隔离器公司内部控制评估【参考】

泓域/隔离器公司内部控制评估隔离器公司内部控制评估目录一、 产业环境分析3二、 光器件市场竞争格局3三、 必要性分析4四、 家族治理模式的主要内容5五、 家族治理模式的产生9六、 公司治理与公司管理的关系11七、 公司治理模式差异论12八、 公司治理的主体16九、 公司治理的力量源泉17十、 审计工作计划与实施19十一、 审计范围与审计目标24十二、 内部控制评价的组织与实施26十三、 内部控制评价工作底稿与报告37十四、 内部控制38十五、 内部牵制41十六、 内部控制的局限性44十七、 内部控制的重要性47十八、 公司简介50公司合并资产负债表主要数据52公司合并利润表主要数据52十九、 项目基本情况53二十、 法人治理结构60二十一、 项目风险分析74二十二、 项目风险对策77二十三、 发展规划分析78二十四、 SWOT分析说明81一、 产业环境分析建设高质高效、持续发展的经济发展强市。经济保持平稳较快增长，产业结构优化升级，实体经济不断壮大，质量效益明显提高。创新驱动成为经济社会发展的主要动力，科技创新能力明显增强。区域协同发展取得明显成效，开放型经济达到新水平。产业强市成效显著，项目建设鳞次栉比，传统产业优化升级，新兴产业蓬勃兴起，现代农业和服务业迅猛发展、蒸蒸日上，市域综合经济实力和影响力迈上新台阶。建设生态良好、环境优美的秀美生态城市。城镇化进程进一步加快，中心城区综合服务功能大幅提升，中小城市和特色小城镇格局基本形成，城镇化率达到60%以上。生态文明建设加快推进，具备条件的农村基本建成美丽乡村。节约型社会、循环经济深入发展，主要污染物减排如期实现省下达目标任务，森林覆盖率大幅提升，环境质量明显改善，经济、人口与资源环境相协调的发展格局初步形成。二、 光器件市场竞争格局光电子器件行业产品种类繁多，不同企业针对不同领域具有特定的优势，目前国内企业在光无源器件市场已经具备了一定的竞争力，但在光有源器件市场,基本由外资品牌主导。目前全球光无源器件市场的主要参与者有II-VI公司、朗美通(Lumentum)、菲尼萨(Finisar)、新飞通(NPTN)、住友电工(Sumitomo)等；国内企业主要有昂纳科技、光迅科技、博创科技、太辰光、特发信息等。全球光有源器件市场的主要参与者有菲尼萨(Finisar)、奥兰若(Oclaro)、住友电工(Sumitomo)、朗美通(Lumentum)、相思通信(Acacia)、富士通(Fujitsu)等；国内市场参与者有苏州旭创、新易盛、海信宽带、易飞扬、昂纳科技等。三、 必要性分析1、现有产能已无法满足公司业务发展需求作为行业的领先企业，公司已建立良好的品牌形象和较高的市场知名度，产品销售形势良好，产销率超过 100%。预计未来几年公司的销售规模仍将保持快速增长。随着业务发展，公司现有厂房、设备资源已不能满足不断增长的市场需求。公司通过优化生产流程、强化管理等手段，不断挖掘产能潜力，但仍难以从根本上缓解产能不足问题。通过本次项目的建设，公司将有效克服产能不足对公司发展的制约，为公司把握市场机遇奠定基础。2、公司产品结构升级的需要随着制造业智能化、自动化产业升级，公司产品的性能也需要不断优化升级。公司只有以技术创新和市场开发为驱动，不断研发新产品，提升产品精密化程度，将产品质量水平提升到同类产品的领先水准，提高生产的灵活性和适应性，契合关键零部件国产化的需求，才能在与国外企业的竞争中获得优势，保持公司在领域的国内领先地位。四、 家族治理模式的主要内容（一）以血缘关系为纽带的高度集中的股权结构在韩国和东南亚的家族企业中，家族成员控制企业的所有权或股权表现为五种情况。第一种情况，企业的初始所有权由单一创业者拥有，当创业者退休后，企业的所有权传递给子女，由其子女共同拥有；第二种情况，企业的初始所有权由参与创业的兄弟姐妹或堂兄弟姐妹共同拥有，待企业由创业者的第二代经营时，企业的所有权则由创业者的兄弟姐妹的子女或堂兄弟姐妹的子女共同拥有；第三种情况，企业的所有权由合资创业的具有血缘、姻缘和亲缘的家族成员共同控制，然后顺延传递给创业者第二代或第三代的家庭成员，并由他们共同控制；第四种情况，家族创业者或家族企业与家族外其他创业者或企业共同合资创办企业时，由家族创业者或家族企业控股，当企业股权传递给家族第二代或第三代后，形成由家族成员联合共同控股的局面；第五种情况，一些原来处于封闭状态的家族企业，迫于企业公开化或社会化的压力，把企业的部分股权转让给家族外的其他人或企业，或是把企业进行改造，公开上市，从而形成家族企业产权多元化的格局，但这些股权已经多元化的家族企业的所有权仍由家族成员控制着。上述五种情况中的每一种情况，在韩国和东南亚的家族企业中都大量存在着，而且包括了韩国和东南亚家族企业所有权或股权由家族成员控制的基本概况。在印度尼西亚、马来西亚、泰国、新加坡4个国家以及中国香港地区，一半以上的上市公司为家族所控制，比例分别为71.5%、67.2%、61.6%、55.4%、66.7%，韩国、菲律宾两个国家以及中国台湾地区的上市公司中由家族控制的比例略低些但也分别达到了48.4%、44.6%、48.4%。（二）所有权、控制权与经营权的高度统一东亚公司的控股家族普遍参与公司的经营管理与投资决策，家族控制的董事会在公司中掌握实权，控股股东往往通过控制董事和经营者人选来控制公司，1994年评选出的1000家最大华人企业中，董事长和经理之间有亲属关系的占82%，只有18%的企业雇佣没有亲属关系的职业经理。从表41中可以看出，东亚公司的所有权与控制权之比除了印度尼西亚和新加坡略低于0.8外，我国台湾为0.832，其他国家和地区均为0.85以上，最高的泰国为0.941，说明东亚国家公司的所有权与控制权保持了高度统一。