1

公司治理与内部控制 — 《企业内部控制基本规范》解读

郭晋龙

国家会计学院教授

信永中和会计师事务所合伙人

本人简介本人简介

一、 信永中和事务所合伙人 * 境内网络 : 北京 -- 上海—深圳—成都 - 长沙 - 广州 - 昆明 — 西安—青岛—济南 -- 天津 - 大连 - 长春 * 境外网络 : 香港—新加坡—东京—墨尔本 合计 :3000 人 , 其中合伙人 125 人

二、大学教授 1. 国家会计学院 2. 中山大学管理学院

三、上市公司审计委员会主席

主 板 : 天虹股份 中 小 板 : 拓日新能源

189-2528-0656 新浪微博： @ 深圳郭晋龙

入狱富豪

引子：为什么重视公司治理与内部控制？引子：为什么重视公司治理与内部控制？

黄光裕国美电器前主席身家 430亿元

郭建新光彩事业促进会前理事身家 100亿元

杨斌  香港欧亚董事局主席身家 75亿元

仰融  香港圆通科技董事长

70亿元

周正毅  农凯集团法定代表

30亿元

顾雏军   科龙电器前董事长 

20亿元

唐万新  德隆国际投资总裁

20亿元

牟其中  南德集团前董事长 

20亿元

张海 健力宝原董事长兼总裁 

10亿元

周毅民  明星电力原董事长

10亿元

大江东去，浪淘尽，千古风流人物……

黄光裕：如何面对公司治理风险？黄光裕：如何面对公司治理风险？

1.个人简历 1）国美电器董事会前主席 2 ） 2008年以 430亿元财富第三次当上胡润版“中国首富” 

2. 投资项目1）国美电器：最大家电零售企业2）成立国美置业投资房地产

3.风险启示： 2010 年 5 月 18日，法院认定黄光裕犯非法经营罪、内幕交易罪、单位行贿罪 

郭建新：光彩事业的跋涉者郭建新：光彩事业的跋涉者

1.个人简历 1）中国光彩事业促进会前理事， 2）个人财富估值 100亿元

2.投资项目    改造盐碱地荒漠化改造项目

3.风险管理启示 1)资金链断裂 2)合同纠纷

杨斌： “企业黑马”的政治梦杨斌： “企业黑马”的政治梦

• 香港欧亚农业股份有限    公司前董事局主席，个    人财富估值 75亿元。

• 　当年他被喻为中国的  “企业黑马”，后因金融诈      骗等六项罪名被判入狱，   人生起起伏伏，变化无常。

仰融：掌控六家上市公司的华晨帝国仰融：掌控六家上市公司的华晨帝国

•                                                           香港圆通科技董事长、

•                                                                     香港华博财务有限公司

•                                                                     总经理，个人财富估值  • • 70亿元。他一手缔造了

•                                                                     一个资产规模达 200亿元、 •                                                                    旗下掌控六家上市公司

•                                                                     的华晨帝国。　　

周正毅：梦碎上海滩！！周正毅：梦碎上海滩！！

1.个人简历1）前上海地产控股有限公司主席2）原农凯集团公司董事长 

2.投资项目大多数的业务都在上海，包括农业、房地产、高速公路、贸易以及金融 

3. 2003年因涉嫌虚报注册资本罪和操纵证券交易价格被捕 

顾雏军：科龙电器的并购梦顾雏军：科龙电器的并购梦

1.个人简历1）原科龙电器董事长 2）身家 20亿

2.投资项目收购科龙电器 (000921)

3.2008年法院一审判虚报注册资本罪、犯违规披露、不披露重要信息罪、犯挪用资金罪 

唐万新：现金流难倒英雄汉！唐万新：现金流难倒英雄汉！

1.个人简历1）德隆国际投资控股有限责任公司总裁 

2.投资项目为三只“招牌股”控盘坐庄 

3.2006年以非法吸收公众存款罪、操纵证券交易价格罪被判刑 

牟其中：南德集团的不归路？牟其中：南德集团的不归路？1.个人简历 南德集团前董事长 

2.投资项目航向系列卫星 

3.信用证诈骗罪 

张海：健力宝辉煌不再！张海：健力宝辉煌不再！

1.个人简介健力宝原总裁 2.投资项目1）以浙国投名义“闪电收购”健力宝2）掌管深圳健力宝足球队 

3.因职务侵占罪 与挪用资金罪获刑 

1.1 公司治理的涵义

  1.2 公司治理的起因与实质

  1.3 公司治理的历史沿革

  1.4 公司治理的制度安排

  1.5 公司治理的世界难题

壹、 公司治理的基本理念壹、 公司治理的基本理念

1.1 公司治理的涵义1.1 公司治理的涵义（一）内部治理 1. 狭义： 主要指股东、董事与经理层之间的相互制衡机制； 1) 大股东与中小股东之间的利益冲突 ; 2) 股东会与董事会之间的利益冲突 ; 3) 董事会与经理层之间的利益冲突 ; 4) 经理层同级之间与上下级之间的利益冲突。 2. 广义： 还包括公司与员工、客户、供应商、债权人和社会公众及其政府

之间的利益与冲突协调机制。

（二）外部治理 1. 法律法规 2. 社会团体 3. 媒体舆论 4. 外部审计 5. 市场制衡 6. 政府管制

15

公司治理结构的国际模式公司治理结构的国际模式公司治理结构的国际模式公司治理结构的国际模式

股东

股东会

董事会

董事会专委会

总经理及管理层

美英模式

股东

股东会

监事会

董事会

董事会专委会

德国模式

总经理及管理层

股东会

总经理

董事会 监事会

管理层

中日模式

股东

1.2 公司治理的起因与实质1.2 公司治理的起因与实质     委托代理关系是治理的起因，其目的是以较小的代理成本获取较大的代理收益 ,实现资本的安全和增值 .

