企业内部控制规范讲解基本规范讲解.docx

1、企业内部控制规范讲解基本规范讲解第一章企业内部控制基本规范讲解21世纪初，根据第二次修订的会计法，财政部制定发布了单位内部会计控制 规范，包括内部会计控制规范一基本规范（试行和内部会计控制规范一 货币资金（试行等一系列具体规范，实施效果很好。在此基础上，结合国内国外 经济发展形势变化，借鉴国际先进经验和做法，经过近十年的不断探索和完善，逐渐形 成了企业内部控制规范体系，由企业内部控制基本规范（以下简称基本规范 和配套指引组成。基本规范在企业内部控制规范体系中处于最高层次，起统驭作 用，建立了内部控制的总体框架和基本要求，是制定配套指引和完善企业内控制度的依 据。配套指引是基本规范的具体化，包括

2、系列应用指引、评价指引和审计指引， 将在后续章节中逐一进行讲解。本章重点对基本规范加以解读。基本规范共七章五十条，各章分别是：总则、内部环境、风险评估、控制活 动、信息与沟通、内部监督和附则。 、关于总贝丨总则既是基本规范的总说明，也是配套指引乃至整个内控规范体系的总要 求。总则规定了企业内部控制规范体系的基本问题，包括制定与实施内部控制规范的 意义、制定依据、适用范围、内控目标、原则、要素、组织实施、监督检查，以及引 入注册会计师审计等制度安排。 (一）内部控制的意义和依据基本规范第一条阐明了制定与实施内部控制规范的意义。一是加强和规范企 业内部控制的需要。一般而言，各类存续企业大都建立了相

3、应的管理制度，但是需要 根据内控规范要求，对原有制度进行修改、完善和提升；对于新建企业，更需要依据 内控规范，构建企业内控制度和管控流程。二是有助于全面提升企业经营管理水平和 风险防范能力，促进企业可持续发展。全面提升企业经营管理水平和风险防范能力是 内控体系的核心问题，尤其是在当前我国应对国际金融危机、加快转变经济发展方式 的时代背景下，内控规范体系对于提升企业核心竞争力，促进企业在后金融危机时期 可持续发展，具有特别重要的现实意义和深远的历史意义。三是有利于维护社会主义 市扬经济秩序和社会公众利益。企业尤其是上市公司是创造社会财富的市场经济主体 和宏观经济的细胞。调整产业结构，转变发展方式

4、，提升发展质量，维护市场经济秩 序和社会公众利益，从企业做起至关重要。广大企业也只有不断强化内部控制，才能 实现维护市场经济秩序和社会公众利益的目标。根据基本规范第一条规定，制定企业内部控制规范的基本依据是中华人民 共和国公司法、中华人民共和国证券法、中华人民共和国会计法和其他有关法律法规。企业内部控制规范体系与上述法律法规是协调一致的。从某种程度上讲，企业 内控规范是贯彻落实上述法律法规，保证各类经济活动合法合规的具体制度和办法。 (二）企业内部控制规范的实范围和时间安排基本规范第二条明确规定，企业内部控制规范适用于中华人民共和国境内设 立的大中型企业。首先是上市的大中型企业，包括境内外同时

5、上市的公司和主板上市 公司。具体实施时间要求为：自2011年1月1日起在境内外同时上市的公司施行， 自2012年1月1日起扩大到在上海证券交易所、深圳证券交易所主板上市的公司施 行；在此基础上，择机在中小板和创业板上市公司施行。对非上市公司的大中型企 业，包括国有企业、国有控股企业和外商投资企业等，鼓励提前执行。小企业和其他 单位可以参照企业内部控制规范建立与实施内部控制。对于其他单位包括行政事业单 位和非营利组织，财政部将待企业内控规范体系建设与实施有序推开后，择机推进非 企业单位的内控规范研究制定工作。大中型企业和小企业的划分标准按照国家有关规定执行。目前一般参照国家经贸 委、国家计委、财

