企业内部控制大纲doc

2020-03-03 13:07:22 来源：范文大全收藏下载本文

企业内部控制专题总结

目

录

内部控制概述 .............................................................................4

一、

二、

三、

四、

五、

六、

七、

八、内部控制相关概念 ...................................................................................................4 内部控制目标 ...........................................................................................................4 内部控制的原则 .......................................................................................................5 内部控制类型、要点、措施和方法 .......................................................................7 内部控制的范围 .......................................................................................................9 良好内部控制的特征 .............................................................................................10 内部控制的地位和作用 .........................................................................................10 企业内部控制的框架 .............................................................................................10 内部控制的五大要素 ...............................................................11

一、

控制环境 ...................................................................................................................11

二、

风险评估 ...................................................................................................................12

三、

控制活动 ...................................................................................................................14

四、

信息与沟通 ...............................................................................................................15

五、

监控 ...........................................................................................................................16 内部控制体系设计、实施与评价 ...........................................17

一、

内部控制体系设计考虑要点 ...................................................................................17

二、

内部控制体系设计基本方法 ...................................................................................18

三、

关键业务控制设计实务要点 ...................................................................................19

四、

内部控制体系建立与实施 .......................................................................................20

五、

内部控制体系评价要点 ...........................................................................................20 内部控制与相关管理实践的关系 ...........................................26

一、

内部控制与公司治理 ...............................................................................................26

二、

内部控制目标与平衡计分卡 ...................................................................................26

三、

内部控制与流程管理 ...............................................................................................26

四、

内部控制与操作风险管理及合规风险管理的关系 ...............................................26

五、

内部控制在企业全面风险管理中的作用 ...............................................................26

六、

内部控制体系与其他管理体系的关系 ...................................................................26 了解内部控制发展历史与未来发展趋势 ...............................26

