《内部控制》第九章内部控制评价.ppt

东北财经大学 会计学 系列教材 方红星 池国华 主编 东北财经大学出版社 第九章 内部控制评价 第一节 内部控制评价概述 第二节 内部控制评价的组织与实施 第三节 内部控制缺陷的认定 第四节 内部控制评价工作底稿与报告 学习目的与要求 通过本章学习，学生应了解内部控制评价的原则、组织机构以 及内部控制缺陷的认定步骤；理解内部控制评价的定义，明确 内部控制评价的主体及对象；熟悉内部控制评价的内容、方法 与程序；掌握内部控制缺陷的认定标准，能够判断相关内部控 制缺陷的“重要程度”；掌握内部控制评价报告的编制。 案例引入：常电公司开展内部控制自我评价工作 2009年 1月，江苏常熟发电有限公司（以下简称“常 电公司”）正在开展内部控制自我评价工作，此次工 作的 目的 是为了客观反映企业内部控制的总体情况， 及时发现内部控制的缺陷和薄弱环节，以达到加强管 理、堵塞漏洞目的，从而提高企业的抗风险能力，提 高企业的管理水平和经济效益，合理保障职工及股东 的利益。 该公司这次内部控制自我评价的依据为 企业管治常规守 则 ，中国电力制度体系、中国电力 内部控制手册 等 。 评价内容 主要有十八项，分别为控制环境、风险管理、 战略与计划管理、全面预算管理、授权管理控制、人力资 源管理、货币资金管理控制、销售与收款管理控制、采购 与付款管理控制、燃料管理控制、工程项目管理控制、对 外投资管理控制、筹资控制、固定资产管理控制、担保业 务控制、外币业务管理控制、信息保护和审计监督。 该公司这次内部控制自我评价工作从 10月 10日开始，分 准 备阶段 、 实施阶段 和 总结阶段 三个部分进行实施，预计到 10月 28日全部结束。 自 企业内部控制基本规范 及其配套指引发布之后，全 国各省、各行业都纷纷争先开展内部控制自我评价的培训 工作，掀起了一阵 内部控制自我评价的热潮 。内部控制作 为存在于企业内部的一种重要的制度安排，本质上属于企 业内部管理制度的一部分。 内部控制自我评价本质上是对内部控制制度本身进行 监督和控制的必要机制，是完善与优化内部控制系统 的重要制度安排。那么 什么是内部控制评价？谁是内 部控制评价的主体？内部控制评价的客体是什么？内 部控制评价工作应该如何开展？内部控制评价工作的 最终成果表现为什么？ 第一节 内部控制评价概述 内部控制评价概述 一、内部控制评价的定义 企业内部控制评价是指企业董事会或类似权力机构对 内部控制的有效性进行全面评价、形成评价结论、出具评 价报告的过程。 从以下 三个角度 进行理解： （ 1）内部控制评价的 主体 是董事会或类似权力机构。 （ 2）内部控制评价的 对象 是内部控制的有效性。 （ 3）内部控制评价是一个 过程 。 内部控制运行的有效性 内部控制设计的有效性 内部控制的有效性，是指企业建立与实施内部控制对实现控制 目标提供 合理保证 的程度。 内部控制评价概述 内部控制 的有效性 控制过程 控制过程 控制目标 合规目标内部控制的有效性 资产目标内部控制的有效性 报告目标内部控制的有效性 经营目标内部控制的有效性 战略目标内部控制的有效性 内部控制评价概述 二、内部控制评价的内容 内部控制评价应紧紧围绕 内部控制五要素 进行： （ 1）内部环境评价 （ 2）风险评估评价 （ 3）控制活动评价 （ 4）信息与沟通评价 （ 5）内部监督评价 案例 9-1 朗讯公司的内部控制自我评价 三、内部控制评价的原则与方法 （一）内部控制评价的原则 （ 1）全面性原则 （ 2）重要性原则 核心要求：坚持风险导向的思路 坚持重点突出的思路 （ 3）客观性原则 内部控制评价概述 内部控制评价概述 （二）内部控制评价的方法 个 别 访 问 法 专 题 讨 论 法 比 较 分 析 法 实 地 查 验 法 抽 样 法 穿 行 测 试 法 调 查 问 卷 法 内部控制评价的方法 第二节 内部控制评价的组织与实施 内部控制评价的组织与实施 一、内部控制评价的组织机构 （一） 内部控制评价的责任主体及其职责 董事会 是内部控制评价的责任主体，对内部控制评价 承担最终的责任，对内部控制评价报告的真实性负责。 