碳汇能力巩固提升公司内部控制手册

碳汇能力巩固提升公司

内部控制手册

XXX有限责任公司

目录

一、产业环境分析...................................................4

二、碳中和面临的形势...............................................4

三、必要性分析.....................................................5

四、风险的概念及其分类.............................................6

五、风险的分类和评估...............................................8

六、风险分析的方法................................................10

七、风险分析方法的选择............................................17

八、风险识别的概念和内容..........................................18

九、企业识别风险关注的因素........................................20

十、审计工作计划与实施............................................21

十一、审计范围与审计目标..........................................26

十二、内部监督比较................................................29

十三、内部监督的内容...........30

十四、财产保护控制................................................36

十五、绩效考评控制................................................38

十六、控制手段类业务流程..........................................40

十七、控制活动类业务流程..........................................47

十八、公司治理的产生及动因........................................62

十九、企业的演进..................................................71

二十、不完全契约理论............76

二十一、交易成本理论..............................................79

二十二、内部控制的演进............................................82

二十三、内部控制演进过程总结......................................95

二十四、公司基本情况..............................................97

二十五、项目风险分析..............................................99

二十六、项目风险对策.............................................101

二十七、法人治理.................................................102

二十八、组织机构管理.............................................115

劳动定员一览表....................................................115

一、产业环境分析

内蒙古自治区，简称“内蒙古”，中华人民共和国省级行政区,

首府呼和浩特°地处中国北部，地理上位于北纬37°24,-53。23,，

东经97。12,-126。04’之间，东北部与黑龙江、吉林、辽宁、河北

交界，南部与山西、陕西、宁夏相邻，西南部与甘肃毗连，北部与俄

罗斯、蒙古接壤，属于四大地理区划的西北地区。内蒙古自治区地势

由东北向西南斜伸，呈狭长形，全区基本属一个高原型的地貌区，全

区涵盖高原、山地、丘陵、平原、沙漠、河流、湖泊等地貌，气候以

温带大陆性气候为主，地跨黄河、额尔古纳河、嫩江、西辽河四大水

系。截至2019年末，内蒙古总面积118.3万平方公里，辖9个地级市、

3个盟，共有23个市辖区、11个县级市、17个县、49个旗，3个自治

旗；常住人口2539.6万人；实现地区生产总值17212.5亿元，第一产

业增加值1863.2亿元,增长2.4%；第二产业增加值6818.9亿元，增

长5.7猊第三产业增加值8530.5亿元，增长5.4虬

二、碳中和面临的形势

多年的发展使中国具备了较为雄厚的经济实力和技术实力，能为

碳达峰、碳中和工作的开展提供坚实的经济和技术支撑。特别是过去

十余年中国大力推动节能减排和应对气候变化工作，建立起较为完善

的低碳发展制度和政策体系，并取得显著成效，为碳达峰、碳中和工

作积累了丰富的经验。当然，目前碳达峰、碳中和工作也还存在一些

短板和困境亟待补齐和突破。

（一）低碳发展政策法规体系和体制机制已较为完善

随着低碳发展战略的不断强化，中国的低碳发展政策体系也快速

完善起来。国家、地区、部门、行业、领域等各个层面的低碳发展体

制机制和政策日趋完善和严格，法律法规、行政、经济、自律性等各

种类型的低碳发展政策工具被不断丰富和强化，不同政策之间的协同

性也在不断增强。

（二）低碳发展取得显著成效

低碳发展政策体系及体制机制的建立和完善，大大促进了节能减

排工作和应对气候变化工作，使中国的低碳发展取得显著成效。尤其

是中国在节能技术发展与应用、能源结构优化和产业结构转型升级等

方面取得的明显成效，大大促进了低碳发展进程，成为低碳发展的三

大驱动因素，也为碳达峰、碳中和工作奠定了良好的物质基础。

三、必要性分析

1、提升公司核心竞争刀

项目的投资，引入资金的到位将改善公司的资产负债结构，补充

流动资金将提高公司应对短期流动性压力的能力，降低公司财务费用

水平，提升公司盈利能力，促进公司的进一步发展c同时资金补充流

动资金将为公司未来成为国际领先的产业服务商发展战略提供坚实支

持，提高公司核心竞争力。

四、风险的概念及其分类

古人说：“宜未雨而绸缪，毋临渴而掘井。”企业在生产经营的

过程中，面临着诸多的风险，如果我们没有妥善地处理，风险事故一

旦发生，轻则影响生产经营稳定和企业经济效益，重则危及企业的生

存。因此风险评估的目的是为了给企业造就一个安全稳定的生产经营

环境，这有助于增加领导层经营管理决策的正确性，进而提高企业的

经济效益。

（一）风险的概念

企业在经营活动中，会遇到各种不确定性事件，这些事件发生的

概率及其影响程度是无法事先预知的，进而影响企业目标的实现。所

谓风险，就是在一定环境下和一定限期内客观存在的、影响企业目标

实现的各种不确定性事件。或者说，风险就是指在一个特定的时间内

和一定的环境条件下，人们所期望的目标与实际结果之间的差异程度。

因此，风险是一个事项将会发生并给目标实现带来负面影响的可能性。

风险具有客观性、普遍性、潜在性、必然性、可识别性、可控性、损

失性和不确定性等特点，风险与机会同在。

COSO企业风险管理新框架(2016)指出风险是指事项发生并影响

战略和业务目标之实现的可能性。该定义兼顾了正面和负面的影响，

这和国际风险管理标准IS031000及中国风险管理标准GB—T24353是

一致的。为了与我国内部控制规范一致，本书采用C0S004的定义。

(二)风险的构成要素

风险一般包括以下三项构成要素。

1、风险因素

风险因素是指促使某一特定风险事故发生或增加其发生的可能性

或扩大其损失程度的原因或条件。它是风险事故发生的潜在原因，是

造成损失的内在或间接原因。例如，对于建筑物而言，风险因素是指

其所使用的建筑材料的质量、建筑结构的稳定性等；对于人而言，则

是指健康状况和年龄等；对于企业而言，风险因素则包括企业人员因

素、结构因素、外部环境因素等。

2、风险事故

风险事故也称风险事件，是指造成伤害或财产损失的偶发事件是

造成损失的直接的或外在的原因，是损失的媒介物，即风险只有通

过风险事故的发生才能导致损失。就某一事件来说，如果它是造

成损失的直接原因，那么它就是风险事故；而在其他条件下，如果它

是造成损失的间接原因，它便成为风险因素。例如，对于企业而言，

发生仓库货物被盗是风险事故，而安保系统不健全是风险因素。

3、损失

在风险管理中，损失是指非故意的、非预期的、非计划的经济价

值的减少。通常可以将损失分为两种形态，即直接损失和间接损失。

直接损失是指风险事故导致的财产本身损失和人身伤害，这类损失又

称为实质损失：间接损失则是指由直接损失引起的其他损失，包括额

外费用损失、收入损失和责任损失。

五、风险的分类和评估

（一）风险的分类

企业所面临的风险从来源上分，有企业内部和外部两个方面6外

部风险包括：科技发展带来的企业技术、管理、信息等方面的风险；

顾客需求或预期改变；竞争的存在；自然灾害；政治事件；经济环境

的改变等。内部风险主要有：员工的素质和能力；经理人的责任改变;

