企業(yè)內(nèi)部控制評價(jià)指引

1、附件1:企業(yè)內(nèi)部控制評價(jià)指引（征求意見稿）第一章總則第一條為規(guī)范企業(yè)內(nèi)部控制評價(jià)工作，及時(shí)發(fā)現(xiàn)企業(yè)內(nèi)部控制缺陷，提出和實(shí)施改進(jìn)方案，確保內(nèi)部控制有效運(yùn) 行，根據(jù)國家有關(guān)法律法規(guī)和企業(yè)內(nèi)部控制基本規(guī)范，制定本指引。第二條 本指引適用于中華人民共和國境內(nèi)設(shè)立的大中型企業(yè)。第三條本指引所稱內(nèi)部控制評價(jià)，是指由企業(yè)董事會(huì)和管理層實(shí)施的，對企業(yè)內(nèi)部控制有效性進(jìn)行評價(jià)，形成評 價(jià)結(jié)論，出具評價(jià)報(bào)告的過程。內(nèi)部控制有效性是指企業(yè)建立與實(shí)施內(nèi)部控制能夠?yàn)榭刂颇繕?biāo)的實(shí)現(xiàn)提供合理的保證。第四條 企業(yè)應(yīng)當(dāng)根據(jù)國家有關(guān)法律法規(guī)和企業(yè)內(nèi)部控制基本規(guī)范的要求，結(jié)合企業(yè)實(shí)際情 況，對戰(zhàn)略目標(biāo)、 經(jīng)營管理的效率和效果目標(biāo)、財(cái)

2、務(wù)報(bào)告及相關(guān)信息真實(shí)完整目標(biāo)、資產(chǎn)安全目標(biāo)、合法合規(guī)目標(biāo)等單個(gè)或整體控制目標(biāo) 的實(shí)現(xiàn)進(jìn)行評價(jià)。第五條企業(yè)實(shí)施內(nèi)部控制評價(jià)，應(yīng)當(dāng)遵循下列原則：（-）風(fēng)險(xiǎn)導(dǎo)向原則。內(nèi)部控制評價(jià)應(yīng)當(dāng)以風(fēng)險(xiǎn)評估為基礎(chǔ)，根據(jù)風(fēng)險(xiǎn)發(fā)生的可能性和對企業(yè)單個(gè)或整體控制目 標(biāo)造成的影響程度來確定需要評價(jià)的重點(diǎn)業(yè)務(wù)單元、重要業(yè)務(wù)領(lǐng)域或流程環(huán)節(jié)。（二）一致性原則。內(nèi)部控制評價(jià)應(yīng)當(dāng)采用統(tǒng)一可比的評價(jià)方法和標(biāo)準(zhǔn)，保證評價(jià)結(jié)果的可比性。（三）公允性原則。內(nèi)部控制評價(jià)應(yīng)當(dāng)以事實(shí)為依據(jù)，評價(jià)結(jié)果應(yīng)當(dāng)有適當(dāng)?shù)淖C據(jù)支持。（四）獨(dú)立性原則。內(nèi)部控制評價(jià)機(jī)構(gòu)的確定及評價(jià)工作的組織實(shí)施應(yīng)當(dāng)保持相應(yīng)的獨(dú)立性。（五）成本效益原則。內(nèi)部控制評價(jià)應(yīng)當(dāng)以適當(dāng)?shù)?/p>

