第六章风险管理框架下的内部控制完整版

第六章风险管理框架下的内部控制本章考情分析本章属于次重点章，应重点掌握的内容包括：（1）企业内部控制理论的演变与发展；（2）内部控制与风险管理的关系；（3）内部控制的目标、内部控制的原则和内部控制的要素；（4）内部控制应用指引（包括18项指引）；（5）内部控制评价；（6）企业内部控制审计；（7）审计委员会在内部控制中的作用；（8）风险管理、内部控制与公司治理及其三者的关系。

本章考试的题型主要关注客观题和简答题，近3年平均分值为10分左右。

2013年重点关注内部控制应用指引（包括18项指引）、内部控制评价和在内部控制中审计委员会的作用，这三个方面内容考主观题。

第一节内部控制与风险管理的关系一、企业内部控制理论的演变与发展（一）内部牵制阶段第一阶段，起步阶段，即内部牵制阶段。

最初的内部控制定义就是内部牵制，它基本是以査错防弊为目的，以岗位分离和账目核对为手段，以钱、账、物等会计事项为主要控制对象。

其核心主要关注于会计领域。

（二）内部控制制度阶段第二阶段，进化阶段，即内部控制制度阶段。

20世纪50年代至70年代，内部控制的发展进入到内部控制制度阶段。

内部控制制度有两类，即内部会计控制制度和内部管理控制制度。

内部控制的目标除了保护组织财产的安全之外，还包括增进会计信息的可靠性、提高经营效率和遵循既定管理方针。

（三）内部控制结构阶段第三阶段，提高阶段，即内部控制结构阶段。

20世纪80年代至90年代初，内部控制的发展进入内部控制结构阶段。

在该阶段正式将内部控制环境纳入内部控制范畴，同时不再区分内部会计控制和内部管理控制。

内部控制被认为是为合理保证企业特定目标的实现而建立的各种政策和程序，内部控制由三个要素组成：内部控制环境、会计制度和控制程序。

（四）内部控制整合框架阶段第四阶段，演进阶段，即内部控制整合框架阶段。

1992年9月，美国反虚假财务报告委员会的发起组织委员会（ COSO)发布了一份报告《内部控制——整合框架》（1994年进行了增补），即 COSO内部控制整合框架。

该框架指出“内部控制是受企业董事会、管理层和其他人员影响，为经营的效率和效果、财务报告的可靠性、相关法规的遵循性等目标的实现而提供合理保证的过程。

”内部控制的三项目标包括：取得经营的效率和效果；确保财务报告的可靠性；遵循适用的法律法规。

内部控制的五大要素包括：控制环境、风险评估、控制活动、信息与沟通、监督。

这些要素从管理当局运营的业务中衍生出来，并整合在管理过程当中。

（五）全面风险管理阶段第五阶段，提升阶段，即全面风险管理阶段。

2004年9月，COSO发布了《企业风险管理——整合框架》。

企业风险管理整合框架认为“企业风险管理是一个过程，它由一个主体的董事会、管理当局和其他人员实施，应用于战略制订并贯穿于企业之中，旨在识别可能会影响主体的潜在事项，管理风险以使其在该主体的风险容量之内，并为主体目标的实现提供合理保证。

”风险管理整合框架文本中指出风险管理框架将内部控制框架涵盖在其中。

风险管理整合框架有3个维度，第一维是企业的目标；第二维是全面风险管理要素；第三维是企业的各个层级。

第一维企业的目标有4个，即战略目标、经营目标、报告目标和合规目标。

第二维风险管理要素有8个，即内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监督。

第三个维度是企业的层级，包括主体层次、各分部、各业务单元及下属各子公司。

风险管理整合框架三个维度的关系是：风险管理的 8个要素都是为企业的4个目标服务的；企业各个层级都要坚持同样的 4个目标；每个层次都必须从以上8个方面进行风险管理。

与COSO内部控制整合框架相比，风险管理整合框架具有下列6个方面的主要特点: （1）内部控制涵盖在企业风险管理活动之中，是其不可分割的组成部分。

（2）拓展了所需实现目标的内容。

首先，在实现目标方面增加了统驭经营、财务报告和遵循法律法规的最高层次——战略目标。

其次，将财务报告扩展为企业编制的所有报告，包括出于内部管理目的而编制的报告和其他外部报告，如监管申报材料和其他报送给外部利益相关者的报告。

最后，引入风险偏好和风险容忍度的概念。

（3）引入风险组合观，使企业在考虑实现企业目标的过程中关注风险之外，还有必要从企业角度和业务单元两个角度以“组合”的方式考虑复合风险。

（4）更加强调风险评估在风险管理中的基础地位，将COSO报告的风险评估扩展为一个由4要素组成的过程——目标设定、事项识别、风险评估和风险应对，并相应地在岗位设置上做出具体安排，如设置首席风险官。

（5）扩展了控制环境的内涵，强调风险管理概念和董事会的独立性。

（6）扩展了信息与沟通要素，企业不仅要关注历史信息，还要关注现在和未来可能影响目标实现的各种事项的影响。

【例题1·单选题】在COSO内部控制框架中，企业目标的类别可分为（）。

（2009年考题改编）A.运营、财务报告及合规三个类别B.运营、信息及合规三个类别C.信息、财务报告及监察三个类别D.运营、信息及监察三个类别【答案】A【解析】在COSO内部控制框架中，企业目标的类别可分为运营、财务报告及合规三个类别。

