狂犬病疫苗公司内部控制分析

1、泓域/狂犬病疫苗公司内部控制分析狂犬病疫苗公司内部控制分析目录 TOC o 1-3 h z u HYPERLINK l _Toc112766779 一、 公司简介 PAGEREF _Toc112766779 h 3 HYPERLINK l _Toc112766780 二、 企业风险管理 PAGEREF _Toc112766780 h 4 HYPERLINK l _Toc112766781 三、 内部牵制 PAGEREF _Toc112766781 h 13 HYPERLINK l _Toc112766782 四、 企业内部控制规范的基本内容 PAGEREF _Toc112766782 h 15

2、 HYPERLINK l _Toc112766783 五、 企业内部控制规范体系的结构 PAGEREF _Toc112766783 h 27 HYPERLINK l _Toc112766784 六、 会计系统控制 PAGEREF _Toc112766784 h 28 HYPERLINK l _Toc112766785 七、 绩效考评控制 PAGEREF _Toc112766785 h 31 HYPERLINK l _Toc112766786 八、 控制活动的基本原理 PAGEREF _Toc112766786 h 33 HYPERLINK l _Toc112766787 九、 内部控制的种类

3、PAGEREF _Toc112766787 h 34 HYPERLINK l _Toc112766788 十、 董事长及其职责 PAGEREF _Toc112766788 h 39 HYPERLINK l _Toc112766789 十一、 董事会及其权限 PAGEREF _Toc112766789 h 42 HYPERLINK l _Toc112766790 十二、 高级管理人员 PAGEREF _Toc112766790 h 47 HYPERLINK l _Toc112766791 十三、 管理腐败的类型 PAGEREF _Toc112766791 h 51 HYPERLINK l _To

4、c112766792 十四、 内部控制的起源 PAGEREF _Toc112766792 h 53 HYPERLINK l _Toc112766793 十五、 内部控制的演进 PAGEREF _Toc112766793 h 55 HYPERLINK l _Toc112766794 十六、 公司治理原则的概念 PAGEREF _Toc112766794 h 68 HYPERLINK l _Toc112766795 十七、 公司治理原则的内容 PAGEREF _Toc112766795 h 69 HYPERLINK l _Toc112766796 十八、 发展与创新阶段 PAGEREF _Toc1

5、12766796 h 75 HYPERLINK l _Toc112766797 十九、 起步和探索阶段 PAGEREF _Toc112766797 h 78 HYPERLINK l _Toc112766798 二十、 产业环境分析 PAGEREF _Toc112766798 h 79 HYPERLINK l _Toc112766799 二十一、 狂犬病疫苗 PAGEREF _Toc112766799 h 83 HYPERLINK l _Toc112766800 二十二、 必要性分析 PAGEREF _Toc112766800 h 85 HYPERLINK l _Toc112766801 二十三

6、、 SWOT分析 PAGEREF _Toc112766801 h 85 HYPERLINK l _Toc112766802 二十四、 法人治理 PAGEREF _Toc112766802 h 92 HYPERLINK l _Toc112766803 二十五、 项目风险分析 PAGEREF _Toc112766803 h 105 HYPERLINK l _Toc112766804 二十六、 项目风险对策 PAGEREF _Toc112766804 h 108 HYPERLINK l _Toc112766805 二十七、 人力资源配置分析 PAGEREF _Toc112766805 h 109 H

7、YPERLINK l _Toc112766806 劳动定员一览表 PAGEREF _Toc112766806 h 109公司简介（一）公司基本信息1、公司名称：xxx有限公司2、法定代表人：廖xx3、注册资本：1060万元4、统一社会信用代码：xxxxxxxxxxxxx5、登记机关：xxx市场监督管理局6、成立日期：2014-5-77、营业期限：2014-5-7至无固定期限8、注册地址：xx市xx区xx（二）公司简介公司以负责任的方式为消费者提供符合法律规定与标准要求的产品。在提供产品的过程中，综合考虑其对消费者的影响，确保产品安全。积极与消费者沟通，向消费者公开产品安全风险评估结果，努力维护

8、消费者合法权益。公司加大科技创新力度，持续推进产品升级，为行业提供先进适用的解决方案，为社会提供安全、可靠、优质的产品和服务。公司在发展中始终坚持以创新为源动力，不断投入巨资引入先进研发设备，更新思想观念，依托优秀的人才、完善的信息、现代科技技术等优势，不断加大新产品的研发力度，以实现公司的永续经营和品牌发展。企业风险管理（一）企业风险管理（2004）架构1、基本框架2004年，COSO为企业风险管理确立了一个可普遍接受的定义，该定义融入众多观点并达成共识，为各组织识别风险和加强对风险的管理提供了坚实的理论基础，即企业风险管理是一个受企业董事会、管理层和其他人士影响的过程，运用于制订战略之中，

9、并且贯穿整个企业，用以识别可能影响该企业的潜在事项，并且将风险控制在风险偏好的范围之内，为达到实体目标提供合理的保证。企业风险管理（2004）框架的主要贡献就在于，其重新界定了风险管理，即由目标、要素和组织三个维度组成的有机整体。第一维度为企业的目标，即战略目标、经营目标、报告目标和合规目标。在主体既定的使命或愿景范围内，管理当局制订战略目标、选择战略，并在企业内自上而下设定相应的目标。企业风险管理框架力求实现主体的战略目标、经营目标、报告目标和合规目标。战略目标与高层目标相关，和企业使命相一致，企业所有的经营管理活动必须长期有效地支持该使命。经营目标与企业运营的效果和效率相关，包括业绩和利润

