《钕铁硼公司治理规划【范文】.docx》由会员分享,可在线阅读,更多相关《钕铁硼公司治理规划【范文】.docx(77页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、泓域/钕铁硼公司治理规划钕铁硼公司治理规划目录一、 公司简介3公司合并资产负债表主要数据4公司合并利润表主要数据4二、 企业识别风险关注的因素4三、 风险识别的概念和内容5四、 风险应对概述8五、 风险应对策略的选择9六、 风险的概念及其分类10七、 风险的分类和评估12八、 授权审批控制14九、 合同控制17十、 内部控制的种类20十一、 控制活动的基本原理24十二、 内部监督的内容26十三、 内部监督比较32十四、 内部控制评价的组织与实施33十五、 内部控制缺陷的认定44十六、 项目基本情况45十七、 SWOT分析说明48十八、 法人治理结构58十九、 项目风险分析72二十、 项目风险对
2、策75一、 公司简介(一)基本信息1、公司名称:xx(集团)有限公司2、法定代表人:雷xx3、注册资本:1470万元4、统一社会信用代码:xxxxxxxxxxxxx5、登记机关:xxx市场监督管理局6、成立日期:2016-6-57、营业期限:2016-6-5至无固定期限8、注册地址:xx市xx区xx(二)公司简介面对宏观经济增速放缓、结构调整的新常态,公司在企业法人治理机构、企业文化、质量管理体系等方面着力探索,提升企业综合实力,配合产业供给侧结构改革。同时,公司注重履行社会责任所带来的发展机遇,积极践行“责任、人本、和谐、感恩”的核心价值观。多年来,公司一直坚持坚持以诚信经营来赢得信任。未来
3、,在保持健康、稳定、快速、持续发展的同时,公司以“和谐发展”为目标,践行社会责任,秉承“责任、公平、开放、求实”的企业责任,服务全国。(三)公司主要财务数据公司合并资产负债表主要数据项目2020年12月2019年12月2018年12月资产总额10316.678253.347737.50负债总额3760.523008.422820.39股东权益合计6556.155244.924917.11公司合并利润表主要数据项目2020年度2019年度2018年度营业收入35044.8328035.8626283.62营业利润8144.606515.686108.45利润总额6668.775335.02500
4、1.58净利润5001.583901.233601.14归属于母公司所有者的净利润5001.583901.233601.14二、 企业识别风险关注的因素(一)内部风险我国企业内部控制基本规范第二十二条规定,企业识别内部风险,应当关注下列因素。(1)董事、监事、经理及其他高级管理人员的职业操守,员工专业胜任能力等人力资源因素;(2)组织机构、经营方式、资产管理、业务流程等管理因素;(3)研究开发、技术投入、信息技术运用等自主创新因素;(4)财务状况、经营成果、现金流量等财务因素;(5)营运安全、员工健康、环境保护等安全环保因素;(6)其他有关内部风险因素。(二)外部风险我国企业内部控制基本规范第
5、二十三条规定,企业识别外部风险,应当关注下列因素。(1)经济形势、产业政策、融资环境、市场竞争等经济因素;(2)法律法规、监管要求等法律因素;(3)安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素;(4)技术进步、工艺改进等科学技术因素;(5)自然灾害、环境状况等自然环境因素;(6)其他有关外部风险因素。三、 风险识别的概念和内容(一)风险识别的概念风险识别是指对资产当前或未来所面临的和潜在的风险加以判断、归类以及对风险性质进行鉴定的过程。其目的是确认风险的来源、风险的种类及风险的可能影响,以利于风险的有效管理和合理控制。对于风险识别的概念,可以从以下几个方面来理解。1、风险识别是
6、一项动态的、连续不断的、系统性的重复过程风险事项识别需要针对环境的变化而持续进行,不可能一蹴而就,风险主体的风险仅凭一两次有限的识别是不可能解决问题的,许多复杂的和潜在的风险要经过多次调查和反复论证方能得到准确答案;随着主体的活动,新的风险也会不断产生,风险事项识别是一个连续不断的过程。2、风险识别是一个复杂的系统工程风险事项识别的系统性是指风险识别过程不可能局限在某一个专门部门或者专门的环节,事项识别要把企业作为系统看待,不仅要识别企业可能面临的各种风险,而且企业的各个部门都要参与并密切配合。同时风险主体应综合考虑自身的内外部环境,结合自己的特点,设计和选择适当的事项识别方法,这无疑使得事项
