內部信息傳遞內部控制設計實務目前，對于內部信息傳遞內部控制設計的概念，業內還沒有一個統一權威的定義。中天恒3C框架認為，內部信息傳遞內部控制設計是在遵循國家和企業內部信息傳遞相關法規制度的基礎上，以國家監管部門制定的內部控制規范及其應用指引為依據，結合企業內部信息傳遞發展的實際情況，用系統控制的技術和方法，構建企業自身內部信息傳遞內部控制體系的一個動態過程。簡單說，內部信息傳遞內部控制設計，是內部信息傳遞內部控制建設的首要環節，是構建內部信息傳遞內部控制體系的過程。設計范圍及基本流程

《企業內部控制應用指引第17號———內部信息傳遞》(以下簡稱《內部信息傳遞指引》)第二條規定：“本指引所稱內部信息傳遞，是指企業內部各管理層級之間通過內部報告形式傳遞生產經營管理信息的過程。”

內部信息不僅包括了企業內部生產經營管理信息，還包括企業收集、分析、整理并以內部報告形式在企業內部相關管理層級傳遞的外部信息。內部信息傳遞包括企業內部縱向與橫向的傳遞，即企業下級向上級報告生產經營信息、上級向下級傳達經營決策信息以及企業內部各部門間相互傳遞信息。

內部信息傳遞內部控制設計是一個復雜的系統工程，基本流程包括設計準備、設計實施、試行及完善等。根據設計操作需要，在基本流程的基礎上，還要有多層次具體的流程，每個具體流程中需明確工作內容、方法、步驟以及相應的表單等，要突出內部信息傳遞內部控制設計的特色。

企業應當根據本指引要求，通過設計內部控制手冊，使全體員工了解內部信息傳遞的內部機構設置、崗位職責、業務流程等情況，明確權責分配，正確行使職權‚從而促進企業生產經營管理信息在內部各管理層級之間的有效傳遞和充分利用。

描述現狀

描述現狀，就是梳理內部信息傳遞方面的內部管理制度或相關文件，梳理內部信息傳遞現狀業務流程，編制內部信息傳遞內部管理制度或相關文件情況表、編制內部信息傳遞業務流程目錄、繪制內部信息傳遞業務流程圖等內部信息傳遞內部控制設計的基礎性工作。

1、梳理描述制度文件。梳理描述制度文件，應重點關注有無內部信息傳遞方面的相關制度以及是否完善和充分執行、有無具體可控的操作文件或表單等等。

2、梳理描述現狀業務流程。企業內部信息傳遞的業務流程到底怎么樣、包括哪些環節，因企業而異。當然，企業內部信息傳遞復雜多樣，內部信息傳遞內部管理制度、業務流程千差萬別，因此，本階段設計在總體上必須體現指引要求，在具體業務流程設計上則要體現不同企業的自身特點，不能簡單照抄照搬。

3、確定業務流程目錄。在梳理內部信息傳遞管理制度和業務流程現狀的基礎上，根據內部控制設計的要求，編制內部信息傳遞業務流程目錄，繪制內部信息傳遞業務流程圖。

本階段設計工作成果是形成《內部信息傳遞內部管理制度或相關文件情況表》、《內部信息傳遞流程目錄》、《內部信息傳遞業務流程圖表》等。

風險評估

內部信息傳遞風險評估的基本程序為：識別內部信息傳遞風險，并進行具體描述;分析內部信息傳遞風險，編制內部信息傳遞風險分析表;評價內部信息傳遞風險，編制內部信息傳遞風險評價表;確定內部信息傳遞風險應對策略;提出內部信息傳遞重大風險解決方案。在實踐中，內部信息傳遞風險分析及其評價是合在一起進行的，內部信息傳遞重大風險解決方案的制定要看企業是否需要，也可在內部信息傳遞內部控制設計完成之后單獨進行。

1、識別并描述風險。評估內部信息傳遞風險，首先，要把資金活動具體風險識別出來，然后整理出整體層面的風險。企業內部信息傳遞具體風險是多種多樣的，也因企業而有所不同。

按照《內部信息傳遞指引》要求，在評估內部信息傳遞風險時，至少應當關注下列風險：內部報告系統缺失、功能不健全、內容不完整，可能影響生產經營有序運行;內部信息傳遞不通暢、不及時，可能導致決策失誤或相關政策措施難以落實;內部信息傳遞中泄露商業秘密，可能削弱企業核心競爭力。

上述風險提示有三個方面：

(一)報告內容模糊、報告指標隨意更改、報告級次不清晰或報告流程混亂、無報告對象、報告斷檔或中止、報告內容缺失、報告無記錄或無軌跡，信息系統混亂等，所有這些問題勢必對整個生產經營管理造成負面影響，給企業造成不可估量的損失。

(二)信息傳遞不及時，內部溝通遲滯薄弱，管理信息共享不充分，企業無法對內外部環境和經營狀況的變化做出及時反應，部門間協作也難以很好開展，導致部門間信息溝通不暢、工作效率低下并造成資源浪費、管理層的經營決策偏離實際情況或相關政策措施難以落實等。

