内部控制与风险管理（第3版）课件：发展历程

发展历程内部控制与风险管理学习目标CONTENTS目录1.1内部控制与风险管理的最初形态：内部牵制1.2美国内部控制与风险管理的发展历程1.3中国内部控制与风险管理的发展历程内控失效沉疴难解，华业资本退市倒计时

由于债务问题不断，资本市场已对北京华业资本控股股份有限公司（下称“华业资本”）失去信心。2019年12月4日，华业资本公告称，因公司股票连续20个交易日的每日收盘价均低于股票面值（1元），故被上海证券交易所（下称“上交所”）依规做出终止上市的决定。退市危机华业资本之殇始于2018年的应收账款被骗事件。2018年7月起，华业资本债权投资业务连续3次出现应收账款逾期未回款情形。华业资本债务追偿小组调查发现，公司现有应收账款存量规模101.89亿元，全部为从转让方恒韵医药受让取得，而恒韵医药可能存在伪造印章虚构与医院的应收账款债权交易的情形。内控失效沉疴难解，华业资本退市倒计时

“华业资本内部控制失效，应收账款债权投资业务爆发重大风险，涉及多起债权及担保诉讼，部分资产和银行账户被查封冻结，2019年前三季度亏损50.49亿元，期末净资产为48.20亿元，下属子公司违规为关联方提供大额担保，涉及金额达17.13亿元，公司持续经营能力存在重大不确定性。”今年12月初，上交所发布公告回应称，华业资本股票因股价持续低于面值被终止上市，是公司基本面的真实反映，是投资者理性投资的结果，是市场的选择。内控缺陷上交所认为，华业资本开展巨额债权投资业务不审慎，未充分评估核实底层资产；在发现回款资金流向异常、回款逾期、资产冻结等一系列重大风险事项的情况下，未及时向市场披露和如实回复问询函，而依然与恒韵医药进行交易；多次违规为李仕林提供巨额担保，造成公司巨大财产损失；披露重大事项不审慎，风险提示不充分。

以上这些问题说明，华业资本一直以来存在重大股权变更风险评估缺失、应收账款受让的尽职调查不充分、应收账款债权后续追踪管理不规范等多种内控缺陷，这也正是造成其退市的沉疴宿疾。内控失效沉疴难解，华业资本退市倒计时内部控制与风险管理的重要性可见一斑。那么，什么是内部控制与风险管理？内部控制与风险管理在企业的生存和发展中具有什么样的作用？

在阐述内部控制与风险管理的基本理论与方法之前，我们首先来了解内部控制与风险管理在不同国家的产生与发展。本章主要介绍人类社会内部控制的思想萌芽以及内部控制与风险管理在美国和中国的发展。1.1

内部控制与风险管理的最初形态：

内部牵制古代内部牵制思想的萌芽1.1.1近代内部牵制实践的发展1.1.2内部牵制的核心构念与理论价值1.1.31.1.1古代内部牵制思想的萌芽

自从有了人类的群体活动和组织，对组织成员及其活动进行控制的需要就产生了。公元前3600年至公元前3200年的苏美尔文化时期，内部牵制思想初现雏形。我国的内部牵制思想则最早可追溯到西周时期。

苏美尔文化：在付款清单上标注点、勾、圈等符号并核对。

古埃及银库：实施双重监督，出入库的观察、记录、核对由三人共同完成。

古罗马宫廷库房：设置“双人记账制”和财务支出检查与复核制度。古代内部牵制思想

西周官厅会计组织体系：在司会下设四职，分司会计核算与出纳工作。1.1.2.近代内部牵制实践的发展

15世纪末，资本主义经济产生，意大利出现复式记账法。其主要内容是账目间相互核对并实施一定程度的岗位分离，极大促进内部牵制实践发展。

18世纪工业革命后，生产力得到解放，引发了深刻的管理革命，公司制企业出现后，逐渐产生了以职责分工、会计记账和人员轮换为控制要素的公司稽核制度。

20世纪初，社会化大生产广泛应用，企业规模不断扩大，市场竞争进一步加剧。一些企业为了防范与控制经营风险，逐步摸索出组织调节、制约和检查企业生产活动的办法，即当时的内部牵制制度。1.1.2.近代内部牵制实践的发展

20世纪初的的内部牵制制度，也是现代内部控制理论中有关组织控制、职务分离控制的雏形。它基本上以查错防弊为目的，以职务分离和交互核对为手法，以钱、账、物等为主要针对事项。

随着社会生产力的发展和企业间竞争的加剧，内部牵制在实践中逐渐由一种朴素的管理思想发展为一种成熟度较高的管理制度，并为内部控制的产生与制度化发展提供了良好的机制基础。1.1.3.内部牵制的核心构念与理论价值

