内部控制与风险管理案例与操作

内部控制与风险管理——案例与操作为什么要说内控“基本规范”与”配套指引”近10多年来，中国商界风云诡谲，每隔一两年便有一些庞大而知名的企业轰然倒地。在《大败局》的众多案例中，那些曾经不可一世的企业家们缺乏现实的控制感和控制艺术大概是最为致命的弱项——仰融无法控制华晨、唐万新无法控制德隆、顾雏军无法控制科龙、宋如华无法控制托普、李经纬和赵新先无法控制他们一手创办的健力宝和三九，等等，一切悲剧都潜伏着惊人一致的逻辑。1981年，当有点口吃的杰克·韦尔奇被任命为GE新总裁后，他跑到洛杉矶附近的一个小城市去拜访当世最伟大的管理学家彼得·德鲁克，他问的第一个问题就是：“我怎么控制GE下面的上千家公司？”一切伟大的治理都是从学习控制开始的。——吴晓波《大败局》“基本规范”的5个5•5个目标•5个原则•5个要素•50条•5个部门•合规、资产、报告、经营、战略•全面性、重要性、制衡性、适应性、成本效益•内控环境、风险评估、控制活动、信息与沟通、内部监督•7章(总则+五要素+附则)5“配套指引”的实施62011-1-1，在境内外同时上市的公司2012-1-1，沪深主板择机，中小板和创业板鼓励，非上市大中型企业“配套指引”的结构7核心，“如何控制”，设计（建设）评价指引审计指引应用指引公司管理层自我评价CPA外部审计（鉴证、审核）咨询、培训审计注册会计师的新业务事务所不能同时做《配套指引》的结构8评价指引审计指引应用指引1.组织架构2.发展战略3.人力资源4.社会责任5.企业文化控制环境类控制手段类控制活动类6.资金活动7.采购业务8.资产管理9.销售业务10.研究与开发11.工程项目12.担保业务13.业务外包14.财务报告15.全面预算16.合同管理17.内部信息传递18.信息系统来龙去脉框架体系路线方向1、西方内控的五段路2、中国的内控之路3、内控理论1西方内控的五段路到源头去，到师傅那儿去内部控制的五段路121920~40年代1940~70年代21世纪以来内部牵制内控制度全面风险管理复杂性1980~90年代内控结构1990年代内控整体框架内部牵制阶段•以“物”为目的；•账目核对；设立不兼容岗位131920~40年代1女出纳贪污拆迁款250余万元14获刑无期她负责公章、拆迁款领取表、通知拆迁户签字领款；重复记账案例内部控制制度阶段•以“表”为目的•内控评价成为抽样审计的出发点，开始超出会计范畴。151940~70年代2会计记录会计控制管理控制直接间接要评价不评价内部控制结构阶段•以“法”为目的•水门事件1979反国外贿赂法•1979年，SEC新要求161974，尼克松辞职1980~90年代31988年，AICPA，审计准则公告第55号内部控制结构控制环境会计制度控制程序经营作风、人事政策、责任会计、内部审计确认、归集、分类、分析、登记、列报授权、职责分工、原始记录、接触控制、复核17内控是为合理保证企业特定目标的实现而建立的各种政策和程序。内部控制整体框架阶段•1985，Treadway委员会•1987，COSO成立•1992，发布“内部控制：整体框架”，1994修订•1996年，AICPA全面接受COSO报告181990年代4COSO是谁？•美国会计学会•美国注册会计师协会•财务经理协会•管理会计师协会•内部审计师协会19COSO“整体框架”20监督控制活动风险评估报告目标经营目标合规目标控制环境从理论模型到实务操作项目要素公司、单位、部门各层1、2…业务流程/循环1、2…作业…1.控制环境1.1无论设计、自评、外审，都要问，体现三大目标的各项制度：有没有？完整性好不好？合理性运行否？有效性1.1.1…2…22不同企业分项目不同，对各要素、控制点的提问不同。自上而下值得强调的新观点•动态：动态过程，管控融合•软化：环境影响，软性控制•全面：全员控制，强调责任•平衡：合理保证，成本效益23“鹿”死谁手？