内控培训讲稿

企业内部控制体系建设与执行陕西普信源投资管理咨询有限公司

2014年8月内容介绍第一部分：实施内部控制的必要性第二部分：内部控制基本知识介绍第三部分：如何开展内部控制体系建设第四部分：如何开展内部控制评价工作第五部分：内部控制体系建设成果文件第一部分

实施内部控制的必要性一、内部控制中的教训

二、内部控制引起各方的关注

一、内部控制中的教训美国世界通信财务舞弊事件一、内部控制中的教训英国巴林银行破产事件一、内部控制中的教训中国航油（新加坡）公司破产案一、内部控制中的教训四川长虹事件案例背景（四）主要发现1994年在上海证券交易所上市，曾一度是国内股市少有的绩优股2004年12月28日发布了上市10年以来的首次预亏公告亏损主要缘自对单一应收账款戶(美国APEX公司)的坏账准备从1998年始，APEX公司已经累积拖欠4.67亿美元货款对主要经销商的运营缺乏充分的了解缺乏有效的内部控制，以反映应收账款回收的问题管理者可能刻意隐瞒已发生的损失一、内部控制中的教训十分钟的悲剧一、内部控制中的教训2008年9月15日上午10点，拥有158年历史的美国第四大投资银行—雷曼兄弟公司向法院申请破产保护，消息转瞬间传遍地球的各个角落。

一、内部控制中的教训令人匪夷所思的是，在如此明朗的情况下，德国国家发展银行（KFW）10点10分，居然按照外汇掉期协议的交易，通过计算机自动付款系统，向雷曼兄弟公司即将冻结的银行账户转入了3亿欧元。毫无疑问，3亿欧元将是肉包子打狗有去无回。

一、内部控制中的教训转账风波曝光后，德国社会舆论哗然。销量最大的《图片报》在9月18日头版的标题中，指责德国国家发展银行是迄今“德国最愚蠢的银行”。一、内部控制中的教训法律事务所的调查员先后询问了银行各个部门的数十名职员，几天后，他们向国会和财政部递交了一份调查报告。报告并不复杂深奥，只是记载了被询问人员在这十分钟内忙了些什么——

一、内部控制中的教训首席执行官乌尔里奇·施罗德：我知道今天要按照协议约定转账，至于是否撤销这笔巨额交易，应该让董事会讨论决定。

一、内部控制中的教训董事长保卢斯：我们还没有得到风险评估报告，无法及时做出正确的决策。

一、内部控制中的教训董事会秘书史里芬：我打电话给国际业务部催要风险评估报告，可那里总是占线，我想还是隔一会儿再打吧。

一、内部控制中的教训国际业务部经理克鲁克：星期五晚上准备带上全家人去听音乐会，我得提前打电话预订门票。

一、内部控制中的教训国际业务部副经理伊梅尔曼：忙于其他事情，没有时间去关心雷曼兄弟公司的消息。

一、内部控制中的教训负责处理与雷曼兄弟公司业务的高级经理希特霍芬：我让文员上网浏览新闻，一旦有雷曼兄弟公司的消息就立即报告，现在我要去休息室喝杯咖啡了。

一、内部控制中的教训文员施特鲁克：10点03分，我在网上看到了雷曼兄弟公司向法院申请破产保护的新闻，马上就跑到希特霍芬的办公室，可是他不在，我就写了张便条放在办公桌上，他回来后会看到的。一、内部控制中的教训结算部经理德尔布吕克：今天是协议规定的交易日子，我没有接到停止交易的指令，那就按照原计划转账吧。一、内部控制中的教训结算部自动付款系统操作员曼斯坦因：经理德尔布吕克让我执行转账操作，我什么也没问就做了一、内部控制中的教训信贷部经理莫德尔：我在走廊里碰到了文员施特鲁克，他告诉我雷曼兄弟公司的破产消息，但是我相信国际部项目经理希特霍芬和其他职员的专业素养，一定不会犯低级错误，因此也没必要提醒他们。一、内部控制中的教训公关部经理贝克：雷曼兄弟公司破产是板上钉钉的事，我想跟首席执行官乌尔里奇·施罗德谈谈这件事，但我上午要会见几个克罗地亚客人，等下午再找他也不迟，反正不差这几个小时。一、内部控制中的教训德国经济评论家哈恩说，在这家银行，上到董事长，下到操作员，没有一个人是愚蠢的。可悲的是，几乎在同一时间，每个人都开了点小差，加在一起就创造出了“德国最愚蠢的银行”。二、内部控制引起各方关注1、美国颁布的萨班斯法案安然和世界通信公司事件并不是财务造假的终结，后续又有施乐、默克、强生等被爆存在财务造假，在此背景下，2002年7月美国国会通过了《萨班斯法案》。《萨班斯法案》核心是要求上市公司全面关注风险，加强风险管理。2、中国企业开始关注内部控制银广夏：

1994年6月17日，银广夏的股票（a股）在深圳证券交易所上市流通；2001年8月，银广夏被媒体披露存在巨额的造假嫌疑，随后中国证监会组织专案组进行调查，并确认银广夏及其相关中介机构存在严重的欺诈行为，银广夏被暂停交易；2001年9月10日，银广夏在停牌一个月后，以跌停板的价格复牌。经过史无前例的15个连续跌停板后，才在10月8日止住跌停。股价从停牌前的30.79元/股，跌至6.59元/股，近68亿元的流通市值化为乌有。

据调查，银广夏所谓高业绩的背后，却存在着不可告人的巨大造假目的。事实上，银广夏的利润神话主要源自于其从德国进口的所谓“二氧化碳超临界萃取设备”，其造假基地主要在天津的子公司。据公告，1999年7月，银广夏第一条500立升3的生产线在其天津的子公司-天津广夏试车并投入生产。天津广夏在1999年度、2000年度向德国诚信公司出口萃取产品达5610万马克(约2.2亿元人民币)、1.8亿马克(约7.2亿元人民币)，而天津广夏在1999年创造的利润占银广夏的75%以上，2000年更几乎囊括了银广夏的全部利润。同时，银广夏又在芜湖和银川投资设立了两条1500立升3和一条3500立升3的萃取生产线，并自称为“亚洲第一、世界第三的萃取基地”。2001年3月1日，银广夏发布公告，称与德国诚信公司(fidelitytradinggmbh)签订连续三年总金额为60亿元的萃取产品订货总协议。仅仅依此合同推算，2001年银广夏每股收益就将达到2至3元，但其惊人业绩的背后却存在诸多疑点：（1）以天津广夏萃取设备的生产能力，即使通宵达旦运作，也生产不出其所宣称的数量；（2）天津广夏萃取产品出口价格高到近乎荒谬；（3）银广夏对德出口合同中的某些产品，根本不能用二氧化碳超临界萃取设备提取。

