《EVA粒子公司内部控制报告_范文.docx》由会员分享，可在线阅读，更多相关《EVA粒子公司内部控制报告_范文.docx（76页珍藏版）》请在taowenge.com淘文阁网|工程机械CAD图纸|机械工程制图|CAD装配图下载|SolidWorks_CaTia_CAD_UG_PROE_设计图分享下载上搜索。
1、泓域/EVA粒子公司内部控制报告EVA粒子公司内部控制报告目录一、 我国的借鉴与创新3二、 内部控制整体框架：内部环境的发展4三、 组织架构5四、 发展战略11五、 内部监督的内容15六、 内部监督比较21七、 内部控制评价工作底稿与报告22八、 内部控制评价的组织与实施24九、 内部控制34十、 内部牵制37十一、 内部控制的局限性40十二、 内部控制的重要性43十三、 产业环境分析46十四、 需求推动，胶膜行业将维持高景气47十五、 必要性分析49十六、 项目简介49十七、 公司概况54公司合并资产负债表主要数据54公司合并利润表主要数据54十八、 发展规划分析55十九、 项目风险分析58
2、二十、 项目风险对策61二十一、 法人治理62二十二、 人力资源配置分析73劳动定员一览表73一、 我国的借鉴与创新2008年，财政部、证监会、审计署、银监会、保监会联合发布了企业内部控制基本规范。基本规范参照国际良好实践，结合我国企业具体情况对内部环境做了规定。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。总体来说，基本规范借鉴了SASNO.55的表述方式，同时融入COSO92的先进理念。我国企业市场化发展起步较晚，内部控制成熟度较低，内部环境整体还处于低层次。在内部环境构成因素中，需要健全治理结构、完善机构设置。治理结构作为我国
3、企业内部环境的首要因素是长期、正确的战略考虑，完善治理结构是上市公司的迫切任务，也是现阶段相关部门监管的重点。为强化内部监督，针对我国企业内部审计弱化、形同虚设的特点，参照美国早期的做法，基本规范将内部审计作为内部环境构成因素，要求企业保持内部审计在机构设置、人员和工作上的独立性。在企业成长、发展过程中，企业文化是必不可少的重要环境因素。从中西方内部环境影响因素排列顺序来看，COSO两个报告都将文化因素排在前列，我国却将其排在最后。权衡制度管理与人本管理的关系，在没有良好制度的前提下，文化作为环境因素是相当脆弱的。我们认为，西方的人本管理是其制度管理的回归，在我国，制度管理是根本，人本管理是补
4、充，我国企业需要补制度管理的课。但是，基本规范中相关因素的表述尚未达到西方良好实践的高度，如在管理哲学（方法）和经营风格（模式）方面未做基本概念的约定；权责分配因素采用权在前、责在后的中国式表述方式，不符合国际先进理念，按照COSO报告“目标责任权力”的思路，首先明确部门、人员目标，目标如果不能实现应承担责任，为避免风险的发生（责任的承担）才赋予一定的权力，保持责权对等；在人力资源方面只强调“政策”制定，不强调政策的“执行（或实务）”。事实上，人力资源建设关键在于执行。二、 内部控制整体框架：内部环境的发展1992年，COSO发布内部控制一整体框架，提出控制环境是组织的基调，主导或左右着组织成
5、员的控制理念；控制环境是其他内部控制要素的基础，决定着控制的边界和结果，包括诚信与道德、素质要求、董事会与审计委员会、管理哲学与经营风格、组织结构、责任分配与授权、人力资源政策与执行7大因素。COSO92突出了企业文化中的核心内容“员工的诚信与道德”以及“素质要求”，并将它们作为控制环境要素的两个首要因素，突出了软控制的影响力；同时，提升了董事会与审计委员会在控制环境中的重要作用和地位，强调董事会的参与而非干预。从员工的“诚信与道德”到“人力资源政策与执行”，形成了完整的控制环境构成因素体系，7大因素的有序组合以及良性循环有力地推动了企业管理“车轮”滚滚向前。但是，COSO92的视角还是立足于
6、外人（特别是外部审计师）如何看待一个企业的控制环境，企业进行内部环境建设仍处于被动应对状态。三、 组织架构在我国内部控制框架中，组织架构、发展战略、人力资源、社会责任和企业文化均属于企业层面的控制（环境控制或基础控制），其风险及应对有别于业务层面的控制（应用控制）。（一）组织架构的内涵及风险应对1、组织架构影响因素分析2010年，五部委联合发布了企业内部控制配套指引。18个企业内部控制应用指引（简称应用指引）中有5个属于企业层面的内部环境类指引，包括组织架构、发展战略、人力资源、社会责任和企业文化。应用指引中内部环境类指引与基本规范中内部环境构成因素一一对应，同时，丰富了基本规范的内涵并提升了