10、目标，运营变化以管理当局对结构和业绩的选择为基础，旨在使企业能够高效地使用资源。报告目标与组织报告可靠性相关，包括对内报告和对外报告，涉及财务和非财务信息。合规目标层次较低，也是最基础的目标，与组织遵循相关法律法规有关。第二维度为构成要素，即内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监控。第三维度组织是企业的层级，包括主体层次、分部、业务单元及子公司。三个维度的关系是，全面风险管理的八个要素都是为企业的四个目标服务的；企业各个层级都要坚持同样的四个目标；每个层次都必须从以上八个方面进行风险管理。2、构成要素第二维度企业风险管理包含八个相互关联的要素。它们来源于管理

11、当局经营企业的方式，并与管理过程整合在一起。这些构成要素的含义如下。内部环境内部环境包含组织的基调，它为主体内的人员如何认识和对待风险设定了基础，包括风险管理理念和风险容量、诚信和道德价值观，以及他们所处的经营环境。目标设定必须先有目标，管理当局才能识别影响目标实现的潜在事项。企业风险管理确保管理当局采取适当的程序去设定目标，确保所选定的目标支持和切合该主体的使命，并且与它的风险容量相符。事项识别必须识别影响主体目标实现的内部和外部事项，区分风险和机会。机会被反馈到管理当局的战略或目标制订过程中。风险评估一通过考虑风险的可能性和影响来对其加以分析，并以此作为决定如何进行管理的依据。风险评估应立

12、足于固有风险和剩余风险。风险应对管理当局选择风险应对回避、承受、降低或者分担风险采取一系列行动以便把风险控制在主体的风险容忍度和风险容量以内。控制活动一制订和执行政策与程序以帮助确保风险应对得以有效实施。信息与沟通一一相关的信息以确保员工履行其职责的方式和时机，能被识别、获取和沟通。有效沟通的含义比较广泛，包括信息在主体中的向下、平行和向上流动。监控对企业风险管理进行全面监控，必要时加以修正。监控可以通过持续的管理活动、个别评价或者两者结合来完成。企业风险管理并不是一个严格的顺次过程，一个构成要素并不是仅仅影响接下来的那个构成要素。它是一个多方向的、反复的过程，在这个过程中几乎每一个构成要素都

13、会影响其他构成要素。3、企业风险管理（2004）框架面临的问题企业风险管理（2004）框架在对企业风险管理进行定义时所强调的最重要也是最独具一格的一点是“贯穿整个企业，应用于战略制定中”。而这一点在实践中却被误读，甚至被无视。COSO最初在编制ERM框架时采用了类似于内部控制框架所使用的立方体。虽然COSO对立方体右侧的内容进行了修改，删除了有关活动和流程，改为侧重于范围更广的实体和运营单位及分支机构，但许多企业依然试图在过于细微的层面实施该框架，例如运用于流程层面而非战略制定。许多组织机构将企业风险管理作为一种保证活动来实施，而不是将其视为一种更佳的企业管理方式，从而失去了治理效果。2008

14、年金融危机以及2011年的日本海啸所引发的经济大萧条，“黑天鹅”“大变脸”事件频频爆发，ERM有关问题和价值的主张便开始明朗起来，令许多企业进入危机应对模式，企业风险管理的实施也因此受到企业特别是C级高管的真正重视。6月24日，COSO委员会发布企业风险管理：风险与战略和绩效的协调，以向公众征求意见，截止日期为2016年9月30日。（二）企业风险管理（2016）框架的内容相对于企业风险管理（2004）框架，新版企业风险管理（风险与战略和绩效的协调）（2016）使用了构成元素加原则的结构，包括5个构成元素，细分为23条原则，2013年COSO组织更新了企业内部控制框架的部分内容，在文章的整体结构

15、上就是采用的这种结构新的结构加强了新框架的可读性、可用性和一致性。新版ERM框架的五要素和23个原则。新版框架对ERM的定义为：组织在创造、保存、实现价值的过程中赖以进行风险管理的，与战略制订和实施相结合的文化、能力和实践。可以看到，新版框架简化了ERM的定义以方便阅读和记忆。新定义方便的是所有读者的理解，而不只是风险管理从业者。新定义包括文化和能力而不只是过程，更加强调风险与价值的相结合，突出价值创造而不只是防止损失，这样也避免了和内部控制定义的界限不清。新版框架中，ERM被视为战略制定的重要组成和识别机遇、创造和保留价值的必要部分。新版框架中ERM不再是主体的一个额外的或是单独的活动，而是

16、融入主体的战略和运营当中的有机部分。新版框架注意到了自旧版框架发布以来，组织在实践ERM过程中遇到的一些问题，包括对风险管理工作的定位，风险管理工作的范围和目标等，新版框架定义了风险管理工作的高度，包括：战略和业务目标与使命、愿景和价值观不匹配的可能性；选定的战略所隐含的意义；执行战略过程中的风险。1、风险治理和文化风险治理和文化构成了ERM所有其他部分的基础。风险治理定下主体的基本基调，加强ERM的重要性并确立ERM的监管责任的分配；文化则是主体的价值观、行为准则和对风险的理解。（1）实现董事会对风险的监督。董事会对主体的风险监督负有首要责任。（2）建立治理和运作模式。在明确的责任分配下，组

