五金工具公司治理与内部控制计划
《五金工具公司治理与内部控制计划》由会员分享,可在线阅读,更多相关《五金工具公司治理与内部控制计划(76页珍藏版)》请在装配图网上搜索。
1、泓域/五金工具公司治理与内部控制计划五金工具公司治理与内部控制计划目录一、 项目基本情况2二、 公司基本情况4三、 内部控制的相关比较6四、 企业内部控制规范的基本内容9五、 企业风险管理20六、 内部牵制29七、 内部控制评价的组织与实施32八、 内部控制评价工作底稿与报告43九、 审计工作计划与实施44十、 审计范围与审计目标49十一、 法人治理51十二、 人力资源配置62劳动定员一览表62十三、 项目风险分析64十四、 项目风险对策67十五、 SWOT分析68一、 项目基本情况(一)项目投资人xx集团有限公司(二)建设地点本期项目选址位于xx(待定)。(三)项目选址本期项目选址位于xx(
2、待定),占地面积约45.00亩。(四)项目实施进度本期项目建设期限规划24个月。(五)投资估算本期项目总投资包括建设投资、建设期利息和流动资金。根据谨慎财务估算,项目总投资15289.96万元,其中:建设投资12276.50万元,占项目总投资的80.29%;建设期利息316.05万元,占项目总投资的2.07%;流动资金2697.41万元,占项目总投资的17.64%。(六)资金筹措项目总投资15289.96万元,根据资金筹措方案,xx集团有限公司计划自筹资金(资本金)8839.83万元。根据谨慎财务测算,本期工程项目申请银行借款总额6450.13万元。(七)经济评价1、项目达产年预期营业收入(S
3、P):32900.00万元。2、年综合总成本费用(TC):25515.51万元。3、项目达产年净利润(NP):5406.65万元。4、财务内部收益率(FIRR):27.52%。5、全部投资回收期(Pt):5.33年(含建设期24个月)。6、达产年盈亏平衡点(BEP):11135.66万元(产值)。(八)主要经济技术指标主要经济指标一览表序号项目单位指标备注1占地面积30000.00约45.00亩1.1总建筑面积46316.02容积率1.541.2基底面积17400.00建筑系数58.00%1.3投资强度万元/亩262.372总投资万元15289.962.1建设投资万元12276.502.1.1
4、工程费用万元10584.102.1.2工程建设其他费用万元1407.632.1.3预备费万元284.772.2建设期利息万元316.052.3流动资金万元2697.413资金筹措万元15289.963.1自筹资金万元8839.833.2银行贷款万元6450.134营业收入万元32900.00正常运营年份5总成本费用万元25515.516利润总额万元7208.867净利润万元5406.658所得税万元1802.219增值税万元1463.5810税金及附加万元175.6311纳税总额万元3441.4212工业增加值万元11510.5513盈亏平衡点万元11135.66产值14回收期年5.33含建设
5、期24个月15财务内部收益率27.52%所得税后16财务净现值万元10122.70所得税后二、 公司基本情况(一)公司简介公司秉承“以人为本、品质为本”的发展理念,倡导“诚信尊重”的企业情怀;坚持“品质营造未来,细节决定成败”为质量方针;以“真诚服务赢得市场,以优质品质谋求发展”的营销思路;以科学发展观纵观全局,争取实现行业领军、技术领先、产品领跑的发展目标。 公司坚持提升企业素质,即“企业管理水平进一步提高,人力资源结构进一步优化,人员素质进一步提升,安全生产意识和社会责任意识进一步增强,诚信经营水平进一步提高”,培育一批具有工匠精神的高素质企业员工,企业品牌影响力不断提升。(二)核心人员介
6、绍1、向xx,中国国籍,1977年出生,本科学历。2018年9月至今历任公司办公室主任,2017年8月至今任公司监事。2、郝xx,中国国籍,无永久境外居留权,1961年出生,本科学历,高级工程师。2002年11月至今任xxx总经理。2017年8月至今任公司独立董事。3、方xx,中国国籍,无永久境外居留权,1970年出生,硕士研究生学历。2012年4月至今任xxx有限公司监事。2018年8月至今任公司独立董事。4、孔xx,1974年出生,研究生学历。2002年6月至2006年8月就职于xxx有限责任公司;2006年8月至2011年3月,任xxx有限责任公司销售部副经理。2011年3月至今历任公司
7、监事、销售部副部长、部长;2019年8月至今任公司监事会主席。5、谢xx,中国国籍,无永久境外居留权,1971年出生,本科学历,中级会计师职称。2002年6月至2011年4月任xxx有限责任公司董事。2003年11月至2011年3月任xxx有限责任公司财务经理。2017年3月至今任公司董事、副总经理、财务总监。三、 内部控制的相关比较(一)目标的比较内部控制是一个管理系统而非技术系统,是一个防守系统而不是进攻系统,因此,内部控制要实现企业的价值最大化目标,无法依靠利益的增加而只能通过减少支出。内部控制的目标,通常指内部控制所要达到的预期效果和所要完成的控制任务。从理论上说,内部控制的目标主要取
8、决于内部控制本身所具有的功能和人们在设计、执行内部控制时的主观需要。内部控制的目标限于内部控制功能和人们的主观需求之间,不可能高于其本身的客观功能,当然,也不能低于主观需求。1、国内外相关报告的内部控制目标比较内部控制的目标并非单一的,是由几个目标组成的目标结构或体系,并且,各目标之间存在着相互联系。目前内部控制学关于目标的阐述有“三目标论”“四目标论”“五目标论”,这些目标深入具有不同的层次,但有一个共同的目标指向,即降低各种风险带来的损失。对内部控制整体框架、企业风险管理框架与我国企业内部控制基本规范中所规定的内部控制目标进行的比较。标准或规范对内部控制目标的规定有所差异,主要是因为第一,