7、我国内部环境构成因素体系的层次。组织架构指引认为组织架构是一项制度安排，明确了股东（大）会、董事会、监事会、经理层和企业内部各层级机构设置、职责权限、人员编制、工作程序和相关要求，主要包括治理结构和内部机构设置。机构设置与权责分配互为因果，内部审计本身就属于组织的内部机构，因此，组织架构应包括治理结构、机构设置、权责分配和内部审计四个因素。在治理结构上，将股东大会纳入内部环境范畴（如发展战略方案需经股东会批准实施）。内部环境类指引紧扣发展战略做文章，企业要实施发展战略，必须要有科学的组织架构，履行一定的社会责任，配置合理的人力资源，形成积极向上的企业文化。从发展战略角度看，企业的根本目的不是利
8、润最大，也不仅仅是企业价值最大，而是更广义的社会责任最大。企业应履行社会责任，实现战略目标。2、组织架构的主要风险组织架构的风险主要来自两方面。（1）治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能发生经营失败（2）内部机构设计不科学，权责分配不合理，可能导致机构重叠、职能交叉或缺失，运行效率低下。3、组织架构风险的主要应对措施针对以上风险采取的主要应对措施有以下几个。（1）企业应当根据国家有关法律法规的规定，明确董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序，确保决策、执行和监督相互分离，形成制衡机制。同时企业在重大决策、重大事项、重要人事任免及大额资金支付业务等（
9、即通常所说的“三重一大”）方面，应当按照规定的权限和程序实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策意见。（2）企业应当按照科学、精简、高效、透明、制衡的原则，综合考虑企业性质、发展战略、文化理念和管理要求等因素，合理设置内部职能机构，明确各机构的职责权限，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的工作机制。（3）企业应当根据组织架构的设计规范，对现有治理结构和内部机构设置进行全面梳理，确保本企业治理结构、内部机构设置和运行机制等符合现代企业制度要求。（4）拥有子公司的企业，应当建立科学的投资管控制度，通过合法有效的形式履行出资
10、人职责、维护出资人权益，重点关注子公司特别是异地、境外子公司的发展战略、年度财务预决算、重大投融资、重大担保、大额资金使用、主要资产处置、重要人事任免、内部控制体系建设等重要事项。对子公司控制一直是企业集团层面关注的一个重要问题，组织架构应用指引在综合调研的基础上提出此项要求，对实务操作具有重要指导作用。（二）治理结构公司制企业中股东大会（权力机构）、董事会（决策机构）、监事会（监督机构）、总经理层（日常管理机构）这四个法定刚性机构为内部控制机构的建立、职责分工与制约提供了基本的组织框架，但并不能满足内部控制对企业组织结构的要求，内部控制机制的运作还必须在这一组织框架下设立满足企业生产经营所需
11、要的职能机构。企业内部控制基本规范第十四条规定：企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。因此，企业应当根据国家有关法律法规，结合企业自身股权关系和股权结构，明确董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序；确保决策、执行和监督相互分离、有机协调；确保董事会、监事会和经理层能够按照法律、法规和企业章程的规定行使职权。企业应当在企业章程中规定股东大会对董事会的授权原则，授权内容应当明确具体。（三）机构设置及责权分配任何企业要达成其整体目标，必须构建一定的组织机构。企业的组织机
12、构提供了计划、执行、控制和监督活动的框架，确立了适当的沟通和协调渠道，保证了组织中成员具有与其所履行职责相适应的知识、经验和能力。对于企业而言，要根据公司的具体发展战略确定组织结构。企业内部控制基本规范第十四条要求企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权力与责任落实到各责任单位。组织机构是通过提供完整的架构作用于组织实现其目标的能力；是规定组织内部责任与授权的线型结构；是确认责任分配和授权的关键领域；功能是确认报告路径：机构设置必须覆盖计划、执行、控制、监督等组织活动的全部，其中，控制与监督的区别是，控制是保证正确执行计划的组织安排，而监督是控制有效的组织安排；组织结