•运用内控五要素看三鹿事件•内控环境：股权分散，管理层强势•风险评估：采购原料奶的质量•控制活动：跑马圈地；无应急处理机制•信息与沟通：从隐瞒、否认到推卸责任•内部监督：04年“大头娃娃”、05年“早产奶”24案例在其他国家•加拿大COCO，1995•英国ICAEW，1999，Turnbull报告•巴塞尔银行监管委员会，199725全面风险管理阶段•2001，安然事件•2002，SOX法案•2004，ERM262000以来5安然事件•罪过–安然：债务和权益的假账–安达信：独立性；销毁审计档案•对审计的影响：–审计模式是制度基础还是风险导向审计；–如何确保独立性27SOX法案：乱世重典，逼娼为良•自出兵阿富汗以来，美国国会最协调一致的行动是在2002-7-15全票通过《公众公司会计改革及投资者保护法》“萨班斯－奥克斯利法案”(Sarbanes-OxleyAct)。28•其关键在于财务报告的可靠性。提供不实财务报告的，有可能被处以10~20年监禁的重刑——与持枪抢劫的最高刑罚相同。SOX法案第404条款•要求公司年报中包括一份“内部控制报告”，该报告应明确：–管理层负责建立内控–管理层评估内控的有效性29中国企业的美式挑战？企业风险管理(ERM)的定义•由企业的董事会、管理层和其他员工共同参与的，应用于企业战略制定和企业内部各个层次和部门的，•用于识别可能对企业造成潜在影响的事项并在其风险偏好范围内管理风险的，•为企业目标的实现提供合理保证的过程。30CRO，首席风险官为啥？谁做？做啥？ERM相比94版框架的变化•目标：增加战略目标，报告目标变广•风险观念：提出企业总体层面的风险组合•环境：提出风险偏好、风险容忍度概念•要素：–从控制环境到内部环境，更宽–新增目标设定、事项识别、风险应对三个要素32小结33•目标越来越高，范围越来越宽；•从单一机构主导，到多方合作；•丑闻、灾难促发进步；•美国即西方，美国即国际。中国人的特点对于内控的影响•规则与人情•精确与模糊•坦率与委婉•冒险与中庸•解剖与系统34•请评阅《兰德公司对中国人的评价》面子，信仰，诚信，教育……2中国的内控之路中国的内控发展：主要规范证监会证券公司内部控制指引2001-1中国人民银行商业银行内部控制指引2002-9财政部7项内部会计控制规范(试行)2001~04中注协企业内部控制审核指导意见2002-2银监会商业银行内部控制评价试行办法2004-836中国的内控发展：主要规范上交所上交所上市公司内部控制指引2006-5深交所深交所上市公司内部控制指引2006-9国资委中央企业全面风险管理指引2006-6五部委企业内部控制基本规范2008-5-22五部委企业内部控制应用指引(18项)、审计指引、评价指引2010-4-2637政出多门38小结：中国式内控发展的特点39•政出多门，群雄割据；•自上而下，上热下冷；•邯郸学步，亦步亦趋。困惑40治理还是控制？指引、施行？自愿还是强制？企业内部控制还是政府外部控制？上交所2006年指引的执行情况•强制要求披露内控制度实施情况，结果却被许多公司不理不睬。•业绩好的公司披露得多；注册会计师鉴证报告，全部通过，都没有重大缺陷！•“报喜不报忧，家丑不外扬”•“要我做”，不是“我要做”41“基本规范”的尴尬•要求：2009-7-1，上市公司实施42“兄弟们，上！”到底审不审？实施了吗？不实施怎么办？头儿•中国的企业内部控制标准委员会的领导：–主席：王军–秘书长：刘玉廷•COSO的主席：LarryRittenberg，美国威斯康辛大学安永教授43事儿44•2008-10，中国神华内部控制与风险管理实践的基础性成果•2010-6-15，所属2家企业挪用煤矿维简费4924万元，用于购置非生产用车辆、办公设备等支出2008年6月25日-28日，由中国内部审计师协会举办、中天恒会计师事务所协办的中国神华内控专题培训班案例内控软件商动起来了•用友NC内控与风险管理解决方案暨用友NC5.5产品•穆迪KMV公司宣布，由其研发的RiskAnalyst（风险分析）简体中文版将正式进入中国市场•SAP明确表示可以提供一揽子解决方案45CPA怎么办？