2001年3月1日，银广夏发布公告，称与德国诚信公司(fidelitytradinggmbh)签订连续三年总金额为60亿元的萃取产品订货总协议。仅仅依此合同推算，2001年银广夏每股收益就将达到2至3元，但其惊人业绩的背后却存在诸多疑点：（1）以天津广夏萃取设备的生产能力，即使通宵达旦运作，也生产不出其所宣称的数量；（2）天津广夏萃取产品出口价格高到近乎荒谬；（3）银广夏对德出口合同中的某些产品，根本不能用二氧化碳超临界萃取设备提取。据专家分析，如果天津广夏真有如此大的出口量，按照当时的税法，应向有关部门办理至少几千万的出口退税，并在财务报告上体现出来。事实上，银广夏的年报里根本找不到出口退税的条目。最后的调查表明，天津广夏从未办理过出口退税，而天津广夏1999年度出口额仅480万美元，2000年度更是只有3万美元，其签下60亿元合同的德国买家据称为一家百年老店，但事实上是注册资金仅5万马克的小型贸易公司；其据称出口创汇创利的“超临界萃取产品”，在产量产品和价格上均被专家证实不具可能性。这表明其所宣称的1999年出口5610万马克、2000年出口1.8亿马克的说法纯属伪造，从而证明银广夏在过去两年间创造的“巨额利润”神话，完全是一个骗局。在事实面前，银广夏高层管理人员承认，天津广夏造假始于1995年，造假利润从1995年的200余万元开始，发展到2000年的5亿多元，创下了惊人的“业绩”。而事实上天津广夏每年的亏损额高达1500万元至2000万元。

据专家分析，如果天津广夏真有如此大的出口量，按照当时的税法，应向有关部门办理至少几千万的出口退税，并在财务报告上体现出来。事实上，银广夏的年报里根本找不到出口退税的条目。最后的调查表明，天津广夏从未办理过出口退税，而天津广夏1999年度出口额仅480万美元，2000年度更是只有3万美元，其签下60亿元合同的德国买家据称为一家百年老店，但事实上是注册资金仅5万马克的小型贸易公司；其据称出口创汇创利的“超临界萃取产品”，在产品产量和价格上均被专家证实不具可能性。这表明其所宣称的1999年出口5610万马克、2000年出口1.8亿马克的说法纯属伪造，从而证明银广夏在过去两年间创造的“巨额利润”神话，完全是一个骗局。在事实面前，银广夏高层管理人员承认，天津广夏造假始于1995年，造假利润从1995年的200余万元开始，发展到2000年的5亿多元，创下了惊人的“业绩”。而事实上天津广夏每年的亏损额高达1500万元至2000万元。

据报道，银广夏在1997-2001年四年间共累计虚构销售收入10亿多元，虚增利润7.7亿多元，其造假行为严重违法。因此，中国证监会对银广夏进行了行政处罚，并对在审计过程中存在重大过失的深圳中天勤的签字注册会计师追究了相应的行政和刑事责任。银广夏董事会在该公司股票暂停上市期间，实施了包括资产重组、债务重组等一系列重大措施。公司更换了管理层，对公司业务进行了较大的调整，出售了部分不良资产，清偿了部分债务，确立了以生态农业为主业的产业发展构架，经中勤万信会计师事务所审计，2002年上半年实现盈利16个跌停的伤害，2002年6月5日深交所根据证监会行政处罚决定书认定公司连续三年亏损，作出了银广夏暂停上市的决定。12月7日，经深交所批准，银广夏获准于2002年12月16日起恢复上市。2003年7月13日，银广夏发布了半年报预盈上，昔日的造假大王总算在市场是初步站稳了脚跟。银广夏失败的原因分析及其启示经营管理不善、公司治理机制失效，导致其业绩低下管理高层道德沦丧、金钱至上，导致其经营失败注册会计师的监控机制失效，导致其造假骗局得逞投资者非理性，热衷于炒作股票，导致其自食苦果

二、内部控制引起各方关注蓝田股份：散户、银行齐遭殃蓝田股份（后改ST生态）是继银广夏之后，中国股市又一个美丽的肥皂泡。上海证券交易所通知该公司股票自2003年5月23日起终止上市。原因是尽管公司在2002年中报和年报均实现盈利，但负责公司财务报告审计工作的注册会计师两份报告分别出具了否定意见的审计报告和拒绝表示意见的审计报告，公司聘请的证券公司进而未能出具推荐公司股票恢复上市意见书。

二、内部控制引起各方关注在《上市公司虚假从虚假会计报表识别技术》一书的写作过程中，于2001年10月9日开始对上市公司蓝田股份的财务报告进行分析。中央财经大学老师刘姝威认为：蓝田股份的短期偿债能力很弱，已经成为一个空壳，完全依靠银行的贷款在维持生存，这是非常危险的。于是。刘姝威写了一篇短文《应立即停止对蓝田股份发放贷款》，2001年10月26日，只供中央金融工委、人民银行总行领导和有关司局级领导参阅的《金融内参》刊登了这篇600字的短文。此后不久，国家有关银行相继停止对蓝田股份发放新的贷款。此后引发了轰动全国的“蓝田事件”。这为她带来过诉讼和人身威胁，也成为终结蓝田神话的“最后一根稻草”。2003年初，刘姝威被评为中央电视台“2002年经济年度人物”和“感动中国――2002年度人物”。

二、内部控制引起各方关注2、中国企业开始关注内部控制中石化是在境内外三地（中国、香港、美国）上市企业。2003年开始内部控制体系建设工作；中石油、中国电信、中国移动等公司也开始内控体系建设工作。二、内部控制引起各方关注3、国家相关部委的规定证监会：2006年5月，发布了《首次公开发行股票并上市管理办法》，这是我国首次对上市公司内部控制提出具体要求；其中，第29条规定：发行人的内部控制在所有重大方面是有效的，并由注册会计师出具无保留结论的内部控制鉴证报告。上海、深圳交易所：2006年6月、2006年9月上海证券交易所、深圳证券交易所相继出台了《上市公司内部控制指引》要求上市公司建立内部控制体系。二、内部控制引起各方关注3、国家相关部委的规定（续）国资委：2006年6月6日，印发了《中央企业全面风险管理指引》共有十章，七十条，全面启动国有企业风险管理，包括风险评估、风险应对、风险监督等内容。财政部、证监会、审计署、银监会、保监会等五部委：2008年5月22日，五部委联合发布《企业内部控制基本规范》对内部控制有了明确规定；2010年4月26日，财政部等五部委又发布企业内部控制规范配套指引，要求2011年开始在境内外同时上市的公司实行，自2012年起在主板上市公司实行，同时，鼓励非上市大中型企业提前试行。第二部分

内部控制基本知识介绍一、什么是内部控制二、内部控制体系建设的必要性三、我国内部控制规范体系构成四、内部控制体系与企业原有管理制度的关系

一、什么是内部控制

注释：摘自《企业内部控制基本规范》一、什么是内部控制

有关各方在内控建设中的职责董事会：建立健全内部控制并有效实施；监事会：对董事会建立与实施的内部控制进行监督；经理层：组织领导企业内部控制的日常运行；执行层：专门机构或适当机构负责组织协调内部控制的建立实施及日常工作。二、内部控制体系建设的必要性

