企业内部控制培训教学课件

1、组织目标、风险管理和内部控制 通过风险管理实现组织目标第1页，共92页。安然事件“全球领先企业” “美国最具创新精神的公司”世界最大的能源交易商2000年的总收入1010亿美元资产额620亿美元财富杂志“美国500强”的第七名掌控着美国20的电能和天然气交易所有证券评级机构强力推荐的绩优股公司营运业务覆盖全球40个国家和地区疏于职守虚报账目误导投资人牟取私利第2页，共92页。中航油事件 石油衍生品期权交易 高位斩仓，造成5.5亿美元的巨额亏损。 中国航油向当地法院寻求债务重组。 自1994年巴林银行破产案以来最为严重的一次金融事件。 “弃卒”陈久霖判刑四年零三个月，同时遭罚款33.5万新加坡元

2、。 信息披露不实涉嫌内幕交易国有企业管理体制缺陷第3页，共92页。案例 简介： 某公司在各分厂电脑上安装了工资结算程序,但数据需要各劳资员按工资条输入。一名劳资员找来精通电脑的孙某修电脑，孙某乘人不注意时修改了工资结算程序，捏造了一些虚增帐号及金额，或在一些职工工资单内虚增金额，然后在工资结算程序里修改数据，将虚增金额分别增加到他掌握的工资卡帐户里，造成工资总额虚增。该事件历时四年后才在一次例行检查中被发现。 点评： 该公司信息化过程中，缺乏有效的程序控制和制度控制，即在数据的输入、处理、维护；机构和人员的授权、系统操作的授权管理等方面存在薄弱环节，同时，也缺乏定期的检查机制，从而导致长期存在

3、问题却未能发现。第4页，共92页。案例简介： 某机械设备制造公司在总经理离任时审计发现，原材料帐实差异达1500万。点评： 经调查发现，该公司仓储管理内部控制存在诸多薄弱环节：原材料领用经常不开具领料单据；仓库与其他生产经营场所缺乏有效物理阻隔；没有定期盘点和与财务对帐；仓储系统数据可随意更改；部分价值较高的零部件露天摆放、因日晒雨淋遭受损毁。第5页，共92页。案例 简介： 某公司2004年度外币借款为2180.08万欧元，由于长期以来汇率相对稳定，该公司一直未对汇率风险进行评估。2004年末，人民币对欧元汇率发生较大波动，年初欧元汇价为10.3383，至2004年12月31日，汇价上升为11

4、.2627。由于欧元汇价的上升，该公司形成2017万元的汇兑损失。 点评： 1994年1月1日起，我国实现人民币汇率并轨，实行以市场供求为基础，有管理的浮动汇率制。在浮动汇率制下，汇率每天都在变动。以航运企业为例，国际航运企业在筹资、船舶投资、日常经营活动中，以外币计价或定值的资产或负债，由于汇率变动可能遭受外汇风险。在资金筹措中，国际商业银行贷款币种与将要支付的造船投资的币种可能不一致，以及贷款所取得的时间和需要进行支付的时间也可能不一致，从而会造成相应的汇率风险。第6页，共92页。第7页，共92页。第8页，共92页。1. WHAT什么是风险管理？第9页，共92页。1. WHAT什么是风险管

5、理？ 1.1 风险的定义 是指可能对目标的实现产生影响的事情发生的不确定性（uncertainty ）。 风险的衡量标准是后果与可能性（consequences and likelihood）。 IIA（国际内部审计师协会）第10页，共92页。1. WHAT什么是风险管理？1.2 风险的类别 Economic (经济) Political (政治) Legal (法律)Technology (科技)Competition (竞争)Foreign Exchange (外汇)Market stagnation (市场萧条)Supplier (供应商)Market related risk (市场固

6、有风险)Security/fraud activity (安全/欺诈行为)Change in IT (IT 变革)People (人)Reputation/media (声誉/媒体)Product/Production (产品/生产)Purchasing/Procurement (采购)Accounting (会计)Working capital mgmt (流动资本管理)Management information (管理信息)Financial controls (财务控制)第11页，共92页。1. WHAT什么是风险管理？1.3 风险的特点 长期存在 不总能被消除 必须与机会同时权衡第1

