第7章-内部监督课件

内部控制学池国华第七章内部监督第一节内部监督方式第二节内部控制监督程序第三节内部控制评价2010-3-28.引言本章首先介绍了内部监督的定义，阐述了内部监督的方式，其次说明了内部控制监督程序，最后介绍了内部控制评价的定义、内容和标准、内部控制评价报告。2010-3-28.学习目标完成本章的学习后，您将能够：1.理解内部监督、内部控制评价的定义。2.理解内部监督的方式、内部控制评价的内容和标准。3.了解内部控制缺陷标准、内部控制监督的记录与报告。4.了解内部控制评价报告。2010-3-28.

案例引入安然公司破产原因及启示

安然公司曾是美国、一度也是全球的头号能源交易商。它拥有遍布全球的发电厂和输油管线，在美国电力和天然气市场具有呼风唤雨的实力。安然公司以高达700亿美元的市值和1000亿美元的年收入，让IBM和AT&T都黯然失色。在《财富》杂志2000年全球500大公司排名中，安然曾位列第7，并被该杂志评为美国最有创新精神的公司。曾经有评论说，安然这个神话是如此炫目和风光，以致让人难以置信。事情果真被不幸而言中。就是这样一个看起来坚不可摧的公司，在2001年12月2日向纽约破产法院申请了破产保护。2010-3-28.安然公司在申请文件中开列的资产总额为498亿美元，超过德士古公司在1987年时提出破产申请的359亿美元，由此创下了美国有史以来最大宗的破产申请纪录。安然公司创下的纪录远不止如此。11月28日，安然股价在一天之内猛跌超过75%，创下纽约股票交易所和纳斯达克市场有史以来单日下跌幅度之最。11月30日，该公司股票又跌至每股0.26美元，不到一年前安然股价曾上探90.75美元的高度，相比之下，安然股价已经缩水将近350倍！由此，安然又创下了美国有史以来公司破产速度之最。这意味着，上一年度从安然退休的员工获得的50000美金的公司股票，已经值不了150美元。2010-3-28.安然事件将做为财务舞弊和审计失败的经典案例载入企业发展史。安然公司破产的原因非常复杂，可以说美国资本市场的各有关方面均有不可推卸的责任。审视安然公司内部，除了公司治理结构的缺陷、独立董事不独立；过分强调管理创新、忽视内部风险控制，管理者当局的素质和诚信道德的缺失，安然文化的不足外，内部监督是一个重要原因。2010-3-28.现行美国的公司治理结构中，上市公司监督管理渠道主要有：内部控制机制和外部监督机制两方面。内部层次有董事会、管理当局、审计委员会、监事会、职工；外部有证券市场投资者、债权人、新闻媒体、证券分析师与评级师，证监会、审计师、法律法规及法庭诉讼。内部监督的成本相对低于外部监管，有效性也应当更高。美国公司内部监督主要职能部门是董事会设立的审计委员会。2010-3-28.安然事件中，审计委员会大多由退休人员担任，这些人与公司高层建立有良好的关系，独立性较差。安然公司利用美国财务会计法规的漏洞编制优于实绩的报表业绩，内幕交易行为，公司的审计委员会未能控制这种明显的钻空子的行为而倍受指责。内部监事会也未能做好事前防范和预警，特别是对公司业务中的金融期货等高风险项目，未采取措施予以规范引导以避免最后的巨大损失。

2010-3-28.第一节内部监督方式一、内部监督的定义

内部监督，是指企业对其内部控制的健全性、合理性和有效性进行监督检查与评估，形成书面检查报告并采取必要的纠正措施的过程。2010-3-28.二、内部监督的方式内部监督的方式有两种，即持续性的监督活动和个别评估。内部控制体系持续性监督的有效性程度越高，对个别评估的需要程度就越低。管理层为了合理地确认内部控制体系的有效性所必须进行的个别评估的频率取决于管理层的判断。通常，持续性监督和个别评估在某种程度上合并使用将会保证内部控制体系随着时间的变化保持其有效性。

