内部控制的自我评价与外部评价内部控制的自我评价与外部评价案例：梅花生物科技集团股份有限公司小小组成成员及分工及分工案例案例讲解的流程解的流程Part1：美国内控：美国内控评价法律体系概况价法律体系概况美国内部控制部分法美国内部控制部分法规制度及制度及职业标准准法规制度与职业标准名称法规制度与职业标准名称颁布机构与时间颁布机构与时间与内控与风险管理相关内容及意义与内控与风险管理相关内容及意义1、反海外贿赂行为法 美国国会、1977年该法案明确规定：内部控制不是会计部门的责任，而是美国公司董事会的责任。该法案确认的内部控制目标主要涉及授权、记录、使用资产和资产的会计责任四个领域。2、内部控制整合框架COSO、1992年COSO内部控制整合框架构建了由三大目标和五项要素组成的内部控制框架。该框架的发布和广泛采用标志着内部控制在理论上和实务上走出审计范畴，从而成为企业整个管理体系的有机组成部分，该框架同时也为企业内部控制评价提供了指导。美国内部控制部分法美国内部控制部分法规制度及制度及职业标准准法规制度与职业标准名称法规制度与职业标准名称颁布机构与时间颁布机构与时间与内控与风险管理相关内容及意义与内控与风险管理相关内容及意义3、企业风险管理整合框架 COSO、2004年9月COSO企业风险管理整合框架 构建了由四大目标和八项要素组成的企业风险管理框架，实现了内部控制5要素与风险管理8要素的有机结合，其重点是强化内部控制环境和风险应对问题。4、萨班斯-奥克斯利法案美国国会、2002 年7月萨班斯法案是1933年以来美国证券立法中影响最深远的法案。它通过加强上市公司财务信息披露的可靠性和内部控制有效性，确保审计师的独立性以及改善公司治理结构来“重获投资者的信心”。成立新的监管机构上市公司会计监督委员会（PCAOB）加强对上市公司和独立审计师的监管。美国内部控制部分法美国内部控制部分法规制度及制度及职业标准准法规制度与职业标准名称法规制度与职业标准名称颁布机构与时间颁布机构与时间与内控与风险管理相关内容及意义与内控与风险管理相关内容及意义5、与财务报表审计相融合的内部控制审计（简称第5号审计准则）PCAOB、2007年5月指引审计师将审计重点放在最重要的内部控制事件的审计。要求审计师重点关注公司内部控制中那些可能会导致财务报告中的重大错报不能被发现或预防的高风险领域，并沿用了第2号审计准则指南中强调的从上到下的审计方法。6、关于管理层报告财务报告内部控制的指引SEC、2007年6月为了对管理层有关财务报告内部控制的评价和评估提供指引。该指引提出了一种方法，管理层可以据以对财务报告内部控制实施自上而下、以风险为基础的评价。7、金融工具公允价值计量审计和利用专家工作的相关问题PCAOB、2007年12月PCAOB 发布了审计实务提示（Staff Audit Practice Alert）第2号金融工具公允价值计量审计和利用专家工作的相关问题。该提示是在美国次贷危机的背景下发布的，主要为了提醒注册会计师注意美国公允价值会计审计准则中的有关规定。基于内控基于内控评价价COSO五要素的解五要素的解读内控环境：主要包括组织架构、企业文化、人力资源管理、发展战略、社会责任五个子要素。内控环境确定了公司的总体态度，是内部控制所有其他组成要素的基础。管理层在对控制环境评估时，也应该考虑反舞弊机制、审计委员会或其他监管职能的有效性。风险评估：由业务风险评估、固有风险、舞弊风险三个子要素构成。企业要充分识别企业的外部环境（如：政治、经济、法律法规等方面）存在的，并对相关控制目标有影响的风险。其次，充分的风险评估过程要包括对重大风险的评估、对风险发生可能性的评估，以及应对风险方法的确定。控制活动：包括不相容职务分离控制、授权审批控制、会计系统控制、信息系统控制等。