企业内部控制实施问题与案例分析-夏文贤

内部控制案例——人事和信息
• 案例一：虚假简历 人 事纠纷 • 内部控制的完善 招聘初期让求职者当场签字确 认简历的真实性 对拟招录人员进行背景调查（ 背景调查的时间和内容） 设置试用期 编制员工手册 入职手续完备，依法签订合同 ，请员工签收员工手册，将各 项记录及时归档 适当的入职前培训
负面 － 向下
• 具有负面影响的事件会抵制价值创造或者侵蚀 已有价值
• 具有负面影响的事件可能来源于看似存在正面 效应的机会，如：客户需求量超过其生产能力
内部控制与风险管理的关系——风险和控制的平衡
7
• 过度的风险
– 资产的损失 – 业务决策不流畅 – 不守法 – -丑闻
• 过度的控制
– – – – – -官僚作风 生产力 -复杂性 -周期 -非增值性活动
内部控制实施问题与 案例分析
夏文贤
内部控制和风险——内部控制实施问题
内部控制——系统、动态的过程
• 内部控制的定义： 内部控制是一个过程 内部控制由企业董事会、监事会、经理层和全体员工来实施 内部控制为实现企业经营目标提供合理的保证
3
内部控制是：由企业董事会、监事会、经理层和全体员工实施的旨在实现控制目 标的过程。
监督内控的有效实 施和内控自我评价 情况
日常监督
经理层 业务运营部门 日常监督
负责组织协调内控的 建立实施及日常工作
内审或 内控自评部门
对内控体系运行进行内部独立检 查;向董事会报告监督检查中发现的
内控重要和重大缺陷
内部独立监督
内控实施路线图－内控梳理对标（续）
12
内控梳理对标 内控整改固化 内控自评 内控审计
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关 信息真实完整，提高经营效率和效果，促进企业实现发展战略。
内部控制系统框架
董 事 会 监 事 会
风 险 评 估
对内部、外部影响企业的 因素的评估 •集团层面的风险评估 •流程层面的风险评估
经 理
层
控 制 活 动
全体人员
保证信息能及时有效地沟通 的流程 •来自高级管理层的信息 •政策及流程 •培训 •道德标准 •IT信息系统
内部控制与风险管理的关系——风险敞口 剩余风险
8
固有风险
-
风险管理有效性 =
（风险敞口）
多坏? 多快? 财务 声誉 法律法规 健康安全环保 相关利益者
多好? 多快? 预防或 积极准备应对及恢复 提升
可接受?
趋势 更好 更坏 没变化
内部控制实施是一个系统、动态、持续改进的过程
9 通过对评估薄弱 环节的不断优化 和改进不断提升 公司的风险防范 和管理能力
• 意识的不专注 理解错误、判断失误 疏忽大意、不熟悉情况 分心、疲乏等 • 越权 • 篡谋
实现企业风控工作信息化的路线图
20
10
4、风险智能管理阶段
企 业 风 3、自动化风险管理阶段 险 • 采用信息平台，对企业的风险管理流程，包 括风险识别，风险评估，内控测试等环节， 及 进行固化和自动化 内 控 2、自动化管控阶段 工 • 引入系统化的框架体系，全面识别企业使用 的ERP系统中存在的自动化控制点并对其有 作 效性进行测试 的 成 熟 1、初始阶段 度 • 识别当前软件中的重要控制
内部控制案例——人事和信息
• 案例三：虚假打折 侵吞营业款
不少商家为提升客户满意度会给销售终端的店长或 负责人一定的打折权限，以处理各种突发状况。某 公司在核对郭某负责的门店的打折权限使用情况时 发现异常，调查后证实店长通过虚假打折、折让的 方法侵占营业款。具体手法是：若存在使用现金消 费的顾客时，郭某在销售单据的客户联上开具实际 成交金额，但在财务收据联上开具的是打折后的金 额，差价被据为己有。另外发现，该店的员工均为 郭某亲戚和朋友。
内部 监 督 信 息 沟 通
对内控制度设计充分性 ，执行有效性进行监督
内 部 环 境
企业内部控制的道德意识，是“来自高层的声音” •道德标准 •高级管理层价值观 •公司治理
达到控制目标的活动和 经营程序 •授权 •批准 •日常操作流程及系统 •职责分离 •会计对帐 •财务和管理软件中的自
动控制