董事会或监督委员会的责任履行情况等。

从企业能否对风险进行控制来分，风险分为可控风险和不可控风

险两种。

（二）风险评估

风险评估是一个比较宽泛的概念，在有的内部控制或风险管理标

准中，风险评估就是风险管理，包括了风险管理的全过程，可以说是

风险管理的代名词。而在有的内部控制或风险管理标准中，风险评估

是全面风险管理的一个步骤，包括内容有多有少，如目标确定、风险

识别、风险分析、风险评价以及风险应对等。

1、C0S092关于风险评估概念

COSO内部控制整体框架把风险评估列为内部控制的五要素之一

《内部控制整体框架》认为，风险评估是指单位为实现其目标而确认

的相关风险，以构成进行风险管理的基础。单位风险可能来自于：

(1)经营环境的变化；

(2)聘用新的员工；

(3)采用新的或改良的信息系统

(4)迅猛的发展速度；

(5)新技术的运用

(6)新的行业、产业或经营活动的开发；

(7)企业改组；

(8)海外经营；

(9)新的会计方法的采用。

2、C0S004关于风险评估概念

《企业风险管理整体框架》指出风险评估要对识别的风险进行分

析，以便确定对他们进行管理的依据。强调风险评估是风险管理的一

个步骤，相当于我国《企业内部控制基本规范》的风险分析Q

3、我国《企业内部控制基本规范》关于风险评估概念

我国《企业内部控制基本规范》借鉴《企业风险管理整体框架》，

认为风险评估是企业及时识别、系统分析经营活动中与实现内部控制

目标相关的风险，从而合理确定风险应对策略。即为识别、分析、管

理与企业活动相关的市场风险、政策风险、法律风险、汇率风险、经

营风险等各种风险而建立的机制。该概念沿用C0S092的要素理念，是

相对宽泛的概念，包括C0S004目标设定、事项识别、风险评估和风险

应对四大要素的组合。

六、风险分析的方法

风险分析的方法一般包括定量分析方法和定性分析方法。但当前

最常用的分析方法一般都是定量和定性的混合方法，对一些可以明确

赋予数值的要素直接赋予数值，对难于赋值的要素使用定性方法，这

样不仅可以清晰地分析企业资产的风险情况，而且也极大地简化了分

析的过程，加快了风险分析的进度。

（一）定量分析法

定量分析法就是对风险的程度用直观的数据表示出来，其主要思

路是对构成风险的各个要素和潜在损失的程度赋予数值或货币金额这

样风险分析的整个过程和结果都可以被量化了。在度量风险的所有要

素（资产价值、脆弱性级别等）中，风险分析人员计算资产暴露程度,

计算控制成本以及确定所有其他值时，应尽量具有相同的客观性。风

险大小的判断可以根据风险暴露的大小乘以风险发生的概率加以确定。

目前比较常用的定量分析方法有：MPY（年度可能最大损失）值估

计法、情景分析法、VAR（风险价值）法、敏感性分析等。

IsMPY值估计法

MPY值估计法是评估一般危害性风险的方法，是指在某一特定年度

中，单一风险单位或多个风险单位遭受一种或多种事故所致的最大总

损失。年度最大可信总损失与年度预期总损失不同，年度预期损失是

平均损失，而年度可信总损失与风险管理人员的主观判断有关。

2、情景分析法

情景分析法是通过假设、预测、模拟等手段生成未来情景，并分

析其对目标产生影响的一种分析方法。该方法根据发展趋势的多样性,

通过对系统内外相关问题的系统分析，设计出多种可能的未来前景，

然后用类似于撰写电影剧本的手法，对系统发展态势做出详细的情景

和画面的描述。当一个项目持续的时间较长时，往往要考虑各种技术、

经济和社会因素的影响，可用情景分析法来预测和识别其关键风险因

素及其影响程度。情景分析法对以下情况特别有用：提醒决策者注意

某种措施或政策可能引起的风险或危机性的后果；建议需要进行监视

的风险范围；研究某些关键性因素对未来过程的影响；提醒人们注意

某种技术的发展会给人们带来哪些风险。

3、VAR法

VAR法即风险价值法，是指在正常的市场条件和给定的置信度内，

某种投资组合在既定时期内所面临的市场风险大小知可能遭受的潜在

最大价值损失。VAR把对预期的未来损失的大小和该损失发生的可能性

结合起来，不仅让投资者知道发生损失的规模，而且知道其发生的可

能性，是一种数量化市场风险的重要度量工具。

VAR法利用统计技术来度量投资风险，对某个有价证券，在市场条

件下，对给定的时间区间的置信水平a,VAR给出了该有价证券最大可

能的预期损失，即可以保证损失不会超过VAR的概率为1—a。

计算VAR常用的方法主要有3种。

（1）历史模拟法。该方法是借助于计算过去一段时间内的资产组

合风险收益的频度分布，通过找到历史上一段时间内的平均收益以及

在既定置信水平a下的最低收益率，计算资产组合的VAR值。

(2)方差一协方差法。该方法的基本思路为：首先，利用历史数

据计算资产组合的收益的方差、标准差、协方差；其次，假定资产组

合收益是正态分布，可求出在一定置信水平下，反映了分布偏离均值

程度的临界值；最后，建立与风险损失的联系，推导VAR值。

(3)蒙特卡罗模拟法。它是基于历史数据和既定分布假定的参数

特任，借助随机产生的方法模拟出大量的资产组合收益的数值，再计

算VAR值。

4、敏感分析法

敏感分析法是指通过对项目各种不确定因素在未来发生变化时对

经济效果指标影响程度的比较，找出敏感因素，提出相应对策。它是

在项目评价的不确定分析中被广泛运用的主要方法之一。在项目计算

期内可能发生变化的因素主要有建设投资、产品产量、产品售价、主

要原材料供应及价格、劳动力价格、建设工期及外汇汇率等。敏感性

分析就是要分析预测这些因素单独变化或多因素变化时对项目内部收

益率、静态投资回收期和借款偿还期等的影响。这些影响应是用数字、

图表或曲线的形式进行描述，使决策者了解不确定因素对项目评价的

影响程度，确定不确定性因素变化的临界值，以便采取防范措施，从

而提高决策的准确性和可靠性。

各因素的变化都会引起效益指标的一定变化，但其影响程度却各

不相同。有些因素小幅度变化，就能引起经济评价指标发生较大幅度

的波动；而另一类因素即使发生了较大幅度的变化，对经济效益指标

的影响也不是很大。一般把前一类因素称为敏感性因素，后一类称为

非敏感性因素。敏感性分析的目的就是要筛选敏感性因素和非敏感性

因素。

敏感性分析的步骤如下。

(1)确定敏感性分析指标。投资项目经济评价有一整套指标体系,

在进行敏感性分析时，应选择最能反映项目经济效益的一个或几个主

要指标进行分析。最基本的分析指标是内部收益率，根据项目的实际

情况也可选择净现值或投资回收期等指标，必要时可同时针对两个或

两个以上的指标进行敏感性分析。

(2)选择敏感性分析的不确定因素。影响项目经济效益指标的因

素很多，如产品产量、价格、经营成本、投资额、建设期和生产期等。

在实际的敏感性分析中，没有必要也不可能对所有因素进行分析。根

据项目特点，结合经验判断选择对项目影响效益较大且重要的不确定

因素进行分析。经验表明，应主要对销售收入、产品价格、产量、经

营成本、建设投资等不确定因素进行敏感性分析。

