企业内部控制评价,202p

第四章企业内部控制设计概述卓越的企业更加离不开完善的内部控制第一部分内部控制和萨宾斯法案介绍第二部分企业内部控制基本规范解读内部控制和萨宾斯法案介绍内部控制的产生1949年，美国会计师协会的审计程序委员会在《内部控制，一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告中，对内部控制首次作了权威性定义：“内部控制包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。这些方法和措施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，推动企业坚持执行既定的管理政策。”•此定义及其相应的解释，当时被普遍认为是对认识内部控制这一概念的重大贡献，因为在此之前内部控制概念从未受到如此的重视。只针对萨宾斯法案的要求--和财务报告有关的部分覆盖的业务主体内部控制的专注点内部控制的广泛性内部控制绝对不是：静态的结构；某一层次人员的任务（例如：高级管理层）；某一部门的任务（例如：财务、内部审计）；某一实体的任务（例如：总部、省级公司）。内部控制是：美国反欺骗性财务报告委员会（COSO）的定义：内部控制是一个靠组织的董事会、管理层和其他员工去实现的过程，实现这一过程是为了合理的保证：经营的效果性和效率性；财务报告的可信性；对法律和规章制度的遵循性。因此，整个集团的共同参与对于项目的成功至关重要。控制机制人是核心(道德和能力）规范要求的长远益处四个关键信息质量的驱动因素是行业领先的公司进行变革的目标，这些因素是遵循规范的结果，也是价值的创造提供的数据客观，形象的表示了公司业绩财务报表更改的情况将很少发生业绩将更接近原有的预期持续的计划给管理层和投资者提供了数据用于公司应对商业环境的变化随着时间的推移，信息将快速的产生需要快速的提供给投资者相关信息简单化和标准化的信息使得更容易被理解和接受管理层要直接看到推动业务的相关因素及时可预测透明精确19992000200120022003EEarnings一、基本概念阐述二、内控系统整体架构三、内部控制的实施走进内部控制–主要内容主要内容一、基本概念概述二、内控系统整体框架、基本概念阐述二、内控系统整体架构三、内部控制的实施一、基本概念阐述二、内控系统整体架构三、内部控制的实施一、基本概念阐述经营回报与风险经营回报公司管理层经营回报与风险经营回报与风险经营回报与风险什么是风险？风险是某一事件或行为对企业经济利益可能的威胁商业风险和管理风险什么是风险？风险是某一事件或行为对企业经济利益可能的威胁商业风险和管理风险管理风险管理风险习惯上分为以下五类：财务和经营信息不足政策、计划、程序、法律和标准贯彻失败资产流失资源浪费和无效使用不能达到企业的目的和目标管理风险管理风险习惯上分为以下五类：风险的后果？•经营中断•法律诉讼•商业欺诈•竞争失败•无益开支•资产损失•决策失误风险的后果？风险如何最小化？加强系统的内部控制对可能的损失投保当可能的风险较大时，寻求较大的回报风险如何最小化？内部控制如何降低风险？暴露的金额发生的可能性风险的大小内部控制降低内部控制如何降低风险？成功内部控制的重要性有效的内部控制风险与经营回报的良好平衡内部控制的重要性内部控制的重要性（续）COSO报告《内部控制－整体架构》AICPA《审计准则公告第78》号《会计法》（第四章第27条）财政部《内部会计控制规范》证监会《证券公司内部控制指引》证监会《商业银行内部控制指引》征求意见稿…….内部控制的重要性（续）COSO报告《内部控制－整体架构》AICPA《审计准则公告第78》号《会计法》（第四章第27条）财政部《内部会计控制规范》证监会《证券公司内部控制指引》证监会《商业银行内部控制指引》征求意见稿财政部等五部委《企业内部控制基本规范》内部控制的重要性（续）什么是内部控制？