企业内部控制制度基本规范讲

企业内部控制基本规范讲解财政部等五部委联合发布·财会[2008]7号·企业合规培训专题Contents目录全面梳理企业规范体系的核心框架、目标原则与实施路径01规范背景与整体框架02五大目标与五项原则03五大要素深度解读04内部监督与规范实施CHAPTER01规范背景与整体框架五部委联合立法、覆盖大中型企业、七章五十条构建内控基础BACKGROUND&LEGALBASIS规范发布背景与法律依据《企业内部控制基本规范》由财政部等五部委于2008年联合发布，依据《公司法》《证券法》《会计法》制定，是我国首部多部委联合制定的企业内控综合性法规。财政部大楼·《企业内部控制基本规范》发布机构01五部委联合发文，财政部、证监会、审计署、银监会、保监会协同监管，体现跨部门统一意志财会[2008]7号02上位法依据为《公司法》《证券法》《会计法》，从公司治理、信息披露、财务合规三个维度构建法律支撑三部上位法03自2009年7月1日起在上市公司范围强制施行，鼓励非上市大中型企业执行，小企业可参照实施2009.07.01施行COREOBJECTIVES规范发布的四大核心目的规范的发布目的涵盖从企业微观治理到宏观市场秩序的四个递进层次，既要求企业提升内控水平与风险防范能力，也强调维护社会主义市场经济秩序与社会公众利益，体现了监管部门推动治理现代化的系统性考量。加强和规范企业内部控制统一内控标准框架，解决企业内控制度碎片化、执行不到位等突出问题InternalControl提高经营管理与风险防范能力推动企业从被动应对风险转向主动识别、评估和管控风险RiskPrevention促进企业可持续发展将内控融入企业战略与日常经营，使合规管理成为长期竞争力的支撑Sustainability维护市场秩序与公众利益强化上市公司信息披露质量，保护投资者合法权益PublicInterestSTRUCTUREOVERVIEW规范整体架构：七章五十条规范以总则为统领、五大要素为主体章节、附则为收尾，共七章五十条，系统构建了我国企业内部控制的完整法规框架，实现了与COSO国际框架的有机融合。《企业内部控制基本规范》章节结构章节章节名称核心内容第一章总则立法目的、适用范围、内控定义、五大目标、五项原则、五要素框架第二章内部环境治理结构、机构设置、内部审计、人力资源、企业文化等基础要素第三章风险评估内外部风险识别、定性定量分析、风险应对策略（规避/降低/分担/承受）第四章控制活动不相容职务分离、授权审批、会计系统、财产保护、预算、运营分析、绩效考评等第五章信息与沟通信息收集处理传递制度、内外部信息渠道、反舞弊机制第六章内部监督日常监督与专项监督、内控缺陷识别与整改、自我评价制度第七章附则施行日期、配套办法、适用主体说明规范七章五十条系统覆盖内控全生命周期，五大要素各占一章形成完整闭环DEFINITION内部控制的权威定义与核心内涵规范将内部控制定义为董事会、监事会、经理层和全体员工共同实施的动态过程，突破了传统"查错防弊"的狭隘视角，确立了全面、全员、全过程控制的现代内控理念，与国际COSO框架高度一致。全员参与内控实施主体涵盖董事会、监事会、经理层和全体员工，强调"人人有责"而非仅靠审计部门。人人有责动态过程内控不是一套静态制度，而是持续识别风险、评估效果、调整策略的动态循环过程。动态循环目标导向内控的出发点是实现控制目标，最终服务于企业战略落地和可持续发展。战略落地中国化融合立足我国国情的同时借鉴国际惯例，实现了COSO五要素框架在中国法规体系中的本土化表达。本土化制度突破规范实现的五大制度突破《企业内部控制基本规范》在内涵界定、目标定位、原则确立、要素构建和实施机制五个维度实现了重大突破，标志着我国企业内控从分散管理走向系统化、从合规驱动走向价值创造。