企业内部控制审计监管相关问题焦晓宁.ppt

《企业内部控制审计监管相关问题焦晓宁.ppt》由会员分享，可在线阅读，更多相关《企业内部控制审计监管相关问题焦晓宁.ppt（90页珍藏版）》请在三一办公上搜索。

1、1,上市公司内部控制建设及问题分析,2012年9月,2,一、对内控实施的预期二、2011年内控实施情况三、内控建设存在的问题及建议四、内控审计相关问题,主要内容,3,一、对内控实施的预期国内外主要会计作假案例 例：奥林巴斯 公司治理 舞弊的日常防控,4,一、对内控实施的预期奥林巴斯:2011年10月14日,CEO被解职;提出:董事渎职、不当利益输送、财务造假 聘请普华进行调查的结果,5,一、对内控实施的预期2006至2008年三次并购：成本8亿美元 2009年减记收购取得的资产557亿日元，占76%2008年一次并购，成本20亿美元 交易中向咨询公司支付6.87亿美元 另以6.2亿美元自咨询公

2、司回购1.77亿美元的优先股,6,一、对内控实施的预期会计问题:90年代进行有价证券投机百慕大骗局11亿美元投资，30%分红投资损失VS投资收益以支付交易费用掩盖了投资失误的事实,7,一、对内控实施的预期反映出的问题：公司治理的严重缺陷内控制度的缺失会计准则提供的利润操纵空间 成本VS市价,8,一、对内控实施的预期银广厦 不可能的产能、不可能的价格、不可能的产品 3年间虚增利润7亿元46%的利润率相对于同行业的20%出口退税销售对手方的情况,9,一、对内控实施的预期公司上市过程 按照现代企业制度的系统性梳理 以对投资者负责的态度管理公众公司公司治理的要求 股东会、董事会、监事会、独立董事的比例

3、上市公司治理专项活动 强调治理结构、恢复上市公司独立法人资格等,10,一、对内控实施的预期有关案例体现的共性问题：人治大于法治治理机制缺失交易执行过程不规范 不在于形而在于神，不在于制度更在于执行,11,一、对内控实施的预期治理机制缺失独立董事的作用监管规定：上市公司的董事会中要有1/3以上的独立董事。某公司董事会共有11人，其中独立董事4人、大股东派出董事4人，其他职工代表、少数股东3人。财务和经营决策须经董事会半数以上通过。实务中在判断控制权时对独立董事作用的考量,12,内部控制的五个基本要素,基本规范中所描述的内部控制五要素：,13,内部环境,内部环境,加强内部审计工作,设立审计委员会,

4、规范公司治理结构,科学化内部机构设置,制定可持续发展的人力资源政策,不断提高员工素质,加强企业文化建设,增强全体员工法制观念,14,14,内部控制：,内部控制体系的分类（按管理流程）,公司层面控制是指那些确保管理层设在公司内部各个领域、各个业务层面的控制机制得以有效运转的机制,15,一、对内控实施的预期美国萨班斯法案的要求 上市公司建立健全财务报告相关内控 CEO、CFO对建立健全内控和保证有效性负责 外部审计师对内控出具专项审计意见 处罚措施 基础设施最终责任人外部鉴证,16,一、对内控实施的预期其他主要资本市场国家 日本：评价+审计 英国：管理层陈述 加拿大、欧盟其他成员国 内控建设的原则

5、性要求,17,一、对内控实施的预期我国上市主体实施内部控制：公司治理机制更加完善决策运行机制更加科学内部管理形成动态良性循环披露信息更加真实、完整,18,对内控的投入会给企业帶来的价值:,不知道,不同意,优化流程和改善内控更好地去理解企业面对的风险更好地去滿足合规要求改善财务报告职能更有效去应对转变更有效地利用IT投资有利并购整合加强投资者对企业的信心改善资本投资的执行情況,19,二、2011年内控实施情况整体要求实施范围完成情况,20,内控规范体系实施的整体要求,内部控制规范体系实施是内控体系建设、内控自评、内控审计的一个不断完善的过程。,21,二、2011年内控实施情况境内外同时上市公司试

