企业内部控制200908

企业内部控制专题主讲：宋德亮副教授博士deliangsong@简历2008年度牛津大学萨伊德商学院访问学者2003-现在上海国家会计学院副教授2001-2003安永大华会计师事务所项目经理1998-2001上海财经大学攻读会计学博士主要讲授课程

企业会计准则

国际会计准则

企业内部控制

企业风险管理

企业内部审计

风险导向审计曾经审计过的主要客户 大众保险股份有限公司审计 浦东发展银行股份有限公司审计 中国工商银行审计 国泰君安证券股份有限公司审计 富国基金管理公司年度审计 汉鼎证券投资基金年度审计 汉盛证券投资基金年度审计 汉兴证券投资基金年度审计 汉博证券投资基金年度审计 动态平衡开放式证券投资基金年度审计曾经顾问过的主要项目 孚宝港务公司税务咨询 申沃汽车公司纳税筹划 大众保险公司内部控制设计 安永会计师事务所员工培训曾经培训过的主要客户中国银行中国工商银行国泰君安证券公司申银万国证券公司香港中国保险(集团)有限公司中国国际海运集装箱(集团)股份有限公司宝山钢铁股份有限公司罗地亚（中国）投资有限公司保持联系联系电话：(021)69768042手机-mail:deliangsong@通讯地址：上海市青浦区蟠龙路200号邮政编码：201702概念形成和演进1992年，美国”反对虚假财务报告委员会”(NationalCommissiononFraudulentReporting)，所属的内部控制专门研究委员会发起机构委员会(CommitteeofSponsoringOrganizationsoftheTreadwayCommission，简称COSO委员会)，在进行专门研究后提出专题报告：《内部控制一整体架构(InternalControl一IntegratedFramework)》，也称COSO报告。内部控制组成要素与目标及作

业活动相互间关系图监督信息与沟通控制活动风险评估控制环境作业活动1作业活动2规经营告报合内部控制各组成要素关系图监督监督沟通控风控制境环信息与沟通活估评信息险制动概念形成和演进经过两年的修改，1994年COSO委员会提出对外报告的修改篇，扩大了内部控制涵盖范围，增加了与保障资产安全有关的控制概念的形成和演进COSO报告得到了美国审计总署(GeneralAccountingOffice，GAO)的认可。与此同时。AICPA则全面接受COSO报告的内容并修改了审计准则安然事件之后，美国出台了SOX法案，全面借鉴了COSO报告的成果。标题从“内部控制”到“企业风险管理”内部环境战略目标设定事项识别风险评估风险应对控制活动信息与沟通监督经营报告合规子公司业务单位分支机构企业整体层次控制环境风险评估控制活动监督作业活动1作业活动2规合营经告报信息与沟通企业内部控制

逐渐成为热门话题2000年11月，中国证监会发布了公开发行证券公司信息披露编报规则1－6号，对金融企业的信息披露提出了特别规定。企业内部控制

逐渐成为热门话题比如在招股说明书中，编报规则要求申请上市的金融企业应建立健全内部控制制度，并在招股说明书正文中专设一部分，对其内部控制制度的完整性、合理性和有效性做出说明。企业内部控制

逐渐成为热门话题金融企业还应委托聘请的会计师事务所对其内部控制制度及风险管理系统的完整性、合理性和有效性进行评价，提出改进建议，并以内部控制评价报告的形式做出报告。若会计师事务所指出该公司以上三性存在缺陷，公司应予披露，并说明准备采取的改进措施。企业内部控制

逐渐成为热门话题2001年3月修订的《公开发行证券公司信息披露的内容与格式准则第1号—招股说明书》2001年4月发布的《公开发行证券公司信息披露的内容与格式准则第11号—上市公司发行新股招股说明书》证监会也对内部控制的披露提出了要求企业内部控制