2010-3-28.（一）持续性监督持续性监督，是指企业对建立和实施内部控制的整体情况所进行的连续的、全面的、系统的、动态的监督。持续监控是在及时的基础上执行的，对环境的改变做出动态的反应，它存在于单位管理活动之中，能较快地辨别问题，持续监控的程度越大，其有效性就越高，则企业所需的个别评估就越少。2010-3-28.持续性监督活动的重要环节1.获得内部控制执行的证据2.内外信息印证3.将会计记录的数据与实物资产相比较4.内外部审计定期提供建议5.管理层对内部控制执行的监督6.定期考核员工7.内部审计活动2010-3-28.案例7-1香港百富勤破产案例1998年1月，香港经济乃至整个亚洲的经济还在金融风暴的波涛中飘摇之时，一代华资大亨——香港上市公司“百富勤投资”被强制清盘，这一事件及其对本来已经相当脆弱的香港经济的冲击，至今仍令人扼腕叹息。香港特区政府公布的关于百富勤投资集团有限公司及百富勤定息债券公司倒闭的独立调查报告指出，导致百富勤倒闭的主要原因是公司在报告及会计程序、风险管理和内部审计上的基础系统均不足。报告指出，这反映出公司在管理上的漏洞，以及过于注重招揽生意、忽略公司内部监控的问题。

2010-3-28.百富勤作为一家东方文化环境中成长起来的投资银行，在相当程度上带有家长式的色彩，对于主要决策人员缺乏基本的制约；反观中国内地的许多公司，公司的总经理何尝不是这样的家长式国王，基本的制衡也无从谈起。而其内部控制体系也远远没有有效运行。百富勤在不到10年的时间里一跃成为香港特区投资银行界的翘楚，但随着规模的扩张，风险防范和控制能力却没有能够相应提高。百富勤的业务涉及多个领域，如果对其进行了全面监管，也许会降低爆发全面风险的可能性。2010-3-28.（二）个别评估个别评估，又称专项监督检查，是指企业对内部控制建立与实施的某一方面或者某些方面的情况进行的不定期的、有针对性的监督检查。通常，个别评估采用自我评估形式，即负责某一单位或职责的人员对内部控制、对他们自身活动进行控制的有效性进行确认。2010-3-28.个别评估主要关注以下两个方面

（1）高风险且重要的项目。（2）内控环境变化。2010-3-28.第二节内部控制监督程序内部控制监督程序

制定内部控制缺陷标准评估控制结果记录与报告2010-3-28.一、制定内部控制缺陷标准内部控制缺陷，是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现并纠正错误与舞弊的情形。内部控制缺陷包括设计缺陷和运行缺陷。