东亚国家和地区平均66.8%的公司由控股股东控制董事和经营者人选，在印度尼西亚和韩国，80%以上控股股东支配所持股公司的董事和经营者人选，最高经营者往往来自控股股东家族，由此形成了东亚国家公司所有权、控制权与经营权高度统一的独特模式。（三）家庭化的公司管理公司决策方面，由于公司股权结构的特点和儒家伦理道德的影响，在韩国和东南亚家族企业中，企业的决策被纳入了家族内部序列，企业的重大决策如创办新企业、开拓新业务、人事任免、决定企业的接班人等都由家族中的同时是企业创办人的家长一人做出，家族中其他成员做出的决策也需得到家长的首肯，即使这些家长已经退出企业经营的第一线，但由家族第二代成员做出的重大决策，也必须征询家长的意见或征得家长的同意。当家族企业的领导权传递给第二代或第三代后，前一代家长的决策权威也同时赋予第二代或第三代接班人，由他们做出的决策，前一辈的或同一辈的其他家族成员一般也必须服从或遵从。但与前一辈的家族家长相比，第二代或第三代家族家长的绝对决策权威已有所降低，这也是家族企业在第二代或第三代出现矛盾或冲突的根源所在。企业员工管理方面，韩国和东南亚的家族企业不仅把儒家关于“和谐”和“泛爱众”的思想用于家族成员的团结上，而且还推广应用于员工管理上，经营者对员工的管理不完全是雇用关系，就像对待自己的儿女一样，形成了一种和谐共处的环境。通过提高员工公共福利增强员工的归属感、凝聚力，培养企业内部的家庭化氛围，使员工产生一种归属感和成就感。例如，马来西亚的金狮集团，在经济不景气时不辞退员工，如果员工表现不佳，公司不会马上开除，而是采取与员工谈心等方式来分析问题和解决问题，这种家庭式的管理氛围在公司中产生了巨大的力量。印度尼西亚林绍良主持的中亚财团，对工龄在25年以上的超龄员工实行全薪退休制，使员工增加了对公司的忠诚感；再如，韩国的家族企业都为员工提供各种设施或条件，如宿舍、食堂、通勤班车、职工医院、浴池、托儿所、员工进修条件等。韩国和东南亚家族企业对员工的家庭式管理，不仅增强了员工对企业的忠诚感，提高了企业经营管理者与员工之间的亲和力与凝聚力，而且还减少并削弱了员工和企业间的摩擦与矛盾，保证了企业的顺利发展。（四）经营者激励、约束双重化在韩国和东南亚的家族企业中，经营者受到了来自家族利益和亲情的双重激励和约束。一方面企业经营者为家族成员的利益奋力拼搏，将对家庭成员的责任感与使命感加诸在日常管理中，视企业为自己的生命，能产生非家庭企业经理层难以比拟的动力；另一方面为了家族事业的发扬光大，为了维护家庭成员之间的亲情，为了一个有荣耀、和谐、富有的大家庭，必须努力工作。这种来自家族经济利益和家族亲情的双向激励与约束是家族企业的重要特征。因此，与非家族企业经营者相比，家族企业的经营者的道德风险、利己主义倾向发生的可能性较低，对经营者的监督和约束降低了代理成本。五、 家族治理模式的产生理论界对于家族企业还没有准确定义。钱德勒定义为：企业创始者及其最亲密的合伙人和家族掌管大部分股权，他们与经理人员维持紧密的私人关系，且保留高层管理者主要的决策权，特别是在有关财务政策、资源分配和高层人员选择方面。哈佛大学教授唐纳利认为，家族企业是指同一家族至少有两代参与这家公司的经营管理，并且两代衔接的结果使公司政策和家族利益与目标有相互影响的关系。席西民和赵增耀认为，家族企业是以血缘关系为基本纽带，以追求家族利益为首要目标，以实际控制权为基本手段，以亲情第一为首要原则以企业为组织形式的经济组织形式。家族企业作为世界上最具普遍意义的企业组织形态，在世界经济中有着举足轻重的地位，在全世界企业中占65%80%，主要存在于东亚的韩国、新加坡、马来西亚、印度尼西亚、菲律宾、泰国等地区，此模式也称为东亚家族治理模式。第二次世界大战结束后，随着西方殖民体系的崩溃，东亚国家相继摆脱了殖民统治，从20世纪50年代起纷纷走上了利用本国企业发展工业化的道路。由于缺乏成熟的资本市场，东亚各国没有经历资本原始积累过程，用于创建和发展企业的资金多是家庭成员内部积累而来。且部分企业发展历史也是由家族企业向公众企业发展的历史，而东亚地区公司主要是在第二次世界大战以后创立的，其发展只有几十年历史，因此以家族控制模式为主是企业发展到一定历史阶段的必然选择。这些国家也深受儒学思想影响，儒学在体制上强调中央集权和等级有序；在教化上强调以德治为主；在人际关系上强调“忠孝一致”，强调家族血亲的力量，以宗为本。这些思想在企业治理中也得到了体现：在企业中注重家庭的凝聚力、家长制和集权统一，重视企业权力在血缘关系中的传播，注重员工的家庭化、亲善化管理，重视员工对企业的忠诚以及对长辈的孝顺，强调秩序重于自由。在东亚地区华人占了居民总数的相当部分，例如，在马来西亚约占30%，在泰国约占12%，在越南约占2%。面对西方殖民主义者及土著人的不公正对待，为了保守企业秘密维持企业发展，家族模式是最好的选择。因此东亚地区的家族治理模式的产生有其经济、历史、文化的必然性。 第二次世界大战后，在美国的援助下，韩国实施了以轻工业替代战略为核心的经济重建工作，私营家族企业进入了创业期。原日本统治时期的公营企业和日本人的私人企业，几乎全部以较低的价格出售给了企业家、军政人员和其他人员，许多家族企业因此而起家。随着西方殖民体系的崩溃，外国资本逐步从东南亚国家退出，家族企业有了相对宽松的生存空间，通过购并、控股、参股形式，控制了过去被西方资本控制和垒断的行业，企业有了迅猛发展。20世纪80年代以来，东亚家族企业经营的产业层次不断提高，在越来越多的高新技术产业领域薪露头角，多元化经营范围进一步扩大。许多大型家族企业开始采用跨国公司战略，经营业务的国际化程度不断提高。