第八章内部控制评价概论PPT课件.ppt

企业内部控制学 第二版 1 案例引入 常电公司开展内部控制自我评价工作 2009年1月 江苏常熟发电有限公司 以下简称 常电公司 正在开展内部控制自我评价工作 此次工作的目的是为了客观反映企业内部控制的总体情况 及时发现内部控制的缺陷和薄弱环节 以达到加强管理 堵塞漏洞目的 从而提高企业的抗风险能力 提高企业的管理水平和经济效益 合理保障职工及股东的利益 2 该公司这次内部控制自我评价的依据为 企业管治常规守则 中国电力制度体系 中国电力 内部控制手册 等 评价内容主要有十八项 分别为控制环境 风险管理 战略与计划管理 全面预算管理 授权管理控制 人力资源管理 货币资金管理控制 销售与收款管理控制 采购与付款管理控制 燃料管理控制 工程项目管理控制 对外投资管理控制 筹资控制 固定资产管理控制 担保业务控制 外币业务管理控制 信息保护和审计监督 3 该公司这次内部控制自我评价工作从10月10日开始 分准备阶段 实施阶段和总结阶段三个部分进行实施 预计到10月28日全部结束 自 企业内部控制基本规范 及其配套指引发布之后 全国各省 各行业都纷纷争先开展内部控制自我评价的培训工作 掀起了一阵内部控制自我评价的热潮 内部控制作为存在于企业内部的一种重要的制度安排 本质上属于企业内部管理制度的一部分 4 内部控制自我评价本质上是对内部控制制度本身进行监督和控制的必要机制 是完善与优化内部控制系统的重要制度安排 那么什么是内部控制评价 谁是内部控制评价的主体 内部控制评价的客体是什么 内部控制评价工作应该如何开展 内部控制评价工作的最终成果表现为什么 5 本章概要第一节内部控制评价基本理论第二节内部控制评价的内容第三节内部控制评价的程序第四节内部控制缺陷第五节内部控制评价报告第六节内部控制评价的国际发展 第八章内部控制评价概述 6 第一节内部控制评价基本理论 7 实践证明 内部控制评价是内部控制的重要组成内容 与内部控制的设计和实施形成了一个闭合的有机循环 它对内部控制的合理设计以及有效实施至关重要 如今 世界各国监管当局越来越重视对内部控制评价的规范 内部控制评价在实务中也得到了广泛推广 我国 企业内部控制基本规范 第四十六条规定 企业应当结合内部监督的情况 定期对内部控制的有效性进行自我评价 出具内部控制自我评价报告 8 一 内部控制评价的概念 一 内部控制评价的定义企业内部控制评价是指企业董事会或类似权力机构对内部控制的有效性进行全面评价 形成评价结论 出具评价报告的过程 从以下三个角度进行理解 1 内部控制评价的主体是董事会或类似权力机构 2 内部控制评价的对象是内部控制的有效性 3 内部控制评价是一个过程 9 内部控制运行的有效性 内部控制设计的有效性 内部控制的有效性 是指企业建立与实施内部控制对实现控制目标提供合理保证的程度 内部控制的有效性 控制过程 控制过程 控制目标 合规目标内部控制的有效性 资产目标内部控制的有效性 报告目标内部控制的有效性 经营目标内部控制的有效性 战略目标内部控制的有效性 10 二 内部控制评价的内容内部控制评价应紧紧围绕内部控制五要素进行 1 内部环境评价 2 风险评估评价 3 控制活动评价 4 信息与沟通评价 5 内部监督评价 11 内部控制系统是由识别和分析风险 制定控制政策和方法 监督和评价 持续改进组成的闭合循环 因此 内部控制评价是内部控制的有机组成部分 也是内部控制必不可少的环节 内部控制评价伴随着内部控制理论和实务的发展而不断完善 在内部控制的不同发展阶段 内部控制评价的内涵 侧重点 技术方法等都有所不同 12 二 内部控制评价的理论基础 13 企业内部控制学 第二版 117 三 内部控制评价的作用 一 