从“内部控制整体框架”到“企业风险管理整体框架”

1. 从“内部控制整体框架”到“企业风险管理整体框架”从“内部控制整体框架”到“企业风险管理整体框架”

2. COSO：内部控制整体框架 • 完善内部控制制度的必要性 • 内部控制的国际发展 • “COSO”与“内部控制整体框架” • 萨宾斯法案302条款和404条款 • 内部控制缺陷评估 • 企业风险管理整体框架

3. 中行哈尔滨内控缺失案例 • 2005年1月15日，东北高速公路股份有限公司公布公告称，该公司在中国银行哈尔滨分行河松街支行设有两个存款账户，至2004年11月30日，公司收到银行询证函回执，确认在河松街支行两个账户中有存款余额2.93亿元。1月4日，该公司领导和财务人员到河松街支行对账，发现账面仅剩7.31万元，其余存款去向不明。同时，其子公司黑龙江东高投资开发有限公司存于河松街支行的530万元资金也去向不明。公司已向吉林省公安厅、黑龙江省公安厅报案。

4. 中行哈尔滨内控缺失案例（续） • 根据媒体报道和中行的判断，企业的相当一部分资金在存入银行之初，就被通过“背书转让”形式转到其他账户上了，根本未进入企业最初开立的账户。　在整个票据诈骗过程中，高山的行为基本有两种：向企业出具虚假的存款凭证和对账单，维持资金仍在企业的中行账户上的假象；或者在客户不知情的情况下，在开立账户之初，其预留印鉴即被高山调换成其控制的印鉴。

5. 中行哈尔滨内控缺失案例（续） • 涉案人员李东哲（该案的幕后指使者、北京世纪绿洲控制人 ）和河松街支行行长高山于2004年12月潜逃加拿大（涉案人民币10亿元 ），但已被加拿大警方控制。 • 东北高速子公司吉林东高科技油脂有限公司原总经理东方在山东烟台被捕。 • 2005年1月13日，东北高速公路股份有限公司原董事长张晓光因涉嫌挪用公款被刑事拘留，2006年6月27日以涉嫌受贿罪、贪污罪、挪用公款罪、巨额财产来源不明罪被提起公诉。

6. 农行邯郸支行现金被盗案 • 邯郸市中级人民法院2007年8月9日一审对任晓峰、马向景做出死刑、剥夺政治权利终身的判决，对赵学楠、宋长海、张强三被告人判罚有期徒刑五年、三年和缓期徒刑的判决后，任晓峰、马向景、赵学楠不服，均提出上诉。 • 9月19日上午，河北省高级人民法院经审理认为，一审判决认定的事实清楚，证据确实、充分，适用法律正确，量刑适当，审判程序合法，并依照《中华人民共和国刑事诉讼法》的有关规定，做出终审裁定，驳回任晓峰、马向景、赵学楠的上诉，全案维持原判。对任晓峰、马向景维持死刑判决的裁定，河北省高级人民法院将依法报请最高人民法院核准。

7. 任晓峰、马向景、赵学楠、张强、宋长海（由左至右）

8. 农行邯郸支行现金被盗案 • 邯郸市中级人民法院经审理查明：2006年10月13日至18日，任晓峰与赵学楠、张强利用看管金库的便利条件，先后两次从金库盗取人民币20万元购买彩票，后归还。 • 2007年3月16日至4月13日，任晓峰与马向景又多次从金库盗取人民币共计近3,296万元，任晓峰用其中3,125万元购买彩票，在投入巨额资金未中奖的情况下，任晓峰用余款中的7.68万元购买了捷达轿车一辆，准备出逃。 • 2007年4月14日8时许，任晓峰和马向景再次密谋后，从金库盗出现金6箱共计1,800万元，用其中1,410万元购买彩票。任晓峰分得余款329.9万元，马向景分得余款60万元。任晓峰得知彩票未中奖后，遂通知马向景分头潜逃。

9. 农行邯郸支行现金被盗案 • 与邯郸农行金库5,100万元盗案相关，4名银行职员也被指控犯有国有企业人员失职罪，其中包括原农行邯郸分行副行长张希仲和原现金管理中心副主任安长海。 • 去年3至4月间，邯郸农行金库管库员任晓峰、马向景等轻而易举地从银行金库盗取现金5,000余万元，直至案发后邯郸农行才发现金库现金被盗，从而暴露了邯郸农行在管理方面存在的漏洞，这4名银行职员因此受到刑事追究。

