内部审计（第三版）第07章内部控制自我评价

1、第三版内部审计 第7章内部控制自我评价Chapter 7A通过本章学习，掌握内部控制的基本要素及包含的具体内容，明确企业内部控制自我评价的方式与评价内容。点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.1内部控制是由企业董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过程。7.1.1内部控制的含义010203 内部控制必须体现为全员控制 04内部控制力求实现五种目标，即合理保证企业经营管理合法合规、资产的安全完整、财务报告及相关信息真实完整、提高经营的效率和效果、促进企业实现发展战略内部控制是一个过程 接受审计机关和内部审计协会的指导与监督点击添加文本

2、点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.1 7.1.2内部控制的原则01全面性原则03050204重要性原则制衡性原则适应性原则成本效益原则点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.1 7.1.3内部控制的构成要素COSO的内部控制整体框架我国企业内部控制基本规范控制环境内部环境风险评估风险评估控制活动控制活动信息与沟通信息与沟通监督内部监督企业内部控制基本规范内控构成要素与COSO内部控制框架的比较点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.17.1.3.1内部环境7.1.3内部控制的构成要

3、素人力资源政策企业文化内部审计治理结构机构设置及权责分配0104050203点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.1 7.1.3.2风险评估7.1.3内部控制的构成要素01030402 目标设定 风险识别风险应对风险分析点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.17.1.3.3控制活动7.1.3内部控制的构成要素1）不相容职务分离控制 控制 2）授权审批控制 3）会计系统控制 4）财产保护控制 5）预算控制 6）运营分析控制 7）绩效考核控制点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方

4、法7.17.1.3.4信息与沟通7.1.3内部控制的构成要素3）信息共享 4）反舞弊机制、举报人投诉制度和举报人保护制度 1）信息搜集2）信息传递点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.17.1.3.5内部监督内部监督是指企业应对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进，这是企业实施内部控制的重要保证。内部监督包括日常监督和专项监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查；专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内

5、部控制的某一或某些方面进行有针对性的监督检查。7.1.3内部控制的构成要素点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.1 7.1.3.6内部控制五要素的关系7.1.3内部控制的构成要素点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价的程序及方法7.17.1.4内部控制的局限性（1）人为的判断不可避免地会出现失误，从而使内部控制中的那些基于判断的决策出现失误，进而导致内部控制失效；（2）内部控制可能会由于误解、疏忽等多方面的原因失效；（3）经理层凌驾于内部控制之上可能导致内部控制失效；（4）两个或多个人的串通行为可能导致内部控制失效；（5）由于

6、考虑和权衡内部控制的成本与效益，可能会影响内部控制的有效性。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.1内部控制自我评价的作用 04030201内部控制评价有助于实现与政府监管的协调互动内部控制自我评价有助于使每个职员参与内部控制内部控制评价有助于提升企业市场形象和公众认可度内部控制评价有助于企业自我完善内控体系点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.2内部控制评价的对象及原则7.2.2.1内部控制评价的对象211）设计有效性 2）运行有效性（1）相关控制在评价期内是如何运行的；（2）相关控制是否得到了持续一致的运行

7、；（3）实施控制的人员是否具备必要的权限和能力。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.2内部控制评价的对象及原则7.2.2.2内部控制评价的原则01全面性原则02重要性原则 03客观性原则点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.3内部控制评价的组织形式和职责安排 7.2.3.1内部控制评价的组织形式内部控制评价机构必须具备一定的设置条件：一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系

8、统方面应当保持协调一致，在工作中相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求；四是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工作的顺利开展。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.3内部控制评价的组织形式和职责安排 7.2.3.1内部控制评价的组织形式 （一）（二）（三）对于单独设有专门的内部控制机构的企业，也可以由内部控制机构来负责内部控制评价的具体组织实施工作。在实务中，也有由组织内部的非常设内部控制评价机构，如抽调内部审计机构、内部控制机构等相关机构的人员组成内部控制评价小组，来负责内

9、部控制评价的具体组织实施的做法。企业可以委托会计师事务所等中介机构实施内部控制评价。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.3内部控制评价的组织形式和职责安排7.2.3.2有关方面在内部控制评价中的职责1）董事会对内部控制评价承担最终的责任 2）经理层负责组织实施内部控制评价 3）内部控制评价机构根据授权承担内部控制评价的具体组织实施 4）各专业部门应负责组织本部门的内控自查、测试和评价工作 5）组织所属单位应逐级落实内部控制评价责任点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.4内部控制自我评价的内容 内部控制自我评价

10、风险评估机制评价控制活动评价信息与沟通评价内部环境评价内部监督评价点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.4内部控制自我评价的内容 7.2.4.1内部环境评价内部环境是影响、制约企业内部控制建立与执行的各种内部因素的总称，是实施内部控制的基础。内部环境主要包括治理结构、组织机构设置与权责分配、发展战略、企业文化、人力资源政策、社会责任等。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.4内部控制自我评价的内容7.2.4.2风险评估机制评价风险评估本质上是一个识别变化并采取必要措施的过程。风险是与企业的目标相伴随的，企业首先

11、必须有目标，包括企业层面的目标和业务层面的目标。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.4内部控制自我评价的内容7.2.4.3控制活动评价企业应当结合风险评估的结果，通过常规控制与例外控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受的范围以内。在对企业控制活动测试评价时，要重点审核组织结构方面采取的控制措施和内部控制方面采取的控制活动。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.4内部控制自我评价的内容7.2.4.4信息与沟通评价企业应当以内部信息传递、财务报告、信息系统等相关应用指引为