7、2页，共92页。1. WHAT什么是风险管理？ 1.4 风险管理的定义 是组织的董事会、管理层和其他员工共同参与的一个过程，应用于组织的战略制定和组织的各个部门和各项经营活动，用于确认可能影响组织的潜在事项并在其风险偏好范围内管理风险，对组织目标的实现提供合理的保证。 COSO（发起组织委员会）第13页，共92页。1. WHAT什么是风险管理？ 是一个过程，其本身并不是一个目的，而是实现目的的一种方式。 受人的影响，它不只是组织的政策、调查和表格，还涉及组织各个层次员工。 也适用于组织战略制定过程。 应在整个组织范围内应用，在每一个经营层面和每一个单位内应用，并应以一种组织总体的风险组合的观点

8、来看待。 风险管理的设计应有助于确认会对组织造成潜在影响的事项并确保在组织风险偏好的范围内管理组织的风险。 仅为组织的管理者和董事会提供合理的保证。 目标是帮助组织一类或几类单独并相互重叠的目标的实现。第14页，共92页。术语 COSO全国虚假财务报告委员会下属的发起人委员会（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting）的英文缩写。1985年，由美国注册会计师协会（AICPA）、美国会计协会（AAA）、财务经理人协会（FEI）、内部审

9、计师协会（IIA）、管理会计师协会（IMA）联合创建了反虚假财务报告委员会（通常称Treadway委员会），旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。两年后，基于该委员会的建议，其赞助机构成立COSO，专门研究内部控制问题。第15页，共92页。术语 风险偏好一个组织在追求价值最大化的同时所愿意接受的风险的数量。组织通常采用定性的方法分析风险偏好，将其分为高、中、低三类；或者采用定量的方法分析风险偏好，反映出组织的成长性、收益性和风险目标，并在三个目标之间进行平衡。第16页，共92页。术语 风险容忍度与要实现的目标相关的偏差的可接受程度。在确定某一特定的风险容忍度时，管理者应考虑相关目

10、标的相对重要性并将风险容忍度与组织的风险偏好联系在一起。在风险容忍度的范围之内经营更能够保证组织所承受的风险在其风险偏好的范围内。反过来，就能够对组织目标的实现提供更高程度的保证。第17页，共92页。2. WHY为什么进行风险管理？第18页，共92页。2. WHY为什么进行风险管理？环境投资者政府及其他机构管理者第19页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 将风险偏好和组织的战略结合在一起风险偏好是一个组织在追求其目标的过程中愿意接受的风险的程度。管理者在评估组织的战略方案时首先要考虑组织的风险偏好，其后，在制定与组织战略相对应的目标和建立一定的机制管理相应的风险

11、时也应考虑组织的风险偏好。第20页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 将组织成长、风险和收益联系起来经济主体在组织价值保值、增值的过程中也要接受相应的风险，同时预期补偿风险的相应收益。组织风险管理提高了组织确认和评估风险的能力，进而使组织能够确定相对于组织成长性和收益目标而言的风险的可接受水平。第21页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 增加风险反应决策组织风险管理提供了确认和选择不同的风险反应方案的严格标准。组织的风险反应方案包括风险规避、风险降低、风险共担和风险接受。组织风险管理提供了进行相关决策的方法和技术。第22页，共92

12、页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 使组织的经营意外和损失最小化经济主体可能提高确认潜在事项、评估风险和明确反应方案，最后减少经营意外的出现次数以及减少相应的成本或损失。第23页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 确认和管理组织的总体风险每一个经济主体都面临着许多风险，而不同的风险会影响组织经营的各个方面。管理不仅需要对每一种风险进行管理，还需要了解风险对组织总体的影响。第24页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 针对多重风险提供完整的反应方案组织的经营过程存在许多内在的风险，组织风险管理就是为管理风险提供

