从合规走向风险导向内部控制体系

1天津市建设投资公司企业战略管理规划咨询项目建议书（讨论稿）（二零零九年六月，中国天津）天津倚天管理咨询有限公司天津倚天研发培训中心天津内部审计学会内部控制基本规范讲座（20090608）从合规走向风险导向内部控制体系演讲人：张庆龙教授财政部博士后硕士生导师青联委员国际管理咨询师2机密目录对内部控制相关理论的全面介绍内部控制的建立与运行3机密1.什么是企业的内部控制？4机密“本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果、促进企业实现发展战略。”——《企业内部控制基本规范》第三条内部控制是指由一个企业的董事会、管理层和其他员工共同实施的过程，旨在为下列目标的实现提供合理保证：经营的效果、财务报告的可靠性及相关法令的遵循性等目标。——COSO委员会1.1内部控制的定义5机密内部控制的基本出发点是以预防为主，而不是单纯为了对不良行为结果的处罚，这意味着每一项内部控制都向某一终点努力，但不是终点本身。这种过程控制可以节约控制成本、提高控制效率，如果仅强调对差错或舞弊结果的处罚，势必增加控制的成本和代价，总有昨日黄花、事后诸葛之弊端。以往管理者对内部控制的认识停留在内部控制是一种程序、方法、措施、政策等，其实这是一种误解。措施、方法和程序等静态的认识，会使企业的管理者认为，内部控制只是摆设而已，朝令夕改，且往往是亡羊补牢为时晚矣，这种事情在企业见得多了，因此，本来应有的重视，也会同其他管理制度一样漠不关心了。内部控制是一个过程，是一个防患于未然的过程，是一个发现问题、解决问题、发现新问题、解决新问题的循环往复的过程。1.1内部控制的定义6机密1.2内部控制的目标132根据规范，内部控制的目标是可以分类为遵循性目标、报告目标、经营目标和战略目标。即合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果、促进企业实现发展战略。其中，战略目标是最高目标，遵循性目标、报告目标、经营目标都与战略目标相联系，并努力实现之。为此，企业要实现上述目标，应确定全员、全过程、每一个管理层所要达到的具体目标，即每一个业务单元、分部、子公司的领导识别各自的目标，并与企业的总体目标相联系。一旦设定目标，就需要管理层识别风险和影响风险的事项、评估风险并采取控制措施和分配资源。7机密2.为什么企业要建立内部控制？8机密2.1公司治理层面2.2国际、国内环境层面2.3法律、法规层面为什么企业要建立内部控制？9机密首先问大家一个常识：什么是公司治理（管理）？2.1公司治理层面10机密公司委托代理模式下的矛盾投入的资本将一直留在企业，直到企业终止经营才会退出，股东投资是长期性的，股东资产的价值只有在不断的盈利中实现增值。股东要求企业保持持久地获利能力和竞争力，不能为了眼前的利益牺牲未来的利益。股东：追求的是收入、奖金等短期的个人利益，而且，由于管理者实际经营从而掌握公司内部经营信息，有条件作出有利于自己的决策，其行为容易向自己倾斜，为了自己的短期目标而损害股东的长期利益。（道德风险、逆向选择）…管理者：2.1公司治理层面11机密股东经营管理者公司治理的手段公司经营目标趋于一致解决信息不对称问题2.1公司治理层面12机密公司治理：一个时髦的概念世界经济合作和发展组织（OECD,1999）给出过一个定义：公司治理……涉及公司管理层、董事会、股东和其他利益相关者之间的一系列关系。公司治理也提供一个结构——通过该结构制定公司的目标，确定实现这些目标以及监督业绩的手段。良好的公司治理能够对董事会和管理层提供适当的激励，使他们努力实现代表公司和股东利益的目标，并能够促进有效的监督……2.1公司治理层面13机密公司治理的本质激励约束公司治理的本质整个公司治理就是在协调内部的这两者关系！