企业内部控制基本规范要求和解读

1、中国石油天然气股份有限公司企业内部控制基本规范：要求和解读普华永道 版权所有2010 年 6 月Slide 2企业内部控制基本规范解读提纲法规的要求对配套指引的解读与前年度内部控制工作的异同对下一步规划的建议提问和讨论企业内部控制基本规范：要求和解读法规的要求法规的要求普华永道 版权所有2010 年 6 月Slide 4企业内部控制基本规范解读法规的要求企业内部控制基本规范及其配套指引2008年6月28日-五部委联合发布企业内部控制基本规范2010年4月26日-五部委联合发布企业内部控制基本规范 的相关配套指引-宣布了实施时间表指引的重点：-以风险为导向-覆盖全面：同时包括财务报告内部控制和非

2、财务报告内部控制-企业进行年度评价与报告-内部控制审计成为强制性要求普华永道 版权所有2010 年 6 月Slide 5企业内部控制基本规范解读分阶段的实施时间表企业类型企业类型实施时间实施时间境内外同时上市的公司 2011年1月1日：企业以2011年12月31日为基准日，进行并完成自我评价，披露报告；审计师需要就该基准日进行独立审计并完成审计报告上海证券交易所上市的公司、深圳证券交易所主板上市的公司2012年1月1日：企业以2012年12月31日为基准日，进行并完成自我评价，披露报告；审计师需要就该基准日进行独立审计并完成审计报告中小板和创业板上市公司 择机待定鼓励非上市大中型企业提前执行上

3、市公司及相关非上市大中型企业切实做好执行前的各项准备工作法规的要求普华永道 版权所有2010 年 6 月Slide 6企业内部控制基本规范解读管理层的责任法规的要求对内部控制的有效性进行自我评价，披露年度自我评价报告聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告相比目前国外的内部控制要求，我国的内部控制评价的范围更为广泛普华永道 版权所有2010 年 6 月Slide 7企业内部控制基本规范解读审计师的责任对内部控制进行独立审计，出具财务报告内部控制有效性的审计意见获取充分、适当的审计证据来支持内部控制有效性的审计意见对在内部控制审计过程中所注意到的非财务报告内部控制的重大缺

4、陷，在审计报告中予以描述披露是我国内部控制法规的一项独特的要求可以将内部控制审计和财务报表审计整合进行法规的要求企业内部控制基本规范：要求和解读对配套指引的解读对配套指引的解读普华永道 版权所有2010 年 6 月Slide 9企业内部控制基本规范解读内部控制配套指引简要解析企业内部控制基本规范及内部控制配套指引的发布标志着具有中国特色和世界先进水平的内部控制标准体系建设基本完成企业内部控制基本规范：企业内部控制基本规范：制定了内部控制框架和相关的原则性要求企业内部控制应用指引：企业内部控制应用指引：共18项，包括内部控制的环境和企业经营管理的多个方面，为企业建立和完善内部控制提供宏观的指导方

5、向企业内部控制评价指引：企业内部控制评价指引：为企业治理层即开展内部控制自我评价提供指引企业内部控制审计指引：企业内部控制审计指引：为会计师事务所执行企业内部控制有效性审计提供专业工作指引对配套指引的解读企业内部控制基本规范：要求和解读对配套指引的解读：企业内部控制应用指引对配套指引的解读：企业内部控制应用指引普华永道 版权所有2010 年 6 月Slide 11企业内部控制基本规范解读企业内部控制应用指引概述目前已出台的应用指引由18项指引组成，分为三个大类：内部环境类（5项）-组织架构、发展战略、人力资源、社会责任、企业文化控制活动类（9项）-资金活动、采购业务、资产管理、销售业务、研究与

6、开发、工程项目、担保业务、业务外包、财务报告控制手段类（4项）-全面预算、合同管理、内部信息传递、信息系统对配套指引的解读普华永道 版权所有2010 年 6 月Slide 12企业内部控制基本规范解读企业内部控制应用指引准确的认识给出了企业重要管理和业务领域的内控指导原则，而非详细的内控标准或具体措施企业应避免采用简单的“检查表”方式，仅仅将指引的内容简单地添加入企业规章制度，例如：应用指引第1号组织机构“第十一条 企业应当定期对组织架构设计与运行的效率和效果进行全面评应当定期对组织架构设计与运行的效率和效果进行全面评估估，发现组织架构设计与运行中存在缺陷的，应当进行优化调整”避免简单引用：避