(3)确定不确定因素的变化范围。在选择不确定因素分析基础上,

还要进一步分析不确定因素的可能变动范围。一般选择不确定因素变

化的百分率为+5柒+10柒土15%、土20%等，对于不便用百分数表示

的因素，可采用延长一段时间表示，如延长一年。

(4)计算敏感性分析指标。为较准确反映项目评价指标对不确定

因素的敏感程度，分析不确定因素的变化使项目由可行变为不可行的

临界数值，应计算敏感度系数和临界点指标。

①敏感度系数。敏感度系数指项目评价指标变化的百分率与不确

定因素变化的百分率之比。敏感度系数高，表示项目效益对该不确定

因素敏感程度高。

②临界点。临界点是指不确定性因素的变化使项目由可行变为不

可行的临界数值，可采用不确定性因素相对基本方案的变化率或相对

应的具体数值表示。当该不确定性因素为费用科目时，即为其增加的

百分率，当其为效益科目时为降低的百分率。临界点也可用该百分率

对应的具体数值表示。当不确定因素的变化超过了临界点所表示的不

确定因素的极限变化时，项目将由可行变为不可行C

临界点的高低与计算临界点指标的初始值有关。若选取基准收益

率为计算临界点的指标，对于同一个项目，随着设定基准收益率的提

高，临界点就会变低；而在一定的基准收益率下，临界点越低，说明

该因素对项目评价指标影响越大，项目对该因素就越敏感。

从根本上说，临界点计算是使用插值法，也可以借助于计算机的

相关软件，由于项目评价指标的变化与不确定因素变化之间不是直线

关系，当通过直线图求解时也会存在一定的误差。

（二）定性分析法

定性分析法与定量分析法的区别在于不需要对资产及各相关要素

的分配确定数值，而是赋予一个相对值。在风险管理过程中，风险分

析是最困难的。风险经理往往陷入两难的境地，即为了追求准确，就

必须应用复杂的概率计算方法和采用精度较高的模型，但是限于资料

的稀缺和时间的紧迫，这种方法或模型就被迫放弃c大多数的风险经

理宁愿放弃准确度的较高要求而采用定性的预测方法，即将风险的概

率估计予以主观量化。据统计，75%的项目经理采用的风险分析方法是

专家调查打分法。例如，通过问卷、面谈及研讨会的形式进行数据收

集和风险分析，这个方法涉及各业务部门的人员，这个过程带有一定

的主观性，往往需要凭借专业咨询人员的经验和直觉，或者业界的标

准和惯例，因此，为风险各相关要素（资产价值、威胁、脆弱性等）

的大小或高低程度定等级时，可以运用定性分析方法将风险分为高、

中、低三个等级。通过这样的方法，对风险的各个分析要素赋值后，

可以定性地区分这些风险的严重等级，避免了复杂的赋值过程简单且

又易于操作。定性分析法的步骤一般如下。

第一步，确定风险因素（或称威胁）发生的可能性。假定把威胁

的可能性定为五级。

第二步，通过风险分析对风险确定等级。风险等级一般可以分为

高、中、低三个等级，也可以分为四级或者五级。

第三步，根据上面两张表编制风险矩阵表。

企业管理层肯定不能接受H,对M要根据具体情况考虑是否应采取

相应的对策来减少这种风险，对L应当能接受，但需要加强对风险的

控制，不使其损失面扩大。

定性分析的操作方法可以多种多样，包括小组讨论（例如Delphi

方法）、检查列表、问卷、人员访谈、调查等。定性分析操作起来相

对容易，但也可能因为操作者经验和直觉的偏差而使分析结果失准。

七、风险分析方法的选择

选择风险分析的方法和判断标准，应考虑行业自身特点，区别它

们各自的关注点，灵活确定风险分析过程和分析方法。例如，对于金

融行业来说，丢失数据风险的损失比短时间业务停顿的风险所带来的

损失更为严重：而对于通信行业来说，业务停顿风险带来的损失比少

量数据丢失的风险更难以接受。与定量分析相比较，定性分析的准确

性稍好但精确性不够，定量分析则相反；定性分析没有定量分析那样

繁多的计算负担，但却要求分析者具备一定的经验知能力；定量分析

依赖大量的统计数据，而定性分析没有这方面的要求；定性分析较为

主观，定量分析基于客观；此外，定量分析的结果很直观，容易理解,

而定性分析的结果则很难有统一的解释。

企业可以根据自身的具体情况来选择定性或定量的分析方法。当

前最常用的分析方法一般都是定量和定性的混合方法，对一些可以明

确赋予数值的要素直接赋予数值，对难于赋值的要素使用定性方法，

这样不仅更清晰地分析了资产的风险情况，也极大简化了分析的过程,

加快了分析进度。

八、风险识别的概念和内容

（一）风险识别的概念

风险识别是指对资产当前或未来所面临的和潜在的风险加以判断、

归类以及对风险性质进行鉴定的过程。其目的是确认风险的来源、风

险的种类及风险的可能影响，以利于风险的有效管理和合理控制Q

对于风险识别的概念，可以从以下几个方面来理解。

1、风险识别是一项动态的、连续不断的、系统性的重复过程

风险事项识别需要针度环境的变化而持续进行，不可能一蹴而就,

风险主体的风险仅凭一两次有限的识别是不可能解决问题的，许多复

杂的和潜在的风险要经过多次调查和反复论证方能得到准确答案；随

着主体的活动，新的风险也会不断产生，风险事项识别是一个连续不

断的过程Q

2、风险识别是一个复杂的系统工程

风险事项识别的系统性是指风险识别过程不可能局限在某一个专

门部门或者专门的环节，事项识别要把企业作为系统看待，不仅要识

别企业可能面临的各种风险，而且企业的各个部门都要参与并密切配

合。同时风险主体应综合考虑自身的内外部环境，结合自己的特点，

设计和选择适当的事项识别方法，这无疑使得事项识别工作更具有挑

战性。

3、风险识别是整个风险评估过程中重要的程序之一

《企业内部控制基本规范》第三章第二十一条规定，企业开展风

险评估，应当准确识别与实现控制目标相关的内部风险和外部风险确

定相应的风险承受度。风险识别是否全面、深刻直接影响风险评估的

质量，风险识别的目的就是确认所有风险的来源、种类以及发生损失

的可能性，为风险分析和风险应对提供依据。风险识别过程应充分体

现全面性原则。

（二）风险识别的内容

h感知风险事项

感知风险，即通过调查和了解识别风险的存在。例如，通过调查,

了解到一家运输公司面临的财产风险、人身风险和责任风险。财产风

险又包括车辆财产损失、存货仓库损失、库存物损失和其他设备损失。

在存货仓库损失中，可能有火灾、爆炸、洪水、暴风等多种原因形成

的损失。

2、分析风险事项

通过归类分析，掌握风险产生的原因和条件以及风险所具有的性

质。例如，存货仓库的风险因素包括洪水、暴雨、水管或其他设备破

裂等；人的风险包括死亡、疾病、身体伤害、财产损失等；导致死亡

的风险因素主要有自然灾害、意外事故、自杀、疾病。

感知风险是识别风险的基础，分析风险是识别风险的关键。只有

感知风险，才能进一步有意识、有目的地分析风险，掌握风险存在及

导致风险事故发生的原因和条件。

九、企业识别风险关注的因素

（一）内部风险

我国《企业内部控制基本规范》第二十二条规定，企业识别内部

风险，应当关注下列因素。

（1）董事、监事、经理及其他高级管理人员的职业操守，员工专

业胜任能力等人力资源因素;