6、政部、国家统计局关于印发中小企业标准暂行规定的通知（国 经贸中小企2003143号）的规定执行。如表1-1所示，其中大型和中型企业须 同时满足所列各项条件的下限指标。上市公司不区分规模，均应执行基本规范。表1 -1 统计上大中小型企业划分标准行业名称指标名称计算单位大型中型小型工业企业从业人员数人2 000及以上300-2 000 以下300以下销侮额万充30 000及以上3 00030 000 以下3 000以下资产总额万元40 000及以上4 000 40 000 以下4 000以下建筑业企业从业人员数人3 000及以上600 3 000 以下600以下销售额万元30 000及以上3 00

7、0 “30 000 以下3 000以下资产总额万元40 000及以上4 000 40 000 以下4 000以下批发业企业从业人员数人200及以上100 200 以下100以下销售额万元30 000及以上3 00030 000 以下3 000以下零哲业企业从业人员数人500及以上100-500 以下100以下销皙额万元15 000及以上1 000 15 000 以下1 000以下交通运输业企业从业人员数人3 000及以上500-3 000 以下500以下销傻额万元30 000及以上3 00030 000 以下3 000以下邮政业企业从业人员数人1 000及以上400 1 000 以下400以下

8、销售额万元30 000及以上3 000 30 000 以下3 000以下住宿和餐饮业企业从业人员数人800及以上400 - 800 以下400以下销侮额万元15 000及以上3 000 15 000 以下3 000以下(三）内部控制的定义和目标基本规范第三条明确指出，内部控制是由企业董事会、监事会、经理层和全 体员工实施的、旨在实现控制目标的过程。首先，这一定义强调了企业领导者尤其是董事会、监事会和经理层在建立与实施 内部控制中的重要作用。如果企业领导者对于内部控制没有足够的认识和高度的重 视，内部控制是难以有效实施的。其次，明确了内部控制是全体员工的共同责任。企 业的各级管理层和全体员工都应

9、当树立现代管理理念，强化风险意识，以主人翁的姿 态积极参与内部控制的建立与实施，并主动承担相应的责任，而不是被动地遵守内部 控制相关规定。最后，指明了内部控制是一个过程。内部控制是对企业生产经营过程 的控制，也是对实现企业发展目标过程的控制。同时，内部控制又是一个不断优化完 善的过程，只有起点，没有终点，必须坚持不懈、持之以恒地持续改进。基本规范第三条第二款规定了内部控制的目标为五个方面。一是合理保证企 业经营管理合法合规；二是维护资产安全；三是保证财务报告及相关信息真实完整； 四是提高经营效率和效果；五是促进企业实现发展战略。企业经营管理合法合规强调的是企业要在法律允许的经营范围内开展经营活

10、动， 严禁违法经营、非法获利。资产安全主要是防止资产流失。要确保企业的各项存款等货币资金的安全，防止 被挪用、转移、侵占、盗窃。同时还要保护实物资产，防止低价出售，要充分发挥资 产效能，提髙资产管理水平。财务报告及相关信息反映了企业的经营业绩，乃至企业的价值增值过程。财务报 告反映企业的过去与现状，并可预测企业的未来发展，是投资人进行投资决策、债权 人进行信贷决策、管理者进行管理决策和宏观经济调控部门进行政策决策的重要依 据。同时，财务报告作为社会公共产品，其真实完整地体现了企业履行的社会责任。提高经营效率和效果构成企业内部控制的重要目标。企业建立和实施内部控制的 内在要求之一是相互制銜、相互

11、监督，这一要泶看似与提高效率效果相矛盾，实际上 是协调一致的。因为忽视控制的经营管理，将导致重大风险的发生，可能造成企业难 以为继，最终降低了经营的效率效果。因此，企业必须正确认识和处理强化内部控制 与提髙效率效果的关系。促进企业实现发展战略是内部控制的最高目标，也是终极目标。只要企业在内控 上下工夫，切实保证经营管理合法合规、资产安全完整、财务报告及相关信息真实可 靠、经营效率效果稳步提高，就一定能提高核心竞争力，促进实现发展战略。在上述五个控制目标中，企业经营管理合法合规、资产安全完整、财务报告及相 关信息真实完整是内部控制的基础目标。我国早期的内部控制是从基础目标开始的。 在现代市场经济

