中海集装箱运输有限公司

中海集装箱运输有限公司内部控制培训2009年6月目录国内外对上市公司的内控监管要求案例分析内部控制体系介绍目录国内外对上市公司的内控监管要求案例分析内部控制体系介绍成立上市公司会计监管委员会（PCAOB）PCAOB负责建立、采纳或修改审计及质量控制标准、道德规范和独立准则，并实施纪律处分和制裁。CEO和CFO需每季度和每年在对SEC提交的报告中：季度和年度的财务报告：302条款-保证季度报告的完整性和准确性906条款-保证完全遵守了证券交易法案关于财务报告未包括重大错误的规定年报:404条款-针对财务报表的内部控制的有效性美国萨班斯•奥克斯利(SOX)法案美国安然事件发生后，萨班斯•奥克斯利法案于2002年7月30日签署生效，旨在建立并恢复公众对公司财务报告的信心，并对上市公司审计委员会、管理层和审计师各自的职责及相互制约机制带来根本性的变化。美国证监会（“SEC”）承诺进行定期的审阅和强制执行。该方案的主要内容包括：4香港联交所关于公司治理的指引（PN21）2004年10月19日，香港证券及期货事务监察委员会（“证监会”）与香港联合交易所有限公司（“联交所”）联合发表《有关对保荐人及独立财务顾问监管的咨询总结》，随后发布了“第21项应用指引-保荐人就首次上市申请进行的尽职审查”，于2005年1月1日生效，旨在维护香港上市市场的披露标准及公正操作，从而保持上市市场对投资者及发行人的吸引力。香港联交所治理规范要求董事会就其是否评估了内控有效性发表声明。许多企业进行“内部控制自我评估”作为内控有效性评估的基础。5中国《企业内部控制基本规范》2008年6月28日，财政部、审计署、证监会、银监会、保监会联合颁布了《企业内部控制基本规范》，针对国内上市公司如何建立、评估其内部控制有效性提出了明确要求；上市公司需要对内部控制有效性进行年度评估，并披露评价结果。接受企业委托从事内部控制审计的会计师事务所，应当根据本规范及其配套办法和相关执业准则，对企业内部控制的有效性进行审计，出具审计报告。

《基本规范》在国内上市公司范围内强制施行，并鼓励非上市大中型企业执行，施行时间可能推迟到2010年1月1日。6内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。内部控制定义－《企业内部控制基本规范》7目录国内外对上市公司的内控监管要求案例分析内部控制体系介绍安然事件案例一：安然事件美国安然公司曾经是叱咤风云的“能源帝国”，2000年总收入高达1000亿美元，名列《财富》杂志“美国500强”中的第七。2001年10月16日，财务报表显示一直盈利的安然公司公布该年度第三季度的财务报告，突然宣布公司亏损总计达6.18亿美元。2001年12月2日，安然公司正式向破产法院申请破产保护，成为当时美国历史上最大的破产企业。

