如何建立健全内部控制(pdf 68页)

2008 德勤 德勤 中国企业建立健全内部控制 研讨会. 德勤 企业风险管理服务 2008年9月 2008 德勤2 议程议程 上午上午 主题一主题一中国内控监管要求发展及企业内部控制基本规范介绍中国内控监管要求发展及企业内部控制基本规范介绍 主题二主题二如何建立和评价内部控制体系如何建立和评价内部控制体系 下午下午 主题三主题三经验分享上汽经验分享上汽 主题四主题四经验分享东航经验分享东航 讨论讨论如何高效地建立健全内控体系？如何高效地建立健全内控体系？ 主题一：中国内控监管要求发展主题一：中国内控监管要求发展 及企业内部控制基本规范介及企业内部控制基本规范介 绍绍. 2008 德勤4 主题一：中国内控监管要求发展及企业内部控制基本规范主题一：中国内控监管要求发展及企业内部控制基本规范 介绍介绍 1中国内部控制相关规定的发展中国内部控制相关规定的发展 a中国内部控制相关规定发展历程中国内部控制相关规定发展历程 b我国内部控制相关的监管要求我国内部控制相关的监管要求 2企业内部控制基本规范介绍企业内部控制基本规范介绍 2008 德勤5 中国内部控制相关规定发展历程中国内部控制相关规定发展历程 中国人民银行印 发加强金融机 构内部控制的指 导原则 1997年年 2002年年2005年年4月月 2001年年 财政部在2001年起 提出了在新形势下 加强单位内部会计 监督的要求，逐步 发行了一系列的 内部会计控制规 范 中国注册会计师协会呼 应财政部的工作，为规 范注册会计师执行内部 控制审核业务，明确工 作要求，保证执业质 量，在2002年发布了 内部控制审核指导意 见等 为推动上海证券交易 所上市公司建立健全 内部控制制度，提升 公司风险管理水平， 保护投资者的合法权 益，上海证券交易所 根据上海证券交易 所股票上市规则等 规定，制定上海证 券交易所上市公司内 部控制制度指引 (征求意见稿) 上交所率先提出上交所率先提出 对上市公司内控对上市公司内控 的全面要求的全面要求 中国人民银行发 布更新后的商 业银行内部控制 指引 中国中国“银广厦事银广厦事 件件”、美国、美国“安然安然 事件事件” 2003年年2004年年 中国证券监督委 员会出台证券 公司内部控制指 引 中国银行业监督 委员会出台的 商业银行内部 控制评价试行办 法 2005年年10月月 法规法规 中国证监会10月出台 关于提高上市公司质 量意见，国务院10月 19日就进行了批转【国 发（2005）34号】，这 是国务院首次就上市公 司工作批转发布文件 2008 德勤6 中国内部控制相关规定发展历程中国内部控制相关规定发展历程 在中国，内部控制和风险管理制度的发展随着对上市公司信息要求的提高和国际在此领 域的发展而快速发展，尤其在2005年10月国务院国务院批转证监会关于提高上市公司 质量意见的通知之后，开始进一步加速。 法规法规 2006年年6月月2006年年7月月2006年年5月月 2006年9月28日， 深圳证券交易所出 台关于发布上市 公司内部控制指 引的通知， 2006年5月17日，中 国证券监督管理委 员会令第32号 首次公开发行股 票并上市管理办 法，其中第29条 规定“第二十九条 发行人的内部控制 在所有重大方面是 有效的，并由注册 会计师出具了无保 留结论的内部控制 鉴证报告。” 6月5日，上海证券交易 所出台上海证券交易 所上市公司内部控制指 引 6月6日，国务院国有资 产监督管理委员会“关 于印发中央企业全面 风险管理指引的通 知” 7月15日，财政部 发起成立企业内部 控制标准委员会； 中国注册会计师协 会发起成立会计师 事务所内部治理指 导委员会 对公司的细则对公司的细则 2007年年3月月 3月3日，财政部 发布关于印发 企业内部控制 规范基本规 范和17项具体 规范（征求意见 稿）的通知 对公司的细则对公司的细则 法规法规 2008年年6月月 法规法规 2008年6月28日，财政 部、证监会、审计署、 银监会、保监会联合召 开企业内部控制基本规 范发布会,发布了企业 内部控制基本规范以 及企业内部控制评价 指引、企业内部控 制应用指引和中注协 主持起草的企业内部 控制鉴证指引等配套 规范的征求意见稿。 2008 德勤7 主题一：中国内控监管要求发展及企业内部控制基本规范主题一：中国内控监管要求发展及企业内部控制基本规范 介绍介绍 1中国内部控制相关规定的发展中国内部控制相关规定的发展 a中国内部控制相关规定发展历程中国内部控制相关规定发展历程 b我国内部控制相关的监管要求我国内部控制相关的监管要求 2企业内部控制基本规范介绍企业内部控制基本规范介绍 2008 德勤8 8 规定内容摘要出台日期生效日期 证监会： 国务院批转证监会 的通 知 要求：“上市公司要加强内部控制制度建设,强化内 部管理,对内部控制制度的完整性、合理性及其实施 的有效性进行定期检查和评估,同时要通过外部审计 对公司的内部控制制度以及公司的自我评估报告进 行核实评价,并披露相关信息。” 