企业内部控制评价与审计

企业内部控制评价和审计,报告小组：第六组,内部控制是管理的范畴。内部审计评价及审计是经济监督的范畴，两者有着密切的关系。一方面，现代审计是在审查过程中积极分析偏离目标的原因，归根到底是对内部控制制度的审查另一方面，内控制度的严密程度决定会计信息质量，影响审计人员的工作质量和效率。,一、内部控制评价的发展及现状,1939年10月美国会计师协会发布的审计程序公告1979年4月30日，美国证券交易委员发布的管理层对内部会计控制的公告1988年7月19日美国证券交易委员会才正式颁布了报告管理层的责任2002年07月25日美国国会通过的萨班斯奥克斯利法案,我国于2008年6月28日由财政部、证监会、审计署、银监会、保监会等五部委联合发布了企业内部控制基本规范。对内部控制的概念框架、内部控制有效性及评价问题都做出了相关的规定；2010年4月发布了企业内部控制配套指引，标志着我国构建了企业内部控制规范体系。,内部控制的定义及内容,内部控制是企业董事会、监事会、经理层以及全体员工共同实施的，旨在实现控制目标的管理流程。即内部控制就是企业管理本身。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。,企业建立完善的内部控制机制来明确不同岗位的职责,实现资源的优化配置并形成有效的激励机制,实现效益最大化,二、企业内部控制评价的介绍,（一）概念内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价，形成评价结论，出具评价报告的过程。,对于这个定义，可以以下三个角度进行理解,1、内部控制评价的主体是董事会或类似的权力机构，是指董事会或类似的权力机构是内部控制设计和运行的责任主体。2、内部控制评价的对象是内部控制的有效性，所谓内部控制的有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度。3、内部控制评价是一个过程，是指内部控制评价要遵照一定的流程来进行。内部控制评价工作不是一蹴而就的，它是一个涵盖计划、实施、编报等多个阶段、包含多个步骤的动态过程。,二、企业内部控制评价的介绍,（二）内容,目标：合规目标资产目标报告目标经营目标战略目标,内容：内部环境风险评估控制活动信息与沟通内部监督,二、企业内部控制评价的介绍,（三）原则1、全面性原则。评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。2、重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位，重大业务事项和高风险领域。3、客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。,二、企业内部控制评价的介绍,（四）方法从内部控制评价本身以及目前的发展情况来看，主要存在详细评价法和风险基础评价法两种方法。,公司在对内部控制有效性进行评价时，必须保存证据，为内控有效性的评估报告提供合理的支持，形成和保存这些证据也是有效内部控制的一个内在要求。,（五）工作底稿,工作底稿,业务流程评价表,控制要素评价表,内部控制评价汇总表,三个层次,形成内部控制报告的直接依据。,（六）内部控制评价报告,对外报告：为了满足外部信息使用者的需求，需要对外披露，在时间上具有强制性，披露内容和格式强调符合披露要求。,对内报告：为了满足管理层或治里层改善管控水平的需要，不具有强制性，内容、格式和披露时间由企业自行决定。,三、企业内部控制审计的介绍,（一）含义内部控制审计是指会计师事务所接受托，对特定基准日内部控制设计和运行的有效性进行审计。它是一种独立、客观的保证和咨询活动。,三、企业内部控制审计的介绍,（二）审计内容1、内部控制环境。