13、构设计的哲学意义是“是什么”“做什么”“如何做”；机构设置要保证合理的流水线模式，部门设置少一个不够用、多一个又冗余，部门功能必须是线型的、支持的，而非拦截的。关键回答三个问题：所有的事是否都有人做？行为者是否充分授权行事？所有行为是否有人承担责任？组织结构设计不确定：对权力定义不清或定义错误，导致权力的涣散。权力与责任不对称，权力结构不稳定，权力成为公开招标物导致权力者互相冲突和耍政治手腕。企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权力与责任落实到各责任单位。企业应当通过编制内部管理手册，使全体员工了解内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。
14、按照基本规范的要求，机构设置及内控职责分工如下：（1）监事会对董事会建立与实施内部控制进行监督。（2）监事会对董事会建立与实施内部控制进行监督。（3）经理层负责组织领导企业内部控制的日常运行。企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作。（4）审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。（四）内部审计内部审计是公司内部的一种独立客观的监督、评价和咨询活动，通过对经营活动及内部控制的适当性、合法性和有效性进行审查、评价和提出
15、建议，促进改善公司运行的效率效果、实现公司发展目标。企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。四、 发展战略企业发展战略是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制订并实施的长远发展目标与战略规划。制订明确、稳定、符合实际的发展战略可以防止公司盲目发展、过度扩张或发展滞后。企业作为市场经济的主体，要想求得长期生存和持续发
16、展，关键在于制订并有效实施适应外部环境变化和自身实际情况的发展战略。发展战略主要是由企业的最高层制订，经过战略议题分析，集团战略制订，事业部战略制订，战略质询、审批、公布再到战略实施和最后的反馈控制，每一个环节都由战略制订者根据企业自身的情况客观地分析制订。企业还应针对战略实施过程进行动态监控与报告，并建立、健全战略评估制度。一个现代企业，如果没有明确的发展战略，就不可能在当今激烈的市场竞争和国际化浪潮冲击下求得长远发展。（一）发展战略阶段为了加强对企业发展战略规划的内部控制，明确发展战略的整个流程，企业可以将发展战略规划的程序大致划分为战略制订、战略实施两个大的阶段，其中战略实施中包含了实施
17、后的战略评估与调整。发展战略是公司围绕主经营业务，在对现实状况和未来形势进行综合分析和科学预测的基础上，制订并实施的具有长期性和根本性的发展目标与战略规划。1、战略制定阶段一个正确的战略形成需要企业先提出一个合理的战略目标。企业应当在充分调查研究、科学分析预测和广泛征求意见的基础上制订发展目标。企业在制订发展目标的过程中，应该综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素。根据上述因素以及企业管理层人员的经验和专业知识拟定出一个合理的战略目标。企业应当根据发展目标制订战略规划。战略规划应当明确发展的阶段性和发展程度，确定每个
18、发展阶段具体目标、工作任务和实施路径。也就是说，战略对于企业的指导是一个过程，而不是企业一下子就能达到战略所要求的目标。所以这个过程需要一个完整、明确的规划。企业应当在董事会下设立战略委员会，或指定专门机构负责发展战略管理工作，履行相应职责。战略委员会成员应当具有较强的综合素质和实践经验，其任职资格应当符合有关法律法规的规定。董事会应当严格审议战略委员会提交的发展战略方案，如发现重大问题，应责成战略委员会对方案进行调整。调整后的方案重新审议，直至通过，并上报股东大会。最后经由股东大会批准实施。2、战略实施阶段企业应当根据发展战略，制订年度工作计划，编制全面预算，将年度目标分解、落实；同时，完善