20内部控制-被定义为一个过程，这个过程受企业的董事会、管理层及其他人员影响。设计这个过程是为达成下列目标提供合理的保证：•营运的效果和效率•财务报表的可靠性•相关法令的遵循内部控制的定义内部控制的定义二、内部控制整体架构内控系统的整体架构内控系统的整体架构“内部控制整体框架”的特点•明确对内部控制的“责任”•强调内部控制应该与企业的经营管理过程相结合•强调内部控制是一个“动态过程”•强调“人”的重要性•强调“软控制”的作用•强调风险意识•揉和了管理与控制的界限•强调内部控制的分类及目标•明确指出内部控制只能做到“合理”保证•成本与效益原则内控系统五要素架构内控系统五要素架构目标有效率且有效果的使用公司资源财务报告的可靠性遵循适用的法律、法规是任何企业的核心，是企业的人以及它所处的环境是推动企业的引擎，也是其他要素的基础控制环境的组成要素：管理哲学和经营风格---传达公司的正直、诚实的道德规范组织结构---董事会及其委员会职能职责分配和授权--权利、职责分工人事政策--保证员工正直并有能力胜任工作控制环境控制环境是任何企业的核心，是企业的人以及它所处的环境是推动企业的引擎，也是其他要素的基础控制环境的组成要素：•管理哲学和经营风格•组织结构•董事会及其委员会职能•职责分配和授权•人事政策控制环境控制环境－管理哲学和经营风格审计署对23家企业的调查结果项目％金额（亿元）资产不实10.39%负债不实7.89%利润不实38.87其中：虚报94.98%36.92隐瞒52.89%20.53潜亏92.77%36.06控制环境－管理哲学和经营风格独立董事专门委员会•设立审计委员会，及委员会成员资格要求•审计委员会职责•专门委员会与外部中介机构监事会•监事会职责•监事会与外部中介机构控制环境－董事会及委员会职能企业必须了解它所面临的风险，并加以控制。即设立可辨识、分析和管理相关风险的机制风险评估就是分析和辨识为实现企业目标所可能发生的风险。目标风险控制行为控制活动环境变化后的管理评估和更新风险评估风险评估风险分为：公司整体层面的风险具体业务活动层面的风险风险分析的步骤：评估风险的重要性评估风险发生的可能性（或发生的频率）考虑如何管理风险，即评估应采取何种行动风险评估对应予以特别关注的环境变化保持警觉:法规或经营环境的改变新加入的员工、较高的人员流动性新的或改善过的信息系统公司经理迅速发展时期新技术的出现新业务、新产品、新的经营活动或并购公司重组跨国经营风险评估次序银行/保险业/证券制造业其他1内部控制的质量内部控制的质量内部控制的质量2管理人员的能力管理人员的能力管理人员的能力3管理人员的正直程度管理人员的正直程度管理人员的正直程度4会计系统的近期变动单位的规模会计系统的近期变动5单位的规模经济环境恶化业务的复杂性6资产的流动性业务的复杂性资产的流动性7重要人员的变动重要人员的变动单位的规模8业务的复杂性会计系统的近期变动经济环境恶化9快速的增长快速的增长重要人员的变动10政府法规管理人员对完成目标的压力快速的增长近期变动如何有效地进行风险管理各行业的前10种最主要的风险因素控制活动企业必须基于风险评估的结果订立控制风险的政策及程序，并予以执行。通常可以按业务分别进行制定。现金管理资本性采购采购和付款人事和薪金营销和销售存货管理控制活动控制活动的类型事前事中事后检查性控制补偿性控制预防性控制纠正性控制事前事中事后控制活动的类型审批（高层审阅）保护实物资产异常报告制度关键绩效指标分析职责分工控制活动你的批准意味着什么？你已经检查过文件的正确性、完整性以及适当性你同意文件的内容你有同意的基础，即:你，或者你指派的适当人员，而非文件的编制者，已经审核了有关信息你对自己的审批负全责控制因素活动-----审批授权批准控制在开展任何业务之前都应进行授权授权以后，为了避免滥用权力，还要经常对业务流程进行审查按性质的不同分为综合授权和特别授权要对授权做好记录，并提供证明文件避免两个极端：“层层审批”和“一支笔”授权批准控制控制活动因素-保护实物资产例如:实物与会计记录的定期核对把文件锁起来!!!