内控培训资料材料

一、风险管理及内部控制的概念。

内部控制定义：

内部控制是一个过程

内部控制由企业董事会、监事会、经理层和全体员工来实施

内部控制为实现企业经营目标提供合理的保证

根据《企业内部控制规范》，内部控制是：由企业董事会、监事会、经理层和全体员工实施的旨在实现控制目标的过程。

内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。

八、内控缺陷整改落实

企业对于认定的内部控制缺陷，应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关机构或相关人员的责任。

企业内部控制评价机构应当就发现的内部控制缺陷提出整改建议，并报经理层、董事会（审计委员会）、监事会批准。获批后，应制定切实可行的整改方案，包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容。在整改工作中遇到协调困难甚至阻碍的，内部控制机构有权直接向董事会（审计委员会）报告，董事会（审计委员会）应给予足够的支持和帮助。

工作要求：

（1）要求各单位对内部控制执行问题按照评价报告所确定的整改措施全面改进，对股份公司重点提及的问题，结合本单位实际情况，重

点整治。

（2）对于反应出的设计权限，各子公司内部控制评价工作团队要积极配合内部控制建设团队进行逐项分析。确属设计缺陷需要更新原有控

制政策的要及时提出修改建议，按程序修改、审定；属于执行人理

解不到位，将执行上的问题理解为设计缺陷，或是由于发生组织、

职能调整、推出新业务等变化，二手册描述未能及时更新导致执行

人理解为设计缺陷的，要根据具体情况给予明确的解释。

（3）落实整改责任人、明确整改措施和进度安排。要求各业务部门针对本专业存在的问题深入分析缺陷原因、抓住重点，解决问题。同时

更要要就建立内部控制长效机制，防范同为问题的反复发生。

（4）整改工作与各部门的日常管理工作紧密融合，杜绝内部控制工作与日常管理工作“两张皮”现象，防止整改工作流于形式，停留在补

充书面记录和出具报告上。内部控制工作与日常工作结合，包含两

方面内容：一方面是专业部门从专业链条上确定一些影响比较严重

的问题，以内部控制整改为契机，深入开展一些转向政治工作，规

范企业运营，较少风险，并形成良好的工作机制；另一方面是在安

排日常工作室，考虑改进不符合内部控制规定的习惯和行为，自觉

地改进管理经营方面的弊病，争取从源头上加以遏制，或建立一定

的机制制度，避免屡改屡犯。

六、控制活动测试

《评价指引》第十五条规定，内部控制评价工作组应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分手机被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如是填写评价工作底稿，研究分析内部控制缺陷。

1、个别访谈法

个别访谈法主要用于了解公司内部控制的现状，在企业层面评价及业务层面评价的了解阶段经常使用。访谈前应根据内部控制评价需求形成访谈提纲，撰写访谈纪要，记录访谈的内容。对于同一问题应注意不同人员的解释是否相同。如分别访谈人力资源部和关键岗位员工，是否有员工流失现象等。

2、调查问卷法

调查问卷法主要用于企业层面评价。调查问卷应尽量扩大对象范围，包括企业各个层级员工，应注意事先保密性，题目尽量简单易答（如答案只需“是”、“否”、“有”、“没有”等等）。如：你是否认同本企业文化；你在本企业工作是否有幸福感，是否受到一视同仁，是否有发展机会；你工作中是否存在压力，能够完成公司下达的考核指标吗，等等。

3、穿行测试法（主要）

穿行测试法是指在内部控制流程中任意选取一笔交易作为样本，追踪该交易从最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流程从起点到终点的全过程（例如，在保险公司的内部控制评价中，选取一笔保险新单，追踪其从投保申请到财务入账的全过程），一次了解控制措施设计的有效性，并识别出管家控制。

4、抽样法

抽样法分为随即抽样和其他抽样。随即抽样是指按随机原则从样本库中抽取一定数量的样本；其他抽样是指人工任意选取或按某一特定标准从样本库中抽取一定数量的样本。使用抽样法时一要注意样本库要包含符合测试要求的所有样本，测试人员应首先对样本库的完整性进行确认，二要确定选取的样本应充分和适当，充分是指测试的证据的数量应当能合理保证相关控制的有效；适当是指获取的证据应当与相关控制的设计与运行有关，并能可靠地反映控制实际运行状况。

5、实地查验法

实地查验法主要针对业务层面控制，它通过使用同一的测试工作表，与实际的业务、财务单证进行核对的方法进行控制测试。如是地盘点某种存货。

6、比较分析法

比较分析法是指通过数据分析，识别评价关注点的发发。数据分析可以是与历史数据、行业（公司）标准数据或行业最优数据等进行比较。例如，在保险公司内部控制评价中，通过分析月度退保数据的波动情况，识别退保异常的区间，进而对此区间的退保业务资料进行检查。

