第4講 企業(yè)內部控制審計監(jiān)管相關問題 焦曉寧

上市公司內部控制建設及問題分析2012年9月1一、對內控實施的預期二、2011年內控實施情況三、內控建設存在的問題及建議四、內控審計相關問題主要內容2一、對內控實施的預期國內外主要會計作假案例例：奧林巴斯公司治理舞弊的日常防控

3一、對內控實施的預期奧林巴斯:2011年10月14日,CEO被解職;提出:董事瀆職、不當利益輸送、財務造假聘請普華進行調查的結果4一、對內控實施的預期2006至2008年三次并購：成本8億美元

2009年減記收購取得的資產557億日元，占76%2008年一次并購，成本20億美元交易中向咨詢公司支付6.87億美元另以6.2億美元自咨詢公司回購1.77億美元的優(yōu)先股5一、對內控實施的預期會計問題:90年代進行有價證券投機百慕大騙局——11億美元投資，30%分紅投資損失VS投資收益以支付交易費用掩蓋了投資失誤的事實6一、對內控實施的預期反映出的問題：公司治理的嚴重缺陷內控制度的缺失會計準則提供的利潤操縱空間成本VS市價7一、對內控實施的預期銀廣廈

不可能的產能、不可能的價格、不可能的產品3年間虛增利潤7億元46%的利潤率相對于同行業(yè)的20%出口退稅銷售對手方的情況8一、對內控實施的預期公司上市過程按照現代企業(yè)制度的系統性梳理以對投資者負責的態(tài)度管理公眾公司公司治理的要求股東會、董事會、監(jiān)事會、獨立董事的比例上市公司治理專項活動強調治理結構、恢復上市公司獨立法人資格等9一、對內控實施的預期有關案例體現的共性問題：人治大于法治治理機制缺失交易執(zhí)行過程不規(guī)范不在于形而在于神，不在于制度更在于執(zhí)行10一、對內控實施的預期治理機制缺失——獨立董事的作用監(jiān)管規(guī)定：上市公司的董事會中要有1/3以上的獨立董事。某公司董事會共有11人，其中獨立董事4人、大股東派出董事4人，其他職工代表、少數股東3人。財務和經營決策須經董事會半數以上通過。實務中在判斷控制權時對獨立董事作用的考量11內部控制的五個基本要素《基本規(guī)范》中所描述的內部控制五要素：12內部環(huán)境內部環(huán)境加強內部審計工作設立審計委員會規(guī)范公司治理結構科學化內部機構設置制定可持續(xù)發(fā)展的人力資源政策不斷提高員工素質加強企業(yè)文化建設增強全體員工法制觀念1314內部控制：內部控制體系的分類（按管理流程）公司層面控制是指那些確保管理層設在公司內部各個領域、各個業(yè)務層面的控制機制得以有效運轉的機制管理層業(yè)務流程|人力IT相關（信息系統基本控制GCC）業(yè)務流程|資產業(yè)務流程|XX業(yè)務流程|XX公司層面控制業(yè)務流程|XX業(yè)務流程|XX流程層面控制業(yè)務流程|財務14一、對內控實施的預期美國薩班斯法案的要求上市公司建立健全財務報告相關內控CEO、CFO對建立健全內控和保證有效性負責外部審計師對內控出具專項審計意見處罰措施基礎設施——最終責任人——外部鑒證15一、對內控實施的預期其他主要資本市場國家日本：評價+審計英國：管理層陳述加拿大、歐盟其他成員國——內控建設的原則性要求16一、對內控實施的預期我國上市主體實施內部控制：公司治理機制更加完善決策運行機制更加科學內部管理形成動態(tài)良性循環(huán)披露信息更加真實、完整17對內控的投入會給企業(yè)帶來的價值:同意不知道不同意優(yōu)化流程和改善內控更好地去理解企業(yè)面對的風險更好地去滿足合規(guī)要求改善財務報告職能更有效去應對轉變更有效地利用IT投資有利并購整合加強投資者對企業(yè)的信心改善資本投資的執(zhí)行情況18二、2011年內控實施情況整體要求實施范圍完成情況

19內控規(guī)范體系實施的整體要求內部控制規(guī)范體系實施是內控體系建設、內控自評、內控審計的一個不斷完善的過程。內部控制審計內部控制優(yōu)化內部控制評價成立專屬部門確定梳理范圍實施風險評估整理現有制度辨識內控環(huán)節(jié)明確管理規(guī)范記錄內控缺陷設計整改方案完善相關制度更新文檔記錄