17、织应该建立完整的运营模式和汇报体系。（3）定义期望的组织行为。董事会和管理层通过定义其期望的行为将组织核心价值和对风险的态度具体化。（4）展现对诚实和道德的承诺。组织制定基调，建立员工行为准则并对偏离准则的行为做出回应。（5）加强问责。组织确保各个层级的个体在风险管理方面的职责明确，并确保其自身在提供准则和指导方面的职责明确。（6）吸引、发展并留住优秀的个体。致力于根据战略和业务目标构筑人力资本，管理层通过在不同层面建立人力资源管理体系来吸引、培训、指导人才，评价和留住人才。2、风险、战略和目标设定ERM通过制订战略和业务目标的过程与主体的战略计划融合在一起。通过对商业环境的理解，组织可以得到

18、对内在和外在因素的看法以及它们对风险的影响。组织在战略制订中确定其风险偏好，而业务目标使得战略得以实践并形成主体日常的运营。（1）考虑风险和业务环境。组织考虑业务环境对风险图谱的潜在影响；组织要理解业务环境，考虑内部和外部的环境和不同的利益相关者。（2）定义风险偏好。组织在创造、保存和实现价值的过程中定义风险偏好。（3）评估可供选择的战略。组织评估可替代的战略和对风险状况的影响。（4）建立业务目标的同时考虑风险。组织建立不同层次的业务目标以制定和支持战略的同时考虑风险。（5）定义可接受的绩效浮动区间。可接受的绩效浮动也可以理解为风险容忍度。3、执行中的风险组织识别并评估可能影响其实现战略和业务

19、目标的风险，结合企业的风险偏好，对风险按照其严重程度排分优先次序，组织选择风险应对的方法并对绩效进行监控以做出调整。这样，企业对追求战略和业务目标时所面临的风险量建立起一个组合的观念。（1）识别执行中的风险。组织识别执行过程中影响业务目标实现的风险。（2）评估风险的严重程度。风险评估的重要工具是风险热力图，热力图从风险发生的可能性和影响程度两方面对风险进行评级。风险评价要从固有风险、目标剩余风险和实际剩余风险三个层级进行。（3）区分风险的优先次序。组织结合风险偏好，选定对风险排分优先等级的标准，然后对所有识别的风险进行排分。（4）识别并选择风险响应。这些控制活动在内部控制一整合框架中已经介绍。

20、（5）评估执行中的风险。组织需要对绩效进行监测，如果绩效的浮动区间超出了可以接受的范围，则可能需要重新考虑业务目标或战略；调整目标绩效，重新进行风险评估；重新进行风险优先级的排序；重新制定风险应对措施；重新确立风险偏好。（6）建立风险的组合观。管理层需要从组织整体角度考虑风险，将组织风险作为一个整体去和实现绩效目标所需要承受的风险进行对比，而不是将其视为一个个单独的、分散的风险。4、风险信息、沟通和报告沟通是在主体中不断迭代地取得并分享信息的过程。管理层利用从内部和外部取得的有效信息来支持企业风险管理工作，组织利用信息系统来捕捉、处理和管理数据和信息。通过利用应用于所有组成部分的信息，组织就风

21、险、文化和绩效做出报告。（1）使用相关信息。组织利用支持企业风险管理的信息，首先考虑有哪些可用的信息来源，然后衡量取得这些信息的成本，最终确定需要哪些信息来源。（2）利用信息系统。信息系统可以是正式的或者是非正式的。（3）沟通风险信息。沟通的对象既包括内部的员工，也包括董事会、股东及其他外部的利益相关者。沟通方法可以是电子信息、外部/第三方材料、非正式/口头、公共活动、培训和研讨会、内部文件。（4）对风险、文化和绩效进行报告。组织在各个层级对风险、文化和绩效做出报告。5、监控风险管理效果通过监控风险管理（ERM）的效果，组织可以判断ERM的各组成部分的长期运作是否良好并获知有哪些实质性的变化。

22、（1）对重大变化进行监控。组织识别和评估可能对战略和业务目标的达成造成实质性影响的内部和外部变化。造成这些实质性影响的变化可能来自内部的原因，如快速成长、新技术或者管理层及其他人事变动；可能来自外部环境，例如法规和经济环境的变化；还可能来自组织文化方面，例如并购和重组带来的文化冲击。（2）对ERM进行监控。组织应监控ERM的效果并随时准备对其进行效率上和实用性上的改善，组织同样要明确未来理想中的ERM状态，做到持续改进。内部牵制内部牵制的概念最早在1905年由特克西提出。他认为内部牵制由3部分组成：职责分工、会计记录、人员轮换。这3部分内容在现代内部控制中都有所体现。柯勒会计词典中对内部牵制曾

23、做出最全面的解释，它认为“内部牵制是指以提供有效的组织和经营，并防止错误和其他非法业务发生的业务流程设计。其主要特点是以任何个人，或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的责任分工，每项业务通过正常发挥其他个人或部门的功能进行交叉检查或交叉控制。设计有效的内部牵制得以使每项业务能完整、正确地经过规定的处理程序，而在这规定的处理程序中，内部牵制机制永远是一个不可缺少的组成部分”。由此可见，内部牵制是以查错防弊为目的，以职务分离、账目核对为手段，以钱、账、物等为主要控制对象。内部牵制按照实现机制的不同，可分为分离式牵制和合作式牵制两类。（一）分离式牵制内部牵制制度的建立主要是基于

