1、企業內部控制規范體系實施中相關問題解釋第1號（一） 主講老師：王小強 一、內控規范體系的強制性與指導性1如何把握企業內部控制規范體系的強制性與指導性的關系？在實施試點中，一些企業反映，企業內部控制基本規范及其配套指引的規定是否需要逐條執行。為了加強和規范企業內部控制，提高企業經營管理水平和風險防范能力，促進企業可持續發展，維護社會主義市場經濟秩序和社會公眾利益，根據國家有關法律法規，財政部會同證監會、審計署、銀監會、保監會制定了企業內部控制基本規范，現予印發，自2009年7月1日起在上市公司范圍內施行，鼓勵非上市的大中型企業執行。執行本規范的上市公司，應當對本公司內部控制的

2、有效性進行自我評價，披露年度自我評價報告，并可聘請具有證券、期貨業務資格的會計師事務所對內部控制的有效性進行審計。第二條  本規范適用于中華人民共和國境內設立的大中型企業。小企業和其他單位可以參照本規范建立與實施內部控制。大中型企業和小企業的劃分標準根據國家有關規定執行。                          

3、60;                    財會20087號 自2011年1月1日起在境內外同時上市的公司施行，自2012年1月1日起在上海證券交易所、深圳證券交易所主板上市公司施行；在此基礎上，擇機在中小板和創業板上市公司施行。鼓勵非上市大中型企業提前執行。請各上市公司及相關非上市大中型企業切實做好執行前的各項準備工作。執行企業內部控制基本規范及企業內部控制配套指引的上市公司和非上市大中型企業

4、，應當對內部控制的有效性進行自我評價，披露年度自我評價報告，同時應當聘請會計師事務所對財務報告內部控制的有效性進行審計并出具審計報告。上市公司聘請的會計師事務所應當具有證券、期貨業務資格；非上市大中型企業聘請的會計師事務所也可以是不具有證券、期貨業務資格的大中型會計師事務所。                           

5、                 財會201011號 答：在實施試點中，一些企業反映，企業內部控制基本規范及其配套指引的規定是否需要逐條執行。企業內部控制基本規范是內部控制建設與實施應該遵循的基本原則和總體要求，具有強制性，納入實施范圍的企業應當遵照執行。企業內部控制配套指引（財會201011號，包括18個應用指引、1個評價指引和1個審計指引）是對企業內部控制基本規范相關規定的進一步補充和說明，具有指導性和示范性，納入實施范圍

6、的企業可以結合所在行業要求和企業自身特點，參照配套指引的規定開展內部控制建設與實施工作。5對于企業內部控制配套指引尚未規范的領域，應如何處理？答：由于企業所面臨的客觀環境和自身的經營管理活動比較復雜，目前的企業內部控制配套指引僅對企業常見的、一般性生產經營過程的主要方面和環節進行了規范。在建設與實施內部控制的過程中，對于企業內部控制配套指引尚未規范的業務領域，企業應當遵循企業內部控制基本規范的原則和要求，按照內部控制建設與實施的基本原理和一般方法，從企業經營目標出發，識別和評估相關風險，梳理關鍵業務流程，根據風險評估的結果，制定和執行相應控制措施。企業內部控制基本規范的原則和要求，按照內部控制

7、建設與實施的基本原理和一般方法，從企業經營目標出發，識別和評估相關風險，梳理關鍵業務流程，根據風險評估的結果，制定和執行相應控制措施生產管理經營目標:（1）生產經營活動符合國家有關法律、法規和公司內部規章制度。（2）生產計劃等均得到適當的授權審批，符合公司的實際生產能力和發展需求。（3）生產過程管理嚴格規范，及時協調解決生產過程中出現的各種問題，保證生產經營活動安全、穩定。（4）驗收手續完備、程序規范，確保產品質量符合行業標準、公司規定。相關風險:（1）生產經營活動違反國家有關法律、法規，導致政府管理部門的處罰；違反公司內部規章制度，造成經濟損失。（2）生產計劃未得到授權批準或隨意變更，造成資

8、源浪費。（3）生產過程管理不嚴格、協調不當或隨意更改產品工藝，造成產品不合格、產成品不符合客戶的配置要求，從而給公司造成極大的人力、物料浪費和資金損失。（4）驗收程序不規范、標準不明確，可能導致不合格產品流向市場，影響企業的長期發展。二、內控規范體系與其他規范體系的協調2已經完全按照境外監管機構要求建設與實施內部控制的境內外同時上市的公司，是否需要執行我國的企業內部控制規范體系？2004年11月，香港聯合交易所頒布了企業管制常規守則，要求香港上市公司須健全有效的內部控制制度，也規定董事必須至少每年審查其內部控制制度的有效性，審查內容應覆蓋公司內部所有重大的控制，可以包括財務、業務和合法合規以風

