CMAP1掌中宝第五章 内部控制

《CMAP1掌中宝第五章 内部控制》由会员分享，可在线阅读，更多相关《CMAP1掌中宝第五章 内部控制（7页珍藏版）》请在金锄头文库上搜索。

1、CMAP1 掌中宝第四章：内部控制掌中宝第四章：内部控制 风险评估、控制与风险管理风险评估、控制与风险管理 风险：衡量风险水平的要素 潜在的损失额（暴露在损失敞口的总资产价值） 发生损失的概率 某项威胁发生的概率 控制措施未能成功预防或检测到该项威胁的概率 风险风险=某项威胁发生的概率控制无效的概率该威胁造成的损失额 企业风险管理战略： 某项威胁发生的概率控制无效的概率该威胁造成的损失额 企业风险管理战略： 风险避免； 接受风险：发生概率小而且后果不大的小风险公司可以接受， 减少风险：通过相应的方法将某特定风险本身减少降低； 风险分享（转移): 和别人一起承担风险从而减少自身的风险，如：保险、

2、期货； 利用风险(risk exploiting)：用低风险来对冲高风险，以使整个企业的平均风向降低。 追求风险：为了更高的回报。 影响风险的因素： 独立绩效检查的频率 组织控制方法的充分性 权责相匹配的充分性 执行控制措施的连续性 风险的类型： 固有风险：固有风险：在假设没有内部控制时，错误或欺诈发生的可能性，如财务报表中存在重大虚报 控制风险：控制风险：公司的内部控制存在，但控制无效的可能性 失侦风险：失侦风险：某项错误或欺诈未被审计程序所察觉的可能性（虽然审计了也没有查出问题） 可接受审计风险（AAR） ：审计师愿意接受的审计失败风险. 公式公式=固有风险固有风险*控制风险控制风险*检查

3、风险检查风险 固有风险和控制风险越高时， 可接受的失侦风险越低， 审计师要求的审计支持证据越多 AAR 越低指审计对风险的宽容度越低，即审计时越严格。 可接受审计风险高低和管理者诚信高低：- 正比关系正比关系 可接受审计风险高低和被审计单位的财务状况好坏- 正比关系正比关系 可接受审计风险高低和财务报表使用者数量多少- 反比关系 萨班斯 反比关系 萨班斯-奥克斯利法案对审计师事务所的要求：奥克斯利法案对审计师事务所的要求： 禁止审计师事务所从事非审计的业务，以此保持审计的独立性： 会计师事务所的主审计师、 主审合伙人或复核审计项目的合伙人， 为同一客户连续提供 审计服务不得超过 5 年，否则将

4、被视为非法；应五年轮换一次. 审计师直接向被审计公司的审计委员会汇报，而不是公司管理层； 避免利益冲突: 若公司的前 CEO, CFO, 主任会计师等在一年以内刚从某审计师事务所 过来任职，则该审计师事务所不能为此公司进行审计； 审计要同时对公司财务相关的内控和财务报表发表意见； 审计师事务所保存档案底稿七年； 萨班斯萨班斯-奥克斯利法案对公司审计委员会的要求：奥克斯利法案对公司审计委员会的要求： 至少一个财务专家， 每个成员都是报告发布公司董事会的独立董事； 如果审计委员会不 包括财务专家，必须对此进行披露； 成员不能接受与审计实务有关的任何咨询费、顾问费或其他报酬 成员不能与被审计公司或其

5、分公司具有任何附属关系 直接负责选择和监督审计事务所及制定审计费，审计事务所直接向审计委员会汇报； 审计委员会要有相应职权和资金，如需要可聘请独立的咨询和顾问； 审计委员会要使用书面程序进行接待及解答关于会计、内控及审计方面的抱怨和投诉， 以及包括维护检举者保密方面的程序； 萨班斯萨班斯-奥克斯利法案对公司的要求：奥克斯利法案对公司的要求： 要求上市公司定期发布报告，要求公司相关主要管理人员，一般是 CEO 和 CFO, 在报 告中核实确认 在报告上签字的人员已经审阅了报告； 此报告不包括重大不真实的内容或没有遗漏重大 事实, 此报告公允的在实质方面反映了公司的财务状况及经营结果； 管理层负责