10. 11月6日,张希仲（前左一）等在受审。

11. 农行邯郸支行现金被盗案 • 去年11月6日下午，丛台区法院开庭审理邯郸农行直属营业部会计主管程红英涉嫌国有企业人员失职罪一案。据指控，去年4月12日17时30分许，邯郸农行管库员任晓峰打电话给程红英，谎称其一个朋友是直属营业部的大户，要存95万元，程红英以快下班无法清点为由予以拒绝。任晓峰提出由现金清点中心替其营业部收款后，程红英表示同意为其办理。程红英违反操作规程，在未见储户、未审核存款人的有效身份证件、未收取现金的情况下，授权柜员办理了95万元的存款业务，并让任晓峰代替储户在存款凭条上签名确认，致使邯郸农行损失95万元。公诉方认为，程红英在担任邯郸农行营业部会计主管期间，滥用职权，造成国有企业严重损失，也应当以国有企业人员失职罪追究其刑事责任。

12. 炒作期货失控案例 • 1995年2月26日，新加坡巴林公司期货经理尼克·里森投资日经225股指期货失利，造成巴林银行14亿美元损失，最终导致具有200多年历史的英国巴林银行的破产。 • 2004年10月，中国航油（新加坡）股份有限公司由于操作风险较高的原油期货期权等金融衍生工具不当，导致公司亏损约5.5亿美元。

13. 完善内部控制制度的必要性 • 近年来国内商业银行和企业频繁发生重大案件，表明商业银行和企业自身的内部控制存在严重缺陷，主要表现在没有形成系统的内部控制制度，缺乏主动的风险识别与评估机制，内部控制措施零散、不系统，监督检查环节不到位，内部控制结果不稳定，缺乏对内部控制持续改进的驱动力，风险管理的长效机制没有从根本上得到建立。

14. 内部控制的国际发展 • 内部牵制阶段 • 内部控制的产生 • 内部控制两要素阶段 • 内部控制三要素阶段--内部控制结构 • 内部控制五要素阶段--内部控制整体框架 • 内部控制八要素阶段--企业风险管理整体框架

15. 内部牵制 • 内部牵制的理念产生于上世纪40年代以前 • 主要特点：任何个人或部门不能单独控制任何一项或一部分业务权力，必须进行组织上的责任分工。 • 内部牵制的形式 • 实物牵制：例如把保险柜的钥匙交给二个以上的工作人员持有。 • 机械牵制：例如保险柜的大门若非按正确程序操作就打不开。 • 体制牵制：采用双重控制预防错误和舞弊的发生。 • 簿记牵制：定期将明细账与总账进行核对。 • 内部牵制的基本理念 • 二个或以上的人或部门无意识地犯同样错误的机会是很小的； • 二个或以上的人或部门有意识地合伙舞弊的可能性大大低于单独一个人或部门舞弊的可能性。

16. 内部控制的产生 • 1949年，美国会计师协会的审计程序委员会在《内部控制，一种协调制度要素及其对管理当局和独立注册会计师的重要性》的报告中，对内部控制首次作了权威性定义： “内部控制包括组织机构的设计和企业内部采取的所有相互协调的方法和措施。这些方法和措施都用于保护企业的财产，检查会计信息的准确性，提高经营效率，推动企业坚持执行既定的管理政策。” • 此定义及其相应的解释，当时被普遍认为是对认识内部控制这一概念的重大贡献，因为在此之前内部控制概念从未受到如此的重视。

17. 内部控制两要素阶段 • 1958年10月美国审计程序委员会发布了第29号《审计程序公告》对内部控制进行了重新定义，将内部控制划分为会计控制和管理控制两要素。 • 内部会计控制：包括组织规划的与财产安全和财物记录可靠性有直接联系的所有方法和程序，包括授权与批准控制、职务分离控制、财产实物控制和内部审计等。 • 内部管理控制：包括组织规划的与经营效率和贯彻管理方针有关的所有方法和程序，一般包括统计分析、业绩报告、员工培训和质量控制等。

18. “COSO”与“美国反欺诈财务报告委员会” • 美国反欺诈财务报告委员会(National Commission on Fraudulent Financial Reporting)的成立： • 由美国会计学会（AAA）、美国注册会计师协会（AICPA）、财务经理协会（FEI）、内部审计师协会（IIA）、管理会计协会（IMA）于1985年发起设立 • 由包括来自产业界、会计师事务所、投资公司以及纽约交易所代表的六个委员组成 • 主席由前美国SEC委员James Treadway担任，所以简称“Treadway 委员会” • 主要目的是研究导致财务报告欺诈的因素，为上市公司及其独立审计师、SEC及其他监管者、教育机构提供建议。

