展置于国家法律法规允许的基本框架之下，在守法的基础上实现自身的发展。

（二）促进维护资产安全（资产目标）

　　资产安全是投资者、债权人和其他利益相关者普遍关注的重大问题，是企业可持续发展的物质基础。

良好的内部控制，应当为资产安全提供扎实的制度保障。

　　（三）促进提高信息报告质量（报告目标）

　　可靠及时的信息报告能够为企业管理层提供适合其既定目的的准确而完整的信息、支持管理层的决策和对营运活动及业绩的监控；同时，保证对外披露的信息报告的真实、完整，有利于提升企业的诚信度和公信力，维护企业良好的声誉和形象。

　　（四）促进提高经营效率和效果（经营目标）

　　该目标要求企业结合自身所处的特定的内外部环境，通过建立健全有效的内部控制，不断提高营运活动的盈利能力和管理效率。

　　（五）促进企业实现发展战略（战略目标）

　　这是内部控制的终极目标。

它要求企业将近期利益与长远利益结合起来，在企业经营管理中努力作出符合战略要求、有利于提升可持续发展能力和创造长久价值的策略选择。

　　○注意：

上述目标之间有交叉。

　　三、内部控制原则

　　·全面性原则：

贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。

　　·重要性原则：

在全面控制的基础上，关注重要业务事项和高风险领域。

　　·制衡性原则：

在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督的机制，同时兼顾运营效率。

　　·适应性原则：

应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。

　　·成本效益原则：

应当权衡实施成本与预期效益，以适当的成本实现有效控制。

　　内部控制原则是企业建立与实施内部控制应当遵循的基本准绳。

企业建立与实施内部控制应当遵循五项原则，即全面性、重要性、制衡性、适应性和成本效益原则。

（一）全面性原则

　　内部控制应当贯穿决策、执行和监督的全过程，覆盖企业及其所属单位的各种业务和事项，实现全过程、全员性控制，不存在内部控制空白点。

（二）重要性原则

　　内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域，并采取更为严格的控制措施，确保不存在重大缺陷。

　　重要性原则的应用需要一定的职业判断，企业应当根据所处行业环境和经营特点，从业务事项的性质和涉及金额两方面来考虑是否及如何实行重点控制。

　　（三）制衡性原则

　　内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督的机制，同时兼顾运营效率。

　　制衡性原则要求企业完成某项工作必须经过互不隶属的两个或两个以上的岗位和环节；同时，还要求履行内部控制监督职责的机构或人员具有良好的独立性。

　　（四）适应性原则

　　内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化加以调整。

　　适应性原则要求企业建立与实施内部控制应当具有前瞻性，适时地对内部控制系统进行评估，发现可能存在的问题，并及时采取措施予以补救。

　　（五）成本效益原则

　　内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。

成本效益原则要求企业内部控制建设必须统筹考虑投入成本和产出效益之比。

　　成本效益原则的判断需要从企业整体利益出发，尽管某些控制会影响工作效率，但可能会避免整个企业面临更大损失，此时仍应实施相应控制。

　　四、内部控制要素

　　内部控制五要素架构：

（一）内部环境

　　外部环境对企业内部控制的影响更多体现的是约束和规范，但不能把它作为内部控制系统的组成部分。

　　内部环境规定企业的纪律与架构，影响经营管理目标的制定，塑造企业文化氛围并影响员工的控制意识，是企业建立与实施内部控制的基础。

　　内部环境主要包括治理结构、机构设置及权责分配、内部审计机制、人力资源政策、企业文化等。

　　1.治理结构

　　企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确董事会、监事会和经理层在决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。

　　2.机构设置与权责分配

　　公司制企业中股东大会（权力机构）、董事会（决策机构）、监事会（监督机构）、总经理层（日常管理机构）这四个法定刚性机构为内部控制机构的建立、职责分工与制约提供了基本的组织框架，但并不能满足内部控制对企业组织结构的要求，内部控制机制的运作还必须在这一组织框架下设立满足企业生产经营所需要的职能机构。

