半导体材料研发公司治理与内部控制制度

1、泓域/半导体材料研发公司治理与内部控制制度半导体材料研发公司治理与内部控制制度xxx（集团）有限公司目录 TOC o 1-3 h z u HYPERLINK l _Toc114834786 一、 不完全契约理论 PAGEREF _Toc114834786 h 3 HYPERLINK l _Toc114834787 二、 交易成本理论 PAGEREF _Toc114834787 h 5 HYPERLINK l _Toc114834788 三、 公司治理与内部控制的融合 PAGEREF _Toc114834788 h 8 HYPERLINK l _Toc114834789 四、 公司治理与内部控制

2、的联系 PAGEREF _Toc114834789 h 11 HYPERLINK l _Toc114834790 五、 内部监督比较 PAGEREF _Toc114834790 h 14 HYPERLINK l _Toc114834791 六、 内部监督的内容 PAGEREF _Toc114834791 h 15 HYPERLINK l _Toc114834792 七、 审计范围与审计目标 PAGEREF _Toc114834792 h 21 HYPERLINK l _Toc114834793 八、 审计工作计划与实施 PAGEREF _Toc114834793 h 24 HYPERLINK

3、l _Toc114834794 九、 举报人保护制度 PAGEREF _Toc114834794 h 28 HYPERLINK l _Toc114834795 十、 反舞弊机制 PAGEREF _Toc114834795 h 32 HYPERLINK l _Toc114834796 十一、 信息的含义与分类 PAGEREF _Toc114834796 h 44 HYPERLINK l _Toc114834797 十二、 信息与沟通的作用 PAGEREF _Toc114834797 h 46 HYPERLINK l _Toc114834798 十三、 产业环境分析 PAGEREF _Toc114

4、834798 h 47 HYPERLINK l _Toc114834799 十四、 引线框架 PAGEREF _Toc114834799 h 48 HYPERLINK l _Toc114834800 十五、 必要性分析 PAGEREF _Toc114834800 h 51 HYPERLINK l _Toc114834801 十六、 公司简介 PAGEREF _Toc114834801 h 52 HYPERLINK l _Toc114834802 十七、 人力资源配置 PAGEREF _Toc114834802 h 53 HYPERLINK l _Toc114834803 劳动定员一览表 PAG

5、EREF _Toc114834803 h 53 HYPERLINK l _Toc114834804 十八、 法人治理 PAGEREF _Toc114834804 h 55 HYPERLINK l _Toc114834805 十九、 项目风险分析 PAGEREF _Toc114834805 h 65 HYPERLINK l _Toc114834806 二十、 项目风险对策 PAGEREF _Toc114834806 h 67不完全契约理论从代理问题存在的条件中可以发现，委托代理关系的存在并不一定就会产生代理问题，如果作为委托人的股东能够掌握完全信息，并预测出将来所有可能发生的情况，可以通过制定一

6、份完全的契约，详细地规定代理人的所有职责、权利与义务，并就将来可能发生的所有情况、可能产生的所有后果及解决措施在契约中做出相应的规定，从而完全消除因为委托代理关系的产生可能带来的所有问题。例如，一份完全契约将包括：在什么样的情况下经理人员将被撤换；在什么样的情况下公司将出售或购入资产；在什么样的情况下公司应该招收或解雇工人等。如果这样一份完全契约存在的话，即使委托代理关系存在，也不会产生委托代理问题。如果契约完全，所有事情都在合同中预先规定了，那也就没有“剩余”的事项需要决策了，公司治理的结构和机制也就不重要了。因此，当委托代理关系及不完备合同同时存在时，公司治理就将发挥作用。（一）自有交易以

7、来，契约就是不完全的契约不完全的事实比不完全契约理论久远得多。不完全契约理论的初创者是麦克里尔，他在1974年南加利福尼亚法学评论上发表的契约之几个未来发展和1980年在新哈维出版社出版的新社会契约论：现代契约关系的一个调查等著作问世之后，不完全契约理论就在法学界和经济学界，特别是在企业理论家那里产生了广泛而重要的影响。现代企业理论认为，企业是一系列契约（合同）的组合，是个人之间交易产权的一种方式。然而，说企业是“契约”，只是揭示了企业与市场的共性，并没有给出企业的特性。张维迎提出，就契约本身而言，企业与市场的区别主要在于契约的完备性程度不同。一个完备的契约是指准确地描述了与交易有关的所有未来

8、可能出现的状态，以及在每种状态下契约各方的权力和责任。相对而言，市场可以说是一种完备的契约，而企业则是一种不完备的契约。（二）当契约不完全时，将剩余控制权配置给投资决策中相对重要的一方是有效率的由于不确定性的存在，对一项资产的所有者而言，关键的是对该资产剩余权力的拥有，即剩余控制权。据此，哈特将所有权定义为拥有剩余控制权或事后的控制决策权。格罗斯曼、哈特和莫尔等指出，剩余控制权直接来源于对物质资产的所有权。因而，剩余控制权天然地归非人力资本所有。在契约不完备的环境中，物质资本的所有权是权力的基础，而且对物质资产所有权的拥有将导致对人力资本所有者的控制。因此，企业也就是由它所拥有或控制的非人力资