2005-10-19发布之日 国务院法制办: 上市公司监督管理 条例（征求意见 稿） 上市公司董事会应当对公司内部控制制度及其完整 性、合理性和有效性进行自我检查和评估，并在上 市公司年度报告中披露自我检查和评估结果。 负责上市公司财务会计报告审计业务的会计师事务 所应当对公司内部控制制度及其执行情况、董事会 的自我评估进行评价。上市公司应当在年度报告中 披露会计师事务所的评价结果。 2007-9-7发布之日 证监会: 第32号令首次 公开发行股票并上 市管理办法 第二十九条 发行人的内部控制在所有重大方面是有 效的，并由注册会计师出具了无保留结论的内部控 制鉴证报告。 2006-5-172006-5-18 我国内部控制相关的监管要求我国内部控制相关的监管要求1国务院国务院/证监会层面证监会层面 2008 德勤9 9 规定内容摘要出台日期生效日期 财政部： 内部会计控制规 范 在2001年起逐步发行了一系列的内部会计控制规 范。此规范以单位内部会计控制为主，同时兼顾与 会计相关的控制。主要包括：货币资金、实物资产、 对外投资、工程项目、采购与付款、筹资、销售与收 款、成本费用、担保等经济业务的会计控制 2001-6-22 到 2004-10-10 发布之日 起执行 财政部等5部委： 企业内部控制基本 规范 财政部发布企业内部控制基本规范，要求上市公 司必须、鼓励其他大中型企业，制定内部控制制度并 实施有效的内部控制，并应委托从事内部控制审计的 会计师事务所对企业内部控制的有效性进行审计，出 具审计报告。 2008-6-282009-7-1 财政部等5部委： 企业内部控制应用 指引（征求意见 稿） 财政部发布关于印发企业内部控制应用指引（征 求意见稿）的通知 ，包括资金，采购，存货，销 售，工程项目，固定资产，无形资产，长期股权投 资，筹资，预算，成本费用，担保，合同协议，业务 外包，对子公司的控制，财务报告编制与披露，人力 资源政策，信息系统一般控制，衍生工具，企业并 购，关联交易，内部审计。共22项分流程的具体指 引。 2008-6-28尚未明确 财政部等5部委： 企业内部控制评价 指引（征求意见 稿） 为规范企业内部控制评价工作，要求企业应对其内部 控制的设计和运行状况定期评价，出具评价报告，发 现企业内部控制缺陷，提出和实施改进方案，确保内 部控制有效运行。 2008-6-28尚未明确 我国内部控制相关的监管要求我国内部控制相关的监管要求2 财政财政部层面部层面 2008 德勤101 规定内容摘要出台日期生效日期 上海证券交易所： 上海证券交易所 上市公司内部控制 指引 要求上市公司董事会应在年度报告披露的同时，披 露年度内部控制自我评估报告，并披露会计师事务 所对内部控制自我评估报告的核实评价意见。 2006-06-04 2006-7-1 深圳证券交易所： 上市公司内部控 制指引 上市公司应当于每个会计年度结束后四个月内将内 部控制自我评价报告和注册会计师评价意见报送本 所，并与年度报告全文同时对外披露。 2006-09-282007-7-1 我国内部控制相关的监管要求我国内部控制相关的监管要求3交交易易所层面所层面 2008 德勤11 11 规定内容摘要出台日期生效日期 中国注册会计师协 会： 内部控制审核指 导意见 中国注册会计师协会呼应财政部的工作，为规范注册会 计师执行内部控制审核业务，明确工作要求，保证执业 质量，在2002年发布了内部控制审核指导意见等 2002-2-22002-5-1 财政部： 企业内部控制鉴证 指引（征求意见 稿） 财政部为指导注册会计师执行企业内部控制鉴证业务， 明确工作要求，保证执业质量，制定企业内部控制鉴 证指引（征求意见稿），要求对企业内部控制的有效 性出具鉴证意见。 2008-6-28尚未明确 我国内部控制相关法规对我国内部控制相关法规对审计师审计师的要求的要求 2008 德勤12 主题一：中国内控监管要求发展及企业内部控制基本规主题一：中国内控监管要求发展及企业内部控制基本规 范介绍范介绍 1中国内部控制相关规定的发展中国内部控制相关规定的发展 2财政财政部企业内部控制基本规范介绍部企业内部控制基本规范介绍 2008 德勤13 企业内部控制基本规范企业内部控制基本规范简简介介 财政财政部、证监会、部、证监会、审计署审计署、银监会、银监会、保保监会监会于于2008年年6月月28日联合日联合发发布布 了了企业内部控制基本规范企业内部控制基本规范，共七章五十条，适用于在，共七章五十条，适用于在中中华人民共华人民共和和 国国境境内内设设立的立的大大中中型型企业：企业： 要求上市公司于2009年7月1日起开始 实施，执行基本规范的上市公司，应当 对本公司内部控制的有效性进行自我评 价，披露年度自我评价报告，并可聘请 具有证券、期货业务资格的中介机构对 内部控制的有效性进行审计； 鼓励非上市的其他大中型企业执行； 小企业和其他单位可以参照本规范建 立与实施内部控制。 