内部控制知识讲解

第八章内部操纵

第一节内部操纵的定兑和进展

一、内部操纵的定义

内部操纵是指为确保实现企业目标而实施的程序和政策。内部操纵还应确保识不可能阻碍实现这些目标的风险因素并采取预防措施。内部操纵和风险治理是出色的公司治理极为重要的组成部分。出色的公司治理意味着董事会必须对企业的所有风险加以识不和治理，就风险治理而言，内部操纵系统涉及企业财务、运营、遵守法律法规及其他方面。

内部操纵系统包括两个因素，分不是操纵环境和操纵政策与程序。操纵环境是指企业内关于内部操纵的态度及内部操纵意识，代表整个企业关于内部操纵的价值观。操纵政策及程序是指嵌入企业运营中的具体的内部操纵。操纵政策及程序的设计目的在于，尽可能确保业务行为是有序且有效的。操纵政策及程序必须能够依照企业面临的内外部风险而改变，同时应以企业面临的

要紧风险为重点，并对这些风险作出反应。

内部操纵的思想和框架总体上确实是对企业内资掘进行治理的体系，然而基于不同的角度和层次，对内部操纵的定义有着不同的认识和分析。

(一 ) COSO委员会对内部操纵的定义

成立于1985年的COSO (Committee of Sponsoring Organization)委员会为全国舞弊报告委员会提供支持。该组织包括美国会计协会 (Ame出an Ac?counting . Association)和美国注册会计师协会 (Ame由an Institute of Ce时ified Public Accountants)。现在，COSO委员会负责制订有关大型和小型企业实施内部操纵系统的指南。

1992年9月COSO委员会提出了《内部操纵一一整合框架)) 0 1994年又进行了增补，简称《内部操纵框架}.即 COSO内部操纵框架。 COSO委员会对内部操纵的定义是"公司的董事会、治理层及其他人士为实现以下目标提供合理保证而实施的程序:运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。"以下章节将对内部操纵框架的内容作更详尽的分析。

COSO委员会指出，从风险治理的角度来看，内部操纵是必要的。然而，在实施内部操纵时，有几点需要注意。首先，即使实

施了优良的内部操纵系统，也不一定能使一个鳖脚的治理者变得

出色。其次，由于所有的内部操纵系统仍然面临发生错误或出现差错的危险，因而内部操纵系统只能就企业目标的实现提供合理保证。即使一个企业实施了内部操纵，也可能由于有意串通破坏、治理层逾越监控而失效。再次，大型或小型企业在建立内部操纵系统时，均可能存在资惊受限的问题。

(二)美国上市公司会计监管委员会对内部操纵的定义

美国上市公司会计监管委员会( PCAOB)公布的"审计准则第5号"规定，注册会计师对企业财务报告进行审计必须关注财务报告内部操纵，同时治理层应该对企业内部操纵作出评估。所谓财务报告内部操纵，是指在企业要紧的高级治理人员、要紧财务负责人或行使类似职能的人员的监督下设计的一套流程，并由公司的董事会、治理层和其他人批准生效.该流程能够为财务报告的可靠性及依照公认会计原则编制的对外财务报表提供合理保证，它包括如下政策和程序(1)保管以合理的详尽程度、准确和公允地反映企业的交易和资产处置的有关记录 (2)为按照公认会计原则编制财务报表记录交易，以及企业的收入和支出仅是按照治理和公司董事会的授权执行，提供合理的保证; (3)为预防

或及时发觉对财务报表有重大阻碍的未经授权的企业资产的购

3 / 71

置、使用或处理，提供合理保证。

(三)特恩布尔委员会对内部操纵的定义

1992年，英国《综合守则》(Combined Code)颁布之后，设立了特恩布尔委员会(Turnbull committee)。该委员会的职能是为上市公司执行《综合守则》规定的内部操纵原则提供指南。特恩布尔报告的总体要求是，董事应实行一套完善的内部操纵系统，并定期对该系统实行复核。

该报告还谈到了建立一个完善的内部操纵系统的必要性。内部操纵的要紧组成部分包括为企业的有效运营提供辅助条件，使企业有能力对阻碍目标实现的重大风险做出反应。风险可能来自业务经营、合规、运营或财务方面。此外，内部操纵还能确保对内和对外报告的质量，确保法规及内部有关业务开展的政策得以遵守。

特恩布尔报告哈还包括对内部操纵系统的检查。该报告指出，对内部操纵系统的检查时治理层的常规责任。只是检查可委派给审计委员会，同时董事会必须提供有关内部操纵系统的信息，并进行复核。复核应为至少每年一次。