内部控制评价是提升企业内部控制效果的根本保证 内部控制评价是对内部控制的设计和运行效果的全面检查 首先 需要了解内部控制各要素的详细构成情况 并在此基础上 针对每个要素 进一步了解其实施结果 其次 根据了解记录的情况展开分析评价 由此 通过分析现有内部控制系统 可以发现内部控制制度在多大程度上能够保证控制目标的实现 关键控制点的选择是否契合企业经营业的实际状况 通过与理想模式的比较 明确现行控制与理想模式的差距 分析产生差距的原因及可能造成的后果 最后 通过对内部控制实施结果的分析与记录 可以发现内部控制运行的薄弱环节 准确定位内部控制责任区和责任人 14 二 内部控制评价是实现内部控制自我完善的主要途径 任何好的管理制度都必须与特定企业的经营业务相适应 内控本质上是动态的 系统的过程 只有通过定期或不定期的内部控制评价 才能及时发现现有内控制度的缺陷 并不断完善 改善内部管理 从而提升企业价值 15 三 内部控制评价是提高管理层内部控制水平的压力机制 任何信息 只要公开就会产生一定的压力 因为信息公开就意味着接受公众的监督 能够在某种程度上敦促被监督者不断改进工作 提高工作成效 内部控制评价相关信息的公开同样可以让投资者 债权人 监管机构等就企业内控有没有设计并得到有效执行进行进一步的分析 从而对管理层的绩效进行综合评价 16 四 内部控制评价是促进内部审计职能发挥的基础 前面已谈到 内部审计既是对内部控制的再控制 是其有机组成 同时又有独立的理论和方法体系 两者之间相互重叠的内容主要体现为内部控制评价 内部控制评价和内部审计相互依赖 相互促进 借助内部控制评价结果 可以了解内部控制系统的薄弱环节和高风险领域 更准确的确定审计的范围 审计的重点和采用的审计方法 健全的内部控制制度还可以保证审计测试的质量 17 五 内部控制评价有助于实现与政府监管的协调互动 政府监管部门有权对企业内部控制建立与实施的有效性进行监督检查 事实上 在有关政府部门 比如审计机关开展的国有企业负责人离任经济责任审计中 已将企业内部控制的有效性 以及企业负责人组织领导内部控制体系建立与实施情况纳入审计范围 并且日益成为十分重要的一部分 18 四 内部控制评价的原则 19 五 内部控制评价的对象 20 六 内部控制评价的组织 21 22 23 第二节内部控制评价的内容 24 一 内部控制评价的内容 25 二 工作底稿 26 第三节内部控制评价的程序 27 一 内部控制评价的一般程序 28 29 企业每年应对内部控制进行评价并予以披露 但是内部控制自我评价的方式 范围 程序和频率 由企业根据经营业务调整 经营环境变化 业务发展状况 实际风险水平等自行确定 国家有关法律法规另有规定的 从其规定 如果内部监督程序无效 或所提供信息不足以说明内部控制有效 应增加内部控制评价的频率 二 内部控制评价的频率 30 三 内部控制评价的方法 31 32 33 第四节内部控制缺陷 34 35 一 内部控制缺陷的分类 36 37 38 二 内部控制缺陷的认定标准1 内部控制缺陷的重要性和影响程度 39 2 财务报告内部控制缺陷的认定标准 40 3 非财务报告内部控制缺陷的认定标准 非财务报告内部控制是指针对除财务报表目标之外的其他目标的内部控制 一般包括战略目标 资产安全 经营目标 合规目标等 非财务报告内部控制缺陷认定具有涉及面广 认定难度大的特点 企业可以根据风险评估的工作 根据自身实际情况 管理现状和发展要求加以细化或补充 合理确定定性和定量的认定标准 根据影响程度认定为一般缺陷 重要缺陷和重大缺陷 41 三 内部控制缺陷的报告与整改1 内部控制缺陷报告的格式和途径 42 43 44 2 内部控制缺陷整改方案及期限 45 第五节内部控制评价报告 46 