公司治理与内部控制评价概述

1、公司治理与内部控制第四章 内部控制评价n第一节 内部控制评价概述n第二节 内部控制评价的对象与内容 n第三节 内部控制缺陷的认定 n第四节 内部控制评价的方法 n第五节 内部控制评价报告n为促进企业全面评价内部控制的为促进企业全面评价内部控制的设计与运行情况，规范内部控制设计与运行情况，规范内部控制评价程序和评价报告，揭示和防评价程序和评价报告，揭示和防范风险，范风险，财政部等五部委财政部等五部委专门制专门制定了定了企业内部控制评价指引企业内部控制评价指引。对内部控制的建立、实施进行评对内部控制的建立、实施进行评价，是优化内部控制自我监督机价，是优化内部控制自我监督机制的一项重要制度安排，是内

2、部制的一项重要制度安排，是内部控制的重要组成部分，与内部控控制的重要组成部分，与内部控制的建立、实施，共同构成有机制的建立、实施，共同构成有机循环。循环。 4.1 4.1 内部控制评价概述内部控制评价概述 n一、内部控制评价的作用一、内部控制评价的作用n第一，内部控制评价有助于企业自我完善第一，内部控制评价有助于企业自我完善内控体系内控体系。n第二，内部控制评价有助于提升企业市场第二，内部控制评价有助于提升企业市场形象和公众认可度。形象和公众认可度。 n第三，内部控制评价有助于实现与政府监第三，内部控制评价有助于实现与政府监管的协调互动。管的协调互动。 4.1 4.1 内部控制评价概述内部控制

3、评价概述n二、内部控制评价的对象二、内部控制评价的对象 n内部控制评价是对内部控制有效性发表意见。内部控制评价是对内部控制有效性发表意见。所谓内部控制有效性，是指企业建立与实施所谓内部控制有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程内部控制对实现控制目标提供合理保证的程度，包括内部控制设计的有效性和内部控制度，包括内部控制设计的有效性和内部控制运行的有效性。其中运行的有效性。其中：n内部控制设计的有效性内部控制设计的有效性，是指为实现控制，是指为实现控制目标所必需的内部控制要素都存在并且设计目标所必需的内部控制要素都存在并且设计恰当；恰当；内部控制运行的有效性内部控制运行的

4、有效性，是指现有内，是指现有内部控制按照规定程序得到了正确执行。部控制按照规定程序得到了正确执行。4.1 4.1 内部控制评价概述内部控制评价概述n评价内部控制运行的有效性，应当着重考评价内部控制运行的有效性，应当着重考虑以下几个方面：（虑以下几个方面：（1 1）相关控制在评价期）相关控制在评价期内是如何运行的；（内是如何运行的；（2 2）相关控制是否得到）相关控制是否得到了持续一致的运行；（了持续一致的运行；（3 3）实施控制的人员）实施控制的人员是否具备必要的权限和能力。是否具备必要的权限和能力。4.1 4.1 内部控制评价概述内部控制评价概述n三、三、 内部控制评价的原则内部控制评价的原

5、则n（1 1）全面性原则。）全面性原则。全面性原则强调的是内部全面性原则强调的是内部控制评价的涵盖范围应当全面控制评价的涵盖范围应当全面，具体来说具体来说，是指内部控制评价工作应当包括内部控制的是指内部控制评价工作应当包括内部控制的设计与运行设计与运行，涵盖企业及其所属单位的各种涵盖企业及其所属单位的各种业务和事项业务和事项。n（2 2）重要性原则。）重要性原则。重要性原则强调内部控制重要性原则强调内部控制评价应当在全面性的基础之上评价应当在全面性的基础之上，着眼于风险着眼于风险，突出重点突出重点。 4.1 4.1 内部控制评价概述内部控制评价概述n（3 3）客观性原则客观性原则。客观性原则强