（一）委托代理关系自身存在的问题 1. 利益不相同—逆向选择 1) 委托人 : 股东利益最大化 2)代理人 :报酬 /闲暇时间 /价值抱负 /舞台 2.责任不对等 ---代理人偷懒 1) 委托人 : 出资责任 风险承担 利润享有 2)代理人 : 代理责任 报酬获取 3. 信息不对称 ---投机撒谎 4.契约不完全 ---道德风险

1.2 公司治理的起因与实质1.2 公司治理的起因与实质

(二 )代理成本的组成与内容

    1.选聘费用 : 中介费用与考察成本 

    2.监督成本 : 信息成本与执行成本

    3.激励成本 : 工薪报酬与业绩奖励

    4.职务消费 : 正当消费与不当消费

    5.损害成本 : 由于道德风险和逆向选择导致

如何防范职业经理人道德风险？ 如何防范职业经理人道德风险？

如何防范职业经理人道德风险？ -从七个人分粥的民间故事谈起如何防范职业经理人道德风险？ -从七个人分粥的民间故事谈起

A.自行外购制—外购耽误工作 影响赚钱 业务效率风险B.职业代理制 --贪污盗窃 偷工减料 委托代理风险 C.产品外包制 --- 1. 专人负责制：自己碗里盛得最多 --道德风险 2.七人轮流制 : 每个人都有为自己多分粥的机会 -- 制度风险 3.民主选举制 : 高尚的人也需要监督 -- 控制风险 4. 三会制约制 : 现代治理需付出成本代价 -- 成本风险 5. 风险承担制 : 轮流分粥 分粥者后取 --技术风险

1.3 公司治理的历史沿革1.3 公司治理的历史沿革    经理中心—股东中心—董事中心 ( 一 ) 经理中心主义 1. 股东直接参与管理 2.减少监督与激励成本 3.可能损害其他股东利益 ( 二 ) 股东中心主义 1.防止代理人机会主义 2.保障所有股东的权益 3. 股东监管成本过高 4.导致股东搭便车行为

( 三 ) 董事中心主义 1.提高经营决策效率 2.节约股东监管成本 3. 小股东利益难以保障 4.需要对内部董事制衡

1.4 公司治理的制度安排1.4 公司治理的制度安排

1. 三会制衡制度 2.独立董事制度

3. 法定代表人制度 4. 内部控制制度

5.预算管理制度 6. 业绩考核制度

7.激励约束制度 8. 内部审计制度

9.独立审计制度 10. 信息披露制度

1.5 世界性公司治理的难题？1.5 世界性公司治理的难题？

1.CEO 能真正代表股东和公司利益吗？ CEO=Chief Executive Officer （首席执行官）？ CEO=Corporate Embezzlement Officer （公司贪污官）

！

2.CFO 能制约管理层舞弊吗？• CFO=Chief Financial Officer (首席财务官）？• CFO=Chief Fraud Officer (首席舞弊官）！

3.CPA 审计制度能维护公众利益吗？ CPA=Certified Public Accountant (注册会计师） ?• CPA=Cheating Public Accountant (欺骗公众会计师）！

4.ID 制度能解决大股东不当行为吗 ?• ID=Independent Director （独立董事）？• ID=Indifferent Director (麻木不仁的董事）！

公司治理难题：两则会计的故事 公司治理难题：两则会计的故事 1.谁适宜做国家元首？ 美国元首观点 : 律 师 ---- 三权分立 /依法治国

马来西亚元首观点 : 医 师 ---- 对症下药 /虚实结合

中国总理观点 : 会计师 ---资源配置 ---财富分配 --- 信息提供

公司治理难题：两则会计的故事公司治理难题：两则会计的故事 2. 上市公司如何招聘财务总监？ A ： 中小板公司应聘： 1+1=2

B ：创业板公司应聘 1+1 大于 2

C ：主板已上市应聘 1+1等于N?

