第六章
企业内部控制
【考情分析】
企业内部控制体系主要针对中国境内主板上市公司（包括集团公司）的内部控制，包括设计、实施、评价和审计四个环节，其法规依据是财政部、证监会、审计署、银监会、保监会2008年5月联合发布的《企业内部控制基本规范》（财会〔2008〕7号）、2010年4月联合发布的《企业内部控制应用指引》《企业内部控制评价指引》《企业内部控制审计指引》（财会〔2010〕11号），内容比较规范，系统性较强。
2018年、2017年本章独立命题，分值15分，2016年与第五章风险管理结合命题，分值为15分，考题主题比较鲜明，重点比较突出，其特点是：模拟中国境内主板上市公司内部控制的“设计、实施、评价和审计”四个环节，结合内部控制实务提出若干不同观点，要求逐一判断是否存在不当之处并简述理由。
本章考点清单
序号考点考试年份考核方向
1企业内
部控制
规范体
系框架
内部控制目标
（★★★）
自2014
年以来每
年都会考
（1）结合案例资料，内部控制五大控制目标的
判断，并说明理由
（2）内部控制五大要素（结合案例资料判断）
（3）内部环境、风险评估、控制活动、信息与
沟通、内部监督五大要素内容结合案例资料进行
分析判断，并说明理由
内部控制原则
（★★★）
内部控制要素
（★★★）
2企业内
部控制
体系建
设
企业内部控制
建设的组织形
式（★★★）
自2014
年以来每
年都会考
（1）结合案例资料对内部控制体系建设中的董
事会、监事会、经理层及内部各职能部门承担相
应职责的判断，并说明理由
（2）结合案例资料对组织架构、发展战略、人
力资源、社会责任与企业文化控制中的主要风
险、关键控制点及控制措施的判断，并说明理由企业层面控制
（★★）
业务层面控制
（★★★）
自2010
年来每年
都会考
（3）结合案例资料对资金活动、采购活动、资
产管理、销售业务、研究与开发、工程项目、担
保业务、业务外包、财务报告、全面预算、合同
管理、内部信息传递、信息系统控制中的风险、
关键控制点及控制措施的判断，并说明理由
（4）企业内部控制信息系统建设的基本模式内部控制信息
系统建设
（★★）
3企业内
部控制
评价和
审计
企业内部控制
评价（★★）2018年
2017年
2015年
（1）企业内部控制评价原则（结合案例资料判断）
（2）企业内部控制评价方法
（3）企业内部控制缺陷的认定
（4）内部控制评价报告
（5）内部控制审计及审计报告
企业内部控制
审计（★★）
本章主要变化
本章内容无实质性变化。
【结构框架】从知识框架到思维系统
【学习基本方法】
企业内部控制内容多（49页），平时工作接触少，考试时人人都做，食之无味，弃之可惜！
1.通读一遍教材，熟悉基本内容，找出知识点及高频考点；
2.研究历年考题（2004～2018年15分），研讨如何答题即总结评分标准和标准答案；
3.做题过程中查找、反复印证教材知识点。
第一节企业内部控制规范体系框架
我国企业内部控制规范体系由《企业内部控制基本规范》（下称《基本规范》）、《企业内部控部控制配套指引》（下称《配套指引》）和《小企业内部控制规范（试行）》构成，《配套指引》包括18项《企业内部控制应用指引》（下称《应用指引》）、《企业内部控制评价指引》（下称《评价指引》）和《企业内部控制审计指引》（下称《审计指引》。
具体如下图：
我国企业内部控制规范体系是由《基本规范》及其《配套指引》构成，《基本规范》在内部控制规范体系中处于最高层次，起统驭作用，确立了企业建立与实施内部控制必须建立的框架结构，规定了内部控制的目标、原则、要素等基本要求，是制定《应用指引》、《评价指引》和《审计指引》的基本依据。
《配套指引》由18项《应用指引》、1项《评价指引》和1项《审计指引》（共20个文件）组成。
其中，《应用指引》是对企业按照内部控制原则和内部控制要素建立健全本企业内部控制所提供的指引，在《配套指引》乃至整个内部控制规范体系中占据主体地位；《评价指引》是为企业管理层对本企业内部控制有效性进行自我评价提供的指引；《审计指引》是注册会计师和会计师事务所执行内部控制审计业务的指南。
《基本规范》和《配套指引》主要适用于大中型企业，我国的上市公司、中央企业和国有大中型企业须强制执行基本规范和配套指引。
同时，为了指导小企业建立健全和有效实施内部控制，我国制定了《小企业内部控制规范（试行）》。
《小企业内部控制规范（试行）》以基本规范为依据，主要考虑了小企业自身的经济规模和经营特点，对小企业建设和实施内部控制作出了指导性的规范，是对企业内部控制规范体系的有益补充。
一、内部控制含义及目标（理解）
（一）含义
