中国企业内控共性问题.ppt

1 中国企业内控现状 自上世纪90年代以来 我国企业逐渐开始重视内部控制和风险管理对企业运营的积极作用 这一方面是随着公司规模的日益扩大 出于应对日益激烈的市场竞争和满足业务扩张的需要另一方面的动力主要来源于国内外各种监管机构的要求 目前 中国企业的内部控制水平差异化非常大 既有管理水平高 内部控制工作在国际上处于领先地位的公司 也有内部控制基本缺失 管理还处在非常原始状态的公司 中国企业的内控现状 中国企业的内控现状 一 概况 基于甫瀚咨询对中国企业的长期观察 中国企业从内控水平看 可以分为三个层级 第一层级 第二层级 第三层级 中国在海外上市公司 特别是美国 日本 香港上市公司 以及银行业 中国内地上市公司及非上市大中型企业 非上市的中小型企业 在海外上市的公司 为了满足监管地的要求 一般都建立了相对完善的内部控制体系 银行业由于其行业的特殊性和高风险性 行业监管规定多 检查勤 内部控制水平一般较高 这类企业虽然具备相对完善的内部控制体系 但是其内部控制体系一般侧重财务报告的真实准确性目标 对保证企业战略制定和实施 经营效率及效果 资产安全完整及法律合规目标关注不足 也缺乏完善的风险评估和应对体系 第一层级 中国企业的内控现状 内地上市公司 中国内地上市公司的内部控制水平总体上要低于中国在海外上市的公司水平 但是基于监管要求和企业发展的需要 大部分企业已经着手开始内部控制建设 第二层级 中国企业的内控现状 非上市大中型企业 当企业发展到一定规模 分子公司数量多 跨区域经营 跨产业经营 由于管理分散 难度大 最高管理层不易掌握下属企业的业务和财务信息 往往会出于自身的需要提出内部控制的需求 因此 大中型企业开展内部控制工作相对较早 但是 由于缺乏外部监管要求 所以非上市企业的内部控制水平完全取决于其最高管理者的理念和意愿 既有内控水平非常高企业 也有内部控制还处于初级阶段的企业 第二层级 中国企业的内控现状 非上市的中小型企业的内部控制总体都非常薄弱一方面 非上市的中小型企业规模一般较小 管理者往往可以通过集权化的管理严格控制企业的所有业务 因此 企业一般是通过几个关键管理人员来管理企业 而没有把内部控制作为管理企业的关键 另外一方面 非上市的中小型企业往往还在为生存而努力 主要关注于盈利指标 对于不能马上见到经济成效的内部控制工作往往并不感兴趣 第三层级 中国企业的内控现状 返回 二 内控实施现状 内控规范实施计划时间表 2011年 我国68家境内外同时上市的公司和216家内控试点上市公司依据 企业内部控制基本规范 和 企业内部控制配套指引 实施内部控制基本规范2012年 上海证券交易所 深圳证券交易所主板上市公司按照上述要求全面实施内部控制基本规范2014年1月3日 证监会与财政部联合发布了 公开发行证券的公司信息披露编制规则第21号 年度内部控制评价报告的一般规定 要求纳入强制实施范围的上市公司遵照执行 中国企业的内控现状 中国企业的内控现状 依据 企业内部控制配套指引 以及 企业内部控制基本规范 厦门大学内控课题组构建了一套系统的内部控制指数评价体系 确定了内部环境 风险评估 控制活动 信息与沟通 内部监督5个一级评价指标 24个二级指标 43个三级指标和144个四级指标的四级指标体系 并采用层次分析法和功效系数法确定指标的权重 该指数采用百分制 分值在区间 90 100 的为 级 在区间 80 90 的为 级 在区间 70 80 的为 级 分值在区间 60 70 的为 级 在区间 50 60 的为 级 在区间 40 50 的为 级 中国上市公司内部控制指数 陈汉文 中国企业的内控现状 图一描述了我国近五年内部控制水平 图二描述了2014年上市公司内部控制等级的分布情况 图一表明 这五年中我国内部控制水平呈上升趋势 但值得注意的是 我国整体的内部控制水平不高 内部控制总体平均分仅处于 级 从图二可以看出 