19. 1987年Treadway报告 • 研究的主要问题 • 重大舞弊对财务报表的影响程度 • 舞弊行为的可预防程度 • 独立审计在揭露管理欺诈舞弊中的作用 • 审计准则是否需作进一步的修改

20. “COSO”与“美国反欺诈财务报告委员会” • COSO（The Committee Of Sponsoring Organizations of the Treadway Commission）： • 1985年，美国五大会计职业团体为发起设立Treadway委员会，并成立了一个“发起组织委员会”，这是一个自发的民间组织，其目的是发起设立美国反欺诈财务报告委员会，并提供财务支持。 • 同时致力于研究如何通过改善商业道德、有效的内部控制和公司治理来提高财务报告质量。

21. 内部控制三要素的发展 • 1988年美国AICPA发布了第55号《审计准则公告》，首次以“内部控制结构”代替“内部控制”，指出“企业的内部控制结构包括所有为确保实现企业特定目标而建立的各种政策和程序”。 • 内部控制结构包括三个要素： • 控制环境：反映董事会、管理者、所有者对控制的态度和行为。 • 会计系统：规定各项经济业务的确认、归集、分类、登记和编报方法。 • 控制程序：指管理当局为保证实现目标而制定的政策和程序。

22. 内部控制三要素的发展 • 内部控制结构的特点： • 正式将控制环境纳入内部控制范畴。以前人们将控制环境作为内部控制的外部因素，但渐渐地认识到控制环境是内部控制的一个组成部分，是内部控制体系得以建立和运行的基础及保证。 • 二是不再区分会计控制与管理控制，这是因为通过研究发现，这两者往往是不可分割的，是相互关系的。

23. “COSO”与“内部控制整体框架” （五要素） • 自1987年的Treadway报告和1988年9个审计准则公告发布后，COSO对内部控制问题又进行了较深入系统的研究，于1992年发布了《内部控制——整体框架》报告，该报告是国际内部控制理论发展的又一重要里程碑。 • COSO认为，内部控制是由企业董事会、经理阶层和其他员工实施的，为营运的效率效果、财务报告的可靠性、相关法令的遵循性等目标的实现而提供合理保证的过程。其构成要素应该来源于管理阶层经营企业的方式，并与管理的过程相结合。

24. 内部控制整体框架 营 告 循 经 报 遵 作 业 活 动 2 控 制 环 境 作 业 活 动 1 风 险 评 估 控 制 活 动 信息与沟通 监督

25. “内部控制整体框架”的特点 • 1．明确对内部控制的“责任” • 2．强调内部控制应该与企业的经营管理过程相结合 • 3．强调内部控制是一个“动态过程” • 4．强调“人”的重要性 • 5．强调“软控制”的作用 • 6。强调风险意识 • 7．揉和了管理与控制的界限 • 8．强调内部控制的分类及目标 • 9．明确指出内部控制只能做到“合理”保证 • 10．成本与效益原则

26. 控制环境 • 控制环境不仅包括非正式的经常是无形的软控制，例如道德价值观，诚信原则，管理哲学，胜任的能力等，同时还包括组织结构和职责划分等更为正式的控制。控制的其他要素发挥作用都依赖于这一基础的可靠性。

27. 风险评估 • 在风险评估过程中，管理层识别并分析实现其目标过程中所面临的风险，从而制定决定如何管理风险的制度基础。管理层应该在审计师开始审计之前，识别那些重大的风险，并基于这些风险发生的可能性和影响采取措施缓和这些风险。随后，审计师对这一风险评估过程进行评价。

28. 控制活动 • 控制活动是指确保管理层的指令得以实现的机制，包括那些被识别能够缓和风险的活动。这些控制很大程度上是基于审批活动。运输货物、支付帐单、等待客户定单、购买资产等活动都需要实施具体的，基于活动的控制。所以要求具备大量的有关特定活动的知识来决定应该实施怎样的针对性控制。

29. 信息与沟通 • COSO框架的第四个控制要素是信息与沟通。信息是指员工能够获得其工作中所需要的信息，沟通是指信息向上的、向下的、横向的、在组织内外自由的流动。

