COSO内部控制框架介绍

COSO介绍
COSO是全国反虚假财务报告委员会下属的发起人委员会（The Committee of Sponsoring Organizations of the Treadway Commission）的英文缩写。

1985年，由美国注册会计师协会、美国会计协会、财务经理人协会、内部审计师协会、管理会计师协会联合创建了反虚假财务报告委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。

两年后，基于该委员会的建议，其赞助机构成立COSO委员会，专门研究内部控制问题。

1992年9月，COSO 委员会发布《内部控制整合框架》，简称COSO报告，1994年进行了增补，中国的《企业内部控制配套指引》与此相似。

COSO框架
1）COSO内部控制—整体框架
反虚假财务报告委员会于1987年签署了报告，号召研究并制定一个统一的内部控制框架。

1992年9月，COSO委员会提出了报告《内部控制———整体框架》（1994年进行了增补），即COSO内部控制框架。

COSO内部控制框架被广泛地选择作为构建和完善内部控制体系的标准，是因为：虽然COSO内部控制框架并非唯一的内部控制框架，但却是美国证券交易委员会唯一推荐使用的内部控制框架，《萨班斯—奥克斯利法案》第404条款的“最终细则”也明确表明COSO内部控制框架可以作为评估公司内部控制的标准。

COSO框架提出五个互相关联的组成要素，根据公司的规模和结构，公司可采用不同的方式来实施这些组成要素，但是所有公司都必须涉
及这五个组成要素。

因此，在对内部控制进行评估时，管理层必须考虑以下每个组成要素：
控制环境：
控制环境是内部控制体系的基础，是有效实施内部控制的保障，直接影响着公司内部控制的贯彻执行、公司经营目标及整体战略目标的实现。

控制环境确定了公司的总体态度，是内部控制所有其他组成要素的基础。

控制环境包括职业道德、员工的胜任能力、管理理念和经营风格、组织结构、权利和责任的分配、人力资源政策与措施、董事会与审计委员会以及反舞弊等内容。

风险评估：
风险评估是识别及分析影响公司目标实现的风险的过程，是风险管理的基础。

在风险评估中，应识别和分析对实现目标具有阻碍作用的风险。

控制活动：
控制活动是确保管理层的指令得到贯彻执行的必要措施，存在于整个机构内所有级别和职能部门。

包括批准、授权、查证、核对、经营业绩评价、资产保全措施和职责分工等活动。

信息与沟通：
信息与沟通是公司经营管理所需的信息被识别、获得并以一定形式及
时地传递，以便员工履行职责。

信息不仅包括内部产生的信息，还包括与公司经营决策和对外报告相关的外部信息。

畅通的沟通渠道和机制使公司的员工能及时取得他们在执行、管理和控制公司经营过程中所需的信息，并交换这些信息。

监督：
监督是对内部控制体系有效性进行评估的持续过程，包括持续监督、独立评估和缺陷报告等。

2）COSO企业风险管理－整体框架
最近数年，企业风险管理成为焦点而受到突出关注，需要一个强有力的框架以有效地识别、评估和管理风险。

2004年9月，COSO委员会发布《企业风险管理整体框架》，在内部控制的基础上，扩展、提供了一个更强有力的框架，更广泛地专注企业的全面风险管理。

该框架不会取代内控框架，而是将内控框架与其融合为一体。

公司仍可以决定依靠这个企业风险管理框架去满足企业内控的需要，通过采用更全面的风险管理方法使企业持续发展。

企业风险管理由八项相互关联的要素组成，来自管理层经营企业的方式，并融入管理过程本身。

这些要素包括：
内部环境：
内部环境包含了一个企业的基调，为该企业管理层和员工审视和应对风险的方式制定基础，包括风险管理理念和风险容量、诚信和道德价
值观以及他们进行经营活动所处的环境。

目标制定：
在管理层能够识别影响目标实现的潜在事件之前，企业必须已制定目标。

企业风险管理确保管理层使制定目标的流程到位，并保持选择的目标支持企业的使命并与此并行不悖，同时这些目标也与企业的风险容量相一致。

事件识别：
必须识别出影响企业实现目标的各种外部和内部事件，并区分风险和机遇。

可以在管理层制定企业战略或目标的过程中对机遇加以考虑。

风险评估：
应对风险进行分析，考虑其发生的可能性和影响，以作为确定应如何管理风险的基础。

还应对企业固有风险及残存风险进行评估。

风险反应：
管理层选择风险反应方案：规避风险、接受风险、减少风险或分担风险，采取一系列措施使风险维持在企业的风险承受度和风险容量范围之内。

控制活动：
确立和实施政策和程序，以有助于确保风险反应方案得以有效地贯彻执行。

信息与沟通：相关信息以某种形式和在一定时限内被识别、获得和传达沟通，以便使员工履行自己的职责。

从广义上讲，有效的沟通也应自上而下、自下而上地进行，贯穿整个企业。

监督：
监督整个企业风险管理过程，并根据需要作出修改。

通过持续性监督活动、独立评估或两者兼而有之来完成监督。