13、一整套解决方案。第25页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 抓住机遇管理不仅要考虑风险，还需要考虑潜在的事项对组织的影响。对潜在事项有一个完整的了解可以使管理对每一潜在事项表明何种机遇有一个了解。第26页，共92页。2. WHY为什么进行风险管理？ 2.1风险管理的优点 合理分配资金关于组织总体风险的更为明确的信息可以使组织的管理者能够更加有效地评估组织总体的资金需要，改进组织的资金配置。第27页，共92页。3. WHO谁来实施风险管理？第28页，共92页。3. WHO谁来实施风险管理？ 组织中的每个人在风险管理中都负有责任。 第29页，共92页。3. WHO谁

14、来实施风险管理？董事会及风险管理委员会总经理及所属专职部门各职能部门制定风险管理战略、重大决策制定风险管理具体方案执行风险管理基本流程第30页，共92页。3. WHO谁来实施风险管理？商用车技术中心部门成员院职能部门南汽研究院风险政策实施院级风险政策专业领域级风险政策中心级风险政策上海汽车内控工作小组中心职能部门公司级风险政策第31页，共92页。4. HOW如何进行风险管理？第32页，共92页。4. HOW如何进行风险管理？ 4.1 风险管理8要素 内部环境事项确认风险评估风险应对控制活动信息和沟通监督目标设定第33页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 内部环境组

15、织的内部环境是其他所有风险管理要素的基础，为其他要素提供规则和结构。内部环境影响组织战略和目标的制定、业务活动的组织和风险的识别、评估和执行等等。它还影响组织控制活动的设计和执行、信息和沟通系统以及监控活动。第34页，共92页。4. HOW如何进行风险管理？ 内部环境 组织员工的道德观和胜任能力 人员的培训 管理者的经营模式 分配权限和职责的方式 董事会 组织的管理者第35页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 目标制定根据组织确定的任务或预期，管理者确定组织的战略目标，选择战略方案，确定相关的子目标并在组织内层层分解和落实，各子目标都应遵循组织的战略方案并与战略方

16、案相联系。第36页，共92页。4. HOW如何进行风险管理？战略目标经营目标报告目标合法目标 目标制定资产安全第37页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 事项识别当管理者意识到了不确定性的存在，就应识别某一事项是否会发生、何时发生或者如果发生其结果如何。第38页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 风险评估风险评估可以使组织了解潜在事项如何影响组织目标的实现。管理者应从两个方面对风险进行评估风险发生的可能性和影响。第39页，共92页。4. HOW如何进行风险管理？ 可能性和影响与风险的关系 偶发性重要性无关性日常性 可能性影响第40页，

17、共92页。附录：风险管理常用技术方法极低 低 中等 高 极高 影响程度极高高中等低极低可能性风险坐标图把风险发生可能性的高低、风险发生后对目标的影响程度，绘制成直角坐标系。第41页，共92页。附录：风险管理常用技术方法定量方法一评分12345定量方法二一定时期发生的概率10%以下10% - 30%30% - 70%70% - 90%90%以上定性方法文字描述一极低低中等高极高文字描述二一般情况下不会发生极少情况下才发生某些情况下发生较多情况下发生常常会发生文字描述三今后10年内发生的可能少于1次今后510年内可能发生1次今后25年内可能发生1次今后1年内可能发生1次今后1年内至少发生1次例：风

18、险发生可能性的定性、定量评估标准 第42页，共92页。附录：风险管理常用技术方法例：风险发生影响程度的定性、定量评估标准 定量方法一评分12345定量方法二企业财务损失占税前利润的百分比(%）1%以下1%-5%6%-10%11%-20%20%以上定性方法文字描述一极轻微的轻微的中等的重大的灾难性的文字描述二极低低中等高极高文字描述三企业日常运行不受影响轻度影响(造成轻微的人身伤害，情况立刻受到控制)中度影响(造成一定人身伤害，需要医疗救援，情况需要外部支持才能得到控制)严重影响(企业失去一些业务能力，造成严重人身伤害，情况失控，但无致命影响)重大影响(重大业务失误，造成重大人身伤亡，情况失控，