逐渐成为热门话题发行人应披露管理当局对内部控制制度的完整性、合理性及有效性的自我评估意见同时应披露注册会计师关于发行人内部控制制度评价报告的结论性意见。如注册会计师指出以上“三性”存在重大缺陷，发行人对相关内容应予详尽披露，并说明改进措施。企业内部控制

逐渐成为热门话题2001年1月，中国证监会公布了《证券公司内部控制指引》2002年4月中国人民银行公布了《商业银行内部控制指引（征求意见稿）》企业内部控制

逐渐成为热门话题2001年7月，财政部发布了《内部会计控制规范—基本规范（试行）》和《内部会计控制规范—货币资金（试行）》2002年12月，财政部发布了《内部会计控制规范——采购与付款（试行）》和《内部会计控制规范——销售与收款（试行）》2003年10月，财政部发布了《内部会计控制规范——工程项目（试行）》企业内部控制

逐渐成为热门话题2004年8月财政部制定了《内部会计控制规范——担保（试行）》和《内部会计控制规范——对外投资（试行）》企业内部控制

逐渐成为热门话题内部会计控制的内容主要包括：货币资金、实物资产、对外投资、工程项目、采购与付款、筹资、销售与收款、成本费用、担保等经济业务的会计控制。企业内部控制

逐渐成为热门话题2006年6月，上海证券交易所发布了《上海证券交易所上市公司内部控制指引》2008年5月，财政部等五部委联合发布《企业内部控制规范－基本规范》

企业内部控制规范－基本规范第三条本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果、促进企业实现发展战略。企业内部控制规范－基本规范第五条企业建立与实施有效的内部控制，应当包括下列要素：

(一)内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

(二)风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。

(三)控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。

(四)信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

(五)内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。企业内部控制规范－基本规范内部监督信息与沟通控制活动风险评估内部环境作业活动1作业活动2合规战略报告运营资产企业内部控制规范－基本规范内部监督沟通控风内部境环信息与沟通活估评信息险制动内部环境治理结构机构设置及权责分配内部审计人力资源政策企业文化风险评估第二十条企业应当根据设定的控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估。第二十一条企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。风险评估第二十四条企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。第二十五条企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。第二十六条企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。风险评估风险的来源外部：政治经济社会技术内部：顾客供应商现存竞争者潜在竞争者替代品风险应对举例减少质量控制，管理与标准财务控制标准操作程序检查新员工条件研发与技术发展应急计划结构培训与其他程序监督避免决定退出某一地区当检查发现客户无信用时，决定不再与该客户进行交易决定不出售明知是一种不道德的产品接受成本效益原则，如针对风险制定控制与其他回应决定在一个面临绑架高风险的国家运营——你无法控制接受超过

£1,000,000的保险费政策为提高销售数量，接受高信用风险客户转移采取保险政策定期维护外包给设备管理公司与供应商签订的合同应明确不能满足约定条件时，可以获得财务补偿与其他公司建立合资公司，与其共同开发商业机会控制活动第二十八条企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。控制措施一般包括：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。销售系统流程供货计划表供货计划表处理供货计划表主档案产品指示书确认产品指示书发货通知单发货单供货计划表中的单价销售通知单销售通知单主档案发货确认销售通知单传递销售发票销售明细帐营业所市场部专人技术部仓库

财务部采购流程图供销协调会议供货通知书（合同）客户根据供货通知书发货仓库入库开入库通知单资材部收发票品质部检验合格收料单1342收料单4资材部留存发票财务部发票与收料单3核对一致月末将收料单2与收料单3未核对一致的部分暂估入帐收料单1为仓库留存资材部财务部采购流程图（续）国内采购付款资材部财务部资金需求表暂支单核准资金使用额度付款供应商余额帐应付帐款部长核准部长核准月末核对成本系统流程图在产品计算表愿材料消耗分摊表在产品收发存报表人工成本分摊表制造费用分摊表产成品生产成本计算表销售成本计算表销售月报表授信客户信用评估表合同评审表物料管理

