某移动公司萨班斯-奥克斯利法案遵循项目课件

审计

税务

咨询GLOBALSERVICEADVISORY中国移动（香港）有限公司

《萨班斯－奥克斯利法案》第404条款遵循项目毕马威华振会计师事务所风险咨询服务部1审计税务咨询GLOBALSERVICE主要内容2项目背景及内部控制基本概念项目具体工作方法介绍

主要内容2项目背景及内部控制基本概念2美国《萨班斯－奥克斯利法案》的背景安然、世界通讯等公司的一系列丑闻使投资者对上市公司信息披露的真实性产生怀疑；公司丑闻均牵涉上市公司管理层的错误行为，使投资者对上市公司治理制度的有效性产生怀疑；中介机构缺乏处理利益冲突的有效机制，使投资者对中介机构的独立性产生怀疑；美国证监会未能及时发现错误披露和市场欺诈行为，使投资者对监管机构监督市场运作的能力产生怀疑。《萨班斯-奥克斯利法案》颁布之前美国资本市场面临信心危机：3美国《萨班斯－奥克斯利法案》的背景安然、世界通讯等公司的一系2002年7月30日布什总统签发了《萨班斯-奥克斯利法案》2002年8月29日美国证券交易委员会根据《萨班斯-奥克斯利法案》第302条的要求颁布对有关条款的最终条例2003年6月5日美国证券交易委员会根据《萨班斯-奥克斯利法案》第404条的要求颁布对有关条款的最终条例和对第302条的补充修订2004年3月9日上市公司会计监管委员会发布第2号审计准则2004年6月17日美国证交会批准上市公司会计监管委员会发布第2号审计准则2004年6月至2005年5月期间上市公司会计监管委员会连续五次发布一系列关于与财务报告相关的内部控制问答与财务报告相关的重要法案、法规一览表42002年7月30日布什总统签发了《萨班斯-奥克斯

管理层声明(302条款)管理层关于内部控制的报告(404条款)重点领域关键条款审计委员会的标准禁止向董事和官员贷款加强对内部交易的报告向财务官员颁布行为准则上市公司会计监管委员会(PCAOB)对故意发表不实声明的刑事处罚(906条款)审计委员会事先批准所有审计师提供的服务禁止审计师提供某些服务5年强制轮换审计主管合伙人保护举报人第302条款和第404条款强调通过内部控制加强公司治理。第906条款强调刑事处罚。管理当局报告董事会治理管理层和董事会行为强制执行与惩罚审计师的独立性《萨班斯－奥克斯利法案》的内容《萨班斯-奥克斯利法案》5管理层声明(302条款)管理层关于内部控制的报告重点领域另外，第404条还要求外部审计师对于与财务报告相关的内部控制和管理层对内部控制的评价进行审计，并出具审计意见6《萨班斯－奥克斯利法案》第404条第404条管理层对内部控制的评价

管理层需为公司建立和维持足够的与财务报告相关的内部控制管理层还需每年报告：管理层建立和维持足够的与财务报告相关的内部控制的责任评估公司与财务报告相关的内部控制的有效性另外，第404条还要求外部审计师对于与财务报告相关的内部控制67《萨班斯奥克斯利法案》第404条的文件内容管理层为公司建立和维持足够的与财务报告相关的内部控制的责任陈述管理层为评估公司与财务报告相关的内部控制的有效性而采用的评估架构陈述管理层就公司最近财政年度与财务报告相关的内部控制的有效性作出的评价陈述外部审计师已发出对《管理层就公司最近财政年度与财务报告相关的内部控制的有效性作出的评价》的审计意见《萨班斯－奥克斯利法案》第404条（续）7《萨班斯奥克斯利法案》第404条的文件内容管理层7主要交易是如何启动、记录、处理和反映在财务报告中用以防范或找出与重要账户、交易种类和披露相关的错误或舞弊的内部控制措施其它重要内控措施所依赖的内部控制，包括一般性控制，例如信息系统控制非经常性、非系统交易或财务估计的内控措施财务报表关账和汇总过程中的内控措施资产保护的控制措施公司层面的控制措施8《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制包括针对与会计报表中所有重要科目和信息披露相关的所有会计认定所实施的内部控制，包括：《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制主要交易是如何启动、记录、处理和反映在财务报告中8《萨班斯-8涉及主要交易类型的交易启动、授权、处理以及最终在财务报表中的披露过程中各环节的主要内部控制业务系统核心业务流程网络建造和管理收入和计费采购和存货管理9计费系统财务核算系统《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制现金/贷款/货币资金收入固定资产应收账款应付账款业务费用财务报告交易涉及主要交易类型的交易启动、授权、处理以及最终在财务报表中的9会计认定存在或发生（ExistenceorOccurrence）完整性（Completeness)权利和责任（RightsandObligations）价值（Valuation）表述和披露（PresentationandDisclosure）

10会计认定存在或发生（ExistenceorOccurre内部控制点描述对应会计报表认定在营业账务系统中对每个用户建立唯一的识别标志，与其话费账单进行索引并据以对其欠费进行统计和账龄分析。存在性、价值计费账务系统对计费数据的有效性进行检查，将结果与历史数据进行比较，当重单、无效话单和错单的发生量超过一定数量时，产生系统预警。存在性、完整性、价值计费账务部门对修改后的费率或优惠套餐进行测试，生成测试报告并提交给经适当授权的人员审阅，核对修改无误后，方能投入计费。价值在计费周期终了，与其他电信运营商就网间结算金额进行核对。权利和义务、存在性、完整性、价值前台业务受理工作人员无权对收费系统中的话费数据进行修改，而只能进行权限范围内的查询。价值确定需要评价的内部控制--业务流程举例（收入和计费流程）《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制11内部控制点描述对应会计报表认定在营业账务系统中对每个用户建立12《萨班斯奥克斯利法案》第404条的生效日“提前申报人”：在2004年11月15日或之后结束的首个财政年度(原为2004年6月15日)其他(包括国外私人发行人)：在2006年7月15日或之后结束的首个财政年度(原为2005年7月15日)首次国外申报人：在2006年7月15日或之后结束的首个年度报告(表格20-F)《萨班斯－奥克斯利法案》第404条（续）中国移动适用的是“2006年7月15日或之后结束的首个财政年度”，即2006年12月31日结束的财政年度12《萨班斯奥克斯利法案》第404条的生效日“提前12上市公司会计监管委员会第2号审计准则《萨班斯-奥克斯利法案》第404条要求管理层和外部审计师都必须对与财务报告相关的内部控制进行评价。13《萨班斯-奥克斯利法案》第404条与上市公司会计监管委员会第2号审计准则上市公司会计监管委员会配合第404条要求颁布第2号审计准则，以明确规范公司管理层和外部审计师对内部控制进行评价的范围和要求。13上市公司会计监管委员会第2号审计准则《萨班斯-奥克斯利法案》必须承担与公司财务报告相关的内部控制有效性的责任采用适当的内控框架(例如COSO，国际认可的内部控制框架)，评价公司与财务报告相关的内部控制系统的有效性以充分的凭证(包括档案文件)支持评价结果针对公司最近年度财务报告的内部控制有效性提交书面报告14上市公司会计监管委员会第2号审计准则（续）对管理层的要求测试有效性记录内部控制全面计划纠正缺陷做出声明必须承担与公司财务报告相关的内部控制有效性的责任14上市公司1415管理层404评价报告建立及维持有效性内部控制系统记录测试(1) 评价内部控制的有效性(2) 提交最近年度财务报告的内部控制系统有效性的声明根据上市公司会计监管委员会第2号审计准则的要求，对与财务报告相关的内部控制进行独立审计，并正式出具一份审计师404审计报告，当中包括两个评价意见评价意见(1)对管理层评价结论的意见评价意见(2)对公司与财务报告相关