1.6 中国的内控法律规范1.6 中国的内控法律规范

中国人民银行《加强金融机构内部控制的指导原则》

2010

2007

2006

1997

保监会《寿险公司内部控制评价办法（试行）》

上海证券交易所《上市公司内部控制指引》深圳证券交易所《上市公司内部控制指引》

国资委《中央企业全面风险管理指引》

银监会《商业银行内部控制指引》

国资委《中央企业财务内部控制评价工作内部指引》深圳证券交易所《中小企业板上市公司内部审计工作指引》

2008

五部委（财政部、证监会、保监会、银监会、审计署）《企业内部控制基本规范》

《企业内部控制评价指引》具体规范了内控评价的内容和标准，评价的程序和方法，内控缺陷的认定，以及规定了评价报告的相关内容。《企业内部控制应用指引》具体提出 21个具体流程的应用指引。在每个具体流程中规定了该指引的目的，相关定义，该流程的主要风险，岗位分工及授权批准，及主要流程的控制程序。《企业内部控制审计指引》为指导注册会计师执行内部控制鉴证业务的具体指引。

1.6 中国的内控法律规范1.6 中国的内控法律规范

企业内部控制基本规范

企业内部控制评价指引企业内部控制应用指引企业内部控制审计指引）

上市公司内控指引• 上交所内控指引• 深交所内控指引

行业内控指引•商业银行内控指引•证券公司内控指引•寿险公司内部控制   评价办法

行业监管机构

财政部出台的《企业内部控制基本规范》，为企业提供了完整和公认的内部控制框架，同时以法规的形式要求上市公司对本公司内部控制的有效性进行自我评价。

证券交易所、行业监管机构均出台了一系列的内部控制指引，为企业建立和实施内部控制制度提供行业性指引。

证券交易所

中央企业全面风险管理指引

内部控制规范与指引

内部控制基本规范

内部控制应用指引

内部控制评价指引

内部控制审计指引

指导对象是企业 体系建设的指导文件 涉及经营管理各个循环

指导对象是注册会计师 内控审计的指导文件

指导对象是企业 体系评价的指导性文件

一个规范加三个指引：

企业内部控制应用指引

资金

采购

存货

销售

工程项目

固定资产

无形资产

投资

筹资

预算

成本费用

担保

合同协议

业务外包

企业内部控制基本规范

对子公司控制

财务报告

人力资源

信息系统

衍生工具

企业并购

关联交易

内部审计

发展战略

社会责任

组织架构

企业文化

资产

研发

内部报告

预计全部将超过 50项

企业内部控制评价指引 企业内部控制审计指引

1.6 中国的内控法律规范1.6 中国的内控法律规范

1.6 中国内控法律规范：内部控制应用指引1.6 中国内控法律规范：内部控制应用指引

从管理学角度对应用指引体系的解读使命愿景

价值观

战略

组织 人员 业务与流程 信息

4 号—社会责任 5 号—企业文化

2 号——发展战略

1 号——组织架构 3 号——人力资源6 号—金活动7 号—采购业务8 号—资产管理9 号—销售业务10 号—研究与开发11 号—工程项目12 号—担保业务13 号—业务外包15 号—全面预算16 号—合同管理

14 号—财务报告17 号—内部信息传递18 号—信息系统

贰、 《企业内部控制基本规范》解读贰、 《企业内部控制基本规范》解读

一、内部控制规范的基本理念

二、内部控制的五大要素 : 1. 内控环境

2. 风险评估

3. 控制活动

4. 信息与沟通

5. 内部监督

一、内部控制规范的基本理念一、内部控制规范的基本理念

1.1 内部控制规范的宗旨依据

1.2 内部控制的概念

1.3 内部控制的目标

1.4 内部控制的五大原则

1.5 内部控制的五大要素

1.1 内部控制规范的宗旨、依据 1.1 内部控制规范的宗旨、依据

宗旨依据 1.宗旨： 1 ）为了加强和规范企业内部控制； 2 ）提高企业经营管理水平和风险防范能力； 3 ）促进企业可持续发展； 4 ）维护市场经济秩序和社会公众利益；