12、条件下，建立现代企业制度，促进企业长远发展，不仅要求企业必须 围绕这3个基础目标真抓实干，而且必须在提高经营效率和效果上更上一层楼，最终 促进企业实现发展战略。 (四）内部控制的原则基本规范第四条规定了企业建立与实施内部控制的五项原则：一是全面性原 则；二是重要性原则；三是制衡性原则；四是适应性原则；五是成本效益原则。全面性原则强调内部控制应当贯穿决策、执行和监督的全过程，覆盖企业及其所 属单位的各种业务和事项。千里之堤溃于蚁穴。企业建立和实施内部控制应当避免存 在盲区和空白，一定要将相关控制渗透到决策、执行、监督等各个管理环节，实现全面、全员、全过程控制。重要性原则要求内部控制在兼顾全面的基

13、础上，格外关注重要业务事项和高风险 领域。这一原则强调企业建立与实施内部控制应当突出重点、兼顾一般，着力防范可 能对企业产生“伤筋动骨”的重大风险。比如，企业通常强调的“三重一大”，正是 这一原则的充分体现。又如，企业开展并购重组尤其是跨国并购重组过程中，就应当 根据重要性原则，重点防范并购中的评估论证、定价机制、文化融合等重大风险。制衡性原则要求内部控制在治理结构、机构设置及权责分配、业务流程等方面相 互制约、相互监督，同时兼顾运营效率。相互制衡是建立和实施内部控制的核心理 念，更多地体现为不相容机构、岗位或人员的相互分离和制约。无论是在企业决策、 执行环节，还是在监督环节，如果做不到不相容

14、岗位相互分离和制约，将会造成滥用 职权或串通舞弊，导致内部控制的失败，给企业经营发展带来重大隐患。适应性原则要求内部控制与企业经营规模、业务范围、竞争状况和风险水平等相 适应，并随着情况的变化加以调整。这一原则强调的是企业建立与实施内部控制绝非 蹴而就，要克服一劳永逸的思想，做到与时俱进，在保持相对稳定的基础上不断加 以优化改进。在当今日益激烈的市场竞争环境中，经营风险更具复杂性和多变性。企 业应当根据内外部环境的变化，适时地对内部控制加以调整和完善，防止出现“道 高一尺、魔高一丈”的现象。成本效益原则要求实施内部控制必须权衡成本与效益，以适当的成本实现有效控 制。实施内部控制是要花费成本的，

15、尤其是按照内部控制规范的要求，聘请注册会计 师实施内部控制审计或弓I入外部咨询机构进行内部控制设计和评价工作，难免增加企 业成本。但从企业可持续发展的角度来权衡利弊，只有建立一套科学有效的内部控制 体系并狠抓有效实施，才能真正做大做强，打造成“百年老店”，在澈烈的市场竞争 中立于不败之地。风物长宜放眼量。企业应当克服短视之见，立足长远，抓好内部控 制的建立与实施。(五）内部控制的要素基本规范第五条规定了内部控制的五要素，即内部环境、风险评估、控制活 动、信息与沟通和内部监督。内部控制五要素是立足我国国情、借鉴国际经验的产物。1958年10月，美国会 计师协会下属审计程序委员会发布审计程序公告第

16、29号，将内部控制分为管理 控制和会计控制。1988年，美国注册会计师协会发布审计准则公告第55号，提 出了 “三分法”的概念，即内部控制包括控制环境、会计系统和控制程序三个部分。 1992年，美国0030委员会发布内部控制整体框架(。报告，认为内部控 制由控制环境、风险评估、控制活动、信息与沟通、监督五要素构成。安然事件爆发 后，出于全面加强风险管理的考虑，2004年美国0030委员会制定了企业风险管 理整合框架，在五要素的基础上，将风险评估拆分、细化为目标设定、事项识别、 风险评估和风险应对，从而形成八要索的框架。尽管如此，美国上市公司按照萨班斯 法案404条款的要求进行财务报告内部控制管

