内部控制实务与案例第七章 内部控制评价

第七章 内部控制评价实务第一节内部控制评价概述第二节内部控制评价的程序第三节内部控制缺陷的认定第四节内部控制评价报告学习目的与要求通过本章学习，学生应了解内部控制评价的原则、组织机构以及内部控制缺陷的认定步骤；理解内部控制评价的定义，明确内部控制评价的主体及对象；熟悉内部控制评价的内容、方法与程序；掌握内部控制缺陷的认定标准，能够判断相关内部控制缺陷的“重要程度”；掌握内部控制评价报告的编制。案例导引：常电公司开展内部控制自我评价工作2009年1月，江苏常熟发电有限公司（以下简称“常电公司”）正在开展内部控制自我评价工作，此次工作的目的是为了客观反映企业内部控制的总体情况，及时发现内部控制的缺陷和薄弱环节，以达到加强管理、堵塞漏洞目的，从而提高企业的抗风险能力，提高企业的管理水平和经济效益，合理保障职工及股东的利益。该公司这次内部控制自我评价的依据为《企业管治常规守则》，中国电力制度体系、中国电力《内部控制手册》等。评价内容主要有十八项，分别为控制环境、风险管理、战略与计划管理、全面预算管理、授权管理控制、人力资源管理、货币资金管理控制、销售与收款管理控制、采购与付款管理控制、燃料管理控制、工程项目管理控制、对外投资管理控制、筹资控制、固定资产管理控制、担保业务控制、外币业务管理控制、信息保护和审计监督。该公司这次内部控制自我评价工作从10月10日开始，分准备阶段、实施阶段和总结阶段三个部分进行实施，预计到10月28日全部结束。自《企业内部控制基本规范》及其配套指引发布之后，全国各省、各行业都纷纷争先开展内部控制自我评价的培训工作，掀起了一阵内部控制自我评价的热潮。内部控制作为存在于企业内部的一种重要的制度安排，本质上属于企业内部管理制度的一部分。内部控制自我评价本质上是对内部控制制度本身进行监督和控制的必要机制，是完善与优化内部控制系统的重要制度安排。那么什么是内部控制评价？谁是内部控制评价的主体？内部控制评价的客体是什么？内部控制评价工作应该如何开展？内部控制评价工作的最终成果表现为什么？第一节 内部控制评价概述内部控制评价概述企业内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。□从以下三个角度进行理解：（1）内部控制评价的主体是董事会或类似权力机构。（2）内部控制评价的对象是内部控制的有效性。（3）内部控制评价是一个过程。内部控制评价概述2008年6月28日，我国正式颁布了《企业内部控制基本规范》要求2009年7月1日起上市公司应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有相应资格的会计师事务所对内部控制的有效性进行审计，内部控制自我评价报告制度在我国的资本市场正式开始。内部控制评价概述一、内部控制评价的目标提高内部控制制度执行的真实、可靠性和有效性完善内部控制制度，提高企业的经营管理水平内部控制评价概述二、内部控制评价的原则风险导向原则全面性原则重要性原则客观性原则定性与定量相结合原则内部控制评价概述三、内部控制评价的对象内部控制评价是对内部控制有效性发表意见。所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制运行的有效性。内部控制设计的有效性，是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行的有效性，是指现有内部控制按照规定程序得到了正确执行内部控制评价概述内部控制的有效性内部控制的有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度。内部控制设计的有效性控制过程内部控制运行的有效性控制目标合规目标内部控制的有效性资产目标内部控制的有效性报告目标内部控制的有效性经营目标内部控制的有效性战略目标内部控制的有效性内部控制评价概述内部控制设计的有效性主要体现为内部控制设计的合理性和适当性。在遵循《企业内部控制基本规范》和配套指引的规定的基础上，设计的合理性是指内部控制的设计不仅要遵守内部控制的基本原理，还要遵守客观、公平、公正的原则，对董事会、监事会、经理层和企业的员工具有执行的基础和约束力。设计的适当性是指内部控制的设计应该结合企业自身的环境条件、业务范围、经营特点，进行风险识别和评估，确定重大风险控制措施，从而有利于内部控制目标的实现。内部控制评价概述内部控制的运行有效性，是指现有内部控制按照规定程序得到了正确执行。评价内部控制的运行有效性，应当着重考虑三个方面：