　　●所采用的组织结构应当有利于提升管理效能，并保证信息通畅流动。

　　3.内部审计机制

　　企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。

　　4.人力资源政策

　　人力资源政策是影响企业内部环境的关键因素，它所包括员工的聘用、培训、评价、考核、晋升、奖惩等业务，向员工传达着有关诚信、道德行为和胜任能力的期望水平方面的信息，这些业务都与公司员工密切相关，而员工正是公司中执行内部控制的主体。

　　5.企业文化

　　企业文化体现为人本管理理论的最高层次。

企业文化重视人的因素，强调精神文化的力量，希望用一种无形的文化力量形成一种行为准则、价值观念和道德规范，凝聚企业员工的归属感、积极性和创造性，引导企业员工为企业和社会的发展而努力，并通过各种渠道对社会文化的大环境产生作用。

（二）风险评估

　　风险评估是企业及时识别、科学分析经营活动中与实现控制目标相关的风险，合理确定风险应对策略，是实施内部控制的重要环节。

　　风险评估主要包括目标设定、风险识别、风险分析和风险应对。

　　1.目标设定

　　风险是指一个潜在事项的发生对目标实现产生影响的可能性。

风险与可能被影响的控制目标相关联。

　　企业必须制定与生产、销售、财务等业务相关的目标，设立可辨认、分析和管理相关风险的机制，以了解企业所面临的来自内部和外部的各种不同风险。

　　企业开展风险评估，应当准确识别与实现控制目标相关的内部风险与外部风险，确定相应的风险承受度。

风险承受度是企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平。

　　2.风险识别

　　企业不仅要识别内部风险，还要识别与控制目标相关的各类外部风险。

　　3.风险分析

　　风险分析是在风险识别的基础上对风险发生的可能性、影响程度等进行描述、分析、判断，并确定风险重要性水平的过程。

　　对固有风险，即不采取任何防范措施可能造成的损失程度进行分析，同时，重点分析剩余风险，即采取了相应应对措施之后仍可能造成的损失程度。

　　企业应当按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。

　　4.风险应对

　　企业应当在分析相关风险的可能性和影响程度基础上，结合风险承受度，权衡风险与收益，确定风险应对策略。

　　常用的风险应对策略有：

风险规避、风险承受、风险降低和风险分担。

（本部分内容结合本章第四节相关内容进行学习）。

以上策略往往结合运用。

　　（三）控制活动

　　控制活动是指企业根据风险应对策略，采用相应的控制措施，将风险控制在可承受度之内，是实施内部控制的具体方式。

　　常见的控制措施有：

　　1.不相容职务分离控制

　　所谓不相容职务，是指那些如果由一个人担任既可能发生错误和舞弊行为，又可能掩盖其错误和舞弊行为的职务。

　　2.授权审批控制：

常规授权和特殊授权

　　授权批准是指企业在办理各项经济业务时，必须经过规定程序的授权批准。

对于重大的业务和事项，企业应当实行集体决策审批或者联签制度。

　　3.会计系统控制

　　会计系统控制主要是通过对会计主体所发生的各项能用货币计量的经济业务进行记录、归集、分类、编报等进行的控制。

　　4.财产保护控制

　　财产保护控制的措施主要包括：

财产记录和实物保管；定期盘点和账实核对；限制接近。

　　5.预算控制

　　通过预算控制，使得企业的经营目标转化为各部门、各个岗位以至个人的具体行为目标，作为各责任企业的约束条件，保证企业经营目标的实现。

　　6.运营分析控制

　　运营分析是对企业内部各项业务、各类机构的运行情况进行独立分析或综合分析，进而掌握企业运营的效率和效果，为持续的优化调整奠定基础。

　　7.绩效考评控制

　　绩效考评是对所属单位及个人占有、使用、管理与配置企业经济资源的效果进行的评价。

　　企业董事会及经理层可以根据绩效考评的结果进行有效决策，引导和规范员工行为，促进实现发展战略和提高经营效率效果。

　　另：

除上述常见控制措施外，企业还需建立重大风险预警机制和突发事件应急处理机制。

　　（四）信息与沟通

　　信息与沟通是实施内部控制的重要条件。

企业应当建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行。

　　信息与沟通的要件主要包括：

信息质量、沟通制度、信息系统、反舞弊机制。

