内部控制自我评估操作流程分享

ControlSelfAssessment内部控制自我评估操作流程分享ControlSelfAssessment(CSA)方法与实践指南Contents目录CSA控制自我评估体系的完整方法论框架与实施指南01CSA概述与背景02CSA三大基本方法03内控有效性评估步骤04现场测试与证据收集05缺陷认定与整改06CSA实施注意事项Chapter01CSA概述与背景概念定义、发展历程与核心价值InternalControlCSA的定义与基本特征控制自我评估（ControlSelfAssessment，简称CSA）是指企业内部为实现目标、控制风险而对内部控制系统的有效性和恰当性实施自我评估的方法。AliasesCSA的别名管理自我评估控制和风险自我评估经营活动自我评估控制/风险自我评估KeyFeaturesCSA的三大基本特征01关注业务的过程和控制的成效将评估焦点放在业务流程的实际运行与内控效果上02由管理部门和职员共同进行打破管理层单方面审计的模式，实现全员参与评估03用结构化的方法开展自我评估采用系统化、标准化的框架确保评估的一致性与可比性Timeline·OriginsCSA的产生背景1978美国《反海外腐败法》生效，提出保持有效内部控制的强制性要求1980s连续的公司治理失败事件，COSO委员会指出"控制环境"的重要性1987加拿大海湾公司因法庭判决和传统审计局限，首创CSA方法1992COSO报告公布，CSA在全球得到广泛应用促成CSA产生的两大环境因素：法庭判决要求报告内部控制；传统审计程序在解决复杂业务问题时遇到困难。ControlSelf-AssessmentCSA的核心价值软控制评价有效评价企业文化、员工道德意识等传统审计难以量化的因素SoftControl提升控制环境管理层和员工共同参与，增强全员内控意识Environment快速发现问题通过引导会议等方式，问题在刚出现时就能被识别EarlyDetection预测并控制风险前瞻性识别风险，而非事后补救Proactive提升内审效能内审人员从检查者转变为引导者和咨询者EfficiencyChapter02CSA三大基本方法引导会议法·问卷调查法·管理结果分析法CSA·控制自我评估引导会议法（FacilitatedMeeting）引导会议法是CSA最经典的方法，由加拿大海湾公司首创。其核心是组织由员工和经理组成的小组，在高级内部审计人员引导下开展专题讨论。引导会议法的关键要素参与者业务部门员工和经理共同参与，内审人员担任专业引导者，确保讨论聚焦且高效员工+经理形式专题讨论会形式，通常为期半天到一天，包含结构化议程和互动环节半天~1天目标确认内部控制运转情况，识别潜在问题，讨论并制定切实可行的改进措施识别+改进优势激发集体智慧，多角度审视流程，促进跨部门协作，比传统一对一访谈更有效集体智慧引导会议法的核心在于"引导"而非"检查"，内审人员帮助业务人员自己发现问题、分析问题。PROCESS引导会议法的操作流程01会前准备确定主题和目标；选择8–15名参与者；准备流程文档和问题清单；安排场地和时间8–15人02会议进行营造开放信任氛围；使用白板、便签记录要点；识别风险点和控制点；讨论控制有效性；找出改进空间5项要点03会后跟踪整理会议记录；形成问题清单和整改建议；明确责任人和时限；定期跟踪整改进度持续跟踪成功的关键：会前充分准备、会中有效引导、会后持续跟踪。内控评价方法问卷调查法（Questionnaire）问卷调查法适用于人员分散、难以集中开会的情况，或作为引导会议法的补充。通过结构化问卷让相关人员对内控有效性进行自我评价。问卷设计要点01问题具体明确，避免模糊表述，确保受访者能准确理解题意02采用李克特量表（如1-5分）进行量化评分，便于数据统计分析03设置开放性问题收集具体意见和建议，补充量化数据的不足04确保匿名性以提高回答真实性，消除受访者顾虑李克特量表实施流程01设计问卷并进行小范围测试，检验题目清晰度和逻辑合理性02通过线上或线下方式发放问卷，覆盖各层级关键岗位人员03收集并整理问卷数据，剔除无效问卷，建立分析数据集04分析定量评分和定性反馈，识别共性问题，形成评价结论定量+定性INTERNALCONTROL管理结果分析法ManagementResultsAnalysis通过分析业务结果反推内控有效性——结果在预期范围内则内控有效，结果异常则内控可能存在问题。