企业内部控制基企业内部控制基 本规范本规范 总总则则 内内部部监监督督 风风险险评评估估 控控制制活活动动 信信息息与与沟沟通通 内内部部环环境境 附附则则 2008 德勤14 企业内部控制基本规范企业内部控制基本规范简简介介 界界定内部控制定内部控制 内内涵涵 强调内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实 现控制目标的过程，有利于树立全面、全员、全过程控制的理念。 定定位位内部控制内部控制 目标目标 要求企业在保证经营管理合法合规、资产安全、财务报告及相关信息真实完 整、提高经营效率和效果的基础上，着力促进企业实现发展战略。 确确定内部控制定内部控制 原原则则 要求企业在建立和实施内部控制全过程中贯彻全面性原则、重要性原则、制 衡性原则、适应性原则和成本效益原则。 构构建内部控制建内部控制 要要素素 有机融合世界主要经济体加强内部控制的做法经验，构建了以内部环境为重要 基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要 条件、以内部监督为重要保证，相互联系、相互促进的五要素内部控制框架 建立内部控制建立内部控制 实施机实施机制制 要求企业实行内部控制自我评价制度，并将各责任单位和全体员工实施内部控 制的情况纳入绩效考评体系；国务院有关监管部门有权对企业建立并实施内部 控制的情况进行监督检查；明确企业可以依法委托进会计师事务所对本企业内 部控制的有效性行审计，出具审计报告。 2008 德勤15 中国对内部控制监管的中国对内部控制监管的最新最新要求要求 企业内部控制基本规范企业内部控制基本规范 2008 德勤16 我国内部控制我国内部控制概念概念基本基本借鉴了借鉴了COSO报告报告的的理理论论研究成果，即以五研究成果，即以五要要素为框架，适当素为框架，适当体体 现了现了“企业企业风险风险管管理理整整体体框架框架”中提出的中提出的八八要要素素的先的先进理念。进理念。 从目标从目标上上看，看，我国的内部控制我国的内部控制概念概念提出提出了了 1. 企业企业战略；战略； 2. 经经营营的效率和效的效率和效果；果； 3. 财财务务报告报告及管及管理信息理信息的的真实真实、可靠可靠和和完整；完整； 4. 资产资产的安全的安全完整；完整； 5. 遵守遵守国国家家法法律律法规和法规和有有关监管要求关监管要求等五项等五项基本基本目标。目标。 中国对内部控制监管的中国对内部控制监管的最新最新要求要求 企业内部控制基本规范企业内部控制基本规范 2008 德勤17 内部控制基本规范中内部控制基本规范中描述描述的内控的内控框架框架 内部 监 督 信 息 沟 通 控 制 活 动 风 险 评 估 内 部 环 境 内 部 环 境 企业战略 经营效益 和效果 财务报告及管理信息 真实完整 资产的安全 完整 遵守国家法律法 规和有关监管要 求 董事会 监事会 经理层 全体人员 注：根据 五部委联合发布企业内部控 制基本规范的第二、三、 五条制作 五部委联合发布企业内部控制基本规范 保证信息能及时有效地沟 通的流程 来自高级管理层的信息 政策及流程 培训 道德标准 IT信息系统 对内部、外部影响企业 的因素的评估 集团层面的风险评估 流程层面的风险评估 对内控制度设计充分 性，执行有效性进行监 督 达到控制目标的活动和 经营程序 授权 批准 日常操作流程及系统 职责分离 会计对帐 财务和管理软件中的自 动控制 企业内部控制的道德意识，是“来自高层的声音” 道德标准 高级管理层价值观 公司治理 2008 德勤18 基本规范的基本规范的意义意义： 基本规范的制定发基本规范的制定发布，为布，为企业企业加加强强内部控制建内部控制建设设提提供供了了基基础性础性、权威权威 性性的的指引指引，必将必将有有利利于于提高企业公司经提高企业公司经营营管管理理水平水平和和风险风险防防范范能力能力； 进进一一步明步明确确并并细细化化了了公司、公司、政政府与府与审计机构审计机构相相互独互独立的三立的三方方监监督督机机制制，被被 认认为为是是国内企业国内企业治治理理国国际化际化的的重重要要里里程程碑碑； 为为我国内部控制体系建我国内部控制体系建设设提提供供了了统统一的一的技术技术标标准准，并与并与国国际接轨际接轨。 