第二章 内部控制理论演进及五大要素

内部控制框架阶段——20世纪 年代后 世纪90年代后 四、内部控制框架阶段 世纪
1992年 9月 ， COSO委员会发布了纲领性的内部控制文件 年 月 委员会发布了纲领性的内部控制文件 内部控制——整体框架》，简称“COSO报告” ，并于 整体框架》 简称“ 报告” 《内部控制 整体框架 报告 1994年进行了增补。 年进行了增补。 年进行了增补 这份报告堪称内部控制发展史上的里程碑， 这份报告堪称内部控制发展史上的里程碑， 不仅在业内 备受推崇，而且在美国及全球得到了广泛的推广和应用。 备受推崇，而且在美国及全球得到了广泛的推广和应用。
内部控制框架论阶段——20世纪 年代后 世纪90年代后 四 内部控制框架论阶段 世纪
1 1992年，美国“反对虚假财务报告委员会”下属的由 年 美国“反对虚假财务报告委员会” 美国会计学会AAA、注册会计师协会 美国会计学会 、注册会计师协会AICPA、国际内部审计 、 人员协会IIA、财务经理协会FEI和管理会计学会 和管理会计学会MAA等组织参 人员协会 、财务经理协会 和管理会计学会 等组织参 与的“发起组织委员会(COSO) Committee of Sponsoring 与的“发起组织委员会 Organizations Of The Treadway Commission发布报告 发布报告 内部控制——整体框架”，即“COSO报告” ，标志内部 整体框架” 报告” “内部控制 整体框架 报告 控制框架阶段开始。 控制框架阶段开始。 2 COSO委员会 Committee of Sponsoring 委员会( 委员会 Organizations Of The Treadway Commission) 提出，“内 提出， 部控制是由企业董事会、经理阶层和其他员工实施的， 部控制是由企业董事会、经理阶层和其他员工实施的，为营运 的效率效果、财务报告的可靠性、 的效率效果、财务报告的可靠性、相关法令的遵循性等目标的 达成而提供合理保证的过程。 达成而提供合理保证的过程。”
第二章 内部控制的演进与五大要素
第一节 内部控制的产生动因 1内部控制是企业管理当局履行受托责任的 内部控制是企业管理当局履行受托责任的 内在要求 现代制度下，企业所有权和经营权分离， 现代制度下，企业所有权和经营权分离， 股东与经理人之间产生了一种典型的委托 代理关系 2内部控制是提高管理效率的需要 内部控制是提高管理效率的需要 3内部控制是制度管理思想的产物 内部控制是制度管理思想的产物
内部控制论阶段——20世纪 年代至 年代 世纪40年代至 二 内部控制论阶段 世纪 年代至70年代 之间 1 20世纪 年代 世纪40年代 世纪
1949年，美国会计师学会的审计程序委员会在《内 部控制——一种协调制度要素及其对管理当局和独立审计 人员的重要性》报告中，第一次对内部控制进行了比较权 威的定义，标志内部牵制时代的结束。 内部控制包括组织结构及该组织为了保护其财产安 全，检查其会计资料的准确性和可靠性，提高经营效率， 保证既定管理政策得以实施而采取的所有方法和措施。
风险管理阶段——21世纪初期以来 五、风险管理阶段 世纪初期以来
COSO委员会在 委员会在2004年发布了《企业风 年发布了《 委员会在 年发布了 险管理—整合框架 整合框架》 险管理 整合框架》（以下简称风险管理框 该框架对风险管理的定义表述是： 架）。该框架对风险管理的定义表述是： 风险管理是一个过程，它由公司董事会、 风险管理是一个过程，它由公司董事会、 管理层以及其他员工执行， 管理层以及其他员工执行，适用于公司战略 的制定和整个公司范围， 的制定和整个公司范围，用来识别可能对公 司产生影响的潜在事项， 司产生影响的潜在事项，并将风险控制在企 业可以承受的水平以内， 业可以承受的水平以内，为公司目标的实现 提供合理保证。 提供合理保证。
COSO报告相关知识点 报告相关知识点 【（1）COSO报告中内部控制的组成 ） 报告中内部控制的组成 （2）COSO报告中内部控制的职责 ） 报告中内部控制的职责 （3）COSO报告的现实意义 ） 报告的现实意义 （4）COSO报告的局限性 ） 报告的局限性 （5）COSO报告对我国企业的启示 】 ） 报告对我国企业的启示
三、 内部控制结构阶段——20世纪80年代—90 年代 1.控制环境(Control Environment) 反映董事会、管理者、业主和其他人员对 控制的态度和行为。 2.会计系统 (Accounting System) 规定各项经济业务的确认、归集、分类、分 析、登记和编报方法 3.控制程序 (Control Procedure) 指管理当局制定的政策和程序，以保证达到 一定的目的。
3 20世纪70年代 1972年，美国审计准则委员会（ASB） 在《审计准则公告》（第1号）中，更加明 确的阐述了内部会计控制和内部管理控制 的定义。 内部会计控制包括（但不限于）组织规 划、保护资产安全以及与财务报表有关的 程序和记录。 内部管理控制包括（但不限于）组织规 划及与管理当局进行经济业务授权的决策 过程有关的程序和记录。
内部控制框架论阶段——20世纪 年代后 世纪90年代后 四、内部控制框架论阶段 世纪
