《内控审计体系建设.ppt》由会员分享，可在线阅读，更多相关《内控审计体系建设.ppt（69页珍藏版）》请在三一办公上搜索。
1、2009年售前工作总结和2010年工作规划,企业内部控制审计体系与方法,基于财政部企业内部控制审计指引和企业内部控制审计指引实施意见的实践,写在前面的问题,企业内部控制体系建设与运行对企业风险管理的或企业经营的贡献度有多大？,写在前面的问题,经营策略在很大程度上影响着内部控制体系建设的方法与思路,以利润为中心,以客户为中心,以股东利益为中心,不同的经营理念不同的经营策略决定着企业内部控制的实际操作管理方向和途径,目录,内控审计的体系与方法论,特定内控项目的审计,基于数据分析的内控缺陷识别,基于内控审计总体目标分解来建立严谨完善的内控审计体系及对应的方法论,对企业极为重要的那些特定内控项目的专项
2、审计是保证内控目标实现的重要环节点,引入非现场审计与现场审计相结合的模式提高问题发现的精准度并提升审计效率,面向应用的内控审计工作平台,将前述的体系与方法落实到审计信息系统中实现审计工作的工具平台化操作,一、内控审计的体系与方法论审计目标,内控审计目标,这里所说的企业内部控制审计是指会计师事务所或企业内部审计部门接受委托，对特定基准日企业内部控制的设计和运行的有效性进行的审计。,内控审计责任,建立健全和有效实施企业内部控制，是企业全体股东和董事会的整体要求，也涉及到企业员工的共同利益。评价企业内部控制设计和运行的有效性，是董事会的责任也是受委托会计师事务所代表股东利益和社会利益而肩负的共同责任
3、。,一、内控审计的体系与方法论审计目标,一、内控审计的体系与方法论任务分析,财务报告完整真实,遵从企业内法与外法,保障企业资产安全,提升运营效率效果,内控审计,内控设计构建有效性,内控运行有效性,内控审计审什么？,一、内控审计的体系与方法论任务分析,内控审计,内控设计构建有效性,内控运行有效性,企业内部控制系统构建有效性审计，主要是从内控体系设计构建的体系完备性、系统深入性、管理详细性、目标达成性、运行有效性和维护持续性诸方面评估内控体系建设的质量这是一种基于理论方法的审计或者是一种基于完备内控体系标准的设计。,企业内部控制系统运行有效性审计，当从企业内部控制系统运行的实际效果出发，监测它对内
4、部控制四大目标实现的满足程度这是一种基于企业内控系统运行事实或成效的审计，内控效果评估是审计的核心。,一、内控审计体系与方法论内控构建有效性,企业内控体系设计构建有效性审计是内控效果审计的第一步，一个千疮百孔的内控体系构建也很难谈得上运行的有效性，因此从内控体系的设计理念和实际构建的内容和程度出发检查内控体系建设的有效性是非常必要的。内控体系设计构建评估当从以下几个方面入手：体系完备性系统深入性管理详细性目标达成性运行有效性维护持续性如果能够建立上述6个方面的指标体系，我们就可以通过调查问卷、查证查验对企业内控体系构建的质量进行评测。,一、内控审计体系与方法论内控构建有效性评价,一、内控审计体
5、系与方法论内控构建有效性评价,企业风险管理机构设置是否健全、职责是否明确、组织管理是否合理。体制内全员风险管理与内部控制培训是否开展，风险管理意识和职业操守标准是否建立。是否有企业级领导专职负责内部控制，其职权范围和精力是否合适和充沛。风险管理是否涵盖企业财务、市场营销、产品销售、物资采购、人力资源管理、绩效考核、对外对内投资、安全生产、合规等各个业务和管理层面。是否建立了有效的内部控制管理信息系统信息采集点是否包括了主要的业务环节如：财务出纳、市场反馈、产品销售、企业供应链、工作计划进度、绩效考核、薪酬体系等。控制管理层次分明，包括：风险管理战略控制管理环境建立风险点发现风险点评估风险应对流