6、调内部控制客观性原则强调内部控制评价工作应当准确地揭示经营管理的风险状评价工作应当准确地揭示经营管理的风险状况况，如实反映内部控制设计和运行的有效性如实反映内部控制设计和运行的有效性。n须要特别注意的是，财政部、银监会等五部须要特别注意的是，财政部、银监会等五部门制定的门制定的企业内部控制评价指引企业内部控制评价指引提出的提出的内部控制评价原则是企业实施内部控制评价内部控制评价原则是企业实施内部控制评价工作时至少遵循的三项最基本的原则。工作时至少遵循的三项最基本的原则。n同时，企业应根据评价工作目标与企业自身同时，企业应根据评价工作目标与企业自身的特点补充参考以下原则：的特点补充参考以下原则：

7、 4.1 4.1 内部控制评价概述内部控制评价概述n（1 1）风险导向原则。）风险导向原则。内部控制评价应当以风内部控制评价应当以风险评估为基础，根据风险发生的可能性和对企险评估为基础，根据风险发生的可能性和对企业单个或整体控制目标产生的影响程度来确定业单个或整体控制目标产生的影响程度来确定需要评价的重点业务单元、重点业务领域或流需要评价的重点业务单元、重点业务领域或流程环节的相关内部控制。程环节的相关内部控制。n（2 2）独立性原则。）独立性原则。内部控制评价机构的确定内部控制评价机构的确定及评价工作的组织实施应当保持相应的独立性。及评价工作的组织实施应当保持相应的独立性。n（3 3）成本效

8、益原则。）成本效益原则。内部控制评价应当以适内部控制评价应当以适当的成本实现科学、有效的评价。当的成本实现科学、有效的评价。 4.2 4.2 内部控制评价的对象与内容内部控制评价的对象与内容 n企业内部控制评价指引企业内部控制评价指引第第五五条条规定：规定：“企业应当根据企业应当根据企业内部控制基本规企业内部控制基本规范范、应用指引以及本企业的内部控制制、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与控制评价的具体内容，对内部控

9、制设计与运行情况进行全面评价运行情况进行全面评价”。具体来说，。具体来说，内内部控制评价的内容部控制评价的内容包括：包括： 4.2 4.2 内部控制评价的对象与内容内部控制评价的对象与内容n（1 1）内部环境评价内部环境评价。应当包括组织架构、发应当包括组织架构、发展战略、人力资源、企业文化、社会责任等展战略、人力资源、企业文化、社会责任等方面方面。n（2 2）风险评估评价风险评估评价。应当对日常经营管理过应当对日常经营管理过程中的目标设定程中的目标设定、风险识别风险识别、风险分析风险分析、应应对策略等进行认定和评价对策略等进行认定和评价。n（3 3）控制活动评价控制活动评价。应对企业各类业务

10、的控应对企业各类业务的控制措施与流程的设计有效性和运行有效性进制措施与流程的设计有效性和运行有效性进行认定和评价行认定和评价。 4.2 4.2 内部控制评价的对象与内容内部控制评价的对象与内容n（4 4）信息与沟通评价信息与沟通评价。应当对信息收集应当对信息收集、处处理和传递的及时性理和传递的及时性、反舞弊机制的健全性、财反舞弊机制的健全性、财务报告的真实性、信息系统的安全性务报告的真实性、信息系统的安全性，以及利以及利用信息系统实施内部控制的有效性进行认定和用信息系统实施内部控制的有效性进行认定和评价评价。n（5 5）内部监督评价内部监督评价。应当对管理层对于内部应当对管理层对于内部监督的基

11、调监督的基调、监督的有效性及内部控制缺陷认监督的有效性及内部控制缺陷认定的科学定的科学、客观客观、合理进行认定和评价合理进行认定和评价。重点重点关注监事会、审计委员会、内部审计机构等是关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥作用否在内部控制设计和运行中有效发挥作用。 4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定 n 一、内部控制缺陷的类型一、内部控制缺陷的类型n当内部控制的设计或运行不允许管理层或雇当内部控制的设计或运行不允许管理层或雇员实施他们的职能来及时防止错误与舞弊的员实施他们的职能来及时防止错误与舞弊的发生，就发生了内部控制缺陷。发生，就发生了内