9、本所规定的。（三）企业的剩余控制权由谁行使是由要素使用权交易合约事先安排的企业契约不过是一种特别的市场契约，企业是要素使用权交易合约的履行过程，从而在总体上，要素使用权是剩余控制权交易合约的履行过程、履行载体与结果。不完全契约理论以有限理性和信息非对称假设为前提，把企业的要素所有者划分为人力资本所有者和非人力资本所有者，通过不确定性、资产专用性和机会主义行为等重要概念的引入，分析两类要素所有者的产权特征并讨论企业所有权的最优安排。不完全契约理论认为，由于人们的有限理性、信息的不完全性及交易事项的不确定性，明晰所有的特殊权力的成本过高，拟定完全契约是不可能的，不完全契约是必然和经常存在的。交易成

10、本理论交易费用或称“交易成本”的概念最早是由科斯（1937）在其论文企业的性质中提出的。但科斯并没有对“交易费用”这一概念下定义，他只是对其做出了描述性分析。科斯认为，市场价格机制的运转是有代价的，市场交易存在着成本，这种成本包括发现交易对象、发现相对价格、讨价还价、订立契约以及执行契约等所发生的费用。“通过形成一个组织，并允许某个权威（一个企业家）来支配资源，就能节约某些市场运行成本。”企业作为市场的替代物，是一种不同于市场的资源配置机制，这正是企业的本质。但是，企业不能完全替代市场，企业内部交易也存在成本，企业降低交易成本的能力是有限的。（一）资产专用性、交易频率和不确定性是交易（契约）属

11、性的三个基本维度追随科斯的交易费用思想，威廉姆森在其代表作资本主义经济制度一书中引入了刻画交易（契约）属性的资产专用性、交易频率和不确定性三个基本维度，尤其是对资产专用性属性的重视，极大拓展了科斯的交易费用思想，使其成为“交易费用经济学”的集大成者。交易费用经济学的逻辑思路是把每种交易都视为不同的契约，拥有不同的属性，进而由不同属性的契约引申出需要不同的治理结构或机制安排，来最大限度地节约交易费用，其研究的逻辑可用“交易一契约一治理结构机制”来概括。资产专用性的程度可以分为绝对专用、非专用和混合式三类。交易频率即交易的频繁程度，可分为一次性契约、偶然契约和经常性契约，主要从买方来定义。不确定性

12、主要是指由于代理人的机会主义行为所导致的对未来情况的不可预测。一旦刻画交易的维度确定了，实际上就确定了交易费用的度量。依据交易属性的三个基本维度，借鉴麦克里尔的思路，威廉姆森将契约分为古典契约、新古典契约和关系契约三类，指出不存在资产专用性的契约属于古典契约，由市场治理；资产专用性程度很高、交易频繁且不确定性很高的契约属于某种关系契约，由企业治理；处于两者之间的属于新古典契约和另一种关系契约，由混合形式治理（三方治理或双方治理）。 （二）董事会是作为保护股东投资的一种治理结构而存在的根据交易费用最小化的原则，不同性质的交易或契约分别与市场、混合形式或企业这三种不同的治理结构相匹配。威廉姆森指出

13、公司的治理问题在于分析哪些“利益集团”应当进入董事会。他认，为，股东作为资金的供给者受制于两种风险：第一，他们提供的只是一般的购买力，但这种购买力可能会被挪用或吞食；第二，这些资金可以用来支持专用投资。尽管企业的其他专用投入品（如劳动力、原材料、中间产品）的供给者也会遇到第二种风险，但他们遇到的第一种风险通常只限于短期贷款风险。从风险承担的角度来看，股东承担的风险最大，因而需要发明出一种治理结构，使股权持有者把它作为抵制侵蚀、防止极其拙劣的管理的一种手段。董事会作为保护投资者的一种手段，就这样应运而生了。可见，在交易费用经济学理论视域中，由于股东一旦与企业签约，其投资将成为企业的专有资金而无法

14、直接从企业索回，并易受管理者机会主义行为的侵害，承担着公司盈亏的风险，而其他利益相关者（债权人、雇员和供应商等）都可以通过签订受法律保护的契约来得到约定的回报，因而，董事会是作为保护股东投资的一种治理结构而存在的。企业剩余分配应倾向于承担风险最大的股东，这样不仅能够保护投资人的利益，整体经济也将表现不俗。公司治理与内部控制的融合公司治理与内部控制既有不同点，也有相同点，既有分离区域，也有交叉领域。离开公司治理结构，内部控制就没有完整性，当然也就不可能取得风险管理方面的成功；同时，公司治理结构同样也离不开内部控制制度，如果没有完善的内部控制做支撑，公司治理结构所追求的公平与效率的目标也必然会落空

15、。可以看到，公司治理与内部控制实质上是一种互动关系，即有效的公司治理对完善内部控制至关重要；反过来，健全有效的内部控制通过产生高质量的会计信息也能优化公司治理机制。1、内部控制与公司治理不是主体与环境的关系迄今为止，公司治理和内部控制的关系在理论上仍未有统一定论。AICPA的审计准则第55号和COSO的内部控制一整体框架这两个研究报告均把董事会及其对待内部控制的态度认定为内部控制的控制环境，由于董事会是现行公司治理结构的核心，所以很多人认为公司治理结构是内部控制的环境要素，内部控制框架与公司治理机制是内部管理监控系统与制度环境的关系。这种认识是否正确也是值得商榷的。首先，根据哲学环境论的有关知