7、识别工作更具有挑战性。3、风险识别是整个风险评估过程中重要的程序之一企业内部控制基本规范第三章第二十一条规定,企业开展风险评估,应当准确识别与实现控制目标相关的内部风险和外部风险确定相应的风险承受度。风险识别是否全面、深刻直接影响风险评估的质量,风险识别的目的就是确认所有风险的来源、种类以及发生损失的可能性,为风险分析和风险应对提供依据。风险识别过程应充分体现全面性原则。(二)风险识别的内容1、感知风险事项感知风险,即通过调查和了解识别风险的存在。例如,通过调查,了解到一家运输公司面临的财产风险、人身风险和责任风险。财产风险又包括车辆财产损失、存货仓库损失、库存物损失和其他设备损失。在存货仓库
8、损失中,可能有火灾、爆炸、洪水、暴风等多种原因形成的损失。2、分析风险事项通过归类分析,掌握风险产生的原因和条件以及风险所具有的性质。例如,存货仓库的风险因素包括洪水、暴雨、水管或其他设备破裂等;人的风险包括死亡、疾病、身体伤害、财产损失等;导致死亡的风险因素主要有自然灾害、意外事故、自杀、疾病。感知风险是识别风险的基础,分析风险是识别风险的关键。只有感知风险,才能进一步有意识、有目的地分析风险,掌握风险存在及导致风险事故发生的原因和条件。四、 风险应对概述我国企业内部控制基本规范第二十五条规定:企业应当根据风险分析的结果,结合风险承受度,权衡风险与收益,确定风险应对策略。企业应当合理分析、准
9、确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好,采取适当的控制措施,避免因个人风险偏好给企业经营带来重大损失。风险应对就是在风险评估的基础上,针对企业所存在的风险因素,根据风险评估的原则和标准,运用现代科学技术知识和风险管理方面的理论与方法,提出各种风险解决方案,经过分析论证与评价从中选择最优方案并予以实施,来达到降低风险目的的过程。风险应对可以从改变风险后果的性质、风险发生的概率和风险后果3个方面提出多种策略,对不同的风险可用不同的处置方法和策略。企业所面临的各种风险都可以综合运用各种策略进行处理。企业内部控制基本规范第二十六条规定:企业应当综合运用风险规避、风险降低、风险分担和
10、风险承受等风险应对策略,实现对风险的有效控制。五、 风险应对策略的选择风险应对的4种策略是根据企业的风险偏好和风险承受度制定的,风险规避策略在采用其他任何风险应对措施都不能将风险降低到企业风险承受度以内的情况下适用;风险降低和风险分担策略则是通过相关措施,使企业的剩余风险与企业的风险承受度相一致;风险承受则意味着风险在企业可承受范围之内。企业应该结合具体情况及时调整风险应对策略。企业可选择的风险应对策略有风险规避、风险降低、风险分担和风险承受,管理层可以选择一个或多个策略结合使用。企业内部控制基本规范第二十七条规定:企业应当结合不同发展阶段和业务拓展情况,持续收集与风险变化相关的信息,进行风险
11、识别和风险分析,及时调整风险应对策略。企业对超出整体风险承受能力或者具体业务层次上的达到不可接受风险水平的风险,应实行风险回避;在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险,在权衡成本效益之后无意采取进一步控制措施的,可实行风险承担;对在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险,在权衡成本效益之后如愿单独采取进一步的控制措施以降低风险、提高收益或者减轻损失的,可以实行风险降低;对在整体风险承受能力和具体业务层次上的可接受风险水平之内的风险,在权衡成本效益之后愿意借助他人力量,采取进一步的控制措施以降低风险,提高收益或者减轻损失的可以实行风险分担。风险应对策略与
12、企业的具体业务或者事项相联系,不同的业务或事项可以采取不同的风险应对策略,同一业务或事项在不同的时期可以采取不同的风险应对策略,同一业务或事项在同一时期也可以综合运用风险降低和风险分担应对策略。六、 风险的概念及其分类古人说:“宜未雨而绸缪,毋临渴而掘井。”企业在生产经营的过程中,面临着诸多的风险,如果我们没有妥善地处理,风险事故一旦发生,轻则影响生产经营稳定和企业经济效益,重则危及企业的生存。因此风险评估的目的是为了给企业造就一个安全稳定的生产经营环境,这有助于增加领导层经营管理决策的正确性,进而提高企业的经济效益。(一)风险的概念企业在经营活动中,会遇到各种不确定性事件,这些事件发生的概率