6、程管控信息沟通监测。,评价指标体系体系完备性,一、内控审计体系与方法论内控构建有效性评价,一、内控审计体系与方法论内控构建有效性评价,控制管理层次分明，包括：风险管理战略控制管理环境建立风险点发现风险点评估风险应对流程管控信息沟通监测是否建立了完整的关键风险点的管控机制和应对措施企业在典型业务流程上（例如内控指引的18个管控条线）是否具备广泛的风险点知识库，使得企业对风险点的识别系统全面建立在风险偏好基础上的风险点管控策略，即内控设计中，从风险点中基于风险偏好来选择控制点控制目标应与经营目标、管理目标保持一致，并且在流程环节上始终围绕着操作目标建立控制策略,评价指标体系系统深入性,一、内控审计
7、体系与方法论内控构建有效性评价,一、内控审计体系与方法论内控构建有效性评价,评价指标体系管理详细性,企业内部控制节点的详细程度，是否覆盖了必要的各个环节 控制程序文件的详尽程度，是否对于风险的发生有明显的抑制作用风险事件库的设置是否详细，有助于快速的查询，以应对紧迫的风险管理的需要风险预警观测点是否按照业务或组织层级的深入进行布置的，是否有助于提前发现风险信号控制程序文件编写是否严谨、规范和适用性，没有歧义或二义性业务信息记录和传递的及时、准确和全面性,一、内控审计体系与方法论内控构建有效性评价,一、内控审计体系与方法论内控构建有效性评价,评价指标体系目标达成性,内控管理目标是否迎合企业的发展
8、战略，是否对战略目标进行了有效的分解是内控系统设计与构建的重要原则 内控系统建设与运行是否增进了对企业的全面深入了解（资产、现金、工作进展、人员状况、市场反馈等等）是内控系统有效性的一个标识。内控管理的触角应该具有一个从顶层直达最低层的快捷机制，并且建立了检查和牵制的平衡机制 对员工的绩效考核和激励补偿是否与企业内控的目标一致，并且迎合了企业的长远发展战略。企业的重大关键风险（例如前N大风险）是否处在日常的监视中（是否有电子化的预警辅助系统）。风险管理报告（包括财务报告）的真实性、可检验性和其中风险指标的是否全面，是否包含了事前预警、分析和事后处理。,一、内控审计体系与方法论内控构建有效性评价
9、,一、内控审计体系与方法论内控构建有效性评价,评价指标体系运行有效性,是否有（通常是建立在IT系统上的）实体流程管控平台，这是企业内部控制从纸面上的管控规定落实为真实的流程控制的重要手段，融合在OA系统或者其他业务系统中的业务流程管控是内部控制落地的发展方向。建立基于事件或指标或测试的内控缺陷发现机制是保障内控系统有效运行的有力措施。掌握与否快速进行风险点评估的技术是建立风险应对策略的基础。同时风险应对策略的合理性、适用性、经济性也是设计的要点危机处理是内部控制的重要内容，危机应对预案的建立以及启用流程的设置也是内控系统运行的重要内容。,一、内控审计体系与方法论内控构建有效性评价,一、内控审计
10、体系与方法论内控构建有效性评价,评价指标体系持续维护性,是否有日常的内控管理监控体系在常规的运行，并定期对运行的状况进行反馈 是否有因应环境变化而对系统进行修订的机制（体系的自适应机制）对是否有专职人员以及组织机构负责系统的改善、修订 企业内部控制管理系统是否适应企业不同发展阶段对内部控制的不同要求,一、内控审计体系与方法论内控运行有效性审计,评估企业内控体系运行有效性是企业内控审计的根本目的，在审计方法上，针对所涉及的各个业务条线从上述四个方面，通过风险事件、风险指标、实地测试获得内控系统的运行数据，从而完成企业内控系统运行有效性的评测,资产安全审计,效率效果审计,外法合规审计,披露真实审计