COSO 报 告 提 出 了 内 部 控 制 要 素 （ Internal Control Components）的概念，认为内部控制整体框架包含五个相互 ）的概念， 联系的要素： 联系的要素： （1）控制环境 ， 包括 ： 管理者的经营风格和经营理念、 组织结 ）控制环境，包括：管理者的经营风格和经营理念、 构与权责分派体系、人员的品行与素质、人力资源政策及实务、 构与权责分派体系、人员的品行与素质、人力资源政策及实务、 管理控制方法等； 管理控制方法等； （2）风险评估，包括风险识别和风险分析。 ）风险评估，包括风险识别和风险分析。 （3）控制活动 ， 是企业对所确认的风险采取必要的措施 ，以保 ） 控制活动，是企业对所确认的风险采取必要的措施， 证企业目标得以实现的政策和程序。 证企业目标得以实现的政策和程序。 （4）信息与沟通 ， 指企业必须识别、 捕捉 、 交流外部和内部信 ） 信息与沟通，指企业必须识别、捕捉、 息沟通使员工了解其职责，保持对财务报告的控制。 息沟通使员工了解其职责，保持对财务报告的控制。 （5）监控，包括日常性监控和内部审计机构的监控。 ）监控，包括日常性监控和内部审计机构的监控。
风险评估——通过考虑风险的可能性和影响来对其加以 风险评估 分析，并以此作为决定如何进行管理的依据。风险评估 应立足于固有风险和剩余风险。 • 风险应对 风险应对——管理当局选择风险应对——回避、承受、 降低或者分担风险——采取一系列行动以便把风险控制 在主体的风险容限（risk tolerance）和风险容量以内。 • 控制活动 控制活动——制订和执行政策与程序以帮助确保风险 应对得以有效实施。 • 信息与沟通 信息与沟通——相关的信息以确保员工履行其职责的 方式和时机予以识别、获取和沟通。有效沟通的含义比 较广泛，包括信息在主体中的向下、平行和向上流动。 • 监控 监控——对企业风险管理进行全面监控，必要时加以 修正。监控可以通过持续的管理活动、个别评价或者两 者结合来完成。
3 内部牵制是基于以下两个基本设想： 1.二个或以上的人或部门无意识地犯 同样错误的机会是很小的； 2.二个或以上的人或部门有意识地合 伙舞弊的可能性大大低于单独一个人或部 门舞弊的可能性 早期的内部牵制重视企业内部的分工和 制衡
内部牵制机能的执行分为四类：
（1）实物性牵制 （2）机械牵制（程序性牵制） （3）体制牵制 （4）薄记牵制
整合框架》 《企业风险管理—整合框架》 企业风险管理 整合框架
风险管理框架示意图 八要素） （八要素）
2004年，COSO委员会的研究报告《企业风险管理框架》 指出企业风险管理包括八个相互关联的构成要素。它们来源于管 理当局经营企业的方式，并与管理过程整合在一起。这些构成要 素是： • 内部环境 内部环境——内部环境包含组织的基调，它为主体内的人员如 何认识和对待风险设定了基础，包括风险管理理念和风险容量、 诚信和道德价值观，以及他们所处的经营环境。 • 目标设定 目标设定——必须先有目标，管理当局才能识别影响目标实现 的潜在事项。企业风险管理确保管理当局采取适当的程序去设定 目标，确保所选定的目标支持和切合该主体的使命，并且与它的 风险容量相符。 • 事项识别 事项识别——必须识别影响主体目标实现的内部和外部事项， 区分风险和机会。机会被反馈到管理当局的战略或目标制订过程 中。
四种类型的目标——战 略、经营、报告和合 规——用垂直方向的栏 表示，八个构成要素用 水平方向的行表示，而 一个主体内的各个单元 则用第三个维度表示。 这种表示方式使我们既 能够从整体上关注一个 主体的企业风险管理， 也可以从目标类别、构 成要素或主体单元的角 度，乃至其中的任何一 个分项的角度去加以认 识。
应用指引可以划分为三类，即内部环 境类指引、控制活动类指引、控制手 段类指引，
（1）内部环境 ）
内部环境是企业实施内部控制的基础， 内部环境是企业实施内部控制的基础，支配着企业全体员工的 内控意识， 内控意识，影响着全体员工实施控制活动和履行控制责任的态 度、认识和行为。 认识和行为。 《财政部会计司司长刘玉廷解读《企业内部控制配套指引》 》 财政部会计司司长刘玉廷解读《企业内部控制配套指引》 内部环境类指引有5项 包括组织架构、发展战略、人力资源、 内部环境类指引有 项 ， 包括组织架构 、 发展战略 、 人力资源 、 企业文化和社会责任等指引。 企业文化和社会责任等指引
（三）控制活动。控制活动是企业根据风险评估 控制活动。 结果，采用相应的控制措施， 结果，采用相应的控制措施，将风险控制在可承受 度之内。 度之内。 信息与沟通。信息与沟通是企业及时、 （四）信息与沟通。信息与沟通是企业及时、准 确地收集、传递与内部控制相关的信息，确保信息 确地收集、传递与内部控制相关的信息， 在企业内部、企业与外部之间进行有效沟通。 在企业内部、企业与外部之间进行有效沟通。 （五）内部监督。内部监督是企业对内部控制建 内部监督。 立与实施情况进行监督检查， 立与实施情况进行监督检查，评价内部控制的有效 性，发现内部控制缺陷，应当及时加以改进。 发现内部控制缺陷，应当及控制、风险管理的起源、发展与继承示意图 如下： 如下：