13、及其影响程度是无法事先预知的,进而影响企业目标的实现。所谓风险,就是在一定环境下和一定限期内客观存在的、影响企业目标实现的各种不确定性事件。或者说,风险就是指在一个特定的时间内和一定的环境条件下,人们所期望的目标与实际结果之间的差异程度。因此,风险是一个事项将会发生并给目标实现带来负面影响的可能性。风险具有客观性、普遍性、潜在性、必然性、可识别性、可控性、损失性和不确定性等特点,风险与机会同在。COSO企业风险管理新框架(2016)指出风险是指事项发生并影响战略和业务目标之实现的可能性。该定义兼顾了正面和负面的影响,这和国际风险管理标准ISO31000及中国风险管理标准GBT24353是一致的
14、。为了与我国内部控制规范一致,本书采用COSO04的定义。(二)风险的构成要素风险一般包括以下三项构成要素。1、风险因素风险因素是指促使某一特定风险事故发生或增加其发生的可能性或扩大其损失程度的原因或条件。它是风险事故发生的潜在原因,是造成损失的内在或间接原因。例如,对于建筑物而言,风险因素是指其所使用的建筑材料的质量、建筑结构的稳定性等;对于人而言,则是指健康状况和年龄等;对于企业而言,风险因素则包括企业人员因素、结构因素、外部环境因素等。2、风险事故风险事故也称风险事件,是指造成伤害或财产损失的偶发事件是造成损失的直接的或外在的原因,是损失的媒介物,即风险只有通过风险事故的发生才能导致损失
15、。就某一事件来说,如果它是造成损失的直接原因,那么它就是风险事故;而在其他条件下,如果它是造成损失的间接原因,它便成为风险因素。例如,对于企业而言,发生仓库货物被盗是风险事故,而安保系统不健全是风险因素。3、损失在风险管理中,损失是指非故意的、非预期的、非计划的经济价值的减少。通常可以将损失分为两种形态,即直接损失和间接损失。直接损失是指风险事故导致的财产本身损失和人身伤害,这类损失又称为实质损失:间接损失则是指由直接损失引起的其他损失,包括额外费用损失、收入损失和责任损失。七、 风险的分类和评估(一)风险的分类企业所面临的风险从来源上分,有企业内部和外部两个方面。外部风险包括:科技发展带来的
16、企业技术、管理、信息等方面的风险;顾客需求或预期改变;竞争的存在;自然灾害;政治事件;经济环境的改变等。内部风险主要有:员工的素质和能力;经理人的责任改变;董事会或监督委员会的责任履行情况等。从企业能否对风险进行控制来分,风险分为可控风险和不可控风险两种。(二)风险评估风险评估是一个比较宽泛的概念,在有的内部控制或风险管理标准中,风险评估就是风险管理,包括了风险管理的全过程,可以说是风险管理的代名词。而在有的内部控制或风险管理标准中,风险评估是全面风险管理的一个步骤,包括内容有多有少,如目标确定、风险识别、风险分析、风险评价以及风险应对等。1、COSO92关于风险评估概念COSO内部控制整体框
17、架把风险评估列为内部控制的五要素之内部控制整体框架认为,风险评估是指单位为实现其目标而确认的相关风险,以构成进行风险管理的基础。单位风险可能来自于:(1)经营环境的变化;(2)聘用新的员工;(3)采用新的或改良的信息系统(4)迅猛的发展速度;(5)新技术的运用(6)新的行业、产业或经营活动的开发;(7)企业改组;(8)海外经营;(9)新的会计方法的采用。2、COSO04关于风险评估概念企业风险管理整体框架指出风险评估要对识别的风险进行分析,以便确定对他们进行管理的依据。强调风险评估是风险管理的一个步骤,相当于我国企业内部控制基本规范的风险分析。3、我国企业内部控制基本规范关于风险评估概念我国企
18、业内部控制基本规范借鉴企业风险管理整体框架,认为风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险,从而合理确定风险应对策略。即为识别、分析、管理与企业活动相关的市场风险、政策风险、法律风险、汇率风险、经营风险等各种风险而建立的机制。该概念沿用COSO92的要素理念,是相对宽泛的概念,包括COSO04目标设定、事项识别、风险评估和风险应对四大要素的组合。八、 授权审批控制我国企业内部控制基本规范第三十条规定:授权审批控制要求企业根据常规授权和特别授权的规定,明确各岗位办理业务和事项的权限范围、审批程序和相应责任。企业对于重大的业务和事项,应当实行集体决策审批或者联签制度,任