内部控制概述

一、内部控制相关概念

1、

2、

3、管理控制内部控制

是一种控制风险的措施，是一种风险治理的解决方案，旨在最小化风险。

4、内部控制政策

是企业决策高层批准的所有风险控制目标和风险控制方向

5、内部控制活动

确保管理层的要求得以实施的政策及程序

6、内部控制体系

是一种动态过程和机制

7、内部控制自我评估

由企业操作人员、管理人员、审计人员开展的用以评估内部控制有效性

目的是对达成所有经营管理目标提供合理的保证

实现内部控制自我评估的方法一般包括：问卷调查、流程图、检查表

8、内部控制评价

包括过程评价和结果评价

过程评价：对控制环境、风险评估、控制活动、信息与交流、监督管理等进行评价

结果评价：对主要目标实现程度的评价

二、内部控制目标

内部控制的基本目标是：通过风险管理和内部控制来实现价值持续增加的经营目标。

1、战略目标

指企业价值最大化

企业董事会层面负责对战略控制目标的控制和监督

企业内部控制就是要将影响目标实现的各类风险控制在可接受水平之内

2、经营目标

经营的效率和有效性

3、报告目标

报告的可靠性、可信性、完整性、及时性

4、合规目标

遵循相关的法律法规，确保国家法律法规、监管当局、企业内部规章制度都体现和贯彻执行到企业所有的业务之中。

从财务审计标准看，内部控制的具体目标：

1、保护资产

2、保护会计记录的可靠性

3、及时提供可靠的财务信息

4、盈利和尽量减少不必要的花费

5、避免无意识的面临风险敞口

6、预防和查明错误和不正常现象

7、保证授予的职责得到正确履行

8、履行法律责任

三、内部控制的原则

1、全面性原则

 内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。

 内部控制体系是指企业为实现企业的经营管理目标所制定的一系列相互联系或相互作用的要素。

 内部控制体系应覆盖企业的各项活动和各个工作环节，覆盖所有部门和岗位，并由全体人员参与实施。

 内部控制体系包括分工合理、职责明确、报告关系清晰的组织机构  内部控制体系应明确各层级、部门、岗位的职责和权限；  内部控制体系规定实施风险管理的方法和要求。

2、重要性原则

应在全面控制基础上，关注重要业务事项和高风险领域。

3、制衡性

在治理结构、机构设置、权责分配、业务流程等方面相互制约、相互监督；

同时兼顾运营效率；

内部控制三层制约：执行层、内控管理层、审计监督层

4、适应性原则

应与企业经营规模、业务范围、竞争状况、风险水平等相适应，并随着情况变化及时调整；

5、成本效益原则

内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。

6、预防性原则

 切实做到预防为主，事前防范

 评估风险，对风险因素采取相应的风险控制措施，使各项活动处于受控状态，将可能发生的风险及风险造成的损失降低到最低限度，使风险达到可接受的水平

7、持续改进原则

 内部控制体系必须遵循的原则之一  内部控制体系所追求的永恒目标

 通过建立、实施和改进，形成一个自我完善、持续改进的风管和内控的动态过程和长效机制

8、合规性原则

经营管理活动与适用的法律、规章及标准、准则等相一致。

9、有效性原则

不仅要设计合理，还应考虑安排必要的监控措施和手段，保证有效性。

10、独立性原则

 内部控制的监督、评价部门应当独立于内部控制的建设、执行部门；  有直接向董事会、监事会、高级管理层报告的渠道。

11、权威性和优先性原则

12、可控性原则

 企业内部控制可以改变可控风险的特征（风险的影响程度或频度），不可改变不而控风险的特征；

 对可控风险可产生直接控制效果，对不可控风险通过应急措施期望达到风险发生时损失最小化。

13、与管理过程相结合原则

渗透到企业各项业务过程和环节

14、风险评估先导性原则

 企业内部控制的建设和持续的变更改进一定是基于企业定期或不定期的风险评估的结果改进建议而实施的；  风险评估师内部控制实施的决策基础。

四、内部控制类型、要点、措施和方法

1、控制类型

按控制过程顺序分：

——环境和结构控制

——政策控制

——预防性控制

——操作控制

——发现性控制

——纠错性控制

按控制目的分：

——预防型

——引导型

——探测型

——纠错型

2、控制要点 1）对于可能导致偏离内部控制政策、目标的运行情况，应建立并保持书面程序和要求，并在程序中规定人员适任条件要求、授权要求、操作要求和控制标准。

2）对于重要活动应考虑采用诸如“四眼原则”的制衡机制；实施连续记录和监督检查。

3）在可能的情况下，应考虑运用计算机系统进行控制。