控制活动在整个公司所有级别和职能部门实施，确保管理层的指令得到执行。控制活动要注重具体信息处理的目标。基于内控基于内控评价价COSO五要素的解五要素的解读信息与沟通：要素包括一套能够支持信息确认、获取、交流的系统。在评估信息与沟通要素时，管理层须考虑内部和外部生成的数据以及数据的质量。此外，管理层还应关注财务信息至关重要的系统和程序。内部监督：由持续监督、独立评估、缺陷报告三个要素组成。定期监督主要工作是管理层定期对内控系统进行审核。对监督过程发现的内控缺陷，应当分析缺陷的性质及产生原因，并提出整改方案。企业应当结合内控监督情况定期对内控的有效性进行自我评价，并出具内控自我评价报告。萨班斯班斯404条款主要内容条款主要内容1.管理层内部控制方面要求要求公司年报中包括一份内部控制报告，该报告应包括以下内容： (1)明确指出公司管理层对建立和保持一套完整的，并与财务报告相关的内部控制系统和程序所负有的责任； (2)包含管理层在财务年度期末对公司财务报告相关内部控制体系及程序的有效性的评估。 2.审计师内部控制评价报告受托的上市公司审计师应按照上市公司会计监管委员会审核发布的或采用的准则就管理层关于内部控制的评估进行测试和评价，并出具评价报告。PCAOB第第5号和第号和第2号号审计准准则对比比指引审计师将注意力投向最重要的控制内控审计准则提案内容沿用了PCAOB关于第2号审计准则指南中强调的至上而下的方法。在使用至上而下的方法时，审计师要从财务报表和公司层面的控制开始，确定将要测试的控制，并将财务报表要素和公司层面的控制与重要账目、相关论断以及其他重要控制所在的重大流程联系在一起。强调风险评估的重要性该提案要求审计师在每一决策点的风险评估中采用至上而下的方法。审计师对重要账目和相关论断的确定要求审计师应清楚存在的相关风险。审计师的风险评估应内控审计具有普遍影响。从审计师开始对公司实质性漏洞风险评估开始，以至对单独账户、论断或控制层面风险的分析，审计师应不断调整审计程序，以反映审计师掌握的信息，包括内控审计和财务报表审计的经验。PCAOB第第5号和第号和第2号号审计准准则对比比修订重大缺陷和实质性漏洞的定义l用“合理可能性”替代“微小可能性”l重新确定实质性漏洞的定义，以去除重大缺陷l用“重大”取代“不仅仅是不合理”修订实质性漏洞的重要指标第2号审计准则对那些至少为重大缺陷和实质性漏洞的重要指标的环境 进行描述。此类环境包括已发布的财务报表重编以及无效的控制环境。为保证提案的要求不会迫使审计师在缺陷不存在的情况下，做出缺陷存在的结论，委员会修改了关于将上述环境认为是至少具有重大缺陷的要求。PCAOB第第5号和第号和第2号号审计准准则对比比明确实质性在审计中的作用审计师在计划和执行内部控制审计中采用的实质性方法应与年度财报中采用的方法一致。删除评价管理层评估过程的的要求为强调适当的审计工作范围，简化报告，准则提案要求审计师对内部控制只能发表一个意见。提案删除了对管理层的评估分别发表单独意见的要求。若审计师对内控持相反意见，应在管理层报告的实质性漏洞进行单独、详尽的描述。若管理层未能公正反应实质性漏洞，审计报告中应包含一段解释以及必要信息。PCAOB第第5号和第号和第2号号审计准准则对比比调整审计准则，适用较小公司的规模较小公司的财务报告通常与较大、较复杂的公司不同，并且较小公司内部控制系统通常能够利用不同的方式较好的处理风险。审计师应执行的程序要依赖于公司规模和复杂程度的具体情况简化要求l特定性和细节性水平降低，鼓励审计师根据实际情况进行职业判断l对陈述报告进行了重组，以更好的反映内控审计流程l要求陈述的方式更具有可读性，让客户和审计师更好理解Part2：中国内控自我：中国内控自我评价体系价体系我国与内部控制相关的部分法我国与内部控制相关的部分法规制度制度法规与指引名称法规与指引名称颁布机构与时间颁布机构与时间与内控与风险管理相关内容与内控与风险管理相关内容1、证券公司内部控制指引中国证监会、2003年12月引导证券公司规范经营，完善证券公司内部控制机制，增强证券公司的自我约束能力，推动证券公司现代企业制度建设，防范和化解金融风险。