公司治理与内部控制第十一章内部监督剖析

1、1 2l内部监督内部监督 l内部控制评价内部控制评价l内部控制审计内部控制审计目目 录录3第一节第一节 内部监督内部监督 4名称名称定义定义内容内容组织机构组织机构COSO92COSO92监控监控对内部控制在一定时期内对内部控制在一定时期内的运行质量进行评估的过的运行质量进行评估的过程。企业可以通过持续性程。企业可以通过持续性的监督活动、单独评估或的监督活动、单独评估或两者并用来实现这个过程两者并用来实现这个过程持续监控活动持续监控活动 个别评价个别评价 报告缺陷报告缺陷 内部审计部内部审计部门门COSO04COSO04监控监控对企业风险管理进行监控对企业风险管理进行监控以确定企业风险管理的运

2、以确定企业风险管理的运行是否有效的过程。行是否有效的过程。 同上同上企业风险管企业风险管理部门理部门基本规范基本规范内部监督内部监督企业对内部控制建立与实企业对内部控制建立与实施情况进行监督检查，评施情况进行监督检查，评价内部控制的有效性，发价内部控制的有效性，发现内部控制缺陷，应当及现内部控制缺陷，应当及时加以改进。时加以改进。日常监督和专日常监督和专项监督项监督缺陷报告缺陷报告档案记录与验档案记录与验证证内部审计机内部审计机构（或经授构（或经授权的其他监权的其他监督机构）督机构）5n内部监督的机构及职责内部监督的机构及职责 n内部审计内部审计 n案例：上海姚记扑克股份有限公司内部审计机构和

3、人员设置案例：上海姚记扑克股份有限公司内部审计机构和人员设置n内部监督的程序内部监督的程序 制定内部控制制定内部控制缺陷标准缺陷标准 评估控制结果评估控制结果 记录与报告记录与报告 6n制定内部控制缺陷标准制定内部控制缺陷标准 n内部控制的缺陷包括设计缺陷和运行缺陷内部控制的缺陷包括设计缺陷和运行缺陷 n对目标的影响：重大缺陷、重要缺陷和一般缺陷对目标的影响：重大缺陷、重要缺陷和一般缺陷n重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部整重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制的有效性，进而导致企业无法及时防范

4、或发现严重偏离整体控制目标的情形体控制目标的情形 n重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重大重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起企业管理层关注程度依然重大，须引起企业管理层关注n一般缺陷是以上两种缺陷之外的缺陷一般缺陷是以上两种缺陷之外的缺陷7n评估控制结果评估控制结果 n内部控制的有效性判断标准内部控制的有效性判断标准n合法；设计完整、合理；有效贯彻执行，并实现内部控制的目标。合法；设计完整、合理；有效贯彻执行，并实现内部控制

5、的目标。n内部控制的无效性判断标准内部控制的无效性判断标准n可能有与法律、法规相抵触的地方；或者内部控制制度设计不够完整可能有与法律、法规相抵触的地方；或者内部控制制度设计不够完整、合理；中没有得到有效的贯彻执行，从而无法实现内部控制的目标、合理；中没有得到有效的贯彻执行，从而无法实现内部控制的目标n具体判断具体判断n对于为实现单个或整体控制目标而设计与运行的控制不存在重大缺陷对于为实现单个或整体控制目标而设计与运行的控制不存在重大缺陷的情形，企业应当认定针对这些整体控制目标的内部控制是有效的。的情形，企业应当认定针对这些整体控制目标的内部控制是有效的。n对于为实现某一整体控制目标而设计与运行

6、的控制存在一个或多个重对于为实现某一整体控制目标而设计与运行的控制存在一个或多个重大缺陷的情形，企业应当认定针对该项整体控制目标的内部控制是无大缺陷的情形，企业应当认定针对该项整体控制目标的内部控制是无效的。效的。n对于因业务流程外包等原因造成企业无法评价特定业务、特定流程的对于因业务流程外包等原因造成企业无法评价特定业务、特定流程的内部控制有效性的情形，内部控制评价机构应当充分考虑该项业务流内部控制有效性的情形，内部控制评价机构应当充分考虑该项业务流程及其相关控制的重要性，确定其对整体控制目标有效性评价的影响程及其相关控制的重要性，确定其对整体控制目标有效性评价的影响8n内部监督的方法内部监