12、部控制缺陷。内部控制缺内部控制缺陷主要有以下三种分类方法。陷主要有以下三种分类方法。n1.1.设计缺陷和运行缺陷设计缺陷和运行缺陷n企业内部控制评价指引企业内部控制评价指引第十六条指出，第十六条指出，内部控制缺陷包括设计缺陷和运行缺陷。内部控制缺陷包括设计缺陷和运行缺陷。4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n企业对内部控制缺陷的认定，应当以日常监企业对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评督和专项监督为基础，结合年度内部控制评价，由内部控制评价部门进行综合分析后提价，由内部控制评价部门进行综合分析后提出认定意见，按照规定的权限和程序进行审出认定意

13、见，按照规定的权限和程序进行审核后予以最终认定。核后予以最终认定。n设计缺陷和运行缺陷设计缺陷和运行缺陷是是内部控制缺陷内部控制缺陷的的成因成因（或来源或来源）。）。 4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n设计缺陷设计缺陷是指是指企业企业缺少为实现控制目标所必缺少为实现控制目标所必需的控制需的控制，或现存控制设计不适当或现存控制设计不适当，即使正常即使正常运行也难以实现控制目标运行也难以实现控制目标。n运行缺陷运行缺陷是指设计有效（合理且适当）的内是指设计有效（合理且适当）的内部控制由于运行不当（包括由不恰当的人执行、部控制由于运行不当（包括由不恰当的人执行、未按设计的方式运行

14、、运行的时间或频率不当、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效运行等）而形成的内部控制没有得到一贯有效运行等）而形成的内部控制缺陷缺陷。【提示提示】内部控制缺陷识别的基础】内部控制缺陷识别的基础n内部控制缺陷内部控制缺陷是内部控制过程存在的缺点或不足，这种缺点或不足使得内部控制无法为控制目标的实现提供合理保证。内部控制评内部控制评价的目的价的目的是要发现内部控制缺陷，不断提高为内部控制目标实现提供合理保证的程度。n对内部控制缺陷的识别以及缺陷严重程度的划分是基于目标导向来进行内部控制缺陷的基于目标导向来进行内部控制缺陷的识别与评估识别与评估。n内部控制未能实现目标的原因分为

15、两种：内部控制未能实现目标的原因分为两种：内控缺陷和内控局限性。【提示提示】内部控制缺陷识别的基础】内部控制缺陷识别的基础n（一）内部控制缺陷和内部控制局限性的（一）内部控制缺陷和内部控制局限性的共共性表现性表现n（1）两者都以目标为判断的准绳，内部控制缺陷表现在不能为控制目标的实现提供合理保证；而内部控制的局限性体现在能够为控制目标的实现提供合理保证，但不能为控制目标的实现提供绝对保证。n（2）它们都产生于内部控制设计和运行两个环节；【提示提示】内部控制缺陷识别的基础】内部控制缺陷识别的基础n（3）尽管内部控制包括预防性控制和检查性控制，但它对蓄意策划的合谋和管理层越权行为而言是无能为力的，

16、这既是内部控制的固有局限性，也是内部控制最严重的运行缺陷。n（4）衡量缺陷和局限性的标准不是看是否实际发生偏离目标，而是看是否具有合理可能性。【提示提示】内部控制缺陷识别的基础】内部控制缺陷识别的基础n（二）内部控制缺陷和内部控制局限性的区（二）内部控制缺陷和内部控制局限性的区别别n（1）内部控制缺陷内部控制缺陷是内部控制设计者在设计过程中未意识到缺点，以及内部控制执行过程中不按设计意图运行而产生运行结果偏差的可能；内部控制局限性内部控制局限性则是设计者在设计过程中事先预留的风险敞口，以及运行过程中按照设计意图运行也无法实现控制目标的可能。【提示提示】内部控制缺陷识别的基础】内部控制缺陷识别的

