第六章：风险管理框架下的内部控制(十八项应用指引单列)(第一部分)

第六章风险管理框架下的内部控制

本章主要讲述两大部分内容：内部控制和公司治理机制基本原则。其中，亮点内容为“十八罗汉”，即十八项应用指引的学习和掌握。除上述“十八罗汉”是复习备考本章的挑战和障碍外，其余内容较为简单理解和掌握。

一、本章主要考点掌握要求总说

1、内部控制和风险管理的关系★★

2、内部控制规范的框架体系★★★

3、内部控制基本规范理论要点★★★

4、内部控制应用指引★★

5、内部控制评价指引★★

6、内部控制审计指引★

7、审计委员会在内部控制中的作用★★★

8、公司治理机制的基本原则★★

9、风险管理、内部控制、公司治理三者的关系★★★

二、主要知识点掌握内容总结、分析与点评

【知识点1】内部控制和风险管理的关系

1、内部控制与风险管理关系不同观点

（1）观点1：内部控制包含风险管理

（2）观点2：风险管理包含内部控制

（3）观点3：内部控制与风险管理是一对既互相联系又互相差别的概念。

2、内部控制与风险管理的异同（第3种观点）

（1）两者均是合理保证目标实现的过程（相同点）

（2）风险管理更偏向这一过程的前端，更偏向对影响目标实现的因素的分析、评估与应对（不同点）

（3）相对于内部控制，风险管理是一个更为独立的过程。内部控制更加重视实施，嵌入企业各业务流程的具体业务活动中（不同点）

【知识点2】内部控制规范的框架体系

一个规范，三个指引

1、《企业内部控制基本规范》（核心统领）

2、《企业内部控制应用指引》（应用指引）

3、《企业内部控制评价指引》（事后鉴定）

4、《企业内部控制审计指引》（事后鉴定）

【知识点3】内部控制基本规范理论要点

1、《企业内部控制基本规范》的五个要素

（1）内部环境

（2）风险评估

（3）控制活动

（4）信息与沟通

（5）内部监督

2、《企业内部控制应用指引》分类

（1）内部环境类指引：组织结构、发展战略、人力资源、社会责任、企业文化

（2）控制活动类指引：资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告

（3）控制手段类指引：全面预算、合同管理、内部信息传递、信息系统

3、内部控制定义

由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。

4、内部控制的目标

（1）合理保证企业经营管理合法合规

（2）合理保证企业资产安全

（3）合理保证企业财务报告及相关信息真实完整

（4）提高经营效率和效果

（5）促进企业实现发展战略

5、内部控制定义解读

（1）内部控制是一个过程，是实现目的的手段，而非目的本身

（2）内部控制受人的影响，涉及企业各层次的人员

（3）内部控制只能提供合理的保证，而非绝对的保证

（4）内部控制是为了实现五类既相互独立又相互联系的目标

【考查举例】下述关于内部控制认识正确的是：

①内部控制是由企业董事会、监事会、经理层和全体员工参与实施的一个过程。

②内部控制系统的建立要考虑成本收益平衡的因素。

③内部控制的目标相互独立。

④内部控制的建设需以法制为推动、以企业为实施主体、以政府监管和社会评价为保障

⑤内部控制能为企业目标的实现提供绝对保证。

A.③⑤

B.①②④

C.①②③④

D.①②

【答案】B

③内部控制的目标既相互独立又相互联系。

⑤内部控制为企业目标的实现提供合理保证。

6、内部控制五要素

（1）内部环境

（2）风险评估

（3）控制活动

（4）信息与沟通

（5）内部监督

7、内部控制之内部环境

内部环境是企业实施内部控制的基础。

（1）公司治理结构

（2）内部机构设置与职责分工

（3）内部审计

（4）人力资源政策

（5）企业文化

（6）法制环境

8、内部控制五要素之风险评估

（1）确定风险承受度

（2）识别风险（内部风险和外部风险）

（3）风险分析

（4）风险应对（风险接受、风险规避、风险转嫁、风险缓释）

提示：该风险评估与第五章提及的风险评估内容存在较大差异。在考试中，对其考查的可能性相对较小。

9、内部控制五要素之控制活动

（1）不相容职务分离控制

提示：不相容职务是指那些不能由一个部门或人员兼任，否则可能弄虚作假或易于掩盖其作弊行为的职务。不相容职务一般包括：（授权批准与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办与稽核检查、授权批准与监督检查）

