第五講內部控制的規范

白華

暨南大學會計學系

引子讀書樂

人看風光我看書，

拈花一笑不可說。

心中自有乾坤在，

隨時隨地看山河。目錄一、總體概況二、企業內部控制基本規范三、企業內部控制配套指引

（一）總體概況

1.中國版薩班斯法案的由來2.中國內部控制體系

1.中國版薩班斯法案的由來2002年，美國頒布《薩班斯法案》。第404節規定：(a)內部控制方面的要求：(1)公司管理層建立和維護內部控制系統的責任；(2)管理層對內部控制系統的評價。(b)內部控制評價要求：擔任公司年報審計的會計師事務所應當對其進行評價，并出具報告。評價和報告應當遵循SEC發布或認可的準則。中國企業內部控制標準委員會

2006年7月15日財政部、國資委、證監會、審計署、銀監會、保監會發起成立中國企業內部控制標準委員會。秘書處設在財政部會計司。2.中國內部控制體系

2008年6月28日，《企業內部控制基本規范》2010年4月26日，《企業內部控制配套指引》，含《企業內部控制應用指引》、《企業內部控制評價指引》和《企業內部控制審計指引》。2012年11月29日，《行政事業單位內部控制規范》2013年12月28日，《石油石化行業內部控制操作指南》2014年12月23日，《電力行業內部控制操作指南》2017年6月29日，《小企業內部控制規范（試行）》關于做好上市公司內部控制規范試點有關工作的通知（2011年31號文，2011年2月14日）一、實施及試點公司的范圍1、按規定實施類．境內外同時上市的

68

家公司，按規定

2011

年應實施內控規范。

2、自愿試點類。選取了216家公司參加內控規范試點。分為兩種情況：（1）指定了深圳轄區78家公司和3家央企上市公司參加內控試點。（2）推薦了135家上市公司進行內控試點。

二、實施要求

1、按規定實施類公司，應嚴格按照規范的要求實施。

2、自愿試點類公司，應按照要求。母公司及選取的子公司總資產、營業收入和凈利潤三項指標同時要占

2010

年合并財務報表相應指標的

50％以上。

關于2012年主板上市公司分類分批實施企業內部控制規范體系的通知（2012.8財政部、證監會）

（一）中央和地方國有控股上市公司，應于2012年全面實施企業內部控制規范體系，報告并經審計。（二）非國有控股主板上市公司，且于2011年12月31日公司總市值在50億元以上，同時2009年至2011年平均凈利潤在3000萬元以上的，應在披露2013年公司年報的同時，報告并經審計。（三）其他主板上市公司，應在披露2014年公司年報的同時，報告并經審計。（四）特殊情況考慮在上述規定時間范圍內，鼓勵公司在自愿的基礎上提前執行企業內部控制規范體系的披露要求。關于加快構建中央企業內部控制體系有關事項的通知（國資委、財政部，2012.5）各中央企業應當自2013年起，于每年5月31日前向國資委報送內部控制評價報告，同時抄送派駐本企業監事會。《關于加強中央企業內部控制體系建設與監督工作的實施意見》（2019年10月19日，國資發監督規[2019]101號）建立健全以風險管理為導向、合規管理監督為重點，嚴格、規范、全面、有效的內控體系。對內控體系的有效性進行全面自評，客觀、真實、準確揭示經營管理中存在的內控缺陷、風險和合規問題，形成自評報告，并經董事會或類似決策機構批準后按規定報送上級單位。集團要在子企業全面自評的基礎上，制定年度監督評價方案，圍繞重點業務、關鍵環節和重要崗位，組織對所屬企業內控體系有效性進行監督評價，確保每3年覆蓋全部子企業。委托外部審計機構對部分子企業內控體系有效性開展專項審計，并出具內控體系審計報告。內控體系監管不到位、風險事件和合規問題頻發的中央企業，必須聘請具有相應資質的社會中介機構進行審計評價，切實提升內控體系管控水平。《2020年中央企業內部控制體系建設與監督工作有關事項》（2019年12月26日國資廳發監督規[2019]44號）各中央企業要以“強內控、防風險、促合規”為目標，進一步整合優化內控、風險和合規管理相關制度，完善內控缺陷認定標準風險評估標準和合規評價標準，構建相互融合、協同高效的內控監管制度體系。各中央企業要以“強內控、防風險、促合規”為目標，進一步整合優化內控、風險管理和合規管理監督工作，按一體化要求編制2019年度內控體系工作報告，不再分別報送《中央企業內部控制評價報告》和《中央企業年度風險管理報告》。深圳證券交易所主板上市公司規范運作指引（2015年修訂）8.7.9上市公司董事會應當根據內部審計部門出具的評價報告及相關資料，對與財務報告和信息披露事務相關的內部控制制度的建立和實施情況出具年度內部控制自我評價報告。公司監事會和獨立董事應當對此報告發表意見。8.7.10會計師事務所在對上市公司進行年度審計時，應當參照有關主管部門的規定，就公司財務報告內部控制情況出具評價意見。深圳證券交易所中小板上市公司規范運作指引（2015年修訂）8.8.2董事會或者其專門委員會應當根據內部審計部門出具的評價報告及相關資料，對與財務報告和信息披露事務相關的內部控制制度的建立和實施情況出具年度內部控制自我評價報告。8.8.3上市公司董事會應當在審議年度報告的同時，對內部控制自我評價報告形成決議。監事會和獨立董事應當對內部控制自我評價報告發表意見，保薦機構應當對內部控制自我評價報告進行核查，并出具核查意見。8.8.4上市公司在聘請會計師事務所進行年度審計的同時，應當至少每兩年要求會計師事務所對內部控制設計與運行的有效性進行一次審計或者鑒證，出具內部控制審計報告或者鑒證報告。會計師事務所在內部控制審計報告、內部控制鑒證報告中，應當對財務報告內部控制的有效性發表審計意見或者鑒證意見，并披露在內部控制審計或者鑒證過程中注意到的非財務報告內部控制的重大缺陷。深圳證券交易所創業板上市公司規范運作指引（2015年修訂）8.8.2董事會應當根據內部審計部門出具的評價報告及相關資料，對與財務報告和信息披露事務相關的內部控制制度的建立和實施情況出具年度內部控制自我評價報告。8.8.4上市公司董事會應當在審議年度報告的同時，對內部控制自我評價報告形成決議。監事會和獨立董事應當對內部控制自我評價報告發表意見，保薦人應當對內部控制自我評價報告進行核查，并出具核查意見。2008年6月28日，五部委發布《企業內部控制基本規范》，自2009年7月1日起，在上市公司范圍內施行，鼓勵非上市的大中型企業執行。執行本規范的上市公司，應當對本公司內部控制的有效性進行自我評價，披露年度自我評價報告，并可聘請具有證券、期貨業務資格的會計師事務所對內部控制的有效性進行審計。二、企業內部控制基本規范