7、督的方法n日常监督（持续性监督），是指企业对建立和实施内部控制的整日常监督（持续性监督），是指企业对建立和实施内部控制的整体情况所进行的连续的、全面的、系统的、动态的监督体情况所进行的连续的、全面的、系统的、动态的监督n持续监控的程序越大，其有效性就越高，则企业所需的个别评估就越持续监控的程序越大，其有效性就越高，则企业所需的个别评估就越少少n专项监督（个别评估），是指企业对内部控制建立与实施的某一专项监督（个别评估），是指企业对内部控制建立与实施的某一方面或者某些方面的情况进行的不定期、有针对性的监督检查方面或者某些方面的情况进行的不定期、有针对性的监督检查n专项监督的范围和频率应根据风险评

8、估结果以及持续性监督的有效性专项监督的范围和频率应根据风险评估结果以及持续性监督的有效性等予以确定等予以确定n高风险且重要的项目、内部环境变化高风险且重要的项目、内部环境变化 n日常监督和专项监督应当有机结合日常监督和专项监督应当有机结合 9第二节第二节 内部控制评价内部控制评价10n企业董事会应当对内部控制评价报告的真实性负责企业董事会应当对内部控制评价报告的真实性负责 n内部控制评价概念内部控制评价概念 n企业应当结合内部监督情况，定期对内部控制的有效性进行自企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方我评价，出具内部控制自我

9、评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。变化、业务发展状况、实际风险水平等自行确定。 n内部控制评价应当遵循的原则内部控制评价应当遵循的原则 n全面性原则、重要性原则、客观性原则全面性原则、重要性原则、客观性原则n内部控制评价的内容内部控制评价的内容 n七个方面七个方面n内部控制评价的程序内部控制评价的程序 制定制定评价评价控制方案控制方案组织组织评价评价工作组工作组实施评实施评价工作价工作与测试与测试认定认定控制控制缺陷缺陷汇总汇总评价评价结果结果编报

10、编报评价评价报告报告11n如果评价工作人员在实施测试中发现控制差异，应分析差异是否属如果评价工作人员在实施测试中发现控制差异，应分析差异是否属于控制缺陷及评价其严重程度于控制缺陷及评价其严重程度n根据缺陷的不同类别制定不同的整改方案根据缺陷的不同类别制定不同的整改方案 n对于需整改的内控设计缺陷：补充相关规定或修改原有规定，按照企对于需整改的内控设计缺陷：补充相关规定或修改原有规定，按照企业既定的管理制度报批程序对做出的补充或修改进行审批业既定的管理制度报批程序对做出的补充或修改进行审批n对于需整改的内控执行缺陷：企业需加强内控的执行力度，要求控制对于需整改的内控执行缺陷：企业需加强内控的执行

11、力度，要求控制执行人严格按照相关规定执行执行人严格按照相关规定执行 n评价报告评价报告n对于重大缺陷和重要缺陷的整改方案，应向董事会（审计委员会）、对于重大缺陷和重要缺陷的整改方案，应向董事会（审计委员会）、监事会或经理层报告并审定监事会或经理层报告并审定 n不适合向经理层报告的情形不适合向经理层报告的情形 n重要缺陷并不影响企业内部控制的整体有效性，但是应当引起董事会重要缺陷并不影响企业内部控制的整体有效性，但是应当引起董事会和管理层的重视和管理层的重视n对于一般缺陷，可以与企业管理层报告对于一般缺陷，可以与企业管理层报告 12n内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内

12、内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。认定结果等。n评价工作底稿应当设计合理、证据充分、简便易行、便于操作评价工作底稿应当设计合理、证据充分、简便易行、便于操作n内部控制评价报告披露的内容内部控制评价报告披露的内容n董事会对内部控制报告真实性的申明董事会对内部控制报告真实性的申明n内部控制评价工作的总体情况内部控制评价工作的总体情况n内部控制评价的依据内部控制评价的依据n内部控制评价的范围内部控制评价的范围n内部控制评价的程序和方法内部

13、控制评价的程序和方法n内部控制缺陷及其认定情况内部控制缺陷及其认定情况n内部控制的整改情况及重大缺陷拟采取的整改措施内部控制的整改情况及重大缺陷拟采取的整改措施n内部控制有效性的结论内部控制有效性的结论n报经董事会或类似权力机构批准后与审计报告一起对外披露报经董事会或类似权力机构批准后与审计报告一起对外披露n企业应当以企业应当以1212月月3131日作为年度内部控制评价报告的基准日，内部控制评日作为年度内部控制评价报告的基准日，内部控制评价报告应当在基准日后价报告应当在基准日后4 4个月内报出个月内报出 13第三节第三节 内部控制审计内部控制审计14n企业内部控制基本规范要求企业内部控制基本规