（2）授权审批控制

（3）会计系统控制

（4）财产保护控制

（5）预算控制

（6）运营分析控制

（7）绩效考评控制（企业应当建立重大风险预警机制和突发事件应急处理机制）【考查举例】下列表述中涉及到哪些内部控制活动：

①管钱的不管账，管账的不管钱。

②出入机房重地，要使用门禁。

③大金额采购，除采购部经理签字外，还需负责采购的副总裁签字。

④银行对账单

A.职责分离

B.授权审批控制

C.财产保护控制

D.调节

【答案】ABCD

①不相容职务分离控制

②财务保护控制

③授权审批控制

④会计系统控制

该题知识点在教材第318页。

【知识点4】内部控制基本规范理论要点

1、《企业内部控制评价指引》要点

（1）内部控制自我评价是由企业董事会和管理层实施的。

（2）进行评价的具体内容为内部控制内容中的五个要素以及《内控规范》及《配套指引》中的内容。

（3）在确定具体内容后，企业应制定内部控制评价程序，对内部控制有效性进行全面评价，包括：财务报告内部控制有效性和非财务报告内部控制有效性。

（4）同时形成工作底稿，详细记录企业执行评价工作的内容

（5）企业在评价工作中明确内部控制缺陷的认定准则

（6）完成评价后，企业当准备一份内部控制自我评价报告，在其年报中进行披露

（7）企业董事会应当对内部控制评价报告的真实性负责

提示：第（1）和（7）应牢牢记住。

2、内部控制评价的程序

（1）制定评价控制方案

提示：企业可以授权审计部门或专门机构负责内部控制评价组织的实施工作。该评价部门或机构应具备以下条件：①能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；②具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；③与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约；④能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，有足够的权威性来保证内部控制评价工作的顺利开展。

（2）组织评价工作组

（3）实施评价工作与测试

（4）认定控制缺陷

提示：重大缺陷应当由董事会予以最终认定。

（5）汇总评价结果

（6）编报评价报告

提示：内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。企业应当以12月31日作为年度内部控制评价报告的基准日，并于基准日后4个月内报出内部控制评价报告。对于基准日至内部控制评价报告发出日之间发生的影响内部控制有效

性的因素，企业应当根据其性质和影响程度对评价结论进行相应调整。

3、实施评价工作与测试的内容要点

（1）了解公司层面基本情况

（2）了解各业务层面的主要流程及风险（风险控制矩阵文档、流程图文档、审批权限表文档）

（3）确定检查评价范围和重点

（4）开展现场检查测试（个别访谈、凋查问卷、专题讨论、穿行测试、实地查验、抽样、比较分析、审阅与检查等评价方法）

4、按照内部控制缺陷的本质分类

（1）设计缺陷

（2）运行缺陷

5、按照内部控制严重程度分类

（1）重大缺陷（也称实质性漏洞）

指一个或多个控制缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。

（2）重要缺陷

指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现严重偏离整体控制目标的严重程度依然重大，需引起管理层关注。