企業內部控制基本規范第一章總則第二章內部環境第三章風險評估第四章控制活動第五章信息與溝通第六章內部監督第七章附則第一章總則目的和依據適用范圍：大中型企業概念界定原則：全面性、重要性、制衡性、

適應性、成本效益性要素執行要求第二章內部環境內部環境是企業實施內部控制的基礎，一般包括治理結構、機構設置及權責分配、內部審計、人力資源政策、企業文化等。COSO控制環境五要素和七要素誠信與道德價值觀勝任能力董事會與審計委員會管理哲學與行事作風組織結構權責分配人力資源政策誠信與道德價值觀勝任能力與人力資源政策董事會監督組織結構權責分配問責制第三章風險評估風險評估是企業及時識別、系統分析經營活動中與實現內部控制目標相關的風險，合理確定風險應對策略。風險評估矩陣與風險應對策略高可能性低低高右邊后果嚴重下邊可能性大分擔降低承受規避后果風險評估矩陣示例第四章控制活動控制活動是企業根據風險評估結果，采用相應的控制措施，將風險控制在可承受度之內。控制措施一般包括：不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制等。

第五章信息與溝通信息與溝通是企業及時、準確地收集、傳遞與內部控制相關的信息，確保信息在企業內部、企業與外部之間進行有效溝通。反舞弊機制

第六章內部監督內部監督是企業對內部控制建立與實施情況進行監督檢查，評價內部控制的有效性，發現內部控制缺陷，應當及時加以改進。內部監督分為日常監督和專項監督。日常監督是指企業對建立與實施內部控制的情況進行常規、持續的監督檢查；專項監督是指在企業發展戰略、組織結構、經營活動、業務流程、關鍵崗位員工等發生較大調整或變化的情況下，對內部控制的某一或者某些方面進行有針對性的監督檢查。專項監督的范圍和頻率應當根據風險評估結果以及日常監督的有效性等予以確定。第七章附則解釋權：財政部會同國務院其他有關部門。配套辦法：另行制定。實施時間：自2009年7月1日起實施。三、企業內部控制配套指引2010年4月26日，五部委發布《企業內部控制配套指引》。該配套指引包括：18項《企業內部控制應用指引》；《企業內部控制評價指引》；《企業內部控制審計指引》。連同此前發布的《企業內部控制基本規范》，標志著中國企業內部控制規范體系基本建成。（一）《應用指引》第7號——采購業務第8號——資產管理第9號——銷售業務第10號——研究與開發第11號——工程項目第12號——擔保業務第13號——業務外包第14號——財務報告第15號——全面預算第16號——合同管理第17號——內部信息傳遞第18號——信息系統第1號——組織架構第2號——發展戰略第3號——人力資源第4號——社會責任第5號——企業文化第6號——資金活動如何與《企業內部控制基本規范》對接？（二）《評價指引》共五章27條是指企業董事會或類似權力機構對內部控制的有效性進行全面評價、形成評價結論、出具評價報告的過程。1.內部控制評價主體企業董事會應當對內部控制評價報告的真實性負責。企業可以授權內部審計部門或專門機構（以下簡稱內部控制評價部門）負責內部控制評價的具體組織實施工作。專門機構：業務和職能部門？

