安永-企业全面风险管理.ppt

Click to edit Master title style,Click to edit Master text styles,Second level,Third level,Fourth level,Fifth level,*,*,管理人网,-,免费海量下载,企业,全面,风险管理,2005年4月9,日,北京,安永中国营运委员会主席,讨论内容,企业风险管理,的,必要性,案例分析,教训,与,启示,企业风险管理框架,股东对企业风险管理最关心的四个问题,风险管理框架,：,一个基础,、三道,防线,构建,风险管理,的,关键成功要素,财务报告系统,的,内部控制,财务报告系统,的,功能,财务报告系统,的,典型问题,美国,索克斯法的,主要规定,及,要求,如何建立,内控以,满足,索克斯法的,要求,1,第一部分,企业风险管理的必要性,2,企业风险管理,的,必要性,案,例,分析,：,安然公司,世通,公司,巴林银行,回顾事件发生,的,经过,了解,引致,公司倒闭,或,严重损失,的内控,缺陷,从,案例,中,吸,取的教训,八百伴,公司,百富勤,公司,三家,国有,控股,上市公司,3,案例,一：,美国安然公司,(Enron),在2002年，安然是美国最大的石油和天然气企业之一,2001年末，,安然宣布第三季度,录得6.4亿,美元,的,亏损,，,美国,证监会,对该,公司,进行调查,，,发现,该,公司,在1997,以来虚报利润,5.8亿,美元,2001年末，,安然申请破产保护,令，但在,之前,10个月内，,公司,却因,股票价格超,越,预期目标,而向,董事,及,高级管理人员发放,3.2亿,美元,的,红利,4,调查发现,：,安然,的,董事会,及,审计委员会,均,采取,不,干预,(,“,hands-off,”,),监控,政策,事件发生之后,，部,分董事表示不太了解安然的财务状况,、,期货及期权的业务,安然重视短期,的,业绩指标,安然管理高层常常藐视,或,推翻公司制定,的内,控制,度,5,案例,二：,美国,世通,公司,(,Worldcom,),世通是,美国第二,大的,电信公司,2002年，世通被,发现利用,把营运,性,开支反映,为资本,性,开支,等,弄虚作假,的,方法,，,多年来,虚报利润,735,亿美元,世通于2002年末,申请破产保护,令，,成为美国历史,上,最大,的,破产,个案,世通的四名,主管,(,包括公司,的CEO和CFO),承认,串谋,讹诈,，被,联邦法院刑事起诉,6,调查发现,：,世通的,董事会持续赋予公司,的CEO(Bernard,Ebbers,),绝对,的,权力,，让他一人,独揽大权,美国,证监会的,调查报告指出,：世通,完全没有,制衡,机制,世通的,董事会并没有,负起,监督管理,层的,责任,世通为,公司,的,高级管理,层,提供丰厚,(,不,合理,),的薪酬和,奖金,7,案例,三：,英国巴林银行,(,Barings,Bank),巴林银行在90,年代,前是英国,最大的,银行之一，有超过200年的历史,1992-1994年期间，巴林银行,新加坡分行,的,总经理里森(Nick Lesson)，,从事,日本大阪,及,新加坡,交易所之间的,日经指数期货套,期对冲和债券买卖活动，累积亏损超过10亿美元，导致巴林银行于1995年2月破产,调查发现,：,巴林银行,的,高层,对里森,所,从事,的,业务并不了解,巴林缺乏职责划分,的,机制,巴林银行,的,高层,对,财务报告,不,重视,8,案例,四：,日本,八百伴(,Yohan,),在90年代,，,八百伴是日本最大的百货公司之一,1997,年9月,，,八百伴宣布破产,，,向法院申请,“,公司更生法,”,保护,，,当时八百伴的负债额达1,613亿日元,，,是日本战后最大的一宗企业破产案,调查发现,：,八百伴,低估,经营,非核心,业务,的,风险,八百伴低估,扩张业务,的,风险,八百伴,低估了开发新兴市场的风险,9,在,90,年代，,百富勤原是,亚洲除日本外的最大投资银行,金融风暴冲击下，,百富勤在短短一年内出现入不敷出，至,1999年月1月宣布破产,案例,五：,香港,百富勤,公司,(Peregrine),调查发现,：,香港政府在调查百富勤的报告中表示，,百富勤,倒闭的原因主要是由于缺乏有效风险管理、内控体制和完善的财会,报告系统,百富勤虽然设立了信贷委员会和风险管理部门，但却未能制衡业务部门强大的权力,百富勤忽略发展新兴市场的风险,百富勤低估了利率和汇率波动的风险,10,某国有控股的上市企业(简称,“,国企,A,”,)于19,X4,年以约4.2亿元人民币收购某汽车制造公司95%权益,，,两年后,，,该国企以3.2亿元人民币向一家马来西亚公司出售其在汽车公司中50%的权益,，,而记录了一笔4,000,万元人民币的营业外收入,。