2010-3-28.内控缺陷划分标准：内部控制缺陷影响整体控制目标实现的严重程度

重大缺陷重要缺陷一般缺陷2010-3-28.重大缺陷

重大缺陷，是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。判断考虑的因素有：影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷；针对同一细化控制目标所采取的不同控制活动之间的相互作用；针对同一细化控制目标是否存在其他补偿性控制活动。2010-3-28.重要缺陷与一般缺陷重要缺陷，是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起企业管理层关注。一般缺陷，是以上两种缺陷之外的缺陷。2010-3-28.案例7-3中信银行网银系统现重大漏洞银行客户资金被盗并不稀奇，但如果是由于银行的技术原因导致客户资金被盗，那么这个问题就变得严重起来。中信银行就出现了这样的问题。1.有漏洞的网银系统信息系统对银行来说就是遍布全身的神经和血管,如果这个系统存在重大的漏洞,对银行的威胁将是致命的。近年来,中信银行网上银行发展迅猛。据统计,2009年上半年,中信银行个人网银证书用户达到了146.26万,比上年末增长35.89%;个人网银交易量达774.82亿元人民币,为去年同期的3.12倍。2010-3-28.银监会此前还一直要求各商业银行要从保护广大储户利益出发,在信息系统开发、测试和维护,以及服务外包过程中加强对客户信息的保护,防止敏感信息泄露,对业务连续性管理也加以规范,保障客户数据安全和服务连续。知情人士透露,中信银行9名客户的网上银行账户被盗,而且是在短短一两天内发生,这说明中信银行确实没有足够重视网银的安全性问题,对系统的漏洞没有及时发现,致使犯罪分子作案得逞,客户资金遭受损失。2010-3-28.2.信贷管理系统存在功能缺陷不仅仅是个人网上银行存在重大漏洞,中信银行的信贷管理系统也存在缺陷。据有关人士透露,监管部门已经认定,中信银行的信贷管理系统存在缺陷,没有将集团客户认定环节设定在授信流程中,无法对集团客户授信进行有效的控制。2010-3-28.此外,该信贷管理系统还存在基础信息缺失、重要功能缺失、模块功能没有得到有效使用的情形,影响了系统功能的发挥。对于银行而言,信贷管理系统控制着银行几乎所有的信贷资产,每一笔贷款都在信贷管理系统平台上审核、批准。中信银行信贷管理系统存在缺陷,这种影响将是系统性的,该行近万亿元贷款安全受到考验。2010-3-28.二、评估控制结果对于为实现单个或整体控制目标而设计与运行的控制不存在重大缺陷的情形，企业应当认定针对这些整体控制目标的内部控制是有效的。对于为实现某一整体控制目标而设计与运行的控制存在一个或多个重大缺陷的情形，企业应当认定针对该项整体控制目标的内部控制是无效的。对于因业务流程外包等原因造成企业无法评价特定业务、特定流程的内部控制有效性的情形，内部控制评价机构应当充分考虑该项业务流程及其相关控制的重要性，确定其对整体控制目标有效性评价的影响。

2010-3-28.三、记录与报告企业应组织对内部控制体系进行设计和记录，形成一系列文件，包括：业务流程描述、风险控制文档、控制程序文件、风险数据库、自评表等。评估人员将评估过程及结果（包括存在的问题和已有的改正措施）进行记录，报负责人复核。被评估单位对评估结果签字确认。企业应制定相关的管理规定，明确缺陷报告的职责、报告的内容，对缺陷报告程序及跟进措施等方面进行规范。2010-3-28.第三节内部控制评价一、内部控制评价的定义内部控制评价一般是指由专门的机构或人员，通过对单位会计控制系统的了解、测试和评价，对其完整性、合理性及有效性提出意见，并进行报告，以利于单位进一步健全和完善内部控制体系。2010-3-28.二、内部控制评价的标准和内容（一）内部控制评价的标准内部控制评价的标准是指进行内部控制评价时遵循的范本。完整性合理性有效性一般标准要素标准作业标准

具体标准内部控制评价标准2010-3-28.一般标准（1）完整性内部控制的完整性是指企业应根据生产经营的需要制定全面的内部控制制度，同时企业应对生产经营活动的全过程自始至终进行控制。（2）合理性内部控制的合理性是指内部控制设计和执行的适用性和经济性。（3）有效性内部控制的有效性是指企业的内部控制政策和措施应符合国家法律、法规的相关规定，不能有与法律、法规相抵触的地方；同时内部控制制度也要设计完整、合理，在企业生产过程中能够得到有效贯彻执行，并实现内部控制的目标。2010-3-28.具体标准（1）内部控制要素评价标准按照COSO报告分为控制环境、风险评估、控制活动、信息与沟通、监督五个方面来制定。（2）内部控制作业层次评价标准主要是控制活动要素的细化，控制活动是确保管理层的指令得以实现的政策和程序，旨在帮助企业针对风险采取必要的行动。