4）对于采购或外包的设施、设备、系统和服务中已识别的风险，应建立并保持控制程序，并将有关程序和要求通报供方，确保其遵守企业相关的控制要求。

5）对于产品、组织结构、流程、计算机系统的设计过程，应建立有效的控制程序。

3、内部控制措施

控制措施涉及的范围：（用哪个包括但不限于此）

——目标控制

——指标控制

——标准控制

——决策控制

——预防控制

——政策控制

——制度控制

——组织控制

——结构控制

——员工素质控制

——信息控制

——流程控制

——程序控制

——关键风险点强化控制

——计划和预算控制

——预测和预警控制

——检测检查及监督控制

——审计控制

——记录控制

——报告控制

——追踪控制

——纠错控制

——试点控制

——绩效考核控制

通常采用的控制措施

——检查控制（要求下级及时报告）

——行为控制（职能部门审查报告、报表，提问题，要求整改）

——实物控制（实物限制、双重保管、定期盘存等）

——风险暴露限制的审查

——审批与授权（明确管理责任）

——验证与核实

——不兼容岗位的适当分离（预算与计划控制、会计控制、绩效控制、报告与信息披露控制、计算机与信息安全控制、应急控制）

4、控制方法

——前馈控制

（事前）

——实时性控制（事中）

——回馈控制

（事后）

五、内部控制的范围

依照战略、操作、财务、声誉四大板块绘制

六、良好内部控制的特征

1、及时

2、节约

3、责任感

4、配置

5、灵活性

6、确认起因

7、恰当

七、内部控制的地位和作用

八、企业内部控制的框架

1、目前企业内部控制框架的实施状况大纲建议的三维框架：目标层面：——战略目标

——运营目标

——报告目标

——合规目标

2、未来企业内部控制框架的发展

内部控制的五大要素描述与实施要点

一、

控制环境

1、控制环境要素描述

 是企业实施内部控制的基础，影响着组织中员工的控制意识；  是其他内部控制因素的基础，为内部控制界定了规则和结构；  一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

2、内部环境要素实施要点

1）公司治理

2）机构与管理职能

3）内部控制政策

内部控制政策应：

 与企业的经营宗旨和发展战略相一致；  体现持续改进内部控制的要求；  符合现行法律法规要求；

 规范内部控制实施的结构框架和过程框架；

 描述企业的风险偏好与风险容忍度，体现出侧重控制的风险类型；  体现出对不同地区、行业、产品的风险控制要求；  传达给适用岗位的员工，指导员工实施风险控制措施；  可为风险相关方所获取，并寻求互利合作；  定期进行评审，确保其持续的适宜性和有效性。 4）企业文化 5）人力资源

人力资源政策（主要包括但不限于）：  员工的聘用、培训、辞退与辞职。  员工的薪酬、考核、晋升与奖惩。

 关键岗位员工的强制休假制度和定期岗位轮换制度。  掌握重要商业秘密的员工离岗的限制性规定。  有关人力资源管理的其他政策。 6）风险管理 7）内部审计 8）管理手册

二、

风险评估

1、风险评估要素描述

1）风险评估：企业科学系统识别、分析和评价影响企业各级目标实现的所有风险因素、局部风险因素或特定领域风险因素的这一过程被称为风险评估。 2）风险评估：

 是企业了解风险和确定风险控制目标的依据  是企业识别控制环节和控制关键点的依据  是企业实施内部控制过程管理不可逾越的关键步骤  是企业实施全面风险管理的方法论支撑基础

3）风险评估的一个前提条件是要确立与不同级别相联系并内在统一的目标。

4）风险评估就是要识别并分析影响组织（企业）目标实现的相关风险，并为决定如何管理和控制这些风险提供决策依据。

5）由于经济、行业、法规和经营条件等的不断变化，相应的机制和风险也会产生改变，从而也要求风险评估的实施必须是及时的和周期持续的。

2、风险评估要素实施要点

1）风险评估相关概念和原则 ① 风险控制目标

② 固有风险、剩余风险和当前风险水平③ 风险忍受度

风险忍受度是企业能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平。

④ 关键风险

⑤ 风险评估技术和方法 2）风险识别

① 内部风险识别关注因素

 董事、监事、经理及其他高级管理人员的职业操守和决策水平/风格。

 员工专业胜任能力等人力资源因素。

 组织机构、经营方式、资产管理、业务流程等管理因素。  研究开发、技术投入、信息技术运用等自主创新因素。  财务状况、经营成果、现金流量等财务因素。

 营运质量和安全、员工健康、环境保护等安全环保因素。  信息的有效性、内部控制的有效性和公司治理有效性等识别。  合规风险的识别。  其他有关内部风险因素。 ② 外部风险识别关注因素