14、范要求n内部控制审计是通过对被审计单位的内控制度的审查、内部控制审计是通过对被审计单位的内控制度的审查、分析测试、评价，确定其可信程度，从而对内部控制是分析测试、评价，确定其可信程度，从而对内部控制是否有效作出鉴定的一种现代审计方法否有效作出鉴定的一种现代审计方法 n内部控制审计的范围限于特定日期与财务报表相关的内内部控制审计的范围限于特定日期与财务报表相关的内部控制部控制 n内部控制审计的目标是检查并评价内部控制的合法性、内部控制审计的目标是检查并评价内部控制的合法性、充分性、有效性及适宜性充分性、有效性及适宜性 n具体目标概括为：检查并评价内部控制能否确保资产、资金的安具体目标概括为：检查

15、并评价内部控制能否确保资产、资金的安全，即检查并评价内部控制能否保障资产、资金的存在、完整、全，即检查并评价内部控制能否保障资产、资金的存在、完整、为我所有、金额正确、处于增值状态为我所有、金额正确、处于增值状态 n内控审计目标与财务报表审计目标的联系与区别内控审计目标与财务报表审计目标的联系与区别 15n审计工作计划审计工作计划 n注册会计师应该恰当地计划内部控制审计工作，配备具有专业胜注册会计师应该恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导任能力的项目组，并对助理人员进行适当的督导 n应当以风险评估为基础，选择拟测试的控制应当以风险评估为基础，选择

16、拟测试的控制 n利用企业内部审计人员、内部控制评价人员和其他相关人员的工利用企业内部审计人员、内部控制评价人员和其他相关人员的工作作n审计工作实施审计工作实施 n注册会计师应当按照自上而下的方法实施审计工作注册会计师应当按照自上而下的方法实施审计工作n自上而下的方法是注册会计师识别风险，选择拟测试控制的基本自上而下的方法是注册会计师识别风险，选择拟测试控制的基本思路思路n注册会计师在实施审计工作时注册会计师在实施审计工作时, 可以将企业层面控制和业务层面可以将企业层面控制和业务层面控制的测试结合进行控制的测试结合进行n识别企业层面控制识别企业层面控制 n识别业务层面控制识别业务层面控制 16n

17、评价控制缺陷评价控制缺陷 n企业内部控制可能存在重大缺陷情形企业内部控制可能存在重大缺陷情形 n财务报告内部控制控制缺陷的严重程度取决于，控制财务报告内部控制控制缺陷的严重程度取决于，控制缺陷导致账户余额或列报错报的可能性；因一个或多缺陷导致账户余额或列报错报的可能性；因一个或多个控制缺陷的组合导致潜在错报的金额大小个控制缺陷的组合导致潜在错报的金额大小 n案例：单个控制缺陷的识别案例：单个控制缺陷的识别n案例：多个控制缺陷的识别案例：多个控制缺陷的识别n控制缺陷的严重程度与账户余额或列报是否发生错报控制缺陷的严重程度与账户余额或列报是否发生错报无必然对应关系，而取决于控制缺陷是否可能导致错无

18、必然对应关系，而取决于控制缺陷是否可能导致错报报17n内部控制缺陷的报告内部控制缺陷的报告n对内报告对内报告n内部控制缺陷报告应当采取书面形式内部控制缺陷报告应当采取书面形式n对于一般缺陷和重要缺陷，通常向企业经理层报告，并视情对于一般缺陷和重要缺陷，通常向企业经理层报告，并视情况考虑是否需要向董事会及其审计委员会、监事会报告；对况考虑是否需要向董事会及其审计委员会、监事会报告；对于重大缺陷，应当及时向董事会及其审计委员会、监事会和于重大缺陷，应当及时向董事会及其审计委员会、监事会和经理层报告经理层报告n如果出现不适合向经理层报告的情形，如存在与经理层舞弊如果出现不适合向经理层报告的情形，如存

19、在与经理层舞弊相关的内部控制缺陷，或存在经理层凌驾于内部控制之上的相关的内部控制缺陷，或存在经理层凌驾于内部控制之上的情形等，应当直接向董事会及其审计委员会、监事会报告情形等，应当直接向董事会及其审计委员会、监事会报告n企业应根据内部控制缺陷的影响程度合理确定内部控制缺陷企业应根据内部控制缺陷的影响程度合理确定内部控制缺陷报告的时限，一般缺陷、重要缺陷应定期报告，重大缺陷即报告的时限，一般缺陷、重要缺陷应定期报告，重大缺陷即时报告。时报告。18n内部控制缺陷的报告内部控制缺陷的报告n对外报告对外报告n我国我国企业内部控制审计指引企业内部控制审计指引第四条指出：注册会计师应第四条指出：注册会计师