三、我国内部控制规范体系的构成

二、我国内部控制规范体系构成内部控制规范框架体系标准体系内部控制基本规范内部控制应用指引内部环境类（5项）控制活动类指引（9项）控制手段类指引（4项）评价体系内控控制评价指引内部控制审计指引处于最高层次起统驭作用内控配套指引包括应用指引、评价指引、审计指引（一）《企业内部控制基本规范》内容财政部、证监会、审计署、银监会、保监会于2008年5月22日联合发布了《企业内部控制基本规范》，适用于在中华人民共和国境内设立的大中型企业。《基本规范》描述了企业建立与实施内控体系必须建立的架构结构，规定了内部控制的定义、目标、原则、要素等基本要求，是制定《配套指引》和制定、完善企业内部控制制度的基本依据。要求上市公司1.建立健全内部控制体系2.对本公司内部控制的有效性进行自我评价，披露年度自我评价报告；3.聘请具有证券、期货业务资格的中介机构对内部控制的有效性进行审计。（一）《企业内部控制基本规范》内容内部控制的目标合理保证企业经营管理合法合规；维护资产安全；财务报告及相关信息真实完整；提高经济效益和效果；促进企业实现发展战略。内部控制的主要内容在法律允许经营范围内开展经营活动；防止资产流失或低价出售；财务报告是投资人、债权人、管理者进行管理决策的重要依据；忽视控制可能导致企业重大风险的发生，影响效益；是内部控制的最高目标，也是终极目标。注释：摘自《企业内部控制基本规范》1、内部控制的五目标

（一）《企业内部控制基本规范》内容注释：摘自《企业内部控制基本规范》全面性重要性制衡性适应性成本效益

2、内部控制的五原则

全面性原则内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。*内部控制应覆盖企业的各项业务活动、各个部门和各级人员，并应针对业务处理过程中的关键控制点，将内部控制活动渗透到决策、执行、监督等各个经营环节，即要在企业内部实行全过程、全员性的控制，不能存在内部控制活动的空白点。重要性原则重要性原则要求企业在对各项经济业务活动实施全面控制的基础上，要有针对性的关注重要的业务领域和可能面临较高经营风险和财务风险的业务活动。*对重要性的应用需要一定的专业判断，企业应当根据所处行业环境和自身经营特点，从业务活动的性质和涉及金额两方面来考虑是否需实行重点内部控制。制衡性原则内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。*制衡性原则强调企业的机构、岗位设置和权责分配应当合理并符合内部控制的基本要求。确保不同部门、岗位之间权责分明和有利于相互制约、相互监督。横向：完成某个环节的工作需有来自彼此独立的两个部门或人员协调运作、相互监督、相互制约、相互证明；纵向：完成某个工作需经过互不隶属的两个或两个以上的岗位和环节，以使下级受上级监督，上级受下级牵制。适应性原则内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。*内部控制随着企业内外环境的变化，其控制效果也会发生改变。一些原本效果较好的控制制度，可能会随着环境的改变而失效。因此，企业内部控制应当具有前瞻性，应当随着国家法律法规、政策制度等外部环境的改变和企业经营战略、经营方针、经营理念等内部环境的变化及时进行相应的修改或完善。企业应当适时地对内部控制制度进行评估，以发现可能存在的重大缺陷，并及时采取措施予以补救。成本效益原则内部控制应当权衡实施成本与预期效益，以适当的成本实现有效的控制。*内部控制的任何分工、审核、制衡，都必须考虑是否符合成本效益原则。企业内部控制的设计一定要考虑控制投入成本和控制产出效益之比。如果某项控制的成本高于其效益，则不应当采用该项控制。企业应从整体利益角度来综合判断某项控制是否符合成本效益原则。尽管一些控制会影响工作效率，但可能会避免整个企业面临更大损失，此时就应该实施该项控制。企业应当充分发挥各部门及人员的工作积极性，尽量降低经营运作成本，保证以合理的成本达到最佳的内部控制效果。（一）《企业内部控制基本规范》内容3、内部控制五要素的具体内容注释：摘自《企业内部控制基本规范》内部环境内部环境是实施内部控制的基础，在《基本规范》中主要包括以下几点规范的公司治理结构和议事规则机构设置及权责分配审计委员会内部审计人力资源政策企业文化建设法律顾问制度及重大法律纠纷案件备案制度建立规范的公司治理结构和议事规则*股东大会行使企业经营方针、筹资、投资、利润分配等重大事项的表决权董事会对股东大会负责，依法行使企业的经营决策权监事会对股东(大)会负责,监督企业董事、经理和其他高级管理人员依法履行职责⑴经理层负责组织实施股东（大）会、董事会决议事项，支持企业的生产经营管理工作表决权决策权经营管理监督第十一条*注释:摘自《企业内部控制基本规范》内部控制五大要素

（一）内部环境执行层内部控制五大要素

（一）内部环境内部控制的建立与实施*第十二条*注释：摘自《企业内部控制基本规范》董事会监事会经理层对董事会建立与实施的内部控制进行监督。组织领导企业内部控制的日常运行。建立健全内部控制并有效实施。专门机构或适当机构负责组织协调内部控制的建立实施及日常工作。内部控制五大要素

（一）内部环境良好的内审职能第十四条审计行业知识具备审计知识和经验来准确地判断审计结果独立于管理和营运单位，能做出客观的分析和判断得到高级管理层的有效支持，有效推动内审的策划与实行具备行业知识来有效地执行审计程序公正权利独立内部控制五大要素

（一）内部环境人力资源政策*人力资源政策

根据企业的具体情况制定和实施有利于企业可持续发展的人力资源政策。制定明确的人力资源管理制度

人力资源管理制定明确、透明和有相应文档记录的规章制度。机构、岗位设置与分析

对机构和岗位设置进行分析，确保部门资源与人员配置的合理性。制定各部门明确清晰的岗位说明书以划分职责。第十六条*注释:摘自《企业内部控制基本规范》内部控制五大要素

（一）内部环境职业道德修养及专业胜任能力作为选拔和聘用员工的重要标准加强员工培训和继续教育提升员工素质高级管理人员发挥主导作用，加强企业文化建设建立并贯彻员工行为守则职业道德修养及专业胜任能力*第十七条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（一）内部环境高级管理人员发挥核心主导作用：管理层基调和态度是公司道德规范和文化环境建设的基础培养积极向上的价值观和责任感倡导诚实守信、爱岗敬业、开拓创新和团队协作精神树立现代管理理念强化风险意识建立并贯彻员工行为守则企业文化建设*第十八条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（一）内部环境作为上市公司，必须接受国家和证券监管部门颁布的法律法规监管，这是市场经济法则的客观要求，为达到这些目标，企业应当加强法制教育增强董事、监事、经理及其他高级管理人员和员工的法律观念严格依法决策、依法办事、依法监督建立健全法律顾问制度和重大法律纠纷案件备案制度法律顾问*第十九条内部控制五大要素

（二）风险评估资产安全财务报告及相关信息真实完整提高经营效率和效果促进企业实现发展战略合理保证企业经营管理合法合规内部控制的目标全面系统持续地收集相关信息，结合实际情况，及时进行风险评估第二十条*注释:摘自《企业内部控制基本规范》**注释：摘自《企业内部控制基本规范》内部风险识别管理因素组织结构经营方式资产管理业务流程安全环保因素营运安全员工健康环境保护自主创新因素研究开发技术投入信息技术财务因素财务状况经营成果现金流量人力资源因素职业操守专业胜任能力团队精神内部控制五大要素