内部控制是由企业董事会、监事会、经理层和全体员工共同实施的、旨在实现控制目标的过程。
【提示】
（1）内部控制实施主体：上到董事会，下到全体员工，他们都是内部控制实施的主体。
董事会是决策者，经理层是执行者，监事会是监督者。
此外，内部控制还需要全体员工的参与实施。
（2）内部控制是一个动态过程，是实现目标的手段，而不是结果本身；内部控制不能凌驾于企业经营活动之上，它必须嵌入企业生产经营的整个过程。
过程是动态的，适合企业的才是最好的。
（3）内部控制是一个不断发展、变化、完善的过程，要求适时改进，与时俱进。
（二）内部控制目标
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。
具体根据《企业内部控制基本规范》第三条，解释如下：
1.合规目标：促进遵循国家法律法规。
守规矩，守法和诚信是企业健康发展的基石。
2.资产安全目标：促进维护资产安全。
3.报告目标：促进提高信息报告质量。
4.经营目标：促进提高经营效率和效果。
5.战略目标：促进实现发展战略。
【相关链接】合规性目标是内部控制目标的重要组成部分。
2018年11月，国资委发布《中央企业合规管理指引（试行）》，对中央企业的合规管理工作和合规事项作出指导性规定；2018年12月，发改委七部门联合发布《企业境外经营合规管理指引》，提出了中国企业境外经营的合规管理要求、合规管理机构、合规管理制度、合规管理运行机制、合规风险识别评估与处置、合规评审与改进、合规文化建设等内容。
内部控制可以更好地服务企业守法经营和合规管理。
【提示】
（1）目标顺序：由具体到抽象，内部控制制度建设中五大目标缺一不可，内容上有交叉，实现公司发展战略是内部控制的终极目标。
（2）企业内部控制因其具有局限性，内部控制对目标的实现只能是合理的保证，而不是绝对的保证。
【案例分析1】为认真贯彻落实财政部等五部委发布的《企业内部控制基本规范》及其配套指引的要求，在境内外同时上市的A股份有限公司于2010年末召开了内部控制体系建设专题会议，部署实施企业内部控制体系建设。
在专题会议上，公司管理层成员发言要点如下：
董事长：内部控制对于提升企业内部管理水平和风险防范能力、促进企业持续健康发展意义重大。
本公司作为首批实施内部控制规范的企业，应当树立强烈的责任感和使命感。
请在座各位务必高度重视，将实现企业经济效益最大化作为内部控制体系建设的唯一目标，全力做好相关工作。
要求：根据《企业内部控制基本规范》及其配套指引，分析判断A股份有限公司董事长发言存在的不当之处，并简要说明理由。
【参考答案及分析】
董事长的“将实现企业经济效益最大化作为内部控制体系建设的唯一目标”的观点不当。
理由：内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略，而不仅仅是实现企业经济效益最大化。
或：内部控制的目标包括合规、资产安全、报告、经营和战略目标。
【案例分析2】某公司按照财政部、证监会和审计署等五部委联合发布的《企业内部控制基本规范》及其配套指引的要求，建立并实施本公司的内部控制制度。
该公司为此召开了董事会全体会议，就内部控制相关重大问题形成决议。
关于控制目标摘要如下：
会议首先确定了公司内部控制的目标是要切实做到经营管理合法合规、资产安全，严格按照法律法规及相关监管要求开展经营活动，确保公司经营管理过程不存在任何风险。
要求：根据《企业内部控制基本规范》及其配套指引的要求，分析、判断该公司董事会会议形成的决议中，关于控制目标有哪些不当之处，并简要说明理由。
【参考答案及分析】
（1）内部控制目标定位于保证经营管理合法合规、资产安全的观点不恰当。
理由：内部控制目标不仅包括合理保证经营合法合规、资产安全，还包括财务报告及相关信息真实完整目标、提高经营效率和效果目标、促进实现发展战略的目标。
（2）确保公司经营管理过程不存在任何风险的观点不恰当。
理由：内部控制的任务是将风险控制在可承受度范围内。
或：内部控制不能完全消除企业面临的全部风险。
二、内部控制原则（掌握）
内部控制原则是企业建立与实施内部控制应当遵循的基本准绳。
企业建立与实施内部控制应当遵循5项原则，即全面性、重要性、制衡性、适应性和成本效益原则。
其具体内容如下：
1.全面性原则（不留空白—全覆盖）
内部控制应当贯穿决策、执行和监督的全过程，覆盖企业及其所属单位的各种业务和事项，实现全过程、全员性控制，不存在内部控制空白点。
2.重要性原则
内部控制应当在兼顾全面的基础上，关注重要业务事项和高风险领域，采取更为严格的控制措施，确保不存在重大缺陷。