7、免简单引用：“整改计划：在企业制度中增加年度评估的相关管理办法”应当融会贯通：应当融会贯通：-根据企业的经营规模、业务发展、分支机构设置的变化，按需对组织架构的设计和运行情况进行分析评估对配套指引的解读企业内部控制基本规范：要求和解读对配套指引的解读：企业内部控制评价指引对配套指引的解读：企业内部控制评价指引普华永道 版权所有2010 年 6 月Slide 14企业内部控制基本规范解读内部控制评价指引概述内容：对内部控制有效性进行全面评价组织：专门的职能机构和评价工作组缺陷认定：-需要企业根据自身情况，“合理”确定内部控制缺陷的认定标准-认定标准确定后，必须在不同评价期间保持一致，不得随意变更

8、规定了进行评价的基准日为12月31日规定了评价报告基本内容规定了评价报告的披露及报送的时间（基准日后4个月）对配套指引的解读普华永道 版权所有2010 年 6 月Slide 15企业内部控制基本规范解读内部控制评价指引对内部控制缺陷的定义根据缺陷的影响程度，划分为三个级别：-重大缺陷：一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形-重要缺陷：一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的情形-一般缺陷：除重大缺陷、重要缺陷之外的其他控制缺陷企业根据上述级别自行确定具体的认定标准目前国内外对确定认定标准的经验仅局限于对财务报告内部控制缺

9、陷的评价对配套指引的解读企业内部控制基本规范：要求和解读对配套指引的解读：企业内部控制审计指引对配套指引的解读：企业内部控制审计指引普华永道 版权所有2010 年 6 月Slide 17企业内部控制基本规范解读内部控制审计指引强调建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任要求注册会计师对财务报告内部控制的有效性发表审计意见要求注册会计师对注册会计师对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露注册会计师可以单独进行内部控制审计，也可以将内部控制审计与财务报表审计整合进行需要考虑舞弊风险关注信

10、息系统对内部控制和风险评估的影响对配套指引的解读普华永道 版权所有2010 年 6 月Slide 18企业内部控制基本规范解读内部控制审计指引：关于缺陷评估的要求提出了可能表明内部控制存在重大缺陷的迹象，包括：-企业董事、监事或高级管理人员舞弊 -企业更正已经公布的财务报表 -当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报-企业审计委员会和内部审计机构对内部控制的监督无效 审计师需要向董事会沟通的事项包括：-识别的重大缺陷和重要缺陷-认为审计委员会以及内部审计机构的监督无效-审计范围受限的情况对配套指引的解读普华永道 版权所有2010 年 6 月Slide 19企业内部控制基本

11、规范解读内部控制审计指引：审计意见出具无保留意见的内控审计报告的条件：-企业按照企业内部控制基本规范、企业内部控制应用指引、企业内部控制评价指引以及企业自身内部控制制度的要求，在所有重大方面保持了有效的内部控制-注册会计师按照企业内部控制审计指引的要求计划和实施审计工作，在审计过程中未受到限制否定意见：财务报告内部控制存在一项或多项重大缺陷，除非审计范围受限，应当对财务内部控制发表否定意见无法表示意见：审计范围受限或不能确定期后事项对内部控制有效性的影响程度对配套指引的解读企业内部控制基本规范：要求和解读对配套指引的解读：总结对配套指引的解读：总结普华永道 版权所有2010 年 6 月Slid

12、e 21企业内部控制基本规范解读总结应用指引-提供原则性的指导原则，不能简单用作一个“内控检查表”-需要考虑并接合企业的实际情况评价指引-包含“审计”的概念，需要企业灵活应用-企业需要企业根据自身情况，确定内部控制缺陷的认定标准审计指引-以财务报告内部控制为主题-需要进一步明确对非财务报告缺陷评价和披露的具体方法对配套指引的解读普华永道 版权所有2010 年 6 月Slide 22企业内部控制基本规范解读内控体系九大创新理念从制约观念到发展理念从结果控制到过程控制从执行层面到决策层面从会计控制到综合控制从微观细节控制到目标导向控制从借鉴国际到自主创新 从人为分割到一体化推进从遵循指引到内化融合