理论与框架突破科学界定内控内涵从"查错防弊"升级为全面、全员、全过程的现代控制理念，实现内控认知从工具理性向价值理性的转变准确定位内控目标在合规、安全、真实基础上着力促进企业实现发展战略，将内控从"成本中心"重新定位为"价值引擎"统筹构建五要素框架有机融合COSO等国际经验，形成中国化的内控要素体系，建立内部环境、风险评估、控制活动等五大要素原则与机制突破合理确定五项原则全面性、重要性、制衡性、适应性、成本效益五大原则贯穿内控全过程，为制度实施提供方法论指引开创三位一体实施机制企业自我评价为主体、政府监管检查为促进、事务所审计为重要组成，形成内外结合、多方协同的治理格局CHAPTER02五大目标与五项原则从合规底线到战略高地的目标体系，从全面覆盖到成本效益的原则框架InternalControlObjectives内部控制的五大目标五大目标从合规底线到战略高地形成递进体系：合法合规、资产安全、信息真实完整构成"合规保障层"，经营效率和战略实现构成"价值创造层"，内控不仅防风险，更要促发展。底线目标合规保障层合法合规—确保各项经营活动符合法律法规和监管要求，避免法律风险资产安全—防范资产流失、侵占和滥用，确保实物资产和无形资产的安全完整信息真实完整—提高信息披露质量，维护投资者和利益相关者信任发展目标价值创造层经营效率—通过流程优化和风险控制，降低运营成本，提升资源配置效率，实现精益管理战略实现—将内控融入战略规划与执行，为企业长期可持续发展提供制度保障，推动价值增长核心价值内控从"成本中心"转向"价值引擎"，通过风险预判与流程再造，释放管理红利INTERNALCONTROLFRAMEWORK内部控制的五项基本原则五项原则从覆盖范围、重点聚焦、权力制约、动态调整和效率平衡五个维度为内控建设提供方法论指引。覆盖范围全面性原则：贯穿决策、执行和监督全过程，覆盖企业及所属单位各种业务和事项重点聚焦重要性原则：在全面控制基础上关注重要业务事项和高风险领域，集中资源抓关键权力制约制衡性原则：在治理结构、机构设置、权责分配和业务流程中形成相互制约与监督动态调整适应性原则：与经营规模、业务范围、竞争状况和风险水平相适应，随变化及时调整效率平衡成本效益原则：权衡实施成本与预期效益，以合理成本实现有效控制，避免过度控制五项原则能力评估维度全面性与制衡性是企业最需关注的短板InternalControlPrinciples成本效益原则的实践要点成本效益原则要求企业在内控建设中避免'过度控制'与'控制不足'两个极端，核心是按风险等级和金额大小分级分类管理，以适当成本实现有效控制，使内控投入产出比最优化。避免过度控制小额采购设置过多审批层级导致流程冗余，审批成本远超风险损失本身流程冗余避免控制不足大额投资决策缺乏论证和审批程序，单人决策风险集中且无法追溯单人决策分级授权管理按金额大小和风险等级设置差异化审批权限，实现控制力度与业务效率的平衡差异化权限定期评估优化每年审视内控流程的投入产出比，及时削减低效控制环节、强化高风险环节投入产出比INTERNALCONTROLFRAMEWORK五大目标与五项原则的支撑关系五大目标与五项原则之间存在系统性的支撑关系：全面性保合规底线、重要性聚风险焦点、制衡性防权力滥用、适应性促战略落地、成本效益贯穿全局，二者共同构成内控建设的顶层逻辑。