企业内部控制评价的体系的案例分析及其启示.docVIP

企业内部控制评价的体系的案例分析及其启示 　　一、W市A公司内部控制评价体系的案例分析 　　W市A公司是一所中外合作经营企业。该公司的直接母公司是A（中国）投资有限公司，最终母公司是A能源有限公司。该公司主要从事能源、环保及相关领域的技术商务咨询和服务等。 　　（一）公司内部控制评价体系的构建为了实现对内部控制本身及其执行状况的动态优化和实时监督，A能源有限公司于2004年根据《内部控制——整体框架》（Internal Control-Integrated Frame- 　　work，简称“COSO报告”）和《萨班斯——奥克斯利法案》（Sarbanes- 　　Oxley Act，简称“SOA”）第404条款的要求开始着手建设本公司及其各子公司的内部控制，由其审计委员会编写了《内部控制手册》及一系列公司指导性文件，通过局域网向各子公司传达，要求各子公司按照最终母公司的要求按期完成自身内部控制的设计和执行。实际上，A能源有限公司已经设计出了一套全面且具有普遍性的内部控制体系，各子公司只需要根据这个内部控制体系来对照出自身适用的控制活动进行自我评价，然后各子公司的直接母公司会定期派出内部控制经理（隶属于直接母公司的财务部）到直接下属的子公司进行第二次评价，内部控制经理会根据两次评价的结果写出评价报告，提交给子公司管理层，供子公司修正。此外，A能源有限公司还开发设计了一个供各子公司向母公司反映其内部控制自我评价情况的局域网系统（以下简称为“自我评价网络”），直接母公司和最终母公司都可以通过这个系统来监督子公司内部控制自我评价的情况及进度。 　　（1）内部控制体系的构建。A能源有限公司将内部控制活动划分为十二个环节（根据经营环境及其它因素的变化，还可以适时增加或减少某些适用或不适用的环节）：总体控制环境、收入、与业务相关联的采购类支出、人事类支出、固定资产类支出、存货、生产制造、资金、财务报告、信息系统和信息技术、税务和法律事务，针对每一个环节作了风险评估，针对评估出的风险制定出对应的控制目标，然后再根据控制目标制定出详细具体的控制活动，控制活动下又划分出关键（Key）控制活动和一般控制活动。A能源有限公司的内部控制设计过程如图1所示： 　　 　　 　　 　　 　　 　　 　　由于控制活动多达两百多项，A能源有限公司下属的各子公司的经营规模、管理复杂程度又不尽相同，因此A能源有限公司按一定标准将各子公司分为A、B、C三类，A类子公司必须对所有的控制活动进行自我评价，B类子公司至少要对关键控制活动进行自我评价（至于还需针对哪些一般控制活动，则看相关的具体要求），C类子公司则只需对关键控制活动进行自我评价。W市A公司属于C类子公司。A能源有限公司的内部控制体系（由于控制活动数量较多，笔者只选取了小部分进行列示）如表1所示： 　　（2）内部控制评价体系的构建。主要包括： 　　一是评价主体。在各子公司，总经理和财务总监对内部控制评价工作负责，每一项控制活动都应有相应的负责人，而负责人由公司管理层开会协商决定，并非由一个或两个人决定。如果由于受到自身经营规模和业务繁简程度的限制，公司管理层经过开会协商仍无法确定某项控制活动的负责人，可以向直接母公司的内部控制经理求助，以确保控制活动的负责人都是能够胜任的。公司负责内部控制的工作人员都必须熟读《内部控制手册》，以了解内部控制的概念和重要性、如何设计、执行及自我评价内部控制，以及如何将内部控制的精神传达到每个公司员工。由于内部控制自身的局限性，在评价过程中只要发现《内部控制手册》中有未提及或不适用的内容都可以向最终母公司的内部控制负责人反映，甚至与之讨论。 　　二是评价方法。相应负责人首先进行第一次自我评价，将评价情况及时反映到自我评价网络中，然后各子公司的直接母公司会按照最终母公司的时间部署定期派出内部控制经理（隶属于直接母公司的财务部）到直接下属的子公司进行第二次评价，内部控制经理会根据两次评价的结果写出评价报告，提交给子公司管理层，供子公司修正，以进行第二次、第三次自我评价。无论是相应负责人的自我评价，还是直接母公司内部控制经理的评价，他们都会根据一个统一的评价标准来确定其评价等级。评价等级分为五个等级，分别用1、2、3、4、5表示，从1到5，从低到高。A能源有限公司的内部控制评价等级说明见表2。需要说明的是，该评价等级仅针对适用于本公司的控制活动，不适用于本公司的控制活动则单独列为“不适用”。 　　表2中所提到的“支持文件”是指能够证明控制活动存在并且有效的文件，文件形式可以多样化，可以是纸质文件（如合同）、电子版文件（如通知全体员工的电子邮件）或者其它形式的文件，只要是能够证明控制活动存在并且有效的可见资料都可以作为支持文件。 　　（二）公司内部控制评价