欢迎各位参加企业内部控制基本规范专题讲座主办：湖南省内部审计师协会

欢迎各位参加企业内部控制基本规范专题讲座 主办：湖南省内部审计师协会

企业内部控制基本规范专题讲座 主讲：张连华中国内部审计协会副会长湖南省内部审计师协会会长高级审计师

2008年5月22日，财政部、证监会、审计署、银监会、保监会五部委发布了财会[2008]7号文件。即印发《企业内部控制基本规范》的通知。自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。执行本规范的上市公司，应当对本公司内部控制的有效性进行自我评价，披露年度自我评价报告，并可聘请具有证券、期货业务资格的会计师事务所对内部控制的有效性进行审计。本基本规范共七章五十条：还将出台一些配套规范，让我们一起来学习。

企业内部控制基本规范专题讲座 第一章：要建立有我国特色的内部控制制度第二章：企业内部控制基本规范的总则第三章：《基本规范》内部环境评估内容第四章：《基本规范》风险评估的评价内容第五章：《基本规范》控制活动的评价内容第六章：《基本规范》信息与沟通的评价内容第七章：《基本规范》内部监督评价内容第八章：综合示例

第一章：要建立有我国特色的内部控制制度 (一)建立健全执行好内部控制制度是企业持续健康发展的内在需要。中国经济已经融入到国际经济的大潮中，不管你愿不愿意都有优胜劣汰问题，要在激烈的竞争中取胜，人才、科技、管理三者缺一不可，所以加强内部控制是企业发展的内在需要，是健康发展的必由之路。本基本规范是为建立中国特色的内部控制制度所作出的努力。

第一章：要建立有我国特色的内部控制制度 (二)我国内部控制的现状。李金华副主席在任审计长时就指出：一些部门、单位和企业所以出现违法违纪问题，其中一个重要原因就是不重视管理，内部控制非常苍白无力造成的。这种评估是在大量事实的基础上作出的，是非常客观、切中要害的。总体而言，我国内部控制还处在初级阶段，大体分四种情况。一是企业建立了健全的内部控制制度，执行得也比较好。如海尔等企业，尽管这样的企业是少数，但他们是中国特色的内控制度的代表。二是建立了内部控制制度，但写在纸上、说在嘴上、挂在墙上的不少，缺乏落实，缺乏行之有效的检查监督，这种情况也不少。

第一章：要建立有我国特色的内部控制制度 (二)我国内部控制的现状。三是企业建立了一定的内部控制制度，但不成系统不够完善，如供、产、销环节不衔接，大额资金调度不到位，责任标准不明确，控制程序不严谨（有的ERP设有审计接口），缺乏有效的授权、监督约束机制。这种状况占一半左右。四是企业没有建立起起码的内部控制制度，内部控制无从谈起。有的还怕监督，所以不搞内部控制。这是典型的苍白无力，尽管是极少数，一定要引起高度重視才行。这四种情况都存在，各企业要根据自身的实际情况改进完善各自的内部控制。

第一章：要建立有我国特色的内部控制制度 (三)建立、执行内部控制制度关键在领导。内部控制制度建立执行不力是因： ①有的制度按国际标准化制定，符合国际潮流也很时尚但不符合本单位实际，无法执行，这是花架子。 ②有好的内部控制制度，却缺乏认真执行或执行不到位，没有机构去检查监督，自然执行不好。 ③有的领导要求部属严格执行，可到关键点自己不带头执行，势必破坏内部控制制度的执行，因此制定、执行关键在领导。原因是多方面的，关键在领导。

第一章：要建立有我国特色的内部控制制度 (四)监督很重要。一个最好的制度，要执行好没有强有力的监督是不够的。何况内部控制本身是一个内部监督。它需要同时处理好上级、同级、下级监督的关系。否则一无所成。现在流行几句话：“上级监督太远”如银行等都是垂直领导北京到地方有点远。“同级监督太软”一个班子成员，天天在一起，一把手对副手有时还说说请注意点。副手对一把手只有逢迎的多了。“下级监督太难”一是不太了解情况，二是了解真情况还没监督就被调离或解除了，怎么监督？“外部监督太短”一是一个单位特别是大单位点多面广,外面单位不可能全面了解、审计，社会审计都一样。只是某个时点某个范围进行了监督，确实有点短。“司法监督太晚”一般出了事才会请公安司法部门介入，已经造成了损失，肯定晚了。这几句话是现实的真实写照，因此，要把内部控制做好，还得靠企业自己。内部控制才会真正起作用。