9、确定控制目标的设定基础。有的以内部会计控制为基础设定(如1949年的定义),有的以内部控制为基础来设定,有的以风险管理为基础设定;第二,颁布这些标准或规范的机构不同。有的从企业层面颁布,有的从行业层面颁布,有的从监管层面颁布。反观我国基本规范,相较于企业风险管理框架,多了一个资产安全目标,资产安全是企业展开各种经济活动的物质前提,但是从目标的排列次序上可以看出,我国的基本规范中规定的次序恰恰与企业风险管理报告要求的相反,这是结合我国基本实情的具体规定。一般认为,首先,企业应当在合规合法的前提下开展活动,违背了这项原则,其他目标再好也是纸上谈兵。其次,保证合规合法目标实现的基础之上,资产作为企业
10、经济活动的物质前提,应当保证实现资产安全的目标。再次,企业应当保证财务报告及相关信息的真实完整,以便于利益相关者做出决策。与此同时,企业应当回归到日常经营管理活动当中来,提高企业的经营效率和效果,提高经营业绩是企业的大势所趋。最后,在上述四个目标实现的基础上,提出了企业的发展战略。2、我国内部控制目标演进过程我国的相关法规制度对内部控制目标的界定也是一个不断演进的过程,我国相关法规、制度对内部控制目标的界定,可以分为三个发展演进阶段。第一阶段,外部化阶段。强调内部会计控制,突出财务报告的真实完整,主要表现在独立审计具体准则第9号内部控制和审计风险(体现内部控制为审计服务)、财政部内部会计控制规
11、范一基本规范等。第二阶段,内部化阶段。强调内部控制,在保证财务报告真实完整的前提下提高经营的效率和效果,主要表现在中国注册会计师审计准则第1211号(体现风险导向的审计内涵)、上交所上市公司内部控制指引、深交所上市公司内部控制指引等。第三阶段,风险管理阶段。强调企业风险管理,主要表现在五部委企业内部控制基本规范。以上三个阶段说明我国内部控制目标的发展是在借鉴国外最佳实践的基础上,关于内部控制理念与实践的提升。(二)内部控制要素的比较纵观内部控制的历史演进可以发现,从最早的内部控制“一要素”阶段内部牵制阶段,“二要素”阶段一内部控制制度阶段,“三要素”阶段一内部控制结构阶段,到“五要素”阶段内部
12、控制整合框架阶段,再到“八要素”阶段一风险管理整合框架阶段,内部控制的发展历史实际上也是内部控制要素不断充实和丰富的过程。内部控制基本要素反映了内部控制的内容,这些要素及其构成方式与整个控制过程整合在一起,决定着控制的内容与形式。企业风险管理框架在内部控制整体框架的基础上,将风险评估分解为目标制定、事项识别、风险评估和风险应对四个要素,纳入风险管理流程,突出了风险管理的重要性。而基本规范是五要素的体系结构,一方面继承内部控制整体框架的理论成果,另一方面适当体现企业风险管理框架的先进理念,结合我国国情的基础上将两者有效结合。四、 企业内部控制规范的基本内容我国企业内部控制规范的基本框架,可以概括
13、为五大目标、五大原则和五大要素。(一)内部控制的目标内部控制是围绕目标展开的,因此明确目标至关重要。内部控制的目标,应是整个控制系统的出发点,决定了系统运行的方式和方向。企业内部控制基本规范中对内部控制提出了合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果以及促进企业实现发展战略的五大目标,简称为合规目标、资产安全目标、报告目标、经营目标和战略目标。内部控制五大目标是一个完整的目标体系,由于各大目标在控制体系中的层级不同,其在整个目标体系中的地位和作用也有所差异。1、合规目标合规目标要求企业或其他组织完全遵循国家的法律法规和监管要求,是企业成功运营的必要保证,与企业活动的合法
14、性相关。企业生存于社会这个大环境下,必须遵守社会的基本规范,包括法律规范和道德规范,必须在社会允许的范围内展开各项活动,即“小制度不能大于大法”。因此,遵守法规、制度是企业一切活动的前提,也是首先要保证完成的目标。国家有关法律、制度的落实必将依靠内部控制的有效执行加以保证。一个违反国家法律法规、丧失道德底线的企业,必然会将自身置于高风险的环境中,从而对自身的生存和发展造成巨大的威胁,后果可想而知。合规目标方面的关注点主要包括:公司的各项活动符合法律法规确定的要求,通常涉及知识产权、市场、价格、税收、环境、员工福利以及国际贸易等。2、资产安全目标虽然在COSO框架中没有将保护资产安全作为一个主要
15、目标,而是作为主要目标中的一个子目标,但是我国的企业内部控制基本规范中重新将其作为内部控制目标的一个部分,这是基于我国的国情和现状做出的必然选择,是有一定用意的。我国普遍存在产权多元化现象,而且国有资产流失现象极其严重,保护资产安全和完整对资产所有者来说具有特别重大的意义。资产安全与否实际上是内部控制的一个过程控制结果,是实现其他目标的物质前提。因此,该目标要求内部控制能够保护主体所有资产的安全和完整。资产安全目标方面的关注点主要包括:关注企业日常经营活动的效率,提高企业的生产力和竞争力,防止资产缩水,关注资产使用及处置的授权情况。3、报告目标报告目标指内部控制应合理保证企业提供了真实、可靠的
16、财务报告及其他信息。报告目标有助于组织向投资者、债权人等利益相关者以及内部管理层提供真实、可靠、完整的信息,具体包括内部和外部、财务与非财务信息,它是内部控制目标体系的基础目标。企业报告包括内部报告和外部报告,报告目标的提出更多地满足了企业外部的需求。对于外部使用者来说,真实、可靠和完整的财务报告能够公允地反映企业的财务状况和经营成果,从而有利于信息使用者做出决策。当然,非财务信息的重要性也是不言而喻的。可靠的报告既为管理层提供了适合其既定目的的准确和完整的信息,也是外部监管的要求。报告目标方面的关注点主要包括以下几个部分。(1)管理层决策及对公司活动、业绩监控的准确、及时、完整的信息的对内报