19、何个人不得单独进行决策或者擅自改变集体决策。(一)授权审批的含义授权是对一般交易或特殊交易的政策性制度进行决策,审批是对公司授权制度的具体执行,表现形式为签字。授权审批是指单位在办理各项经济业务时,必须经过规定授权审批的程序。如采购部门采购材料,会计部门进行账务处理,人力资源部门招聘员工等。(二)授权审批的形式授权审批的形式通常有常规授权和特别授权两类。常规授权又称一般授权,是指企业在日常经营管理活动中按照既定的职责和程序进行的授权。所谓既定的职责和程序,就是指已经制定好的职责和程序,如制度、计划和预算等。这种授权一般来说稳定、不易变动,时效性较长,主要是由管理当局制定整个组织应当遵循的政策,
20、内部员工在日常业务处理过程中,可以按照规定的权限范围和有关职责自行办理或执行各项业务。特别授权是指企业在特殊情况、特定条件下进行的授权。特别授权是一种临时性的,通常是一次有效。总经理委托其助理代理某个合同的签署,就必须授予他必要的签约权力,一旦合同签订完毕,授权也自动终止;又如离岗授权。(三)授权审批的体系与原则企业应当编制常规授权的权限指引,规范特别授权的范围、权限、程序和责任,严格控制特别授权。不论采取哪种授权批准方式,企业都必须建立授权批准体系,主要包括以下内容。1、授权审批的范围授权审批的范围不仅要包括控制各种业务的预算制定情况,还要对相应的办理手续、业绩报告、业绩考核等明确授权。通常
21、企业的所有经营活动都应纳入授权审批的范围,以便于全面预算和全面控制。2、授权审批的层次授权审批应根据经济活动的重要性和金额大小确定不同的授权批准层次,从而保证各管理层有权亦有责。但重大事项应集体决策和集体联签,防止“一支笔”现象的发生。3、授权审批的责任授权审批的责任应当明确被授权者在履行权力时应对哪些方面负责,以避免授权责任不清,一旦出现问题又难追究其责任。同时,防止以授权名义授责。4、授权审批程序授权审批程序应规定每一类经济业务审批程序,以便按程序办理审批,避免越级审批、违规审批的情况发生。除此之外,企业还要在授权目的明确、职权与责任配比、使用人员的正确选择等方面加以注意。为了使授权批准制
22、度获得较好的效果,企业一定要遵循以下几个原则:一是有关事项必须经过授权批准,且在业务发生之前;二是授权批准责任一定要明确;三是所有过程都必须有书面证明;四是对于越权行为一定要有相应的惩罚制度。九、 合同控制合同控制是企业经营管理的一项重要内容,也是企业依法经营、依法维护自身合法权益的一个重要方面。企业加强合同控制不仅有利于依法订立并履行合同协议,减少合同纠纷,保障企业自身的经营利益,还有利于企业加强和改善经营管理、提高经济效益和实现健康、良好的发展。企业的合同控制是一个动态的管理过程,要求企业的管理人员运用科学的管理方法实现预期的合同管理目标。在合同的管理过程中涉及合同的签订、履行、变更、解除
23、等活动,这些活动既相互独立,各自有着不同的内容,相互之间又存在密切的联系。在合同控制的过程中,企业应该提高风险防范意识,以科学的态度和方法开展风险管理活动,降低风险的损害程度,从而保障企业健康发展。在合同控制过程中,企业应当关注的风险有:未订立合同、未经授权或越权对外订立合同、合同对方主体资格未达要求、合同内容存在重大疏漏和欺诈,可能导致企业合法权益受到侵害;合同未全面履行或监控不当,可能损害企业利益、信誉和形象;合同协议纠纷处理不当,可能损害企业利益、信誉和形象。在合同控制中,企业应该关注合同的签署、合同的履行以及合同的评估,从而完善合同控制的流程。(一)合同的签订企业对外发生经济行为,除即
24、时结清方式外,应当订立书面合同。企业应注重从合同的签约对象、合同标的谈判与协商、合同文本、合同审核与内部会签、合同签订权限管理等几个方面加强合同控制。(二)合同的履行企业应当遵循诚实信用原则严格履行合同,对合同履行实施有效监控,强化对合同履行情况及效果的检查、分析和验收,确保合同全面有效履行。合同生效后,企业就质量、价款、履行地点等内容与合同对方没有约定或者约定不明确的,可以签订补充协议;如果不能达成补充协议的,则按照国家相关法律法规、合同有关条款或者交易习惯确定。在合同履行过程中发现有失公平、条款有误或对方有欺诈行为等情形,或因政策调整、市场变化等客观因素,已经或可能导致企业利益受损,应当按