19、给企业致命影响)财务损失较低的财务损失轻微的财务损失中等的财务损失重大的财务损失极大的财务损失第43页，共92页。术语例：风险发生影响程度的定性、定量评估标准 定量方法一评分12345定量方法二企业财务损失占税前利润的百分比(%）1%以下1%-5%6%-10%11%-20%20%以上定性方法文字描述一极轻微的轻微的中等的重大的灾难性的文字描述二极低低中等高极高文字描述三企业日常运行不受影响轻度影响(造成轻微的人身伤害，情况立刻受到控制)中度影响(造成一定人身伤害，需要医疗救援，情况需要外部支持才能得到控制)严重影响(企业失去一些业务能力，造成严重人身伤害，情况失控，但无致命影响)重大影响(重大

20、业务失误，造成重大人身伤亡，情况失控，给企业致命影响)财务损失较低的财务损失轻微的财务损失中等的财务损失重大的财务损失极大的财务损失第44页，共92页。术语误拒风险：推断某一重大风险存在而实际上不存在的风险。 风险的误拒和误受影响影响风险管理效率。风险种类误受风险：推断某一重大风险不存在而实际上存在的风险。 影响风险管理效果。第45页，共92页。案例：风险评估的复杂性一个车库的燃气罐的阀门老化致使燃气泄漏；车库的门是关闭的，来保持邻近的办公室的取暖；车库门的远程控制装置被卡车驾驶员将车开进车道而启动。同时存在气体以及车库开启者发动车辆的火花导致了一场爆炸，这些单独的事件联系在一起而导致一个重大

21、风险。第46页，共92页。案例：期望理论对风险评估的影响每个人对潜在的收益和损失会有不同的反应，风险如何形成关注向上（潜在收益）或向下（潜在损失）经常会影响人们的反应。期望理论考察人们的决策、认为个人并非风险中性的；而对损失的反应要比对收益的反应更为极端。为说明这一点，例如一个人面临两组选择：A 肯定能得到￥240 ，或者：25%的机会得到￥1000，75%的机会什么也得不到；B 肯定损失￥760 ，或者：75%的机会损失￥1000，25% 的机会什么也不损失。第47页，共92页。案例：期望理论对风险评估的影响在第一组选择中，大多数人会选择“￥240 的确定收益”，因为在考虑收益以及正面影响的

22、问题时，人们的倾向是风险规避的。而在第二组选择中，大多数人会选择“75%的机会损失￥1000”。因为考虑损失和负面影响的问题时，人们的倾向是风险偏好的。期望理论认为人们不愿在他们已有的或可能会有的事件上增加风险，但当他们认为能够最小化损失时，将会有更高的风险承受力。人们在决策中的倾向性在企业单位、职能部门和活动中得到展现，例如，一些员工在追求盈利时更习惯于采取风险性高的措施，而其他一些人则寻求最小的损失，通过认识人们的这些倾向，管理者能制定信息来加强整个企业的风险偏好和行为。第48页，共92页。我们在哪里？一、组织目标、风险管理和内部控制1.什么是风险管理？2.为什么进行风险管理？3.谁来实施

23、风险管理？4.如何进行风险管理？ 4.1 风险管理8要素 4.2 风险管理要素和组织目标的关系 4.3 组织目标、 风险和控制活动的关系 4.4 风险管理的有效性 4.5 风险管理的局限性二、相关政策和法规介绍三、商用车技术中心内控建设工作简介内部环境目标设定事项识别风险评估风险应对控制活动信息和沟通监督在这里！第49页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 风险应对管理者可以制定不同风险反应方案，并在风险容忍度和成本效益原则的前提下，考虑每个方案如何影响事项发生的可能性和事项对组织的影响，并设计和执行风险反应方案。第50页，共92页。4. HOW如何进行风险管理？

