企业内部控制配套指引 实施解读 主讲人： 刘维1一、企业内部控制配套指引主要内容解析二、配套指引对董事会的要求三、企业的合遵循挑战四、合规之路该如何规划五、合规工作的主要要求六、合规工作的组织与人力资源安排七、如何理解内部控制的重要性及其风险管理的关系2本报告所载资料是为广州市财政 局编撰。任何其他人士不得依赖 本报告作任何其他用途，本公司 概不就此对任何其他人士承担任 何责任。未经本公司书面同意， 任何34企业内部控制应用指引企业内部控制应用指引 ：共18项，用以指导企业开 展内部控制建设，并为企业 及事务所的内部控制评价及 审计提供参考。内容包含制 定指引的总体目标、涉及事 项的定义、相关风险描述、 业务流程规范和关键控制点 要求等标准性内容。企业内部控制评价指引企业内部控制评价指引 ：用以指导企业开展内部控 制评价，以满足基本规范的 实施要求。内容包含评价原 则、评价制度要求、评价的 内容、评价的程序、缺陷的 认定、评价报告。企业内部控制审计指引企业内部控制审计指引： 用以规范注册会计视执行企业 内部控制审计业务。内容包含 审计目标、计划审计工作、实 施审计工作、评价控制缺陷、 完成审计工作、出具审计报告 、记录审计工作、审计报告参 考格式。2008年6月28日发布应用指引、评价指引和 审计指引构成企业内部控制 配套指引用于指导企业更加有效 实施基本规范。2010年4 月26日发 布基本规范从内部环境、风险评估、控制活动 、信息与沟通以及内部监督五大要素的角度，对 于中国企业如何建立、维持有效的内部控制提出 了原则性的要求，建立了具有中国特色的内部控 制框架。企业内部控制基本规范5审计师：l按照审计指引的要求，对财 务报告内 部控制的有效性发表 审计意见，并对内部控制审计过 程中注意到的非财务报告内部控 制的重大缺陷予以披露l评价对象为企业建立和实施的财 务报告内部控制企业：l按照评价指引的相关要求， 对内部控制的有效性进行自我评 价l评价对象包括企业建立和实施的 财务和非财务内部控制，需对这 些内部控制的设计和执行有效性 进行评价企业：l从基本规范 规定的五大要素出 发，参照应用指 引的具体要求， 建立和实施完善的 内部控制体系企业内部控制配套指引 实 施 时 间适 用 企 业2011年12月 31日年报2012年12月 31日年报第一个合 规报告年 度2011年1月1日2012年1月1日择机实施鼓励提前实施企业披露年度 自我评价报告会计师事务所 出具内控审计 报告境内、外同 时上市的公 司在上海证劵交 易所、深圳证 劵交易所主板 上市公司实施中小板和创 业板上市公 司非上市大中 型企业6企业内部控制应用指引：共18项，用以指导企业开展内部控制建设，并为企业及事务所的内 部控制评价及审计提供参考。内容包含制定该项指引的总体目标、涉及事项的定义、相关风险描 述、业务流程规范和关键控制点要求等标准性内容。应用指引条目如下：根据各具体指引所规范内容的不同，可以将应用指引分为三类：内部环境类（5个）控制手段类（4个）全面预算 合同管理 内部信息传递 信息系统7控制活动类（9个）组织架构资金活动采购业务社会责任企业文化发展战略人力资源全面预算资产管理销售业务业务外包信息系统合同管理内部信息传 递担保业务工程项目研究与开发财务报告目标：对于流程控制目标的整体要求。企业可参考指引中所述目标，从定性和定量两个角度细化本企业各流程的具体控制目标， 作为流程风险评估的基础。风险：流程中可能涉及的主要风险。企业可考虑参考指引中所述风险，采用一定的风险评估方法，识别、评估本企业流程可能 涉及的重大风险，并作为内部建设的基础。定义：对于流程所涉及业务范围的定义。企业应根据自身实际业务情况，对流程所涉及的业务范围进行明确定义。对于流程控制的整体要求。应作为企业设计本流程内部控制体系的整体性原则。主要业务环节及具体内控要求，企业可参考这些具体要求，结合本企业实际情况，制定细 化的内部控制步骤和程序，包括明确内控执行的岗位和人员、频率、文档、问题跟进措施 等。