OSO较小型公众公司财务报告内部控制指南

1、行业发展研研究资料（NNo.200071）COSO较小型公公众公司财务报告内内部控制指指南介绍绍美国反虚假假财务报告告委员会管管理组织（COSO）一直致力于内部控制的研究，其1992年发布的内部控制综合框架和2004年发布的内部控制风险框架已经成为内部控制理论研究者和实务工作者所推崇的经典。2006年，COSO发布了较小型公众公司财务报告内部控制指南，就较小型公众公司如何按照成本效率原则使用内部控制综合框架设计和执行财务报告内部控制提供指导，包括较小型公众公司在财务报告内部控制方面的主要观点以及解释性工具。内部控制对对于注册会会计师降低低执业风险险有着重要要的意义，为为了帮助大大家了解国国际上

2、内部部控制研究究的最新发发展，我们们组织整理理了对较较小型公众众公司财务务报告内部部控制指南南的简要要介绍。现予编发发，供参考考。中国注册会会计师协会会编二七年年八月十三日COSO较小型公公众公司财务报告内内部控制指指南介绍绍1992年年美国反虚虚假财务报报告委员会会管理组织织（COSSO）发布布了内部部控制综合框架架以帮助助企业和其其他实体评评估并加强强内部控制制系统。此此后，内内部控制综合框架架被首席席执行官、理事会成成员、监管管者、准则则制定者、职业组织织以及其他他人士视为为内部控制制方面合理理的综合框框架。同时，财务务报告和相相关立法以以及监管环环境也发生生了变革。值得注意意的是，22

3、002年年美国颁布布了萨班班斯法案。其中，萨班斯法法案第4404号条条款要求公公众公司管管理层每年年对其财务务报告内部部控制的效效果进行评评估和报告告。随着情况的的发展和时时间的推移移，这项框框架到今天天仍然是有有效的，遵遵从萨班班斯法案第4044号条款的的各种规模模的公众公公司管理层层仍继续沿沿用。然而而，较小型型公众公司司在面对执执行第4004号条款款的挑战时时，承受了了意料之外外的成本。为了指导导较小型公公众公司执执行第4004条款，美国反虚假财务报告委员会管理组织于2006年发布了较小型公众公司财务报告内部控制指南（以下简称指南）。指南并并非是对内部控控制综合框架架的取代代亦或修改改，

4、而是就就如何应用用提供了指指导。就如如何按照成成本效率原原则使用内部控制制综合框架架设计和和执行财务务报告内部部控制方面面，指南南为较小小型公众公公司提供了了指导（当当然指南南也同样样适用于大大型公司）。尽管指指南本意意上是为了了帮助管理理层建立和和维持财务务报告内部部控制的有有效性而制制定的，但但它同样有有助于管理理层按照监监管者的评评估要求对对内部控制制效果进行行更有效率率地评估。指南分分为三部分分，第一部部分是概要要，向公司司董事会和和高层管理理人员介绍绍了整个文文件的主要要内容。第二部分介介绍了较小小型公众公公司在财务务报告内部部控制方面面的主要观观点，其中中描述了公公司的特征征，这些

5、特特征是如何何影响内部部控制的、较小型公公众公司面面临的挑战战以及管理理层如何使使用内部部控制综合框架架。此外外，还从内部控制制综合框架架中提炼炼了20个个基本原则则，并介绍绍了较小型型公众公司司以符合成成本效率的的方式应用用这些原则则的相关态态度、方法法和实例。第三部分提提供了解释释性工具以以帮助管理理层对内部部控制进行行评估。管管理者可能能会使用这这些解释性性工具以确确定公司是是否已有效效地应用了了这些原则则。高层管理人人员将对第第一部分“概要”和第二部部分“主要观点点”的概述章章节比较感感兴趣，并并在必要的的情形下参参考第二部部分的其它它章节，而而其他管理理人员将把把第二部分分“主要观点

