氢能工业领域替代应用公司治理与内部控制手册

氢能工业领域替代应用

公司治理与内部控制手册

目录

一、产业环境分析...................................................3

二、氢能产业发展发展基础...........................................3

三、必要性分析.....................................................5

四、内部控制评价工作底稿与报告.....................................6

五、内部控制缺陷的认定.............................................7

六、内部监督的内容.................................................9

七、内部监督比较..................................................15

八、目标设定的含义................................................16

九、内部控制目标的设定............................................20

十、风险分析的定义和目的..........................................23

H-一、风险分析的方法..............................................24

十二、内部控制的重要性............................................31

十三、内部控制的局限性............................................34

十四、内部牵制....................................................37

十五、内部控制....................................................40

十六、企业内部控制规范的基本内容.................................43

十七、企业内部控制规范体系的结构..................................54

十八、项目简介....................................................55

十九、项目风险分析................................................59

二十、项目风险对策................................................62

二H----、法人治理结构..............................................64

二十二、人力资源配置分析..........................................76

劳动定员一览表.....................................................77

一、产业环境分析

保持经济社会平稳较快发展，提高发展质量和效益，发展平衡性、

包容性和可持续性不断增强，确保如期全面建成小康社会。到2017年,

全区地区生产总值和城乡居民人均收入比2010年同口径翻一番；到

2020年，全区地区生产总值迈上新台阶，城乡居民人均收入同步提升。

——产业支撑更加有力。“三大新兴产业”实现快速发展，传统

产业进一步提质增效，初步构建起支撑区域发展的产业新体系。

——城市品质更加优良。进一步突出以人为本，城市综合功能进

一步完善，环境质量不断提升，社会民生持续改善。

——人民生活更加美好。就业、教育、文化、卫生、体育、社保、

住房等公共服务体系更加健全，初步实现城乡基本公共服务均等化，

人民群众生活质量、健康水平和文明素质不断提高，参与感、获得感、

幸福感显著增强。

二、氢能产业发展发展基础

从省内来看，我省氢能产业发展已初步涵盖制、储、输、用各个

环节，并在相关技术研发和装备、材料制造等领域启动布局，为氢能

产业发展打下了一定的基础。

（一）氢气制备和应用初具规模

制氢方面，据初步统计，我省从事氢能制备的企业已有十余家，

主要集中在九江、赣州等区域，氢气年产量约30万吨。其中，九江两

个制氢项目分别年产氢18.1万吨和7.5万吨，为目前省内规模最大

的制氢项目；其他年产氢1000吨以上的项目主要为氯碱工业副产氢和

甲醇重整制氢，成本相对较低，具备进一步扩大规模的潜力。氢能服

务方面，部分企业拥有氢气制备、提纯和管束车运输能力，已成熟运

营市场化氢气供应服务。氢能应用方面，当前主要集中在石化、化工、

有色领域，此外在医药、电子等领域也有一定规模的应用，氢能应用

领域与我省传统优势产业的契合度较高，应用前景较好。基础设施方

面，九江市已建成全省第一座日加氢500公斤的油电氢混合站，积极

推进氢能船舶研制和应用，为氢能在水陆交通领域示范应用的启动提

供了先决条件。

（二）氢能相关科技创新势头积极

省内重点高校和氢能产业骨干企业充分发挥创新主体作用，搭建

了一批氢能科技创新和产品研发平台，在储氢合金材料研制、燃料电

池电堆与材料制备、工业固废提取制氢剂等领域取得了积极进展。省

内相关研究机构建立了稀土储氢合金研发试验线和银氢电池研发试验

线，完善了储氢合金及银氢电池性能的测试平台，提升了我省在储氢

材料领域的技术研发水平，提高了性能测试能力，加快了储氢合金粉

新产品的产业化发展。南昌大学共青城光氢储技术研究院研发的工业

固废提取制氢剂项目，能够以相对较低的成本从工业固废中提取制氢

剂。部分企业在多种类型氢燃料电池电源系统的研发上取得了积极成

果，已具备年产1000件以上相关产品的生产能力，并正在着力攻关具

有更高水平的产品研发。重点高校和骨干企业的创新实践，为我省氢

能产业聚集专业人才、探索产学研结合创新模式提供了有利条件。

三、必要性分析

