内部控制新趋势(SOX法案遵循工作实施调研–安永)

ASSURANCEANDADVISORYBUSINESSSERVICES内部控制新趋势SOX法案遵循工作实施调研–安永1EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey内部控制新趋势概览受访公司全年收入额(美元)•2005年5月实施•包含250个快速申报公司•从规模和所属行业角度覆盖范围很广23%43%26%8%少于10亿美元10至50亿美元50至200亿美元200亿美元以上2EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey内部控制新趋势概览•完整的报告可从安永在线和安永网站（2005年7月31日）上获得，连同以前的调查及其它404项目领导层的想法。•支持安永在内控行业的发展新趋势-专业分析和报告。•分三部分介绍:1.第一年概览2.第二年考虑事项3.持续性策略3EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey内部控制新趋势第一年概览*Excludingindependentauditorhours*Excludingindependentauditorhours尽管大部分公司最初的投入资源高于预期的投入…•在70%的受访公司中，404相关成本超过最初预算的50%。•60%收入少于200亿美元的公司在404相关项目上投入超过100,000个小时。尽管大部分公司最初的投入资源高于预期的投入…•在70%的受访公司中，404相关成本超过最初预算的50%。•60%收入少于200亿美元的公司在404相关项目上投入超过100,000个小时。…但404工作暴露出的许多控制缺陷，也为提高流程，系统和控制提供机会。•70%的受访公司对IT系统和控制作出了重要整改。•四分之一收入超过50亿美元的公司在第一年合规性工作期间对超过500项的控制点进行了整改。…但404工作暴露出的许多控制缺陷，也为提高流程，系统和控制提供机会。•70%的受访公司对IT系统和控制作出了重要整改。•四分之一收入超过50亿美元的公司在第一年合规性工作期间对超过500项的控制点进行了整改。4EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey内部控制新趋势第二年考虑事项另一个“赛跑”可能即将来临…•第二年部分重要的管理层测试预期发生在第三、四季度，亦包括公司层面。•第一年里29%的重要缺陷识别只在第三、四季度才被发现。•48%的公司预期在404测试上的控制数量变化不大–这是影响未来工作成本的一个关键因素。另一个“赛跑”可能即将来临…•第二年部分重要的管理层测试预期发生在第三、四季度，亦包括公司层面。•第一年里29%的重要缺陷识别只在第三、四季度才被发现。•48%的公司预期在404测试上的控制数量变化不大–这是影响未来工作成本的一个关键因素。…对资源的挑战，并可能使内部审计部门无法覆盖其他的风险领域。58%收入少于50亿美元的公司将为404项目的相关活动投放超过其本身一半的内审资源。连收入超过200亿美元24%的公司也预计为404项目的相关活动投入超过其本身一半的内审资源。•第三方资源将继续担当一个重要角色，在21%的受访公司中第三方将执行大部分的404测试。•32%的公司计划外包在某些专业领域的测试工作（像IT,税务）。…对资源的挑战，并可能使内部审计部门无法覆盖其他的风险领域。58%收入少于50亿美元的公司将为404项目的相关活动投放超过其本身一半的内审资源。连收入超过200亿美元24%的公司也预计为404项目的相关活动投入超过其本身一半的内审资源。•第三方资源将继续担当一个重要角色，在21%的受访公司中第三方将执行大部分的404测试。•32%的公司计划外包在某些专业领域的测试工作（像IT,税务）。5EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey内部控制新趋势持续性策略公司正在建立长久进行404遵循工作的方法，从而减少成本，增加价值…•76%的公司预期使用一些控制自我评估机制辅以客观的测试来支持404项目。•几乎三分之一的公司正在使用分析学及/或一些持续监控控制方法•64%的公司将要求第三方服务商提供SAS70报告，48%的公司正在这些地点加强控制。公司正在建立长久进行404遵循工作的方法，从而减少成本，增加价值…•76%的公司预期使用一些控制自我评估机制辅以客观的测试来支持404项目。•几乎三分之一的公司正在使用分析学及/或一些持续监控控制方法•64%的公司将要求第三方服务商提供SAS70报告，48%的公司正在这些地点加强控制。…但还有更多的要去完成。•63%的公司中有30%以下的404相关控制是依赖IT的。•有77%的公司计划或已经建立了正式、全面的风险评估机制，但只有22%的公司拥有成熟的方案。•同样，有53%的公司预计发展一种正式的企业风险管理机制，只有14%的公司目前拥有这样的机制。•404技术平台的投入使用在第二年年底预期只增长到38%…但还有更多的要去完成。•63%的公司中有30%以下的404相关控制是依赖IT的。•有77%的公司计划或已经建立了正式、全面的风险评估机制，但只有22%的公司拥有成熟的方案。•同样，有53%的公司预计发展一种正式的企业风险管理机制，只有14%的公司目前拥有这样的机制。