(三)信息傳遞不當，易造成企業重要經營信息或商業秘密外泄，削弱企業核心競爭力。

1、企業應根據指引中的風險提示，結合企業內部信息傳遞的實際情況，識別并具體描述內部信息傳遞可能存在的風險。內部信息傳遞具體風險描述因所識別出的風險的不同而不同，將具體內部信息傳遞風險與內部信息傳遞流程結合是個比較好的做法。

2、分析風險。內部信息傳遞風險分析的內容很多，一般應從成因和結果兩個方面進行，并編制內部信息傳遞風險分析表。

3、評價風險。內部信息傳遞風險評價應從發生可能性和影響程度兩個維度進行，根據評價結果進行風險排序和等級劃分，并編制內部信息傳遞風險評價表。

4、選擇風險應對策略。內部信息傳遞風險應對是根據風險評價的結果，針對不同等級風險選擇不同風險應對策略的過程，策略一般有規避、降低、轉移、接受等，要編制內部信息傳遞風險應對表。

5、編制風險數據庫或繪制風險圖譜。依據內部信息傳遞風險評估的結果，編制內部信息傳遞層面的風險數據庫，或繪制風險圖譜。內部信息傳遞層面數據庫的基本要素包括業務流程、風險描述、風險分析、風險排序、應對策略、剩余風險等，也可以加上內部控制設計完成后的控制措施、控制部門或崗位等。風險圖譜一般適用于公司層面的風險描述。

本階段設計工作成果是形成《內部信息傳遞風險及其描述表》、《內部信息傳遞整體層面風險清單》、《內部信息傳遞風險分析表》、《內部信息傳遞風險評價表》、《內部信息傳遞風險應對策略表》、《內部信息傳遞風險解決方案》等。

信息傳遞內部控制設計流程

設計內部信息傳遞控制，就是在評估內部信息傳遞風險的基礎上，對內部信息傳遞內部控制進行設計的過程，是內部信息傳遞內部控制設計的關鍵環節，基本程序包括：確定內部信息傳遞關鍵控制點;明確內部信息傳遞控制目標;提出內部信息傳遞控制措施;設計內部信息傳遞控制證據;完善內部信息傳遞相關制度;繪制內部信息傳遞控制流程圖;編制內部信息傳遞控制矩陣。

1、設計關鍵控制點。企業在構建與實施內部信息傳遞內部控制過程中，要針對內部信息傳遞風險評估的結果，確定內部信息傳遞的一般控制點和關鍵控制點，并編制內部信息傳遞控制要點表。確定一般控制點和關鍵控制是件很困難的事，要根據企業實際情況確定，也因人們的專業判斷而有所差異。《內部信息傳遞指引》重點對內部報告的形成、內部報告的使用等環節進行規范。

2、設計控制目標。內部信息傳遞控制目標就是要保證內部信息傳遞合法、安全、有效、可靠，從而有效控制內部信息傳遞中可能發生的各種風險。實際工作中，內部信息傳遞內部控制目標應根據識別出來的內部信息傳遞可能存在的具體風險來設計，不能固定化、模式化。

3、設計控制措施。企業在構建與實施內部信息傳遞內部控制過程中，要強化對內部信息傳遞控制點、尤其是關鍵控制點的風險控制，并采取相應的控制措施，嵌入到內部信息傳遞流程當中。

4、設計控制證據。為了內部信息傳遞內部控制能夠有效實施，需要制定必要的表單，為內部信息傳遞過程留下控制證據。內部信息傳遞業務相關表單很多，包括內部報告指標體系、內部報告網絡體系、內外部信息傳遞文檔、反舞弊結果表、內部報告評估報告等。

5、優化控制制度。建立企業內部信息傳遞內部控制制度不是新建一套獨立制度，而是將內部控制思想嵌入到現行內部信息傳遞制度中去。內部信息傳遞管理制度到底制定多少個，內容到底包括哪些，因企業而不同。從務實的角度考慮，不宜過多，可制定一個統一的內部信息傳遞管理控制制度，內容至少應明確內部報告的形成、內部報告的使用等環節的職責和審批權限。

6、繪制控制流程圖。根據內部信息傳遞流程、風險點、控制點及其相關的控制措施，結合具體單位的實際情況，繪制內部信息傳遞內部控制流程圖。特別要強調的是，應把內部信息傳遞內部控制流程和內部信息傳遞流程整合在一起，并在圖上標示風險點和控制點。

7、編制控制矩陣。內部信息傳遞控制矩陣是對內部信息傳遞流程圖中風險點、控制措施和控制證據等要素的詳細說明與描述，是內部信息傳遞內部控制設計結果的集中體現，也是企業內部控制管理手冊重要組成部分。實際上是上述工作的綜合匯總。

本階段設計工作成果是形成《內部信息傳遞控制控制要點及關鍵控制表》、《內部信息傳遞內部控制目標表》、《內部信息傳遞內部控制措施表》、《內部信息傳遞控制