13、从宽松披露到双重评价（审计）引用财政部内控培训材料对配套指引的解读普华永道 版权所有2010 年 6 月Slide 23企业内部控制基本规范解读配套指引的整体结构对配套指引的解读其他监管要求其他监管要求应用指引应用指引由内部环境、控制活动、控制手段三大类，18个指引组成，企业可以根据实际情况进行增减审计指引审计指引审计师进行外部独立审计时使用评价指引评价指引适用于所有企业，包括： 总则 评价内容 评价程序 缺陷认定 评价报告基本规范基本规范50条条企业内部控制基本规范：要求和解读财政部内部控制培训的主要体会财政部内部控制培训的主要体会为了贯彻基本规范的落实，财政部于6月9至13日在大连举办了一

14、个大规模的培训班，以下是我们在培训过程中所总结的关键信息。普华永道 版权所有2010 年 6 月Slide 25企业内部控制基本规范解读对应用指引的认识企业应根据实际情况建设内控，不能以检查表的方式生搬硬套基本规范和18个应用指引的规定。财政部内部控制培训的主要体会我们非常赞成这个观点：每家企业的具体经营状况都有所区别，因此任何指引不可能涵盖一家企业的各个方面。因此，掌握基本规范和应用指引而灵活应用才是成功的做法。基本规范基本规范是基础，是基础，1818个个应用指引应用指引是针对企业的常见流是针对企业的常见流程和常见问题提出来的；企业可以根据实际情况程和常见问题提出来的；企业可以根据实际情况“

15、 “因地制宜因地制宜” ”的增的增减；关键是在掌握减；关键是在掌握基本规范基本规范和和1818个个应用指引应用指引的精神的的精神的基础上基础上“ “举一反三举一反三” ”，融会贯通。，融会贯通。普华永道 版权所有2010 年 6 月Slide 26企业内部控制基本规范解读风险管理和内部控制以全面风险管理为导向的内部控制体系。财政部内部控制培训的主要体会内控和风险管理应该融合在一起的，才能内控和风险管理应该融合在一起的，才能“ “相得益彰相得益彰” ”。内控不是。内控不是将控制活动简单的放在一个个点上。将控制活动简单的放在一个个点上。我们认同这个观点：过往有些企业过度关注“内控审计”的结果，把重

16、点放在个别控制点上，造成只见树木、不见树林的情况。普华永道 版权所有2010 年 6 月Slide 27企业内部控制基本规范解读企业内部控制的评价如何评价企业内部控制的有效性是管理层的决定，内控评价方法、缺陷评级标准、结果等不需要和审计师的审计方法和审计结论一致。 财政部内部控制培训的主要体会评价指引评价指引适用于所用企业，适用于所用企业，审计指引审计指引是审计师使用的，是审计师使用的，和企业无关。和企业无关。我们认为评价的方法应该有所区别，但结论尤其是有关重大缺陷的需要相对一致。普华永道 版权所有2010 年 6 月Slide 28企业内部控制基本规范解读企业内部控制的评价企业内控评价要抓住

17、重点，关注日常监督。内控评价没有固定频率，样本量等要求，都是管理层的决定。 财政部内部控制培训的主要体会内控自我评价从属于内部监督，是监督结果的总体体现；自我内控自我评价从属于内部监督，是监督结果的总体体现；自我评价要倚重日常监督与专项监督；自我评价是一次性、大规模、评价要倚重日常监督与专项监督；自我评价是一次性、大规模、地毯式评价和日常监督检查的结合。地毯式评价和日常监督检查的结合。评价频率没有硬性要求，也不可能规定样本量。注册会计师可评价频率没有硬性要求，也不可能规定样本量。注册会计师可以提供协助，但是如何评，评什么，是企业的自主决定。以提供协助，但是如何评，评什么，是企业的自主决定。我们

18、认为结合“地毯式”评价和日常监督检查是一个实际可行的方法，同时也能避免工作上的重复。我们所倡议的自我评价方法和监管部门的思路不谋而合。企业内部控制基本规范：要求和解读与前年度内部控制工作的异同与前年度内部控制工作的异同普华永道 版权所有2010 年 6 月Slide 30企业内部控制基本规范解读背景：内部控制相关法规2005年10月中国国务院批转证监会关于提高上市公司质量意见的通知（国发200534号）2006年5月中国证券监督管理委员会令第32号首次公开发行股票并上市管理办法等其他相关法规2006年6月上海证交所发布上海证券交易所上市公司内部控制指引2006年6月国有资产监督管理委员会出台中