（3）一般缺陷

6、内部控制缺陷的认定

7、内部控制的整改

（1）对于重大缺陷和重要缺陷的整改方案，应向董事会（审计委员会）、监事会或经理层报告并审定。

（2）如果出现不适合向经理层报告的情形，内部控制评价组应当直接向董事会（审计委员会）、监事会报告。

（3）重要缺陷并不影响企业内部控制的整体有效性，但是应当引起董事会和管理层的重视。

（4）对于一般缺陷，可以与企业管理层报告，并视情况考虑是否需要向董事会（审计委员会）、监事会报告。

【考查举例】关于内部控制评价程序表述错误的有：

A．内部控制评价工作的牵头组织实施部门通常为内审部

B．在实施评价工作与测试时，应本着“自下而上”的方法论，先识别业务层面，再识别公司层面的风险

C．内审人员可通过风险控制矩阵文档、流程图、审批权限表和调查问卷对各个主要业务流程进行了解

D．内审部对被审计单位实施内部控制评价后，为确保独立性，无需与被审计单位沟通，将直接上报审计委员会，

【答案】BCD

选项A：企业通常授权审计部门或专门机构负责内部控制评价组织的实施工作。

选项B：在实施评价工作与测试时，应本着“自上而下”的方法论，先识别公司层面的风险，再识别业务层面。

选项C：调查问卷在开展现场检查测试时使用。

选项D：评价报告应向被审计单位进行通报，提交前应有被审计单位负责人签字。

【知识点5】《企业内部控制审计指引》要点

1、会计师事务所及其签字的从业人员应当对发布的内部控制审计意见负责。

2、上市公司聘请的会计师事务所应当具有证券、期货业务资格。

3、为企业内部控制提供评价服务的会计师事务所，不得同时为同一企业提供内部控制审计服务。

4、《企业内部控制审计指引》中重申建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任。注册会计师的责任是在实施审计工作的基础上，获取充分、适当的证据，对内部控制的有效性发表的意见并提供合理保证。（和财务报表分工一致）

5、它表明注册会计师应对财务报告内部控的有效性发表审计意见，并对内部控审计过程中注意到的非财务报告内部控制的重大缺陷予以披露。

6、注册会计师可以单独进行内部控制审计，也可将内部控制审计与财务报表审计整合进行。

【知识点6】审计委员会在内部控制中的作用

提示：通读，掌握基本结论即可，不要求默写。

提示：内审工作三句话：

1、到位不越位，帮忙不添乱。

2、做事不由东，累死也无关。

3、所谓控制，就是实际和标准比。

1、《基本规范》要求企业在董事会下设立审计委员会。

2、独立的审计委员会的存在已经被国际公认为良好公司治理的一个重要特征。

3、董事会关于内部控制的主要目标会授权给审计委员会负责。在一般情况下，审计委员会负责整个风险管理过程，包括确保内部控制系统是充分且有效的。审计委员会应复核企

业的内部财务控制以及企业的所有内部控制和风险管理系统。

4、一般来说，审计委员会的组成应全部由独立、非行政董事组成，他们至少拥有相关的财务经验。审计委员会的职能是监督、评估和复核企业内的其他部门和系统。

5、审计委员会还应批准年报中有关内部控制和风险管理的陈述。

6、审计委员会亦会收到管理层关于企业内运作的内部控制系统的有效性的报告以及内部或外聘审计师关于对控制所执行测试的结论的报告。

7、审计委员会应满足其职责的要求。建议审计委员会每年至少举行三次会议，并于审计周期的主要日期举行。审计委员会应每年至少与外聘及内部审计师会面一次，讨论与审计相关的事宜，但无需管理层出席。

8、审计委员会成员之间的不同意见如无法内部调解，应提请董事会解决。

9、审计委员会应每年对其权限及其有效性进行复核，并就必要的人员变更向董事会报告。

10、审计委员会的主要活动之一是核查对外报告规定的遵守情况。审计委员会一般有责任确保企业履行对外报告的义务。审计委员会应结合企业财务报表的编制情况，对重大的财务报告事项和判断进行复核。审计委员会还应对财务报表后所附的与财务有关的信息进行复核。

11、确保充分且有效的内部控制是审计委员会的义务，其中包括负责监督内部审计部门的工作。审计委员会应监察和评估内部审计职能在企业整体风险管理。它应该核查内部审计的有效性，并批准内部审计主管的任命和解聘，还应确保内部审计部门能直接与董事会主席接触并负有向审计委员会说明的责任。

12、审计委员会复核及评估年度内部审计工作计划。审计委员会收到关于内部审计部门工作的定期报告，复核和监察管理层对内部审计的调查结果的反应。审计委员会还应确保内部审计部门提出的建议已执行。