,但其后,，,该马来西亚公司并没有按协议支付交易金额,，,而交易亦被迫中断,。,19,X7,年,，,国企,A,为掩饰交易失败而,重新与三家公司签约,，,以3.2亿元人民币的同样金额将汽车公司的50%权益转售给这三家公司,，,但这三家公司最终都没有向国企,A,支付任何款项,。,案例,六,：,投资,与,出售股权,权益,11,调查发现,：,国企,A,未有就对外投资建立完善的风险管理,，,投资前既没有清楚考虑其高级管理层缺乏汽车制造业的经验,，,亦没做好可行性研究的各种分析,。,在出售投资权益予,该,马来西亚公司时,，,并未充分考虑对方的信誉和偿付能力,，,亦未有利用买卖协议为可能出现的违约事件提供保障,。,在转售投资权益予该三家公司时,，,并未披露这三家公司均为关联的,“,空壳公司,”,。,财务报表亦,没,有如实反,映,交易中断的情况。,汽车公司从成立至19,X9,年的5年间，一直未能调试投产,，,亦未有竣工验收,，,最终，该国企以大幅度低于成本的价钱，把该汽车公司出售，造成严重亏损。,12,某国营企业(简称,“,国企,B,”,),于19,X6,至19,X8,的两年间,，,动用接近10亿元人民币,，,投资了15家公司,，,而,该国企,在每家公司的权益均在10%至30%之间,，,这些,公司的业务范围包括金融,、,包装材料,、,汽车零部件,、,房地产开发,、,贸易和通信等,。,调查发现,：,国企,B,未有就对外投资建立完善的风险管理系统,。,这15家公司大部分没有为国企,B,提供经审计的财务报表，亦一直未派股息,；,国企,B,亦没有,利用投资协议来保障其权益。,案例,七,：投资非核心性业务,13,某国有控股在香港上市的公司(简称,“,国企,C,”,),没有遵守上市规则的要求，在没有得到股东批准的情况下，向一位董事的关联公司提供港币1.6亿元的贷款和港币1.96亿元的银行信用证担保，该贷款和信用证担保的总额占上市公司资本金的30%,款项贷出后，该关联公司一直不予还款，而国企,C,为该关联公司所提供的银行信用担保当中的港币,9,500,万元已被有关银行提出追讨,案例,八：某,香港上市公司,14,调查发现,：,国企,C,的公司治理结构不规范,，,出现一小撮人独揽大权,国企,C,并没有建立合规方面的风险管理机制,国企,C,的财务报告系统既没有为上述关联交易作出适当的披露,，,亦没有为拖欠的贷款提取坏账准备,15,教训,与,启示,常言：,智者从别人失败经验中,吸,取教训，,聪明者从自己失败经验中,吸,取教训，,愚者则永不懂从经验中学习。,16,我们可以,从,上述案例,中,吸取什么教训？,1.,熟悉企业本身的业务与相关风险,切记：,避免制定不切实际的目标或盲目扩展投资，使企业承受无谓的风险,建立内控和相互制衡的机制,切记：权力过分集中就会出现腐败的情况,紧盯着现金,所有犯案、挪用公款和偷窃行为均与现金有关,常言：,“,会计数字只是参考意见，现金才真正令你感到踏实。,”,17,合理制定绩效评估与激励机制,“,如果你发现精明的员工做出蠢事，你应意识到这可能是因为他们受到公司的绩效与激励机制的诱导而产生的结果。,”,5.,建立规范和健全的财务报告系统,财务报告系统必须有能力为企,业,提供及时,、,准确,和具高,分析,性的,财务,资,料，以帮助管理层管理业务和赢取股东的信心,18,6.,深化企业风险管理文化,要建立健康的企业文化及价值观，企业必须：,由上而下，身体力行，建立严谨的,“,风,纪,”,，使员工能上行下效,订立管理原则和行为规范,通过绩效管理的方法，鼓励正确的行为和态度,加强培训和沟通,企业必须建立有效机制，使员工能从企业本,身,或其他企业,所犯的错误(或接近犯错)的经验中，,吸,取教训,19,第二部分,企业风险管理框架,20,什,么是风险管理？