内部控制与财务报告管理知识描述

第七章内部控制系统及其评审

第一节内部控制系统

第二节财务报告内部控制第三节内部控制的描述

第四节内部控制的评价第五节内部控制审计第一节内部控制系统一、内部控制的定义内部控制是被审计单位为了实现其发展战略、提高经营活动的效率、确保信息的可靠性、保护财产的安全完整、法律法规得到遵守，而由治理层、管理层和相关人员设计并执行的各项政策和相互制约相互联系的关系、是一个严密与完整的体系。可从以下几方面理解内部控制的定义1.内控的目标是合理保证：（1）财务报告的可靠性；（2）经营的效率和效果；（3）在所有经营活动中遵守法律法规。2.设计和实施内部控制的责任主体是治理层、管理层和其他人员。3.实现内部控制目标的手段是设计和执行控制政策及程序。股东会公司治理层次（corporategovernance）董事会经理层生产工人监事会辅助工人办公人员研发人员销售人员临时人员内部控制层次（internalcontrol）内部控制的国际发展内部牵制阶段内部控制的产生内部控制两要素阶段内部控制三要素阶段--内部控制结构内部控制五要素阶段--内部控制整体框架内部控制八要素阶段--企业风险管理整体框架内部牵制内部牵制的理念产生于上世纪40年代以前主要特点：任何个人或部门不能单独控制任何一项或一部分业务权力，必须进行组织上的责任分工。内部牵制的形式实物牵制：例如把保险柜的钥匙交给二个以上的工作人员持有。机械牵制：例如保险柜的大门若非按正确程序操作就打不开。体制牵制：采用双重控制预防错误和舞弊的发生。簿记牵制：定期将明细账与总账进行核对。

内部牵制的基本理念二个或以上的人或部门无意识地犯同样错误的机会是很小的；二个或以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部门舞弊的可能性。内部控制的产生1949年，美国会计师协会的审计程序委员会在《内部控制，一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告中，对内部控制首次作了权威性定义：

“内部控制包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。这些方法和措施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，推动企业坚持执行既定的管理政策。”

此定义及其相应的解释，当时被普遍认为是对认识内部控制这一概念的重大贡献，因为在此之前内部控制概念从未受到如此的重视。

内部控制两要素阶段1958年10月美国审计程序委员会发布了第29号《审计程序公告》对内部控制进行了重新定义，将内部控制划分为会计控制和管理控制两要素。内部会计控制：包括组织规划的与财产安全和财物记录可靠性有直接联系的所有方法和程序，包括授权与批准控制、职务分离控制、财产实物控制和内部审计等。