（二）风险评估**注释：摘自《企业内部控制基本规范》外部风险识别经济因素经济形势产业政策融资环境市场竞争资源供给法律因素法律法规监管要求社会因素安全稳定文化传统社会信用教育水平消费者行为行业技术因素技术进步工艺改进自然环境因素自然灾害环境状况内部控制五大要素

（二）风险评估内部控制五大要素

（二）

风险评估

对辨识出的风险及其特征，以及对企业战略发展的影响层面进行明确的定义和描述，结合定性和定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险**注释：摘自《企业内部控制基本规范》风险应对策略*第二十六条*注释：摘自《企业内部控制基本规范》风险规避企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。风险降低企业在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。风险分担企业准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。风险承受企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。内部控制五大要素

（二）风险评估控制措施*内部控制五大要素

（三）

控制活动控制活动是公司建立执行的政策章程，以确保管理层的指示可以得到顺利贯彻执行控制活动必须与风险评估是一个整体第二十八条*注释:摘自《企业内部控制基本规范》内部控制五大要素

（三）

控制活动各种控制措施的综合运用风险可承受度预防性控制及发现性控制管理控制及监督控制手工控制及自动控制内部控制五大要素

（三）控制活动控制措施举例*不相容职务分离控制财产保护控制会计系统控制运营分析控制授权审批控制预算控制绩效考评控制*注释：摘自《企业内部控制基本规范》控制措施内部控制五大要素

（四）信息与沟通信息与沟通是获取和交换信息的程序，以使企业能够正常运行，并得到适当的管理及控制及时准确的最新信息所有层次上对信息、期望和责任的沟通内部与外部的沟通信息与沟通*第三十八条*注释:摘自《企业内部控制基本规范》信息的收集第三十九条财务会计资料经营管理资料调研报告内部刊物办公网络等渠道行业协会组织/监管部门社会中介机构业务往来单位市场调查网络媒体等渠道内部信息外部信息合理的筛选、核对、整合可提高信息的有用性内部控制五大要素

（四）信息与沟通内部控制五大要素

（四）信息与沟通建立信息与沟通制度*内部控制相关信息的收集信息的处理与传递信息的及时沟通信息与沟通系统能及时识别、获取和交流信息，促使管理层和其他员工履行其职责；科学合理的信息与沟通制度可促进内部控制的有效运行。*注释：摘自《企业内部控制基本规范》内部控制五大要素

（四）信息与沟通信息沟通中发现问题应及时报告并加以解决*重要信息应当及时传递给董事会、监事会和经理层*第四十条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（四）信息与沟通企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。信息技术第四十一条*注释：摘自《企业内部控制基本规范》反舞弊机制*企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。第四十二条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（四）信息与沟通内部控制五大要素

（四）信息与沟通反舞弊工作重点*采用未经授权等方式侵占、挪用企业资产，牟取不当利益董事、监事、经理及其他高级管理人员滥用职权在财务会计报告和信息披露等方面存在虚假记录、误导性陈述或者重大遗漏相关机构或人员串通舞弊*注释：摘自《企业内部控制基本规范》为确保举报、投诉成为企业有效掌握信息的重要途径，企业应当：设置举报专线明确举报投诉处理程序、办理时限和办理要求将举报投诉制度及时传达至全体员工举报投诉制度*第四十三条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（四）信息与沟通举报人保护制度企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应当及时传达至全体员工。*第四十三条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（四）信息与沟通内部控制五大要素

（五）内部监督内部控制监督制度企业应制定内部控制监督制度，明确内部审计机构和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求*内部控制监督制度是企业内部控制的重要组成部分，贯穿于内部控制活动的各个环节，是确保企业内部控制高效运行的重要保障第四十四条*注释：摘自《企业内部控制基本规范》内部控制五大要素

（五）内部监督内部控制缺陷认定标准企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告*其中，内部控制缺陷包括：设计缺陷运行缺陷第四十五条*注释：摘自《企业内部控制基本规范》（二）《企业内部控制应用指引》内容《内控应用指引》是对企业按照内控原则和内控“五要素”建立健全本企业内部控制所提供的指引。1、《企业内部控制应用指引》（二）《企业内部控制应用指引》内容指引解读—组织架构指引解读－发展战略

缺乏明确的战略

战略实施不到位发展战略过于激进发展战略频繁变动

资源浪费董事会应当严格审议战略委员会提交的发展战略方案，重点关注其全局性、长期性和可行性。企业的发展战略方案经董事会审议通过后，报经股东（大）会批准实施。应当按照规定权限和程序调整发展战略战略规划应当明确发展的阶段性和发展程度，确定每个发展阶段的具体目标、工作任务和实施路径战略委员会应当组织有关部门对发展目标和战略规划进行可行性研究和科学论证，形成发展战略建议方案通过内部各层级会议和教育培训等有效方式，将发展战略及其分解落实情况传递到内部各管理层级和全体员工

27指引解读－人力资源

人力资源缺乏或过剩

结构不合理

激励约束制度不合理关键岗位人员管理不完善

关键技术和秘密泄露

退出机制不当

诉讼或声誉受损建立员工培训长效机制，促进全体员工的知识、技能持续更新完善人力资源的激励约束机制，设置科学的业绩考核指标体系，制定与业绩考核挂钩的薪酬制度企业关键岗位人员离职前，应当根据有关法律法规的规定进行工作交接或离任审计企业应当根据人力资源能力框架要求，明确各岗位的职责权限、任职条件和工作要求企业选聘人员应当实行岗位回避制度，企业还应当制定各级管理人员和关键岗位员工定期轮岗制度，明确轮岗范围、轮岗周期、轮岗方式依法签订劳动合同，关键岗位员工应签订有关岗位保密协议，明确保密义务

28指引解读－社会责任

发生安全事故

产品质量低劣

环境污染员工权益保护不足

巨额赔偿或罚款

声誉受损企业应当避免在正常经营情况下批量辞退员工，增加社会负担企业应当与员工签订并履行劳动合同，及时办理员工社会保险，确保员工的休息休假权利，对从事有职业危害作业的员工进行职业性健康监护企业应当加强职工代表大会和工会组织建设，积极创建实习基地，履行社会公益方面的责任，支持慈善事业企业应当设立安全管理部门和安全监督机构建立严格的安全生产管理体系、操作规范和应急预案，强化安全生产责任追究制度企业应当重视国家产业结构相关政策，特别关注产业结构调整的发展要求，加快高新技术开发和传统产业改造，切实转变发展方式，实现低投入、低消耗、低排放和高效率

29指引解读－企业文化

员工丧失信心

企业缺乏凝聚力

缺少团队协作

缺少风险意识缺乏诚实守信的理念

理念冲突企业文化评估，应当重点关注董事、监事、经理和其他高级管理人员在企业文化建设中的责任履行情况企业应当促进文化建设在内部各层级的有效沟通，加强企业文化的宣传贯彻，确保全体员工共同遵守企业应当制定培育体现企业特色的发展愿景、价值观、经营理念、企业精神和风险防范意识企业应当重视并购重组后的企业文化建设形成企业文化规范，使其构成员工行为守则的重要组成部分