这一时期，随着国内外合资、合作范围的扩大，上市公司数量的不断增多，华人家族企业公开化和社会化程度的不断提高，在家族成员仍然控制企业所有权的情况下，家族企业所有权出现了多元化格局：许多企业的领导权开始向第二代或第三代传递，来自家族外的高级经营管理专门人才开始大量进入企业，并占据了部分高层管理职位。六、 公司治理与公司管理的关系公司治理关心的是“公司应走向何方”，而公司管理关心的是“公司怎样到达那里”。公司治理的核心是确定公司的目标并保证决策的科学性，公司管理的核心是确定实现目标的途径。管理是运营公司，治理是确保这种运营处于正确的轨道。两者都是针对同样的终极目标，即实现财富的有效创造，只是扮演的角色不同，公司治理通过建立权力制衡的机制而实现其机能，公司管理是对组织资源进行有效整合以达成既定目标。KennethDayton认为，治理与管理是“一个硬币的两个面”，谁也不能脱离谁而存在。治理规定了整个企业运作的基本网络框架，管理则是在这个既定的框架下驾驭企业奔向目标。缺乏良好治理模式的公司，就像一座地基不牢固的大厦一一没有公司管理体系的畅通，单纯的治理模式也只能是一个美好的蓝图，缺乏实际的内容。纵观管理理论的发展，从泰勒的科学管理思想、梅奥的人际关系理论、波特的竞争战略研究到哈默的企业再造理论，企业管理理论与相应的管理实践范围由小到大，由刚性的管理措施逐步发展到注重组织、个体行为的柔性管理理念，由企业的作业管理层次发展到从战略到作业的全方位管理。早期的公司管理注重作业层，与公司治理几乎是分割的。进入20世纪80年代后，由于竞争的激烈，制订战略成为企业发展首要考虑的问题，公司管理的重心转向战略管理，这一转变使公司管理与公司治理开始有了共同的领域，并日益融合。战略管理一般包括两个部分，即战略规划和战略实施，其过程又可分为提议、批准、贯彻和监督四个阶段。战略管理一般由总经理提出战略动议，经过董事会（股东大会）批准认可，然后再由总经理组织分解、贯彻和实施，同时此过程又受到董事会等的监督和控制。因此，战略管理的参与者即是公司治理、公司管理中各个层次的集合体，治理层负责批准和监督，管理层负责提议和实施。由此，公司治理与公司管理之间的连接点在于公司的战略管理层次，特里克对两者的关系做了形象的图示分析。七、 公司治理模式差异论根据新古典综合学派的效率理论可知，不同的公司其治理机制的效率也是不同的。不同的经济任务、不同的经济环境必然也将产生不同的公司治理结构，迄今为止，没有任何一种公司治理模式被证明放之四海而皆准，那么，这种公司治理模式之间的差异就必将存在着。几种公司治理模式的产生都是与其具体的市场条件和政治、历史因素密切联系的。治理模式差异论认为，由于经济、政治、文化等方面的差异以及历史传统和发展水平的不同，致使世界上很难存在唯一最佳的公司治理模式。（一）历史传统哈佛大学教授卢西恩伯查克和马克罗伊共同发现路径依赖理论，即一国的公司治理模式不可避免地受到先前存在的公司制治理结构的影响，也不可避免地沿着先前的公司治理结构的基本轨迹与方向发展，由此导致了各国在先前由于其不同的环境甚至是历史条件而形成不同的公司治理模式。因为：第一，怎样建立有效的公司治理模式通常是有章可循的；第二，现有的公司治理模式缺陷会随着公司运营逐渐显现，但公司内部既得利益者为了维护其自身利益，会阻止对公司治理模式进行变革，维护其既得利益。由此可知，即使竞争效率的压力和全球趋同化仍然存在，但公司治理结构的不同不可能消失。（二）经济条件经济条件上，“外部控制型”的英美公司治理模式，主要依赖于完善的外部资本市场来对经理层进行有效的监控，而“内部控制型”的德日公司治理体制，则依赖于公司内部监控机制作用的发挥。如果德国模式迎接敌意收购和股东导向型董事会，那么，德国就会出现既没有劳工影响的董事会，也没有契约和劳动力市场的保护监控机制，这样的治理模式将会是不可想象的。在制度的选择过程之中，国家利益以及政治选择等因素都影响公司治理模式的选择。例如，美国政府对财产权实施了较为充分的保护，所以在美国就形成了外部治理的机制和市场导向型模式；而韩国政府对公司的监管和对贷款的分配，则形成了家族导向型和政治管制型模式。经济条件上的巨大差异，导致各国在对公司治理体制上所做选择的巨大差异。一国经济体制在某一时点所拥有的规则依赖于并且反映该经济体制最初拥有的所有权结构和治理结构。总之，各种治理模式的存在和发展在一定程度上体现了各国的特色和适应了本国经济的发展，虽然近年来，以英国、美国为代表的外部控制模式和以德国、日本为代表的内部控制模式这两种典型的模式都发生了显著变化，呈现出一定程度上的趋同。但是，这种趋同仅仅是相对的，各种模式在变革的过程中都没有完全偏离各自原先的轨道。公司治理模式不会因为经济全球化而完全趋同。（三）政治影响哈佛大学教授马克罗伊认为政治因素的主导作用是造成各国公司治理模式差异性的主要成因。在强管理者，弱所有者：美国公司财务的政治根源中，他指出，政治影响产生了美国大中型公司的不紧密的股权模式。究其根本原因是美国政府本着政治利益，力主弱化金融资本的影响力，据此来束缚金融机构的规模和经营范围。接下来罗伊教授又在公司治理中的政治决定因素这本书中接着提到，欧洲本土的治理结构与美国公司不同，主要决定于是否存在“社会民主”的政治传统，个人本位和平民思想比较重。因此，分散的股权结构会凸显其高效。在欧洲本土根深蒂固的民主传统下，注重整体利益，看重的是分配，如果出现雇员利益和股东权益相冲突时，高层一般会向前者倾斜。所以，在政治社会民主前提下，大众公司相较私人公司产生股东和管理层的代理成本的风险更大。这种风险的防范措施即是集中持股通过相对比较保密的会计制度直接对管理层进行监督，大股东能够防范将公司资源应用于其他利益相关者的压力一一这也是欧洲本土缺少公共公司的原因所在。如若试图对制度进行改革，则必须至少考虑到两个因素：一是新制度必须更加有效率；二是新制度的效率必须足以使制度转型的收益大于成本。