2014年我国没有一家公司的内控指数达到 级 九成以上企业的内控指数处于 级 图一 图二 中国企业的内控现状 上图描述了我国内部控制指数均值排名前三与倒数两名的行业 从图上可以看出 金融保险行业的内部控制指数远远高于其他行业以及全国内部控制指数均值 这与我国对金融保险行业的监管力度密切相关 披露了我国企业内部控制评价报告的披露数量以及企业内部控制审计报告的披露数量等数据 中国企业的内控现状 迪博 中国上市公司内部控制白皮书 中国企业的内控现状 上图描述了2011年至2014年中国上市公司披露内部控制评价报告与未披露内部控制评价报告的比率 以及两者在内部控制指数均值上的差异 从图上可以看出 披露内部控制评价报告的公司数量呈上升趋势 并且结合内部控制指数来看 披露了内部控制评价报告的公司的内控指数均值远远高于未披露公司 这说明内部控制评价报告有助于企业内部控制建设 我国企业内部控制水平呈现上升趋势 中国企业的内控现状 上图描述了2011年至2014年中国上市公司披露内控审计报告与未披露内控审计报告的比率 以及两者在内部控制指数均值上的差异 从图上可以看出 越来越多的企业选择披露内部控制审计报告 并且披露内部控制审计报告企业的内控指数均值也高于未披露内控审计报告的企业 这也说明我国企业的内控水平呈现上升趋势 中国企业的内控现状 德勤 2012中国企业内部控制调查分析报告 为了进一步了解并研究中国企业内部控制建设和评价的现状 德勤公司对中国企业进行了内部控制调查 调查主要涉及四个方面 一 企业对内部控制的认知 二 企业内部控制的实施现状 三 企业内部控制实施中存在的主要问题 四 内部控制实施未来采取的措施 中国企业的内控现状历年调查情况回顾 上市公司在内部控制建设方面存在较大的欠缺 大部分的上市公司认为自身缺乏完善的内部控制体系 尚无法完全满足监管机构的要求 2007年 中国企业的内控现状历年调查情况回顾 企业在内部控制体系建设方面取得了一定的发展 但也存在诸如缺乏统一的技术标准 执行力不足等问题 2008年 中国企业的内控现状历年调查情况回顾 上市公司在内部控制的实施以及评价等各方面有了积极的进展 在金融危机的形势下 企业提高了对内部控制和风险管理的重视程度 但同时也发现 内控建设出现一定的盲目性 企业偏重控制活动的建设 而缺少了对于内部控制环境的重视 内部控制评价的牵头部门不合适 评价基础有待考量等 2009年 中国企业的内控现状历年调查情况回顾 内部控制的效果逐渐显现 部分企业的内控工作达到了其管理层的期望 但仍然存在一定的问题 例如内部控制专业人才储备不足 企业缺乏与内部控制相关的信息系统 以及制度的执行力不强等等 2010年 中国企业的内控现状历年调查情况回顾 企业的内部控制工作在持续进步 收到了较以前年度更为明显的效果 但仍有相当一部分企业在内控工作中存在一些误区 如部分受访者认为实施内控的成本过高 仅仅为了满足监管要求等 高管重视 仍然是内控推行过程中存在的一个老问题 2011年 中国企业的内控现状2012 在内部控制与现有管理体系融合方面64 的受访者声称完全能够将内部控制要求与现有管理体系恰当融合27 的受访者认为本企业能够部分融合9 的企业表示无法确定或做不到 去年仅四分之一的受访者认为本企业能够做到 今年64 的受访者认为能够做到内控与管理体系融合 有了较大的提升 说明企业在内控持续建设过程中 逐步提高了认识 避免了内控要求与实际运营 两张皮 的现象 是否已经把内部控制与流程管理 ISO管理体系等其他管理手段相结合 形成一套整体的管理体系36 的受访者自信地认为本企业已经把这些管理手段结合成一套整体的体系38 的受访者认为本企业能够部分结合26 的受访者不确定或者做不到与上一个问题结合起来看 说明相当多的企业对内部控制与现有管理体系融合的认识还无法完全落实到业务管理中 需要继续强化内部控制工作的落地 中国企业的内控现状2012 在信息系统的利用方面49 