(2)组织机构、经营方式、资产管理、业务流程等管理因素;

(3)研究开发、技术投入、信息技术运用等自主创新因素;

(4)财务状况、经营成果、现金流量等财务因素；

(5)营运安全、员工健康、环境保护等安全环保因素；

(6)其他有关内部风险因素。

(二)外部风险

我国《企业内部控制基本规范》第二十三条规定，企业识别外部

风险，应当关注下列因素。

(1)经济形势、产业政策、融资环境、市场竞争等经济因素;

(2)法律法规、监管要求等法律因素；

(3)安全稳定、文化传统、社会信用、教育水平、消费者行为等

社会因素；

(4)技术进步、工艺改进等科学技术因素;

(5)自然灾害、环境状况等自然环境因素:

(6)其他有关外部风险因素。

十、审计工作计划与实施

(一)审计工作计划

《企业内部审计指引》第六条的规定；注册会计师应该恰当地计

划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人

员进行适当的督导。

《企业内部审计指引》第七条的规定：在计划审计工作时，注册

会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响:

与企业相关的风险；相关法律法规和行业概况；企业组织结构和经营

特点、资本结构等相关事项；企业内部控制最近发生变化的程度：与

企业沟通过的内部控制缺陷；重要性、风险等与确定内部控制重大缺

陷相关的因素对内部控制有效性的初步判断；可获取的、与内部控制

有效性相关的证据的类型和范围。

注册会计师应当以风险评估为基础，选择拟测试的控制，确定测

试所需收集的证据。内部控制的特定领域存在重大缺陷的风险越高，

给予该领域的审计关注就越多。

注册会计师应当对企业内部控制自我评价工作进行评估，判断是

否利用内部审计人员、内部控制评价人员和其他相关人员的工作以及

可利用的程度，相应减少本应由注册会计师执行的工作。注册会计师

利用企业内部审计人员、内部控制评价人员和其他用关人员的工作，

应当对其专业胜任能力和客观性进行充分评价。

注册会计师应当对发表的审计意见独立承担责任，其责任不因为

利用企业内部审计人员、内部控制评价人员和其他用关人员的工作而

减轻。

(二)审计工作实施

《企业内部审计指引》第十条规定：注册会计师应当按照自上而

下的方法实施审计工作。自上而下的方法是注册会计师识别风险，选

择拟测试控制的基本思路。注册会计师在实施审计工作时，可以将企

业层面控制和业务层面控制的测试结合进行。

“自上而下”的方法始于财务报表层次，以注册会计师对财务报

告内部控制整体风险的了解开始，然后注册会计师将关注重点放在企

业层面的控制上，并将工作逐渐下移至重大账户、列报及相关的认定。

1、识别企业层面控制

通过了解企业与财务报告相关的整体风险，注册会计师可以识别

出为保持有效的财务报告内部控制而必需的企业层面内部控制。注册

会计师测试企业层面控制，应当把握重要性原则，至少应当关注以下

几方面。

(1)与内部环境相关的控制。内部环境，即控制环境，包括治理

职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、

认识和措施。在评价控制环境的设计时，注册会计师应当考虑构成控

制环境的下列要素，以及这些要素如何被纳入企业业务流程；①对诚

信和道德价值观念的沟通与落实；②对胜任能力的重视；③治理层的

参与程度：④管理层的理念和经营风格；⑤组织结构；6职权与责任的

分配；①人力资源政策与落实。

(2)针对董事会、经理层凌驾于控制之上的风险而设计的控制。

注册会计师可以根据对企业舞弊风险的评估做出判断，选择相关的企

业层面控制进行测试，并评价这些控制能否有效应对管理层凌驾于控

制之上的风险。注册会计师应当特别关注由于管理层凌驾于账户记录

控制之上，或规避控制行为而产生的重大错报风险，并考虑企业如何

纠正不正确的交易处理。

(3)企业的风险评估过程。包括识别与财务报告相关的经营风险

和其他经营管理风险，以及针对这些风险采取的措施。注册会计师在

对企业整体层面的风险评估过程进行了解和评估时，考虑的主要因素

可能包括：企业是否已建立并沟通其整体目标，并辅以具体策略和业

务流程层面的计划；是否已建立风险评估过程，包括识别风险，估计

风险的重大性，评估风险发生的可能性以及确定需要采取的应对措施;

