企业内部控制评价,202p

《企业内部控制评价,202p》由会员分享，可在线阅读，更多相关《企业内部控制评价,202p（202页珍藏版）》请在金锄头文库上搜索。

1、第四章 企业内部控制设计概述,卓越的企业更加离不开完善的内部控制,第一部分内部控制和萨宾斯法案介绍第二部分企业内部控制基本规范解读,内部控制和萨宾斯法案介绍,内部控制的产生,1949年，美国会计师协会的审计程序委员会在内部控 制，一种协调制度要素及其对管理当局和独立注册会计师 的重要性的报告中，对内部控制首次作了权威性定义： “内部控制包括组织机构的设计和企业内部采取的所有相 互协调的方法和措施。这些方法和措施都用于保护企业的 财产，检查会计信息的准确性，提高经营效率，推动企业 坚持执行既定的管理政策。” 此定义及其相应的解释，当时被普遍认为是对认识内部控 制这一概念的重大贡献，因为在此之前内

2、部控制概念从未 受到如此的重视。,只针对萨宾斯法案的要求 -和财务报告有关的部分 覆盖的业务主体,内部控制的专注点,内部控制的广泛性,内部控制绝对不是： 静态的结构； 某一层次人员的任务（例如：高级管理层）； 某一部门的任务（例如：财务、内部审计）； 某一实体的任务（例如：总部、省级公司）。 内部控制是：,美国反欺骗性财务报告委员会（COSO）的定义： 内部控制 是一个靠组织的董事会、管理层和其他员工去实现的过程，实现这一过程是为了合理的保证：经营的效果性和效率性；财务报告的可信性；对法律和规章制度的遵循性。,因此，整个集团的共同参与对于项目的成功至关重要。,控制机制 人是核心 (道德和能力）

3、,规范要求的长远益处,四个关键信息质量的驱动因素是行业领先的公司进行变革的目标，这些因素是遵循规范的结果，也是价值的创造,提供的数据客观，形象的表示了公司业绩 财务报表更改的情况将很少发生,业绩将更接近原有的预期 持续的计划给管理层和投资者提供了数据用于公司应对商业环境的变化,随着时间的推移，信息将快速的产生 需要快速的提供给投资者相关信息,简单化和标准化的信息使得更容易被理解和接受 管理层要直接看到推动业务的相关因素,及时,可预测,透明,精确,Earnings,一、基本概念阐述 二、内控系统整体架构 三、内部控制的实施,走进内部控制 主要内容主要内容,一、基本概念概述 二、内控系统整体框架、

4、基本概念阐述 二、内控系统整体架构 三、内部控制的实施,一、基本概念阐述 二、内控系统整体架构 三、内部控制的实施,一、基本概念阐述,经营回报与风险,经营回报,公司管理层,经营回报与风险经营回报与风险,经营回报与风险,什么是风险？,风险是某一事件或行为对企业经济利益可能的威胁商业风险和管理风险,什么是风险？,风险是某一事件或行为对企业经济 利益可能的威胁,商业风险和管理风险,管理风险,管理风险习惯上分为以下五类：,财务和经营信息不足,政策、计划、程序、法律和标准贯彻失败,资产流失,资源浪费和无效使用,不能达到企业的目的和目标,管理风险,管理风险习惯上分为以下五类：,风险的后果？,经营中断,法律

5、诉讼,商业欺诈,竞争失败,无益开支,资产损失,决策失误,风险的后果？,风险如何最小化？,风险如何最小化？,内部控制如何降低风险？,暴露的金额,发生的 可能性,风险的大小,内部控制如何降低风险？,内部控制的重要性,有效的 内部控制,风险与经营回报的良好平衡,内部控制的重要性,内部控制的重要性（续）,COSO报告内部控制整体架构 AICPA审计准则公告第78号 会计法（第四章第27条） 财政部内部会计控制规范 证监会证券公司内部控制指引 证监会商业银行内部控制指引征求意见稿 .,内部控制的重要性（续）,COSO报告内部控制整体架构 AICPA审计准则公告第78号 会计法（第四章第27条） 财政部内

