一、内部控制的定义和发展
(一)内部控制的定义
内部控制是指为确保实现企业目标而实施的程序和政策。内部控制还应确保识别可能阻碍实现这些目标的风险因素并采取预防措施。
内部控制系统包括两个因素，分别是内部环境和控制政策与程序。内部环境是指企业内对于内部控制的态度及内部控制意识，代表整个企业对于内部控制的价值观。控制政策及程序是指嵌入企业运营中的具体的内部控制。
(二)内部控制的演变与发展
1．内部控制在20世纪80年代的控制理论(内部控制结构观念)
标志是美国注册会计师协会于1988年5月发布的《企业准则公告第55号》(SAS55)。在这份公告中，“内部控制结构”的概念取代了“内部控制制度”。公告指出：“企业内部控制结构包括为提供取得企业特定目标的合理保证而建立的各种政策和程序。”，公告认为内部控制结构由下列三个要素组成：控制环境、会计制度和控制程序。控制环境是指对建立、加强或削弱特定政策与程序的效率有重大影响的各种因素；会计制度是指为认定、分析、归类、记录、编报各项经济业务，明确资产与负债的经管责任而规定的各种方法；控制程序是指企业为保证目标的实现而建立的政策和程序。
2．内部控制在成熟阶段的研究结果(COSO内部控制系统)
COSO委员会于l992年9月发布了指导内部控制实践的纲领性文件《内部控制——整合框架》，并于l994年进行了增补，即COSO内部控制框架。
COSO认为内部控制可分成五个相互关联的组成部分，在配合实现独立而又有重叠的经营、财务报告和法规遵守的目标时，这五个部分也可作为评价内部控制系统有效性的标准。这五个部分包括：控制环境、风险评估、控制活动、信息与沟通、监察。
(三)中国内部控制的发展状况对企业带来的影响
2008年6月28日，财政部会同证监会、审计署、银监会、保监会制定并印发《企业内部控制基本规范》(下称内控规范)。自2009年7月1日起适用于中华人民共和国境内设立的大中型企业(包括上市公司)执行。同时鼓励小企业和其他单位参照其内容建立与实施内部控制。
《内控规范》及《配套指引》的发布是中国在公司治理方面的一个重要里程碑，体现了中国经济与全球经济的进一步接轨和整合。
二、企业内部控制内容的五个要素
我国《内控规范》的五个要素包括：内部环境、风险评估、控制活动、信息与沟通、内部监督。
(一)内部环境
内部环境是企业实施内部控制的基础，其他内部控制因素的根基。一般包括组织结构、权责分配、战略的发展、人力资源政策、企业文化及社会责任等。
(二)风险评估
在内部控制架构中，风险评估可被描述为一个两步式程序。第一步是采用定性与定量相结合的方法，评估风险发生的可能性或频率，以及其为企业带来的影响程度；第二步是对识别的风险进行分析和排序。随之而来的是企业可利用风险分析的结果为依据，考虑如何对重要风险进行管理及采取适当的应对风险行动。企业可以综合运用风险规避、风险降低、风险分担和风险承担等风险应对策略，实现对风险的有效控制。
【提示】针对风险管理的程序，请参考本书第九章相关内容。
(三)控制活动【★2011年单选题、多选题，2010年多选题、简答题，2009年单选题】
控制活动包括命令式的控制、预防性控制、侦察式控制和纠正性控制。
控制活动可分为运营、财务报告及合规三个类别，然而它们之间有时可能出现重叠。
(四)信息与沟通
信息与沟通是指在人员能够履行责任的方式及时间范围内，识别、取得和报告经营、财务及法律遵守的相关报考的有效的程序和系统。这包括最高层将与控制有关的事宜的重要性及个人担当的角色向下级传达、向上级汇报重要信息的渠道以及与外部利益相关者保持有效沟通。
【提示】
1．有效的信息与沟通系统应具备以下特点：
(1)能够生成企业经营所需的、关于财务、运营及法规遵守的报告，帮助做出精明的商业决策，以及对外发布可靠的报告；
(2)能使雇员获得信息，且交流他们为实施、管理及控制运转情况所需的信息；
(3)能识别和传达相关信息，并且是以一种人员能够有效履行他们的职责的方式进行；
(4)使沟通在企业以全方位方式进行。
2．《内控规范》中强调在信息与沟通一环中企业应同时建立反舞弊机制。企业应关注的反舞弊工作重点有：
(1)未经授权或采取其他不法方式侵占、挪用企业资产、牟取不当利益；