47 一 内部控制评价报告的内容 48 二 内部控制评价报告的编制和报送 49 三 内部控制评价报告的披露和使用 50 第六节内部控制评价的国际发展 51 企业内部控制学 第二版 119 一 国外内部控制评价的最新发展 一 内部控制评价的重要性 美国萨奥法案 1 第103条款规定 注册会计师需要对管理层财务报告内部控制自我评估进行审核 评价公司的内部控制政策和程序是否包括详细 合理的记录 以准确 公允地反映 公司的资产交易和处置情况 内部控制是否合理保证公司对发生的交易活动进行了必要的记录 以满足财务报告编制符合公认会计原则的要求 是否合理保证公司的管理层和董事会对公司的收支活动进行了合理授权 52 3 第404条款规定 所有除投资公司以外的企业 其年报中都必须包括 管理层建立和维护适当内部控制结构和财务报告程序的责任报告 管理层就公司内部控制结构和财务报告程序的有效性在该财政年度终了出具的评价 注册会计师已就 中提到的管理层评价出具了鉴证报告 2 第302条款规定 公司首席执行官和首席财务官应当对所提交的年度或季度报告签署书面证明 担保所在公司财务报告的真实性以及保证公司拥有完善的内部控制系统 能够及时发现并阻止公司欺诈及其他不当行为 53 二 内部控制评价的标准 美国COSO报告 1992年 美国COSO委员会提出了 企业内部控制 一整合框架 定义了内控三目标五要素组成的新框架 2003年 COSO委员会在COSO报告基础上进行了修订和补充 发布了 企业风险管理 一整合框架 企业风险管理 ERM 框架将内部控制的重点转向风险管理 在结构上扩展为四个目标和八个要素 内部控制框架的提出得到了许多国家的认可 很多企业开始运用COSO框架指导内部控制构建 并将其应用于作为内部控制评价体系的标准 54 企业内部控制学 第二版 120 三 内部控制评价的方法之一 加拿大CoCo委员会的评估控制指南 1 在目的方面 1 我们清晰地理解了组织的使命和远景吗 2 我们理解了我们的目标以及这些目标如何与组织内的其他目标相协调吗 3 我们可以获取的信息能够使我们识别和评估风险吗 55 2 在承诺方面 1 我们的诚信原则和伦理价值观得到了共享和实施吗 2 根据组织的目标和价值观 员工们公平地获得了回报吗 3 我们清晰地了解我们负责的内容吗 4 我们清晰地界定了权力和责任吗 56 4 在监督与学习方面 3 在能力方面 1 我们有合适的人员 技术 工具和资源吗 2 错误 坏消息和其他信息可以及时地传递给需要知道的人 而不用担心报复吗 3 我们的对策与组织的其他部分协调一致吗 l 我们审查内部和外部环境 考虑是否需要对目标和控制做出改变吗 2 我们参考相关目标和指标监控绩效吗 3 我们质疑我们目标背后的假设吗 57 四 内部控制评价的方法之二 控制自我评估 1 控制自我评估的含义 2 控制自我评估的特征 3 控制自我评估的构成 1 前期计划和前期审计工作 2 组织人们在同一时间或同一地点开会 甚至包括有利于交流和活动的座位安排 U字形会议桌 和会议设施 3 安排结构化的议事日程 以使参加人员检查过程的风险和控制 58 企业内部控制学 第二版 121 4 可以有选择地聘用一位书记员对各阶段的现场工作进行记录并处理电子投票的技术问题 以使参加人员可以不记名地发表自己的感想 5 报告和实施行动计划 4 控制自我评估的主要方法 1 研讨会法 2 问卷调查法 是一种用于只需简单回答 是 否 或者 有 无 的调查工具 3 管理层分析法是不使用上述两种方法的其他方法 5 研讨会法的工作形式 59 二 我国内部控制评价的发展现状 一 企业内部控制基本规范 1 评价主体 2 评价内容 外部主体 监管部门和注册会计师内部监督 企业本身 