17、基础n（2）由于内部控制存在着局限性，内控只能为控制目标的实现提供合理保证，而不是绝对保证；内部控制缺陷的存在使得内部控制过程无法为控制目标的实现提供合理保证。n（3）内部控制存在着因合谋和越权而失效的可能，这表现为内部控制的局限性；但但某一控制过程存在着合谋或越权的迹象，则表现为内部控制的缺陷。【提示提示】内部控制缺陷识别的基础】内部控制缺陷识别的基础n重要提示：重要提示：无论是将内控的局限性误当内控无论是将内控的局限性误当内控缺陷进行认定和揭露，还是误将缺陷作为局缺陷进行认定和揭露，还是误将缺陷作为局限性来忽略，都将导致内部控制过程偏离控限性来忽略，都将导致内部控制过程偏离控制目标并可能导

18、致内部控制有效性信息的虚制目标并可能导致内部控制有效性信息的虚假揭露。为保证内控缺陷识别和评估的科学假揭露。为保证内控缺陷识别和评估的科学性，必须厘清内部控制缺陷和内部控制局限性，必须厘清内部控制缺陷和内部控制局限性的共性与区别。性的共性与区别。4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n2.2.重大缺陷、重要缺陷和一般缺陷重大缺陷、重要缺陷和一般缺陷n企业内部控制评价指引企业内部控制评价指引第十七条指出，第十七条指出，企业在日常监督、专项监督和年度评价工作企业在日常监督、专项监督和年度评价工作中，应当充分发挥内部控制评价工作组的作中，应当充分发挥内部控制评价工作组的作用。用。内部控

19、制评价工作组内部控制评价工作组应当根据现场测试应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为并按其影响程度分为重大缺陷、重要缺陷和重大缺陷、重要缺陷和一般缺陷一般缺陷。 4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n（1 1）重大缺陷重大缺陷。即即指一个或多个控制缺陷的指一个或多个控制缺陷的组合组合，可能导致可能导致企业企业严重偏离控制目标严重偏离控制目标。当当存在任何一个或多个内部控制重大缺陷时存在任何一个或多个内部控制重大缺陷时，应当在内部控制评价报告中作出内部控制无应当在内部控制评价报告中作出内部控制无效的结论效

20、的结论。n（2 2）重要缺陷重要缺陷。即即指一个或多个控制缺陷的指一个或多个控制缺陷的组合组合，其严重程度低于重大缺陷其严重程度低于重大缺陷，但仍有可但仍有可能导致企业偏离控制目标能导致企业偏离控制目标。4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n重要缺陷的严重程度低于重大缺陷重要缺陷的严重程度低于重大缺陷，不会严不会严重危及内部控制的整体有效性重危及内部控制的整体有效性，但也应当引但也应当引起董事会、经理层的充分关注起董事会、经理层的充分关注。n（3 3）一般缺陷一般缺陷。即即指除重大缺陷指除重大缺陷、重要缺陷重要缺陷以外的其他控制缺陷以外的其他控制缺陷。n在对在对内部控制缺陷内部

21、控制缺陷的的认定过程中认定过程中，需要内部需要内部控制评价人员充分运用职业判断控制评价人员充分运用职业判断。 【提示提示】内部控制缺陷的识别、严重性评估】内部控制缺陷的识别、严重性评估n（一）内部控制缺陷识别（一）内部控制缺陷识别n（1）测试识别方法。）测试识别方法。即采用控制过程技术分析、符合性测试等手段识别内部控制的设计缺陷和运行缺陷。n设计缺陷一般从两个角度识别：设计缺陷一般从两个角度识别：缺失和设计不当；n运行缺陷运行缺陷需要通过对内控执行过程的穿行测穿行测试试来发现。【提示提示】内部控制缺陷的识别、严重性评估】内部控制缺陷的识别、严重性评估n（2）迹象识别方法。）迹象识别方法。即通过