风险
记录内控缺陷 设计整改方案 完善内控制度 更新内控文件
制定监督制度 跟踪缺陷整改 开展自我评价 编制自评报告
进行模拟审计 提供所需证据 出具管理声明 披露审计报告
信息化建设
内部控制的局限性
重因素的限制而不能达到其初衷
19
即使是设计最好、运行最出色的内部控制程序在其执行过程中也可能会受到多 下列因素能削弱或逃避内部控制的效力：
内控实施路线图－内控整改固化（续）
15
内控梳理对标 内控整改固化 内控自评 内控审计
内控活动与制度对接
内控整改固化
记录内控缺陷 设计整改方案 完善内控制度 更新内控文件
内控实施路线图－内控自评
16
内控梳理对标 内控整改固化 内控自评 内控审计
内审部/评价部门 A
明确评价范围
评价工作组 B 执行评价 评估控制执 行/设计的 有效性
•
内控评价形式化，质量不高
评价范围不全面、未开展实质性工作，缺陷认定标准 随意性强 内控报告形式化、模式化程度高
•
内控审计局限于财务报告内控，内控审计专业水 平不高
内部控制案例分析
内部控制案例——人事和信息
• 案例一：虚假简历 人事纠纷
2010年6月，王某向一家公司求职时，伪造了简历和学历签订 了劳资合同，担任该公司的部门经理一职。不久后，公司发现 王某难以胜任这一职位，进行了岗位调整，但在新的岗位上， 王某还是被认为不能胜任。2011年10月，公司确认王某当时 求职时存在简历和学历造假问题，决定对其予以开除。事后， 王某要求公司赔偿经济损失。王某坚持认为，求职时其并没有 伪造简历和学历，公司单方面解除劳动合同，应予给予经济补 偿，并出具解除劳动关系的证明。
针对识别的风险点确定相 应的控制目标与控制活动 ，并形成内控矩阵。
内部控制实施路线图
内控梳理对标 内控整改固化 内控自评
10
内控审计
成立专属部门 确定梳理范围 实施风险评估 整理现有制度 辨识内控环节 对标管理规范
记录内控缺陷 设计整改方案 完善内控制度 更新内控文件
制定监督制度 跟踪缺陷整改 开展自我评价 编制自评报告
评估工作组负责人 内审部/评价部门 复核评价 工作底稿 编制内控 缺陷认定 汇总表 综合分析 控制缺陷
董事会 重大缺陷 最终认定 审阅批准 内部控制 评价报告 End
内控自评
明确具体工作任务
否
批准 是
人员组织计划
制定监督制度 开展自我评价 跟踪缺陷整改 编制自评报告
评价工作方案 经董事会或其 授权机构
•
内控体系与已有管理体系的融合需持续深化
内控体系与管理体系割裂，出现“两张皮”现象 内控工作及成果定位不清，重复工作，造成管理资 源浪费
内部控制实施存在的问题
• 重要领域内部控制仍需持续提升优化
制度建立与有效实施 缺陷整改与持续优化 以信息化手段固化内控规范，以系统控制逐步替代人 工控制
点并进行测试 • 采用简单的工具，对重要的
数据，比如财务数据和业务 数据，进行分析
• 将企业的风险管理系统和ERP系统进行有 效的集成，形成风险管理和业务运营的有 机融合
0
企业信息化的成熟度
10
内部控制实施存在的问题
• 对内控的认识及重视程度仍存不足
缺乏良好内控环境，内控体系沦为摆设 内控实施缺乏有效的组织支持 实施内控仅定位于满足监管要求 未与时俱进，持续完善优化内控
由于不适当人员招聘 、入职程序引起：
聘Hale Waihona Puke Baidu不适当人员风险
劳资纠纷法律诉讼风 险
内部控制案例——人事和信息
• 案例二：造假吃空饷 冒领工资
2011年，李某应聘到一家劳务派遣公司担任助 理职务，主要负责为公司员工及派遣出去的劳务 工办理入职、离职手续，编制工资表，代发工资 、代缴社保等工作。2012年7月，李某在编制员 工工资单时，私自增加了亲戚“小刘”的姓名和 银行卡号，并为其编制了8000元的工资发放额。 当她将工资表交给财务经理时，财务经理没有发 现异常，很快地就签名确认。此后，李某胆子也 逐渐大了起来，在工资单中加入多人名单，累计 冒工资20多万元。
是 进度安排计 划
评价结果 否
与控制活动 执行人和业 务领域负责 人共同讨论 改进建议
签字确认 评价底稿