相关控制在评价期内是如何运行的；

相关控制是否持续一致的运行；

实施控制的人员是否具备必要的权限和能力。评价内部控制运行的有效性，应当着重考虑以下几个方面：（1）相关控制在评价期内是如何运行的；（2）相关控制是否得到了持续一致的运行；（3）实施控制的人员是否具备必要的权限和能力。内部控制评价概述四、内部控制评价的组织形式与职责安排（一）内部控制评价的组织形式内部控制评价机构必须具备一定的设置条件：能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作相互配合、相互制约，在效率效果上满足企业对内部控制系统进行监督与评价所提出的有关要求是能够得到企业董事会和经理层的支持，有足够的权威性来保证内部控制评价工的顺利开展。内部控制评价概述为了保证评价的独立性，负责内部控制设计和评价的部门应适当分离。企业可以委托会计师事务所等中介机构实施内部控制评价。此时，董事会（审计委员会）应加强对内部控制评价工作的监督与指导。从业务性质上讲，中介机构受托为企业实施内部控制评价是一种非保证服务，内部控制评价报告的责任应由企业董事会承担。另外，为保证审计的独立性，为企业提供内部控制审计的会计师事务所，不得同时为同一家企业提供内部控制评价服务。内部控制评价概述（二）内部控制评价的职责安排董事会对内部控制评价承担最终的责任。经理层负责组织实施内部控制评价工作，实际操作中，可以授权内部控制评价机构组织实施，并积极支持和配合内部控制评价的开展，创造良好的环境和条件。内部控制评价机构根据授权承担内部控制评价的具体组织实施任务各专业部门应负责组织本部门的内控自查、测试和评价工作企业所属单位，也应逐级落实内部控制评价责任。内部控制评价概述组织实施支持配合积极整改经理层内控自查测试评价积极整改各专业部门逐级落实日常监控督促整改所属单位审议监督监事会内部控制评价概述与注册会计师的外部鉴证不同，尽管都是评价活动，企业的内控评价是由董事会及审计委员会负责领导，或是授权内审部门负责组织和实施的年度评价和专项评价，其独立性当然有所不同。两种评价都要认定内控制度的设计缺陷和运行缺陷，而作为评价的结果，注册会计师的审计报告仅是表达对内部控制有效性的意见。企业评估的结果，除了对内控整体目标是否有效下结论外，还需对报告中列示的问题进行改进，并追究相关人员责任。内部控制评价概述五、内部控制评价的内容（一）内部环境评价（二）风险评估机制评价（三）控制活动评价（四）信息与沟通评价（五）内部监督评价{案例7-1：三泰公司内部控制评价内容}第二节 内部控制评价的程序内部控制评价的程序一、内部控制评价一般程序评价工组作成方评案价工实作施组现场汇检总查评测价试编结制果企业内报控评告价反报馈告与追内部控制评价的程序（一）准备阶段该阶段的主要任务是制定评价工作方案，组成评价工作组。评价工作方案主要包括主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。评价工作方案既以全面评价为主，也可以根据需要采用重点评价的方式。一般而言，内部控制建立与实施初期，实施全面综合评价有利于推动内部控制工作的深入有效开展；内部控制系统趋于成熟后，企业可在全面评价基础上，更多地采用重点评价或专项评价，以提高内部控制评价的效率和效果内部控制评价的程序（二）实施阶段要了解被评价单位基本情况。