20、应当对财务报告内部控制的有效性发表审计意见当对财务报告内部控制的有效性发表审计意见,并对内部控制并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷审计过程中注意到的非财务报告内部控制的重大缺陷,在内部在内部控制审计报告中增加控制审计报告中增加“非财务报告内部控制重大缺陷描述段非财务报告内部控制重大缺陷描述段”予以披露。予以披露。n范例：标准内部控制审计报告的参考格式范例：标准内部控制审计报告的参考格式n范例：带强调事项段的无保留意见内部控制审计报告的参考范例：带强调事项段的无保留意见内部控制审计报告的参考格式格式n范例：否定意见内部控制审计报告的参考格式范例：否定意见内部控制审计报告的

21、参考格式 n范例：无法表示意见内部控制审计报告的参考格式范例：无法表示意见内部控制审计报告的参考格式19信息处理和信息生成的可靠性和完整性错误或错报错误或错报的风险的风险最优化的最优化的内部控制内部控制阶段阶段5不可依赖的不可依赖的内部控制内部控制阶段阶段1非正式的非正式的内部控制内部控制阶段阶段2标准化的标准化的内部控制内部控制阶段阶段3受监控的受监控的内部控制内部控制阶段阶段420信息处理和信息生成的可靠性和完整性错误或错报错误或错报的风险的风险已预测已预测级别：级别：战略目标战略目标阶段阶段5合规目标合规目标阶段阶段0已执行已执行级别：级别：资产目标资产目标阶段阶段1已管理已管理级别：级

22、别：报告目标报告目标阶段阶段3已建立已建立级别：级别：经营目标经营目标阶段阶段4已优化已优化级别：级别：阶段阶段221n20082008年年6 6月月2828日，财政部、证监会、审计署、银监会、保监会联合发的日，财政部、证监会、审计署、银监会、保监会联合发的企业企业企业内部控制基本规范企业内部控制基本规范（以下简称基本规范），自（以下简称基本规范），自20092009年年7 7月月1 1日起在上市公日起在上市公司两周内施行。司两周内施行。20082008年年7 7月，月，A A公司（上市公司）召开董事会，研究贯彻执行基公司（上市公司）召开董事会，研究贯彻执行基本规范事宜。会议责成本规范事宜。会

23、议责成A A公司经理层根据基本规范中关于建立与实施内部控制公司经理层根据基本规范中关于建立与实施内部控制的五项原则，抓紧拟订本公司实施基本规范的工作方案，报董事会批准后施行的五项原则，抓紧拟订本公司实施基本规范的工作方案，报董事会批准后施行。20082008年年9 9月，月，A A公司经理层提交了基本规范实施方案，其要点如下：公司经理层提交了基本规范实施方案，其要点如下： （1 1）明确控制目标。本公司实施内部控制的目标，是保证经营管理合法合规）明确控制目标。本公司实施内部控制的目标，是保证经营管理合法合规、资产安全完整、财务报告真实可靠，确保聘请会计师事务所进行内部控制审、资产安全完整、财务

24、报告真实可靠，确保聘请会计师事务所进行内部控制审计后获得标准无保留审计意见。计后获得标准无保留审计意见。 （2 2）优化内部环境，严格按照）优化内部环境，严格按照公司法公司法建立规范的公司治理结构，明确董建立规范的公司治理结构，明确董事会、经理层、监事会在决策、执行、监督等方面的职责权限。为此，建议在事会、经理层、监事会在决策、执行、监督等方面的职责权限。为此，建议在董事会下增设审计委员会，由总会计师兼任委员会主任；同时，成立本公司内董事会下增设审计委员会，由总会计师兼任委员会主任；同时，成立本公司内部控制领导小组，由总会计师兼任组长，全权负责本公司内部控制的建立健全部控制领导小组，由总会计师兼任组长，全权负责本公司内部控制的建立健全和有效实施；在完善公司人力资源政策方面，以业务能力作为选人、用人的决和有效实施；在完善公司人力资源政策方面，以业务能力作为选人、用人的决定性标准，培养一支能力过硬的职工队伍。定性标准，培养一支能力过硬的职工队伍。22（3）开展风险评估。考虑到外部风险的复杂性和多变性，加之本公司风险分析力）开展风险评估。考虑到外部风险的复杂性和多变性，加之本