17、告;(2)用于满足投资者、监管部门及其他相关信息需求者的真实、可靠、完整信息的对外报告;(3)信息的全面性,而不仅仅是财务信息。4、经营目标经营目标旨在有效和高效地使用企业有限的资源,提高经营的效率和效果,实现良好的运营。经营目标是企业实现其战略目标的核心和关键所在,战略目标与企业的使命相关联,战略目标只有通过分解和细化成经营目标才能得以落实。因此,没有经营目标,战略目标再好也无任何意义。经营目标需要反映特定企业自身及所处特定经济环境的特点,全面考虑产品质量的竞争压力、产品的生产周期和与技术变化相关的其他因素。一般来说,经营目标引导企业的资源流向,经营目标不成熟或不明确,会造成企业资源的浪费。
18、通常情况下,良好的内部控制能够提高企业的经营效率和效果,提高单位时间产量,优化产品质量,从而提高企业的核心竞争力。管理层必须确保经营目标反映现实的市场需求,并且有明确的绩效衡量指标。经营目标方面的关注点主要包括以下几点。(1)经营目标与公司战略目标及战略计划一致;(2)经营目标适应公司所处的特定经营环境、行业和经济环境等(3)各个业务活动目标之间保持一致;(4)所有重要业务流程与业务活动目标相关;(5)适当的资源及有效配置;(6)管理层制定的公司经营目标及他们对目标的负责程度。5、战略目标战略目标是基于组织整体视角的最高层次目标,其他目标都应与战略目标协调一致并服务于战略目标。战略目标与企业的
19、目标紧密相关,并且是支持企业目标实现的基础。管理者为实现企业价值最大化这一根本目标,针对内外部环境,评估与目标实现相关的风险,根据风险偏好,做出一系列的反应和选择。一个企业为实现其战略目标,首要的任务是在分析内外部环境的基础上制订战略,明确战略目标;其次,对风险进行识别和评估,并在制订相应风险应对措施的基础上形成战略规划;最后,将战略目标逐步分解成若干子目标,再将子目标层层分解至各个业务部门、行政部门和各生产过程。上述过程为企业实现其战略目标提供了合理保证。战略目标反映了管理层就主体如何努力为其利益相关者创造价值所做出的选择,是最高层次的目标,与其使命相关并支撑其使命。战略是实现企业目标的全面
20、性、方向性的行动计划。企业在考虑实现战略目标的各种方案时,必须考虑与各种战略相伴的风险及其影响,对于同样的战略目标可以选择不同的战略加以实现,而不同的战略则具有不同的风险。因此,企业在战略选择之前,有必要对当前的经营状况进行评估,分析内、外部环境因素,明确公司在行业中所处的位置及面临的机遇和挑战,不断审视当前的目标与使命。战略目标方面的关注点主要包括以下几点。(1)管理层对企业绩效现状进行的评估,是前期战略进行监控的基础,也是企业新战略制订的基础(2)对内部和外部环境的监测分析;(3)战略目标体系;(4)战略选择遵循了必要的流程,并获得了充分地讨论;(5)企业对目标实现与现有资源状况之间的匹配
21、程度进行的评估;(6)设定战略目标可接受程度;(7)就战略目标与企业内部员工和外部相关利益集团之间进行沟通。(二)内部控制的原则企业建立内部控制应遵循一定的原则,没有正确的原则指导,内部控制的设计就难免存在先天性不足的问题,其执行效率难免大打折扣。内部控制的基本原则是建立和实施各种内部控制应遵循的具有普遍性和指导性的法则和原则,它所要解决的问题是,为了实现内部控制的目标,基于内部控制的基本假设,根据内部控制的理论基础,应当如何科学地设计和执行内部控制的问题。企业内部控制基本规范明确指出,企业建立与实施内部控制,应当遵循全面性、重要性、制衡性、适应性、成本效益五大原则。这五个原则形成一个整体,设
22、计企业的内部控制应做到统筹兼顾,不可偏废。1、全面性原则全面性原则是指内部控制应该贯穿决策、执行和监督全过程,覆盖企业及其所属单位的各种业务和事项。全面性原则要求内部控制覆盖全部业务活动和每项业务活动的全过程,在层次上应当涵盖企业董事会、管理层和全体员工;在对象上应当覆盖企业各项业务和管理活动;在流程上应当渗透到决策、执行、监督、反馈等各个环节,避免内部控制出现空白和漏洞。具体而言,全面性原则,首先要求企业进行全过程控制,即对整个经营管理活动过程进行全面、全方位、全时段的控制,其中包括企业管理部门用以授权与指导、进行购货、生产等经营管理活动的各种方式方法,以及核算、审核、分析各种信息及进行报告
23、的程序与步骤等。其次,内部控制对全体员工都有约束力,企业应当进行全员控制。企业的每一位成员既是内控的主体,又是内控的客体,内部控制制度应保证每一位员工包括高层管理人员到基层执行操作人员都受到相应的控制。2、重要性原则重要性原则是指内部控制应当在全面控制的基础上,关注重要业务事项和高风险领域。对重要业务经济活动进行重点控制时,对一项经济业务活动的关键环节实行重点控制。对关键控制点的选择,应统筹考虑会影响整个企业经营运行过程的重要操作与事项以及其是否能在重大损失出现之前显示差异,以便有利于对问题做出及时、灵敏的反应。例如,在设计与执行同存货相关的内部控制制度时,可以借鉴存货ABC管理方法,根据存货
24、数量占比和资金占比,对其中的A类存货进行重点控制。在理解上,应将全面性原则和重要性原则联系起来,不能片面、分立地理解。重要性是在全面性基础上的考虑,即重要业务事项一个都不能少。这是内部控制合理保证目标实现以及确定控制点的前提也是成本效益原则的体现。3、制衡性原则制衡性原则是指内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督,同时兼顾运营效率。内部控制的本质之一是制衡,制衡性原则是内部控制的一个灵魂性原则,是内部控制有效性的具体判断标准。企业的机构、岗位设置和权责分配应当科学合理并且符合内部控制的基本要求,确保不同部门、岗位之间的权责分明和有利于相互制约、相互监督
25、。履行内部控制监督检查职责的部门应当具有良好的独立性。任何人不得凌驾于内部控制之上。制衡性原则要求人们在办理具有固定风险的经济业务事项,对涉及的不相容职务应该严格加以分离,不得由一个人或一个部门包办到底。组织行为理论强调授权和权力制衡的重要性,因此通过科学合理地设置机构、岗位和分配权责,能够实现权力的相互制衡,进而实现组织的各项目标。此外,不串通假设也为该原则地遵循奠定了基础。因此,制衡性原则是建立内部控制应当遵循的又一个重要的基本原则。4、适应性原则适应性原则是指内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应,并随着情况的变化及时加以调整。适应性原则是成本效益原则的保证。组