13、审计委员会有助于保持内部审计部门对压力或干涉的独立性。

14、审计委员会及内部审计师需要确保内部审计部门正在有效运作。它将在四个主要方面对内部审计进行复核，即：

（1）组织中的地位

（2）职能范围

（3）技术才能

（4）专业应尽义务

15、审计委员会向股东报告内部控制

（1）企业董事会应维持完善的内部控制系统以保护股东投资及公司资产安全，并将企业业绩及内部控制情况告知股东。

（2）董事会如要为股东提供其所需的保证，则应对集团内部控制系统的有效性展开复核，并至少每年向股东汇报一次。

（3）年报亦应为股东提供有关审计委员会的工作信息。

（4）审计委员会主席应出席年度股东大会，并回答股东提出的关于审计委员会工作方面的问题。

（5）企业管理层必须就企业实施的内部控制进行汇报。

提示：审计委员会与外聘审计师

1、审计委员会应承担就任命、重新任命或解聘外聘审计师向董事会提出建议的主要责任，监督新审计师的选择过程，批准外聘审计师的业务条款及审计服务的报酬，复核审计师的审计工作范畴，并确信该审计范畴是充分的，并确保于每次年审开始之时已为审计制订了适当的计划。审计委员会执行审计工作完成后的复核。

2、审计委员会订立了年度程序，以确保外聘审计师的独立性和客观性。

3、审计委员会与董事会达成一致，对企业关于雇用外聘会计师事务所原雇员的政策进行监察。

4、审计委员会还应为企业制定关于由外聘审计师提供非审计服务的政策，并向董事会提出相关建议。提供非审计服务时，不得损害审计师的独立性或客观性。审计委员会应制定一项政策，明确外聘审计师不得提供的服务类型，并且说明外聘审计师能够提供的无需请示审计委员会的服务。

【知识点7】关于内部审计

提示：通读，有个印象即可。

1、内部审计职能部门的组成，取决于企业的规模、复杂性、经营活动范围和风险概况，以及董事会为审计部门分配的责任。内部审计职能也可外包。

2、内部审计人员应保持独立性（进而保持客观性和诚实），并将相关发现直接向董事会或其下属的审计委员会报告。

3、内部审计师必须对他们所审计的活动保持独立性，这样他们才能够自由且客观地完成他们的工作。只有审计职能直接向董事会报告并保持其独立性，这样的安排才是符合要求

的。

4、董事会负责将必要的权力委托内部审计师，以使其能够有效地开展他们的工作。审计师必须拥有针对企业内的所有大业务部门、部门及职能进行检查的权力，与企业的任何人员直接进行沟通的权力，以及使用审计工作所需的所有的记录、文档或数据的权力。

5、对于内部审计部门所作的任何报告和建议，管理层均应采取相应行动，或者应说明尚未针对报告采取行动的原因。董事会、内部审计师和管理层之间进行清晰的沟通，这对于及时地确认及纠正内部控制及运营管理的不足之处是最重要的。

6、内部审计师应具备必要的知识、技巧以及训练，以熟练、专业地实施审计工作。内部审计师应该善于口头沟通及书面通信，能够理解会计及审计准则、原则及技术，认识及评估与完善的商业实务的偏离之重要性和重大程度。此外，他们能确认现有或潜在的问题，并在适当的情况下，对程序进行补充。

7、要确保后续教育（课程、研讨会、内训、不同部门工作经验、查阅相关专业文献也是后续教育可接受的形式）

8、内部审计师的主要作用是：独立且客观地复核及评价企业的活动，以维持或改善企业风险管理、内部控制及公司治理的效益与效率。内部审计师必须了解企业的策略方向、目标、产品、服务和程序。审计师应将相关结果向董事会或其下属的审计委员会以及高级管理层报告。

9、内部审计师应被允许不受限制地使用企业的账簿记录或进入控制系统。对于内部审计部门所作的任何报告和建议，均应采取相应行动，或者管理层应说明尚未针对报告采取行动的原因。