只有在保证新制度效率和新制度能够取得更大收益的前提下，才能考虑制度的转型，否则现有利益控制者就会拒绝这种转型。因此，转型必须在能够产生相当大的利益的情况下才会发生。八、 公司治理的主体公司治理的主体是指治理的控制权在谁手中，在公司治理涉及的各利益相关者（包括股东、债权人、供应商、雇员、政府等）中，究竟哪一方在整个流程中起主导地位。根据对这个问题的回答，可以将公司治理模式分为股东治理模式和利益相关者治理模式。（一）股东治理模式该治理模式的理论基础是：股东向企业投入了专用性资产，是企业风险的最终承担者，理应享受因经营发展带来的全部收益，因此公司治理的目标应是股东财富最大化，股东应独享企业所有权。在这种股东至上的一元治理模式下，股份持有相对集中，大股东持有比例一般在50%以上：股票流动性差，持股的主要目的是控制公司；大股东掌握公司的控制权，公司所有权与公司控制权相统一。传统的公司法所体现的也是这种“股东大会中心主义”的模式，即股东大会享有公司的各种权力，董事会只享有法规和公司章程规定的有限权力，仅是股东大会决议的执行者和股东大会的附庸。（二）利益相关者治理模式随着现代企业制度的发展，公司中的利益相关者的地位和作用发生了明显的变化，此种治理模式开始出现。财务资本、知识资本等各种资本所有者在不断的博奔后，最终将通过参与企业的控制权和剩余分配权加入公司治理模式中。当非股东方提供了对企业生存发展至关重要的关键性资源或提供了与股东提供的资源相当时，股东独大的局面就会发现变化，公司控制权将被分割，多方主体共同经营，继而产生了利益相关者共同治理的公司治理模式。这种治理模式又先后经历了股东、管理者共同治理，股东、管理者、员工共同治理，以及利益相关者共同治理三种模式。此种模式在德日两国较为常见。利益相关者治理模式与股东治理模式的根本区别在于谁拥有剩余企业控制权和剩余索取权。在英美，70%以上的企业经理人认为股东的利益是第一位的；而在法国、德国和日本，绝大多数企业经理人认为企业存在的最终目的是实现所有利益最大化。九、 公司治理的力量源泉公司治理的实质在于治理主体对治理客体的监督与制衡，以解决因信息不对称而产生的逆向选择和道德风险问题。从公司治理的力量源泉来看，公司治理模式可以分为：外部控制主导型公司治理模式、内部控制主导型公司治理模式和家族控制主导型公司治理模式。（一）外部控制主导型公司治理模式外部控制主导型公司治理模式又称市场导向型公司治理，是指外部市场在公司治理中起着主要作用。虽然该种模式中董事会作为公司治理的核心同样兼有决策和监督双重职能，非执行董事也承担一定的监督职能，但这种治理主要是以大型流通性资本市场为基本特征，公司大都在股票交易所上市。其存在的具体外部环境是：非常发达的金融市场、股份所有权广泛分散的开放型公司、活跃的公司控制权市场。在这些外部条件确立的情况下，公司控制权的竞争在股票市场上是相当普遍的现象。公司经营者的业绩大幅下降，公司股票价格就会随之下跌，当实力集团认为有利可图时，就会出现股票市场上的收购现象，持股比例的变化带来公司控制主体的变化，公司股东和高层管理人员的地位也会随之改变，这种约束和激励的形式被称为接管机制。这种机制是来自外部的对企业经营者约束和激励的核心。（二）内部控制主导型公司治理模式内部控制主导型公司治理模式又称为网络导向型公司治理模式，是指股东（法人股东）、银行（一般也是股东）和内部经理人员在公司治理中起着主要作用，资本流通性相对较弱，外部证券市场不十分活跃。金融机构及个人通过给公司巨额贷款或持有公司巨额股份而对公司及代理人进行实际控制，依其对公司的长期贷款与直接持股而实现对公司重大决策的参与，使公司及代理人决策受到其支配。（三）家族控制主导型公司治理模式家族控制主导型公司治理模式是指家庭占有公司股权的相对多数，企业所有权与经营权不分离，家族在公司中起着主导作用的一种治理模式。该种公司治理机制以血缘为纽带，以对家庭成员内的权力分配和制衡为核心。由于血缘关系的存在，这种家族关系能在一定程度上减少以代理成本为代表的治理成本。家族中的信任和忠诚在一定程度上克服了由利己主义引起的代理成本，从而减少了股权成本。正如加里贝克尔所说，“家庭内部的配置大部分是通过利他主义和有关的义务确定的，而厂商内部的配置大部分通过隐含的或明显的契约确定”。这样，家族企业在一定程度上消除了代理成本的根源，这应该有助于公司治理作用的发挥。也是因为家庭的原因，董事会、监事会和股东会同时设立，但公司的重要决策仍是以企业家的家人为决策方式为主，私营企业主独揽大权，有关机构的设立并未发挥应有的作用。十、 审计工作计划与实施（一）审计工作计划企业内部审计指引第六条的规定：注册会计师应该恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导。企业内部审计指引第七条的规定：在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响：与企业相关的风险；相关法律法规和行业概况；企业组织结构和经营特点、资本结构等相关事项；企业内部控制最近发生变化的程度：与企业沟通过的内部控制缺陷；重要性、风险等与确定内部控制重大缺陷相关的因素对内部控制有效性的初步判断；可获取的、与内部控制有效性相关的证据的类型和范围。注册会计师应当以风险评估为基础，选择拟测试的控制，确定测试所需收集的证据。内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多。注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用内部审计人员、内部控制评价人员和其他相关人员的工作以及可利用的程度，相应减少本应由注册会计师执行的工作。