30指引解读－资金活动

筹资成本过高

债务危机

资金链断裂资金使用效率低下

资金挪用、侵占严格按照筹资方案确定的用途使用资金，由于市场环境变化等确需改变资金用途的，应当履行相应的审批程序。严禁擅自改变资金用途企业应当加强债务偿还和股利支付环节的管理企业应当指定专门机构或人员对投资项目进行跟踪管理，定期组织投资效益分析，关注被投资方的财务状况、经营成果、现金流量以及投资合同履行情况不得账外设账，严禁收款不入账、设立“小金库”总会计师或分管会计工作的负责人应当参与投融资决策过程企业有子公司的，应当采取合法有效措施，强化对子公司资金业务的统一监控。有条件的企业集团，应当探索财务公司、资金结算中心等资金集中管控模式重大筹资方案应当形成可行性研究报告，全面反映风险评估情况企业采用并购方式进行投资的，应当重点关注并购对象的隐性债务、承诺事项、可持续发展能力、员工状况及其与本企业治理层及管理层的关联关系，合理确定支付对价

31指引解读－采购业务库存短缺生产停滞资源浪费质次价高

舞弊信用受损大宗采购应当采用招标方式，合理确定招投标的范围、标准、实施程序和评标规则企业应当加强物资采购供应过程的管理，依据采购合同中确定的主要条款跟踪合同履行情况企业应当建立退货管理制度，对退货条件、退货手续、货物出库、退货货款回收等作出明确规定，并在与供应商的合同中明确退货事宜企业的采购业务应当集中，重要和技术性较强的采购业务，应当组织相关专家进行论证，实行集体决策和审批企业应当对办理采购业务的人员定期进行岗位轮换企业应当建立科学的供应商评估和准入制度，与选定的供应商签订质量保证协议，建立供应商管理信息系统

32指引解读－资产管理资金占用价值贬损资源浪费法律纠纷权属不清企业应当加强品牌、商标、专利、专有技术、土地使用权等无形资产的管理企业应当定期对专利、专有技术等无形资产的先进性进行评估企业应当重视品牌建设，加强商誉管理企业应当重视和加强各项资产的投保工作，采用招标等方式确定保险人，降低资产损失风险，防范资产投保舞弊规范固定资产抵押管理企业应当加强固定资产处置的控制，关注固定资产处置中的关联交易和处置定价，防范资产流失

33指引解读－销售业务

销售不畅

库存积压款项无法收回

遭遇欺诈

舞弊企业应当指定专人通过函证等方式，定期与客户核对应收账款、应收票据、预收账款等往来款项企业应当加强应收款项坏账的管理。应收款项全部或部分无法收回的，应当查明原因，明确责任，并严格履行审批程序企业应当完善客户服务制度企业应当健全客户信用档案，关注重要客户资信变动情况，采取有效措施，防范信用风险重大的销售业务谈判应当吸收财会、法律等专业人员参加，并形成完整的书面记录应当加强商业票据管理，关注商业票据的取得、贴现和背书，对已贴现但仍承担收款风险的票据以及逾期票据，应当进行追索监控和跟踪管理

34指引解读－研究与开发

创新不足

资源浪费研发成本过高

舞弊转化应用不足

利益受损企业应当建立严格的核心研究人员管理制度企业应当建立研究成果保护制度企业应当建立研发活动评估制度，加强对立项与研究、开发与保护等过程的全面评估组织独立于申请及立项审批之外的专业机构和人员进行评估论证，出具评估意见企业与其他单位合作进行研究的，应当对合作单位进行尽职调查，签订书面合作研究合同，明确双方投资、分工、权利义务、研究成果产权归属等企业对于通过验收的研究成果，可以委托相关机构进行审查，确认是否申请专利或作为非专利技术、商业秘密等进行管理

35指引解读－工程项目商业贿赂投资失控

质量低劣

进度延迟工程存在重大隐患从事项目可行性研究的专业机构不得再从事可行性研究报告的评审企业应当建立设计变更管理制度企业财会部门应当加强与承包单位的沟通，准确掌握工程进度，根据合同约定，按照规定的审批权限和程序办理工程价款结算企业应当加强工程造价管理总会计师或分管会计工作的负责人应当参与项目决策企业的工程项目一般应当采用公开招标的方式，择优选择具有相应资质的承包单位和监理单位

36指引解读－担保业务

遭受欺诈承担法律责任

舞弊

利益受损企业应当建立担保业务责任追究制度，对在担保中出现重大决策失误、未履行集体审批程序或不按规定管理担保业务的部门及人员，应当严格追究相应的责任企业应当在担保合同到期时，全面清查用于担保的财产、权利凭证，按照合同约定及时终止担保关系企业应当对担保申请人进行资信调查和风险评估，评估结果应出具书面报告企业应当建立担保授权和审批制度

37指引解读－业务外包外包范围不合理

价格不合理

外包监控不严

服务质量低劣总会计师或分管会计工作的负责人应当参与重大业务外包的决策。重大业务外包方案应当提交董事会或类似权力机构审批企业外包业务需要保密的，应当在业务外包合同或者另行签订的保密协议中明确规定承包方的保密义务和责任，要求承包方向其从业人员提示保密要求和应承担的责任企业应当引入竞争机制，遵循公开、公平、公正的原则，采用适当方式，择忧选择外包业务的承包方

企业应当做好与承包方的对接工作

商业贿赂企业应当对承包方的履约能力进行持续评估

38（二）《企业内部控制应用指引》内容指引解读—财务报告指引解读－全面预算

缺乏约束

盲目经营编制不科学

执行不力

考核不严企业预算管理工作机构和各预算执行单位应当建立预算执行情况分析制度，定期召开预算执行分析会议实行预算执行情况内部审计制度企业预算执行情况考核工作，应当坚持公开、公平、公正的原则，考核过程及结果应有完整的记录企业应当设立预算管理委员会履行全面预算管理职责，其成员由企业负责人及内部相关部门负责人组成企业应当建立和完善预算编制工作制度企业应当加强对预算执行的管理，明确预算指标分解方式、预算执行审批权限和要求、预算执行情况报告等，落实预算执行责任制

40指引解读－合同管理合同疏漏合同欺诈履行不当监控不力应当组织法律、技术、财会等专业人员参与谈判，谈判过程中的重要事项和参与谈判人员的主要意见，应当予以记录并妥善保存应当组织内部相关部门对合同文本进行严格审核合同管理部门应当加强合同登记管理，实行合同的全过程封闭管理企业应当建立合同履行情况评估制度

纠纷处理不当企业应当加强合同纠纷管理

41指引解读－内部信息传递系统缺失内容不健全传递不及时

泄露秘密企业应当根据发展战略、风险控制和业绩考核要求，科学规范不同级次内部报告的指标体系企业应当制定严格的内部报告保密制度企业应当建立内部报告的评估制度企业应当有效利用内部报告进行风险评估，准确识别和系统分析企业生产经营活动中的内外部风险，确定风险应对策略，实现对风险的有效控制企业应当制定严密的内部报告流程，充分利用信息技术，强化内部报告信息集成和共享，将内部报告纳入企业统一信息平台，构建科学的内部报告网络体系企业应当重视和加强反舞弊机制建设