1、现有产能已无法满足公司业务发展需求

作为行业的领先企业，公司已建立良好的品牌形象和较高的市场

知名度，产品销售形势良好，产销率超过100%。预计未来几年公司的

销售规模仍将保持快速增长。

随着业务发展，公司现有厂房、设备资源已不能满足不断增长的

市场需求。公司通过优化生产流程、强化管理等手段，不断挖掘产能

潜力，但仍难以从根本上缓解产能不足问题。通过本次项目的建设，

公司将有效克服产能不足对公司发展的制约，为公司把握市场机遇奠

定基础。

2、公司产品结构升级的需要

随着制造业智能化、自动化产业升级，公司产品的性能也需要不

断优化升级。公司只有以技术创新和市场开发为驱动，不断研发新产

品，提升产品精密化程度，将产品质量水平提升到同类产品的领先水

准，提高生产的灵活性和适应性，契合关键零部件国产化的需求，才

能在与国外企业的竞争中获得优势，保持公司在领域的国内领先地位。

四、内部控制评价工作底稿与报告

（一）内部控制评价工作底稿

根据《企业内部控制评价指引》第十一条的要求，内部控制评价

工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评

价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果

等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。

（二）内部控制评价报告

根据《企业内部控制基本规范》《企业内部控制评价指引》的相

关规定，企业应当结合内部监督情况，定期对内部控制的有效性进行

自我评价，出具内部控制自我评价报告。

1、内部控制评价报告的内容

根据《企业内部控制评价指引》第二十二条的规定，内部控制评

价报告至少应当披露下列内容：（1）董事会对内部控制报告真实性的

声明；（2）内部控制评价工作的总体情况；（3）内部控制评价的依

据；（4）内部控制评价的范围：（5）内部控制评价的程序和方法；

（6）内部控制缺陷及其认定情况；（7）内部控制的整改情况及对重

大缺陷拟采取的整改措施；（8）内部控制有效性的结论。

2、报告时间及要求

内部控制评价报告应当报经董事会或类似权力机构批准后与审计

报告一起对外披露。

企业应当以12月31日作为年度内部控制评价报告的基准日，内

部控制评价报告应当在基准日后4个月内报出。

企业内部控制评价部门应当关注自内部控制评价报告基准日至内

部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并

根据其性质和影响程度对评价结论进行相应调整。

五、内部控制缺陷的认定

1、内部控制缺陷的分类

对于内部控制缺陷的分类，在第一节“内部监督”中已做相关阐

述，这里不再赘述。

需要强调的是，企业对内部控制缺陷的认定，应当以日常监督和

专项监督为基础，结合年度内部控制评价，由内部控制评价部门或机

构进行综合分析后提出认定意见，按照规定的权限和程序进行审核后

予以最终认定。

对于按严重程度分类的内部控制，内部控制评价部门或机构和管

理层应当合理确定相关目标发生偏差的可容忍水平，从而对严重偏离

的情形予以确定。

2、内部控制认定程序与整改

如果评价工作人员在实施测试中发现控制差异，应分析差异是否

属于控制缺陷并评价其严重程度。如果审查了解控制差异的起因和结

果后，断定控制目标未能达到。同时，评价工作组人员不能通过增加

其他测试程序证明已发现的差异不能代表所有内控的情况，将形成缺

陷的结论。管理层应评价其严重程度并在其年度自我评价报告中披露,

同时，有责任对有关控制缺陷进行整改，做出补救措施。由于控制缺

陷可以分为设计缺陷和执行缺陷，因此，整改方案应根据缺陷的不同

类别制定不同的整改方法。对于需整改的内控设计缺陷，企业需在已

有的内控管理制度体系中补充相关规定或修改原有规定，按照企业既

定的管理制度报批程序对做出的补充或修改进行审批。对于需整改的

内控执行缺陷，企业需加强内控的执行力度，要求控制执行人严格按

照相关规定执行。

对于重大缺陷和重要缺陷的整改方案，应向董事会（审计委员

会）、监事会或经理层报告，并由董事会、监事会或经理层审定。如

果出现不适合向经理层报告的情形，例如，存在与管理层舞弊相关的

内部控制缺陷，内部控制评价组应当直接向董事会（审计委员会）、

监事会报告。重要缺陷并不影响企业内部控制的整体有效性，但是应

当引起董事会和管理层的重视。对于一般缺陷，可以向企业管理层报

告，并视情况考虑是否需要向董事会（审计委员会）、监事会报告。

六、内部监督的内容

（一）内部监督及其职能

企业内部监督一般应由内部审计承担。内部审计作为企业内部控

制的一部分，能够协调管理层更有效地履行其责任，提高企业的运作

效率并增强其活动的附加值。内部审计是由被审计单位内部的机构或

人员，对其内部控制的有效性、财务信息的真实完整性以及经营活动

的效率和效果等开展的一种评价活动，是与独立审计、政府审计并列

的三种审计类型之一。它的目的是发现并预防错误和舞弊，提高企业

的运作效率，为企业增加价值。它采取系统化、规范化的方法对企业

的内部控制、风险管理进行检查和评价，并提供建议等咨询服务，来

提高他们的效率，从而帮助实现企业的目标。

企业内部审计的职能如下。

（1）监督职能。监督职能是内部审计的基本职能。

（2）控制职能。内部审计机构是集团的一个重要职能部门，它独

立于其他各部门和其他控制系统，是对其他控制的一种再控制，与其

他控制形式相比，更具有独立性、权威性和全面性。内部审计又是内

部控制的特殊构成要素，是对内部控制实施的再控制。

(3)评价职能。通过内部审计可以熟悉子公司的生产经营情况和

财务状况，并且由于内部审计部门独立于子公司，更能客观、公正地

评价子公司的管理情况和运行业绩。

(4)服务职能。内部审计可以通过事前、事中和事后控制为管理

当局的决策、计划、控制提供依据，这些都充分体现了内部审计的服

务职能。

企业制定内部审计规范，明确审计的范围、责任和计划，以此为

基础合理配置审计人员，并要求他们遵守企业职业道德规范及内部审

计规范；内部审计部门应具有适当的地位并有足够的资源履行其职责;