如由审计委员会指导内部审计部门对内控进行评价 监事会行使监督职责 评价内容 内部控制的设计和执行情况 60 2 评价内容 1 评价主体 二 企业内部控制评价指引 征求意见稿 内部控制评价指引 规定 企业实施内部控制评价 包括对内部控制设计有效性和运行有效性的评价 所谓内部控制设计有效性是指为实现控制目标所必需的内部控制要素都存在并且设计恰当 内部控制运行有效性是指现有内部控制按照规定程序得到了正确执行 内部控制评价指引 还指出 当企业运用信息系统加强内部控制时 应当对信息系统的有效性进行评价 包括信息系统一般控制评价和信息系统应用控制评价 61 企业内部控制学 第二版 122 3 评价原则 4 评价信息披露 内部控制评价指引 明确了企业内部控制自我评价中的风险导向 提出了风险导向原则 在确定评价范围时 要求企业以风险评估为基础 根据风险发生的可能性和对目标实现的影响程度按照自上而下的原型来确定需要评价的分支机构 重要业务单元 重点业务领域或流程环节 在内部控制缺陷认定中 应确定与实现整体控制目标相关的风险 并据此认定和报告内部控制中的缺陷 内部控制评价指引 规定 在内部控制评价过程中 应该对内部控制缺陷分为设计缺陷和运行缺陷 并分别加以分析 62 3 评价信息披露 2 评价内容 1 评价主体 三 企业内部控制鉴证指引 征求意见稿 注册会计师 将注册会计师执行的企业内部控制鉴证结果界定为对企业与财务报告相关的内部控制的有效性进行鉴证 使得内控鉴证内涵过于狭窄 应包含整体的内部控制 而不仅仅局限于与企业与财务报告相关的内部控制 按内控不足严重程度分为缺陷 应关注缺陷和重大缺陷 并单独出具内控鉴证报告 63 企业内部控制学 第二版 123 1 评价主体 四 商业银行内部控制评价试行办法 银监会及其派出机构组织 64 2 评价内容 办法 规定 商业银行内部控制评价是指对商业银行内部控制体系建设 实施和运行结果独立开展的调查 测试 分析和评估等系统性活动 根据 办法 的相关条款 可以得出监管当局的监管思路 重结果监管 但更重过程监管 这一思路一方面秉承了监管当局的内部控制指导思想 即商业银行必须树立 基于过程的风险控制 另一方面 办法 第八条提出 内部控制评价应从充分性 合规性 有效性和适宜性等4个方面进行 过程和风险是否已被充分识别 过程和风险的控制措施是否遵循相关要求 是否有明确规定并得以实施郓保持 控制措施是否有效 控制措施是否同的评价方法和评价标准分别开展评价 65 三 什么是内部控制审计评价 3 评价标准 定量标准 10项分析指标 66 ThankYou 67 我国内部控制相关的监管要求 财政部层面 68 我国内部控制相关的监管要求 上交所层面 69 70 建立一个健全的内部控制制度是公司高级管理层的职责 必须的工作 1 明确内控检查监督的专门职能部门2 确定并记录公司现有的内部控制流程 包括公司层面和部门层面 涵盖各业务流程环节和各项公司管理制度3 持续性地按照法律法规 部门规章及证券交易所上市规则的规定把建立 完善内部控制制度纳入长效管理机制 71 管理层对于内部控制执行的自我评估以及检查监督 必须的工作 1 制定内控监督检查办法和年度内部控制检查监督计划 跟踪内部控制执行缺陷并确保缺陷得到及时改进2 对关键控制点进行监督检查并记录检查结果 生成 内部控制检查监督工作报告 并每半年呈交董事会3 董事会或审计委员会审核 内部控制检查监督工作报告 并以此为基础制作 内部控制自我评估报告 并形成董事会决议4 披露 内部控制自我评估报告 以及会计师事务所对该报告出具的核实评价意见 内控自我评估理论知识介绍 CSA定义 内部控制自我评估 ControlSelf Assessment 简写成CSA 是一个对企业内部控制的效力进行检查和评价的过程 