22、所发现的已经背离内部控制目标的迹象，识别内部控制设计缺陷和运行缺陷。表明内控缺陷的迹象包括：表明内控缺陷的迹象包括：管理层的舞弊行为，内控系统未能发现或虽已发现但不能给予有效的制止；因决策过程违规、违法使用资金等受到监管部门的处罚或责令整改；审计委员会或者外部审计师发现财务报表存在错报；企业资产出现贪污、挪用等行为；某个业务领域频繁地发生相似的重大诉讼案件。【提示提示】内部控制缺陷的识别、严重性评估】内部控制缺陷的识别、严重性评估n（二）缺陷严重程度的评估（二）缺陷严重程度的评估n（1）评估依据。）评估依据。以偏离控制目标的可能性和偏离目标的程度作为衡量缺陷严重性的标准。n注：注：企业内部控制

23、基本规范企业内部控制基本规范及其配套指及其配套指引赋予了企业在内部控制缺陷严重程度判断引赋予了企业在内部控制缺陷严重程度判断中的自由裁量权，允许企业在判断缺陷是否中的自由裁量权，允许企业在判断缺陷是否重大时考虑自身的行业特征、风险偏好和风重大时考虑自身的行业特征、风险偏好和风险可容忍度、所处的特定环境。险可容忍度、所处的特定环境。n（2）充分考虑缺陷组合和替代性控制）充分考虑缺陷组合和替代性控制（补偿性控制）。【提示提示】内部控制缺陷的识别、严重性评估】内部控制缺陷的识别、严重性评估n【案例案例】某公司出纳员张丽娜从公司收发室】某公司出纳员张丽娜从公司收发室截取了顾客李伟给公司的分期付款的截取

24、了顾客李伟给公司的分期付款的12001200元元支票，存入了由她负责的公司零用金银行存支票，存入了由她负责的公司零用金银行存款户中。然后，在该存款户中以支付劳务费款户中。然后，在该存款户中以支付劳务费为由开了一张以自己为收款人的为由开了一张以自己为收款人的12001200元支票，元支票，签名后从银行中兑取了现金。签名后从银行中兑取了现金。n在与客户对账时，她将在与客户对账时，她将“应收账款应收账款李伟李伟”账户余额扣减账户余额扣减12001200元后作为对账金额发给李元后作为对账金额发给李伟对账单，表示伟对账单，表示12001200元已经收到。元已经收到。4.3 4.3 内部控制缺陷的认定内部

25、控制缺陷的认定n1010天后，她编制了一笔会计分录，借记天后，她编制了一笔会计分录，借记“银银行存款行存款”，贷记，贷记“应收账款应收账款李伟李伟”12001200元，元，将将“应收账款应收账款李伟李伟”账户调整到正确余账户调整到正确余额，但银行存款账面余额却比银行对账单高额，但银行存款账面余额却比银行对账单高列了列了12001200元。元。n月底，在编制银行存款余额调节表时，她在月底，在编制银行存款余额调节表时，她在调节表上虚列了两笔未达账项，将银行存款调节表上虚列了两笔未达账项，将银行存款余额调节表调平。余额调节表调平。n【要求要求】就上述情况分析该公司内部控制制】就上述情况分析该公司内部

26、控制制度中存在哪些缺陷？重要性如何？度中存在哪些缺陷？重要性如何？4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n3 3财务报告缺陷和非财务报告缺陷财务报告缺陷和非财务报告缺陷n按照影响内部控制目标的具体表现形式按照影响内部控制目标的具体表现形式，可可以将内部控制缺陷分为财务报告缺陷和非财以将内部控制缺陷分为财务报告缺陷和非财务报告缺陷务报告缺陷。导致财务报告出现重要错报的。导致财务报告出现重要错报的内部控制缺陷，是内部控制缺陷，是财务报告缺陷财务报告缺陷；尽管内部；尽管内部控制存在缺陷，但这种缺陷不会导致财务报控制存在缺陷，但这种缺陷不会导致财务报告出现重要错报，这种内部控制缺陷则是告

