23曹驯_企业内部控制与操作风险管理_V4（PDF58页）

注册企业风险管理师培训1企业内部控制与操作风险管理主讲人：曹驯注册企业风险管理师培训2内部控制框架1主要控制方法介绍2内部控制实施方法及程序3相关思考4注册企业风险管理师培训3问题一问题二在目前阶段，多数企业开展内控与风险管理工作，其工作性质的定位应该是什么？控制有效性评估关注的重点是什么？思考与讨论现阶段，企业开展内控与风险管理工作应思考和明确的问题：（A）描述性（B）总结性（C）诊断性（D）创新性（A）控制目标（B）风险因素（C）控制措施（D）成本效益原则问题三在企业经营管理体系中，风险管理体系与内部控制体系与已有的管理体系如何定位？（A）作为新的管理体系独立存在，独立发挥作用（B）作为新的管理体系独立存在，联合其他管理体系共同发挥作用（C）部分融合，联合其他管理体系共同发挥作用（D）充分融合并成为现有管理体系的一部分注册企业风险管理师培训4内部控制框架1注册企业风险管理师培训55COSO内部控制框架•3个目标–经营的效果和效率–财务报告可靠性–遵循法律法规•5个基本要素–控制环境–风险评估–控制活动–信息与沟通–监督与检查A单元B单元行动1行动2监督信息/沟通控制行动风险评估控制环境对应IT*注册企业风险管理师培训66控制环境具体的控制环境影响因素包括：诚信与道德观。这些因素会影响公司目标的实现公司对内控资源的投入将决定完成既定工作的必要条件董事会和审计委员会对于营造公司的氛围有重要的影响力管理层的理念和经营风格亦应在考虑之列公司的组织架构能够提供框架，公司应用该框架来识别有助实现公司层面目标的活动经营活动的权限和职责分配能建立报告关系公司的人力资源政策和程序就有关诚信、道德操守及胜任能力的预期水平为员工建立正直的风气其他风险文化政策与程序公司治理管理战略注册企业风险管理师培训7机会风险不确定性纯粹风险什么是风险注册企业风险管理师培训8从业务链的角度分析风险分布研发科研技术规划质量进度管理制造实验管理战略及经营计划制定支撑职能财务管理人力资源法律事务安全健康环保信息管理科技管理投资管理建设工作管理监察审计预研工作可行性研究型号工作产品投产与验收外协生产管理外购物资筛选及入库管理批生产任务分配管理生产运营管理批生产任务分配管理实验目标与程序管理实验实施与数据评估市场分析与预测设备管理61242367810114126121718192012112624252628335304332334387低等级风险重大风险中等级风险图例：37394043416494215营销管理客户管理34售后管理39定价管理36调度31注册企业风险管理师培训9风险识别的目标导向原则–例一风险事项的识别–市场风险使命成为高档家用电器的主要生产商和供应商战略目标销售量或销售额环比增长5%控制目标1、各电器生产部门新雇用60个工人2、人均产出率提高1%3、保持每美元订单22%的人工费用衡量标准1、新雇的员工人数2、人均产出率变化3、每美元订单的员工费用潜在风险1、市场萎缩或衰退，使需求下降2、需求下降，开工不足，使人均产出率下降3、开工不足，单位订单的人工费用增加4、市场升温，招聘熟练工人难度增加，新雇员工不足5、不具备竞争力的待遇，导致雇用了不合格的员工注册企业风险管理师培训10风险事项的识别–产业结构风险战略/运营目标1、进一步加强与外方的合作，加快引进技术消化吸收和再创新步伐，确保工作取得预期目标和成效，全力推进三代核电技术的自主化进程；2、推动国内核电产业资源的整合，建立核电研发设计、特殊设备材料制造、工程管理、运行服务、核燃料供应、投资运营等完整产业链，促进核电工程设计、建造、运行维护等领域的专业化发展，形成专业化、集团化、国际化，提升公司自主创新能力和国际竞争能力；3、充分利用国际、国内两个市场的资源，开拓国际、国内两个市场的业务，以集团化推进专业化发展，为多元化的投资主体提供市场化服务，并最终走向国际化。