7、专题讨论法

专题讨论法主要是集合有关专业人员就内部控制执行情况或控制问题进行分析，既可以是控制评价的手段，也是形成缺陷整改方案的途径。如对于同时设计财务、业务、信息技术方面的控制缺陷，就需要由内部控制管理部门组织召开专题讨论会议，综合各部门的意见，确定整改方案。

此外，还可以使用观察、重新执行等方法，也可以利用信息系统开发检查方法，或利用实际工作和检查测试经验。对于企业通过系统采用自动控制，预防控制的，应在方法上注意与人工控制、发现性控制的区别。

七、通过测试提出控制缺陷

内部控制缺陷是描述内部控制有效性的一个负向维度。企业开展内部控制评价，主要工作内容之一就是要找出内部控制缺陷并有针对性地进行整改。

内部控制缺陷认定是一定程度上决定内部控制评价的成效，且具有一定难度，还需要运用职业判断。为了知道企业科学、合理地认定内部控制缺陷，切实帮助企业有效开展内部控制评价，《评价指引》第十六条至第十九条对内部控制缺陷的分类、认定作出专门的解释。

（一）内部控制缺陷的分类

1、按照内部控制缺陷成因或来源，内部控制缺陷包裹设计缺陷和运行缺陷。设计缺陷是指企业缺少为实现控制目标所必需的控制，或现存控制设计不适当，及时正常运行也难以实现控制目标。运行缺陷是指设计有效（合理且适当）的内部控制由于运行不当（包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效运行等）而形成的内部控制缺陷。

内部控制存在设计缺陷和运行缺陷，会影响内部控制的设计有效性和运行有效性。

2、按照影响企业内部控制目标实现的严重程度，内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。当存在任何一个或多个内部控制重大缺陷时，应当在内部控制评价报告中作出内部控制无效的结论。

重要缺陷，是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，但仍有可能导致企业偏离控制目标。重要缺陷的严重程度低于重大缺陷，不会严重危机内部控制的整体有效性，但也应当引起董事会、经理层的充分关注。

一般缺陷，是指除重大缺陷、重要缺陷意外的其他控制缺陷。

将内部控制评价中发现的内部控制缺陷划分为重大缺陷、重要缺陷和一般缺陷，需要借助一套可系统遵循的认定标准，认定过程中还需要内部控制评价人员充分运用职业判断。一般而言，如果一个企业存在的内部控制缺陷达到了重大缺陷的程度，我们就不能说该企业的内部控制是整体有效的。

3、按照具体影响内部控制目标的具体表现形式，还可以将内部控制缺陷分为财务报告缺陷和非财务报告缺陷。

（二）内部控制缺陷的认定标准

1、内部控制缺陷的重要性和影响程度

《评价指引》第十六条规定，企业对内部控制缺陷的认定，应当以构成内部控制的内部监督要素中的日常监督和专项监督为基础，结合年度控制评价，由内部控制评价机构惊醒综合分析后提出认定意见，按照规定的权限和成型进行审核，由董事会予以最终确定。

也就是说，首先，内部控制评价从属于内部监督，是监督结果的总体体现。在企业正常的生产经营中，内部控制评价倚重内部空监督；其次，充分利用日常监督与专项监督结果的基础上，至少每年由内部控制评价机构对内部控制的五要

素相对独立地进行评价，却面第、综合地分析，提出认定意见，报董事会审定；第三，企业应当根据评价指引，结合自身情况和关注的重点，自行确定控制重大缺陷、重要缺陷和一般缺陷的具体认定标准。第四，根据具体认定标准认定企业存在的内部控制缺陷，由董事会最终审定。企业在确定内部控制缺陷的认定标准时，应当充分考虑内部控制缺陷的重要性及其影响程度。

内部控制缺陷的重要性和影响程度是相对于内部控制目标而言的。按照对财务报告目标和其他内部控制目标实现的影响的具体表现形式，下面区分财务报告内部控制缺陷和非财务报告内部控制缺陷分别阐述内部控制缺陷的认定标准。

2、财务报告内部控制缺陷的认定标准

财务报告内部控制是指针对财务报告目标而设计和实施的内部控制。由于财务报告内部控制的目标集中体现为财务报告的可靠性，因而财务报告内部控制的缺陷主要是指不能合理保证财务报告可靠性的内部控制设计和运行缺陷。换句话说，财务报告内部控制的缺陷，是指不能及时防治或发现并纠正财务报告错误的内部控制缺陷。