注册会计师利用企业内部审计人员、内部控制评价人员和其他相关人员的工作，应当对其专业胜任能力和客观性进行充分评价。注册会计师应当对发表的审计意见独立承担责任，其责任不因为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻。（二）审计工作实施企业内部审计指引第十条规定：注册会计师应当按照自上而下的方法实施审计工作。自上而下的方法是注册会计师识别风险，选择拟测试控制的基本思路。注册会计师在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行。“自上而下”的方法始于财务报表层次，以注册会计师对财务报告内部控制整体风险的了解开始，然后注册会计师将关注重点放在企业层面的控制上，并将工作逐渐下移至重大账户、列报及相关的认定。1、识别企业层面控制通过了解企业与财务报告相关的整体风险，注册会计师可以识别出为保持有效的财务报告内部控制而必需的企业层面内部控制。注册会计师测试企业层面控制，应当把握重要性原则，至少应当关注以下几方面。（1）与内部环境相关的控制。内部环境，即控制环境，包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。在评价控制环境的设计时，注册会计师应当考虑构成控制环境的下列要素，以及这些要素如何被纳入企业业务流程：对诚信和道德价值观念的沟通与落实；对胜任能力的重视；治理层的参与程度：管理层的理念和经营风格；组织结构；6职权与责任的分配；人力资源政策与落实。（2）针对董事会、经理层凌驾于控制之上的风险而设计的控制。注册会计师可以根据对企业舞弊风险的评估做出判断，选择相关的企业层面控制进行测试，并评价这些控制能否有效应对管理层凌驾于控制之上的风险。注册会计师应当特别关注由于管理层凌驾于账户记录控制之上，或规避控制行为而产生的重大错报风险，并考虑企业如何纠正不正确的交易处理。（3）企业的风险评估过程。包括识别与财务报告相关的经营风险和其他经营管理风险，以及针对这些风险采取的措施。注册会计师在对企业整体层面的风险评估过程进行了解和评估时，考虑的主要因素可能包括：企业是否已建立并沟通其整体目标，并辅以具体策略和业务流程层面的计划；是否已建立风险评估过程，包括识别风险，估计风险的重大性，评估风险发生的可能性以及确定需要采取的应对措施；是否已建立某种机制，识别和应对可能对企业产生重大且普遍影响的变化；会计部门是否建立了某种流程，以识别会计准则的重大变化；业务操作发生变化并影响交易记录的流程时，是否存在沟通渠道以通知会计部门；风险管理部门是否建立了某种流程，以识别经营环境，包括监管环境发生的重大变化。（4）对内部信息传递和财务报告流程的控制。注册会计师应当从下列方面了解与财务报告相关的信息系统：对财务报表具有重大影响的各类交易；在信息技术和人工系统中，交易生成、记录、处理和报告的程序；与交易生成、记录、处理和报告有关的会计记录、支持性信息和财务报表中的特定项目；信息系统如何获取除各类交易之外的对财务报表具有重大影响的事项和情况；企业编制财务报告的过程，包括做出的重大会计估计和披露。财务报告流程的控制可以确保管理层按照适当的会计准则编制合理、可靠的财务报告并对外报告。（5）对控制有效性的内部监督和自我评价。企业对控制有效性的内部监督和自我评价可以在企业层面上实施，也可以在业务流程层面上实施，包括对运行报告的复核和核对、与外部人士的沟通、对其他未参与控制执行人员的监控活动，以及将信息系统记录数据与实物资产进行核对等。2、识别业务层面控制注册会计师测试业务层面控制，应当把握重要性原则，结合企业实际内部控制各项应用指引的要求和企业层面控制的测试情况，重点对生产经营活动中的重要业务与事项的控制进行测试。注册会计师应首先确定企业的重要业务流程和影响重大账户的重要交易类别，了解重要交易从发生到记入账目的整个流程，与重大账户及其相关认定相结合，在重要交易整个流程中确定错报可能会在什么环节发生，即确定相应的控制目标；然后根据确定的审计测试策略、计划对内部控制进行进一步了解和评估，对重要交易流程中设计的防止或发现并纠正可能错报的相关控制加以识别；再通过执行穿行测试，来证实对重要交易流程和相关控制的了解，并确定相关控制是否得到执行；最后对相关控制的设计和是否得到执行进行评价，以确定进一步的审计程序。十一、 审计范围与审计目标内部控制作为企业中一项重要的管理活动，用来促进提高经营的效率效果，实现企业的发展战略。一些国家和地区，如美国、日本、欧盟等对内部控制审计已提出强制性要求。同样，我国企业内部控制基本规范中除了要求企业为其内部控制的设计与运行情况进行全面的评价、披露年度自我评价报告外，在第十条中明确指出：上市公司和非上市大中型企业聘请符合资格的会计师事务所，根据规范及配套办法和相关执业准则，对企业财务报告内部控制的有效性进行审计并出具审计报告。会计师事务所及其签字的从业人员应当对发布的内部控制审计意见负责。为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务。（一）内部控制审计的定义内部控制审计是通过对被审计单位的内控制度的审查、分析测试、评价，确定其可信程度，从而对内部控制是否有效做出鉴定的一种现代审计方法。内部控制审计是内部控制的再控制，它是企业改善经营管理、提高经济效益的自我需要。一般地，企业内部审计部门负责内部控制审计，也可以委托不负责年审的会计师事务所开展内部控制审计。（二）内部控制审计的范围内部控制审计的范围限于特定日期与财务报表相关的内部控制。通常，注册会计师对某特定日期的内部控制进行审核。特定日期可以是会计年度结束日，也可以是某中期结束日。