内部控制有效性的独立意见上市公司会计监管委员会第2号审计准则（续）对外部审计师的要求

15管理层404评价报告建立及维持有效性内部控制系统记录15与公司必要的沟通以书面向审计委员会报告已发现的所有内部控制显著缺陷和重大漏洞必须在公布审计报告前进行沟通通知管理层已发现的所有与财务报告相关的内控缺陷并通知审计委员会已与管理层对内控缺陷作出沟通《萨班斯-奥克斯利法案》第404条不仅要求公司财务报表没有重大错报(significantmisstatement)

，还要把这种可能性降至最低的水平。而公司的内部控制无法把财务报表出现错报的可能性减至最低已经足以令审计师出具保留意见或不表示意见。16对外部审计师的要求

上市公司会计监管委员会第2号审计准则（续）16与公司必要的沟通《萨班斯-奥克斯利法案》第404条不内部控制的基本概念美国反虚假财务报告委员会的发起组织委员会《COSO内部控制框架》17内部控制的基本概念美国反虚假财务报告委员会的发起组织委员会《所有五大元素必须同时发挥作用，才能让内部控制有效地运作控制活动确保落实管理层的政策/流程措施包括审批、授权、

确认、建议、业绩考核、资产保全和权限分离监控评估内部控制系统整合及时独立的评估管理层和监控机构的

工作内部审计信息和沟通定期获取、确定并交流相关的信息评审内部和外部获取的信息信息流：

职责指导管理层的总结

成功的措施控制环境管理哲学和经营风格因素包括正直、道德价值、能力、权威和责任董事会和审计委员会人力资源政策和实务是其它内部控制组成部分的基础风险评估风险评估是因应一些决定性的内部控制活动和企业目标而确认和分析相关风险的工作营运财务报告合规性监控信息和沟通控制活动控制环境业务单位甲业务单位乙活动一活动二风险评估18COSO内部控制框架返回目录所有五大元素必须同时发挥作用，才能让内部控制有效地运作控制活18项目具体工作方法介绍项目总体时间表省公司在推广记录阶段工作步骤流程记录阶段工作方法穿行测试工作省公司在内部控制设计缺陷改进阶段工作步骤省公司在测试和评价阶段工作步骤省公司在持续跟进和评价阶段工作步骤19项目具体工作方法介绍项目总体时间表流程记录阶段工作方法省公司20项目总体时间表

制定评估计划和范围阶段

试点记录阶段推广记录阶段

内部控制设计缺陷改进阶段

测试和评价阶段持续跟进和评价阶段

2005年7月2005年8月-12月2006年1月-4月2006年1月-6月2006年5月-9月2006年9月-12月外部审计师审计阶段

中期审计2006年7月-9月 年终审计2006年12月-2007年1月9月返回目录20项目总体时间表

制定评估计划和范围阶段试点记录阶段推广20省公司在推广记录阶段工作步骤项目准备阶段流程记录阶段流程记录和改进建议确认阶段约一个月约一周通知起前十天接到总部项目启动21省公司在推广记录阶段工作步骤项目准备阶段流程记录阶段流程记录确认《子流程记录时间安排表》

确认人员名单各流程执笔人、穿行测试资料收集人、参与访谈人员与毕马威协助人员共同组成访谈小组，执笔人为访谈小组组长，以小组讨论的形式，参考《中国移动内部控制手册》，结合本省流程现状进行流程现场记录，并提炼控制点、分析差异、归纳缺陷和提出改进建议穿行测试省公司在推广记录阶段工作步骤流程记录步骤具体工作内容项目准备阶段流程记录阶段流程记录和改进建议确认阶段22确认《子流程记录时间安排表》省公司在推广记录阶段工作步骤流流程参与部门负责人确认流程记录和改进建议省公司管理层确认流程记录和改进建议省公司在推广记录阶段工作步骤流程记录和改进建议确认步骤具体工作内容项目准备阶段流程记录阶段流程记录和改进建议确认阶段23流程参与部门负责人确认流程记录和改进建议省公司在推广记录阶段省公司在推广记录阶段工作步骤图解项目准备《中国移动内部控制手册》工作小组讨论与财务报告相关的内控记录框架《XX省内部控制手册》穿行测试资料确认程序流程记录返回目录24省公司在推广记录阶段工作步骤图解项目准备《中国移动内部控制手流程记录阶段工作方法记录什么？---财务报告相关内部控制记录的基本框

架和内容

---确定与财务报告相关的内部控制如何记录？---以流程描述的方式记录控制活动---记录与财务报告相关的内部控制的工作底稿

---使用流程记录模版---提炼主要控制点

谁记录？---内部控制记录工作的人员组织架构25流程记录阶段工作方法记录什么？---财务报告相关内部控制记录内部控制记录的基本框架和内容按照COSO框架确定的与财务报告相关内控记录包括以下部分：信息技术整体控制内部控制框架资本性支出业务流程收入和计费业务流程存货管理流程营运支出业务流程货币资金管理流程固定资产和无形资产管理业务流程人工成本管理流程会计和财务报告筹资业务流程关联方业务流程法律法规遵循业务流程1.概述2.控制环境3.风险评估4.控制活动与财务报告相关业务流程及内部控制（该部分工作量约占总工作量的80％）5.信息与沟通6.监控返回26内部控制记录的基本框架和内容按照COSO框架确定的与财务报告确定与财务报告相关的内部控制COSO对内部控制的定义：内部控制是由公司董事会、管理层和其他员工实施的，为实现经营的效果性和效率性、财务报告的可靠性以及适用法律、法规的遵循性等目标提供合理保证的一个过程。

经营的效果和效率财务报告的可靠性（萨班斯法案关注的内部控制）法律法规的遵循27确定与财务报告相关的内部控制COSO对内部控制的定义：经营的对主要交易是如何启动、记录、处理和反映在财务报告中的控制措施；与选用恰当的会计政策相关的控制措施；用以防范错误或舞弊的内部控制措施；其它重要内控措施所依赖的内部控制，例如信息系统控制措施；非经常性、非系统交易或财务估计的内控措施；公司层面的控制措施：与控制环境相关的控制措施；财务报表关账和汇总过程中的控制措施。28与财务报告相关的内部控制包括针对与会计报表中所有重要科目和信息披露相关的所有会计认定所实施的内部控制，包括：确定与财务报告相关的内部控制（续）对主要交易是如何启动、记录、处理和反映在财务报告中的控制措施2829确定与财务报告相关的内部控制（续）准备人员结果记录独立的第三方