　　1.信息质量：

内部信息和外部信息

　　企业日常生产经营需要收集各种内部信息和外部信息，并对这些信息进行合理筛选、核对、整合，提高信息的有用性。

　　企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息；

　　可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。

　　2.沟通制度：

　　重要信息须及时传递给董事会、监事会和经理层。

　　企业应当建立信息沟通制度，将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。

信息沟通过程中发现的问题，应当及时报告并加以解决。

　　3.信息系统：

技术层面

　　为提高控制效率，企业可以运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。

　　企业利用信息技术对信息进行集成和共享的同时，还应加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。

　　4.反舞弊机制：

反舞弊工作的重点包括：

　　1）XX或者采取其他不法方式侵占、挪用企业资产，牟取不当利益。

　　2）在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等。

　　3）董事、监事、经理及其他高级管理人员滥用职权。

　　4）相关机构或人员串通舞弊。

　　企业应当建立举报投诉制度和举报人保护制度，并将其及时传达至全体员工。

　　（五）内部监督

　　内部监督是实施内部控制的重要保证。

　　内部监督包括日常监督和专项监督。

　　日常监督和专项监督情况应当形成书面报告，并在报告中揭示存在的内部控制缺陷。

　　企业应当在日常监督和专项监督的基础上，定期对内部控制的有效性进行自我评价，出具自我评价报告。

　　·日常监督：

企业对建立与实施内部控制的情况进行常规、持续的监督检查。

　　·专项监督：

专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或者某些方面进行有针对性的监督检查。

专项监督的范围和频率应当根据风险评估结果以及日常监督的有效性等予以确定。

　　【案例题1】（2012年考题部分）甲公司为一家以饮品生产和销售为主业的上市公司。

2011年，甲公司根据财政部等五部委联合发布的《企业内部控制基本规范》及其配套指引，结合自身经营管理实际，制订了《企业内部控制手册》（以下简称《手册》），自2012年1月1日起实施。

为了检验实施效果，甲公司于2012年7月成立内部控制评价工作组，对内部控制设计与运行情况进行检查评价。

内部控制评价工作组接受审计委员会的直接领导，组长由董事会指定，组员由公司各职能部门业务骨干组成。

2012年9月，甲公司审计委员会召集公司内部相关部门对检查情况进行讨论，要点如下：

（1）关于内部环境，内部控制评价工作组在对内部环境要素进行测试时，发现缺乏足够的证据说明企业文化建设和实施取得较好实效，人事部门负责人表示，公司领导对企业文化建设的重视是无形的，难以量化，且人事部门已制定并计划宣传贯彻《员工行为守则》，可以说明企业文化建设和实施有效。

（2）关于风险评估，甲公司于2012年1月支付2000万元，成为伦敦奥运会的赞助商；于2012年7月支付500万元，捐助西北某受灾地区。

内部控制评价工作组在对公司风险评估机制进行评价时，发现上述事项均未履行相应的风险评估程序，建议予以整改。

风险管理部门负责人表示，赞助伦敦奥运会对提升企业形象有利而无害，不存在风险；财务部门负责人认为，对外捐助属于履行社会责任，不需要评估风险。

　　（3）关于信息与沟通，内部控制评价工作组检查发现，所有风险信息均经由总经理向董事会报告。

建议确认为控制缺陷并加以整改，风险管理部门负责人表示，风险管理部门对总经理负责，符合公司组织结构、岗位职责与授权分工的规定，不应认定为控制缺陷。

　　（4）关于内部监督，内部审计部门负责人表示，年度内部控制评价工作组是由公司各部门抽调人员组成的临时工作团队，缺乏独立性，建议由内部审计部门承担相应的职责。

　　内部控制评价工作组负责人认为，其成员均接受过专业培训，接受审计委员会领导，有足够的专业胜任能力和权威性承担内部控制评价工作，而审计部门人手少、力量弱，现阶段无法有效承担年度评价职责。

