如何建立和实施有效的内部控制制度

2005年6月企业内部控制制度(internalcontrolsystem)一、内部控制的基本概念二、内部控制的整体框架三、企业财务控制的主要内容四、企业内部控制的综合体系中国培训师大联盟月企业内部控制制度介绍(internalcontrolsystem)一、内部控制的基本概念KeyTerms-关键词汇RISK风险Control控制通过管理程序或活动减少风险可量化，可衡量，可以达到的业务目标Objective目标Anyissuewhichcouldimpactanorganization’sabilitytomeetit’sbjectives.任何可能影响某一组织实现其目标的事项2005年6月经营回报与风险(returnandrisk)经营回报公司管理层公司经营环境和过程（诸多风险存在）经营目的和目标2005年6月内部控制产生的原因(cause)企业的生产经营时刻处于在风险中。什么是风险哪？风险就是某一事件或行为对企业经济利益可能的威胁企业所面临的风险：商业风险和管理风险商业风险：诸如经营环境、行业的风险、企业所处的金融时常风险、产品的开发能力等等这些不是受企业完全支配的因素管理风险：经营和财务信息的不足；政策、计划、程序、法律和标准贯彻失败资产流失资源浪费和无效使用不能达到企业的目的和目标2005年6月•竞争失败（企业由于竞争失败会遭受诸多的不利）•经营中断（企业的目标将无法达到）•法律诉讼（会给企业带来损失和信誉的破坏等）•商业欺诈（会给企业带来损失）•无益开支（使得企业的收益能力下降）•资产损失（）•决策失误（）风险的后果(results)2005年6月风险如何最小化？加强系统的内部控制对可能的损失投保当可能的风险较大时，寻求较大的回报2005年6月内部控制如何降低风险？暴露的金额发生的可能性风险的大小内部控制降低2005年6月企业成功内部控制的重要性(materiality)有效的内部控制风险与经营回报的良好平衡管理层2005年6月鉴于内部控制的重要性诸多机构和文件都对内部控制进行了阐述：COSO报告《内部控制－整体架构AICPA《审计准则公告第78》号《会计法》（第四章第27条）规定财政部《内部会计控制规范》证监会《证券公司内部控制指引》证监会《商业银行内部控制指引》征求意见稿中国人民银行《加强金融机构内部控制的指导原则》上海证券交易所上市公司内部控制制度指引（全文）…….内部控制的重要性(materiality)（续）2005年6月那么什么是内部控制？2005年6月内部控制（1）内部控制是企业为控制经营风险、实现经营目标而制定的各项政策与程序。COSO报告指出：内部控制是一个过程，受企业董事会、管理当局和其他员工影响，旨在保证财务报告的可靠性、经营的效果和效率以及现行法规的遵循。它认为内部控制整体架构主要由控制环境、风险评估、控制活动、信息与沟通、监督五项要素构成。中国财政部对内部会计控制做了如下的定义：内部会计控制是指单位为了提高会计信息质量，保护资产的安全、完整，确保有关法律法规和规章制度的贯彻执行等而制定和实施的一系列控制方法、措施和程序。注：COSO是指美国反对虚假财务报告委员会所属的内部控制专门研究委员会——发起机构委员会（CommitteeofSponsoringOrganizationsoftheTreadwayCommission，简称COSO）。它包括美国注册会计师协会，内部审计师协会，财务经理协会，美国会计学会，管理会计协会。关于内部控制定义我们可以看看COSO的英文interpretation2005年6月什么是内部控制（2）清华大学会计研究所对内部控制做了如下概述：内部控制是为合理保证单位经营活动的效益性、财务报告的可靠性和法律法规的遵循性，而自行检查、制约和调整内部业务活动的自律系统。其贯穿于经营活动的全部过程，包括控制环境、风险评估、控制活动、信息与沟通，监督等要素，并受企业董事会、管理阶层及其他人员影晌。