企业内部控制体系建设和运行情况内部控制规范体系建设

内部控制规范体系建设工作公司的内部控制体系建设与实施是公司董事会'经营管理层,全体员工共同参与的过程。公司董事会

是公司内部控制建立健全和有效实施的贡任主体,董事长为内控建设的第一责任人。

内容在董事会的整体主导下，公司确立内控规范实施工作的组织架构及职能，设立内控领导小组、内控管理

小组、内控工作小组和内控评价小组,为建立和实施公司内部控制体系提供有效的组织保障。

第一部分1、内控领导小组:

-、建立内部控制规范体系的目的:组长：董事副组长：总经理

1、为建立和完善公司内部控制体系和内部控成员：董事长、总经理、副总经理、财务总监

制制度，及时识别并应对公司经营中存在的风险,2、内控管理小组

保证公司经营管理合法合规、资产安全、财务报组长：副总经理

告及相关信息真实完整，提高公司整体的经营管理组员：副总经理、副总经理兼董事会秘书、财务总监、总经理助理、监事

水平和风险防范能力，促进公司战略目标的实现3、内控工作小组

和可持续发展：组长：副总经理

2,为蜴彻实施£企业内部控制基本规范》及组员：弟团公司各部门负贡人、各干公司第一负责人

其配套指引,以及按照中国证监会等相关监管机4、内控评价小组

构的要求。组长：董事会审计委员会主任

二、公司组织架构组员：策事会审计委员会委员、副总经理、独立董事、监事会主席、职工代表监事、监事、审计负

公司董事会:下设战略、审计、提名、薪酬与责人

考核四个专业委员会，为击事会提供专业决策支四、各小组的内控建设工作职责如下：

持。1、内控领导小组职责

公司总经理办公会：在《公司章程3及芭事⑴主导推动内部控制的建立健全和有效实施

会授权范围内执行蚤事会决议，行使公司经营管理⑵定期及阶段性的工作审议及向董事会沟通汇报

权，对董事会负责。⑶对现存的内控问题、整改计划进行审议

三、内部控制工作组织保障(4)推动各阶段整改

BestOperationPractices"BringingWorldClassExecution"