　　要求：

根据资料

（1）

（2）（3）（4），针对内部环境、风险评估、信息与沟通、内部监督要素评价过程中的各种意见分歧，假如你是公司审计委员会主席，逐项说明是否赞同内部控制评价工作组的意见，并逐项说明理由。

　　『正确答案』

（1）资料

（1）关于内部环境

　　赞同内部控制评价工作组对没有足够的证据说明企业文化得以有效贯彻落实的判断。

　　理由：

企业文化贯彻落实的有效性应当获取充分的证据支持。

（2）资料

（2）关于风险评估

　　赞同内部控制评价工作组对公司风险评估机制存在缺陷的认定。

　　理由：

公司应当对赞助和捐赠事项履行风险评估程序。

　　（3）资料（3）关于信息与沟通

　　赞同内部控制评价工作组将所有风险信息均经由总经理向董事会报告认定为控制缺陷。

　　理由：

重大信息应及时传递给董事会、监事会和管理层。

　　（4）资料（4）关于内部监督

　　赞同内部控制评价工作组对内控评价机构选择的判断。

　　理由：

内部控制评价机构的选择不仅要考虑独立性，还要综合考虑其胜任能力和权威性，以及是否得到公司领导层的支持等。

　　考点二：

内部控制建设的组织形式

　　内部控制建设是一项系统工程，需要企业董事会、监事会、经理层及内部各职能部门共同参与并承担相应的职责。

　　1.董事会

　　董事会为公司最高业务执行机关，负有监督管理层的责任。

　　股东大会是公司的最高权力机构，而董事会是公司的最高决策机构，它们之间的关系也是一种委托—代理关系，董事会接受股东大会的委托，负责公司法人的战略和经营，必要时可撤换不称职的经理人员。

　　董事会对内部控制的建立健全和有效实施负责，定期召开董事会议，商讨内部控制建设中的重大问题并作出决策。

　　职责：

（1）科学选择经理层并对其实施有效监督；

（2）清晰了解企业内部控制的范围；

　　（3）就企业的最大风险承受度形成一致意见；

　　（4）及时知悉企业最重大的风险以及经理层是否恰当地予以应对。

　　2.审计委员会

　　审计委员会负责人应当具备相应的独立性、良好职业操守和专业胜任能力，由独立董事担任。

　　3.监事会

　　监事会对董事会建立与实施内部控制进行监督。

监事会监督不同于审计委员会对经理层的监督，是一种层次更高、独立性更高的再监督。

　　监事会主席及其成员应当定期参加董事会及下属审计委员会召开的涉及内部控制的会议，如对董事会及下属审计委员会有关内部控制的决策持有异议，或认为董事会和经理层成员存在舞弊行为，还可提议召开独立的监事会议。

　　4.经理层

　　经理层由董事会委任，是公司的代理人，经理层负责组织领导企业内部控制的日常运行。

职责：

（1）贯彻董事会及下属审计委员会对内部控制的决策意见；

（2）为其他高级管理人员提供内部控制方面的领导和指引；（3）定期与采购、生产、营销、财务、人事等职能部门和业务单元的负责人进行会谈，对其控制风险的措施及效果进行督导和核查等。

　　5.内部控制部门

　　企业建立与实施内部控制，可以根据需要成立专门的内部控制工作团队，以项目组的形式运作；也可以成立内部控制专职机构（或岗位），专门负责内部控制在企业内部各部门间的组织协调和日常性事务工作。