重要性原则的应用需要一定的职业判断，企业应当根据所处行业环境和经营特点，从业务事项的性质和涉及金额两方面来考虑是否及如何实行重点控制。
比如，企业对“三重一大”事项实行集体决策和联签制度，就是重要性原则的体现。
3.制衡性原则
内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督的机制，同时兼顾运营效率。
制衡性原则要求企业完成某项工作必须经过互不隶属的两个或两个以上的岗位和环节；同时还要求履行内部控制监督职责的机构或人员具有良好的独立性。
4.适应性原则
内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化加以调整。
适应性原则要求企业建立与实施内部控制应当具有前瞻性，适时地对内部控制系统进行评估，发现可能存在的问题，并及时采取措施予以补救。
5.成本效益原则
内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。
成本效益原则要求企业内部控制建设必须统筹考虑投入成本和产出效益之比。
对成本效益原则的判断需要从企业整体利益出发，尽管某些控制会影响工作效率，但可能会避免整个企业面临更大损失，此时仍应实施相应控制。
但小企业不应建立复杂的内部控制制度。
【提示】五大原则在内部控制建设与实施过程中必须严格执行，也是高频考点，几乎年年考，考生必须掌握好其内涵。
【案例分析3】某小型企业员工数量较少，仅有一名会计人员，负责记账和编制会计报表。
出于成本效益原则考虑，企业指定该会计人员兼任出纳工作。
根据制衡性原则，会计和出纳属于不相容岗位。
应当相互分离但考虑到企业规模较小的实际情况。
节约运营成本和促进企业经营效率最大化的角度出发。
企业可以指定会计人员出任出纳工作。
但企业管理层必须定期或不定期对上述人员工作进行独立的监督检查（即采取替代性控制措施），以避免出现舞弊和欺诈行为。
这样的安排，既满足了成本效益原则，同时也遵循了制衡性原则的要求。
需要指出的是对于具备一定规模的企业。
应当严格遵循不相容岗位相互分离的内部控制要求。
三、内部控制要素（掌握）
企业内部控制由内部环境、风险评估、控制活动、信息与沟通、内部监督等五大要素构成，具体内容及之间关系如下图：
内部环境是企业建立与实施内部控制的基础，风险评估是重要环节，控制活动是具体方式，信息与沟通是重要条件，内部监督是重要保证。
（一）内部环境（基础—优化）
内部环境规定企业的纪律与架构，影响经营管理目标的制定，塑造企业文化氛围并影响员工的控制意识，是企业建立与实施内部控制的基础。
内部环境主要包括治理结构、机构设置及权责分配、内部审计机制、人力资源政策、企业文化等。
1.治理结构。
企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确董事会、监事会和经理层在决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。
公司治理结构又称法人治理结构，是根据权力机构、决策机构、执行机构和监督机构相互独立、权责明确、相互制衡的原则实现对公司的治理，其关系见下图。
股东（大）会、董事会、监事会、经理层的职责
股东（大）会享有法律法规和企业章程规定的合法权利，依法行使企业经营方针、筹资、投资、利润分配等重大事项的表决权
董事会对股东（大）会负责，依法行使企业的经营决策权、并按股东（大）会的有关决议，设立战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的职责权限、任职资格、议事规则和工作程序，为董事会科学决策提供支持
监事会对股东（大）会负责，监督企业董事、经理和其他高级管理人员依法履行职责
经理层负责组织实施股东（大）会、董事会决议事项、主持企业的生产经营管理工作
2.机构设置及权责分配。
企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。
企业内部机构设置虽然没有统一的模式，但所采用的组织结构应当有利于提升管理效能，保证信息通畅流动。
【提示】公司治理结构、机构设置及权责分配具体内容见《企业内部控制应用指引第1号——组织架构》
3.内部审计机制。
企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。
（1）内部审计机构设立。
设立专门的内部审计机构企业，应当保证内部审计机构具有相应的独立性，并配备与履行内部审计职能相适应的人员和工作条件；未设立内部审计机构的企业，应当由董事会授权或者企业章程规定的有关机构承担上述职责。