【例题2·多选题】在风险管理整合框架中，企业的主要目标包括（）。

A.战略目标B. 经营目标C.报告目标D. 合规目标【答案】ABCD【解析】在风险管理整合框架中，企业的目标有4个，即战略目标、经营目标、报告目标和合规目标。

【例题3·多选题】在风险管理整合框架中，下列属于风险管理要素的有（）。

A.内部环境B. 目标设定D. 控制环境C.风险应对【答案】ABC【解析】在风险管理整合框架中，风险管理要素有8个，即内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通、监督。

二、内部控制与风险管理的关系目前理论界对内部控制与风险管理的关系有3种不同的观点。

内部控制与风险管理在本质上是协调共存、密不可分，这已经成为人们的共识。

（一）内部控制包含风险管理（二）风险管理包含内部控制（三）内部控制与风险管理是一对既互相联系又互相差别的概念【例题4·多选题】下列说法中，属于内部控制与风险管理是一对既互相联系又互相差别的概念的观点有（）。

A.内部控制与风险管理的相同点是两者均是合理保证目标实现的过程B.内部控制是为了达到某些目的而进行的一种动态的管理过程C.风险管理是围绕特定目标，通过各种手段对风险进行管理，为实现目标提供合理保证的过程和方法D.风险管理更偏向内部控制过程的前端，更偏向于对影响目标实现的因素的分析、评估与应对【答案】ABCD【解析】内部控制与风险管理是一对既互相联系又互相差别的概念的观点认为：内部控制是为了达到某些目的而进行的一种动态的管理过程，这个过程是通过纳入管理的大量制度及活动实现的；风险管理则是围绕特定目标，通过各种手段对风险进行管理，为实现目标提供合理保证的过程和方法；内部控制与风险管理的相同点是两者均是合理保证目标实现的过程。

风险管理更偏向内部控制过程的前端，更偏向于对影响目标实现的因素的分析、评估与应对；相对于内部控制，风险管理是一个更为独立的过程；内部控制更加重视实施，嵌入企业各业务流程的具体业务活动中，融合在企业的各项规章制度之中，使企业在正常运营过程中自发地防止错误，提高效率，从而合理保证目标的实现。

第二节我国内部控制规范体系一、我国内部控制规范体系的建立与发展（一）《企业内部控制基本规范》2008年6月28日，财政部会同证监会、审计署、银监会、保监会制定并印发《企业内部控制基本规范》（以下简称《基本规范》）。

自2009年7月1日起适用于中华人民共和国境内设立的大中型企业（包括上市公司）执行。

同时鼓励小企业和其他单位参照其内容建立与实施内部控制。

《基本规范》要求企业建立内部控制体系时应符合以下目标：合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整；提高经营效率和效果；促进企业实现发展战略。

目标的设置在COSO风险管理整合框架的4目标基础上又增加了一项“资产安全”。

《基本规范》借鉴了以美国COSO内部控制整合框架为代表的国际内部控制框架，并结合中国国情，要求企业所建立与实施的内部控制，应当包括下列五个要素：（1)内部环境；(2)风险评估；(3)控制活动；（4）信息与沟通；（5）内部监督。

《基本规范》在形式上借鉴了 COSO内部控制整合框架5要素框架，在内容上体现了COSO 风险管理整合框架8要素框架的实质。

其8要素实质主要指细化表述了风险管理的流程：风险识别、风险分析和风险应对策略，并且在风险应对策略中比照COSO风险管理整合框架说明了风险规避、风险降低、风险分担和风险承受4种应对策略。

另外，在五要素之外间接表述了企业的目标。

（二）《企业内部控制配套指引》财政部、证监会、审计署、银监会及保监会于2010年4月26日联合发布了《企业内部控制配套指引》，其中包括18项《企业内部控制应用指引》、《企业内部控制评价指引》和《企业内部控制审计指引》。

《配套指引》自 2011年1月1日起在境内外不同类型的上市公司施行。

同时，鼓励相关非上市大中型企业提前执行。

《应用指引》的 18项指引，可以划分为三类，即内部环境类指引、控制活动类指引和控制手段类指引，基本涵盖了企业资金流、实物流、人力流和信息流等各项业务和事项。

《评价指引》为企业对内部控制的有效性进行全面评价，形成评价结论、出具评价报告提供指引。

《审计指引》为会计师事务所对特定基准日与财务报告相关内部控制设计与执行有效性进行审计提供指引。

二、内部控制规范的框架体系总结我国内部控制规范体系，包括基本规范、应用指引、评价和审计三个类别，依次是核心统领、应用指引和事后鉴定三种类型。

1.《基本规范》规定内部控制的基本目标、基本要素、基本原则和总体要求，是内部控制的总体框架，在内部控制标准体系中起统领作用。

2.内控体系的有效实施，还需要一些具有可操作性的具体应用规范。

《应用指引》是对企业按照内部控制原则和内部控制“五要素”建立健全本企业内部控制所提供的指引，在配套指引乃至整个内部控制规范体系中占据主体地位。

3.《评价指引》和《审计指引》是对企业按照内部控制原则和内部控制“五要素”建立健全本企业“事后控制”的指引，是对企业贯彻《基本规范》和《应用指引》效果的评价与检验。

第三节内部控制基本规范一、内部控制的目标《基本规范》将内部控制定义为：由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。

《基本规范》将内部控制的目标归纳为五个方面：（1）合理保证企业经营管理合法合规；（2）合理保证企业资产安全；（3）合理保证企业财务报告及相关信息真实完整；（4）提高经营效率和效果；（5）促进企业实现发展战略。