•大势所趋，早作准备•任重道远，路漫漫兮•培育和挖掘需求，做好营销–谁需要内控？–为什么需要？–需要什么样的内控？463内控理论•内控的定义、类型•内控目标、作用为什么控制++控制什么谁来控制帮助达成组织目标风险:人，物与资金，信息董事会总裁室经理层员工层=内部控制的类型491预防性控制2检查性控制3纠正性控制4补偿性控制事前事中事后内控的目标COSO1994ERM2004基本规范战略目标经营目标报告目标合规目标安全目标50内控目标的关系51企业生存与发展战略目标经营目标报告目标分解反映安全目标合规目标前提保证卫士保安谋士高参合规目标：“小会计”玩转2亿元•2004年10月18日,北京市第一中级人民法院审理国家自然科学基金委员会会计卞中贪污挪用公款一案。•1995～2003年的8年贪污和挪用26笔，近2亿元,占整个基金会年掌控经费的1/10。被判处死缓,剥夺政治权利终身,并处没收个人全部财产。52卞中其人:其貌不扬；独来独往；沉默寡言；对女友宣称自己是中国首富案例大戏如何上演？•内控缺陷：–经费管理处无人监督、查账，一人掌控，–14年没有内部审计，基金委严重失察–办案人员：“查到最后感觉偌大一个基金委，拨款权实际上就掌握在一个会计手中”。•手法：–打包拨款，退汇重拨，以拨代收；–伪造银行进账单、对账单53案例经营目标54•管理企业就好比驾驶一辆车，车速越快，越需要好的控制系统。——[美]管理学家罗伯特·安东尼内控的作用：错弊三角理论55职业道德法律法规内部控制不愿不敢不能机会借口压力内控的作用：GONE理论•与三角论一样的，还是机会！•强调“贪婪”！56机会O需要N贪婪G暴露E–时间：2007年4月14日14时许；地点：河北邯郸市农业银行金库案值：近5100万元现金人民币被盗(一个多月)身份：两疑犯为银行现金管理中心管库员•农行河北省分行行长瞿建耀：“不出事是偶然，出事是必然。”•疑犯任晓峰：“我在逃跑的时候连饭都没心思吃，但是我看到彩票投注点就想下车买点，没什么其他想法，就是手痒痒。”57案例内控要素的意义•内部控制有效性的标准：每个构成要素的–存在，–合理，和–有效运行•这样，就能使董事会和管理层获得有关实现既定目标的合理保证。5960•有效的控制在很大程度上取决于选择关键控制点。1、内控环境内控环境概述•治理结构•机构设置/组织架构•发展战略•内部审计•人力资源政策•企业文化•社会责任62内部控制与公司治理•治理解决（内外、大小）股东之间、股东与经营者之间关系•内控帮助董事会、高管“向下”的问题•治理是根源、是体制63•治理是“神仙打仗”，内控解决不了公司治理的问题。“中航油事件”的反思•中航油新加坡公司于2001年底获批在新加坡上市。在取得中国航油集团公司授权后，自2003年开始做油品套期保值业务。但总裁陈久霖擅自从事石油衍生品期权交易。2004年12月，投机亏损5.54亿美元，向新加坡证交所申请停牌，向当地法院申请破产保护，成为继巴林银行破产以来最大的投机丑闻。64案例“中航油事件”的反思•“我们成立独立的风险管理部门，使风险管理日常化、制度化。公司成立跨部门的风险管理委员会；公司聘请了世界上最大的安永会计师事务所制定了《风险管理手册》及《财务手册》；采用目前世界上最先进的风险管理系统KiodexRiskWorkbench系统。”•“损失20万美元以上的交易要提交风险管理委员会评估。累计损失超过35万美元的交易须得到总裁同意才能继续。而任何将导致50万美元以上损失的交易将自动平仓。”65案例“中航油事件”的反思•当年的新加坡交易所“最佳治理公司”！•形式上十分完备、规范的公司治理并不能保证一定有效。66案例陈久霖权力过大中信泰富事件•2008年10月20日，港交所蓝筹股中信泰富发布警示公告：为锁定公司位于澳洲铁矿项目的开支成本，公司曾与银行签订的澳元累计目标可赎回远期合约，由