6、点公司 集团性公司的内控建设范围母公司及重要子公司 着重财务报告内部控制,22,二、2011年内控实施情况完成情况 境内外同时上市公司基础情况较好，个别存在困难 试点公司少部分公司建立健全内控，并拟进行审计 相当部分公司处于形似状态 尚待后续运行、整改,23,二、2011年内控实施情况2011内控自评及审计情况 273家披露内控自评报告65家披露缺陷，仅1家存在重大缺陷 214家公司发布审计报告（67家境内外+147家试点）非标意见相对较少5家（1家否定意见）公司和事务所两方面的问题,24,三、内控建设存在的问题及建议试点公司的普遍性问题：客观：准备时间短 现行企业情况、核算状况等引发的问题

7、风险评估等方法带来的执行困难 关键风险和控制目标的确定,25,国外资本市场对内控要求美国:公司类别 管理层自评报告 审计报告 1.加速公司 2006年7月15日 2007年7月15国外公司(7.5亿市值70亿)2.非加速公司 2007年12月15日 2008年12月15日(7.5亿)3.新上市公司 第二个年度报告 第二个年度报告,26,国外资本市场对内控要求美国:美国在引入内控要求的过程中,自规定出台至要求管理层出具自我评估报告平均5-6年时间;要求审计师出具与财务报告相关内部控制审计报告平均6-7年时间 相当部分NASDAQ小型上市公司至今也未明确要求,27,三、内控建设存在的问题及建议除境

8、内外同时上市公司外，试点公司自行选择是否进行内控评价及审计2012年主板公司全面实施分层次、差别化（1）中央和地方国有控股主板上市公司：2012（2）非国有控股主板公司、市值50亿以上，前三年平 均利润3000万以上：2013（3）其他：2014,28,三、内控建设存在的问题及建议（4）特殊情况 破产重整、借壳上市或重大资产重组：交易完成后下一年、不早于前三项时间要求 新上市主板：上市下一年度，不早于前三项时间要求,29,三、内控建设存在的问题及建议(一)对内控的理解和重视程度内控的实施会限制管理层权力内控的实施仅为满足监管要求内控的实施是制度的完善过程内控的实施降低企业运行效率,30,三、内

9、控建设存在的问题及建议思想认识不统一，内生动力不足 公司领导合规VS管理提升 运动VS持续工作 中层抵触 每一位员工切身利益 关注：内控文化是根本,31,三、内控建设存在的问题及建议内控实施的责任主体：董事会对内控的建立和实施负责美国萨班斯法案CEO、CFO对内控负责 罚款及刑事责任,32,三、内控建设存在的问题及建议一把手工程体现在：自身认识程度身体力行的推动解决阻力的决心和魄力,33,三、内控建设存在的问题及建议(二)如何确定内控建设的路径国外对内控要求基本上围绕财务报告内部控制内控建设的复杂性和周期我国企业内控现状 初期建设以财务报告内控为切入点,34,资产负债表 资产 负债 货币资金

10、短期借款 交易性金融资产 应付账款 应收账款 应交税费 固定资产 长期借款 长期投资 负债总计 无形资产 所有者权益 资产总计 负债与权益总计,35,三、内控存在的问题及建议资本市场实施重点 围绕改进和提高财务信息质量 管理层自我评价与财务报告相关的内控 外部会计师审计与财务报告相关的内控 公司可以决定在条件允许的情况下，建立健全 全面内控,36,从财务报告内部控制到全面风险管理,针对财务报告错报风险为切入点，确认相关的内部控制在财务报告内部控制工作的基础上，把概念应用到其他领域，但需要调解工作的细节程度,财务报告目标,其他风险事项,风险事项,风险事项,业务流程,其他风险,财务报告错报风险,其

11、他风险,业务流程,其他目标,其他目标,控制,控制,其他风险,业务流程,控制,37,三、内控建设存在的问题及建议财务报告内控并不等同于财务部门内控：内控体系与会计控制的差别内控体系建立中涉及流程梳理的难度财务部门的局限性,38,财务报告内部控制,资金管理,主营业务收入,应收账款,坏账准备,内部控制,内部控制,39,39,自上而下的方法：,财务报告控制的风险评估,40,三、内控建设存在的问题及建议（三）集团性企业内控建设范围的选择从合并财务报表角度选择重要子公司纳入建设范围的公司按照风险评估的结果，选择重要领域业务同质性与差异的考虑 是否允许子公司作差异化调整 管理实践与内控的契合,41,三、内控