目标-原则对应矩阵原则主要服务目标作用机制全面性合法合规、信息真实完整确保控制不留盲区，覆盖所有业务和事项重要性资产安全、经营效率聚焦高风险领域和关键业务，集中控制资源制衡性合法合规、资产安全形成权力制约与相互监督，防范舞弊和滥用适应性战略实现、经营效率内控随企业规模与业务变化动态调整成本效益全部目标以合理成本实现有效控制，确保内控可持续五项原则各有侧重地支撑五大目标实现，成本效益原则贯穿全部目标Chapter03五大要素深度解读从内部环境基础到内部监督保障，系统剖析内控体系的五大构成要素要素解析要素一：内部环境的定位与七项要求内部环境是内控体系的基础要素，涵盖治理结构、机构设置、内部审计、人力资源和企业文化等核心维度。规范从董事会到一线员工提出七项具体要求，构建了自上而下的环境建设框架。治理结构与议事规则建立规范的"三会一层"治理架构，明确决策、执行和监督的权责边界三会一层董事会核心职责董事会负责内部控制的建立健全和有效实施，承担内控第一责任第一责任审计委员会设置在董事会下设立审计委员会，统筹协调内部审计和外部审计工作统筹协调内部审计强化建立独立的内部审计职能，为内控有效性提供持续评价和保障持续评价InternalEnvironment内部环境：人力资源与企业文化人力资源政策和企业文化是内部环境的"软性基础"，直接决定内控制度能否真正落地执行。人力资源政策制定有利于可持续发展的人力资源政策，涵盖招聘、培训、考核、晋升和退出全流程关键岗位实施强制休假和定期轮岗制度，防范长期任职形成的利益固化和舞弊风险员工入职背景调查覆盖诚信记录和职业操守评价，从源头把控人员素质招聘·轮岗·背景调查企业文化建设加强企业文化建设和法治教育，培养全员合规意识和职业道德观念员工应当遵守行为守则并认真履行岗位职责，将内控要求融入日常工作行为建立举报投诉制度和举报人保护机制，营造敢于揭露问题的组织氛围合规·守则·举报机制RiskAssessment要素二：风险评估的四步框架风险评估是内控体系的'雷达系统'，要求企业建立'识别—分析—应对—调整'四步闭环，综合运用定性与定量方法，从四种策略中科学选择。01风险识别准确区分内部风险（人员、流程、系统）和外部风险（市场、政策、法律），确定风险承受度02风险分析采用定性与定量相结合的方法，按风险发生的可能性与影响程度排序，确定优先控制的风险03风险应对综合运用规避、降低、分担和承受四种策略，针对不同风险特征选择最优应对方案04动态调整结合不同发展阶段和业务拓展情况持续识别和分析，及时调整风险应对策略企业风险评估工作会议现场RiskResponse四种风险应对策略的选择四种风险策略各有适用场景，企业应据风险性质与自身能力灵活组合，实现最优管控。四种风险应对策略对比策略类型定义与做法典型适用场景风险规避主动退出或放弃高风险业务活动，彻底消除风险源政治不稳定的海外市场、法律风险过高的业务领域风险降低采取措施降低风险发生概率或减轻影响程度员工操作失误、安全生产事故、信息系统故障风险分担通过合同安排将部分风险转移给第三方承担购买商业保险、业务外包、签订担保合同风险承受在风险可控前提下主动承担风险以获取收益市场开拓前期亏损、研发投入的不确定性四种风险应对策略从保守到进取形成梯度，企业应根据风险特征灵活组合使用ControlActivities要素三：七种控制活动措施（上）控制活动是内控的执行层，规范列举七种核心措施。不相容职务分离解决权力集中问题，授权审批解决越权操作问题，会计系统解决信息质量问题，财产保护解决资产安全问题。不相容职务分离控制"管钱不管账、管账不管钱"，确保关键权力不集中于同一岗位，形成岗位间天然制衡机制，有效防范舞弊风险岗位制衡授权审批控制所有业务在授权范围内执行，超权限事项逐级上报审批，确保每项决策可追溯、可问责，杜绝越权操作可追溯会计系统控制建立规范的会计核算体系和财务管理制度，确保会计凭证、账簿和报表真实完整，为决策提供可靠数据支撑真实完整财产保护控制建立资产台账、定期盘点和限制接触制度，防止实物资产和无形资产流失或滥用，保障企业财产安全防流失CONTROLACTIVITIES·PARTII要素三：七种控制活动措施（下）预算控制实现目标的事前分解，运营分析实现过程的事中监控，绩效考评实现结果的事后约束。