 经济形势、产业政策、投融资环境、市场竞争、资源供给等经济因素。

 法律法规、监管要求等法律因素。

 安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素。

 技术进步、工艺改进等科学技术因素。  自然灾害、环境状况等自然环境因素。  外部突发事件影响。  其他有关外部风险因素。 3）风险分析

企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析。

另外，在风险分析时还往往对风险的敏感性和不确定性等特征实施分析。

4）风险评价 5)风险治理对策

① 风险规避

② 移走滋生风险的根源

③ 改善风险的特征 ④ 风险分担/风险转移

⑤ 风险承受

⑥ 风险应对 6)选择内部控制这一风险改善对策的落实措施

三、

控制活动

1、

2、控制活动要素描述控制活动要素实施要点

1）企业应根据风险管理策略，针对各类风险或每一项重大风险制定风险管理解决方案。方案一般应包括: ——风险解决的具体目标 ——所需的组织领导

——所涉及的管理及业务流程 ——所需的条件、手段等资源

——风险事件发生前、中、后所采取的具体应对措施 ——风险管理工具。

2)企业制定风险管理解决的外包方案 ——应注重成本与收益的平衡 ——外包工作的质量 ——自身商业秘密的保护

——防止自身对风险解决外包产生依赖性风险 ——并制定相应的预防和控制措施。

3)企业制定风险解决的内控方案

——应满足合规的要求

——坚持经营战略与风险策略一致

——风险控制与运营效率及效果相平衡的原则

——针对重大风险所涉及的各管理及业务流程，制定涵盖各个环节的全流程控制措施

——对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施。

4)控制活动是体现控制政策的程序或行动，往往是控制措施的组合。常见的企业各项控制活动中的内控措施：

① 授权; ② 报告 ; ③ 批准 ; ④ 问责 ; ⑤ 审计检查 ; ⑥ 考核评价 ; ⑦ 重大风险预警 ; ⑧ 法律顾问 ; ⑨ 制衡，明确规定不相容职责的分离。

四、

信息与沟通

1、

2、信息与沟通要素描述信息与沟通要素实施要点 1）信息与沟通制度 2）信息收集 3）信息传递和沟通

4）以信息为基础的控制措施 5）文件信息控制 6）信息技术

五、

监控

1、监控要素描述

监控是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，并提议改进。

2、监控要素实施要点

1）内部控制监控制度

 企业应当根据相关规范制定内部控制监控制度

 明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监控中的职责权限

 规范内部监控的措施类别、程序、方法和要求  内部监控分为日常监督和专项监控。 2）内部控制缺陷认定

 企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。

 内部控制缺陷包括设计缺陷和运行缺陷。企业应当跟踪内部控制缺陷整改情况，并就内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。 3）内部控制自我评价

 企业应当结合内部监控情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。

 内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。国家有关法律法规另有规定的，从其规定。 4）监控报告

监控报告（除非就某一监控方面监管机构提出特别要求）因企业不同和因监控的目标任务不同而不同。一般监控报告应报告监控发现的事实和监控发现的潜在问题，有时也报告目标实现的可能性评估，如有必要也可给出就发现问题的应对建议。 5）记录控制

应建立相关文档的保存和记录制度，以规定内部控制相关活动中所涉及记录的标识、生成、贮存、保护、检索、保存期限和处置。

记录应保持清晰、易于识别和检索，以提供符合要求和内部控制体系有效运行的证据，并可追溯到相关的活动。

内部控制体系设计、实施与评价

一、

内部控制体系设计考虑要点

1、企业战略的澄清及确认；企业目标管理体系的建立。

2、企业内部控制政策的制订。

内部控制政策: ——企业的组织结构 ——运营模式 ——部门及岗位职责 ——授权 ——报告路线

——与目标相关的风险偏好及风险容忍度 ——风险管理基本对策

3、企业管理及业务流程（程序）的梳理、整合与优化；

4、了解和确认企业的风险管理目标和内部控制目标，遵循内部控制政策；

5、在遵循内部控制的原则基础上，识别、评估、监测、报告、控制和改进相关风险。

在设计企业内部控制时，在基于上述要点的基础上，还应进一步考虑以下内容：  有关控制指标界定或标准确定

 内部控制要识别和考虑企业关键业务、关键业绩、关键流程与关键控制点  预警考虑  考虑合规要求  考虑风险评估结果建议

 评价现有风险控制水平和风险控制能力  识别和确定企业所接受的风险控制水平 考虑控制成本

 评价控制措施与非控制措施的风险应对效果和成本，进而做出控制措施选择  基于企业关键风险控制点的内部控制的流程和程序设计  确定控制措施、程序和控制活动  从制度着手的内部控制