12、建设存在的问题及建议（四）对内控建设中方法的理解 风险评估基础上内控体系的搭建技术性方法与管理理念的融合技术性方法的浅白化问题内控建设要形成的成果,42,42,风险评估,.设定控制目标,.收集相关信息,.识别风险,.风险分析,.确定风险承受度,.风险应对策略,.持续评估,风险规避、风险降低、风险分担、风险承受,整体风险承受能力业务层面可接受风险水平,内部信息外部信息,内部风险：人力资源、管理、自主创新、财务、安全环保、其他外部信息：经济、法律、社会、科学技术、自然、其他,定性与定量相结合，按照风险发生的可能性及其影响程度对识别的风险进行分析和排序，确定关注重点和风险优先级,结合企业发展不同阶段

13、，持续收集相关信息，进行风险识别和风险分析，及时调整风险应对策略,根据企业实际情况设定具体控制目标,43,内控建设体现的成果,制度性文件,操作性文件（实施细则）,纲领性文件,流程文件/内部控制文档,明确管理组织架构、职能、策略、目标与愿景等。,规定某项业务工作的目标、方向、原则等，是制定流程及操作性文件的基础和依据。包括但不限于适用范围、编制依据、主要应对风险、职责分工、政策与要求等。,流程文件属于制度体系的第三层级文件，是依据基本制度建立的管理文件，在流程层面规定制度文件如何得以执行。包括但不限于管理要求、实施方案、应对风险及控制措施等。,操作性文件是依据流程文件编制的、指导具体操作的管理文

14、件，详细描述流程层面的具体工作如何开展并符合流程要求，涉及日常管理活动。,企业管理制度体系,44,三、内控建设存在的问题及建议内控建设要形成何种成果？内控手册流程图风险地图风险控制矩阵没有统一要求，反映内控过程，便于理解和执行,45,内控梳理对标,控制活动编写的原则：4W+1H WHO:哪个岗位执行控制活动 WHEN:该控制活动发生的时间或频率 WHERE:该控制活动发生的地点 WHAT:根据什么进行控制如制度、单据、报告、电子邮件、系统数据等 HOW:控制活动的具体内容是如何？如何操作？从监管角度不要求内控文档为何种形式,内控文本,成立专属部门确定梳理范围实施风险评估整理现有制度辨识内控环节

15、对标管理规范,46,三、内控建设存在的问题及建议企业实务情况：针对制度的制度内控手册 一站式岗位职责及操作指南,47,三、内控建设存在的问题及建议（五）人才的缺乏成为瓶颈综合性人才整体运营、业务流程风险、内控知识 财务部 内审部 合规部,48,内部控制评价人员所需的知识技能,49,内控咨询服务机构的选用,是否选择内控咨询服务机构需考虑：公司管理层对内控工作的重视程度公司管理水平及文化氛围公司规模及业务复杂程度、管理方式集中或分散程度公司内部控制体系建设的基础公司相关部门的内控相关专业知识及水平公司内部控制体系建设的整体规划及目标,内控咨询机构只能起到辅助作用，上市公司应避免过分依赖咨询公司,5

16、0,内控咨询服务的范围及性质,内控咨询服务包括内控建设及评价两个方面梳理内控流程，识别内控设计缺陷编写内部控制相关文档记录（如内部控制手册）完成内部控制有效性测试协助整改，包括协助制定整改方案协助出具内部控制有效性报告内控相关培训审阅内部控制相关文档记录并提出修改建议,不同的服务范围及性质对咨询机构的资源投入要求不同，对上市公司提供的辅助程度也不相同,51,三、内控建设存在的问题及建议关注咨询中介机构的执业素质：四大会计师事务所国内其他会计师事务所管理咨询机构IT公司,52,三、内控建设存在的问题及建议(六)规范与管理的结合程度不够部分企业简单按照18项指引完善自身制度是否制度中有指引的要求即

17、是健全有效？财政部与证监会要求：指引仅为参考 要结合企业实际监管中将着重考虑内控建设与企业特点的问题,53,三、内控建设存在的问题及建议关注：风险识别不充分，执行过于机械 内控规范指引的要求着重基本规范 企业自身管理特点与行业特性 鼓励企业结合实际增减,54,三、内控建设存在的问题及建议(七)组织机构的设置董事会下设机构专职推动机构业务部门,55,公司各级治理机构及管理层,内部控制体系建设实施的组织及协调部门或机构,成立专门的内部控制管理委员会,由公司副总级别领导分管内部控制工作,或,成立专门的内部控制管理部门,及/或,由适当的部门牵头负责内部控制工作,设立专门的内部控制工作岗,或,由适当的岗