第一章：要建立有我国特色的内部控制制度 (五)制定内部控制制度要符合本单位的实际，要强调实用性和执行力。内部控制是衡量现代企业管理的重要标志，也是现代企业管理的重要手段。安然公司的破产、巴林银行的倒闭都是内部控制失灵。所以“有控则强、失控则弱、无控则乱”，这是实践证明的真理，也是防范风险的警钟。因此建立内部控制制度时要“因地制宜，因企有别”，不搞“一刀切”，不要生搬硬套外国的理念，一定要根据本企业本单位的实际情况、人员素质、管理水平来制定。先由简单到全面，由局部到整体，循序渐进，才能进行有效的内部控制，切不可好高骛远，对国外先进的经验可以借鉴，尤其要吸取失败的教训和失败后所采取的措施，美国萨班斯法案是例子，这是非常重要的。

第一章：要建立有我国特色的内部控制制度 内部控制源远流长，大都经历了内部牵制、内部控制制度、内部控制结构、内部控制整体框架四个阶段。我们到了哪一步？整体说还是初级阶段。每个企业不同。要自己量力而行的决断。现阶段要认真切实执行五部委颁布的《内部控制基本规范》。在此基础上再来创新，进而逐步达到建立中国特色的内部控制框架和企业风险管理相结合的新型的内部控制机制。

第二章：企业内部控制基本规范的总则（共10条）第二章：企业内部控制基本规范的总则（共10条） (一)制定基本规范的目的是：为了加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，根据《中华人民共和国公司法》、《中华人民共和国证券法》、《中华人民共和国会计法》和其他有关法律法规，制定本规范。 (二)本基本规范适用范围：本规范适用于中华人民共和国境内设立的大中型企业。小企业和其他单位可以参照本规范建立与实施内部控制。大中型企业和小企业的划分标准根据国家有关规定执行。（现在国家直管的大型企业为138家，上市公司１６０２家） (三)本规范内部控制的定义：本规范所称内部控制，是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。

第二章：企业内部控制基本规范的总则（共10条）第二章：企业内部控制基本规范的总则（共10条） (四)企业建立与实施内部控制应遵循的原则。 ①全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。 ②重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。 ③制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。 ④适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。 ⑤成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。

第二章：企业内部控制基本规范的总则（共10条）第二章：企业内部控制基本规范的总则（共10条） (五)企业建立与实施有效的内部控制包括的要素。 ①内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。 ②风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。 ③控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。 ④信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。 ⑤内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

第二章：企业内部控制基本规范的总则（共10条）第二章：企业内部控制基本规范的总则（共10条） (六)企业应根据有关法律、本规范等制定自己的控制制度并组织实施。 (七)企业应运用信息技术加强内部控制，建立与经营管理想适用的信息系统，实现对业务和事项的自动控制，减少或消除人为操纵因素。 (八)企业应当建立内部控制实施的激励与约束机制。 (九)国务院有关部门可以根据法律法规本办法及配套办法，明确具体要求并对企业实施内部控制办法进行监督检查。（有20多个配套办法） (十)接受企业委托从事内部控制审计的会计师事务所应当根据本规定及配套办法，对企业内部控制的有效性进行审计，出具审计报告，并对发表的内部控制意见负责，为企业内部控制提供咨询的会计师事务所，不得对同一企业内部控制审计服务。

第三章：《基本规范》内部环境评估内容（共9条，5项）第三章：《基本规范》内部环境评估内容（共9条，5项） (一)治理结构 ①企业应建立规范的治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。 ②明确股东大会、董事会、监事会、经理层的权限和职责，在各自权限范围内，负责各自的责权。 ③企业应当在董事会下设立审计委员会，负责审查企业内部控制，监督内部控制的有效实施和内部控制的自我评价情况，协调内部控制审计及相关事宜等。 ④审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。