　　职责：

（1）制定内部控制手册并组织落实；

（2）确定各职能部门或业务单元对于内部控制的权利和义务；

　　（3）指导内部控制与其他经营计划和管理活动的整合；

　　（4）向董事会及其审计委员会或经理层报告内部控制建设进展情况和存在的问题等。

6.内部审计部门

　　内部审计部门在评价内部控制的有效性，以及提出改进建议等方面起着关键作用。

　　企业应当授予内部审计部门适当的权力以确保其独立地履行审计职责；内部审计部门负责人与董事会或审计委员会应保持畅通沟通；应当赋予内部审计部门追查异常情况的权力和提出处理处罚建议的权力。

　　7.财会部门

　　企业开展内部控制工作，要求财会部门不能将眼光仅仅局限于财务活动，而应贯穿于企业经营管理的全过程，在制定发展战略、分析评估风险和作出决策等环节扮演好关键的助手和参谋角色。

　　企业经理层应当赋予财会部门负责人参与相应决策的权力。

　　8.其他职能部门

　　企业内部各职能部门（或业务单位）及其全体员工都应当在建立与实施内部控制过程中承担相应职责并发挥积极作用。

　　考点三：

企业层面控制（5项）

　　企业层面控制，是指对企业控制目标的实现具有重大影响，与内部环境、风险评估、信息与沟通、内部监督直接相关的控制。

　　“应用指引”目前主要规定了与内部环境直接相关的有关控制。

　　一、组织架构控制：

主要风险；设计环节；运行环节

　　组织架构，是指企业按照国家有关法律法规、股东（大）会决议和企业章程，结合本企业实际，明确股东（大）会、董事会、监事会、经理层和企业内部各层级机构设置、职责权限、人员编制、工作程序和相关要求的制度安排。

（一）组织架构设计与运行中的主要风险

（二）组织架构设计环节的关键控制点及控制措施

　　1.董监高的职责权限、任职条件、议事规则和工作程序等应当根据国家有关法律法规的规定予以明确，企业的决策权、执行权和监督权应当相互分离，形成制衡。

　　2.企业的重大决策、重大事项、重要人事任免及大额资金支付业务（三重一大）等，应当按照规定的权限和程序实行集体决策审批或者联签制度。

任何个人不得单独进行决策或者擅自改变集体决策意见。

　　3.避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的工作机制。

　　4.按照不相容职务相互分离的要求，对各机构的职能进行科学合理的分解，确定具体岗位的名称、职责和工作要求等，明确各个岗位的权限和相互关系。

　　组织架构中的不相容职务通常包括：

可行性研究与决策审批;决策审批与执行;执行与监督检查等。

　　5.企业应当制定组织结构图、业务流程图、岗（职）位说明书和权限指引等内部管理制度或相关文件，使员工了解和掌握组织架构设计及权责分配情况，正确履行职责。

　　（三）组织架构运行环节的关键控制点及控制措施

　　1.全面梳理治理结构和内部机构

　　企业应当根据组织架构的设计规范，对现有治理结构和内部机构设置进行全面梳理，确保本企业治理结构、内部机构设置和运行机制等符合现代企业制度要求。

　　2.对子公司的监控

　　企业拥有子公司的，应当建立科学的投资管控制度，通过合法有效的形式履行出资人职责、维护出资人权益，重点关注子公司特别是异地、境外子公司的发展战略、年度财务预决算、重大投融资、重大担保、大额资金使用、主要资产处置、重要人事任免、内部控制体系建设等重要事项。

　　3.及时全面评估组织架构

　　企业应当定期对组织架构设计与运行的效率和效果进行全面评估，发现组织架构设计与运行中存在缺陷的，应当进行优化调整。

　　企业组织架构调整应当充分听取董事、监事、高级管理人员和其他员