8在应用指引使用过程中应注意以下问题：应用指引仅是对于主要业务流程环节和内部控制提出了原则性的要求18项应用指引涵盖了制造企业常见的重要业务领域，但是对于具体企业来 说，肯定会存在一些应用指引无法涵盖的业务活动。因此企业需要根据基 本规范和应用指引的总体原则和企业实际的风险情况，对自身业务、风险 和内部控制进行详细梳理，而不能仅仅依赖应用指引进行内控体系的建设 。（例如对于银行业来说，并没有专门的指引对商业银行的核心业务流程 ，例如存款业务、贷款业务、资金业务、中间业务等进行明确规定）企业可参考应用指引的架构和内容，细化制定本企业的内部手册9第一章 总则第二章 内部控制评价的内 容第三章 内部控制评价的程 序内部控制评价的最终责任机构是企业董事会或类似权力机 构 企业内部控制评价的原则：全面性、重要性、客观性 企业应根据评价指引及实际情况，制定具体的内部控制评 价办法企业内部控制评价应围绕内部环境、风险评估、控制活动 、信息与沟通、内部监督五要素，并包括内部控制设计和 运行两个方面 内部控制评价工作应当形成工作底稿，详细记录企业执行 评价工作的内容企业可以授权内部审计部门或专门机构负责内部控制评价 的具体组织实施工作 评价工作方案应报经董事会或其授权机构审批后实施 评价工作组成员对本部门的控制评价工作应当实行回避制 度 企业可以委托中介机构实施内部控制评价。为企业提供内 部控制审计服务的会计师事务所，不得同时为同一企业提 供内部控制评价服务1011第四章 内部控制缺陷的认 定第五章 内部控制评价报 告内部控制缺陷包括设计缺陷和运行缺陷内部控制缺陷的认定应当以日常监督和专项监督为基础 ，结合年度内部控制评价，由 内部控制评价部门进行综 合分析后提出认定意见，按照规定的权限和程序进行审核 后予以最终认定内部控制缺陷可以分为重大缺陷、重要缺陷和一般缺陷 （但具体认定标准由企业根据指引中原则自行确定）企业应对内部控制缺陷及其成因、表现形式和影响程度 进行综合分析和全面复核；缺陷应向董事会、监事会或者 经理层报告；重大缺陷应当由董事会予以最终认定；对于 重大缺陷应追究有关部门或相关人员的责任对报告的主要内容进行要求。报告应当经董事会或类似 权力机构批准后对外披露比较内容主要实施要求是否给出评价指引评价责任机构评价结论的判定标 准配套指引的要求企业应当对内部控制的有 效性进行自我评价，并披露 年度自我评价报告 企业应当聘请会计师事务 所对财务报告内部控制的有 效性发表审计意见企业内部控制评价指引董事会（或类似权力机构 ）没明确说明内控有效性结 论的判定标准美国萨班斯法案第404条款公司管理层申明对建立和维 持适当财务报告内控结构及 控制程序的责任，并在其提 交的年报中对内控有效性作 出评价 审计师须对管理层遵循情况 进行测试和评价，并出具评 价报告SEC给出了“管理层评价指 引”，但并不强制企业遵循， 提供了可接受的一种遵循途 径管理层存在一个或多个实质性漏洞 ，内部控制即告无效1213比较内容主要实施要求是否给出评价指引评价责任机构评价结论的判定标 准香港企业管制常规守则C2.1条款董事应当每年检讨一次上市公司及 其附属公司的内部监控系统是否有效 ，并在企业管治报告中向股东回报已 经完成的有关检讨。有关检讨应涵盖 所有重要的监控方面，包括财务监控 、运作监控及合规监控以及风险管理 功能 没有对与内控审计具体要求没有颁布专门的评价指引，仅在香 港会计师公会为之专门制定的内部 监控和风险管理的基本框架中，对 于检讨程序有原则性规定董事未要求评价工作给出评价结论企业内部控制标准委员会负责为建立健全我国企业内部控制标准体系提供政策指导和 咨询服务企业内部控制标准会员会主席由财政部副部长担任，副主席由证监会和国资委官员担 任，成员包括来自监管部门、实务界、理论界的31位专家学者第 一 层 次第 二 层 次第 三 层 次中国企业建立内部控制的基本框架 