25、照规定程序及时报告,并经双方协商一致,按照规定权限和程序办理合同变更或解除事宜。企业应当加强合同纠纷管理,在履行合同过程中发生纠纷的,应当依据国家相关法律法规,在规定时效内与对方当事人协商并按规定权限和程序及时报告。合同纠纷经协商一致的,双方应当签订书面协议。合同纠纷经协商无法解决的,应当根据合同约定选择仲裁或诉讼方式解决。企业内部授权处理合同纠纷的,应当签署授权委托书。纠纷处理过程中,未经授权批准,相关经办人员不得向对方当事人做出实质性答复或承诺。企业财会部门应当根据审核后合同条款的办理结算义务。未按合同条款履约的,或应签订书面合同而未签订的,财会部门有权拒绝付款,并及时向企业有关负责人报告
26、。(三)合同的评估企业应当建立合同履行情况评估制度,至少每年年末对合同履行的总体情况和重大合同履行的具体情况进行分析评估,对分析评估中发现合同履行中存在的不足,应当及时加以改进。企业应当健全合同控制考核与责任追究制度。对合同订立、履行过程中出现的违法违规行为,应当追究有关部门或人员的责任。十、 内部控制的种类内部控制按控制内容可分为一般控制和应用控制,按控制地位可分为主导性控制和补偿性控制,按控制功能可分为预防性控制和发现性控制,按控制时序可分为原因控制、过程控制和结果控制。(一)按控制内容分为一般控制和应用控制1、一般控制般控制是指对企业经营活动赖以进行的内部环境所实施的总体控制,也称基础控
27、制或环境控制。它包括组织控制、人员控制、业务记录以及内部审计等内容。这类控制的特征,是并不直接地作用于企业的生产经营活动,而是通过应用控制对全部业务活动产生影响。(1)合法性控制,即用各种方法检查所记录的经济业务,以保证其能够如实反映经济事项。在会计基础控制方面,它主要通过由熟悉会计制度的人员审查会计文件,以确定所记录的业务是否真正发生,检查其处理过程是否与规定的程序相一致,查明业务处理是否经过授权与批准,有无越权行事等行为,以及是否进行了严格的监督和审核。(2)正确性控制,即为了确保单位每笔经济业务的发生都能够及时用正确的金额与账户记载的一种控制。它通过建立发生额计算、余额计算、账户分类检查
28、、双重核对、事先控制与分工牵制等方法来保证会计记录的正确性。(3)完整性控制,即保证发生的一切合法的经济业务均记入控制文件的一种控制。它主要通过凭证的连续编号、总额控制、登记账簿、档案管理并运用备忘录等手段来保证记录的完整性。现在,实行会计电算化的单位已由计算机解决部分完整性的控制工作。(4)一致性控制,即保证记录一致性的控制。它主要通过实地盘存、对内对外账实核对、差异分析、调账等方法来保证会计记录的一致性。2、应用控制应用控制是指直接作用于企业生产经营业务活动的具体控制,也称业务控制,如业务处理程序中的批准与授权、审核与复核以及为保证资产安全而采用的限制接近等控制。这类控制的特征,在于它们构
29、成了生产经营业务处理程序的一部分,并都能够防止和纠正一种或几种错弊。(二)按控制地位分为主导性控制和补偿性控制1、主导性控制主导性控制是指为实现某项控制目标而首先实施的控制。如凭证连续编号可以保证所有业务活动都得到记录和反映,因此,凭证连续号对于保证业务记录的完整性就是主导性控制;为实现组织的战略目标,管理层要根据组织规划指导各项生产及经营管理工作,并组织专门机构和人员进行定期或不定期的检查,对于发现的偏差进行分析,找出问题的成因、采取措施、予以纠正。这里,管理层的组织专门机构和人员开展的定期或不定期检查活动对于发现偏差就是主导性控制。预防性控制和发现性控制则是为了预防、检查和纠正不利的结果,
30、在正常情况下,主导性控制能够防止错误和舞弊的发生,但如果主导性控制存在缺陷,不能正常运行时,就必须由其他的控制措施进行补充。2、补偿性控制补偿性控制就是针对某些环节的不足或缺陷而采取的控制措施能够全部或部分弥补主导性控制的缺陷,主要是为了把风险暴露限制在一定的范围内。如果凭证没有连续编号,有些业务活动就可能得不到记录。这时,实施凭证、账证、账账之间的严格核对,就可以基本上保证业务记录的完整性,避免遗漏重大的业务事项。因此,“核对”相对于凭证“连续编号”来说,就是保证业务记录完整性的一项补偿性控制。由独立于银行存款收支业务的人员进行银行存款的核对和调整,是对收支业务中存在的薄弱环节的一种补偿性控