42指引解读－信息系统

系统缺失

规划不合理

开发授权不当维护或安全措施不到位企业应当组织独立于开发单位的专业机构对开发完成的信息系统进行验收测试制定科学的上线计划和新旧系统转换方案，考虑应急预案，确保新旧系统顺利切换和平稳衔接企业应当加强信息系统运行与维护的管理，制定信息系统工作程序、信息管理制度以及各模块子系统的具体操作规范企业应当根据信息系统建设整体规划提出项目建设方案，明确建设目标、人员配备、职责分工、经费保障和进度安排等相关内容，按照规定的权限和程序审批后实施对于必需的后台操作，应当加强管理，建立规范的流程制度，对操作情况进行监控或者审计信息系统归口管理部门应当加强信息系统开发全过程的跟踪管理

43

企业内部控制评价是指企业董事会或类似权力机构对内部控制有效性进行全面评价，形成评价结论，出具评价报告的过程。《内控评价指引》为企业开展内部控制自我评价提供了一个共同遵循的标准。

《内控审计指引》规定，内控审计自2011年1月1日起首先在境内外同时上市的公司施行，自2012年1月1日起扩大到在上海证劵交易所、深圳证劵交易所主板上市的公司实行。（三）《企业内部控制评价指引》内容（三）《企业内部控制评价指引》内容1、开展内控评价的目的？可以及时发现和纠正企业内部控制建设与实施中存在的问题，并持续自我完善。2、内控评价的对象？是对内部控制有效性发表意见。包括内部控制设计的有效性和内部控制运行的有效性。3、内部控制评价的原则？

全面性原则重要性原则客观性原则（三）《企业内部控制评价指引》内容4、内控评价的方法？重新执行实地查验问卷调查专题讨论个别访谈抽样调查穿行测试各种方法各有不同的适应性，综合运用，能提高工作效率比较分析（三）《企业内部控制评价指引》内容5、什么是内控评价报告？内部控制评价报告是企业根据董事会批准的内部控制评价方案对内部控制评价的结果，按照规定的格式内容披露企业报告期内部控制有效性结论的书面文件。内控评价报告是内控评价的最终体现，按照编制主体、报送对象和报送时间，分为对内报告和对外报告。6、内控评价报告编制基础？内部控制评价机构以汇总的评价结果和认定的内部控制缺陷、内部控制评价工作底稿等资料为基础，编制内部控制评价报告，格式、内容要素应符合《企业内部控制基本规范》和配套指引的要求。（三）《企业内部控制评价指引》内容7、内控评价报告包括的内容？董事会声明内部控制评价工作的总体情况内部控制评价的依据内部控制评价的范围内部控制评价的程序和方法内部控制缺陷及其认定内部控制缺陷的整改情况内部控制有效性的结论（三）《企业内部控制评价指引》内容8、内控评价报告的编制及披露时间？至少应该每年进行一次内部评价并由董事会对外发布。年度内部评价报告应当以12月31日为基准日。企业内部控制评价报告经董事会批准后对外披露，对外披露时间与公司财务报告对外披露时间一致。

内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计，并出具《内部控制审计报告》。它是企业内部控制规范体系实施中引入的强制性要求。《基本规范》规定，执行企业内控规范体系的企业，必须对本企业内部控制的有效性进行自我评价，披露年度自我评价报告，同时聘请具有证劵期货业务资格的会计师事务所对其财务报告内部控制的有效性进行审计，出具审计报告。（四）《企业内部控制审计指引》内容四、内部控制体系与企业原有管理制度的关系根据《基本规范》《内控配套指引》建立的企业内部控制体系与企业原有管理制度不是两套制度标准。内部控制制度体系是按照科学的框架和要求，将企业原有制度加以梳理、整合、完善、补充后得来。内部控制制度应包括企业原有管理制度，并将所有业务制度加以流程化、信息化、规范化。内部控制贯穿于整个企业管理，与其他管理体系相辅相成、密不可分，是企业管理的重要组成部分。第三部分

如何开展内部控制体系建设

一、内部控制体系建设步骤二、内部控制建设准备阶段

三、内部控制建设实施阶段

一、内部控制体系建设步骤设立机构制定方案成立专属部门

编制内部控制建设实施方案确定梳理范围内部控制培训内控梳理整改固化实施风险评估整理现有制度辨识内控环节记录内控缺陷设计整改方案完善内控制度更新内控文件内控自我评价制定监督制度跟踪缺陷整改编制自我评价方案开展自我评价编制自评报告指导整改落实进行模拟审计提供所需证据出具管理声明披露审计报告准备阶段实施阶段二、内部控制建设准备阶段1、工作内容及步骤二、内部控制建设准备阶段2、内部控制工作的组织实施

工作小组按业务模块细分为若干个业务模块小组各职能部门至少确定一名熟悉本部门业务的人员负责本部门内控制度的工作二、内部控制建设准备阶段3、内部控制项目组职责组别职责领导小组负责组织、指导、监督、检查公司及子公司内部控制规范工作，协调相关事宜工作小组在领导小组的领导下开展工作，制定内部控制的规范和标准；主导项目的实施推进工作业务模块小组收集归纳业务流程、制度；对内控现状进行评估；识别风险，编制风险清单；制定内控缺陷改进措施；编写内控手册三、内部控制建设实施阶段2、工作内容及步骤三、内部控制建设实施阶段2、工作内容及步骤（续）工作内容5、优化业务流程6、编制风险矩阵7、形成内控手册（初稿）8、内控制度、手册试运行工作要点根据《管理制度汇编》整理、描述本单位主要控制流程。通过文字描述将制度流程化、通过“流程图”将流程岗位化将公司《风险清单》按基本规范及配套指引与内部控制活动匹配考虑不相容职责和内部牵制，根据“流程说明”、“流程图”、“风险控制矩阵”编制《内部控制手册》初稿内控制度和内控手册试运行3个月，并根据试运行情况对制度和手册进行进一步完善优化成果资料流程图风险矩阵内部控制手册（初稿）

试运行通知以及缺陷整改方案三、内部控制建设实施阶段3、内部控制体系建设的具体实施3.1如何开展对原有制度的梳理各单位内控建设工作小组收集各职能部门（单位）的所有现行有效的管理制度、办法、规定、实施细则、部门职责等，并对本单位业务流程比照《企业内部控制基本规范》《企业内部控制配套指引》进行分类。三、内部控制建设实施阶段3、内部控制体系建设的具体实施内部控制制度汇总表（样表）序号制度名称责任部门下发日期审批机构审批说明所属指引备注1公司章程证券部2008/12/22股东大会第一届第一次股东大会决议第1号—组织架构

……

按照18个指引分别填写三、内部控制建设实施阶段3、内部控制体系建设的具体实施3.2内控现状测试及描述：在对现有制度梳理与测试的基础上，与《内控基本规范》《内控应用指引》比较，梳理出制度设计及执行中存在的缺陷，编制《内部控制现状调研报告》或《内控缺陷汇总表》三、内部控制建设实施阶段3、内部控制体系建设的具体实施内部控制缺陷汇总表（样表）流程名称重大缺陷重要缺陷一般缺陷合计小计运行缺陷设计缺陷小计运行缺陷设计缺陷小计运行缺陷设计缺陷总计11833126540301082公司治理