的受访者确认能够充分利用信息系统加强内部控制 安全有效地传达信息41 的受访者确认能够做到一部分 中国企业的内控现状2012 中国企业的内控现状2012 实施内控对提高财务报告编制效率和可靠性方面61 的受访者 完全同意 30 的受访者 部分同意 通过实施内部控制能够有效地提高了财务报告的编制效率 使之更加可靠9 的受访者表示不确定 中国企业的内控现状2012 管理提升效果方面71 的受访者认为通过实施内部控制 实现了管理提升 提高了风险防范水平26 的受访者确认能够做到一部分仅有3 的受访者不确定或不认为实现了管理提升 中国企业的内控现状2012 关于内控的实施能否有效地遏制了舞弊现象基本认同这个观点的受访者为86 另有2 的受访者不认同这一点不确定的12 中国企业的内控现状2012 针对实施内控后 管理水平未有显著转变 只是表面上满足了监管要求 这一问题 上市公司与非上市公司的受访者的看法存在着显著的差别 上市公司中 反对这一消极看法的占比为61 而非上市公司中持反对意见的仅占40 基本认为内控实施工作沦为作秀工具的上市公司受访者占30 而非上市公司中这一比例为44 中国企业的内控现状 内部控制的效果逐渐显现 除 提高了财务报告的编制效率 使之更可靠 外 内部控制的其他效果也显现出来 如认为 将内部控制与现有管理体系恰当融合 避免出现内部控制与管理体系 两张皮 现象或内部控制无法落地 的受访者占91 认为 通过实施内部控制 实现了管理提升 提高了风险防范水平 的受访者占97 认为 遏制了舞弊现象 的受访者占86 中国企业的内控现状 内部审计在内控监督评价中的作用已得到充分认同 97 的受访者认为 应设置独立 权威的内部审计机构或职能 对内部控制的执行情况进行持续监督 此观点与 企业内部控制基本规范 中 内部审计机构应当结合内部审计监督 对内部控制的有效性进行监督检查 的规定一致 中国企业的内控现状 内部控制工作未来应延伸到风险管理 授权优化 流程优化等领域 94 的受访者认为 内部控制工作应适当延伸 如在风险管理 风险量化及预警监控 授权管理 流程管理及优化等角度对内部控制体系进行延伸 中国企业的内控现状 内控的实施应考虑投资收益 调查中 认为本企业实施内控工作花费成本过高的受访者占33 反对这一说法的受访者占45 管理层应加强对内部控制工作的重视 55 的受访者 同意 管理层的意识不到位 或监督检查或奖惩机制不到位 导致建立的内部控制体系难以有效运行 比上一年度的调查结果48 有小幅提升 缺乏实施内部控制的专业技术人才 54 的受访者 认为本企业缺乏内控人才 中国企业的内控现状2012 从五部委正式颁布 企业内部控制基本规范 到本次调查 已经过了四年半的时间 配套指引已经发布了近三年 监管要求和技术标准都已经明确 为企业加强和完善内部控制提供了明确的监管时间表和技术参考标准 尽管如此 并不是所有企业的内控实施工作都如期望的那么深入 那么成功 最重要的原因还是高管重视程度不够 中国企业的内控现状2012 高管的重视 不只是高管在各种会议上强调 在内控工作安排上优先保证资源 更重要的是 还包括高管的身体力行 积极参与并定期考察内控工作进展情况 听取工作进度汇报 及时解决工作中遇到的问题 甚至亲自与咨询机构或审计师进行讨论 带头遵守各项规章制度 不搞特权 以实际行动来向所有员工传达 高管重视 的信息 三 我国企业内部控制存在的问题 迪博2015一是内部控制评价报告和内部控制审计报告披露格式不规范如仍有19 26 的上市公司未按照 公开发行证券的公司信息披露编报规则第21号 年度内部控制评价报告的一般规定 证监会公告 2014 1号 进行披露 其中 已纳入强制实施范围的主板上市公司中 分别有5 91 的沪市主板公司 8 84 的深市主板公司未按照规范要求进行披露 深市中小板和深市创业板上市公司中 分别有21 95 39 38 的公司未按照规范要求进行披露 