制定內控評價辦法開展內控評價跟蹤缺陷整改編制內控評價報告

進行模擬審計提供所需證據出具管理申明出具審計報告內部控制梳理20二、2011年內控實施情況境內外同時上市公司試點公司

集團性公司的內控建設范圍——母公司及重要子公司著重財務報告內部控制21二、2011年內控實施情況完成情況境內外同時上市公司——基礎情況較好，個別存在困難試點公司——少部分公司建立健全內控，并擬進行審計相當部分公司處于形似狀態(tài)尚待后續(xù)運行、整改22二、2011年內控實施情況2011內控自評及審計情況

273家披露內控自評報告——65家披露缺陷，僅1家存在重大缺陷

214家公司發(fā)布審計報告（67家境內外+147家試點）非標意見相對較少——5家（1家否定意見）——公司和事務所兩方面的問題23三、內控建設存在的問題及建議試點公司的普遍性問題：客觀：準備時間短現行企業(yè)情況、核算狀況等引發(fā)的問題風險評估等方法帶來的執(zhí)行困難關鍵風險和控制目標的確定24國外資本市場對內控要求美國:

公司類別

管理層自評報告

審計報告

1.加速公司2006年7月15日2007年7月15國外公司(7.5億<市值<70億)

2.非加速公司2007年12月15日2008年12月15日(<7.5億)

3.新上市公司第二個年度報告第二個年度報告25國外資本市場對內控要求美國:美國在引入內控要求的過程中,自規(guī)定出臺至要求管理層出具自我評估報告平均5-6年時間;要求審計師出具與財務報告相關內部控制審計報告平均6-7年時間相當部分NASDAQ小型上市公司至今也未明確要求26三、內控建設存在的問題及建議除境內外同時上市公司外，試點公司自行選擇是否進行內控評價及審計2012年主板公司全面實施——分層次、差別化

（1）中央和地方國有控股主板上市公司：2012

（2）非國有控股主板公司、市值50億以上，前三年平均利潤3000萬以上：2013（3）其他：201427三、內控建設存在的問題及建議（4）特殊情況

破產重整、借殼上市或重大資產重組：交易完成后下一年、不早于前三項時間要求

新上市主板：上市下一年度，不早于前三項時間要求28三、內控建設存在的問題及建議(一)對內控的理解和重視程度內控的實施會限制管理層權力內控的實施僅為滿足監(jiān)管要求內控的實施是制度的完善過程內控的實施降低企業(yè)運行效率29三、內控建設存在的問題及建議思想認識不統一，內生動力不足

公司領導——合規(guī)VS管理提升運動VS持續(xù)工作

中層——抵觸

每一位員工——切身利益關注：內控文化是根本30三、內控建設存在的問題及建議內控實施的責任主體：——董事會對內控的建立和實施負責美國薩班斯法案——CEO、CFO對內控負責罰款及刑事責任31三、內控建設存在的問題及建議一把手工程體現在：自身認識程度身體力行的推動解決阻力的決心和魄力32三、內控建設存在的問題及建議(二)如何確定內控建設的路徑國外對內控要求基本上圍繞財務報告內部控制內控建設的復雜性和周期我國企業(yè)內控現狀——初期建設以財務報告內控為切入點33資產負債表

資產

負債貨幣資金短期借款交易性金融資產應付賬款應收賬款應交稅費固定資產長期借款長期投資負債總計

無形資產

所有者權益資產總計負債與權益總計

34三、內控存在的問題及建議資本市場實施重點圍繞改進和提高財務信息質量

管理層自我評價——與財務報告相關的內控

外部會計師審計——與財務報告相關的內控公司可以決定在條件允許的情況下，建立健全全面內控35從財務報告內部控制到全面風險管理針對財務報告錯報風險為切入點，確認相關的內部控制在財務報告內部控制工作的基礎上，把概念應用到其他領域，但需要調解工作的細節(jié)程度財務報告