(2)在财务会计报告和信息披露等方面存在不准确、误导性陈述或者重大漏报等；
(3)董事、监事或管理人员滥用职权；
(4)相关机构或人员串通舞弊等。
(五)内部监督
内部监督可确保内部控制保持有效的运作，由适当的人员评估控制的设计及运作情况，以及采取适当的跟进行动。
内部监督分为日常监督和专项监督。日常监督是指企业对建立与实施内部控制情况进行常规、持续监督检查；专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位等发生较大调整或变化的情况下，对内部控制的某一或某些方面进行针对性的监督检查。
1．监督方法
内部控制的监督方法包括：
(1)绩效计量。
(2)对企业运营进行测试。
(3)为控制环境、风险评估，控制活动、信息及沟通，以及控制而制定的政策及程序，常常由硬性控制构成，而硬性控制是容易识别、评估及记录的。这些政策和程序的影响亦应得以识别、评估和记录。
政策和程序对相关人员的影响，可能导致产生另一种软控制，这与硬性控制同样重要。软性控制是指涉及态度、感知及能力的控制。
2．记录
适量的文件记录能使评价变得更为有效，还有助于雇员了解系统如何运作以及他们所担当的角色，并使得在必要时修改系统变得更简单。
3．报告
所有可能影响企业实现目标的内部控制缺陷，均应向能采取必要行动的人员汇报。
三、企业内部控制的应用【★2011年多选题】
四、企业内部控制评价的程序
(一)内部控制评价的程序
内部控制评价程序一般包括：制定评价控制方案、组成评价工作组、实施评价工作与测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。
1．制定评价控制方案
企业可以授权审计部门或专门机构负责内部控制评价组织的实施工作。
2．组成评价工作组
评价工作组成员应具备独立性、业务胜任能力和职业道德素养及吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。
3．实施评价工作与测试
4．汇总评价结果
(二)内部控制缺陷的认定
1．按照内部控制本质上的不同，可以把内部控制缺陷分为设计缺陷和运行缺陷。
2．按照内部控制严重程度分类
内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。
(1)重大缺陷(也称实质性漏洞)，是指一个或多个控制缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。
(2)重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现严重偏离整体控制目标的严重程度依然重大，需引起管理层关注。
(3)一般缺陷是指除重要缺陷、重大缺陷外的其他缺陷。
3．重要缺陷并不影响企业内部控制的整体有效性，但是应当引起董事会和管理层的重视。对于一般缺陷，可以与企业管理层报告，并视情况考虑是否需要向董事会(审计委员会)、监事会报告。
(三)内部控制评价报告
内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。
企业应当以12月31日作为年度内部控制评价报告的基准日，并于基准日后4个月内报出内部控制评价报告。对于基准日至内部控制评价报告发出日之间发生的影响内部控制有效性的因素，企业应当根据其性质和影响程度对评价结论进行相应调整。
五、企业内部控制的审计
(一)内部控制的审计要求
《内控规范》中表明为企业内部控制提供评价服务的会计师事务所，不得同时为同一企业提供内部控制审计服务，因此，管理层应在决策上注意有关规定及作出适当的安排。
(二)注册会计师的责任与角色
建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任。注册会计师的责任是在实施审计工作的基础上，获取充分、适当的证据，对内部控制的有效性发表意见并提供合理保证。
六、审计委员会在企业中的监察角色
(一)审计委员会与内部控制【★2010年单选题、多选题，2009年多选题】