在内部控制审计报告披露方面也存在类似问题 中国企业的内控现状 三 我国企业内部控制存在的问题 迪博2015二是内部控制缺陷信息披露不完整 可用性差2014年度 32 10 的上市公司披露的内部控制缺陷信息不完整 可用性差 三是内部控制评价及信息披露工作不够严谨2014年度 共有17家上市公司内部控制评价报告与注册会计师出具的内部控制审计报告存在重大不一致 此外 有24家主板公司在年报中说明内部控制评价报告和内部控制审计报告已披露 但是通过巨潮资讯网 公司官网 中国证监会网站及交易所网站等各种渠道都无法找到其报告 中国企业的内控现状 三 我国企业内部控制存在的问题 迪博2015四是对内部控制评价结论有效性的认定标准理解存在差异2014年度 内部控制评价结论非整体有效的公司占比1 43 而内部控制存在重大缺陷的公司占比1 62 两者之间存在明显的不一致 这主要是由于上市公司对监管规则中关于内部控制评价结论有效性的认定标准的理解存在差异 中国企业的内控现状 三 我国企业内部控制存在的问题 迪博2015五是上市公司在资产管理和资金活动管控方面问题比较集中2014年度 上市公司披露的内部控制缺陷中 资产管理类缺陷和资金活动类缺陷表现最为突出 占比分别为13 25 12 41 同时 对2014年度上市公司披露了具体内容的93项内部控制重大缺陷 以及导致内部控制审计为否定意见的53项内部控制重大缺陷的分类统计显示 资金活动类重大缺陷均最为突出 在内部控制评价重大缺陷与内部控制审计重大缺陷中占比分别为23 66 26 42 明显高于其他类重大缺陷 属于上市公司重大缺陷发生的重灾区 中国企业的内控现状 三 我国企业内部控制存在的问题 迪博2015六是中小板 创业板上市公司内部控制建设规范性有待加强与主板上市公司相比 中小板 创业板上市公司内部控制评价报告披露比例略高 但其披露报告的规范性却明显低于主板上市公司 非规范报告披露比例分别为21 95 39 38 是主板上市公司的3 42倍 6 14倍 中国企业的内控现状 三 我国企业内部控制存在的问题 迪博2015七是注册会计师内部控制审计的执业质量有待提高剔除因非财报内部控制缺陷等因素导致的不一致 2014年度 共有54家上市公司内部控制审计意见与财务报表审计意见存在显著差异 此外 仍有1 95 的上市公司内部控制审计报告中 仅描述了导致非标意见的事件过程 并未对重大缺陷的性质 产生原因 导致影响 整改情况等进行说明还有超过286家上市公司披露的内部控制审计报告没有会计师事务所或注册会计师的盖章或签名 中国企业的内控现状 四 政策建议 迪博2015一是 统一内部控制监管标准 提高上市公司内部控制实施的规范性 目前 上市公司在内部控制评价 审计等方面可遵循的监管规则众多 由于不同的监管标准之间的关系并未明确 从而给部分上市公司提供了选择性披露的机会 建议监管机构尽快统一上市公司内部控制监管标准 明确不同标准之间的层级关系 及时废止旧的 不适用的监管规则 提高上市公司内部控制实施的规范性 中国企业的内控现状 四 政策建议 迪博2015二是 完善内部控制缺陷信息披露 加强对上市公司内部控制缺陷整改的监管建议上市公司严格按照内部控制评价报告内容与格式要求 客观全面地做好内控评价信息披露工作 充分如实地披露内部控制缺陷信息 切实提高公司内控缺陷的披露质量 为报告使用者提供更多有效的内控信息 建议监管机构加强对上市公司内部控制缺陷整改的监管力度 督促上市公司积极落实缺陷整改和信息披露 提升内部控制水平 中国企业的内控现状 四 政策建议 迪博2015三是 加强对上市公司资产管理和资金活动的信息披露监管 防范资产和资金风险建议监管机构特别关注对上市公司资产管理和资金活动两项业务活动的信息披露监管 促进上市公司建立健全资产管理和资金管控制度 切实防范上市公司资产和资金风险 中国企业的内控现状 四 政策建议 迪博2015四是 逐步在中小板 