控制目标1、三代技术消化吸收、自主化进程时间节点与效果要求2、产业链管理、创新能力、专业化、国际化等细化目标3、成为三代核电领军企业衡量标准1、技术转化时间表和成熟度2、设计、研发、建造施工、设备生产、运行维护、原料供给专项能力3、合同金额或市场份额潜在风险1、核电产业主体分散，技术路线尚不统一2、核电产业无序竞，影响公司依托工作自主化进程3、公司产业产品/服务相对单一，可能影响公司抗风险和可持续发展能力4、核安全问题风险识别的目标导向原则–例二注册企业风险管理师培训11风险概率与影响矩阵注册企业风险管理师培训12业务流程中控制点的设置控制活动是企业根据风险评估结果，结合风险应对策略，确保内部控制目标得以实现的方法和手段。它确保必要的活动得到执行，以降低风险，达成企业的目标。控制措施贯穿于整个企业组织内，涉及所有的级别和部门。它包括一系列的行为，如：授权审批、权限设置验证、调节业绩复核、资产保全职责分工控制活动的定义与特征注册企业风险管理师培训13基于人工的：依靠人工执行控制类型基于系统的：依靠IT应用软件或系统的自动控制预防性的：预防错误或遗漏检查性的：发现并更正错误、舞弊或遗漏公司层面控制：公司层面控制是指管理层所依靠的，用来建立适当的“管理层基调”的控制。这一层面的控制通常对流程层面、交易层面和执行层面的控制有普遍性影响。例如：建立财务报告标准、加强授权/分权体系建设。流程层面的控制存在于各个流程中，通常直接涉及交易的发起、授权、记录、执行或报告。控制活动分类一注册企业风险管理师培训14控制活动分类二预防性控制检查性控制目的预防错误或遗漏的发生预防性控制的示例包括：-标准政策和程序-职责分离-系统权限有效性与可靠性相对来说更高目的是发现及纠正错误或舞弊检测性控制的示例包括：-报告例外情况-进行绩效考核-进行绩效考核有效性与可靠性相对来说略低战略风险流动性风险系统风险市场风险投资风险合规风险声誉风险注册企业风险管理师培训15控制措施识别练习控制措施识别练习：注册企业风险管理师培训16控制环节有效性的评估有效控制点的特征：对相关的风险有影响有足够的运行频率实施这些控制活动的人员有足够的知识和经验存在适当的职责分工发现的问题和例外情况得到很快处理该控制活动的执行是基于可靠的信息较强的控制较弱的控制自动控制人工控制多个相互关联的控制单个控制由高层人员执行由基层人员执行预防性控制检查性控制交易级别的公司层面的100%进行的使用抽样方法的实时进行的滞后的控制活动特征注册企业风险管理师培训17控制措施识别案例控制活动识别案例一：采购物品的类别主要包括：电脑配件如内存条、鼠标等，办公用品如打印机、桌子、椅子等。采购员接到需求部门提出的采购申请后，在采购系统中录入《采购订单》，所需录入的信息包括：物品类别、型号、数量、要求送货时间等。系统自动检查采购物品金额是否在该采购类别的年度预算范围内，只有在预算范围内的商品才允许提交审批，否则系统自动中止该《采购订单》。如采购金额在预算范围内，系统将《采购订单》提交采购部副部长及采购部部长审批以确认《采购订单》的合理性。审批通过后，系统将《采购订单》发送对应的已与公司签订了采购框架协议的供应商。供应商收到系统《采购订单》后，会打电话与采购员进行确认。若采购员在两天内未收到供应商的回复，则与供应商进行电话联系以确认其是否已收到并执行《采购订单》。控制活动识别案例一注册企业风险管理师培训18控制措施识别案例控制活动识别案例二：电脑配件(如：打印机)从供应商送货上门，到验收确认的过程。供应商将货物连同《采购订单》打印件一起送至公司。门卫需要检查送货人员是否存在对应的《采购订单》以及货物是否与《采购订单》一致，确认无误后方允许放行。供应商送货人员将货物送至使用部门并通知采购员进行验收。采购员根据《采购订单》复核送货货物型号、数量的准确性，并简单测试货物性能，确认无误后在供应商提供的《送货单》上签字确认。采购员与使用人员交接货物，交接完成后在《办公用品交接清单》上签字确认。