2.依据： 1 ）《公司法》； 2 ）《证券法》； 3 ）《会计法》； 4 ） 其他有关法律法规。

1.2 内部控制的概念与目标 1.2 内部控制的概念与目标

概念：

董事会、监事会、经理层和全体员工实施的，旨在实现控制目标的过

程

合规目标 : 合理保证经营管理合法合规资产目标 : 保证资产安全

报告目标 : 财务报告及相关信息真实完整

经营目标 :提高经营效率和效果

战略目标 : 促进企业实现发展战略

五大目标

内部控制四种目标之间关系示意图

企业使命企业使命

战略目标战略目标

报告目标报告目标合规目标合规目标经营目标经营目标

体现

分解

前提保证成果展示

资产安全资产安全

内部控制五项目标的关系

内部控制的三个层级与控制目标

责任方

治理层（董事会、监事会等）

经理层、中级管理层

操作管理层和工作员工

目的 控制目标战略制定 战略目

标分解

战略实施经营目标

报告目标

合规目标

控制的三个层级与控制目标

资产目标

战略

战略制定

战略实施

战略控制战略控制

会计控制会计控制 合规控制合规控制

经营控制经营控制

主体

起点

基础 保障

内部控制

内控三个层级的关系图

注： ISO31000强调：风险管理应与组织的治理结构完全整合，在所有决策中应用风险管理

内部控制目标的演变

- 实物牵制- 薄记牵制

COSO内部控制整体框架

萨班斯法案

内控评价内部审计

进展

30年代前　　 30－ 70年代　　　　 80－ 90年代　　　 1992年　　　　 2002年 2004年

内部牵制

内部控制结构完善

- 控制环境- 会计系统- 控制程序

- 控制环境- 风险评估- 控制活动- 信息沟通- 持续监控

- 建立内控- 数据准确一致- 内控可靠性

法律责任

广义内控

审计准则公告 COSO内控证券交易法双人记账2002年公众公司

会计改革和投资者保护法

COSO风险管理框架

COSO风险框架

推荐：内部控制框架与风险管理框架推荐：内部控制框架与风险管理框架

内部控制目标的演变

COSO 的内控框架

控制环境

风险评估

控制活动

信息和沟通

监控

经营 务财

规合

单位1

单位2单位3

单位4

控制要素

三项控制目标

COSO 风险管理框架

五项

银行

四项控制目标

管理要素

八项 目标设定

事项识别

内部环境

风险评估

风险反应控制活动

信息沟通

监督

1.2 内部控制的概念与目标1.2 内部控制的概念与目标

1993 年 COSO报告－《内部控制框架>:2003 年 COSO报告—《风险管理框架》 :将内部控制 定义为 : 由一个实体的董事会、管理层及其他人员实施的一个流程用于提供实现下列目标提供合理的保证：

• 营运的效果和效率 • 资产的安全完整• 财务报表的可靠• 相关法令的遵循• 战略规划的实施

www.coso.org

1.3 内部控制概念的误区与理解1.3 内部控制概念的误区与理解

《企业内部控制基本规范》第 3条•     定义： 由企业董事会、监事会、经理层和全体员工实施

的、旨在实现控制目标的过程。 1. 内部控制概念的误区• 误区 1：内部控制 =内部控制制度•   误区 2：内控仅是管理层控制 ,与治理层及员工无关 •  误区 3：内部控制在中国不符合成本效益原则•  误区 4：内控差全是控制环境差、人员素质低所致• 误区 5：巴林、安然、雷曼、通用破产说明内控无用•  误区 6：企业治理层及管理层都应是内控专家•  误区 7：内部控制仅由采购与付款、销售与收款、仓储与•            存货、生产、投资与融资、货币资金等循环构成•  误区 8：内部控制是企业自身的事，与政府无关• 误区 9：内部控制仅是内部会计控制，应由财务部门负责

1.3 内部控制概念的误区与理解1.3 内部控制概念的误区与理解

2. 内部控制概念的正确理解 内部控制是一种管理工具和管理方法 内部控制是一个体系 内部控制是一个动态管理过程和持续创新过程 内部控制是持续不断的控制活动 内部控制是平衡和规范部门及岗位权责的工具 内部控制是企业各项管理活动的总和

内部控制是管理活动的“落地行为”

1.4 内部控制五大原则 1.4 内部控制五大原则

成本效益原则

适应性原则

制衡性原则

重要性原则

全面性原则 内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。

内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。

内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。

内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。

1.5 内部控制的五大要素1.5 内部控制的五大要素

4. 信息与沟通

3. 控制活动

2. 风险评估

1. 内部环境

5. 内部监督

内部环境：是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

风险评估：是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。

控制活动：是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。

信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

内部控制框架

内部环境 风险评估 控制活动 信息与沟通 内部监督

职业道德

员工胜任能力

管理理念经营风格

董事会 /审计委员会组织结构

权利和责任的分配

人力资源政策

目标设定

事项识别

风险评估

风险反应

制度与程序

整体控制

作业层级控制

关键环节控制

信息系统

有效沟通

持续监控

独立评估

信息披露

信息系统控制

缺陷报告

八要素，将五要素中的风险评估拆分为四项：目标设定事项识别风险评估风险反应

1.5 内部控制的五大要素

1.5 内部控制五大要素 1.5 内部控制五大要素

控制

47

二、内控五大要素之一：内部环境二、内控五大要素之一：内部环境 1. 治理结构规范运行

2. 相关层级责任明确

3. 审计委员会职责

4. 机构设置与权责分配的知情

5. 内部审计机构设置

6. 人力资源政策

7. 企业文化建设 8. 法治观念与规则意识

2.1 治理结构规范运行2.1 治理结构规范运行

基本要求      要求 : 企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。 1. 股东会享有法律法规和企业章程规定的合法权利，依法行使企业经营方针、筹资、投资、利润分配等重大事项的表决权。

2. 董事会对股东会负责，依法行使企业的经营决策权。

3. 监事会对股东会负责，监督企业董事、经理和其他高级管理人员依法履行职责。   4. 经理层负责组织实施股东会、董事会决议事项，主持企业的生产经营管理工作。

2.2 相关层级责任明确2.2 相关层级责任明确

基本要求 1. 董事会负责内部控制的建立健全和有效实施。

2. 监事会对董事会建立与实施内部控制进行监督。

3. 经理层负责组织领导企业内部控制的日常运行。

4. 企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。

2.3 审计委员会职责 2.3 审计委员会职责

基本要求 1. 企业应当在董事会下设立审计委员会。

2. 审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。

3. 审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。

2.4 机构设置与权责分配的知情 2.4 机构设置与权责分配的知情

基本要求1. 企业应当结合业务特点和内部控制要求设置内部机构 ;