一个都不能少2.1公司治理层面14机密薪酬制度内部控制与风险管理（包括内部审计）财务信息的审核制度（通过CPA审计制度来进行）123激励约束外部2.1公司治理层面15机密2.2国际、国内环境层面2.1公司治理层面2.3法律、法规层面为什么企业要建立内部控制？16机密美国2001年安然事件引发2002年萨班斯奥克斯利法案，重新提出企业内部控制建设的重要性，其中404条款建议采用1992年COSO报告。2004年COSO建立新的内部控制框架《企业风险管理：总体框架》，体现内部控制从审计视角向管理视角转变。英国加拿大1995年COCO报告1992年Cadbury报告2.2国际、国内环境层面17机密由最初抵押性贷款引发的世界性的金融危机，经济危机，让人们再一次认识到，风险管理是一个企业管理的核心，内部控制，尤其是以风险为导向的内部控制建设是企业自身管理完善的核心。我国市场经济还很不完善，但类似于中航油、中储棉、三鹿奶粉、国美电器等事件还是值得我们借鉴！今天2.2国际、国内环境层面18机密2.3法律、法规层面2.1公司治理层面2.2国际、国内环境层面为什么企业要建立内部控制？19机密2342001《内部会计控制-基本规范》财政部2002《商业银行内部控制指引》中国人民银行2005商业银行内部控制评价办法银监会152006上市公司内部控制指引上交所，深交所62006中央企业全面风险管理指引国资委1997加强金融机构内部控制的指导原则中国人民银行72008《企业内部控制基本规范》财政部牵头六部委82009《企业内部控制指引》及《内部控制审计》准则六部委2.3法律、法规层面20机密3.如何正确看待内部控制演变的历史21机密3.1内部控制理论发展历程萌芽阶段：内部牵制发展阶段：内部控制制度形成阶段：内部控制结构成熟阶段：内部控制整体框架；风险管理框架萌芽阶段-内部牵制：15世纪，它主要以查错防弊为目的，以职务分离和交互核对为手法，以钱、账、物等会计事项为主要控制对象，这也是现代内部控制理论中有关组织控制、职务分离控制的雏形。发展阶段-内部控制制度：20世纪，大型跨国公司不断涌现，竞争日趋激烈，使得各级管理人员不得不进行全面企业管理的研究与探索。促使内部控制从对单项经济活动进行独立控制为主向对全部经济活动进行系统控制为主发展，进而形成了包括组织结构、业务程序、岗位职责、处理手续、检查标准、人员条件和内部审计等在内的涵盖范围更广、运行机制更为严密的控制系统。22机密形成阶段-内部控制结构：20世纪70年代到80年代，企业的内部控制结构包括为合理保证企业特定目标的实现而建立的各种政策和程序”。内部控制具体包括三个要素，它们是控制环境、会计制度和控制程序。该公告的颁布和实施可视为内部控制理论研究的一个新的突破性成果。标志是1988年美国注册会计师协会发布《审计准则公告第55号》。成熟阶段-内部控制整体框架与风险管理框架：进入20世纪90年代后，对于内部控制的研究进入了一个新阶段。1992年，美国“反对虚假财务报告委员会”发布报告“内部控制——整体框架”，即“COSO报告”，该报告具有广泛的适用性。在世界上第一次提出了一个系统的内部控制框架；2003年7月15日，美国COSO委员会在广泛吸收各国理论界和实务界研究成果的基础上，公布了《企业风险管理框架》讨论稿，并将于2004年4月颁布正式稿。该讨论稿在1992年COSO的内部控制框架报告的基础上建立企业风险管理框架，将企业管理的重心由内部控制转向以风险管理为中心。3.1内部控制理论发展历程23机密3.2总结：内部控制的历史是一部审计史内部控制的历史是一部管理史24机密目录对内部控制相关理论的全面介绍内部控制的建立与运行25机密4.内部控制与风险管理的区别26机密4.1内部控制、合规及风险管理之间的关系风险管理是指如何在一个肯定有风险的环境里把风险减至最低的管理过程。