第4讲 企业内部控制审计监管相关问题 焦晓宁

上市公司内部控制建设及问题分析2012年9月1一、对内控实施的预期二、2011年内控实施情况三、内控建设存在的问题及建议四、内控审计相关问题主要内容2一、对内控实施的预期国内外主要会计作假案例例：奥林巴斯公司治理舞弊的日常防控

3一、对内控实施的预期奥林巴斯:2011年10月14日,CEO被解职;提出:董事渎职、不当利益输送、财务造假聘请普华进行调查的结果4一、对内控实施的预期2006至2008年三次并购：成本8亿美元

2009年减记收购取得的资产557亿日元，占76%2008年一次并购，成本20亿美元交易中向咨询公司支付6.87亿美元另以6.2亿美元自咨询公司回购1.77亿美元的优先股5一、对内控实施的预期会计问题:90年代进行有价证券投机百慕大骗局——11亿美元投资，30%分红投资损失VS投资收益以支付交易费用掩盖了投资失误的事实6一、对内控实施的预期反映出的问题：公司治理的严重缺陷内控制度的缺失会计准则提供的利润操纵空间成本VS市价7一、对内控实施的预期银广厦

不可能的产能、不可能的价格、不可能的产品3年间虚增利润7亿元46%的利润率相对于同行业的20%出口退税销售对手方的情况8一、对内控实施的预期公司上市过程按照现代企业制度的系统性梳理以对投资者负责的态度管理公众公司公司治理的要求股东会、董事会、监事会、独立董事的比例上市公司治理专项活动强调治理结构、恢复上市公司独立法人资格等9一、对内控实施的预期有关案例体现的共性问题：人治大于法治治理机制缺失交易执行过程不规范不在于形而在于神，不在于制度更在于执行10一、对内控实施的预期治理机制缺失——独立董事的作用监管规定：上市公司的董事会中要有1/3以上的独立董事。某公司董事会共有11人，其中独立董事4人、大股东派出董事4人，其他职工代表、少数股东3人。财务和经营决策须经董事会半数以上通过。实务中在判断控制权时对独立董事作用的考量11内部控制的五个基本要素《基本规范》中所描述的内部控制五要素：12内部环境内部环境加强内部审计工作设立审计委员会规范公司治理结构科学化内部机构设置制定可持续发展的人力资源政策不断提高员工素质加强企业文化建设增强全体员工法制观念1314内部控制：内部控制体系的分类（按管理流程）公司层面控制是指那些确保管理层设在公司内部各个领域、各个业务层面的控制机制得以有效运转的机制管理层业务流程|人力IT相关（信息系统基本控制GCC）业务流程|资产业务流程|XX业务流程|XX公司层面控制业务流程|XX业务流程|XX流程层面控制业务流程|财务14一、对内控实施的预期美国萨班斯法案的要求上市公司建立健全财务报告相关内控CEO、CFO对建立健全内控和保证有效性负责外部审计师对内控出具专项审计意见处罚措施基础设施——最终责任人——外部鉴证15一、对内控实施的预期其他主要资本市场国家日本：评价+审计英国：管理层陈述加拿大、欧盟其他成员国——内控建设的原则性要求16一、对内控实施的预期我国上市主体实施内部控制：公司治理机制更加完善决策运行机制更加科学内部管理形成动态良性循环披露信息更加真实、完整17对内控的投入会给企业帶来的价值:同意不知道不同意优化流程和改善内控更好地去理解企业面对的风险更好地去滿足合规要求改善财务报告职能更有效去应对转变更有效地利用IT投资有利并购整合加强投资者对企业的信心改善资本投资的执行情況18二、2011年内控实施情况整体要求实施范围完成情况

19内控规范体系实施的整体要求内部控制规范体系实施是内控体系建设、内控自评、内控审计的一个不断完善的过程。内部控制审计内部控制优化内部控制评价成立专属部门确定梳理范围实施风险评估整理现有制度辨识内控环节明确管理规范记录内控缺陷设计整改方案完善相关制度更新文档记录