3、成本實(shí)現(xiàn)科學(xué)有效的評價(jià)。第六條企業(yè)董事會(huì)及其審計(jì)委員會(huì)負(fù)責(zé)領(lǐng)導(dǎo)本企業(yè)的內(nèi)部控制評價(jià)工作。監(jiān)事會(huì)對董事會(huì)實(shí)施內(nèi)部控制評價(jià)進(jìn)行 |斥簪rtn 昌 o第七條企業(yè)可以授權(quán)內(nèi)部審計(jì)部門負(fù)責(zé)組織和實(shí)施內(nèi)部控制評價(jià)工作。具備條件的企業(yè)，可以設(shè)立專門的內(nèi)部控 制評價(jià)機(jī)構(gòu)（以下合稱內(nèi)部控制評價(jià)機(jī)構(gòu)）。第八條企業(yè)內(nèi)部控制評價(jià)，一般包括年度評價(jià)和專項(xiàng)評價(jià)。年度評價(jià)是指企業(yè)根據(jù)內(nèi)部控制目標(biāo)，對企業(yè)某一年度建立與實(shí)施內(nèi)部控制的有效性進(jìn)行的評價(jià)；專項(xiàng)評價(jià)是 指企業(yè)在特定時(shí)點(diǎn)對特定范圍的內(nèi)部控制的有效性進(jìn)行的評價(jià)。第二章內(nèi)部控制評價(jià)的內(nèi)容和標(biāo)準(zhǔn)第九條企業(yè)應(yīng)當(dāng)對與實(shí)現(xiàn)整體控制目標(biāo)相關(guān)的內(nèi)部環(huán)境、風(fēng)險(xiǎn)評估、控制活動(dòng)、信息與溝通

4、、內(nèi)部監(jiān)督等內(nèi)部控 制要素進(jìn)行全面系統(tǒng)、有針對性的評價(jià)。第十條企業(yè)實(shí)施內(nèi)部控制評價(jià)，包括對內(nèi)部控制設(shè)計(jì)有效性和運(yùn)行有效性的評價(jià)。內(nèi)部控制設(shè)計(jì)有效性是指為實(shí)現(xiàn)控制目標(biāo)所必需的內(nèi)部控制要素都存在并且設(shè)計(jì)恰當(dāng)；內(nèi)部控制運(yùn)行有效性是指 現(xiàn)有內(nèi)部控制按照規(guī)定程序得到了正確執(zhí)行。第十一條應(yīng)用信息系統(tǒng)加強(qiáng)內(nèi)部控制的企業(yè)，應(yīng)當(dāng)對信息系統(tǒng)的有效性進(jìn)行評價(jià)，包括信息系統(tǒng)一般控制評價(jià)和 信息系統(tǒng)應(yīng)用控制評價(jià)。一般控制評價(jià)應(yīng)當(dāng)著重考慮與信息系統(tǒng)開發(fā)有關(guān)的信息技術(shù)控制目標(biāo)、程序變更、計(jì)算機(jī)運(yùn)行和對數(shù)據(jù)的接觸是 否符合企業(yè)內(nèi)部控制的要求，是否有利于企業(yè)內(nèi)部控制目標(biāo)的實(shí)現(xiàn)，并以此評價(jià)信息系統(tǒng)的安全性、可靠性和合理性。應(yīng)用控

5、制評價(jià)應(yīng)當(dāng)結(jié)合企業(yè)業(yè)務(wù)流程特點(diǎn)，著重考慮信息系統(tǒng)中與業(yè)務(wù)流程相關(guān)的控制點(diǎn)，并以此評價(jià)相關(guān)應(yīng)用 系統(tǒng)操作數(shù)據(jù)的真實(shí)性、準(zhǔn)確性和合規(guī)性。第十二條 企業(yè)應(yīng)當(dāng)根據(jù)企業(yè)內(nèi)部控制基本規(guī)范及其應(yīng)用指引的有關(guān)規(guī)定，建立與實(shí)施內(nèi)部 控制，并以此為依 據(jù)和標(biāo)準(zhǔn)組織開展內(nèi)部控制評價(jià)工作。第十三條企業(yè)集團(tuán)對被評價(jià)單位內(nèi)部控制的有效性進(jìn)行評價(jià)，應(yīng)當(dāng)至少涉及下列內(nèi)容:（-）被評價(jià)單位內(nèi)部控制是否在風(fēng)險(xiǎn)評估的基礎(chǔ)上涵蓋了企業(yè)層面的風(fēng)險(xiǎn)和所有重要的業(yè)務(wù)流程層面的風(fēng)險(xiǎn)。（二）被評價(jià)單位內(nèi)部控制設(shè)計(jì)的方法是否適當(dāng)，內(nèi)部控制建設(shè)的時(shí)間進(jìn)度安排是否科學(xué)、階段 性工作要求是 否合理。（三）被評價(jià)單位內(nèi)部控制設(shè)計(jì)和運(yùn)行的組織是否有效，人