董事会可以通过审计委员会来承担对内部控制评价的 组织、领导、监督 职责。董事会或审计委员会应听取内部 控制评价报告，审定内控重大缺陷、重要缺陷整改意见， 对内部控制部门在督促整改中遇到的困难，积极协调，排 除障碍。 内部控制评价的组织与实施 （二） 内部控制评价的 具体组织实施主体及其职责 内部控制评价工作的具体组织实施主体一般为 内部审计机 构 或 专门的内部控制评价机构 。 在实践中，也有组织 非常设内部控制评价结构 ，比如组成 内部控制评价小组。 企业也可以委托会计师事务所等 中介机构 实施内部控制评 价。 内部控制评价的组织与实施 （二） 内部控制评价的 具体组织实施主体及其职责 内部控制评价机构必须具备一定的 设置条件 ： 具备独立性。 具备与监督和评价内部控制系统相适应的专业胜任能力和 职业道德素质 。 与企业其他职能机构就监督与评价内部控制系统方面应当 保持协调一致。 能够得到企业董事会和经理层的支持。 内部控制评价的组织与实施 （三）其他相关部门及其职责 组织实施 支持配合 积极整改 经理层 内控自查 测试评价 积极整改 各专业部门 逐级落实 日常监控 督促整改 所属单位 审议 监督 监事会 内部控制评价的组织与实施 二、内部控制评价程序 制 定 评 价 工 作 方 案 组 成 评 价 工 作 组 实 施 现 场 检 查 测 试 汇 总 评 价 结 果 编 制 企 业 内 控 评 价 报 告 报 告 反 馈 与 追 踪 内部控制评价的组织与实施 否 明确企业内部控制目标 制定内部控制评价方案 报董事会审批 评价方案是否通过审批 否 组成评价工作组 是 实施内部控制现场检查与测试 是否存在缺陷 是 设计缺陷 运行缺陷 编制现场报告，并向被评价单位通报 编制企业内部控制评价报告 跟踪缺陷的整改落实情况 汇总 图 9-1 内部控制评价流程 案例 9-2 联通内控，评价有方 中国联通作为在上海、香港和纽约上市的公司，自 2005年末 开始就把内控评审作为保证内控建设有效性的一项重大项目 来抓，经过两年多的摸索、实践，逐步建立健全了内控评审 体系，积累了一些经验。 一、制定评审工作计划 中国联通根据公司的业务特点，制定了内控评审工作计划， 包括 明确职责 、 确定评审范围 、 明确具体测试时间 、 确定被 评审单位 等各方面。 案例 9-2 联通内控，评价有方 二、组织评审人员培训 三、评审实施 四、提交评审报告 五、评估测试结果 中国联通在内控评价过程中，各个步骤均设定了明确的 标准，使得评审组在实施与评审时有法可依、有据可 查。而统一的工作底稿也便于评审人员和被审人员的沟 通，同时评审人、责任人、整改时限等细化要求也便于 认定和考核。 第三节 内部控制缺陷的认定 内部控制缺陷的认定 一、内部控制缺陷的定义和种类 内部控制缺陷 是内部控制在设计和运行中存在 的漏洞，这些漏洞将不同程度地影响内部控制 的有效性，影响控制目标的实现。 内部控制缺陷的认定通常被视作判断内部控制 有效性的一个 负向维度 。衡量内部控制有效性 的 关键步骤 就是查找内部控制在设计或运行环 节中是否存在重大缺陷。 