,企业风险管理,是,一套,由,企业董事会,与,管理,层,共同设立,、和与,企业战略,相,结合,的,管理流程,。,它的功能,是,识别那些,会,影响企业运作,的,潜在事件,和把,相关,的,风险管理,到,一个企业,可,接受,的,水平,，,从而帮助企业,达至,它的目标,。,美国,内控,研究委员会,21,企业为何,要,建立风险管理,？,因为企业,的,股东与管理层常常要面对一些令他们寝食难安的问题。因此，企业需要系统化地建立一套风险管理,体制,，从而识别影响企业盈利的关键因素，并对那些会影响企业达标的风险进行监控及管理,22,股东对企业风险管理最,关心,的四个,问题,：,企业,知道它所面对的主要风险吗？,例如,：,什么风险正在,或将会,影响企业,的,业务,？,企业,的品牌,新产品,、新,市场,的,开发,战略联盟,客户,或,供应,链的,管理,理想,的,情况,：,企业,能,开发一套标准,的、,共通,的,风险语言,，,从而识别企业,所,面对,的,风险,，并就其,严重,的,程度进行排序,。,共通,的,风险语言,亦,有利于企业,上,下层,就,风险,的,管理进行沟通,23,企业是否已对这些风险设置内部控制？,企业需要,就各,业务单位,在,日常运作,中所,面对,的,风险,(,战略性风险,、,业务,性,风险,、,流程,性,风险,)，构建,内部控制,(,包括预防,性,控制,及,觉察,性,控制,)，以,确保企业,能,实现目标,和,符合,各,方面,的,法律,、,法规,理想,的,情况,：,企业,就其所,面对,的,风险,和,采取,的内控，,编制一套完整,的,文档,，并,借鉴国际最佳,的实务,不断进行检讨,24,企业的内部控制有效吗？,企业,要对其内控,系统,不,间,断,地,进行监控,和,测试,，以,确保,其对,风险控制,的,能力,理想,的,情况,：,企业,把,各类风险控制,在可,接受,的,水平,，并在这,基准,上,赚取合理,的,回报,25,哪,一些内部控制必须改进,？,企业内部,和,内部环境,的,变化,会,不停,地,影响企业,所,面对,的,风险,和所应,采取,的,监控措施,理想,的,情况,：,企业,能,建立一套,具前瞻性的,信息管理系统,和预警,系统,，使,企业,能,及时识别新生,的,风险,，并对,相关,的,业务计划,、,政策,和,程序进行修正,26,企业风险管理框架,一个基础,三道,防线,管理层,CEO,第,三,道防线,第,二,道防线,第一道防线,业务部门,董事会,风险管理,内部审计,审计委员会,风险管理,委员会,27,一个基础,：,公司治理结构,什么,是,公司治理,？,公司治理,是,涉及公司,的,表现,：它关,系到一家公司如何得到有效的管理，从而发挥最佳表现,公司治理,是,涉及责任,的,问题,：它关,系到董事,会,及管理层如何向股东负责，而使股东能从公司的表现中得益,28,公司治理,与,风险管理,有,什么关系,？,公司治理,是,风险管理,的,一个必要,的,组成,部份，,因为,它,提供,了对,风险,由上而下的,监控,与,管理,近年多个国家,都,订立,了,公司治理,的,最佳守则,：,美国,：,纽约,证交所,最佳治理守则,英国,：Cadbury/,Hampel,Report、The Combined Code,加拿大,：,Dey,Report,OECD Report,这些最佳守则,均,清楚指出建立风险管理,是,董事会,及,管理,层的,责任,29,如何,构建,一个有利风险管理,的,公司治理结构,？,建立一个健全,的、以,董事会为首,的,公司治理结构,订立,企业,的,目标,和,战略,，,包括企业,的,风险,政策,和,极限,贯彻一套重视风险管理,的,企业文化,和,价值观,30,第,一道防线,：,业务单位防线,业务单位包含,了,企业大部分,的,资产,和,业务,，,它们,在,日常工作,中,面对各类,的,风险,，是,企业,的,前线,企业必须,把,风险管理,的,手段,和内控,程序,融入到,业务单位,的,工作,与,流程,中，,才能建立,好,防范风险,的第,一道防线,31,如何建立第一道防线,了解企业战略目标及可能影响企业达标的风险,识别风险类别,对相关风险作出评估,决定转移、避免或减低风险的策略,计设及实施风险策略的相关内部控制,32,(,风险宇宙,TM,),资信,制度,知识产权,财务,流动资产,与,信贷,资本结构,市场,财务报告,营运,法律,生产程序