第三章：《基本规范》内部环境评估内容（共9条，5项）第三章：《基本规范》内部环境评估内容（共9条，5项） (二)机构设置及权责分配 ①企业要结合业务特点和内部控制要求设置内部机构，明确责权并落实到各责任单位。 ②企业应编制内部管理手册，使全体员工掌握机构设置、岗位职责、业务流程等情况，明确权责，正确行驶职权。 ③企业组织结构的设置遵循信息通畅、反馈灵敏、适应企业的发展和市场的变化。 ④企业管理层要注意员工的沟通，根据企业目标经营职能和监管要求，分配责任和授权，确保员工所承担的责任、所获得信息与其职权相适应。 ⑤企业要明确各部的职责，组织实施员工岗位职责描述，将部门职责分解到具体岗位。 ⑥企业授权人有权对受托人履行授权的行为进行监督检查，发现有不当行为要及时给予批评、纠正，直到撤销授权。 ⑦企业应根据其发展变化需要，要及时有效的调整组织结构和授权。

第三章：《基本规范》内部环境评估内容（共9条，5项）第三章：《基本规范》内部环境评估内容（共9条，5项） (三)内部审计 ①内部审计机构设置、人员配备和工作要有相对独立性。 ②内部审要在主要负责人或权力机构或审计委员会直接领导下开展工作。 ③内部审计与企业单位目标一致。要建立健全质量控制制度，积极了解参与企业的内部控制建设。 ④内部审计工作要按程序有计划进行，重点是企业的关键点，确保审计质量。 ⑤内部审计机构和人员要遵守准则和遵循规则，持证上岗，按要求参加后续教育。 ⑥内部审计人员应当避免对自己提供咨询的事项实施监督和评价。 ⑦管理层对内部审计要适时提出要求，听取汇报，对内部审计缺陷及时纠正。

第三章：《基本规范》内部环境评估内容（共9条，5项）第三章：《基本规范》内部环境评估内容（共9条，5项） (四)人力资源政策 ①企业要制定符合实际的和可持续发展的人力资源政策，包括：员工的聘用、培训、辞退与辞职；员工的薪酬、考核、晋升等。 ②要按道德标准和专业胜任能力选用员工，加强培训，不断提升员工素质。 ③关键岗位的员工要关心好，如薪酬、休假、保险要求等等，要有留住人的政策。 ④定期补充、完善岗位职责的描述，随着形势的变化进行调整和培训。

第三章：《基本规范》内部环境评估内容（共9条，5项）第三章：《基本规范》内部环境评估内容（共9条，5项） (五)企业文化 ①企业要加强文化建设，培养积极向上的价值观和社会责任感，关键要倡导诚实守信、爱岗敬业、开拓创新的团队精神和现代管理理念和强化风险意识。 ②高级管理人员和员工都要有较强的法律意识，依法决策、办事、监督。 ③企业文化要深入全体员工，要求人人都自觉的身体力行，为企业添砖加瓦。 ④牢固树立风险无处不在、无时不在的意识，严格防控纯粹风险，审慎处置机会风险、岗位风险，确保组织目标的实现。

第四章：风险评估的评价内容（共8条，4项） (一)目标设定 ①风险评估要依据企业总的目标进行，持续收集信息资料，对内部和外部风险，如实的进行评估。 ②风险管理目标策略包括：风险偏好与风险承受度；风险管理目标、政策及风险链管理理念。

第四章：风险评估的评价内容（共8条，4项） (二)风险识别 ①企业内部风险识别包括：高层管理人员和员工的职业操守和专业胜任能力；组织机构、经营方式、资产管理、业务流程等因素；研究开发、技术投入、信息技术运用等自主创新因素；财务状况、经营成果、现金流量等财务因素；运营安全、员工健康、环境保护等安全环保因素。 ②外部风险包括：经济因素：经济形势、产业政策、融资环境、市场竞争、资源供应等；法律因素：法律法规、监管要求等；社会因素：安全稳定、文化传统、社会信用、教育水平、消费者行为；技术因素：技术进步、工艺改进；自然环境因素：自然灾害、环境状况等。

第四章：风险评估的评价内容（共8条，4项） (三)风险分析 ①按定量与定性相结合的方法，按风险发生的可能性及其影响程度，对识别的风险进行分析排序，橙、黄、红三等。 ②分析风险要有专家组成的团队，按规范程序进行分析，确保结果的准确性。 ③权衡风险与收益，确定风险的对策。 ④分析时要防止高层管理或专业人的偏好，避免因偏好而给企业带来损失。

