2015上市公司和集团公司内部控制实务-崔西福

上市公司和集团公司内部控制实务主讲老师：崔西福一、内部控制概述（一）内部控制是什么？（二）内部控制在中国发展（三）中国企业内部控制体系（四）中国企业内部控制建设情况（五）上市公司内部控制情况统计近两年沪深交易所上市公司内部控制评价情况。

2011年，在沪、深交易所上市的2 340家公司中，1 844家上市公司披露了内部控制自我评价报告，占总样本量的78.80%；496家上市公司未披露内部控制自我评价报告，占总样本量的21.20%。

2012年，在沪、深交易所上市的2 469家公司中，2 223家上市公司披露了内部控制自我评价报告，占比90.04%，246家公司未披露内控评价报告，占比9.96%。

图：2011年内控控制自我评价报告披露情况2011年，在1 844家披露了内部控制评价报告的上市公司中，1 841家上市公司认为自身的内部控制体系是有效的，不存在重大缺陷，占总样本量的99.84%；1家上市公司未出具结论，占总样本量的0.05%；仅2家上市公司认为自身的内部控制体系未得到有效实施，占总样本量的0.11%。

2012年，在2 223家披露了内部控制评价报告的上市公司中，2 219家上市公司的内部控制评价结论为有效，占比99.82%；4家上市公司的内部控制评价结论为无效，占比0.18%。

图：2011年内控控制自我评价报告结论披露情况（六）上市公司内部控制体系存在的问题问题一企业内部对内部控制的认识有待提升。

（1）部分公司对内部控制的认识仍停留在查漏补缺、应对监管的层面，没有意识到内控体系的作用，因而在内控建设过程中缺乏动力，各层级人员局限于满足“合规”要求；（2）有些公司在内控建设初期对应投入的资源及相关保障仍缺乏有效认知；（3）有些公司将内部控制体系建设和评价工作作为一项阶段性运动，控制要求形式化，未树立将内部控制要求与日常管理工作相结合的理念，对内控的认识和理解程度有待提升。

问题二内控专业人才缺乏成为制约企业内控建设的瓶颈。

（1）人才缺乏已成为制约推进内控建设的瓶颈；（2）很多内控部门负责人及实际工作人员是在“边建边学边摸索”，虽然在推进内控建设的过程逐步积累起一定的经验，但常会因此而走许多弯路；（3）一些企业虽然建立了很好的在企业内部培养内控人才的机制，但毕竟人才的培养需要一个过程。

问题三企业内部控制建设及评价仍需要方法上的指导。

（1）部分公司对以风险评估为基础的内控建设方法还较为陌生；（2）应用指引是根据制造型企业特点总结提炼出的一般性指引，并没有兼顾不同行业特点，公司在建立内控过程中需要找到自身生产经营活动与应用指引的契合点；（3）评价指引针对内控评价的基本原则和程序提出了要求，但并未提供一套完整的方法体系。

问题四内控评价报告信息的有效性有待提升。

（1）部分公司在评价报告中披露的信息与自身生产经营特点和业务运行模式结合不足，公式化倾向较为明显；（2）部分公司出于展示良好形象和工作成果的考虑，对内控要素、内控建设过程和成果进行了详细描述，而对于投资者真正希望了解的信息如存在的缺陷、未来的改进措施等则较少，内控评价报告及相关信息披露传达的信息有效性有待提升。

（七）内部控制在全球发展现状（八）内部控制理论演变过程1．内部牵制阶段20世纪40年代以前，内部控制始于内部牵制，主要着眼于职责分工和业务流程及记录的交叉检查和控制，基本目的为查错、防弊。