柯勒编著的《会计辞典》认为：“内部牵制是指提供有效的组织和经营并防止错误和其他非法业务发生的业务流程设计。其主要特点是以任何个人或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的责任分工，每项业务通过正常发挥其他个人或部门的功能进行交叉检查或交叉控制。“设计有效的内部牵制使各项业务能完整正确地经过规定的处理程序，而在这些规定的处理程序中，内部牵制机制永远是一个不可缺少的组成部分。”

内部牵制制度的出现有其科学合理性。主要基于以下两个假定：假定1

在经办一项交易或事项时，两个或两个以上人员或部门无意识地犯同样错误的概率要远小于一个人或部门。假定2

两个或两个以上人员或部门有意识地合伙舞弊的可能性远低于一个人或部门。

由此可见，内部牵制的最初形式和基本形态是以不相容职务分离为主要内容的流程设计。然而，内部牵制在控制目标的定位上存在一定的历史局限性。20世纪之前

社会生产力相对落后，商品生产尚不发达，内部牵制制度在防错纠弊方面确实发挥了一定的作用。20世纪40年代末

市场竞争加剧，企业除了防错纠弊还迫切需要处理风险评估、分权授权、绩效考评、监督激励等问题，控制目标开始趋于多样化。

传统的内部牵制制度不能为达成新控制目标提供恰当保证，因此，现代意义上的内部控制的产生成为一种必然。

无论内部控制制度如何变迁，内部牵制都是内部控制制度的核心机制，不能一味地追求内部控制概念边界扩大和功能拓展而淡化内部牵制在内部控制中的地位和作用。在内部控制的演变过程中，内部牵制应突破固有的概念藩篱，不仅强调分离式牵制，也强调合作式牵制的作用，如会审、会签、协作等。1.2

美国内部控制与风险管理的发展历程内部控制制度阶段1.2.1内部控制结构阶段1.2.2内部控制整合框架阶段1.2.3COSO内部控制的进展1.2.5风险管理整合框架阶段1.2.420世纪30年代，美国的内部控制有了较大发展。1934年《1934年证券交易法》

首次使用“内部会计控制”的术语，对内部会计控制的概念加以界定。1936年AICPA《独立注册会计师对财务报表的审查》

首次提出内部牵制和内部控制的概念：内部控制是指为保护现金和其他资产的安全，检查账簿记录准确性而在公司内部采用的各种手段和方法。1939年AICPA《审计程序文告第一号》

首次增加了内部控制审查的内容。但是内部控制制度的研究与应用的快速发展要到20世纪40年代后期。

美国的内部控制与风险管理理论和实践的发展大体上经历了四个阶段——

（1）内部控制制度阶段（2）内部控制结构阶段（3）内部控制整合框架阶段（4）风险管理整合框架阶段20世纪40年代

随着企业规模的扩大，企业业务复杂程度加大，在此阶段，建立健全内部控制系统开始上升为法律要求，一些国家开始将内部控制划分为内部会计控制和内部管理控制。内控发展的分水岭1.2.1内部控制制度阶段1949年

《内部控制：系统协调的要素及其对管理部门和独立公共会计师的重要性》一文首次给出了内部控制的定义：

“内部控制包括组织机构的设计和企业内部采取的所有协调方法和措施，这些方法和措施旨在保护企业财产，检查会计信息的准确性和可靠性，提高经营效率，促进既定管理政策的贯彻执行”。1953年《审计程序说明第19号》对上述内控定义进行修正，并将内部控制分为会计控制和管理控制两部分，即今天的内控制度二分法。内控发展的分水岭1.2.1内部控制制度阶段1972年

《审计准则公告第１号———审计准则和程序汇编》重新阐述了内部会计控制和内部管理控制的定义，内部控制被正式纳入制度体系，进入“制度二分法”或“二要素”阶段。1.控制环境

控制环境是指对建立、加强或削弱特定政策与程序的效率有重大影响的各种因素。

2.会计系统

会计系统是规定各项经济业务的确认、归类、分析、登记和编报的方法，明确了资产与负债的经营管理责任。3.控制程序

控制程序是指管理层制定的用以保证达到一定目标的政策和程序，主要包括授权、分工、资产接触限制和业务评价复核等内容。1.2.2内部控制结构阶段

1988年，AICPA发布《审计准则公告第55号》，正式提出

“内部控制结构”的概念，不再区分会计控制和管理控制，而是确立了一种控制结构。内部控制结构具体包括以下三个要素：

内部控制结构阶段正式将控制环境纳入内部控制的范畴。管理实践使人们逐渐认识到控制环境并非内部控制的外部因素，而是内部控制组成部分。人们不再区分会计控制和管理控制，而统一以要素来表述。