目標其他風險

事項風險事項風險事項業(yè)務流程其他風險財務報告

錯報風險其他風險業(yè)務流程其他目標其他目標控制控制其他風險業(yè)務流程控制36三、內控建設存在的問題及建議財務報告內控并不等同于財務部門內控：內控體系與會計控制的差別內控體系建立中涉及流程梳理的難度財務部門的局限性37涉及主要交易的發(fā)起、授權、處理以及最終在財務報表中的披露過程中各環(huán)節(jié)的主要內部控制業(yè)務系統核心業(yè)務活動銷售與收款財務核算系統貨幣資金財務報告內部控制財務報告內部控制資金管理……主營業(yè)務收入應收賬款壞賬準備……內部控制內部控制3839自上而下的方法：財務報告控制的風險評估39三、內控建設存在的問題及建議（三）集團性企業(yè)內控建設范圍的選擇從合并財務報表角度選擇重要子公司納入建設范圍的公司按照風險評估的結果，選擇重要領域業(yè)務同質性與差異的考慮——是否允許子公司作差異化調整——管理實踐與內控的契合40三、內控建設存在的問題及建議（四）對內控建設中方法的理解

風險評估基礎上內控體系的搭建技術性方法與管理理念的融合技術性方法的淺白化問題內控建設要形成的成果4142風險評估.設定控制目標.收集相關信息.識別風險.風險分析.確定風險承受度.風險應對策略.持續(xù)評估風險規(guī)避、風險降低、風險分擔、風險承受整體風險承受能力業(yè)務層面可接受風險水平內部信息外部信息內部風險：人力資源、管理、自主創(chuàng)新、財務、安全環(huán)保、其他外部信息：經濟、法律、社會、科學技術、自然、其他定性與定量相結合，按照風險發(fā)生的可能性及其影響程度對識別的風險進行分析和排序，確定關注重點和風險優(yōu)先級結合企業(yè)發(fā)展不同階段，持續(xù)收集相關信息，進行風險識別和風險分析，及時調整風險應對策略根據企業(yè)實際情況設定具體控制目標42內控建設體現的成果制度性文件操作性文件（實施細則）綱領性文件流程文件/內部控制文檔明確管理組織架構、職能、策略、目標與愿景等。規(guī)定某項業(yè)務工作的目標、方向、原則等，是制定流程及操作性文件的基礎和依據。包括但不限于適用范圍、編制依據、主要應對風險、職責分工、政策與要求等。流程文件屬于制度體系的第三層級文件，是依據基本制度建立的管理文件，在流程層面規(guī)定制度文件如何得以執(zhí)行。包括但不限于管理要求、實施方案、應對風險及控制措施等。操作性文件是依據流程文件編制的、指導具體操作的管理文件，詳細描述流程層面的具體工作如何開展并符合流程要求，涉及日常管理活動。企業(yè)管理制度體系43三、內控建設存在的問題及建議內控建設要形成何種成果？內控手冊流程圖風險地圖風險控制矩陣——沒有統一要求，反映內控過程，便于理解和執(zhí)行44內控梳理對標

控制活動編寫的原則：4W+1HWHO:哪個崗位執(zhí)行控制活動

WHEN:該控制活動發(fā)生的時間或頻率

WHERE:該控制活動發(fā)生的地點

WHAT:根據什么進行控制－如制度、單據、報告、電子郵件、系統數據等

HOW:控制活動的具體內容是如何？如何操作？從監(jiān)管角度不要求內控文檔為何種形式內控梳理對標內控整改固化內控評價內控審計內控文本成立專屬部門確定梳理范圍實施風險評估整理現有制度辨識內控環(huán)節(jié)對標管理規(guī)范45三、內控建設存在的問題及建議企業(yè)實務情況：針對制度的制度內控手冊