注册会计师对某特定日期的内部控制审核时，应在接近于此日期之前的一段时间内对内部控制进行了解和测试，并对该日期的内部控制有效性发表审核意见。（三）内部控制审计的目标1、内控审计目标的具体界定内部控制审计的目标是检查并评价内部控制的合法性、充分性、有效性及适宜性。内部控制的合法性、充分性、有效性及适宜性，具体表现为其能够保障资产、资金的安全，即保障资产、资金的存在、完整、为我所有、金额正确、处于增值状态。2、内控审计目标与财务报表审计目标的联系与区别（1）两者的联系。内部控制审计的前四个目标实际就是财务报表审计的具体目标。企业管理层对外提供的资产负债表，表上反映有多少资产，其明示或暗示了这样几个声明：资产负债表上反映的资产是存在的、是完整的、是属于自身的、金额是正确的。相应地，外部财务报表审计的具体目标也就是鉴证企业管理层的这些声明是否属实。（2）两者的区别。财务报表审计直接评价的是财务报表，或者说直接评价资产、资金本身的安全状态，其目标对象是资产、资金本身，而内部控制审计直接评价的是内部控制能否保障资产、资金的安全，其目标对象是内部控制，而资产、资金只是作为中间的观察对象而存在。财务报表审计主要评价财务报表所反映的存量资产、资金的“静的安全”，一般不评价资产、资金的“动的安全”，即不评价资产、资金在流转中的增值性；而由于内部控制既要保障资产、资金“静的安全”，又要保障其“动的安全”，所以内部控制审计既检查资产、资金的“静的安全”，又检查资产、资金的“动的安全”。十二、 内部控制评价的组织与实施内部控制评价是由企业董事会和管理层实施的。进行评价的具体内容应围绕企业内部控制基本规范中提及的内部控制五个要素即内部环境、风险评估、控制活动、信息与沟通、内部监督，以及企业内部控制基本规范及企业内部控制应用指引中的内容。在确定具体内容后，企业应制定内部控制评价程序，对内部控制有效性进行全面评价，包括财务报告内部控制有效性和非财务报告内部控制有效性；同时为内部评价工作形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、关键风险点、采取的控制措施、有关证据资料以及认定结果等；企业还应在评价工作中明确内部控制缺陷的认定准则；完成评价后，企业应当准备一份内部控制自我评价报告，在其年报中进行披露：企业董事会应当对内部控制评价报告的真实性负责。（一）内部控制评价的相关概念内部控制评价一般是指由专门的机构或人员，通过对单位内部控制系统的了解、测试和分析，对其完整性、合理性及有效性提出意见，并进行报告，以利于单位进一步健全和完善内部控制体系。我国企业内部控制基本规范第四十六条指出：企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。（二）内部控制评价应当遵循的原则根据企业内部控制评价指引第三条的规定，内部控制评价应遵循以下3个原则。1、全面性原则评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。2、重要性原则评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。3、客观性原则评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。（三）内部控制评价的内容根据企业内部控制评价指引的要求，内部控制评价涉及以下7个方面。（1）企业应当根据企业内部控制基本规范、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。（2）企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。（3）企业组织开展风险评估机制评价，应当以企业内部控制基本规范有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。（4）企业组织开展控制活动评价，应当以企业内部控制基本规范和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。（5）企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。（6）企业组织开展内部监督评价，应当以企业内部控制基本规范有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。（7）内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。（四）内部控制评价的程序根据企业内部控制评价指引第十二条的要求，企业应按照内部控制评价办法规定程序，有序开展内部控制评价工作。内部控制评价程序一般包括制订评价控制方案、组成评价工作组、实施评价工作与测试、认定控制缺陷、汇总评价结果及编报评价报告等环节。在这里重点讲解制订评价控制方案、组成评价工作组、实施评价工作与测试、汇总评价结果四个环节。1、制订评价控制方案企业可以授权审计部门或专门机构负责内部控制评价组织的实施工作。承担内部控制评价的部门或机构应具备以下条件。（1）能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；（2）具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；（3）与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约；（4）能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，有足够的权威性来保证内部控制评价工作的顺利开展。