（2）内部审计机构的领导体制。
内部审计机构的组织领导体制应依照法律规定和企业章程确定，不得置于财会机构的领导之下或者与财会机构合署办公；内部审计机构依照法律规定和企业授权开展审计监督，其工作范围不应受到人为限制。
审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。
4.人力资源政策。
一般包括员工的聘用、培训、辞退与辞职；员工的薪酬、考核、晋升与奖惩；关键岗位员工的强制休假制度和定期岗位轮换制度；对掌握国家秘密或重要商业秘密的员工离岗的限制性规定等内容。
企业应当将职业道德修养和专业胜任能力是选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。
【提示】人力资源政策具体内容见《企业内部控制应用指引第3号——人力资源》。
第一节企业内部控制规范体系框架
三、内部控制要素（掌握）
（一）内部环境（基础——优化）
5.企业文化（软实力——灵魂）。
企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识和法制观念。
董事、监事、经理及其他高级管理人员应在塑造良好的企业文化中发挥关键作用。
【提示】
①财产记录和实物保管。
妥善保管涉及资产的各种文件资料，避免记录受损、
被盗、被毁。
对重要的文件资料，应当留有备份，以便在遭受意外损失或毁坏
时重新恢复
②定期盘点和账实核对。
定期对实物资产进行盘点，并将盘点结果与会计记录
进行比较
③限制接近。
严格限制未经授权的人员对资产的直接接触，只有经过授权批准
的人员才能接触该资产。
一般情况下，对货币资金、有价证券、贵重物品、存
货等变现能力强的资产必须限制无关人员的直接接触
例如：采用财产记录、使用保险箱储存现金和重要文件、为大楼或其内的区域
设立门禁系统、对贵重资产采取双重保管方法（即必须两人同时出现才能取得
某些资产）、定期对存货进行盘点、雇用保安和利用闭路电视摄像头等措施，
确保财产安全
5.预算控制
预算是企业未来一定时期内经营、资本、财务等各方面的收入、支出、现金流的总体计划。
预算控制内容涵盖企业经营活动全过程，企业通过预算的编制和检查预算的执行情况，可以比较、分析内部各单位未完成预算的原因，并对未完成预算的不良后果采取改进措施。
分解预算控制的主要环节有：①确定预算的项目、标准和程序；②编制和审定预算；③预算指标的下达和责任人的落实；④预算执行的授权；⑤预算执行过程的监控；⑥预算差异的分析和调整；⑦预算业绩的考核和奖惩。
【提示】预算控制具体内容见《企业内部控制应用指引第15号——全面预算》
6.运营分析控制
运营分析是对企业内部各项业务、各类机构的运行情况进行独立分析或综合分析，进而掌握企业运营的效率和效果，为持续的优化调整奠定基础。
7.绩效考评控制
绩效考评是对所属企业及个人占有、使用、管理与配置企业经济资源的效果进行的评价。
企业董事会及经理层可以根据绩效考评的结果进行有效决策，引导和规范员工行为，促进实现发展战略和提高经营效率效果。
主要环节有：
①确定绩效考评目标，绩效考评目标应当具有针对性和可操作性；
②设置考核指标体系，包括定量指标（以反映评价客体的各种数量特征和定性指标（以说明各项非数量指标的影响），同时，针对不同的评价指标赋予相应的权重，体现各项评价指标对绩效考评结果的影响程度和重要程度；
③选择考核评价标准，评价标准是反映评价指标优劣的具体参照物和对比尺度，企业可以根据评价目标选用不同的评价标准，如历史标准、预算标准、行业标准等；
④形成评价结果，根据评价指标和评价标准，对企业全体员工的业绩进行定期考核和客观评价，在此基础上形成评价结论；
⑤制定奖惩措施，企业应当将绩效考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗和辞退等的依据。
对企业内部各责任单位和全体员工的绩效进行定期考核和客观评价，将考评结果作为确定员工薪酬以及晋升、评优等依据。
【案例分析5】某公司董事会议明确了公司应从以下三个方面强化控制措施：一是实施全面预算管理，将各类业务事项均纳入预算控制；二是将控制措施“嵌入”信息系统中，通过现代化手段实现自动控制；三是完善合同管理制度，所有对外发生的经济行为均应签订书面合同。
要求：根据《企业内部控制基本规范》及其配套指引，指出董事会会议提出控制活动要点有哪些不当之处，并简要说明理由。
【参考答案及分析】
（1）将各类业务事项均纳入预算控制的观点不恰当。