24、两个设想，一是两个人或两个以上的人或部门无意识地犯同样错误的机会是很小的：二是两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部门舞弊的可能性。按照这样的设想，通过内部牵制机制，实现上下牵制，左右制约，相互监督，因而具有查错防弊这个主要功能。所谓的上下牵制是指，从纵向看，每项经济业务的处理，至少要经过上下级有关人员之手，使下级受上级监督，上级受下级制约，促使上下级均能忠于职守，不可疏忽大意。所谓左右制约是指，从横向看，每项经济业务的处理，至少要经过彼此不相隶属的两个部门的处理，使每一部门工作或记录受另一部门的牵制，不相隶属的不同部门均有完整的记录，使之互相制约，自动检查，防

25、止或减少错误和弊端；同时，通过交叉核对也能及时发现错误和弊病。分离式牵制即不相容职务相分离，所谓不相容职务是指那些如果由一个人或一个部门担任既可能发生错误和舞弊行为，又可能掩盖其错误和舞弊行为的职务。不相容职务主要有授权批准、业务经办、会计记录、财产保管和稽核检查等职务，包括岗位的不相容、部门的不相容以及流程的不相容。不相容职务分离主要是指授权审批与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办与稽核检查、授权批准与监督检查等不能由一个人或一个部门进行。由此可见，内部牵制主要是以不相容职务分离为主要流程设计的，是内部控制的最初形式和基本形态。其目的是为了保证财产物资的安全和完整，防

26、止贪污、舞弊。实践证明，该设想是合理的，内部牵制确实起到了防范错弊的作用。（二）合作式牵制现代内部牵制思想还包括合作式牵制。合作式牵制是指，通过合作达到相互制约、相互监督的作用。例如，会审机制，企业面对重大决策、重大业务事项、重要的人事任免以及大额资金支付时，需要领导层集体决策、集体联签，以防止个人决策的失误：又如合同会签制度，即合同在生效前不仅需要主管部门签字盖章还需要其他协作部门共同参与，会审、会签人员共同参与、共担责任，以及降低决策、合同的风险。另外，企业内部各部门之间在业务上的协助也属于合作式牵制。例如，2012年财政部颁布要求在2014年1月1日试行的行政事业单位内部控制规范中规定，

27、重大事项需集体决策和会签。企业内部控制规范的基本内容我国企业内部控制规范的基本框架，可以概括为五大目标、五大原则和五大要素。（一）内部控制的目标内部控制是围绕目标展开的，因此明确目标至关重要。内部控制的目标，应是整个控制系统的出发点，决定了系统运行的方式和方向。企业内部控制基本规范中对内部控制提出了合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果以及促进企业实现发展战略的五大目标，简称为合规目标、资产安全目标、报告目标、经营目标和战略目标。内部控制五大目标是一个完整的目标体系，由于各大目标在控制体系中的层级不同，其在整个目标体系中的地位和作用也有所差异。1、合规目标合规目标要

28、求企业或其他组织完全遵循国家的法律法规和监管要求，是企业成功运营的必要保证，与企业活动的合法性相关。企业生存于社会这个大环境下，必须遵守社会的基本规范，包括法律规范和道德规范，必须在社会允许的范围内展开各项活动，即“小制度不能大于大法”。因此，遵守法规、制度是企业一切活动的前提，也是首先要保证完成的目标。国家有关法律、制度的落实必将依靠内部控制的有效执行加以保证。一个违反国家法律法规、丧失道德底线的企业，必然会将自身置于高风险的环境中，从而对自身的生存和发展造成巨大的威胁，后果可想而知。合规目标方面的关注点主要包括：公司的各项活动符合法律法规确定的要求，通常涉及知识产权、市场、价格、税收、环境

29、、员工福利以及国际贸易等。2、资产安全目标虽然在COSO框架中没有将保护资产安全作为一个主要目标，而是作为主要目标中的一个子目标，但是我国的企业内部控制基本规范中重新将其作为内部控制目标的一个部分，这是基于我国的国情和现状做出的必然选择，是有一定用意的。我国普遍存在产权多元化现象，而且国有资产流失现象极其严重，保护资产安全和完整对资产所有者来说具有特别重大的意义。资产安全与否实际上是内部控制的一个过程控制结果，是实现其他目标的物质前提。因此，该目标要求内部控制能够保护主体所有资产的安全和完整。资产安全目标方面的关注点主要包括：关注企业日常经营活动的效率，提高企业的生产力和竞争力，防止资产缩水，

30、关注资产使用及处置的授权情况。3、报告目标报告目标指内部控制应合理保证企业提供了真实、可靠的财务报告及其他信息。报告目标有助于组织向投资者、债权人等利益相关者以及内部管理层提供真实、可靠、完整的信息，具体包括内部和外部、财务与非财务信息，它是内部控制目标体系的基础目标。企业报告包括内部报告和外部报告，报告目标的提出更多地满足了企业外部的需求。对于外部使用者来说，真实、可靠和完整的财务报告能够公允地反映企业的财务状况和经营成果，从而有利于信息使用者做出决策。当然，非财务信息的重要性也是不言而喻的。可靠的报告既为管理层提供了适合其既定目的的准确和完整的信息，也是外部监管的要求。报告目标方面的关注点