12、依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.4内部控制自我评价的内容7.2.4.5内部监督评价内部监督指企业对内部控制建立与实施情况进行监督检查，以评价内部控制的有效性，发现内部控制缺陷，及时加以改进的过程。企业应当制定内部控制监督制度，明确各机构部门在内部监督中的职责权限，规范内部监督的程序、方法和要求。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.5

13、内部控制自我评价的程序 7.2.5.1准备阶段1）制订评价工作方案内部控制评价机构应当根据企业内部监督情况和管理要求，分析企业经营管理过程中的高风险领域和重要业务事项，确定检查评价方法，制订科学合理的评价工作方案，经董事会批准后实施。评价工作方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。2）组成评价工作组评价工作组在内部控制评价机构领导下，具体承担内部控制检查评价任务。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.5内部控制自我评价的程序7.2.5.2实施阶段030201 了解被评价单位基本情况 开展现场检查测试确定检查评价范围和

14、重点点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.5内部控制自我评价的程序 7.2.5.3汇总评价结果、编制评价报告阶段评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告。内部控制评价机构汇总各评价工作组的评价结果，对工作组现场初步认定的内部控制缺陷进行全面复核、分类汇总，对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析，按照对控制目标的影响程度判定缺陷等级。内部控制评价机构以汇总的评价结果和认定的内部控制缺陷为基础，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审

15、定后对外披露。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.5内部控制自我评价的程序7.2.5.4报告反馈和跟踪阶段对于认定的内部控制缺陷，内部控制评价机构应当结合董事会和审计委员会要求，提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况；已经造成损失或负面影响的，企业应当追究相关人员的责任。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法个别访谈法调查问卷法穿行测试法抽样法实地查验法比较分析法专题讨论法点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法

16、 7.2.6.1个别访谈法21别访谈法主要用于了解公司内部控制的现状，在企业层面评价及业务层面评价的了解阶段经常使用。访谈前应根据内部控制评价需求形成访谈提纲，撰写访谈纪要，记录访谈的内容。点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法7.2.6.2调查问卷法21主要用于企业层面评价调查问卷应尽量扩大对象范围，包括企业各个层级员工，应注意事先保密性，题目尽量简答易答点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法7.2.6.3穿行测试法 指在内部控制流程中任意选取一笔交易作为样本，追踪该交

17、易从最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流程从起点到终点的全过程，以此了解控制措施设计的有效性，并识别出关键控制。穿行测试法点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法7.2.6.4抽样法21随机抽样 其他抽样点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法7.2.6.5 实地查验法 实地查验法主要针对业务层面控制，它通过使用统一的测试工作表，与实际的业务、财务单证进行核对的方法进行控制测试。实地查验法点击添加文本点击添加文本点击添加文本点击添加文本外部公共

18、关系处理7.2 7.2.6内部控制评价的方法7.2.6.6 比较分析法比较分析法指通过数据分析，识别评价关注点的方法。数据分析的方法可以是与历史数据、行业标准数据或行业最优数据等进行比较。比较分析法点击添加文本点击添加文本点击添加文本点击添加文本外部公共关系处理7.2 7.2.6内部控制评价的方法7.2.6.7 专题讨论法专题讨论法主要是集合有关专业人员就内部控制执行情况或控制问题进行分析，既可以是控制评价的手段，也可以是形成缺陷整改方案的途径。专题讨论法点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价报告7.37.3.1内部控制缺陷的认定内部控制缺陷是描述内部控制有效性的一个

19、负向的维度。 内部控制缺陷认定在一定程度上决定内部控制评价的成效，且具有一定难度，还需要运用职业判断。点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价报告7.37.3.1内部控制缺陷的认定 7.3.1.1内部控制缺陷的分类（1）按照内部控制缺陷成因或来源设计缺陷运行缺陷（2）按影响企业内部控制目标实现的严重程度重大缺陷重要缺陷一般缺陷（3）按照影响内部控制目标的具体表现形式财务报告缺陷非财务报告缺陷点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价报告7.37.3.1内部控制缺陷的认定 7.3.1.2内部控制缺陷的认定标准01020304 首先，内部控制评价从属于

20、内部监督，是监督结果的总体体现。其次，在充分利用日常监督与专项监督结果的基础上，企业至少每年由内部控制评价机构对内部控制的五要素独立地进行评价，全面的、综合的分析，提出认定意见，报董事会审批。再次，企业应根据评价指引，结合自身情况和关注的重点，自行确定内部控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。最后，根据具体认定标准认定企业存在的内部控制缺陷，由董事会最终审定。 点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价报告7.37.3.1内部控制缺陷的认定 7.3.1.3内部控制缺陷的报告与整改1）内部控制缺陷报告的格式和途径2）内部控制缺陷整改方案及期限内部控制缺陷报告应当采取书面形式，可以单独报告，也可以作为内部控制评价报告的一个重要组成部分。一般而言，内部控制的一般缺陷、重要缺陷应定期（至少每年）报告，重大缺陷应立即报告。企业对于认定的内部控制缺陷，应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关机构或相关人员的责任。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容。点击添加文本点击添加文本点击添加文本点击添加文本内部控制自我评价报告7.3 7.3.2内部控制自我评价报告 7.3.2.4内部控制评价报告的内容和格式 7.3.2.2内部控制评价报告的编制主体 7.3.2.3内部控制评价报告的报送 7.3.2.1内部控制