是否已建立某种机制，识别和应对可能对企业产生重大且普遍影响的

变化；会计部门是否建立了某种流程，以识别会计准则的重大变化；

业务操作发生变化并影响交易记录的流程时，是否存在沟通渠道以通

知会计部门；风险管理部门是否建立了某种流程，以识别经营环境，

包括监管环境发生的重大变化。

(4)对内部信息传递和财务报告流程的控制。注册会计师应当从

下列方面了解与财务报告相关的信息系统：对财务报表具有重大影响

的各类交易；在信息技术和人工系统中，交易生成、记录、处理和报

告的程序；与交易生成、记录、处理和报告有关的会计记录、支持性

信息和财务报表中的特定项目；信息系统如何获取除各类交易之外的

对财务报表具有重大影响的事项和情况；企业编制财务报告的过程，

包括做出的重大会计估计和披露。财务报告流程的控制可以确保管理

层按照适当的会计准则编制合理、可靠的财务报告并对外报告。

(5)对控制有效性的内部监督和自我评价。企业对控制有效性的

内部监督和自我评价可以在企业层面上实施，也可以在业务流程层面

上实施，包括对运行报告的复核和核对、与外部人士的沟通、对其他

未参与控制执行人员的监控活动，以及将信息系统记录数据与实物资

产进行核对等。

2、识别业务层面控制

注册会计师测试业务层面控制，应当把握重要性原则，结合企业

实际内部控制各项应用指引的要求和企业层面控制的测试情况，重点

对生产经营活动中的重要业务与事项的控制进行测试。

注册会计师应首先确定企业的重要业务流程和影响重大账户的重

要交易类别，了解重要交易从发生到记入账目的整个流程，与重大账

户及其相关认定相结合，在重要交易整个流程中确定错报可能会在什

么环节发生，即确定相应的控制目标；然后根据确定的审计测试策略、

计划对内部控制进行进一步了解和评估，对重要交易流程中设计的防

止或发现并纠正可能错报的相关控制加以识别；再通过执行穿行测试,

来证实对重要交易流程和相关控制的了解，并确定用关控制是否得到

执行；最后对相关控制的设计和是否得到执行进行评价，以确定进一

步的审计程序。

十一、审计范围与审计目标

内部控制作为企业中一项重要的管理活动，用来促进提高经营的

效率效果，实现企业的发展战略。一些国家和地区，如美国、日本、

欧盟等对内部控制审计已提出强制性要求。同样，我国《企业内部控

制基本规范》中除了要求企业为其内部控制的设计与运行情况进行全

面的评价、披露年度自我评价报告外，在第十条中明确指出：上市公

司和非上市大中型企业聘请符合资格的会计师事务所，根据规范及配

套办法和相关执业准则，对企业财务报告内部控制的有效性进行审计

并出具审计报告。会计师事务所及其签字的从业人员应当对发布的内

部控制审计意见负责。为企业内部控制提供咨询的会计师事务所，不

得同时为同一企业提供内部控制审计服务。

（一）内部控制审计的定义

内部控制审计是通过度被审计单位的内控制度的审查、分析测试、

评价，确定其可信程度，从而对内部控制是否有效做出鉴定的一种现

代审计方法。

内部控制审计是内部控制的再控制，它是企业改善经营管理、提

高经济效益的自我需要。

一般地，企业内部审计部门负责内部控制审计，也可以委托不负

责年审的会计师事务所开展内部控制审计。

（二）内部控制审计的范围

内部控制审计的范围限于特定日期与财务报表相关的内部控制。

通常，注册会计师对某特定日期的内部控制进行审核。特定日期可以

是会计年度结束日，也可以是某中期结束日。注册会计师对某特定日

期的内部控制审核时，应在接近于此日期之前的一段时间内对内部控

制进行了解和测试，并对该日期的内部控制有效性发表审核意见。

（三）内部控制审计的目标

1、内控审计目标的具体界定

内部控制审计的目标是检查并评价内部控制的合法性、充分性、

有效性及适宜性。内部控制的合法性、充分性、有效性及适宜性，具

体表现为其能够保障资产、资金的安全，即保障资产、资金的存在、

完整、为我所有、金额正确、处于增值状态。

2、内控审计目标与财务报表审计目标的联系与区别

(1)两者的联系。内部控制审计的前四个目标实际就是财务报表

审计的具体目标。企业管理层对外提供的资产负债表，表上反映有多

少资产，其明示或暗示了这样几个声明：资产负债表上反映的资产是

存在的、是完整的、是属于自身的、金额是正确的c相应地，外部财

务投表审计的具体目标也就是鉴证企业管理层的这些声明是否属实。

(2)两者的区别。财务报表审计直接评价的是财务报表，或者说

直接评价资产、资金本身的安全状态，其目标对象是资产、资金本身,

而内部控制审计直接评价的是内部控制能否保障资产、资金的安全，

其目标对象是内部控制，而资产、资金只是作为中间的观察对象而存

在。

财务报表审计主要评价财务报表所反映的存量资产、资金的“静

的安全”，一般不评价资产、资金的“动的安全”，即不评价资产、

资金在流转中的增值性；而由于内部控制既要保障资产、资金“静的

安全”，又要保障其“动的安全”，所以内部控制审计既检查资产、

资金的“静的安全”，又检查资产、资金的“动的安全”。

十二、内部监督比较

内部控制制度的有效实施，依赖于有效的内部监督系统。内部监

督作为内部控制的基本要素之一，对于内部控制的有效运行，以及内

部控制的不断完善起着重要的作用。内部监督是对企业内部控制整体

运行情况的跟踪、监测和调节。内部监督是在尽可能不影响企业正常

经营管理活动的情况下，对内部控制实施情况进行评价，及时纠正企

业发生的错误和舞弊，将内部控制制度的缺陷和改进意见反馈给管理

者，对发现的内部控制缺陷及时予以弥补。

COSO的《企业内部控制整体框架》和《企业风险管理框架》中都

规定监督为其构成要素。COSO报告与我国《企业内部控制基本规范》

在内部监督的定义、内容与组织机构方面进行了比较6我国《企业内

部控制基本规范》指出内部监督是企业对内部控制建立与实施情况进

行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时

加以改进，内部监督的主要内容包括日常监督和专项监督、缺陷报告、

档案记录与验证，内部监督的主要进行机构为内部审计机构（或经授

权的其他监督机构）。

十三、内部监督的内容

(一)内部监督及其职能

企业内部监督一般应由内部审计承担6内部审计作为企业内部控

制的一部分，能够协调管理层更有效地履行其责任，提高企业的运作

效率并增强其活动的附加值。内部审计是由被审计单位内部的机构或

人员，对其内部控制的有效性、财务信息的真实完整性以及经营活动

的效率和效果等开展的一种评价活动，是与独立审计、政府审计并列

的三种审计类型之一。它的目的是发现并预防错误而舞弊，提高企业

的运作效率，为企业增加价值。它采取系统化、规范化的方法对企业

的内部控制、风险管理进行检查和评价，并提供建议等咨询服务，来

提高他们的效率，从而帮助实现企业的目标。

企业内部审计的职能如下。

(1)监督职能。监督职能是内部审计的基本职能。

(2)控制职能。内部亩计机构是集团的一个重要职能部门，它独

立于其他各部门和其他控制系统，是对其他控制的一种再控制，与其

他控制形式相比，更具有独立性、权威性和全面性c内部审计又是内

部控制的特殊构成要素，是对内部控制实施的再控制。

(3)评价职能。通过内部审计可以熟悉子公司的生产经营情况和

财务状况，并且由于内部审计部门独立于子公司，更能客观、公正地

评优子公司的管理情况和运行业绩Q

(4)服务职能。内部官计可以通过事前、事中和事后控制为管理

当局的决策、计划、控制提供依据，这些都充分体现了内部审计的服

务职能。

企业制定内部审计规范，明确审计的范围、责任和计划，以此为

基础合理配置审计人员，并要求他们遵守企业职业道德规范及内部审

计规范；内部审计部门应具有适当的地位并有足够的资源履行其职责;