9、險管理職能等方面。企業管制常規守則 2005年6月，香港會計師公會（HKCPA）受香港聯交所之邀，發布了內部監控與風險管理指引。在基本層面上，該指引強調，有效監控的首要條件，是公司必須確保擁有清晰的、經董事會同意且高級管理層及雇員清楚了解的目標。其次，公司應對可能妨礙其達致目標的風險進行識別、評估及按優先次序排列，然后制定程序，進行有效管理。最后，鑒于經營情況不斷改變，必須對內部監控系統進行持續的監察和檢查修正。香港會計師公會還特別強調，加強企業管治不單是執行法規，也是為了樹立及培養道德規范和健康的企業文化。設立完善的內部監控系統與評估其有效性，并非只是為了遵守不必要和繁復的監管規定

10、，而是要實施有效的機制以幫助公司實現其企業目標，以滿足股東和其他利益相關者的期望。內部監控與風險管理指引 302條款：強調上市公司財務報告的真實性，上市公司的首席執行官和首席財務官在其年度和中期財務報表中必須簽名并認證，其財務報表完全符合薩班斯法案中有關規定，并不含有任何不真實的并導致其財務報表誤導公眾的重大錯誤或遺漏。404條款：要求公司管理層和外部審計師，每年在年報中就在美上市公司與財務報告相關的內部控制分別做出評價和報告。根據該條款的要求，在美上市企業要依據一個恰當且被廣泛接受的內部控制理論框架，來評估公司財務報告內部控制的有效性。在美國，被推薦使用的理論框架就是COSO框架。

11、906條款：首席執行官和首席財務官在明知公司申報的包括財務報表在內的定期報告有不真實的財務信息的情況下仍簽署書面聲明，將被處以可高達100萬美元罰款和上至10年的監禁；如果屬于“有意欺詐”性質，提供虛假財務報告，將被處以可高達500萬美元罰款和上至20年的監禁。薩班斯法案 1998年1月，英國財務報告理事會（FRC）、倫敦股票交易所（LSE）、英國工業聯合會（CBI）、英國企業董事協會（IOD）、會計團體咨詢委員會（CCAB）、全英養老金協會（NAPF）、英國保險學會(ABI)等機構，以倫敦股票交易所的名義發布了一部旨在規范公司治理的法規，即“綜合準則”（the combined c

12、ode），其中有三條規定明確提出所有上市公司要建立健全內部控制：一是公司董事會負責建立健全一套完整的企業內部控制制度，以保護投資者的投資和公司的資產；二是董事會負責每年檢查和評價一次內部控制制度的有效性，并向股東報告，內控系統的檢查范圍應涵蓋所有控制，包括財務、運營、合規、風險等方面；三是沒有設立內部審計職能的公司應隨時評估公司各方面對內部審計工作的需求。此外，倫敦股票交易所的“上市規則”（the listing rule）中對披露內部控制情況做了如下規定：上市公司在年報中要報告執行內部控制制度的情況，如果沒有建立健全內部控制或部分建立了內部控制，要說明詳細原因。公司治理綜合準則 2

13、005年，新加坡財政部發布修訂后的公司監管守則，其中要求董事會的職責包括“建立謹慎及有效地控制系統評估與管制風險”。公司監管守則 答：目前，許多國家和地區對公眾公司內部控制都有相關的規定和要求。我國企業內部控制規范體系在充分借鑒國際上先進經驗和做法的同時，更多地適應了我國國情，尤其是充分考慮了我國目前法律法規體系、公司治理結構、企業管理體制、風險管控實務等具體情況，提出了內部控制的目標、原則、要素等，且不局限于財務報告內部控制，更多突出全面內部控制的要求。因此，境內外同時上市的公司應當在滿足境外監管機構要求的基礎上，對照我國企業內部控制規范體系，特別是應當圍繞企業內部控制基本規范提出

14、的內部控制五目標，對相關控制措施進行適當調整或補充完善。3企業按照企業內部控制規范體系建設與實施內部控制，是否還需要遵守我國行業主管部門和市場監管部門對內部控制的有關要求？   答：企業內部控制基本規范及其配套指引是對不同行業、各類企業提出的一般性要求，具有普適性。行業主管或監管部門對所轄企業的內部控制管理規定，是不同行業內部控制的特殊要求，也是企業內部控制基本規范的重要補充。企業應當按照企業內部控制基本規范及其配套指引規定和行業管理、市場監管的要求，建設與實施內部控制。4如何協調好內部控制與風險管理的關系？全面風險管理主要應用于企業管理領域，是指企業圍繞總體經營