内部管理控制：包括组织规划的与经营效率和贯彻管理方针有关的所有方法和程序，一般包括统计分析、业绩报告、员工培训和质量控制等。内部控制三要素的发展1988年美国AICPA发布了第55号《审计准则公告》，首次以“内部控制结构”代替“内部控制”，指出“企业的内部控制结构包括所有为确保实现企业特定目标而建立的各种政策和程序”。内部控制结构包括三个要素：控制环境：反映董事会、管理者、所有者对控制的态度和行为。会计系统：规定各项经济业务的确认、归集、分类、登记和编报方法。控制程序：指管理当局为保证实现目标而制定的政策和程序。内部控制三三要素的发发展内部控制结结构的特点点：正式将控制制环境纳入入内部控制制范畴。以以前人们将将控制环境境作为内部部控制的外外部因素，，但渐渐地地认识到控控制环境是是内部控制制的一个组组成部分，，是内部控控制体系得得以建立和和运行的基基础及保证证。二是不再区区分会计控控制与管理理控制，这这是因为通通过研究发发现，这两两者往往是是不可分割割的，是相相互关系的的。“COSO”与“美美国反欺诈诈财务报告告委员会””美国反欺诈诈财务报告告委员会(NationalCommissiononFraudulentFinancialReporting)的成立立：由美国会计计学会（AAA）、、美国注册册会计师协协会（AICPA））、财务经经理协会（（FEI））、内部审审计师协会会（IIA）、管理理会计协会会（IMA）于1985年发发起设立1985年年，美国五五大会计职职业团体为为发起设立立Treadway委员会，，并成立了了一个“发发起组织委委员会”，，这是一个个自发的民民间组织，，其目的是是发起设立立美国反欺欺诈财务报报告委员会会，并提供供财务支持持。由包括来自自产业界、、会计师事事务所、投投资公司以以及纽约交交易所代表表的六个委委员组成主席由前美美国SEC委员JamesTreadway担任，所所以简称““Treadway委员会会”主要目的是是研究导致致财务报告告欺诈的因因素，为上上市公司及及其独立审审计师、SEC及其其他监管者者、教育机机构提供建建议。1987年年Treadway报告研究的主要要问题重大舞弊对对财务报表表的影响程程度舞弊行为的的可预防程程度独立审计在在揭露管理理欺诈舞弊弊中的作用用审计准则是是否需作进进一步的修修改“COSO”与“内内部控制整整体框架””（五要要素）自1987年年的Treadway报报告和1988年9个审审计准则公告告发布后，COSO对内内部控制问题题又进行了较较深入系统的的研究，于1992年发发布了《内部部控制——整整体框架》报报告，该报告告是国际内部部控制理论发发展的又一重重要里程碑。。COSO认为为，内部控制制是由企业董董事会、经理理阶层和其他他员工实施的的，为营运的的效率效果、、财务报告的的可靠性、相相关法令的遵遵循性等目标标的实现而提提供合理保证证的过程。其其构成要素应应该来源于管管理阶层经营营企业的方式式，并与管理理的过程相结结合。内部控制整体体框架控制环境境风险评估估控制活动动监督作业活动1作业活动2循遵营经告报信息与沟通“内部控制整整体框架”的的特点1．明确对内内部控制的““责任”2．强调内部部控制应该与与企业的经营营管理过程相相结合3．强调内部部控制是一个个“动态过程程”4．强调“人人”的重要性性5．强调“软软控制”的作作用6。强调风险险意识7．揉和了管管理与控制的的界限8．强调内部部控制的分类类及目标9．明确指出出内部控制只只能做到“合合理”保证10．成本与与效益原则控制环境控制环境不仅仅包括非正式式的经常是无无形的软控制制，例如道德德价值观，诚诚信原则，管管理哲学，胜胜任的能力等等，同时还包包括组织结构构和职责划分分等更为正式式的控制。控控制的其他要要素发挥作用用都依赖于这这一基础的可可靠性。风险评估在风险评估过过程中，管理理层识别并分分析实现其目目标过程中所所面临的风险险，从而制定定决定如何管管理风险的制制度基础。管管理层应该在在审计师开始始审计之前，，识别那些重重大的风险，，并基于这些些风险发生的的可能性和影影响采取措施施缓和这些风风险。随后，，审计师对这这一风险评估估过程进行评评价。控制活动控制活动是指指确保管理层层的指令得以以实现的机制制，包括那些些被识别能够够缓和风险的的活动。这些些控制很大程程度上是基于于审批活动。。运输货物、、支付帐单、、等待客户定定单、购买资资产等活动都都需要实施具具体的，基于于活动的控制制。所以要求求具备大量的的有关特定活活动的知识来来决定应该实实施怎样的针针对性控制。。信息与沟通COSO框架架的第四个控控制要素是信信息与沟通。。信息是指员员工能够获得得其工作中所所需要的信息息，沟通是指指信息向上的的、向下的、、横向的、在在组织内外自自由的流动。。监督监督要素包括括经理人员日日常的监督，，审计师和其其他群体定期期的审核以及及经理人员用用以揭示和纠纠正已知的缺缺陷与不足的的程序。监督督可以用来保保证其他控制制的运行，这这也就解释了了为什么内部部审计被看作作是监督的一一部分。1987-1997欺诈诈性财务报告告研究1987年Treadway报告发发布后，美国国公开发行股股票公司财务务报告舞弊情情况究竟如何何，需要进行行全面的分析析COSO发起起并赞助了对对1987.1-1997.12美美国欺诈性财财务报告的研研究研究者从这11年期间受受到SEC处处罚的约300家公司中中随机选取了了约200家家公司进行了了全面的研究究1999年3月发布了研研究报告1987-1997欺诈诈性财务报告告研究研究发现：存在财务报告告欺诈舞弊问问题的一般是是小公司，大大多不在纽约约证券交易所所或美洲证券券交易所上市市的公司进行欺诈舞弊弊的大多是公公司高层，72%的案例例显示由公司司CEO参与与有欺诈舞弊情情况的公司，，董事会和审审计委员会都都很弱，审计计委员会很少少碰头，董事事会由内部人人控制大部分公司由由发起人和公公司董事拥有有当公司发生欺欺诈舞弊情况况时，后果非非常严重，大大部分导致破破产、股权重重大变更或直直接退市安然事件爆发发安然公司1985年成立立，2001年财富世界界500强中中排第16位位，营业收入入1387亿亿美元，2001年11月安然重新新公布1997－2000年的财务务报表，累计计减少利润近近6亿美金，，2001年年12月申请请破产保护，，破产资产总总额498亿亿美元，为美美国历史之最最。股票最高高价超过90美元，最低低价不到20美分。2002年1月月16日,纽纽约证交所将将安然公司摘摘牌,公司正正式破产,整整个案件造成成市值损失320亿美元元,财产损失失500亿美美元。世通事件爆发发世通公司是美美国第二大电电信公司，2002年，，被发现利用用将营运性开开支列作资本本性开支等弄弄虚作假的手手法，在1998-2002期间，，虚报收入110亿美元元。