2、证券公司融资融券业务试点内部控制指引中国证监会、2006年6月30日指导证券公司建立健全融资融券业务试点的内部控制机制，防范与融资、融券业务有关的各类风险。3、商业银行内部控制指引中国银监会、2007年7月3日该指引首次提出要对内部控制进行全流程评价，将内部控制体系的五大要素有机地联系在一起。我国与内部控制相关的部分法我国与内部控制相关的部分法规制度制度法规与指引名称法规与指引名称颁布机构与时间颁布机构与时间与内控与风险管理相关内容与内控与风险管理相关内容4、银行业金融机构信息系统风险管理指引和商业银行操作风险管理指引中国银监会、2006年、2007年银监会先后发布了银行业金融机构信息系统风险管理指引和商业银行操作风险管理指引，为银行业金融机构的操作风险管理提出系统性的要求和指导。5、上海证券交易所上市公司内部控制指引上交所、2006年6月5日该指引要求上市公司应从2006年年度报告起披露内部控制自我评估报告和会计师事务所对自我评估报告的核实评价意见。6、深圳证券交易所上市公司内部控制指引深交所、2006年9月28日从国有企业管理实践的内在需求以及国有资产出资人监管的角度出发，对中央企业开展风险管理工作的目标、全面风险管理体系建设的内容、流程以及工具和方法进行了详细阐述，并提出了明确的执行要求。我国与内部控制相关的部分法我国与内部控制相关的部分法规制度制度法规与指引名称法规与指引名称颁布机构与时间颁布机构与时间与内控与风险管理相关内容与内控与风险管理相关内容7、中央企业全面风险管理指引国资委、2006年6月从国有企业管理实践的内在需求以及国有资产出资人监管的角度出发，对中央企业开展风险管理工作的目标、全面风险管理体系建设的内容、流程以及工具和方法进行了详细阐述，并提出了明确的执行要求。8、企业内部基本规范五部委、2008年5月我国第一部加强和完善企业内部控制系统，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益的重要法规文件。9、企业内部控制应用指引、企业内部控制评价指引、企业内部控制审计指引五部委、2010年4月配套指引通知要求执行企业内部基本规范及企业内部控制配套指引的上市公司和非上市大中型企业，对其内控的有效性进行自我评价，披露年度自我评价报告，并出具内控有效性的审计报告。建立一个健全的内部控制制度是公司建立一个健全的内部控制制度是公司高高级管理管理层的的职责1.明确内控检查监督的专门职能部门2.确定并记录公司现有的内部控制流程，包括公司层面和部门层面，涵盖各业务流程环节和各项公司管理制度3.持续性地按照法律法规，部门规章及证券交易所上市规则的规定把建立/完善内部控制制度纳入长效管理机制管理管理层对于内部控制于内部控制执行的自我行的自我评估估以及以及检查监督督1. 制定内控监督检查办法和年度内部控制检查监督计划; 跟踪内部控制执行缺陷并确保缺陷得到及时改进2. 对关键控制点进行监督检查并记录检查结果;生成内部控制检查监督工作报告并每半年呈交董事会3.董事会或审计委员会审核内部控制检查监督工作报告；并以此为基础制作内部控制自我评估报告并形成董事会决议4. 披露内部控制自我评估报告以及会计师事务所对该报告出具的核实评价意见内部控制自我内部控制自我评价的意价的意义积极响应外部要求公司作为上市公司，财政部要求于2009年7月1日起，按五部委联合颁布的企业 内部控制基本规范建立健全内部控制体系，并建立长效机制对内控有效性进行持续维护、自评及测试。