内部控制评价部门或机构应根据内部监督情况和要求，制订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权审批后实施。这是一个进行内部控制评估前的全面计划，提供内部控制评价的效率和效果。2、组成评价工作组内部控制评价部门或机构在评价方案获得批准后，需要组织评价工作组，具体承担内部控制检查评价任务。评价工作组成员应具备独立性、业务胜任能力和职业道德素养及吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业可根据自身的条件建立内部控制培训机制，为评价工作组成员提供培训，使其尽快掌握内部控制知识，熟悉企业业务流程及应关注重点、评价工作流程、方法以及工作底稿准备的要求。对于拥有内部审计部门的企业来说，内审部门很有可能也同样地担当内部控制评价组的工作。但如果企业决定利用外聘会计师事务所为其提供内部控制评价服务，根据企业内部控制基本规范的要求，则该事务所不应同时为企业提供内部控制的审计服务。3、实施评价工作与测试评价工作组需通过了解企业层面基本情况、各业务层面的主要流程，识别有关主要风险后，才能开展实施及测试设计和运行有效性的内部控制工作。（1）了解公司层面基本情况。评价工作组与被评价单位进行充分沟通，了解其经营业务范围、企业文化、发展战略、组织结构、人力资源等内部环境及内部控制内容中五个要素的运作情况。（2）了解各业务层面的主要流程及风险。在这一阶段，评价工作组把工作重点放在主要业务流程上，如资金管理流程、销售流程和采购流程等。为支持评估工作与相关测试有效进行，企业应建立全面文档记录。文档记录可以帮助评价工作组了解各个主要业务领域的流程，识别相关的风险关注点及可能存在的内部控制措施。评价工作组可审阅的内控流程文档可能有以下几种。风险控制矩阵文档。关注点在于复核风险流程的合理性，例如，文档是否包含了流程面临的所有风险、列示的风险是否得到定期或及时的更新、对于各项风险的重要性水平分析是否合理，以及复核控制点的识别，关键控制点、重要控制点、一般控制点的判断是否合适。流程图文档。关注点在于流程图是否与实际操作及风险控制矩阵描述相符合，流程图是否清楚地标示所有风险点及控制点，流程图中责任部门、岗位以及其他管理机构是否表述清晰、表述的流程路径是否清晰、是否存在交叉，以及内容是否涵盖所有流程实际操作及相应的控制活动。审批权限表文档。关注点在于部门及岗位的描述是否准确、权限的划分和设置是否合理。评价工作组应识别业务流程中的关键业务或固有风险，提出对于每一重大流程在交易过程中“可能出错”而产生重大错误的问题在这些控制点上识别降低风险的控制，这些控制应当能够为防止发生重要的错误或者能发现并更正错误提供合理保证。有些控制可能并不显而易见，可能是电子化或者是人工的，并且同时是高层及基层实施。这些关注点将是评价工作组进行设计或运行有效性并做出结论的地方。例如，银行账户管理中，银行账户的开立、变更及撤销未经合理的审批及授权，对于该风险点应该采取相应控制措施，提交给银行的开立账户申请书需要经过公司总经理书面批准（签章），提交给银行的变更账户申请需要经过财务经理和总经理审批，提交给银行的撤销账户申请需要经过财务经理和总经理审批。再以资金管理流程为例，企业面临的一个关键业务风险可能是客户需求的波动，当客户需求下降时，企业收入减少，进而发生资金的短缺并增加对营运资金需求的压力，资金需求将会直接导致银行融资或企业债券融资的增加进而导致企业的财务费用成本增加。固有风险是指假设不存在相关的内部控制，某一业务风险事项发生的可能性。例如，某企业所处行业的性质决定该类企业资金、在建工程与固定资产的交易比存货（通常为一些低值易耗品）的交易更容易出现差错。一些产生经营风险的外部因素也可能影响固有风险，如“节能减排”的目标要求企业投资建立高效率、低消耗的新型生产线，并对旧装备进行技术改造，这些都会影响资金流。在各重要流程中，管理层可能已实施不同程度的控制以应对风险。例如，在资金管理流程、银行账户的开立的风险点中，可能有的控制措施是要求提交给银行的开立账户申请书需要经过公司总经理书面批准或签章。（3）确定检查评价范围和重点。评价工作组根据掌握的情况确定评价范围、检查重点和抽样数量，进行分工与测试。评价范围、方式、程序和频率，将因企业经营业务调整、经营环境、风险水平等因素而异。（4）开展现场检查测试。评价工作组可综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等评价方法，收集被评价单位内部控制设计与运行是否有效的证据，按照要求填写工作底稿、记录有关测试结果。如果发现内部控制出现缺陷，则需与管理层沟通，对有关缺陷进行认定并进行记录。个别访谈。评价工作组人员可以个别访谈企业或被评价单位的不同人员，了解公司内部控制的现状与运行。个别访谈通常用于企业层面与业务层面评价的阶段。调查问卷。调查问卷多用于企业层面的评价，通过扩大对象范围，如企业中的全体员工，收集简单结果，如对公司企业文化的认同。专题讨论。这是一种集合企业中有关专业人员就内部控制执行情况或控制问题进行的分析和讨论。穿行测试。穿行测试是指在流程中任意选取一项交易为样本，获取原始单据，跟踪交易从最初起源，到会计处理、信息系统和财务报告编制，直到这项交易在财务报表中报告出来的全过程。通过执行“穿行测试”，评价工作人员可获取对一个流程的了解，查找潜在的内控设计问题并识别出相关控制。实地查验。这是一个用于业务层面评价的方法。例如，评价工作人员进行实地盘点以测试企业记录存货的数量，或有关控制的有效性。抽样。抽样方法可以分为随机抽样和其他抽样法。