事发之之后，世通的的股价从最高高的64.5美元暴跌至至3美元。世世通于2002年7月申申请破产保护护令，以1070亿美元元的资产、410亿美元元的债务成为为美国历史上上最大的破产产个案，刷新新了美国历史史上的破产规规模记录。7月30日,纳斯达克证证交所将世通通公司摘牌。。整个案件造造成市值损失失1200亿亿美元,财产产损失1000亿美元。。2002年美美国《萨班斯斯法案》2002年7月25日美美国通过的《《公司改革法法案》（Sarbanes-OxleyAct），使传传统的注册会会计师行业自自律模式被打打破，代之以以政府监督下下的独立监管管为主的模式式，即由美国国证券交易委委员会（SEC）监督下下的公众公司司会计监管委委员会（PCAOB）来来负责制定或或审批审计准准则、事务所所质量控制准准则、职业道道德准则、独独立性准则以以及其他与审审计报告相关关的准则。实实际上意味着着AICPA正在逐步失失去审计准则则制定权。2002年美美国《萨班斯斯法案》302条款:由CEO和CFO在在内的企业管管理层，对公公司财务报告告的内部控制制按季度和年年度就以下事事项发表声明明：对建立和维护护与财务报告告有关的内部部控制负责。。设计所需的内内部控制，以以保证管理层层能知道该公公司及其子公公司的所有重重大信息，尤尤其是报告期期内的重大信信息。与财务报告有有关的内部控控制的任何变变更都已得到到恰当的披露露，这里的变变更指最近一一个会计季度度已经产生，，或者合理预预期将对于财财务报告有关关的内部控制制产生重大影影响的变更。。对IT内部控控制的有效性性予以评估。。2002年美美国《萨班斯斯法案》404条款：管理层在其其年度文件中中提供关于与与财务报告有有关的内部控控制的年度评评估报告。管管理层的年度度报告要求包包括以下内容容：管理层有责任任为企业建立立和维护恰当当的与财务报报告有关的内内部控制。识别管理层所所采用的内部部控制框架，，以便按要求求评估公司与与财务报告有有关的内部控控制的有效性性。对从一上个会会计年度末以以来与财务报报告有关的内内部控制的有有效性予以评评估，其内容容也包括有关关与财务报告告有关的内部部控制是否有有效的公开声声明。2002年美美国《萨班斯斯法案》404条款（（续）：年度审计报告告中，注册会会计师事务所所发表的财务务审计报告，，包括管理层层对与财务报报告有关的内内部控制有效效性评估的证证明报告。管理层关于公公司针对财务务报告内部控控制有效性评评估的书面结结论，应包含含在其对财务务报告内部控控制的报告和和其对审计师师的信函中。。管理层对公公司面向财务务报告的内部部控制的有效效性必须发表表直接意见。。如果与财务报报告有关的内内部控制中有有一个或多个个重要缺陷，，管理层将不不能对财务报报告的内部控控制有效性作作出评估结论论，而且，管管理层应该披披露自最近一一个会计年度度末以来财务务报告内部控控制方面的所所有重要缺陷陷。2002年美美国《萨班斯斯法案》404条款要要求，每个公公司都要将公公司任何一个个岗位的职务务、职责描述述得一目了然然，这项工作作需要大量材材料和文件支支持。同时上上市公司要保保证在对交易易进行财务记记录的每一个个环节都有相相应的内部控控制制度（例例如产品销售售的条件、记记录付款的时时间和人员等等）。此外，，还要指出内内部控制的缺缺陷所在。要完成这些工工作绝非易事事，特别是对对于组织分散散，业务范围围复杂的大型型公司而言，，组织越分散散，业务越复复杂就意味着着要做的工工作越繁杂，，这促使他们们不得不投入入更多来实施施404条款款所要求的内内部控制措施施。2002年美美国《萨班斯斯法案》404条款的的遵循成本第第一年最高，，包括关键内内部控制的初初始存档和补补救。以后年年度的遵循成成本会大幅度度减少。根据国际财务务执行官(FEI)对321家企业业的调查结果果，每家需要要遵守萨班斯斯法案的美国国大型企业第第一年实施404条款的的总成本将超超过460万万美元。全球著名的通通用电气公司司表示，404条款致使使公司在执行行内部控制规规定上的花费费高达3000万美元。。内部控制的主主要缺陷控制环境无效的审计委委员会缺乏由高层管管理推动的全全公司范围的的内部控制管管理流程缺乏反舞弊和和举报机制会计政策和程程序过时、不不一致、没有有完整记录或或缺乏有效沟沟通对非常规、复复杂或特殊交交易的帐务务处理的控制制不充分内部控制的主主要缺陷风险评估缺乏正式的企企业风险管理理流程或程序序内部控制的主主要缺陷控制活动缺乏有效运行行和记录完整整的公司层面面控制错误报告和信信息披露编制制流程无效对分支机构的的控制无效内部控制的主主要缺陷信息与沟通缺乏对信息系系统的有效控控制缺乏对财务报报告中使用的的终端用户应应用程序（如如电子表格））和数据的控控制内部控制制的主要要缺陷监督董事会和和审计委委员会对对风险和和控制的的理解不不充分无效的内内部审计计缺乏正式式的对财财物结账账流程的的控制或或监督不能对外外包流程程的控制制进行评评估和测测试内部控制制的主要要缺陷文件记录录缺乏完整整全面的的文档记记录缺乏内部部控制执执行的证证据内部控制制的主要要缺陷管理层对对控制有有效性的的评价公司的内内控评价价工作人人员缺乏乏专业知知识和经经验管理层内内控评价价范围不不充分测试流程程和程序序不充分分COSO的企业业风险管管理企业风险险管理框框架的建建立背景景二十世纪纪九十年年代以来来愈演愈愈烈的商商业丑闻闻，使得得投资者者和其他他利益相相关者遭遭受了巨巨大的损损失，人人们在加加强内部部控制的的同时，，开始认认识到全全面风险险管理的的重要性性，希望望建立一一个能有有效地帮帮助管理理策识别别、评价价和管理理风险的的思维框框架。2001年，COSO设立研研究项目目，委托托PwC研发一一个能被被管理层层用来评评价和改改进其企企业风险险管理的的框架。。2003年7月月，公布布研究报报告讨论论稿。2004年9月月，研究究报告““企业风风险管理理：整体体框架（（EnterpriseRiskManagement–IntegratedFramework）””正式发发布。COSO《企业业风险管管理》（（2004）《企业风风险管理理框架》》（《EnterpriseRiskManagementFramework》》ERM）认为为“全面面风险管管理是一一个过程程。这个个过程受受董事会会、管理理层和其其它人员员的影响响。这个个过程从从企业战战略制定定一直贯贯穿到企企业的各各项活动动中，用用于识别别哪些可可能影响响企业的的潜在事事件并管管理风险险，使之之在企业业的风险险偏好之之内，从从而合理理确保企企业取得得既定的的目标。。”