其目标是为企业实现所有经营目标提供合理的保证 对发现的内控缺陷进行持续整改 业务部门 子公司自我评估 对内控设计及文档修订维护 72 1987年 由于法庭判决要求报告内部控制制度以及传统审计程序对发现公司内部舞弊无能为力 加拿大海湾公司的内部审计部门着手设计一套全新的方法 他们称之为控制的自我评估 CSA 由员工和经理组成的各个小组出席由高级内部审计人员召集的为期一天的专题讨论会 在这些讨论会上 各小组畅所欲言 确认内部控制的运转情况 并需要采取相应的措施 控制自我评估 CSA 也被称为管理自我评估 控制和风险自我评估 经营活动自我评估以及控制 风险自我评估 是指企业内部为实现目标 控制风险而对内部控制系统的有效性和恰当性实施自我评估的方法 其有三个基本特征 关注业务的过程和控制的成效 由管理部门和职员共同进行 用结构化的方法开展自我评估 内部控制自我评估是一种在西方发达国家广泛使用的内部审计技术和工具 它是由管理层或业务人员直接参与的考察和评估内部控制效果的过程 其目的是为组织目标的实现提供合理保证 73 西方国家在实践中已经发展了多至20余种的CSA方法 但从其基本形式来看 主要有三种 即 引导会议法 问卷调查法和管理结果分析法 5 1引导会议法引导会议法是指把管理当局和员工召集起来就特定的问题或过程进行面谈和讨论的一种方法 CSA引导会议法又有四种主要形式 以控制为基础的 以程序为基础的 以风险为基础的和以目标为基础的 5 2问卷调查法问卷调查方法利用问卷工具使得受访者只要做出简单的 是 否 或 有 无 的反应 控制程序的执行者则利用调查结果来评价他们的内部控制系统 74 5 3管理结果分析法管理结果分析法是指除上述两种方法之外的任何CSA方法 通过这种方法 管理当局布置工作人员学习经营过程 CSA引导者 可以是一个内审人员 把员工的学习结果与他们从其他方面如其他经理和关键人员收集到的信息加以综合 通过综合分析这些材料 CSA引导者提出一种分析方法 使得控制程序执行者能在他们为CSA做出努力时利用这种分析方法 75 76 内控自我评估理论知识介绍 CSA的四种形式 基于控制目标的自评 识别最佳的控制技术是否已被用于达成控制目标 并且有效的将风险控制在可接受的水平 基于风险的自评 关注风险的识别和管理 检查现有控制活动是否足够用于防范关键风险 识别剩余风险以寻求控制活动的改进措施 基于控制执行的自评 关注控制运行的情况 分析实际运行情况与初始设计的差距 基于流程的自评 通过检查现有控制 对流程进行评估 更新和优化 内部控制是一个整合系统 它通过某种制度安排将企业内部各种资源 包括资金 人员 信息 文化等融合在一起 形成真正的生产能力 内部控制是一种控制机制 通过分析 计划 执行和评价反馈将各要素融合在一起 使之朝着企业既定的目标努力 内部控制是一个信息系统 从识别经营中的关键风险点 制定风险控制策略 到评价控制效率和效果并反馈给相关人员 体现了信息的获取 加工和处理 侍递的过程 控制论 信息论和系统论论恰好为内部控制评价的建立提供了理论上的支持 内部控制评价系统作为内部控制的子系统 其建立和发展理所当然受到上述理论的影响 77 控制论是研究复杂动态系统控制调整规律的科学 根据控制论的观点 一切控制系统所共有的基本特性是信息的交换和反馈过程 利用这些特征可以达到对系统的认识 分析和控制的目的 从控制论角度分析 内部控制着眼于企业内各具体组织的内部经营管理活动 每个单位发挥他们应有的管理功能 并在管理过程中实现自我调节和自我控制 最终使企业向着既定的目标努力 控制在很大程度上是管理工作成为一个闭环系统 控制论对内部控制评价的影响表现为 内部控制系统是管理控制系统的有机组成部分 内部控