建议了内部控制体系的构成要素：内部环境、风险 评估、控制活动、信息与沟通、内部监督 国际上类似的内部控制框架包括：COSO、COCO 等企业内部控制基本规范的实施要求 要求企业对内部控制的有效性进行自我评价，披露年度自 我评价报告，并可聘请会计师事务所进行审计 国际上类似要求包括：美国萨班斯法案第404条款、日本 金融工具及交易法等企业内部控制基本规范 五部委关于印发企业内部 控制基本规范的通知用以指导企业内部控制体 系建设，对于内部控制提 出了具体的要求用以规范企业内部控制 有效性的年度自我评价 工作用以指导注册会计师执 行企业内部控制审计业 务 五部委关于印发企 业内部控制配套之 音的通知企业内部 控制应用指 引企业内部 控制评价指 引企业内 部控制审 计指引对于应用指 引的解释/指 南对于评价指 引的解释/指 南对于审计指 引的解释/ 指南对体系的持续完善常见问题 解答公告1415董事会负责内部控制的建立健全和有效实施的基本规范，具体体现在：董事会是企业内部控制体系的重要组成部分。董事会依法行使企业的经营决策权 ，对企业重大经济事项进行审批。应用指引董事会须对内部控制有效性的评价负责。董事会应审批评价工作方案，对重大缺 陷进行认定，对评价报告进行批准，并出具内部控制报告真实性的声明。评 价指引董事会应当向审计师提供声明书，声明董事会认可其对建立健全和有效实施内部控制 负责。并与审计是沟通确认的重大缺陷和重要缺陷等重要内控事项。审计指引1617关键条文概述企业内部控制应用指引-董事会对股东（大）会负责，依法行使企业的经营决策权，可按照股东（大）会的 有关决议，设立战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的 职责权限、任职资格、议事规则和工作程序，为董事会科学决策提供支持。-董事会（或类似权力机构）应对发展战略方案，重大研究项目，重大工程项目的立 项，重大担保业务，重大业务外包方案，和全面预算草案进行审批。企业内部控制评价指引-指引所称内部控制评价，是指企业董事会（或类似权力机构）对内部控制的有效性进 行全面评价、形成评价结论、出具评价报告的过程。-企业董事会应当对内部控制评价报告的真实性负责。-企业内部控制评价部门应当拟订评价工作方案，明确评价范围、工作任务、人员组织 、进度安排和费用预算等相关内容，报警董事会或其授权机构审批后实施。-企业内部控制评价部门应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督 发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响 程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或 者经理层报告。重大缺陷应当由董事会予以最终认定18企业内部控制审批指引-董事会应当注册会计师提交书面声明，声明董事会认可其对建立健全和有效实施内 部控制负责-注册会计师以书面形式与董事会沟通其在审计过程中识别的重大缺陷和重要缺陷； 审计范围受到限制的情况及对审计委员和内部审计机构对内部控制的监督无效的认 定。-内部控制评价报告应当披露董事会对内部控制报告真实性的声明-内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门1920主观意愿强调两个方面：内部控制的最终责任人和内部控制的日常参与者。内部控制的最终责任人：董事会内部控制的日常参与者：全体员工董事会及高级管理层立言、立行 以昭示其对内部控制的充分重视 ，并为内部控制的建设和实施调 配充分的资源董事会和其他高级管理人员不理 解建设内部控制的意义，认为内 部控制阻碍经营效率，将内控工 作做成“两张皮”企业员工不理解什么是内控，不清 晰自己的内控责任，无法自觉维护 内控有效性积极消极21所有员工都充分理解并参与内部控 制的建设和