16、识，环境是与主体相对应并外在于主体的。如果将两者的关系定义为环境论，那么就意味着公司治理与内部控制是两个完全独立的没有重叠和交叉的主体。其次，环境论降低了公司治理对于内部控制所具有的重要意义。按照哲学内外因理论，内因是事物发展变化的根本原因，外因只起一定的促进作用。环境作为非决定性的外部影响因素，其需要通过内部因素的转化才能起作用。这样人们就会有意或者无意地把公司治理结构的影响及其意义缩小。最后，环境论也忽视了内部控制对公司治理的重要性，或者说没有看到内部控制对公司治理具有一定的反向促进作用。公司治理与内部控制并非完全独立，存在着联系与区别。因此，内部控制与公司治理不是主体与环境的关系，而是“

17、你中有我、我中有你”的相互包含、相互融合的关系。2、离开公司治理结构，内部控制就没有完整性公司治理机制有效，才能保证不同层次控制目标的一致性，只有从源头实施内部控制，才能维护各利益相关者的利益；公司治理不能很好地解决所有者和经营者之间的代理问题，则企业管理当局就没有足够的动力去改进内部控制，再好的内部控制也无法提供“合理保证”。内部控制与公司治理不能割裂，需将内部控制纳入公司治理路径之上。两权合一时，股东和股东会直接实施内部控制；两权分离时，利益相关者通过董事会或监事会间接控制，由股东会或董事会设计监控制度，考核、评价经理层绩效。公司治理机制有效，才能保证不同层次控制目标的一致性；只有从源头实

18、施内部控制，才能维护各利益相关者的权益。有效的内部控制应当能够维护所有利益相关者的合法权益，而不是维护某一类或少数利益相关者的权益。3、有效的内部控制是完善公司治理的重要保障从公司治理角度认识内部控制，是正确认识内部控制的本质、发挥内部控制作用的前提，企业内部控制内涵和外延得以升华正是内部治理结构作用的结果。内部控制是在公司治理解决了股东、董事会、监事会、经理之间的权、责、利划分之后，作为经营者的董事会和经理为了保证受托责任的履行，而做出的主要面向次级管理人员的控制。有效的内部控制是完善公司治理的重要保障，如果内部控制失效，其提供的会计信息也就无法真实反映企业的财务状况和经营成果，企业的经营者

19、就无法进行正确的决策。健全有效的内部控制能够确保公司管理行为符合国家法律法规，有利于董事会行使控制权从而提高公司治理效率。健全有效的内部控制可以提供真实可靠的财务信息，有利于所有者和管理者之间的制衡，有利于保障债权人等利益相关者利益，实现共同治理。在我国，事实上企业控制权相当大程度转移到管理者手中，良好的内部控制是公司法人主体正确处理各个利益相关者关系、实现公司治理目标的重要保证。总之，如果内部控制不能与公司治理兼容，将导致治理成本骤增；如果没有健全的内部控制，公司治理留下的空间将导致机会主义行为，由此可能演变为制约公司发展的顽疾。公司治理与内部控制的联系公司治理和内部控制两者之间存在着很多相

20、同点和大部分的相互交叉与重叠区域，在企业的管理实践中，两者存在着一定的关联性。具体在以下几个方面。（一）具有同源性公司治理与内部控制都与现代公司两权分离所引发的代理问题密切相关。由于交易信息的不对称性，以及契约的不完备性直接导致了“委托代理问题”的出现，因而公司治理与内部控制在一定程度上来说具有同源性。两权分离之后，如果所有决策相关信息在委托代理双方之间的分布是均衡的，那么不论经营者与所有者的目标函数一致与否，经营者都不敢做出违背所有者利益的行为。然而现实的情况是信息双方总是处于不对称地位，委托人对代理人的行为、决策并不十分清楚，代理人的行为选择往往会偏离委托人的目标，甚至会严重损害委托人利益

21、。因此，客观上要求有一整套相应的制度安排来解决这种利益冲突，公司治理便应运而生。而内部控制作为一种系统的制约机制，其产生根源同样是所有者与经营者间、企业内部上下级间的信息不对称，当委托人授权代理人从事某项活动时，为了保证代理人的行为能够符合委托人利益最大化的要求，客观上就要求有相应的措施和手段来加以控制。公司治理的核心是要有效地解决在契约不完备时企业剩余控制权和剩余索取权的分配问题，而内部控制在本质上也是为了在节约交易费用的同时增强企业契约的完备性，进而保证企业剩余控制权和剩余索取权能实现最大化。在契约不完备的情况下，对企业控制权优化配置的共同追求，本身也说明了公司治理与内部控制具有同源性。（

22、二）具有共同载体公司治理机制与内部控制制度作为一系列制度安排，要想发挥其作用就必须依附于一定的组织载体。脱离企业这个组织，公司治理与内部控制就好比是“镜中花，水中月”，不论公司治理结构多么完善，也不管内部控制多么健全，都只是凭空而论，不能发挥实际作用，更谈不上实现企业的目标。从另外一个角度看，公司治理的完善与企业内部控制的加强也必须依靠会计信息这个共同载体。真实、完整、及时的会计信息既是实施内部控制的必要前提，也是公司治理发挥作用的基本条件；而只有公司治理机制有效，内部控制健全，才能保证会计信息的真实、完整和及时，两者相辅相成。总之，企业组织和会计信息是公司治理与内部控制的两个共有载体。组织为

23、公司治理与内部控制提供了依附的实体，而会计信息则为依附在组织身上的两种制度安排提供了沟通和交流的平台。两者缺一不可，共同为公司治理与内部控制的互动提供了先决条件。（三）存在着交叉区域首先，控制主体存在交叉性。公司治理的主体是“股东董事会总经理”委托代理链上的各个节点。如吴敬琏教授把公司治理结构定义为由所有者、董事会和高级管理人员组成的一种组织结构。其中董事会是核心，而内部控制的主体是“董事会总经理职能经理执行岗位”委托代理链中的节点，核心在于总经理。因此，董事会和总经理既是公司治理结构的主体，也是内部控制的主体。其次，适用对象的交叉性。在三种基本企业形式中，独资企业和合伙企业只有管理和控制问题