26、织行为理论强调人们应该重视环境的变化,“因地制宜”地设计、“因材施教”地执行内部控制。企业在性质、行业、规模、组织形式和内部管理体制及管理要求等方面存在差异,这构成了企业不同的特点以及同一行业在不同的发展阶段表现出不同的特点。因此,企业应当根据各自的实际情况,恰当地设置适用的控制措施、手段及程序等,发挥应有的控制作用,满足管理的需要。5、成本效益原则成本效益原则是指内部控制应当权衡实施成本与预期效益,以适当的成本实现有效控制。企业是以追求经济利益为目标的经济组织,内部控制的设计和实施是需要成本的。企业应当在保证有效性的前提下,合理地权衡成本与效益的关系,争取以合理的成本实现更为有效的控制。这一
27、原则要求企业根据规模大小及具体经营管理情况设计和执行内部控制制度,既要考虑到设计的经济性,又要考虑到执行的效益性,避免重复控制,浪费人力、物力和财力;应尽量精简机构和人员,减少过繁的程序和手续,提高工作效率;尽可能控制设计成本与执行成本,以达到最佳的控制效果。(三)内部控制的要素按照企业内部控制基本规范的规定,我国企业内部控制包括内部环境、风险评估、控制活动、信息与沟通、内部监督5要素。1、内部环境内部环境是企业实施内部控制的基础,一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。内部环境是影响、制约内部控制建立与执行的各种因素的总称,是实施内部控制的基础。2、风险评估
28、风险评估是指企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险,合理确定风险应对策略。因此,风险评估主要包括目标制定、风险识别、风险分析和风险应对四个环节。风险评估是实施内部控制的重要依据。3、控制活动控制活动是企业根据风险评估结果,采用相应的控制措施,将风险控制在可承受的范围之内。它是实施内部控制的具体手段。4、信息与沟通信息与沟通是指企业及时、准确地收集、传递与内部控制相关的信息,确保信息在企业内部、企业与外部之间的有效沟通和正确应用的过程。它是实施内部控制的重要组成部分。5、内部监督内部监督是指企业对内部控制建立与实施情况进行监督检查,评价内部控制的有效性,一旦发现内部控制缺陷
29、,应当及时加以改进。它是实施内部控制的重要保证。总之,内部控制的目标是一个体系,按照COSO的观点,每一个目标都要有相应的控制程序,从横向的角度来看,所有的控制程序一定存在某些共性,抽出所有控制程序的共性并归类就形成了内部控制的各个构成要素,即内部控制的要素结构。五、 企业风险管理(一)企业风险管理(2004)架构1、基本框架2004年,COSO为企业风险管理确立了一个可普遍接受的定义,该定义融入众多观点并达成共识,为各组织识别风险和加强对风险的管理提供了坚实的理论基础,即企业风险管理是一个受企业董事会、管理层和其他人士影响的过程,运用于制订战略之中,并且贯穿整个企业,用以识别可能影响该企业的
30、潜在事项,并且将风险控制在风险偏好的范围之内,为达到实体目标提供合理的保证。企业风险管理(2004)框架的主要贡献就在于,其重新界定了风险管理,即由目标、要素和组织三个维度组成的有机整体。第一维度为企业的目标,即战略目标、经营目标、报告目标和合规目标。在主体既定的使命或愿景范围内,管理当局制订战略目标、选择战略,并在企业内自上而下设定相应的目标。企业风险管理框架力求实现主体的战略目标、经营目标、报告目标和合规目标。战略目标与高层目标相关,和企业使命相一致,企业所有的经营管理活动必须长期有效地支持该使命。经营目标与企业运营的效果和效率相关,包括业绩和利润目标,运营变化以管理当局对结构和业绩的选择
31、为基础,旨在使企业能够高效地使用资源。报告目标与组织报告可靠性相关,包括对内报告和对外报告,涉及财务和非财务信息。合规目标层次较低,也是最基础的目标,与组织遵循相关法律法规有关。第二维度为构成要素,即内部环境、目标设定、事项识别、风险评估、风险应对、控制活动、信息与沟通和监控。第三维度组织是企业的层级,包括主体层次、分部、业务单元及子公司。三个维度的关系是,全面风险管理的八个要素都是为企业的四个目标服务的;企业各个层级都要坚持同样的四个目标;每个层次都必须从以上八个方面进行风险管理。2、构成要素第二维度企业风险管理包含八个相互关联的要素。它们来源于管理当局经营企业的方式,并与管理过程整合在一起
32、。这些构成要素的含义如下。内部环境内部环境包含组织的基调,它为主体内的人员如何认识和对待风险设定了基础,包括风险管理理念和风险容量、诚信和道德价值观,以及他们所处的经营环境。目标设定必须先有目标,管理当局才能识别影响目标实现的潜在事项。企业风险管理确保管理当局采取适当的程序去设定目标,确保所选定的目标支持和切合该主体的使命,并且与它的风险容量相符。事项识别必须识别影响主体目标实现的内部和外部事项,区分风险和机会。机会被反馈到管理当局的战略或目标制订过程中。风险评估一通过考虑风险的可能性和影响来对其加以分析,并以此作为决定如何进行管理的依据。风险评估应立足于固有风险和剩余风险。风险应对管理当局选
33、择风险应对回避、承受、降低或者分担风险采取一系列行动以便把风险控制在主体的风险容忍度和风险容量以内。控制活动一制订和执行政策与程序以帮助确保风险应对得以有效实施。信息与沟通一一相关的信息以确保员工履行其职责的方式和时机,能被识别、获取和沟通。有效沟通的含义比较广泛,包括信息在主体中的向下、平行和向上流动。监控对企业风险管理进行全面监控,必要时加以修正。监控可以通过持续的管理活动、个别评价或者两者结合来完成。企业风险管理并不是一个严格的顺次过程,一个构成要素并不是仅仅影响接下来的那个构成要素。它是一个多方向的、反复的过程,在这个过程中几乎每一个构成要素都会影响其他构成要素。3、企业风险管理(20