,营商,环境,市场结构,民风,与,文化,管治,策略,董事会活动,交易,并购,变卖,声誉,道德,社区,责任,风险管理,董事会,及,管理,层,业绩,组织结构,监察,与,沟通,执行,筹划,与,开发,利益有关,方,供应商,政府,顾客,股东,经济情况,国家情况,市场变化,竞争对手,人才资源,雇员,沟通,有形资产,机器,、,厂房,与,土地,其他,有形资产,负债,合约,法规,市场,与,销售,生产,及,流通,商品,/,服务开发,流程,估值与,选择买家,评估,与,甄选,尽职调查,并购后,整合,资信,管理,运营,组织,与,监察,硬件,软件,网络,无形资产,知识管理,信息,现金管理,对冲,融资,股东资本,债务,商品,利率,外汇,税务,会计,合规,风险宇宙,33,战略性风险,是指,公司,因,作出战略性错误,的,决定,而,导致经济,上的,损失,战略性风险,是,业务单位,、,高级管理,层和,董事会,的,共同责任,常见,的,战略性风险包括,：,企业,的,目标,与,方针,市场潜在,的,威胁,业务,的,范围,(,深度,与,广度,),品牌及,形象,的,建立,战略性风险,与,战略性伙伴,的,合作,投资,和融资的,策略,员工,的,素质,和,雇员关系,企业,的,信息,及,监控系统,34,信贷风险,是指,贷款,人或,合同,的另一方因,不能履行合约,而,使公司产生经济损失的风险,常见,的,信贷风险包括,：,贷款未能回收,应收,帐款,未能回收,债券跌价,(因,信贷评级,的减值或,债务人未能履行付款义务,),买卖金融市场产品,而,未能兑现,企业,因,合资,、,合作,、,联盟,、外包等,经济活动,而,产生,或,暴露,的,信贷风险,信贷风险,35,市场风险,是指因,市场价格,或,利率波动,而,使公司产生经济损失的风险,构成,市场风险,的三大,因素,：,因,买卖,或,投资金融产品,而,产生,的,风险,因,资产,与,负债,错配、或,原材料,与产,成品价格不能同步浮动,而,产生,的,风险,资金流动,性,风险,常见,的,市场风险包括,：,利率风险,外汇风险,股票,与,债券市场风险,商品价格风险,期货,、期权与,衍生工具风险,市场风险,36,操作风险,是指企业内部流程、人为错误或外部因素而令公司产生经济损失的风险，它包括了公司的流程风险、人为风险、系统风险、事件风险和业务风险等,流程风险,是指,交易流程,中,出现错误,而引致,损失,的,风险,，,流程包括,如：,销售,、,定价,、,记录,、,确认,、出货/,提供服务,等,环节,。,流程风险,也,包括,合规性,风险,人为风险,概指因,员工缺乏知识,和,能力,、,缺乏,诚信或,道德操守,而引致,损失,的,风险,系统风险,是指因,系统失灵,、,数据,的,存取,和,处理,、,系统,的,安全,和,可用性,、,系统,的,非法,接入与,使用,而引致,损失,的,风险,事件风险,是指因,内部,或,外部欺诈,、,市场扭曲,、,人为,或,自然灾害,而引致,损失,的,风险,业务风险,是指因,市场,或,竞争环境出现预期以外,的,变化,而引致,损失,的,风险,，所,涉及,的,问题包括市场策略,、,客户管理,、,产品开发,、,销售渠道,和,定价,等,领域,操作风险,37,风险发生的可能性,评分,可能性,说明,5,几乎肯定,在,未来,12个月内，这项,风险几乎肯定,会,出现至少,1次,4,极,可能,在,未来,12个月，这项,风险,极,可能出现,1次,3,可能,在,未来,2至10年内，这项,风险可能出现,1次,2,低,在,未来,10至100年内，这项,风险可能出现至少,1次,1,极低,这项,风险出现,的,可能性,极低，,估计,在100年内,出现,的,可能性少于,1次,38,评分,损失程度,说明,5,灾难,令,企业失去继续运作,的,能力,(或占税前,利润,达20%),4,重大,对于企业,在,争取完成,其,策略,性,计划,和,目标,，,造成重大影响,(5-10%税前,利润,),3,中等,对于企业,在,争取完成,其,策略,性,计划,和,目标,的,过程,，在,一定程度,上,造成阻碍,(至5%税前,利润,),2,轻微,对于企业,在,争取完成,其,策略,性,计划,和,目标,，只,造成轻微影响,(至1%税前,利润,),1,近乎没有,影响程度十分轻微,风险对企业造成的影响,39,评分,有效性,说明,5,极度过头,处理方法,能,直接针对,该项,风险,，但,相信,会令,企业业绩,“,倒退,”,或,成本过高,4,过头,处理方法,能,直接针对,该项,风险,，但,由于需要投入大量资源,或/及将,其他资源转到处理,该项,风险,上，会对,企业,的,效率造成影响,3,适中,处理方法有效针对,该项,风险,，,同时并不影响企业,的,效率,2,低效,处理方法针对,该项,风险,的,效果,不,理想,，或,投入处理,该,风险,的,资源,不,充分,或/及对,投入,的,资源,未有,适当利用,1,近乎没有 