24、，没有治理问题，因为其所有权与控制权通常是合一的。但是对公司制企业来说，公司治理和内部控制问题都存在，需要同时解决治理问题和控制问题，并需要注意两者的有效对接。再次，总目标的一致性。两者的具体目标统一于企业目标之下，即最终实现企业价值最大化。内部控制的目标是公司治理结构目标的进一步延伸和具体化；公司治理结构所追求的公平和效率目标，是建立在内部控制的目标即信息真实、资产安全和效益提高基础上的。否则，在一个虚假信息泛滥、资产被盗严重、管理效率低下的企业中，去实现公司治理的目标无异于痴人说梦。最后，两者在内容上存在关联性。在公司治理结构三种权力的实施过程中，除了监督权主要由股东、监事会行使而独立于企

25、业的业务系统外，决策权和执行权都要落实到具体的部门、岗位和个人，并通过内部控制制度加以规范和管理。内部监督比较内部控制制度的有效实施，依赖于有效的内部监督系统。内部监督作为内部控制的基本要素之一，对于内部控制的有效运行，以及内部控制的不断完善起着重要的作用。内部监督是对企业内部控制整体运行情况的跟踪、监测和调节。内部监督是在尽可能不影响企业正常经营管理活动的情况下，对内部控制实施情况进行评价，及时纠正企业发生的错误和舞弊，将内部控制制度的缺陷和改进意见反馈给管理者，对发现的内部控制缺陷及时予以弥补。COSO的企业内部控制整体框架和企业风险管理框架中都规定监督为其构成要素。COSO报告与我国企业

26、内部控制基本规范在内部监督的定义、内容与组织机构方面进行了比较。我国企业内部控制基本规范指出内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进，内部监督的主要内容包括日常监督和专项监督、缺陷报告、档案记录与验证，内部监督的主要进行机构为内部审计机构（或经授权的其他监督机构）。内部监督的内容（一）内部监督及其职能企业内部监督一般应由内部审计承担。内部审计作为企业内部控制的一部分，能够协调管理层更有效地履行其责任，提高企业的运作效率并增强其活动的附加值。内部审计是由被审计单位内部的机构或人员，对其内部控制的有效性、财务信息的真实完整性以及经

27、营活动的效率和效果等开展的一种评价活动，是与独立审计、政府审计并列的三种审计类型之一。它的目的是发现并预防错误和舞弊，提高企业的运作效率，为企业增加价值。它采取系统化、规范化的方法对企业的内部控制、风险管理进行检查和评价，并提供建议等咨询服务，来提高他们的效率，从而帮助实现企业的目标。企业内部审计的职能如下。（1）监督职能。监督职能是内部审计的基本职能。（2）控制职能。内部审计机构是集团的一个重要职能部门，它独立于其他各部门和其他控制系统，是对其他控制的一种再控制，与其他控制形式相比，更具有独立性、权威性和全面性。内部审计又是内部控制的特殊构成要素，是对内部控制实施的再控制。（3）评价职能。通

28、过内部审计可以熟悉子公司的生产经营情况和财务状况，并且由于内部审计部门独立于子公司，更能客观、公正地评价子公司的管理情况和运行业绩。（4）服务职能。内部审计可以通过事前、事中和事后控制为管理当局的决策、计划、控制提供依据，这些都充分体现了内部审计的服务职能。企业制定内部审计规范，明确审计的范围、责任和计划，以此为基础合理配置审计人员，并要求他们遵守企业职业道德规范及内部审计规范；内部审计部门应具有适当的地位并有足够的资源履行其职责；内部审计部门根据授权可以参加有关经营及财务管理的决策会议，对管理中存在的薄弱环节、违反国家法律法规的行为、内部控制管理漏洞，向管理层及时提出调整意见。（二）内部监督

29、的程序我国企业内部控制基本规范第四十五条规定：企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。因此，企业应强化内部监督，保证内部控制持续有效。1、制定内部控制缺陷标准（1）内部控制缺陷的相关概念内部控制缺陷，是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现并纠正错误与舞弊的情形。内部控制的缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标，包括内部控制不健全、

30、内部控制制度不适当。例如，“未建立定期的现金盘点程序”即属于控制设计问题。运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。比较常见的例子就是企业内部控制制度设计健全，但工作人员我行我素，并不按照制度执行。例如，“物资采购申请金额已超过其采购权限，却未向上级公司申请安排大宗物品采购”，这是存在权限管理规定，却未在实际操作中按照执行。（2）内部控制缺陷的分类企业根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无

31、法及时防范或发现严重偏离整体控制目标的情形。主要考虑如下因素：影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷；针对同一细化控制目标所采取的不同控制活动之间的相互作用；针对同一细化控制目标是否存在其他补偿性控制活动。例如，有关控制漏洞为企业带来重大的损失或造成企业财务报表重大的错报、漏报。又如，凭证连续编号可以保证所有业务活动都得到记录和反映，如果凭证没有连续编号的话，为了避免遗漏重大的业务事项，采用严格的凭证之间、账证之间、账账之间的核对就是保证业务记录完整性的补偿性控制。重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重