财务报表!!!保护数据中心、本地局域网控制室以及工作站设备标签安全系统/警报系统设围墙配置保安工作证件隐藏的摄像镜头返回例如:超过还款期限的应收账款报告加班统计报告重复付款报告未享受到的折扣重点是发现异常情况并及时跟进控制因素活动---异常活动报告一些重要的内控方法职责分离控制授权批准控制内部报告控制电子信息技术控制……一些重要的内控方法一些重要的内控方法•不同人员或部门之间的职责分工可以通过一系列检查措施，例如:降低发生错误的风险，并控制人为蓄意的操纵.•避免独立个人同时负责一项完整的交易的发生、授权和记录，或避免独立个人在保管资产的同时负责记录其变动.•通过岗位轮换,使更多的高级管理者参与日常运营的主要活动,以外部视角来观察各个部门的运营.控制因素活动---职责分工不相容职务相互分离控制－示例工作职责存在的风险同时负责现金的收取和应收账款的会计记录可能会通过注销应收账款和截留应收账款等调节账簿的方法来私自挪用现金同时负责购货订单的审批和货物的收取可能以组织的名义为个人购入货物，在收取货物时利用职务之便将货物占为己有，同时不向会计部门递交原始凭证或者在原始凭证上反映虚假信息同时负责付款的审批和购货订单签发与审核可能会伪造购货业务并支付货款，从而贪污现金不相容职务相互分离控制－示例内部报告控制完善内部管理报告系统内部报告上报时间及报告路线内部报告的分析和跟进内部报告的分发控制信息系统控制－目标提高资源使用效率有效达到企业目标保持数据完整维护资产安全符合相关的法律、法规和政策信息系统控制－目标提高企业信息系统的整体可信赖程度的控制信息系统的组织和管理信息系统操作数据安全危机处理与业务持续计划外包厂商管理网络支持系统软件支持应用系统安装与维护硬件支持数据库安装与支持一般信息系统控制计算机安全标准1.0信息管理标准2.0一般系统完整及安全存取控制3.0网络安全标准4.0计算机系统安全标准5.0特定网络技术安全系统6.0实物及环境控制标准7.0信息备份标准8.0故障恢复计划计算机系统安全计算机存取软件用户口令每90（30）天变更一次防病毒软件关键数据备份合法版权关闭调制解调器的自动应答功能避免未经授权的人使用计算机系统安全控制进入计算机系统软件要求：6－1，6－2，6－3防止未授权读出，删除，更改程序或数据为每一用户提供唯一的ID以保证职责分割要求口令，口令必须加密，定期更改生成审计线索文件6－1：未经授权的人可能进入系统6－2：机密的数据可能被非法利用6－3：关键数据的损坏会破坏正常的生产和运营信息与沟通贯穿在风险评估和控制活动过程中这些系统使企业内的人员能取得他们在执行、管理和控制企业营运时必须的资讯，并交换这些资讯信息系统：内部、外部沟通：使员工知悉其在业务经营、财务报告及法律遵循方面的责任信息与沟通信息通过信息系统识别、采集、加工和汇报信息信息系统经常被认为是经营活动的一个组成部分信息与沟通信息质量内容相关–是不是所需要的信息?提供及时–是不是在需要时可以及时提供?时效性–是不是最新的?正确性–数据是不是正确?可获得性–是不是可以从正常渠道轻松获得?信息与沟通内部每一各人都需要了解内部控制系统的相关方面，系统如何工作，以及他（她）本人在系统中的角色和职责外部与外部单位的交流经常能提供履行内部控制职能所需要的重要信息监查部门例如证监会、财政部等提供的审阅或检查结果能够揭示控制的弱点与股东、监管部门、金融分析师和其他外部单位的沟通应提供与其需求相关的信息，以便其比较容易地理解企业所面临的环境和风险下一步信息与沟通(续)监督整个内部控制的执行过程必须被监督确保内部控制制度随情况的改变而作出动态的反应应建立检查和报告体制监督是谁的职责?•管理层应对内控执行情况进行持续监督•内部审计部门应进行定期、不定期的个别评估监督