6、建立和维护内控系统以保证可靠的财务报告， 并在报告前评估了公司财务报 告相关的内控系统， 并向公司审计委员会及外审通报了重大内控缺陷或欺诈及评估后是 否有重大的控制改变； 萨班斯萨班斯-奥克斯利法案对公司内控的要求：奥克斯利法案对公司内控的要求： 要求公司管理层建立并建档内控程序并在年报中有财务报告相关内控的报告，此报告要求公司管理层建立并建档内控程序并在年报中有财务报告相关内控的报告，此报告 包包括： 管理层负责建立和维护内控系统的声明； 管理层对最近财务年度关于财务报告相关的内控效果的评估以及叙述用于 进行内控评估的框架（如：发起人委员会（COSO)的报告） ； 关于评估后是否有控制方面的

7、重大改变，包括纠正措施，的声明； 外审必须要鉴定并报告管理层的内控评估， 叙述任何内控方面的重大薄弱事项； 外审对 内控的评估是和财务报表审计一起进行，需发表两方面的意见。 美国海外贪腐防治法（美国海外贪腐防治法（(FCPA) 针对在美国上市的公司，由证券交易委员会(SEC)监管 禁止在海外从事业务的美国公司为了获得合同或业务而向外国政府支付贿赂。 违反的公 司及高层管理者会被处以刑事和民事处罚。 适当的催办费除外。 美国海外贪腐防治法（美国海外贪腐防治法（(FCPA)对公司的要求对公司的要求 上市公司须制作和保存帐目和记录，并以合理的详细程度，公允地反映其资产和交易。 上市公司须设计和维护一

8、个内部会计控制系统， 按照管理层的一般或具体授权来执行交 易和处理资产，记录交易，使财务报表符合 US GAAP；按合理频率将记录的资产与实 有资产相比较，对于差异采取适当措施。 COSO 内控的五要素：控制环境，风险评估，控制活动，信息与交流，审查和监控： 良好的控制环境包括 内控的五要素：控制环境，风险评估，控制活动，信息与交流，审查和监控： 良好的控制环境包括 董事会及高层管理对内控的支持 职责分离、内控及内审人员充分的独立 有相应的内控制度和程序; 企业制定的经营目标要合理。 管理层的经营方式和风格要廉洁奉公，并具有高标准的职业操守。 风险评估：公司应定期或适时做风险评估，全面准确实施

9、内控 控制活动包括 风险评估：公司应定期或适时做风险评估，全面准确实施内控 控制活动包括: 职责分离，业务交易审批，独立核对核查，审批权限授权，资产保护 信息和交流： 职责分离，业务交易审批，独立核对核查，审批权限授权，资产保护 信息和交流：公司有信息管理系统，相关信息必须以某种形式某个时间框架内进行确认、捕 捉和交流，数据交流具有安全性和准确性 监控：监控：内部审计人员、审计委员会、披露委员会和管理层都需参与到监控中。表现形式有： 员工评估、内审、外审、经理会、公司治理等 四种职责要独立分开：四种职责要独立分开： 业务批准人或业务执行人（销售、生产、采购等） 记账人 资产保管人（出纳-现金及

10、银行存款、仓库保管员-存货、固定资产保管员-固定资产、信 用控制-应收账款等） 账务核对人（存货盘点、固定资产盘点、银行调节表等） 内部控制在设计上应能防止由于粗心或缺乏相关知识所造成的无意错误由于粗心或缺乏相关知识所造成的无意错误 内部控制不能完全防止故意的欺诈、共谋和管理层滥用职权问题不能完全防止故意的欺诈、共谋和管理层滥用职权问题 内部控制须关注成本有效性成本有效性 设计内部控制时存在双重风险： 过于松懈的控制制度不能确保合规性， 不能提供有助于管理层实现组织目标的可靠信息 过于复杂的控制制度可能增加营运的难度并降低生产率，无法给组织带来价值增值 内部控制的类型： 预防性控制：预防性控制

11、：事前控制，如职责分离、双重审批等 检测性控制检测性控制: 事后核查。如定期做银行调节表、对账、存货盘点等 改正性控制：改正性控制：用于改正和解决核查控制时发现的问题 指向性控制：指向性控制：为公司创造积极结果或提升公司形象的控制 缓和性或补充性控制缓和性或补充性控制：对控制系统有缺陷或不完善的地方进行进一步或补充性的控制 内部控制方法：组织控制，营运控制，人事管理控制，设施和设备控制，审查控制内部控制方法：组织控制，营运控制，人事管理控制，设施和设备控制，审查控制/监控控 制 人事管理控制： 监控控 制 人事管理控制： 人力资源部是招聘员工，这样减少利益冲突； 招聘过程控制：按照岗位资格要求