从“内部部控制””到“企企业风险险管理””控制环环境境风险评评估估控制活活动动监督作业活动1作业活动2循遵营经告报信息与沟沟通内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监督经营报告遵循子公司业务单位分支机构企业整体层次COSO《企业业风险管管理》（（2004）ERM框框架有三三个维度度；第一维是是企业的的目标，，企业的的目标有有四个，，即战略略目标、、经营目目标、报报告目标标和合规规目标。。第二维全全面风险险管理要要素有8个，即即内部环环境；目目标设定定；事件件识别；；风险评评估；风风险对策策；控制制活动；；信息和和交流；；监控。。第三个维维度是企企业的层层级，包包括整个个企业、、各职能能部门、、各条业业务线及及下属各各子公司司。ERM三三个维度度的关系系是，企企业风险险管理的的8个要要素都是是为企业业的四个个目标服服务的；；企业各各个层级级都要坚坚持同样样的四个个目标；；每个层层次都必必须从以以上8个个方面进进行风险险管理。。该框架适适合各种种类型的的企业或或机构的的风险管管理。《企业风风险管理理——综综合框架架》（ERM））企业目标标可以从从以下四四个方面面来考虑虑：战略经营报告遵循内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监督经营报告遵循子公司业务单位分支机构企业整体层次ERM框框架（续续）ERM考考虑了组组织中所所有层次次上的活活动：企业整体体层次分支机构构或者子子公司业务单元元环节内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监督经营报告遵循子公司业务单位分支机构企业整体层次COSO的企业业风险管管理企业风险险管理框框架包括括八个基基本要素素内部环境境目标制定定事件识别别风险评估估风险应对对控制活动动信息和沟沟通监督内部环境战略目标设定事件识别风险评估风险应对控制活动信息与沟通监督经营报告遵循子公司业务单位分支机构企业整体层次1.内部部环境建立风险险管理理理念。应应认识到到未预期期事件与与预期事事件一样样可能发发生。建立企业业的风险险文化。。考虑所有有的其他他组织行行为如何何影响风风险文化化。2.目标标设定在设定目目标时，，管理层层应该考考虑风险险战略。。形成企业业的风险险偏好（（riskappetite）———从高高层次的的视角来来确定管管理层和和董事会会乐意接接受多大大风险。。风险容忍忍度（risktolerance），，是指目目标变化化程度的的可接受受水平，，是与风风险偏好好相联系系的。3.事件件（风险险）识别别区分风险险和机会会。带来负面面影响的的事件代代表风险险。带来正面面影响的的事件代代表自动动抵消（（机会）），管理理层应该该在战略略制定中中重新考考虑这些些事件的的存在。。考虑发生生在内部部的或发发生在外外部的可可能影响响战略和和目标实实现的事事件。指出内部部资源与与外部资资源应如如何结合合起来，，相互作作用来影影响风险险的组合合。风险识别别战略风险险经营风险险业务管理理风险资源管理理风险法律事务务风险4.风险险评估使得企业业了解潜潜在事件件影响目目标的程程度。从两个角角度评估估风险风险发生生的可能能性风险发生生的影响响力不仅可以以用来评评估风险险，还可可以用来来衡量相相关目标标。结合运用用定性的的和定量量的风险险评估方方法。将时间纬纬度与目目标纬度度联系起起来。既要评估估固有风风险，还还要评估估剩余风风险。5.风险险应对识别并评评价潜在在的风险险应对方方案。根据企业业的风险险偏好、、潜在风风险应对对方案的的成本效效益以及及应对方方案能够够降低风风险影响响力和（（或）可可能性的的程度来来评估各各种方案案。在评估风风险组合合和应对对方案的的基础上上，选择择并实施施应对方方案。风险应对对风险应对对总体策策略：战略风险险：公司司治理经营风险险：内部部控制风险应对对具体对对策：风险转移移（保险险、套期期保值、、期货））风险避免免（退出出交易活活动）风险承担担（考虑虑成本效效益原则则）风险减少少（加强强控制））可能性高减少避免低接受转移低高影响风险应对对6.控制制活动控制活动动是保证证风险应应对方案案以及其其他企业业指令得得到执行行的相关关政策和和程序。。控制活动动存在于于整个企企业，包包括各个个层面和和各个职职能。控制活动动包括操操作控制制和一般般的信息息技术控控制。7.信息息与沟通通管理层必必须以一一定的格格式和时时间间隔隔识别、、捕捉和和传递有有关信息息，以保保证企业业的员工工能够执执行各自自的职责责。沟通的意意义广泛泛，包括括企业内内自上而而下、自自下而上上以及横横向的沟沟通。8.监督督通过以下下三种方方式对ERM的的其他几几个要素素进行监监控：持续的监监控活动动个别评估估两者的结结合与《内部部控制——整体框框架》的的关系扩展并详详尽阐述述了COSO““控制框框架”中中的内部部控制要要素。将目标设设定作为为一个单单独的组组成部分分。目标标是内部部控制的的“前提提”。扩展了控控制框架架的“财财务报告告”和““风险评评估”。。二、内部部控制的的目标？？中国萨班班斯法案案——《《企业内内部控制制基本规规范》（（以下简简称规范范）《规范》》第三条条:内部部控制的的目标是是合理保保证企业业经营管管理合法法合规、、资产安安全、财财务报告告及相关关信息真真实完整整，提高高经营效效率和效效果，促促进企业业实现发发展战略略。从这个定定义中可可以看出出我国内内部控制制的目标标包括五五个方面面：一是合法法合规性性；二是资产产安全性性；三是财务务信息的的真实完完整性；；四是效率率效果性性；五是战略实实现性。合法合规性资产安全性内控五目标财务信息的真实完整性效率效果性战略实现性与C0S0报告中的的三目标相相比，我们们的内部控控制目标有有了较大的的超越；与美国内部部控制风险险整合框架架的四目标标相比：我我们的目标标有超越也也有保守。。我们肯定定了资产安安全的目标标，但我们们的信息目目标还是强强调了财务务信息，而而风险整合合框架中囊囊括所有的的信息。三、内控制制度的要素素（五要素素）1.控制制环境---提供企企业纪律与与架构，塑塑造企业文文化，并影影响企业员员工的控制制意识，是是所有其它它内部控制制组成要素素的基础，，直接影响响内部控制制的执行效效果。2.