19、央企业全面风险管理指引2006年9月深圳证交所发布深圳证券交易所上市公司内部控制指引2008年6月财政部会同证监会、审计署、银监会和保监会制定和发布企业内部控制基本规范2010年4月财政部会同证监会、审计署、银监会和保监会制定和发布企业内部控制基本规范 配套指引及相关事实细节与前年度内部控制工作的异同普华永道 版权所有2010 年 6 月Slide 31企业内部控制基本规范解读背景：以往内部控制评价所使用的标准不同的报告要求：-首次公开发行股票申请所需要的内部控制审核报告-上市公司内部控制报告-个别地区的市政监局要求不一致的标准：-企业执行内部控制评价所采用的内部控制标准-审计师所采用的审计标

20、准与前年度内部控制工作的异同普华永道 版权所有2010 年 6 月Slide 32企业内部控制基本规范解读与以往内部控制评价的主要区别适用内部控制标准的改变-基本规范整体范围更广泛企业自我评价方法的改变-需要接合相关指引中的概念-评价的范围广泛-工作需求较为严谨内部控制审计准则的改变-提出了对非财务报告内部控制缺陷的工作需求-审计工作执行时间上的改变：审计工作需要在基准日前开始进行，而不像目前仅仅在基准日后执行“补充”的工作程序与前年度内部控制工作的异同普华永道 版权所有2010 年 6 月Slide 33企业内部控制基本规范解读财务报告内部控制审计所需要进行的工作财务报告审计控制测试实质性测

21、试和其他审计手段所需要的审计证据财务报告内部控制审计共性的控制测试需要需要“ “补充补充” ”的控制测试的控制测试非财务报告内部控制其他工作程序“整合审计”中为支持内部控制审计意见所需要执行的额外审计工作需要需要“ “补充补充” ”的控制测试的控制测试其他工作程序与前年度内部控制工作的异同企业内部控制基本规范：要求和解读与美国萨班斯法案所要求的内部控制工作的异同与美国萨班斯法案所要求的内部控制工作的异同普华永道 版权所有2010 年 6 月Slide 35企业内部控制基本规范解读与萨班斯内部控制工作的主要区别萨班斯法案要求萨班斯法案要求基本规范要求基本规范要求范围范围“财务报告内部控制”，包括

22、： 与财务报告编制相关的控制 财务报告舞弊 资产保护所有方面的“内部控制”，但以“财务报告内部控制”为外部审计工作的重点管理层自我评价管理层自我评价强制性年度要求；302条款针对披露控制和相关程序（disclosure controls and procedures）对内部控制整体的有效性进行评价，披露年度报告审计要求审计要求强制性年度要求； 404条款针对财务报告内部控制的有效性，要求审计师发表审计意见强制性；对财务报告内部控制的有效性发表审计意见，同时对在审计工作中所注意到的非财务报告控制的重大缺陷进行描述审计方法审计方法整合审计提出并鼓励整合审计的概念，但可以单独进行内部控制审计与美国萨

23、班斯法案所要求的内部控制工作的异同企业内部控制基本规范：要求和解读建立以全面风险管理为导向的内部控制体系建立以全面风险管理为导向的内部控制体系普华永道 版权所有2010 年 6 月Slide 37企业内部控制基本规范解读风险管理和内部控制的关系时间现在 已发生的风险事件 管理中存在的问题将来也有可能发生的（可预知）不知道将来会否发生的（不确定）现在没有想到的事情（不可预知的）接受、转移风险重大事件响应机制常规企业管理手段（内部控制）？可预知不可预知不可控可控以全面风险管理为导向的内部控制体系普华永道 版权所有2010 年 6 月Slide 38企业内部控制基本规范解读风险管理的不同层面考虑角度