32、程度依然重大，需引起企业管理层关注。例如，有关缺陷造成的负面影响在部分区域流传，为公司声誉带来损害。一般缺陷是指以上两种缺陷之外的缺陷。（三）内部监督的方法内部监督的方法有两种，包括日常监督和专项监督。内部控制体系日常监督的有效性程度越高，对专项监督的需要程度就越低。管理层为了合理确认内部控制体系的有效性所必须进行的个别评估的频率取决于管理层的判断。通常情况下，日常监督和专项监督的合并使用在某种程度上将会保证内部控制体系随着时间的变化而保持有效性。1、日常监督日常监督是指企业对建立和实施内部控制的整体情况所进行的连续的、全面的、系统的、动态的监督。日常监督是在及时的基础上执行的，能对环境的改变

33、做出动态的反应，它存在于单位的日常管理活动之中，能及时地发现问题。日常监督的范围和频率越大，其有效性就越高，则企业所需的日常监督就越少。日常监督活动的重要环节主要包括以下几方面。（1）获得内部控制执行的证据。获得内部控制执行的证据是指企业员工在实施日常生产经营生活时，取得必要的、相关的证据证明内部控制系统发挥功能的程度。（2）外部反映对内部信息的印证程度。即与外界各方的沟通能够印证内部生成的信息或揭示问题。（3）定期核对财务系统数据与实物资产。也就是说，将信息系统所记录的数据与实物资产相比较，做到账实相符。（4）内外部审计定期提供建议。审计人员评估内部控制的设计以及测试其有效性，识别潜在的缺陷

34、，并向管理层建议采取替代方案，为决策提供有用的信息。（5）管理层对内部控制执行的监督。管理层可以通过以下渠道进行监督：审计委员会接收、保留及处理各种投诉及举报，并保证其保密性；管理层通过培训、会议了解内部控制的执行情况；管理层认真审核员工提出的各项合理建议，并不断完善建议机制。（6）定期考核员工。内部监督部门和人力资源管理部门根据公司管理层的授权定期要求企业员工明确说明他们是否理解并遵守员工行为准则，是否遵守员工职业道德规范，并汇报控制活动的开展情况等。（7）内部审计活动的有效性。适当的组织结构以及监督活动可促进内部控制职能的执行，识别内部控制的缺陷。2、专项监督专项监督又称个别评估，是指企业

35、对内部控制建立与实施的某一方面或者某些方面的情况进行的不定期、有针对性的监督检查。专项监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以确定。一般来说，风险水平较高并且重要的控制，对其进行专项监督的频率应较高。通常，专项监督采用自我评估形式，即负责某一单位或职责的人，员对受其控制的活动的有效性进行评价。专项监督主要关注以下两个方面。（1）高风险且重要的项目。审计部门依据持续监督的结果，对风险较高且重要的项目要进行个别评估。考虑到成本效益原则，对风险很高但不重要的项目或很重要但是风险很小的项目可以减少个别评估的次数。应该将高风险且重要的项目作为专项监督对象。（2）内部环境变化。当内控环

36、境发生变化时，要进行专项监督，以确定内部控制是否还能适应新的内控环境。日常监督和专项监督应当有机结合。前者是后者的基础，后者是前者的有效补充。日常监督的程度越高，其有效性也越高，则企业所需的专项监督次数就越少。如果发现专项监督需要经常性地进行，企业就有必要将其纳入日常监督中，进行日常持续的监控。通常情况下，两种监督有效组合能确保企业内部控制在一定时期内保持有效性。审计范围与审计目标内部控制作为企业中一项重要的管理活动，用来促进提高经营的效率效果，实现企业的发展战略。一些国家和地区，如美国、日本、欧盟等对内部控制审计已提出强制性要求。同样，我国企业内部控制基本规范中除了要求企业为其内部控制的设计

37、与运行情况进行全面的评价、披露年度自我评价报告外，在第十条中明确指出：上市公司和非上市大中型企业聘请符合资格的会计师事务所，根据规范及配套办法和相关执业准则，对企业财务报告内部控制的有效性进行审计并出具审计报告。会计师事务所及其签字的从业人员应当对发布的内部控制审计意见负责。为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务。（一）内部控制审计的定义内部控制审计是通过对被审计单位的内控制度的审查、分析测试、评价，确定其可信程度，从而对内部控制是否有效做出鉴定的一种现代审计方法。内部控制审计是内部控制的再控制，它是企业改善经营管理、提高经济效益的自我需要。一般地，企业内

38、部审计部门负责内部控制审计，也可以委托不负责年审的会计师事务所开展内部控制审计。（二）内部控制审计的范围内部控制审计的范围限于特定日期与财务报表相关的内部控制。通常，注册会计师对某特定日期的内部控制进行审核。特定日期可以是会计年度结束日，也可以是某中期结束日。注册会计师对某特定日期的内部控制审核时，应在接近于此日期之前的一段时间内对内部控制进行了解和测试，并对该日期的内部控制有效性发表审核意见。（三）内部控制审计的目标1、内控审计目标的具体界定内部控制审计的目标是检查并评价内部控制的合法性、充分性、有效性及适宜性。内部控制的合法性、充分性、有效性及适宜性，具体表现为其能够保障资产、资金的安全，

39、即保障资产、资金的存在、完整、为我所有、金额正确、处于增值状态。2、内控审计目标与财务报表审计目标的联系与区别（1）两者的联系。内部控制审计的前四个目标实际就是财务报表审计的具体目标。企业管理层对外提供的资产负债表，表上反映有多少资产，其明示或暗示了这样几个声明：资产负债表上反映的资产是存在的、是完整的、是属于自身的、金额是正确的。相应地，外部财务报表审计的具体目标也就是鉴证企业管理层的这些声明是否属实。（2）两者的区别。财务报表审计直接评价的是财务报表，或者说直接评价资产、资金本身的安全状态，其目标对象是资产、资金本身，而内部控制审计直接评价的是内部控制能否保障资产、资金的安全，其目标对象是