34、04)框架面临的问题企业风险管理(2004)框架在对企业风险管理进行定义时所强调的最重要也是最独具一格的一点是“贯穿整个企业,应用于战略制定中”。而这一点在实践中却被误读,甚至被无视。COSO最初在编制ERM框架时采用了类似于内部控制框架所使用的立方体。虽然COSO对立方体右侧的内容进行了修改,删除了有关活动和流程,改为侧重于范围更广的实体和运营单位及分支机构,但许多企业依然试图在过于细微的层面实施该框架,例如运用于流程层面而非战略制定。许多组织机构将企业风险管理作为一种保证活动来实施,而不是将其视为一种更佳的企业管理方式,从而失去了治理效果。2008年金融危机以及2011年的日本海啸所引发的
35、经济大萧条,“黑天鹅”“大变脸”事件频频爆发,ERM有关问题和价值的主张便开始明朗起来,令许多企业进入危机应对模式,企业风险管理的实施也因此受到企业特别是C级高管的真正重视。6月24日,COSO委员会发布企业风险管理:风险与战略和绩效的协调,以向公众征求意见,截止日期为2016年9月30日。(二)企业风险管理(2016)框架的内容相对于企业风险管理(2004)框架,新版企业风险管理(风险与战略和绩效的协调)(2016)使用了构成元素加原则的结构,包括5个构成元素,细分为23条原则,2013年COSO组织更新了企业内部控制框架的部分内容,在文章的整体结构上就是采用的这种结构新的结构加强了新框架的
36、可读性、可用性和一致性。新版ERM框架的五要素和23个原则。新版框架对ERM的定义为:组织在创造、保存、实现价值的过程中赖以进行风险管理的,与战略制订和实施相结合的文化、能力和实践。可以看到,新版框架简化了ERM的定义以方便阅读和记忆。新定义方便的是所有读者的理解,而不只是风险管理从业者。新定义包括文化和能力而不只是过程,更加强调风险与价值的相结合,突出价值创造而不只是防止损失,这样也避免了和内部控制定义的界限不清。新版框架中,ERM被视为战略制定的重要组成和识别机遇、创造和保留价值的必要部分。新版框架中ERM不再是主体的一个额外的或是单独的活动,而是融入主体的战略和运营当中的有机部分。新版框
37、架注意到了自旧版框架发布以来,组织在实践ERM过程中遇到的一些问题,包括对风险管理工作的定位,风险管理工作的范围和目标等,新版框架定义了风险管理工作的高度,包括:战略和业务目标与使命、愿景和价值观不匹配的可能性;选定的战略所隐含的意义;执行战略过程中的风险。1、风险治理和文化风险治理和文化构成了ERM所有其他部分的基础。风险治理定下主体的基本基调,加强ERM的重要性并确立ERM的监管责任的分配;文化则是主体的价值观、行为准则和对风险的理解。(1)实现董事会对风险的监督。董事会对主体的风险监督负有首要责任。(2)建立治理和运作模式。在明确的责任分配下,组织应该建立完整的运营模式和汇报体系。(3)
38、定义期望的组织行为。董事会和管理层通过定义其期望的行为将组织核心价值和对风险的态度具体化。(4)展现对诚实和道德的承诺。组织制定基调,建立员工行为准则并对偏离准则的行为做出回应。(5)加强问责。组织确保各个层级的个体在风险管理方面的职责明确,并确保其自身在提供准则和指导方面的职责明确。(6)吸引、发展并留住优秀的个体。致力于根据战略和业务目标构筑人力资本,管理层通过在不同层面建立人力资源管理体系来吸引、培训、指导人才,评价和留住人才。2、风险、战略和目标设定ERM通过制订战略和业务目标的过程与主体的战略计划融合在一起。通过对商业环境的理解,组织可以得到对内在和外在因素的看法以及它们对风险的影响
39、。组织在战略制订中确定其风险偏好,而业务目标使得战略得以实践并形成主体日常的运营。(1)考虑风险和业务环境。组织考虑业务环境对风险图谱的潜在影响;组织要理解业务环境,考虑内部和外部的环境和不同的利益相关者。(2)定义风险偏好。组织在创造、保存和实现价值的过程中定义风险偏好。(3)评估可供选择的战略。组织评估可替代的战略和对风险状况的影响。(4)建立业务目标的同时考虑风险。组织建立不同层次的业务目标以制定和支持战略的同时考虑风险。(5)定义可接受的绩效浮动区间。可接受的绩效浮动也可以理解为风险容忍度。3、执行中的风险组织识别并评估可能影响其实现战略和业务目标的风险,结合企业的风险偏好,对风险按照
40、其严重程度排分优先次序,组织选择风险应对的方法并对绩效进行监控以做出调整。这样,企业对追求战略和业务目标时所面临的风险量建立起一个组合的观念。(1)识别执行中的风险。组织识别执行过程中影响业务目标实现的风险。(2)评估风险的严重程度。风险评估的重要工具是风险热力图,热力图从风险发生的可能性和影响程度两方面对风险进行评级。风险评价要从固有风险、目标剩余风险和实际剩余风险三个层级进行。(3)区分风险的优先次序。组织结合风险偏好,选定对风险排分优先等级的标准,然后对所有识别的风险进行排分。(4)识别并选择风险响应。这些控制活动在内部控制一整合框架中已经介绍。(5)评估执行中的风险。组织需要对绩效进行
41、监测,如果绩效的浮动区间超出了可以接受的范围,则可能需要重新考虑业务目标或战略;调整目标绩效,重新进行风险评估;重新进行风险优先级的排序;重新制定风险应对措施;重新确立风险偏好。(6)建立风险的组合观。管理层需要从组织整体角度考虑风险,将组织风险作为一个整体去和实现绩效目标所需要承受的风险进行对比,而不是将其视为一个个单独的、分散的风险。4、风险信息、沟通和报告沟通是在主体中不断迭代地取得并分享信息的过程。管理层利用从内部和外部取得的有效信息来支持企业风险管理工作,组织利用信息系统来捕捉、处理和管理数据和信息。通过利用应用于所有组成部分的信息,组织就风险、文化和绩效做出报告。(1)使用相关信息