内部审计部门根据授权可以参加有关经营及财务管理的决策会议，对

管理中存在的薄弱环节、违反国家法律法规的行为、内部控制管理漏

洞，向管理层及时提出调整意见。

(二)内部监督的程序

我国《企业内部控制基本规范》第四十五条规定：企业应当制定

内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分

析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向

董事会、监事会或者经理层报告。因此，企业应强化内部监督，保证

内部控制持续有效。

1、制定内部控制缺陷标准

(1)内部控制缺陷的相关概念

内部控制缺陷，是指内部控制的设计存在漏洞，不能有效防范错

误与舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现并纠

正错误与舞弊的情形。

内部控制的缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为

实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行

也难以实现控制目标，包括内部控制不健全、内部控制制度不适当。

例如，”未建立定期的现金盘点程序”即属于控制设计问题。运行缺

陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得

必要授权或缺乏胜任能力以有效地实施控制。比较常见的例子就是企

业内部控制制度设计健全，但工作人员我行我素，并不按照制度执行。

例如，“物资采购申请金额已超过其采购权限，却未向上级公司申请

安排大宗物品采购”，这是存在权限管理规定，却未在实际操作中按

照执行。

(2)内部控制缺陷的分类

企业根据内部控制缺陷影响整体控制目标实现的严重程度，将内

部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。

①重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部

整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体

控制目标的情形。主要考虑如下因素：影响整体控制目标实现的多个

一般缺陷的组合是否构成重大缺陷；针对同一细化控制目标所采取的

不同控制活动之间的相互作用；针对同一细化控制目标是否存在其他

补偿性控制活动。例如，有关控制漏洞为企业带来重大的损失或造成

企业财务报表重大的错报、漏报。又如，凭证连续编号可以保证所有

业务活动都得到记录和反映，如果凭证没有连续编号的话，为了避免

遗漏重大的业务事项，采用严格的凭证之间、账证之间、账账之间的

核对就是保证业务记录完整性的补偿性控制。

②重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重

大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程

度依然重大，需引起企业管理层关注。例如，有关缺陷造成的负面影

响在部分区域流传，为公司声誉带来损害。

③一般缺陷是指以上两种缺陷之外的缺陷。

（三）内部监督的方法

内部监督的方法有两种，包括日常监督和专项监督。内部控制体

系日常监督的有效性程度越高，对专项监督的需要程度就越低。管理

层为了合理确认内部控制体系的有效性所必须进行的个别评估的频率

取决于管理层的判断。通常情况下，日常监督和专项监督的合并使用

在某种程度上将会保证内部控制体系随着时间的变化而保持有效性。

1、日常监督

日常监督是指企业对建立和实施内部控制的整体情况所进行的连

续的、全面的、系统的、动杰的监督。日常监督是在及时的基础上执

行的，能对环境的改变做出动杰的反应，它存在于单位的日常管理活

动之中，能及时地发现问题。日常监督的范围和频率越大，其有效性

就越高，则企业所需的日常监督就越少。

日常监督活动的重要环节主要包括以下几方面。

(1)获得内部控制执行的证据。获得内部控制执行的证据是指企

业员工在实施日常生产经营生活时，取得必要的、相关的证据证明内

部控制系统发挥功能的程度。

(2)外部反映对内部信息的印证程度。即与外界各方的沟通能够

印证内部生成的信息或揭示问题。

(3)定期核对财务系统数据与实物资产。也就是说，将信息系统

所记录的数据与实物资产相比较，做到账实相符。

(4)内外部审计定期提供建议。审计人员评估内部控制的设计以

及测试其有效性，识别潜在的缺陷，并向管理层建议采取替代方案，

为决策提供有用的信息。

(5)管理层对内部控制执行的监督。管理层可以通过以下渠道进

行监督：审计委员会接收、保留及处理各种投诉及举报，并保证其保

密性；管理层通过培训、会议了解内部控制的执行情况；管理层认真

审核员工提出的各项合理建议，并不断完善建议机制。

(6)定期考核员工。内部监督部门和人力资源管理部门根据公司

管理层的授权定期要求企业员工明确说明他们是否理解并遵守员工行

为准则，是否遵守员工职业道德规范，并汇报控制活动的开展情况等。

(7)内部审计活动的有效性。适当的组织结构以及监督活动可促

进内部控制职能的执行，识别内部控制的缺陷。

2、专项监督

专项监督又称个别评估，是指企业对内部控制建立与实施的某一

方面或者某些方面的情况进行的不定期、有针对性的监督检查。专项

监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以

确定。一般来说，风险水平较高并且重要的控制，对其进行专项监督

的频率应较高。

通常，专项监督采用自我评估形式，即负责某一单位或职责的人,

员对受其控制的活动的有效性进行评价。

专项监督主要关注以下两个方面。

(1)高风险且重要的项目。审计部门依据持续监督的结果，对风

险较高且重要的项目要进行个别评估。考虑到成本效益原则，对风险

很高但不重要的项目或很重要但是风险很小的项目可以减少个别评估

的次数。应该将高风险且重要的项目作为专项监督对象。

(2)内部环境变化。当内控环境发生变化时，要进行专项监督，

以确定内部控制是否还能适应新的内控环境。

日常监督和专项监督应当有机结合。前者是后者的基础，后者是

前者的有效补充。日常监督的程度越高，其有效性也越高，则企业所

需的专项监督次数就越少。如果发现专项监督需要经常性地进行，企

业就有必要将其纳入日常监督中，进行日常持续的监控。通常情况下,

两种监督有效组合能确保企业内部控制在一定时期内保持有效性。

七、内部监督比较

内部控制制度的有效实施，依赖于有效的内部监督系统。内部监

督作为内部控制的基本要素之一，对于内部控制的有效运行，以及内

部控制的不断完善起着重要的作用。内部监督是对企业内部控制整体

运行情况的跟踪、监测和调节。内部监督是在尽可能不影响企业正常

经营管理活动的情况下，对内部控制实施情况进行评价，及时纠正企

业发生的错误和舞弊，将内部控制制度的缺陷和改进意见反馈给管理

者，对发现的内部控制缺陷及时予以弥补。

COSO的《企业内部控制整体框架》和《企业风险管理框架》中都

规定监督为其构成要素。COSO报告与我国《企业内部控制基本规范》

在内部监督的定义、内容与组织机构方面进行了比较。我国《企业内

部控制基本规范》指出内部监督是企业对内部控制建立与实施情况进

行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时

加以改进，内部监督的主要内容包括日常监督和专项监督、缺陷报告、

档案记录与验证，内部监督的主要进行机构为内部审计机构（或经授

权的其他监督机构）。

八、目标设定的含义

我国《内部控制基本规范》第二十条规定，企业应当根据设定的

控制目标，全面、系统、持续地收集相关信息，结合实际情况，及时

进行风险评估。

目标设定是风险识别、风险分析和风险应对的前提。在管理当局

识别和分析风险并采取行动来管理风险之前，首先必须有目标，确定

与目标相关的风险，目标设定是风险评估的前提。目标设定分为三个

层次，首先在企业既定的使命或愿景指导下，管理层制定企业的战略

目标；其次根据战略目标制定业务层面的目标，并在企业内层层分解

和落实；最后根据设定的目标合理确定企业整体风险承受能力和具体

业务层次上可接受的风险水平。

企业应当按照战略目标，设定相关的经营目标、财务报告目标、

合规性目标与资产安全目标，并根据设定的目标合理确定企业整体风

险承受能力和具体业务层次上的可接受的风险水平。

1、战略目标

战略目标反映了管理层就主体如何努力为其利益相关者创造价值

所做出的选择，是高层次的目标，与其使命相关联并支撑其使命。企

业在考虑实现战略目标的各种方案时，必须考虑与各种战略相伴的风

险及其影响。

战略目标方面的关注点主要包括：

(1)对企业绩效现状进行的评估

(2)对内部和外部环境的监测分析；

(3)战略目标体系

(4)战略选择遵循必要的流程，以及获得了充分的讨论；

(5)对目标实现与现有资源状况之间的匹配程度进行的评估；

(6)设定战略目标可接受程度；

(7)就战略目标与企业内部员工和外部相关利益集团之间的沟通。

2、经营目标

经营目标与企业经营的效率与效果有关，包括业绩和盈利目标的

实现，需要反映企业运营所处的特定经营、行业和经济环境。经营目

标来自公司的战略目标和战略计划，并与之紧密联系，是随着具体对

象和不同时段制订的，这些目标应针对每个重要业务活动并与其他业

务活动保持一致。

经营目标方面的关注点主要包括以下几点：

(1)经营目标与公司战略目标及战略计划一致；

(2)经营目标适应公司所处的特定经营环境、行业和经济环境等;