将财务报告内部控制的缺陷划分为重大缺陷、重要缺陷和一般缺陷，所采用的认定标准直接却绝育由于该内部控制缺陷的存在可能导致的财务报告错报的重要程度。这种重要程度主要取决于两个方面的因素：（1）该缺陷是否具备合理可能性导致企业的内部控制不能及时防治或发现纠正财务报告错误。合理可能性是指大于微小可能性（几乎不可能发生）的可能性，确定是否具备合理可能性设计评价人员的职业判断。（2）该缺陷单独或连同其他缺陷可能导致的潜在错报金额的大小。另外，一些迹象通常表明财务报告内部控制可能存在重大缺陷：（1）董事、监事和高级管理人员舞弊；（2）企业更正已发布的财务报告；（3）注册会计及时发现当期财务报告存在重大错报，二内部控制在运行过程中未能发现该错报；（4）企业审计委员会和内部审计机构对内部控制的监督无效。

十、内控自我评估报告

内部控制评价报告时内部控制评价的最终体现，按照编制主体、报送对象和时间，分为对内报告和对外报告。对外报告内容、格式等强调符合披露要求，时间具有强制性，对内报告则主要以符合企业董事会（审计委员会）、经理层需要为主，编制主体层级更多、内容上更加详尽、格式更加多样，时间可以定期或不动气。《评价指引》第二十条规定，企业应当根据《企业内部控制基本规范》、应用指引和评价指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和需求，按照规定的权限报经批准后对玩报出。

（一）内部控制评价报告的内容和格式

《评价指引》第二十一条和第二十二条规定了对外披露的内容，内部控制评价对外报告一般包括以下内容：

1、董事会声明。声明董事会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏。

2、内部控制评价工作的总体情况。明确企业内部控制评价工作的组织、领导体制、进度安排，是否冯清会计师事务所对内部控制有效性进行独立审计。

3、内部控制评价的一句。说明企业开展内部控制评价工作所依据的法律法规和规章制度，一般包括《企业内部控制基本规范》及《企业内部控制应用指引》、

《企业内部控制评价指引》、企业制定的内部控制及相关制度、评价办法等。

4、内部控制评价的范围。描述内部控制评价所涵盖的被评价单位，以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响。

5、内部控制评价的程序和方法。描述内部控制评价工作遵循的基本流程，以及评价过程中采用的主要方法。

6、内部控制缺陷及其认定。描述使用本企业的内部控制缺陷具体认定标准，并声明与以前年度保持一致或作出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷。

7、内部控制缺陷的整改情况。对于评价期间发现、期末已完成整改的重大缺陷，说明企业有足够的测试样本显示，与该重大缺陷相关的内部控制设计且运行有效。针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及语气效果。

8、内部控制有效性的结论。对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，企业须责成内部控制评价机构予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。

九、进行内控自我评估，并编制内控自我评估手册

《评价指引》第二十三条规定，企业应当根据年度内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

1、评价报告的编制

（1）内部控制评价报告的编制时间

企业应当根据内部控制评价结果和整改情况，编制内部控制评价报告。内部控制评价报告分为定期内部控制评价报告和非定期内部控制评价报告。

企业应该定期进行内部控制评价并发布内部控制评价报告。企业至少应该每年进行一次内部控制评价并由董事会对外发布内部控制评价报告。年度内部控制评价报告应当以12月31日作为基准日。

非定期内部控制评价报告可以是因特殊事项或原因而对外发布的内部控制评价报告，例如，企业因目标变化或提升而发布的内部控制评价报告，或者针对内部控制缺陷整改而发布内部控制评价报告，或者对某一对社会影响较大事项所做的内部控制发面的承诺和说明。也可以是企业针对发现的重大缺陷转向内部控制评价等项董事会（审计委员会）或经理层报送的内部报告（即内部控制缺陷报告）。

（2）内部控制评价报告的主体

内部控制评价报告的编制主体包括单个企业和企业集团的母公司。单个企业内部控制评价报告指某一企业以自身经营业务和管理活动为辐射范围编制的内部控制评价报告，术语对内报告；企业集团母公司内部控制评价报告时企业集团的母公司在汇总、复核、评价、分析后，以母公司及下属（或控股子公司）的经营业务和管理活动为辐射范围编制的内部控制评价报告，是对企业集团内部控制设计有效性和运行有效性的总体评价，可以是对内或对外报告。

（3）内部控制评价报告的编制程序

首先，内部控制评价机构对工作底稿进行复核，根据认定并按照规定的权限和程序审批确定的内部控制缺陷，判断内部控制的有效性。

其次，内部控制评价机构搜集整理编制内部控制评价报告所需的相关资料。

再次，内部控制评价机构根据有关资料撰写内部控制评价报告。

最后，内部控制评价报告上报经理层审核、董事会审批后确定，下属单位内部控制评价报告还需上报母公司。