10、内部审计的目的有若干个，包括评价会计、运营及行政控制的可靠性、充分性及有效性;确保银行的内部控制能使交易得以迅速及正确地记录，正确地保护资产;确定公司是否遵循了法律法规及其自身制定的政策;管理层是否采取了适当的步骤，来应对控制的不足。为企业增加新产品或服务提供建设性的商业建议。他们还帮助企业制定及修订新的政策、程序、做法。而且，内部审计师常常在兼并、收购和转型活动中发挥作用。

11、内审工作应保留工作底稿，并实施相应的质量控制。

12、编制审计报告。通常审计报告包括工作目标、审计师已实施的程序概述、审计意见及建议。完成审计后，内部审计师首先会与部门经理会面，审核内部审计报告草稿，更正任何不精确的信息，并就管理层的承诺和行动达成一致。然后，将内部审计报告终稿提交给有责任且有权力按照建议执行任何纠正举措的管理人员。

13、对管理层整改方案的落实实施后续跟进审计。

【知识点8】公司治理机制

1、公司治理机制理论要素

提示：通读，掌握基本结论即可。

（1）避免管理利益在企业中占主导地位，实施有效的治理机制及良好治理将使企业的战略更好地反映股东的利益。

（2）公司治理是用来管理利益相关者之间的关系，决定并控制企业战略方向和业绩的一套机制。公司治理的核心是寻找各种方法确保有效地制定战略决策，管理潜在利益冲突的各方之间秩序的一种方式。公司治理是指在合法、合理、可持续性的基础上实现股东价值最大化，同时确保公平对待每一个利益相关者。

（3）公司治理反映了企业的文化、政策、如何处理利益相关者之间的关系及其价值观。

（4）公司治理通过创造能够激励管理层最大化投资报酬率、提高经营效率和确保产量长期增长的环境来提高企业业绩。

（5）通过创造员工、管理层和董事会之间的经营活动中的公平、透明度和问责制来确保企业顺应投资者和社会的利益。

（6）良好的治理为企业长期生存和成长提供了必要环境。

（7）一个有效的治理模式能够更好地吸引投资。

2、董事会职责

设计一个有效率、规模适当和信守承诺的董事会可以使其充分履行职责和义务。董事是由股东选出的，但是董事会及其代表在挑选候选人时发挥着重要的作用。

（1）董事会通常负责监督公司，包括企业控制和问责机制

（2）任免首席执行官(或相应职位)，批准任免财务总监(或相应职位)

（3）最终批准管理层关于企业的发展战略和业绩目标

（4）审查和批准风险管理系统以及内部遵循和控制，行为守则和法律的遵守情况

（5）监测高管的业绩和战略的执行情况，并确保他们得到适当的资源

（6）审批和监督主要资本支出，资本管理，并购及资产剥离的过程

（7）审批和监督财务和其他报告

提示：董事会保留和授权管理层的事项的性质必然取决于企业的规模、复杂程度和所有权结构，以至其传统和企业文化。

3、公司治理的基本原则

提示：了解即可。

（1）建立完善的组织结构

（2）明确董事会的角色和责任

（3）提倡正直及道德行为

（4）维护财务报告的诚信及外部审计的独立性

（5）及时披露信息和提高透明度

（6）鼓励建立内部审计部门

（7）尊重股东的权利

（8）确认利益相关者的合法权益

（9）鼓励提升业绩

（10）公平的薪酬和责任

4、独立董事

提示：重点掌握。

（1）公司治理实践方面最重要的部分之一就是董事会的独立问题。独立性之所以关键，是因为它可以确保董事会在为利益相关者的最佳利益行动时保持足够的客观性。

（2）独立性在确保董事会能够行使其监督或管理的首要责任方面（而不是过分参与企业的日常管理工作）起着关键的作用。

（3）董事会中大部分成员应当是独立董事。独立董事是指独立于公司股东且不在公司中内部任职，并与公司或公司经营管理者没有重要的业务联系或专业联系，能对公司事务做出独立判断的董事。