6、点”和第三部部分“解释性工工具”作为指导导其具体工工作的指南南。一、“较小小型”公众公司司的特征尽管人们希希望能够在在小型、中中型和大型型公司之间间划定一条条的“清晰的界界限”，但指南南并未提提供此类定定义。它使使用了“较小型公公众公司”而非“小型公众众公司”，这意味味着指南南适用于于更大范围围内的公司司。指南南对“较小型公公众公司”的特征作作了如下的的描述：1较少的的业务范围围，并且每每一项业务务内只有较较少的产品品；2从渠道道和地域上上而言，市市场相对集集中；3管理层层在重大的的所有权利利益和权力力上占据主主导地位；4相对于于控制的广广度，管理理的层级相相对较少；5相对简简单的交易易处理系

7、统统和规程；6较少的的员工，而而每位员工工担负更多多的职责；7在各种种支持性岗岗位（如：法律、人人力资源、会计和内内部审计）上上所提供的的资源有限限。尽管上述特特征还没有有明确的定定义。但是是事实上，公公司的收入入、员工数数量、资产产或其他因因素的规模模都影响着着上述特征征，或受到到上述特征征的影响，进进而形成我我们对较小小型公众公公司的概念念。二、成本和和收益公众公司，尤尤其是较小小型公众公公司的管理理层和其他他利益相关关者，对遵遵从第4004号条款款的成本极极为关注，而而对遵从带带来的收益益却关注较较少。尽管管可能很难难计量错误误的财务报报告所带来来的影响，但但是公司错错报的市场场反映明确

8、确地表明，无无论公司规规模的大小小，投资团团体都无法法容忍财务务报告的错错报。因此此，有效的的内部控制制就显得十十分必要。加强内部控控制所带来来的最为重重要的收益益是，增强强公司进入入资本市场场的能力，而而反过来，资资本市场又又推动了改改革和经济济增长。其其他收益包包括管理者者作出决策策所需要的的可靠且及及时的信息息，提高公公司交易机机制的速度度和可靠性性，以及与与合伙人和和客户沟通通经营业绩绩信息的能能力。三、在实现现具有成本本效率的内内部控制上上所面临的的挑战较小型公众众公司的特特征决定了了要实现符符合成本效效率原则的的内部控制制是一个重重要挑战。特别是对对于那些将将控制看作作是增加了了现

9、有企业业体系管理理负担的管管理者而言言，尤其如如此。这些些管理者不不认为公司司需要内部部控制。较小型公众众公司所面面临的挑战战包括：1获取充充分的资源源以实现充充分的岗位位分离；2当面对对违反内部部控制制度度的机会时时，管理者者控制自我我行为的能能力；3聘用具具有必需的的财务报告告和其他方方面专门技技术的专家家，以有效效地服务于于董事会和和审计委员员会；4聘用并并留住在会会计和财务务报告方面面具有充分分的经验和和技能的人人员；5将管理理层关注的的重点从公公司的有序序运行转移移到给会计计和财务报报告方面予予以充分的的关注上来来；6以有限限的技术资资源对计算算机信息系系统保持恰恰当的控制制。尽管所

10、有的的公司在设设计和报告告财务报告告内部控制制时都要发发生新的成成本，但是是这一成本本相对于较较小型公众众公司的规规模而言，其其负担可能能更重。尽尽管资源有有限，但是是较小型公公众公司通通常能够应应对这个挑挑战并能用用按照符合合成本效率率原则的方方式成功地地实现有效效的内部控控制。指指南中描描述了多种种用以实现现这一目标标的方法，其其中一些已已经在许多多较小型公公众公司得得以应用，并并受到管理理层的好评评。具体而而言，常用用方法包括括：（一）高层层的广泛和和直接控制制许多较小型型公众公司司受到公司司创始人或或其他领导导人的控制制，这些领领导人通过过大量的个个人判断为为公司员工工指出工作作的方向