第四章：风险评估的评价内容（共8条，4项） (四)风险应对策略 ①企业要综合运用风险规避、风险降低、风险分担和风险承受的应对策略，实现对风险的有效控制。 ②企业根据风险可能性和影响效果以及成本效益原则选择应对风险方案，把剩余风险降低到风险容限相协调的水平。 ③一个应对方案可以同时影响多个风险，要对方案进行选择。 ④企业要从整个主体范围与组合的角度去考虑风险。从整体层面把风险整合进行有效管理，始终把风险控制在总体可以接受的范围内。

第五章：控制活动的评价内容（共10条，21项）第五章：控制活动的评价内容（共10条，21项） (一)控制方法根据评估结果，运用手工控制与自动控制、预防性控制与发现性控制相结合的方法，提出控制措施，将风险控制在可承受范围内。 (二)制约措施（7个） ①所有流程中不相容职务分离，达到互相制约效果。 ②根据常规授权和特别授权规定，明确各岗位的权限范围、审批程序和相应责任。

第五章：控制活动的评价内容（共10条，21项）第五章：控制活动的评价内容（共10条，21项） (二)制约措施 ③会计系统控制要严格按国家的会计准则进行，设总会计师的企业不得设副职重复管理。 ④财产保管要建立制度定期清查盘点，确保财产安全，未经授权的不得接近和处置财产。 ⑤实施全面预算制度，强化预算约束。 ⑥定期开展运营分析，发现问题，查明原因及时改进。 ⑦建立和实施绩效考评制度，科学设立考评指标体系，考评结果作为员工晋升的依据。

第五章：控制活动的评价内容（共10条，21项）第五章：控制活动的评价内容（共10条，21项） (三)控制重点： ①控制活动建立的适当性。 ②对风险识别的规避。 ③对组织目标实现的作用。 ④控制活动执行的有效性。 (四)预算控制：包括职责分工与授权批准；预算编制、执行、调整、分析与考核控制。 (五)资金控制包括：职责分工与授权、现金、银行、票据、印章管理的控制。 (六)采购控制包括：请购与审批、采购与验收、付款控制。 (七)存货控制包括：请购与采购、验收与保管、领用与发出、盘点与处置等控制。

第五章：控制活动的评价内容（共10条，21项）第五章：控制活动的评价内容（共10条，21项） (八)销售控制包括：销售与发货、收款等控制。 (九)工程项目控制包括：项目决策、概预算、价款支付与工程实施、竣工决算等控制。 (十)固定资产控制包括：取得与验收、使用与维护、处置与转移等控制。 (十一)投资控制包括：投资可行性研究、评估与决策、投资执行与处置等控制。 (十二)筹资控制包括：筹资决策、执行、偿付等控制。 (十三)成本费用控制包括：成本费用预测、决策与预算；成本费用的执行、核算、分析与考核控制。 (十四)财务报告编制与披露包括：报告编制准备、报告编制报送与披露的控制。

第五章：控制活动的评价内容（共10条，21项）第五章：控制活动的评价内容（共10条，21项） (十五)担保控制包括：担保评估与审批、执行控制。 (十六)合同协议控制包括：合同协议编制、审核、订立、履行控制。 (十七)业务外包控制包括：策略、承包方选择和业务流程的控制。 (十八)子公司控制包括：对子公司的组织、人员、业务层面和母子公司财务报表合并的控制。 (十九)衍生工具控制包括：衍生工具交易、监督与检查的控制。 (二十)企业并购控制包括：并购交易前期准备、审慎性调查、并购交易财务等控制。 (二十一)关联交易控制包括：关联界定、关联交易、关联交易报告与披露的控制。这二十一项控制活动含盖了企业的供产销全过程，这是非常重要的。

第六章：信息与沟通的评价内容（共6条，5项）第六章：信息与沟通的评价内容（共6条，5项） (一)信息 ①企业应建立信息与沟通的制度，明确内部控制相关信息的收集，处理和传递程序，确保信息及时沟通，促进内部控制有效运行。 ②企业要运用各种资料、调研报告、内部刊物、网络等渠道收集内部信息，通过行业协会、中介机构、业务往来单位、市场调查、来信来访、网络媒体等获取外部信息。 ③对收集到的多种内外部信息进行筛选综合、整理、核对，提高信息的可用性。

