内部控制规范和内部控制评价 2009 年 4 月

1. 内部控制规范和内部控制评价 2009年4月

2. 本报告介绍内容 第一部分：内部控制基本规范 第二部分：内部控制评价方法

3. 第一部分内部控制基本规范介绍企业内控制度概述内控制度五大目标内控制度五大原则内控制度五大要素第一部分内部控制基本规范介绍企业内控制度概述内控制度五大目标内控制度五大原则内控制度五大要素

4. 内控制度概述内部控制的历史演进-国际经验 • 国际内部控制的发展与最新趋势 内部会计控制规范 公司监管守则 金融工具与交易法 公司治理联合准则 萨班斯－奥克斯利法案 企业管治 常规守则 2002 2003 2006 2005 2007 2001 2004 世通 Qwest HIH保险公司 One.Tel 安然 公司治理 守则 内部控制规范 第9号法案审计改革和公司信息披露法案

5. 内控制度概述内部控制的历史演进-国际经验 美国内部控制体系的发展 COSO委员会公布的《内部控制整体框架》（即“COSO框架”）已成为美国上市公司内部控制框架的参照性标准。 萨班斯法案 国会 美国国会颁布的《萨班斯法案》，其中404条款强制要求上市公司管理层对财务报告内部控制的有效性进行年度评价，并取得外部审计师确认。 与财务报告相关的内部控制管理层报告指引 COSO框架 SEC COSO委员会 审计准则第5号 PCAOB 美国证券交易委员会（SEC），对财务报告内部控制进行了诠释，定义了管理层对财务报告内部控制的控制政策和程序。 美国公众公司会计监督委员会（PCAOB）颁布的审计准则第5号，是审计师针对财务报表有关的内部控制出具审计意见的遵循标准。

6. 内控制度概述内部控制的历史演进-国内经验 • 中国内部控制的发展 (财政部) 企业 内部控制基本规范 （保监会） 寿险公司内部控制评价办法（试行） (上交所/深交所) 内部控制指引 （银监会） 银行业 金融机构信息系统风险管理的指引 （证监会） 证券公司合规管理试行规定 (证监会） 上市公司信息披露管理办法 保险公司 内部审计 指引（试行） 保险公司 风险管理 指引（试行） （证监会） 证券公司风险控制指标管理办法 (国资委) 中央企业全面风险管理指引 （银监会) 商业银行合规风险管理指引 （银监会） 商业银行内部控制指引 (财政部) 企业内部控制规范-基本规范 (征求意见稿) （银监会） 商业银行操作风险管理指引 （证监会） 证券公司监督管理条例 (财政部) 企业内部控制鉴证指引 企业内部控制评价指引 企业内部控制应用指引 (征求意见稿) 2006 2007 2008

7. 中国内部控制体系 财政部出台的《企业内部控制基本规范》，为企业提供了完整和公认的内部控制框架，同时以法规的形式要求上市公司对本公司内部控制的有效性进行自我评价。 财政部 企业内部控制基本规范 证券交易所、行业监管机构均出台了一系列的内部控制指引，为企业建立和实施内部控制制度提供行业性指引。 企业内部控制评价指引（征求意见稿） 《企业内部控制基本规范》的三项《指引》正在征求意见过程中。 《企业内部控制评价指引》具体规范了内控评价的内容和标准，评价的程序和方法，内控缺陷的认定，以及规定了评价报告的相关内容。 《企业内部控制应用指引》具体提出22个具体流程的应用指引。在每个具体流程中规定了该指引的目的，相关定义，该流程的主要风险，岗位分工及授权批准，及主要流程的控制程序。 《企业内部控制鉴证指引》为指导注册会计师执行内部控制鉴证业务的具体指引。 企业内部控制应用指引（征求意见稿） 企业内部控制鉴证指引（征求意见稿） 上市公司内控指引 • 上交所内控指引 • 深交所内控指引 行业内控指引 • 商业银行内控指引 • 证券公司内控指引 • 寿险公司内部控制评价办法 证券交易所 行业监管机构