42、。组织利用支持企业风险管理的信息,首先考虑有哪些可用的信息来源,然后衡量取得这些信息的成本,最终确定需要哪些信息来源。(2)利用信息系统。信息系统可以是正式的或者是非正式的。(3)沟通风险信息。沟通的对象既包括内部的员工,也包括董事会、股东及其他外部的利益相关者。沟通方法可以是电子信息、外部/第三方材料、非正式/口头、公共活动、培训和研讨会、内部文件。(4)对风险、文化和绩效进行报告。组织在各个层级对风险、文化和绩效做出报告。5、监控风险管理效果通过监控风险管理(ERM)的效果,组织可以判断ERM的各组成部分的长期运作是否良好并获知有哪些实质性的变化。(1)对重大变化进行监控。组织识别和评估可
43、能对战略和业务目标的达成造成实质性影响的内部和外部变化。造成这些实质性影响的变化可能来自内部的原因,如快速成长、新技术或者管理层及其他人事变动;可能来自外部环境,例如法规和经济环境的变化;还可能来自组织文化方面,例如并购和重组带来的文化冲击。(2)对ERM进行监控。组织应监控ERM的效果并随时准备对其进行效率上和实用性上的改善,组织同样要明确未来理想中的ERM状态,做到持续改进。六、 内部牵制内部牵制的概念最早在1905年由特克西提出。他认为内部牵制由3部分组成:职责分工、会计记录、人员轮换。这3部分内容在现代内部控制中都有所体现。柯勒会计词典中对内部牵制曾做出最全面的解释,它认为“内部牵制是
44、指以提供有效的组织和经营,并防止错误和其他非法业务发生的业务流程设计。其主要特点是以任何个人,或部门不能单独控制任何一项或一部分业务权力的方式进行组织上的责任分工,每项业务通过正常发挥其他个人或部门的功能进行交叉检查或交叉控制。设计有效的内部牵制得以使每项业务能完整、正确地经过规定的处理程序,而在这规定的处理程序中,内部牵制机制永远是一个不可缺少的组成部分”。由此可见,内部牵制是以查错防弊为目的,以职务分离、账目核对为手段,以钱、账、物等为主要控制对象。内部牵制按照实现机制的不同,可分为分离式牵制和合作式牵制两类。(一)分离式牵制内部牵制制度的建立主要是基于两个设想,一是两个人或两个以上的人或
45、部门无意识地犯同样错误的机会是很小的:二是两个或两个以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部门舞弊的可能性。按照这样的设想,通过内部牵制机制,实现上下牵制,左右制约,相互监督,因而具有查错防弊这个主要功能。所谓的上下牵制是指,从纵向看,每项经济业务的处理,至少要经过上下级有关人员之手,使下级受上级监督,上级受下级制约,促使上下级均能忠于职守,不可疏忽大意。所谓左右制约是指,从横向看,每项经济业务的处理,至少要经过彼此不相隶属的两个部门的处理,使每一部门工作或记录受另一部门的牵制,不相隶属的不同部门均有完整的记录,使之互相制约,自动检查,防止或减少错误和弊端;同时,通过交叉核
46、对也能及时发现错误和弊病。分离式牵制即不相容职务相分离,所谓不相容职务是指那些如果由一个人或一个部门担任既可能发生错误和舞弊行为,又可能掩盖其错误和舞弊行为的职务。不相容职务主要有授权批准、业务经办、会计记录、财产保管和稽核检查等职务,包括岗位的不相容、部门的不相容以及流程的不相容。不相容职务分离主要是指授权审批与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办与稽核检查、授权批准与监督检查等不能由一个人或一个部门进行。由此可见,内部牵制主要是以不相容职务分离为主要流程设计的,是内部控制的最初形式和基本形态。其目的是为了保证财产物资的安全和完整,防止贪污、舞弊。实践证明,该设想是合理
47、的,内部牵制确实起到了防范错弊的作用。(二)合作式牵制现代内部牵制思想还包括合作式牵制。合作式牵制是指,通过合作达到相互制约、相互监督的作用。例如,会审机制,企业面对重大决策、重大业务事项、重要的人事任免以及大额资金支付时,需要领导层集体决策、集体联签,以防止个人决策的失误:又如合同会签制度,即合同在生效前不仅需要主管部门签字盖章还需要其他协作部门共同参与,会审、会签人员共同参与、共担责任,以及降低决策、合同的风险。另外,企业内部各部门之间在业务上的协助也属于合作式牵制。例如,2012年财政部颁布要求在2014年1月1日试行的行政事业单位内部控制规范中规定,重大事项需集体决策和会签。七、 内部
48、控制评价的组织与实施内部控制评价是由企业董事会和管理层实施的。进行评价的具体内容应围绕企业内部控制基本规范中提及的内部控制五个要素即内部环境、风险评估、控制活动、信息与沟通、内部监督,以及企业内部控制基本规范及企业内部控制应用指引中的内容。在确定具体内容后,企业应制定内部控制评价程序,对内部控制有效性进行全面评价,包括财务报告内部控制有效性和非财务报告内部控制有效性;同时为内部评价工作形成工作底稿,详细记录企业执行评价工作的内容,包括评价要素、关键风险点、采取的控制措施、有关证据资料以及认定结果等;企业还应在评价工作中明确内部控制缺陷的认定准则;完成评价后,企业应当准备一份内部控制自我评价报告
49、,在其年报中进行披露:企业董事会应当对内部控制评价报告的真实性负责。(一)内部控制评价的相关概念内部控制评价一般是指由专门的机构或人员,通过对单位内部控制系统的了解、测试和分析,对其完整性、合理性及有效性提出意见,并进行报告,以利于单位进一步健全和完善内部控制体系。我国企业内部控制基本规范第四十六条指出:企业应当结合内部监督情况,定期对内部控制的有效性进行自我评价,出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率,由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。(二)内部控制评价应当遵循的原则根据企业内部控制评价指引第三条的规定,内部控制评价应遵循