30. 监督 • 监督要素包括经理人员日常的监督，审计师和其他群体定期的审核以及经理人员用以揭示和纠正已知的缺陷与不足的程序。监督可以用来保证其他控制的运行，这也就解释了为什么内部审计被看作是监督的一部分。

31. 1987-1997欺诈性财务报告研究 • 1987年Treadway报告发布后，美国公开发行股票公司财务报告舞弊情况究竟如何，需要进行全面的分析 • COSO发起并赞助了对1987.1-1997.12美国欺诈性财务报告的研究 • 研究者从这11年期间受到SEC处罚的约300家公司中随机选取了约200家公司进行了全面的研究 • 1999年3月发布了研究报告

32. 1987-1997欺诈性财务报告研究 • 研究发现： • 存在财务报告欺诈舞弊问题的一般是小公司，大多不在纽约证券交易所或美洲证券交易所上市的公司 • 进行欺诈舞弊的大多是公司高层，72%的案例显示由公司CEO参与 • 有欺诈舞弊情况的公司，董事会和审计委员会都很弱，审计委员会很少碰头，董事会由内部人控制 • 大部分公司由发起人和公司董事拥有 • 当公司发生欺诈舞弊情况时，后果非常严重，大部分导致破产、股权重大变更或直接退市

33. 安然事件爆发 • 安然公司1985年成立，2001年财富世界500强中排第16位，营业收入1387亿美元，2001年11月安然重新公布1997－2000年的财务报表，累计减少利润近6亿美金，2001年12月申请破产保护，破产资产总额498亿美元，为美国历史之最。股票最高价超过90美元，最低价不到20美分。2002年1月16日,纽约证交所将安然公司摘牌,公司正式破产,整个案件造成市值损失320亿美元,财产损失500亿美元。

34. 世通事件爆发 • 世通公司是美国第二大电信公司，2002年，被发现利用将营运性开支列作资本性开支等弄虚作假的手法，在1998-2002期间，虚报收入110亿美元。事发之后，世通的股价从最高的64.5美元暴跌至3美元。世通于2002年7月申请破产保护令，以1070亿美元的资产、410亿美元的债务成为美国历史上最大的破产个案，刷新了美国历史上的破产规模记录。7月30日,纳斯达克证交所将世通公司摘牌。整个案件造成市值损失1200亿美元,财产损失1000亿美元。

35. 2002年美国《萨宾斯法案》 • 2002年7月25日美国通过的《公司改革法案》（Sarbanes-Oxley Act），使传统的注册会计师行业自律模式被打破，代之以政府监督下的独立监管为主的模式，即由美国证券交易委员会（SEC）监督下的公众公司会计监管委员会（PCAOB）来负责制定或审批审计准则、事务所质量控制准则、职业道德准则、独立性准则以及其他与审计报告相关的准则。实际上意味着AICPA正在逐步失去审计准则制定权。

36. 2002年美国《萨宾斯法案》 • 302条款: 由CEO和CFO在内的企业管理层，对公司财务报告的内部控制按季度和年度就以下事项发表声明： • 对建立和维护与财务报告有关的内部控制负责。 • 设计所需的内部控制，以保证管理层能知道该公司及其子公司的所有重大信息，尤其是报告期内的重大信息。 • 与财务报告有关的内部控制的任何变更都已得到恰当的披露，这里的变更指最近一个会计季度已经产生，或者合理预期将对于财务报告有关的内部控制产生重大影响的变更。 • 对IT内部控制的有效性予以评估。

37. 2002年美国《萨宾斯法案》 • 404条款：管理层在其年度文件中提供关于与财务报告有关的内部控制的年度评估报告。管理层的年度报告要求包括以下内容： • 管理层有责任为企业建立和维护恰当的与财务报告有关的内部控制。 • 识别管理层所采用的内部控制框架，以便按要求评估公司与财务报告有关的内部控制的有效性。 • 对从一上个会计年度末以来与财务报告有关的内部控制的有效性予以评估，其内容也包括有关与财务报告有关的内部控制是否有效的公开声明。