31、主要包括以下几个部分。（1）管理层决策及对公司活动、业绩监控的准确、及时、完整的信息的对内报告；（2）用于满足投资者、监管部门及其他相关信息需求者的真实、可靠、完整信息的对外报告；（3）信息的全面性，而不仅仅是财务信息。4、经营目标经营目标旨在有效和高效地使用企业有限的资源，提高经营的效率和效果，实现良好的运营。经营目标是企业实现其战略目标的核心和关键所在，战略目标与企业的使命相关联，战略目标只有通过分解和细化成经营目标才能得以落实。因此，没有经营目标，战略目标再好也无任何意义。经营目标需要反映特定企业自身及所处特定经济环境的特点，全面考虑产品质量的竞争压力、产品的生产周期和与技术变化相关的其

32、他因素。一般来说，经营目标引导企业的资源流向，经营目标不成熟或不明确，会造成企业资源的浪费。通常情况下，良好的内部控制能够提高企业的经营效率和效果，提高单位时间产量，优化产品质量，从而提高企业的核心竞争力。管理层必须确保经营目标反映现实的市场需求，并且有明确的绩效衡量指标。经营目标方面的关注点主要包括以下几点。（1）经营目标与公司战略目标及战略计划一致；（2）经营目标适应公司所处的特定经营环境、行业和经济环境等（3）各个业务活动目标之间保持一致；（4）所有重要业务流程与业务活动目标相关；（5）适当的资源及有效配置；（6）管理层制定的公司经营目标及他们对目标的负责程度。5、战略目标战略目标是基于

33、组织整体视角的最高层次目标，其他目标都应与战略目标协调一致并服务于战略目标。战略目标与企业的目标紧密相关，并且是支持企业目标实现的基础。管理者为实现企业价值最大化这一根本目标，针对内外部环境，评估与目标实现相关的风险，根据风险偏好，做出一系列的反应和选择。一个企业为实现其战略目标，首要的任务是在分析内外部环境的基础上制订战略，明确战略目标；其次，对风险进行识别和评估，并在制订相应风险应对措施的基础上形成战略规划；最后，将战略目标逐步分解成若干子目标，再将子目标层层分解至各个业务部门、行政部门和各生产过程。上述过程为企业实现其战略目标提供了合理保证。战略目标反映了管理层就主体如何努力为其利益相关

34、者创造价值所做出的选择，是最高层次的目标，与其使命相关并支撑其使命。战略是实现企业目标的全面性、方向性的行动计划。企业在考虑实现战略目标的各种方案时，必须考虑与各种战略相伴的风险及其影响，对于同样的战略目标可以选择不同的战略加以实现，而不同的战略则具有不同的风险。因此，企业在战略选择之前，有必要对当前的经营状况进行评估，分析内、外部环境因素，明确公司在行业中所处的位置及面临的机遇和挑战，不断审视当前的目标与使命。战略目标方面的关注点主要包括以下几点。（1）管理层对企业绩效现状进行的评估，是前期战略进行监控的基础，也是企业新战略制订的基础（2）对内部和外部环境的监测分析；（3）战略目标体系；（4

35、）战略选择遵循了必要的流程，并获得了充分地讨论；（5）企业对目标实现与现有资源状况之间的匹配程度进行的评估；（6）设定战略目标可接受程度；（7）就战略目标与企业内部员工和外部相关利益集团之间进行沟通。（二）内部控制的原则企业建立内部控制应遵循一定的原则，没有正确的原则指导，内部控制的设计就难免存在先天性不足的问题，其执行效率难免大打折扣。内部控制的基本原则是建立和实施各种内部控制应遵循的具有普遍性和指导性的法则和原则，它所要解决的问题是，为了实现内部控制的目标，基于内部控制的基本假设，根据内部控制的理论基础，应当如何科学地设计和执行内部控制的问题。企业内部控制基本规范明确指出，企业建立与实施内

36、部控制，应当遵循全面性、重要性、制衡性、适应性、成本效益五大原则。这五个原则形成一个整体，设计企业的内部控制应做到统筹兼顾，不可偏废。1、全面性原则全面性原则是指内部控制应该贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。全面性原则要求内部控制覆盖全部业务活动和每项业务活动的全过程，在层次上应当涵盖企业董事会、管理层和全体员工；在对象上应当覆盖企业各项业务和管理活动；在流程上应当渗透到决策、执行、监督、反馈等各个环节，避免内部控制出现空白和漏洞。具体而言，全面性原则，首先要求企业进行全过程控制，即对整个经营管理活动过程进行全面、全方位、全时段的控制，其中包括企业管理部门用以授

37、权与指导、进行购货、生产等经营管理活动的各种方式方法，以及核算、审核、分析各种信息及进行报告的程序与步骤等。其次，内部控制对全体员工都有约束力，企业应当进行全员控制。企业的每一位成员既是内控的主体，又是内控的客体，内部控制制度应保证每一位员工包括高层管理人员到基层执行操作人员都受到相应的控制。2、重要性原则重要性原则是指内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。对重要业务经济活动进行重点控制时，对一项经济业务活动的关键环节实行重点控制。对关键控制点的选择，应统筹考虑会影响整个企业经营运行过程的重要操作与事项以及其是否能在重大损失出现之前显示差异，以便有利于对问题做出及时、灵

38、敏的反应。例如，在设计与执行同存货相关的内部控制制度时，可以借鉴存货ABC管理方法，根据存货数量占比和资金占比，对其中的A类存货进行重点控制。在理解上，应将全面性原则和重要性原则联系起来，不能片面、分立地理解。重要性是在全面性基础上的考虑，即重要业务事项一个都不能少。这是内部控制合理保证目标实现以及确定控制点的前提也是成本效益原则的体现。3、制衡性原则制衡性原则是指内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。内部控制的本质之一是制衡，制衡性原则是内部控制的一个灵魂性原则，是内部控制有效性的具体判断标准。企业的机构、岗位设置和权责分配应当科