内部审计部门根据授权可以参加有关经营及财务管理的决策会议，对

管理中存在的薄弱环节、违反国家法律法规的行为、内部控制管理漏

洞，向管理层及时提出调整意见。

(二)内部监督的程序

我国《企业内部控制基本规范》第四十五条规定：企业应当制定

内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分

析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向

董事会、监事会或者经理层报告。因此，企业应强化内部监督，保证

内部控制持续有效。

1、制定内部控制缺陷标准

(1)内部控制缺陷的相关概念

内部控制缺陷，是指内部控制的设计存在漏洞，不能有效防范错

误与舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现并纠

正错误与舞弊的情形。

内部控制的缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为

实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行

也难以实现控制目标，包括内部控制不健全、内部控制制度不适当。

例如，“未建立定期的现金盘点程序”即属于控制设计问题。运行缺

陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得

必要授权或缺乏胜任能力以有效地实施控制。比较常见的例子就是企

业内部控制制度设计健全，但工作人员我行我素，并不按照制度执行。

例如，“物资采购申请金额已超过其采购权限，却未向上级公司申请

安排大宗物品采购”，这是存在权限管理规定，却未在实际操作中按

照执行。

(2)内部控制缺陷的分类

企业根据内部控制缺陷影响整体控制目标实现的严重程度，将内

部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。

①重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部

整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体

控制目标的情形。主要考虑如下因素：影响整体控制目标实现的多个

一般缺陷的组合是否构成重大缺陷；针对同一细化控制目标所采取的

不同控制活动之间的相互作用；针对同一细化控制目标是否存在其他

补偿性控制活动。例如，有关控制漏洞为企业带来重大的损失或造成

企业财务报表重大的错报、漏报。又如，凭证连续编号可以保证所有

业务活动都得到记录和反映，如果凭证没有连续编号的话，为了避免

遗漏重大的业务事项，采用严格的凭证之间、账证之间、账账之间的

核对就是保证业务记录完整性的补偿性控制。

②重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重

大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程

度依然重大，需引起企业管理层关注。例如，有关缺陷造成的负面影

响在部分区域流传，为公司声誉带来损害。

③一般缺陷是指以上两种缺陷之外的缺陷。

（三）内部监督的方法

内部监督的方法有两种，包括日常监督和专项监督。内部控制体

系日常监督的有效性程度越高，对专项监督的需要程度就越低。管理

层为了合理确认内部控制体系的有效性所必须进行的个别评估的频率

取决于管理层的判断。通常情况下，日常监督和专项监督的合并使用

在某种程度上将会保证内部控制体系随着时间的变化而保持有效性。

1、日常监督

日常监督是指企业对建立和实施内部控制的整体情况所进行的连

续的、全面的、系统的、动态的监督。日常监督是在及时的基础上执

行的，能对环境的改变做出动态的反应，它存在于单位的日常管理活

动之中，能及时地发现问题。日常监督的范围和频率越大，其有效性

就越高，则企业所需的日常监督就越少。

日常监督活动的重要环节主要包括以下几方面。

(1)获得内部控制执行的证据。获得内部控制执行的证据是指企

业员工在实施日常生产经营生活时，取得必要的、殂关的证据证明内

部控制系统发挥功能的程度。

(2)外部反映对内部信息的印证程度。即与外界各方的沟通能够

印证内部生成的信息或揭示问题。

(3)定期核对财务系统数据与实物资产。也就是说，将信息系统

所记录的数据与实物资产相比较，做到账实相符。

(4)内外部审计定期提供建议。审计人员评估内部控制的设计以

及测试其有效性，识别潜在的缺陷，并向管理层建议采取替代方案，

为决策提供有用的信息。

(5)管理层对内部控制执行的监督。管理层可以通过以下渠道进

行监督：审计委员会接收、保留及处理各种投诉及举报，并保证其保

密性；管理层通过培训、会议了解内部控制的执行情况；管理层认真

审核员工提出的各项合理建议，并不断完善建议机制。

（6）定期考核员工Q内部监督部门和人力资源管理部门根据公司

管理层的授权定期要求企业员工明确说明他们是否理解并遵守员工行

为准则，是否遵守员工职业道德规范，并汇报控制活动的开展情况等。

（7）内部审计活动的有效性。适当的组织结构以及监督活动可促

进内部控制职能的执行，识别内部控制的缺陷。

2、专项监督

专项监督又称个别评估，是指企业对内部控制建立与实施的某一

方面或者某些方面的情况进行的不定期、有针对性的监督检查。专项

监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以

确定。一般来说，风险水平较高并且重要的控制，对其进行专项监督

的频率应较高。

通常，专项监督采用自我评估形式，即负责某一单位或职责的人,

员对受其控制的活动的有效性进行评价。

专项监督主要关注以下两个方面。

（1）高风险且重要的项目。审计部门依据持续监督的结果，对风

险较高且重要的项目要进行个别评估。考虑到成本效益原则，对风险

很高但不重要的项目或很重要但是风险很小的项目可以减少个别评估

的次数。应该将高风险且重要的项目作为专项监督对象。

（2）内部环境变化。当内控环境发生变化时，要进行专项监督，

以确定内部控制是否还能适应新的内控环境。

日常监督和专项监督应当有机结合。前者是后者的基础，后者是

前者的有效补充。日常监督的程度越高，其有效性也越高，则企业所

需的专项监督次数就越少。如果发现专项监督需要经常性地进行，企

业就有必要将其纳入日常监督中，进行日常持续的监控。通常情况下,

两种监督有效组合能确保企业内部控制在一定时期内保持有效性。

十四、财产保护控制

我国《企业内部控制基本规范》第三十二条规定：财产保护控制

要求企业建立财产日常管理制度，采取财产记录、实物保管、定期盘

点、账实核对等措施，确保财产安全；企业应当严格限制未经授权的

人员接触和处置财产。

企业的财产可以分为两类：有形资产和无形资产。有形资产又可

以分为固定资产、存货等。无形资产又分为商标、商誉、专利权、非

专利技术、土地使用权等。公司的财产是公司可利用的资源，是公司

生存和发展的物质保证，因此加强财产安全保护，防止财产流失、浪

费是非常重要的。财产保护控制的主要内容如下。

1、限制接近控制

企业应当严格限制无关人员对资产的直接接近，只有经过授权批

准的人员才能够接触资产。另外，不仅对资产接近加以限制，同时对

授权使用和处分资产的文件加以限制，才能形成充分的保护措施。主

要包括保证存货、小型工具、证券等贵重和流动资产存入地点的安全;