创业板上市公司实施内部控制规范体系 提升对投资者的保护力度建议逐步在中小板 创业板上市公司执行企业内部控制规范体系 提高中小板 创业板上市公司内部控制水平和信息披露质量 提升对中小板 创业板市场投资者的保护力度 中国企业的内控现状 四 政策建议 迪博2015五是 强化对注册会计师内部控制审计执业行为的监管 提高其执业质量建议监管机构强化对注册会计师内部控制审计执业行为的监管力度 要求注册会计师严格按照监管规定执行内部控制审计 对注册会计师在内部控制审计过程中存在的各种失职行为进行惩罚 切实发挥注册会计师对上市公司内部控制建设的监督作用 中国企业的内控现状 四 政策建议 迪博2015六是 积极探索建立内部控制可交易指数 引导投资者回归价值投资建议监管机构与第三方中介机构合作探索建立内部控制可交易指数 提高上市公司与投资者对内部控制的关注程度 引导投资者回归理性的价值投资 促进上市公司积极主动实施内部控制体系 不断提升上市公司质量 中国企业的内控现状 三 内部控制的典型问题 甫瀚1 海外上市公司内部控制存在的典型问题 1 以 合规 为终极目标 内部控制建设流于形式 表现在 第一 为了实现内部控制体系建设的一步到位或 多快好省 地实现 合规 的目标 一些公司直接抛弃固有的管理基础而照搬所谓标杆公司的成功经验 导致内部控制建设与公司实际相脱节 后续落实及推广工作难以开展 中国企业的内控现状 三 内部控制的典型问题 甫瀚1 海外上市公司内部控制存在的典型问题 1 以 合规 为终极目标 内部控制建设流于形式 表现在 第二 按照合规要求 内部控制偏重财务报告的真实 准确而忽略其他的管理目标 例如 关注投资的计价及减值准备等会计相关控制 忽略投资决策的科学性等问题 关注应收账款的记录 对账 账龄分析 减值准备等控制 忽略客户信用管理等前端控制 因此 未能全面展现内部控制对公司的价值 逐渐被认为仅是监督检查的工具 中国企业的内控现状 三 内部控制的典型问题 甫瀚1 海外上市公司内部控制存在的典型问题 1 以 合规 为终极目标 内部控制建设流于形式 表现在 第三 一些公司虽然花费大量的人力 物力完成了内部控制建设的基础工作 满足合规的目的 但事实上 管理层对内部控制并没有深入的理解 不能从业务出发识别风险 进而考虑控制活动的恰当性 造成内部控制跟不上业务发展 每年外部顾问或者注册审计师进行内部控制检查都会发现由于新增业务或者业务变化造成的新的控制缺失 中国企业的内控现状 三 内部控制的典型问题 甫瀚1 海外上市公司内部控制存在的典型问题 2 缺乏明确的风险管理理念及风险管理体系一些上市公司虽然为了满足 合规 的目标完成了控制活动的梳理 但是仍未能站在战略的角度上关注风险 风险意识不强 风险分析和应对能力不足 财务相关的内部控制体系比较完善 但海外上市公司主要是针对工作细节 高度不够 一些上市公司虽然已经开展风险管理 但是对风险管理的认识还停留在对具体风险的管理 如期货风险管理等 中国企业的内控现状 三 内部控制的典型问题 甫瀚2 内地上市公司及非上市大中型企业内部控制存在的典型问题 其工作目标更加现实 往往更加关注业务领域 特别是特性强 风险高的业务领域 其存在的典型问题 1 内部控制工作缺乏规划和体系 头痛医头 脚痛医脚 2 基层员工参与内部控制的积极性不足 3 绩效考核注重短期业绩 导致内部控制失效 4 公司治理结构不完善 5 财务基础较为薄弱 财务分析不足 中国企业的内控现状 三 内部控制的典型问题 甫瀚3 信息系统常见的内部控制问题 1 对IT内部控制认识不足或存在偏差 第一 对IT内部控制重要性认识不足第二 对IT内部控制的收益认识不足第三 IT内部控制流于形式 中国企业的内控现状 三 内部控制的典型问题 甫瀚3 信息系统常见的内部控制问题 2 未能建立完善的IT内部控制体系 第一 缺乏IT内部控制实践指导和经验第二 IT内部控制组织与职能不健全第三 IT内部控制人员的知识结构有待完善第四 