审计委员会是董事会下辖的委员会，全部由独立、非行政董事组成，他们至少拥有相关的财务经验。
审计委员会的职能是监督、评估和复核企业内的其他部门和系统。董事会关于内部控制的主要目标会授权给审计委员会负责。在一般情况下，审计委员会负责整个风险管理过程，包括确保内部控制系统是充分且有效的。
就内部控制而言，审计委员会应复核企业的内部财务控制以及企业的所有内部控制和风险管理系统，除非这项任务被另外的独立风险委员会或董事会承担。审计委员会还应批准年报中有关内部控制和风险管理的陈述。审计委员会亦会收到管理层关于企业内运作的内部控制系统的有效性的报告，以及关于内部或外聘审计师对控制所执行测试的结论的报告。
(二)审计委员会履行职责的方式
董事会应决定委派给审计委员会的责任，审计委员会的任务会因企业的规模、复杂性及风险状况而有所不同。
审计委员会的职责要求：
(1)建议审计委员会每年至少举行三次会议，并于审计周期的主要日期举行；
(2)审计委员会应每年至少与外聘及内部审计师会面一次，讨论与审计相关的事宜，但无需管理层出席；
(3)审计委员会主席可能特别希望与其他关键人员(比如董事会主席、首席执行官、财务总监、高级审计合伙人和内部审计主管)进行私下会面；
(4)审计委员会成员之间的不同意见如无法内部调解，应提请董事会解决；
(5)审计委员会应每年对其权限及其有效性进行复核，并就必要的人员变更向董事会报告。
(二)审计委员会与合规
审计委员会的主要活动之一是核查对外报告规定的遵守情况。审计委员会一般有责任确保公司履行对外报告义务。管理层的责任是编制财务报表，审计师的责任是编制审计计划和执行审计。
(四)审计委员会与内部审计
确保充分且有效的内部控制是审计委员会的义务，其中包括负责监督内部审计部门的工作。审计委员会还应确保内部审计部门提出的建议已执行。审计委员会有助于保持内部审计部门对压力或干涉的独立性。审计委员会及内部审计师需要确保内部审计部门正常有效运作。它将在四个主要方面对内部审计进行复核，即组织中的地位、职能范围、技术才能和专业应尽义务。
(五)审计委员会与外聘审计师
审计委员会应承担就任命、重新任命或解聘、外聘审计师向董事会提出建议的主要责任。审计委员会还应为企业制定关于由外聘审计师提供非审计服务的政策，并向董事会提出相关建议。提供非审计服务时，不得损害审计师的独立性或客观性。
审计委员会应制定一项政策，明确外聘审计师不得提供的服务类型，并且说明外聘审计师能够提供的无需请示审计委员会的服务。
(六)向股东报告内部控制
企业董事会应维持完善的内部控制系统，以保护股东投资及公司资产安全，并将企业业绩及内部控制情况告知股东。
七、内部控制与公司治理
(一)公司治理的概念
公司治理是用来管理利益相关者之间的关系，决定并控制企业战略方向和业绩的一套机制。
良好的公司治理有一些重要的目标。它通过创造能够激励管理层最大化投资报酬率、提高经营效率和确保产量长期增长的环境来提高企业业绩；通过创造员工、管理层和董事会之间的经营活动中的公平、透明度和问责制来确保企业顺应股东和社会的利益。
(二)公司治理的基本原则
1．建立完善的组织结构
2．明确董事会的角色和责任
独立董事的职责可以分为四种不同的角色，即战略角色、监督或绩效角色、风险角
色和人事管理角色。
3．提倡正直及道德行为
4．维护财务报告的诚信即外部审计的独立性
5．及时披露信息和提高透明度
向投资者披露信息的最主要方法之一就是通过企业的年度报告。此外，良好的公司治理披露通常还包括超过最低法定或者监管要求的自愿性披露。加强公司治理披露，可以通过下列途径实现：
(1)为了告知股东公司治理结构、政策和执行的力度，上市公司及大型非上市公司可在其年度报告中提供一份公司治理的声明；
(2)为了提高董事薪酬的可比性和透明度，尤其是薪酬与企业的业绩的关联程度，应当在“绩效基础”和“非绩效基础”之间分析董事的薪酬，并披露有关董事股票期权的资料。
6．鼓励建立内部审计部门
7．尊重股东的权利
8．确认利益相关者的合法权益
9．鼓励提升业绩
10．公平的薪酬和责任
考前准备：2012年注册会计师全国统一考试专业阶段准考证打印汇总 打印疑问解答
冲刺辅导：2012年注册会计师《会计》1-26章历年分值考情分析汇总