11、,一、内控审计的体系与方法论内控审计流程框架,调查问卷,审计立项,查询查证,设计/构建有效性评估指标体系,内控体系构建有效性评估,风险事件,风险指标,测试查证,内控目标满足度分项评估,内控运行有效性评估,内控审计报告,一、内控审计的体系与方法论讨论题（1）,讨论：内部控制与风险管理的关系,一、内控审计的体系与方法论讨论题（1）,合规风险管理,大合规/遵从外法和内法,小合规/仅遵从外法,合规作为内控的制约目标,一、内控审计的体系与方法论讨论题（1）,事先管理,员工绩效管理,内部控制,内控环境,内控目标,内控规则,合规风险管理,合规监测预警,风险暴露、经济资本、风险对冲,风险与控制自评估,操作风险
12、/运营风险,事中管理,事后管理,沟通与监控,目录,内控审计的体系与方法论,特定内控项目的审计,基于数据分析的内控缺陷识别,基于内控审计总体目标分解来建立严谨完善的内控审计体系及对应的方法论,对企业极为重要的那些特定内控项目的专项审计是保证内控目标实现的重要环节点,引入非现场审计与现场审计相结合的模式提高问题发现的精准度并提升审计效率,面向应用的内控审计工作平台,将前述的体系与方法落实到审计信息系统中实现审计工作的工具平台化操作,二、特定内控项目审计（1）“三重一大”,“三重一大”指重大决策、重要人事任免、重大项目安排和大额度资金运作。“三重一大”事项坚持集体决策原则。国有企业应当健全议事规则，
13、明确“三重一大”事项的决策规则和程序，完善群众参与、专家咨询和集体决策相结合的决策机制。国有企业党委(党组)、董事会、未设董事会的经理班子等决策机构要依据各自的职责、权限和议事规则，集体讨论决定“三重一大”事项，防止个人或少数人专断。要坚持务实高效，保证决策的科学性；一般说来，企业特别是中央企业建立健全议事规则、明确“三重一大”事项的决策规则和程序都是可以做到的，然而实质性问题是什么样的决策规则（包括决策依据和如何作出决策）和什么样的决策程序,二、特定内控项目审计（1）“三重一大”,二、特定内控项目审计（1）“三重一大”,二、特定内控项目审计（2）“风险管理”,内部控制应明确规定企业应建立其经
14、营管理主要方面的风险预警,从内部控制角度去看风险管理应该明确风险管理架构与主要功能,内部控制应明确风险发现之后的处理机制、流程及相关风险责任,风险管理与内部控制关系清晰性,内部控制是否覆盖到了风险管理,二、特定内控项目审计（2）“风险管理”,风险管理体系,风险预警,风险披露,风险会商,风险应对,建立风险管理系统,对经营管理主要方面开展风险预警,一旦发现风险建立风险披露制度,与风险责任部门展开风险会商,与风险责任部门一起制定风险应对措施,二、特定内控项目审计（3）“绩效考核”,二、特定内控项目审计（3）“绩效考核”,劳动生产率,客户服务,产品交付,人才保持,各类人员薪酬平衡度 各类人员绩效匹配度
15、,成本费用利润率 主营业务利润率总资产报酬率,薪酬绩效平衡,企业经营效果,绩效体系设计、运行有效性评估六维度模型,二、特定内控项目审计（4）关于内部控制的内部控制,内部控制体系建设实效性测评内控实效是企业隐含着的另外一个大的风险类,内控目标的达成性,建立切实有效的内控实效性测评方法或测评系统，检验所建立的内部控制能否实际保障资产安全、运营的效率效果、合规和经营报告的全面真实,设置必要的制度和流程来实际检查内部控制体系的应用有效性,内部控制效果评测应该发展一套有效方法测评或度量内控效果,如何评价一个企业的组织架构是满足内控要求的？,二、特定内控项目审计（5）组织架构,组织成熟度可以从另外一个侧面
16、评价组织架构设计与运行的合理性与有效性。从机构的组织能力出发可以将组织能力分为五种类型：,Level 1,Level 2,Level 3,Level 4,Level 5,谋生型,荣誉型,压力型,开拓型,事业型,二、特定内控项目审计（5）组织架构之组织成熟度,其他补充项目：问题处理质量业务水平关键技术核心能力培植客户投诉率,组织成熟度,二、特定内控项目审计（5）组织架构之组织成熟度,组织能力与组织成熟度等级关系表：,二、特定内控项目审计（5）组织架构之组织成熟度,企业执行力测评4维度模型,制度体系,领导权威,文化体系,M1,M2,M4,M3,组织体系,执行力流程：战略流程运营流程人员流程,二、特