6、員配備、職責(zé)分工和授權(quán)是否合理。（四）被評價(jià)單位是否開展內(nèi)部控制自查并上報(bào)有關(guān)自查報(bào)告。（五）被評價(jià)單位是否建立有利于促進(jìn)內(nèi)部控制各項(xiàng)政策措施落實(shí)和問題整改的機(jī)制。（六）被評價(jià)單位在評價(jià)期間是否出現(xiàn)過重大風(fēng)險(xiǎn)事故等。第三章內(nèi)部控制評價(jià)的程序和方法第十四條企業(yè)應(yīng)當(dāng)按照制定評價(jià)方案、實(shí)施評價(jià)活動(dòng)、編制評價(jià)報(bào)告等程序開展內(nèi)部控制評價(jià)。第十五條內(nèi)部控制評價(jià)機(jī)構(gòu)應(yīng)當(dāng)根據(jù)企業(yè)整體控制目標(biāo)，制定內(nèi)部控制評價(jià)工作方案，明確評價(jià)目的、范圍、組 織、標(biāo)準(zhǔn)、方法、進(jìn)度安排和費(fèi)用預(yù)算等內(nèi)容，報(bào)管理層和董事會(huì)審批。第十六條內(nèi)部控制評價(jià)范圍的確定應(yīng)當(dāng)遵循風(fēng)險(xiǎn)導(dǎo)向、自上而下的原則來確定需要評價(jià)的分支機(jī)構(gòu)、重要業(yè)務(wù)單 元、重

7、點(diǎn)業(yè)務(wù)領(lǐng)域或流程環(huán)節(jié)。第十七條內(nèi)部控制評價(jià)機(jī)構(gòu)應(yīng)當(dāng)根據(jù)審批通過的評價(jià)方案組織實(shí)施內(nèi)部控制評價(jià)工作，通過適當(dāng)?shù)姆椒ㄊ占?、確 認(rèn)、分析相關(guān)信息，確定與實(shí)現(xiàn)整體控制目標(biāo)相關(guān)的風(fēng)險(xiǎn)及細(xì)化控制目標(biāo)，并在此 基礎(chǔ)上辨識與細(xì)化控制目標(biāo)相對應(yīng)的 控制活動(dòng)，然后針對控制活動(dòng)進(jìn)行必要的測試，獲取充分、相關(guān)、可靠的證據(jù)對內(nèi)部控制的有效性進(jìn)行評價(jià)，并做出書 面記錄。第十八條內(nèi)部控制評估和測試的方法主要包括：（-） 個(gè)別訪談法。是指企業(yè)根據(jù)檢查評價(jià)需要，對被查單位員工進(jìn)行單獨(dú)訪談，以獲取有關(guān)信息。（二）調(diào)查問卷法。是指企業(yè)設(shè)置問卷調(diào)查表，分別對不同層次的員工進(jìn)行問卷調(diào)查，根據(jù)調(diào)查 結(jié)果對相關(guān)項(xiàng) 目作出評價(jià)。（三）比較分