39、学合理并且符合内部控制的基本要求，确保不同部门、岗位之间的权责分明和有利于相互制约、相互监督。履行内部控制监督检查职责的部门应当具有良好的独立性。任何人不得凌驾于内部控制之上。制衡性原则要求人们在办理具有固定风险的经济业务事项，对涉及的不相容职务应该严格加以分离，不得由一个人或一个部门包办到底。组织行为理论强调授权和权力制衡的重要性，因此通过科学合理地设置机构、岗位和分配权责，能够实现权力的相互制衡，进而实现组织的各项目标。此外，不串通假设也为该原则地遵循奠定了基础。因此，制衡性原则是建立内部控制应当遵循的又一个重要的基本原则。4、适应性原则适应性原则是指内部控制应当与企业经营规模、业务范围、

40、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。适应性原则是成本效益原则的保证。组织行为理论强调人们应该重视环境的变化，“因地制宜”地设计、“因材施教”地执行内部控制。企业在性质、行业、规模、组织形式和内部管理体制及管理要求等方面存在差异，这构成了企业不同的特点以及同一行业在不同的发展阶段表现出不同的特点。因此，企业应当根据各自的实际情况，恰当地设置适用的控制措施、手段及程序等，发挥应有的控制作用，满足管理的需要。5、成本效益原则成本效益原则是指内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。企业是以追求经济利益为目标的经济组织，内部控制的设计和实施是需要成本的。企业应

41、当在保证有效性的前提下，合理地权衡成本与效益的关系，争取以合理的成本实现更为有效的控制。这一原则要求企业根据规模大小及具体经营管理情况设计和执行内部控制制度，既要考虑到设计的经济性，又要考虑到执行的效益性，避免重复控制，浪费人力、物力和财力；应尽量精简机构和人员，减少过繁的程序和手续，提高工作效率；尽可能控制设计成本与执行成本，以达到最佳的控制效果。（三）内部控制的要素按照企业内部控制基本规范的规定，我国企业内部控制包括内部环境、风险评估、控制活动、信息与沟通、内部监督5要素。1、内部环境内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等

42、。内部环境是影响、制约内部控制建立与执行的各种因素的总称，是实施内部控制的基础。2、风险评估风险评估是指企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。因此，风险评估主要包括目标制定、风险识别、风险分析和风险应对四个环节。风险评估是实施内部控制的重要依据。3、控制活动控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受的范围之内。它是实施内部控制的具体手段。4、信息与沟通信息与沟通是指企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间的有效沟通和正确应用的过程。它是实施内部控制的重要组成部分。5、内部监督内部

43、监督是指企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，一旦发现内部控制缺陷，应当及时加以改进。它是实施内部控制的重要保证。总之，内部控制的目标是一个体系，按照COSO的观点，每一个目标都要有相应的控制程序，从横向的角度来看，所有的控制程序一定存在某些共性，抽出所有控制程序的共性并归类就形成了内部控制的各个构成要素，即内部控制的要素结构。企业内部控制规范体系的结构2010年4月26日，财政部、证监会、审计署、银监会、保监会联合发布了企业内部控制配套指引。该配套指引包括18项企业内部控制应用指引企业内部控制评价指引和企业内部控制审计指引，连同此前发布的企业内部控制基本规范，标志着

44、适应我国企业实际情况、融合国际先进经验的中国企业内部控制规范体系基本建成。我国内部控制规范体系分两个层面，一是基本规范，二是配套指引。（一）基本规范企业内部控制基本规范是内部控制建设与实施应该遵循的基本原则和总体要求，具有强制性，纳入实施范围的企业应当遵照执行。（二）配套指引企业内部控制配套指引（包括应用指引、评价指引和审计指引）是对企业内部控制基本规范相关规定的进一步补充和说明具有指导性和示范性，企业可以结合所在行业要求和企业自身特点，参照配套指引的规定开展内部控制建设与实施工作。配套指引包括应用指引、评价指引和审计指引，三者之间既相互独立，又相互联系，形成一个有机整体。1、企业内部控制应用

45、指引应用指引是对企业按照内部控制五大原则和内部控制五大要素建立健全本企业内部控制所提供的指引，在配套指引乃至整个内部控制规范体系中占据主体地位，主要包括控制环境类指引、控制活动类指引和控制手段类指引。2、企业内部控制评价指引评价指引是为企业管理层对本企业内部控制有效性进行自我评价提供的指引，用于企业董事会或类似决策机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。3、企业内部控制审计指引审计指引是为注册会计师和会计师事务所执行内部控制审计业务的执业准则。会计系统控制（一）会计系统控制的含义会计系统是一个企业管理系统的核心子系统之一。一方面，它通过记录和报告历史经济业务来反映企

46、业的资产状况、经营成果以及现金流量的状况；另一方面，这些信息为企业经营决策和与企业利益相关的外部使用者的投资决策提供依据。真实、完整的会计信息对企业来说是非常重要的，它是企业进行有效经济分析和准确预测与决策的基础。会计系统控制就是与保护财产安全的企业会计责任及会计记录可靠性有关的组织、计划、程序、方法，是企业所有业务活动价值结果的终点。其基本思路就是通过对会计主体所发生的各项能用货币计量的经济业务进行记录、归集、分类、编报等活动进行控制。会计系统控制要求企业严格执行国家统一的会计准则、制度，加强会计基础工作，明确会计凭证、会计账簿和财务报告的处理程序，规范会计政策的选用标准和审批程序，建立、完