38. 2002年美国《萨宾斯法案》 • 404条款（续）： • 年度审计报告中，注册会计师事务所发表的财务审计报告，包括管理层对与财务报告有关的内部控制有效性评估的证明报告。 • 管理层关于公司针对财务报告内部控制有效性评估的书面结论，应包含在其对财务报告内部控制的报告和其对审计师的信函中。管理层对公司面向财务报告的内部控制的有效性必须发表直接意见。 • 如果与财务报告有关的内部控制中有一个或多个重要缺陷，管理层将不能对财务报告的内部控制有效性作出评估结论，而且，管理层应该披露自最近一个会计年度末以来财务报告内部控制方面的所有重要缺陷。

39. 2002年美国《萨宾斯法案》 • 404条款要求，每个公司都要将公司任何一个岗位的职务、职责描述得一目了然，这项工作需要大量材料和文件支持。同时上市公司要保证在对交易进行财务记录的每一个环节都有相应的内部控制制度（例如产品销售的条件、记录付款的时间和人员等）。此外，还要指出内部控制的缺陷所在。 • 要完成这些工作绝非易事，特别是对于组织分散，业务范围复杂的大型公司而言，组织越分散，业务越复杂就意味着要做的 工作越繁杂，这促使他们不得不投入更多来实施404条款所要求的内部控制措施。

40. 2002年美国《萨宾斯法案》 • 404条款的遵循成本第一年最高，包括关键内部控制的初始存档和补救。以后年度的遵循成本会大幅度减少。 • 根据国际财务执行官(FEI)对321家企业的调查结果，每家需要遵守萨班斯法案的美国大型企业第一年实施404条款的总成本将超过460万美元。 • 全球著名的通用电气公司表示，404条款致使公司在执行内部控制规定上的花费高达3000万美元。

41. 内部控制的主要缺陷 • 控制环境 • 无效的审计委员会 • 缺乏由高层管理推动的全公司范围的内部控制管理流程 • 缺乏反舞弊和举报机制 • 会计政策和程序过时、不一致、没有完整记录或缺乏有效沟通 • 对非常规、复杂或特殊 交易的帐务处理的控制不充分

42. 内部控制的主要缺陷 • 风险评估 • 缺乏正式的企业风险管理流程或程序

43. 内部控制的主要缺陷 • 控制活动 • 缺乏有效运行和记录完整的公司层面控制 • 错误报告和信息披露编制流程无效 • 对分支机构的控制无效

44. 内部控制的主要缺陷 • 信息与沟通 • 缺乏对信息系统的有效控制 • 缺乏对财务报告中使用的终端用户应用程序（如电子表格）和数据的控制

45. 内部控制的主要缺陷 • 监督 • 董事会和审计委员会对风险和控制的理解不充分 • 无效的内部审计 • 缺乏正式的对财物结账流程的控制或监督 • 不能对外包流程的控制进行评估和测试

46. 内部控制的主要缺陷 • 文件记录 • 缺乏完整全面的文档记录 • 缺乏内部控制执行的证据

47. 内部控制的主要缺陷 • 管理层对控制有效性的评价 • 公司的内控评价工作人员缺乏专业知识和经验 • 管理层内控评价范围不充分 • 测试流程和程序不充分

48. 重要的内部控制措施 • 运行控制 • 高层检查 • 行为控制 • 实物控制 • 审批和授权 • 验证和核实 • 不兼容岗位的分离 • 计算机系统环境下的控制 • 应急准备与处置

49. 任晓峰的建议书 • 根据我这次的犯罪经过，我把我对银行金库管理的一些建议写出来，希望能对防止犯罪事件的再次发生，起到一些作用。      一、监控方面  1、应安排专人负责查看监控录像，并定期抽查以前的录像记录，查看是否有违规操作等情况；  2、每日必须检查监控设备的正常使用及备份情况，监控数据备份保存时间最少在3个月以上；  3、在非工作时间必须设防110联网报警系统，对非工作时间，进入设防范围或金库内的人员，要马上向领导汇报详细情况；  4、金库内必须安装监控设备。 

50. 任晓峰的建议书 • 二、严格执行规章制度  1、应安排现金中心，主管或副主任每旬查一次金库，安排现金中心主任每月查一次金库；  2、在查库时，应先核对记帐情况是否属实，然后根据碰库清单，认真核对现金数额，对装好的整包现金，必须打开包进行核对；  3、各级领导在查库时，都不应该在固定时间和日期；  4、对重要岗位的人员(如记帐员、管库员)，应实行强制休假制度，在不事先通知情况下，由领导监督交接工作；  5、应对现金中心的每个岗位，都制定出各自的岗位职责和工作要求，对现金中心工作人员要定期进行思想教育学习。