中国建筑内控自评价实践 架构 设计与实施 郭成林2011年9月 主要内容 连续五年入围 世界500强 2010年度排名第187位连续两届 全球最受赞赏公司 中国地区最受赞赏 上市发行获评2009年最佳IPO项目 募集资金501 6亿元中国最大的建筑地产综合企业集团中央企业利润过百亿俱乐部成员 最具核心竞争力的中国企业 和 国际信用企业 1 组织基本状况 1 组织基本状况 主营业务 1 2 3 4 房屋建筑工程 基础设施建设与投资 房地产开发与投资 设计勘察业务 公司战略 最具国际竞争力的建筑地产综合企业集团 在2015年跨入世界500强前150名 跨入全球建筑地产集团前3名 力争在2020年跨入世界500强前100名 成为全球建筑地产集团第1名 1 组织基本状况 根据初步测算 公司2010年度主要经营情况预计如下 新签合同额预计同比增长70 以上 营业收入预计同比增长30 以上 归属于上市公司所有者的净利润预计同比增长50 左右 我们的顾客 1 组织基本状况 主要内容 2 公司治理架构 2 1组织架构 审计委员会指导与监督内审工作的实施 管理层制定内控制度 经理层执行公司内控制度 审计部门实施内控效率和效果的监督与评价 2 公司治理架构 2 2内部控制中的角色 董事会批准公司内控体系并监督实施 总体架构 3 内控体系架构 5要素 18个流程 71个具体工作子流程 信息与沟通 内部环境 控制活动 内部监督 风险评估 3 内控体系架构 2 3 4 5 内部环境 风险评估 控制活动 信息与沟通 内部监督 企业内部控制的道德意识 是 来自高层的声音 对内部 外部影响企业因素的评估 达到控制目标的活动和经营程序 保证信息能及时有效地沟通的流程 对内控制度设计充分性 执行有效性进行监督 1 3 内控体系架构 3 内控体系架构 子流程描述结构 业务目标业务风险业务范围业务流程描述相关制度目录主要控制点检查资料业务流程图 3 内控体系架构 主要内容 董事会及其审计委员会负责领导公司的内部控制自评估工作 审计局具体负责内部控制监督与评价 审计局统一组织重要的二 三级公司审计机构 使用统一的技术标准 对本公司及控股子公司内部控制的适当性 有效性进行测试和评价 并提交内部控制自我评估报告 通过内部审计与内部控制监督与评价 对股份公司及子企业风险管理的有效性进行监督 提出改进建议 并督促整改 4 内控自评价实践 4 1评价角色 中国建筑股份有限公司内部测试手册 2010版 4 2评价体系 4 内控自评价实践 总册 WORD版本 对内部控制测试的基本原则和技术要求进行了统一规范 用于指导测试人员进行有效的测试 1 测试分册 EXCEL版本 各流程测试模版 用于记录测试过程和测试结果 包括公司层面控制 7个流程层面控制和信息系统通用控制 2 缺陷评价分册 EXCEL版本 是对缺陷进行评价的工作底稿模板 用于记录缺陷评价的过程和结果 3 测试阶段工作计划及范围确定测试方法及样本选取测试结果的记录和评价测试人员要求测试底稿的填写说明测试现场工作重点及底稿复核缺陷评价缺陷监督与整改内控评价报告的编写与审核流程名词解释 4 内控自评价实践 4 2评价体系 总册 中国建筑股份有限公司内部测试手册 2010版 4 2评价体系 测试分册 4 内控自评价实践 4 2评价标准 测试分册评价内容简介 1 5 4 内控自评价实践 4 2评价标准 测试分册评价内容简介 2 5 4 内控自评价实践 4 2评价标准 测试分册评价内容简介 3 5 4 内控自评价实践 4 2评价标准 测试分册评价内容简介 4 5 4 内控自评价实践 4 2评价标准 测试分册评价内容简介 5 5 4 内控自评价实践 4 3评价实施过程 1 测试工作计划及范围确定 4 内控自评价实践 测试工作计划 基于风险评估的结果确定内部控制的工作范围和年度测试计划 定期对内部控制进行测试与评估 测试前 应依据年度测试计划制定具体测试计划 1 风险评估及测试范围确定 