47、善会计档案保管和会计工作交接办法，实行会计人员岗位责任制，充分发挥会计的监督职能，保证会计资料的真实、完整。（二）会计系统控制的目标会计系统控制以保护财产物资和确保会计资料可靠性为目的，是与保护财产物资的安全性、会计信息的真实一致性和完整性以及财务活动的合法性有关的控制。会计系统控制的目标是通过对财产物资保管和会计信息等控制对象制定一系列控制方法、措施和程序所要达到的最终目的和要求，它是建立、完善会计系统控制，以及有效实施会计系统控制的指南。会计系统控制应达到的基本目标如下。（1）规范企业会计行为，保证会计资料的真实、完整性，即所有已发生或完成的事项都被记录下来，且记录充分，这是会计系统控制的

48、首要目标。（2）堵塞漏洞、消除隐患，防止并及时发现、纠正错误及舞弊行为，保护企业资产的安全、完整。（3）确保企业贯彻执行国家有关法律法规和企业的规章制度。（三）会计系统控制的内容会计系统控制包括以下几个方面的主要内容。1、会计凭证填制的控制由于会计凭证中详细记录了各类经济交易与事项的具体内容和经济活动的基本财务信息，因此，会计凭证处理是整个会计信息系统运行的第一个环节，也是会计账簿信息和财务报表信息产生的基础。会计凭证包括原始凭证和记账凭证。原始凭证的控制应遵循只有当某个交易或事项真实发生时才能取得或填制相应的原始凭证这一原则。企业在取得已经发生的相关经济交易与事项的原始凭证后，会计人员应及时

49、对原始凭证进行审核，并据以编制记账凭证。2、会计账簿登记控制会计账簿登记控制是指在设置、启用和登记会计账簿时实施的相应控制措施。企业应当结合会计信息使用者的需要和会计内部经营管理的具体要求，建立完整的会计账簿体系。在登记账簿过程中，遵循不相容职务分离原则，不能由一人同时登记总账和明细账。会计账簿应妥善保管，同时企业应在日常会计处理过程中及时进行对账，达到账证相符、账账相符、账实相符，确保会计记录的数字真实、内容完整、计算准确、依据充分、时间适当。3、会计报告编制控制会计报告是会计信息系统运行的最后一个、也是最重要的环节，企业应当按照国家统一的会计准则或制度规定的会计报表格式和内容，根据登记完整

50、、核对无误的会计账簿记录和其他资料编制会计报表。为了保证会计报表的真实性，财务部门应编制会计凭证汇总表与会计账簿、会计报表进行分析核对，编制内部财务报告与预算平衡表和总账相核对，一旦发现异常应及时解决和处理。4、会计机构和人员设置企业应当依法设置会计机构，配备会计从业人员。从事会计工作的人员，必须取得会计从业资格证书。会计机构负责人应当具备会计师以上专业技术职务资格。大中型企业应当设置总会计师，设置总会计师的企业，不得设置与其职权重叠的副职。绩效考评控制我国内部控制基本规范第三十五条规定：绩效考评控制要求企业建立和实施绩效考评制度，科学设置考评指标体系，对企业内部各责任单位和全体员工的业绩进行

51、定期考评和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。绩效考评控制是保证企业内部公平的必要条件。一个成功的绩效考评制度可以有效地甄别出员工对企业的贡献并予以相应的激励，有利于企业改进组织绩效，提高经济效益。所以，每个企业都应建立一套完善合理的内部控制绩效考评制度，对企业内部各责任单位和全体员工的执行内部控制情况进行定期考评和客观评价。因此，企业应该科学地设置绩效考评指标，合理确定考评主体及类型。在设定了科学的绩效考评指标的基础上，企业应根据这些指标进行客观公正的考评。（一）绩效考评指标绩效考评指标是指对员工绩效进行考核与评价的项目，必须将员工内部控制执行情

52、况作为绩效考评的主要指标或指标体系的主要内容。指标定义要明确，具有可测量性，且必须与战略目标保持一致。绩效考评指标通常分为三类，分别为业绩考评指标、能力考评指标、态度考评指标。业绩考评指标就是考评工作行为所产生的结果，如销售额、市场份额增长率等。业绩考评指标反映了绩效管理的最终目的，即提高企业的整体绩效以实现既定的目标。能力考评指标是指考评员工与岗位或内容相关的工作技能。能力考评指标有利于鼓励员工提高与工作相关的工作能力。态度考评指标，是指不考虑员工的业绩和能力，只考评他们对工作的精神状态。将工作态度也作为考评指标是因为态度往往决定一切，即便某些员工工作能力比较强，但如果他们的工作态度不正确，

53、其工作业绩也往往不理想。因此，为了引导员工积极向上的工作态度，从而达到绩效管理目标，将工作态度纳入绩效考评范围是十分有必要的。（二）绩效考评主体考评主体即由谁进行考评，考评主体的确定应遵循一个原则，那就是考评者对被考评者的工作性质、岗位要求、工作状态等必须有一定的了解。即便如此，企业也应对考评主体进行必要的培训，包括道德、纪律、考评资料收集、考评体系等方面的培训，力求使考评主体具有良好的考评技能、公正的考评心理，从而进行有效的绩效考评。（三）绩效考评的类型绩效考评按时间可以分为定期与不定期考评，按考评性质可分为定性和定量考评，按考评主体又可分为上级考评、专业机构考评、自我考评等。控制活动的基本