19、发展战略管理制度，确保发展战略有效实施。企业应当重视发展战略的宣传工作，通过内部各层级会议和教育培训等有效方式，将发展战略及其分解落实情况传递到内部各管理层级和全体员工。让全体员工接受、认可，甚至形成一种企业文化。由于经济形势、产业政策、技术进步、行业状况以及不可抗力等因素发生重大变化，需要对发展战略做出调整的，应当按照规定权限和程序调整发展战略。（二）发展战略的主要风险企业应当明确发展战略面临的主要风险，以及这些风险可能导致的后果。（1）缺乏明确的发展战略或发展战略实施不到位，导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力。（2）发展战略过于激进，脱离企业实际能力或偏离主业，导致企业
20、过度扩张、经营失控甚至失败。（3）发展战略频繁变动，导致企业资源严重浪费，最后危及企业的生存和持续发展。（三）发展战略风险的应对措施针对上述风险及影响，企业采取的应对措施包括以下几方面的内容。（1）企业健全组织机构，在董事会下设立战略委员会，或指定专门机构负责发展战略管理工作。同时，对战略委员会的成员素质、工作规范也提出相应要求。（2）应在充分调查研究、科学分析预测和广泛征求意见的基础上制定发展目标，而不是靠拍脑袋，盲目制定发展战略。在制定目标过程中，应综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素。（3）强调战略规划应当根
21、据发展目标制定，明确发展的阶段性和发展程度，确定每个发展阶段的具体目标、工作任务和实施路径。（4）董事会从全局性、长期性和可行性等维度，严格审议战略委员会提交的发展战略方案，之后再报经股东（大）会批准实施。（5）从抓实施的角度，要求企业根据发展战略，制订年度工作计划，编制全面预算，将年度目标分解、落实，以确保发展战略的有效实施。（6）设立发展战略后实施评估制度，要求战略委员会加强对发展战略实施情况的监控，定期收集和分析相关信息。对发现明显偏离发展战略的情况，要求及时报告；确需对发展战略做出调整，企业要遵循规定的权限和程序调整发展战略。五、 内部监督的内容（一）内部监督及其职能企业内部监督一般应
22、由内部审计承担。内部审计作为企业内部控制的一部分，能够协调管理层更有效地履行其责任，提高企业的运作效率并增强其活动的附加值。内部审计是由被审计单位内部的机构或人员，对其内部控制的有效性、财务信息的真实完整性以及经营活动的效率和效果等开展的一种评价活动，是与独立审计、政府审计并列的三种审计类型之一。它的目的是发现并预防错误和舞弊，提高企业的运作效率，为企业增加价值。它采取系统化、规范化的方法对企业的内部控制、风险管理进行检查和评价，并提供建议等咨询服务，来提高他们的效率，从而帮助实现企业的目标。企业内部审计的职能如下。（1）监督职能。监督职能是内部审计的基本职能。（2）控制职能。内部审计机构是集
23、团的一个重要职能部门，它独立于其他各部门和其他控制系统，是对其他控制的一种再控制，与其他控制形式相比，更具有独立性、权威性和全面性。内部审计又是内部控制的特殊构成要素，是对内部控制实施的再控制。（3）评价职能。通过内部审计可以熟悉子公司的生产经营情况和财务状况，并且由于内部审计部门独立于子公司，更能客观、公正地评价子公司的管理情况和运行业绩。（4）服务职能。内部审计可以通过事前、事中和事后控制为管理当局的决策、计划、控制提供依据，这些都充分体现了内部审计的服务职能。企业制定内部审计规范，明确审计的范围、责任和计划，以此为基础合理配置审计人员，并要求他们遵守企业职业道德规范及内部审计规范；内部审
24、计部门应具有适当的地位并有足够的资源履行其职责；内部审计部门根据授权可以参加有关经营及财务管理的决策会议，对管理中存在的薄弱环节、违反国家法律法规的行为、内部控制管理漏洞，向管理层及时提出调整意见。（二）内部监督的程序我国企业内部控制基本规范第四十五条规定：企业应当制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应当分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。因此，企业应强化内部监督，保证内部控制持续有效。1、制定内部控制缺陷标准（1）内部控制缺陷的相关概念内部控制缺陷，是指内部控制的设计存在漏洞，不能有效防范错误与舞弊，或者内部控制的
25、运行存在弱点和偏差，不能及时发现并纠正错误与舞弊的情形。内部控制的缺陷包括设计缺陷和运行缺陷。设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标，包括内部控制不健全、内部控制制度不适当。例如，“未建立定期的现金盘点程序”即属于控制设计问题。运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。比较常见的例子就是企业内部控制制度设计健全，但工作人员我行我素，并不按照制度执行。例如，“物资采购申请金额已超过其采购权限，却未向上级公司申请安排大宗物品采购”，这是存在权限管理规定，却未在实际操作中按照执行