50、以下3个原则。1、全面性原则评价工作应当包括内部控制的设计与运行,涵盖企业及其所属单位的各种业务和事项。2、重要性原则评价工作应当在全面评价的基础上,关注重要业务单位、重大业务事项和高风险领域。3、客观性原则评价工作应当准确地揭示经营管理的风险状况,如实反映内部控制设计与运行的有效性。(三)内部控制评价的内容根据企业内部控制评价指引的要求,内部控制评价涉及以下7个方面。(1)企业应当根据企业内部控制基本规范、应用指引以及本企业的内部控制制度,围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素,确定内部控制评价的具体内容,对内部控制设计与运行情况进行全面评价。(2)企业组织开展内部环境
51、评价,应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据,结合本企业的内部控制制度,对内部环境的设计及实际运行情况进行认定和评价。(3)企业组织开展风险评估机制评价,应当以企业内部控制基本规范有关风险评估的要求,以及各项应用指引中所列主要风险为依据,结合本企业的内部控制制度,对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。(4)企业组织开展控制活动评价,应当以企业内部控制基本规范和各项应用指引中的控制措施为依据,结合本企业的内部控制制度,对相关控制措施的设计和运行情况进行认定和评价。(5)企业组织开展信息与沟通评价,应当以内部信息传递、财务报告、信息系统
52、等相关应用指引为依据,结合本企业的内部控制制度,对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性,以及利用信息系统实施内部控制的有效性等进行认定和评价。(6)企业组织开展内部监督评价,应当以企业内部控制基本规范有关内部监督的要求,以及各项应用指引中有关日常管控的规定为依据,结合本企业的内部控制制度,对内部监督机制的有效性进行认定和评价,重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。(7)内部控制评价工作应当形成工作底稿,详细记录企业执行评价工作的内容,包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果
53、等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。(四)内部控制评价的程序根据企业内部控制评价指引第十二条的要求,企业应按照内部控制评价办法规定程序,有序开展内部控制评价工作。内部控制评价程序一般包括制订评价控制方案、组成评价工作组、实施评价工作与测试、认定控制缺陷、汇总评价结果及编报评价报告等环节。在这里重点讲解制订评价控制方案、组成评价工作组、实施评价工作与测试、汇总评价结果四个环节。1、制订评价控制方案企业可以授权审计部门或专门机构负责内部控制评价组织的实施工作。承担内部控制评价的部门或机构应具备以下条件。(1)能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力;(2
54、)具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养;(3)与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致,在工作中相互配合、相互制约;(4)能够得到企业董事会和经理层的支持,通常直接接受董事会及其审计委员会的领导和监事会的监督,有足够的权威性来保证内部控制评价工作的顺利开展。内部控制评价部门或机构应根据内部监督情况和要求,制订评价工作方案,明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容,报经董事会或其授权审批后实施。这是一个进行内部控制评估前的全面计划,提供内部控制评价的效率和效果。2、组成评价工作组内部控制评价部门或机构在评价方案获得批准后,需要
55、组织评价工作组,具体承担内部控制检查评价任务。评价工作组成员应具备独立性、业务胜任能力和职业道德素养及吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业可根据自身的条件建立内部控制培训机制,为评价工作组成员提供培训,使其尽快掌握内部控制知识,熟悉企业业务流程及应关注重点、评价工作流程、方法以及工作底稿准备的要求。对于拥有内部审计部门的企业来说,内审部门很有可能也同样地担当内部控制评价组的工作。但如果企业决定利用外聘会计师事务所为其提供内部控制评价服务,根据企业内部控制基本规范的要求,则该事务所不应同时为企业提供内部控制的审计服务。3、实施评价工作与测试评价工作组需通过了解企
56、业层面基本情况、各业务层面的主要流程,识别有关主要风险后,才能开展实施及测试设计和运行有效性的内部控制工作。(1)了解公司层面基本情况。评价工作组与被评价单位进行充分沟通,了解其经营业务范围、企业文化、发展战略、组织结构、人力资源等内部环境及内部控制内容中五个要素的运作情况。(2)了解各业务层面的主要流程及风险。在这一阶段,评价工作组把工作重点放在主要业务流程上,如资金管理流程、销售流程和采购流程等。为支持评估工作与相关测试有效进行,企业应建立全面文档记录。文档记录可以帮助评价工作组了解各个主要业务领域的流程,识别相关的风险关注点及可能存在的内部控制措施。评价工作组可审阅的内控流程文档可能有以
57、下几种。风险控制矩阵文档。关注点在于复核风险流程的合理性,例如,文档是否包含了流程面临的所有风险、列示的风险是否得到定期或及时的更新、对于各项风险的重要性水平分析是否合理,以及复核控制点的识别,关键控制点、重要控制点、一般控制点的判断是否合适。流程图文档。关注点在于流程图是否与实际操作及风险控制矩阵描述相符合,流程图是否清楚地标示所有风险点及控制点,流程图中责任部门、岗位以及其他管理机构是否表述清晰、表述的流程路径是否清晰、是否存在交叉,以及内容是否涵盖所有流程实际操作及相应的控制活动。审批权限表文档。关注点在于部门及岗位的描述是否准确、权限的划分和设置是否合理。评价工作组应识别业务流程中的关
