第6章企業(yè)內部控制與風險管理

1、新世紀研究生教學用書 會計系列東北財經大學出版社第6章 企業(yè)內部控制與風險管理 目目 錄錄.學習目標6.1內部控制6.2企業(yè)風險管理6.3企業(yè)內部控制與風險管理的關系.學習目標1.掌握內部控制的含義；2.理解企業(yè)風險管理的含義與目標；3.熟悉內部控制的構成要素；4.熟悉企業(yè)風險管理框架的構成要素；5.了解與審計相關的控制以及內部控制的局限性；6.了解企業(yè)內部控制與風險管理的關系。.6.1內部控制內部控制內部控制是企業(yè)為了合理保證財務報告的可靠性、內部控制是企業(yè)為了合理保證財務報告的可靠性、經營的效率和效果以及對法律法規(guī)的遵守，由治理經營的效率和效果以及對法律法規(guī)的遵守，由治理層、管理層和其他人

2、員設計和執(zhí)行的政策和程序。層、管理層和其他人員設計和執(zhí)行的政策和程序。.6.1內部控制內部控制 6.1.1內部控制的構成要素內部控制的構成要素 1）控制環(huán)境）控制環(huán)境- 控制環(huán)境主要包括以下要素：控制環(huán)境主要包括以下要素：- （1）對誠信和道德價值觀念的溝通與落實）對誠信和道德價值觀念的溝通與落實- （2）對勝任能力的重視）對勝任能力的重視- （3）治理層的參與程度）治理層的參與程度- （4）管理層的理念和經營風格）管理層的理念和經營風格- （5）組織結構）組織結構- （6）職權與責任的分配）職權與責任的分配- （7）人力資源政策與實務）人力資源政策與實務.6.1內部控制內部控制 2）風險評估

3、過程）風險評估過程- 風險評估是企業(yè)確認和分析與其目標實現相關風險的過風險評估是企業(yè)確認和分析與其目標實現相關風險的過程，它形成了如何管理風險的基礎。程，它形成了如何管理風險的基礎。 3）信息系統(tǒng)與溝通）信息系統(tǒng)與溝通.6.1內部控制內部控制 4）控制活動）控制活動- 控制活動是指為了保證管理指令得到實施而制定并執(zhí)行控制活動是指為了保證管理指令得到實施而制定并執(zhí)行的控制政策和程序。企業(yè)必須制定控制政策和程序，并的控制政策和程序。企業(yè)必須制定控制政策和程序，并予以執(zhí)行，以幫助管理階層保證其控制目標的實現。予以執(zhí)行，以幫助管理階層保證其控制目標的實現。- （1）授權）授權- （2）業(yè)績評價）業(yè)績評

4、價- （3）信息處理）信息處理- （4）實物控制）實物控制- （5）職責分離）職責分離.6.1內部控制內部控制 5）對控制的監(jiān)督）對控制的監(jiān)督- 對控制的監(jiān)督主要包括兩個方面：對控制的監(jiān)督主要包括兩個方面：- 一是管理控制方法。一是管理控制方法。- 二是內部審計。二是內部審計。.6.1內部控制內部控制6.1.2與審計相關的控制與審計相關的控制 （1）審計師確定的重要性水平；）審計師確定的重要性水平； （2）被審計單位的性質；）被審計單位的性質； （3）被審計單位的規(guī)模；）被審計單位的規(guī)模； （4）被審計單位經營的多樣性和復雜性；）被審計單位經營的多樣性和復雜性； （5）法律法規(guī)和監(jiān)管要求；）法

5、律法規(guī)和監(jiān)管要求； （6）作為內部控制組成部分的系統(tǒng)的性質和復雜性。）作為內部控制組成部分的系統(tǒng)的性質和復雜性。.6.1內部控制內部控制6.1.3對內部控制了解的深度對內部控制了解的深度 1)評價控制的設計評價控制的設計 2)評價控制設計的風險評估程序評價控制設計的風險評估程序- （1）詢問被審計單位的人員；）詢問被審計單位的人員；- （2）觀察特定控制的運用；）觀察特定控制的運用；- （3）檢查文件和報告；）檢查文件和報告；- （4）追蹤交易在財務報告信息系統(tǒng)中的處理過程（穿）追蹤交易在財務報告信息系統(tǒng)中的處理過程（穿行測試）。行測試）。.6.1內部控制內部控制6.1.4內部控制的人工和自動