8、析法。是指通過分析、比較數(shù)據(jù)間的關(guān)系、趨勢或比率來取得評價(jià)證據(jù)的方法。（四）標(biāo)桿法。是指通過與組織內(nèi)外部相同或相似經(jīng)營活動(dòng)的最佳實(shí)務(wù)進(jìn)行比較而對控制設(shè)計(jì)有效性評價(jià)的方 法。（五）穿行測試法。是指通過抽取一份全過程的文件，來了解整個(gè)業(yè)務(wù)流程執(zhí)行情況的評估評價(jià)方法。（六）抽樣法。是指企業(yè)針對具體的內(nèi)部控制業(yè)務(wù)流程，按照業(yè)務(wù)發(fā)生頻率及固有風(fēng)險(xiǎn)的高低，從確定的抽樣 總體中抽取一定比例的業(yè)務(wù)樣本，對業(yè)務(wù)樣本的符合性進(jìn)行判斷，進(jìn)而對業(yè)務(wù)流程控制運(yùn)行的有效性作出評價(jià)。（七）實(shí)地查驗(yàn)法。是指企業(yè)對財(cái)產(chǎn)進(jìn)行盤點(diǎn)、清查，以及對存貨出、入庫等控制環(huán)節(jié)進(jìn)行現(xiàn)場 查驗(yàn)。（八）重新執(zhí)行法。是指通過對某一控制活動(dòng)全過程的重

9、新執(zhí)行來評估控制執(zhí)行情況的方法。（九）專題討論會(huì)法。是指通過召集與業(yè)務(wù)流程相關(guān)的管理人員就業(yè)務(wù)流程的特定項(xiàng)目或具體問 題進(jìn)行討論及 評估的一種方法。第十九條企業(yè)應(yīng)當(dāng)根據(jù)通過評估和測試獲取與內(nèi)部控制有效性相關(guān)的證據(jù)，并合理保證證據(jù)的充分性和適當(dāng)性。證據(jù)的充分性是指獲取證據(jù)的數(shù)量應(yīng)當(dāng)能合理保證相關(guān)控制的有效；證據(jù)的適當(dāng)性是指獲取的證據(jù)應(yīng)當(dāng)與相關(guān)控 制的設(shè)計(jì)與運(yùn)行有關(guān)，并能可靠地反映控制的實(shí)際運(yùn)行狀況。第二十條 企業(yè)應(yīng)當(dāng)根據(jù)所收集的證據(jù)，判斷相關(guān)控制的設(shè)計(jì)與運(yùn)行是否有效。企業(yè)在判斷內(nèi)部 控制設(shè)計(jì)與運(yùn)行有 效性時(shí)，應(yīng)當(dāng)充分考慮下列因素：（-） 是否針對風(fēng)險(xiǎn)設(shè)置了合理的細(xì)化控制目標(biāo)。（二）是否針對細(xì)化控

10、制目標(biāo)設(shè)置了對應(yīng)的控制活動(dòng)。（三）相關(guān)控制活動(dòng)是如何運(yùn)行的。（四）相關(guān)控制活動(dòng)是否得到了持續(xù)一致的運(yùn)行。（五）實(shí)施相關(guān)控制活動(dòng)的人員是否具備必需的權(quán)限和能力。第二十一條企業(yè)應(yīng)當(dāng)充分評估下列因素導(dǎo)致內(nèi)部控制失效的風(fēng)險(xiǎn)：（-） 控制活動(dòng)的類型，一般包括人工控制和自動(dòng)控制、預(yù)防性控制和發(fā)現(xiàn)性控制等。（二）控制活動(dòng)的復(fù)雜性，通常與企業(yè)組織結(jié)構(gòu)、市場環(huán)境、經(jīng)營規(guī)模、人員素質(zhì)等相關(guān)。（三）管理層逾越內(nèi)部控制的風(fēng)險(xiǎn)。（四）實(shí)施控制活動(dòng)所需要的職業(yè)判斷的程度。（五）控制活動(dòng)所針對風(fēng)險(xiǎn)事項(xiàng)的性質(zhì)及其重要性。（六）一項(xiàng)控制活動(dòng)對其他控制活動(dòng)有效性的依賴程度。第二十二條企業(yè)應(yīng)當(dāng)及時(shí)記錄開展內(nèi)部控制評價(jià)工作的方法和程