为了通过维持完善的内部操纵系统来确保使企业面临的风险降至最低。特恩布尔委员会还建议应持续对内部操尽情况进行

监察，并建议作出关于财务及合规和运营操纵的报告。此外，治

理层应向董事会保证内部操纵已得到监察，确认这些操纵提供了“对重大风险及内部操纵系统关于治理这些风险的有效性”的平衡性评价。而且，由于董事会应对内部操纵系统负责，因此董事会可能需要对该系统进行复核。

(四)中国《企业内部操纵差不多规范》对内部操纵的定义

财政部、证监会、审计署、银监会和保监会于 2008年 6月联合公布的《企业内部操纵差不多规范》中指出，内部操纵是由企业董事会、证监会、经理层和全体职员实施的、旨在实现操纵目标的过程。内部操纵的目标是合理保证企业经营治理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和结果，促进企业实现进展战略。

二、内部操纵的演变与进展

(一)内部操纵在 20世纪 80年代的操纵理论

自 20世纪 80年代以来，内部操纵的理论研究有了新的进展，人们对内部操纵的研究重点逐步从一般含义转向具体内容。其标志是美国注册会计师协会于 1998年 5月公布的《企业准则公告第 55号} (5A555)。在这份公告中内部操纵结构"的概念取

代了"内部操纵制度"。公告指出企业内部操纵结构包括为提供取

5 / 71

得企业特定目标的合理保证而建立的各种政策和程序。"公告认为内部操纵结构由下列三个要素组成:

(1)操纵环境。这是指对建立、加强或削弱特定政策与程序的效率有重大阻碍的各种因素，包括治理者的思想和经营作风;组织结构;董事会及所属委员会，特不是审计委员会发挥的职能:确定职权和责任的方法;治理者操纵和检查工作时所使用的操纵方法，包括经营打算、预算、预测、利润打算、责任会计和内部审计;人事工作方针及其执行等;阻碍企业业务的各种外部关系，如由银行指定代理人的检查等。

(2)会计制度。这是指为认定、分析、归类、记录、编报各项经济业务，明确资产与负债的经管责任而规定的各种方法，包括认定和登记一切合法的经济业务;对各项经济业务按时和适当的分类，作为编制财务报表的依据;将各项经济业务按照适当的货币价值计价，以便列入财务报表;确定经济业务发生的日期，以便按照会计期间进行记录;在财务报表中恰当地表述经济业务及对有关的内容进行揭示。

(3)操纵程序。这是指企业为保证目标的实现而建立的政策和程序，如经济业务和经济活动的适当授权;明确各个人员的职责分工，如指派不同的人员分不承担业务批准、业务记录和财产

保管的职责，以防止有关人员对正常经济业务图谋不轨和隐匿各

种错弊;账簿和凭证的设置、记录与使用，以保证经济业务活动得到正确的记载，如出厂凭证应事先编号，以便操纵发货业务;资产及记录的限制接触，如接触电脑程序和档案资料要通过批准;差不多登记的业务及记录与复核，如常规的账面复核，存款、借款调节表的编制，账面的核对，电脑编程操纵，以及治理者对明细报告的检查。

(二)内部操纵在成熟时期的研究结果

如前文所述， C050委员会于 1992年 9月公布了指导内部操纵实践的纲领性文件《内部操纵一一整合框架}，并于 1994年进行了增补，即 COSO内部操纵框架。这份文件堪称内部操纵进展史上的里程碑。

COSO对内部操纵的定义包含大量关键概念，它们能举例讲明企业内的内部操纵系统有普遍阻碍力，而且操纵是一个程序，而非结构。内部操纵是公司董事会和各级治理层打算、实施和监察的不间断的一系列活动。

内部操纵的目标不仅是为了保证财务报告的可靠性与合规性，而且有助于提高企业运营的效益和效率。因此，内部操纵也

与业绩目标(比如获利能力)的实现有关。然而内部操纵只为企业

7 / 71

目标的实现提供合理保证，而非绝对保证。

内部操纵系统包括企业的政策、程序、任务、行为，使企业能够对与实现企业目标有关的重大业务、经营、财务、法规及其他风险作出适当反应，促进企业的运营效益和效率。这包括爱护资产，幸免被不当使用或流失和欺诈，并确保负债得到有效治理。

完善的内部操纵系统还有助于确保对内及对外报告的质量。这要求维持适当的记录和程序，以提供有关企业内外部的及时、相关且可靠的信息。而且，完善的内部操纵系统还有助于确保企业遵守适用的法律法规，或遵守商业行为的内部政策。