(5)负货审批《内部控制管理手册》抄成为未来持续建设的具体职能机构;根据相关监管要求及不断变化，跟踪国内外法律、法规的相关要求和

⑹负责审批内部控制评价相关工作方案资本市场的动态，及时掌握最新内部控制理论发展状况和实践实务,开展政策调研，建立并不断完善体系框

⑺负近审阅内部控制自我评价工作记录底稿架,组织和执行相关具体工作；

(8)负贡对全年测评问题发现进行审议，并在提②围绕内部控制体系总体口标，制定体系建设规划，分解任务、建立实施路径与步骤，并组织实施；

交董货会审议前进行基础性认定复核，同时推动整③建立风险管理机制，以控制环境、风险评估控制活动、信息传递与沟通、内部监督为内容要素，建立内

改控体系、工作机制与程序及相关制度规范和记录文档；

(9)负贡审批内部控制评价报告④参与现状梳理诊断、整改与完善、内控手册设计工作,指导、监督总部各部门、子公司体系建设实临

(10)负表其他与此相关的重要协调、沟通、资和运行工作；

源配置等事项⑤组织开展内部控制全员培训，制定培训规划,准备相关培训材料、组织并实施年度培训计划。

2、内控管理小组职责(2)负页内部控制体系的运行维护，主要工作内容包括：

(1)审议公司内控体系建设的范围和项目计划,①建立内部控制体系的运行维护工作机制;负责对风险管理、流程及控制活动制度规范、工作程序等的

并提交领导小组。整体修订完善和实施；

(2)定期听取工作小组的汇报，对各项工作成果②识别公司的内外部环境变化，判断对既有内部控制活动的影响，持续维护和完善风险控制文档；

进行审核并向领导小组汇报。③负贲6内部控制管理手册》的维护完善和变更颁布。

(3)负货监督领导小组审批通过的内部控制实4、内控评价小组职责

施方案的落实情况。负责内部控制体系的监督评价、对外报告、外部内控审汁工作配合,主要工作内容包括：

{4}协调［:作中出现的各种问题，确保内控体系(1)组成评价工作组

建设工作正常进行。(2)制定评价工作方案及评价规则

3、内控工作小组(项目组)职责(3)实施内部控制设计和执行有效的测试

(1)负责内部控制体系建设规划和组织实施的(4)认定问题发现，并与被评价单位沟通，由被评价单位负贡人签字确认

具体工作,主要工作内容包括：(5)汇总子、分公司以及母公司的评价给果

①在第•年建设期，在独立咨询顾问的指导和(6)向内控领导小组提交工作方案、工作底稿、结果报告等，并进行沟通汇报

协助下，全面开展内部控制体系的建设与实施，逐⑺编报问题认定及内部控制评价报告，递交内控领导小组审议，最终经总经理、财务总监审核后,报审计

BestOperationPractices"BringingWorldClassExecution"2

委员会，最终由董事会审核3、合理保障公司资产的安全；

(8)作为外部审计师内控独立测试评价的内部4、提升公司整体的运营管理效率效果；

衔接职能机构，组织公司并配合审计师的测评工作5、最大限度地减少或规避风险，保证公司协调、持续、快速发展，促进公司实现发展战略；

5、公司董事会办公室职责6、建立统一、规范、有效运行的内部控制体系,进一步完善和优化公司的内部控制，提高公司的经营管

就内控用关工作和事宜,组织安排董事会层面理水平和效率，增强公司的风险防范能力。

的工作程序，负责披露内部控制评价报告、及其他二、内部实施范围

定期提交监管机构的报告。内部控制规范实施的范围凌盖公司下属各部门、各分子公司，凌盖公司所有业务及各环节。内控体系

6、公司及子公司职责的建设，将通过风险识别与评估的程序，以《基本规范》和配套指引的遵循依据,识别公司所面临的影响公司

公司及子公司按照内部控制体系的各项要求，战略、业务、财务、合规及资产安全等目标实现的重要内外部风险，在公司层面、业务流程与循环层面、信

全面参与配合内部控制体系的建立和完善匚作，全息环境与系统层面,通过全面梳理与改善，建立风险控制程序和具体措施,实现对关键风险的应对方案，并建

员参与相关的培训和辅导工作，配合内外部评价测立和实施持续维护和评价监控的机制。

试工竹♦，严格执行内部控制相关政策、制度、规范三、内控建设实施工作计划

及工作程序和机制汇报内部控制体系实施运行情1、第一阶段--准备阶段(一个月)

况。(1)公司制定内部控制规范实施工作方案，经董事会审议后公告并下发各部门；

(2)公司成立内控领导小组、内控管理小组、内部工作小组、内控评价小组，组织召开启动动员大会，加

第二部分:内部控制建设工作计划强全体员工对建立内部控制的认同，进一步完善公司内部环境；

一、内控建设工作目标(3)聘请具有内控专业经验的独立咨询服务中介机构，指导和协助公司完成此项工作；

内控建设是由公司董事会、管理层和全体员工(4)组织公司各部门了解、学习内部控制规范制度及其参加相关启动培训。

共同实施的.旨在合理保证实现以下基本H标的2、第二阶段一建设实施阶段(六个月)

一系列控制话动：(1)现状自查与完善、内控体系及《内控手册》建立、内控执行培训阶断(三个月)

1、确保公司财务报告及相关信息披露真实、专业咨询机构对公司内部控制规范提出指导意见：

准确、完整,及时和公平；确定内部控制规范实施的范围包括公司及子公司各项业务流程，建立模块与流程框架体系，梳理现行流

2、确保公司经营活动和发展的合规合法性；陶识别和梳理风险点和在设计层面已有的控制活动,建立风险清单，识别内控缺陷；

BestOperationPractices"BringingWorldClassExecution"3

建立内部控制缺陷的报告机制,根据公司实际行年度第一轮自评测试，形成第一轮自评测试报告，提交内控实施项目领导小组审议;督促相关单位进行执

情况结合内控规范与要求，确定内控缺陷评价标准，行层面的整改。

对发现的内控缺陷进行分类分析，针对不同的内控⑵第二轮自评测试（三个月）

缺陷类型判断其风险，形成内控缺陷整改方案。确定第二轮测试工作范围,制定第：轮测试计划，自评工作小组在外部咨询顾问的指导和协助下，进行

将内控缺陷整改方案提交内控实施领导小组年度第二轮自评测武形成第二轮自评测试报告，提交内控实施项目领导小组审议潸促相关单位进行执行

审议。根据樵理成果及确认的整改方案，编制完善层面的整改。

的内部控制制度文档，包括流程图和风险控制矩公司内控评价小组对全年的内控运行情况进行评价,对最终问题进行认定，编写K认定报告》、《内部控制

阵，形成《内部控制手册》，作为公司整改和执行所评价报告》并提交内控领导小组、审计委员会、公司策事会审议。

遵循的依据，对公司全员就设计成果，进行执行实4、第四阶段-内控审计阶段（年报前）

施和整改的全面培训和辅导。确定聘请的内部控制审计会计师事务所（准备阶段开始）；

（2）整改执行、试运行阶段（三个月）配合审计会计师事务所做好内部控制审计工作，在年报前完成内部控制审计工作，按照要求披露内部控

各相关部门及下属单位按照内控缺陷揍改方制审计报告。

案进行逐一整改,并由内控工作小组和外部咨询三、内控自我评价工作计划

顾问进行针对性的辅导井监督整改完成；（一）自我评价范困

《内部控制手册》全面在公司进行试运行一公司内部控制评价范围包括公司本部及所屈的各子、分公司.