踏实提高公司整体管理水平公司将借助内部控制体系的建设，进一步梳理完善公司现有管理政策体系，提高经营管理水平和风险防范能力，提高公司综合竞争力，促进公司可持续发展。内控自我内控自我评估主要步估主要步骤介介绍管理层委任项目领管理层委任项目领导及项目小组导及项目小组成立专门职能部门成立专门职能部门（检查监督部门），（检查监督部门），定义监督检查部门定义监督检查部门职责分工职责分工确定项目计划以建确定项目计划以建立立/ /完善公司的内部完善公司的内部控制控制 进行培训进行培训 将内控项目计划承将内控项目计划承交董事会审阅交董事会审阅进行风险评估进行风险评估确定确定项目范围项目范围 选定试点公司选定试点公司盘点现有制度、流程，盘点现有制度、流程，辨识与记录公司层面、辨识与记录公司层面、下属部门与附属公司的、下属部门与附属公司的、以及各业务环节的现有以及各业务环节的现有内部控制内部控制，找出内部控，找出内部控制需要改进的关键点制需要改进的关键点建立标准内控文档模版建立标准内控文档模版推广内控文档推广内控文档汇总内部控制设计缺陷汇总内部控制设计缺陷并提出整改方案并提出整改方案执行整改方案执行整改方案持续性地按照法律法规，持续性地按照法律法规，部门规章及证券交易所部门规章及证券交易所上市规则的规定把建立上市规则的规定把建立/ /完善内部控制制度纳入完善内部控制制度纳入长效管理机制长效管理机制 董事会审核董事会审核内部控内部控制自我评价报告制自我评价报告；披露披露内部控制自我内部控制自我评价报告评价报告以及会计以及会计师事务所对该报告出师事务所对该报告出具的核实评价具的核实评价/ /审计审计意见意见 制定内控监督检查办法制定内控监督检查办法和年度内部控制检查监和年度内部控制检查监督计划（符合性测试）督计划（符合性测试）对关键控制点进行监督对关键控制点进行监督检查并记录结果检查并记录结果监控内控缺陷的整改情监控内控缺陷的整改情况况生成生成内部控制自我评内部控制自我评价报告价报告承交董事会承交董事会 主要主要步骤步骤项目阶项目阶段段机构设立机构设立和计划阶段和计划阶段建立健全建立健全内控制度阶段内控制度阶段董事会报告董事会报告及披露阶段及披露阶段内控自我检查内控自我检查监督和汇报阶段监督和汇报阶段内控自我内控自我评估理估理论介介绍CSA定定义内部控制自我评价（control self-assessment，简写为CSA）是一个对企业内部控制的效力进行检查和评价的过程。其目标是为企业实现所有经营目标提供合理的保证。内控自我内控自我评估理估理论介介绍CSA原理原理内部控制自我内部控制自我评估开展方式估开展方式访谈内控评估问卷 国内目前主要以问卷形式开展内控自评小组研讨会 国外普遍采用研讨会的形式开展 内控自我内控自我评估机制估机制设计的介的介绍 自我自我检查表体系表体系内控自我内控自我评估机制估机制设计的介的介绍 内控自我内控自我评估表估表填写原则：由熟悉业务或实际操作业务的主管级人员作为业务流程控制者进行回答，由部门经理及系统负责人签署确认。可以进一步将本人的自查表分解给下属；但是“工作可以分解交办，责任不会随之转移”。业务流程控制者，部门经理和系统负责人对不正确的回答负责。