24、风险应对 规避风险：采取措施退出会给组织带来风险的活动。 减少风险：减少风险发生的可能性、减少风险的影响或者两者同时减少。 共担风险：通过转嫁或与他人共担一部分风险来降低风险发生的可能性或影响。 接受风险：不采取任何行动。第51页，共92页。案例：风险应对规避 一个非盈利组织对其员工提供的直接医疗服务的风险进行识别和评估，决定不接受相关联的风险，该组织决定提供一个转诊介绍服务来替代；减轻 一个证券清算公司对其系统失效3 个小时以上的风险进行识别和评估，得出不能接受这样一个事件发生的影响，公司对提高自我检查失败和减少系统失灵的支持系统技术进行投资来减轻该风险；分担 一所大学对管理学生宿舍相关的风

25、险进行识别和评估，得出结论，认为学校没有必备的内部能力来有效地管理大的住宅资产，学校将宿舍管理外包给一家资产管理公司，能更好地减轻资产相关风险的影响和可能性。接受 一个政府机构对火灾引起的不同地理区域基础设施的风险进行识别和评估，并评估了采用保险来分担该风险影响的成本，得出结论，认为保险的增量成本与相关的支出超过可能的重置成本，因而决定接受该风险。第52页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 控制活动控制活动是帮助保证风险反应方案得到正确执行的相关政策和程序。控制活动存在于组织的各部分、各个层面和各个部门。控制活动是组织努力实现其商业目标的过程的一部分。通常包括两个

26、要素：确定应该做什么的一个政策和影响该政策的一系列过程。第53页，共92页。4. HOW如何进行风险管理？ 控制活动应遵循的原则 全面性原则 重要性原则 制衡性原则 适应性原则 成本效益原则第54页，共92页。4. HOW如何进行风险管理？ 控制活动可以采取的方式 不相容职务分离控制 授权审批控制 会计系统控制 财产保护控制 预算控制 运营分析控制 绩效考评控制第55页，共92页。4. HOW如何进行风险管理？ 4.1风险管理8要素 信息和沟通来自于组织内部和外部的相关信息必须以一定的格式和时间间隔进行确认、捕捉和传递，以保证组织的员工能够执行各自的职责。有效的沟通也是广义上的沟通，包括组织内

27、自上而下、自下而上以及横向的沟通。有效的沟通还包括将相关的信息与组织外部相关方的有效沟通和交换，如客户、供应商、行政管理部门和股东等。第56页，共92页。4. HOW如何进行风险管理？ 信息和沟通 信息是沟通的基础。长期以来信息系统是用来支持组织的商业战略。当业务需要变化和有关技术为组织获得战略优势提供新的机会时，这一地位就显得更为重要。 沟通必须满足各部门和个人的要求，以使他们能够有效地履行其职责。最重要的沟通渠道之一是高级管理者和董事会之间的沟通。 沟通应有一个适当的架构。管理者应提供特定的或直接的沟通渠道说明对员工的行为预期和各自的职责。第57页，共92页。4. HOW如何进行风险管理？

28、 4.1风险管理8要素 监控评估风险管理要素的内容和运行以及一段时期的执行质量的一个过程。通常，将持续监控和个别评估进行一定的结合使用会保证组织风险管理长期的有效性。第58页，共92页。4. HOW如何进行风险管理？ 监控持续监控对组织日常的、重复的经营活动的监控，在实时的基础上进行，是对不断变化的环境的动态地反应，应在组织内部彻底地贯彻和执行。如果执行得好，持续监控比个别评估更为有效。由于个别评估是在事实发生之后才进行评估，而持续监控则会在问题一发生就很快被发现。虽然如此，许多使用持续监控的组织仍旧进行风险管理的个别评估第59页，共92页。4. HOW如何进行风险管理？ 监控个别评估个别评估