——原材料收发仓储管理规定流程项目责任单位/人分包商交货合格分包商仓库点收并登记进货检验仓库验收仓储备料/发料/作帐定期盘点呆滞料处置仓管员品管仓管员仓管员仓管员仓管员资料及技术部等相关单位人员退货退货NGNGOKOKNGNG呆滞材料库存明细表财产报废清单财务融资循环流程图预算作业业主权益股务作业短期借款作业中、长期借款作业出纳现象收支作业零用金作业一般费用报支营业外收支作业印鉴管理背书保证原始凭证记帐凭证会计帐务处理作业财务报表查核绩效评估会计资料保管固定资产循环流程图预算差异分析请购工程设计购买/建造生产循环财务融资循环采购作业投保作业发包、订约验收作业是否合格付款与合约不符作业工程进度及监工验收、决算固定资产取得是否增添作业处分作业维护作业保管记录信息与沟通第三十八条企业应当建立信息与沟通制度。第三十九条企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。第四十条企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。信息与沟通第四十一条企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。企业应当加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。第四十二条企业应当建立反舞弊机制。内部监督第四十四条企业应当制定内部控制监督制度，明确内部审计机构(或经授权的其他监督机构)和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。内部监督分为日常监督和专项监督。第四十五条企业应当制定内部控制缺陷认定标准。内部控制缺陷包括设计缺陷和运行缺陷。上市公司内部控制指引公司建立和实施内控制度时，应考虑以下基本要素：（一）目标设定，指董事会和管理层根据公司的风险偏好设定战略目标。（二）内部环境，指公司的组织文化以及其他影响员工风险意识的综合因素，包括员工对风险的看法、管理层风险管理理念和风险偏好、职业道德规范和工作氛围、董事会和监事会对风险的关注和指导等。（三）风险确认，指董事会和管理层确认影响公司目标实现的内部和外部风险因素。上市公司内部控制指引（四）风险评估，指董事会和管理层根据风险因素发生的可能性和影响，确定管理风险的方法。（五）风险管理策略选择，指董事会和管理层根据公司风险承受能力和风险偏好选择风险管理策略。（六）控制活动，指为确保风险管理策略有效执行而制定的制度和程序，包括核准、授权、验证、调整、复核、定期盘点、记录核对、职能分工、资产保全、绩效考核等。（七）信息沟通，指产生服务于规划、执行、监督等管理活动的信息并适时向使用者提供的过程。（八）检查监督，指公司自行检查和监督内部控制运行情况的过程。中央企业全面风险管理指引本指引所称内部控制系统，指围绕风险管理策略目标，针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。中央企业全面风险管理指引收集风险管理初始信息风险评估风险管理策略风险管理解决方案风险管理的监督与改进风险管理组织体系风险管理信息系统风险管理文化附录：组织危机征兆1.具有影响力的高层经理人员沉醉于过去，不思进取，没有破釜沉舟的勇气。所以变化以及力主变化的人员都成为威胁或障碍。2.管理层的威信降低甚至遭到挑战。3.管理层不愿开发培训下属人力资源，因为害怕地位受威胁。4.员工不能或很少从自己的业绩中获得反馈。5.繁杂的官僚机构和管理系统阻碍了有效业务活动的开展。组织危机征兆（续）6.部门内部及部门间的冲突没有得到有效解决，而是出现升级。7.内部谣言不断。8.新员工在组织中放任发展。进入组织的培训仅被看作是一件具体的事，而不是一个必经的流程。9.员工感到没有按业绩计报酬。