内部操纵可分成五个相互关联的组成部分，在配合实现独立而又有重叠的经营、财务报告和法规遵守的目标时，这五个部分也可作为评价内部操纵系统有效性的标准。这五个部分包括:操纵环境、风险评估、操纵活动、信息与沟通以及监察。不仅如此，COSO对内部操纵系统的五大要素进行了认定。从董事会为企业制定整体治理哲学以实施内部操纵，到操纵环境的详情，都属于这五个要素的范畴。

1 (Control environment)。内部审计师协会(The Institute of Internal Auditors , IIA)对操纵环境的定义是董事会与治理层对待公司内部操纵的重要性的态度及采取的行

动"。操纵环境是其他内部操纵元素的根基，并提供纪律及结构。

操纵环境因素包括人员的道德观和胜任能力、董事会提供的指示和治理的效率。操纵环境被称为企业的"最高层"。操纵环境能讲明企业的道德观和文化，为内部操纵其他方面的运作提供框架。操纵环境是由治理层所定的基调、治理哲学与治理风格、授权方式、组织和培养职员的方式以及董事会对执行内部操纵的决心决定。

2 (Risk assessment)。风险评估是指识不和分析阻碍目标实现的风险(包括与监管和运营环境不断变化有关的风险)，以此来确定降低和治理此类风险的依据。企业的目标与所面临的风险之间有一定关联。为了对风险进行评估，必须确立企业目标。目标一经确立，必须识不和评估为实现这些目标而面临的风险，同时该评估应构成决定如何治理该风险的基础。

企业的治理层应定时对企业内部的各类业务进行风险评估，而且需要考虑内部及外部因素。内部因素包括组织的复杂性、组织结构的变更、员下流淌情况及职员素养。外部因素包括行业及经济条件的改变以及技术变革等。

风险评估程序亦应区分可操纵风险和不可操纵风险。关于可

操纵风险，治理层应决定是否承受该风险，采取措施操纵或降低

9 / 71

该风险。 l关于不可操纵的风险，治理层应决定是否承受该风险，或部分或完全退出此项业务，以规避风险。

3.操纵活动( Control activity)。操纵活动有助于确保治理层的指令得以执行，以及任何可能需要用来处理风险以实现企业目标的行动得以实施。操纵活动是指能确保治理层的决策与指示得以执行的政策和程序。企业内部各层面均存在操纵活动，操纵活动包括组织操纵、职责划分、调节和复核、实物操纵、授权和批准、计算和会计 j人员操纵、监督及治理操纵。

4.信息与沟通 (Information and communication)。信息与沟通是指在人员能够履行责任的方式及时刻范围内，识不、取得和报告经营、财务及法律遵守的相关信息的有效程序和系统。企业必须收集信息并向适当人士传达。治理者制定恰当的决策时既需要内部信息也需要外部信息。此外，为了运作内部操纵，治理者也是需要信息的。因此必须建立完善的信息系统，必须为治理者提供与所采取的行动相关的，及时 L准确、能够理解的信息。

企业多数会运用计算机系统来提高为治理者提供的信息质量，然而假如让计算机系统为治理者提供所需的信息，则必须将计算机系统结合到业务策略中。信息系统和信息治理关于成功的运转和业务操纵有着特不重要的作用。信息系统和技术治理的内

容可参考本书第十二章。

5.监察( Monitoring)。监察是指持续评估内部操纵系统的充分性及表现情况的程序。内部操纵的不足之处应向相应的上级领导层汇报。上级领导层能够是高级治理层、审计委员会或董事会。内部操纵系统必须同意监察。作为内部操纵系统的因素，它与内部审计及一般监督有关。识不并向高级治理层及董事会或董事报告内部操纵系统的缺陷是特不重要的。

企业可能差不多建立了特不完善的内部操纵系统，然而仍需要对该系统进行监察。假如内部操纵系统未经监察，就专门难评估它是否未受操纵或需要改进。随着业务的进展，内部操纵系统也在进展，因此内部操纵系统不是静止不变的。内部审计部门通

11 / 71

常是内部操纵系统的要紧监察人。内部审计师会对内部操纵及操纵系统进行检查。他们还应识不操纵是否失效或是能够纠正问题，同时向治理层提出有关建立新系统或系统改进方面的建议。

COSO的上述定义对内部操纵的差不多慨念提供了一些深入的见解，特不是:

(1)内部操纵是一个实现目标的程序及方法，而其本身并非目标;