制定内控评价办法开展内控评价跟踪缺陷整改编制内控评价报告

进行模拟审计提供所需证据出具管理申明出具审计报告内部控制梳理20二、2011年内控实施情况境内外同时上市公司试点公司

集团性公司的内控建设范围——母公司及重要子公司着重财务报告内部控制21二、2011年内控实施情况完成情况境内外同时上市公司——基础情况较好，个别存在困难试点公司——少部分公司建立健全内控，并拟进行审计相当部分公司处于形似状态尚待后续运行、整改22二、2011年内控实施情况2011内控自评及审计情况

273家披露内控自评报告——65家披露缺陷，仅1家存在重大缺陷

214家公司发布审计报告（67家境内外+147家试点）非标意见相对较少——5家（1家否定意见）——公司和事务所两方面的问题23三、内控建设存在的问题及建议试点公司的普遍性问题：客观：准备时间短现行企业情况、核算状况等引发的问题风险评估等方法带来的执行困难关键风险和控制目标的确定24国外资本市场对内控要求美国:

公司类别

管理层自评报告

审计报告

1.加速公司2006年7月15日2007年7月15国外公司(7.5亿<市值<70亿)

2.非加速公司2007年12月15日2008年12月15日(<7.5亿)

3.新上市公司第二个年度报告第二个年度报告25国外资本市场对内控要求美国:美国在引入内控要求的过程中,自规定出台至要求管理层出具自我评估报告平均5-6年时间;要求审计师出具与财务报告相关内部控制审计报告平均6-7年时间相当部分NASDAQ小型上市公司至今也未明确要求26三、内控建设存在的问题及建议除境内外同时上市公司外，试点公司自行选择是否进行内控评价及审计2012年主板公司全面实施——分层次、差别化

（1）中央和地方国有控股主板上市公司：2012

（2）非国有控股主板公司、市值50亿以上，前三年平均利润3000万以上：2013（3）其他：201427三、内控建设存在的问题及建议（4）特殊情况

破产重整、借壳上市或重大资产重组：交易完成后下一年、不早于前三项时间要求

新上市主板：上市下一年度，不早于前三项时间要求28三、内控建设存在的问题及建议(一)对内控的理解和重视程度内控的实施会限制管理层权力内控的实施仅为满足监管要求内控的实施是制度的完善过程内控的实施降低企业运行效率29三、内控建设存在的问题及建议思想认识不统一，内生动力不足

公司领导——合规VS管理提升运动VS持续工作

中层——抵触

每一位员工——切身利益关注：内控文化是根本30三、内控建设存在的问题及建议内控实施的责任主体：——董事会对内控的建立和实施负责美国萨班斯法案——CEO、CFO对内控负责罚款及刑事责任31三、内控建设存在的问题及建议一把手工程体现在：自身认识程度身体力行的推动解决阻力的决心和魄力32三、内控建设存在的问题及建议(二)如何确定内控建设的路径国外对内控要求基本上围绕财务报告内部控制内控建设的复杂性和周期我国企业内控现状——初期建设以财务报告内控为切入点33资产负债表

资产

负债货币资金短期借款交易性金融资产应付账款应收账款应交税费固定资产长期借款长期投资负债总计

无形资产

所有者权益资产总计负债与权益总计

34三、内控存在的问题及建议资本市场实施重点围绕改进和提高财务信息质量

管理层自我评价——与财务报告相关的内控

外部会计师审计——与财务报告相关的内控公司可以决定在条件允许的情况下，建立健全全面内控35从财务报告内部控制到全面风险管理针对财务报告错报风险为切入点，确认相关的内部控制在财务报告内部控制工作的基础上，把概念应用到其他领域，但需要调解工作的细节程度财务报告