15、目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統，從而為實現風險管理的總體目標提供合理保證的過程和方法。中央企業全面風險管理指引 按COSO框架，兩者的聯系為：（1）全面風險管理涵蓋了內部控制。COSO框架中明確地指出全面風險管理體系框架包括內控，將之作為一個子系統。（2）內部控制是全面風險管理的必要環節。內部控制的動力來自企業對風險的認識和管理，對于企業所面臨的大部分運營風險，或者說對于在企業的所有業務流程之中的風險，內控系統是必

16、要的、高效的和有效的風險管理方法。同時，維持充分的內控系統也是許多法律法規的合規要求。因此，滿足內部控制系統的要求也是企業風險管理體系建立應該達到的基本狀態。內部控制與全面風險管理的差異為：（1）兩者的范疇不一致。內部控制僅是管理的一項職能，主要是通過事后和過程的控制來實現其自身的目標，而全面風險管理則貫穿于管理過程的各個方面，更重要的是在事前制訂目標時就充分考慮了風險的存在。而且，在兩者所要達到的目標上，全面風險管理多于內部控制。（2）兩者的活動不一致。全面風險管理的一系列具體活動并不都是內部控制要做的。全面風險管理包含了風險管理目標和戰略的設定、風險評估方法的選擇、管理人員的聘用、有關的預

17、算和行政管理以及報告程序等活動。而內部控制所負責的是風險管理過程中間及其以后的重要活動，如對風險的評估和由此實施的控制活動、信息與交流活動和監督評審與缺陷的糾正等工作。兩者最明顯的差異在于內部控制不負責企業經營目標的具體設立，而只是對目標的制定過程進行評價，特別是對目標和戰略計劃制定當中的風險進行評估。（3）兩者對風險的對策不一致。全面風險管理框架引入了風險偏好、風險容忍度、風險對策、壓力測試、情景分析等概念和方法，因此，該框架在風險度量的基礎上，有利于企業的發展戰略與風險偏好相一致，增長、風險與回報相聯系，進行經濟資本分配及利用風險信息支持業務前臺決策流程等，從而幫助董事會和高級管理層實現全

18、面風險管理的目標。這些內容都是現行的內部控制框架所不能做到的。從發展趨勢來看，隨著內部控制或風險管理的不斷完善和變得更加全面，它們之間必然相互交叉、融合，直至統一。答：企業內部控制基本規范及其配套指引，充分吸收了全面風險管理的理念和方法，強調了內部控制與風險管理的統一。內部控制的目標就是防范和控制風險，促進企業實現發展戰略，風險管理的目標也是促進企業實現發展戰略，二者都要求將風險控制在可承受范圍之內。因此，內部控制與風險管理二者不是對立的，而是協調統一的整體。在實際工作中，一些企業的內部控制和風險管理工作由不同機構負責。對此，企業可以對有關機構和業務進行整合，從工作內容、目標、要求以及具體工作

19、執行的方法、程序等方面，將內部控制建設和風險管理工作有機結合起來，避免職能交叉、資源浪費、重復勞動，降低企業管理成本，提高工作效率和效果。7如何協調好內部控制與其他管理體系的關系？答：內部控制貫穿于整個企業管理，與其他管理體系相輔相成、密不可分，是企業管理的重要組成部分。企業現有管理體系的設計、運行以及審核認證需要遵循已經發布的國家標準或行業標準。這些標準與企業內部控制規范體系的原則和要求并不矛盾。目標方面聯系：都為了防范經營風險，都是經營管理體系的重要組成部分。區別：ISO體系關注質量領域，從維護客戶的利益出發來思考問題，防范質量信息欺詐現象的發生；內控規范關注與資產、資金流以及物流直接相關

20、的過程，是從維護股東的利益出發來實施管控，尤其是財務報告數據的真實性和公允性，防范財務信息欺詐的發生。人力資源方面聯系：兩者都涉及人力資源管理區別：ISO體系原則性的提出了能力管理、培訓要求、員工激勵、員工滿意度測量、離職調查分析等等；而內控規范所涉及的規定則更具體全面，涉及人力資源管理的各個方面流程的要求。采購方面聯系：對于供應商的評價選擇、合同控制、驗收控制則是兩者都包含。區別：ISO體系對采購計劃、合同審批、事后付款條件審核、采購不相容崗位分享、定期輪崗等方面沒有明確要求。管控要點方面聯系：ISO體系與內控規范在銷售、采購、存貨、合同等過程有重疊。區別：ISO體系無涉及財務方面的規定，內