合规是指商业银行的经营活动与法律、规则和准则相一致。合规内部控制风险管理外部监管针对所有风险的管理主要针对公司内部操作风险管理27机密原则4.2.1内部控制建设的标准模式4.2.2内部控制设计的组织模式选择如何建立内部控制？4.2内部控制的构建？方法4.2.3内部控制建立的路线图28机密战略性内部控制的建设应照顾到眼前的需要，更要着眼服务于本企业长期的发展战略，例如，银行业应思考从地区性商业银行走向全国性的商业银行，从非股份制商业银行走向股份制上市公司，这时企业的内部控制应该如何建设，因为内部控制建设不是一蹴而就的事情，应循序渐进。4.2.1内部控制建设的标准29机密全面性内部控制建设应覆盖于所有岗位和部门，贯穿于各项业务过程和各个操作环节，强调全过程、全员。值得注意的是：一把手在这个过程中的作用。强调领导者应该发挥表率作用，组织协调，能够始终与项目组，咨询公司，各级干部、专家保持密切沟通，主动宣传和强调内部控制建设任务的紧迫性与必要性。4.2.1内部控制建设的标准30机密制衡性制衡在内部控制建设的考虑中无处不在。宏观决策层面的制衡具体业务流程的不相容岗位或者部门之间的相互制衡。对内部控制执行过程的再监督。4.2.1内部控制建设的标准31机密基础性内部控制的建立和发展需要有良好的基础管理层经营风格适当的组织结构风险管理文化公司治理结构的完善人力资源激励、评价政策4.2.1内部控制建设的标准32机密动态性经济周期性变化行业周期性变化企业经营周期变化法律、法规变化动态循环的控制体系只有具有自我更新能力的动态内部控制体系，才能适应企业发展的需要。4.2.1内部控制建设的标准33机密适应性内部控制的设计要“因地制宜”，不同类型的企业因其业务种类的差异，内部控制的重点不尽相同。在内控设计的过程中，要借鉴最佳实践经验，但不能盲目的生搬硬套。4.2.1内部控制建设的标准34机密先进性良好的内部控制体系，一定是具有先进性的，符合于时代发展的潮流，适应于企业未来发展的方向。2、保持：在运行中，要不断的关注内外环境的变化，内部控制理论和实践的发展，不断的对原有的体系进行调整和修订，以保持其先进性1、获取：首先在设计时，要以企业发展战略为导向，国际、国内先进理论为指导，使用科学合理的工具保持获取4.2.1内部控制建设的标准35机密成本效益平衡性在设计和实施内部控制时，企业必然要考虑控制成本与控制效果之比。当实施某项业务的控制成本大于控制效果而产生损失时，就没有必要设置控制环节或控制措施。这就需要企业以管理层风险偏好为导向，抓大放小，在成本与效益之间找一个平衡。4.2.1内部控制建设的标准36机密4.2.1内部控制建设的标准串通舞弊内部控制执行人的素质低下成本效益原则的限制不应忽视的局限性37机密我们的企业采用什么样的模式？内部审计部门的职责是什么？建设银行模式内部控制纳入风险管理工商银行模式内部控制与合规成立独立部门,与风险管理部门分立中国银行模式法律合规部履行内部控制职能民生银行模式流程化、内部控制合规、岗位绩效三合一某些中小银行稽核部门牵头进行内部控制管理目前银行业在内部控制建设组织模式方面的实践4.2.2内部控制设计的组织模式选择38机密4.2.3内部控制建立的路线图——如何建立？39机密4.2.3内部控制建立的路线图几个重要的观点：12345……………必须借用外脑，不识庐山真面目，只缘身在此山中。一把手重视，宣传，指定专门部门协助咨询公司，进行沟通。全员参与（涉及问卷调查，穿行测试，自我评估），但尽量不影响到现有任务，降低建设成本。考核作为保证实施的措施。不要期望内部控制建设的作用立竿见影，更重要的是意识逐渐培养，体系的更新修正，企业的可持续发展。40机密双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双双