18、位兼任内部控制工作岗,企业内控管理组织机构设立的方式,56,公司各级治理机构及管理层,成立专门的内部控制管理委员会,由公司副总级别领导分管内部控制工作,及/或,一般情况下，委员会由公司总经理、副总经理及各部门负责人组成 委员会下设内控管理的常设机构，由该机构负责各项工作的组织及推广 各项工作以委员会名义向下推动，推动力较强，工作更加受到重视 委员会相关工作汇报可以作为公司管理层例会的讨论议题一并讨论，涉及范围更广更易引起管理层重视,由公司副总级别领导分管内控工作，工作针对性相对更强，但也可能仅限于该副总分管的相关领域 相关工作需要委派给某职能部门负责牵头完成，推动力相对较弱 相关工作汇报易被视

19、为某部门的工作成果及工作任务而得不到其他相关部门的重视,企业内控管理组织机构设立：,57,部分企业为内部控制管理职能单独成立“内部控制管理部”部分企业将内部控制管理职能与其他职能相融合，成立如“内控稽核部”、“内控合规部”、“风险与内控部”等，其他职能包括稽核、合规、风险管理等 专职部门负责内控工作内容更加明确,管理层可能从投入资源、整体工作量、胜任能力等各方面考虑，将内控建设的组织及协调工作委派给适当的部门一般情况下企业选择的适当部门包括：财务部 风险管理部 审计部,企业内控管理组织机构设立：,58,内审职能主导内部控制实施,企业内控管理组织机构设立：,59,三、内控建设存在的问题及建议（八

20、）有关配套措施不完备，缺乏长远目标必要的激励约束机制内控建设的阶段性任务,60,企业内控工作建设路线图,现状调研风险评估内控体系设计宣贯推广内控管理平台建设,内控体系完善相关业务管理的完善,内控体系的持续改进相关业务管理的持续改进,公司内控体系建设划分为内控基础建设、内控促进管理、内控融入管理三个阶段。,内控基础建设,61,企业开展内控工作的阶段划分,62,三、内控建设存在的问题及建议建立内控的长效机制 控制体系的简化 管理与效率的提升 持续优化实现适时、适度的控制,63,三、内控建设存在的问题及建议,（九）内控与信息系统的结合程度不够手工VS系统化内控体系在信息系统中的固化一定程度上避免两张

21、皮,64,三、内控建设存在的问题及建议（十）对内控自我评价工作重视不够缺乏有效的评价办法董事会对自身责任认识不够过于依赖中介机构的服务 内控咨询、评价与审计缺乏符合企业实际的缺陷认定标准,65,制定内控评价办法开展内控评价跟踪缺陷整改编制内控评价报告,内控评价,内控评价,66,设计有效性与执行有效性,内部控制的设计有效性，是指为实现控制目标所必需的内部控制要素都存在并且设计合理、恰当：存在性：过程和风险已被充分识别，过程和风险的控制措施得到明确规定并得以保持合理性：内部控制的设计在符合内部控制原理的同时，本着客观、公平、公正的原则制定，对董事会、监事会、经理层和员工具有执行的基础和约束力恰当性

22、：内部控制的设计结合企业自身的环境条件、业务范围、经营模式等进行风险识别和评估，确定主要及重大风险控制措施，从而有利于实现控制目标,67,设计有效性与执行有效性,内部控制的运行有效性，是指现有内部控制按照规定程序得到了正确执行。评价运行有效性，可考虑的因素包括：相关控制是否得到持续一致的运行；相关控制是否由适当的人员执行（执行人员具有相应的权限和能力）相关控制是否在适当的时间被执行（例如，某交易在发生前得到相应的授权和审批，而不是在事后补齐授权审批手续）执行方式恰当（例如，某控制按规定应执行管理层审批程序，但实际执行人仅进行审阅，没有批示决策意见，则该控制执行不当）执行结果进行了适当的记录（重

23、要控制环节需要签字、邮件、会议纪要等记录）执行时发现的差异及时得到了跟进（例如对账环节，核对并不是最终目的，最终目的是核对过程中发现的差异均进行了调查跟进）,68,内部控制缺陷分类,68,69,三、内控建设存在的问题及建议(十)内控自我评价克服另一极端：追求零缺陷，过度整改考虑成本效益原则内控的动态过程,70,三、内控建设存在的问题及建议(十一)内控信息披露有待规范管理层讨论与分析 内控建立与运行情况 控制环境风险评估主要风险领域及措施 内控自我评价情况审计情况 报告期有关变化不同规定之间的协调问题,71,三、内控建设存在的问题及建议(十一)内控信息披露有待规范境内外同时上市公司对不同监管要求