17、理层评价和注册会计师审计时，其评价和审计的依据仍是1992年0050报告的五要索。根据我国实际情况，基本规范确 立的仍是内部控制的五要素，但吸收了050八要索的全部成分。正因为如此，美国 0030委员会在基本规范发布会上的贺信中明确指出，基本规范与包括 0050内控框架在内的世界领先的内部控制框架在所有主要方面保持了一致。 我国内部控制规范体系的目标、对象和要素的关系，如图1 -1所承。：； ？-：/ 信息与沟通控制活动图1-1内部控制目标、对象和要素三位一体图 (六）内部控制的组织实施内部控制规范建设是一项系统工程，内部控制的实施更为关键。基本规范的 第六条至第十条分别从企业、政府部门、中介

18、机构三个不同的角度对确保企业内部控 制的有效实施提出严格要求。第一，企业建立和实施内部控制，至少要做好三个方面的工作。一是按照基 本规范第六条的规定，根据有关法律法规、本规范及配套指引，制定本企业的内 部控制制度并组织实施。企业主要负责人应当重视内控工作，加强组织领导，成立工 作组，组织专门人员，制定工作方案，结合本企业实际情况，对企业内控制度和管控 流程进行全面梳理优化。二是按照基本规范第七条的规定，根据修订后的企业 内控制度和管控流程，组织软件专业人员对现有的信息系统进行改造升级，将优化后 的流程固化到信息系统中，促进内部控制流程与信息系统的有机结合，从而实现对业 务和事项的自动控制，减少

19、或消除人为操纵因素。三是根据基本规范第八条的 规定，建立和完善实施内部控制的激励约束机制，将各责任单位和全体员工实施内部 控制的情况纳人绩效考评体系，促进内部控制的有效实施。：傘乂令二 ：:.焱务活动2 业务；3动1 哚务单元0第二，企业应当聘请注册会计师对内部控制的建立与实施情况进行审计，并出具 审计报告。对于内部控制的设计和评价工作，企业可以聘请中介机构提供专业咨询服 务，并积极做好配合工作。企业可以聘请同一家会计师事务所开展财务报告和内部控制整合审计，以促进审计资源的有效利用。但为企业内部控制提供咨询的会计师事务 所，不得同时为同一企业提供内部控制审计服务。第三，强化政府有关监管部门对企

20、业建立与实施内部控制的行政监督。根据 基本规范第九条规定，国务院有关部门，包括财政部、审计署、证监会、银监 会、保监会、国资委等政府监管部门，应当根据有关法律法规和内部控制规范，明确 贯彻实施内部控制规范的具体要求，并对企业建立与实施内部控制情况进行监督 检查。二、关于内部环境基本规范第五条规定，内部环境是企业建立与实施内部控制的基础，一般包 括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。内部环 境影响着企业内部控制的方方面面，是内部控制其他四个构成要素的基础，在企业内 部控制建立与实施中发挥着基础性作用。现代企业如果没有良好的内部环境，内部控 制就会形同虛设。 (一）组

21、织架构在内部环境中居于基础地位的是组织架构，包括治理结构、内部机构设置和权责 分配。企业实行现代企业制度，必须建立健全治理结构，科学设置内部机构，合理分 配职责权限。基本规范第十一条明确规定，企业应当根据国家有哭法律法规和企业章程， 建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，包 括股东大会对重大事项的表决权、董事会的经营决策权、监事会的监督权、经理层的 组织实施等，以形成科学有效的职责分工和制衡机制。上述规定是与公司法等 有关法律法规协调一致的。在实践中，尽管上市公司和实行现代企业制度的非上市企 业普遍按照上述有关要求不断完善治理结构，但扔存在决策和执行的交叉问题