中国对内部控制监管的中国对内部控制监管的最新最新要求 企业内部控制基本规范要求 企业内部控制基本规范 的的意义意义 2008 德勤1919 在总则中有关会计师事务所的表述 v一方面，要求负责内部控制咨询的会计师事务所，不得为同一企业提供内部控 制审计服务，以保持事务所的独立性； v另一方面，规定了国家有关监管部门应当对会计师事务所从事内部控制审计的 执业质量进行监督检查的内容，以加强对事务所开展此类业务的监管。 1. 强调了企业内外对内部控制的投入和监管力度 企业内部控制基本规范的企业内部控制基本规范的特点特点 2008 德勤2020 2. 强调了信息的外部沟通： 企业内部控制基本规范的企业内部控制基本规范的特点特点 战略 3. 适用范围： 2007版企业内部控制基本规范征求意见稿规定，“本规范适用于中华人 民共和国境内的大型企业、上市公司和其他涉及重大公众利益的企业。”而 基本规范将“境内的大型企业”扩大为“境内设立的大中型企业”。 企业内部控制基本规范要求企业应当规范信息沟通的渠道、方式和程 序，促进内部控制相关信息在企业内部各管理层级、责任单位、业务环节之 间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等 有关方面之间的沟通和反馈。 2008 德勤2121 战略 4. 强化了反舞弊机制与信息与沟通相结合： 企业内部控制基本规范的企业内部控制基本规范的特点特点 企业内部控制基本规范要求企业将可能损害投资者利益的下列情形作为反 舞弊工作的重点： 未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益； 在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏 等； 董事、监事、高级管理人员滥用职权； 相关机构或者人员串通舞弊；结合企业经营特点确定的其他舞弊情形。 2008 德勤2222 战略 5. 在内部监督和公司治理结构方面更好地与国际接轨 企业内部控制基本规范的企业内部控制基本规范的特点特点 内控机构由“有条件再设立”，变为“必须有专门或指定机构”； 有关内部审计机构： 企业应当加强内部审计工作，保证内部审计机构设置、人员配备及其工作开展 的独立性。内部审计机构对审计过程中发现的与内部控制相关的重大问题，有 权直接向董事会及其审计委员会报告。 对审计委员会负责人主席任命，具有更强的普遍适用性： 企业可以根据股东（大）会决议和治理结构，在董事会下设立审计委员会。审 计委员会成员应当具备相应的独立性、良好的职业操守和专业胜任能力。上市 公司的审计委员会负责人原则上应当由独立董事担任。 2008 德勤23 共五章共五章三三十七条十七条： 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 第第一一章章总总章章 第第二二章章内部控制评价的内内部控制评价的内容容和和标标准准 第第三三章章内部控制评价的程内部控制评价的程序序和和方方法法 第第四四章章内部控制内部控制缺陷认缺陷认定和评定和评估估报告报告 第第五章五章附附则则 2008 德勤24 企业内部控制企业内部控制应应用用指引指引（征（征求求意意见稿）见稿） 企业内部控制企业内部控制应应用用指引指引 （2008年年征征求求意意见稿）见稿） 22项项 资金 采购 存货 销售 工程项目 固定资产 长期股权投资 筹资 财务报告编制与披露 无形资产 衍生工具 企业并购 关联交易 内部审计 业务外包 预算 成本费用 担保 合同协议 对子公司的控制 人力资源政策 信息系统一般控制 2008 德勤25 除除对对子子公司的控制、关公司的控制、关联联交交易易和内部和内部审计审计应应用用指引外指引外，基本基本每每项项包括包括三三 部分内部分内容容： 总总则则 制定的制定的依据依据 相关定相关定义义 关关注注的主要的主要风险风险 关关键键的控制的控制领域领域 职责职责分分工与授权批准工与授权批准 不兼容岗不兼容岗位位及及轮岗轮岗要求要求 业务业务素素质质和和职职业业道德道德的要求的要求 授权授权审审批批制制度度 业务业务流流程的制定程的制定 具具体业务的控制体业务的控制 企业内部控制企业内部控制应应用用指引指引（征（征求求意意见稿）见稿） 2008 德勤26 共八章共八章一一百百条条： 企业内部控制企业内部控制鉴鉴证证指引指引（征（征求求意意见稿）见稿） 第第一一章章总总章章 