2、风险评估。3、控制活动。4、内部控制信息和沟通。5、内部监督制度。,三、企业内部控制审计的介绍,（三）具体目标内部控制审计的目标是检查并评价内部控制的合法性、充分性、有效性及适宜性。可概括为：检查并评价内部控制能否确保资产、资金的安全。,内部控制审计与财务报表审计在具体审计目标上有什么不同呢？,归纳为两点：1、财务报表审计直接评价的是财务报表，或者说直接评价资产、资金本身的安全状态，其目标对象是资产、资产本身。而内部控制审计直接评价的是内部控制能否保障资产、资金的安全，其目标对象是内部控制，而资产、资金只是作为中间的观察对象而存在。,内部控制审计与财务报表审计在具体审计目标上有什么不同呢？,2、财务报表审计主要评价财务报表所反映的存量资产、资金的“静的安全”，一般不评价资产、资金的“动的安全”，即不评价资产、资金在流转中的增值性。而由于内部控制既要保障资产、资金静的安全，又要保障其动的安全，所以内部控制审计既检查资产、资金的“静的安全”，又检查资产、资金的“动的安全”。,三、企业内部控制审计的介绍,（四）、程序步骤1、了解企业的内部控制情况，并做出相应的记录。2、初步评价内部控制的健全性。3、实施符合性测试程序，证实有关内部控制的设计和执行的效果。4、评价内部控制的强弱，评价控制风险，确定在内部控制薄弱的领域扩展审计程序，制定实质性审计方案。,四、内部控制评价与内部控制审计的界定及内控的有效性判定,（一）界定：内部控制以企业为实施主体，企业应当根据法律法规和企业内部控制规范体系，制定本企业的内部控制制度并组织实施，同时要建立内部控制的自我评价和约束激励机制，定期对内部控制的有效性进行全面评价，形成评价结论，出具评价报告。政府监管部门应当对企业建立和实施内部控制的情况进行监督检查。会计师事务所应对企业内部控制的有效性进行审计，并出具内部控制的审计报告这就是内部控制审计。,由此可见。区别在于评价人的立场不同。前者是企业内部评价，后者是外部评价。但它们往往依赖同样的证据，遵循类似的测试方法并使用同一基准日。（二）有效性判定：对于为实现单个或整体控制目标而设计与运行的控制，若不存在重大缺陷，应当认定这些整体控制目标的内部控制是有效的。反之，若存在一个或多个重大缺陷的情形，则应当认定针对该项整体控制目标的内部控制是无效的。,（三）对注册会计师的要求：注册会计师必须按照企业内部控制审计指引的要求，对被审计单位内部控制的设计与运行的有效性进行独立审计，不能因为被审计单位实施了内部控制评价就简化审计的程序和内容。,五、内部控制评价与内部控制审计的区别,内部控制评价,企业董事会的自我评价,内部控制审计,注册会计师外部评价,有本质区别,六点主要区别,（一）责任主体不同,企业内部控制审计指引规定：建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任；在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。,（二）评价依据不同,内部控制评价依据企业内部控制评价指引内部控制审计依据企业内部控制审计指引,（三）评价内容不同,内部控制评价：从内部环境、风险评估、控制活动、信息与沟通、内部监督等要素入手，结合企业业务特点和管理要求，确定评价的具体内容，建立评价核心指标体系，对内部控制设计和运行情况进行全面评价。内部控制审计：侧重对财务报告内部控制设计与运行的有效性发表审计意见。,（四）处理方式不同,内部控制评价：内部控制评价部门发现内部控制缺陷，根据重要程度即时上报经理层或董事会，采取策略，督促整改，并追究相关机构或人员的责任，核查和确认整改结果，将风险控制在可承受范围之内。