8. 内部控制基本规范 • 基本规范执行的时间 • 基本规范适用的范围 根据财政部、证监会、审计署、银监会、保监会关于印发《企业内部控制基本规范》的通知， 《企业内部控制基本规范》（以下简称“基本规范”）自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。 根据本规范第一章总则第二条，本规范适用于中华人民共和国境内设立的大中型企业。 • 小企业和其他单位可以参照本规范建立与实施内部控制 • 大中型企业和小企业的划分标准根据国家有关规定执行

9. 内部控制基本规范

10. 内部控制的五大目标 第三条 * 注释：摘自《企业内部控制基本规范》

11. COSO《内部控制－整体框架》 财政部《企业内部控制基本规范》 提高经营效率和效果 资产安全 财务报告的可靠性 合理保证企业经营管理合法合规 促进企业实现发展战略 法律法规的遵循性 内部控制五大目标 对内部控制目标的阐述 经营的效率和效果 财务报告及相关信息真实完整

12. 内部控制五大原则 第四条 * 注释：摘自《企业内部控制基本规范》

13. 内部控制五大原则（一）全面性原则 * 注释:摘自《企业内部控制基本规范》

14. 内部控制五大原则（二）重要性原则 * 注释:摘自《企业内部控制基本规范》

15. 内部控制五大原则（三）制衡性原则 * 注释:摘自《企业内部控制基本规范》

16. 内部控制五大原则（四）适应性原则 * 注释:摘自《企业内部控制基本规范》

17. 内部控制五大原则（五）成本效益原则 * 注释:摘自《企业内部控制基本规范》

18. 内部控制五大原则（五）成本效益原则 内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。* 调查发现 : 下降原因: 2006年起采用了 “自上而下的风险评估”方法进行内控工作，专注于高风险领域。 * 注释:摘自《企业内部控制基本规范》 ** 注释:该调查出自Financial Executives International Press release *** 注释:该调查出自FEI Survey: Average 2007 SOX Compliance Cost $1.7 Million

19. 内部控制五大原则（五）成本效益原则 成本效益原则（续） 调查发现：* * 注释:该调查出自Financial Executives International Press release

20. 内部控制五大要素 第五条 《基本规范》中所描述的内部控制要素 经 营 财 务 战 略 合 规 子公司 业务单元 内部环境 业务分部 公司层面 风险评估 控制活动 信息与沟通 内部监督

21. 内部控制五大要素（一）内部环境 • 内部环境是实施内部控制的基础，在《基本规范》中主要包括以下几点 • 规范的公司治理结构和议事规则 • 机构设置及权责分配 • 审计委员会 • 内部审计 • 人力资源政策 • 企业文化建设 • 法律顾问制度及重大法律纠纷案件备案制度

22. 内部控制五大要素（一）内部环境 第十一条 建立规范的公司治理结构和议事规则* 股东大会 行使企业经营方针、筹资、投资、利润分配等重大事项的表决权 表决权 董事会 对股东大会负责，依法行使企业的经营决策权 决策权 监事会 对股东(大)会负责,监督企业董事、经理和其他高级管理人员依法履行职责⑴ 监督 经理层 负责组织实施股东（大）会、董事会决议事项，支持企业的生产经营管理工作 经营管理 * 注释:摘自《企业内部控制基本规范》

23. 内部控制五大要素（一）内部环境 第十二条 内部控制的建立与实施* 董事会 建立健全内部控制并有效实施。 监事会 对董事会建立与实施的内部控制进行监督。 经理层 组织领导企业内部控制的日常运行。 专门机构或适当机构负责组织协调内部控制的建立实施及日常工作。 执行层 * 注释：摘自《企业内部控制基本规范》

24. 内部控制五大要素 （一）内部环境 第十四条 良好的内审职能 权利 独立 独立于管理和营运单位，能做出客观的分析和判断 得到高级管理层的有效支持，有效推动内审的策划与实行 公正 审计 行业知识 具备行业知识来有效地执行审计程序 具备审计知识和经验来准确地判断审计结果