首先确定纳入测试范围的分子公司 其次确定重要披露事项和业务流程 2 具体测试计划 确定测试范围 样本抽取的期间 测试人员 测试时间 底稿提交与审核流程和测试关注事项等 3 1 测试工作计划及范围确定 以2010年实施过程为例 4 内控自评价实践 2010年测试对象选择原则及依据 企业内部控制基本规范 及相关配套指引要求 2009年度符合性测试缺陷评价结果 重点关注内控缺陷较多的单位 重要性原则 测试单位总资产 营业收入 净利润占比50 以上 日常审计结果 治理结构 内部控制可能存在较大问题的单位 新设公司或新业务单元 以及涉及复杂的交易和事项的单位 公司2010年度经营业绩考核制度 1 根据评估结果 确定测试对象 31家单位总部及四大事业部中海集团 含688 3311 工程局 局总部 1家局属分公司 1家局属子公司 设计院中建铁路 中建钢构 中建安装 中建装饰集团 4 内控自评价实践 2 确定测试范围 4 内控自评价实践 2 具体测试计划 4 内控自评价实践 3 4 3评价实施过程 2 测试方法及样本选取 4 内控自评价实践 设计有效性测试 执行有效性测试 设计有效性测试是为了解内部控制阶段而实施的 不必考虑样本量的多少 而只需随机抽取贯穿业务活动全过程的一套样本进行测试 在内部控制设计有效的基础上展开的 根据控制活动发生的频率确定样本量 样本应覆盖检查的整个测试期间 并在测试期间相对均匀的选择样本 4 3评价实施过程 2 测试方法及样本选取 4 内控自评价实践 测试方法 1 2 3 4 询问 观察 检查 重新执行 2 测试方法及样本选取 抽样规则 4 内控自评价实践 2 手工控制非固定频率控制活动样本量 1 手工控制固定频率控制活动样本量 3 自动控制活动的样本量为1个 3 测试结果的评价与记录 4 内控自评价实践 对每一个标准控制活动 只有所抽取的样本达到规定数量且每个样本的全部测试属性均满足要求 才判断为该控制活动有效 达标 对于某个控制活动 一旦样本的某一个属性不满足控制活动要求 测试结果即被评价为 未达标 未达标 控制活动为固定频率 如每半年 每年 导致在测试时 由于控制活动执行的时间较短 无法抽到对应的样本 该固定频率控制活动以往测试达标 但由于整改或者新流程的改变导致无法获取满足要求的样本 记录为 样本量不足 样本量不足 未对于那些适用 没有固定发生频率但在测试期间内均未发生的控制活动 测试结论为 未发生交易 测试人员应在每一轮测试时重新评价该控制活动的适用性 如果年度内的所有测试结论均为不适用 则最后的评价为不适用 不适用 未发生交易 4 工作底稿的填写 4 内控自评价实践 内部控制测试底稿 第一部分为主页面 为所测试内容每个控制活动的总索引 第二部分为每个控制活动的测试工作底稿 用于记录测试的过程与结论 1 缺陷评价表 用于评估单个控制缺陷及汇总缺陷对财务报表的影响 先由各测试人员填写本人测试中发现的缺陷的相关信息 再将其逐级汇总为一张Excel表 作为被测试单位的缺陷汇总表 3 测试结果汇总表 用于记录公司内部控制测试的测试结果 先由各测试人员填写本人负责部分的测试结果汇总表 再将其汇总为一张Excel表 作为被测试单位的测试结果汇总表 2 4 工作底稿的填写 测试底稿主页面 4 内控自评价实践 4 工作底稿的填写 测试页 4 内控自评价实践 4 工作底稿的填写 测试结果汇总表 4 内控自评价实践 汇总流程 测试单位 二级单位 股份公司 4 工作底稿的填写 控制缺陷评价表 4 内控自评价实践 5 测试现场工作重点及测试底稿的审核 4 内控自评价实践 现场工作重点 测试中 严格遵循抽样规则 认真检查样本是否符合测试属性的要求 测试人员保证填写的测试底稿符合填写说明的要求 并在提交测试底稿前经过认真的复核 1 工作成果的归档 保管与维护 工作成果 测试底稿 测试结果汇总表和缺陷评价表 所有控制缺陷证据 都复印或以电子文档的形式存档 测试工作成果经复核后 