目标其他风险

事项风险事项风险事项业务流程其他风险财务报告

错报风险其他风险业务流程其他目标其他目标控制控制其他风险业务流程控制36三、内控建设存在的问题及建议财务报告内控并不等同于财务部门内控：内控体系与会计控制的差别内控体系建立中涉及流程梳理的难度财务部门的局限性37涉及主要交易的发起、授权、处理以及最终在财务报表中的披露过程中各环节的主要内部控制业务系统核心业务活动销售与收款财务核算系统货币资金财务报告内部控制财务报告内部控制资金管理……主营业务收入应收账款坏账准备……内部控制内部控制3839自上而下的方法：财务报告控制的风险评估39三、内控建设存在的问题及建议（三）集团性企业内控建设范围的选择从合并财务报表角度选择重要子公司纳入建设范围的公司按照风险评估的结果，选择重要领域业务同质性与差异的考虑——是否允许子公司作差异化调整——管理实践与内控的契合40三、内控建设存在的问题及建议（四）对内控建设中方法的理解

风险评估基础上内控体系的搭建技术性方法与管理理念的融合技术性方法的浅白化问题内控建设要形成的成果4142风险评估.设定控制目标.收集相关信息.识别风险.风险分析.确定风险承受度.风险应对策略.持续评估风险规避、风险降低、风险分担、风险承受整体风险承受能力业务层面可接受风险水平内部信息外部信息内部风险：人力资源、管理、自主创新、财务、安全环保、其他外部信息：经济、法律、社会、科学技术、自然、其他定性与定量相结合，按照风险发生的可能性及其影响程度对识别的风险进行分析和排序，确定关注重点和风险优先级结合企业发展不同阶段，持续收集相关信息，进行风险识别和风险分析，及时调整风险应对策略根据企业实际情况设定具体控制目标42内控建设体现的成果制度性文件操作性文件（实施细则）纲领性文件流程文件/内部控制文档明确管理组织架构、职能、策略、目标与愿景等。规定某项业务工作的目标、方向、原则等，是制定流程及操作性文件的基础和依据。包括但不限于适用范围、编制依据、主要应对风险、职责分工、政策与要求等。流程文件属于制度体系的第三层级文件，是依据基本制度建立的管理文件，在流程层面规定制度文件如何得以执行。包括但不限于管理要求、实施方案、应对风险及控制措施等。操作性文件是依据流程文件编制的、指导具体操作的管理文件，详细描述流程层面的具体工作如何开展并符合流程要求，涉及日常管理活动。企业管理制度体系43三、内控建设存在的问题及建议内控建设要形成何种成果？内控手册流程图风险地图风险控制矩阵——没有统一要求，反映内控过程，便于理解和执行44内控梳理对标

控制活动编写的原则：4W+1HWHO:哪个岗位执行控制活动

WHEN:该控制活动发生的时间或频率

WHERE:该控制活动发生的地点

WHAT:根据什么进行控制－如制度、单据、报告、电子邮件、系统数据等

HOW:控制活动的具体内容是如何？如何操作？从监管角度不要求内控文档为何种形式内控梳理对标内控整改固化内控评价内控审计内控文本成立专属部门确定梳理范围实施风险评估整理现有制度辨识内控环节对标管理规范45三、内控建设存在的问题及建议企业实务情况：针对制度的制度内控手册