个季度，并根据试运行情况进行合理调整和固化。（二）内部控制缺陷的评价标准

3、第三阶段••内控自我测试、评价阶段（六个内控评价工作组根据企业性质、经营管理特点、重要业务风险等，确定内部控制缺陷的评价标准，将内部

月）控制缺陷按其影响程度分为更大缺陷、重要缺陷和一般缺陷。

（1）第一轮自评测试（一个月）（三）组织实施自我评价工作

设计并编制《自我评价测试工作手册》，包括公司内控评价工作组对被评价单位进行现场测试，通过个别访谈、调查问卷、专题讨论、实地查脍、测

测试计划与方案、相关规则及工作底稿模板搭建试、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，编制内部控制评价

等,履行风险评估程序,确定第•轮测试工作范围。工作底稿,研究分析内控缺陷。

自评工作小组在外部咨询顾问的指导和协助下，进（四）编制缺陷汇总表

BestOperationPractices"BringingWorldClassExecution"4

根据现场测试获得的证据，对内部控制缺陷进价报告和内控审计报告。

行初步分析认定，并按其影响程度确定分为重大缺

陷、重要缺陷和一般缺陷，编制缺陷评价汇总表。

（五）提出认定意见和整改意见企业内部控制体系建设及有效运行

内控评价T作组对发现的内部控制缺陷及成

因、表现形式和影响程度进行综合分析和全面包一一以中国联通南京分公司为例

核，提出认定意见和整改遇见，编制整改任务单，将摘要：中国联通作为一家在美国上市的公司，为了达到美国《萨班斯-奥克

促相关部门和单位落实整改，并以书面形式向内控斯利法案》（SOX法案）第404条款规定要求，自2005年末开始，率先开展

并不断完善内部控制体系建设，所采取的措施和理念对我国其他企业卜一步进

规范领导小组和董事会报告，重大缺陷由董事会最

行内控体系的搭建和风险管控起到了很好的示范和指导作用。本文试图通过对

终予以认定，

中国联通南京分公司在企业内部控制制度建设和实际运行过程中的一些经验分

（六）完成内部控制自我评价报告编写析，以期为其他企业内控建设提供一定的借鉴作用。

内控评价工作组根据内部控制自我评价工作关键词：内部控制协同效应过程控制能力建设

结果，结合评价工作底稿和内控缺陷汇总表等资料，所谓内部控制，是指一个单位为了实现其经营目标，保护资产的安全完整,

按照《企业内部基木规范》及《企业内部控制评保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经

价指引》规定的程序和要求,编制内部控制评价报济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控

制的•系列方法、手续与措施的总称。企业内部控制体系主要通过•系列的制

告。

度规范等来实现。中国联通南京分公司（以下简称“南京联通”）在内控体系建

四、内控审计工作计划

设和运行过程中除一些常规建设外，重点关注了一下三个重点问题，使整体管

按照监管部门要求，聘请财务审计机构对公司

理水平得到了有效提升。

的内部控制进行独立的有效性测试和审计。公司一、充分发挥内部控制体系建设中的协同效应

应积极配合会计师事务的审计工作，提供审计所需所谓协同效应实际上就是1+1>2的效应，也就是整体作用大于各部分简单

的内控文件和资料,做好内控审计工作。叠加之和。在强调整体运作的内控建设管理工作中，特别需要发挥各部门和各

五、内控实施规范工作的信息披露岗位的积极性，实现“协同效应南京联通在内部控制体系建设过程中，一直

公司在年报前完成内控审计工作披函内控评坚持摒弃“内控管理是财务部门的事情”这样一种片面的认识，树立内控管理

BestOperationPractices"BringingWorldClassExecution"