（4）董事会应根据董事们披露的利益定期评估每个董事的独立性，以及将每个独立董事所申报的相关信息在企业年度报告的公司治理部分中作出披露。

（5）每位董事的任期对于独立性的评估也是非常重要的，企业也应在年度报告中的公司治理部分披露每位董事的任期及独立董事的变动。

（6）独立董事的职责可以分为四种不同的角色，即战略角色、监督或绩效角色、风险角色和人事管理角色。

5、董事会主席的作用

提示：了解一下即可，没有时间，可不看。

（1）董事会主席负责领导董事会，以便有效地组织和行使董事会的职能，并通报董事

会会议中产生的所有有关董事的问题。

（2）董事会主席能够促进所有董事的有效贡献，并促进董事会成员之间以及董事会和管理层之间的建设性和相互尊重的关系。

（3）董事会主席应当同意并且在必要时制定董事会的议程，确保定期举行董事会议。

（4）董事会主席应当确保董事在董事会议召开前获得相关信息，使他们在进行讨论和作出决策前就能够充分了解待议事项的全部情况。

（5）董事会主席的角色还应扩展至配合独立董事的工作，并促进执行董事与独立董事之间建立良好的关系。

（6）董事会主席需要对企业领导的责任进行明确的分工。董事会主席和首席执行官之间的分工应经过董事会的同意，并记录在一份职责声明中。首席执行官不应该兼任同一家公司的董事会主席

（7）董事会主席的角色还包括与股东的沟通。这种沟通是以法定的年报形式进行的。在许多管辖权内，董事会主席必须每年在年度股东大会和股东特别大会上以主席声明的形式向股东致函。

提示：根据良好公司治理实践，首席执行官不应该兼任同一家公司的董事会主席。

6、公司治理报告和披露

（1）一个强有力的披露制度是以市场为基础的监督企业行为的关键特征。

（2）能够帮助吸引资本和保持资本市场的信心。

（3）是股东有效行使其表决权能力的先决条件。

（4）信息披露应当包括但不限于企业的财务会计信息、非财务会计信息和审计信息。

提示：良好的公司治理披露通常还包括超过最低法定或者监管要求的自愿性披露。

【知识点9】风险管理、内部控制、公司治理三者的关系

提示：该知识点需重点复习掌握。

1、管理范围的协调

（1）风险管理框架下的内部控制是站在企业战略层面分析、评估和管理风险，是把对企业监督控制从细节控制提升到战略层面及公司治理层面。

（2）风险管理不仅仅关注内控建立，最主要的是关注内部控制运行与评价，从企业所有内外风险的角度为公司治理层、管理层持续改进内部控制设计和运行提供思路。

（3）风险管理比内部控制的范围要广泛得多。

2、前动与后动的平衡

（1）在风险管理框架下的内部控制既包括提前预测和评估各种现存和潜在风险，从企业整体战略的角度确定相应的内控应对措施来管理风险，达到控制的效果，又包括在问题或事件发生后采取后动反应，积极采取修复性和补救性的行为。

（2）在未发生风险负面影响前即采取措施，更能够根据事件或风险的性质，降低风险的损失，降低成本，提高整体管理效率。

3、治理、风险、控制的整合

（1）在风险管理框架下的内部控制试图寻求一个有效的切入点使得内部控制真正作为组织战略管理的重要成分嵌入组织内部，提高组织对内部控制重要性的认同，并使得内控能为组织战略目标的实现做出更多的贡献。

（2）依照风险管理的整体控制思维，扩展内部控制的内涵和外延，将治理、风险和控制作为一个整体为组织目标的实现提供保证。这一整合的过程将克服原本内部控制实施过程中内部控制与管理脱节的问题，整个组织风险管理的过程也是内部控制实施的过程，内控不再被人为地从企业整个流程中分离出来，提高了内部控制与组织的整合性和全员参与性。

4、“从上到下”控制基础和“从下到上”风险基础执行模式的融合

内部控制（传统意义上的，狭义）通常是管理者制定出相应的规章制度约束员工的。但在风险管理框架下的内部控制既体现内部控制从上到下的贯彻执行，也强调内部控制从下到上参与设计、反馈意见以及“倒逼”机制，即从上到下控制基础和从下到上风险基础的执行模式的融合。

提示：风险管理框架下的内部控制（风险管理）既包括管理层以下的监督控制，又包括管理层以上的治理控制