一站式岗位职责及操作指南46三、内控建设存在的问题及建议（五）人才的缺乏成为瓶颈综合性人才——整体运营、业务流程风险、内控知识财务部内审部合规部47内部控制评价人员所需的知识技能48内控咨询服务机构的选用是否选择内控咨询服务机构需考虑：公司管理层对内控工作的重视程度公司管理水平及文化氛围公司规模及业务复杂程度、管理方式集中或分散程度公司内部控制体系建设的基础公司相关部门的内控相关专业知识及水平公司内部控制体系建设的整体规划及目标内控咨询机构只能起到辅助作用，上市公司应避免过分依赖咨询公司49内控咨询服务的范围及性质内控咨询服务包括内控建设及评价两个方面梳理内控流程，识别内控设计缺陷编写内部控制相关文档记录（如内部控制手册）完成内部控制有效性测试协助整改，包括协助制定整改方案协助出具内部控制有效性报告内控相关培训审阅内部控制相关文档记录并提出修改建议不同的服务范围及性质对咨询机构的资源投入要求不同，对上市公司提供的辅助程度也不相同50三、内控建设存在的问题及建议关注咨询中介机构的执业素质：四大会计师事务所国内其他会计师事务所管理咨询机构IT公司51三、内控建设存在的问题及建议(六)规范与管理的结合程度不够部分企业简单按照18项指引完善自身制度是否制度中有指引的要求即是健全有效？财政部与证监会要求：指引仅为参考要结合企业实际监管中将着重考虑内控建设与企业特点的问题52三、内控建设存在的问题及建议关注：风险识别不充分，执行过于机械内控规范指引的要求——着重基本规范企业自身管理特点与行业特性鼓励企业结合实际增减

53三、内控建设存在的问题及建议(七)组织机构的设置董事会下设机构专职推动机构业务部门54公司各级治理机构及管理层部门部门部门公司各部门内部控制体系建设实施的组织及协调部门或机构成立专门的内部控制管理委员会由公司副总级别领导分管内部控制工作或成立专门的内部控制管理部门及/或由适当的部门牵头负责内部控制工作设立专门的内部控制工作岗或由适当的岗位兼任内部控制工作岗企业内控管理组织机构设立的方式55公司各级治理机构及管理层成立专门的内部控制管理委员会由公司副总级别领导分管内部控制工作及/或一般情况下，委员会由公司总经理、副总经理及各部门负责人组成委员会下设内控管理的常设机构，由该机构负责各项工作的组织及推广各项工作以委员会名义向下推动，推动力较强，工作更加受到重视委员会相关工作汇报可以作为公司管理层例会的讨论议题一并讨论，涉及范围更广更易引起管理层重视

由公司副总级别领导分管内控工作，工作针对性相对更强，但也可能仅限于该副总分管的相关领域相关工作需要委派给某职能部门负责牵头完成，推动力相对较弱相关工作汇报易被视为某部门的工作成果及工作任务而得不到其他相关部门的重视企业内控管理组织机构设立：56内部控制体系建设实施的组织及协调部门或机构或成立专门的内部控制管理部门由适当的部门牵头负责内部控制工作

部分企业为内部控制管理职能单独成立“内部控制管理部”

部分企业将内部控制管理职能与其他职能相融合，成立如“内控稽核部”、“内控合规部”、“风险与内控部”等，其他职能包括稽核、合规、风险管理等专职部门负责内控工作内容更加明确管理层可能从投入资源、整体工作量、胜任能力等各方面考虑，将内控建设的组织及协调工作委派给适当的部门一般情况下企业选择的适当部门包括：财务部风险管理部审计部企业内控管理组织机构设立：57内审职能主导内部控制实施企业内控管理组织机构设立：58三、内控建设存在的问题及建议（八）有关配套措施不完备，缺乏长远目标必要的激励约束机制内控建设的阶段性任务

59企业内控工作建设路线图现状调研风险评估内控体系设计宣贯推广内控管理平台建设内控体系完善相关业务管理的完善内控促进管理内控体系的持续改进相关业务管理的持续改进内控融入管理

公司内控体系建设划分为内控基础建设、内控促进管理、内控融入管理三个阶段。内控基础建设60企业开展内控工作的阶段划分61三、内控建设存在的问题及建议建立内控的长效机制控制体系的简化管理与效率的提升持续优化——实现适时、适度的控制62三、内控建设存在的问题及建议（九）内控与信息系统的结合程度不够手工VS系统化内控体系在信息系统中的固化一定程度上避免两张皮63三、内控建设存在的问题及建议（十）对内控自我评价工作重视不够缺乏有效的评价办法董事会对自身责任认识不够过于依赖中介机构的服务