(3)各个业务活动目标之间保持一致；

(4)所有重要业务流程与业务活动目标相关；

(5)适当的资源及有效配置

(6)管理层制定的公司经营目标及其对目标的负责程度。

3、报告目标

报告目标与财务报告及其相关信息的真实完整有关。可靠的报告

能够为管理层提供适合其既定目标的准确而完整的信息，支持管理层

的决策，并对主体活动和业绩实施有效监控。

报告目标方面的关注点主要包括以下几点：

（1）管理层决策及对公司活动、业绩监控的准确、及时、完整的

信息的对内报告；

（2）满足投资者、监管部门及其他相关信息需求者真实、可靠、

完整的信息的对外报告；

（3）反映信息的全面性，包括财务信息与非财务信息。

4、资产安全目标

资产安全目标是内部控制的基本目标，包括：防止企业无效率经

营，损失资产；防止员工舞弊；防止公司资产被盗等。

资产的安全与完整对于我国企业尤其是国有企业具有非常重要的

现实意义，近年来国有资产流失的案件屡有发生，内部控制应该

把资产安全作为一个重要的目标来加以实现。

资产安全目标方面的关注点主要包括以下几点：

（1）关注企业日常经营活动的效率；

（2）提高企业的生产力和竞争力；

（3）防止资产缩水；

（4）关注资产使用及处置的授权情况。

5、合规目标

合规目标与企业各项活动的合法性有关。企业进行内部控制建设

必须符合相关的法律和法规。企业需要根据相关的法律法规制定最低

的行为标准并作为企业的遵循目标，企业的合规记录可能对它在社会

上的声誉产生极大的正面或负面影响。

合规目标方面的关注点主要包括：公司的各项活动符合法律法规

的要求，通常涉及知识产权、市场、价格、税收、环境、员工福利以

及国际贸易等。

九、内部控制目标的设定

(一)制订战略目标

企业的战略目标一般是稳定的，但与其相关的业务层面的目标具

有动杰性，会随着内部和外部的条件而调整。在企业风险管理目标的

设计过程中，首先要确定企业层面的目标，即战略目标。

战略目标需要通过董事会及员工的相互沟通后确定，同时还要有

支持其实现的资金预算及战略计划。战略目标的制订需要经过如下5

个阶段。

(1)明确企业发展目标。企业在长期规划中应明确自身的发展目

标和发展方向，通过培训、发放宣传手册、领导讲话等方式将企业层

面的目标清晰地传达给员工。

(2)制订实现目标的战略规划。企业通过SWOT分析，在了解自

身的优势、劣势、机会和威胁的基础上制订帮助企业实现目标的战略

规划。

(3)制订年度计划及资金预算。企业根据制订的中长期战略规划,

编制年度经营计划。该年度经营计划应符合企业中长期战略规划的效

益目标、投资方向和投资结构。

(4)企业编制年度预算。企业应按照上下结合、分级编制、逐级

汇总的原则编制全面预算，将战略目标进一步分解、细化与落实。

(5)企业编制《企业预算管理办法》，明确编制预算的基本原贝k

内容、编制依据等。

(二)确定业务层面目标

业务层面目标包括合规目标、资产目标、报告目标和经营目标它

来自企业战略目标及战略规划，并制约或促进企业战略目标的实现。

业务层面的目标应具体并具有可衡量性，并且与重要业务流程密切相

关。业务层面目标的制订需要经过如下四个阶段。

(1)设定业务层面目标。企业的总目标及战略目标规划为业务层

面目标的设定指明了方向，业务层面根据自身的实际情况及总体目标

的要求提出本单位的目标，通过上下不断沟通最终确定。

(2)根据企业的发展变化，定期更新业务活动的目标。

(3)配置资源以保证业务层面目标的顺利实现。企业在确定各业

务单位的目标之后，将人、财、物等资源合理分配下去，以保证各业

务单位有实现其目标的资源。

(4)分解业务目标并下达。企业确定业务层面的目标后，再将其

分解至各具体的业务活动中，明确相应岗位的目标。

(三)合理确定风险承受能力

为了合理地确定风险承受能力，在目标设定阶段，企业必须解决

以下3个基本问题。

(1)风险偏好。风险偏好是指企业在实现其目标的过程中愿意接

受的风险程度。可以采用定性和定量两种方法对风险偏好加以度量。

风险偏好与企业的战略直接相关，在战略制定阶段，企业应进行风险

管理，考虑将该战略的既定收益与企业的风险偏好结合起来，目的是

帮助企业的管理者在不同的战略之间选择与企业的风险偏好相一致的

战略。

(2)风险容忍度。风险容忍度是指在企业目标实现的过程中对差

异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现

过程中所出现的差异的可容忍限度。企业风险管理(2016)将风险容

忍度确定为可接受的绩效变动区间，该定义更加明确和可度量，有助

于组织在给定绩效目标下量化可以承受的风险边界。

(3)风险组合观。风险管理要求企业管理者以风险组合的观点看

待风险，对相关的风险进行识别并采取措施，以使企业所承受的风险

在风险偏好的范围内。对企业内每个单位而言，其风险可能落在该单

位的风险容忍度范围内，但从企业总体来看，总风险可以超过企业总

体的风险偏好范围。因此，应以企业总体的风险组合的观点看待风险。

十、风险分析的定义和目的

我国《企业内部控制基本规范》第二十四条规定：企业应当采用

定性定量相结合的方法，按照风险发生的可能性及影响程度等，对识

别的风险进行分析和排序，确定关注重点和优先控制的风险。

企业进行风险分析应当充分吸收专业人员，组成风险分析团队，

按照严格规范的程序开展工作，确保风险分析结果的准确性。

风险分析是在风险识别的基础上对风险发生的可能性、影响程度

等进行描述、分析、判断，并确定风险重要性水平的过程。管理层根

据被识别的风险的重要性来计划如何应对风险。风险分析应达到以下

目的：

(1)对各个风险进行比较，根据分析风险的不确定性和后果，确

定风险的先后顺序；

(2)确定风险事件之间的关系，表面上看起来不相干的多个风险

事件可能是由一个共同的风险源所造成的，因此应当理顺风险事件之

间的关系；

（3）进一步量化已识别风险的发生概率和后果，减少风险发生概

率和后果估计的不确定性，必要时根据形势的变化重新评估风险发生

的概率和可能的后果。

十一、风险分析的方法

风险分析的方法一般包括定量分析方法和定性分析方法。但当前

最常用的分析方法一般都是定量和定性的混合方法，对一些可以明确

赋予数值的要素直接赋予数值，对难于赋值的要素使用定性方法，这

样不仅可以清晰地分析企业资产的风险情况，而且也极大地简化了分

析的过程，加快了风险分析的进度。

（一）定量分析法

定量分析法就是对风险的程度用直观的数据表示出来，其主要思

路是对构成风险的各个要素和潜在损失的程度赋予数值或货币金额这

样风险分析的整个过程和结果都可以被量化了。在度量风险的所有要

素（资产价值、脆弱性级别等）中，风险分析人员计算资产暴露程度,

计算控制成本以及确定所有其他值时，应尽量具有相同的客观性。风

险大小的判断可以根据风险暴露的大小乘以风险发生的概率加以确定。

目前比较常用的定量分析方法有：MPY（年度可能最大损失）值估

计法、情景分析法、VAR（风险价值）法、敏感性分析等。

1、MPY值估计法

MPY值估计法是评估一般危害性风险的方法，是指在某一特定年度

中，单一风险单位或多个风险单位遭受一种或多种事故所致的最大总

损失。年度最大可信总损失与年度预期总损失不同，年度预期损失是

平均损失，而年度可信总损失与风险管理人员的主观判断有关。

2、情景分析法

情景分析法是通过假设、预测、模拟等手段生成未来情景，并分