17、定内控项目审计（6）执行能力,企业执行力（十大影响因素模型）,激励方式,组织流程,文化理念,管理制度,个人因素,人员配置,团队协作,目标分工,正确的战略目标,领导者的行为,二、特定内控项目审计（6）执行能力,精益管理执行力体系,人员流程,战略流程,运营流程,组织管理能力,战略管理精益化能力,人力资源规划能力,量才适用能力,员工招聘与培训能力,员工工作绩效与激励机制,领导的执行力作用,执行力文化的创建与贯彻,管理层的战略评估能力,管理层的战略规划能力,二、特定内控项目审计（6）执行能力,精益管理执行力体系,人员流程,战略流程,运营流程,技术质量能力,成本控制能力,精益生产能力,精益营销能力,技术
18、能力,质量能力,目标成本规划能力,成本改善能力,精益信息系统管理能力,精益现场管理能力,客户需求服务的满足能力,市场占有能力及销售收入,采购与供应管理能力,二、特定内控项目审计（6）执行能力,二、特定内控项目审计（7）沟通能力,沟通能力,在诸如辞退员工、处分员工、事项谴责、绩效考核等决定和操作中没有强制性的沟通机制,非正式渠道信息传递往往有着正面和负面的双重性，善于管理将会有效抑制风险,企业没有明确的基于内部控制等报告管理体制，报告覆盖面、报告指标、报告分析应用等缺乏规划,沟通是一项重要的企业组织能力，沟通的顺畅与否直接影响到组织效率、决策的正确性和风险的防范,缺乏沟通能力测评,内部报告体系缺
19、陷,缺乏非正式渠道沟通,关键环节缺乏沟通机制,二、特定内控项目审计（8）文化塑造,精神,理念,规则,二、特定内控项目审计（8）社会责任,安全生产,重大人事事件,重大灾害（环境保护）,监管处罚,员工因劳动法与公司发生的各种纠纷,对消费者和社会有重要影响的产品质量问题,主要干部、重要团队的违纪、行为不当以及离职等事件,包括发生在企业内部和企业外部的各种重大(自然)灾害,指被媒体披露的重大安全事故,企业因疏忽和其他原因面临的监管处罚,员工纠纷,产品质量,危机应对预案,目录,内控审计的体系与方法论,特定内控项目的审计,基于数据分析的内控缺陷识别,基于内控审计总体目标分解来建立严谨完善的内控审计体系及对
20、应的方法论,对企业极为重要的那些特定内控项目的专项审计是保证内控目标实现的重要环节点,引入非现场审计与现场审计相结合的模式提高问题发现的精准度并提升审计效率,面向应用的内控审计工作平台,将前述的体系与方法落实到审计信息系统中实现审计工作的工具平台化操作,嘉信软件公司员工人数1000余人，年销售毛利2亿2千万，从事电子商务交易平台软件开发。全年大部分月份亏损，年度经营现金流是负的,全年新签合同保持20%的增长、员工人数同比增长；营业成本利润率低于行业均值,良好的外部市场却产生企业亏损，这是典型的企业内部管控缺陷表现特征劳动生产率低下,讨论题（1）,讨论题（2）,利源矿山工程公司年度经营实现利润2
21、300万,盈余现金保障倍数=0.92,企业超额完成了董事会下达的业绩指标，董事会兑现了全部的绩效奖励,三、基于数据分析的内控缺陷识别基本原则,企业内部控制体系的运行有效性审计就是查证查验企业内控体系对保证资产安全、保证经营信息披露全面真实、保证企业运营的效率效果、保证企业经营管理行为遵守法律法规约束这四大内部控制目标的满足程度。,资产安全,信息披露,效率效果,合法合规,建立在数据分析基础上的有效性评估,风险事件,风险指标,流程测试,三、基于数据分析的内控缺陷识别资产安全审计,企业内部控制中的资产是指货币资产和实物资产，实物资产包括了企业的存货、固定资产和无形资产。企业内部控制中的保证资产安全包