内部控制缺陷的认定 内部 控制 缺陷 成 因 性 质 设计缺陷 运行缺陷 重大缺陷 重要缺陷 一般缺陷 内部控制缺陷的认定 二、内部控制缺陷的认定标准 内部控制缺陷的 重要性和影响程度 是相对于 内部控制 目标 而言的。 按照对财务报告目标和其他内部控制目标实现的影响 的具体表现形式，下面区分 财务报告内部控制缺陷 和 非财务报告内部控制缺陷 分别阐述内部控制缺陷的认 定标准。 内部控制缺陷的认定 （一）财务报告内部控制缺陷的认定标准 与财务报告内部控制相关的内部控制缺陷所采用的认定 标准直接取决于 由于该内部控制缺陷的存在可能导致的 财务报告错报的重要程度 。其中，所谓 “ 重要程度 ” 主 要取决于两个方面的因素： （ 1）该缺陷 是否具备合理可能性 导致企业的内部控制 不能及时防止或发现并纠正财务报告错报。 （ 2）该缺陷单独或连同其他缺陷可能导致的潜在错报 金额的大小 。 内部控制缺陷的认定 一般而言，如果一项内部控制缺陷单独或连同其他缺 陷具备合理可能性导致不能及时防止或发现并纠正财 务报告中的重大错报，就应将该缺陷认定为 重大缺陷 一项内部控制缺陷单独或连同其他缺陷具备合理可能 性导致不能及时防止或发现并纠正财务报告中错报的 金额虽然未达到和超过重要性水平、但仍应引起董事 会和管理层重视，就应将该缺陷认定为 重要缺陷 。 不构成重大缺陷和重要缺陷的内部控制缺陷，应认定 为 一般缺陷 。 内部控制缺陷的认定 一旦企业的财务报告内部控制存在一项或多项重大缺陷， 就不能得出该企业的财务报告内部控制有效的结论 。 财务报告内部控制重大缺陷的认定十分关键，而区分一 项内部控制缺陷是否构成了重大缺陷的分水岭是 “ 重要 性水平 ” ，重要性水平之上的为重大错报，重要性水平 之下的为重要错报或者一般错报。 重要性水平的的确定有两种方法： 绝对金额法 和 相对比 例法 。 内部控制缺陷的认定 出现以下 迹象 之一则通常表明财务报告内部控制可能 存在重大缺陷： （ 1）董事、监事和高级管理人员舞弊； （ 2）企业更正已公布的财务报告； （ 3）注册会计师发现当期财务报告存在重大错报，而 内部控制在运行过程中未能发现该错报； （ 4）企业审计委员会和内部审计机构对内部控制的监 督无效。 需要说明的是， 内部控制缺陷的严重程度并不取 决于是否实际发生了错报，而是取决于该控制不能及 时防止或发现并纠正潜在缺陷的可能性。 即只要存在 这种 “ 合理可能性 ” ，不论企业的财务报告是否真正 发生了错报，都意味着财务报告内部控制存在缺陷。 内部控制缺陷的认定 案例 9-3 兰花岗矿务局内部控制系统评价案例 兰花岗矿务局是年产 1000万吨煤炭的大型煤炭工业企业。 根据审计署下达的 2002年度审计项目计划安排，驻煤炭部 审计局于 2002年 6月 27日至 7月 6日，采用内部控制制度评 价方法，对兰花岗矿务局 2001年 1月至 2002年 6月的 营业收 入及应收账款管理控制系统 进行了就地审计。 在实施审计过程中，审计组找出了企业内部控制制度上的 薄弱环节和控制流程图上的关键失控点，发现了一些深层 次管理上存在的问题。 案例 9-3 兰花岗矿务局内部控制系统评价案例 1煤炭销售合同管理控制点存在缺陷。 2应收账款管理存在失控点。 （ 1） 煤炭产品发运通知单 控制点失控。 （ 2）应收账款清理控制点存在不足。 （ 3）清欠收回以物顶账物资账务处理存在不足。 3煤炭装车发运管理控制点存在不足。 4基层采区销售煤炭控制存在不足。 5销售成本结转账务处理存在不足。 