6、化成分內部控制的人工和自動化成分 1）內部控制自動化成分的優(yōu)勢和風險因素）內部控制自動化成分的優(yōu)勢和風險因素 2）內部控制人工成分的優(yōu)勢和風險因素）內部控制人工成分的優(yōu)勢和風險因素6.1.5內部控制的局限性內部控制的局限性 （1）在決策時人為判斷可能出現錯誤和由于人為失誤而）在決策時人為判斷可能出現錯誤和由于人為失誤而導致內部控制失效。導致內部控制失效。 （2）可能由于兩個或更多的人員進行串通或管理層凌駕）可能由于兩個或更多的人員進行串通或管理層凌駕于內部控制之上而被規(guī)避。于內部控制之上而被規(guī)避。.6.2企業(yè)風險管理企業(yè)風險管理6.2.1企業(yè)風險管理的內涵企業(yè)風險管理的內涵 （1）企業(yè)風險管理

7、是一個過程，它持續(xù)地流動于主體之）企業(yè)風險管理是一個過程，它持續(xù)地流動于主體之內內 （2）企業(yè)風險管理由組織中各個層級人員來實施）企業(yè)風險管理由組織中各個層級人員來實施 （3）企業(yè)風險管理應用于戰(zhàn)略制定）企業(yè)風險管理應用于戰(zhàn)略制定 （4）企業(yè)風險管理貫穿于企業(yè)，在各個層級和單元中應）企業(yè)風險管理貫穿于企業(yè)，在各個層級和單元中應用，還包括采取主體層級的風險組合觀用，還包括采取主體層級的風險組合觀.6.2企業(yè)風險管理企業(yè)風險管理 （5）企業(yè)風險管理旨在識別一旦發(fā)生將會影響主體的潛）企業(yè)風險管理旨在識別一旦發(fā)生將會影響主體的潛在事項，并把風險管理控制在風險容量以內在事項，并把風險管理控制在風險容量以

8、內 （6）企業(yè)風險管理能夠向管理層和董事會提供合理保證）企業(yè)風險管理能夠向管理層和董事會提供合理保證 （7）企業(yè)風險管理力求實現一個或多個不同類型但相互）企業(yè)風險管理力求實現一個或多個不同類型但相互交叉的目標交叉的目標它只是實現結果的一種手段，并不是結果它只是實現結果的一種手段，并不是結果本身本身.6.2企業(yè)風險管理企業(yè)風險管理6.2.2企業(yè)風險管理的內容企業(yè)風險管理的內容 （1）協(xié)調風險容量與戰(zhàn)略）協(xié)調風險容量與戰(zhàn)略 （2）增進風險應對決策）增進風險應對決策 （3）減少經營意外和損失）減少經營意外和損失 （4）識別和管理貫穿于企業(yè)的風險）識別和管理貫穿于企業(yè)的風險 （5）提供對多重風險的整體

9、應對策略）提供對多重風險的整體應對策略 （6）抓住機會）抓住機會 （7）改善資本調配）改善資本調配.6.2企業(yè)風險管理企業(yè)風險管理 6.2.3企業(yè)風險管理的構成要素企業(yè)風險管理的構成要素 1）內部環(huán)境）內部環(huán)境- （1）風險管理理念）風險管理理念- （2）風險容量）風險容量- （3）董事會）董事會- （4）誠信與道德價值觀）誠信與道德價值觀- （5）勝任能力的承諾）勝任能力的承諾- （6）組織結構）組織結構- （7）權力和責任的分配）權力和責任的分配- （8）人力資源政策）人力資源政策.6.2企業(yè)風險管理企業(yè)風險管理 2）目標設定）目標設定- （1）戰(zhàn)略目標）戰(zhàn)略目標- （2）相關目標）相關目

10、標 經營目標經營目標 報告目標報告目標 合規(guī)目標合規(guī)目標- （3）目標的實現）目標的實現- （4）選定的目標）選定的目標- （5）風險容量）風險容量- （6）風險容限）風險容限.6.2企業(yè)風險管理企業(yè)風險管理 3）事項識別）事項識別- （1）事項）事項- （2）影響因素）影響因素外部因素一般包括：外部因素一般包括：與經濟有關的因素。與經濟有關的因素。自然環(huán)境因素。自然環(huán)境因素。政治因素。政治因素。社會因素。社會因素。技術因素。技術因素。.6.2企業(yè)風險管理企業(yè)風險管理內部因素一般包括：內部因素一般包括：基礎設施?；A設施。人員。人員。流程。流程。技術。技術。.6.2企業(yè)風險管理企業(yè)風險管理-