限制接近未使用票据并恰当注销已使用票据；每日及时将现金收入送

存银行；限制接近计算机、终端代码、磁盘文件、数据库要素；限制

单独接近可转让证券及其他便携式有价资产，以免未经授权的挪用发

生。

2、定期盘点控制

盘点应当根据实际需要定期和不定期进行，应当建立盘点制度和

盘点流程，明确责任人，确保财产安全。盘点可以采用先盘点实物再

核对账务的形式，也可以采用先核对账务再确认实物的形式。对盘点

中出现的财产差异应进行调查、分析和处置，并修正相关制度。定期

盘点制度包括确定各账户余额下的财产的数量和金额。典型的盘点和

复核方法有：永续盘存记录和定期清点及复核制度；建立应收账款、

应付账款、投资项目、实收资本的明细账，并把总账以及重要财产账

户与各明细分类账加总数比较核对；每月核对银行存款余额调节表；

每月审核现金记录；送款单与现金记录相核对等。

3、记录保护控制

记录保护控制是指对企业各种文件资料尤其是资产、会计等资料

妥善保管，以避免记录受损、被盗窃及毁坏Q对某些重要资料，应当

留有备份记录，以便在遭受意外损失或毁坏时能重新恢复。

4、财产保险控制

财产保险控制是指通过对资产投保，增加实物受损后的补偿机会,

保护实物安全。企业的主要财产应当投保火灾险、盗窃险、责任险等,

降低企业经营风险，确保财产安全、保值、增值。

十五、绩效考评控制

我国《内部控制基本规范》第三十五条规定：绩效考评控制要求

企业建立和实施绩效考评制度，科学设置考评指标体系，对企业内部

各责任单位和全体员工的业绩进行定期考评和客观评价，将考评结果

作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。

绩效考评控制是保证企业内部公平的必要条件。一个成功的绩效

考评制度可以有效地甄别出员工对企业的贡献并予以相应的激励，有

利于企业改进组织绩效，提高经济效益。所以，每个企业都应建立一

套完善合理的内部控制绩效考评制度，对企业内部各责任单位和全体

员工的执行内部控制情况进行定期考评和客观评价c因此，企业应该

科学地设置绩效考评指标，合理确定考评主体及类型。在设定了科学

的绩效考评指标的基础上，企业应根据这些指标进行客观公正的考评。

（一）绩效考评指标

绩效考评指标是指对员工绩效进行考核与评价的项目，必须将员

工内部控制执行情况作为绩效考评的主要指标或指标体系的主要内容。

指标定义要明确，具有可测量性，且必须与战略目标保持一致。绩效

考评指标通常分为三类，分别为业绩考评指标、能力考评指标、态度

考评指标。业绩考评指标就是考评工作行为所产生的结果，如销售额、

市场份额增长率等。业绩考评指标反映了绩效管理的最终目的，即提

高企业的整体绩效以实现既定的目标。能力考评指标是指考评员工与

岗位或内容相关的工作技能。能力考评指标有利于鼓励员工提高与工

作相关的工作能力。态度考评指标，是指不考虑员工的业绩和能力，

只考评他们对工作的精神状态。将工作态度也作为考评指标是因为态

度往往决定一切，即便某些员工工作能力比较强，但如果他们的工作

态度不正确，其工作业绩也往往不理想。因此，为了引导员工积极向

上的工作态度，从而达到绩效管理目标，将工作态度纳入绩效考评范

围是十分有必要的。

（二）绩效考评主体

考评主体即由谁进行考评，考评主体的确定应遵循一个原则，那

就是考评者对被考评者的工作性质、岗位要求、工作状态等必须有一

定的了解Q即便如此，企业也应对考评主体进行必要的培训，包括道

德、纪律、考评资料收集、考评体系等方面的培训，力求使考评主体

具有良好的考评技能、公正的考评心理，从而进行有效的绩效考评。

（三）绩效考评的类型

绩效考评按时间可以分为定期与不定期考评，按考评性质可分为

定性和定量考评，按考评主体又可分为上级考评、专业机构考评、自

我考评等。

十六、控制手段类业务流程

控制手段类指引偏重于“工具”性质，往往涉及企业整体业务或

管理。此类指引包括四项：全面预算、合同管理、内部信息传递和信

息系统6

（一）全面预算

全面预算是企业对一定期间的经营活动、投资活动、财务活动等

做出的预算安排。全面预算作为一种全方位、全过程、全员参与编制

与实施的预算管理模式，通过将企业的资金流与实物流、信息流相整

合，优化了企业的资源配置，提高了资金的使用效率。然而，企业要

想使全面预算管理达到预期的效果，必须要特别关注和防范预算管理

中的相关风险。例如，不编制预算或预算不健全，可能导致企业经营

缺乏约束或盲目发展；预算目标不合理、编制不科学，可能导致企业

资源浪费或发展目标难以实现；预算缺乏刚性、执行不力、考核不严,

可能导致预算管理流于形式。

为此，全面预算应用指引要求企业加强全面预算工作的组织领导,

明确在预算管理体制以及各预算执行单位的职责权限、授权批准程序

和工作协调机制的基础上，着重做到以下几点。

(1)建立和完善预算编制工作制度，明确编制依据、编制程序、

编制方法等内容，确保预算编制依据合理、程序适当、方法科学，避

免预算指标过高或过低。

(2)根据发展战略和年度生产经营计划，综合考虑预算期内经济

政策、市场环境等因素，按照上下结合、分级编制、逐级汇总的程序,

编制年度全面预算。企业预算管理委员会应当对预算管理工作机构在

综合平衡基础上提交的预算方案进行研究论证，从企业发展全局角度

提出建议，形成全面预算草案，并提交董事会审核c企业全面预算按

照相关法律法规及企业章程的规定报经审议批准后，应当以文件形式

下达。

（3）加强对预算执行的管理。全面预算一经下达，各预算执行单

位必须以此为依据，认真组织各项生产经营和投融资活动，严格预算

执行和控制Q企业预算工作机构和各预算执行单位还应当建立预算执

行情况分析制度，定期召开预算执行分析会议，妥善解决预算执行中

存在的问题。

（4）建立严格的预算执行考核制度，对各预算执行单位和个人进

行考核，切实做到有奖有惩、奖惩分明。必要时，企业可实行预算执

行情况内部审计制度。

（二）合同管理

在市场经济环境下，合同已成为企业最常见的契约形式，甚至可

以说，市场经济就是合同经济。然而，合同管理往往又是企业内部控

制中最为疏忽和薄弱的环节之一。如果企业未订立合同、未经授权对

外订立合同、合同对方主体资格未达要求、合同内容存在重大疏漏和

欺诈，会导致企业合法权益受到侵害；合同未全面履行或监控不当，

又可能导致企业诉讼失败，经济利益受损；合同纠纷处理不当，则会

损害企业利益、信誉和形象。

为此，合同管理应用指引，有针对性地提出以下要求。

（1）企业对外发生经济行为，除即时结清方式外，应当订立书面

合同。对于影响重大、涉及较高专业技术或法律关系复杂的合同，应

当纽织法律、技术、财会等专业人员参与谈判，必要时可聘请外部专

业人员参与相关工作；谈判过程中的重要事项和参与谈判人员的主要

意见，应当予以记录并妥善保存。

(2)根据协商、谈判结果，拟订合同文本，明确双方的权利义务

和违约责任，并严格进行审核。合同文本需报经国家有关主管部门审

查或备案的，应当履行相应程序。

(3)按照规定的权限和程序与对方当事人签订合同。正式对外订

立的合同，应当由企业法定代表人或其授权代理人签名或加盖有关印

章。属于上级管理权限的合同，下级单位不得签订C

(4)加强合同信息安全保密工作，未经批准，不得以任何形式泄

漏合同订立与履行过程中涉及的商业机密或国家机密。

(5)遵循诚实信用原则严格履行合同，对合同履行实施有效监控,

发现有失公平、条款有误或对方有欺诈行为等情形，或因政策调整、

市场变化等客观因素，已经或可能导致企业利益受损，应当按照规定

程序及时报告，并经双方协商一致，按照规定权限知程序办理合同变

更或解除事宜；合同存在纠正情形的，应依据国家用关法律法规，在

规定时效内与对方当事人协商并按照规定权限和程序及时报告，协商