1

1

1组织架构11

11

2人力资源1

153

64212风险评估

1

1

1审计与监督11

1

1

2内部信息传递

5414229信息系统

44

44

8资金营运1

133

1310317……

此表来源于《内控自我评价底稿》注：根据内控缺陷明细表，按照内控应用18个指引分类汇总编制。三、内部控制建设实施阶段3、内部控制体系建设的具体实施内部控制缺陷明细表（样表）？三、内部控制建设实施阶段3、内部控制体系建设的具体实施什么是内控缺陷？内部控制缺陷是描述内部控制有效性的一个负向的维度。企业开展内部控制评价，主要工作内容之一就是要找出内部控制缺陷并有针对性的进行整改。三、内部控制建设实施阶段3、内部控制体系建设的具体实施内部控制缺陷的分类按照影响企业内部控制目标实现的严重程度划分重大缺陷：是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。重要缺陷：是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷：是指除重大缺陷、重要缺陷之外的其他缺陷。三、内部控制建设实施阶段3、内部控制体系建设的具体实施内部控制缺陷的分类按照缺陷成因和来源划分设计缺陷：是指缺少为实现控制目标所必须的内部控制，或现有的控制设计不适当无法运行、或即使正常运行也难以实现控制目标。运行缺陷：是指现有设计完好的控制没有按照设计意图运行，或执行者没有获得必要的授权或缺乏胜任能力以有效的实施控制。三、内部控制建设实施阶段3、内部控制体系建设的具体实施内部控制缺陷的分类按照具体影响内部控制目标的具体表现形式划分财务报告内部控制缺陷：是指不能及时防止或发现并纠正财务报表错报的内部控制缺陷。非财务报告内部控制缺陷：是指财务报告内部控制缺陷之外的缺陷，其具有涉及面广、认定难度大等特点。三、内部控制建设实施阶段3、内部控制体系建设的具体实施财务报告内控缺陷的认定财务报告内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。如果一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报表中的重大错报，就应该认定为重大缺陷；如果一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报表中虽然未达到和超过重要性水平、但应引起董事会和管理层重视的错报，就应该认定为重要缺陷；不构成重大缺陷和重要缺陷的内部控制缺陷，应认定为一般缺陷。三、内部控制建设实施阶段3、内部控制体系建设的具体实施财务报告内控缺陷的认定（续）以下迹象通常表明财务报告内部控制可能存在重大缺陷：（1）董事、监事和高级管理人员舞弊。（2）企业更正已公布的财务报告。（3）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报。（4）企业审计委员会和内部审计机构对内部控制的监督无效三、内部控制建设实施阶段3、内部控制体系建设的具体实施非财务报告内控缺陷的认定非财务报告内部控制缺陷认定具有涉及面广、认定难度大的特点。企业可根据风险评估的各项工作，参照财务报告内部控制缺陷的认定标准，合理确定定性和定量的认定标准，根据其对内部控制目标实现的影响程度认定为一般缺陷、重要缺陷和重大缺陷。（可以参考煤业股份的标准）三、内部控制建设实施阶段3、内部控制体系建设的具体实施非财务报告内控缺陷的认定（续）以下迹象通常表明非财务报告内部控制可能存在重大缺陷:（1）违反法律、法规较严重。（2）除政策性亏损原因外，企业连年亏损，持续经营受到挑战。（3）重要业务缺乏制度控制或制度系统性失效，如企业财务部、销售部控制点全部不能执行。（4）并购重组失败，或新扩充下属单位经营难以为继。（5）子公司缺乏内部控制建设，管理散乱。（6）企业管理层人员纷纷离开或关键岗位人员流失严重。（7）被媒体频频曝光负面新闻。（8）内部控制评价的结果特别是重大或重要缺陷未得到整改。三、内部控制建设实施阶段4、风险识别与评估风险评估流程风险收集风险识别风险分析风险评价风险清单风险应对三、内部控制建设实施阶段4、风险识别与评估

4.1风险收集公司各职能部门、分子公司按照其职责范围广泛、持续不断地收集内部、外部初始信息，包括历史数据和未来预测；公司工作小组/审计部门对各部门收集的初始信息进行必要的筛选、提炼、对比、分类、组合，并组织风险鉴别和评估。三、内部控制建设实施阶段4、风险识别与评估

4.2风险识别工作小组/审计部门组织各业务部门、分子公司通过对公司的经营状况、行业、法律、政治、文化环境深入的了解，并结合公司的发展战略，甄别可能促使公司达到目标的要素和可能威胁公司实现目标的要素。风险识别的方法：具体可通过集体讨论会法、头脑风暴法、访谈法等辨识影响公司经营目标实现的风险。三、内部控制建设实施阶段4.1风险识别内部风险识别管理因素组织结构经营方式资产管理业务流程

安全环境因素运营安全员工健康环境保护自主创新因素研究开发技术投入信息技术财务因素财务状况经营成果现金流量人力资源因素职业操守专业胜任能力团队精神三、内部控制建设实施阶段4.2风险识别与评估（续）外部风险识别经济因素经济形势产业政策融资环境市场竞争资源供给

法律因素法律法规监管要求社会因素安全稳定文化传统社会信用教育水平消费者行为行业技术因素技术进步工艺改进自然环境因素自然灾害环境状况三、内部控制建设实施阶段4.2风险识别与评估（续）4.3风险分析风险分析是指对风险发生的可能性以及影响程度进行评估，以对风险进行分类、排序。工作小组/审计部在组织风险估计时应抽调各部门负责人及业务骨干，必要时聘请外部专家，组成风险分析团队，严格按照公司既定的分析流程和方法实施风险分析工作，确保风险评估的准确性。风险排序：对辨识出的风险及其特征，以及对企业战略发展的影响层面进行明确的定义和描述，结合定性和定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。三、内部控制建设实施阶段4.2风险识别与评估（续）4.4风险评价风险评级标准由工作小组/审计部根据公司控制目标，组织内控相关人员对公司所处的内外部环境进行综合分析讨论后提出，经管理层批准后确定。三、内部控制建设实施阶段4、风险评价

根据风险发生的可能性和影响程度划分：重大风险如果风险发生的可能性高于“风险可能发生”，且风险的影响程度重大，将该类风险确定为重大风险。重要风险如果风险发生的可能性等于或高于“风险可能发生”，且风险的影响程度较大，将该类风险确定为重要风险。一般风险是指除重大风险、重要风险以外的其他风险，将该类风险确定为一般风险。三、内部控制建设实施阶段4、风险评估

4.5风险清单风险分析团队对识别出的风险进行分析和排序，确定重点关注和优先控制的风险，将风险清单分析结果报管理层审批。公司应随着内外部环境的变化，定期或不定期的组织风险评估，并及时更新和完善风险清单。三、内部控制建设实施阶段4、风险评估