虚增利润的财务舞弊行为使得投资者丧失了对公司的信心是安然的破产的导火索，但更深层原因还是由于安然涉足风险较大的信用能源交易，大量应用高风险的金融衍生物和大量举债发展等，最终资不抵债。9深层原因公司治理不完善，公司的15位独立董事拿着高薪却没有尽职，没有起到监督的作用。一味追求股市业绩，不切实际的企业目标，形成了自大的、缺乏责任心和基本约束机制的错误企业文化。缺乏有效的反舞弊监控机制，没有及时发现和防止做假帐行为。过分强调管理创新，经营过于分散，过度分权，激进的财务策略，忽视了风险控制。启示在确定独立董事人选时应充分考虑候选人的责任心和精力等方面的胜任能力，日常工作中要充分发挥其独立监督的作用，避免“橡皮图章”的表面文章。要实现可持续发展的目标，必须坚持科学发展观，建立以责任心和准确道德观为基础的企业文化。完善的反舞弊报告渠道和监督机制对企业的健康发展至关重要。稳健经营，控制风险是企业可持续发展和经营管理的永恒法则。案例一：安然事件（续）10中航油事件在新加坡上市的中国航油曾经是一个被作为中国国有企业走向世界的明星企业。然而，因从事投机性石油衍生品交易，损失约5.5亿美元(合人民币45亿元)，2004年申请破产保护。“中航油事件”称为“中国的巴林银行事件”，是国资委成立以来最大的央企丑闻，尽管随后中航油完成重组避免了破产清算，但也给国家造成巨额损失。案例二：中航油事件11深层原因董事会和监事会成员英语水平欠缺，缺乏对海外经营和监控环境的专业知识。缺乏严格的内控监督机制，没有及时发现虚假的财务信息和隐瞒的投机性交易。在事发前，集团管理层对中航油进行投资性衍生品交易毫不知情。风险意识薄弱，一味追求业绩而违规操作，没有遵循该公司《风险管理手册》关于“单笔亏损达到50万美元，立即止损”的规定。启示确定董事会和监事会人选时应该充分考虑其业务技能和专业素质，以及对当地经营和监控环境的了解程度。董事会、监事会以及内部审计等监督机制对及时发现违规事件、防范和控制风险至关重要。仅建立风险管理制度是不够的，风险意识淡薄和没有严格执行风险管理控制对企业的影响将是致命的。案例二：中航油事件（续）12法国兴业银行事件法国兴业银行(SocieteGenerale，简称“SG”),是世界上最大的银行集团之一。2008年1月24日，法国兴业银行曝出世界金融史上最大的违规操作丑闻。现年32岁的权证市场交易员凯维埃尔（JeromeKerviel）以欺诈手段从事期货买卖，其违规头寸高达500亿欧元，造成法国兴业银行的直接损失近49亿欧元。经过调查发现，事件的主要原因首先是风险控制预警没有引起足够重视。其次是系统缺陷被最大限度地利用，包括伪造公司账户，利用同事的名字登录系统以掩盖自己的交易痕迹，以及利用交易时间差和伪造虚假交易记录来逃避风险监管等。案例三：法国兴业银行事件13利用计算机系统的缺陷，侵入数据库，篡改系统数据，掩饰违规操作。管理层没有根据风险管理制度对交易员的交易进行定期检查，也没有对风险预警系统提出的警示提起足够的重视。深层原因涉案人长期在风险风险管理体系工作，后来才被调到交易部门参与金融交易，因此非常熟悉风险管理体系的漏洞。随着计算机系统逐步作为企业主要的控制手段，完善的计算机安全控制将成为企业风险管理和内部控制的主要战场。日常的风险管理和控制监督工作虽然琐碎但意义重大，不能敷衍了事。一时的忽略可能错过重大的违规事件，给企业造成难以挽回的损失。启示职责分工作为企业常用的控制，是相互监督和防止舞弊的重要的风险管理和内部控制手段。在安排和调动岗位时应，应考虑相关的风险。案例三：法国兴业银行事件（续）14某制造型企业的采购员收受贿赂案件2006年，某国际知名的制造型企业收到某供应商的电话投诉，诉称其采购员在公司筹备期采购大批办公设备时收受供应商大额贿赂。该企业对该采购员进行调查，发现确有其事，随后向公安机关报案。公安机关通过侦缉发现该采购员在采购办公设备期间，共收受回扣人民币200万元，而这批办公设备采购价格比市场价格高大约人民币500万元。由于公司成立初期内部控制较差，不合理的采购没有被及时发现。案例四：采购员收受贿赂案件15深层原因没有建立严格的供应商评估机制，没有正式的市场调查、供应商选择和比价文档，采购决策没有合理的依据支持。由于案件发生在企业筹备期间，没有具备采购业务经验的主管领导对采购申请进行独立审核，采购价格的不合理未被及时发现。启示仅依赖员工的道德素质是不够的。需要建立对关键业务的独立审核机制，以起到有效的监督作用。案例四：采购员收受贿赂案件（续）采购是一项比较复杂的业务。缺乏正式的控制手段和控制文档，可能会对企业利益造成直接损失，并会增加采购舞弊的风险。16目录国内外对上市公司的内控监管要求案例分析内部控制体系介绍《基本规范》的内部控制框架中国颁布的《基本规范》参考了COSO框架模型，立足于国内实际情况，拟定形成具有中国特色的内控体系，由控制环境、风险评估、控制活动、信息和沟通、监督5个方面构成。控制活动确保管理活动付诸实施的政策/流程措施包括审批、授权复核、业绩考核、资产安全和职责分离监督不断评估内部控制系统的表现整合实时和独立的评估管理层监督活动内部审计工作控制环境营造企业氛围－让公司员工建立内部控制因素包括正直、道德价值、能力、权威和责任是其他内部控制组成部分的基础信息和沟通及时地获取，确定并交流相关的信息从内部和外部获取信息，行成从职责说明到管理层有关管理问题的总结等各方面有利于内部控制成功的措施的信息流风险评估风险评估是为了达到企业目标而确认和分析相关的风险，形成内部控制活动的基础监控信息和沟通控制活动风险评估控制环境财务报告合规性业务单位A业务单位B活动2活动1合规性业务单位A业务单位B活动2活动1监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1战略财务报告合规性监督信息和沟通风险评估控制活动控制环境营运18内部控制框架－控制环境要素1：控制环境控制环境：营造企业氛围－让公司员工建立内部控制因素包括正直，道德价值，能力，权威和责任是其他内部控制组成部分的基础监控信息和沟通控制活动风险评估控制环境财务报告合规性业务单位A业务单位B活动2活动1合规性业务单位A业务单位B活动2活动1监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1战略财务报告合规性监督信息和沟通风险评估控制活动控制环境营运19中海集运的发展目标和战略规划：战略目标－建设成为世界一流的集装箱航运物流企业。指导思想－坚持科学发展，建设百年中海。近期经营方针－调结构、保增长，运力保持平稳增长，运量保持年增长5%左右，经营收入力争保平。经营理念－精心组织，精细管理，培育精品航线董事会和审核委员会全面道德文化建设，学习科学发展观惩防体系中海集运－控制环境举例20不完善的企业文化，如缺乏正确的道德观不健全的法人治理架构，董事会、监事会的职能流于形式分散管理，过度放权低效率的组织结构不完善的业绩考核指标/激励机制非正式的管理方式和程序非书面的或不成体系的制度规范控制环境－常见内控缺陷21内部控制体系－风险评估风险评估是为了达到企业目标而确认和分析相关的风险，形成内部控制活动的基础风险评估要素2：风险评估监控信息和沟通控制活动风险评估控制环境财务报告合规性业务单位A业务单位B活动2活动1合规性业务单位A业务单位B活动2活动1监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1战略财务报告合规性监督信息和沟通风险评估控制活动控制环境营运22