2010-3-28.案例7-7销售管理内控项目评价标准表某公司销售管理部门拟对部门内部控制的有效性进行评价，针对这一目标，对销售与收款项目首先按照内部控制的五要素进行分解，然后再将每一个要素分解为具体的评分内容，采用具体的内控评价方法对其进行评价，明确其风险等级评价方法以及权重。H代表高风险，M代表中等风险，L代表低风险。2010-3-28.销售管理内控项目评价标准表内控要素内控评价项目风险等级评价方法权重控制环境部门是否建立了与公司内控管理秩序相一致的销售管理程序？M询问检查3是否对全体销售人员进行了必要的销售管理程序培训？M询问检查3公司是否与所有销售人员签订了保密协议书？M询问检查3是否有完整的驻外销售分机构管理程序？H询问检查5风险评估是否对本部门存在的高风险领域进行过评估？对相应的高风险领域是否提出了相应的控制办法？H询问检查52010-3-28.销售管理内控项目评价标准表控制活动部门是否定期编制各类销售计划？M询问检查3是否对所有重要客户定期进行信用调查？H询问检查5销售合同的签订是否经过评审并按授权获得了相应的批准？M询问检查3销售人员是否定期与客户对账？对重要客户是否每月至少对账一次？对账差异是否能得到及时处理？H询问检查5销售人员是否不准收取客户现金付款？H询问检查5销售部门是否不直接控制公司的外部仓库？M询问3是否与财务、内控人员共同对寄存客户方的产品进行定期盘点？H询问5所有销售发货是否都经过信用部和财务部的批准？M询问检查3发货单是否严格根据客户采购合同或采购订单签发？M检查测试3销售折扣和降价销售是否严格按照内部授权审批进行？H检查5销售人员部分或全部收入是否与销售回款、销售额等有关指标挂钩？M询问检查3是否定期对销售人员进行利益冲突调查？M询问检查32010-3-28.销售管理内控项目评价标准表信息与沟通销售资料的管理是否符合公司档案管理规定并及时归档？H询问检查5本部门是否定期与财务、物流等部门进行应收账款等的核对？H询问检查5销售退货是否有完整的记录？M检查3销售分支机构或销售分部掌握的公司客户档案是否及时得到更新并归入母公司客户档案内？M询问检查3销售人员是否按公司要求建立销售台帐？M询问检查3监督内控部、财务部是否定期派人对本部门及驻外分支机构进行业务检查？H询问检查5公司是否对销售计划的合理性及其执行情况进行考核？L检查1公司内控经理和财务部是否按期对销售部及驻外销售机构的工作进行检查监督？M询问检查32010-3-28.（二）内部控制评价的内容控制环境风险评估控制活动信息与沟通监督2010-3-28.1.控制环境控制环境是通过描述组织中人的个体品质来评价一个组织中的内部控制的有效性。如董事会及管理层期待某些短期目标的达成并获得报酬的程度如何？董事会与管理层之间的独立性如何？监察人与管理层之间的独立性如何？组织结构是否合适？各重要主管承担的责任如何？他们对所负的责任了解程度如何？各重要主管的知识及经验如何？履行责任的能力如何？

2010-3-28.2.风险评估风险评估是评价对企业所从事的包括销售、生产、采购和财务在内的不同活动中的风险进行确认、分析和管理的机制。风险管理机制可以使得人们知道怎样确认风险并采取相应的措施，这正是风险管理的全部内容。也可以简单地概括为使人们学会如何发现问题和处理问题，即进行事前控制，实施预防措施。评价企业内部的风险管理机制是评价企业内部控制全面性和有效性的一个主要内容。2010-3-28.3.控制活动控制作业的评估主要是评价和检查对管理层制定的方针、程序的执行情况，以保证目标的实现。对控制作业要素的评估不仅可以检查和评价企业内部控制的全面有效性，还能评价其合理性。控制作业项目的评估重点是每一个作业的控制政策和程序如何，是否能有效降低已辩认出来的风险，设计是否有效，控制政策和程序是否已予以执行，执行的结果如何。由于控制作业是合理管理风险的手段，因此控制作业是和风险的评估过程相联系的。2010-3-28.4.信息和沟通信息项目有3项评估重点：如何取得内、外部信息；如何制定信息系统，如何修正；管理阶层支持信息系统的程度如何，投入的人力、物力有多少。2010-3-28.沟通项目有7项评估重点：取