效果,处理方法,的,效果十分,低，,可能,是,由于企业根本没有处理方法,，又或,处理手法不当,风险处理方法的效果,40,风险地图,(或,风险共同语言,),影响程度,近乎没有,轻微,中等,重大,灾难,几乎 肯定,极,可能,可能,低,极低,B,C,A,G,I,D,J,K,H,E,F,可能性,说明,:,A,人力资源风险,B,财务风险,C,竞争风险,D,开发风险,E,过度自信风险,F,系统故障风险,G,主要客户风险,H,欺诈风险,I,政治风险,J,薪酬,奖励风险,K,科技风险,41,风险处理组合,处理评级,风,险,评级,近乎没有效果,低效,适中,超标,极度,极高,高,中等,低,B,C,A,G,I,D,J,K,H,E,说明,:,A,人力资源风险,B,财务风险,C,竞争风险,D,开发风险,E,过度自信风险,F,系统故障风险,G,主要客户风险,H,欺诈风险,I,政治风险,J,薪酬,奖励风险,K,科技风险,F,采取行动,密切监控,定期审阅,42,风险处理策略,影响程度,可能性,转移,避免,小心管理,可,接受,大,小,高,低,43,风险策略,避免,禁止交易,减少或限制交易量,离开市场,转移,套期,保险,策略性联盟,其他,分担风险的安排,小心管理,投资,广泛保护的安排,订价反映风险程度,可接受,自我保险,预留储备,增加监督,风险处理策略,影响程度,大,小,可能性,转移,避免,小心管理,可,接受,高,低,44,企业建立,的第,一道防线,，,就是,要各,业务单位,就其,战略性风险,、,信贷风险,、,市场,风场和,操作风险,等等,，系统化地进行分析、确认、度量、管理和监控,企业需要,把,评估风险,与内控,措施,的,结果进行记录,和,存档,，,对内,控,措施,的,有效性不断进行测试,和,更新,第,一道防线,：,总结,管理层,CEO,第,三,道防线,第,二,道防线,第一道防线,业务部门,董事会,风险管理,内部审计,审计委员会,风险管理,委员会,45,第二,道,防线,：,风险管理单位防线,第二,道,防线,是在,业务单位之上建立一个,更,高层次,的,风险管理功能,，,它的组成,部份,可能包括风险管理部门,、,信贷审批委员会,、,投资审批委员会,风险管理,部的,责任,是,领导,和,协调公司,内,各单位,在,管理风险方面,的,工作,，,它的职责包括,：,编制规章制度,对各,业务单位,的,风险进行组合管理,度量风险,和,评估风险,的,界限,建立风险信息系统,和预警,系统,、厘定,关键风险指标,负责风险信息披露,、,沟通,、,协调员工培训,和,学习,的,工作,按,风险,与,回报,的,分析,，为各,业务单位分配经济资本,金,46,“,内部审计是一项独立、客观的审查和咨询活动，其目的在于增加企业的价值和改进经营。内审通过系统的方法，评价和改进企业的风险管理、控制和治理流程的效益，帮助企业实现其目标。,”,美国内部审计师协会,第三,道,防线,：内审,单位防线,第三,道,防线涉及一个独立,于,业务单位,的,部门,，,监控企业,内控和,其他企业关心,的,问题,内部审计的定义,：,47,内部审计的,三大,功能,财务监督,财务帐的可用性,内部管理和制度的执行,典型例子,：,检查分、子公司上报总部的财务报表的,准确性以及执行财务管理政策的情况,经营诊断,管理审计以及效率和效益审计,检查和诊断经营和管理过程中的偏差和失误,典型例子,：,企业对某,业,务单位或某部门执行效益审计,(,一个输入与产出的关系,),48,咨询顾问,企业风险管理和发展策略方面的咨询,调查领导关心的热点问题和管理薄弱环节,典型例子,：兼并收购时调查被投资公司的内部管理和,流程操作，了解薄弱环节或其他影响并购,交易的重大事项，从而确定管理方法和,并购策略,49,构建,企业风险,管理的,关键成功要素,1.,股东确立对企业监督的机制，考虑是否需要在集团层面：,引入以董事会领导的管理体制,聘任有经验的,外部,董事，来加强对企业的监督,要求企业建立风险管理和内控系统，并对其运作及有效性作出定期的汇报,50,2.,管理高层,的,支持,和,参与,确立方向,和,目标,营造必要,的,环境,为,平衡风险,与,回报作出战略性,的,决定,风险,回报,风险,与,回报,成,正比,？