25. 内部控制五大要素 （一）内部环境 第十六条 人力资源政策* • 人力资源政策 根据企业的具体情况制定和实施有利于企业可持续发展的人力资源政策。 • 制定明确的人力资源管理制度 人力资源管理制定明确，透明和有相应文档记录的规章制度。 • 机构、岗位设置与分析 对机构和岗位设置进行分析，确保部门资源与人员配置的合理性。制定各部门明确清晰的岗位说明书以划分职责。 * 注释:摘自《企业内部控制基本规范》

26. 内部控制五大要素 （一）内部环境 第十七条 • 职业道德修养及专业胜任能力作为选拔和聘用员工的重要标准 • 加强员工培训和继续教育 • 提升员工素质 • 高级管理人员发挥主导作用，加强企业文化建设 • 建立并贯彻员工行为守则 职业道德修养及专业胜任能力* * 注释：摘自《企业内部控制基本规范》

27. 内部控制五大要素 （一）内部环境 第十八条 • 高级管理人员发挥核心主导作用：管理层基调和态度是公司道德规范和文化环境建设的基础 • 培养积极向上的价值观和责任感 • 倡导诚实守信、爱岗敬业、开拓创新和团队协作精神 • 树立现代管理理念 • 强化风险意识 • 建立并贯彻员工行为守则 企业文化建设* * 注释：摘自《企业内部控制基本规范》

28. 内部控制五大要素 （一）内部环境 第十九条 • 作为上市公司，必须接受国家和证券监管部门颁布的法律法规监管，这是市场经济法则的客观要求，为达到这些目标，企业应当 • 加强法制教育 • 增强董事、监事、经理及其他高级管理人员和员工的法律观念 • 严格依法决策、依法办事、依法监督 • 建立健全法律顾问制度和重大法律纠纷案件备案制度 法律顾问* * 注释：摘自《企业内部控制基本规范》

29. 内部控制五大要素（二）风险评估 第二十条 内部控制的目标 • 合理保证企业经营管理合法合规 • 资产安全 • 财务报告及相关信息真实完整 • 提高经营效率和效果 • 促进企业实现发展战略 全面系统持续地收集相关信息，结合实际情况，及时进行风险评估 * 注释:摘自《企业内部控制基本规范》

30. 内部控制五大要素 （二）风险评估 * * 注释：摘自《企业内部控制基本规范》

31. 内部控制五大要素（二）风险评估 * * 注释：摘自《企业内部控制基本规范》

32. 内部控制五大要素（二）风险评估 对辨识出的风险及其特征，以及对企业战略发展的影响层面进行明确的定义和描述，结合定性和定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险* * 注释：摘自《企业内部控制基本规范》

33. 内部控制五大要素（二）风险评估 第二十六条 风险应对策略* * 注释：摘自《企业内部控制基本规范》

34. 内部控制五大要素（三）控制活动 第二十八条 • 控制活动是公司建立执行的政策章程，以确保管理层的指示可以得到顺利贯彻执行 • 控制活动必须与风险评估是一个整体 控制措施* * 注释:摘自《企业内部控制基本规范》

35. 内部控制五大要素（三）控制活动 各种控制措施的综合运用 预防性控制及发现性控制 风险 可承受度 手工控制及自动控制 管理控制及监督控制

36. 内部控制五大要素 （三）控制活动 控制措施举例* 财产保护控制 绩效考评控制 授权审批控制 预算控制 控制 措施 会计系统控制 运营分析控制 不相容职务分离控制 * 注释：摘自《企业内部控制基本规范》

37. 内部控制五大要素 （四）信息与沟通 第三十八条 • 信息与沟通是获取和交换信息的程序，以使企业能够正常运行，并得到适当的管理及控制 • 及时准确的最新信息 • 所有层次上对信息、期望和责任的沟通 • 内部与外部的沟通 信息与沟通* * 注释:摘自《企业内部控制基本规范》

38. 内部控制五大要素 （四）信息与沟通 第三十九条 信息的收集 合理的筛选、核对、整合可提高信息的有用性 内部信息 外部信息 • 财务会计资料 • 经营管理资料 • 调研报告 • 内部刊物 • 办公网络等渠道 • 行业协会组织/监管部门 • 社会中介机构 • 业务往来单位 • 市场调查 • 网络媒体等渠道