22、括了防止资金的挪用和非法占有、实物资产的被盗以及资产运用的效能。货币资产安全性审计中，对于融资和投资等资金活动，投融资决策正确与否不是审计要点（这部分内容当于风险审计中解决），而决策流程或决策程序、决策方式的严谨、恰当和正确与否才是审计的要点。检查资产管理中融资、投资、资金运用、存货、固定资产、无形资产等的管控流程，评测其恰当、合理、先进性是资产安全审计的常规工作。调查问卷、访谈、风险事件汇总、指标提取、流程测试（穿行测试、重新测试等）是十分必要的数据采集工作。,三、基于数据分析的内控缺陷识别资产安全审计,资产安全审计,调查问卷专项访谈记录查证,资产安全及效能度量指标提取,资产管理流程测试,风
23、险事件分析,指标测算分析,测试评价,审计报告,三、基于数据分析的内控缺陷识别资产安全审计,资产安全性评价指标体系,总资产报酬率净资产收益率资产销售收入比率固定资产报酬率固定资产销售收入比率固定资产成新率存货周转率存货成本水平资本性支出比率科技投入比率,通过指标的波动分析、风险阈值检查和行业比较分析来揭示企业资产管理安全性和成效。,三、基于数据分析的内控缺陷识别信息披露真实审计,企业披露经营信息真实全面是企业内部控制体系设计、构建及运行的重要实现目标之一。企业披露经营信息的方式主要是通过财务报表和其他的经营报告，而财务报表集中反映了企业经营各个方面的情况，这是信息披露最为主要的形式。但为了更加全
24、面的揭示企业经营管理风险，也可能需要其他的资料补充，例如研发投入、每月的现金流量表、生产制造费用的补充以及必要的银行对账单等企业经营信息披露真实全面性审计的主要工作内容是评测财务报告反映企业经营状态描述的真实程度以及各种结论的全面性。评测财务报表信息披露真实全面性的方法实际上就是反欺诈技术在财务报表粉饰上的应用，主要有收益性指标与现金流的匹配性检验、标志性财务指标的异常波动分析、会计报表与银行对账单、税单的交叉检验、典型欺诈模式识别等等。,三、基于数据分析的内控缺陷识别信息披露真实审计,信息披露真实全面审计,财务报表行间勾稽关系检验,财务报表表间勾稽关系检验,财务指标异常波动分析,查询查证,审
25、计报告,银行对账单与凭证汇总关系检验,三、基于数据分析的内控缺陷识别合法合规审计,企业内部控制运行有效性的一个重要目标是企业遵从国家的法律法规，即合理保证企业经营管理合法合规。企业内部控制中所说的合法合规通常指企业遵从国际法规、国内法规、行业规范以及企业内部政策与规章制度（内控制度）。合法合规性审计需要在以下几个方面评测内控体系在合法合规相关方面的有效性（1）合规管理总体情况或者合规管理涉及的主要方面；（2）合规管理的具体措施，包括管控流程、管理制度、风险防范等；（3）审计基准期内发生的各类合规性事件、面临的处罚以及违规事件处置。调查问卷、访谈、应诉起诉纠纷案件搜集、处罚事件搜集等等是合法合规
26、审计数据采集的主要方面而对这些事实的分析将作为合规控制有效性评价的主要基础。,合规合法审计,调查问卷专项访谈,标识性指标测算,应诉、起诉、纠纷、处罚案件,风险事件分析,指标测算分析,风险事件分析,审计报告,三、基于数据分析的内控缺陷识别合法合规审计,执行测试穿行测试重新测试,风险事件分析,合法合规审计标识性指标体系,企业利润与所得税比率销售收入与流转税比率薪酬总额与所得税比率合法合规风险事件汇总统计指标其他相关的合法合规性示性指标,通过指标的波动分析、风险阈值检查和行业比较分析来揭示企业某些敏感领域合规合法性控制面临的潜在风险。,三、基于数据分析的内控缺陷识别合法合规审计,三、基于数据分析的内