析其对目标产生影响的一种分析方法。该方法根据发展趋势的多样性,

通过对系统内外相关问题的系统分析，设计出多种可能的未来前景，

然后用类似于撰写电影剧本的手法，对系统发展杰势做出详细的情景

和画面的描述。当一个项目持续的时间较长时，往往要考虑各种技术、

经济和社会因素的影响，可用情景分析法来预测和识别其关键风险因

素及其影响程度。情景分析法对以下情况特别有用：提醒决策者注意

某种措施或政策可能引起的风险或危机性的后果；建议需要进行监视

的风险范围；研究某些关键性因素对未来过程的影响；提醒人们注意

某种技术的发展会给人们带来哪些风险。

3、VAR法

VAR法即风险价值法，是指在正常的市场条件和给定的置信度内，

某种投资组合在既定时期内所面临的市场风险大小和可能遭受的潜在

最大价值损失。VAR把对预期的未来损失的大小和该损失发生的可能性

结合起来，不仅让投资者知道发生损失的规模，而且知道其发生的可

能性，是一种数量化市场风险的重要度量工具。

VAR法利用统计技术来度量投资风险，对某个有价证券，在市场条

件下，对给定的时间区间的置信水平a,VAR给出了该有价证券最大可

能的预期损失，即可以保证损失不会超过VAR的概率为1—a。

计算VAR常用的方法主要有3种。

（1）历史模拟法。该方法是借助于计算过去一段时间内的资产组

合风险收益的频度分布，通过找到历史上一段时间内的平均收益以及

在既定置信水平a下的最低收益率，计算资产组合的VAR值。

（2）方差一协方差法。该方法的基本思路为：首先，利用历史数

据计算资产组合的收益的方差、标准差、协方差；其次，假定资产组

合收益是正杰分布，可求出在一定置信水平下，反映了分布偏离均值

程度的临界值；最后，建立与风险损失的联系，推导VAR值。

（3）蒙特卡罗模拟法。它是基于历史数据和既定分布假定的参数

特征，借助随机产生的方法模拟出大量的资产组合收益的数值，再计

算VAR值。

4、敏感分析法

敏感分析法是指通过对项目各种不确定因素在未来发生变化时对

经济效果指标影响程度的比较，找出敏感因素，提出相应对策。它是

在项目评价的不确定分析中被广泛运用的主要方法之一。在项目计算

期内可能发生变化的因素主要有建设投资、产品产量、产品售价、主

要原材料供应及价格、劳动力价格、建设工期及外汇汇率等。敏感性

分析就是要分析预测这些因素单独变化或多因素变化时对项目内部收

益率、静杰投资回收期和借款偿还期等的影响。这些影响应是用数字、

图表或曲线的形式进行描述，使决策者了解不确定因素对项目评价的

影响程度，确定不确定性因素变化的临界值，以便采取防范措施，从

而提高决策的准确性和可靠性。

各因素的变化都会引起效益指标的一定变化，但其影响程度却各

不相同。有些因素小幅度变化，就能引起经济评价指标发生较大幅度

的波动；而另一类因素即使发生了较大幅度的变化，对经济效益指标

的影响也不是很大。一般把前一类因素称为敏感性因素，后一类称为

非敏感性因素。敏感性分析的目的就是要筛选敏感性因素和非敏感性

因素。

敏感性分析的步骤如下。

(1)确定敏感性分析指标。投资项目经济评价有一整套指标体系,

在进行敏感性分析时，应选择最能反映项目经济效益的一个或几个主

要指标进行分析。最基本的分析指标是内部收益率，根据项目的实际

情况也可选择净现值或投资回收期等指标，必要时可同时针对两个或

两个以上的指标进行敏感性分析。

(2)选择敏感性分析的不确定因素。影响项目经济效益指标的因

素很多，如产品产量、价格、经营成本、投资额、建设期和生产期等。

在实际的敏感性分析中，没有必要也不可能对所有因素进行分析。根

据项目特点，结合经验判断选择对项目影响效益较大且重要的不确定

因素进行分析。经验表明，应主要对销售收入、产品价格、产量、经

营成本、建设投资等不确定因素进行敏感性分析。

(3)确定不确定因素的变化范围。在选择不确定因素分析基础上,

还要进一步分析不确定因素的可能变动范围。一般选择不确定因素变

化的百分率为+5%、+10%、土15%、土20%等，对于不便用百分数表示

的因素，可采用延长一段时间表示，如延长一年。

(4)计算敏感性分析指标。为较准确反映项目评价指标对不确定

因素的敏感程度，分析不确定因素的变化使项目由可行变为不可行的

临界数值，应计算敏感度系数和临界点指标。

①敏感度系数。敏感度系数指项目评价指标变化的百分率与不确

定因素变化的百分率之比。敏感度系数高，表示项目效益对该不确定

因素敏感程度高。

②临界点。临界点是指不确定性因素的变化使项目由可行变为不

可行的临界数值，可采用不确定性因素相对基本方案的变化率或相对

应的具体数值表示。当该不确定性因素为费用科目时，即为其增加的

百分率，当其为效益科目时为降低的百分率。临界点也可用该百分率

对应的具体数值表示。当不确定因素的变化超过了临界点所表示的不

确定因素的极限变化时，项目将由可行变为不可行。

临界点的高低与计算临界点指标的初始值有关。若选取基准收益

率为计算临界点的指标，对于同一个项目，随着设定基准收益率的提

高，临界点就会变低；而在一定的基准收益率下，临界点越低，说明

该因素对项目评价指标影响越大，项目对该因素就越敏感。

从根本上说，临界点计算是使用插值法，也可以借助于计算机的

相关软件，由于项目评价指标的变化与不确定因素变化之间不是直线

关系，当通过直线图求解时也会存在一定的误差。

（二）定性分析法

定性分析法与定量分析法的区别在于不需要对资产及各相关要素

的分配确定数值，而是赋予一个相对值。在风险管理过程中，风险分

析是最困难的。风险经理往往陷入两难的境地，即为了追求准确，就

必须应用复杂的概率计算方法和采用精度较高的模型，但是限于资料

的稀缺和时间的紧迫，这种方法或模型就被迫放弃。大多数的风险经

理宁愿放弃准确度的较高要求而采用定性的预测方法，即将风险的概

率估计予以主观量化。据统计，75%的项目经理采用的风险分析方法是

专家调查打分法。例如，通过问卷、面谈及研讨会的形式进行数据收

集和风险分析，这个方法涉及各业务部门的人员，这个过程带有一定

的主观性，往往需要凭借专业咨询人员的经验和直觉，或者业界的标

准和惯例，因此，为风险各相关要素（资产价值、威胁、脆弱性等）

的大小或高低程度定等级时，可以运用定性分析方法将风险分为高、

中、低三个等级。通过这样的方法，对风险的各个分析要素赋值后，

可以定性地区分这些风险的严重等级，避免了复杂的赋值过程简单且

又易于操作。定性分析法的步骤一般如下。

第一步，确定风险因素（或称威胁）发生的可能性。假定把威胁

的可能性定为五级。

第二步，通过风险分析对风险确定等级。风险等级一般可以分为

高、中、低三个等级，也可以分为四级或者五级。

第三步，根据上面两张表编制风险矩阵表。

企业管理层肯定不能接受H,对M要根据具体情况考虑是否应采取

相应的对策来减少这种风险，对L应当能接受，但需要加强对风险的

控制，不使其损失面扩大。

定性分析的操作方法可以多种多样，包括小组讨论（例如Delphi

方法）、检查列表、问卷、人员访谈、调查等。定性分析操作起来相

对容易，但也可能因为操作者经验和直觉的偏差而使分析结果失准。

十二、内部控制的重要性

内部控制作为现代组织管理框架的重要组成部分，是一个组织持

续发展的机制和重要保证。现代组织理论和管理实践表明，组织的一

切管理工作，都要从建立与健全内部控制制度开始；组织的一切活动,

都无法游离于内部控制之外。“得控则强，失控则弱，无控则乱”，

内部控制的重要性主要体现在以下4个方面。