40、内部控制，而资产、资金只是作为中间的观察对象而存在。财务报表审计主要评价财务报表所反映的存量资产、资金的“静的安全”，一般不评价资产、资金的“动的安全”，即不评价资产、资金在流转中的增值性；而由于内部控制既要保障资产、资金“静的安全”，又要保障其“动的安全”，所以内部控制审计既检查资产、资金的“静的安全”，又检查资产、资金的“动的安全”。审计工作计划与实施（一）审计工作计划企业内部审计指引第六条的规定：注册会计师应该恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导。企业内部审计指引第七条的规定：在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表

41、以及审计工作的影响：与企业相关的风险；相关法律法规和行业概况；企业组织结构和经营特点、资本结构等相关事项；企业内部控制最近发生变化的程度：与企业沟通过的内部控制缺陷；重要性、风险等与确定内部控制重大缺陷相关的因素对内部控制有效性的初步判断；可获取的、与内部控制有效性相关的证据的类型和范围。注册会计师应当以风险评估为基础，选择拟测试的控制，确定测试所需收集的证据。内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多。注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用内部审计人员、内部控制评价人员和其他相关人员的工作以及可利用的程度，相应减少本应由注册会计师执行的工作。

42、注册会计师利用企业内部审计人员、内部控制评价人员和其他相关人员的工作，应当对其专业胜任能力和客观性进行充分评价。注册会计师应当对发表的审计意见独立承担责任，其责任不因为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻。（二）审计工作实施企业内部审计指引第十条规定：注册会计师应当按照自上而下的方法实施审计工作。自上而下的方法是注册会计师识别风险，选择拟测试控制的基本思路。注册会计师在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行。“自上而下”的方法始于财务报表层次，以注册会计师对财务报告内部控制整体风险的了解开始，然后注册会计师将关注重点放在企业层面的控制上，并将

43、工作逐渐下移至重大账户、列报及相关的认定。1、识别企业层面控制通过了解企业与财务报告相关的整体风险，注册会计师可以识别出为保持有效的财务报告内部控制而必需的企业层面内部控制。注册会计师测试企业层面控制，应当把握重要性原则，至少应当关注以下几方面。（1）与内部环境相关的控制。内部环境，即控制环境，包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。在评价控制环境的设计时，注册会计师应当考虑构成控制环境的下列要素，以及这些要素如何被纳入企业业务流程：对诚信和道德价值观念的沟通与落实；对胜任能力的重视；治理层的参与程度：管理层的理念和经营风格；组织结构；6职权与责任的分

44、配；人力资源政策与落实。（2）针对董事会、经理层凌驾于控制之上的风险而设计的控制。注册会计师可以根据对企业舞弊风险的评估做出判断，选择相关的企业层面控制进行测试，并评价这些控制能否有效应对管理层凌驾于控制之上的风险。注册会计师应当特别关注由于管理层凌驾于账户记录控制之上，或规避控制行为而产生的重大错报风险，并考虑企业如何纠正不正确的交易处理。（3）企业的风险评估过程。包括识别与财务报告相关的经营风险和其他经营管理风险，以及针对这些风险采取的措施。注册会计师在对企业整体层面的风险评估过程进行了解和评估时，考虑的主要因素可能包括：企业是否已建立并沟通其整体目标，并辅以具体策略和业务流程层面的计划；

45、是否已建立风险评估过程，包括识别风险，估计风险的重大性，评估风险发生的可能性以及确定需要采取的应对措施；是否已建立某种机制，识别和应对可能对企业产生重大且普遍影响的变化；会计部门是否建立了某种流程，以识别会计准则的重大变化；业务操作发生变化并影响交易记录的流程时，是否存在沟通渠道以通知会计部门；风险管理部门是否建立了某种流程，以识别经营环境，包括监管环境发生的重大变化。（4）对内部信息传递和财务报告流程的控制。注册会计师应当从下列方面了解与财务报告相关的信息系统：对财务报表具有重大影响的各类交易；在信息技术和人工系统中，交易生成、记录、处理和报告的程序；与交易生成、记录、处理和报告有关的会计记

46、录、支持性信息和财务报表中的特定项目；信息系统如何获取除各类交易之外的对财务报表具有重大影响的事项和情况；企业编制财务报告的过程，包括做出的重大会计估计和披露。财务报告流程的控制可以确保管理层按照适当的会计准则编制合理、可靠的财务报告并对外报告。（5）对控制有效性的内部监督和自我评价。企业对控制有效性的内部监督和自我评价可以在企业层面上实施，也可以在业务流程层面上实施，包括对运行报告的复核和核对、与外部人士的沟通、对其他未参与控制执行人员的监控活动，以及将信息系统记录数据与实物资产进行核对等。2、识别业务层面控制注册会计师测试业务层面控制，应当把握重要性原则，结合企业实际内部控制各项应用指引的