事关全公司各部门、各环节的整体意内控管理建设的理念和思想进行深入的宣贯。因此，公司利用内网、海报、会

识和全局思想，由公司各个部门各司议、知识竞赛、培训等各种手段，对广大员工开展内控建设的宣传教育，使每

其职，各负其责，真正实现内控管理位员工深刻认识到开展内控管理建设工作的目的、意义、途径和方法，并明确

建设中的“协同效应”。各自的工作职责和流程，变被动执行为主动推进，最终实现思想观念上的统一，

一方面，建立良好的内部沟通机达到事半功倍的效果。

制，搭建良好的信息沟通系统。公司二、强化内部控制制度的体系化构建

组建了由高层领导和各部门负责人参企业想要实现良好的内控管理目标，就必须形成规范的、符合企业实际运

与的内部控制管理团队，对一些重大营需求的管理制度、流程和体系，找准风险控制点，加强对重点部位、关键环

内控制度和运行结果进行检查评估；节的控制，认真执行，并在实践中逐步修订使其不断完善，力争做到内控管理

同时由财务部牵头建立部门间定期的与企业运营需求的动态性、一致性和适应性。

联席会议制度，对H常运行过程中出南京联通围绕企业风险管理目标，规范了公司的产品研发、市场运营、财

现的问题进行及时探讨分析，协商解务、内部审计、法律、事务、人力资源、采购、销售、客户服务等各项基础管

决。通过这些良好的沟通协同机制有理及重要业务流程，对流程中的各个环节进行研究梳理，基于各业务部门、下

效地帮助企业管理者及时掌握营运状局公司以及合作单位的共同特点以及业务差异，构建差异化分级管理的内控体

况，了解全面、及时和准确的信息，系，实行集中管理、统一管控，最大限度地分散了管理风险。同时，在内控制

并能实现相关部门和人员之间的高效度体系构建的过程中合理借鉴了以美国coso框架为代表的国外内部控制框架，

沟通。把内部控制与风险管理要求嵌入到了流程的梳理和内控制度的建设中，并在内

另一方面，南京联通坚持认为企容和形式.上进行r创新，在坚持短期目标与长期目标结合的原则；坚持运营效

业员工不理解自身从事活动的原因利率与企业效益结合的原则；坚持国际先进经验与公司实践结合的原则；坚持全

目的，将大大影响内部控制管理的正员参与与分级负责结合的原则的前提下，使得内部风险控制从立法规范、流程

常进行和预期效果的实现，因为重大描述、风险控制、组织实施到监督检查等都有一个良好的沟通协作机制。

内部控制缺陷可能发生在公司的各个三、注重内部控制体系运行中的过程控制

环节及各个业务流程，企业的所有员尽管内部控制的目标最终体现在财务上，要求财务信息真实、完整、准确

工在内部控制上都负有相关的责任。和及时，这也是404条款的最终要求，但财务报表所体现的数据只是企业生产

为了更好地实现“协同效应”，还需对经营活动成果的反映，而生产经营活动一旦完成，经营成果也就形成了，因此

BestOperationPractices"BringingWorldClassExecution"6

财务部门在很大程度上只能把最后一前就必须录入基站管理系统，部门费用预算员履行审核职责，对报销的每笔费

道关，仅仅是一种事后控制。对一件用进行核对，对已录入系统的才给予报销流转至下一环节；对■于全成本费中的

事情的管理，一般可分为事前预防，用每一季度都网络资源利用率计算表、运维线员工统计表、网络运营线业务代

事中监控和事后纠偏，南京分公司认维明细表进行更新并录入中国联通本地网全成本财务评价系统，以便更好更及

为企业内部控制管理是一项系统管理时的了解全成本费用的发生情况。总之，通过这一系列的事中监控，确保了最

工程，其管理应该是贯穿始终的，而终的运维费用的真实准确性，且能够使总支出额度控制在预算范围之内。

且相比较而言事前预防，事中监控比四、加强内部控制管理的能力建设

事后纠偏来得更加重要有效，因此南加强内控管理，就是对原有的管理流程和业务流程进行深入的调查研究并

京联通在内部控制运行管理中一直坚诊断分析，找准风险控制点，饰定控制目标，构建新的流程，并制订相应的控

持事前、事中和事后的全过程管控。制措施，依靠制度机制自动自发地发挥控制作用，使内控管理步入一个规范化

例如在运维费用管控中就体现的比较和程序化的管理轨道。在此过程中，特别要注重加强内控管理的能力建设。为

明显。了加强内部控制管理的能力建设，南京联通从执行能力提升和员工能力提升两

作为公司重大成本项目的运维费个角度展开工作。

用，除了年初必须编制预算作为事前首先，南京联通制定了企业内部控制定期检查和通报制咬，强化对内部控

监督外，在实际使用过程中每月还必制制度实施情况的检查与考核，审杳公司内部控制制度是否得以严格遵循，执

须上报”提表格，并和财务核对，梳行中取得了什么样的成绩或出现了什么样的问题，为什么某项内部控制制度不

理每项合同的付款进度、余额；每月能被完全执行，估计可能产生或已经造成的相关后果等。对严格执行内部控制