11、（3）事項識別技術）事項識別技術- （4）事項的相互依賴性）事項的相互依賴性- （5）事項類別）事項類別- （6）區(qū)分風險與機會）區(qū)分風險與機會.6.2企業(yè)風險管理企業(yè)風險管理 4）風險評估）風險評估- （1）風險評估的背景）風險評估的背景- （2）固有風險和剩余風險）固有風險和剩余風險- （3）評估可能性和影響）評估可能性和影響- （4）數據來源）數據來源- （5）視角）視角- （6）評估技術）評估技術- （7）事項之間的關系）事項之間的關系.6.2企業(yè)風險管理企業(yè)風險管理 5）風險應對）風險應對- （1）風險應對的類型）風險應對的類型- （2）評價可能的風險應對）評價可能的風險應對- （3

12、）選擇應對策略）選擇應對策略- （4）風險組合觀）風險組合觀.6.2企業(yè)風險管理企業(yè)風險管理 6）控制活動）控制活動- （1）與風險應對相結合）與風險應對相結合- （2）控制活動的類型）控制活動的類型- （3）政策和程序）政策和程序- （4）對信息系統(tǒng)的控制）對信息系統(tǒng)的控制總體控制總體控制應用控制應用控制- （5）企業(yè)的特殊性）企業(yè)的特殊性.6.2企業(yè)風險管理企業(yè)風險管理 7）信息與溝通）信息與溝通- （1）信息）信息 戰(zhàn)略和整合系統(tǒng)戰(zhàn)略和整合系統(tǒng) 與經營相結合與經營相結合 信息的深度和及時性信息的深度和及時性 信息質量信息質量- （2）溝通）溝通 內部溝通內部溝通 外部溝通外部溝通 溝通的

13、方式溝通的方式.6.2企業(yè)風險管理企業(yè)風險管理 8）監(jiān)控）監(jiān)控- （1）持續(xù)的監(jiān)控活動）持續(xù)的監(jiān)控活動- （2）個別評估）個別評估范圍和頻率范圍和頻率評估主體評估主體評價過程評價過程評估方法評估方法文檔記錄文檔記錄.6.2企業(yè)風險管理企業(yè)風險管理- (3）報告缺陷）報告缺陷信息來源信息來源報告內容報告內容報告給誰報告給誰報告指引報告指引.6.3企業(yè)內部控制與風險管理的關系企業(yè)內部控制與風險管理的關系 內部控制被涵蓋在企業(yè)風險管理之內，是其不可分割的內部控制被涵蓋在企業(yè)風險管理之內，是其不可分割的一部分。企業(yè)風險管理比內部控制更廣泛，拓展和細化一部分。企業(yè)風險管理比內部控制更廣泛，拓展和細化了內

14、部控制以便形成一個更全面關注風險的概念提煉。了內部控制以便形成一個更全面關注風險的概念提煉。二者在以下方面存在差異：二者在以下方面存在差異： （1）目標）目標- 內部控制明確了三類目標內部控制明確了三類目標經營、財務報告和合規(guī)。經營、財務報告和合規(guī)。- 企業(yè)風險管理明確了三個類似的目標類別企業(yè)風險管理明確了三個類似的目標類別經營、報告和經營、報告和合規(guī)。合規(guī)。- 企業(yè)風險管理增加了另一類目標，即戰(zhàn)略目標，它處于比其企業(yè)風險管理增加了另一類目標，即戰(zhàn)略目標，它處于比其他目標更高的層次。他目標更高的層次。- 企業(yè)風險管理框架引入了風險容量和風險容限的概念。企業(yè)風險管理框架引入了風險容量和風險容限的概念。.6.3企業(yè)內部控制與風險管理的關系企業(yè)內部控制與風險管理的關系 （2）組合觀）組合觀- 內部控制框架中沒有預期到的一個概念是風險的組合觀。內部控制框架中沒有預期到的一個概念是風險的組合觀。 （3）構成要素）構成要素- 企業(yè)風險管理框架拓展了內部控制框架的風險評估要素，企業(yè)風險管理框架拓展了內部控制框架的風險評估要素，提出了四個構成要素：內部環(huán)境（它在內部控制中是先提出了四個構成要素：內部環(huán)境（它在內部控制中是先決條件）、事項識別、風險評估和風險應對。決條件）、事項識別、風險評估和風險應對。.6.3企業(yè)內部控制與風險管理的關系企業(yè)內部控制與風險管理的關