上市公司内控体系建设(1) 综述,内控体系 风险管控,导 言,面对订单的快速增加、营销网络的日益扩张、新的生产线的投产，以及重大的专利技术的获得，身为企业主管的您或许坚信，您的企业在未来定会大有可为。然而，近期我国通货膨胀的日益加剧和货币紧缩政策的开始实施，以及人民币的急速升值、投资环境的瞬息万变，都可能会给您的企业的经营活动带来不小的冲击，您的企业可能正面临莫大的营运风险与危机。如果您还没有为您的企业建立风险管控制度，这一波的经营环境变迁就可能会对企业的生产经营产生巨大的影响！ 风险是指在未来可能对企业的财务绩效、经营策略、目标之达成造成影响的不确定因素。相对地，风险管理得宜，也会为企业带来成长机会及高额报酬。 企业风险管理是企业不可或缺的管理活动，其目的是把可以避免的风险减至最低。而其关键当然是组织内专业风险管理人才的培育，以及建立如本课程所推荐的整套企业内控管理制度。,导 言,一个企业要想生存、发展，就必须制定正确的战略。而战略的实施又是一个要不断地应对、化解所遇到的各种风险的过程。今天的管理层已不能满足于粗线条回答如“我们能否达到今年的目标？”的问题，而是会问“我们有多少把握能够达到战略目标？98，还是95？如果是98%，那么余下2%的可能性中又隐含着什么情况？这些情况对我们公司有什么样的影响？我们应该怎样应对这些情况？”回答这些问题的最好方式也是企业内部控制体系。 近年来沸沸扬扬的国美内斗事件，是中国国内证券市场成立以来史无前例的新闻焦点。先有大股东黄光裕身陷囹圄，后有“黄陈”对国美控制权的激烈争夺，至此国美的内部控制和企业管理风险问题全面爆发。如今，国美已经成就了一个完整版的中国企业内部控制和风险管理案例，为广大管理者敲响了警钟！ 近年来，由于内控体系缺失或内控漏洞而导致企业陷入危机的案例不胜枚举，几乎所有的企业都已经认识到了健全的内部控制体系对企业的重要性。对于企业内控，2002年美国因为安然事件出台了萨班斯-奥克斯利法案，而中国2010年亦有五部委最新发布的企业内部控制基本规范及其配套指引，显然企业只有建立了行之有效的内部控制体系，才能获得稳定且持续的发展。,主要内容,内控综述 为什么要建设内部控制 内部控制基本规范及应用指引介绍 目前上市公司内部控制监管规定 上市公司应特别关注的内控要点 内部控制案例及经验总结,内控综述,什么是内控 为什么要建内控 内控控什么 内控如何控,1、什么是内控,内部控制，是指一个单位为了实现其经营目标，保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控制的一系列方法、手续与措施的总称。简言之： 做正确的事（战略、合法） 正确地做事（营运） 持续正确地做事（资产、报告）,1、什么是内控,我国内控： 2008年发布内控基本规范（纲领性文 件） 2010.4.26发布内控指引，包括18个 应用指引，1个评价指引，1个审计指引，中国 的萨班斯法案,1、什么是内控,1、什么是内控,1、什么是内控,1、什么是内控,与ISO9001质量管理的相关性： P计划：内控环境，风险评估 D 执行：风险控制，信息沟通 C 检查：内控监督 A 改进：内控监督,1、什么是内控,内控的原则： 全面性原则：覆盖所有业务流程 重要性原则：重点环节明确说明 制衡性原则：监督有依据 适应性原则：理论联系实际 成本效益原则：少投多产, 外部的法定要求还是内部管理需要？ 应付还是应对？,2、为什么要建设内部控制,教训一：,2、为什么要建设内部控制,教训二、,2、为什么要建设内部控制,教训三：,2、为什么要建设内部控制,教训四：,2、为什么要建设内部控制,外因： 2011.1.1在境内外同时上市的公司实施 2012.1.1在主板上市的公司实施 2012.1.1之后，择机在中小板和创业板 上市公司实施，鼓励非上市大中型企业提前执 行,2、为什么要建设内部控制,内因： 提高企业科学管理水平（管理科学和艺术） 有控则强，少控则弱，失控则乱 降低企业决策风险（决策效率与效果的权衡， 中国和美国的区别） 提高企业经营效率与效果（如高速公路） 保护企业资产安全（监督制约） 提高会计资料的正确性，防止舞弊,2、为什么要建设内部控制, 内控能包治百病吗？ 内部控制的设计和运行受制于成本与效益原则，先天不足； 内部控制一般仅针对常规业务活动而非舞弊而设计； 内部控制可能因有关人员相互勾结、内外串通（舞弊）、玩忽职守而 失效； 如果机构内部行使控制职责的人员素质不适应岗位要求，也会影响内 部控制功能的正常发挥； 内部控制可能因执行人员滥用职权（越权、侵权和强权）或屈从于外 部压力而失效； 内部控制可能因时间的推移、经营环境的变化、业务性质的改变而削 弱或失效,2、为什么要建设内部控制,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,1940s,1970s,2000s,1990s,内部控制发展史,2、为什么要建设内部控制,20世纪40年代前 L.R.Dicksee最早于1905年提出内部牵制。他认为，内部牵制由三个要素 构成：职责分工；会计记录；人员轮换。 蒙哥马利于1912年提出：所谓内部牵制是指一个人不能完全支配账户， 另一个人也不能独立地加以控制的制度。 George E.Bennett发展了内部牵制的概念，他于1930年给内部牵制制度 下了一个完整的定义：内部牵制是帐户和程序组成的协作系统，这个系统 使得员工在从事本身工作时，独立地对其他员工的工作进行连续性的检查 ，以确定其舞弊的可能性。