业务流程：销售流程、采购流程、存货管理流程、资金管理流程、投资管理流程、控制流程、财务报告流程、计划与预算流程、固定资产管理流程、人事薪酬管理、费用支出流程、对下属公司的管控内控自我内控自我评估表估表样张内部控制自我内部控制自我评估几个估几个阶段段准备内控自我评估文档并下发管理层组织内控自我评估收集内控自我评估结果并执行抽查汇报沟通、管理层改进缺陷以及必要的再次测试协助管理层汇总内控自我评估结果并内控自我评估报告Part3Part3：西藏上市公司内控：西藏上市公司内控评价价披露的披露的现状状 西藏上市公司内控西藏上市公司内控评价披露价披露现状状序号公司全称证券简称 股票代码上市时间注册地址内控评价披露情况1梅花生物科技集团股份有限公司梅花集团6008731995/2/17西藏自治区拉萨经济技术开发区金珠西路189号2010年开始披露自我评价报告、审计报告，2012年起披露社会责任报告2西藏珠峰工业股份有限公司西藏珠峰6003382000/12/27西藏自治区拉萨市北京中路65号未查询到相关资料3西藏诺迪康药业股份有限公司西藏药业6002111999/7/21西藏自治区拉萨市北京中路93号未披露，2012开始建立内控制度4西藏旅游股份有限公司西藏旅游6007491996/10/15西藏自治区拉萨市林廓东路6号未披露自我评价和审计报告，2012年起披露社会责任报告西藏上市公司内控西藏上市公司内控评价披露价披露现状状序号公司全称证券简称股票代码 上市时间注册地址内控评价披露情况5西藏城市发展投资股份有限公司西藏城投6007731996/11/8西藏自治区拉萨市金珠西路75号2楼2011年起披露自我评价、审计报告6西藏银河科技发展股份有限公司西藏发展0007521997/6/25西藏自治区拉萨市色拉路36号2012年披露自我评价报告7西藏天路股份有限公司西藏天路6003262001/1/16西藏自治区拉萨市夺底路14号2012年起披露自我评价、审计报告8西藏海思科药业集团股份有限公司海思科0026532012/1/17西藏自治区山南地区泽当镇香曲东路8号2011年披露自我评价、审计报告西藏上市公司内控西藏上市公司内控评价披露价披露现状状序号公司全称证券简称股票代码上市时间注册地址内控评价披露情况9西藏矿业发展股份有限公司西藏矿业0007621997/7/8西藏自治区拉萨市中和国际城金珠二路8号2012年起披露自我评价、审计报告10西藏奇正藏药股份有限公司奇正藏药0022872009/8/28西藏自治区林芝地区八一镇泉州路1号2011年披露自我评价、审计报告Part4：梅花集：梅花集团案例分析案例分析梅花生物科技集梅花生物科技集团简介介梅花集团全称为梅花生物科技集团股份有限公司，总部设在河北省廊坊市，是一家以生物发酵为主的大型产业集团。前身为五洲明珠股份有限公司（简称“五洲明珠”），五洲明珠重大资产重组吸收合并原梅花生物科技集团股份有限公司后，五洲明珠股份有限公司更名为梅花生物科技集团股份有限公司，原梅花集团注销。经过资产重组，公司成功实现了从输配电设备制造行业向味精、氨基酸等生物发酵领域的转型。2010年底，梅花集团在上海证券交易所上市，股票代码600873。梅花生物科技集梅花生物科技集团内控管理制度内控管理制度环境控制l主要包括授权管理和人力资源管理l公司建立合理的组织架构，确保各项工作责权到位，有序进行。明确股东大会、董事会、监事会、经理层、各部门和子公司的具体职责范围l公司建立分级授权制度，各级授权要适当，职责要分明，并对授权实行动态管理，建立有效的评价和反馈机制l公司建立人力资源管理相应制度，明确公司的机构和岗位设置、职务任免、薪酬管理、竞聘上岗、员工培训、考核与奖惩等内容，有效加强员工素质控制，确保企业内部激励机制和监督约束机制的完善，为公司营造科学、健康、公平、公正的人事管理环境梅花生物科技集梅花生物科技集团内控管理制度内控管理制度业务控制l包括部门的设置、岗位责任、操作流程及具体的业务规章l公司各部门、分公司、子公司根据实际工作内容，明确各自工作职责l公司各部门、分公司、子公司根据业务操作流程，针对各个风险点拟定或制定必要的控制程序l公司应制定采购管理制度、设备管理制度、生产工艺管理制度、产品委托加工管理规定、营销管理制度、财务管理制度等管理制度，确保各项 业务正常开展l公司应制定人力资源管理办法，对员工的雇佣、签订聘用合用、培训、请假、加班、离岗、薪资记录及支付、个人所得税等费用的代扣代缴、考核考勤等方面加强管理。