31、制。一项控制和其他控制之间存在一定联系,当该项控制存在控制缺陷的时候如果其他控制执行有效,可以有效地降低该缺陷导致财务报告错报的影响程度,而且所影响金额也可以明确,那么其他控制就是该控制的补偿性控制。从上述分析可见,主导性控制与预防性控制存在密切的联系,都是在实现有利结果的同时,避免不利结果的发生。但是,两者也有一定的差别。(三)按控制功能分为预防性控制和发现性控制1、预防性控制预防性控制是指为防止错误和非法行为的发生,或尽量减少其发生机会所进行的一种控制。它主要解决“如何能够在一开始就防止错弊的发生”这个问题。预防性控制是由不同人员或职能部门在履行各自职责的过程中实施的,属于操作性的控制。预
32、防性控制措施主要包括职务分离、监督性检查、双重检查、编辑校验、合理性校验、完整性校验以及正确性校验等。2、发现性控制发现性控制是指为及时查明已发生的错误和非法行为或增强企业发现错弊机会的能力所进行的各项控制。它主要是解决“如果错弊仍然发生,如何查明”的问题。如果缺乏发现性控制,当预防性控制实施存在困难时,有关人员就会为所欲为,使控制失败:更为严重的是由于组织难以及时发现存在的问题及影响,从而不能及时采取措施加以解决,从而加大损失影响范围及程度。一般认为,预防性控制优于发现性控制,因为预防性控制能够在事前防止损失的发生,降低风险。但是,真正全面地采取预防性控制是相当困难的,实际工作中风险很难百分
33、之百地预防,所以必须将两者结合起来控制。(四)按控制时序分为原因控制、过程控制和结果控制1、原因控制原因控制也称事先控制,是指企业单位为防止人力、物力、财力等资源在质和量上发生偏差,而在行为发生之前所实施的内部控制。2、过程控制过程控制也称事中控制,是指企业单位在生产经营活动过程中针对正在发生的行为所进行的控制。3、结果控制结果控制也称事后控制,是指企业单位针对生产经营活动的最终结果而采取的各项控制措施。十一、 控制活动的基本原理企业开展经营活动的目的是有效、高效地使用资源。如何保证有效、高效使用资源?一般认为,企业的资源是有限的,有限的资源一定能管控,风险应该被有效控制。如何控制?由于企业资
34、源被各种活动(如交易、经济事项、经营业务等)使用,因此控制了活动就管理了资源。由于活动都要进入相应流程(如资金活动流程、采购业务流程、资产管理流程、销售业务流程、研究与开发流程等),因此,控制活动的总体思路是:通过实施流程控制,在流程中找关键风险点(即控制点),以达到有效管控资源的目标。控制了流程也就控制了活动,企业资源融入流程后形成了企业控制架构。控制行为(政策和程序)也并非盲目实施,我国企业内部控制基本规范规定的控制程序包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和合同控制等。不同国家、不同时期控制程序不尽相同,这是由内部控制的动态
35、过程观确定的。COSO报告与我国企业内部控制基本规范在控制活动内容方面的比较,通过比较可以看出,两者之间没有太大的区别,预算控制实际上是从授权审批控制中分离出来的政策和程序,从对授权审批控制的理解而言,预算控制属于日常经营管理活动按照既定程序和原则实施的控制。企业应当根据内部控制目标,结合风险应对策略,依据流程控制原理,综合运用控制程序,对各种业务和事项实施有效控制。控制行为的主要目的是降低风险,针对的是风险降低应对策略。十二、 内部监督的内容(一)内部监督及其职能企业内部监督一般应由内部审计承担。内部审计作为企业内部控制的一部分,能够协调管理层更有效地履行其责任,提高企业的运作效率并增强其活
36、动的附加值。内部审计是由被审计单位内部的机构或人员,对其内部控制的有效性、财务信息的真实完整性以及经营活动的效率和效果等开展的一种评价活动,是与独立审计、政府审计并列的三种审计类型之一。它的目的是发现并预防错误和舞弊,提高企业的运作效率,为企业增加价值。它采取系统化、规范化的方法对企业的内部控制、风险管理进行检查和评价,并提供建议等咨询服务,来提高他们的效率,从而帮助实现企业的目标。企业内部审计的职能如下。(1)监督职能。监督职能是内部审计的基本职能。(2)控制职能。内部审计机构是集团的一个重要职能部门,它独立于其他各部门和其他控制系统,是对其他控制的一种再控制,与其他控制形式相比,更具有独立