 从标准化和规范化角度着手的内部控制  确定应急措施  确定控制资源

 考虑常规控制和非常规控制，考虑风险控制的压力极限

 提出企业风险控制能力的建设和提升目标，设计合理的企业风险控制能力

二、

内部控制体系设计基本方法

企业内部控制体系的设计应至少体现以下主要方法： 1.原则为本的方法(Principle—Based Approach) 2.绩效为本的方法(Performance—Based Approach) 3.流程为本的方法(Proce—Based Approach) 4.职责为本的方法(Responsibility—Based Approach) 5.风险为本的方法(Risk—Based Approach) 6.体系为本的方法(System—Based Approach)

关键业务控制设计实务要点

1．企业内部控制的设计应包括战略、操作、报告、合规等几个层面。 2.在企业中最为关注的内控焦点仍然是基于关键业务、关键业绩、关键流程和关键风险点的内部控制的设计和有效运行的问题。

3.风险评估（包括风险识别、风险分析和风险评价三个阶段）在风险评估的评价阶段，评价内控水平：（1）确认关键风险点

（2）评估目前的内控水平状况（可适度测试）（3）确定适合于企业状况的内控应有水平（4）内控资源评价

4.基于风险评估的结果，为所选定的关键业务制订内部控制的框架方案

其中这一方案中应列出对已识别出来的每一个关键风险的控制措施，例如包括：

在这一关键业务中，围绕着某一被识别出来的关键风险点，可采用的控制行动包括：

（1）在遵从企业整体风险的管理政策的基础之上，为该关键风险制定风险管理政策（例如其中声明风险容忍度，合规要求，声明该关键风险的控制责任等）（2）制定风险管理计划（例如，该计划陈述落实风险管理政策的安排，并且还应包括应急计划预案等）

（3）考虑和设置预警（如有必要，或者有可能）（4）恰当的制定或修订管理制度

（5）以该关键风险治理和控制为思维出发点，考虑相关风险的关联性或可能的叠加效果

（6）围绕着关键风险点，设计合理与充足的各类控制活动

（7）将该关键风险的控制并入到所关注业务的流程控制中去，实施控制平衡（8）围绕关键风险点，结合各类控制活动，设定总体控制程序（9）为关键风险设置监控机制和报告机制（10）为关键风险设计周期性评价机制

5、实施关键风险的控制框架

6、监督上述框架的实施

7、不断改进这一框架

四、

内部控制体系建立与实施

建立和实施内部控制体系的方法包括以下步骤： 1.确定企业各相关方的需求和期望； 2.澄清及确认组织的战略和经营管理目标；

3.确定实现企业经营管理目标必需的组织机构、职责、权限，以及报告路线； 4.制订相关的内部控制政策、管理程序、业务流程； 5.识别相关风险，并制订相关控制措施； 6.确定和提供实现经营管理目标必需的资源；