审查完整性/准

确性/存在性

（MR）批准

（AU）系统输入前，

审查其是否经过

适当授权

（MR）记录系统A独立的第三方

准确性审查数据

完整性和准确性

（MR）系统权限控制

/查验痕迹接口/转换控制

（如存在两个

或两个以上的

系统）系统设置

与账项映射例外报告/

修订报告审阅例外报告，

跟进处理

差异事项

（MR）例外报告系统B报告MR-管理层审阅AU-授权人工控制系统控制启动授权记录处理报告如果此报告是另一个流程的开始，可以重新循环开始29确定与财务报告相关的内部控制（续）准备人员结果记录独立的29预算控制质量控制成本控制安全生产控制绩效考核30有些控制属于公司的经营性控制，而非确保财务报告可靠性的控制：确定与财务报告相关的内部控制（续）但是，应对这些控制应进行分析。确定其是否与财务报告中的会计科目相关。预算控制30有些控制属于公司的经营性控制，而非确保财务报告可30某些控制可能既是经营性控制，又是财务报告控制。 例如，预算控制虽然是一项经营性目的的控制，但是若管理层关注预算与实际发生额的比较并希望借此发现财务记录中的错误，则实际经营数据与预算进行比较，并生成例外情况报告构成一项与财务报告相关的控制。 例如，绩效考核的目的是为了经营的效率和效果，但是如果通过绩效考核程序确定的薪金将记录为财务报告中的人工成本，则应当对绩效考核过程中确保数字可靠性和防止舞弊的控制进行记录。31确定与财务报告相关的内部控制（续）返回某些控制可能既是经营性控制，又是财务报告控制。31确定与财务3132在对与财务报告相关的内部控制程序进行记录之前，必须先了解企业的运作，确定主要的业务流程，才有可能记录、了解并测试相应的内部控制。业务流程--企业的某一项业务按其从发生到结束的顺序分解成若干个明显的阶段，然后可以用这些分解的阶段比较详细地描述出此项业务。以流程描述的方式记录控制活动32在对与财务报告相关的内部控制程序进行记录之前，必须先了解32外部商业环境及风险相关者经济环境、社会环境、技术环境、法律法规，国家政策、资本市场客户、投资者、供应商、业内竞争者市场战略管理流程战略管理公司治理核心业务流程收入资本性支出采购存货管理客户管理资源管理流程人力资源管理信息技术管理法律法规遵循管理财务及资金管理核心产品和服务客户供应商和战略合作伙伴以流程描述的方式记录控制活动-业务模型33外部商业环境及风险相关者市场战略管理流程核心业务流程资源管理34流程和部门的关系部门是业务流程的载体，因此确定每一业务流程所涉及的部门十分重要；每一业务流程都由不同部门的活动构成，同时同一部门又可能涉及不同的业务流程；相对于以部门为基本单位，以业务流程为基本单位对内部控制进行记录和描述，可以更好地将内部控制程序与其所希望控制的风险、达到的目标和会计报表认定进行对应以流程描述的方式记录控制活动（续）34流程和部门的关系部门是业务流程的载体，因此确定每一业务流3435流程和部门的关系计费帐务部门财务部门网络部门计费帐务部门财务部门网络部门目标？风险？会计报表认定？资本性支出流程成本费用管理流程特定的目标、风险和会计报表认定特定的目标、风险和会计报表认定按照业务流程按照部门需求发起部门工程建设部门交易结果记录部门费用支出部门费用支出部门费用记录部门以流程描述的方式记录控制活动（续）返回35流程和部门的关系计费帐务部门财务网络计费帐务部门财务网络35记录与财务报告相关的内部控制的工作底稿一、业务流程范围对业务流程所涉及的业务活动范围和所涉及的部门范围的定义二、所涉及的应用系统和重要电子表格本流程所涉及的的信息技术应用系统，以及在业务流程中可能会最终影响财务报告的重要电子表格三、目标业务流程中与财务报告/防范错误或舞弊相关的目标四、风险业务流程中存在的，可能影响财务报告的可靠性以及在防范和找出错误或舞弊方面的风险五、相关会计科目记录业务活动过程中所涉及的会计科目六、流程描述和关键控制点对业务流程进行完整详细的记录，其中包括流程运作的步骤和程序，以及流程中与财务报告相关的内部控制。在此基础上，提炼与财务报告相关的关键控制点。对于每个与财务报告相关的业务流程，均需详细记录以下方面内容：36记录与财务报告相关的内部控制的工作底稿一、业务流程范围对业务1 业务流程范围

对业务流程所涵盖的主要业务活动范围的描述，以及业务流程各个环节所涉及的部门的名称。

要求：对于流程所涵盖的主要业务活动范围要清晰，对于有可能在两个或多个流程中都有涉及的业务活动要根据重要性原则进行界定，避免遗漏和重复；要使用规范统一的部门名称；

记录与财务报告相关的内部控制的工作底稿（续）371 业务流程范围记录与财务报告相关的内部控制的工作底稿（续）2、所涉及的应用系统和重要电子表格

本流程所涉及的信息技术应用系统，以及在业务流程中可能会最终影响财务报告的重要电子表格。

要求：必须列明信息技术应用系统和电子表格的全称；电子表格仅限于需要手工加工处理计算的电子表格，并且这些电子表格上的数据最终会影响财务会计科目数据或披露记录与财务报告相关的内部控制的工作底稿（续）382、所涉及的应用系统和重要电子表格记录与财务报告相关的内部控3、目标

业务流程中与财务报告/防范错误或舞弊相关的目标。 要求记录工作主要关注与财务报告/防范错误或舞弊相关的目标，与经营的效率和效果、法律法规遵循相关的目标不必涵盖。意义较为相近的应尽量简化、合并。记录与财务报告相关的内部控制的工作底稿（续）393、目标记录与财务报告相关的内部控制的工作底稿（续）394、风险

业务流程中存在的，可能影响财务报告的可靠性以及在防范和找出错误或舞弊方面的风险。 要求本项目主要关注财务报告方面和找出错误或舞弊方面的风险，确认风险时，意义较为相近的应尽量简化、合并；风险描述应尽量具体，应对可能给公司造成的潜在损失和不利后果进行准确描述。记录与财务报告相关的内部控制的工作底稿（续）404、风险记录与财务报告相关的内部控制的工作底稿（续）405、相关会计科目

记录业务流程过程中涉及的会计科目。应从业务流程范围包括的业务活动出发，判断所有交易信息通过什么会计科目反映在财务报告上。 纳入评价范围的业务流程将涵盖会计报表中所有重大会计科目和信息披露。记录与财务报告相关的内部控制的工作底稿（续）415、相关会计科目记录与财务报告相关的内部控制的工作底稿（续）6、流程描述

将业务流程根据交易从发生到结束的顺序，对主要交易是如何启动、记录、处理和反映在财务报告的流程和程序进行记录。 要求描述流程步骤时应始终从目标和风险的角度出发，尽量不涉及与流程目标和对风险进行控制无关的步骤。记录与财务报告相关的内部控制的工作底稿（续）426、流程描述记录与财务报告相关的内部控制的工作底稿（续）427、关键控制点

关键控制点的设计和执行情况是决定内部控制有效性的关键因素之一。关键控制点是指在风险评估的基础上，经过具体分析比较各内部控制活动在实现其控制目标有效性的能力，确定的内部控制活动。仅仅执行这些关键内部控制活动而不执行其他内部控制活动或忽略控制环境、风险评估、信息与沟通和监控等其他控制元素的影响将不能够保证财务报告可靠性和相关披露准确性、完整性。但这些关键控制点在全部内部控制活动中的重中之重的地位，能够更有效地确保财务报告可靠性和相关披露准确性、完整性。