11、。这种制度度安排不仅仅对于实现现公司的增增长和其他他目标十分分关键，同同时也能够够在财务报报告的有效效内部控制制方面作出出重要贡献献。企业领领导者在企企业各方面面的深厚背背景知识，包包括运营、程序、合合约的安排排以及企业业风险等，使使企业领导导者明白知知道自己需需要从财务务报告系统统产生的报报告中获取取什么信息息。（二）有效效的董事会会较小型公众众公司通常常以相对简简单的企业业结构进行行相对直接接的企业运运作，这使使董事们可可以更深入入地获取企企业活动的的信息。公公司董事们们通常在公公司发展期期间就已经经深入参与与公司的经经营，这使使他们能够够从公司发发展历史的的角度来思思考问题。加之经常常能

12、接触到到大多数的的管理层并并进行沟通通，这些都都有助于董董事会及其其审计委员员会更有效效地执行对对财务报告告的监督责责任。（三）对岗岗位分离局局限性的弥弥补由于资源的的限制，较较小型公众众公司的员员工数量有有限，有时时会导致一一些岗位难难以单独设设立。为此此，管理层层采取一些些措施来弥弥补这一问问题。这包包括，管理理层会检查查细节交易易的系统报报告；有选选择地检查查某些交易易的支持性性文件；定定期盘点实实物存货、设备或其其它资产，并并与会计记记录相对照照；复核账账户余额调调节甚至亲亲自进行账账户余额的的调整。在在许多较小小型公众公公司中，管管理层已经经在从事上上述的工作作以便确保保报告的可可靠

13、性，这这些工作将将有助于确确保有效的的内部控制制。（四）信息息技术内部控制信信息技术资资源获取困困难的问题题通常是通通过使用其其他人编写写和维护的的软件来解解决的。虽虽然这些软软件的使用用范围有限限，但是也也已规避了了很多与内内部系统相相关的风险险。很明显显的是，由由于程序转转换控制通通常只能由由软件开发发公司进行行，而一般般较小型公公众公司的的人员因缺缺乏专业技技术知识而而无法做出出未经授权权的修改，因因此对程序序转换控制制的需求并并不高。这这种商用程程序通常以以附带工具具的形式为为公司职员员的工作带带来便利，包括：访问或者修改特定数据、对数据处理的完整性和精确性进行检查以及维护相关文件。采

14、用附带的的应用型控控制功能较较多的软件件，可以带带来许多的的便利，这这包括：提提高操作的的一致性、自动化调调节、方便便将意外情情况汇报给给管理层、以及支持持合理的岗岗位分离。较小型公公众公司可可以充分利利用这些功功能所带来来的优势，保保证控制环环节的顺畅畅。（五）监控控活动监控部分是是内部控控制综合框架架中重要要的一部分分，管理层层在公司运运营中执行行的大量日日常活动可可以反映内内部控制系系统的其他他要素所发发挥的作用用 内部控制综合框架认为内部控制有五大要素，分别是：控制环境、风险评估、控制活动、信息和沟通和监控。许多较较小型公众众公司管理理层经常执执行这些程程序，但是是却并不能能对提高内内

15、部控制的的效果产生生积极作用用。这些活活动一般是是手动执行行，有时由由计算机软软件支持，在在设计和评评估内部控控制的时候候应当对此此予以充分分的考虑。在评估和报报告内部控控制的第一一年之后，许许多公司在在第二年再再次执行评评估程序时时，并没有有降低多少少的成本。然而，有有一种不同同的方法可可以提高内内部控制的的效率。通通过关注现现有的或通通过少量的的努力就可可以在未来来实现的监监控活动，管管理层确定定以前年度度所发生的的财务报告告系统的变变化，从而而确定需要要进行更进进一步详细细测试的环环节。对于于一个有效效的内部控控制系统而而言，所有有的五大内内部控制要要素都必须须到位，且且运转有效效，对每