风险险评估风险识别风险分析3.控制活活动：企业管理阶阶层辩识风风险，并发发出必要的的指令，如如核准、授授权、验证证、调节、、复核、保保障资产安安全及职务务分工等。。4.信息与与沟通：企企业在其经经营过程中中，需按某某种形式辨辨识、取取得确切的的信息，并并进行沟通通，以使员员工能够履履行其责任任。5.内部监监督内部控制系系统需要被被监督。内内部监督活活动由持续续监控、个个别评估所所组成。包包括持续的的监控活动动、个别评评估、报告告缺陷。（一）按要要素分类（二）按工工作范围（三）按建建立目的（四）按控控制方式四、内部控控制系统的的种类“科索”（（COSO）委员会会提出的内内部控制五五要素框架架监督信息与沟通信息与沟通控制活动风险评估控制环境1.按要素素分四、内部控控制系统的的种类2.按工作作范围分内部管理控控制系统内部会计控控制系统3.按建立的目目的分类保护财产物物资安全的内控系统保证会计资资料可靠的内控系统保证经济活活动合法性和效效益性的内控系统预防性内控系统察觉性内控系统4.按控制制方式分五、内控的的具体内容容合规、合法法性控制授权、分权权控制不相容职务务控制业务程序标准化控制制复核控制人员素质控制内控的具体体内容六、财务报报告内部控控制有效的内部部控制系统统的目标之之一是保证证财务报告告的可靠性性。但后者者不是前者者的全部。。有效的内部部控制系统统只能合理理保证财务务报告的可可靠性。没有内部控控制系统，，财务报告告不一定不不可靠。财务报告一一旦不可靠靠，则内部部控制系统统必定无效效。管理当局的的认定存在或发生生完整性权利和义务务估价或分摊摊表达与披露露ABC会计计师事务所所的A和B注册会计计师接受委委派，对甲甲上市公司司（以下简简称甲公司司）2000年度会会计报表进进行审计。。甲公司尚尚未采用计计算机记账账。A和B注册会计计师于2000年11月1日日至7日对对甲公司的的内部控制制制度进行行了解和测测试，并在在相关审计计工作底稿稿中记录了了了解和测测试的事项项，摘录如如下：要要求：根根据下述摘摘录，假定定未描述的的其他内容容不存在缺缺陷，请指指出甲公司司内部控制制在设计与与运行方面面的缺陷，，并提出改改进建议。。