21、控規范關注與資金流直接相關的資金管理、籌資投資管理、成本費用等；答：在實際工作中，個別企業的內部控制體系建設與管理體系運行發生沖突，原因可能是企業采用的方式方法出現了偏差，如簡單照搬內部控制應用指引的規定，沒有考慮企業的實際情況，為控制而控制，導致控制設計不合理，出現控制過度或控制冗余；也可能是企業經營管理部門對內部控制的重要性認識不足，不愿意受到更多的牽制和監督，從而以影響經營效率和目標為借口，拒絕必要的內部控制；等等。對此，企業應當立足管理現狀，全面梳理各項管理制度和管理體系，從管理體制、機制以及落實各級權利責任等方面，將內部控制的要求融入各項管理體系中，形成內部控制的長效機制，使內部控制

22、真正為經營管理服務；應當從總體目標出發，通過培訓教育提高企業經營管理人員對內部控制的理解和認識，將內部控制的要求納入績效考核體系以加強執行；可以利用信息技術固化業務流程，提高業務處理效率和信息共享水平，從而盡可能減少內部控制與其他經營管理體系的沖突。三、有關內控規范體系建設的成本效益原則6如何權衡內部控制的實施成本與預期效益？答：企業按照企業內部控制基本規范及其配套指引的要求建設與實施內部控制，必然需要支付一定的成本，可能會發生內部控制制度和流程的設計與實施費用、聘請專業機構提供咨詢服務費用、建立融入內部控制要求的信息系統費用、聘請會計師事務所開展內部控制審計費用，等等。建設與實施內部控制應當

23、從提高企業長期效益出發，從促進企業可持續發展出發，將內部控制作為一項常規性工作，貫穿于企業管理之中，加大投入。同時，應當按照重要性原則，關注重要業務事項和高風險領域，抓住關鍵風險控制點。集團性企業可以采取分類試點、逐步推廣的方式，選擇下屬不同類型的企業試點，形成范本，減少重復建設。聘請會計師事務所開展內部控制審計是建設與實施內部控制的重要環節，是檢驗內部控制有效性的重要手段和有力保證。內部控制審計費用是企業實施內部控制規范體系應當承擔的成本，企業應安排相應經費確保審計工作的及時、有效開展。內部控制審計是一項區別于財務報告審計的獨立業務，企業應就該項業務與會計師事務所簽訂單獨的業務約定書。同時，

24、企業也應權衡審計成本與審計效益，在業務約定書中明確有關費用標準，并對會計師事務所審計資源的投入和審計質量提出明確要求。四、有關內控的機構設置9實施企業內部控制基本規范及其配套指引的企業，是否需要設置專門的內部控制機構？答：根據企業內部控制基本規范的規定，企業董事會負責內部控制的建立健全和有效實施。為便于董事會履行好企業內部控制規范體系的設計、建立、運行與改進方面的職責，董事會應當指定專門委員會負責指導內部控制建設與實施工作。一般情況下企業應當成立專門機構負責組織協調內部控制的建立實施及日常工作。對于少數企業受制于崗位編制、專業人員等條件限制，目前尚不具備成立專門的內部控制管理機構的，可暫將內部

25、控制管理職能劃歸現有機構。隨著企業內部控制建設的持續深入和相關條件的不斷成熟，企業應考慮成立專門機構，保證有足夠的資源支持和協調內部控制工作的開展，確保內部控制工作的相對獨立性。五、有關內控評價8企業如何確定內部控制缺陷的認定標準？答：查找并糾正企業內部控制設計和運行中的缺陷，是開展企業內部控制評價的一項重要工作，是不斷完善企業內部控制的重要手段。由于企業所處行業、經營規模、發展階段、風險偏好等存在差異，企業內部控制基本規范及其配套指引沒有對內部控制缺陷的認定標準進行統一規定。企業可以根據企業內部基本規范及其配套指引，結合企業規模、行業特征、風險水平等因素，研究確定適合本企業的內部控制重大缺陷

26、、重要缺陷和一般缺陷的具體認定標準。企業確定的內部控制缺陷標準應當從定性和定量的角度綜合考慮，并保持相對穩定。通過不斷的實踐，總結經驗，形成一套行之有效的內部控制缺陷認定方法。企業在開展內部控制監督檢查中，對發現的內部控制缺陷，應當及時分析缺陷性質和產生原因，并提出整改方案，采取適當形式向董事會、監事會或者管理層報告。對于重大缺陷，企業應當在內部控制評價報告中進行披露。財政部將會同證監會、審計署、銀監會、保監會等有關部門，根據首次執行和試點情況，分行業、分類型總結企業的內部控制缺陷認定標準，供參考。67家公司中，13家上市公司未披露公司是否制定內控缺陷認定標準，54家公司以不同形式、不同程度披露了