22、，如董 事会和经理层的职权重叠、相互混淆。如何处理好两者之间的关系，需要在实践中进 步探索，妥善加以解决。从内部控制角度来讲，决策权和经营权相分离，体现了内 部控制理念。董事会和经理层应当厘清定位，履行各自相应的职责。董事会应更多地 从战略角度对企业发展的重大问题进行决策，经理层应落实董事会决议，更多地抓好 决策执項于。关于机构设置及权责分配，基本规范第十四条规定，企业应当结合业务特点 和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。这 就要求企业编制内部管理手册，使全体员工掌握内部机构设置、岗位职责、业务流程 等情况，明确权责分配，正确行使职权。基本规范第十二条和第十

23、三条规定了董事会、监事会、经理层在内部控制建 立与实施方面的职责权限。一是强调了董事会对内部控制的建立健全和有效实施负 责。监事会对董事会建立与实施内部控制进行监督。董事会下设立审计委员会，负责 审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控 制审计及其他相关事宜等。审计委员会负责人应当具备相应的独立性、良好的职业操 守和专业胜任能力。二是经理层负责组织领导企业内部控制的日常运行。有条件的企 业应当成立专门机构，或者指定适当的机构，具体负责组织协调内部控制的建立实施 及日常管理工作。比如，中石油成立内部控制部，中石化在企业改革与管理部设立了 内控处，具体牵头组织内部

24、控制相关工作。鉴于治理结构、机构设置及权责分配问题在内部控制建立与实施方面的基础性作 用，财政部等五部委在配套指引中单独制定了企业内部控制应用指引第1号一组 织架构，明确了组织架构方面的主要风险点及相关内部控制措施。(二）人力资源人力资源作为内部环境的重要组成部分，是指企业在建立和完善组织架构的基础 上，如何充分发挥“人”的作用。“人”是企业中最重要最活跃的因素，是企业发展 的源泉和动力，也是某些风险的制造者和内部控制的实施者。再好的制度，也需要 “人”去执行。好的制度必须配备结构合理的优秀人力资源。基本规范第十六条 和第十七条规定，企业应当制定和实施有利于企业可持续发展的人力资源政策，明确

25、了人力资源政策的主要内容，强调要将职业道德修养和专业胜任能力作为选拔和聘用 员工的重要标准，切实加强员工培训和继续教育，不断提升员工索质。通常情况下， 人力资源管理最应关注的是留住、用好“人才”，首先是管理团队，其次是专业技术 团队，然后是企业全体员工。因此，在配套指引中单独制定了企业内部控制应用 指引第3号一人力资源，全面论述了人力资源在企业发展中的重要作用，提出了 人力资源管理中的主要风险点及控制措施。(三）企业文化企业文化作为软实力，其在企业经营发展中的深层次影响和决定性作用日益显现 出来。基本规范第十八条和第十九条对企业文化建设提出了基本要求，规定企业 应当加强文化建设，培育积极向上的

26、价值观和社会责任感，倡导团队协作精神，树立 现代管理理念，强化風险意识；同时，强调董事、监事、经理及其他高级管理人员应 当在企业文化建设中发挥主导作用，强调高管人员应增强法律观念和意识，严格依法 决策、依法办事、依法监督。因此，在企业内部控制配套指引中单独制定了企业 内部控制应用指引第5号一一企业文化，明确了企业文化建设的风险点及主要管控 措施。(四）内部审计基本规范突出了内部审计独立于内部控制设计与执行的地位和作用。基本 规范第十五条规定，企业应当加强内部审计工作，保证内部审计机构设置、人员 配备和工作的独立性。内部审计在内部控制中的职责主要是对内部控制的有效性进行 监督检查，对监督检查中发