10.大家对紧急事件没有表现出应有的紧迫。11.新的想法或创新遭到管理层压制。13.制定决策和实施决策间隔太长。14.规则和流程经常公然失效，对违规者也没有处罚。15.公司的目标不清晰或者高层经理的想法不一致。这种混乱间接对经营业绩有负面影响。组织危机征兆（续）16.许多人相互扯皮，尽量少做事，不关心同事。17.岗位、职责不清晰或重复。18.相对次要的决策都得高层把关，各级员工没有得到自己决策的授权。19.很少有赞扬，特别是高层经理的赞扬就更少，这样员工就会产生疏离和不受关注的感觉。20.公司中一个部门不知道另一个部门做什麽，也懒得关心。组织危机征兆（续）22.没有热情学习和自我发展，特别是在经理层。23.培训课程没有根据学习的需要来开发，而且培训通常作为成本而不是作为组织的增殖活动而被裁撤。24.辞职对管理层而言经常有惊讶的感觉，此时他们才意识到应该早些接触这些人。25.没有能力的人形成了一个小团体，经常在一起抱怨，这可能导致内部小团体的产生，使组织氛围紧张。组织危机征兆（续）26.优秀人才流向其他公司，剩下的人没有离开，也许他们没有意识到没有人想要他们。27.业务节奏过快，过程中的很多努力和积极主动的精神产生的价值没有时间去总结提炼。28.相互责备的文化氛围不利于创新，阻碍了人们承担自己责任，每个人都认为“那不是我的错”。29.招聘人员经常按自己的想法找人，原因多种多样，如维持自己的地位、对无知的担心、甚至是出于偏见。组织危机征兆（续）30.变革的想法总要遭到守旧者的大力排挤。32.运动式的工作方法作为解决问题的主要手段。34.组织中成功与业绩存在差距，成功的人未必很有业绩，而业绩好的人即不被认可也没有收到奖赏，因此他们也不可能获得成功。35.能干的人没有作出他们想做的成果和贡献，但却在竞争对手那实现了抱负。组织危机征兆（续）38.无法面对业绩下滑。也许是因为组织中弥漫着一种文化——即不论是整体的还是个体的，只要是没达到业绩目标，就没有勇气去面对，而此时这些困难恰恰是需要解决的。39.高层经理离一线太远，大家根本不了解他。40.组织中大量的时间都浪费了。41.积极主动的人满负荷工作，因为他们值得信赖，相反不可靠的人却工作的很少，因为老板不相信他们能做好事。组织危机征兆（续）42.财务上的业绩显示较好，实际上也阻碍了进一步预测将来的需求和辨别人员管理、能力等深层次问题的努力。43.关键业务没有量化到个人身上，导致没有人对结果负责。44.组织结构和岗位设置使论资排辈大行其道，所以真正的接班人计划或者凭业绩提升不可能有效实施。45.组织中很少有人感觉良好或快乐。原因很多，例如感到不安全及对将来工作的迷茫。组织危机征兆（续）47.员工争相追求自己的目标和个人利益，全然置于组织之上。49.组织中的重要位置大多是新人，他们沿用自己过去的工作模式，没有考虑到过去的经验与目前公司该岗位要求的差距。50.员工没有工作作了，经常是很少或干脆没事可做。51.在刚刚产生利润下滑的征兆或困难时期，平时被大力宣扬的员工价值一样要成为可以削减的短期成本，公司通常会宣布裁员，根本不考虑中长期的影响。

组织危机征兆（续）60.当遭到攻击时（如在报纸或新闻中），组织很少做出反抗。此外，积极主动的推广活动也很少。61.当事情变糟时，高层管理人员感到没有谁应承担责任，也许他们会反复强调他们没有能力影响事态的发展。62.组织中提倡“最糟糕的业绩不能低于什麽标准”的文化，“我们做的够好了”常常是人们做事的标准，但很少有人努力把事情做的更好。组织危机征兆（续）68.没有考虑接班人计划，这就是说未来的关键岗位几乎没有人才储备。更糟的是，这种现象可能是出于现任领导害怕给自己建立竞争对手，或者害怕使自己看来没有那么完美。70.变化总是对一些事件的被动反应，很少有主动的变化。71.客户投诉按照个案处理或被认为是个别的无理取闹而不予理会。即