12、进行招聘和核实 新员工培训、持续培训、发展 对员工的合理监督、对有责任监护公司钱、财的员工要进行相应的约束和控制，如岗位 轮换、定期休假 内部控制的局限性：内部控制的局限性：管理层不执行相关的控制，利益冲突，员工之间、员工与外部人之间的 共谋，内部控制的成本有效性 有效控制的会计系统的四个原则：有效控制的会计系统的四个原则：控制原则，兼容原则，灵活原则，成本收益原则 内部审计内部审计 内审的主要目的内审的主要目的: 评估内部控制政策和程序的设计、有效性和执行情况，并评估公司的绩效 质量；确保企业的风险都能得以应对，以具有效率和效益的方式实现企业的目标和使命 内审的三个主要职能内审的三个主要职能

13、: 帮助公司高层维护公司的内控系统; 帮助公司高层改善企业运营; 协助外审进行相关审计 内审的属性标准(attribute standards) 独立性：独立性：最高审计官应有足够高的汇报链；内审工作的履行偏袒组织内的任一领域和职能； 内审工作的范围、执行和结果不受干预； 客观性：客观性：内审人员应避免利益冲突，内审人员的审计范围应该定期轮换；由一个内审工作之 外的人员监督首席审计官所负责的职能和审计 熟练程度： 内部审计部门应具有履行其职责所需的专业知识， 但不需达到该领域专业人员的 程度；内部审计人员应设立持续的专业发展计划 谨慎性：谨慎性：内部审计人员在审计工作中应具有合理的谨慎 质量保

14、证和改善方案质量保证和改善方案 首席审计官/内部审计总监负责管理内部审计部门，审计结果的受众有：分部经理、运营经 理；高级管理层和董事会；外部审计人员 高度敏感性信息的处理方式应咨询法律人士 在向组织之外各方披露审计报告结果前，首席审计官应 高度敏感性信息的处理方式应咨询法律人士 在向组织之外各方披露审计报告结果前，首席审计官应： 评估对组织的潜在风险 适当时咨询高级管理层和/或法律人员 通过限制对审计结果的使用，控制报告的传播 审计过程中的发现：审计过程中的发现： 一般发现：一般发现：包括控制程序不充分、控制程序未能遵守、资产保护措施不充分等 具体发现：具体发现：每个一般发现都应具有具体发现

15、和坚实的证据提供支持 推荐建议的类型推荐建议的类型 不进行改变 修改内部控制政策和/或程序 为在审计过程中发现的潜在风险增加保险 根据相关风险调整规定回报率 审计证据 主要证据： 审计证据 主要证据：由审计人员通过观察、调查、访谈、文件查阅或其他形式收集的证据；直接证据 次要证据：次要证据：由审计对象或第三方所收集和提交的证据；审计人员须确定其可靠性 文件证据：文件证据：支票、采购单、考勤卡等 专家意见：专家意见：来自相关领域专业人士 情况证据：情况证据：一些导致审计人员怀疑特定问题存在的条件和情况 分析性证据：分析性证据：包括财务比率、对财务报表的纵向与横向分析等内容 审计类型：审计类型：财

16、务审计，营运审计，合规审计，管理层提供内部审计帮助 系统控制与安全措施系统控制与安全措施 信息系统包括财务会计和营运信息系统财务会计和营运信息系统 信息系统控制主要分为: 一般性控制一般性控制(general controls)和应用控制。和应用控制。 一般控制，与计算机、技术或 IT 职能相关的控制，包括： 组织控制、人事控制和营运控制 系统开发控制 网络控制、硬件控制和实施控制 备份控制和灾难恢复控制 会计控制 组织控制、人事控制：职责分离 IT 职能与组织的其他职能相分离。 IT 职能内的系统开发、IT 操作和技术支持应相互分离 会计系统和营运系统相关责任的恰当分离 信息处理部门的职责分离 休假规定：要求特定职位的人员定期休假一定时间；防止账户欺诈 计算机访问控制 系统开发控制 开发阶段： 对新系统开发、 安装及测试实施审计的内审人员不能参与对系统日常运作和相关 职能领域的审计工作 设计阶段：应确保没有一个程序员/分析师负