内部控制缺陷的认定 （二）非财务报告内部控制缺陷的认定标准 非财务报告内部控制缺陷是指除财务报告目标之外的与 其他目标相关的内部控制缺陷，包括 战略内部控制缺陷 、 经营内部控制缺陷 、 合规内部控制缺陷 、 资产内部控制 缺陷 。 非财务报告目标内部控制缺陷的认定具有 涉及面广 、 认 定难度大 的特点，尤其是战略内部控制缺陷和经营内部 控制缺陷。 内部控制缺陷的认定 以下迹象通常表明非财务报告内部控制可能存在 重大缺陷 ： 国有企业缺乏民主决策程序，如缺乏 “ 三重一大 ” 决策程序； 企业决策程序不科学，如决策失误，导致并购不成功； 违犯国家法律、法规，如环境污染； 管理人员或技术人员纷纷流失； 媒体负面新闻频现； 内部控制评价的结果特别是重大或重要缺陷未得到整改； 重要业务缺乏制度控制或制度系统性失效。 案例 9-4 煤气化 “ 掩耳盗铃 ” 煤气化公司（ 000968）本不属于要求强制披露内部控制信 息的上市公司范畴，但该公司却在 2007年 3月的年报中 主 动、自愿披露相关的内部控制报告 ，并由北京立信会计师 事务所出具了 标准无保留意见的内部控制审核报告 。 该公司不仅自愿披露内部控制，而且还经过了独立会计师 的审核，甚至我们也可以假设其具有良好的管理控制体 系。但是，更加详尽的分析却表明煤气化的治理控制体系 存在着较为严重的问题，致整个公司治理机制未能有效发 挥控制作用。 案例 9-4 煤气化 “ 掩耳盗铃 ” 例如， 2004年，煤气化与集团公司（大股东）签署了气源 厂资产租赁协议，由该公司向集团公司租赁气源厂的 54.41%的资产，租赁费用为每年 7860.21万元，期限从 2004年 10月 1日起至 2006年 9月 30日止。 据煤气化公告称，之所以由上市公司租赁集团公司的气源 厂资产，是因为 2004年国内焦炭市场形式较好，公司为增 加新的利润增长点，给投资者以较高的回报而做出了租赁 经营气源厂的决定。然而， 事实却是， 2005年气源厂发生 亏损，而且亏损一直延续。在此不难看出，通过租赁的安 排，本应由大股东承担的气源厂亏损全部落在了上市公司 的身上 。 案例 9-4 煤气化 “ 掩耳盗铃 ” 2006年 10月 25日，在该公司预测 2007年焦炭的售价为每吨 850 元，低于 2005年时的每吨 865.28元的水平（气源厂 2005年的亏 损是在焦炭的售价为每吨 865.28元的情况下发生的）的情况 下，竟再次与大股东签署了气源厂资产租赁协议。此次协议的 签署，公司居然绕过了股东大会，因为其内部控制报告中的公 司治理结构明确指出： “ 股东大会是公司最高权力机构，通过 董事会对公司进行管理和监督。 董事会是公司的常设决策机 构，向股东大会负责，对公司经营活动中的重大决策问题进行 审议并做出决定，或提交股东大会审议 。 ” 这也就意味着 董事 会对重大决议有直接决定权，未必需要股东大会审议通过。 这 种制度设计，实际上是为大股东侵犯小股东铺平了道路；但事 实上，这种制度安排却是对 公司法 中有关股东会职权等规 定的公然违背。 案例 9-4 煤气化 “ 掩耳盗铃 ” 在这种情况下，尽管该公司自愿披露内部控制报告， 并经过独立会计师审计后出具了无保留意见的内部控制审 核报告，尽管该公司在内部控制报告中阐明了公司的内部 治理结构和详细的管理控制规定， 但实际上，其公司对于 公司治理结构的设计安排以及重大事项的决策程序本身就 存在着重大的缺陷，以致其它任何控制手段都显得苍白无 力。 内部控制缺陷的认定 三、内部控制缺陷的认定步骤 （一）财务报告缺陷的认定步骤 第一步，结合财务报告内部控制缺陷的迹象，判断是否 可能存在财务报告内部控制缺陷。 