对财务最终入账表还必须进行分解核制度的，给予精神鼓励和物质奖励；对违规违章的，坚决给予行政处分和经济

对，并和预算执行情况进行比对分析，处罚，并与职务升降挂钩。

梳理每个单项的完成进度，确保正常其次，南京联通认识到加强内控能力建设，无论企业建立什么样的机制，

进度下费用控制在预算范围之内，要制定什么样的制度和流程，不管采取什么样的奖惩考核措施，内控管理工作的

求单项波动率不得高于-4%,同时还必实施者是人，面对的也是人，机制的运行、流程及制度和措施的实施都是由人

须每笔入账成本费用都准确录入总部来完成的，因此，公司需要培育一支思想道德水准、'业务技术水平和工作作风

电子运维系统，以便进行统一监控；过硬的高索质干部队伍和员工团队。为了提升广大员工的内控管理能力，南京

对基站的水电房基费用要求在报销之联通坚持了员工参与的原则，让每位员工对自己的工作进行分析评估，找出风

BestOperationPractices"BringingWorldClassExecution"7

险点所在，并提出管控建议，最后公

司整体进行完善优化，制定出体系化

的内部管控制度。通过员工的参与，

一方面让广大员工了解了内控工作的

内容和重要性，另一方面，也提升了

员工分析思考问题的能力，进而有利

于公司内控管理体系的执行。

总之，建设好企业内部控制体系

是一个系统工程，是一项长期的工作。

虽然通过多年的不懈努力，南京联通

在企业内控管理体系和运行上取得了

一些成果，但距最终目标，还有很长

的路要走。

"BringingWorldClassExecution"8

•内部控制基础知识

•内部控制体系建设概述

•内控体系建设思路介绍

BestOperationPractices"BringingWorldClassExecution"

主要内容

•内部控制基础知识

—内部控制的定义及发展历程

—内部控制体系产生的背景

------COSO内控体系介绍

—内部控制与风险管理的关系

—内部控制的常见误区与几点认识

•内部控制体系建设概述

•内控体系建设思路介绍

BestOperationPractices"BringingWorldClassExecution"10

内部控制的定义

一一内部控制是为合理保证企业经营活动的效益性、财务报告的

可靠性、法律法规的遵循拄，而自行检查、制约和调整内部业

务活动的自律系统，其贯穿于经营活动的全部过程。

（——COSO定义）

——内部控制是由企业董事会、监事会、经理层和全体员

工共同实施的、旨在实现控制目标的过程。

（——五部委《企业内部控制基本规范》定义）

BestOperationPractices"BringingWorldClassExecution"11

国外内部控制发展历程

内部牵制一・40年代前账目核对、岗位分离

内部会计控制和管理控制会计控制、管理控制

--70年代

控制环境、会计制度、

内部控制结构一80年代控制程序

I成熟期I控制环境、风险评估、

--90年代控制活动、信息沟通、监控

控制环境、目标设定、事件识别

融合期企业风险管理整合框架风险应对、风险评估、控制活动

--2004年信息沟通、监控

BestOperationPractices"BringingWorldClassExecution"12

我国内部控制规范进程

•《独立审计准则-内部控制与审计风险》1996年

・《加强金融机构内部控制的指导原则》1997年

•《会计法-第27条》1999年

•《证券公司内部控制指引》2000年

・《内部会计控制规范-基本规范》2001年

•《内部会计控制规范-货币资金》2001年

■《内部控制审核指导意见》2002年

•《内部会计控制规范-采购及应付帐款》（征求意见稿）2002年

•《内部会计控制规范-销售及应收帐款》（征求意见稿）2002年

・《内部会计控制规范-工程项目》（征求意见稿）2002年

•《商业银行内部控制指引》2002年

•《审计机关内部控制测评准则》2003年

•《企业内部控制基本规范》2008年

・《企业内部控制配套指引》2010年

BestOperationPractices"BringingWorldClassExecution"13

内部控制基础知识

—内部控制的定义及发展历程

—内部控制体系产生的背景

——COSO内控体系介绍

—内部控制与风险管理的关系

—内部控制的常见误区与几点认识

内部控制体系建设概述

内控体系建设思路介绍

BestOperationPractices"BringingWorldClassExecution"

内*制体系厘微的动

有法不依执法不严

——说在脸上，落实在会议上

BestOperationPractices"BringingWorldClassExecution"