记录与财务报告相关的内部控制的工作底稿（续）返回437、关键控制点记录与财务报告相关的内部控制的工作底稿（续）返使用流程记录模版返回流程记录模版省公司内部控制手册编写说明44使用流程记录模版返回流程记省公司内部控制手册编写说明44

提炼主要控制点与财务报告相关内部控制的主要类型记录与财务报告相关内部控制的七个要素45 提炼主要控制点与财务报告相关内部控制的主要类型记录与财务报

授权及批准核对系统设置关键绩效指标异常情况报告和预警报告配置帐项映射控制系统系统访问权限管理层审阅职责分工提炼主要控制点与财务报告相关的内部控制的主要类型46 授权及批准提炼主要控制点与财务报告相关的内部控制的主要类型提炼主要控制点控制活动类型控制点举例授权及批准不同等级管理人员的付款审批权限限制进入系统数据库的权限必须获得有关资料拥有部门的主管批准核对每月制作及复核银行余额调节表系统设置存货管理信息系统中的数据与总账系统自动衔接关键绩效指标追欠人员负责监控应收账款的及时收回，确保追欠率在80%以上异常情况报告/预警报告对毁损和过期存货定期做出报告与财务报告相关的内部控制的主要类型（续）47提炼主要控制点控制活动类型控制点举例授权及批准不同等级管理人提炼主要控制点控制活动类型控制点举例配置账项映射控制系统短信内容与受理的业务类型通过BOSS系统或业务管理平台中配置的对照表建立了相互映射关系。发送的短信内容如不符合映射关系，相关业务不会被受理。系统访问权限系统保安功能应由独立的信息管理人员负责，该管理人员应没有修改客户资料库的权力管理层审阅管理层人员定期及及时审阅月财务报表及其分析报告职责分工存货实物保管人员与存货记录维护人员要由不同的人担任与财务报告相关的内部控制的主要类型（续）48提炼主要控制点控制活动类型控制点举例配置账项映射控制系统短信提炼主要控制点何时

什么时候来执行这项控制，例如是某项业务的发生时，还是结束时；以及这项控制的发生频率，例如每年，每季，每月，每周，每天还是频繁发生谁

即谁来执行这项控制程序，其所属的部门、职位是什么控制目标

执行该控制点所规避的风险及控制目标？

控制活动

实施什么控制活动？如何做

如何实施该项控制？人工/自动？跟进措施

差异如何处理？

证据

该项控制执行后会留下什么证据，例如会留下签字痕迹、会留下书面文档、单据、报告、会在系统中留下痕迹等记录与财务报告相关的内部控制的七个要素49提炼主要控制点何时什么时候来执行这项控制，例如是某项业务的r50记录与财务报告相关的内部控制的七个要素（续）控制点：财务部定期进行盘点。a谁：财务部独立于出纳的人员何时：每月如何做：对现金进行盘点控制活动：就库存现金实物和账面记录进行核对。跟进措施：如盘点有差异，由出纳人员查找原因，证据：参与盘点的人员在现金盘点表上签字确认或注明差异原因，控制目标：以确保现金的账实相符。提炼主要控制点注：盘点报告报管理层审批需要单独作为一个控制点描述。返回r50记录与财务报告相关的内部控制的七个要素（续）控制点：财50组织架构和工作方式项目管理委员会项目牵头部门流程主要负责部门流程参与部门流程主要负责部门负责人项目牵头部门负责人流程参与部门负责人流程主要负责部门联络人项目总协调人流程参与部门联络人项目工作小组为项目管理委员会下设的执行机构，具体由各流程的项目牵头部门、流程主要负责部门、流程参与部门的负责人员、联络人组成51组织架构和工作方式项目管理委员会项目牵头部门流程主要负责部门部门工作职责项目牵头部门项目牵头部门在本项目中主要负责整体组织、协调工作流程主要负责部门流程主要负责部门在本项目中对所负责子流程的工作质量和进度负责。流程参与部门流程参与部门对各子流程涉及本部门的相关工作负责。组织架构和工作方式项目牵头部门负责人、流程主要负责部门负责人和流程参与部门负责人领导本部门完成本项目工作，具体工作可授权项目总协调人和联络人执行52部门工作职责项目牵头部门项目牵头部门在本项目中主要负责整体组组织架构和工作方式小组讨论按业务流程分为若干小组进行讨论和访谈，每个子流程对应专门的小组每个子流程/小组配备执笔人，负责主持讨论并根据讨论结果对流程进行记录每一小组配备一名毕马威项目人员，负责在确定流程范围、关键控制点方面提供协助每个小组配备一名资料收集负责人，负责根据讨论结果收集整理穿行测试资料53组织架构和工作方式小组讨论5354小组讨论方法执笔人主持讨论，并按《中国移动内部控制手册》引导讨论方向；与会人员积极发言，根据本身所处的部门职责将流程的具体内容进行详细叙述；如果对于流程中某些环节有不确定之处，可以由相关部门人员通过电话等形式现场确认；如果不确定之处过多，则执笔人应先行记录，会后通过电话、统一另行安排面谈等形式确认；在讨论过程中毕马威工作人员随时提供咨询，协助确定流程的描述范围和关键控制点；执笔人负责将讨论结果记录整理成标准格式的书面文稿组织架构和工作方式54小组讨论方法执笔人主持讨论，并按《中国移动内部控制手册》54执笔人职责组织架构和工作方式主持和引导流程访谈小组开展讨论，并控制讨论的时间进度；在总部下发的流程记录模板中对访谈小组成员的讨论内容进行记录，记录内容包括流程现状、主要控制点、发现的缺陷和初步改进建议；协调和解决小组访谈过程中产生的分歧；根据收集到的穿行测试资料，对流程记录进行修改；根据毕马威协助人员的审阅意见，对流程记录进行进一步修改。55执笔人职责组织架构和工作方式主持和引导流程访谈小组开展讨论，组织架构和工作方式在流程访谈的过程中根据访谈小组共同明确的穿行测试资料，对在准备阶段确定的本子流程穿行测试资料初步清单进行更新；组织访谈小组成员根据更新的穿行测试资料清单收集穿行测试资料；对收集的穿行测试资料进行整理编号，并按照穿行测试资料收集要求进行审阅；如收集到的穿行测试资料发现流程记录与现状不符，提醒执笔人修改流程记录；完成穿行测试工作底稿；全程参加子流程访谈，同时负有流程参与访谈人员的职责。穿行测试资料收集人职责56组织架构和工作方式在流程访谈的过程中根据访谈小组共同明确的穿组织架构和工作方式准时参加相关流程的访谈；访谈时积极发言，在执笔人的主持下对负责的子流程进行详细的描述、发表自己对主要控制点、所发现缺陷和改进建议的意见；积极配合穿行测试资料收集人收集资料；对流程执笔人整理后的流程记录初稿进行审阅并反馈意见。流程参与访谈人员职责返回目录57组织架构和工作方式准时参加相关流程的访谈；流程参与访谈人员职穿行测试是一种常见的对内部控制程序的测试、评估方法。穿行测试的目的在于：穿行测试工作穿行测试的目的确认流程是否与记录相符；确认流程中与财务报告相关的内部控制的设计是否与记录相符，包括与发现或防止舞弊相关的控制；通过确定是否流程中可能出现的与每个财务报告认定相关的错报的风险点均被识别，来确认对于流程的记录是否完整；评价内部控制设计的有效性；确认相关内部控制程序是否已经被实施需要注意的是，穿行测试并不能保证内部控制在被调研单位被有效、一贯的得到执行，这需要对被查单位进行符合性测试来确定58穿行测试是一种常见的对内部控制程序的测试、评估方法。穿行测试穿行测试的具体操作是选取调研单位最近年度中相关业务流程中的一笔有代表性的交易，跟踪整个交易全过程，复印该笔交易涉及的全部文档单据资料文档应选择已经执行后留存的版本，而不是选择空白格式重点关注控制执行的痕迹，例如签字授权是否落实到位穿行测试所复印的文件和单据应按照流程步骤进行的顺序汇总编号对核对、审批等控制点在文件和单据上所显示的信息（如执行人签名等），应用荧光笔高亮显示穿行测试工作（续）穿行测试的方法59穿行测试的具体操作是选取调研单位最近年度中相关业务流程中的一穿行测试工作（续）穿行测试文档索引穿行测试文档名称测试内容测试结果及发现的问题W-H1-3自动会计规则变动表获取自动会计规则变动表，检查自动会计规则变更表是否经财务部门负责人或其授权人员审批并签字确认满意W-H1-4自动会计规则变更表获取自动会计规则变动表，检查是否有独立于MIS系统操作人员的其他人员对MIS系统中自动会计规则的变更进行复核并在自动会计规则变更表上签字确认自动会计规则变动表上没有复核人员的签字确认穿行测试工作底稿返回目录60穿行测试工作（续）穿行测试文档索引穿行测试文档名称测试内容测61省公司在内部控制设计缺陷改进阶段工作步骤项目牵头部门组织流程主要负责部门确定每个缺陷的缺陷修补责任部门，缺陷修补责任部门确定缺陷责任人；缺陷修补责任部门制定每个缺陷的修补计划，修补计划中应包括具体修补措施、修补时限、缺陷修补责任人等内容，并上报流程主要负责部门；缺陷修补责任部门落实执行本部门的缺陷修补计划，对于无法在规定时限内完成的修补工作，应当由缺陷修补责任部门上报替代性措施，如遇修补计划的重大变更，需要及时上报流程主要负责部门；项目牵头部门汇总省公司、地市公司修补结果以及无法在规定时限内完成修补工作的相应缺陷汇报省公司管理层审阅，审阅后上报总部。返回目录61省公司在内部控制设计缺陷改进阶段工作步骤项目牵头部门组织6162省公司在测试和评价阶段工作步骤项目省公司管理层对与本省财务报告相关的内部控制的设计有效性与执行有效性进行测试和自我评价；总部内部审计部对省公司与财务报告相关的内部控制的设计有效性与执行有效性进行测试和独立评价；具体评价方法和步骤详见《内部控制测评手册》。返回目录62省公司在测试和评价阶段工作步骤项目省公司管理层对与本省财6263省公司在持续跟进和评价阶段工作步骤由总部和各省公司的管理层和流程负责人对与财务报告相关的内部控制的有效性和内部控制缺陷修补措施进行持续监控；管理层于2006年年末对内部控制的有效性进行最终测试和评价。63省公司在持续跟进和评价阶段工作步骤由总部和各省公司的管理63所载资料仅供一般参考用，并非针对任何个人或团体的个别情况而提供。虽然本所已致力提供准确和及时的资料，但本所不能保证这些资料在阁下收取时或日后仍然准确。任何人士不应在没有详细考虑相关的情况及获取适当的专业意见下依据所载资料行事。64所载资料仅供一般参考用，并非针对任何个人或团体的个别情况而提审计