(2)内部操纵只提供合理保证，而非绝对保证;

(3)内部操纵要由企业中各级人员实施与配合。

COSO的内部操纵定义构成了《萨班斯一奥克斯利法案》第404节关于内部操纵评估内容的基础。这些内容实质上关于全球的所有机构都特不重要，因此，治理者、审计师和其他人士应对COSO的内部操纵特不熟悉。

COSO利用三维模型来描述一个机构内的内部操纵系统。该模型在水平方向上分为五层，垂直方向有三个组成部分和跨越第三维的多个推体。这种模型的结构是 5 x3 x2。然而，它们并不是完全独立的部分，彼此之间是相互连接的，就企业内的内部操纵而言.我们将重点考察水平方向上的两层:操纵环境和风险评估。

企业的内部操纵系统会反映其操纵环境，而操纵环境包括其

组织结构。内部操纵系统应嵌入企业运营之中，并成为公司文化

的一部分。此外，内部操纵系统应能够对由企业内在因素和商业环境的改变所产生的不断变化的业务风险迅速作出反应。而且，内部操纵系统亦应包括向治理层及时汇报经确认的任何重大操纵失误或不足，及所采取的纠正行动的详细程序。

内部操纵程序应保持简单直接，同时需要确保戚本没有超过效益。而且，应使各级职员能够了解维持足够内部操纵的重要性，从而可不能在实施操纵时，因遇到不必要的复杂情况而对此产生不满。

企业应给予董事及治理层适当的培训，使他们能正确认识内部操纵及职能范围。如此做一方面有助于企业高管遵守内部操纵的监管规定，另一方面也为企业实现目标提供更多的保证。培训课程能够由企业内部提供，也可由相关培训机构或专业机构提供。

(三)中国内部操纵的进展状况

2006年7月，受国务院托付，财政部牵头.由财政部、国资委、证监会、审计署、银监会、保监会联合发起成立了企业内部操纵标准委员会。许多监管部门、大型企业、行业组织、中介机

构、科研院所的领导和专家学者积极参与，为构建我国企业内部

13 / 71

操纵标准体系提供了组织和机制保障。

企业内部操纵标准委员会的职责和目标是总结我国经验，借鉴国际惯例，有效利用国际国内资源，充分发挥各方面的积极作用，通过 2 -5年的努力，差不多建立一套以防范风险和操纵舞弊为中心，以操纵标准和评价标准为主体的内部操纵制度体系。并以监管部门为主导，各单位具体实施为基础，会计师事务所等中介机构咨询服务为支撑，政府监管和社会评价相结合的内部操纵实施体系，推动公司、企业和其他非营利组织完善治理结构和内部约束机制，不断提高经营治理水平和可持续进展能力。

2008年 6月 28日，财政部会同证监会、审计署、银监会、保监会制定并印发《企业内部操纵差不多规范>(下称"内控规范")。自 2009年 7月 1日起在上市公司范围内施行，同时鼓舞非上市的大中型企业执行。

1.内控规范简述

内控规范要求企业建立内部操纵体系时应符合以下目标:(1)合理保证企业经营治理合法合规、资产安全、财务报告及相关信息真实完整;

(2)提高经营效率和效果 (3)促进企业实现进展战略。

内控规范借鉴了以美国 COSO报告为代表的国际内部操纵框

架，并结合中国国情，要求企业所建立与实施的内部操纵，应当

包括下列五个要素:

(1)内部环境; (2)风险评估; (3)操纵活动; (4)信息与沟通(5)内部监督。

内控规范强调内部操纵是由企业董事会、监事会、经理层和全体职员实施的、旨在实现操纵目标的过程。同时要求企业实行内部操纵自我评价制度，并将各责任单位和全体职员实施内部操纵的情况纳入绩效考评体系。

执行内控规范的上市公司，在对企业内部操纵的有效性进行自我评价后，应同时披露年度自我评价报告。国务院有关监管部门有权对企业建立并实施内部操纵的情况进行监督检查;并明确企业能够依法托付会计师事务所对本企业内部操纵的有效性进行审计，出具审计报告。

2.内控规范对企业的阻碍

内控规范的公布是中国在公司治理方面的一个重要里程碑，体现了中国经济与全球经济的进一步接轨和整合。随着中国资本市场的进展与壮大，与之配套的公司治理和监督机制的需求日益增加;而随着中国企业的做大做强，企业关于内部外部的风险需

要更系统有力的操纵。一方面，内控规范为中国企业建立内部操

15 / 71