中海集团目前正在开展的企业全面风险评估工作，将会进一步推广到中海集运管理层定期例会对公司的各项风险进行讨论，制定应对策略对重大投资进行可行性分析，市场调研等中海集运－风险评估举例23风险评估－常见内控缺陷缺乏对风险评估方式、方法、程序的了解对潜在的风险缺乏系统性归类和整体性把握没有对潜在风险的重要性进行排序，没有抓住重点风险意识薄弱，没有制定完善的风险应对措施风险管控制度仅流于形式，敷衍了事24内部控制框架－控制活动要素3：控制活动控制活动确保管理活动付诸实施的政策/流程措施包括审批、授权、复核、业绩考核、资产安全和职责分离监控信息和沟通控制活动风险评估控制环境财务报告合规性业务单位A业务单位B活动2活动1合规性业务单位A业务单位B活动2活动1监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1战略财务报告合规性监督信息和沟通风险评估控制活动控制环境营运25

对客户信用期的评估，以及对应收帐款帐龄和收款情况的监控对口岸公司资金收支两条线的控制核算中心对各项收入和费用的独立审核管理层对投资、锁油、借款等重大事项的审批中海集运－控制活动举例26重要的不相容职责没有分离缺乏对关键业务的独立复核程序系统控制不能满足业务发展的需要重要的决策和交易没有得到充分的审批实物资产没有严格的保管和盘点控制控制缺乏正式有效的文档支持，没有留下可查的痕迹控制活动－常见内控缺陷27内部控制框架－信息和沟通要素4：信息和沟通信息与沟通及时地获取，确定并交流相关的信息从内部和外部获取信息，形成从职责说明到管理层有关管理缺陷的总结等各方面有利于内部控制的措施的信息流监控信息和沟通控制活动风险评估控制环境财务报告合规性业务单位A业务单位B活动2活动1合规性业务单位A业务单位B活动2活动1监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1战略财务报告合规性监督信息和沟通风险评估控制活动控制环境营运28每月总经理办公会；每周部门长例会；每天业务调度会议等渠道沟通各部门的业务和管理情况。IMIS、SAP、Email等信息系统中传递的业务和财务信息。关于科学发展观的学习和研讨。出版企业内部刊物：中海集团出版《海运报》、中海集运出版《中海集运》，向员工通报公司大事和管理理念。中海集运－信息和沟通举例29财务和业务数据的传输不完善，导致信息传递错误和滞后，无法及时整理和提供管理决策所需的信息。管理层和员工之间缺乏有效的沟通途径，管理层的要求和员工的期望无法充分及时地上传下达。缺乏与外部环境的沟通机制，无法及时了解外部的环境变化，以及向外界准确传递企业的声音。信息与沟通－常见内控缺陷30内部控制框架－监督要素5：监督监督不断评估内部控制系统的表现整合实时和独立的评估管理层监督活动内部审计工作监控信息和沟通控制活动风险评估控制环境财务报告合规性业务单位A业务单位B活动2活动1合规性业务单位A业务单位B活动2活动1监控信息和沟通控制活动风险评估控制环境营运财务报告合规性业务单位A业务单位B活动2活动1战略财务报告合规性监督信息和沟通风险评估控制活动控制环境营运31在整个公司范围内建立并实施惩防体系等一系列监督防控体系，定期对惩防体系执行情况进行检查成立本部监察审计部，由具有丰富业务和财务经验的人员担任专职内部审计工作，并在各分子公司建立内审职能，委派内审人员。中海集运－监督举例32参与内审的人员缺乏独立性审计委员会的监督力度不足，内部审计的范围和深度不够内审人员的专业能力不足，人员配备不充分过度依赖员工的责任心和自觉性，没有充分发挥内部控制监督和制衡作用监督－常见内控缺陷33Overview

InternalControlsoptimisation问题?34©2009普华永道版权所有。「普华永道」乃指PricewaterhouseCoopers旗下之中国内地机构，或视乎上文下理之含义，泛指Pricewa