税务

咨询GLOBALSERVICEADVISORY中国移动（香港）有限公司

《萨班斯－奥克斯利法案》第404条款遵循项目毕马威华振会计师事务所风险咨询服务部65审计税务咨询GLOBALSERVICE主要内容66项目背景及内部控制基本概念项目具体工作方法介绍

主要内容2项目背景及内部控制基本概念66美国《萨班斯－奥克斯利法案》的背景安然、世界通讯等公司的一系列丑闻使投资者对上市公司信息披露的真实性产生怀疑；公司丑闻均牵涉上市公司管理层的错误行为，使投资者对上市公司治理制度的有效性产生怀疑；中介机构缺乏处理利益冲突的有效机制，使投资者对中介机构的独立性产生怀疑；美国证监会未能及时发现错误披露和市场欺诈行为，使投资者对监管机构监督市场运作的能力产生怀疑。《萨班斯-奥克斯利法案》颁布之前美国资本市场面临信心危机：67美国《萨班斯－奥克斯利法案》的背景安然、世界通讯等公司的一系2002年7月30日布什总统签发了《萨班斯-奥克斯利法案》2002年8月29日美国证券交易委员会根据《萨班斯-奥克斯利法案》第302条的要求颁布对有关条款的最终条例2003年6月5日美国证券交易委员会根据《萨班斯-奥克斯利法案》第404条的要求颁布对有关条款的最终条例和对第302条的补充修订2004年3月9日上市公司会计监管委员会发布第2号审计准则2004年6月17日美国证交会批准上市公司会计监管委员会发布第2号审计准则2004年6月至2005年5月期间上市公司会计监管委员会连续五次发布一系列关于与财务报告相关的内部控制问答与财务报告相关的重要法案、法规一览表682002年7月30日布什总统签发了《萨班斯-奥克斯

管理层声明(302条款)管理层关于内部控制的报告(404条款)重点领域关键条款审计委员会的标准禁止向董事和官员贷款加强对内部交易的报告向财务官员颁布行为准则上市公司会计监管委员会(PCAOB)对故意发表不实声明的刑事处罚(906条款)审计委员会事先批准所有审计师提供的服务禁止审计师提供某些服务5年强制轮换审计主管合伙人保护举报人第302条款和第404条款强调通过内部控制加强公司治理。第906条款强调刑事处罚。管理当局报告董事会治理管理层和董事会行为强制执行与惩罚审计师的独立性《萨班斯－奥克斯利法案》的内容《萨班斯-奥克斯利法案》69管理层声明(302条款)管理层关于内部控制的报告重点领域另外，第404条还要求外部审计师对于与财务报告相关的内部控制和管理层对内部控制的评价进行审计，并出具审计意见70《萨班斯－奥克斯利法案》第404条第404条管理层对内部控制的评价