三者形成"计划—监控—考核"闭环，配合应急机制构成完整的控制活动体系。COREMECHANISMS后三种控制措施01预算控制：编制、执行和分析预算，将战略目标分解为可量化指标，实现事前规划与事中偏差纠正02运营分析控制：定期对经营数据进行趋势对比和异常分析，发现偏差及时预警并采取纠正措施03绩效考评控制：将内控执行情况纳入绩效考核体系，使合规管理与个人利益挂钩形成正向激励EMERGENCY&EARLYWARNING应急与预警机制01重大风险预警：建立预警机制，明确预警标准和触发条件，实现风险的早期识别与快速响应02突发事件应急预案：制定应急预案，明确责任人员和规范处置程序，确保突发事件得到及时妥善处理要素四·信息与沟通信息与沟通的三层架构信息与沟通是内控运行的"神经系统"，规范从制度建设、内部渠道和外部渠道三个层面提出要求，确保内控相关信息在企业内外及时、准确地收集、传递和共享，消除信息孤岛。制度基础建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息流转有章可循、责任到人，形成标准化的信息管理机制。制定信息收集规范与质量标准建立信息处理与审核流程明确信息传递时效与保密要求INSTITUTIONAL内部信息渠道财务会计资料、经营管理资料、调研报告和专项信息构成核心来源；内部刊物和办公网络保障管理层与执行层之间的信息对称与高效协同。财务与经营数据实时共享调研报告支撑科学决策内部网络打通层级壁垒INTERNAL外部信息渠道行业协会、社会中介机构和监管部门提供政策法规和行业趋势；业务往来单位、市场调查和网络媒体为经营决策提供市场和竞争情报。政策法规与行业动态跟踪市场情报与竞争态势分析外部风险预警与机遇识别EXTERNALINTERNALCONTROL信息与沟通：反舞弊机制建设反舞弊机制是信息与沟通要素的关键环节，通过畅通举报渠道、保护举报人和确保信息及时传递，构建起企业内部的"预警网络"，使违规问题能够被及时发现和处理。畅通举报渠道设立独立的合规举报热线、邮箱或在线平台，由审计委员会或纪检部门直接管理，确保员工能够安全、便捷地反映问题。合规热线·匿名邮箱·在线平台举报人保护制度建立严格的保密机制和反打击报复条款，从制度层面消除举报人的后顾之忧，鼓励员工积极揭露违规行为。保密机制·反报复条款·法律援助信息及时性要求内控相关信息应在规定时限内传递到责任人，建立分级响应机制，避免因信息滞后导致风险扩大或损失加剧。24小时响应·分级处理·限时反馈内外部信息联动将内部审计发现、外部监管反馈和市场舆情纳入统一的信息处理流程，形成立体化的风险监测与预警体系。内部审计·监管反馈·舆情监测INTERNALCONTROL·ELEMENTV要素五：内部监督的双轨机制内部监督是内控体系的'免疫系统'，通过日常监督（持续体检）和专项监督（重点会诊）双轨并行，持续评价内控有效性，发现并推动缺陷整改，确保内控体系不偏离目标。两种监督形式内控缺陷管理日常监督对内控建立与实施情况进行常规、持续的监督检查，确保内控制度日常运转正常。持续体检缺陷分类区分设计缺陷（制度本身不合理）和运行缺陷（制度未得到有效执行），对症整改。对症整改专项监督在发展战略、组织结构、经营活动等发生较大调整时，对特定领域进行针对性检查。重点会诊跟踪整改与问责跟踪缺陷整改情况，对重大缺陷追究相关责任单位或责任人的责任。