24、：考虑角度：投资项目方向与企业发展战略及布局投资项目的组合及平衡，不同投资项目间的组合效益：如资源业上游开采和下游加工间的投资平衡，达效益最大投资项目资金筹划及现金流投投资资风风险险考虑角度：考虑角度：投资项目的可行性分析，汇报预测投资项目的审批管理，规范的评价及审批程序项目投资项目实施过程中监控投资后评价战略层面战略层面操作层面操作层面风险管理：风险管理：企业决策方法及策略，平衡风险的机会和损失，包括：市场分析预测投资环境、竞争环境分析企业的产业链条及资源配置分析风险成本分析风险应对：风险应对：投资项目的合理权限管理、规范流程，包括：项目立项及可研管理项目的集中决策、分级审批项目实施管理，如

25、招投标流程，设计管理，项目变更管理等项目后评价流程以全面风险管理为导向的内部控制体系普华永道 版权所有2010 年 6 月Slide 39企业内部控制基本规范解读正确理解业务流程1 12 23 34 45 56 67 7理解市场和客户制定愿景及战略设计产品及服务营销及销售生产与配送产品及服务服务机构的生产与配送账目管理及客户服务经营操作流程经营操作流程管理流程管理流程8 81111人力资源开发与管理环境，健康与安全问题管理9 91212信息技术管理外部关系管理10101313财务与实物资源管理持续改进与变更管理资料来源：普华永道全球最佳实践以全面风险管理为导向的内部控制体系普华永道 版权所有2

26、010 年 6 月Slide 40企业内部控制基本规范解读风险管理和内部控制的关系关键控制的确认必须是以风险为依据每个业务流程面对多个类型的风险，因此影响：-每个业务流程需要确认那几个子流程-每类风险所应对的控制点生产计生产计划划采购计采购计划划采购申采购申请请招标招标采购合采购合同同存货管存货管理理付款申付款申请请结算入结算入账账编制报编制报表表风险领域风险领域财务报告错报合法合规生产安全以全面风险管理为导向的内部控制体系普华永道 版权所有2010 年 6 月Slide 41企业内部控制基本规范解读风险管理和内部控制的关系营销战略及计划项目调研投标报价合同管理生产计划项目运行管理发货管理发票

27、及应收账款管理目标市场与客户（国内及海外市场、新兴市场）产品结构（清洁/再生能源、宏观政策）板块及整体业务量（增长率、订单数量、毛利率）营销团队（客户反馈、架构、激励等）营销计划的审批营销计划的审批预收款额度质保金条款其他定价策略毛利率预测区间战略合作/外包关联公司交易价格报价审批报价审批合同审批合同审批投标评审会审批投标评审会审批生产计划审批生产计划审批项目定期汇报项目定期汇报帐龄分析帐龄分析以全面风险管理为导向的内部控制体系企业内部控制基本规范：要求和解读对下一步规划的建议对下一步规划的建议普华永道 版权所有2010 年 6 月Slide 43企业内部控制基本规范解读内控建设思路：因地制宜

28、，从企业实际出发对企业的建议内部控制体系内部控制体系以企业发展以企业发展战略为目标战略为目标以全面风以全面风险管理为险管理为导向导向以以基本规基本规范范、应用指、应用指引和其他监管引和其他监管要求为准绳要求为准绳整合现有管理整合现有管理制度与资源制度与资源普华永道 版权所有2010 年 6 月Slide 44企业内部控制基本规范解读内控建设思路：结合内控与风险管理建立以全面风险管理为导向的内部控制体系，将风险管理和内部控制融合在一起，才能“相得益彰”，真正发挥风险管理和内部控制的作用对企业的建议企业企业发展发展目标目标经营风险经营风险财务报告风险财务报告风险战略风险战略风险资产安全资产安全风险

29、风险合规风险合规风险内部控制评价内部控制评价重大风险事项重大风险事项事项1事项2事项n管控1管控2管控X风险事项和相关控制不一定存在一一对应的关系普华永道 版权所有2010 年 6 月Slide 45企业内部控制基本规范解读普华永道对实施工作的初步建议：搭建企业全面风险管理导向的内部控制体系对下一步规划的建议风险领域确认重大风险事项确认相关管理手段及控制流程梳理和控制评价控制设计评价控制执行评价编制、发布控制评价报告编制、发布控制评价报告普华永道 版权所有2010 年 6 月Slide 46企业内部控制基本规范解读普华永道对实施工作的初步建议：搭建企业全面风险管理导向的内部控制体系确认重大风险事项及相关管理手段及控制-根据企业目标确认重大的经营操作领域-明确相关领域的