这样的概述很好地说明了企业内部控制的目的以及内部控制的要素和性质。2005年6月内部控制的目的(aim)对于组织来说，内部控制的目的是保证组织实现以下目标：组织运行的效果和效率。这里所谓的效果，就是实现组织目标的程度（比如组织十分取得赢利、利润的多寡等）；效率就是一定资源投入所带来的产出。财务报告的可靠性和完整性。由于财务报表是综合反映企业经验效果和效率的文件，也是企业风险控制的重要依据，因此财务报告应该是可靠和完整的。这里的可靠性是财务记录应完全忠于企业的资产财产状况、经营过程和经营结果，同时要求对财务记录进行处理的手段和方法是正确的，技术和表达是准确的；所谓完整性，就是财务报告要全面详尽地反映组织的财务状况和经营结果，而非有所保留或有所遗漏。符合相关的法律法规和合同。法律法规和合同的执行可以从多个方面反映企业的风险。一方面，违反法律和合同，会给企业带来教高的违法或违约层报（诸如罚款、索赔），另一方面，违反法律法规和合同的行为，可能隐含着对企业资产或股东利益严重的危害（诸如转移资产、破坏企业信誉等）资产的安全。资产的保值和增值是企业股东利益的体现，也企业追求的目标。广义地说，保证资产的安全包括维护资产的实物特性、价值水平和增值能力，也即保证企业不因不当行为而损失，不因不当经营而减少，不因不当使用而低效，不因不当处置而贬值。2005年6月如何理解内部控制（1）内部控制是一个过程，是实现目标的手段，而不是结果本身。说明内部控制会受到企业内部各层次人员的影响，而不是简单地制定出一本制度或规章说明对管理曾或董事会来说，内部控制提供的只是合理的保证，而非绝对的保证说明内部控制的目的在于实现组织的一个或几个目标。说明2005年6月如何理解内部控制（2）内部控制绝对不是：静态的结构；某一层次人员的任务（例如：高级管理层）；某一部门的任务（例如：财务、内部审计）；某一实体的任务（例如：总部、省级公司）。内部控制是：内部控制是一个靠组织的董事会、管理层和其他员工去实现的过程，实现这一过程是为了合理的保证：经营的效果性和效率性；财务报告的可信性；对法律和规章制度的遵循性。因此，整个集团的共同参与对于项目的成功至关重要。2005年6月企业内部控制制度介绍(internalcontrolsystem)二、内部控制的总体架构2005年6月内部系统的整体架构2005年6月内控系统五要素架构：2005年6月控制环境(controlenvironment)：是任何企业的核心，是企业的人以及它所处的环境提供了企业纪律与架构，塑造了企业文化，并影响企业员工的控制意识是推动企业的引擎，也是其他要素的基础控制环境的组成要素：•管理哲学和经营风格说明•组织结构说明•董事会及其委员会职能说明•职责分配和授权说明•人力资源政策及实务说明2005年6月审计署对23家企业的调查结果％金额（亿元）资产不实10.39%负债不实7.89%利润不实38.87其中：虚报94.98%36.92隐瞒52.89%20.53潜亏92.77%36.06控制环境－管理哲学和经营风格2005年6月风险评估(riskassessment)(一)企业必须了解它所面临的风险，并加以控制。即设立可辨识、分析和管理相关风险的机制风险评估就是分析和辨识为实现企业目标所可能发生的风险。关于风险评估，COSO委员会发布了专门的风险管理框架关于风险评估评估风险的先决条件，是制定目标目标风险控制行为控制活动环境变化后的管理评估和更新2005年6月风险评估(riskassessment)(二)这里要了解目标、风险以及风险评价的一些概念：目标：企业的整体目标，通常是由企业的理念及其所追求的价值所决定的，而与之相配合的是企业下一级各部门的具休目标。整体目标主要是：营运目标，包括绩效和获利目标及保障资产的安全，使其免受损失；财务报告目标，防止对外报送不真实的财务报告；遵循目标，企业遵循国家的相关法律法规。