①甲公公司控股股股东的法定定代表人同同时兼任甲甲公司的法法定代表人人，总经理理是聘任的的。在公司司章程及相相关决议中中未具体载载明股东大大会、董事事会、经营营班子的融融资权限和和批准程序序。经了解解，甲公司司由财务部部负责融资资，2000年根据据总经理的的批示向工工商银行借借入了1亿亿元贷款。。【解析】借款应得到到适当的授授权或批准准。应建议议甲公司在在公司章程程或有关决决议中具体体规定股东东大会、董董事会、经经营班子的的关于筹资资的权限和和批准程序序。②甲公司产成成品发出时时，由销售售部填制一一式四联的的出库单。。仓库发出出产成品后后，将第一一联出库单单留存登记记产成品卡卡片，第二二联交销售售部留存，，第三、四四联交会计计部会计人人员乙登记记产成品总总账和明细细账【解析】会会计人员乙乙同时登记记产成品总总账和明细细账，不相相容职务未未进行分离离。应建议议甲公司由由不同的会会计人员登登记产成品品总账和明明细账。会会计人员员乙同时经经管登记产产成品总账账和明细账账与产成品品的“完完整性”、、“估价或或分摊”、、“存在与与发生”认认定相关。。③甲公司的材材料采购需需要经授权权批准后方方可进行。。采购部根根据经批准准的请购单单发出订购购单。货物物运达后，，验收部根根据订购单单的要求验验收货物，，并编制一一式多联的的未连续编编号的验收收单。仓库库根据验收收单验收货货物，在验验收单上签签字后，将将货物移入入仓库加以以保管。验验收单上有有数量、品品名、单价价等要素。。验收单一一联交采购购部登记采采购明细账账和编制付付款凭单，，付款凭单单经批准后后，月末交交会计部；；一联交会会计部登记记材料明细细账；一联联由仓库保保留并登记记材料明细细账。会计计部根据只只附验收单单的付款凭凭单登记有有关账簿。。【讲解】验验收单未连连续编号，，不能保证证所有的采采购都已记记录或不被被重复记录录。应建议议甲公司对对验收单进进行连续编编号。与““完整性””认定有关关。付款凭单未未附订购单单及供应商商的发票等等，会计部部无法核对对采购事项项是否真实实，登记有有关账簿时时金额或数数量可能就就会出现差差错。应建建议甲公司司将订购单单和发票等等与付款凭凭单一起交交会计部。。与“存在在或发生””、“估价价或分摊””的认定相相关。第三节内内部控制制的描述描述内部控控制主要有有三种方法法：文字表表述、调查查表、流程程图。一、文字表表述法1.定义CPA以文文字形式进进行叙述被被审计单位位内部控制制情况的方方法。一般具备以以下四个特特征：（1）说明明制度中每每份凭证和和每个记录录的来源。。（2）说明明已发生的的全部业务务处理过程程。（3）制度度中每份凭凭证和每个个记录的处处置。（4）指出出与估定控控制风险有有关的控制制点。2.优点：：（1）可对对被调查事事项作较为为深入、具具体的表述述；（2）表述述方便灵活活。3.缺点点：（1）难以以用简练语语言描述内内部控制细细节；（2）描述述篇幅长、、效率低。。4.适用：：规模小、内内部控制简简单的企业业，或需对对内部控制制作深入描描述的事项项。二、调查表表法1.定义：：内部控制调调查表对每每一个审计计单元的控控制点提出出一系列问问题，作为为提示注册册会计师内内部控制可可能存在缺缺陷的工具具。在大多数情情况下，所所设计的问问题都要求求给予“是是”或“否否”的回答答，如果回回答“否””，就表明明内部控制制可能存在在缺陷。2.优点：：（1）能对对所调查对对象提供简简括说明，，有利于分分析评价；；（2）调查查效率高，，较快就能能完成。3.缺点点：（1）对内内部控制只只能分别考考察，不能能提供完整整的看法；；（2）对小小企业因““不适用””过多，标标准调查表表适用性不不强。4.适用：：对规模较大大的企业的的内部控制制调查。1、定义：：内部控制制流程图是是运用符号号和图形来来反映客户户的业务处处理过程和和相应凭证证及其在组组织内部有有序流动过过程的示意意图。流程图也应应当采取一一定的形式式表示出上上述文字说说明所应具具备的四个个特征。三、流程图图法2.优点：：（1）便于于表达内部部控制特征征；（2）便于于修改；3.缺点：：（1）需一一定技术和和花费较多多时间；（2）对某某些内部控控制弱点很很难在图中中表达出来来。4.适用：：广泛销售信用储运记账收款稽核原始凭证订单处理信用额度审核终止未通过通过原始凭证发货运输存档销售售日记账收现转帐产品日记账审核存档银行存款存档汇总记账凭证应收款日记账总账存档核对销售与收款款循环（1）使用用规定的符符号。（2）采用用平面制图图法。图中中标明业务务处理流程程经过的部部门及负责责人。（3）各种种凭证所经经各部门的的名称应安安排在流程程图的顶部部。（4）业务务处理的开开始点，要要尽可能安安排在部门门名称的左左上角，凭凭证的流向向要尽可能能从左到右右，从上倒倒下，避免免流程线来来回反复交交叉。绘制流程图图应注意以以下几点：：第四节内内部控制评评价概述一、内部控控制评价的的定义企业内部控控制评价是是指企业董董事会或类类似权力机机构对内部部控制的有有效性进行行全面评价价、形成评评价结论、、出具评价价报告的过过程。从以下三个角度进行理解：：（1）内部部控制评价价的主体是董事会或或类似权力力机构。（2）内部部控制评价价的对象是内部控制制的有效性性。（3）内部部控制评价价是一个过程。内部控控制运运行的的有效效性内部控控制设设计的的有效效性内部控控制的的有效效性，，是指指企业业建立立与实实施内内部控控制对对实现现控制制目标标提供供合理保保证的程度度。内部控控制的有效效性控制过过程控制过过程控制目目标合规目目标内内部控控制的的有效效性资产目目标内内部控控制的的有效效性报告目目标内内部控控制的的有效效性经营目目标内内部控控制的的有效效性战略目目标内内部控控制的的有效效性二、内内部控控制评评价的的内容容内部控控制评评价应应紧紧紧围绕绕内部控控制五五要素素进行：：（1））内部部环境境评价价（2））风险险评估估评价价（3））控制制活动动评价价（4））信息息与沟沟通评评价（5））内部部监督督评价价三、内内部控控制评评价的的原则则与方方法（一））内部部控制制评价价的原原则（1））全面面性原原则（2））重要要性原原则核心要要求：：坚持持风险险导向向的思思路坚持重重点突突出的的思路路（3））客观观性原原则（二））内部部控制制评价价的方方法个别访访问法法专题讨讨论法法比较分分析法法实地查查验法法抽样样法法穿行测测试法法调查问问卷法法内部控控制评评价的的方法法内部控控制评评价的的组织织与实实施一、内内部控控制评评价的的组织织机构构（一））内部控控制评评价的的责任任主体体及其其职责责董事会会是内内部控控制评评价的的责任任主体体，对对内部部控制制评价价承担担最终终的责责任，，对内内部控控制评评价报报告的的真实实性负负责。。董事会会可以以通过过审计计委员员会来来承担担对内内部控控制评评价的的组织织、领领导、、监督督职责责。董董事会会或审审计委委员会会应听听取内内部控控制评评价报报告，，审定定内控控重大大缺陷陷、重重要缺缺陷整整改意意见，，对内内部控控制部部门在在督促促整改改中遇遇到的的困难难，积积极协协调，，排除除障碍碍。（二））内部控控制评评价的的具体体组织织实施施主体体及其其职责责内部控控制评评价工工作的的具体体组织织实施施主体体一般般为内内部审审计机机构或或专门门的内内部控控制评评价机机构。。在实践践中，，也有有组织织非常常设内内部控控制评评价结结构，，比如如组成成内部部控制制评价价小组组。企业也也可以以委托托会计计师事事务所所等中中介机机构实实施内内部控控制评评价。。（二））内部控控制评评价的的具体体组织织实施施主体体及其其职责责内部控控制评评价机机构必必须具具备一一定的的设置置条件件：具备独独立性性。具备与与监督督和评评价内内部控控制系系统相相适应应的专专业胜胜任能能力和和职业业道德德素质质。与企业业其他他职能能机构构就监监督与与评价价内部部控制制系统统方面面应当当保持持协调调一致致。能够得得到企企业董董事会会和经经理层层的支支持。。（三））其他他相关关部门门及其其职责责组织实实施支持配配合积极整整改经理层层内控自自查测试评评价积极整整改各专业业部门门逐级落落实日常监监控督促整整改所属单单位审议监督监事会会二、内内部控控制评评价程程序制定评评价工工作方方案组成评评价工工作组组实施现现场检检查测测试汇总评评价结结果编制企企业内内控评评价报报告报告反反馈与与追踪踪否明确企业内部控制目标制定内部控制评价方案报董事会审批评价方案是否通过审批否组成评价工作组是实施内部控制现场检查与测试是否存在缺陷是设计缺陷运行缺陷编制现场报告，并向被评价单位通报编制企业内部控制评价报告跟踪缺陷的整改落实情况汇总图内部控制评价流程内部控控制缺缺陷的的认定定一、内内部控控制缺缺陷的的定义义和种种类内部控控制缺缺陷是内部部控制制在设设计和和运行行中存存在的的漏洞洞，这这些漏漏洞将将不同同程度度地影影响内内部控控制的的有效效性，，影响响控制制目标标的实实现。。内部控控制缺缺陷的的认定定通常常被视视作判判断内内部控控制有有效性性的一一个负向维维度。衡量量内部部控制制有效效性的的关键步步骤就是查查找内内部控控制在在设计计或运运行环环节中中是否否存在在重大大缺陷陷。内部控控制缺缺陷的的认定定内部控制缺陷成因性质