37、性、权威性和全面性。内部审计又是内部控制的特殊构成要素,是对内部控制实施的再控制。(3)评价职能。通过内部审计可以熟悉子公司的生产经营情况和财务状况,并且由于内部审计部门独立于子公司,更能客观、公正地评价子公司的管理情况和运行业绩。(4)服务职能。内部审计可以通过事前、事中和事后控制为管理当局的决策、计划、控制提供依据,这些都充分体现了内部审计的服务职能。企业制定内部审计规范,明确审计的范围、责任和计划,以此为基础合理配置审计人员,并要求他们遵守企业职业道德规范及内部审计规范;内部审计部门应具有适当的地位并有足够的资源履行其职责;内部审计部门根据授权可以参加有关经营及财务管理的决策会议,对管理
38、中存在的薄弱环节、违反国家法律法规的行为、内部控制管理漏洞,向管理层及时提出调整意见。(二)内部监督的程序我国企业内部控制基本规范第四十五条规定:企业应当制定内部控制缺陷认定标准,对监督过程中发现的内部控制缺陷,应当分析缺陷的性质和产生的原因,提出整改方案,采取适当的形式及时向董事会、监事会或者经理层报告。因此,企业应强化内部监督,保证内部控制持续有效。1、制定内部控制缺陷标准(1)内部控制缺陷的相关概念内部控制缺陷,是指内部控制的设计存在漏洞,不能有效防范错误与舞弊,或者内部控制的运行存在弱点和偏差,不能及时发现并纠正错误与舞弊的情形。内部控制的缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为
39、实现控制目标所必需的控制,或现存控制设计不适当,即使正常运行也难以实现控制目标,包括内部控制不健全、内部控制制度不适当。例如,“未建立定期的现金盘点程序”即属于控制设计问题。运行缺陷是指现存设计完好的控制没有按设计意图运行,或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。比较常见的例子就是企业内部控制制度设计健全,但工作人员我行我素,并不按照制度执行。例如,“物资采购申请金额已超过其采购权限,却未向上级公司申请安排大宗物品采购”,这是存在权限管理规定,却未在实际操作中按照执行。(2)内部控制缺陷的分类企业根据内部控制缺陷影响整体控制目标实现的严重程度,将内部控制缺陷分为重大缺陷、重要缺
40、陷和一般缺陷。重大缺陷是指一个或多个一般缺陷的组合,可能严重影响内部整体控制的有效性,进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。主要考虑如下因素:影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷;针对同一细化控制目标所采取的不同控制活动之间的相互作用;针对同一细化控制目标是否存在其他补偿性控制活动。例如,有关控制漏洞为企业带来重大的损失或造成企业财务报表重大的错报、漏报。又如,凭证连续编号可以保证所有业务活动都得到记录和反映,如果凭证没有连续编号的话,为了避免遗漏重大的业务事项,采用严格的凭证之间、账证之间、账账之间的核对就是保证业务记录完整性的补偿性控制。重要缺陷是指
41、一个或多个一般缺陷的组合,其严重程度低于重大缺陷,但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大,需引起企业管理层关注。例如,有关缺陷造成的负面影响在部分区域流传,为公司声誉带来损害。一般缺陷是指以上两种缺陷之外的缺陷。(三)内部监督的方法内部监督的方法有两种,包括日常监督和专项监督。内部控制体系日常监督的有效性程度越高,对专项监督的需要程度就越低。管理层为了合理确认内部控制体系的有效性所必须进行的个别评估的频率取决于管理层的判断。通常情况下,日常监督和专项监督的合并使用在某种程度上将会保证内部控制体系随着时间的变化而保持有效性。1、日常监督日常监督是指企业对建立和实施内部控制
42、的整体情况所进行的连续的、全面的、系统的、动态的监督。日常监督是在及时的基础上执行的,能对环境的改变做出动态的反应,它存在于单位的日常管理活动之中,能及时地发现问题。日常监督的范围和频率越大,其有效性就越高,则企业所需的日常监督就越少。日常监督活动的重要环节主要包括以下几方面。(1)获得内部控制执行的证据。获得内部控制执行的证据是指企业员工在实施日常生产经营生活时,取得必要的、相关的证据证明内部控制系统发挥功能的程度。(2)外部反映对内部信息的印证程度。即与外界各方的沟通能够印证内部生成的信息或揭示问题。(3)定期核对财务系统数据与实物资产。也就是说,将信息系统所记录的数据与实物资产相比较,做