58、键业务或固有风险,提出对于每一重大流程在交易过程中“可能出错”而产生重大错误的问题在这些控制点上识别降低风险的控制,这些控制应当能够为防止发生重要的错误或者能发现并更正错误提供合理保证。有些控制可能并不显而易见,可能是电子化或者是人工的,并且同时是高层及基层实施。这些关注点将是评价工作组进行设计或运行有效性并做出结论的地方。例如,银行账户管理中,银行账户的开立、变更及撤销未经合理的审批及授权,对于该风险点应该采取相应控制措施,提交给银行的开立账户申请书需要经过公司总经理书面批准(签章),提交给银行的变更账户申请需要经过财务经理和总经理审批,提交给银行的撤销账户申请需要经过财务经理和总经理审批。
59、再以资金管理流程为例,企业面临的一个关键业务风险可能是客户需求的波动,当客户需求下降时,企业收入减少,进而发生资金的短缺并增加对营运资金需求的压力,资金需求将会直接导致银行融资或企业债券融资的增加进而导致企业的财务费用成本增加。固有风险是指假设不存在相关的内部控制,某一业务风险事项发生的可能性。例如,某企业所处行业的性质决定该类企业资金、在建工程与固定资产的交易比存货(通常为一些低值易耗品)的交易更容易出现差错。一些产生经营风险的外部因素也可能影响固有风险,如“节能减排”的目标要求企业投资建立高效率、低消耗的新型生产线,并对旧装备进行技术改造,这些都会影响资金流。在各重要流程中,管理层可能已实
60、施不同程度的控制以应对风险。例如,在资金管理流程、银行账户的开立的风险点中,可能有的控制措施是要求提交给银行的开立账户申请书需要经过公司总经理书面批准或签章。(3)确定检查评价范围和重点。评价工作组根据掌握的情况确定评价范围、检查重点和抽样数量,进行分工与测试。评价范围、方式、程序和频率,将因企业经营业务调整、经营环境、风险水平等因素而异。(4)开展现场检查测试。评价工作组可综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等评价方法,收集被评价单位内部控制设计与运行是否有效的证据,按照要求填写工作底稿、记录有关测试结果。如果发现内部控制出现缺陷,则需与管理层沟通,对有关
61、缺陷进行认定并进行记录。个别访谈。评价工作组人员可以个别访谈企业或被评价单位的不同人员,了解公司内部控制的现状与运行。个别访谈通常用于企业层面与业务层面评价的阶段。调查问卷。调查问卷多用于企业层面的评价,通过扩大对象范围,如企业中的全体员工,收集简单结果,如对公司企业文化的认同。专题讨论。这是一种集合企业中有关专业人员就内部控制执行情况或控制问题进行的分析和讨论。穿行测试。穿行测试是指在流程中任意选取一项交易为样本,获取原始单据,跟踪交易从最初起源,到会计处理、信息系统和财务报告编制,直到这项交易在财务报表中报告出来的全过程。通过执行“穿行测试”,评价工作人员可获取对一个流程的了解,查找潜在的
62、内控设计问题并识别出相关控制。实地查验。这是一个用于业务层面评价的方法。例如,评价工作人员进行实地盘点以测试企业记录存货的数量,或有关控制的有效性。抽样。抽样方法可以分为随机抽样和其他抽样法。随机抽样一般被认为是最具有代表性或是基于统计学的取样方式,从样本库中抽取一定数量的样本,进行控制测试,以获取有关控制的运行状况。随机选取通常是采用计算机来完成。其他抽样如分层抽样、整群抽样及系统抽样等。比较分析。这是一种通过数据分析,识别评价关注点的方法。例如,通过比较月度的销售情况,识别异常区间,进行检查。审阅与检查。这也是在业务层面评价的常用方法,通过核对有关证据而获取有关控制的运行状况,如选择某些调
63、节表上的差异,追溯到相应的单据记录(如银行对账单)或检查调节表是否有相关负责人签字。4、汇总评价结果评价工作组人员应当在其工作底稿中,记录评价所实施的程序及有关结果。企业内部控制评价工作组应当建立评价质量交叉复核制度,有关评价报告应由评价工作组负责人严格审核确认;与被评价单位进行通报,在提交内部控制评价部门或机构前得到被评价单位相关责任人签字确认。如果在评价工作中发现所有差异,如穿行测试及控制测试中发现的与访谈结果的差异、与流程手册的差异,也应在汇总中适当地记录。企业内部控制评价部门或机构应编制内部控制缺陷认定汇总表,结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况,对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核,提出认定意见,并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。企业对于认定的重大缺陷,应当及时采取应对策略,切实将风险控制在可承受度之内,并追究有关部门或相关人员的责任。八、 内部控制评价工作底稿与报告(一)内部控制评
- 温馨提示:
1: 本站所有资源如无特殊说明,都需要本地电脑安装OFFICE2007和PDF阅读器。图纸软件为CAD,CAXA,PROE,UG,SolidWorks等.压缩文件请下载最新的WinRAR软件解压。
2: 本站的文档不包含任何第三方提供的附件图纸等,如果需要附件,请联系上传者。文件的所有权益归上传用户所有。
3.本站RAR压缩包中若带图纸,网页内容里面会有图纸预览,若没有图纸预览就没有图纸。
4. 未经权益所有人同意不得将文件中的内容挪作商业或盈利用途。
5. 装配图网仅提供信息存储空间,仅对用户上传内容的表现方式做保护处理,对用户上传分享的文档内容本身不做任何修改或编辑,并不能对任何下载内容负责。
6. 下载文件中如有侵权或不适当内容,请与我们联系,我们立即纠正。
7. 本站不保证下载资源的准确性、安全性和完整性, 同时也不承担用户因使用这些下载资源对自己和他人造成任何形式的伤害或损失。