11、序，并以適當(dāng)形式妥善保存相關(guān)證據(jù)。第二十三條內(nèi)部控制評價(jià)機(jī)構(gòu)應(yīng)當(dāng)根據(jù)評估結(jié)果和經(jīng)核實(shí)的證據(jù)，確認(rèn)內(nèi)部控制缺陷，出具評 價(jià)結(jié)論，編制評價(jià) 報(bào)告，報(bào)送管理層和董事會(huì)審閱。第四章內(nèi)部控制缺陷認(rèn)定和評價(jià)報(bào)告第二十四條企業(yè)在內(nèi)部控制評價(jià)中，應(yīng)對內(nèi)部控制缺陷進(jìn)行分類分析。內(nèi)部控制缺陷一般可分為設(shè)計(jì)缺陷和運(yùn)行 缺陷。（-） 設(shè)計(jì)缺陷是指缺少為實(shí)現(xiàn)控制目標(biāo)所必需的控制，或現(xiàn)存控制設(shè)計(jì)不適當(dāng)、即使正常運(yùn)行也難以實(shí)現(xiàn)控 制目標(biāo)。（-） 運(yùn)行缺陷是指現(xiàn)存設(shè)計(jì)完好的控制沒有按設(shè)計(jì)意圖運(yùn)行，或執(zhí)行者沒有獲得必要授權(quán)或缺乏勝任能力以 有效地實(shí)施控制。第二十五條企業(yè)對內(nèi)部控制評價(jià)過程中發(fā)現(xiàn)的問題，應(yīng)當(dāng)從定量和定性等方面進(jìn)行

12、衡量，判斷是否構(gòu)成內(nèi)部控制 缺陷。存在下列情況之一，企業(yè)應(yīng)當(dāng)認(rèn)定內(nèi)部控制存在設(shè)計(jì)或運(yùn)行缺陷：（-） 未實(shí)現(xiàn)規(guī)定的控制目標(biāo)。（二）未執(zhí)行規(guī)定的控制活動(dòng)。（三）突破規(guī)定的權(quán)限。（四）不能及時(shí)提供控制運(yùn)行有效的相關(guān)證據(jù)。第二十六條 企業(yè)應(yīng)當(dāng)根據(jù)內(nèi)部控制缺陷影響整體控制目標(biāo)實(shí)現(xiàn)的嚴(yán)重程度，將內(nèi)部控制缺陷分為一般缺陷、重要 缺陷和重大缺陷（也稱實(shí)質(zhì)性漏洞，以下統(tǒng)稱重大缺陷）。重大缺陷，是指一個(gè)或多個(gè)一般缺陷的組合，可能嚴(yán)重影響內(nèi)部整體控制的有效性，進(jìn)而導(dǎo)致企 業(yè)無法及時(shí)防范 或發(fā)現(xiàn)嚴(yán)重偏離整體控制目標(biāo)的情形。重要缺陷，是指一個(gè)或多個(gè)一般缺陷的組合，其嚴(yán)重程度低于重大缺陷，但導(dǎo)致企業(yè)無法及時(shí)防范或發(fā)現(xiàn)偏離