进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。检查重点和分工情况可以根据需要进行适时调整。评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。内部控制评价的程序具体实施步骤：第一步，明确企业层面内部控制工作的范围第二步，设计企业层面调查问卷和问题清单第三步，下发和初步填制调查问卷第四步，问卷初步审阅、访谈确认及问卷修改第五步，进行测试，并获取并审阅支持性文档第六步，汇总并确认发现问题内部控制评价的程序（三）汇总评价结果、编制评价报告阶段评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告评价工作底稿应进行交叉复核签字，并由评价工作组负责人审核后签字确认。评价工作组将评价结果及现场评价报告向被评价单位进行通报，由被评价单位相关责任人签字确认后，提交企业内部控制评价机构。内部控制评价机构汇总各评价工作组的评价结果，对工作组现场初步认定的内部控制缺陷进行全面复核、分类汇总；对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析，按照对控制目标的影响程度判定缺陷等级。内部控制评价机构以汇总的评价结果和认定的内部控制缺陷为基础，综合内部控制工作整体情况，客观、公正、完整地编制内部控制评价报告，并报送企业经理层、董事会和监事会，由董事会最终审定后对外披露。内部控制评价的程序（四）报告反馈和跟踪阶段对于认定的内部控制缺陷，内部控制评价机构应当结合董事会和审计委员会要求，提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况已经造成损失或负面影响的，企业应当追究相关人员的责任。内部控制评价的程序否明确企业内部控制目标制定内部控制评价方案报董事会审批评价方案是否通过审批否组成评价工作组是实施内部控制现场检查与测试是否存在缺陷是设计缺陷运行缺陷编制现场报告，并向被评价单位通报汇总编制企业内部控制评价报告跟踪缺陷的整改落实情况内部控制评价流程图9-1内部控制评价的程序访谈调法查问专卷题法讨穿论行法测试实法地查验抽法样比法较分析法□二、内部控制评价的方法内部控制评价的方法标杆法内部控制评价的程序三、内部控制评价的频率企业每年应对内部控制进行评价并予以披露。但是内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。另外，如果内部监督程序无效，或所提供信息不足以说明内部控制有效，应增加评价的频率。{案例7-2朗讯公司的存货余额自我评价综合框架}第三节 内部控制缺陷的认定内部控制缺陷的认定一、内部控制缺陷的定义和分类内部控制缺陷是内部控制在设计和运行中存在的漏洞，这些漏洞将不同程度地影响内部控制的有效性，影响控制目标的实现。内部控制缺陷的认定通常被视作判断内部控制有效性的一个负向维度。衡量内部控制有效性的关键步骤就是查找内部控制在设计或运行环节中是否存在重大缺陷。内部控制缺陷的认定内部控制缺陷性