2. 明确职责权限，将权利与责任落实到各责任单位。

3. 企业应当通过编制内部管理手册，使全体员工掌握内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。

2.5 内部审计机构设置2.5 内部审计机构设置

第十五条 1. 企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。

2. 内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。

3. 内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；

4. 对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。

2.6 人力资源政策 2.6 人力资源政策

员工的聘用、培训、辞退与辞职。

员工的薪酬、考核、晋升与奖惩。

关键岗位员工的强制休假制度和定期岗位轮换制度。

掌握国家秘密或重要商业秘密的员工离岗的限制性规定。

有关人力资源管理的其他政策。

人力资源政策

企业应当制定和实施有利于企业可持续发展的人力资源政策。

2.7 企业文化建设 2.7 企业文化建设

基本要求 1, 企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识。

2. 董事、监事、经理及其他高级管理人员应当在企业文化建设中发挥主导作用。

3. 企业员工应当遵守员工行为守则，认真履行岗位职责。

2.8 法制观念与规则意识2.8 法制观念与规则意识

基本要求 1. 企业应当加强法制教育，增强董事、监事、经理及其他高级管理人员和员工的法制观念 ;

2.严格依法决策、依法办事、依法监督 ;

3. 建立健全法律顾问制度 ;

4. 重大法律纠纷案件备案制度。

三、内控五大要素之二： 风险评估 三、内控五大要素之二： 风险评估

3.1 风险评估的原则

3.2 风险评估应注意事项

3.3 内部风险关注因素

3.4 外部风险关注因素

3.5 风险应对策略的原则

3.6 风险应对的四大策略

3.1 风险评估的原则3.1 风险评估的原则

基本要求 企业应当根据设定的控制目标，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估。

1.目标性

2.全面性

3.系统性

4.适当性

5. 及时性

3.2 风险评估注意事项3.2 风险评估注意事项

风险种类1. 风险种类 : 企业开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。 1) 内部风险

2) 外部风险

2. 风险承受度 :风险承受度是企业能够承担的风险限度，包括 : 1)整体风险承受能力

2) 业务层面的可接受风险水平

3.3 内部风险关注因素 3.3 内部风险关注因素

2.组织机构、经营方式、资产管理、业务流程等管理因素。

3.研究开发、技术投入、信息技术运用等自主创新因素。

4.财务状况、经营成果、现金流量等财务因素。

5.营运安全、员工健康、环境保护等安全环保因素。

6. 其他有关内部风险因素。

企业识别内部风险，应当关注下列因素：企业识别内部风险，应当关注下列因素：

1. 董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素。

3.4 外部风险关注因素 3.4 外部风险关注因素

2. 法律法规、监管要求等法律因素。

3. 安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素。

4.技术进步、工艺改进等科学技术因素。

5.自然灾害、环境状况等自然环境因素。

6. 其他有关外部风险因素。

企业识别外部风险，应当关注下列因素：企业识别外部风险，应当关注下列因素：

1. 经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素。

3.4 风险评估的方法 3.4 风险评估的方法

评估方法

1. 企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。 1)定性评估 2)定量评估

2. 企业进行风险分析，应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性。 1) 专业性 2)程序性 3)准确性

3.5 风险应对策略的原则3.5 风险应对策略的原则

第二十五条 企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。

1. 合理性： 企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，

2.适当性： 采取适当的控制措施，

3. 客观性 避免因个人风险偏好给企业经营带来重大损失。

3.6 风险应对四大策略 3.6 风险应对四大策略

1. 风险规避

2. 风险降低

3. 风险分担

4. 风险承受

企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。

企业在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。

企业准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。

企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。

3.6 风险应对策略之一：规避策略(Avoid)3.6 风险应对策略之一：规避策略(Avoid)

就是不作为 ,选择以放弃、停止或拒绝等方式，回避风险发生的影响。 1.剥夺 (Divest) 2.禁止 (Prohibit) 3. 制止 (stop) 4.改变 (change)

适合的条件 : 1.某种特定风险的损失概率和损失程度相当大

2. 应用其他风险处理技术的成本超过收益

3. 能避免采取规避策略产生新的风险

3.6 风险应对策略之二：降低策略Disperse3.6 风险应对策略之二：降低策略Disperse

1.目的 1)降低可能性      2)降低损失额 3)降低发生频率

   2.策略 1)预防性控制—源头控制         2)检查性控制  ---过程控制        3)纠正性控制 –事后控制          4)指导性控制—过程控制     5)补偿性控制—事后控制  

3.6 风险应对策略之三：风险分担策略3.6 风险应对策略之三：风险分担策略

通过契约、合同、经济、金融工具等形式将损失的经济风险和法律风险转嫁给他人，达到降低风险发生频率、缩小损失幅度的目的。 1.交易型转移 : 1) 业务外包 : --将风险较大业务转移给非保险业的其他人 2)资产租赁 : --将自己无力经营的资产租赁给别人 3)资产出售 : --通过契约将资产相关的风险转移给他人 4)售后回租 : --避免市场和资金风险的集合策略