闭环追责INTERNALCONTROL·DEFICIENCY内控缺陷的分类与整改要求内控缺陷按成因分为设计缺陷和运行缺陷，按严重程度分为重大、重要和一般三个等级。重大缺陷必须限期整改并在自我评价报告中单独披露，未整改的重大缺陷可能导致内控整体被认定为无效。缺陷类型定义处理要求设计缺陷制度本身存在漏洞或不合理，即使执行到位也无法有效防范风险修订或重新设计相关制度流程，补充缺失的控制环节运行缺陷制度设计合理但执行不到位，实际操作偏离既定流程和要求加强培训、强化考核、增加检查频次，确保制度有效落地重大缺陷可能导致严重偏离控制目标，在合理期限内未能有效整改限期整改并在年度自我评价报告中单独披露，追究相关责任重要缺陷严重程度低于重大缺陷但仍需引起管理层重视的缺陷限期整改并向审计委员会或管理层报告整改进展一般缺陷严重程度较低、不影响内控整体有效性的缺陷督促相关部门自行整改，纳入日常监督范围内控缺陷按成因和严重程度双向分类，重大缺陷必须单独披露并追责内部控制体系五大要素的逻辑关系与协同机制五大要素构成有机整体：内部环境为重要基础、风险评估为重要环节、控制活动为重要手段、信息与沟通为重要条件、内部监督为重要保证，五者相互联系、相互促进，形成动态闭环。基础内部环境治理结构、人力资源和企业文化为其他要素提供组织土壤和制度基础，奠定内控基调。•治理架构设计•权责分配机制•企业文化培育FOUNDATION环节风险评估识别和分析与目标相关的内外部风险，确定风险承受度，为控制活动提供靶向和依据。•风险识别方法•风险分析模型•风险应对策略ASSESSMENT手段控制活动根据风险评估结果采取具体措施，通过政策和程序将风险控制在可承受度之内。•不相容职务分离•授权审批控制•会计系统控制CONTROL条件信息与沟通确保内控相关信息在企业内外及时准确传递，建立反舞弊机制，支撑各要素协同运转。•信息收集渠道•内部沟通机制•外部信息交换COMMUNICATION保证内部监督持续评价内控有效性、发现并推动缺陷整改，形成反馈闭环，保障体系不偏离目标。•日常持续监督•专项独立评估•缺陷整改跟踪MONITORING五要素相互联系、相互促进，形成内部控制动态闭环Chapter04内部监督与规范实施企业自我评价、中介机构审计与政府监管三位一体的实施保障实施机制三位一体的内控实施机制规范构建了企业自我评价为主体、中介机构审计为重要组成、政府监管为促进的三位一体实施机制，将内控建设从"自愿行为"升级为"法定义务"。企业自我评价企业应当对本公司内部控制的有效性进行自我评价，并披露年度自我评价报告将各责任单位和全体员工实施内控的情况纳入绩效考评体系，强化内部约束自我评价外部审计可聘请具有证券、期货业务资格的会计师事务所对内控有效性进行审计并出具报告外部审计为企业内控提供独立、客观的第三方评价，增强信息可信度独立审计政府监管国务院有关监管部门有权对企业建立并实施内控的情况进行监督检查财政部门牵头协调各监管机构，形成统一的监管合力监管合力Self-AssessmentFramework内部控制自我评价制度内部控制自我评价是企业必须履行的法定义务，通过每年一次的全面评估检验内控制度的设计合理性和执行有效性，评价结果需在年度报告中单独披露，重大缺陷须制定专项整改计划。评价范围覆盖内控五大要素，重点评估制度设计的合理性和执行的有效性五大要素评价频率与披露通常每年一次，评价结果在年度报告中单独披露自我评价报告年度一次缺陷整改对发现的重大和重要缺陷制定专项整改计划，明确责任人、整改措施和完成时限专项整改持续改进将自我评价与管理提升相结合，使评价成为企业年度管理优化的重要抓手管理抓手EXTERNALAUDIT内部控制外部审计要求外部审计由具有证券期货业务资格的会计师事务所独立实施，对企