29、的频率是组织管理者的主观判断问题。在决定个别评估的频率时，管理者应考虑来自于组织内部和外部事项的变化的性质和程度以及相应的风险、组织员工进行风险反应和相应控制的能力和经验、持续监控的结果等因素。第60页，共92页。术语失效 “失效”是指组织风险管理过程中值得注意的某一种情形。因此，失效可能代表一种预期的、潜在的或真实的缺陷，或者代表加强风险管理过程的一个机会，以增加组织目标实现的可能性。 所有风险管理失效都会影响组织确定和执行战略的能力，影响组织实现其既定目标的能力。对此，应将组织所有的风险管理失效都报告给适当的管理层，以保证其采取必要的措施以纠正风险管理失效。 在经营活动中产生的信息通常通过

30、正常的渠道进行报告。对于敏感性信息的报告也应有其他的沟通渠道，如非法活动或不正当的活动。第61页，共92页。4. HOW如何进行风险管理？4.2 风险管理要素和组织目标的关系战 经 报 合略 营 告 法 目 目 目 目标 标 标 标内 部 环 境目 标 确 定事 项 确 认风 险 评 估风 险 应 对控 制 活 动信 息 沟 通 监 督 商用车技术中心上内所南汽研究院职部部门企 业 4 目 标风险管理8要素组织及其各组织单位第62页，共92页。4. HOW如何进行风险管理？ 4.3 组织目标、 风险和控制活动的关系评估风险行动计划/责任分配分析控制确定目标第63页，共92页。案例：组织目标、

31、风险和控制活动的关系 目标1风险控制在未来五年内实现利润平均每年净增长10%- 由于不可靠的和不切实际的销售预测, 在进出口业务中造成严重囤货和存货作废.- 由于履行不平等的或不利的合同条款而造成严重损失 (如赔偿损失, 名誉损害)- 由于未被授权的/给予过多的折扣造成毛利降低或直接亏损- 严重的坏帐损失- 有效的编制和控制经营计划和财务预算- 采取措施增强销售预测的准确性并且只承担经过衡量并能接受的风险, 比如: 获得可靠的市场信息, 将实际情况与预算进行比较等- 在主要的经营领域建立制度和程序 (须涵盖集团总部的制度和程序): 销售, 采购, 财会, 投资等第64页，共92页。案例：组织目

32、标、 风险和控制活动的关系 目标2风险控制在未来五年内实现利润平均每年净增长10%- 由于买进不需要的产品, 质量不合格的产品, 价格没有竞争力的产品而造成库存积压/存货作废/资源浪费/品质不良带来的信誉损害- 错误的投资决定- 不正当的付款- 舞弊行为-外汇风险- 投机行为- 设置控制程序 (包括预防性的和侦察性的)和监控系统, 如 -销售合同审阅和批准 -折扣的授权和审批 -信用控制 -采购的申请 (合理性), 审阅, 批准 (整个过程需要书面化) -三个文件的付款核对: PO, GRN 和发票 -常规的投资评价过程 (如使用NPV(净现值)/Payback Method (收回方式) -

33、加强内部审计功能第65页，共92页。案例：组织目标、 风险和控制活动的关系 目标3风险控制在未来五年内实现利润平均每年净增长10%- 由于不适当的赏罚制度, 关键员工的流失或管理人员能力不足对业务造成的不利影响- 由于不遵守法规造成的罚款/处罚/名誉损害- 在业务单位采取一些防止不正当的付款或舞弊等事件发生的措施, 营造反对不正当付款行为的环境, 如制订控制程序(预防性的和侦察性的), 职业道德规范, 签署利益冲突文件和不进行“不正当付款保证”文件等- 外汇兑换管理包括 Hedging - 防止投机行为的措施- 人力资源管理： 建立并贯彻制度和程序 公平而有效的奖罚制度吸收, 教育, 培训及保