27、现的内部控制重大缺陷，有权直接向董事会及其审计委员 会、监事会报告。在实务中，部分企业建立了专门的内部控制机构，也有一部分企业没有建立内部 控制机构，而是由内部审计机构代为履行内部控制相关职责。企业应当按照内部控制 监督检查与评价独立于内部控制的设计和运行的原则，逐步建立健全权责明晰的内部控制相关机构或强化内部审计机构在内部控制监督检查与评价中的作用。除此之外，发展战略和社会责任也属于内部环境的重要组成部分。考虑到发展战 略同属于控制目标，社会责任同属于控制活动，在配套指引中专门制定了企业内 部控制应用指引第2号一一发展战略和企业内部控制应用指引第4号一一社会责 任两个内部环境类应用指引，明确

28、了企业制定、实施发展战略和履行社会责任的 主要风险点及管控措施。三、关于风险评恬风险评估由目标设定、风险识别、风险分析和风险应对构成。风险评估是内部控 制的重要环节，在企业生产经营过程中，只有进行科学的风险评估，自觉地将风险控 制在可承受范围之内，才能实现企业的可持续发展。现代企业面临激烈的市场竞争， 风险无处不在。企业要生存发展，就必然要面对来自内外部的各种各样的风险。换句 话说，企业总是在应对各类风险和拿兆战的过程中贏得生存和发展。风险并不可怕，可 怕的是没有风险意识，不知晓风险，不能准确地识别风险，不能采取有效的风险应对 策略。忽视风险盲目发展，必然导致企业处于不利地位甚至破产倒闭。不做

29、事不发展 看似没有风险，然而逆水行舟不进则退，不发展本身也是一种风险。风险评估贯穿于 企业生产经营过程的始终，也贯穿于内部控制的始终。(一）目标设定基本规范第二十条规定，企业应当根据设定的控制目标，全面系统持续地收 集相关信息，结合实际情况，及时进行风险评估。这里所指的设定的控制目标主要是 指总则中规定的内部控制五目标。如前所述，企业实现了内部控制的五个方面的目 标，就能够实现可持续发展，就能够转变发展方式。实现企业经营的合法合规，需要 进行风险评估；实现资产安全目标，需要进行风险评估；实现财务报告及相关信息真 实完整，需要进行风险评估；实现提高经营效率和效果，需要进行风险评估；实现企 业发展

30、战略，需要进行风险评估。所以风险评估首先要设定目标。目标设定后，要根 据既定目标有计划地全面、系统、持续地收集内外部相关信息。企业可以利用信息化 手段，加大信息收集量，提髙信息的准确性和及时性，以使企业结合实际情况，及时 进行风险评估。(二）风险识别风险识别是在目标设定的基础上，密切关注内外部主要风险因素。基本规范 第二十二条和第二十三条列示了企业内外部各种风险因索。配套指引中的系列应用指 引列出了企业至少应当关注的主要风险，这些风险是在企业内部控制实施过程中，通 过日常或定期的评依程序与方法加以识别。这些风险因素具体化为各项应用指引中的 主要风险。在企业生产经营过程中，应将各类风险进行分类整

31、理，形成企业的风险 清单。(三）风险分析根据基本规范第二十四条的规定，风险分析是指在风险识别的基础上，采 用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险 进行分析和排序，确定关注重点和优先控制的风险。企业进行风险分析，应当充分吸 收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果 的准确性。风险的定性分析，是指通过观察与分析，借助于经验和判断对风险进行分析的方 法。定性分析一般不需要运用大量的统计资料，使用起来简单易行。诙方法主要是通 过问卷、面谈及研讨会等形式进行风险分析，依靠专业人员的经验和直觉，或者行业 标准及惯例等，对风险相关要素的大小或高低程度进行定性分级。在不需要进行量化 时，或者进行定量分析需要的数据无法取得，以及出于成本效益原则考虑釆用定量分 析方法不经济时，一般应采用定性分析。风险的定量分析，是指运用一些数据分析模型，将有关风险及其影响予以量化， 在此基础上判断风险重要性程度的方法，如敏感度分析法和盈亏平衡分析法等。定量 分析需要对构成风险的各个要素和潜在损失程度赋予数值或货币金额，使风险分析的 整个过程和结果均被量化。定量分析的方法通常能够提供更高的精确度