分析维度财务数据异常波动收入成本利润异动运营指标偏差效率质量交付差异客户投诉分布问题类型频次分析损失事件频率风险事故统计追踪预算执行情况计划与实际对比合规检查记录审计发现问题汇总优势与局限优势客观性强，基于真实数据而非主观评价局限只能发现问题，难以直接定位原因适用日常监控和持续性内控评估方法选择三大方法对比与选择方法适用场景优势局限实施难度引导会议法流程复杂、需多方协作激发集体智慧、深入讨论对引导者能力要求高、组织成本大高问卷调查法人员分散、大范围覆盖效率高、成本低、便于量化可能流于形式、难以深入中管理结果分析法日常监控、数据分析能力强客观性强、可持续进行只能发现问题表象中根据组织成熟度与数据基础选择适配方法，组合使用可兼顾深度洞察与执行效率Chapter03内控有效性评估步骤设计有效性与执行有效性评估全流程InternalControl内控有效性评估的整体框架内控有效性评估包括设计有效性评估和执行有效性评估两部分。这两部分相对独立，但执行有效性评估需要以设计评估为基础。Step01前置步骤确定内控范围和流程，运用财务分析等方法列出重要流程，涵盖主要业务和风险整体评估时Step02设计有效性评估评估控制措施的设计是否合理、是否覆盖关键风险点设计合理Step03执行有效性评估评估控制措施是否在实际业务中得到有效执行执行到位核心逻辑：先确认设计合理，再验证执行到位。Assessment·内控评估设计有效性评估：了解现有内控第一步是全面了解业务流程现状，为后续评估打基础。需要内控人员深入业务一线，业务部门积极配合。访谈与业务人员、管理人员深入交流，全面了解其对业务流程的理解认知和日常操作习惯，获取第一手信息。沟通现场观察实地观看业务操作全过程，直观了解实际执行方式，发现书面流程与实际操作之间的差异。一线查看制度和流程文件系统查阅公司制度、操作手册、岗位职责说明等规范性文件，掌握制度层面的设计要求和标准规范。制度收集表单和报表收集各类业务表单和统计报表，了解信息流转路径和记录方式，验证数据完整性和准确性。记录KEY关键要点：深入一线、多方验证、确保信息真实完整。ProcessDocumentation设计有效性评估：编制流程描述文件第二步是将业务流程固化成标准化文档，便于后续分析和评估。需要找出流程中的控制点。流程描述文件的形式流程图用图形化方式展示流程步骤、分支、控制点文字描述用结构化语言详细说明每个步骤的操作内容、责任人、输入输出关键要点01找出流程中的控制点——防范风险、确保合规的关键环节02核实已有流程文件是否与实际操作一致03可由内控人员编写，或由流程Owner编写、内控人员审核WalkthroughTesting设计有效性评估：穿行测试穿行测试的目的是验证流程描述文件的准确性，确认实际流程与访谈结果和流程文件是否相符。穿行测试的操作方法01全程跟踪：选取1–5笔真实业务，从头到尾跟踪处理过程02逐步核查：核查每个步骤是否按流程文件描述的方式执行03差异标记：标记不相符的地方，分析原因（文件过时还是操作不规范）04结果记录：记录测试结果，形成穿行测试工作底稿穿行测试的特点样本量小但全程跟踪、细致核查不是抽样测试，重在验证流程描述的准确性为后续风险控制矩阵编制提供依据RiskControlMatrix设计有效性评估：编制风险控制矩阵风险控制矩阵（RCM）是内控评估的核心工具，系统整理流程中的风险点和对应控制措施，确保关键控制措施被准确识别和有效执行。01流程步骤按业务流程拆解为可操作的步骤节点，形成矩阵的纵向框架PROCESS02风险描述逐步识别流程中潜在的风险事件，描述其发生场景与影响范围RISK03控制目标明确每项控制所要达成的具体目标，确保控制活动有据可依OBJECTIVE04控制措施记录针对每项风险所采取的具体控制手段与执行方式MEASURE05控制类型区分预防性控制与发现性控制，判断其作用时机与策略定位TYPE06控制频率标注控制执行的周期——每日、每周、每月或事件触发FREQUENCY07控制责任人指定每项控制的执行者与责任人，确保权责清晰可追溯OWNER08是否关键控制点标记对实现控制目标至关重要、一旦失效可能导致重大风险的控制KEYPOINT设计有效性评估设计有效性评估：整改与文档更新第五步：提出整改方案并监督整改针对设计缺陷设计新的控制措施或优化现有措施明确整改责任人、完成时限、验收标准跟踪整改进度，确保整改到位STEP05第六步：更新流程描述文件和RCM根据风险评估和整改方案更新文档采用版本号和日期标注，保留历史版本确保文档与实际操作保持一致STEP06文档版本管理：初始版本反映原始流程，整改后更新到新版本，便于追溯和对比。PROCESSOVERVIEW执行有效性评估：整体流程执行有效性评估的目的是验证关键控制点是否在实际业务中得到有效执行。核心是抽样测试。01设计测试程序对关键控制点设计检查测试程序，确定抽样比例（根据业务频率和固有风险）抽样比例·业务频率·固有风险02执行抽样测试按测试程序对抽取的样本进行检查，记录测试结果样本检查·结果记录03整改跟踪整理不符之处，提出整改方案，跟踪督促整改整改方案·跟踪督促抽样关键：保证样本代表性，通常根据业务发生频率和固有风险高低确定抽样比例。