这一阶段的内部控制将会计控制和管理控制融为一体，从“制度二分法”阶段步入“结构三要素”阶段，是内部控制与风险管理发展史上的一次重要转变。1985年，成立内部控制问题的发起组织委员会（COSO）。1992年，发布《内部控制——整合框架》（InternalControl-IntegratedFramework）1996年，发布《审计准则公告第78号》1.2.3内部控制整合框架阶段1977年，颁布《反海外贿赂法》（FCPA）1.2.3内部控制整合框架阶段《内部控制——整合框架》认为“内部控制是由主体的董事会、管理层和其他员工实施的，旨在为经营的效率和有效性、财务报告的可靠性、遵循适用的法律法规等目标的实现提供合理保证的过程。”COSO《内部控制-整合框架》：内部控制是一个过程，它是实现目标的手段，而不是目标本身。内部控制不仅是政策手册和表格，还涉及组织中各个层级人员的活动，它为主体目标的实现提供合理保证，而不是绝对保证。内控五要素：控制环境、风险评估、控制活动、信息与沟通、监控。

内部控制与整个主体相关，而内控五要素与内部控制的目标直接相关，它们代表实现目标需要什么。《内部控制-整合框架》的地位与意义《框架》提出的内部控制理论和体系在业内备受推崇，其集内部控制理论和实践发展之大成，成为世界通行的内部控制权威标准，被国际和各国审计准则制定机构、银行监管机构和其他机构采纳。1.2.3内部控制整合框架阶段COSO委托普华永道开发一个关于管理层评价和改进他们所在组织的企业风险管理的框架。美国国会以绝对多数通过《萨班斯—奥克斯利法案》COSO发布《企业风险管理——整合框架》（ERM框架）案例1-1

P9花旗集团遭美国监管机构罚款4亿美元：风险管理存缺陷1.2.4风险管理整合框架阶段200120022004案例1-1

P9花旗集团遭美国监管机构罚款4亿美元：风险管理存缺陷

（1）跨国经营的规模与程度逐渐增加（2）企业商业运营方式发生根本变化（3）法律与制度环境日趋完善（4）科技进步突飞猛进1.2.5COSO内部控制的进展

自1992年版《内部控制———整合框架》问世以来，企业所处的经营和商业环境变化：

1.2.5COSO内部控制的进展

1）2013年修订并发布《内部控制———整合框架》结构设计变化：着重强调了原则导向，并在原则下设置若干重点关注点；还扩大报告目标的类别，将财务报告以外的其他外部报告，以及包括财务与非财务报告在内的内部报告都纳入指导范围。2）2017年修订并发布《企业风险管理———与战略和业绩的整合》（新《ERM》框架）目标定位变化：从提供“控制框架”变为提供“管理框架”结构设计变化：从“八要素”变为“五要素”下的“20原则”其他主要变化：应用了要素和原则的编写结构、简化企业风险管理定义、强调风险和价值的关联性、重新审视了《ERM框架》关注的焦点……案例1-2

P12瑞信风险管理的反思1.3

中国内部控制与风险管理的发展历程起步阶段1.3.1探索阶段1.3.2建设阶段1.3.3完善阶段

1.3.5体系化阶段1.3.4与推进内部控制相关的法规建设1.3.61996《会计基础工作规范》1985年《中华人民共和国会计法》最早规定：“会计机构内部应当建立稽核制度，出纳人员不得兼管稽核、会计档案保管和收入、费用、债权债务账目的登记工作。”该规定是我国首次在法律文件中对内部牵制提出明确要求。1.3.1起步阶段1996《中国注册会计师独立审计准则》1997《加强金融机构内部控制的指导原则》案例1-3

P14博腾股份再收问询函，“抗病毒概念”难掩内控缺陷

在亚洲金融危机的背景下，我国借鉴亚洲各国家和地区在金融危机中的经验教训，积极推进企业管理制度改革和会计监督制度建设。1.3.2探索阶段1996年《中国证券监督管理委员会关于上市公司做好各项资产减值准备等有关事项的通知》1999年《保险公司内部控制制度建设指导原则》、新修《会计法》2000年《关于加强期货经纪公司内部控制的指导原则》、《公开发行证券的公司信息披露编报规则》1.3.2探索阶段2001年《中华人民共和国国家审计基本准则》、《证券公司内部控制指引》1999年《保险公司内部控制制度建设指导原则》、新修《会计法》2000年《关于加强期货经纪公司内部控制的指导原则》、《公开发行证券的公司信息披露编报规则》2001年《中华人民共和国国家审计基本准则》、《证券公司内部控制指引》、一系列《内部会计控制规范》1.3.2探索阶段2002年《内部控制审核指导意见》、《商业银行内部控制指引》、《证券投资基金管理公司内部控制指导意见》2003年《保险公司内部控制制度建设指导原则》、新修《会计法》2000年审计署根据《国家审计基本准则》制定了《审计机关内部控制测评准则》2004年《商业银行内部控制评价试行办法》案例1-4