控制活动识别案例二注册企业风险管理师培训19信息与沟通信息与沟通•要了解市场环境、行业发展和组织业务流程的现况，必须首先获取相关的可靠信息。•正确的实施措施和有效的沟通对确保内部控制的重要信息在整个流程中的有效传达和管理至关重要。•系统是否支持企业实现其既定的目标，并能从系统获取相关的信息并及时地传达给员工、供货商、客户、股东及监管者。•员工应收到管理层清楚的信息，说明内部控制的重要性，且必须清楚了解他们在内部控制系统中的角色及责任。注册企业风险管理师培训20监督监督•监督专注于评估控制活动的执行情况及和业务流程的运行结果，以确保风险别合理识别和管理，以及有关控制活动符合公司的目标及既定的执行标准•监督需要用以发现、报告及追踪缺陷的原则及流程，以确保能够及时地解决所有重大缺陷及潜在的重大缺陷•监督包括持续监督和独立评估•持续监督来自日常管理和监管活动，以及日常业务过程中就内部控制有效性持续提供反馈的其它正式及非正式机制持续监督–由流程责任人、主管领导、内控专职人员监督内部控制设计与执行的有效性独立评估–由集团、管理层、内控专职人员及/或内部审计师执行的内部控制评估注册企业风险管理师培训21主要控制方法介绍2注册企业风险管理师培训22主要控制方法介绍控制活动指能够帮助确保公司应对风险的方法会被及时执行的政策和步骤。普遍采用的控制活动如下：不相容职务分离控制授权审批控制会计系统控制财产保护控制预算控制运营分析控制绩效考评控制注册企业风险管理师培训23主要控制方法介绍（续）1.授权审批控制举例：公司对于各费用在各部门指定授权审批人。审批人根据业务情况授权下属人员作为被授权审批人，编制报销签字审批表送至财务部，作为财务部审核报销单的依据。评价内控设计需考虑的问题：由谁执行；手工还是自动；能否看到审批痕迹；需要审批的原因；审批权限的设置是否合理；是否有固化程序可以遵循；是否可能绕过审批程序以及如何发现；管理层是否对审批程序的执行有适当的监督，等注册企业风险管理师培训24主要控制方法介绍（续）2.不相容职务分离控制举例：记帐会计与银行出纳分离；销售人员与财务记帐人员分离等评价内控设计需考虑的问题：职责分离是否固化到内控程序；职责分离是否由系统实施；岗位职责的界定是否清晰；岗位职责能否被越过；管理层是否对职责的分离实施监督；等等注册企业风险管理师培训25主要控制方法介绍（续）3.会计系统控制举例：会计凭证控制（如会计凭证审核、凭证连续编号）；会计科目、财务账套的设置；会计复核（证、账、表记录相符）评价内控设计需考虑的问题：财务系统设置的修改是否保留记录；对修改的系统设置是如何测试的，如何授权修改的，系统的业务流量有多大，数据处理中的问题是如何发现的；是否存在关账检查清单；实施复核的频率；复核程序是否固化（是否有意外的复核要求）；复核中须关注些什么；复核程序是否留下审计轨迹；对于复核程序中发现的问题是如何跟踪调查的；跟踪调查是否及时;等等注册企业风险管理师培训26主要控制方法介绍（续）4.财务保护控制举例：限制接近现金、其他易变现资产、存货；定期盘点；资产保管、批准和记录职务分离有效性；会计资料妥善保管；往来对账机制；应收账龄分析及催收评价内控设计需考虑的问题：实施的频率；手工或自动实施;基础数据源的完整和准确性；实施程序是否固化成流程；岗位职责是否有效分离；如何分析发现核对差异；对核对差异的跟踪调查是如何实施的；是否留下审计轨迹；是否有管理层的复核；等注册企业风险管理师培训27主要控制方法介绍（续）5.预算控制举例：公司建立全面预算的管理体系（包括资本预算、经营预算及财务预算等）对公司经营活动实施有效控制，明确公司预算管理组织及其职责。加强对各单位预算执行的监控力度，维护预算刚性，集团根据全面预算的各项指标建立了经营业绩考核制度，对各被考核单位依据考核指标体系化和考核差异化管理的原则进行年度经营业绩考核和任期经营业绩考核。实行各公司工资总额与上年度业绩考核成绩相挂