•404技术平台的投入使用在第二年年底预期只增长到38%6EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey第一年概览实施404第一年合规性工作的成本是多少？404项目总成本（按公司收入规模）•85%收入在200亿美元以上的受访公司在404第一年合规性工作中投入超过1000万美元。•收入在10至200亿美元之间的公司，404相关费用范围增大，受部分因素影响。–地理分布–公司并购性的增长–IT环境的复杂性调研报告显示•第一年后404项目成本方面的完全不确定性有可能减少。•但仍然存在一定程度的成本不确定性。*独立审计师费用除外*独立审计师费用除外0%10%20%30%40%50%60%70%80%90%100%少于10亿美元10至50亿美元50至200亿美元200亿美元以上2500万美元以上1000至2500万美元500至1000万美元250至500万美元100至250万美元少于100万美元7EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey第一年概览实施404项目第一年需要多少小时？投入资源（按收入规模）•在第一年合规性工作中，60%收入在200亿美元以上的公司投入超过100,000个小时。•41%收入在50至200亿美元之间的公司投入超过50,000个小时。•32%收入在10至50亿美元之间的公司投入超过25,000个小时。调研报告显示•一些公司在第一年采用了积极的方式，加大投入时间。•关于404项目指导的增加和经验的增长将有助于资源集中并缩短时间。*独立审计师时间除外*独立审计师时间除外0%10%20%30%40%50%60%70%80%90%100%少于10亿美元10至50亿美元50至200亿美元200亿美元以上100,000以上50,001至100,00025,001至50,00010,000至25,000少于10,0008EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey第一年概览404第一年合规工作实际投入资源如何与预计投入资源作出比较？增加/减少的百分比同最初预计相比•同前期调查相符，实际投入大大超过了预期。•70%的公司超过初期预算50%。•只有2%的公司同初期预算相比变化不大。调研报告显示•根据第一年成本估计的经验，公司应该仔细考虑第二年成本会大幅降低的可能性。•第二年应提前做好现实的估计,以减少仓促完成的可能性及相关风险和成本.42%28%23%5%2%增加75%以上增加50%至75%增加25%至50%增加10%至25%+/-10%9EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey第一年概览公司测试了多少个404相关项目控制点来支持第一年合规性工作？测试的控制点数量（按收入规模）•四分之一收入超过200亿美元的公司测试了超过10,000项的控制点。•24%收入在50至200亿美元之间的公司测试了超过5,000项的控制点。•59%收入少于10亿美元的公司测试了500项以下的控制点。调研报告显示•确定404相关测试的控制范围将成为第二年和以后年度的主要成本因素，因此该控制范围需要适当的重新检查提炼并与独立审计师磋商。0%10%20%30%40%50%60%70%80%90%100%少于10亿美元10至50亿美元50至200亿美元200亿美元以上50,000以上25,001至50,00010,001至25,0005,001至10,0001,001至5,000500至1,000少于50010EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey第一年概览有多少个控制缺陷被识别并于年底之前进行整改？控制缺陷整改数量（按收入规模）•超过四分之一收入在50亿美元以上的公司在第一年合规前整改超过500个控制点。•虽然整改的控制点数量与公司规模相关，但同样规模的公司之间，仍存在重要变化。调研报告显示•第二年控制缺陷的整改总数会低于第一年。0%10%20%30%40%50%60%70%80%90%100%少于10亿美元10至50亿美元50至200亿美元200亿美元以上1,000以上501至1,000251至500101至25050至100少与5011EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey第一年概览哪些流程和领域被要求整改？控制缺陷（按流程）•53%的控制缺陷在常规交易流程以内。•重要整改的主要范围包括IT(72%),核心业务（49%），财务关帐流程（40%），税务（32%）。调研报告显示•尽管对IT控制的有效性进行了整改，但很多效率问题仍有待提高。财务报表控制重要整改的关键范围0%10%20%30%40%50%60%70%80%信息技术和系统核心业务财务关帐流程税务公司层面控制其它53%28%19%常规交易流程非常规交易流程会计估计流程12EmergingTrendsinInternalControls—FourthSurveyEmergingTrendsinInternalControls—FourthSurvey披露结果－截至到2005年5月6日所有公司提交404报告的公司总数2,785披露无效控制的公司总数（至少披露一项实质性漏洞）349％12.5%Source:TheAmesResearchGroup(May6,2005);a