（一）内部控制是实现企业发展战略的基础

企业的发展不能是为现在而发展，而应该是为未来而发展，必须

要有一个长期的目标。企业的发展战略是企业对全局的一种总体设想,

是从宏观的角度对企业的未来的一种较为理想的设定。它所提出的是

企业整体发展的总任务和总要求，它所规定的是整体发展的根本方向。

因此，人们所提出的企业发展战略总是高度概括的，而且着眼于未来

和长远。一般认为，要实现企业长远的发展战略就要有健全有效的内

部控制作为支撑。实践证明，在我国经济快速发展的背景下，只有建

立和实施科学的内控体系，才能提升风险防范能力，实现企业可持续

发展战略。在西方，内部控制提出得较早，相关的法律法规也对此有

了明确的要求。而在我国，具有强制性要求的内部控制基本规范形成

较晚，许多企业并没有自发地认识到建设与执行内部控制的重要性，

因此，在与国外企业交往的过程中，常常由于这方面的欠缺而遭到不

公正的待遇。企业应该意识到，内部控制及其评价制度不只是为了满

足外部强制要求，而应该最终成为一种自发的行动。建设和完善内部

控制体系是我国企业融入国际社会和健康、可持续发展的必由之路。

（二）内部控制是提高企业经营管理效率的保证

内部控制产生于组织管理的需要，存在于组织经营管理活动之中,

是组织内部管理的重要组成部分，这就决定了内部控制的主体是组织

的管理部门和具体执行各项控制措施的人员，企业内部控制划分为内

部管理控制与内部会计控制两大类。内部管理控制制度是指那些对会

计业务、记录和报表的可靠性没有直接影响的内部控制。内部会计控

制是指那些对会计业务、记录和报表的可靠性有直接影响的内部控制,

通过这种控制的建立，能维护财产物资的安全、完整，保证会计信息

的真实、可靠，保证经营管理活动的经济性、效率性和效果性，保证

各项法律和规范的遵守。内部控制贯穿于企业经营管理活动的各个方

面，只要企业存在经济活动和经营管理，就需要建立、健全企业的内

部控制并加强内部控制。

（三）内部控制是提高企业信息质量的保证

众所周知，在信息化时代，信息足以决定一个企业的兴衰存亡。

首先，高质量的报告信息将为管理当局提供准确而完整的信息，用以

支持管理当局的决策和对主体活动及业绩的监控。同时，高质量的对

外报告和披露有助于企业的外部投资者、债权人等利益相关者以及监

管当局做出正确的决策。有效的内部控制系统通过职务分离、岗位轮

换、内部审计等控制方法及手段对企业信息的记录和报告过程进行全

面持续的监控，及时发现和纠正各种错误与舞弊，保证企业信息能够

真实完整地反映企业经营活动的实际情况。反思我国近年来的一系列

财务舞弊案件，如红光实业、银广夏、蓝田股份等，其组织的内部控

制失效负有不可推卸的责任。国内外证券市场的财务丑闻，使得广大

投资者蒙上厚重的心理阴影，要求规范上市公司财务报告的呼声越来

越高。有效的内部控制，对于重塑投资者的信心，维护资本市场的公

平和透明，进而保护投资者利益与国家经济安全意义重大。

（四）内部控制是加强企业制度管理的根本

现代企业制度是指以市场经济为基础，以完善的企业法人制度为

主体，以有限责任制度为核心，以公司企业为主要形式，以产权明晰、

权责明确、政企分开、管理科学为条件的新型企业制度。企业是一系

列”契约的联结”，由于委托人不能直接观测到代理人选择了什么行

动，委托人和代理人之间存在信息不对称，具有机会主义倾向的管理

当局会利用自己的信息优势，发生偷懒、不当消费等行为，以牺牲委

托人的利益为代价，使自己的利益最大化。因此，企业所有者需要监

督代理人，防止代理关系下的信息不对称，降低代理成本，实现公司

治理目标，从而有助于最大限度地满足企业所有者的权益。同时，通

过不相容职务分离控制、授权审批控制、会计系统控制、资产安全控

制、绩效考评控制等手段形成各司其职、各负其责、相互制约的工作

机制，逐渐推动企业管理水平与会计信息质量的提升，提升经营的效

率和效果。

十三、内部控制的局限性

依据唯物辩证法的观点，任何事物都不可能尽善尽美，内部控制

也有其两面性：一方面它对企业预期目标具有控制作用：另一方面也

有他的不足和缺陷，存在固有的局限性。一般而言，内部控制的局限

性表现在以下几个方面。

1、成本限制

内部控制受到成本与效益原则的限制，内部控制系统所需求的保

证水平有必要根据其成本而定。一般来说，控制程序的成本不能超过

风险或错误可能造成的损失和浪费。否则，再好的控制措施和方法也

将失去意义。

由于存在资源稀缺问题，企业必须考虑建立控制的相应成本。般

而言，用于衡量控制成本与收益的标准不同。控制成本量化较为容易,

控制效益量化则相当复杂，难免包括主观的评估。在评估潜在收益时

可以考虑以下特定因素：不理想情形发生的可能性、各项活动的特性、

时间价值有可能对实体造成的潜在财务或经营影响。

此外，成本效益决策的复杂性还在于当控制与管理或运营过程相

结合，或“纳入”管理或营运过程时，很难区分哪些是控制的成本与

效益，哪些是管理或营运的成本与效益。同样，若干项控制措施组合

在一起，在很多时候，可用以防范或减轻某一特定的风险，但对具体

单项的控制成本与效益则很难估计。另外，控制成本与效益的估计，

也会因单位或业务性质的不同而有所侧重。高风险活动明确要求进行

成本收益分析，而低风险活动则可以省略。

2、人为失误

内部控制的设计会受到设计人员经验和知识水平的限制，因而可

能存在缺陷。同时，执行人员的粗心大意、精力分散、判断失误以及

对指令的误解等，也可能使内部控制系统失控或陷于雍疾。例如，经

营决策必须在规定的时间内，根据所掌握的信息，在经营行为的压力

之下通过人为判断来做出。根据事后的剖析，有些基于人为判断的决

策，并不能产生预期的效果，而且可能需要做出改变。

3、串通舞弊

两人或多人的合谋活动可能导致内部控制的失效。从事犯罪或者

试图隐瞒某项行为的个人，通常会设法改变财务数据或其他管理信息,

使其不能为内部控制系统所识别。例如，执行一项重要控制职能的员

工可能会与客户、供应商或其他员工串通。不同级别的销售人员或部

门经理有可能合谋绕过控制，以使所报告的成果达到预算或激励目标。

因此，在实际工作中，如果处于不相容职务上的相关人员相互串通、

相互勾结，失去了不相容职务之间相互制约的基本前提，内部控制也

就很难发挥作用。

4、滥用职权

各种控制程序是管理工具，但任何控制程序都不能发现和防止那

些负责执行监督控制的管理人员滥用职权或不当用权。管理权的干预

直是导致许多重大舞弊发生和财务报告失真的一个重要原因。在某些

情况下，对于担任控制职能的人员越权管理、滥用职权，即使具有良

好设计的内部控制，也不能发挥其应有的作用。内部控制作为企业管

理的组成部分，理所当然地要按照管理人员的意图运行，尤其是对企

业负责人的决策更具有决定性的作用。决策出了问题，贯彻决策人意

图的内部控制也就失去了其应有的控制作用。

5、制度失效

内部控制制度是针对制度制定时的经济业务设计的，内部控制可

能会因经营环境、业务性质的改变而削弱或失效，可能会对不正常的

或未预料到的业务类型失去控制能力。企业处于经常变化的环境之中,

为保持竞争力，势必要经常调整经营策略，这就会导致原有的控制制

度对新增的业务内容失去控制作用的情况发生。

6、例外事件

内部控制主要是围绕着企业正常的生产经营活动，针对经常性的

业务和事项进行的控制。但在现实企业中，由于复杂多变的外部环境

使得企业常常会面对一些意外和偶发事件，而这些业务或事项由于其

特殊性和非经常性，没有现成的规章制度可循，造成了内部控制的盲