第第二二章章制定制定鉴鉴证证计计划划 第第三三章章实施鉴实施鉴证证工作工作 第第四四章章评价控制评价控制缺陷缺陷 第第五章五章完成鉴完成鉴证证工作工作 第六第六章章鉴鉴证证报告报告 第第七章七章工作底稿工作底稿 第第八章八章附附则则 2008 德勤27 企业内部控制企业内部控制鉴鉴证证指引指引（征（征求求意意见稿）见稿） q 目目的：的：指导注册指导注册会会计师计师执行执行企业内部控制企业内部控制鉴鉴证业务证业务，明明确确工作工作要求要求， 保保证证执执业业质量质量 q 定定义义：企业内部控制：企业内部控制鉴鉴证证是指是指会会计师计师事务所事务所接受委托接受委托，对企业对企业与与财财务务 报告报告相关的内部控制的相关的内部控制的有有效效性性进进行行鉴鉴证证，并并发发表表鉴鉴证证意意见见 q 相关相关职责职责：按照按照国国家有家有关法关法律律法规的要求法规的要求，设计，设计、实施实施和和维护维护有有效的效的 内部控制内部控制，并并评评估估其其有有效效性是性是企业管企业管理理层的层的责责任任。按照按照本本指引指引的要的要 求求，在实施鉴，在实施鉴证证工作工作的基的基础础上对内部控制上对内部控制有有效效性性发发表表鉴鉴证证意意见见，是注是注 册册会会计师计师的的责责任任。内部控制内部控制鉴鉴证证不能不能减轻减轻管管理理层的层的责责任任。 2008 德勤28 企业内部控制企业内部控制鉴鉴证证指引指引（征（征求求意意见稿）见稿） 重重要内要内容容 范范围围的的确确定定以风险以风险评评估估为为基基础础 利利用用他他人人的的工作工作 使使用用与与财财务务报报表表审计审计相相同同的的重重要要性水平性水平 企业层面控制的企业层面控制的测试测试 流流程层面控制的程层面控制的测试测试 控制控制缺陷缺陷的评价：的评价： 缺陷缺陷、应应关关注缺陷注缺陷、重重大大缺陷缺陷 鉴鉴证证意意见见：无无保保留留意意见见、否否定定意意见见、无无法法表示表示意意见见 2008 德勤29 对对于于出出台台的企业内部控制基本规范的企业内部控制基本规范存存在在的的普遍问普遍问题题 财政部等五部委联合发布企业内部控制基本规范的背景是什么？ 2008 德勤30 规范与其他国家同类型的法律法规相比有何特点和优势？ 对对于于出出台台的企业内部控制基本规范的企业内部控制基本规范存存在在的的普遍问普遍问题题 2008 德勤31 对对于于出出台台的企业内部控制基本规范的企业内部控制基本规范存存在在的的普遍问普遍问题题 规范的出台会给中国企业带来什么影响？ 2008 德勤32 对对于于出出台台的企业内部控制基本规范的企业内部控制基本规范存存在在的的普遍问普遍问题题 实施规范对于企业加强风险管理有什么作用？ 2008 德勤33 对对于于出出台台的企业内部控制基本规范的企业内部控制基本规范存存在在的的普遍问普遍问题题 实施企业内部控制基本规范，会不会给企业带来额外负担并增加成本？ 2008 德勤34 对对于于出出台台的企业内部控制基本规范的企业内部控制基本规范存存在在的的普遍问普遍问题题 实施企业内部控制基本规范后是否可以完全遏制舞弊，或防止财务 丑闻的出现？ 主题二：如何建立和评价内部主题二：如何建立和评价内部 控制体系控制体系. 2008 德勤36 主题二：如何建立和评价内部控制体系主题二：如何建立和评价内部控制体系 1企业如何建立企业如何建立其其内部控制体系内部控制体系 2企业如何评价企业如何评价其其内部控制体系内部控制体系 2008 德勤37 内部控制体系的定内部控制体系的定义义及及目标目标 企业内部控制基本规范企业内部控制基本规范 内部控制内部控制是指是指由由企业企业董董事会、监事会、管事会、监事会、管理理层和全体层和全体员员工工共共同同实施实施的、的、旨旨在实现在实现 控制控制目标目标的的过过程程。内部控制的内部控制的目标目标是是合理保合理保证证: 企业经企业经营营管管理合理合法法合合规规 资产资产安全安全 财财务务报告报告及相关及相关信息真实完整信息真实完整 提高经提高经营营效率和效效率和效果果 促促进进企业企业实现实现发展发展战略战略 2008 德勤38 构构建企业内部控制体系的要建企业内部控制体系的要素素 企业内部控制基本规范企业内部控制基本规范 企业建立企业建立有有效的内部控制效的内部控制，至少至少应应当当考虑考虑以以下基本要下基本要素素： 内部内部环环境境 风险风险评评估估 控制控制活动活动 信息信息与与沟通沟通 内部监内部监督督 内 部 环 境 内部 监 督 信 息 沟 通 控 制 活 动 风 险 评 估 内 部 环 境 企业战略 经营效益 和效果 财务报告及管理信息 真实完整 资产的安全 完整 遵守国家法律法 规和有关监管要 求 董事会 监事会 