理由：预算控制措施一般不适用于不能量化的业务事项。
（2）所有对外发生的经济行为均须签订书面合同的观点不恰当。
理由：不符合成本效益原则的要求。
或：对于零星、即时清结等交易行为，可不签订书面合同。
（四）信息与沟通（重要条件）
信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通，是实施内部控制的重要条件。
信息与沟通的要件主要包括：信息质量、沟通制度、信息系统、反舞弊机制。
1.信息质量。
信息是企业各类业务事项属性的标识，是确保企业经营管理活动顺利开展的基础。
企业日常生产经营需要收集各种内部信息和外部信息，并对这些信息进行合理筛选、核对、整合，提高信息的有用性。
2.沟通制度。
信息的价值必须通过传递和使用才能体现。
企业应当建立信息沟通制度，将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间，进行沟通和反馈。
重要信息须及时传递给董事会、监事会和经理层。
【提示】有效的沟通必须以全方位方式进行，既有内部沟通也有外部沟通：高级管理层和员工之间、管理层与董事会及董事会下辖的委员会之间、企业与外界各方（比如股东、债权人、客户、供应商、监管机构、律师、注册会计师）之间。
3.信息系统。
为提高控制效率，企业可以运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。
4.反舞弊机制。
舞弊指企业董事、监事、经理、其他高级管理人员、员工或第三方使用欺骗手段获取不当或非法利益的故意行为。
反舞弊工作的重点包括：①未经授权或者采取其他不法方式侵占、挪用企业资产，谋取不当利益；②在财务会计报告和信息披露等方面存在虚假记载、误导性陈述或者重大遗漏等；③董事、监事、经理及其他高级管理人员滥用职权；④相关机构或人员串通舞弊。
企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。
举报投诉制度和举报人保护制度应当及时传达至全体员工。
【案例分析6】信息与沟通。
董事会会议要求公司完善信息与沟通制度。
及时收集、整理与内部控制相关的内外部信息，促进信息在企业内部各层级之间，企业与外部有关方面之间的有效沟通与反馈；同时建立反舞弊机制，实施举报投诉制度和举报人保护制度，及时传达至全体中层以上员工。
确保举报、投诉成为公司有效掌握信息的重要途径。
要求：根据《企业内部控制基本规范》及其配套指引，指出董事会会议提出信息与沟通要点有哪些不当之处，并简要说明理由。
【参考答案及分析】
举报投诉制度和举报人保护制度传达至全体中层以上员工的观点不恰当。
理由：举报投诉制度和举报人保护制度应传达至公司全体员工。
（五）内部监督（重要保证）
内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，对于发现的内部控制缺陷，及时加以改进，是实施内部控制的重要保证。
内部监督的实质是随时对内部控制构成要素的设计和运行有效进行监督检查与评估，形成书面报告并作出相应处理的过程，是实施内部控制的重要保证。
内部监督包括日常监督和专项监督。
1.日常监督。
日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查。
日常监督的常见方式包括：①在日常生产经营活动中获得能够判断内部控制设计与运行情况的信息；②在与外部有关方面沟通过程中获得有关内部控制设计与运行情况的验证信息；③在与员工沟通过程中获得内部控制是否有效执行的证据；④通过账面记录与实物资产的检查比较对资产的安全性进行持续监督；⑤通过内部审计活动对内部控制有效性进行持续监督。
2.专项监督。
专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一方面或某些方面进行有针对性的监督检查。
日常监督是专项监督的基础，专项监督是日常监督的补充，如果发现某专项监督需要经常性地进行，企业有必要将其纳入日常监督之中。
日常监督和专项监督情况应当形成书面报告，并在报告中揭示存在的内部控制缺陷。
【提示】内部控制五大要素贯穿内部控制全过程，要与内部控制五大目标，五项原则结合起来掌握。
【案例分析7】某公司董事会会议强调，内部监督是防止内部控制流于形式的重要保证。
为此，公司应当强化内部监督制度，由审计委员会和内部审计机构全权负责内部控制的监督检查，合理保证内部控制目标的实现；审计委员会和内部审计机构在内部监督中发现重大问题，有权直接向董事会和监事会报告。