P18“踩雷”70亿债务违约，徽商银行如何应对内控漏洞

2002年，美国安然、世通等公司的破产牵出一连串财务欺诈的丑闻。为应对美国企业公司治理结构的不完善和外部监督的缺位，加强对企业的监管，美国国会在2002年7月出台的《萨班斯法案》中的404条款明确规定：

管理层应承担设立并维持一个应有的内部控制结构的职责，并要求上市公司必须在年度报告中提供内部控制报告和内部控制评价报告。1.3.3建设阶段案例1-5

P20债券评级机构负面评级调整数量大增21%，内控合规仍存两大问题

国务院就强化我国企业内部控制问题做出重要批示：由财政部牵头，联合有关部委，积极研究制定一套完整公认的企业内部控制指引。

国务院批转《关于提高上市公司质量的意见》，要求上市公司对其内控制度的完整性、合理性及实施的有效性进行定期检查、评估。《上交所上市公司内部控制指引》《中央企业全面风险管理指引》《商业银行内部控制指引》……2004200520061.3.3建设阶段案例1-6

P23安永把脉保险业风险管理，马太效应下寿险公司该如何应对

始于2007年的全球金融危机在2008年愈演愈烈，但我国并未因世界经济局势的动荡和企业业绩的波动放慢建立企业内部控制制度体系的步伐。

1.3.4体系化阶段案例1-7

P24监管强化内控合规建设，多家银行违规代销基金受罚

2008年5月，《企业内部控制基本规范》发布，它在形式上借鉴了《COSO报告》的五要素框架，在内容上体现了风险管理八要素框架的实质，既融合国外相关内部控制制度的经验，又结合我国实际，具有我国特色。2010年4月，《企业内部控制应用指引》、《企业内部控制评价指引》、《企业内部控制审计指引》发布；标志着“以防范风险和控制舞弊为中心，以控制标准和评价标准为主体，结构合理、层次分明、衔接有序、方法科学、体系完备”的中国企业内部控制规范体系基本建成。

1.3.4体系化阶段案例1-8

P26筑牢风险管理第三道防线，保险业拟建内部审计培训体系

按照我国制度出台的惯例，一套完整的内部控制规范体系应包括基本规范、配套指引、解释公告与操作指南。其中，基本规范是统驭内部控制体系的最高层次，配套指引是内部控制体系的主要内容。2010年内部控制配套指引的发布，标志着我国适合大中型企业的内部控制规范体系框架基本落成。自2011年始，我国进入了内部控制制度的完善阶段，主要任务是发布解释公告与分行业制定操作指南，以及适时出台针对小型企业的内部控制规范。

1.3.5完善阶段1.3.5.1解释公告

解释公告是对内部控制规范体系实施过程中所出现的新情况和新问题的解答，是对内部控制规范体系的重要补充。《企业内部控制规范体系实施中相关问题解释第1号》《企业内部控制规范体系实施中相关问题解释第2号》1.3.5完善阶段1.3.5.2操作指南

操作指南是对不同行业的企业内部控制规范体系的建设方法、控制程序、实施步骤、考核办法等的具体规范，是内部控制规范体系落地具体行业、具体企业的实际应用指南，同时也是内部控制规范体系的重要组成部分。《石油石化行业内部控制操作指南》《电力行业内部控制操作指南》1.3.5完善阶段1.3.5.3小型企业内部控制规范

小型企业内部控制规范是针对中小板、创业板上市公司建立的内控规范，以引导小企业建立和有效实施内部控制，提高小企业经营管理水平和风险防范能力，推动我国广大小企业规范健康发展为目的。《小企业内部控制规范（试行）》1.3.5完善阶段

与西方不同，我国内部控制的建设主要得益于政府部门的推动。在企业内部控制规范陆续出台后，需要将国家强制力作为制度推进的有力保障，具体是通过发布与制度推行相关的行政法规来实现的。

1.3.6与推进内部控制相关的法规建设

1.3.6.1《关于2012年主板上市公司分类分批实施企业内部控制规范体系的通知》

为保障主板上市公司实施内控规范工作的稳步推进，确保内控体系建设落到实处、取得实效，防止出现走过场情况，决定在主板上市公司分类分批推进实施企业内部控制规范体系。1.3.6.2《公开发行证券的公司信息披露编报规则第21号——年度内部控制评价报告的一般规定》

该文件明确了董事会及全体董事是内部控制评价报告的法律责任主体，其