经理层 全体人员 五部委联合发布企业内部控制基本规范 2008 德勤39 如何如何构构建企业内部控制体系建企业内部控制体系 内部内部环环境境 规范公司规范公司治治理理结结构构及议事规则及议事规则 审审视视内部内部机构机构的的设设置置，明明确确职责职责、权利权利和和责责任任，建立建立岗岗位位职责职责说说明明 建立建立审审批权批权限限和和授权授权机机制制 保保证内部证内部审计机构设审计机构设置置、人人员配备员配备和和工作工作的的独独立立性性 制定和制定和实施有实施有利利于于企业企业可可持续持续发展的发展的人人力力资资源源政政策策 制定制定员员工工聘聘用标用标准准，加，加强强员员工工培训培训和和教育教育 通过各种渠通过各种渠道道加加强强文文化化建建设，设，强化强化风险意风险意识识，加，加强强法制法制教育教育 员员工行工行为守为守则则 成成立立专门专门机构机构或或指指定定适当机构适当机构具具体体负负责责组织协调组织协调内控的建立内控的建立实施实施及及 日日常常工作工作 2008 德勤40 公司公司治治理架构理架构 2008 德勤41 审审批权批权限举例限举例 费费用用预算预算内内资资本本性性支支出出 预算预算外外资资本本性性支支出出 XXX总经理125,000 125,000 50,000 XXX财务总监50,000 50,000 25,000 XXX营运总监37,500 37,500 12,500 XXX部门经理10,000 5,000 2008 德勤42 如何如何构构建企业内部控制体系建企业内部控制体系 风险风险评评估估 建立建立风险风险评评估估机机制制以以 确确定定风险风险承承受度受度 识别识别内部、内部、外外部部风险风险 采采用用定定性与性与定定量量相相结结合合的的方方法法，对对风险进风险进行行分分析析和和排排序序， 确确定关定关注重点注重点和和优优先控制的先控制的风险风险 根根据据风险风险评评估估的的结结果，果，结结合风险合风险承承受度受度，权权衡衡风险风险与与收收 益益，确，确定定风险风险应应对对策策略略 持续收集持续收集与与风险风险变变化化相关的相关的信息，进信息，进行行风险风险识别识别和和风险风险分分 析析，及及时调时调整风险整风险应应对对策策略略 2008 德勤43 如何如何构构建企业内部控制体系建企业内部控制体系 控制控制活动活动 参考参考基本规范基本规范应应用用指引指引，确，确定定各种各种业务和事业务和事项项的的 控制控制目标目标并并设计设计控制控制活动活动 手手工工控制控制与与自动自动控制相控制相结结合合 预预防性防性控制控制与与发发现现性性控制相控制相结结合合 常常用用的控制的控制活动活动包括包括： 不不相相容职容职务分务分离离 授权授权审审批批 会会计计系系统统 财产保财产保护护 预算预算 运运营营分分析析 绩绩效效考考评评 建立建立重重大风险大风险预警预警机机制和制和突突发事件发事件应应急处急处理机理机制制 2008 德勤44 如何如何构构建企业内部控制体系建企业内部控制体系 流流程层面程层面不兼容职责不兼容职责分分离举例离举例 A：采采购申请购申请 B：采采购购审审批批 C：采采购购验验收收 D：费费用用支支付申请付申请 E：费费用用支支付付审审批批 F：应应付账款付账款的的审审批批 G：应应付账款付账款的的入账入账 2008 德勤45 如何如何构构建企业内部控制体系建企业内部控制体系 流流程层面控制程层面控制目标目标和控制和控制活动举例活动举例 控制控制目标目标控制控制活动活动 确保采购申请有效且符合 公司利益 除不列入采购流程的报销与付款以外的采购需求都由申请部门根据 实际消耗或需求提出采购申请，填写“采购申请单”；申请部门负责人 签字确认。 5,000元人民币采购估算金额 20,000元人民币，由申请部门负 责人和归口部门负责人批准；采购估算金额 20,000元人民币，经 申请部门负责人和归口部门负责人批准后，由公司分管领导批准。 所有采购申请单均须送达财务部，由财务部进行预算审核。 