设计缺陷

运行缺陷

重大缺陷

重要缺陷

一般缺陷二、内内部控控制缺缺陷的的认定定标准准内部控控制缺缺陷的的重要性性和影影响程程度是相对对于内部控控制目目标而言的的。按照对对财务务报告告目标标和其其他内内部控控制目目标实实现的的影响响的具具体表表现形形式，，下面面区分分财务报报告内内部控控制缺缺陷和非财务务报告告内部部控制制缺陷陷分别阐阐述内内部控控制缺缺陷的的认定定标准准。（一））财务务报告告内部部控制制缺陷陷的认认定标标准与财务务报告告内部部控制制相关关的内内部控控制缺缺陷所所采用用的认认定标标准直直接取取决于于由于该该内部部控制制缺陷陷的存存在可可能导导致的的财务务报告告错报报的重重要程程度。其中中，所所谓““重要程程度”主要要取决决于两两个方方面的的因素素：（1））该缺缺陷是否具具备合合理可可能性性导致企企业的的内部部控制制不能能及时时防止止或发发现并并纠正正财务务报告告错报报。（2））该缺缺陷单单独或或连同同其他他缺陷陷可能能导致致的潜潜在错错报金额的的大小小。一般而而言，，如果果一项项内部部控制制缺陷陷单独独或连连同其其他缺缺陷具具备合合理可可能性性导致致不能能及时时防止止或发发现并并纠正正财务务报告告中的的重大大错报报，就就应将将该缺缺陷认认定为为重大缺缺陷一项内内部控控制缺缺陷单单独或或连同同其他他缺陷陷具备备合理理可能能性导导致不不能及及时防防止或或发现现并纠纠正财财务报报告中中错报报的金金额虽虽然未未达到到和超超过重重要性性水平平、但但仍应应引起起董事事会和和管理理层重重视，，就应应将该该缺陷陷认定定为重要缺陷陷。不构成重重大缺陷陷和重要要缺陷的的内部控控制缺陷陷，应认认定为一般缺陷陷。一旦企业业的财务务报告内内部控制制存在一一项或多多项重大大缺陷，，就不能能得出该该企业的的财务报报告内部部控制有有效的结结论。财务报告告内部控控制重大大缺陷的的认定十十分关键键，而区区分一项项内部控控制缺陷陷是否构构成了重重大缺陷陷的分水水岭是“重要性性水平””，重要性性水平之之上的为为重大错错报，重重要性水水平之下下的为重重要错报报或者一一般错报报。重要性水水平的的的确定有有两种方方法：绝对金额额法和相对比例例法。出现以下下迹象之一则通通常表明明财务报报告内部部控制可可能存在在重大缺缺陷：（1）董董事、监监事和高高级管理理人员舞舞弊；（2）企企业更正正已公布布的财务务报告；；（3）注注册会计计师发现现当期财财务报告告存在重重大错报报，而内内部控制制在运行行过程中中未能发发现该错错报；（4）企企业审计计委员会会和内部部审计机机构对内内部控制制的监督督无效。。需要说明明的是，，内部控制制缺陷的的严重程程度并不不取决于于是否实实际发生生了错报报，而是是取决于于该控制制不能及及时防止止或发现现并纠正正潜在缺缺陷的可可能性。。即只要存存在这种种“合理理可能性性”，不不论企业业的财务务报告是是否真正正发生了了错报，，都意味味着财务务报告内内部控制制存在缺缺陷。内部控制制缺陷的的认定（二）非非财务报报告内部部控制缺缺陷的认认定标准准非财务报报告内部部控制缺缺陷是指指除财务务报告目目标之外外的与其其他目标标相关的的内部控控制缺陷陷，包括括战略内部部控制缺缺陷、经营内部部控制缺缺陷、合规内部部控制缺缺陷、资产内部部控制缺缺陷。非财务报报告目标标内部控控制缺陷陷的认定定具有涉及面广广、认定难度度大的特点，，尤其是是战略内内部控制制缺陷和和经营内内部控制制缺陷。。以下迹象象通常表表明非财财务报告告内部控控制可能能存在重大缺陷陷：国有企业业缺乏民民主决策策程序；；企业决策策程序不不科学，，如决策策失误，，导致并并购不成成功；违犯国家家法律、、法规，，如环境境污染；；管理人员员或技术术人员纷纷纷流失失；媒体负面面新闻频频现；内部控制制评价的的结果特特别是重重大或重重要缺陷陷未得到到整改；；重要业务务缺乏制制度控制制或制度度系统性性失效。。三、内部部控制缺缺陷的认认定步骤骤（一）财财务报告告缺陷的的认定步步骤第一步，，结合财财务报告告内部控控制缺陷陷的迹象象，判断断是否可可能存在在财务报报告内部部控制缺缺陷。第二步，，确定重重要性水水平和一一般水平平，以此此作为判判断缺陷陷类型的的临界值值。可采采用绝对对金额法法或者相相对比例例法进行行确定。。第三步，，抽样。。按照业业务发生生频率的的高低和和账户的的重要性性确定抽抽样数量量。第四步，，计算潜潜在错报报金额。。其计算算公式为为：潜在错报报金额=潜在错错报率××相应账账户的同同向累计计发生额额第五步，，如果重重要性水水平和一一般水平平是绝对对金额，，那么可可直接将将潜在错错报金额额合计数数与其比比较，判判断缺陷陷类型；；如果重重要性水水平和一一般水平平是相对对数，需需进一步步计算错错报指标标再进行行比较判判断。错错报指标标的计算算公式如如下:错报指标标=潜在在错报金金额合计计数/当当期主营营业务收收入（或或期末资资产）（二）非非财务报报告缺陷陷的认定定步骤第一步，，结合相相关迹象象，判断断是否可可能存在在非财务务报告内内部控制制缺陷。。第二步，，采用定定性或者者定量的的方法确确定认定定标准。。第三步，根根据标准分分别对每起起事故进行行认定。表A公公司的非财财务报告缺缺陷认定标标准第五节内内部控制的的评审★现代审计计是在一定定的基础上上进行，要要在对内部部控制进行行了解、测测试、评价价的基础上上决定实质质性测试的的性质、时时间、范围围。一个基本的的逻辑是，，如果内部部控制有效效，则重大大错报的风风险就会较较小，那么么计划收集集的审计证证据就可以以减少内部控制与与审计的关关系应当明确：：（1）CPA在执行行审计时首首先对内控控进行充分分的了解；；（2）在了了解的基础础上，确定定是否进行行控制测试试，以及将将要执行的的控制测试试的性质、、时间和范范围；（3）即使使内控良好好也要进行行实质性程程序一、为什么么要进行内内部控制审审计?