6、部会计控制规范 证监会证券公司内部控制指引 证监会商业银行内部控制指引征 求意见稿 财政部等五部委企业内部控制基本规范,内部控制的重要性（续）,什么是内部控制？,20,内部控制 - 被定义为一个过程，这个过程受企业的董事会、管理层及其他人员影响。设计这个过程是为达成下列目标提供合理的保证： 营运的效果和效率 财务报表的可靠性 相关法令的遵循,内部控制的定义,COSO,www.coso.org,内部控制的定义,二、内部控制整体架构,内控系统的整体架构,内控系统的整体架构,“内部控制整体框架”的特点, 明确对内部控制的“责任” 强调内部控制应该与企业的经营管理过程相结合 强调内部控制是一个“动态过

7、程” 强调“人”的重要性 强调“软控制”的作用 强调风险意识 揉和了管理与控制的界限 强调内部控制的分类及目标 明确指出内部控制只能做到“合理”保证 成本与效益原则,内控系统五要素架构,内控系统五要素架构,目标,有效率且有效果的使用公司资源,财务报告 的可靠性,遵循适用 的法律、法规,是任何企业的核心，是企业的人以及它所处的环境 是推动企业的引擎，也是其他要素的基础,控制环境的组成要素： 管理哲学和经营风格-传达公司的正直、诚实的道德规范 组织结构-董事会及其委员会职能 职责分配和授权-权利、职责分工 人事政策-保证员工正直并有能力胜任工作,控制环境,控制环境,是任何企业的核心，是企业的人以及

8、它所处的环境 是推动企业的引擎，也是其他要素的基础,控制环境的组成要素： 管理哲学和经营风格 组织结构 董事会及其委员会职能 职责分配和授权 人事政策,控制环境,控制环境管理哲学和经营风格,审计署对23家企业的调查结果,控制环境管理哲学和经营风格,独立董事 专门委员会设立审计委员会，及委员会成员资格要求审计委员会职责专门委员会与外部中介机构 监事会监事会职责监事会与外部中介机构,控制环境董事会及委员会职能,企业必须了解它所面临的风险，并加以控制。即设立可辨识、分析和管理相关风险的机制 风险评估就是分析和辨识为实现企业目标所可能发生的风险。,环境变化后的管理,评估和更新,风险评估,风险评估,风险

9、分为： 公司整体层面的风险 具体业务活动层面的风险 风险分析的步骤： 评估风险的重要性 评估风险发生的可能性（或发生的频率） 考虑如何管理风险，即评估应采取何种行动,风险评估,对应予以特别关注的环境变化保持警觉: 法规或经营环境的改变 新加入的员工、较高的人员流动性 新的或改善过的信息系统 公司经理迅速发展时期 新技术的出现 新业务、新产品、新的经营活动或并购 公司重组 跨国经营,风险评估,次序 银行/保险业/证券 制造业 其他 1 内部控制的质量 内部控制的质量 内部控制的质量 2 管理人员的能力 管理人员的能力 管理人员的能力 3 管理人员的正直程度 管理人员的正直程度 管理人员的正直程度

10、 4 会计系统的近期变动 单位的规模 会计系统的近期变动 5 单位的规模 经济环境恶化 业务的复杂性 6 资产的流动性 业务的复杂性 资产的流动性 7 重要人员的变动 重要人员的变动 单位的规模 8 业务的复杂性 会计系统的近期变动 经济环境恶化 9 快速的增长 快速的增长 重要人员的变动 10 政府法规 管理人员对完成目标的压力 快速的增长近期变动,如何有效地进行风险管理各行业的前10种最主要的风险因素,控制活动,企业必须基于风险评估的结果订立控制风险的政策及程序，并予以执行。 通常可以按业务分别进行制定。,控制活动,控制活动的类型,事前 事中 事后,检查性控制,补偿性控制,预防性控制纠正性