点。也就是说，内部控制的一个重大缺陷在于它不能应对例外事件。

企业在处理这些事项时，往往更多地凭借管理层的知识和经验以及对

环境变化的感知度，这就是所谓的“例外管理原则”。

十四、内部牵制

内部牵制的概念最早在1905年由特克西提出。他认为内部牵制由

3部分组成：职责分工、会计记录、人员轮换。这3部分内容在现代内

部控制中都有所体现。《柯勒会计词典》中对内部牵制曾做出最全面

的解释，它认为“内部牵制是指以提供有效的组织和经营，并防止错

误和其他非法业务发生的业务流程设计。其主要特点是以任何个人，

或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的

责任分工，每项业务通过正常发挥其他个人或部门的功能进行交叉检

查或交叉控制。设计有效的内部牵制得以使每项业务能完整、正确地

经过规定的处理程序，而在这规定的处理程序中，内部牵制机制永远

是一个不可缺少的组成部分”。由此可见，内部牵制是以查错防弊为

目的，以职务分离、账目核对为手段，以钱、账、物等为主要控制对

象。

内部牵制按照实现机制的不同，可分为分离式牵制和合作式牵制

两类。

（一）分离式牵制

内部牵制制度的建立主要是基于两个设想，一是两个人或两个以

上的人或部门无意识地犯同样错误的机会是很小的：二是两个或两个

以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部

门舞弊的可能性。按照这样的设想，通过内部牵制机制，实现上下牵

制，左右制约，相互监督，因而具有查错防弊这个主要功能。所谓的

上下牵制是指，从纵向看，每项经济业务的处理，至少要经过上下级

有关人员之手，使下级受上级监督，上级受下级制约，促使上下级均

能忠于职守，不可疏忽大意。所谓左右制约是指，从横向看，每项经

济业务的处理，至少要经过彼此不相隶属的两个部门的处理，使每一

部门工作或记录受另一部门的牵制，不相隶属的不同部门均有完整的

记录，使之互相制约，自动检查，防止或减少错误和弊端；同时，通

过交叉核对也能及时发现错误和弊病。

分离式牵制即不相容职务相分离，所谓不相容职务是指那些如果

由一个人或一个部门担任既可能发生错误和舞弊行为，又可能掩盖其

错误和舞弊行为的职务。不相容职务主要有授权批准、业务经办、会

计记录、财产保管和稽核检查等职务，包括岗位的不相容、部门的不

相容以及流程的不相容。不相容职务分离主要是指授权审批与业务经

办、业务经办与会计记录、会计记录与财产保管、业务经办与稽核检

查、授权批准与监督检查等不能由一个人或一个部门进行。

由此可见，内部牵制主要是以不相容职务分离为主要流程设计的,

是内部控制的最初形式和基本形杰。其目的是为了保证财产物资的安

全和完整，防止贪污、舞弊。实践证明，该设想是合理的，内部牵制

确实起到了防范错弊的作用。

（二）合作式牵制

现代内部牵制思想还包括合作式牵制。合作式牵制是指，通过合

作达到相互制约、相互监督的作用。例如，会审机制，企业面对重大

决策、重大业务事项、重要的人事任免以及大额资金支付时，需要领

导层集体决策、集体联签，以防止个人决策的失误：又如合同会签制

度，即合同在生效前不仅需要主管部门签字盖章还需要其他协作部门

共同参与，会审、会签人员共同参与、共担责任，以及降低决策、合

同的风险。另外，企业内部各部门之间在业务上的协助也属于合作式

牵制。例如，2012年财政部颁布要求在2014年1月1日试行的《行政

事业单位内部控制规范》中规定，重大事项需集体决策和会签。

十五、内部控制

20世纪初期建立起来的内部牵制制度虽然对企业管理起到很大的

作用，但随着经济的不断发展、企业规模的扩大以及对企业管理要求

的逐步提高，它的不完善之处也逐渐暴露出来。尤其是20世纪30

年代全球性经济危机暴露出的会计失真、经济秩序混乱等问题，引起

各国政府和企业的高度重视和深刻反思。

（一）国外对内控概念的界定

明确的内控概念的提出约有70年的历史，其每次突破性发展都是

由欧美引发实施的，具体的定义归纳如下。

1949年定义：基于保护企业资产、检查会计数据的准确性和可靠

性、提高运营效率、促进管理政策的贯彻和实施而在企业内部采取的

各种方法和措施。

1958年定义：内部控制分为内部会计控制和内部管理控制。前者

是关于保护企业资产、检查会计数据的准确性和可靠性的控制；后者

是关于提高运营效率、促进管理政策的贯彻和实施的控制。

1973年的定义：内部管理控制制度包括但不限于组织机构的计划

以及与管理部门进行批准决策有关的程序与记录。会计控制制度包括

组织机构设计以及与财产保护和财务会计记录可信性直接相关的各种

措施。

1988年的定义：企业内部控制结构包括为合理保证企业特定目标

而建立的各种政策和程序。内部控制结构3要素为：控制环境、会计

系统、控制程序。

1992年的定义：为实现经营效率和效果、财务报告可信性以及相

关法令的遵循等目标而提供合理保证的过程。内部控制的实施者为企

业董事会、经理层及其他员工。

从各阶段内部控制的定义可以看出内部控制发展、演进和完善的

过程，对我国内部控制概念的界定具有很好的借鉴作用。

（二）我国对内部控制概念的界定

对比国外发展，我国的内控规范发展独具特色：内控规范建设是

由政府各部门以“准法规”形式发布实施的，权威性强，执行快速有

力；我国真正意义上的内控规范是从其核心的内部会计控制即会计监

管上入手，而不是由内控框架起步的。

2008年6月28日五部委颁布的《企业内部控制基本规范》,将内

部控制定义为：是由企业董事会、监事会、经理层和全体员工实施的、

旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理

合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率

和效果，促进企业实现发展战略。在理解此概念中，需要特别注意以

下几点。

(1)内部控制的概念不再拘泥于传统意义上的概念，而是结合我

国的基本实情，形式上借鉴C0S0内部控制整体框架的五要素框架，同

时在内容上体现企业风险管理框架的先进理念，构建了以内部环境为

重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息

与沟通为重要条件、以内部监督为重要保证的五要素框架。

(2)内部控制的实施者结构为“董事会、监事会、经理层和全体

员工”，体现全员特征。内部控制是一个受“人”影响的过程，它是

由组织内部的每一层级人员共同执行，需要全体员工的共同参与。它

要求企业内部的每个员工均明确自己的责任和权力，以便更好地履行

其职责，提高内部控制的执行力度。

（3）内部控制是一个“过程”而非结果，不是单一制度、机械的

规定，而是一个发现问题、解决问题，并且贯彻于企业管理始终的动

杰过程。该定义没有用“合理保证”这个词，并非说明内部控制是目

标的完全保证，“过程”已体现了合理保证的核心思想，控制目标一

定能实现，只是需要一个过程。而“合理保证”的内涵在内部控制五

大要素之中，特别是在控制活动中得到体现。

十六、企业内部控制规范的基本内容

我国企业内部控制规范的基本框架，可以概括为五大目标、五大

原则和五大要素。

（一）内部控制的目标

内部控制是围绕目标展开的，因此明确目标至关重要。内部控制

的目标，应是整个控制系统的出发点，决定了系统运行的方式和方向。