际丑闻

——安然、世通、施乐、安达信等公司欺诈，会计造假丑闻使投

资大众遭受巨大的损失

——中航油（新加坡）违规操作被判刑并罚款，巴林银行由于私

自交易被1英镑价格交易

——在2000至2002年间，由于在美国发生的涉及巨型公司财务丑

闻，导致资本市场损失了7万亿美金的市值

——诚信危机震撼着美国及国际社会，美国企业的假账丑闻一时

间成为全球舆论的焦点。

BestOperationPractices"BringingWorldClassExecution"16

Sarbanes-Oxley法案简介

•在各方压力之下，为了提高民众对美国金融市场、政府经济政策的信心,

美国出台了这一法案。

•该法案的名称为：PublicCompanyAccountingReformand

InvestorProtectionActof2002（《2002年公众公司会计改革和投资者保护法

案》）

——因其由美国众议院金融服务委员会主席Oxley（奥克斯利）和参议院

银行委员会主席Sarbanes，福班斯）联合提由，故又森Sarbanes-Oxley

Actof2002（《2002年萨班斯―奥克斯利法案》）。

——由于该法案英文缩写为SOX,故也称为《索克斯法案》。

——Sarbanes-Oxley法案的404条款：内部控制的管理评估

•该法案于2002年7月26日由国会提交给总统，2002年7月30日，美国总统

GeorgeW.Bush正式签署。

•美国总统布什在签署该法案的新闻发布会上称“这是自罗斯福总统以来美

国商业界影响最为深远的改革法案”。

BestOperationPractices"BringingWorldClassExecution"17

Sarbanes-Oxley法案简介（续）

•SOX法案302、404条款规定，管理层必须：

-识别其对财务报告的内部控制

-将内控的设计和运行文档化

-评估内部控制设计的有效性

-纠正任何设计缺陷

-确定控制发挥了恰当的作用

-评估缺陷的性质

《萨•奥法案》规定：内部控制是企业进入美国资本市场的

“通行证”和“入门证”！

BestOperationPractices"BringingWorldClassExecution"18

国内事件：三九帝国梦：一个人的独舞

・现象：

被〃中医教父〃赵新先打造的三九集团在中国是无人不知，它所生产的三九胃泰、三九感

冒灵、正天丸、皮炎平等都是家中常备药。

其旗下的三家公司在2000年先后在深交所上市，同时全国最大的医药健康网站的999健

康网开通，形成了鼎盛的〃以生命健康产业为主营，网络信息和金融租赁两大产'也为支柱〃三

九帝国。

而2003年《98亿贷款，银行逼债三九集团》披露三九共欠银行贷款余额98亿，陷入巨

额财务危机，三九在全国各地的数百家子分公司都成为银行逼债的对象，有的子公司甚至资

金链断裂，生产经营陷入停顿，只好宣布破产，最后三九集团彻底改姓华润，与教父形同陌

路

根源：

〃一人机制〃可谓是三九衰落的根源。三九集团表面上是国有产权，但事实上却是赵新先个人的王国。赵

新光是董事长、总经理兼党委书记，下面不设副总经理，集团总部只设党委部、财务部和人事部三个

机构。公司的治理结构没有形成合理的内部制衡机制，没有适当的监督和约束，一切权利集中于赵新先

人。

违背了我国2006年颁发的《企业内部控制基本规范》中规定的企业应当建立规范的公司治理结构，明

确决策、执行、监督等方面的职责权限，形成科学有效的制衡机制

国内事件：杭萧钢构天价订单之谜

・现象：

2007年2月12日至3月16日，杭萧钢构连续1()个交易日涨停。期间公司于2月15日和3月13

日公告称与中国国际基金公司签订344亿元的安哥拉建设项目合同。

3月19日起，杭萧钢构连续停牌。

4月2R,杭萧钢构发布公告，称已收到第一批合同款项，但后续合同存在不能继续履行的可能行

,公司股票同日复牌，并意外涨停。

4月4日，在连续涨停2天后，再次提示合同风险及签下其他合同的公告，公司股价大幅高开，但

一分钟后即被交易所紧急停牌，称因重要公告，盘中停牌。

5月14日，杭萧钢构披露证监会已向该公司及相关负责人共开出70万元〃罚单〃

6月11日，浙江省公安机关对涉嫌泄露内幕信息罪的犯罪嫌疑人罗高峰，涉嫌内幕交易罪的犯罪

嫌疑人王向东、陈玉兴执行逮捕。

真相：

2月11日，杭萧钢构股份有限公司原证券办主任陈玉兴先后向杭萧钢构公司证券办副主任、证券事务代表

罗高峰了解〃安哥拉项目〃信息，并告知与他合作炒股的王向东，指令他次日全仓买入杭萧钢构股票。

3月15日，陈玉兴从罗高峰处得知证券监管机构要调查杭萧钢构，遂将有关情况告知工向东并指令其次日卖

出“杭萧钢构〃股票。

内控指引规定：任何知情人不得公开或者泄露信息，不得利用该信息进行内幕交易

BestOperationPractices"BringingWorldClassExecution"