Chapter04现场测试与证据收集穿行测试、抽样、比较分析等技术方法METHODOLOGY现场测试方法概览内控评价工作组应当综合运用多种方法，充分收集内部控制设计和运行是否有效的证据，如实填写评价工作底稿。个别访谈与关键岗位人员一对一深度交流，深入了解业务流程的具体执行细节和潜在风险点一对一·深度沟通调查问卷设计结构化问卷进行大范围信息收集，便于数据统计和量化分析，提高评价效率量化分析·高效收集专题讨论召集相关部门人员就特定内控议题进行集中研讨，充分交换意见并达成共识聚焦议题·群策群力穿行测试选取典型业务案例全程跟踪，验证流程描述与实际执行的一致性和准确性全流程·追溯验证实地查验深入业务现场观察实际操作过程，核实各项控制措施是否真正落地执行现场核实·眼见为实抽样测试按照科学方法抽取代表性样本进行详细检查，评估内部控制运行的有效性样本检查·科学评估比较分析分析财务数据间的逻辑关系、变化趋势及关键比率，识别异常波动和潜在问题异常发现·数据洞察重新执行独立重新执行某项控制活动，验证控制措施是否按设计规范准确有效运行独立验证·控制复核调研方法个别访谈与专题讨论个别访谈与关键岗位人员一对一深入交流适合了解敏感问题或复杂流程访谈前准备问题清单，访谈中注意倾听和追问访谈后整理记录，形成访谈纪要ONE-ON-ONE专题讨论会召集相关管理人员就特定问题进行讨论集思广益，多角度审视问题需要明确议题、合适引导者、有效记录适合解决跨部门协作或复杂流程问题FOCUSGROUPAUDITPROCEDURES穿行测试与重新执行穿行测试跟踪一笔或几笔业务的全流程验证流程描述准确性，发现控制措施是否被执行提供流程全貌的直观认识样本量小但全程跟踪全流程重新执行对某一控制活动全过程进行重新执行直接验证控制措施的有效性证据说服力强成本较高，通常只用于关键控制点高说服力内部控制评价方法抽样法按照业务发生频率及固有风险高低，从确定的抽样总体中抽取一定比例的业务样本，对样本符合性进行判断，进而评价控制运行有效性。抽样总体明确测试对象的范围和边界，确定抽样覆盖的业务类型与时间区间。范围与边界抽样方法根据业务特征选择随机抽样、系统抽样或分层抽样等适用方法。随机·系统·分层样本量根据业务频率、风险高低及可接受误差率综合确定抽取数量。频率×风险结果分析统计分析偏差率，判断是否超过可接受水平，形成评价结论。偏差率判定核心原则：业务频率越高、风险越大，样本量越多。偏差率超过可接受水平时，需扩大样本量或认定控制无效。Methodology比较分析法通过分析、比较数据间的关系、趋势或比率来取得评价证据，核心是发现数据中的异常。应用场景01比较不同期间的财务数据，发现异常波动02比较预算与实际执行的差异，分析差异原因03计算关键指标比率，与行业基准或历史数据对比04分析业务数据的逻辑关系，识别不一致之处优势与局限优势客观性强，基于真实数据支撑，结论可量化验证，能够快速定位数据异常，为后续深入调查提供明确方向。局限仅能揭示问题表象，无法直接追溯根源成因，需结合其他分析方法才能形成完整诊断结论。适用适用于日常财务监控、持续性内部控制评估，以及定期风险筛查等常态化管理场景。CHAPTER05缺陷认定与整改缺陷分类标准、整改方案与跟踪机制INTERNALCONTROL内控缺陷的分类按缺陷性质分类设计缺陷内控措施设计不合理，缺少关键控制点或控制措施无法有效防范风险运行缺陷内控措施设计合理但在实际执行中没有得到有效落实按影响程度分类重大缺陷可能导致严重后果，影响公司整体目标实现，由董事会最终认定重要缺陷可能导致较大损失，需要管理层关注一般缺陷影响较小，可通过日常管理纠正PROCESS缺陷认定流程01初步认定评价工作组根据现场测试证据，对缺陷进行初步认定，分析缺陷性质和产生原因02复核确认对初步认定的缺陷进行复核，确保认定准确、证据充分03分级报告一般缺陷→部门负责人；重要缺陷→分管高管；重大缺陷→董事会/审计委员会04应对处置对重大缺陷及时采取应对策略，控制风险，追究相关责任CORRECTIVEACTION整改方案设计与跟踪01明确整改目标制定具体整改措施，确保每项问题都有清晰的改进方向和可量化的目标要求。02确定责任主体指定责任人和责任部门，建立清晰的问责链路，确保每项整改有人负责。03设定时限与标准明确完成时限和验收标准，为整改效果提供可衡量的评判依据。04建立跟踪台账定期跟踪整改进度，对完成情况进行验收，确保整改措施有效落地。05督办与持续改进对整改不力或逾期未完成的进行问责，并根据整改情况更新流程文件和RCM。06过渡期控制措施必要时制定过渡期临时控制措施，确保整改期间风险可控、业务连续。Chapter06CSA实施注意事项五大陷阱规避与本土化应用建议KEYCONSIDERATIONS在我国运用CSA的注意事项核心建议：结合企业实际，循序渐进，先试点后推广，逐步建立适合本企业的CSA体系。