这个阶段的基本手段是把职务分离和账目核对结合起来，主要还是以会计核算、会计事项作为其主要的控制对象。

2．内部控制制度阶段20世纪40年代至70年代，内部控制进入内部控制制度阶段。

内部控制制度阶段是以会计控制为核心，重点是建立健全规章制度，用制度控制企业的财务活动。

1973年美国审计程序公告55号，对内部控制制度作如下解释：“内部控制制度有两类：内部会计控制制度和内部管理控制制度。

内部管理控制制度包括组织结构计划，以及关于管理部门对事项核准的决策步骤上的程序与记录。

会计控制制度包括组织机构的设计以及与财产保护和财务会计记录可靠性有直接关系的各种措施。

”3．内部控制结构阶段20世纪80年代至90年代初期，内部控制进入内部控制结构阶段。

1988年美国审计准则委员会发布的第55 号审计准则公告《财务报表审计中内部控制结构的考虑》定义内部控制为：内部控制被认为是为合理保证企业特定目标的实现而建立的各种政策和程序，内部控制由三个要素组成：内控环境、会计制度和控制程序。

4．内部控制整体框架阶段1992年9月，COSO委员会提出了报告《内部控制——整体框架》（1994年进行了增补），即COSO内部控制框架。

该框架指出“内部控制是受企业董事会、管理层和其他人员影响，为经营的效率效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。

”5．风险管理框架阶段2004年，COSO委员会在原有内部控制整合框架的基础上发布了企业风险管理整合框架。

风险管理整合框架认为“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。

”二、内部控制目标、风险及控制活动（一）风险定义风险管理的手段之一是内部控制。

风险是任何可能影响某一组织实现其目标的事项，一般用两个维度来计量，一是可能性，一是影响程度。

风险包括：恶性事件带来的威胁(risk as hazard)尚不能确定后果的事件(risk as uncertainty)可转化为机会的事件 (risk as opportunity)（二）风险分类实物资产：（1）未经许可的盗用；（2）使用效率低；（3）巨大损失；（4）不可接受的成本。

财务资产：（1）经济表现未如理想；（2）缺乏资金获取渠道；（3）不可接受的损失；（4）意外损失；（5）资产流动性不强；（6）使用效率过低。

客户资产：（1）普遍的客户质量问题；（2）关键客户或渠道大量流失；（3）渠道效率低；（4）市场份额或市场机会丧失；（5）联盟效能低。

雇员/供应商资产：（1）人才短缺；（2）停工滞工；（3）士气低落；（4）供应商绩效低下；（5）成本太高和交货周期太长；（6）质量低劣；（7）合作效能不力。

组织资产：（1）领导力不足；（2）战略不明确或陈旧过时；（3）弹性不足；（4）组织整体学习不足；（5）流程效能差、效率低；（6）经营行为不可靠；（7）诉讼纠纷；（8）知识共享不足；（9）系统陈旧老化。

1．按照内部控制目标分类战略类风险合法合规类风险财务报告类风险运营类风险2．按照风险来源分类内部风险外部风险3．按照风险应对分类公司层面风险业务层面风险4．国资委的风险分类是以内部控制目标的类别为基础适当调整：战略风险、财务风险、市场风险、运营风险、法律风险等。