我国企业内部控制规范体系

五部委联手构建企业内部控制规范体系一一中国版《萨•奥

法案》建立：

♦2008年6月，在借鉴和吸收国际监督新理念的背景下，

我国财政部、监证会、审计署、银监会和保监会五部委联

合印发了《企业内部控制基本规范》

♦2010年4月，财政部等五部委又联合发布了《企业内部

控制配套指引》。该配套指引包括18项《企业内部控制应

用指引》、《企业内部控制评价指引》、和《企业内部控

制审计指引》，这标志着适应我国企业实际情况、融合国

际先进经验的中国企业内部控制规范体系基本建成。

♦我国成为继美国和日本之后第三个要求对本国企业实施内

控审计的国家。

BestOperationPractices"BringingWorldClassExecution"

企业执行内控规范时间表

♦为确保企业内控规范体系平稳顺利实施，证监会将把内控

建设纳入上市公司日常监督。财务部等五部委制定了实施时

间表：

♦自2011年1月1日起首先在境内外同时上市的公司施行

♦自2012年1月1日起扩大到上海证券交易所、深圳证券交

易所主板上市的公司施行；在此基础上，择机在中小板和创

业板上市公司施行;时，鼓励非上市大中型企业提前执

化外部监督压力为内部发展动力!

BestOperationPractices"BringingWorldClassExecution"

国内外企业建立内部控制的共同动因

/提高企业经营管理水平和风险防范能力

/防止舞弊和欺诈行为

/现代审计程序的发展

,法律行规和政府的推动

BestOperationPractices"BringingWorldClassExecution"

内控体系与其它管理体系的区别

业务要求结果

顾客和适用的法规要求顾客满意

考虑法规要求和与重大JS014001业务上全面考虑环

环境因素有关的信息保意识

要求…能够使组织控制OHSAS18001持续减少的职业健

其职业健康和安全风险康和安全风险

并改善其业绩…….

标准化良好行为实现标准化管理，

按照国家标准的要且取得良好经济效

求建立三标体系和社会效益

内控体系

加强和规范企业内提高企业经营管理

部控制，符合法律水平和风险防范能

法规要求力，促进企业可持

续发展

BestOperationPractices"BringingWorldClassExecution"

主要内容

•内部控制基础知识

—内部控制的定义及发展历程

—内部控制体系产生的背景

——COSO内控体系介绍

—内部控制与风险管理的关系

—内部控制的常见误区与几点认识

•内部控制体系建设概述

•内控体系建设思路介绍

BestOperationPractices"BringingWorldClassExecution"25

COSO的五大成员机构

COSO是美国全国虚假财务报告委员会F属的发起人委员会(TheCommitteeof

SponsoringOrganizationsofTheNationalCommissionofFraudulentFinancialReporting)

的英文缩写，是致力于通过商业道德、有效的内部控制和公司治理来改进财务报告质

量的民间组织。1985年COSO成立，目的是共同发起组建美国反欺诈财务报告委员会。

C0S0的五大成员机构如下：

♦美国注册会计师协会(AmericanInstituteofCertifiedPublic

Accountants)

♦美国会计师学会(AmericanAccountingAssociation)

♦美国财务执行官协会(FinancialExecutiveInstitute)

♦国际内部审计师协会(TheInstituteofInternalAuditors)

♦美国管理会计师协会(InstituteofManagementAccountants)

BestOperationPractices"BringingWorldClassExecution"26

COSO内部控制一整合框架

1992年出

台三大目

标：

♦经营的效果和效率（运营）

♦财务报告的可靠性（报告）

♦遵从适用的法规（合规）

五大要素：

内部

♦

风

鼬

控

就

♦信

息

监

♦控

，COSO框架是美国证券交易委员会（SEC）唯一推荐使用的内部控制框架

/同时《萨.奥法案》第404条款也明确表明COSO内部控制框架可以作为

评估企业内部控制的标准。

/美国上市公司会计监管委员会（PCAOB）在审计准则中提及了COSO内控

框架可以作为评估企业内部控制的标准。

BestOperationPractices"BringingWorldClassExecution"27

COSO内部控制一整合框架（续）

目标是内部控制的前提条件!