,风险,调整风险,后的,回报,冒险程度,不够进取,冒险程度,高危,冒险程度,理想范围,51,3.,建立风险管理文化,风险管理,的,手段,，必,须融入日常的管理流程,通过讨论,和,培训,，使,风险管理,的,实施得到,“,全民,”,的,支持,通过经验,的,分享,，,不断加强风险管理,的,认同,性,4.,采用先进,的,风险管理,的,实施方法,借鉴,如,美国,Treadway,委员会,所,提出,的COSO内控,框架,采用各种识别,和,度量风险,的,先进,的,方法,采用标准,的,模板,和,程序确认风险,、,评估风险,、,建立记录,和,文档,、,参考国际最佳,实务，构建,信息管理系统,和预警,系统,52,第三部分,财务报告系统的内部控制,53,财务报告,系统的,功能,股东,监管部门,其他利益相关,者,分析,和,修正,企业远景,、,战略,和,目标,企业经营,、,管理,和,控制,企业业绩,的,度量,和,报告,财务报告系统,财务信息披露,和,报告,54,经常性业务交易,非经常性业务交易,资料,和,数据,的,处理,目标：更自动化、更程序化、更规范化,缩短编制时间、减少人为错误,财务报告系统,加强业务与财会人员之间的沟通,了解会计准则的要求，减少个别主观人为判断,财务报告系统,管理,55,财务报告系统,的,典型问题,输入资料不准确,或不完整,缺乏内部控制,员工缺乏应有的知识和资历,对资料的要求不清晰,缺乏一套清晰和统一的会计政策,如何确认收入？,如何计提准备金？,如何界定经营性与,资本性支出？,会计科目设计,不,完善,依靠人手操作,或,缺乏合适,和,统一,的,电子核算平台,如何反映对外投资,？,如何记录各类金融衍生工具,？,56,财务报告系统,的,典型问题,关帐或财务结算程序不规范,没有明确财务结算的工作和程序,没有利用标准的结算表,/,模板,没有订立重要性的门槛,未能披露或提供重要信息,什么数据或差异需要进行分析？,需要与什么数据进行比较？,分析需要得到什么数据的支持？,什么资料可协助管理层加强管理？,57,财务报告系统和内部控制的关系,财务报告系统是为企业内部管理提供信息和与外部利益相关者(如股东、监管机构)沟通的主要工具和媒介,财务报告系统需要一个完善的内部控制环境，才能及时和有效地执行和发挥它应有的作用,58,内部控制的作用,内部控制的作用在于保证/保护：,信息（会计信息和经营信息）的可靠性和完整性,遵循政策、计划、程序、法律和法规,资产的安全,提高经营效益和效能,实现经营的目标,和,防止浪费资源,59,内部控制不能：,将一个原本拙劣的管理体系改变成一个优良的管理体系,影响环境因素，如,政府的法规和政策、竞争对手的行动或经济状况,保证企业的成功,或不会面临倒闭的命运,杜绝员工或管理层舞弊和欺诈的行为,60,美国索克斯法的主要规定及要求,61,第404节(,a),要求企业,在提交,年报,时,(20-,F),一并提交内部控制及财务报告程序的有效性管理报告。,第404节(,b),要求审计师就管理层内控报告出具验证意见。,SOA404,生效日期：,美国本土上市公司,：,于2004年11月15日或以后的财务年度；,非美国本土上市公司,：,于2006年7月15日或以后的财务年度(此日期已再次延后)。,SOA404,法案总体要求,62,SOA 404,的要求,要求年度报告中要包括,“,内部控制报告,”,其具体内容为,:,管理层责任,的声明：管理层有责任建立和维护健全的内部控制制度以确保财务报表的合理和准确性；,管理层的评价,的声明：关于在财政年度末有关财务报表的内部控制有效性的评价；,评价框架,的说明：明确指出管理层适用于评价有关财务报表的内部控制有效性的框架；,关于外部审计师已出具关于管理层评价的鉴定报告的声明。,该准则不允许管理层在已发现内部控制制度有一处或多处,“,重大缺陷,”,时，作出有关财务报表内部控制有效的认定。