34、留优秀员工 第66页，共92页。案例：组织目标、 风险和控制活动的关系 目标4风险控制有效的资金管理产生人民币万由于以下原因造成现金流预算的失效并造成资金危机, 会导致例如供应商停止供货造成生产延误而不能执行合同的信誉损失：与供应商和客户签订不平等或不利的合同过长的付款条款经常性地未从供应商获得赊销坏帐 (不当的信用控制和应收货款管理）错误的投资决策不必要的资金支出源于未经授权的多余的采购，不适当的付款和舞弊行为，付款错误等投机行为，如高风险的投资资金预算的计划和控制按月份的资金预算报告（将上月的实际发生和预算相比较制定下月的预算）信用控制制度和程序, 包括信用审阅收款的制度和程序合同审阅过程

35、对投资项目进行控制采购和付款控制防止投机行为的措施第67页，共92页。案例：组织目标、 风险和控制活动的关系 目标5风险控制建立一个准确的，可靠的和及时的财务系统由于不准确，不可靠，不及时的财务会计和管理报告或信息而造成错误的管理决策, 以及在年末才反应出来的令人不悦的经营结果由于以下因素造成的不准确，不可靠和不及时的财务和管理报告：- 不合格的，能力不够的财务经理和财务人员- 有弊病的财务系统：不完整或不相容，处理大量核算和交易但是财务系统没有实行电算化资源的超负荷使用严格的财务和会计制度和程序财务部门的领导能力使用适当的人员教育和培训年终结帐前的检查：检查帐目是否放映了实际情况各种控制活动

36、：核实查证，授权，审批，对帐(银行和供应商），责任分离，资产的安全保护固定资产现场视察年度库存盘点周期性库存盘点现金库存抽查集团所有公司内部之间的对帐专业的税收和法律检查加强内部审计部门的职能第68页，共92页。4. HOW如何进行风险管理？ 4.4 风险管理的有效性 风险管理是一个过程，风险管理的有效性则是某一时点的一个状态或条件。 决定一个企业的风险管理是否有效是基于对风险管理八要素设计和执行是否正确的评估基础上的一个主观判断。 这不意味着每一要素在不同企业间，甚至是不同企业的同一管理层次上，都必须执行同样的功能。第69页，共92页。4. HOW如何进行风险管理？ 4.4 风险管理的有效性

37、（续） 对于每个要素的方法论，某些中小企业采用的方法与大企业相比并不正式和结构化，但是，无论企业的规模，其风险管理都应包括风险管理八要素。 风险管理可以从一个企业的总体来认识，也可以从一个单独的部门或多个部门的角度来认识。第70页，共92页。4. HOW如何进行风险管理？ 4.5 风险管理的局限性有效的风险管理可以帮助管理者实现企业的目标，但是，无论企业风险管理设计得如何完善、运行得如何有效，它也不能保证一个企业永远成功。第71页，共92页。4. HOW如何进行风险管理？ 影响组织目标实现的因素 管理过程内在局限性 政府政策或项目的改变 竞争对手的行动或经济条件都超出了管理者的控制范围 人的决

38、策可能会出错企业很有可能由于人的简单错误或过失而破产 风险管理也不能把一个本来就很差的管理者变好 企业员工两人或多人合谋可以绕过控制 管理者也有权利绕过企业的风险管理过程第72页，共92页。4. HOW如何进行风险管理？ 4.5 风险管理的局限性（续）风险管理的设计必须反映组织资源稀缺的现实，而且风险管理的收益必须对应风险管理的成本。因此，虽然风险管理可以帮助管理者实现组织的目标，但它并不是一颗万灵丹。第73页，共92页。小结内部环境风险文化 董事会 操守和价值观 管理方法和经营模式 风险偏好 组织结构 职责和权限的分配 人力资源政策目标制定战略目标 相关目标 风险偏好 风险容忍度事项识别事项

39、 影响战略及目标的因素 方法和技术 风险和机遇风险评估固有的和残存的风险 可能性和影响 方法和技术风险应对确认风险反应 对风险反应的评估 选择反应 组合观控制活动与风险反应相结合 类型 一般控制 应用控制信息与沟通信息系统 沟通渠道监控个别评估 持续评估第74页，共92页。二、相关政策和法规介绍1. COSO 报告2. 国内相关政策和现状评估第75页，共92页。1. COSO报告 1.1 COSO 报告概述 1992年9月，COSO委员会发布内部控制整合框架（COSO-IC），简称COSO报告，1994年进行了增补。这些成果马上得到了美国审计署(GAO)的认可，美国注册会计师协会（AICPA）