2008 德勤46 如何如何构构建企业内部控制体系建企业内部控制体系 信息信息与与沟通沟通 建立建立信息信息与与沟通沟通制制度度，明明确确内部控制相关内部控制相关信息信息的的收集收集、处处 理理和和传递传递程程序序 加加强强信息信息系系统统控制控制 建立建立反舞弊反舞弊机机制制 建立建立举举报报投诉投诉制制度度和和举举报人保报人保护护制制度并度并及及时时传达传达至至全体全体员员 工工 2008 德勤47 建立建立有有效的效的举举报报投诉投诉制制度度的的考虑考虑要要点点 匿名匿名举举报报 举举报报热线电话号码热线电话号码、邮箱向邮箱向全体全体员员工工传达传达 举举报报热线电话号码热线电话号码、邮箱向客户邮箱向客户、供应供应商商等等外外部部利利益益相关相关 方方公公开开 对对于于高高级级管管理理层的层的举举报报渠渠道道直直接接通通往往审计审计委委员员会会 举举报报及及其调其调查查结结果果记录记录在在案案并并定定期向期向审计审计委委员员会会报告报告 如如跨跨国国，语言语言的的考虑考虑及及时时差差的的考虑考虑 2008 德勤48 如何如何构构建企业内部控制体系建企业内部控制体系 内部监内部监督督 制定内部控制监制定内部控制监督督制制度度，明明确确内部内部审计机构审计机构和和其他其他机构在机构在 内部监内部监督督中的中的职责权职责权限限，规范内部监规范内部监督督的程的程序序、方方法和要法和要 求求 制定内部控制制定内部控制缺陷认缺陷认定定标标准准 跟踪跟踪内部控制内部控制缺陷缺陷整整改情况改情况，并并就就内部监内部监督督中发中发现现的的重重大大 缺陷缺陷，追追究究相关相关责责任任单单位位或或责责任任人人的的责责任任 定定期期对内部控制的对内部控制的有有效效性性进进行行自自我评价我评价，出出具具内部控制内部控制自自 我评价我评价报告报告 以以书书面面或其他或其他适当适当形式妥善形式妥善保保存存内部控制建立内部控制建立与与实施实施过过程程 中的相关中的相关记录记录或或者者资资料料，确保，确保内部控制建内部控制建设设与与实施实施过过程的程的 可可验证验证性性 2008 德勤49 如何如何构构建和建和完完善善企业内部控制体系企业内部控制体系 项目项目阶段阶段 4- 6周周6- 12周周4- 8周周8- 16周周2- 6周周建议建议时时间间安安排排 第第13、59条条要求要求第第5- 13条条要求要求第第12，59条条要求要求第第60- 61条条要求要求 第第62- 63、66条条 要求要求 深深交所上市公司交所上市公司 内部控制内部控制指引指引 第第11- 14，16条条 要求要求 第第6， 28- 36条条要要 求求 第第45条条要求要求第第44- 47条条要求要求第第10条条要求要求 财政财政部企业内部部企业内部 控制基本规范控制基本规范 2008 德勤50 主题二：如何建立内部控制体系主题二：如何建立内部控制体系 1企业如何建立企业如何建立其其内部控制体系内部控制体系 2企业如何评价企业如何评价其其内部控制体系内部控制体系 2008 德勤51 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 定定义义和和原原则则 内部控制评价内部控制评价，是指是指由由企业企业董董事会和管事会和管理理层层实施实施的的，对企对企 业内部控制业内部控制有有效效性性进进行行评价评价，形形成成评价评价结结论论，出出具具评价评价报报 告告的的过过程程。内部控制内部控制有有效效性是指性是指企业建立企业建立与与实施实施内部控制内部控制 能能够够为为控制控制目标目标的的实现实现提提供供合理合理的的保保证证。 评价评价原原则则 风险风险导导向向原原则则 一一致致性性原原则则 公公允允性性原原则则 独独立立性性原原则则 成成本效本效益益原原则则 2008 德勤52 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 涵涵盖盖内部内部环环境境、风险风险评评估估、控制、控制活动活动、信息信息与与沟通沟通、内部、内部 监监督督等等要要素素 设计有设计有效效性性和和运运行行有有效效性性 信息信息系系统统有有效效性性，包括包括信息信息系系统统一一般般控制和控制和信息信息系系统应统应用用 控制控制 根根据据企业内部控制基本规范及企业内部控制基本规范及其其应应用用指引指引的的有有关规定关规定 建立建立与与实施实施内部控制内部控制，并并以以此此为为依据依据和和标标准准组织组织开开展内部展内部 控制评价控制评价工作工作 内部控制评价内内部控制评价内容容和和标标准准 2008 德勤53 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 内部控制评价程内部控制评价程序序和和方方法法 评价程评价程序序和和方方法：法： 1.制定评价制定评价方方案案（目目的、范的、范围围、组织组织、标标准准、方方法、法、进进度度安安 排排和和费费用用预算预算等等） 评价范评价范围围的的确确定定应应遵遵循循风险风险导导向向、自自上上而而下下的的原原则则来来确确定定 需需要评价的分要评价的分支支机构机构、重重要业务要业务单元单元、重点重点业务业务领域领域或或流流程程环环节节 2.实施实施评价评价活动活动（个个别别访谈访谈法、法、调调查查问问卷卷法、法、比较比较分分析析法、法、 标标杆杆法、法、穿穿行行测试测试法、法、抽样抽样法、法、实实地地查查验法、验法、重重新新执行执行法、法、 专专题讨论会法题讨论会法） 3.