39. 内部控制五大要素 （四）信息与沟通 • 建立信息与沟通制度* 内部控制相关信息的收集 信息的处理与传递 信息的及时沟通 信息与沟通系统能及时识别、获取和交流信息，促使管理层和其他员工履行其职责；科学合理的信息与沟通制度可促进内部控制的有效运行。 * 注释：摘自《企业内部控制基本规范》

40. 内部控制五大要素 （四）信息与沟通 第四十条 • 信息沟通中发现问题应及时报告并加以解决* • 重要信息应当及时传递给董事会、监事会和经理层* * 注释：摘自《企业内部控制基本规范》

41. 企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。 内部控制五大要素 （四）信息与沟通 第四十一条 信息技术 * 注释：摘自《企业内部控制基本规范》

42. 内部控制五大要素 （四）信息与沟通 第四十二条 反舞弊机制* 企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。 * 注释：摘自《企业内部控制基本规范》

43. 内部控制五大要素 （四）信息与沟通 • 反舞弊工作重点* • 采用未经授权等方式侵占、挪用企业资产，牟取不当利益 • 董事、监事、经理及其他高级管理人员滥用职权 • 在财务会计报告和信息披露等方面存在虚假记录、误导性陈述或者重大遗漏 • 相关机构或人员串通舞弊 * 注释：摘自《企业内部控制基本规范》

44. 内部控制五大要素 （四）信息与沟通 第四十三条 举报投诉制度* 为确保举报、投诉成为企业有效掌握信息的重要途径，企业应当： • 设置举报专线 • 明确举报投诉处理程序、办理时限和办理要求 • 将举报投诉制度及时传达至全体员工 * 注释：摘自《企业内部控制基本规范》

45. 内部控制五大要素 （四）信息与沟通 第四十三条 举报人保护制度 企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。 举报投诉制度和举报人保护制度应当及时传达至全体员工。* * 注释：摘自《企业内部控制基本规范》

46. 内部控制监督制度 企业应制定内部控制监督制度，明确内部审计机构和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求* 内部控制监督制度是企业内部控制的重要组成部分，贯穿于内部控制活动的各个环节，是确保企业内部控制高效运行的重要保障 内部控制五大要素 （五）内部监督 第四十四条 * 注释：摘自《企业内部控制基本规范》

47. 内部控制五大要素 （五）内部监督 第四十五条 内部控制缺陷认定标准 • 企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告* • 其中，内部控制缺陷包括： • 设计缺陷 • 运行缺陷 * 注释：摘自《企业内部控制基本规范》

48. 内部控制五大要素 （五）内部监督 第四十六条 内部控制自我评价 《基本规范》中要求，企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。* * 注释：摘自《企业内部控制基本规范》

49. 建设内部控制体系的步骤 实施基本规范，企业必须建立一套与企业战略目标相一致的，均衡的风险管理方法和基于企业整体运营的内部控制体系，该内部控制体系应该切实满足企业内、外部两方面的要求。内部控制体系建设工作的主要步骤包括： 内部控制意识及基础设施的建立 内部控制的评估及确认 整改及确认 汇报 监督 • 内审/内控合规部门/职能的运作体系和资源配置 • 编制内部控制政策、内控评估执行方案 • 建立内部控制文档保存制度 • 开展风险和内部控制的培训 • 建立完善的内部控制体系 • 建立风险评估的方法 • 通过访谈、问卷、穿行/控制测试等活动，完成内控评估工作 • 确认相关的流程、内控、缺陷和整改工作 • 对已被识别的控制缺陷进行确认 • 参照最佳实务，管理层制订整改方案及时间表 • 对整改后的控制点进行再测试 • 定期对内部控制制定测试方案 • 制订各级单位内控管理工作汇报与沟通的内容、形式及程序 • 定期自下而上对内控工作中发现的问题进行汇报 • 管理层定期自上而下了解各级内控工作的情况以及重大缺陷 • 建立内部控制监督体系、包括管理层、内审部门负责人及职能等 • 定期进行监督考评内控工作的成效 • 内控建设和绩效考核相结合

50. 第二部分 内部控制制度的评价 • 《基本规范》中要求，企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。