企业内部控制评价指引

1、 企业内部控制评价指引 陈昌企业内部控制 企业内部控制配套指引由21项应用指引（此次发布18项，涉及银行、证券和保险等业务的项指引暂未发布）、企业内部控制评价指引和企业内部控制审计指引组成。其中，应用指引是对企业按照内控原则和内控“五要素”建立健全本企业内部控制所提供的指引，在配套指引乃至整个内部控制规范体系中占据主体地位；企业内部控制评价指引是为企业管理层对本企业内部控制有效性进行自我评价提供的指引；企业内部控制审计指引是为注册会计师和会计师事务所执行内部控制审计业务的执业准则。三者之间既相互独立，又相互联系，形成一个有机整体。 企业内部控制评价指引共5章27条，内部控制评价是指企业董事会或

2、类似决策机构对内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。在企业内部控制实务中，内部控制评价是极为重要的一环。如何科学评价中国企业内部控制制度、不简单照搬发达市场国家或地区的现成做法，成为我国企业内部控制规范体系建设的重要命题和挑战。企业内部控制评价指引的制定发布，为企业开展内部控制自我评价提供了一个共同遵循的标准，为参与国际竞争的中国企业在内部控制建设方面提供了自律性要求，有利于提高投资者、社会公众乃至国际资本市场对中国企业素质的信任度。背景资料企业内部控制内部控制评价是现代审计的基础调查了解企业内部控制符合性测试综合评价被审企业内部控制确定审计范围、重点和方法实质性审计审

3、计报告评价企业内部控制的健全性不健全无效有效企业内部控制测试评价审计及报告健全背景资料企业内部控制评价指引1.制定正确的战略固然重要，但更重要的是战略的执行 联想集团总裁兼CEO杨元庆2.让流程说话，流程是将说转化为做的惟一出路 战略专家姜汝祥3.企业的执行力靠的就是纪律 中国台湾华建公司总裁卢正昕 4.以爱为凝聚力的公司比靠畏惧维系的公司要稳固得多 美国西南航空公司总裁赫伯凯莱赫 5.感情投资是在所有投资中，花费最少，回报率最高的投资日本麦当劳董事长藤田田 企业内部控制内部控制评价的概述 内部控制评价的内容 讲课内容内部控制评价的程序 内部控制评价缺陷的认定 内部控制评价报告企业内部控制 （

4、一）内部控制评价的概念（二）内部控制评价的原则（三）内部控制评价的设计一、内部控制评价的概述企业内部控制 内部控制评价，是指企业董事会或类似权力 机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。0102为了促进企业全面评价内部控制的设计与运行情况，规 范内部控制评价程序和评价报告，揭示和防范风险。03概念（一）内部控制评价的概念一、内部控制评价的概述目的制定依据根据有关法律法规和企业内部控制基本规范，制定本指引。 企业内部控制评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。 评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险

5、领域。B重要性原则A全面性原则（二）内部控制评价的原则评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。 C客观性原则一、内部控制评价的概述企业内部控制企业应当根据本评价指引，结合内部控制设计与运行的 实际情况，制定具体的内部控制评价办法，规定评价的原则、内容、程序、方法和报告形式等，明确相关机构或岗位的职责权限，落实责 任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。企业董事会应当对内部控制评价报告的真实性负责。（三）内部控制评价的设计一、内部控制评价的概述企业内部控制 （一）内部控制评价内容的确定（二）内部控制评价的开展（三）内部控制评价工作底稿二、

6、内部控制评价的内容企业内部控制企业应当根据企业内部控制基本规范、应用指引以 及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信 息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。包括财务报告内部控制有效性和非财务报告内部控制有效性 （一）内部控制评价内容的确定二、内部控制评价的内容企业内部控制 1关于内部控制评价的组织 内部控制评价机构必须具备一定的设置条件：一是能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；二是具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；三是与企业其他职能机构就监督与评价内部控制系统方面应

7、当保持协调一致，四是能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，在设置内部控制评价机构的基础上，还要求企业成立专门的评价工作组，接受内部控制评价机构的领导，具体承担内部控制评价工作的组织。（二）内部控制评价的开展二、内部控制评价的内容企业内部控制内部监督评价风险评估机制评价控制活动评价信息与沟通评价应当以企业内部控制基本规范以及各项应用指引为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。内部环境评价二、内部控制评价的内容2内部控制评价活动应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用

8、指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。应当以企业内部控制基本规范和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。应当以内部信息传递、 财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递及时性、反舞弊机制的健全性、财务报告真实性、信息系统安全性，以及利用信息系统实施内部控制有效性进行认定和评价。对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是 否在内部控制设计和运行中有效发挥监督作用。企业内部控制内部控制评价工作应当形成工

9、作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。（三）内部控制评价工作底稿二、内部控制评价的内容企业内部控制 （一）内部控制评价流程（二）内部控制评价程序的实施三、内部控制评价的程序企业内部控制制定评价工作方案 组成评价工作组 实施现场测试 认定控制缺陷 （一）内部控制评价流程汇总评价结果 编报评价报告 三、内部控制评价的程序企业内部控制明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容， 报经董事会或其授权机构审批后实施。 组成内部控制评价工作组，具体实施内部控制

10、评价工作。评价工作组 应当吸收企业内部相关机构熟悉情况的业务骨干参加。评价工作组成 员对本部门的内部控制评价工作应当实行回避制度。为企业提供内部控制审计服务的会计师事务所，不得同时为同一企业提供内部控制评价服务。 内部控制评价工作组应当对被评价单位进行现场测 合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、 抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是 否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。三、内部控制评价的程序（二）内部控制评价程序的实施内部控制评价部门：企业可以授权内部审计部门或专门机构负责内部控制评价的具体组织实施工作。制定