内部控制审计：注册会计师发现财务报告内部控制缺陷，识别其严重程度并考虑对审计结论的影响；对于发现的非财务报告控制缺陷，要与管理层沟通，提醒加以改进，必要时在审计结论中对其加以描述和披露，提醒审计报告使用者注意相关风险。,（五）评论结论不同,内部控制评价：企业董事会对内部控制整体有效性发表意见，并在内部控制评价报告中出具内部控制有效性结论。内部控制审计：注册会计师对财务报告内部控制的有效性发表意见，对于发现的非财务报告内部控制的重大缺陷，仅增加“非财务报告内部控制重大缺陷描述段”予以披露。,（六）使用目的不同,内部控制评价报告的使用：政府监管部门：用以了解有关内控法律法规的实施情况，通过分析比较，发现相关法律法规在实施过程中存在的问题，并进一步健全。投资者及其他利益相关者：用以了解企业内控水平，评估企业抗风险能力和持续经营能力，从而进行投资决策、行使相关权利。,3、研究机构：用以研究分析，以知悉内控发展现状，进行进一步分析研究，服务于监管部门、投资者和社会公众。内部控制审计报告的使用：为判定该企业内部控制是否有效提供资料。,综上所述，内部控制评价和内部控制审计既有一定的联系，又有本质的区别。需要强调的是，注册会计师虽然可以利用企业内部控制评价形成的结论，但需对其本身发表的审计意见独立承担责任。,内部控制实施与评价案例分析以长航集团为例,本文拟以刚刚实现重组的中外运长航集团前身之一长航集团为例，分析其内部控制实施与评价中的做法以及存在的问题，以其为其他国有企业实施与评价内部控制提供参考。,一、案例背景近年来，国有企业逐步参与到国际竞争中后，一些由于历史原因所导致的内部控制隐患逐渐暴露出来。特别是2004年中航油新加坡分公司违规投资原油期货巨亏5.5亿美元被曝光后，如何加强内部控制就成为越来越多国有企业关注的问题。2008年6月28日，财政部等部委联合发布企业内部控制基本规范（简称基本规范），要求自2009年7月1日起首先在上市公司范围内施行，鼓励非上市的其他大中型企业执行。对于国有大中型企业来说，如何实施有效的内部控制并加以评价呢？,二、案例介绍,重组前的长航集团是我国内河最大的航运企业集团，其前身可追溯到清朝末年官督商办的长江航运企业，至今已有130多年的历史，主要经营水上运输、船舶制造与修理、物流及相关的配套服务，其中以水上运输为核心主业。而在19982001年间，由于沿江高速公路和铁路发展迅速、燃料持续涨价等外部因素影响，长航集团的主业水上运输受到较大的冲击，加上企业经营机制不活、管理水平低下及负担过重等内部因素影响，长航集团经营出现困难，“九五”期间亏损达10亿元。,二、案例介绍,2002年以来，长航集团通过重组内部资产，提高企业经营管理水平，加强内部控制等手段逐步摆脱了不利困境。特别是在加强内部控制方面，集团从制度层面着手，积极监控企业经营管理和国有资产安全，保证了财务报告及相关信息的真实完整，而且通过积极实施内部控制提高了经营效率和效果，促进了集团的发展。截至2007年年底，长航集团拥有资产总额412亿元，年主营收入234亿元；拥有全资子公司16家、控股子公司4家，主要分布在长江沿线，并在美国、德国、新加坡等国和香港地区设有子公司、合资公司和驻外机构。较好地实现了国有资本的保值与增值。,三、长航集团的内部控制现状,1内部控制制度相对比较完善。意义：完善的内部控制制度可以帮助企业规避日常运营中的风险，促进企业经营管理水平的提高。内部控制制度的建立与完善不仅使长航集团管理层能够充分了解企业各项经济活动所面临的风险、性质及严重程度，保证了企业管理决策的正确性，而且明确了各级员工的岗位职责，保障了生产经营的稳定。,具体措施：长航集团针对其“点多、面广、线长”的特点，积极制定了相应的内部控制制度。企业内部控制应用指引（征求意见稿）中要求的内部控制结点在该集团的总覆盖率达82.35%，对于投资、担保、大额资金调度等涉及企业财务安全的内部控制重点部分，集团更是明确细化了其操作程序、审批程序和各级人员的审批权限。