一站式崗位職責及操作指南46三、內控建設存在的問題及建議（五）人才的缺乏成為瓶頸綜合性人才——整體運營、業(yè)務流程風險、內控知識財務部內審部合規(guī)部47內部控制評價人員所需的知識技能48內控咨詢服務機構的選用是否選擇內控咨詢服務機構需考慮：公司管理層對內控工作的重視程度公司管理水平及文化氛圍公司規(guī)模及業(yè)務復雜程度、管理方式集中或分散程度公司內部控制體系建設的基礎公司相關部門的內控相關專業(yè)知識及水平公司內部控制體系建設的整體規(guī)劃及目標內控咨詢機構只能起到輔助作用，上市公司應避免過分依賴咨詢公司49內控咨詢服務的范圍及性質內控咨詢服務包括內控建設及評價兩個方面梳理內控流程，識別內控設計缺陷編寫內部控制相關文檔記錄（如內部控制手冊）完成內部控制有效性測試協助整改，包括協助制定整改方案協助出具內部控制有效性報告內控相關培訓審閱內部控制相關文檔記錄并提出修改建議不同的服務范圍及性質對咨詢機構的資源投入要求不同，對上市公司提供的輔助程度也不相同50三、內控建設存在的問題及建議關注咨詢中介機構的執(zhí)業(yè)素質：四大會計師事務所國內其他會計師事務所管理咨詢機構IT公司51三、內控建設存在的問題及建議(六)規(guī)范與管理的結合程度不夠部分企業(yè)簡單按照18項指引完善自身制度是否制度中有指引的要求即是健全有效？財政部與證監(jiān)會要求：指引僅為參考要結合企業(yè)實際監(jiān)管中將著重考慮內控建設與企業(yè)特點的問題52三、內控建設存在的問題及建議關注：風險識別不充分，執(zhí)行過于機械內控規(guī)范指引的要求——著重基本規(guī)范企業(yè)自身管理特點與行業(yè)特性鼓勵企業(yè)結合實際增減

53三、內控建設存在的問題及建議(七)組織機構的設置董事會下設機構專職推動機構業(yè)務部門54公司各級治理機構及管理層部門部門部門公司各部門內部控制體系建設實施的組織及協調部門或機構成立專門的內部控制管理委員會由公司副總級別領導分管內部控制工作或成立專門的內部控制管理部門及/或由適當的部門牽頭負責內部控制工作設立專門的內部控制工作崗或由適當的崗位兼任內部控制工作崗企業(yè)內控管理組織機構設立的方式55公司各級治理機構及管理層成立專門的內部控制管理委員會由公司副總級別領導分管內部控制工作及/或一般情況下，委員會由公司總經理、副總經理及各部門負責人組成委員會下設內控管理的常設機構，由該機構負責各項工作的組織及推廣各項工作以委員會名義向下推動，推動力較強，工作更加受到重視委員會相關工作匯報可以作為公司管理層例會的討論議題一并討論，涉及范圍更廣更易引起管理層重視

由公司副總級別領導分管內控工作，工作針對性相對更強，但也可能僅限于該副總分管的相關領域相關工作需要委派給某職能部門負責牽頭完成，推動力相對較弱相關工作匯報易被視為某部門的工作成果及工作任務而得不到其他相關部門的重視企業(yè)內控管理組織機構設立：56內部控制體系建設實施的組織及協調部門或機構或成立專門的內部控制管理部門由適當的部門牽頭負責內部控制工作

部分企業(yè)為內部控制管理職能單獨成立“內部控制管理部”

部分企業(yè)將內部控制管理職能與其他職能相融合，成立如“內控稽核部”、“內控合規(guī)部”、“風險與內控部”等，其他職能包括稽核、合規(guī)、風險管理等專職部門負責內控工作內容更加明確管理層可能從投入資源、整體工作量、勝任能力等各方面考慮，將內控建設的組織及協調工作委派給適當的部門一般情況下企業(yè)選擇的適當部門包括：財務部風險管理部審計部企業(yè)內控管理組織機構設立：57內審職能主導內部控制實施企業(yè)內控管理組織機構設立：58三、內控建設存在的問題及建議（八）有關配套措施不完備，缺乏長遠目標必要的激勵約束機制內控建設的階段性任務

59企業(yè)內控工作建設路線圖現狀調研風險評估內控體系設計宣貫推廣內控管理平臺建設內控體系完善相關業(yè)務管理的完善內控促進管理內控體系的持續(xù)改進相關業(yè)務管理的持續(xù)改進內控融入管理

公司內控體系建設劃分為內控基礎建設、內控促進管理、內控融入管理三個階段。內控基礎建設60企業(yè)開展內控工作的階段劃分61三、內控建設存在的問題及建議建立內控的長效機制控制體系的簡化管理與效率的提升持續(xù)優(yōu)化——實現適時、適度的控制62三、內控建設存在的問題及建議（九）內控與信息系統的結合程度不夠手工VS系統化內控體系在信息系統中的固化一定程度上避免兩張皮63三、內控建設存在的問題及建議（十）對內控自我評價工作重視不夠缺乏有效的評價辦法董事會對自身責任認識不夠過于依賴中介機構的服務