文档介绍：内部控制实施问题与案例分析 夏文贤
内部控制和风险——内部控制实施问题
3
内部控制——系统、动态的过程
内部控制的定义：
内部控制是一个过程
内部控制由企业董事会、监事会、经理层和全体员工来实施
内部控制为实现企业经营目标提供合理的保证
内部控制是：由企业董事会、监事会、经理层和全体员工实施的旨在实现控制目标的过程。
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。
内部控制系统框架
内部 监 督
信 息 沟 通
控 制 活 动
风 险 评 估
内 部 环 境
企业战略
经营效益
和效果
财务报告及管理信息真实完整
资产的安全完整
遵守国家法律法规和有关监管要求
董 事 会
监 事 会
经 理 层
全体人员
保证信息能及时有效地沟通的流程
来自高级管理层的信息
政策及流程
培训
道德标准
IT信息系统
对内部、外部影响企业的因素的评估
集团层面的风险评估
流程层面的风险评估
对内控制度设计充分性，执行有效性进行监督
达到控制目标的活动和经营程序
授权
批准
日常操作流程及系统
职责分离
会计对帐
财务和管理软件中的自动控制
企业内部控制的道德意识，是“来自高层的声音”
道德标准
高级管理层价值观
公司治理
风险
风险定义：可能对目标的实现产生影响的事件发生的不确定性。在经营管理活动中，风险常常被定义为生产运营的弊端、失误或失败，从而给组织带来危机的可能性。
风险分类方法较多，一般的分类标准，可以分为：战略风险、财务风险、市场风险、运营风险、法律风险等。
风险因素
事件
影响目标业绩的
内外部事件
风险
事件或环境负面影响实体目标业绩的可能性
机遇
事件产生及正面影响目标业绩的可能性
环境
影响风险物化可能性的
环境或状态
正面 － 向上
负面 － 向下
风险因素、事件、环境、机遇及风险定义
事件有正面效应、负面效应或两者皆有
具有负面效应的事件意味着会产生风险
具有正面效应的事件可以抵消不利的影响或产生有利机会
周边环境与风险产生的可能性紧密相关
例如：劳动力未经培训可能导致频繁发生事故
机遇支持创造价值或使价值持续
管理层创造时机来支持战略或目标设置的程序，该行为可阐述为抓住机遇
具有负面影响的事件会抵制价值创造或者侵蚀已有价值
具有负面影响的事件可能来源于看似存在正面效应的机会，如：客户需求量超过其生产能力
7
过度的风险
资产的损失
业务决策不流畅
不守法
­ 丑闻
过度的控制
­ 官僚作风
生产力
­ 复杂性
­ 周期
­ 非增值性活动
内部控制与风险管理的关系——风险和控制的平衡
8
剩余风险
（风险敞口）
多坏?
多快?
财务
声誉
法律法规
健康安全环保
相关利益者
可接受?
趋势
更好
更坏
没变化
固有风险 - 风险管理有效性 =
多好?
多快?
预防或
积极准备应对及恢复
提升
内部控制与风险管理的关系——风险敞口
9
通过业务流程的梳理识别确定业务风险点
通过风险影响和发生可能性的两维评估确定风险严重程度，进行风险排序，确定管理的优先顺序
采用穿行测试及执行有效性测试评估内部控制的设计和执行有效性。
明确公司的经营战略与股东价值目标
在经营战略之下确定公司的风险管理战略
通过内控自我评估体系的建立，定期评估内部控制的有效性
针对识别的风险点确定相应的控制目标与控制活动，并形成内控矩阵。
通过对评估薄弱环节的不断优化和改进不断提升公司的风险防范和管理能力
业务价值
和业务战略
发展组织
风险管理战略
Collect
Collect
Project
Project
识别关键业务风险
Analyze
Analyze
Portfolio
Portfolio
风险的评估和衡量
Prioritize
Prioritize
明确控制目标与控制活动
持续
不断改进
定期的自我评估与监控
结合现有控制措施确定经有效控制后的剩余风险，并制定风险对应策略