无法解决的，根据合同约定选择仲裁或诉讼方式解决。

(6)建立合同履行情况评估制度，至少于每年年末对合同履行的

总体情况和重大合同履行的具体情况进行分析评估，对分析评估中发

现的不足或问题应及时加以改进。

(三)内部信息传递

内部信息传递是企业内部各管理层级之间通过内部报告形式传递

生产经营管理信息的过程。《企业内部控制基本规范》十分重视信息

与沟通这一控制要素，多次强调内部信息传递的重要性。为此，内部

信息传递应用指引梳理出相关重要风险。如果企业内部报告系统缺失、

功能不健全、内容不完整，可能会影响生产经营有序运行；内部信息

传递不通畅、不及时，则可能导致企业决策失误、殂关政策措施难以

落实；内部信息传递中泄露商业秘密，则会削弱企业核心竞争力。

针对这些重要风险，内部信息传递应用指引要求企业建立科学的

内部信息传递机制，明确内部信息传递的内容、保密要求、传递方式

以及各管理层级的职责权限等，促进内部报告的有效利用，以便充分

发挥内部报告的作用。具体要求如下。

(1)根据发展战略、风险控制和业绩考核要求，科学规范不同级

次内部报告的指标体系，采用经营快报等多种形式，全面反映与企业

生产经营管理相关的各种内外部信息。

(2)制定严密的内部报告流程，充分利用信息技术，强化内部报

告信息集成和共享，将内部报告纳入企业统一信息平台，构建科学的

内部报告网络体系。

(3)拓宽内部报告的美道，通过落实奖惩措施等多种有效方式，

广泛收集合理化建议。

(4)重视内部报告的使用。企业各级管理人员应当充分利用内部

报告管理和指导企业的生产经营活动，及时反映全面预算的执行情况,

协调企业内部相关部门和各单位的运营进度；企业应当有效利用内部

报告进行风险评估，准确识别和系统分析企业生产经营活动中的内外

部风险，确定风险应对策略。

(四)信息系统

信息系统是信息内部传递和信息对外报告的技术手段，是企业利

用计算机和通信技术，对内部控制进行集成、转化如提升所形成的信

息化管理平台。通过信息系统强化内部控制，有利于减少人为因素提

高控制的效率和效果。同时也应意识到，信息系统自身也存在风险，

需要加强管理和控制。如果企业信息系统缺乏或规划不合理，可能造

成信息孤岛或重复建设，导致企业经营管理效率低下；系统开发不符

合内部控制要求，授权管理不当，可能导致无法利用信息技术实施有

效控制；系统运行维护和安全措施不到位，可能导致信息泄漏或毁损,

系统无法正常运行。

为此，信息系统应用指引指出企业应当结合组织架构、业务范围、

地域分布、技术能力等因素，制订信息系统建设整体规划，加大投入

力度，有序组织信息系统开发、运行与维护，优化管理流程，防范经

营风险。具体要求如下。

(1)根据信息系统建设整体规划提出项目建设方案，明确建设目

标、人员配备、职责分工、经费保障和进度安排等殂关内容，按照规

定的权限和程序审批后实施。

(2)开发信息系统，应当将生产经营管理业务流程、关键控制点

和处理规则嵌入系统程序，实现手工环境下难以实现的控制功能。

(3)加强信息系统开发全过程的跟踪管理，组织开发单位与内部

各单位的日常沟通和协调，督促开发单位按时保质完成编程工作对配

备的硬件设备和系统软件进行检查验收，组织系统上线运行等。企业

还应当组织独立于开发单位的专业人员对开发完成的信息系统进行验

收测试，并做好信息系统上线的各项准备工作。

(4)加强信息系统运行与维护的管理，制定信息系统工作程序、

信息管理制度以及各模块子系统的具体操作规范，及时跟踪、发现和

解决系统运行中存在的问题，确保信息系统按照规定的程序、制度和

操作规范持续稳定运行。

（5）重视信息系统运行中的安全保密工作，确定信息系统的安全

等级，建立不同等级信息的授权使用制度、用户管理制度和网络安全

制度，并定期对数据进行备份，避免损失。对于服务器等关键信息设

备，未经授权，任何人不得接触。

十七、控制活动类业务流程

为了有效保证公司各项经营活动高效地运作，保证会计信息的可

靠、完整，资产安全，有效地降低公司经营风险，《企业内部控制应

用指引》从业务层面将企业的活动分为资金活动、采购业务、资产管

理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务

报告九个方面，并逐一做了说明。下面以《企业内部控制应用指引》

为基础，介绍业务层面的九个控制流程。

（一）资金活动

资金活动是指企业筹资、投资和资金营运等活动的总称。资金是

企业生产经营循环的血液，是企业生存和发展的基础，决定着企业的

竞争能力和可持续发展能力。企业资金活动中可能存在的风险无一不

是重要风险，一旦转变为现实，则危害重大。概括地讲，企业资金活

动面临的重要风险包括：筹资决策不当，引发资本结构不合理或无效

融资，可能导致企业筹资成本过高或债务危机；企业投资决策失误引

发盲目扩张或丧失发展机遇，可能导致资金链断裂或资金使用效益低

下；资金调度不合理、营运不畅，可能导致企业陷入财务困境或资金

冗余；资金活动管控不严，可能导致资金被挪用、侵占、抽逃或遭受

欺诈。

针对上述风险，资金活动应用指引分别对筹资、投资和资金营运

活动提出下列管控措施。

(1)根据筹资目标和规划，结合年度全面预算，拟订筹资方案，

并对筹资方案进行科学论证；重大筹资方案还应当形成可行性研究报

告，全面反映风险评估情况。

(2)对筹资方案进行严格审批后，按照规定权限和程序筹集资金。

同时，严格按照筹资方案确定的用途使用资金，防止资金挪用；确需

改变资金用途的，应当履行相应的审批程序。

(3)加强债务偿还和股利支付环节的管理，对偿还本息和支付股

利等做出适当安排，防止发生违约风险，导致诉讼损失。

(4)根据投资目标和规划，合理安排资金投放结构，科学确定投

资项目，拟订投资方案，重点关注投资项目的收益知风险；选择投资

项目应当突出主业，谨慎从事衍生金融产品等高风险投资。如，在国

际金融危机中，我国少数企业从事的投资项目偏离主业，同时又缺乏

相关专业人才和风险管控经验，导致企业发生巨亏c这些教训值得认

真汲取。

(5)严格控制采用并购方式进行投资企业的并购风险，重点关注

并购对象的隐性债务、承诺事项、可持续发展能力、员工状况及其与

本企业治理层及管理层的关联关系，合理确定支付对价，确保实现并

购目标。这项要求对于我国企业境外并购具有很好的提示作用。

(6)加强对投资方案的可行性研究，并按照规定的权限和程序对

投资项目进行决策审批；审批后，与被投资方签订投资合同或协议，

明确出资时间、金额、方式、双方权利义务和违约责任等内容。

(7)加强对投资收回和处置环节的控制；对于到期无法收回的投

资，应当建立责任追究制度。

(8)加强对资金营运全过程的管理，统筹协调内部各机构在生产

经营过程中的资金需求，切实做好资金在采购、生产、销售等各环节

的综合平衡，实现资金营运的良性循环，提升资金营运效率。

(二)采购业务

采购是指购买物资(或接受劳务)及支付款项等相关活动。部分

企业在办理采购业务时不同程度地存在以下问题：采购计划安排不合

理，市场变化趋势预测不准确，造成库存短缺或积压，导致企业生产

停滞或资源浪费；供应商选择不当，采购方式不合理，招投标或定价

机制不科学，授权审批不规范，致使采购物资质次价高，出现舞弊或

遭受欺诈；采购验收不规范，付款审核不严，造成采购物资、资金损

失或信用受损。

为此，采购业务应用指引要求企业加强请购、审批、购买、验收、

付款、采购后评估等环节的风险管控，确保物资采购满足企业生产经

营需要。

(1)企业的采购业务尽量集中，避免多头采购或分散采购，以提

高采购业务效率，降低采购成本，堵塞管理漏洞。

(2)建立采购申请制度，依据购买物资或接受劳务的类型，确定

规管部门，明确相关部