案例导入横横店东东磁：内部部控制审计计报告二、注册会会计师的责责任我们的责任任是在实施施审计工作作的基础上上对内部控控制的有效效性发表审审计意见。。我们按照《《中国注册册会计师执执业准则》》的要求执执行了审计计工作。执执业准则要要求我们遵遵守职业道道德守则，，计划和实实施审计工工作，以对对企业在所所有重大方方面是否保保持了有效效的内部控控制获取合合理保证。。审计工作包包括获取对对内部控制制的了解，，评估重大大缺陷存在在的风险，，并根据风风险评估的的结果，测测试和评价价内部控制制设计和运运行的有效效性。审计计工作还包包括实施我我们认为必必要的其他他程序。我我们相信，，我们获取取的审计证证据是充分分、适当的的，为发表表审计意见见提供了基基础。三、内部控控制审计的的范围本报告中内内部控制审审计的范围围，主要是是企业为了了合理保证证财务报告告及相关信信息真实完完整、资产产安全而设设计和执行行的内部控控制。用以以合理保证证资产安全全的内部控控制，可能能涉及合理理保证经营营效率和效效果、经营营管理合法法合规的内内部控制。。四、内部控控制的固有有局限性内部控制具具有固有局局限性，存存在不能防防止和发现现错报的可可能性。此此外，由于于情况的变变化可能导导致内部控控制变得不不恰当，或或对控制政政策和程序序遵循的程程度降低，，根据内部部控制审计计结果推测测未来内部部控制的有有效性具有有一定风险险。五、内部控控制审计意意见我们认为，，截至2008年年12月月31日日，横店东东磁公司按按照《企业业内部控制制基本规范范》和相关关规定在所所有重大方方面保持了了有效的内内部控制。。六、提及财财务报表审审计意见的的类型我们还按照照中国注册册会计师审审计准则的的规定，审审计了横店店东磁公司司2008年12月31日的资资产负债表表和合并资资产负债表表，2008年度度的利润表表和合并利利润表，2008年年度的现现金流量表表和合并现现金流量表表，2008年度度的股东权权益变动表表和合并股股东权益变变动表，以以及财务报报表附注，，并在2009年年3月30日出出具的审计计报告中发发表了标准准无保留意意见。浙江天健东东方会计师师事务所有有限公司中中国国注册会计计师钟钟建国中国·杭州中中国注注册会计师师张芹芹报报告日期：：2009年3月月30日为什么要对对横店东磁磁出具内部部控制审计计报告？中国萨班斯斯法案———《企业内内部控制基基本规范》》（以下简简称规范））对审计的的规定。《规范》第第10条接接受企业业委托从事事内部控制制审计的会会计师事务务所，应当当根据本规规范及其配配套办法和和相关执业业准则，对对企业内部部控制的有有效性进行行审计，出出具审计报报告。会计计师事务所所及其签字字的从业人人员应当对对发表的内内部控制审审计意见负负责。为企业内部部控制提供供咨询的会会计师事务务所，不得得同时为同同一企业提提供内部控控制审计服服务。[自自我评价威威胁]二、什么是是内部控制制审计？1．概念内控审计，，是指会计计师事务所所接受委托托，对特定定日期（通通常与企业业内控自我我评价基准准是一致的的）企业内内控的有效效性进行审审计，并发发表审计意意见。并且且，该事务务所同时执执行同一企企业的财务务报表审计计业务。二、什么是是内部控制制审计？2．内控审审计范围是指企业为为了合理保保证财务报报告及相关关信息真实实完整而设设计和运行行的内控，，即财务报报告内控。。具体讲，，内部控制制包括下列列方面的政政策和程序序：（1）保存存充分、适适当的记录录，准确、、公允地反反映企业的的交易和事事项；（2）合理理保证按照照企业会计计准则的规规定编制财财务报表；；（3）合理理保证收入入和支出的的发生以及及资产的取取得、使用用或处置经经过适当授授权；（4）合理理保证及时时防止或发发现未经授授权的、对对财务报表表有重大影影响的交易易和事项。。二、什么是是内部控制制审计？2．内控审审计范围有效的内部部控制能够够为财务报报告及相关关信息真实实完整提供供合理保证证。在企业治理理层的监督督下，按照照《企业内内部控制基基本规范》》和相关规规定，设计计、实施和和维护有效效的内部控控制，并评评价其有效效性是企业业管理层的的责任；按照《企业业内部控制制审计指引引》的要求求，在实施施审计工作作的基础上上对内部控控制的有效效性发表审审计意见，，是注册会会计师的责责任。内部控制审审计不能减减轻企业管管理层的责责任。内部控制是是否有效，，取决于被被审计单位位的内部控控制是否存存在重大缺缺陷。如果果存在一项项或多项重重大缺陷，，内部控制制应被认定定为无效。。但由于内内部控制审审计的范围围，是企业业为了合理理保证财务务报告及相相关信息真真实完整而而设计和运运行的内部部控制，并并未包括被被审计单位位全部的内内部控制，，因此，即即使财务报报表不存在在重大错报报，内部控控制也可能能存在重大大缺陷。三、如何开开展内部控控制审计？？内部控制审审计步骤：：整合审计计划审计工工作实施审计工工作评价识别的的控制缺陷陷完成审计工工作内控审计报报告整合审计由于同一会会计师事务务所同时执执行同一企企业的内控控审计业务务和财务报报表审计业业务，CPA应当将将内控审计计与财务报报表审计整整合进行（（以下简称称整合审计计）。计划审计工工作（一）总体体要求CPA应当当恰当地计计划内控审审计工作，，并对助理理人员进行行适当的督督导。在计划整合合审计工作作时，CPA应当考考虑下列12个事项项对财务报报表和内控控是否有重重要影响，，以及有重重要影响的的事项将如如何影响CPA的审审计工作：：计划审计工工作（1）注册册会计师执执行其他业业务时了解解的情况；；（2）在评评价是否接接受与保持持客户和业业务时，注注册会计师师了解的与与企业相关关的风险情情况；（3）影响响企业所处处行业的事事项，如行行业财务报报告惯例、、经济形势势和技术革革新；（4）与企企业相关的的法律法规规；（5）与企企业经营相相关的重要要事项，包包括组织结结构、经营营特征和资资本结构；；（6）经营营活动的复复