27、出现重要错报，这种内部控制缺陷则是非非财务报告缺陷财务报告缺陷。 4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n二、内部控制缺陷的认定标准二、内部控制缺陷的认定标准n企业企业应当根据应当根据企业内部控制评价指引企业内部控制评价指引，结合自身情况和关注的重点结合自身情况和关注的重点，自行确定内部自行确定内部控制重大缺陷控制重大缺陷、重要缺陷和一般缺陷的具体重要缺陷和一般缺陷的具体认定标准认定标准。根据具体认定标准认定根据具体认定标准认定企业企业存在存在的内部控制缺陷的内部控制缺陷，由董事会最终审定由董事会最终审定。 （1 1）三种类型缺陷的定性分类标准）三种类型缺陷的定性分类标准 缺陷分

28、类缺陷分类 影响内部控影响内部控制的可能性制的可能性 且且或或 影响的严重影响的严重程度程度 重大缺陷重大缺陷 可能或很可可能或很可能能 且且 严重影响严重影响 重要缺陷重要缺陷 可能或很可可能或很可能能 且且 介于重大缺介于重大缺陷与一般缺陷与一般缺陷之间陷之间 一般缺陷一般缺陷 极小可能极小可能 或或 一般一般 4.3 4.3 内部控制缺陷的认定内部控制缺陷的认定n（2 2）定量分析。）定量分析。 例如，错报的量化即错报的例如，错报的量化即错报的概率可以借鉴我国概率可以借鉴我国企业会计准则第企业会计准则第13号号或或有事项有事项应用指南的规定：应用指南的规定：“基本确定基本确定”为大为大于

29、于95但小于但小于100；“很可能很可能”为大于为大于50但小于等于但小于等于95；“可能可能”为大于为大于5但小于但小于或等于或等于50；“极小可能极小可能”为大于为大于0但小于等但小于等于于5。 【提示提示】内部控制缺陷的认定与应对】内部控制缺陷的认定与应对n缺陷识别和严重性评估在很大程度上属于技术层面的问题，但缺陷认定则属于管理层面的问题（见下页表格见下页表格）。缺陷影缺陷影响程度响程度判断标准判断标准认定并负责认定并负责纠偏的机构纠偏的机构应对措施应对措施一般缺陷对存在的问题不采取任何行动可能导致微小范围的目标偏离。内部控制评价部门给予常规关注，将目前状况调整至可接受水平。重要缺陷对存

30、在的问题不采取任何行动有一定的可能导致较大的负面影响。经理层经理层应采取行动或者督促有关部门采取行动解决存在的问题，阻止对控制目标产生较大负面影响的事件的发生；属于设计环节的缺陷，应在采取纠正措施的同时，着手修订内控制度。续上表缺陷影缺陷影响程度响程度判断标准判断标准认定并负责认定并负责纠偏的机构纠偏的机构应对措施应对措施重大缺陷对存在的问题不采取任何行动有较大的可能导致严重的偏离控制目标的行为。董事会董事会给予关注，并督促有关部门立即进行原因分析、采取纠错行动；属于设计环节的缺陷，应在采取纠正措施的同时，着手修订内控制度。4.4 4.4 内部控制评价内部控制评价的的方法方法 n企业内部控制评

31、价指引企业内部控制评价指引第十五条规定第十五条规定，内部控制评价工作组应当对被评价单位进行内部控制评价工作组应当对被评价单位进行现场测试现场测试，综合运用个别访谈综合运用个别访谈、调查问卷调查问卷、专题讨论专题讨论、穿行测试穿行测试、实地查验实地查验、抽样和比抽样和比较分析等方法较分析等方法，充分收集被评价单位内部控充分收集被评价单位内部控制设计和运行是否有效的证据制设计和运行是否有效的证据，按照评价的按照评价的具体内容具体内容，如实填写评价工作底稿如实填写评价工作底稿，研究分研究分析内部控制缺陷析内部控制缺陷。4.5 4.5 内部控制评价报告内部控制评价报告n企业内部控制评价指引企业内部控制评价指引第二十条规定，第二十条规定，企业应当根据企业应当根据企业内部控制基