16、一一要素的部部分测试也也是必要的的，但是有有效的监控控活动通常常可以弥补补其它要素素中的缺陷陷，降低内内部控制评评估工作量量从而全方方位提升效效率。四、获得更更高的效率率除上述方面面需要纳入入考虑之外外，通过强强调那些直直接适用于于公司的活活动和环境境的财务报报告目标、基于风险险的内部控控制方法、恰当规模模的归档、视内部控控制为完整整过程以及及从总体上上考虑内部部控制各要要素，可以以提高公司司在设计、应用或评评估内部控控制方面的的效率。内部控制制综合框架架认为，一个实体必须首先确立恰当的财务报告目标。从一个较高的角度而言，财务报告的目标是编制可靠的财务报表，同时就财务报表中不存在重大错报做出合

17、理的保证。在这个最高目标之下，管理层需要在公司的财务报表核算和相关披露中，建立与公司的经营活动、环境以及正确的反应相关的一些支持性目标。这些目标可能受监管因素或管理层制定目标时所考虑的其它因素的影响。通过强调那那些直接适适用于公司司以及公司司活动和环环境（这些些活动和环环境是指对对公司财务务报告有着着重大影响响的活动或或环境）的的财务报告告目标，可可以获得更更高的效率率。经验表表明这可以以通过以公公司的财务务报表为起起始点，并并为这些对对财务报表表产生重大大影响的经经营活动、过程以及及事件确定定支持性目目标，从而而最有效地地得以实现现。（一）重视视风险尽管管理层层需要关注注多方面的的风险，但但

18、是其最需需要考虑的的是其核心心目标所面面临的风险险，这其中中包括编制制可靠的财财务报告所所面临风险险。风险基基础方法强强调对财务务报告产生生潜在影响响的定量和和定性因素素，并确定定在交易过过程或其他他财务报表表编制过程程中哪些地地方可能出出错。通过过重视核心心目标，管管理层能够够确定风险险评估恰当当的广度和和深度。通通常，在最最初设计和和执行内部部控制时，就就需要对风风险予以考考虑，要确确定目标的的风险并加加以分析，进进而形成风风险管理的的基础。此此外，还要要评估内部部控制在减减轻这些目目标的风险险方面是否否有效。 在评估内部部控制效果果时，通常常考虑的是是利用具有有“代表性”组织的常常见控制

19、措措施来评估估控制效果果。但一个个意料之外外的结果是是管理层有有时会关注注一些“标准的”或“代表性”控制措施施，而这些些控制措施施与公司的的财务报告告目标或与与这些目标标相关的风风险并没有有什么关系系。一个可可能遇到的的问题是，在在没有确认认整个评估估程序是否否真的与获获得可靠的的财务报告告相关之前前，就开始始对会计系系统的细节节进行评价价，并对会会计系统的的资料进行行深入归档档。并不是是说，这样样的做法毫毫无用处。但是，无无论采用什什么方法，只只有关注管管理层为公公司经营活活动和环境境所设立的的目标，才才能提高内内部控制的的效率。（二）恰当当规模的归归档公司出于各各种不同的的原因对经经营过程

20、、程序以及及内部控制制系统的其其他要素进进行归档并并保存。其其中一个原原因是保持持前后商业业运营实务务的一致性性。有效的的归档有助助于传递关关于做了什什么以及如如何做的信信息，还有有助于提升升对业绩的的期望。另另一方面归归档可以帮帮助培训新新的职员，或或作为其它它职员的学学习资料或或参考工具具。归档同同时还可以以为报告内内部控制效效果提供证证据。不同的公司司进行归档档的水平和和类型也截截然不同。显然，大大型公司通通常有更多多的业务需需要归档，或或者财务报报告的制定定过程更为为复杂，所所以与较小小型公众公公司相比就就需要进行行更大规模模的归档。较小型公公众公司通通常对诸如如完全政策策手册、程程序