,内部控制发展史（续）,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,2、为什么要建设内部控制,如钥匙交两个以上的持有 如银库大门按非正确手续操作就会报警 每项业务由不同的人或部门去执行 明细帐与总帐定期核对, 20世纪40年代以前，通常使用的都是“内部牵制”，主要是为保护财产安全 而设置。 假定：两个或两个以上的人或部门无意识地犯同样的错误机会较少； 两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个或部门舞弊的可能性。 职能,内部控制发展史（续）,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,J 实物牵制 J 物理牵制 J 分权牵制 J 簿记牵制,2、为什么要建设内部控制, 20世纪40年代末至70年代 定义：“内部控制包括组织的计划和企业为了保护资产，检查会计数据的准确 性和可靠性，提高经营效率，以及促使遵循既定的管理方针等所采用的所有 方法和措施。 ”（AICPA，1949） 构成：内部会计控制与内部管理控制,内部控制发展史（续）,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,2、为什么要建设内部控制, 20世纪80年代至90年代 定义：为合理保证公司实现具体目标而设立的一系列政策和程序（AICPA， 1988） 要素： 一是控制环境 二是会计系统 三是控制程序,内部控制发展史（续）,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,2、为什么要建设内部控制, 20世纪90年代二十一世纪 定义：内部控制是受企业董事会、管理层和其他员工影响的，为营运的效率 性、财务报告的可靠性、相关法律的遵循性等目标的达成而提供合理保证的 过程。其构成要素应该来源于管理阶层经营企业的方式，并与管理的过程相 结合。（ COSO委员会，1997） 构成要素：控制环境、风险评估、控制活动、信息与沟通、监督,内部控制发展史（续）,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,2、为什么要建设内部控制, 二十一世纪以后 定义：企业风险管理是受企业董事会、 管理层和其他员工影响的，用于识别那 些可能影响企业的潜在事件并管理风险,，使之在企业的风险偏好之内，为企业 目标的达成而提供合理保证的过程。这 个过程从企业战略制定一直贯穿到企业 的各项活动中。（ COSO委员会，2003 年）,内部控制发展史（续）,萌芽期 内部牵制,发展期 内部控制,过渡期 内部控制结构,完善期 内控整体架构,成熟期 全面风险管理,战 略,经 营,信息与沟通 监控,报 告,合 规,子,公,司,业,务,单,位,分,业支,机,层构 次,企,整,体,2、为什么要建设内部控制,内部控制发展史（续）美国资本市场对内部控制的要求,萨班斯法案,法案性质 一项法律 参众两院通过 总统签署,执行机构 PCAOB,（公众公司会计监察委员会）,法案内容,对象 会计师事务所及其注册会计师,上市公司的管理层，审计委员会,证券交易所，执业证券经纪师,成立独立的 监管执行公 众公司审计 职业,要求加强 审计师 的独立性 报告责任,要求加大,要求强化 公司的财务财务披露 义务,加重了违法 行为的处罚 措施,强化SEC的,监管职能,监管机构 SEC,2、为什么要建设内部控制, 对于上市公司： 要求加大公司的财务报告责任 要求强化财务披露义务 加重了违法行为的处罚措施 对于监管机构和审计师： 强化SEC的监管职能 要求美国审计总署加强调查研究 成立独立的公众公司会计监察委员会(PCAOB)，监管执行公众公司审计 业务的会计师事务所 要求加强审计师的独立性 ,内部控制发展史（续）美国资本市场对内部控制的要求（续）,2、为什么要建设内部控制, 萨班斯法案的相关规定404条款:管理层对内部控制的评价 要求公司管理层在年度报告中： 描述他们在建立和维护一个针对财务报告职能行之有效的内部控制程序 中的责任 对财务报告系统内部控制有效性以一个公认架构进行评估（例如COSO 内控架构） 同时要求外部审计人员： 对管理层评估结果进行鉴证,内部控制发展史（续）美国资本市场对内部控制的要求（续）,2、为什么要建设内部控制,3、内控控什么,（一）组织架构 治理结构和内部机构 治理结构：股东会、董事会、监事会、经理层，即 法人治理结构，是企业可以与外部主体发生各项经济 关系所必备的组织基础 内部机构：根据业务发展需要，分别设置不同层次 的管理人员及其由各专业人员组成的管理团队 治理结构抬头看路（方向） 内部机构埋头拉车（执行）,31,32,3、内控控什么,33,3、内控控什么,组织架构关注的问题： 理论联系实际 因业务定岗位，不要因岗位定业务 因岗定人，不是因人定岗 避免：组织 纪检 反贪 谁来监督反贪？贪污犯打狼,34,3、内控控什么,（二）发展战略 战略方向 方向对，错的也对 方向错，对的也错 避免：错误方向做正确的事情（第五次反围剿）,35,3、内控控什么,发展战略：关于企业发展的战略，是对企业发展中 整体性、长期性、基本性问题的计谋。本质特征是发 展性，是企业各种战略的最高战略。制定战略注意： 整体性着眼全局，而不是局部 长期性着眼长远，而不是现在 基本性着眼宏观，而不是微观 计谋性着眼谋略，而不是常规思路 系统性考虑结果，又兼顾过程 风险性着眼务实，而不是理想,36,3、内控控什么,战略定位是专业化还是多元化？（鸡蛋放在一个篮 子还是放在多个篮子？）,37,3、内控控什么,案例： 三九，从医药到后来多元化经营（包括医药、房 产、汽车、电子等9个领