27、控缺陷识别经营效率效果审计,企业内部控制对企业经营效率效果的贡献主要体现在企业的劳动生产率上，即有效运行的内部控制机制应该将企业的劳动生产率保持在一个相对合理的水平上。在这里所说的劳动生产率是指企业运用各种资源（人力、资产、薪酬）所获得的收益水平，也就是各种投入产出的比率。考虑到财务粉饰以及收入确认标准的不统一性，企业收益或企业经营业绩的计量指标除了采用通常的资产收益率ROA等之外，还应考虑采用基于现金流贡献的指标。良好的内部控制有助于提升企业的业绩，但是基于对风险管理与内部控制差异化的理解，更多与企业战略决策相关的行为对业绩的贡献当不属于内部控制对企业业绩提升的贡献中。基于劳动生产率指标的波
28、动分析、风险阈值标杆分析、行业比较分析是内控运行有效性经营效率效果审计的主要方法。,三、基于数据分析的内控缺陷识别经营效率效果审计,经营效率效果审计,人力资源投入产出指标,资产投入产出指标,薪酬福利投入产出指标,指标测算分析,指标测算分析,指标测算分析,审计报告,经营效率效果指标体系,三、基于数据分析的内控缺陷识别经营效率效果审计,人均销售收入人均销售利润人均净利润人均现金流人均成本费用人均经营现金流资产收益率（ROA）资产现金流比率资产经营现金流比率人才结构比率,核心技术人员流失率核心管理人员流失率研发资金投入比率薪酬福利销售收入比率薪酬福利销售利润比率薪酬福利净利润比率薪酬福利现金流比率薪
29、酬福利经营现金流比率薪酬水平员工培训费用占比,三、基于数据分析的内控缺陷识别经营效率效果审计,企业经营的效率效果除跟战略有关之外还跟人员以及组织行为有重要关系,组织机构成熟度,企业执行能力,组织机构成熟度包括法人治理、部门组织以及岗位,企业执行能力与人员能力、运营流程和组织特别是岗位有直接关系,组织成熟度与企业执行能力是经营效率效果中具有举足轻重地位的重要构成因素,目录,内控审计的体系与方法论,特定内控项目的审计,基于数据分析的内控缺陷识别,基于内控审计总体目标分解来建立严谨完善的内控审计体系及对应的方法论,对企业极为重要的那些特定内控项目的专项审计是保证内控目标实现的重要环节点,引入非现场审
30、计与现场审计相结合的模式提高问题发现的精准度并提升审计效率,面向应用的内控审计工作平台,将前述的体系与方法落实到审计信息系统中实现审计工作的工具平台化操作,四、内控审计工作平台理念与工作流程,内控审计工作平台,通过调查问卷、访谈、财务报表、风险事件记录采集数据,平台应能提供标准化、模板化的操作便利，以提高内控审计的效率和准确性,内控审计工作平台工作流程,根据成效目标，提取不同的示性指标,利用打分卡、模型等技术进行成效性评估,根据评估的结果，再到实地进行验证,1.数据采集,2.指标提取,3.成效评估,4.查证查验,非现场审计为线索指导，现场审计为查证落实的工作思路,内控设计平台与风险管理平台的结
31、合会带来极大的便利，这是内控审计平台建设的要点和趋势,四、内控审计工作平台功能结构,风险管理系统中的风险识别和风险预警是内控成效性审计十分需要的信息，也是内控成效非现场审计的组成部分。通常风险管理系统提供企业财务风险、市场风险、操作风险、重大项目风险、人力资源风险、法律风险等方面的风险识别和风险预警以及事实排查与追溯等方面的内容。,四、内控审计工作平台功能结构,风险事件录入与管理,控制程序文档,评估方法,调查问卷,企业内控数据库（文档+风险事件+财务报表）,内控运行成效指标分析,报告报表模板,风险偏好,内控成效审计报告,条线业务数据（流程+必要的凭证）,外部数据（行业对标数据）,内控预警,内控构建质量分析,内控成效评估,风险审计讨论题：,试分析企业财政年度经营现金流为负的风险成因？,风险审计讨论题：,应收、应付账款主要检查DSO和各自的规模差额库存检查周转率销售与成本检查主营业务利润率和成本费用利润率财务杠杆主要检查息税前利润率与负债利息率的差额以及财务杠杆系数恰当性资本性支出主要检查规模适合性,Q&A,Thanks胡乐群：；Email：,