43、到账实相符。(4)内外部审计定期提供建议。审计人员评估内部控制的设计以及测试其有效性,识别潜在的缺陷,并向管理层建议采取替代方案,为决策提供有用的信息。(5)管理层对内部控制执行的监督。管理层可以通过以下渠道进行监督:审计委员会接收、保留及处理各种投诉及举报,并保证其保密性;管理层通过培训、会议了解内部控制的执行情况;管理层认真审核员工提出的各项合理建议,并不断完善建议机制。(6)定期考核员工。内部监督部门和人力资源管理部门根据公司管理层的授权定期要求企业员工明确说明他们是否理解并遵守员工行为准则,是否遵守员工职业道德规范,并汇报控制活动的开展情况等。(7)内部审计活动的有效性。适当的组织结构
44、以及监督活动可促进内部控制职能的执行,识别内部控制的缺陷。2、专项监督专项监督又称个别评估,是指企业对内部控制建立与实施的某一方面或者某些方面的情况进行的不定期、有针对性的监督检查。专项监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以确定。一般来说,风险水平较高并且重要的控制,对其进行专项监督的频率应较高。通常,专项监督采用自我评估形式,即负责某一单位或职责的人,员对受其控制的活动的有效性进行评价。专项监督主要关注以下两个方面。(1)高风险且重要的项目。审计部门依据持续监督的结果,对风险较高且重要的项目要进行个别评估。考虑到成本效益原则,对风险很高但不重要的项目或很重要但是风险很小
45、的项目可以减少个别评估的次数。应该将高风险且重要的项目作为专项监督对象。(2)内部环境变化。当内控环境发生变化时,要进行专项监督,以确定内部控制是否还能适应新的内控环境。日常监督和专项监督应当有机结合。前者是后者的基础,后者是前者的有效补充。日常监督的程度越高,其有效性也越高,则企业所需的专项监督次数就越少。如果发现专项监督需要经常性地进行,企业就有必要将其纳入日常监督中,进行日常持续的监控。通常情况下,两种监督有效组合能确保企业内部控制在一定时期内保持有效性。十三、 内部监督比较内部控制制度的有效实施,依赖于有效的内部监督系统。内部监督作为内部控制的基本要素之一,对于内部控制的有效运行,以及
46、内部控制的不断完善起着重要的作用。内部监督是对企业内部控制整体运行情况的跟踪、监测和调节。内部监督是在尽可能不影响企业正常经营管理活动的情况下,对内部控制实施情况进行评价,及时纠正企业发生的错误和舞弊,将内部控制制度的缺陷和改进意见反馈给管理者,对发现的内部控制缺陷及时予以弥补。COSO的企业内部控制整体框架和企业风险管理框架中都规定监督为其构成要素。COSO报告与我国企业内部控制基本规范在内部监督的定义、内容与组织机构方面进行了比较。我国企业内部控制基本规范指出内部监督是企业对内部控制建立与实施情况进行监督检查,评价内部控制的有效性,发现内部控制缺陷,应当及时加以改进,内部监督的主要内容包括
47、日常监督和专项监督、缺陷报告、档案记录与验证,内部监督的主要进行机构为内部审计机构(或经授权的其他监督机构)。十四、 内部控制评价的组织与实施内部控制评价是由企业董事会和管理层实施的。进行评价的具体内容应围绕企业内部控制基本规范中提及的内部控制五个要素即内部环境、风险评估、控制活动、信息与沟通、内部监督,以及企业内部控制基本规范及企业内部控制应用指引中的内容。在确定具体内容后,企业应制定内部控制评价程序,对内部控制有效性进行全面评价,包括财务报告内部控制有效性和非财务报告内部控制有效性;同时为内部评价工作形成工作底稿,详细记录企业执行评价工作的内容,包括评价要素、关键风险点、采取的控制措施、有关证据资料以及认定结果等;企业还应在评价工作中明确内部控制缺陷的认定准则;完成评价后,企业应当准备一份内部控制自我评价报告,在其年报中进行披露:企业董事会应当对内部控制评价报告的真实性负责。(一)内部控制评价的相关概念内部控制评价一般是指由专门的机构或人员,通过对单位内部控制系统的了解、测试和分析,对其完整性、合理性及有效性提出意见,并进行报告,以利于单位进一步健全和完善内部控制体系。我国企业内部控制基本规范第四十六条指出:企业应当结合内部监督情况,定期对内部控制的有效性进行自我评价,出具
限制150内