47、要求和企业层面控制的测试情况，重点对生产经营活动中的重要业务与事项的控制进行测试。注册会计师应首先确定企业的重要业务流程和影响重大账户的重要交易类别，了解重要交易从发生到记入账目的整个流程，与重大账户及其相关认定相结合，在重要交易整个流程中确定错报可能会在什么环节发生，即确定相应的控制目标；然后根据确定的审计测试策略、计划对内部控制进行进一步了解和评估，对重要交易流程中设计的防止或发现并纠正可能错报的相关控制加以识别；再通过执行穿行测试，来证实对重要交易流程和相关控制的了解，并确定相关控制是否得到执行；最后对相关控制的设计和是否得到执行进行评价，以确定进一步的审计程序。举报人保护制度1、举报人

48、保护制度的主要内容企业应建立专门的举报人保护制度，如举报人信息的保密制度、举报人面临人身威胁与财产损失时的救济制度、用于补助与鼓励举报人的基金制度等。主要包括以下内容。（1）妥善保管和使用举报材料，不得私自摘抄、复制、扣押、销毁举报材料；（2）严禁泄露举报人的姓名、部门、住址等情况；严禁将举报情况透露给被举报人或有可能对举报人产生不利后果的其他部门和员工；（3）调查核实情况时，不得出示举报材料原件或复印件，不得暴露举报人的身份；（4）对匿名的举报书信、材料及电话录音，不得鉴定笔迹和声音。2、投诉举报过程中的违规行为及处理任何单位和个人不得干扰和妨碍办理投诉举报的工作人员查处投诉举报事项。接收及

49、办理投诉举报事项的工作人员，应遵守下列工作准则。（1）接收当面投诉举报应当在能够保密的场所进行，专人接谈，无关人员不得旁听和询问。（2）投诉举报信件的收发、拆阅、登记、转办、保管和面述或者电话举报的接待、接听、记录、录音等工作，应当严格遵循保密原则，严防泄露举报内容和遗失举报材料。（3）投诉举报材料不准私自摘抄和复制。（4）调查被投诉举报人或被投诉举报单位的情况时，应在做好保密工作、不暴露投诉举报人身份的情况下进行，不得出示投诉举报材料。（5）不得将本单位办理投诉举报的内部研究情况透露给投诉举报人，不得与无关人员谈论投诉举报内容。（6）不得扣压、隐匿或私自销毁投诉举报材料。（7）不得刁难、威胁

50、投诉举报人。建立举报人保护制度关键在于对于举报人的信息必须严格保密，控制知晓者的范围，并明确知晓者所承担的保密义务；当举报人遭到打击报复时，应该及时干预，并给予严格惩处。当然，对借投诉或举报之名故意捏造虚假事实，诬告、陷害他人，或以投诉举报为名制造事端、干扰正常工作的，将依照有关规定严肃处理；构成犯罪的移送司法机关处理。3、投诉举报人保护措施（1）保护投诉举报人应当遵循保密、奖励和其合法权益不受侵犯的原则。（2）各部门及子公司都必须正确对待投诉举报人依法举报的行为，不得以任何借口打击报复投诉举报人。（3）严禁将投诉举报人的姓名、单位、住址等有关情况和投诉举报内容透露给被投诉举报人和被投诉举报单

51、位：被投诉举报人是单位负责人的，不得将投诉举报材料转给该负责人所在单位。违反前款规定的，应追究相应的责任，经司法机关认定触犯法律的，送交司法机关处理。（4）对投诉举报有功人员，应按有关规定给予表彰、奖励。在宣传报道和奖励举报有功人员时，除征得投诉举报人的同意外，不得公开投诉举报人的姓名和单位。（5）投诉举报人受到打击报复时，有权向负责单位或上级主管反映。所谓打击报复，是指被投诉举报人及其单位实施的侵害投诉举报人及其亲属的人身权利以及其他合法权利的行为。（6）对投诉举报人打击报复的应追究相应的法律责任，经司法机关认定触犯法律的，送交司法机关处理。对投诉举报人打击报复行为包括纵容、包底或收买、指使

52、他人对投诉举报人打击报复。（7）投诉举报人因投诉举报而受到纪律处分以及其他不公正待遇的，应按照管辖权限予以纠正，或建议做出处理决定的单位及其上级单位予以纠正。投诉举报人的人身安全受到威胁时，有关部门应及时采取保护措施。因投诉举报造成投诉举报人及其亲属的名誉、财产受到侵害的，应要求侵权人停止侵害、赔礼道歉、赔偿损失。投诉举报人也可向法院起诉。反舞弊机制（一）反舞弊机制的概念反舞弊机制指为了防止舞弊，加强公司治理和内部控制，降低企业风险，规范经营行为，维护企业合法权益，确保经营目标的实现和企业持续、稳定、健康发展，保护股东合法权益，根据经营目标及法律、法规，结合企业的实际情况，制定的用以规范企业中

53、高级管理人员及所有员工的职业行为的一种制度。企业应当建立反舞弊机制，坚持“惩防并举、重在预防”的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。通过反舞弊机制的建立，企业要将反舞弊工作的重点放在重点领域和关键环节，防范舞弊行为的发生并及时发现发生的舞弊行为。在所建立的反舞弊机制中，要规范相应的舞弊案件查处程序，以便对舞弊案件及时进行处理和纠正，并在反舞弊过程中不断完善内部控制体系。（二）反舞弊机制的重点企业内部控制基本规范第四十二条规定：企业至少应当将下列情形作为反舞弊工作的重点：未经授权或者采取其他不法方式侵占、挪用