编编制评价制评价报告报告 2008 德勤54 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 内部控制评价程内部控制评价程序序和和方方法法（续续） 判断判断内部控制内部控制设计设计与与运运行行有有效效性性时时应应充充分分考虑考虑： 1.是是否否针针对对风险设风险设置置了合理了合理的细的细化化控制控制目标目标 2.是是否否针针对细对细化化控制控制目标设目标设置置了了对对应应的控制的控制活动活动 3.相关控制相关控制活动活动是是如何如何运运行行的的 4.相关控制相关控制活动活动是是否否得到得到了了持续持续一一致致的的运运行行 5.实施实施相关控制相关控制活动活动的的人人员员是是否否具具备备必必需需的的权权限限和和能力能力 2008 德勤55 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 内部控制内部控制缺陷认缺陷认定定 设计设计缺陷缺陷和和运运行缺陷行缺陷 未未实现实现规定的控制规定的控制目标目标 未未执行执行规定的控制规定的控制活动活动 突突破破规定的规定的权权限限 不能不能及及时时提提供供控制控制运运行行有有效的相关证效的相关证据据 一一般般缺陷缺陷、重重要要缺陷缺陷和和重重大大缺陷（缺陷（实实质性质性漏漏洞洞） 定 定量量和和 定定性性等等方方面面进进行行衡衡量量 为实现为实现某某一一整整体控制体控制目标目标而而设计设计或运或运行行的控制的控制存存在在一一个个或或多多 个个重重大大缺陷缺陷时时，针针对对该该项整项整体控制体控制目标目标的内部控制的内部控制无无效效 2008 德勤56 企业内部控制评价企业内部控制评价指引指引（征（征求求意意见稿）见稿） 内部控制评内部控制评估估报告报告 年年度度内部控制评价内部控制评价报告报告至少至少应应当当包括包括下下列列内内容容： 1.内部控制评价的内部控制评价的目目的和的和责责任任主体主体 2.内部控制评价的内内部控制评价的内容容和所和所依据依据的的标标准准 3.内部控制评价的程内部控制评价的程序序和所和所采采用用的的方方法法 4.衡衡量重量重大大缺陷缺陷严严重重偏偏离离的定的定义，以义，以及及确确定定严严重重偏偏离离的的方方法法 5.被被评评估估的内部控制的内部控制整整体体目标目标是是否否有有效的效的结结论论 6.被被评评估估的内部控制的内部控制整整体体目标目标如如果果无无效效，存存在在的的重重大大缺陷缺陷及及其其可可 能能的的影响影响 7.造造成成重重大大缺陷缺陷的的原原因因及相关及相关责责任任人人 8.所所有在有在评评估估过过程中发程中发现现的控制的控制缺陷缺陷，以，以及及针针对对这些这些缺陷缺陷的的补救补救 措措施施及及补救措补救措施施的的实施计实施计划划等等 2008 德勤57 评价内部控制体系的评价内部控制体系的有有效效工具工具内控内控手手册册 问问题：题： 企业企业是是否否建立建立了了内部控制？内部控制？（如何证如何证明明其存其存在在） 企业建立的内部控制企业建立的内部控制是是否否有有效？效？（衡衡量量内部控制内部控制是是否否有有效效应应衡衡量量其其设计有设计有效效性性和和执行执行 有有效效性）性） 解决解决方方法：法： 通过通过内控内控手手册册中的控制中的控制目标目标和控制和控制活动活动的对的对标标（即即：内部控制：内部控制设计有设计有效效性性评评估）并将估）并将 之之书书面面化化，反反映映了了1、企业管、企业管理理层建立层建立了了内部控制内部控制；2、已已建立的内部控制建立的内部控制在设计在设计上上是是有有 效的效的。 内控内控手手册册中的控制中的控制活动活动是是各各级级企业管企业管理理层层进进行行内部控制内部控制执行执行有有效效性性的的抓抓手手，对对已已建立建立 内控内控活动活动执行执行有有效效性性由由稽核稽核部部门门进进行行测试测试以确保以确保其其得到得到贯贯策策执行执行。 2008 德勤58 内控内控手手册册 何何谓谓内控内控手手册册 内控内控手手册是册是从从内部控制的内部控制的角角度度按通按通行行的内控的内控框架框架记录记录企业关企业关键键内部控制内部控制 活动活动的一的一种种体系体系文文件件 内控内控手手册包括册包括控制控制矩阵矩阵，流流程程图图、辅辅以适当以适当的的文文字字说说明明 内部控制内部控制活动活动设设置置在在业务业务活动活动发发生生的的流流程中程中因因而而按按企业经企业经营营流流程程归类归类描描 述，述，所所以以内控内控手手册是册是一一种种程程序性序性的的文文件件 内部控制内部控制不不等于等于流流程程