2.财务契约型转移 - 1)保证 ： 2) 再保证 : 3)套期 : 4)证券化 : 5) 股份化 :

3.保险型风险转移 : 保险索赔

3.6 风险应对策略之四：风险承受策略3.6 风险应对策略之四：风险承受策略

也称风险保留策略 (Retain)

1.适用条件 : 1)自身可以安全承担 2)处置风险的成本大于承担风险的成本 3) 不可能转移给别人 4)无其他途径处置风险

2. 基本策略 主动接受与被动接受 . 1)接受 (Accept): 将损失由收入弥补 2) 重新定价（ Reprice ） 3)自我保险（ Self insure ） -- 4)抵消（ Offset ） ---提取损失准备

小偷行业的风险控制：《窃贼的历史》小偷行业的风险控制：《窃贼的历史》

1. 同业不竞争 --执业范围限制 2. 业务流程化 掩护 -实施 -转移 3.惩罚晋升机制 -游戏规则的严格 4. 风险控制策略 1 ）偷风不偷月 2 ）偷雨不偷雪 3 ）偷官不偷民 4 ）偷富不偷贫

四、内控五大要素之三： 控制活动 四、内控五大要素之三： 控制活动

4.0 控制活动的方法与措施 4.1 不相容职务分离 4.2 授权审批控制 4.3 会计系统控制 4.4 财产保护控制 4.5 预算控制 4.6 运营分析控制 4.7 绩效考评控制 4.8 业绩事项控制 4.9 预警应急控制

4.0 控制活动的方法与措施4.0 控制活动的方法与措施

基本方法 一、控制活动的方法

企业应当结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受度之内。   1.手工控制

2.自动控制

3.预防性控制

4.发现性控制

4.0 控制活动的方法与措施4.0 控制活动的方法与措施

具体措施 二、控制活动的具体方法与措施

1. 不相容职务分离控制

2. 授权审批控制

3. 会计系统控制

4.财产保护控制

5.预算控制

6.运营分析控制

7.绩效考评控制等

4.1 不相容职务分离控制4.1 不相容职务分离控制

哪些职务要分离？ 不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。1. 授权与执行职务2.执行与审核职务3.执行与记录职务4.保管与记录职务5.执行与保管职务6.执行与审批职务

研讨：三权分立适合中国国情吗？ 赞成：任仲夷 蒋经国 马英九

4.2 授权审批控制4.2 授权审批控制

授权的种类 授权审批控制要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。

1.常规授权 常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权；企业应当编制常规授权的权限指引。

2.特别授权 是指企业在特殊情况、特定条件下进行的授权。规范特别授权的范围、权限、程序和责任，严格控制特别授权。 3. 一般要求

1 ）各级管理人员应当在授权范围内行使职权和承担责任。 2 ）对于重大的业务和事项，应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。

4.3 会计系统控制4.3 会计系统控制

基本要求 1. 合规与真实 会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。 2. 专业与胜任 企业应当依法设置会计机构，配备会计从业人员。从事会计工作的人员，必须取得会计从业资格证书。会计机构负责人应当具备会计师以上专业技术职务资格。