21、的系统统流程图、组织架构构图、以及及工作描述述等进行正正式归档的的要求较低低。在较小小型公众公公司中，比比较典型的的是，较少少的职员和和较少的管管理层级，紧紧密的工作作关系以及及更频繁的的互动，这这些都推动动了所预想想的和已实实现的沟通通发生。比比如一个较较小型公众众公司，可可能以备忘忘录的方式式对人力资资源、供货货合同或顾顾客信用政政策等进行行归档，并并通过管理理层会议所所提供的指指南对备忘忘录进行修修正。大型型公司可能能制定更详详细的政策策（或政策策手册）来来指导其职职员更好地地执行内部部控制。问题在于，多多大规模的的归档才能能确保财务务报告的内内部控制有有效。显然然，这取决决于环境和和期

22、望。归归档的规模模应当使管管理层确信信其内部控控制是有效效的，例如如，帮助管管理层确保保所有的出出货均已入入账，或者者定期进行行了对账。然而在较较小型公众众公司中，管管理层通常常直接参与与执行控制制程序，这这些程序可可能只需要要最小规模模的归档，因因为管理层层可以通过过直接观察察来决定内内部控制是是否有效。管理层必必须了解会会计系统和和相关程序序（其中包包括与编制制可靠的财财务报表相相关的活动动）是否被被很好地设设计、理解解并恰当地地被执行。当管理层就就财务报告告内部控制制的设计和和运行的效效果向监管管者、利益益相关者或或其他第三三方进行报报告时，管管理层面临临着更高水水平的个人人风险，因因此

23、需要将将会计系统统和重要控控制行为中中的大多数数程序进行行归档以支支持其对内内部控制效效果的判断断。在考虑虑所必需的的归档数量量时，归档档的性质和和规模可能能受到公司司监管要求求的影响。尽管，这这并不意味味着归档将将会或者应应当更加正正式，但是是这意味着着归档要能能够证明内内部控制被被恰当的设设计并很好好地被执行行。此外，当一一个外部审审计师对内内部控制进进行审计时时，管理层层需要为审审计师的工工作提供支支持。管理理层应当提提供证据以以证明内部部控制被恰恰当的设计计并运行有有效。在考考虑所需要要的归档性性质和规模模时，管理理层需要考考虑到，用用来证明内内部控制有有效的归档档也可能被被外部审计计

24、师用来作作为其审计计证据的需需要。可能有些政政策和程序序是非正式式的，且未未被归档的的。但前提提是，管理理层能够通通过日常的的商业活动动获得证据据证明全体体员工在平平时都执行行了这些内内部控制。然而，很很重要的是是需要明白白一点，那那就是诸如如风险评估估之类的控控制程序不不能仅仅存存在于CEEO和CFFO个人的的大脑中，对对部分思考考过程和管管理层分析析的归档是是必要的。指南中的许多多实例解释释了管理层层如何通过过正常的商商业过程获获得证据。内部控制的的归档需要要满足企业业需要并与与环境相称称。多大规规模的归档档才能证明明五个内部部控制要素素都被有效效地设计并并加以执行行，这本身身是一个需需要

25、加以判判断的问题题，同时还还需要考虑虑成本效率率的问题。在实务中中，证据的的收集和保保存也要纳纳入不同的的财务报告告过程当中中。（三）视内内部控制为为完整过程程视内部控控制综合框架架中的五五个内部控控制要素为为一个完整整的过程是是很有必要要的，而事事实上内部部控制也的的确如此。将内部控控制视为完完整过程直直接影响着着内部控制制要素间的的相互关系系，并有助助于意识到到，管理层层在选择实实现其目标标的内部控控制时具有有一定的灵灵活性，此此外，组织织可以随着着时间的推推移进行调调整并提高高其内部控控制水平。内部控制过过程是以管管理层根据据公司特有有的经营活活动和环境境所制定的的财务报告告目标为出出发