质设计缺陷成

因运行缺陷重大缺陷重要缺陷一般缺陷具体表现形式财务报告内部控制缺陷非财务报告内部控制缺陷内部控制缺陷的认定1.

按照内部控制缺陷成因或来源，内部控制缺陷包括设计缺陷和运行缺陷。当存在设计缺陷时，表明必要的控制或控制的必要成分缺失无法达到控制目标或者现有的控制设计不当，即使按设计执行后仍无法满足控制目标。运行缺陷则是指一个设计合理的控制未能按预期执行或者执行控制的人员没有执行所需的授权或能力，导致无法有效执行该控制。内部控制缺陷的认定按照具体影响内部控制目标的具体表现形式，可以将内部控制缺陷分为财务报告缺陷和非财务报告缺陷。财务报告内部控制缺陷主要是指不能合理保证财务报告可靠性，不能及时防止发现并纠正财务报表错误的内部控制设计和运行缺陷。财务报告内部控制缺陷的认定标准由该缺陷可能导致财务报表错报的重要程度来确定，这种程度主要取决于两方面因素：第一，该缺陷是否具备合理可能性导致内部控制不能及时防止、发现并纠正财务报表错报；第二，该缺陷单独或连同其他缺陷可能导致的潜在错报金额的大小。非财务报告内部控制是指针对除财务报告目标以外的其他目标的内部控制，一包括战略目标、经营目标、合规目标等。不能合理保证上述目标实现的内部控制设计和运行的缺陷就是非财务报告内部控制缺陷。非财务报告评价是企业内部控制评价的重点内部控制缺陷的认定3．按照影响企业内部控制目标实现的严重程度，内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。重大缺陷（也称实质性漏洞），是指一个或多个控制缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形当存在任何一个或多个内部控制重大缺陷时，应当在内部控制评价报告中做出内部控制无效的结论。重要缺陷，是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，但仍有可能导致企业偏离控制目标。重要缺陷的严重程度低于重大缺陷，不会严重危及内部控制的整体有效性，但也应当引起董事会、经理层的充分关注。一般缺陷，是指除重大缺陷、重要缺陷以外的其他控制缺陷。内部控制缺陷的认定二、内部控制缺陷的认定标准企业需要从定性和定量两方面进行衡量，判断是否构成内部控制缺陷。如果存在下列情况之一，则可认定内部控制存在设计或运行缺陷：未实现规定的控制目标；未执行规定的控制活动；突破规定的权限；不能及时提供控制运行有效的相关证据。内部控制缺陷的认定三、内部控制缺陷的报告与整改（一）内部控制缺陷报告内部控制缺陷报告应当采取书面形式。对于一般缺陷和重要缺陷，通常向企业经理层报告，并视情况考虑是否需要向董事会及其审计委员会、监事会报告；对于重大缺陷，应当及时向董事会及其审计委员会、监事会和经理层报告。如果出现不适合向经理层报告的情形，如存在于经理层舞弊相关的内部控制缺陷或存在经理层凌驾于内部控制之上的情形，应当直接向董事会及其审计委员会、监事会报告。企业应根据内部控制缺陷的影响程度合理确定内部控制缺陷报告的时限，一般缺陷、重要缺陷应定期报告，重大缺陷及时报告。内部控制缺陷的认定（二）内部控制缺陷改正针对每一个控制缺陷，都必须提出整改建议整改建议必须要内容具体，切实可行、而且要列出控制缺陷的风险级别在制定整改方案时，需要了解缺陷的原因，并根据缺陷对应的风险的高低和整改的难易程度，结合企业的实际情况综合考虑，制定整改方案。整改计划的目标是针对缺陷产生的原因，而不是针对缺陷的表象。整改计划应符合有针对性、可衡量、可完成、符合现实情况、及时性等五项原则整改方案可能包括对内部控制的重新设计、修正和重新运行，还包括对相关人员重新进行的培训等。管理层应考虑给予相对合理的时间来实施整改措施，在新的控制措施运行一段时间以后，重新测试来证明其运行的有效性。内部控制缺陷的认定1．内部控制缺陷报告的格式和途径内部控制缺陷报告应当采取书面形式，可以单独报告，也可以作为内部控制评价报告的一个重要组成部分。一般而言，内部控制的一般缺陷、重要缺陷应定期（至少每年）报告，重大缺陷应立即报告。对于重大缺陷和重要缺陷及整改方案，应向董事会（审计委员会）、监事会或经理层报告并审定。如果出现不适合向经理层报告的情形，例如存在与管理层舞弊相关的内部控制缺陷，或存在管理层凌驾于内部控制之上的情形，应当直接向董事会（审计委员会）、监事会报告。对于一般缺陷，可以与企业经理层报告，并视情况考虑是否需要向董事会（审计委员会）、监事会报告。内部控制缺陷的认定2．内部控制缺陷整改方案及期限企业对于认定的内部控制缺陷，应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关机构或相关人员的责任。企业内部控制评价机构应当就发现的内部控制缺陷提出整改建议，并报经理层、董事会（审计委员会）、监事会批准。获批后，应制定切实可行的整改方案，包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容{阅读资料：内部控制评价核心指标}第四节内部控制评价报告内部控制评价报告报告的形成示意图内部控制评价报告二、内部控制评价报告的内容与格式□（一）内部控制评价报告的内容1．董事会声明。2．内部控制评价工作的总体情况。3．内部控制评价的依据。4．内部控制评价的范围。5．内部控制评价的程序和方法。6．内部控制缺陷及其认定。7．内部控制缺陷的整改情况。8．内部控制有效性的结论。内部控制评价报告□二、内部控制评价报告的编制与报送□（一）编制1.时间内部控制评价报告分为定期内部控制评价报告和非定期内部控制评价报告。企业应该定期进行内部控制评价并发布内部控制评价报告。企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制评价报告。年度内部控制