梅花生物科技集梅花生物科技集团内控管理制度内控管理制度对子公司的管理控制l公司应制定控股子公司管理办法，对子公司的规范运作、人事管理、财务管理、内部审计、信息披露、投融资管理、经营考核进行风险控制l公司各部门对子公司的相应对口部门进行专业指导、监督及支持。各子公司必须统一执行公司颁布各项规范制度l各子公司应建立重大事项报告制度和审议程序l各子公司应及时向公司报送定期报告，定期报告包括月报、季报、半年报和年度报告梅花生物科技集梅花生物科技集团内控管理制度内控管理制度关联交易的内部控制对外担保的内部控制资金筹集、使用的内部控制对外投资的内部控制信息披露的内部控制梅花集梅花集团内部控制的内部控制的检查和披露和披露公司设立审计部门，在董事会审计委员会的领导下，定期检查公司内部控制缺陷，评估其执行的效果和效率，并及时提出改进建议公司应制定内部审计管理制度，明确内部审计监督的范围、内容、职权、工作程序、质量控制，以及奖励和惩罚等公司董事会审计委员会依据公司内部审计报告，对公司内部控制情况进行审议评估，形成内部控制自我评价报告初稿，提交董事会审定。公司监事会和独立董事对此报告发表意见公司于每个会计年度结束后四个月内将内部控制自我评价报告和注册会计师评价意见报送上海证券交易所，与公司年度报告同时对外披露公司内部审计部门的工作底稿、审计报告及相关资料，保存时间十年以上梅花集梅花集团2011年内控自我年内控自我评价价报告与告与审计报告告管理层对内部控制的完整性、合理性及有效性的自我评估意见本公司董事会认为，本公司内部控制体系基本健全，未发现对公司治理、经营管理及发展有重大影响之缺陷及异常事项。公司现有的内部控制已覆盖了公司运营的各层面和各环节，形成了规范的管理体系，能够预防和及时发现、纠正公司运营过程可能出现的重要错误和舞弊，保护公司资产的安全和完整，保证会计记录和会计信息的真实性、准确性和及时性，在完整性、合理性及有效性方面不存在重大缺陷。公司将及时根据内外部环境及自身发展情况，不断修订和完善内部控制制度。梅花集梅花集团2011年内控自我年内控自我评价价报告与告与审计报告告大华会计师事务所有限公司审计意见我们认为，梅花集团按照内部会计控制规范-基本规范（试行）规定的标准于2011 年12 月31 日在所有重大方面保持了与财务报表相关的有效的内部控制。梅花集梅花集团2012年内控自我年内控自我评价价报告与告与审计报告告管理层对内部控制的完整性、合理性及有效性的自我评估意见 本公司董事会认为，公司内部控制体系基本健全，未发现对公司治理、经营、管理及发展有重大影响之缺陷及异常事项。公司现有的内部控制已覆盖了公司运营的各层面和各环节，形成了规范的管理体系，能够预防和及时发现、纠正公司运营过程可能出现的重要错误和舞弊，保护公司资产的安全和完整，保证会计记录和会计信息的真实性、准确性和及时性，在完整性、合理性及有效性方面不存在重大缺陷。公司在不断修订完善体系建设的同时也将增强内控执行力。 梅花集梅花集团2012年内控自我年内控自我评价价报告与告与审计报告告大华会计师事务所审计意见我们认为，梅花集团按照内部会计控制规范-基本规范（试行）和相关规定于2012年12月31日在所有重大方面保持了与财务报表相关的有效的内部控制。 梅花集梅花集团2012年社会年社会责任任报告告认真履行信息披露义务，维护投资者权益重视职工权益保护，提高公司凝聚力和战斗力保护客户和供应商权益积极参与环境保护与可持续发展继续履行社会责任的计划One More Thing写在写在课程即将程即将结束之束之际感谢王立彦教授这段时间对大家的倾情付出，衷心感谢感谢各位同学这段时间的积极参与与配合