风险：辨识和分析风险的过程是一种持续及反复的过程，也是有效内部控制的关键组成要素，管理阶层须谨慎注意各部门阶层的风险，并采取必要的管理措施。企业的风险一般是由外部因素和内部因素所产生的。外部因素包括：科技发展；顾客的需求或预期改变；竞争；新的法律和行政命令；自然灾害；经济环境改变等。内部因素包括：信息系统处理的中断；聘用员工的品质、培训方法及激励制度；经理人员的责任改变；企业活动的性质以及员工可接近资产的程度；董事会或监事会不够坚定或无效等。环境变化后的管理：经济、产业及管理的环境都是会改变的，企业的活动应随之改变。因此，风险评估中最基本的部分，就是如何辨认已发生的改变，并采取必要的行动。这些改受因素包括：行业环境的改变；新员工；业务迅速成长；新科技；新业务、产品、作业；公司重组；国外业务等。2005年6月如何有效地进行风险管理各行业的前10种最主要的风险因素（德勤统计数据）次序银行/保险业/证券制造业其他1内部控制的质量内部控制的质量内部控制的质量2管理人员的能力管理人员的能力管理人员的能力3管理人员的正直程度管理人员的正直程度管理人员的正直程度4会计系统的近期变动单位的规模会计系统的近期变动5单位的规模经济环境恶化业务的复杂性6资产的流动性业务的复杂性资产的流动性7重要人员的变动重要人员的变动单位的规模8业务的复杂性会计系统的近期变动经济环境恶化9快速的增长快速的增长重要人员的变动10政府法规管理人员对完成目标的压力快速的增长2005年6月控制活动（controlactivities）企业必须基于风险评估的结果订立控制风险的政策及程序，并予以执行。这里的政策和程序就是所说的控制活动（控制活动，是确保管理阶层的指令得以执行的政策及程序，如核准、授权、验证、调节、复核营业绩效、保障资产安全及职务分工等。）控制活动通常可以按业务分别进行制定。现金管理资本性采购采购和付款人事和薪金营销和销售存货管理2005年6月控制活动在企业内的各个阶层和职能之间都会出现：包括1层经理人员对企业绩效进行分析。管理阶层记录经营活动（如：市场的扩展、生产过程改良、成本的控制）的结果，然后再与预算、预测、前期及竞争者的绩效相比较，以衡量目标达成的程度和监督计划（如：新产品开发、合资经营、融资行为）的执订情况。2直接部门管理。负责某一部门的经理人员复核自己所负责部门的业绩报告，检查本部门各业务活动的情况，以便辨认趋势。3对信息处理的控制。对信息系统的控制活动可分为两类，第一类是一般控制（generalcontrol），它帮助管理阶层确保系统能持续、适当的运转；第二类是应用控制（applicationcontrol），它包括应用软件中的电算化步骤及相关的人工程序。（一般控制包括：对资料中心运作的控制；对系统软件的控制；存取安全的控制；对应用系统的发展及维护的控制。（应用控制包括：输入控制；输出控制）。2005年6月控制活动在企业内的各个阶层和职能之间都会出现：包括（二）4实体控制。保护设备、存货、证券、现金和其它资产的实体安全，定期盘点并与控制记录所显示的金额相比较。5绩效指标的比较。把不同的几套数据资料（如：经营数据与财务数据）相互比较，分析它们之间的关系，然后再进行调查与纠正。以存货为例，其绩效指标包括：购货价差、订单中“紧急订货”比例、总订单中退货的比例。管理阶层需要调查超出计划的结果或者不正常的趋势，辨认采购作业的目标无法达成的原因。6分工。分工即指将责任划分，再将不相容职务分派给不同的员工，以降低错误或不当行为的风险。2005年6月控制活动的类型1预防性控制2检查性控制3纠正性控制4补偿性控制事前事中事后本部份概念后面有解释2005年6月信息和沟通(informationandcommunication)企业在其经营过程中，需按某种形式辨识、取得确切的信息，并进行沟通，以使员工能够履行其责任。企业所有员工必须从最高管理阶层清楚地获取承担控制