随机抽样一般被认为是最具有代表性或是基于统计学的取样方式，从样本库中抽取一定数量的样本，进行控制测试，以获取有关控制的运行状况。随机选取通常是采用计算机来完成。其他抽样如分层抽样、整群抽样及系统抽样等。比较分析。这是一种通过数据分析，识别评价关注点的方法。例如，通过比较月度的销售情况，识别异常区间，进行检查。审阅与检查。这也是在业务层面评价的常用方法，通过核对有关证据而获取有关控制的运行状况，如选择某些调节表上的差异，追溯到相应的单据记录（如银行对账单）或检查调节表是否有相关负责人签字。4、汇总评价结果评价工作组人员应当在其工作底稿中，记录评价所实施的程序及有关结果。企业内部控制评价工作组应当建立评价质量交叉复核制度，有关评价报告应由评价工作组负责人严格审核确认；与被评价单位进行通报，在提交内部控制评价部门或机构前得到被评价单位相关责任人签字确认。如果在评价工作中发现所有差异，如穿行测试及控制测试中发现的与访谈结果的差异、与流程手册的差异，也应在汇总中适当地记录。企业内部控制评价部门或机构应编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。企业对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。十三、 内部控制评价工作底稿与报告（一）内部控制评价工作底稿根据企业内部控制评价指引第十一条的要求，内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。（二）内部控制评价报告根据企业内部控制基本规范企业内部控制评价指引的相关规定，企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。1、内部控制评价报告的内容根据企业内部控制评价指引第二十二条的规定，内部控制评价报告至少应当披露下列内容：（1）董事会对内部控制报告真实性的声明；（2）内部控制评价工作的总体情况；（3）内部控制评价的依据；（4）内部控制评价的范围：（5）内部控制评价的程序和方法；（6）内部控制缺陷及其认定情况；（7）内部控制的整改情况及对重大缺陷拟采取的整改措施；（8）内部控制有效性的结论。2、报告时间及要求内部控制评价报告应当报经董事会或类似权力机构批准后与审计报告一起对外披露。企业应当以12月31日作为年度内部控制评价报告的基准日，内部控制评价报告应当在基准日后4个月内报出。企业内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。十四、 内部控制20世纪初期建立起来的内部牵制制度虽然对企业管理起到很大的作用，但随着经济的不断发展、企业规模的扩大以及对企业管理要求的逐步提高，它的不完善之处也逐渐暴露出来。尤其是20世纪30年代全球性经济危机暴露出的会计失真、经济秩序混乱等问题，引起各国政府和企业的高度重视和深刻反思。（一）国外对内控概念的界定明确的内控概念的提出约有70年的历史，其每次突破性发展都是由欧美引发实施的，具体的定义归纳如下。1949年定义：基于保护企业资产、检查会计数据的准确性和可靠性、提高运营效率、促进管理政策的贯彻和实施而在企业内部采取的各种方法和措施。1958年定义：内部控制分为内部会计控制和内部管理控制。前者是关于保护企业资产、检查会计数据的准确性和可靠性的控制；后者是关于提高运营效率、促进管理政策的贯彻和实施的控制。1973年的定义：内部管理控制制度包括但不限于组织机构的计划以及与管理部门进行批准决策有关的程序与记录。会计控制制度包括组织机构设计以及与财产保护和财务会计记录可信性直接相关的各种措施。1988年的定义：企业内部控制结构包括为合理保证企业特定目标而建立的各种政策和程序。内部控制结构3要素为：控制环境、会计系统、控制程序。1992年的定义：为实现经营效率和效果、财务报告可信性以及相关法令的遵循等目标而提供合理保证的过程。内部控制的实施者为企业董事会、经理层及其他员工。从各阶段内部控制的定义可以看出内部控制发展、演进和完善的过程，对我国内部控制概念的界定具有很好的借鉴作用。（二）我国对内部控制概念的界定对比国外发展，我国的内控规范发展独具特色：内控规范建设是由政府各部门以“准法规”形式发布实施的，权威性强，执行快速有力；我国真正意义上的内控规范是从其核心的内部会计控制即会计监管上入手，而不是由内控框架起步的。2008年6月28日五部委颁布的企业内部控制基本规范，将内部控制定义为：是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。在理解此概念中，需要特别注意以下几点。（1）内部控制的概念不再拘泥于传统意义上的概念，而是结合我国的基本实情，形式上借鉴COSO内部控制整体框架的五要素框架，同时在内容上体现企业风险管理框架的先进理念，构建了以内部环境为重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要条件、以内部监督为重要保证的五要素框架。（2）内部控制的实施者结构为“董事会、监事会、经理层和全体员工”，体现全员特征。内部控制是一个受“人”影响的过程，它是由组织内部的每一层级人员共同执行，需要全体员工的共同参与。它要求企业内部的每个员工均明确自己的责任和权力，以便更好地履行其职责，提高内部控制的执行力度。（3）内部控制是一个“过程”而非结果，不是单一制度、机械的规定，而是一个发现问题、解决问题，并且贯彻于企业管理始终的动态过程。该定义没有用“合理保证”这个词，并非说明内部控制是目标的完全保证，“过程”已体现了合理保证的核心思想，控制目标一定能实现，只是需要一个过程。而“合理保证”的内涵在内部控制五大要素之中，特别是