第二步，确定重要性水平和一般水平，以此作为判断缺 陷类型的临界值。可采用绝对金额法或者相对比例法进 行确定。 第三步，抽样。按照业务发生频率的高低和账户的重要 性确定抽样数量。 内部控制缺陷的认定 第四步，计算潜在错报金额。其计算公式为： 潜在错报金额 =潜在错报率 相应账户的同向累计发生额 第五步，如果重要性水平和一般水平是绝对金额，那么 可直接将潜在错报金额合计数与其比较，判断缺陷类 型；如果重要性水平和一般水平是相对数，需进一步计 算错报指标再进行比较判断。错报指标的计算公式如下 : 错报指标 =潜在错报金额合计数 /当期主营业务收入（或期 末资产） 内部控制缺陷的认定 （二）非财务报告缺陷的认定步骤 第一步，结合相关迹象，判断是否可能存在非财务 报告内部控制缺陷。 第二步，采用定性或者定量的方法确定认定标准。 第三步，根据标准分别对每起事故进行认定。 内部控制缺陷的认定 表 9-4 A公司的非财务报告缺陷认定标准 第四节 内部控制评价 工作底稿与报告 内部控制评价工作底稿与报告 一、内部控制评价底稿 内部控制评价工作底稿是内部控制工作的 载体 ， 也是内部控制评价报告形成的 基础 。 一般来说，评价底稿包括 业务流程评价表、控制 要素评价表、内部控制评价汇总表 三个层次。 9.4 内部控制评价工作底稿与报告 内 部 环 境 评 价 表 风 险 评 估 评 价 表 控 制 活 动 汇 总 评 价 表 信 息 与 沟 通 评 价 表 内 部 监 控 评 价 表 采 购 业 务 流 程 评 价 表 销 售 业 务 流 程 评 价 表 研 究 与 开 发 流 程 评 价 表 工 程 项 目 流 程 评 价 表 担 保 业 务 流 程 评 价 表 . . . . . . 内 部 控 制 缺 陷 认 定 汇 总 表 内 部 控 制 评 价 报 告 内 部 控 制 评 价 汇 总 表 汇 总 汇 总 编 制 提 取 缺 陷 ， 分 类 汇 总 图9- 2 内 部 控 制 评 价 报 告 的 形 成 示 意 图 内部控制评价工作底稿与报告 二、内部控制评价报告 （一）内部控制评价报告的编制要求 内部控制评价报告可分为 对内报告 和 对外报告 。 对外报告是为了满足外部信息使用者的需求，需要对外 披露，在时间上具有强制性，披露内容和格式强调符合 披露要求。 对内报告主要是为了满足管理层或治理层改善管控水平 的需要，不具有强制性，内容、格式和披露时间由企业 自行决定。 内部控制评价工作底稿与报告 （二）内部控制评价报告的内容 1董事会声明。 2内部控制评价工作的总体情况。 3内部控制评价的依据。 4内部控制评价的范围。 5内部控制评价的程序和方法。 6内部控制缺陷及其认定。 7内部控制缺陷的整改情况。 8内部控制有效性的结论。 内部控制评价工作底稿与报告 （三）内部控制评价报告的披露与报送 企业内部控制评价指引 规定，企业编制的内部 控制评价报告应当报经董事会或类似权力机构批准 后对外披露或报送相关部门。企业应以每年的 12月 31日 为年度内部控制评价报告的基准日，于 基准日 后 4个月内 报出内部控制评价报告。 股份有限公司 20 年度内部控制评价报告 复习思考题 1.谈谈你对内部控制评价的定义的理解。 2.在执行内部控制评价工作时，全面性和重要性哪个更重 要？二者应如何权衡？ 3.内部控制评价具体内容有哪些？试说出几种常见的内部 控制评价方法。 4.内部控制缺陷有几种类型？财务报告内部控制缺陷的认 定标准是什么？ 5.根据 企业内部控制基本规范 及其评价指引，内部控 制报告的内容与格式有哪些具体要求？ 谢谢大家！