该准则同时要求管理层,披露,评价过程中发现的任何,“,重大缺陷,”,。,尽管准则中没有明确说明，但是通常认为，财政年度中已发现并已纠正的,“,重大缺陷,”,不影响管理当局在财政年度末作出有关财务报表的内部控制有效的评价。,63,SOA 404,要求(续),合理地保证会计记录合理、准确、详细并公允地反映公司的日常交易和资产处理；,合理地保证对所有交易都作了必要适当的记录以便于按照公认会计准则编制财务报表，并且收入和支出活动均经管理当局和董事会的适当授权；,合理地保证防止或及时发现对财务报表有重大影响的未经授权的资产采购、使用或处置。,准则对,“,有关财务报表的内部控制,”,的定义为：,“,公司主要的管理人员或者主要的财务管理人员设计内控政策和控制程序，并监督其执行，以便对财务报告是按照公认会计准则编制以及财务报表的可靠程度做出合理的保证。,”,该控制政策和控制程序主要包括：,64,对形成、记录、处理和调节账户余额、交易的分类和披露以及财务报表的相关认定的控制。,对形成和处理,非常规交易和非系统化交易,的控制；,对防止、确认和发现,舞弊,的控制。,评价有关财务报表的内部控制：,准则强调指出管理层必须制定并保存有关内部控制的书面文件,包括关于内部控制,设计,和,测试程序,的文件,从而为管理当局评价有关财务报表的内部控制有效性提供合理的保证。这些,书面文件,是有效的内部控制的首要条件。,管理当局的评价必须基于评价内部控制设计的有效性和测试其执行的有效性的程序。,询问本身,并,不能,为内部控制的评价提供足够的基础。,有关评价的内部控制包括：,SOA 404,要求(续),65,如何建立内控以满足索克斯法的要求,66,评估阶段,:,管理层出具,内部控制,报告,制定程序，确立项目小组，项目进度,时间进度：,方法,COSO,中对内部控制的定义是一个很好的开端。,选择适合的项目小组以及制定详细的项目计划是项目成功的关键。,以评估公司层面的控制作为评估工作的开始。,此阶段是一个复杂而费时的阶段，需要记录并理解各交易环节的流程及其相关的控制。,最后的阶段是根据评估结果形成总体评价。,制订监督程序。,准备资料，进行详细测试，并修正控制的不足。,审计师对管理层声明的审验,项目计划,准备资料并评估控制,测试并监督控制,报告,理解内部控制的概念,组织项目小组进行评估,评估公司层面的控制,理解并分别评估程序、交易及应用层面的风险,评估整体控制的有效性，确定应改进的地方并建立监督系统,建立符合404法案要求的内控框架,67,COSO,内控框架,Committee of Sponsoring,Organisation,of The,Treadway,Commission(COSO),为内控开发了一个全面的框架,这个内控框架是唯一被美国证监会确认为完整、全面和不偏依的内控框架,构建内部控制须分两个层,面,：,公司层面,流程、交易及资讯科技应用层,面,COSO 内控,框架,内控,环境,风险评估,控制活动,信息,和,沟通,监控,业务部门,业务功能,整体,营运,财务报告,合规,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,68,组织项目小组进行评估,高层参与,各业务部门之参与,财务、内审、计算机管理部门之参与,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,69,方面,需考虑的因素,高管层的诚信、道德和行为,控制意识和经营风格,胜任能力和承担,董事会或审计委员会的监管,组织结构、权限和责任,人力资源政策和程序,风险评估流程,对重要事件的预测、识别和反,应,机制,识别会计准则差异、业务操作和内部控制变化的程序,提供完整的业绩报告,与业务策略相联系,持续开发、测试和监控计算机系统和程序,计算机业务持续性系统和应急计划,便于职员履行职责而建立的沟通渠道,有必要的政策和程序,有明确的财务目标，并对其主动监控,合理的职责分离,预算与实际情况的定期比较,对文件、记录和财产的适当保管,对内部控制的定期评估,实施改进建议,建立内部审计职能以实施监控,控制环境,风险评估,信息和沟通,控制活动,监控,如何构建内部控制,公司层面的评估,管理层关于内部控制,的报告,评估内控的整体的有效性，找出有待改进的地方，并建立一个监