战略风险：影响公司发展战略的风险；战略目标统领经营目标、报告目标、合规目标。

如：业务发展战略方向决策失误；人力资源战略不当导致劳动力缺乏；业务扩张计划不能形成公司核心竞争力。

合规风险：没有全面执行国家法律、法规和政策规定的风险。

例如：合同条款违法；偷漏税金；污染物的排放不符合国家环保规定。

报告风险：企业未完全按会计准则等规定组织会计核算和披露信息，导致财务报告在完整性、准确性等方面存在问题。

例如：将资本化的支出费用化或将费用化的支出资本化；会计记录错误（金额、科目、期间错误）。

帐实不符；产品成本计算错误。

经营风险：影响经营决策的风险。

例如：投资决策失误导致投资失败。

产品不能及时适应市场的变化和需求。

没能以合理的价格取得物资或服务。

（三）风险对企业不利影响的表现形式账面减值，由于风险事件导致的资产账面价值直接减少，如客户违约导致的销账、账面资产\收入损失、以及由于交易活动导致的损失等。

资产损失，由于疏忽、事故或自然灾害等时间造成实物资产、现金资产的直接毁坏和价值减少。

法律成本，由于经营行为导致的法律诉讼或仲裁以及为之发生的诉讼费用、赔偿支出等。

监管罚没，由于管理不善导致的环保、税务、工商、城管等监管部门和有权机关的罚款或其他处罚。

竞争力减弱，由于战略或策略不当，导致企业在竞争中处于劣势，客户流失，市场份额萎缩，从而导致企业财务状况恶化，极大削弱竞争实力。

（四）风险计量风险值（R）=发生概率（P）×影响后果（C）×发生频率（T）风险是指不确定性对目标的影响。

风险值可以用金额予以表示。

风险事件是指在特定条件下发生的可能对目标产生影响的事项。

事件对目标的影响可能是正面的，也可能是负面的，对于在给定时间内，事件是否发生，通常用概率来表示。

风险后果是指一项事件对目标影响的结果。

在进行风险评估时，其后果可以用定量表示，也可以用定性表示。

图：风险形成过程参考：风险等级标准级别风险风险级别定量分析风险级别定性分析5级极高风险影响公司净利润20%及以上对公司经营成果有极大影响4级高风险影响公司净利润10%-20%以下对公司经营有重大影响3级中风险影响公司净利润5%-10%以下对公司经营有一定影响2级低风险影响公司净利润1%-5%以下对公司经营影响不大1级极低风险影响公司净利润1%以下对公司经营产生轻微影响风险级别：风险值确定后，根据风险等级标准确定风险级别。

参考：风险坐标图法（五）风险管理风险管理是指一个组织针对风险所采取的指挥和控制的协调活动。

这一活动贯穿于实现目标过程的始终，其目的是较好地实现预定的目标。

（六）风险管理流程风险管理流程是把管理的方针、程序和操作方法系统的应用及沟通与咨询、建立环境、风险评估、风险应对、监测与评审风险活动的全过程。

它通常由一系列环节所构成，企业可根据自身的状况设定其管理流程。

（七）设定目标企业目标与内部控制目标的关系是什么？内部控制目标是为企业目标服务的，内部控制目标的实现可以推动企业目标得以实现。

（八）风险应对请思考：不同类型的风险如何采取应对策略？选择风险应对策略应考虑的内容：（1）考虑应对方案的可行性及影响后果。

（2）选择风险应对策略时要考虑企业的风险承受度，不能选择那些企业承受不了的策略。

（3）选择风险应对策略要权衡成本与收益。

风险计量与应对不同类型风险相对应的风险应对策略风险管理三道防线：（1）各有关职能部门和业务单位（2）风险管理部门或风险管理委员会（3）内部审计部门或审计委员会（4）资本金（九）控制活动控制活动定义：控制活动（控制措施）是指企业根据风险评估结果，结合风险应对策略，确保内部控制目标得以实现的方法和手段。

《规范》指出：企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。

请思考如何设计控制活动以实现控制目标？设计控制活动时考虑因素：（1）能做什么工作来降低发生风险的可能性?（2）这些工作或活动现在存在吗?足够吗?（3）现有的控制活动是否明确,独特且没有彼此重复?（4）效率：有没有更容易的或者成本更低的控制风险的方法?（5）效果：这些控制活动是不是有效地降低了风险?请思考控制活动具体有哪几类？COSCO控制活动中国的控制活动责权分离（Segregation of duties）不相容职务分离控制审批（Approvals）授权审批控制授权（Authorizations）核实查证（Verifications）会计系统控制对账（Reconciliation）检查（Review）资产的安全（Security of assets）财产保护控制预算控制运营分析控制绩效考评控制不相容职务分离是指那些不能由一人兼任，既方便弄虚作假，又能掩盖其舞弊行为的职务。