11、评价工作方案组成评价工作组实施现场测试企业内部控制 （一）内部控制缺陷认定办法（二）内部控制缺陷种类（三）内部控制缺陷报告四、内部控制缺陷的认定企业内部控制内部控制缺陷包括设计缺陷和运行缺陷。企业对内部 控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部 控制评价，由内部控制评价部门进行综合分析后提出认定意见，按照规定的权限和程序进行审核后予以最终认定。设计缺陷，是指缺少为实现控制目标所必需的控制，或现存内部控制设计不适当、即使正常运行也难以实现控制目标而形成的内部控制缺陷，即建立的内部控制不能充分实现内部控制目标而形成的内部控制缺陷。可总结为初始规划不完全，存在管理控制的盲点。运行

12、缺陷，是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效实施控制而产生的内部控制缺陷，即内部控制不能按照建立阶段的意图运行，或运行中错误很多，或实施内部控制的人员不能正确理解内部控制的内容和目标等而产生的内部控制缺陷。某一企业的内部控制体系虽然设计得很完善，但由于实施过程中的偏差，导致内部控制运行缺陷。内部控制的缺陷可以是单项的缺陷，也可以是多项组合的缺陷。比如在采购项目实施时，内控设计要进行公开的三家供应商报价，可是在实施时没有进行公开的三家比价，只有从内部或根据采购员本人的爱好而选择不公开的三家供应商进行询价，从而在运行进出现偏差。（一）内部控制缺陷认定

13、办法四、内部控制缺陷的认定企业内部控制是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。 重大缺陷重要缺陷是指除重大缺陷、重要缺陷之外的其他缺陷。 一般缺陷 是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。 （二）内部控制缺陷种类四、内部控制缺陷的认定内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。 企业内部控制 企业内部控制评价工作组应当建立评价质量交叉复 核制度，评价工作组负责人应当对评价工作底稿进行严格审核，并对所认定的评价结果签字确认后，提交企业内部控制评

14、价部门。1企业内部控制评价部门应当编制内部控制缺陷认定汇总表，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。 2重大缺陷应当由董事会予以最终认定。企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。3（三）内部控制缺陷报告四、内部控制缺陷的认定企业内部控制 （一）内部控制评价报告的设计（二）内部控制评价报告的内容（三）内部控制评价报告的披露五、内部控制评价报告企业内部控制企业应当根据企业内部控制基本规范、应用指引和本指引，分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计内部控制评价报告的种类、格式和内容，

15、明确内部控制评价报告编制程序和要求，按照规定的权限报经批准后对外报出。对内部控制评价 过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。 （一）内部控制评价报告的设计五、内部控制评价报告企业内部控制内部控制评价报告至少应当披露下列内容：1.董事会对内部控制报告真实性的声明。2.内部控制评价工作的总体情况。3.内部控制评价的依据。4.内部控制评价的范围。5.内部控制评价的程序和方法。6.内部控制缺陷及其认定情况。7.内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。8.内部控制有效性的结论。（二）内部控制评价报告的内容五、内部控制评价报告企业内部控制内部控制评价报告应当报

16、经董事会或类似权力机 构批准后对外披露或报送相关部门。企业内部控制评价部门应当关注自内部控制评价报告基准日至 内部控制评价报告发出日之间是否发生影响内部控制有效性的因素， 并根据其性质和影响程度对评价结论进行相应调整。企业内部控制审计报告应当与内部控制评价报告同时对外披露或报送。企业应当以 12 月 31 日作为年度内部控制评价报告 的基准日。内部控制评价报告应于基准日后 4 个月内报出。企业应当建立内部控制评价工作档案管理制度。内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管。 五、内部控制评价报告（三）内部控制评价报告的披露企业内部控制 上海证券交易所2008年5月发布了关于加

17、强上市公司社会责任承担工作的通知以及上海证券交易所上市公司环境信息披露指引。倡导计算并公告“每股社会贡献值”，公司可以在年度社会责任报告中披露每股社会贡献值，即在公司为股东创造的基本每股收益的基础上，增加公司年内为国家创造的税收、向员工支付的工资、向银行等债权人给付的借款利息、公司对外捐赠额等为其他利益相关者创造的价值额，并扣除公司因环境污染等造成的其他社会成本，计算形成的公司为社会创造的每股增值额，从而帮助社会公众更全面地了解公司为其股东、员工、客户、债权人、社区以及整个社会所创造的真正价值。健康元一直高度重视企业社会责任，2009年为国家创造税收逾5亿元，支付员工工资约3.76亿元，加上为

18、股东创造的收益，每股社会贡献值达到1.28元，远高于每股收益0.44元，在医药类上市公司中居于前列。企业社会责任量化问题是个世界性的难题，目前世界各国关于社会责任的披露尚处于定性披露阶段。“每股社会贡献值”指标是对每股收益指标的一个必要和有益的补充，是健康元目标由“股东权益最大化”进一步上升为“社会责任利益最大化”的新发展。 据了解，伴随“每股社会贡献值”在国内的兴起，企业社会责任投资也开始出现。事实上，国内投资者对社会责任投资这个概念还比较陌生。但过去十年中社会责任投资在海外发展却相当迅速。从国外实践看，日本社会责任投资指数MS-SRI的13年累计回报率，赢过东交所指数将近5倍之多；美国第一个也是最著名的社会责任投资指数多米尼400社会指数，最初运作的10年的平均年收益率为20.83，而同期标准普尔500指数的平均年收益率仅为18.7。企业内部控制2010年：那些最受尊敬的上市公司 云南白药，这家以神奇功效闻名的中