IT内部控制缺乏持续性 中国企业的内控现状 三 内部控制的典型问题 甫瀚3 信息系统常见的内部控制问题 3 IT治理不完善 第一 作为业务支撑部门和传统意义上的成本费用部门 IT部门规模通常被严格控制 人手相对紧张 再加上一些企业IT管控本身就不够规范 人员兼职现象严重 相对赋予工作权限过多 同时又缺乏有效的审计与监控 导致相应的IT风险较高 第二 缺乏完善的IT内部控制文档 一些企业在IT内部控制方面已经落实部分工作 但工作成果只是散乱的一个个表单 未进行有效的梳理和评估以形成完善的流程文档和控制文档 在面临外部检查或知识转移的时候措手不及 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚1 内部环境 1 公司治理 包括 评价公司治理的合规性 对治理结构 岗位设定及职责划分进行规划 并制订实施方案 以规范公司治理结构和议事规则 明确决策 执行 监督等方面的职责权限 形成科学有效的职责分工和制衡机制 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚1 内部环境 2 反舞弊 包括 舞弊风险评估舞弊程序与控制数据挖掘与分析风险评估舞弊审计舞弊调查 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚2 风险评估 1 风险评价及应对 包括 确定企业所面临的重大风险针对重大风险制定风险应对方案制定风险评估的政策制度 工作步骤以及报告模板 2 风险预警建设 包括 建立风险预警机制制定关键性风险指标及预警值制定风险预警体系的运行方案 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚3 控制活动 1 流程优化 包括对业务流程中所应包含的控制活动的设计有效性和执行有效性进行评价 并针对所存在的缺陷提供改善建议 以促进企业改善控制活动 提高控制能力 做到确实有效地降低企业经营风险 2 制度建设 根据基本规范的要求 建立和完善重要的企业政策制度 并针对政策制度的发布 更新 使用和管理提供有效的解决方案 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚3 控制活动 3 收入保障 具体包括 从整体全面的角度对收入流程进行优化 为收入最大化提供合理的保障 进而达到企业的战略目标 通过定性和定量的方法 识别削弱企业收入的因素 制定解决方案来改善盈利能力 用户服务 流程和绩效 从而全面改善经营效益 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚3 控制活动 4 工程项目管理 具体包括 工程建设审计工程建设风险咨询工程建设施工流程及内部控制审查解决工程建设争议工程建设施工流程重组工程建设项目会计 管理外包 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚3 控制活动 5 业务持续性管理 BCM 主要内容包括但不限于 风险评估业务持续性计划 BCP 制定业务影响性分析用户培训业务持续性策略选择BCP演练 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚4 信息与沟通 1 应用系统解决方案 包括 ERP系统选型基于ERP系统的流程优化ERP实施保障ERP系统审计 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚4 信息与沟通 2 安全管理 包括 风险评估渗透测试薄弱点评估ISO27001评估针对个别技术的安全评估安全检查 中国企业的内控现状 四 企业内部控制问题全面解决方案 甫瀚5 内部监督 1 内部审计 2 控制自我评估 3 IT审计 中国企业的内控现状