,三、长航集团的内部控制现状,2设立了专门的内部控制机构。必要性：内部控制不同于内部审计，内部审计往往是在经济活动完成后对经济活动的监督，其侧重于财务范围。而内部控制则是对经济活动运行中全部风险的控制，包括了企业运营的所有方面，因此设立专门的内部控制部门对企业经营活动进行实时监管十分必要。,机构设置：长航集团为有效控制企业运营过程中存在的风险，在精简其他组织机构的同时，主要是：1、在财务部内增设了综合监督处，负责对财务部其他部门的日常工作实施监督，以及对子公司财务状况的监管；2、强化了集团发展计划部对企业日常经营的监督职能，该部门主要负责对海内外各子公司非财务范围内日常经济活动的风险进行控制。,四、内部控制制度实施中的不足,1企业员工对于内部控制认知程度低。表现：某些员工认为内部控制是领导和监察部门的事，与自己的日常工作无关；而有些领导在处理内部控制与企业管理、业务发展的关系时，则认为若内部控制制度过于详细、控制过严会束缚企业的业务发展能力，错误地将内部控制与企业发展和效益对立起来。,原因：主要是由于他们没有以发展的眼光看待内部控制，即没有跟上企业内部控制内涵的发展。目前内部控制已经由以往单一的内部会计控制转变为了企业的全面风险控制，基本覆盖了企业所有的日常经营活动。,四、内部控制制度实施中的不足,2部分部门内部控制缺乏有效的内部监督。基本规范要求：企业对内部控制的建立与实施情况进行监督检查，并评价内部控制的有效性，对所发现的内部控制缺陷应当及时加以改进。但我们发现，长航集团部分部门并没有对内部控制实施日常监督或专项监督，而是过分依赖于外部监督机构，再加上部分人员出于各种原因的逆向选择，也直接导致内部控制监督的执行力差。,表现：出纳人员一般不得同时从事银行对账单的获取、银行存款余额调节表的编制等工作。确需出纳人员办理上述工作的，应当指定其他人员定期进行审核、监督。而长航集团及其部分二级单位虽然在财务工作规章制度中对此项内容均有具体规定，但出于工作便利、平衡会计各岗位工作量等因素考虑，都是由出纳人员从事银行对账单获取、银行存款余额调节表编制等工作，而且没有一家单位能够出具其他人员曾对此项工作进行过审核、监督的证据。,四、内部控制制度实施中的不足,3缺乏完善的内部控制评价体系。缺乏完善的评价体系主要是因为国内缺乏相关的操作细则以及企业对此实践经验不足。,一方面，目前颁布的企业内部控制评价指引（征求意见稿）、企业内部控制应用指引（征求意见稿）仍然属于各行各业普遍适用的基础平台，需要企业根据自身情况将有关的评价指引、应用指引转化为能够为企业使用的评价体系，而企业没有动力或没有能力完成这项工作。另一方面，如何根据内部控制的框架和构成要素来系统地确定评价内容与指标，如何确定各个指标权重以及检查的频次，如何根据检查结果认定内部控制缺陷等，对于刚开始对内部控制有效性进行全面评价的国内企业来说，还缺乏实际操作经验。,四、内部控制制度实施中的不足,4内部控制外部评价主体的监督能力有限。外部监督主体如注册会计师受自身业务范围与业务能力的限制，无法对非财务范围的内部控制缺陷做出准确、全面的判断，也就无法对涵盖企业层面的风险和所有重要的业务流程层面风险的内部控制做出评价。况且当前企业对内部控制的评价基本上是参考这些外部监督机构的评价结论，而这些外部监督主体监督能力的局限导致了企业对内部控制评价的不全面。,五、几点建议,1加强员工对于内部控制的认识。首先，应加强全体员工对内部控制的认识，提高全员参与、促进、完善内部控制的积极性。其次，应加强每位员工对内部控制基本原理的学习和理解，使工作流程控制、岗位分离、绩效考评等内部控制中最基本的制约和监督原则深入到员工的工作理念中，促使员工自觉执行相关岗位职责。最后，应使员工意识到，随着内部控制的逐步