54、原理企业开展经营活动的目的是有效、高效地使用资源。如何保证有效、高效使用资源？一般认为，企业的资源是有限的，有限的资源一定能管控，风险应该被有效控制。如何控制？由于企业资源被各种活动（如交易、经济事项、经营业务等）使用，因此控制了活动就管理了资源。由于活动都要进入相应流程（如资金活动流程、采购业务流程、资产管理流程、销售业务流程、研究与开发流程等），因此，控制活动的总体思路是：通过实施流程控制，在流程中找关键风险点（即控制点），以达到有效管控资源的目标。控制了流程也就控制了活动，企业资源融入流程后形成了企业控制架构。控制行为（政策和程序）也并非盲目实施，我国企业内部控制基本规范规定的控制程序包

55、括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和合同控制等。不同国家、不同时期控制程序不尽相同，这是由内部控制的动态过程观确定的。COSO报告与我国企业内部控制基本规范在控制活动内容方面的比较，通过比较可以看出，两者之间没有太大的区别，预算控制实际上是从授权审批控制中分离出来的政策和程序，从对授权审批控制的理解而言，预算控制属于日常经营管理活动按照既定程序和原则实施的控制。企业应当根据内部控制目标，结合风险应对策略，依据流程控制原理，综合运用控制程序，对各种业务和事项实施有效控制。控制行为的主要目的是降低风险，针对的是风险降低应对策略。内部

56、控制的种类内部控制按控制内容可分为一般控制和应用控制，按控制地位可分为主导性控制和补偿性控制，按控制功能可分为预防性控制和发现性控制，按控制时序可分为原因控制、过程控制和结果控制。（一）按控制内容分为一般控制和应用控制1、一般控制般控制是指对企业经营活动赖以进行的内部环境所实施的总体控制，也称基础控制或环境控制。它包括组织控制、人员控制、业务记录以及内部审计等内容。这类控制的特征，是并不直接地作用于企业的生产经营活动，而是通过应用控制对全部业务活动产生影响。（1）合法性控制，即用各种方法检查所记录的经济业务，以保证其能够如实反映经济事项。在会计基础控制方面，它主要通过由熟悉会计制度的人员审查会

57、计文件，以确定所记录的业务是否真正发生，检查其处理过程是否与规定的程序相一致，查明业务处理是否经过授权与批准，有无越权行事等行为，以及是否进行了严格的监督和审核。（2）正确性控制，即为了确保单位每笔经济业务的发生都能够及时用正确的金额与账户记载的一种控制。它通过建立发生额计算、余额计算、账户分类检查、双重核对、事先控制与分工牵制等方法来保证会计记录的正确性。（3）完整性控制，即保证发生的一切合法的经济业务均记入控制文件的一种控制。它主要通过凭证的连续编号、总额控制、登记账簿、档案管理并运用备忘录等手段来保证记录的完整性。现在，实行会计电算化的单位已由计算机解决部分完整性的控制工作。（4）一致性

58、控制，即保证记录一致性的控制。它主要通过实地盘存、对内对外账实核对、差异分析、调账等方法来保证会计记录的一致性。2、应用控制应用控制是指直接作用于企业生产经营业务活动的具体控制，也称业务控制，如业务处理程序中的批准与授权、审核与复核以及为保证资产安全而采用的限制接近等控制。这类控制的特征，在于它们构成了生产经营业务处理程序的一部分，并都能够防止和纠正一种或几种错弊。（二）按控制地位分为主导性控制和补偿性控制1、主导性控制主导性控制是指为实现某项控制目标而首先实施的控制。如凭证连续编号可以保证所有业务活动都得到记录和反映，因此，凭证连续号对于保证业务记录的完整性就是主导性控制；为实现组织的战略目

59、标，管理层要根据组织规划指导各项生产及经营管理工作，并组织专门机构和人员进行定期或不定期的检查，对于发现的偏差进行分析，找出问题的成因、采取措施、予以纠正。这里，管理层的组织专门机构和人员开展的定期或不定期检查活动对于发现偏差就是主导性控制。预防性控制和发现性控制则是为了预防、检查和纠正不利的结果，在正常情况下，主导性控制能够防止错误和舞弊的发生，但如果主导性控制存在缺陷，不能正常运行时，就必须由其他的控制措施进行补充。2、补偿性控制补偿性控制就是针对某些环节的不足或缺陷而采取的控制措施能够全部或部分弥补主导性控制的缺陷，主要是为了把风险暴露限制在一定的范围内。如果凭证没有连续编号，有些业务活

60、动就可能得不到记录。这时，实施凭证、账证、账账之间的严格核对，就可以基本上保证业务记录的完整性，避免遗漏重大的业务事项。因此，“核对”相对于凭证“连续编号”来说，就是保证业务记录完整性的一项补偿性控制。由独立于银行存款收支业务的人员进行银行存款的核对和调整，是对收支业务中存在的薄弱环节的一种补偿性控制。一项控制和其他控制之间存在一定联系，当该项控制存在控制缺陷的时候如果其他控制执行有效，可以有效地降低该缺陷导致财务报告错报的影响程度，而且所影响金额也可以明确，那么其他控制就是该控制的补偿性控制。从上述分析可见，主导性控制与预防性控制存在密切的联系，都是在实现有利结果的同时，避免不利结果的发生。