3.适当与精简 大中型企业应当设置总会计师。设置总会计师的企业，不得设置与其职权重叠的副职。

4.3 会计信息系统：有效性标准？4.3 会计信息系统：有效性标准？

能够提供市场信息

能够分析成本结构

有价值的财务报告系统

具有对外报告功能

能够与绩效系统衔接

符合成本—效益原则

4.3 会计信息系统：作用与功能？ 4.3 会计信息系统：作用与功能？

• 公• 司• 治• 理• 层• 面

•                                                        支持

•

支持• 公• 司• 管• 理• 层• 面

提高董事会的有效性

履行对利益相关者

的责任

服务投资者和投资

市场

完善经营者激励机

制

财务报告系统的作用

决策系统 理财系统计划与预算系统 绩效系统 薪酬系统

4.3 会计系统控制4.3 会计系统控制

财务总监职责 直接目标 终极目标

公司治理

公司管理

所有制监督职责

财务报告

价值管理

风险管理

股东利益保障

公司价值最大化

股东利益最大化

关于什么是会计的对话 ? 　关于什么是会计的对话 ? 　 1. 学士时代 : 计划经济 --- 会计是技术

2.硕士时代 : 市场经济 --- 会计是艺术

3. 博士时代 : 信息经济 --- 会计是魔术

关于什么是会计的对话 ? 　关于什么是会计的对话 ? 　 1. 学士时代 : 计划经济 --- 会计是技术

2.硕士时代 : 市场经济 --- 会计是艺术

3. 博士时代 : 信息经济 --- 会计是魔术

4.4 财产保护控制4.4 财产保护控制

基本要求 财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。

企业应当严格限制未经授权的人员接触和处置财产。

4.5 预算控制 4.5 预算控制

基本要求 预算控制要求企业实施全面预算管理制度

，明确各责任单位在预算管理中的职责权

限，规范预算的编制、审定、下达和执行

程序，强化预算约束。

      全面预算管理

制度安排

盈利模式

考核标准

战略体系

控制标竿

4.5预算控制4.5预算控制

预算考评预算考评

预算报告预算报告

预算调整预算调整

预算执行预算执行

预算编制预算编制

预算组织预算组织

全面预算管理

全面预算管理

4.5 预算控制4.5 预算控制

4.6 运营分析控制4.6 运营分析控制

基本要求 运营分析控制要求企业建立运营情况分析制度，经理

层应当综合运用生产、购销、投资、筹资、财务等方

面的信息，通过： 1.因素分析 2. 对比分析 3.趋势分析等方法，定期开展运营情况分析，发现存在的问题，

及时查明原因并加以改进。

4.7绩效考评控制 4.7绩效考评控制

绩效考评 绩效考评控制要求企业建立和实施绩效考评制

度，科学设置考核指标体系，对企业内部各责

任单位和全体员工的业绩进行定期考核和客观

评价，将考评结果作为确定员工薪酬以及职务

晋升、评优、降级、调岗、辞退等的依据。

4.8 业务与事项控制4.8 业务与事项控制

基本要求 企业应当根据内部控制目标，结合风

险应对策略，综合运用控制措施，对

各种业务和事项实施有效控制。

资金

采购

存货

销售

工程项目

固定资产

无形资产

投资

筹资

预算

成本费用

担保

合同协议

业务外包

企业内部控制应用指引

对子公司控制

财务报告

人力资源

信息系统

衍生工具

企业并购

关联交易

内部审计

发展战略

社会责任

组织架构

企业文化

资产

研发

内部报告

预计全部将超过 50项

4.8 业务与事项控制4.8 业务与事项控制

4.8 业务与事项控制 4.8 业务与事项控制

订单 采购

存货生产管理

产品装运

开票 收款采购方式预测销售目标客户关系管理

选择供应商订购原料仓储存货控制价格控制

生产率质量 /缺陷率生产过程与效率健康与安全产品控制与管理

材料处理订单处理和安排客户投诉 /维护客户满意度衡量

处理客户信用处理应收账款

收账管理对方不付账应收款余额逾期应收款

内部环境风险偏好（如目标客户确定）正直与道德（如行为规则，客户礼品申报制度）

目标设定战略（如客户增长）经营（如客户保留）报告（销售目标的讨论和分析）资产安全遵循（既定的行为规范）

风险事件确认内部与外部因素事件确认技术（如销售量的衡量，采购方式改变）事件之间的独立性

风险分析

估计风险可能性与后果（如客户信用评估）风险相关性（如客户采购量与产品缺陷的相关联）

风险应对

选择风险管理策略（如市推介）成本与效益权衡组合观点剩余风险与公司风险承受度一致

控制活动

政策和程序（如销售政策）计算机一致控制应用控制

信息沟通：以适当方式及时向每个员工提供相关信息，使其能更好的履行职责（如客户违约不付款应告知客户代表等）

内部监督——日常监督和专项监督

业务流程

企业内部控制要素

内控体系的设计——以销售活动为例

4.9 预警、应急机制4.9 预警、应急机制

基本要求 1. 企业应当建立重大风险预警机制和突发事件应急处理机制； 2. 明确风险预警标准；

3. 对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序；

4.确保突发事件得到及时妥善处理。

五、内控五大要素之四： 信息与沟通 五、内控五大要素之四： 信息与沟通

5.1 信息与沟通的地位与作用

5.2 信息采集的要求与方式

5.3 信息沟通的要求与渠道

5.4 信息技术控制

5.5 反舞弊机制要求

5.1 信息与沟通的地位作用5.1 信息与沟通的地位作用

基本要求 1. 企业应当建立信息与沟通制度；

2. 明确内部控制相关信息的收集、处理和传递程序；

3.确保信息及时沟通，促进内部控制有效运行。

5.2 信息采集的要求与方式5.2 信息采集的要求与方式

基本要求 1. 信息采集的要求 企业应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性。

2. 内部信息的获取 企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。

3. 外部信息的获取 企业可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。

5.3 信息沟通的要求及渠道5.3 信息沟通的要求及渠道

基本要求 1. 总体要求 企业应当将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。

2.问题解决 信息沟通过程中发现的问题，应当及时报告并加以解决。 3. 及时传递重要信息 重要信息应当及时传递给董事会、监事会和经理层。

5.4 信息技术控制5.4 信息技术控制

基本要求 企业应当利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用。

企业应当加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。

5.5反舞弊机制及重点5.5反舞弊机制及重点

董事、监事、经理及其他高级管理人员滥用职权。

未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益。

相关机构或人员串通舞

弊。

在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等。

反舞弊工作的重点

44 22

11

33

企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。

5.5 反舞弊机制要求与主要内容5.5 反舞弊机制要求与主要内容

基本要求

1. 企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。

2.举报投诉制度和举报人保护制度应当及时传达至全体员工。

六、内控五大要素之五： 内部监督 六、内控五大要素之五： 内部监督

6.1 监督检查的主体与方式

6.2 内控缺陷分析与报告

6.3 内控自我评价

6.4 内控文档的保存

6.1 监督检查的主体、方式6.1 监督检查的主体、方式

专项监督日常监督

•指企业对建立与实施内部控制的情况进行常规、持续的监督检查

• 指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或者某些方面进行有针对性的监督检查。

专项监督的范围和频率应当根据风险评估结果以及日常监督的有效性等予以确定。

企业应当根据本规范及其配套办法，制定内部控制监督制度，明确内部审计机构（或经授权的其他监督机构）和其他内部机构在内部监督中的职责权限，规范内部监督的程序、方法和要求。