A

与公司的基本经营目标相关，包括业

经营的效果和效率

绩和赢利性目标和资产的保护。

A

与财务报告的编制相关，包括公开的

财务报告的可靠性中期报告和财务简报以及从报告提取

的诸如收入等的财务数据

A

对法律法规的遵循性与公司适用的法律和法规的遵守有关

目标种类是明确的，但是也是相互联系的

BestOperationPractices"BringingWorldClassExecution"

内部控制五要素内在联系

BestOperationPractices"BringingWorldClassExecution"

COSO内控五要素模型简析

监控

控制环境

控制活动

构成一个企业的氛围，是信息与沟通

其他内部控制要素的基础

风险评估

主要内容包括:

控制环境

操守及道德观

胜任能力

董事会和审计委员会

经营理念和经营风格

组织结构

管理层授权和职责分工

人力资源政策和措施

BestOperationPractices"BringingWorldClassExecution"30

COSO内控五要素模型简析

监控

风险评估

控制活动

信息与沟通

风险：

是任何可能影响实现目标风险评估

的因素。

控制环境

风险评估：

是识别和分析那些影响目

标实现的风险的过程，是确定

如何管理和控制风险的基础。

包括风险识别、风险分析、

风险应对。

BestOperationPractices"BringingWorldClassExecution"31

COSO内控五要素模型简析

监控

控制活动

信息与沟通控制活动

为防范风险所采取的措施和

行动。风险评估

控制活动包括：控制环境

组织机构、政策、标准、

流程的建立，授权、批准，复

核经营业绩，资产保护措施，

职责分离。

控制活动能够抵偿风险。

BestOperationPractices"BringingWorldClassExecution"

COSO内控五要素模型简析

—控制活动

控制活动类型包括：

♦针对企业的不同目标，控制活动可以分为以下三个类型：

即为提高经营效率效果、增强财务报告的可靠性、遵守法规

等目标的三类控制活动：

♦根据控制活动的不同作用，控制活动又可以分为：预防性

控制、检查性控制、指导性控制、纠错性控制、补偿性控制

等五种类型；

♦根据组织中实施人员的不同，控制活动也可以分为：高层审

批、指导并管理业务活动，信息处理，实物控制，业绩指标

分解，责权分配等。

BestOperationPractices"BringingWorldClassExecution"

COSO内控五要素模型简析

—控制活动

一些重要的控制方法：

1、职责分离控制

2、授权批准控制

3、内部报告控制

4、预算控制

5、运营分析控制

6、绩效考评控制

BestOperationPractices"BringingWorldClassExecution"34

COSO内控五要素模型简析

监控控

——监控

监督和评估内部控制系统信息与沟通制活动风

设计合理性和运行有效性。

监控的类型：险评估控

持续性监督

独立评估制环境

监控的实例：

外部审计审查财务报告

内部审计/董事会审查

经营分析与预算比较

客户满意度调查

项目审查

BestOperationPractices"BringingWorldClassExecution"35

COSO内控五要素模型简析

信息与沟通监控

信息与沟通控制活动

为了实现控制目标，保证内

部控制各个要素的可靠性，以风险评估

促使员工履行自己的职责。有

关信息必须及时沟通。控制环境

信息沟通贯穿于整个控制

主要包括如下方面：

•信息的识别和获取内部控制的

■信息加工和报告.神经系统

•内部沟通和外部沟通

BestOperationPractices"BringingWorldClassExecution"36

因此，COSO内控模型是

•一种过程

•为实现三种目标而

设计

信息与沟通）

-g■•在整个组织内适用

控制活动

V

风险评估•五个组成要素为实

控制环境■现目标而交互作用

BestOperationPractices"BringingWorldClassExecution"37

主要内容

•内部控制基础知识

—内部控制的定义及发展历程

—内部控制体系产生的背景

——COSO内控体系介绍

—内部控制与风险管理的关系

—内部控制的常见误区与几点认识

•内部控制体系建设概述

•内控体系建设思路介绍

BestOperationPractices"BringingWorldClassExecution"38

什么是风险?

风险是......

风险是未来的不确定性对企业实现其经营目

标的影响。（《中央企业全面风险管理指引》的

定义）

某一特定危险情况发生的可能性和后果的组

合。（GB/T23694的定义）

企业风险管理是一套由企业董事会与管理层

共同设立、和与企业战略相结合的管理流程。它

的功能是识别那些会影响企业运作的潜在事件和

把相关的风险管理到一个企业可接受的水平，从

而帮助企业达至它的目标。（“美国内控研究委员

会”的定义）

风险;发生的概率*风险影响度

BestOperationPractices"BringingWorldClassExecution"

内部控制与风险管理的关系

——内控是合理保证企业经营管理合法合规、资产安全、财务报

告及相关信息真实完整，提高经营效率和效果，鼓励坚持既定

的管理政策，促进企业实现发展战略。

内部控制五要素：控制环境、风险评估、控制活动、信息与沟通、

监控

风险菅理是指生产过程中对可能遇到的各种风险因素进行识

别、分析、应对，以最低成本实现最大的安全保障的过程。

风险管