企业内部控制审计指引

1、企业内部控制配套指引点评作者：蒋占华    2010-4-27 21:58:46      来源：蒋占华的财务专栏作者：蒋占华，中国煤炭科工集团有限公司 总会计师 财政部会计司最新拟稿的一套企业内部控制配套指引（草案）即将发布，作为企业内部控制咨询委员会的专家财政部请我审阅核对，我期盼指引的早日出台，把自己的学习体会和部分审核意见介绍给大家。该指引包括三部分内容：企业内部控制应用指引、企业内部控制评价指引和企业内部控制审计指引。这是继2008年6月28日我国发布了企业内部控制基本规范之后，为拓展原来仅包括基本规范、具体规范和应用指南的

2、内控规范体系结构的设想、逐步建立起一套以基本规范为统领，以应用指引、评价指引和审计指引等配套办法为补充的内控标准体系，财政部内部控制标准委员会和专家老师们几近努力、几经易稿后的成果。在结构层次上，本版应用指引较前一版变动很大，由原来的22项内容精简为18项。本版应用指引第1号至第5号内容依次为组织架构、发展战略、人力资源、社会责任和企业文化，主要是从企业层面重点阐释了控制环境、风险评估和控制活动等要素内容，控制重点是企业层面的风险，注重企业内、外部环境的适应性和协调性；应用指引第6至18号内容依次为资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面

3、预算、合同管理、内部信息传递和信息系统，此13项内容主要是从业务层面重点阐释了风险评估、控制活动、信息与沟通和内部监督等要素内容，控制重点是企业业务层面的经营风险和财务风险。本版在结构层次划分上更趋于完善，将有助于使用者理顺内控标准体系内部各部分之间的内在逻辑和相互关系，明确各应用指引与企业内部控制基本规范所界定的内部控制要素的内在联系，理清各项应用指引在内部控制中的功能作用、控制范围和控制重点，最大限度地减少企业内部控制基本规范的应用盲区。在具体内容和文字表述上，本版应用指引做了很大力度的修改，内容和文字较前版更为精简，删去了描述性的语言和显累赘的章节条款，同时又增加了部分内容，部分内容修改

4、细化，用词更趋严谨，使各项要求更趋专业化。每一项指引在总则中都明确了“第三条企业至少应当关注涉及×××的下列风险：”，很明显地突出了对于各项业务的风险管理。作为企业内部控制基本规范的细则，应该能够有助于企业在贯彻实施企业内部控制基本规范时，更好地界定各部门的职责权限，可以让企业结合不同应用指引的执行情况，便于有针对性地开展企业落实内部控制规范情况的内部评价和外部检查，并采取针对性更强的优化措施，但是本版指引的在内容上稍有些差强人意。 下文从企业层面和业务层面对18项应用指引进行点评。 一、企业层面的内部控制第1号组织架构 本版指引在总

5、则中对组织架构做了明确定义，指出了企业应当关注的风险，接下来阐述了在组织架构的设计与运行两环节中控制要素的内容。其中在指明企业应关注的风险时应将（一）与（二）次序调换以对应设计与运行两方面。第三章第十条关于对子公司的控制，我认为此项内容不属于组织架构的定义范畴，由于企业内部控制基本规范使用范围主要是我国境内大中型企业，作为对基本规范内容细化的应用指引不应当将对子公司的控制的内容在组织架构项下寥寥几笔一带而过，而是应该自成一项，详细阐述在对子公司的控制中各项控制要素的内容。第2号发展战略 包括发展战略的制定和实施两个环节的内控内容。其中在第二章第六条第二段中“企业应当制定战略委员会的议

6、事规则和决策程序”，战略委员会是董事会下设的专门工作机构,它不具备做决策的权利，只是负责对公司长期发展战略和重大投资决策进行研究并提出建议。第3号人力资源主要从人力资源的引进与开发、人力资源的使用与退出两方面明确了控制内容。其中第二章第六条第三段“企业选聘人员应当实行岗位回避”，此内容写法过于简单，不利于使用者理解。第三章关于人力资源使用的内容过于简洁，建议补充人力资源考核政策和薪酬与激励政策。第4号社会责任 涵盖了安全生产、产品质量、环境保护与资源节约和促进就业与员工权益保护四个责任领域的内部控制内容。在总则第三条最后一段中仅说明了员工权益保护不够可能导致的后果，应补充促进就业不够