24、的披露 建设范围 评价及审计差别,72,四、内控审计相关问题(一)审计方式问题整合审计与非整合审计（13/214）整合审计不仅仅是同一审计机构的问题，在财务报表审计的基础上附加必 须的内控审计程序 独立性要求内控咨询与审计机构不能为一家,73,四、内控审计相关问题（二）关于内控审计费用问题 部分企业内控审计费用过低，难以保证审计质量 初步统计，内控审计费用为财务报告审计费用的30%-40%审计费用过低影响了审计程序的执行,74,四、内控审计相关问题（三）关于审计机构的选择 是否具有足够的审计力量 是否有健全的审计程序和质量控制体系 对公司所处行业的了解程度等,75,四、内控审计相关问题（四）市

25、场对非标意见的承受度 否定意见内控报告情况：多头授信收款风险未得到有效控制授信额度不超过客户注册资本未予有效执行结果：形成大额无法收回的应收款,76,四、内控审计相关问题（四）市场对非标意见的承受度 媒体质疑：1.公司内控存在漏洞，事务所以前年度未发现 属失职；2.事务所以前年度发现问题未披露，涉嫌与公司勾结出 具欺诈性报告；3.审计师在审计报告中的表述在糊弄投资者,77,四、内控审计相关问题（四）市场对非标意见的承受度 1.关于重大缺陷以前年度是否存在及审计师承 担责任问题 2.关于审计师在审计报告中关于内控局限性的 表述,78,四、内控审计相关问题市场、公司对内控缺陷的态度 内控的局限性

26、1.在美上市公司的情况 2.内控建设过程中的规律 3.内控缺陷与管理的关系 4.内控缺陷与财务报告之间的关系,79,四、内控审计相关问题（五）事务所对内控审计业务准备不足缺乏足够培训没有明确的缺陷认定标准和技术指引不同人员理解存在偏差内部控制缺陷评价程序中的关键环节及要素理解存在问题,80,四、内控审计相关问题（六）事务所对分所管理不善，低价竞争严重总所对分所缺乏足够的管理 业务承接不规范 低价竞争,81,四、内控审计相关问题（七）非整合审计导致审计程序受限 本年度221家实施内控审计的试点公司中有13家以非整合审计形式出审计报告，占比5%根据内控审计师与财务报表审计师的沟通频率及沟通内容分析

27、，非整合审计情况下，内控审计师无法及时、充分获取财务报表审计过程中的审计发现，导致其无法根据财表审计结果充分衡量对内控审计意见的影响，审计程序受限,82,四、内控审计相关问题（八）对关键审计技术的理解存在偏差1.未能以风险为导向评估确定审计范围 财务报告内控VS全面内控 以风险为导向确定审计范围 重要业务单元 重要流程、根据客户情况对重要流程的理解 重大风险领域的识别,83,四、内控审计相关问题（八）对关键审计技术的理解存在偏差2.未经评价利用第三方工作3.对内控审计与财务报表审计认识不清 以财务审计中对内控的测试替代内控审计 以财务审计中实质性测试结果替代内控审计程序 以结果推过程,84,四

28、、内控审计相关问题（八）对关键审计技术的理解存在偏差4.审计程序不足 公司层面的控制范围、描述记录及支持性文档缺 乏 流程层面的控制控制矩阵、流程描述和流程图 从整体联系中突出关键控制点 描述的细致程度,85,四、内控审计相关问题（八）对关键审计技术的理解存在偏差 流程层面的控制穿行测试底稿记录不全面 样本量选择（如每日多次发生控制的样本量选择）样本量选择与公司规模、资产情况等 的关系,86,四、内控审计相关问题（八）对关键审计技术的理解存在偏差 5.信息系统审计程序有待提升人才缺乏对信息系统审计的基本认知信息系统审计范围的识别信息系统的应用控制,87,四、内控审计相关问题（八）对关键审计技术的理解存在偏差 6.缺陷认定偏差到缺陷之间的关系审计发现与缺陷汇总之间的关系缺陷标准,88,四、内控审计相关问题（九）审计报告标准审计报告格式试点企业母公司及重要子公司 需要在审计范围部分明确注明 责任段中明确说明审计范围界定的依据 财务指标比例,89,四、内控审计相关问题（十）独立性问题同一家所不得同时为一客户提供内控咨询及内控审计服务内部不同机构设置不同法人资格企业,90,谢谢！,