內部控制管理部門？

監管部門（財政、政府審計、監察、

注冊會計師審計）?2.內部控制評價的內容和標準第五條企業應當根據《企業內部控制基本規范》、應用指引以及本企業的內部控制制度，圍繞內部環境、風險評估、控制活動、信息與溝通、內部監督等要素，確定內部控制評價的具體內容，對內部控制設計與運行情況進行全面評價。討論：《內部控制評價核心指標和參考標準》3.內部控制缺陷認定財務報告內部控制缺陷和非財務報告內部控制缺陷重大缺陷，是指一個或多個控制缺陷的組合，可能導致企業嚴重偏離控制目標。當存在任何一個或多個內部控制重大缺陷時，內部控制無效。重要缺陷，是指一個或多個控制缺陷的組合，其嚴重程度低于重大缺陷，但仍有可能導致企業偏離控制目標。重要缺陷不會嚴重危及內部控制的整體有效性，但也應當引起董事會、經理層的充分關注。一般缺陷，是指除重大缺陷、重要缺陷以外的其他控制缺陷。根據具體認定標準認定企業存在的內部控制缺陷，由董事會最終審定。計劃執行內部環境信息

評價財務報告內部控制財務報告內部控制缺陷認定重要程度主要取決于兩個方面的因素：（1）該缺陷是否具備合理可能性導致企業的內部控制不能及時防止或發現并糾正財務報告錯報。合理可能性是指大于微小可能性（幾乎不可能發生）的可能性，確定是否具備合理可能性涉及評價人員的職業判斷。（2）該缺陷單獨或連同其他缺陷可能導致的潛在錯報金額的大小。一般企業可以采用絕對金額法（例如，規定金額超過10000元的錯報應當認定為重大錯報）或相對比例法（例如，規定超過資產總額1％的錯報應當認定為重大錯報）來確定重要性水平。財報存在重大缺陷的跡象董事、監事和高級管理人員舞弊；企業更正已公布的財務報告；注冊會計師發現當期財務報告存在重大錯報，而內部控制在運行過程中未能發現該錯報；企業審計委員會和內部審計機構對內部控制的監督無效。非財務報告內部控制缺陷認定定量標準，即涉及金額大小，既可以根據造成直接財產損失絕對金額制定，也可以根據其直接損失占本企業資產、銷售收入及利潤等的比率確定；定性標準，即涉及業務性質的嚴重程度，可根據其直接或潛在負面影響的性質、影響的范圍等因素確定。非財報存在重大缺陷的跡象國有企業缺乏民主決策程序，如缺乏“三重一大”決策程序；企業決策程序不科學，如決策失誤，導致并購不成功；違犯國家法律、法規，如環境污染；管理人員或技術人員紛紛流失；媒體負面新聞頻現；內部控制評價的結果特別是重大或重要缺陷未得到整改。重要業務缺乏制度控制或制度系統性失效。測試樣本量1、測試人工控制的最小樣本量區間控制運行頻率 控制運行總次數 測試的最小樣本量區間 每年1次 1 1 每季1次 4 2 每月1次 12 2-5 每周1次 52 5-15 每天1次 250 20-40 每天多次大于250次 25-602、測試自動化應用控制的最小樣本規模只要對自動化應用控制的運行測試一次，即可得出所測試自動化應用控制是否運行有效的結論。

整改后控制運行的最短期間（或最少運行次數）和最少測試數量控制運行頻率 運行的期間或次數最少測試數量 每季1次 2個季度 2 每月1次 2個月 2每周1次 5周 5 每天1次 20天 20每天多次 25次（分布于涵蓋多天的期間，通常不少于15天） 25如果被審計單位在基準日前對存在重大缺陷的內部控制進行了整改，但新控制尚沒有運行足夠長的時間，注冊會計師應當將其視為內部控制在基準日存在重大缺陷。