13、整 體控制目標(biāo)的嚴(yán)重程度依然重大，須引起企業(yè)管理層關(guān)注。內(nèi)部控制評價(jià)機(jī)構(gòu)和管理層應(yīng)當(dāng)合理確定相關(guān)目標(biāo)發(fā)生偏差的可容忍水平，從而對嚴(yán)重偏離的情形予以確定。第二十七條 企業(yè)判斷和認(rèn)定內(nèi)部控制缺陷是否構(gòu)成重大缺陷，應(yīng)當(dāng)考慮下列因素：（-） 影響整體控制目標(biāo)實(shí)現(xiàn)的多個(gè)一般缺陷的組合是否構(gòu)成重大缺陷。（二）針對同一細(xì)化控制目標(biāo)所采取的不同控制活動(dòng)之間的相互作用。（三）針對同一細(xì)化控制目標(biāo)是否存在其他補(bǔ)償性控制活動(dòng)。第二十八條企業(yè)應(yīng)當(dāng)根據(jù)內(nèi)部控制評價(jià)過程中發(fā)現(xiàn)的內(nèi)部控制缺陷，督促相關(guān)單位或部門進(jìn)行整改，并對整改結(jié) 果進(jìn)行核查和確認(rèn)。第二十九條 對于為實(shí)現(xiàn)單個(gè)或整體控制目標(biāo)而設(shè)計(jì)與運(yùn)行的控制不存在重大缺陷的

14、情形，企業(yè) 應(yīng)當(dāng)認(rèn)定針對這些 整體控制目標(biāo)的內(nèi)部控制是有效的。對于為實(shí)現(xiàn)某一整體控制目標(biāo)而設(shè)計(jì)與運(yùn)行的控制存在一個(gè)或多個(gè)重大缺陷的情形，企業(yè)應(yīng)當(dāng)認(rèn)定針對該項(xiàng)整體 控制目標(biāo)的內(nèi)部控制是無效的。第三十條對于因業(yè)務(wù)流程外包等原因造成企業(yè)無法評價(jià)特定業(yè)務(wù)、特定流程的內(nèi)部控制有效性 的情形，內(nèi)部控制 評價(jià)機(jī)構(gòu)應(yīng)當(dāng)充分考慮該項(xiàng)業(yè)務(wù)流程及其相關(guān)控制的重要性，確定其對整體控制目標(biāo)有效性評價(jià)的影響。第三十一條 企業(yè)應(yīng)當(dāng)結(jié)合年末控制缺陷的整改結(jié)果，編制年度內(nèi)部控制評價(jià)報(bào)告。內(nèi)部控制評價(jià)報(bào)告至少應(yīng)當(dāng)包括下列內(nèi)容:（-） 內(nèi)部控制評價(jià)的目的和責(zé)任主體。（二）內(nèi)部控制評價(jià)的內(nèi)容和所依據(jù)的標(biāo)準(zhǔn)。（三）內(nèi)部控制評價(jià)的程序和

15、所采用的方法。（四）衡量重大缺陷嚴(yán)重偏離的定義，以及確定嚴(yán)重偏離的方法。（五）被評估的內(nèi)部控制整體目標(biāo)是否有效的結(jié)論。（六）被評估的內(nèi)部控制整體目標(biāo)如果無效，存在的重大缺陷及其可能的影響。（七）造成重大缺陷的原因及相關(guān)責(zé)任人。（八）所有在評估過程中發(fā)現(xiàn)的控制缺陷，以及針對這些缺陷的補(bǔ)救措施及補(bǔ)救措施的實(shí)施計(jì)劃 等。第三十二條 企業(yè)可以根據(jù)被評估的整體控制目標(biāo)的不同，適當(dāng)調(diào)整評價(jià)報(bào)告的內(nèi)容。企業(yè)應(yīng)當(dāng)在評價(jià)報(bào)告中明確財(cái)務(wù)報(bào)表日之后截至內(nèi)部控制評價(jià)日發(fā)生的、可能影響財(cái)務(wù)報(bào)告控制目標(biāo)有效性的所 有重大變化。第三十三條企業(yè)應(yīng)當(dāng)定期對內(nèi)部控制整體有效性進(jìn)行評價(jià)、出具評價(jià)報(bào)告，并向董事會(huì)、監(jiān)事會(huì)和管理層報(bào)告內(nèi) 部控制設(shè)計(jì)與運(yùn)行環(huán)節(jié)存在的主要問題以及將要采