40、也全面接受其内容并于1995年发布了审计准则公告第78号。 由于COSO报告提出的内部控制理论和体系集内部控制理论和实践发展之大成，成为现代内部控制最具有权威性的框架，因此在业内倍受推崇，在美国及全球得到广泛推广和应用。 第76页，共92页。1. COSO报告 1.1 COSO 报告概述 （续） 根据萨班斯法案第404节条款以及美国证券交易委员会（SEC）的相应实施标准，要求公众公司的管理层评估和报告公司最近年度的财务报告的内部控制的有效性。2004年3月9日，PCAOB发布了其第2号审计标准：“与财务报表审计相关的针对财务报告的内部控制的审计”，并于6月18日经SEC批准。 SEC对该标准的

41、认同等于从另外一个侧面承认了1992年COSO公布的内部控制综合框架（也称“COSO内部控制框架”）。这也表明COSO框架已正式成为美国上市公司内部控制框架的参照性标准。 第77页，共92页。1. COSO报告 1.2 COSO 报告的现实意义COSO报告是在美国金融风险加剧，财务欺诈抬头，社会各界对内部控制和独立审计师寄予厚望的“危难”时刻，由五个职业会计团体联合并潜心研究近4年左右的时间才诞生的。COSO报告中蕴涵了许多崭新的理念和思想。这些理念和思想，不仅对过去，而且对现在甚至未来的企业管理、财会工作和独立审计都有着重要影响。第78页，共92页。1. COSO报告 1.2 COSO 报告

42、的现实意义（续） 准确定位内部控制基本目标 为评价内部控制系统提供了一套完整的标准 强调“人”的重要性 认识到董事会在内部控制中的作用 强调内部控制系统系是“内置于”（built in）企业经营和管理过程中的一项基础设施（infrastructure）第79页，共92页。1. COSO报告 1.3 COSO 报告的局限性 没有充分认识到董事会对内部控制系统的至关重要性 提倡的反映内部控制运行状态的“管理报告”的信息含量和可信性值得怀疑 对规避会计师责任更为有利 把企业经营和管理中一些重要职能排斥在内部控制触角之外 基本目标与分类子目标之间存在差异 评价内部控制有效性标准过于主观 内部控制系统中

43、会计与审计的色彩太重第80页，共92页。1. COSO报告 1.4 COSO 报告对中国企业的启示 企业是多重契约关系的组合，而股东会与董事会、董事会与经理班子之间的委托代理关系是其中最基本的契约关系，因此企业内部控制中的“内部”就应从组建法人治理结构开始。建立健全董事会功能是企业最根本的内部控制。“安然”、“施乐”和“世通”特大财务欺诈案件都直接与董事会功能失效和内部人控制泛滥有关。第81页，共92页。1. COSO报告 1.4 COSO 报告对中国企业的启示（续） 由于企业与外部关系人的经济联系和契约关系，在现代企业中发挥着越来越重要的作用，企业内部控制中的“内部”有时还要延伸至企业法律边界以外，将独立审计师、供应商资源、客户信用与需求和政府监管纳入企业内部控制系统。第82页，共92页。1. COSO报告 1.4 COSO 报告对中国企业的启示（续） “控制”与“反控制”是一对永恒的矛盾。企业内部控制的目的是追求企业持续“得到控制”，确保企业各类契约关系持续而有序地运行，确保企业有一个好的战略目标和管理团队，并按照既定目标持续高效地发展和增值，为企业各类契约当事人发现并创造价值。 企业内部控制是企业与生俱来的，它内置于企业经营和管理过程之中，并与之紧密联系、水乳交融，是同一事物的不同层面，不可割舍。第