统一提交归档并保存至少3年 3 测试底稿的审核 测试现场工作结束后 安排适当人员对底稿进行复核 复核人独立于测试人 由更高级别人员进行审核或各流程测试人员交叉复核 确保底稿的完整性和一致性 2 6 缺陷评价如果控制活动在设计或运行中 无法让管理层和员工在正常执行所分配工作时有效地预防或及时发现错报 则为控制缺陷 按缺陷产生的原因分类 4 内控自评价实践 设计缺陷 缺少实现控制目标所必须的控制 或者现有控制没有得到适当的设计 即使按照设计运行 也无法实现控制目标 执行缺陷 设计得当的控制未按照设计执行 或者执行人员没有适当的授权或能力有效运行控制 6 缺陷评价按缺陷对报表的影响程度分类 4 内控自评价实践 重大缺陷 实质性漏洞 内部控制中存在的 具有合理可能性导致不能及时防止或发现公司财务报告出现重大错报的一项缺陷或多项缺陷的组合 重要缺陷 是内部控制中存在的 其严重程度不如重大缺陷但足以引起负责监督公司财务报告的人员关注的一项或多项缺陷的组合 一般缺陷 是内部控制中存在的 除重大缺陷和重要缺陷之外的缺陷 6 缺陷评价如存在下列领域的缺陷 应被认定为重大缺陷 4 内控自评价实践 高级管理层任何性质的舞弊行为 无论舞弊是否重大 对以前发表的财务报表进行重报 以反映对错误或舞弊导致的错报的纠正 审计师发现出公司当期的财务报表重大错报 但该错报最初没有被公司对于财务报告的内部控制发现 审计委员会对公司外部财务报告及财务报告的内部控制的监督失效 重大缺陷 实质性漏洞 6 缺陷评价下列控制领域存在缺陷 应判定为重要缺陷 并存在重大缺陷的强烈迹象 4 内控自评价实践 重要缺陷 并存在重大缺陷的强烈迹象 公认会计准则和会计政策的选择和应用反舞弊程序非常规或非系统性交易期末财务报告流程内部审计或风险评估失效合规性监管职能失效 对财务报告的可靠性产生重大影响已向管理层和审计委员会汇报且经过合理期限后 重要缺陷仍未被纠正 6 缺陷评价 4 内控自评价实践 1 单个控制缺陷评价 流程层面缺陷评价信息系统通用控制缺陷评价公司层面缺陷评价 2 控制缺陷的总体评价 当单个控制缺陷评价完毕后 应对所有缺陷进行汇总评价 公司层面缺陷按照内控各组成要素进行汇总 流程层面缺陷按照披露事项及会计科目进行汇总 6 缺陷评价 4 内控自评价实践 1 单个控制缺陷评价步骤 确定控制缺陷所影响的会计科目和披露事项判断错报发生的可能性计算潜在影响金额检查是否存在冗余 补充 补偿性控制活动确定考虑 冗余 补充 补偿性控制活动 后的潜在影响金额根据错报发生的可能性和潜在影响程度 判断缺陷类型考虑定性因素重新确认缺陷类型 2 控制缺陷的总体评价步骤 1 公司层面的缺陷汇总步骤把所有控制缺陷按其影响的内控五要素排序 从汇总角度重新评价缺陷发生的可能性 判断缺陷类型 2 流程层面的缺陷汇总步骤把所有控制缺陷按其影响的 会计科目和披露事项 排序 计算每个会计科目和披露事项的汇总潜在影响金额 从汇总角度重新评价缺陷发生的可能性 并判断缺陷类型 7 内控缺陷的监督与整改 4 内控自评价实践 测试中发现的内控缺陷 测试人员如实在底稿中记录 并与被测试单位进行沟通 制订切实可行的整改方案 整改方案应报上级单位审批 被测试单位按预计整改时间完成整改 上级单位不定期对下级单位的整改完成情况进行监督和考核 对于前期测试中发现的被测单位内控缺陷 测试人员应关注其整改完成情况 对于未整改完毕的内控缺陷 应查明原因 并报告给管理层 8 内部控制评价报告的编写与审核 4 内控自评价实践 报告对象 董事会与管理层 对外披露两种方式 内控自评估报告与内部管理报告内控自评估报告的内容基本概况建立内部控制的目的和遵循的基本原则内部控制的设计内部控制的实施内部控制自我评估意见 8 内部控制评价报告的编写与审核由于2010年内控自评价报告尚未披露 此处以2009年实践为例 2009年度 公司内部控制制度的建立健全情况 详见2010年4月18日公司第一届董事会第二十三次