控制缺陷 类别认定
形成认定 意见
与评价工作组 讨论并重新评价
费用预算
填写评价工 作底稿
B
内控实施路线图－内控审计
内控梳理对标 内控整改固化 内控自评 内控审计
内控审计
• 更系统化的测试方法，有利提高内部团队水平
业务价值 和业务战略
通过内控自我评估体系 的建立，定期评估内部 控制的有效性
发展组织 风险管理战略
持续 不断改进 识别关键业务 风险
定期的自 我评估与 监控 剩余风险评 估
Collect Project
结合现有控制措施 确定经有效控制后 的剩余风险，并制 定风险对应策略 采用穿行测试及执 行有效性测试评估 内部控制的设计和 执行有效性。
进行模拟审计 提供所需证据 出具管理声明 披露审计报告
信息化建设
内控实施路线图－内控梳理对标
11
内控梳理对标 内控整改固化 内控自评 内控审计
董事会 负责内控建立健全，有效实施，和自评 内控梳理对标 其他专业委员会 成立专属部门 确定梳理范围 实施风险评估 整理现有制度 辨识内控环节 对标管理规范 审计委员会
风险识别和管理工具－企业风险地图
内控梳理对标
成立专属部门 确定梳理范围 实施风险评估 整理现有制度 辨识内控环节 对标管理规范
内控实施路线图－内控整改固化
13
内控梳理对标 内控整改固化 内控自评 内控审计
• 建立内部控制缺陷认定汇总表
内控整改固化
• 记录内部控制缺陷成因、表现形式和影响程度 • 以控制目标为核心，打破部门和流程局限，设计 适合企业运营特点的整改方案
明确公司的经营 战略与股东价值 目标
在经营战略之 下确定公司的风 险管理战略
风险的评估 和衡量
内控有效性 评估
通过业务流程的梳理 识别确定业务风险点 通过风险影响和发生可能性的两 维评估确定风险严重程度，进行 风险排序，确定管理的优先顺序
Analyze Portfolio
明确控制目 Prioritize 标与控制活 动
内部控制案例——人事和信息
• 案例二：造假吃空饷 冒领工资 • 内部控制的完善 设置其他岗位对工资表进行复 核（与财务部门的工资总额、 人力资源部门的人员名单进行 核对）
由于缺乏核对和信息 沟通不畅引起：
公司财产被侵占风险
强化工资审核审批权限和责任
关键岗位轮岗机制 避免内控执行中人情代替规则
记录内控缺陷 设计整改方案 完善内控制度 更新内控文件
• 明确整改责任部门与责任人 • 明确整改完成期限 • 追踪整改进度 • 保留整改证据
内控实施路线图－内控整改固化（续）
14
内控梳理对标 内控整改固化 内控自评 内控审计
内部控制手册、业务流程图与流程文件
内控整改固化
记录内控缺陷 设计整改方案 完善内控制度 更新内控文件
风险因素
• 周边环境与风险 产生的可能性紧 密相关
事件 影响目标业绩的 内外部事件
环境 影响风险物化可能性的 环境或状态
• 例如：劳动力未 经培训可能导致 频繁发生事故
机遇 事件产生及正面影响目标业绩的 可能性
风险 事件或环境负面影响实体目标业 绩的可能性
正面 － 向上
• 机遇支持创造价值或使价值持续 • 管理层创造时机来支持战略或目标设置的 程序，该行为可阐述为抓住机遇
•风险定义：可能对目标的实现产生影响的事件发生 的不确定性。在经营管理活动中，风险常常被定义 为生产运营的弊端、失误或失败，从而给组织带来 危机的可能性。
风险分类方法较多，一般的分类标准，可以分为： 战略风险、财务风险、市场风险、运营风险、法律 风险等。
风险因素、事件、环境、机遇及风险定义
• 事件有正面效应、 负面效应或两者皆 有 • 具有负面效应的事 件意味着会产生风 险 • 具有正面效应的事 件可以抵消不利的 影响或产生有利机 会
• 更专业化的整改建议，有利完善内部控制环节
进行模拟审计 提供所需证据 出具管理声明 披露审计报告
• 更客观化的缺陷评定，有利了解审计师结论 • 更全面化的程序预演，有利资料准备与效率提高
内部控制实施路线图
18
内控梳理对标
内控整改固化
内控自评
内控审计
成立专属部门 确定梳理范围 实施风险评估 整理现有制度 辨识内控环节 对标管理规范