第六章：信息与沟通的评价内容（共6条，5项）第六章：信息与沟通的评价内容（共6条，5项） (二)沟通 ①企业要将各相关信息在各管理层次、责任单位、业务环节之间，及与相关的投资者、债权人、客户、供应商等沟通。 ②信息沟通过程中发现问题及时解决。 ③重要信息要及时传给董事会、监事会、经理层。

第六章：信息与沟通的评价内容（共6条，5项）第六章：信息与沟通的评价内容（共6条，5项） (三)、信息技术 ①企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通的作用。 ②保证信息系统的安全稳定运行，特别要加强信息系统的开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等的控制。 ③要严格履行审批程序，对人员职责分工，信息系统开发，变更和维护流程，安全制度信息使用，保管要有明晰合理的规定。 ④硬件管理要科学合理。 ⑤信息系统的档案管理体制要完善。

第六章：信息与沟通的评价内容（共6条，5项）第六章：信息与沟通的评价内容（共6条，5项） (四)建立反舞弊机制 ①企业应当建立反舞弊机制，坚持惩防并举，重在防治的原则，明确重点，规范舞弊案件的举报，调查处理，报告和补救的程序。 ②反舞弊工作的重点是： ⑴没经授权或采用其不法他方式侵占，挪用企业资产牟取不当利益； ⑵在财务信息报告和信息披露方面存在虚伪记载，误导性陈述或者重大遗漏等； ⑶董事、监事、经理及其他高级监管人员滥用职权，相关机构或人员串通舞弊等。

第六章：信息与沟通的评价内容（共6条，5项）第六章：信息与沟通的评价内容（共6条，5项） (五)建立举报投诉制度和举报人保护制度 ①企业应当建立举报投诉和保护举报人制度。 ②设置举报专线，明确举报投诉处理程序，办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。 ③举报投诉制度和保护人制度应当及时传达到全体员工。

第七章：内部监督评价内容（共4条，4项） (一)、日常监督：是指企业对建立与实施内部控制的情况进行常规的、持续的监督检查。 (二)、专项监督：专项监督是指在发展战略、组织结构、经营活动、业务流程、关健岗位员工发生较大调整或变化的情况下，对内部控制或某一方面进行有针对性的监督检查。专业监督的频率，应根据风险评估结果及日常监督的有效性等予以确定。

第七章：内部监督评价内容（共4条，4项） (三)、缺陷报告： ①企业应当制定内部控制缺陷认定标准。在监督的过程中发现的内控缺陷要分析它的性质和产生的原因，提出整改方案，並以适当形式向董事会、监事会、经理层报告。 ②内部缺陷包括设计和运行缺陷。要跟踪缺陷的整改情况，追究相关责任单位和责任人的责任。 (四)自我评估《内部审计具体准则第21号—内部审计的控制自我评估法》 ①企业要定期对内部控制的有效性进行评估并出据自我评估报告； ②企业自我评估的方式、范围、程序和频率由企业自行决定； ③国家有关法律法规另有规定的，从其规定。

第八章：综合示例 （一）、内部控制要素权重建议表（仅供参考）

第八章：综合示例 （二）、内部控制评价计分建议表

第八章：综合示例 （三）、内部控制审计 ①对企业内部控制的实际情况、内审人员要实施适当的审查程序。对内部环境、风险评估、控制活动、信息与沟通进行审查与评价。审查的内容按《内部审计具体准则第五号——内部控制审计》进行。 ②内审人员可以用文字叙述，调查问卷、流程图等方法对内部控制进行描述和评价并要记录到审计工作底稿中。 ③内部审计人员在审查评价后要向适当的管理层写出审计报告，审计报告要说明评价内部控制的目的、范围、审计结论、审计决定以及对改善内部控制的建议。同时一定要包括被审计单位的反馈意见。 ④涉及风险评价时，可按《内部审计具体准则第16号——风险管理审计》进行。

谢谢各位参加本次培训班 祝大家身体健康、工作顺利

欢迎各位参加企业内部控制基本规范专题讲座 主办：湖南省内部审计师协会