4.5风险清单（举例）风险序号流程序号业务活动风险点后果风险级别（重大、重要、一般）

一内部环境

1

治理结构公司的治理结构设置不健全；可能导致企业缺乏科学决策和运行机制，影响公司发展战略和经营目标的实现；重大2

治理结构内部控制管理机构及制度不健全；可能导致内部控制建设工作不能开展，导致内部控制缺陷难以发现；重要3

治理结构缺乏针对管理层凌驾于内部控制之上的风险设计控制程序；可能导致管理层舞弊，给股东造成重大损失；重大4

组织架构公司的组织机构设计不合理或不清晰；可能导致机构设置重叠、职能交叉或缺失，运行效率低下；重大5

组织架构未建立有效的投资管理制度；可能导致不能通过合法有效的形式履行出资人职责，维护出资人权益；重要三、内部控制建设实施阶段4、风险评估4.6风险应对公司采用风险规避、风险分担、风险降低和风险承受等方式进行风险应对。经管理层审批后的风险由内控工作小组组织相关部门建立相应的控制制度和风险矩阵进行控制管理三、内部控制建设实施阶段

4.6风险应对三、内部控制建设实施阶段

4、风险识别与评估4.7风险监控风险监控是对风险进行动态管理，对控制活动的执行结果进行监督、检查、分析，以发现存在的问题及识别新的风险，重新进行风险评估，更新《管理制度汇编》和《内部控制手册》。公司每年至少应对公司的风险进行一次全面评估，评估时间为每年末。审计部门应编制《风险评估报告》（即对公司风险识别、评估的工作总结，并将更新后的《风险清单》作为附件）报管理层讨论。三、内部控制建设实施阶段

4、风险识别与评估4.8风险评估中的注意事项应以重大风险和重要业务流程为重点，对于存在的问题或缺陷提出整改意见；每年至少应对公司的风险进行一次全面评估，并将评估结果报管理层讨论；通过日常或定期的风险识别、评估程序对风险进行监督及识别。在内外部环境、业务活动发生变化时应及时收集风险信息，进行风险分析及应对。三、内部控制建设实施阶段

4、风险识别与评估特别提示：按照内控基本规范及内控应用指引规定，根据3家试点单位业务，通过风险识别和风险评估，煤业股份已形成了初步风险清单，请各单位参考，并根据各自业务特点，对现有风险清单进行补充、细化，识别和评估本公司风险点，形成本公司风险清单，以指导本公司风险控制活动。三、内部控制建设实施阶段5、内控制度及流程优化5.1内控制度优化步骤及内容评价内部控制制度设计的合理性和有效性新增制度修改制度、完善优化制度新增和修订的制度进行试运行新增和修订制度审批下发工作要点内部控制工作小组评价公司《内部控制制度汇总表》中所列制度是否已根据每一流程的主要目标和风险设计了针对性的控制制度？控制制度设计是否完整与合理？根据评价结果，对需要新增的制度由主要责任部门组织讨论，确定业务流程管理目标、主要风险和关键控制点，并与各相关部门、管理层达成一致后，由主要责任部门起草编制管理制度。对需要修订的制度由制度责任部门组织起草，并与各相关部门、管理层达成一致后进行完善修订。一般应至少试运行3个月。试运行后审计部门组织对新增和修订制度的有效性再次进行评价，并根据评价结果，由内部控制工作小组对需要修改优化的制度再次优化。根据制度的重要性提交相应的会议审议通过并下发执行，形成正式制度汇编。成果资料《内部控制制度汇总表》《制度新增流程单、主要风险和关键控制点纪要、制度初稿《制度修改意见流程单》《制度修改意见流程单》及附件；修订制度初稿制度汇编三、内部控制建设实施阶段5、内控制度及流程优化5.1内控制度优化内部控制制度优化流程单三、内部控制建设实施阶段5、内控制度及流程优化5.1内控制度优化控制流程分解第①次分解一般以18个应用指引分类，应用指引未涵盖的业务单元可以根据企业实际的业务情况和管理需要进行划分。第②次和第③次分类根据企业实际的业务情况和管理需要进行划分。三、内部控制建设实施阶段5、内控制度及流程优化5.1内控制度优化控制流程分解举例（财务报告）三、内部控制建设实施阶段5、内控制度及流程优化5.1内控制度优化末级控制流程描述方法举例描述要点及解释谁？控制活动的执行者什么时候？控制活动的执行时间做什么？控制活动产生的结果怎么做？控制活动过程的具体描述为什么？控制活动的具体目标和作用报告给谁审阅/审核/审批？控制活动的监督者对控制活动的监督举例-关联交易对账及关联交易统计财务部预算主管每月或季度结账后编制关联方交易统计明细表。每月或季度向关联方发对账函确认。保证交易金额记录的完整性和准确性。关联方交易明细表和关联方对账差异调整报财务经理审核后签字确认。三、内部控制建设实施阶段6、风险矩阵的编制6.1什么是风险控制矩阵？风险控制矩阵就是将流程中涉及的风险和对应的内部控制进行汇总，以发现控制缺陷的一种矩阵表格。6.2风险控制矩阵编制的方法？

风险矩阵通常是使用Excel电子表格进行编制。三、内部控制建设实施阶段6、风险控制矩阵（续）6.3风险控制矩阵的编制流程6.4风险矩阵包括的主要内容

风险因素描述、风险控制目标、控制活动描述、控制活动相关表单/报告、控制活动责任部门/岗位、控制方法等。确定该流程中可能存在的风险点描述风险控制后达到的目标寻找对应的实际控制活动判断控制方法和控制频率三、内部控制建设实施阶段6、风险控制矩阵（续）SM/陕煤/BB本部/CWBG财务报告/0101/自然编号人工/自动预防性/发现性三、内部控制建设实施阶段6、风险控制矩阵（续）6.5风险矩阵举例：风险矩阵编制说明二级流程、三级流程：按照上述“控制流程编制方法规定填列”风险因素描述：来源于公司风险清单内容；控制目标：针对该环节风险因素进行控制后达到的目标或取得的成果；控制编号：按照陕煤—本公司名称—控制指引—控制活动控制点顺序编制；（使用拼音第一个字母的大写）控制活动描述：来源于公司管理制度中为保证该控制目标实现所明确的控制活动、控制方法等。相关表单/报告：控制活动涉及的相关表单等；控制方法：按照人工控制/自动控制、预防性/发现性填列；三、内部控制建设实施阶段6、风险控制矩阵（续）6.6风险矩阵中控制方法指的是什么？企业内部控制基本规范第二十八条规定“企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内”。预防性控制：是指为防止错误和非法行为的发生，或尽量减少其发生机会所进行的一种控制。发现性控制：也称检查性控制。是指为及时查明已发生的错误和非法行为，或增强发现错误和非法行为机会的能力进行的各项控制。自动控制：实现过程自动化的方法的统称。通过计算机装置将受控对象和控制机构组成闭合控制环路。手工控制：控制活动非自动化控制，由人工完成的控制。三、内部控制建设实施阶段7、流程手册三、内部控制建设实施阶段8、新增和修订制度的试运行及进一步优化新增或修订的制度，一般应至少运行3个月。试运行后审计部门组织对新增和修订制度的有效性进行评价。根据评价结果，由内部控制工作小组对需要修改的制度再次修改。根据其重要性提交相应的会议审核通过并正式下发执行，内部控制工作小组将新增和修订的制度汇入制度汇编。三、内部控制建设实施阶段9、内控体系建设过程中应注意的事项内部控制是一个动态过程；企业管理涉及公司层和