26、点的。一旦确定定了目标，管管理层需要要确定并评评估这些目目标所面临临的各种风风险，确定定哪些风险险可能会导导致财务报报告的重大大错报，并并确定这些些风险如何何通过一系系列控制活活动来进行行管理。管管理层使用用不同的方方法获取、处理和沟沟通财务报报告和其他他内部控制制要素所需需要的信息息。这些都都由公司的的控制环境境加以确定定。内部控控制要素都都需要受到到监控以确确保随着时时间的流逝逝，控制一一直运转正正常。（四）从总总体上考虑虑内部控制制各要素内部控制制综合框架架所提出出的五个内内部控制要要素对实现现可靠的财财务报告目目标都是至至关重要的的。确定一一个公司财财务报告的的内部控制制是否有效效需要

27、进行行判断。内内部控制的的五个要素素是共同发发挥作用来来防止、发发现以及矫矫正财务报报告的重大大错报的。当内部控控制的五个个要素都能能够得以执执行并发挥挥作用，从从而使得管管理层能够够合理的保保证所编制制的财务报报表是可靠靠的时，内内部控制就就可以被认认为是有效效的。尽管内部控控制的五个个要素都应应当得到执执行并发挥挥作用，却却并不意味味着在每个个公司中，每每一要素都都必须同时时或同等水水平地发挥挥作用。这这些要素之之间需要加加以平衡。内部控制制的有效并并不意味着着内部控制制的五个要要素在每一一个程序中中都完美的的发挥作用用。某一要要素的不足足可以通过过其他内部部控制要素素的充分发发挥作用加加

28、以弥补，这这种内部控控制总体上上的充分足足以把财务务报表误报报的风险降降到一个可可接受的水水平。五、实现有有效的财务务报告内部部控制的基基本原则指南提提供了一整整套的200项基本原原则说明与与内部控控制综合框架架内部控控制的五个个要素相关关的基本概概念，这220项原则则都是从这这五个内部部控制要素素中提炼出出来的。（一）控制制环境1诚信与与道德价值值观尤其是高高层管理人人员需要建建立并理解解正确的诚诚信和道德德价值观，并并为财务报报告制定行行为准则。2董事会会董事会应应当理解并并行使对财财务报告和和相关内部部控制的监监管责任。3管理理理念与经营营风格管理理念念和经营风风格有助于于实现有效效的财

29、务报报告内部控控制。4组织架架构公司的组组织架构有有助于实现现有效的财财务报告内内部控制。5财务报报告胜任能能力公司要确确保员工个个人在财务务报告和相相关监管角角色中的胜胜任能力。6授权和和责任对管理层层和员工的的不同授权权和他们担担负的不同同责任应当当有助于实实现有效的的财务报告告内部控制制。7人力资资源人力资源源政策和实实务的设计计和实施应应当有助于于实现有效效的财务报报告内部控控制。（二）风险险评估8财务报报告目标管理层需需要确定足足够透明的的和有具体体实现标准准的财务报报告目标，从从而确定编编制可靠的的财务报告告所面临的的风险。9财务报报告风险公司需要要确定和分分析实现财财务报告目目标所面临临的风险，并并将其作为为进行风险险管理的基基础。10舞弊弊风险因舞弊而而引起的重重大错报的的可能性需需要在评估估实现财务务报告目标标所面临的的风险时加加以考虑。（三）控制制活动11风险险评估整合合要采取行行动以确定定实现财务务报告目标标所面临的的风险。12控制制活动的选选择和发展展控制活动动的选择和和发展要考考虑其在降降低实现财财务报告目目标所面临临的风险上上的成本和和潜力。13政策策和程序与可靠的的财务报告告相关的政政策要在全全公司范围围内执行并并沟通，同同时还要有有确保管理理层指令得得以执行的的相应程序序。14信息息技术信息技术术控制的设设计和执行行要可行并并有助于财财务报