管理层需为公司建立和维持足够的与财务报告相关的内部控制管理层还需每年报告：管理层建立和维持足够的与财务报告相关的内部控制的责任评估公司与财务报告相关的内部控制的有效性另外，第404条还要求外部审计师对于与财务报告相关的内部控制7071《萨班斯奥克斯利法案》第404条的文件内容管理层为公司建立和维持足够的与财务报告相关的内部控制的责任陈述管理层为评估公司与财务报告相关的内部控制的有效性而采用的评估架构陈述管理层就公司最近财政年度与财务报告相关的内部控制的有效性作出的评价陈述外部审计师已发出对《管理层就公司最近财政年度与财务报告相关的内部控制的有效性作出的评价》的审计意见《萨班斯－奥克斯利法案》第404条（续）7《萨班斯奥克斯利法案》第404条的文件内容管理层71主要交易是如何启动、记录、处理和反映在财务报告中用以防范或找出与重要账户、交易种类和披露相关的错误或舞弊的内部控制措施其它重要内控措施所依赖的内部控制，包括一般性控制，例如信息系统控制非经常性、非系统交易或财务估计的内控措施财务报表关账和汇总过程中的内控措施资产保护的控制措施公司层面的控制措施72《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制包括针对与会计报表中所有重要科目和信息披露相关的所有会计认定所实施的内部控制，包括：《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制主要交易是如何启动、记录、处理和反映在财务报告中8《萨班斯-72涉及主要交易类型的交易启动、授权、处理以及最终在财务报表中的披露过程中各环节的主要内部控制业务系统核心业务流程网络建造和管理收入和计费采购和存货管理73计费系统财务核算系统《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制现金/贷款/货币资金收入固定资产应收账款应付账款业务费用财务报告交易涉及主要交易类型的交易启动、授权、处理以及最终在财务报表中的73会计认定存在或发生（ExistenceorOccurrence）完整性（Completeness)权利和责任（RightsandObligations）价值（Valuation）表述和披露（PresentationandDisclosure）

74会计认定存在或发生（ExistenceorOccurre内部控制点描述对应会计报表认定在营业账务系统中对每个用户建立唯一的识别标志，与其话费账单进行索引并据以对其欠费进行统计和账龄分析。存在性、价值计费账务系统对计费数据的有效性进行检查，将结果与历史数据进行比较，当重单、无效话单和错单的发生量超过一定数量时，产生系统预警。存在性、完整性、价值计费账务部门对修改后的费率或优惠套餐进行测试，生成测试报告并提交给经适当授权的人员审阅，核对修改无误后，方能投入计费。价值在计费周期终了，与其他电信运营商就网间结算金额进行核对。权利和义务、存在性、完整性、价值前台业务受理工作人员无权对收费系统中的话费数据进行修改，而只能进行权限范围内的查询。价值确定需要评价的内部控制--业务流程举例（收入和计费流程）《萨班斯-奥克斯利法案》第404条款要求进行评价的内部控制75内部控制点描述对应会计报表认定在营业账务系统中对每个用户建立76《萨班斯奥克斯利法案》第404条的生效日“提前申报人”：在2004年11月15日或之后结束的首个财政年度(原为2004年6月15日)其他(包括国外私人发行人)：在2006年7月15日或之后结束的首个财政年度(原为2005年7月15日)首次国外申报人：在2006年7月15日或之后结束的首个年度报告(表格20-F)《萨班斯－奥克斯利法案》第404条（续）中国移动适用的是“2006年7月15日或之后结束的首个财政年度”，即2006年12月31日结束的财政年度12《萨班斯奥克斯利法案》第404条的生效日“提前76上市公司会计监管委员会第2号审计准则《萨班斯-奥克斯利法案》第404条要求管理层和外部审计师都必须对与财务报告相关的内部控制进行评价。77《萨班斯-奥克斯利法案》第404条与上市公司会计监管委员会第2号审计准则上市公司会计监管委员会配合第404条要求颁布第2号审计准则，以明确规范公司管理层和外部审计师对内部控制进行评价的范围和要求。77上市公司会计监管委员会第2号审计准则《萨班斯-奥克斯利法案》必须承担与公司财务报告相关的内部控制有效性的责任采用适当的内控框架(例如COSO，国际认可的内部控制框架)，评价公司与财务报告相关的内部控制系统的有效性以充分的凭证(包括档案文件)支持评价结果针对公司最近年度财务报告的内部控制有效性提交书面报告78上市公司会计监管委员会第2号审计准则（续）对管理层的要求测试有效性记录内部控制全面计划纠正缺陷做出声明必须承担与公司财务报告相关的内部控制有效性的责任14上市公司7879管理层404评价报告建立及维持有效性内部控制系统记录测试(1) 评价内部控制的有效性(2) 提交最近年度财务报告的内部控制系统有效性的声明根据上市公司会计监管委员会第2号审计准则的要求，对与财务报告相关的内部控制进行独立审计，并正式出具一份审计师404审计报告，当中包括两个评价意见评价意见(1)对管理层评价结论的意见评价意见(2)对公司与财务报告相关

内部控制有效性的独立意见上市公司会计监管委员会第2号审计准则（续）对外部审计师的要求

15管理层404评价报告建立及维持有效性内部控制系统记录79与公司必要的沟通以书面向审计委员会报告已发现的所有内部控制显著缺陷和重大漏洞必须在公布审计报告前进行沟通通知管理层已发现的所有与财务报告相关的内控缺陷并通知审计委员会已与管理层对内控缺陷作出沟通《萨班斯-奥克斯利法案》第404条不仅要求公司财务报表没有重大错报(significantmisstatement)

，还要把这种可能性降至最低的水平。而公司的内部控制无法把财务报表出现错报的可能性减至最低已经足以令审计师出具保留意见或不表示意见。80对外部审计师的要求

上市公司会计监管委员会第2号审计准则（续）80与公司必要的沟通《萨班斯-奥克斯利法案》第404条不内部控制的基本概念美国反虚假财务报告委员会的发起组织委员会《COSO内部控制框架》81内部控制的基本概念美国反虚假财务报告委员会的发起组织委员会《所有五大元素必须同时发挥作用，才能让内部控制有效地运作控制活动确保落实管理层的政策/流程措施包括审批、授权、

确认、建议、业绩考核、资产保全和权限分离监控评估内部控制系统整合及时独立的评估管理层和监控机构的

工作内部审计信息和沟通定期获取、确定并交流相关的信息评审内部和外部获取的信息信息流：

职责指导管理层的总结

成功的措施控制环境管理哲学和经营风格因素包括正直、道德价值、能力、权威和责任董事会和审计委员会人力资源政策和实务是其它内部控制组成部分的基础风险评估风险评估是因应一些决定性的内部控制活动和企业目标而确认和分析相关风险的工作营运财务报告合规性监控信息和沟通控制活动控制环境业务单位甲业务单位乙活动一活动二风险评估82COSO内部控制框架返回目录所有五大元素必须同时发挥作用，才能让内部控制有效地运作控制活82项目具体工作方法介绍项目总体时间表省公司在推广记录阶段工作步骤流程记录阶段工作方法穿行测试工作省公司在内部控制设计缺陷改进阶段工作步骤省公司在测试和评价阶段工作步骤省公司在持续跟进和评价阶段工作步骤83项目具体工作方法介绍项目总体时间表流程记录阶段工作方法省公司84项目总体时间表

制定评估计划和范围阶段

试点记录阶段推广记录阶段

内部控制设计缺陷改进阶段

测试和评价阶段持续跟进和评价阶段

2005年7月2005年8月-12月2006年1月-4月2006年1月-6月2006年5月-9月2006年9月-12月外部审计师审计阶段

中期审计2006年7月-9月 年终审计2006年12月-2007年1月9月返回目录20项目总体时间表

制定评估计划和范围阶段试点记录阶段推广84省公司在推广记录阶段工作步骤项目准备阶段流程记录阶段流程记录和改进建议确认阶段约一个月约一周通知起前十天接到总部项目启动85省公司在推广记录阶段工作步骤项目准备阶段流程记录阶段流程记录确认《子流程记录时间安排表》