6.2 内部控制缺陷分析与报告6.2 内部控制缺陷分析与报告 基本要求

1. 制定内控缺陷认定标准 企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。   2. 内控缺陷的分类 1)设计缺陷 2)运行缺陷

3. 内控缺陷的程度 1) 重大缺陷 2) 重要缺陷 3) 一般缺陷

企业应当跟踪内部控制缺陷整改情况，并就内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。

6.3 内控自我评价6.3 内控自我评价

基本要求 1. 企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。

2. 内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。

3. 国家有关法律法规另有规定的，从其规定。

6.4 内控文档的保存6.4 内控文档的保存

基本要求 1.妥善保存

企业应当以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料 ;

2.确保可验证

确保内部控制建立与实施过程的可验证性。

叁、公司法关于内部控制制度的规定 叁、公司法关于内部控制制度的规定

( 一 ) 三会制衡制度

( 二 ) 代理人职责制度

( 三 ) 财务会计报告查阅与公告制度

( 四 ) 预算决算制度 ( 五 ) 上市公司独立董事制度： ( 六 ) 财务会计报告审计制度 （七）股东剩余索取权制度

叁、公司法关于内部控制的设计思路 叁、公司法关于内部控制的设计思路

（一）约束型与激励型控制 1.约束型控制—以确定责任义务和惩罚为主 公司法 11 条 : 公司章程对董事 \监事 / 高管具有约束力 . 公司法 149条规定的董事 \监事 \高管应履行以下法定义务 : 1)竞业禁止义务 2)自我交易限制义务 3) 不得篡夺公司机会义务 4) 不得挪用或借贷资金义务 5) 不得擅自提供担保义务 6) 不得侵占或危害公司财产义务 7)保守公司秘密义务 2.激励型控制 --以授予权力利益和激励为主 1)保护职工合法权益 ,参加社会保险 : 公司法 17条 2)劳动报酬的合理保障 : 公司法 18条 3) 董事会职权与经理职权的合法保障 : 公司法 47 条 /50条 4)章程对经理职权的另行约定 : 公司法 50条 5) 股权激励的法律保护 : 公司法 143 条 : 回购股份用于奖励

叁、公司法关于内部控制的设计思路 叁、公司法关于内部控制的设计思路

( 二 ) 强制型与选择型控制 1.强制型控制 1)预算与决算制度 2)财务报告审计制度 2.选择型控制 1) 股份奖励制度 2) 业绩考评制度 3)章程自由约定

( 三 ) 集权型控制与分权型控制 1. 集权型控制 --- 经营决策权集中行使

2.分权型控制 --具体执行权适当分离

研讨总结：内部控制基本规范要点强调内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，有利于树立全面、全员、全过程控制的理念。

界定内涵

要求企业在保证经营管理合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果的基础上，着力促进企业实现发展战略。

定位目标

要求企业在建立和实施内部控制全过程中贯彻全面性原则、重要性原则、制衡性原则、适应性原则和成本效益原则。

确定原则

构建了以内部环境为重要基础、以风险评估为重要环节、以控制活动为重要手段、以信息与沟通为重要条件、以内部监督为重要保证，相互联系、相互促进的五要素内部控制框架。

构建要素

要求企业实行内部控制自我评价制度，并将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系；国务院有关监管部门有权对企业建立并实施内部控制的情况进行监督检查；明确企业可以依法委托会计师事务所对本企业内部控制的有效性行审计，出具审计报告。

实施机制

总结：内控体系建设的层次与内容■公司层面内部控制 与控制环境相关的控制 针对管理层和治理层凌驾于控制之上的风险而设计的控制 公司的风险评估过程 针对重大经营控制及风险管理实务的政策 监控经营成果的控制 集中化的处理与控制（包括共享的服务环境） 与内部信息传递和期末财务报告流程的控制 对控制有效性的内部监督和内部控制评价

■业务 / 流程层面内部控制运营类流程管理和支持类流程

■信息系统内部控制

总结：实施内部控制的难点和困境

■究竟是以纠错防弊为导向还是以实施战略为导向？

■究竟是以模块实施为主线还是以系统整合为手段？

■如何将以流程为主线设计的内控体系转化成以职责为主线 的内控执行体系？

■内控体系如何实现与其他管理体系的融合？

构建基于战略导向与系统整合的企业内控规范实施机制

总结：如何建立企业内控规范实施机制？■战略的定位及实施是贯穿企业整个经营过程的主线。

■内部控制的本质就是战略定位与战略实施控制，是确保企 业实施战略从而保证组织目标实现的一种机制。

■企业控制的三个层级：战略控制管理控制作业控制■通过两条线来保证控制的有效运转：信息与沟通监督体系

信永中和的内部控制模型

信永中和内控模型

信永中和内控模型 信永中和内控模型