7.规定测量（检查或考核）每个业务及管理过程和风险的方法；

8.识别与评估所产生的风险，并采取相应的控制措施改进管理并使剩余风险处于可接受水平；

9.建立和应用持续改进内部控制体系的过程，尤其包括自我评价、风险评估与报告、审计等；

10.不断优化控制环境，并与企业全面风险管理的大环境相吻合与协调。

五、

内部控制体系评价要点 1.内部环境

1)内部环境评价原则企业董事会：

应负责审批企业的策略和政策；

了解企业运作的风险（特别是关键性风险），确定企业对这些风险的承受力，并确保高级管理层采取必要措施识别、监管和控制这些风险；

审批企业机构的框架，确保高级管理层对内部控制体系的有效性实行监管。高级管理层：

有责任执行企业董事会审批的策略；制定合适的内部控制政策；监管内部控制体系的有效性。

企业董事会和高级管理层有责任提高自身的职业道德与廉洁自律的标准，在机构内部形成一种文化氛围，向各级人员说明并强调内部控制体系的重要性。

企业的各级人员都应了解其自身的岗责，都应具备完成其岗责的能力，都应了解他们在内部控制程序中所分配的角色和应起的作用，并应在这一程序中全力以赴履行各自的职责。

企业应建立健全全面风险管理体系，为企业内部控制的有效实施提供基础性、体系性和全面性的支持环境。 2）内部环境评价要点 ① 诚信与伦理价值观 ② 对员工能力的承诺 ③ 董事会与审计委员会 ④ 管理层经营理念与运作风格 ⑤ 组织结构 ⑥ 职权及分配 ⑦ 人力资源政策与实践 2．风险评估

1）风险评估评价原则

高级管理层应确保能够识别和评价可能对企业目标的实现产生不利影响的内部及外部风险因素。这种评价应包括企业所面临的各种风险，如战略风险、财务风险、信用风险、市场风险、运作风险、法律风险、信誉风险和合规风险等。

高级管理层应确保对影响企业实现其策略和目标的风险进行及时评估、连续评估或周期性实施评估，这可能需要对内部控制体系加以改进，以便有效地控制任何新的或以前未加以控制的风险，以便有效监控剩余风险的变化。

高级管理层应确保企业实施风险评估的方法正确、科学和得当，评估结果可信。尽可能提高风险评估标准化的程度。 2）风险评估评价要点 ① 企业组织的总体目标

 企业的总体目标是否就企业的目的和指导原则作了有效规定，同时这些规定又能与企业的经营直接联系起来。  雇员和董事会是否了解企业的总体目标。  企业策略与企业总体目标的关系及一致性

 企业经营计划和预算与企业总体目标、策略计划和目前状况是否一致。 ② 经营目标

 经营目标及总体目标、策略计划之间是否存在联系。  经营目标之间是否相互联系

 经营目标同所有的重大业务是否具有相关性  经营目标的具体化

 是否具有实现目标所需要的资源

 确定与实现总体目标相关的关键目标（重要成功因素）

 各级管理层在目标制定过程中的参与程度，及他们对待这些目标的严肃性。 ③ 风险评估过程和方法评价

风险评估方法的科学性和风险评估过程的组织方式等均影响到风险评估控制要素所产生结果的可信度，进而影响到整个企业内部控制体系的建设基础和相应的资源配置。因此，应对企业风险评估结果的可信性实施评价和校正。  风险评估过程中对风险关联性的考虑程度与合适度  是否具有恰当的发现内部风险的机制  企业是否具备适当机制来发现外部风险  企业参与风险评估的人员素质评价

 风险识别的透彻性评价，特别指识别与实现企业重大经营目标有关的重要风险，是否识别的透彻和无明显遗漏

 风险分析过程的完整性、科学性和相关性，包括对风险大小的估计，对其发生的可能性分析并决定需要采取何种行动。

 风险评估方法的科学性评价，风险评估结果的可信性评价 ④ 管理变化状况评价

经济、行业管理环境在不断变化，企业也在发展，因此需要有某种机制发现这些变化并对变化的情况作出反应。

 是否存在某种机制对日常事务或影响经营和总体目标实现的其他活动进行预测、识别和采取适当措施（如果某项活动很容易受环境变化的影响，那么这种机制就应由负责这项活动的经理来管理）。

 是否存在某种机制，识别可能对整个企业产生重大全面影响的变化并对之作出反应，从而引起最高管理层的重视。  新雇员

 新的或重新设计的信息系统  迅速发展  新技术

 新方法、新产品、新经营活动、收购新公司  公司重组  跨国经营 3．控制活动

1）控制活动评价原则 2）控制活动评价要点

 是否为企业的每一次经营活动都制定相应政策及实施程序  现有控制活动是否得到充分实施

 围绕着企业每一个关键风险点的控制活动分派是否完善和充足。 4．信息与沟通

1）信息与沟通评价原则