确认人员名单各流程执笔人、穿行测试资料收集人、参与访谈人员与毕马威协助人员共同组成访谈小组，执笔人为访谈小组组长，以小组讨论的形式，参考《中国移动内部控制手册》，结合本省流程现状进行流程现场记录，并提炼控制点、分析差异、归纳缺陷和提出改进建议穿行测试省公司在推广记录阶段工作步骤流程记录步骤具体工作内容项目准备阶段流程记录阶段流程记录和改进建议确认阶段86确认《子流程记录时间安排表》省公司在推广记录阶段工作步骤流流程参与部门负责人确认流程记录和改进建议省公司管理层确认流程记录和改进建议省公司在推广记录阶段工作步骤流程记录和改进建议确认步骤具体工作内容项目准备阶段流程记录阶段流程记录和改进建议确认阶段87流程参与部门负责人确认流程记录和改进建议省公司在推广记录阶段省公司在推广记录阶段工作步骤图解项目准备《中国移动内部控制手册》工作小组讨论与财务报告相关的内控记录框架《XX省内部控制手册》穿行测试资料确认程序流程记录返回目录88省公司在推广记录阶段工作步骤图解项目准备《中国移动内部控制手流程记录阶段工作方法记录什么？---财务报告相关内部控制记录的基本框

架和内容

---确定与财务报告相关的内部控制如何记录？---以流程描述的方式记录控制活动---记录与财务报告相关的内部控制的工作底稿

---使用流程记录模版---提炼主要控制点

谁记录？---内部控制记录工作的人员组织架构89流程记录阶段工作方法记录什么？---财务报告相关内部控制记录内部控制记录的基本框架和内容按照COSO框架确定的与财务报告相关内控记录包括以下部分：信息技术整体控制内部控制框架资本性支出业务流程收入和计费业务流程存货管理流程营运支出业务流程货币资金管理流程固定资产和无形资产管理业务流程人工成本管理流程会计和财务报告筹资业务流程关联方业务流程法律法规遵循业务流程1.概述2.控制环境3.风险评估4.控制活动与财务报告相关业务流程及内部控制（该部分工作量约占总工作量的80％）5.信息与沟通6.监控返回90内部控制记录的基本框架和内容按照COSO框架确定的与财务报告确定与财务报告相关的内部控制COSO对内部控制的定义：内部控制是由公司董事会、管理层和其他员工实施的，为实现经营的效果性和效率性、财务报告的可靠性以及适用法律、法规的遵循性等目标提供合理保证的一个过程。

经营的效果和效率财务报告的可靠性（萨班斯法案关注的内部控制）法律法规的遵循91确定与财务报告相关的内部控制COSO对内部控制的定义：经营的对主要交易是如何启动、记录、处理和反映在财务报告中的控制措施；与选用恰当的会计政策相关的控制措施；用以防范错误或舞弊的内部控制措施；其它重要内控措施所依赖的内部控制，例如信息系统控制措施；非经常性、非系统交易或财务估计的内控措施；公司层面的控制措施：与控制环境相关的控制措施；财务报表关账和汇总过程中的控制措施。92与财务报告相关的内部控制包括针对与会计报表中所有重要科目和信息披露相关的所有会计认定所实施的内部控制，包括：确定与财务报告相关的内部控制（续）对主要交易是如何启动、记录、处理和反映在财务报告中的控制措施9293确定与财务报告相关的内部控制（续）准备人员结果记录独立的第三方

审查完整性/准

确性/存在性

（MR）批准

（AU）系统输入前，

审查其是否经过

适当授权

（MR）记录系统A独立的第三方

准确性审查数据

完整性和准确性

（MR）系统权限控制

/查验痕迹接口/转换控制

（如存在两个

或两个以上的

系统）系统设置

与账项映射例外报告/

修订报告审阅例外报告，

跟进处理

差异事项

（MR）例外报告系统B报告MR-管理层审阅AU-授权人工控制系统控制启动授权记录处理报告如果此报告是另一个流程的开始，可以重新循环开始29确定与财务报告相关的内部控制（续）准备人员结果记录独立的93预算控制质量控制成本控制安全生产控制绩效考核94有些控制属于公司的经营性控制，而非确保财务报告可靠性的控制：确定与财务报告相关的内部控制（续）但是，应对这些控制应进行分析。确定其是否与财务报告中的会计科目相关。预算控制30有些控制属于公司的经营性控制，而非确保财务报告可94某些控制可能既是经营性控制，又是财务报告控制。 例如，预算控制虽然是一项经营性目的的控制，但是若管理层关注预算与实际发生额的比较并希望借此发现财务记录中的错误，则实际经营数据与预算进行比较，并生成例外情况报告构成一项与财务报告相关的控制。 例如，绩效考核的目的是为了经营的效率和效果，但是如果通过绩效考核程序确定的薪金将记录为财务报告中的人工成本，则应当对绩效考核过程中确保数字可靠性和防止舞弊的控制进行记录。95确定与财务报告相关的内部控制（续）返回某些控制可能既是经营性控制，又是财务报告控制。31确定与财务9596在对与财务报告相关的内部控制程序进行记录之前，必须先了解企业的运作，确定主要的业务流程，才有可能记录、了解并测试相应的内部控制。业务流程--企业的某一项业务按其从发生到结束的顺序分解成若干个明显的阶段，然后可以用这些分解的阶段比较详细地描述出此项业务。以流程描述的方式记录控制活动32在对与财务报告相关的内部控制程序进行记录之前，必须先了解96外部商业环境及风险相关者经济环境、社会环境、技术环境、法律法规，国家政策、资本市场客户、投资者、供应商、业内竞争者市场战略管理流程战略管理公司治理核心业务流程收入资本性支出采购存货管理客户管理资源管理流程人力资源管理信息技术管理法律法规遵循管理财务及资金管理核心产品和服务客户供应商和战略合作伙伴以流程描述的方式记录控制活动-业务模型97外部商业环境及风险相关者市场战略管理流程核心业务流程资源管理98流程和部门的关系部门是业务流程的载体，因此确定每一业务流程所涉及的部门十分重要；每一业务流程都由不同部门的活动构成，同时同一部门又可能涉及不同的业务流程；相对于以部门为基本单位，以业务流程为基本单位对内部控制进行记录和描述，可以更好地将内部控制程序与其所希望控制的风险、达到的目标和会计报表认定进行对应以流程描述的方式记录控制活动（续）34流程和部门的关系部门是业务流程的载体，因此确定每一业务流9899流程和部门的关系计费帐务部门财务部门网络部门计费帐务部门财务部门网络部门目标？风险？会计报表认定？资本性支出流程成本费用管理流程特定的目标、风险和会计报表认定特定的目标、风险和会计报表认定按照业务流程按照部门需求发起部门工程建设部门交易结果记录部门费用支出部门费用支出部门费用记录部门以流程描述的方式记录控制活动（续）返回35流程和部门的关系计费帐务部门财务网络计费帐务部门财务网络99记录与财务报告相关的内部控制的工作底稿一、业务流程范围对业务流程所涉及的业务活动范围和所涉及的部门范围的定义二、所涉及的应用系统和重要电子表格本流程所涉及的的信息技术应用系统，以及在业务流程中可能会最终影响财务报告的重要电子表格三、目标业务流程中与财务报告/防范错误或舞弊相关的目标四、风险业务流程中存在的，可能影响财务报告的可靠性以及在防范和找出错误或舞弊方面的风险五、相关会计科目记录业务活动过程中所涉及的会计科目六、流程描述和关键控制点对业务流程进行完整详细的记录，其中包括流程运作的步骤和程序，以及流程中与财务报告相关的内部控制。在此基础上，提炼与财务报告相关的关键控制点。对于每个与财务报告相关的业务流程，均需详细记录以下方面内容：100记录与财务报告相关的内部控制的工作底稿一、业务流程范围对业务1 业务流程范围