控体系,在流程、交易和应用层面，理解和评估内部控制,在全公司层面评估内部控制,组织项目小组实施评估工作,理解内部控制的定义,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,70,公司层面的,内控,控,制,环境,企业道德规范与价值观,员工的行为操守与企业文化,公,司,治理结构,和,政策,董事会,及各,委员会,的,构成,企业规章制度,董事会,与,管理,层,之间,的,关系,、,权力,和,职责,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,71,公司层面的,内控,风险评估,企业,是,否,拥有,既定的程序,以,确定、评估和度量影响企业达标的风险？,先进的内审部门？,风险管,理,部门？,全面,风,险评估？,企业,有否,详细记录评估风险,的,结果,？有否,进行详细,的,讨论,和,沟通,？,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,72,公司层面的,内控,信息和沟通,企业的架构是否能够令各部门及业务单位明确各自的职责及,促进,沟通,企业,是,否拥有,一,个,合适的电子平台,处理管理信息和数据,确保信息能够及时发,放,确,保,各类信息,和,报告,的,准确性,和,可用性,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,73,规章制度,审批,程,序,资产实物的安全,特殊,报告,表现指标,信息系统控制,职,责划,分,公司层面的,内控,控制活动,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,74,公司层面的,内控,控制活动,规章制度,董事会,及各,委员会,的,章程,企业风险政策,员工招聘守则,企业采购政策,会计,及,财务管理守则,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,75,公司层面的,内控,控制活动,审批程序,一种预防,性的,控制措施,确保规章制度得以落实执行,知识,与,经验分享,责任,的,承担,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,76,公司层面的,内控,控制活动,资产实物的安全,档案,/,库存上锁,减少利用现金交易,办工室,安全系统/警铃,资料数据库进入的限制,保安人员,员工身份证,机器上的标,记,隐型录相机,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,77,公司层面的,内控,控制活动,特殊报告,逾期应收款报告,工作超时完成报告,原材料不合格报告,机器故障报告,产品不合格或退货报告,存货台帐红字报告,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,78,公司层面的,内控,控制活动,表现指标,预算与实际比较,项目管理报告,财务指,标报告,系统可用性报告,员工利用率,报告,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,79,公司层面的,内控,控制活动,职责划分,一种员工之间相互制约的控制，以减少出错或越权的情况,不能由同一人发起、批准和记录一宗交易,不能由同一人保管和记录资产,定期轮换职责，在日常运作中的主要控制点应有高管人员的参与或由独立的人员作出审查,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,80,公司层面的,内控,控制活动,风险控制,平衡的区域,高,低,过份控制,低,高,风险程度,控制效果,控制,不够,管理层出具,内部控制,报告,评估整体控制的有效性，确定应改进的地方并建立监督系统,理解并分别评估程序、交易及应用层面的风险,评估公司层面的控制,组织项目小组进行评估,理解内部控制的概念,81,监控是对一定时期内内部控制执行质量的评价程序，考虑相关内部控制是否能够满足最初设计的目标，并保证在不同情况下进行适当的修改。,考虑并记录是否定期对内部控制进行评价；管理层是否采纳内部和外部审计师关于内部控制