54、企业资产，牟取不当利益；在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等：董事、监事、经理及其他高级管理人员滥用职权；相关机构或人员串通舞弊。（三）反舞弊工作的内容1、舞弊的含义舞弊是一种采取不正当和欺骗的手段，有意识地违反既定的公众认可的规则以损害或牟取组织经济利益的行为。2、舞弊的种类（1）按照舞弊主体的不同进行分类。按照舞弊主体的不同，即作弊者身份的不同，可以将舞弊划分为两类，管理舞弊与非管理舞弊。管理舞弊是指管理层蓄谋的舞弊行为，是指企业最高管理当局进行的舞弊。这种舞弊隐蔽性大，难以发现，影响力也很大，舞弊者的层次越高，越难有效地进行预防与检查，危害也越大。其主要

55、表现为财务报表舞弊。非管理舞弊也称为员工舞弊，是指企业中的职员利用内部控制的各种漏洞，采用涂改或伪造单据、账册及其他手段贪污、盗窃或挪用财产的不法行为，常常表现在将现金或其他资产窃为己有。（2）按照内部审计具体准则第6号的规定进行分类。内部审计具体准则第6号一舞弊的预防、检查与报告将舞弊分为：损害组织经济利益的舞弊行为以及谋取组织经济利益的行为。损害组织经济利益的舞弊，是指组织内外人员为谋取自身利益采用欺骗等违法违规手段使组织经济利益遭受损害的不正当行为。有下列情形之一者属于损害组织经济利益的舞弊行为：收受贿赂或回扣；将正常情况下可以使组织获利的交易事项转移给他人；贪污、挪用、盗窃组织资财；使

56、组织为虚假的交易事项支付款项；故意隐瞒、错报交易事项；泄露组织的商业秘密；其他损害组织经济利益的舞弊行为。谋取组织经济利益的舞弊，是指组织内部人员为使本组织获得不当经济利益而其自身也可能获得相关利益，采用欺骗等违法违规手段，损害国家和其他组织或个人利益的不正当行为。有下列情形之一者属于谋取组织经济利益的舞弊行为：支付贿赂或回扣；出售不存在或不真实的资产；故意错报交易事项、记录虚假的交易事项，使财务报表使用者误解而做出不适当的投融资决策；隐瞒或删除应对外披露的重要信息；从事违法违规的经营活动；偷逃税款；其他谋取组织经济利益的舞弊行为。（四）反舞弊的理论研究1、舞弊GONE理论“GONE”理论（四

57、因素论）是由Bologua等人在1993年提出的，是在美国流传最广，也是最有意思的一个企业会计舞弊与反会计舞弊的著名理论。该理论认为，舞弊由G（greed，贪婪）、0（opportunity，机会）、N（need，需要）、E（exposure，暴露）四个因子组成，它们相互作用，密不可分，没有哪一个因子比其他因子更重要。因此，它们共同决定了企业舞弊风险的程度。GONE理论实质上表达了会计舞弊产生的4个条件，即舞弊者既有贪婪之心，且又十分需要钱财时，只要有机会，并被认为事后不会被发现，他就一定会舞弊，导致“Youcanconsideryourmoneygone”（被欺骗者的钱、物、权益等离他而去）

58、。因此，产生了一种很巧妙的说法，即“在贪婪、机会、需要和暴露四因子共同作用的特定环境中，会滋生舞弊，促使被欺骗者的钱、物、权益等离他而去”GONE理论中“贪婪”和“需要”与行为人个体强相关，使个体成为潜在的犯罪者；“机会”和“暴露”则更多与组织环境有关，使组织成为潜在的受害者。组织一方面要加强制度建设，但制度并非十全十美，可能给“贪婪”“需要”的人以机会，另一方面就要对舞弊行为暴露（发现并加以查处）。2、舞弊三角理论舞弊三角理论由美国注册舞弊审核师协会的创始人、曾任美国会计学会会长的史蒂文阿伯雷齐特提出，他认为，企业舞弊的产生是由压力、机会和自我合理化三要素组成，就像必须同时具备一定的热度、燃

59、料、氧气这三要素才能燃烧一样，缺少了上述任何一项要素都不可能真正形成企业舞弊。企业舞弊产生的原因是由动机、机会和借口三要素组成的，这三者也是美国最新的反舞弊准则提醒注册会计师应该关注的舞弊产生的主要条件。（1）实施舞弊的动机或压力。舞弊者具有舞弊的动机是舞弊发生的首要条件，压力可能是经营或财务上的困境以及对资本的急切需求等。例如，高级管理人员的报酬与财务业绩或公司股票的市场表现挂钩、公司正在申请融资等情况都可能促使管理层产生舞弊的动机。（2）实施舞弊的机会。舞弊者需要有舞弊的机会，舞弊才能成功。舞弊的机会一般源于内部控制在设计和运行上的缺陷，如公司对资产管理的松懈，公司管理层能够凌驾于内部控制

60、之上而可以随意操纵会计记录等。实施舞弊的机会主要有六种情况，分别是缺乏发现企业舞弊行为的内部控制；无法判断工作的质量；缺乏惩罚措施；信息不对称；能力不足和审计制度不健全。（3）为舞弊行为寻找借口的能力。借口是指存在某种态度、性格或价值观念，使得管理层或员工能够做出不诚实的行为，或者管理层或员工所处的环境促使其能够将舞弊行为予以合理化。借口是舞弊发生的重要条件之一。只有舞弊者能够对舞弊行为予以合理化，舞弊者才可能做出舞弊行为，做出舞弊行为后才能够心安理得。例如，侵占资产的员工可能认为单位对自身不公，编制虚假报告者可能认为造假不是出于个人私利而是出于公司集体利益。企业舞弊者常用的理由有：这是公司欠