对业务流程所涵盖的主要业务活动范围的描述，以及业务流程各个环节所涉及的部门的名称。

要求：对于流程所涵盖的主要业务活动范围要清晰，对于有可能在两个或多个流程中都有涉及的业务活动要根据重要性原则进行界定，避免遗漏和重复；要使用规范统一的部门名称；

记录与财务报告相关的内部控制的工作底稿（续）1011 业务流程范围记录与财务报告相关的内部控制的工作底稿（续）2、所涉及的应用系统和重要电子表格

本流程所涉及的信息技术应用系统，以及在业务流程中可能会最终影响财务报告的重要电子表格。

要求：必须列明信息技术应用系统和电子表格的全称；电子表格仅限于需要手工加工处理计算的电子表格，并且这些电子表格上的数据最终会影响财务会计科目数据或披露记录与财务报告相关的内部控制的工作底稿（续）1022、所涉及的应用系统和重要电子表格记录与财务报告相关的内部控3、目标

业务流程中与财务报告/防范错误或舞弊相关的目标。 要求记录工作主要关注与财务报告/防范错误或舞弊相关的目标，与经营的效率和效果、法律法规遵循相关的目标不必涵盖。意义较为相近的应尽量简化、合并。记录与财务报告相关的内部控制的工作底稿（续）1033、目标记录与财务报告相关的内部控制的工作底稿（续）394、风险

业务流程中存在的，可能影响财务报告的可靠性以及在防范和找出错误或舞弊方面的风险。 要求本项目主要关注财务报告方面和找出错误或舞弊方面的风险，确认风险时，意义较为相近的应尽量简化、合并；风险描述应尽量具体，应对可能给公司造成的潜在损失和不利后果进行准确描述。记录与财务报告相关的内部控制的工作底稿（续）1044、风险记录与财务报告相关的内部控制的工作底稿（续）405、相关会计科目

记录业务流程过程中涉及的会计科目。应从业务流程范围包括的业务活动出发，判断所有交易信息通过什么会计科目反映在财务报告上。 纳入评价范围的业务流程将涵盖会计报表中所有重大会计科目和信息披露。记录与财务报告相关的内部控制的工作底稿（续）1055、相关会计科目记录与财务报告相关的内部控制的工作底稿（续）6、流程描述

将业务流程根据交易从发生到结束的顺序，对主要交易是如何启动、记录、处理和反映在财务报告的流程和程序进行记录。 要求描述流程步骤时应始终从目标和风险的角度出发，尽量不涉及与流程目标和对风险进行控制无关的步骤。记录与财务报告相关的内部控制的工作底稿（续）1066、流程描述记录与财务报告相关的内部控制的工作底稿（续）427、关键控制点

关键控制点的设计和执行情况是决定内部控制有效性的关键因素之一。关键控制点是指在风险评估的基础上，经过具体分析比较各内部控制活动在实现其控制目标有效性的能力，确定的内部控制活动。仅仅执行这些关键内部控制活动而不执行其他内部控制活动或忽略控制环境、风险评估、信息与沟通和监控等其他控制元素的影响将不能够保证财务报告可靠性和相关披露准确性、完整性。但这些关键控制点在全部内部控制活动中的重中之重的地位，能够更有效地确保财务报告可靠性和相关披露准确性、完整性。

记录与财务报告相关的内部控制的工作底稿（续）返回1077、关键控制点记录与财务报告相关的内部控制的工作底稿（续）返使用流程记录模版返回流程记录模版省公司内部控制手册编写说明108使用流程记录模版返回流程记省公司内部控制手册编写说明44

提炼主要控制点与财务报告相关内部控制的主要类型记录与财务报告相关内部控制的七个要素109 提炼主要控制点与财务报告相关内部控制的主要类型记录与财务报

授权及批准核对系统设置关键绩效指标异常情况报告和预警报告配置帐项映射控制系统系统访问权限管理层审阅职责分工提炼主要控制点与财务报告相关的内部控制的主要类型110 授权及批准提炼主要控制点与财务报告相关的内部控制的主要类型提炼主要控制点控制活动类型控制点举例授权及批准不同等级管理人员的付款审批权限限制进入系统数据库的权限必须获得有关资料拥有部门的主管批准核对每月制作及复核银行余额调节表系统设置存货管理信息系统中的数据与总账系统自动衔接关键绩效指标追欠人员负责监控应收账款的及时收回，确保追欠率在80%以上异常情况报告/预警报告对毁损和过期存货定期做出报告与财务报告相关的内部控制的主要类型（续）111提炼主要控制点控制活动类型控制点举例授权及批准不同等级管理人提炼主要控制点控制活动类型控制点举例配置账项映射控制系统短信内容与受理的业务类型通过BOSS系统或业务管理平台中配置的对照表建立了相互映射关系。发送的短信内容如不符合映射关系，相关业务不会被受理。系统访问权限系统保安功能应由独立的信息管理人员负责，该管理人员应没有修改客户资料库的权力管理层审阅管理层人员定期及及时审阅月财务报表及其分析报告职责分工存货实物保管人员与存货记录维护人员要由不同的人担任与财务报告相关的内部控制的主要类型（续）112提炼主要控制点控制活动类型控制点举例配置账项映射控制系统短信提炼主要控制点何时

什么时候来执行这项控制，例如是某项业务的发生时，还是结束时；以及这项控制的发生频率，例如每年，每季，每月，每周，每天还是频繁发生谁

即谁来执行这项控制程序，其所属的部门、职位是什么控制目标

执行该控制点所规避的风险及控制目标？

控制活动

实施什么控制活动？如何做

如何实施该项控制？人工/自动？跟进措施

差异如何处理？

证据

该项控制执行后会留下什么证据，例如会留下签字痕迹、会留下书面文档、单据、报告、会在系统中留下痕迹等记录与财务报告相关的内部控制的七个要素113提炼主要控制点何时什么时候来执行这项控制，例如是某项业务的r114记录与财务报告相关的内部控制的七个要素（续）控制点：财务部定期进行盘点。a谁：财务部独立于出纳的人员何时：每月如何做：对现金进行盘点控制活动：就库存现金实物和账面记录进行核对。跟进措施：如盘点有差异，由出纳人员查找原因，证据：参与盘点的人员在现金盘点表上签字确认或注明差异原因，控制目标：以确保现金的账实相符。提炼主要控制点注：盘点报告报管理层审批需要单独作为一个控制点描述。返回r50记录与财务报告相关的内部控制的七个要素（续）控制点：财114组织架构和工作方式项目管理委员会项目牵头部门流程主要负责部门流程参与部门流程主要负责部门负责人项目牵头部门负责人流程参与部门负责人流程主要负责部门联络人项目总协调人流程参与部门联络人项目工作小组为项目管理委员会下设的执行机构，具体由各流程的项目牵头部门、流程主要负责部门、流程参与部门的负责人员、联络人组成115组织架构和工作方式项目管理