7、可导致的后果“社会负担加重”。第5号企业文化 主要阐述了在企业文化的培育和企业文化的评估两环节中各项控制要素的内容。 二、业务层面的内部控制第6号资金活动 主要阐述了筹资、投资和营运三环节内部控制的内容。其中第一条制定本指引的目的中“防范资金链断裂风险”应表述为“防范资金风险”，资金风险属于财务风险的一种。第十二条第三段中企业内部控制应用指引15号不是证券期货业务。第十四条第一段最后一句“以及投资和并购风险是否可控等”应改为“以及投资和并购风险是否可承受”,因为系统风险是不可控的，且此种表述与企业风险管理规定相一致。第二十条第二段最后一句“提高资金效益”应调整为“

8、提高资金使用效益”。第7号采购业务 本版将前一版指引中的职责分工与授权批准、请购与审批控制、采购与验收控制和付款控制五个方面合并精简为购买和付款两方面内容。虽然在结构层次上简洁明了，但是在内容上却过于精简，我认为企业在学习使用本版指引多半会感到吃力和费解，对于在企业业务层面风险较高的采购业务而言，需要在本项详细阐明的控制要素不能过于简洁。本版现有内容中第二条企业采购业务至少应当关注的风险应增加“采购未经适当审批或超越授权审批，可能因重大差错、舞弊、欺诈而导致损失”。第四条最后一句“确保物资采购满足企业生产经营需要”应调整为“确保物资采购高效满足企业生产经营需要”，采购高效满足生产经营

9、需要才是执行采购业务内部控制的最终目的。第8号资产管理 本版第8号内容是由前一版中存货、固定资产、无形资产三项内容合并精简而成，同样的结构简洁内容不饱满。在第十八条最后一段中提请本版指引制定者思考“企业应该如何关注自身在固定资产处置中的关联交易和处置定价”。第9号销售 与第7号采购业务有同样的利弊。在此不再赘述。第10号研究与开发 主要从立项与研究、开发与保护两方面明确了控制内容。其中第二条关于研究与开发的定义应该按企业会计准则中研究开发的定义来表述，即“研究是指企业为获取并理解新的科学或技术知识而进行的独创性的有计划调查。开发是指企业在进行商业性生产或使用前，将

10、研究成果或其他知识应用于某项计划或设计，以生产出新的或具有实质性改进的材料、装置、产品等。”第八条内容应并入第七条。第11号工程项目、第12号担保业务与第13号-业务外包三项内容均应补充有关会计系统控制的条款。第14号财务报告 包括了从财务报告的编制到财务报告的对外提供再到财务报告的分析利用三环节的内控内容。其中第三条风险（一）中最后一句“遭受损失和声誉受损”应修改为“企业效益和声誉受损”。第三章“财务报告的对外提供”应改为“财务报告的报送和披露”，并相应修改其内容。第15号全面预算、第16号合同管理和第17号内部信息传递三项内容中应将第17号内部信息传递第二章“内部报告的形成”修改

11、为“内部报告的形成与传递”，并对添加关于内部报告传递的控制要素内容。第18号信息系统  涵盖了信息系统的开发、运行与维护中的控制内容。从企业内部控制基本规范实施来看，从美国萨班斯法案成功经验来看，大概有40%左右的工作量是在IT领域，所以对于信息系统的控制应该是重中之重，在指引中应该从内部控制五要素详细进行阐述。本版指引中对于信息系统的控制内容表述不够详尽，应借鉴前一版指引中的相关内容加以扩充。 三、评价与审计企业内部控制评价指引的出台有助于促进企业全面评价内部控制的设计与运行情况，及时发现企业内部控制缺陷，提出和实施改进方案，确保内部控制有效运行，揭示和防范经营

12、风险。另外，从注册会计师的角度出发，企业内控规范和相关指引的出台，是重要的制度安排，注册会计师的业务也从财务报告审计扩展到企业经营风险、管理等方面的审计，要求注册会计师在关注企业财务报表的同时，关注企业经营风险和管理漏洞。 四、企业内部控制基本规范与内部会计控制规范比较2006年财政部发布了内部会计控制规范基本规范及几个具体规范，有的作为试行文件发布，有的作为征求意见稿发布。这些规范无论在结构上，还是操作性上，都不错，给企业财务部门做好会计控制工作提供了较好的指导。可惜还没有形成完整的体系。2008年五部委发布企业内部控制基本规范，意图上看，是借鉴了西方企业内部控制的五要素论，八要素论，把内部控制从会计控制层面向企业控制层面提升，重点突出了风险管理理念，强调全面风险管理和风险关键点控制。但是应用指引草案的质量总体上与内部会计控制规范还有差距，最终效果与财政部的初衷可能会出入很大。其实，内部控制的核心还是业务循环控制，与业务流程控制有关的应用指引可以参考内部会计控制具体规范。 五、对指引结构框架建议每项指引的第一章均为总则，具体又分为制定依据、内涵和风险点列示三条。但有的指引有第四条，“企业应当”；有的就没有第四条。如果从指引整体的一致性考虑，能否第一章均为四条