11、控制,事前 事中 事后,控制活动的类型,审批（高层审阅） 保护实物资产 异常报告制度 关键绩效指标分析 职责分工,控制活动,你的批准意味着什么？ 你已经检查过文件的正确性、完整性以及适当性 你同意文件的内容 你有同意的基础，即: 你，或者你指派的适当人员，而非文件的编制者，已经审核了有关信息 你对自己的审批负全责,控制因素活动-审批,授权批准控制,在开展任何业务之前都应进行授权,授权以后，为了避免滥用权力，还要 经常对业务流程进行审查,按性质的不同分为综合授权和特别授权,要对授权做好记录，并提供证明文件,避免两个极端：“层层审批”和“一支笔”,授权批准控制,控制活动因素-保护实物资产,例如:

12、实物与会计记录的定期核对 把文件锁起来 ! 财务报表 ! 保护数据中心、本地局域网控制室以及工作站 设备标签 安全系统/警报系统 设围墙 配置保安 工作证件 隐藏的摄像镜头,返回,例如: 超过还款期限的应收账款报告 加班统计报告 重复付款报告 未享受到的折扣重点是发现异常情况并及时跟进,控制因素活动-异常活动报告,一些重要的内控方法,职责分离控制 授权批准控制 内部报告控制 电子信息技术控制,一些重要的内控方法,一些重要的内控方法,不同人员或部门之间的职责分工可以通过一系列检查措施，例如:降低发生错误的风险，并控制人为蓄意的操纵. 避免独立个人同时负责一项完整的交易的发生、授权和记录，或避免独

13、立个人在保管资产的同时负责记录其变动. 通过岗位轮换, 使更多的高级管理者参与日常运营的主要活动, 以外部视角来观察各个部门的运营.,控制因素活动-职责分工,不相容职务相互分离控制示例,不相容职务相互分离控制示例,内部报告控制,完善内部管理报告系统,内部报告上报时间及报告路线,内部报告的分析和跟进,内部报告的分发控制,信息系统控制目标,提高资源使用效率,信息系统控制目标,符合相关的法律、法规和政策,信息系统控制目标,提高企业信息系统的整体可信赖程度的控制,信息系统的组织和管理,信息系统操作,数据安全,危机处理与业务持续计划,外包厂商管理,网络支持,系统软件支持,应用系统安装与维护,硬件支持,数

14、据库安装与支持,一般信息系统控制,计算机安全标准,1.0 信息管理标准 2.0 一般系统完整及安全存取控制 3.0 网络安全标准 4.0 计算机系统安全标准 5.0 特定网络技术安全系统 6.0 实物及环境控制标准 7.0 信息备份标准 8.0 故障恢复计划,计算机系统安全,计算机存取软件 用户口令每90（30）天变更一次 防病毒软件 关键数据备份 合法版权 关闭调制解调器的自动应答功能 避免未经授权的人使用,计算机系统安全,控制进入计算机系统软件要求：61，62，63 防止未授权读出，删除，更改程序或数据 为每一用户提供唯一的ID以保证职责分割 要求口令，口令必须加密，定期更改 生成审计线索文件,61： 未经授权的人可能进入系统 62：机密的数据可能被非法利用 63：关键数据的损坏会破坏正常的生产和运营,信息与沟通,贯穿在风险评估和控制活动过程中这些系统使企业内的人员能取得他们在执行、管理和控制企业营运时必须的资讯，并交换这些资讯信息系统：内部、外部沟通：使员工知悉其在业务经营、财务报告及法律遵循方面的责任,信息与沟通,信息 通过信息系统识别、采集、加工和汇报信息 信息系统经常被认为是经营活动的一个组成部分,