内部信息传递内部控制设计实务

内部信息传递内部控制设计实务

目前，对于内部信息传递内部控制设计的概念，业内还没有一个统一权威的定义。中天恒3C框架认为，内部信息传递内部控制设计是在遵循国家和企业内部信息传递相关法规制度的基础上，以国家监管部门制定的内部控制规范及其应用指引为依据，结合企业内部信息传递发展的实际情况，用系统控制的技术和方法，构建企业自身内部信息传递内部控制体系的一个动态过程。简单说，内部信息传递内部控制设计，是内部信息传递内部控制建设的首要环节，是构建内部信息传递内部控制体系的过程。

设计范围及基本流程

《企业内部控制应用指引第17号———内部信息传递》(以下简称《内部信息传递指引》)第二条规定：“本指引所称内部信息传递，是指企业内部各管理层级之间通过内部报告形式传递生产经营管理信息的过程。”

内部信息不仅包括了企业内部生产经营管理信息，还包括企业收集、分析、整理并以内部报告形式在企业内部相关管理层级传递的外部信息。内部信息传递包括企业内部纵向与横向的传递，即企业下级向上级报告生产经营信息、上级

向下级传达经营决策信息以及企业内部各部门间相互传递信息。

内部信息传递内部控制设计是一个复杂的系统工程，基本流程包括设计准备、设计实施、试行及完善等。根据设计操作需要，在基本流程的基础上，还要有多层次具体的流程，每个具体流程中需明确工作内容、方法、步骤以及相应的表单等，要突出内部信息传递内部控制设计的特色。

企业应当根据本指引要求，通过设计内部控制手册，使全体员工了解内部信息传递的内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权?从而促进企业生产经营管理信息在内部各管理层级之间的有效传递和充分利用。

描述现状

描述现状，就是梳理内部信息传递方面的内部管理制度或相关文件，梳理内部信息传递现状业务流程，编制内部信息传递内部管理制度或相关文件情况表、编制内部信息传递业务流程目录、绘制内部信息传递业务流程图等内部信息传递内部控制设计的基础性工作。

1、梳理描述制度文件。梳理描述制度文件，应重点关注有无内部信息传递方面的相关制度以及是否完善和充分执行、有无具体可控的操作文件或表单等等。

2、梳理描述现状业务流程。企业内部信息传递的业务

流程到底怎么样、包括哪些环节，因企业而异。当然，企业内部信息传递复杂多样，内部信息传递内部管理制度、业务流程千差万别，因此，本阶段设计在总体上必须体现指引要求，在具体业务流程设计上则要体现不同企业的自身特点，不能简单照抄照搬。

3、确定业务流程目录。在梳理内部信息传递管理制度和业务流程现状的基础上，根据内部控制设计的要求，编制内部信息传递业务流程目录，绘制内部信息传递业务流程图。

本阶段设计工作成果是形成《内部信息传递内部管理制度或相关文件情况表》、《内部信息传递流程目录》、《内部信息传递业务流程图表》等。

风险评估

内部信息传递风险评估的基本程序为：识别内部信息传递风险，并进行具体描述;分析内部信息传递风险，编制内部信息传递风险分析表;评价内部信息传递风险，编制内部信息传递风险评价表;确定内部信息传递风险应对策略;提出内部信息传递重大风险解决方案。在实践中，内部信息传递风险分析及其评价是合在一起进行的，内部信息传递重大风险解决方案的制定要看企业是否需要，也可在内部信息传递内部控制设计完成之后单独进行。

1、识别并描述风险。评估内部信息传递风险，首先，

要把资金活动具体风险识别出来，然后整理出整体层面的风险。企业内部信息传递具体风险是多种多样的，也因企业而有所不同。

按照《内部信息传递指引》要求，在评估内部信息传递风险时，至少应当关注下列风险：内部报告系统缺失、功能不健全、内容不完整，可能影响生产经营有序运行;内部信息传递不通畅、不及时，可能导致决策失误或相关政策措施难以落实;内部信息传递中泄露商业秘密，可能削弱企业核心竞争力。

上述风险提示有三个方面：

(一)报告内容模糊、报告指标随意更改、报告级次不清晰或报告流程混乱、无报告对象、报告断档或中止、报告内容缺失、报告无记录或无轨迹，信息系统混乱等，所有这些问题势必对整个生产经营管理造成负面影响，给企业造成不可估量的损失。

(二)信息传递不及时，内部沟通迟滞薄弱，管理信息共享不充分，企业无法对内外部环境和经营状况的变化做出及时反应，部门间协作也难以很好开展，导致部门间信息沟通不畅、工作效率低下并造成资源浪费、管理层的经营决策偏离实际情况或相关政策措施难以落实等。

(三)信息传递不当，易造成企业重要经营信息或商业秘密外泄，削弱企业核心竞争力。

1、企业应根据指引中的风险提示，结合企业内部信息传递的实际情况，识别并具体描述内部信息传递可能存在的风险。内部信息传递具体风险描述因所识别出的风险的不同而不同，将具体内部信息传递风险与内部信息传递流程结合是个比较好的做法。

2、分析风险。内部信息传递风险分析的内容很多，一般应从成因和结果两个方面进行，并编制内部信息传递风险分析表。

3、评价风险。内部信息传递风险评价应从发生可能性和影响程度两个维度进行，根据评价结果进行风险排序和等级划分，并编制内部信息传递风险评价表。

4、选择风险应对策略。内部信息传递风险应对是根据风险评价的结果，针对不同等级风险选择不同风险应对策略的过程，策略一般有规避、降低、转移、接受等，要编制内部信息传递风险应对表。

5、编制风险数据库或绘制风险图谱。依据内部信息传递风险评估的结果，编制内部信息传递层面的风险数据库，或绘制风险图谱。内部信息传递层面数据库的基本要素包括业务流程、风险描述、风险分析、风险排序、应对策略、剩余风险等，也可以加上内部控制设计完成后的控制措施、控制部门或岗位等。风险图谱一般适用于公司层面的风险描述。

本阶段设计工作成果是形成《内部信息传递风险及其描述表》、《内部信息传递整体层面风险清单》、《内部信息传递风险分析表》、《内部信息传递风险评价表》、《内部信息传递风险应对策略表》、《内部信息传递风险解决方案》等。