《企业内部控制基本规范》中对内部控制提出了合法合规、资产安全、

财务报告及相关信息真实完整、提高经营效率和效果以及促进企业实

现发展战略的五大目标，简称为合规目标、资产安全目标、报告目标、

经营目标和战略目标。内部控制五大目标是一个完整的目标体系，由

于各大目标在控制体系中的层级不同，其在整个目标体系中的地位和

作用也有所差异。

1、合规目标

合规目标要求企业或其他组织完全遵循国家的法律法规和监管要

求，是企业成功运营的必要保证，与企业活动的合法性相关。企业生

存于社会这个大环境下，必须遵守社会的基本规范，包括法律规范和

道德规范，必须在社会允许的范围内展开各项活动，即“小制度不能

大于大法”。因此，遵守法规、制度是企业一切活动的前提，也是首

先要保证完成的目标。国家有关法律、制度的落实必将依靠内部控制

的有效执行加以保证。一个违反国家法律法规、丧失道德底线的企业,

必然会将自身置于高风险的环境中，从而对自身的生存和发展造成巨

大的威胁，后果可想而知。

合规目标方面的关注点主要包括：公司的各项活动符合法律法规

确定的要求，通常涉及知识产权、市场、价格、税收、环境、员工福

利以及国际贸易等。

2、资产安全目标

虽然在COSO框架中没有将保护资产安全作为一个主要目标，而是

作为主要目标中的一个子目标，但是我国的《企业内部控制基本规范》

中重新将其作为内部控制目标的一个部分，这是基于我国的国情和现

状做出的必然选择，是有一定用意的。我国普遍存在产权多元化现象,

而且国有资产流失现象极其严重，保护资产安全和完整对资产所有者

来说具有特别重大的意义。资产安全与否实际上是内部控制的一个过

程控制结果，是实现其他目标的物质前提。因此，该目标要求内部控

制能够保护主体所有资产的安全和完整。

资产安全目标方面的关注点主要包括：关注企业日常经营活动的

效率，提高企业的生产力和竞争力，防止资产缩水，关注资产使用及

处置的授权情况。

3、报告目标

报告目标指内部控制应合理保证企业提供了真实、可靠的财务报

告及其他信息。报告目标有助于组织向投资者、债权人等利益相关者

以及内部管理层提供真实、可靠、完整的信息，具体包括内部和外部、

财务与非财务信息，它是内部控制目标体系的基础目标。企业报告包

括内部报告和外部报告，报告目标的提出更多地满足了企业外部的需

求。对于外部使用者来说，真实、可靠和完整的财务报告能够公允地

反映企业的财务状况和经营成果，从而有利于信息使用者做出决策。

当然，非财务信息的重要性也是不言而喻的。

可靠的报告既为管理层提供了适合其既定目的的准确和完整的信

息，也是外部监管的要求。报告目标方面的关注点主要包括以下几个

部分。

(1)管理层决策及对公司活动、业绩监控的准确、及时、完整的

信息的对内报告;

(2)用于满足投资者、监管部门及其他相关信息需求者的真实、

可靠、完整信息的对外报告；

(3)信息的全面性，而不仅仅是财务信息。

4、经营目标

经营目标旨在有效和高效地使用企业有限的资源，提高经营的效

率和效果，实现良好的运营。经营目标是企业实现其战略目标的核心

和关键所在，战略目标与企业的使命相关联，战略目标只有通过分解

和细化成经营目标才能得以落实。因此，没有经营目标，战略目标再

好也无任何意义。

经营目标需要反映特定企业自身及所处特定经济环境的特点，全

面考虑产品质量的竞争压力、产品的生产周期和与技术变化相关的其

他因素。一般来说，经营目标引导企业的资源流向，经营目标不成熟

或不明确，会造成企业资源的浪费。通常情况下，良好的内部控制能

够提高企业的经营效率和效果，提高单位时间产量，优化产品质量，

从而提高企业的核心竞争力。管理层必须确保经营目标反映现实的市

场需求，并且有明确的绩效衡量指标。

经营目标方面的关注点主要包括以下几点。

(1)经营目标与公司战略目标及战略计划一致；

(2)经营目标适应公司所处的特定经营环境、行业和经济环境等

(3)各个业务活动目标之间保持一致；

(4)所有重要业务流程与业务活动目标相关；

(5)适当的资源及有效配置；

(6)管理层制定的公司经营目标及他们对目标的负责程度。

5、战略目标

战略目标是基于组织整体视角的最高层次目标，其他目标都应与

战略目标协调一致并服务于战略目标。战略目标与企业的目标紧密相

关，并且是支持企业目标实现的基础。管理者为实现企业价值最大化

这一根本目标，针对内外部环境，评估与目标实现相关的风险，根据

风险偏好，做出一系列的反应和选择。一个企业为实现其战略目标，

首要的任务是在分析内外部环境的基础上制订战略，明确战略目标；

其次，对风险进行识别和评估，并在制订相应风险应对措施的基础上

形成战略规划；最后，将战略目标逐步分解成若干子目标，再将子目

标层层分解至各个业务部门、行政部门和各生产过程。上述过程为企

业实现其战略目标提供了合理保证。

战略目标反映了管理层就主体如何努力为其利益相关者创造价值

所做出的选择，是最高层次的目标，与其使命相关并支撑其使命。战

略是实现企业目标的全面性、方向性的行动计划。企业在考虑实现战

略目标的各种方案时，必须考虑与各种战略相伴的风险及其影响，对

于同样的战略目标可以选择不同的战略加以实现，而不同的战略则具

有不同的风险。因此，企业在战略选择之前，有必要对当前的经营状

况进行评估，分析内、外部环境因素，明确公司在行业中所处的位置

及面临的机遇和挑战，不断审视当前的目标与使命。

战略目标方面的关注点主要包括以下几点。

(1)管理层对企业绩效现状进行的评估，是前期战略进行监控的

基础，也是企业新战略制订的基础

(2)对内部和外部环境的监测分析；

(3)战略目标体系；

(4)战略选择遵循了必要的流程，并获得了充分地讨论；

(5)企业对目标实现与现有资源状况之间的匹配程度进行的评估;

(6)设定战略目标可接受程度；

(7)就战略目标与企业内部员工和外部相关利益集团之间进行沟

通。

(二)内部控制的原则

企业建立内部控制应遵循一定的原则，没有正确的原则指导，内

部控制的设计就难免存在先天性不足的问题，其执行效率难免大打折

扣。内部控制的基本原则是建立和实施各种内部控制应遵循的具有普

遍性和指导性的法则和原则，它所要解决的问题是，为了实现内部控

制的目标，基于内部控制的基本假设，根据内部控制的理论基础，应

当如何科学地设计和执行内部控制的问题。《企业内部控制基本规范》

明确指出，企业建立与实施内部控制，应当遵循全面性、重要性、制

衡性、适应性、成本效益五大原则。这五个原则形成一个整体，设计

企业的内部控制应做到统筹兼顾，不可偏废。

1、全面性原则

全面性原则是指内部控制应该贯穿决策、执行和监督全过程，覆

盖企业及其所属单位的各种业务和事项。全面性原则要求内部控制覆

盖全部业务活动和每项业务活动的全过程，在层次上应当涵盖企业董

事会、管理层和全体员工；在对象上应当覆盖企业各项业务和管理活

动；在流程上应当渗透到决策、执行、监督、反馈等各个环节，避免

内部控制出现空白和漏洞。

具体而言，全面性原则，首先要求企业进行全过程控制，即对整

个经营管理活动过程进行全面、全方位、全时段的控制，其中包括企

业管理部门用以授权与指导、进行购货、生产等经营管理活动的各种

方式方法，以及核算、审核、分析各种信息及进行报告的程序与步骤

等。其次，内部控制对全体员工都有约束力，企业应当进行全员控制。

企业的每一位成员既是内控的主体，又是内控的客体，内部控制制度

应保证每一位员工包括高层管理人员到基层执行操作人员都受到相应

的控制。