26、。（2）内部控制缺陷的分类企业根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。重大缺陷是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。主要考虑如下因素：影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷；针对同一细化控制目标所采取的不同控制活动之间的相互作用；针对同一细化控制目标是否存在其他补偿性控制活动。例如，有关控制漏洞为企业带来重大的损失或造成企业财务报表重大的错报、漏报。又如，凭证连续编号可以保证所有业务活动都得到记录和反映，如果凭证没有连续编号的话，为了避免
27、遗漏重大的业务事项，采用严格的凭证之间、账证之间、账账之间的核对就是保证业务记录完整性的补偿性控制。重要缺陷是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，需引起企业管理层关注。例如，有关缺陷造成的负面影响在部分区域流传，为公司声誉带来损害。一般缺陷是指以上两种缺陷之外的缺陷。（三）内部监督的方法内部监督的方法有两种，包括日常监督和专项监督。内部控制体系日常监督的有效性程度越高，对专项监督的需要程度就越低。管理层为了合理确认内部控制体系的有效性所必须进行的个别评估的频率取决于管理层的判断。通常情况下，日常监督和专项监督的合并
28、使用在某种程度上将会保证内部控制体系随着时间的变化而保持有效性。1、日常监督日常监督是指企业对建立和实施内部控制的整体情况所进行的连续的、全面的、系统的、动态的监督。日常监督是在及时的基础上执行的，能对环境的改变做出动态的反应，它存在于单位的日常管理活动之中，能及时地发现问题。日常监督的范围和频率越大，其有效性就越高，则企业所需的日常监督就越少。日常监督活动的重要环节主要包括以下几方面。（1）获得内部控制执行的证据。获得内部控制执行的证据是指企业员工在实施日常生产经营生活时，取得必要的、相关的证据证明内部控制系统发挥功能的程度。（2）外部反映对内部信息的印证程度。即与外界各方的沟通能够印证内部
29、生成的信息或揭示问题。（3）定期核对财务系统数据与实物资产。也就是说，将信息系统所记录的数据与实物资产相比较，做到账实相符。（4）内外部审计定期提供建议。审计人员评估内部控制的设计以及测试其有效性，识别潜在的缺陷，并向管理层建议采取替代方案，为决策提供有用的信息。（5）管理层对内部控制执行的监督。管理层可以通过以下渠道进行监督：审计委员会接收、保留及处理各种投诉及举报，并保证其保密性；管理层通过培训、会议了解内部控制的执行情况；管理层认真审核员工提出的各项合理建议，并不断完善建议机制。（6）定期考核员工。内部监督部门和人力资源管理部门根据公司管理层的授权定期要求企业员工明确说明他们是否理解并遵
30、守员工行为准则，是否遵守员工职业道德规范，并汇报控制活动的开展情况等。（7）内部审计活动的有效性。适当的组织结构以及监督活动可促进内部控制职能的执行，识别内部控制的缺陷。2、专项监督专项监督又称个别评估，是指企业对内部控制建立与实施的某一方面或者某些方面的情况进行的不定期、有针对性的监督检查。专项监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以确定。一般来说，风险水平较高并且重要的控制，对其进行专项监督的频率应较高。通常，专项监督采用自我评估形式，即负责某一单位或职责的人，员对受其控制的活动的有效性进行评价。专项监督主要关注以下两个方面。（1）高风险且重要的项目。审计部门依据持续监
31、督的结果，对风险较高且重要的项目要进行个别评估。考虑到成本效益原则，对风险很高但不重要的项目或很重要但是风险很小的项目可以减少个别评估的次数。应该将高风险且重要的项目作为专项监督对象。（2）内部环境变化。当内控环境发生变化时，要进行专项监督，以确定内部控制是否还能适应新的内控环境。日常监督和专项监督应当有机结合。前者是后者的基础，后者是前者的有效补充。日常监督的程度越高，其有效性也越高，则企业所需的专项监督次数就越少。如果发现专项监督需要经常性地进行，企业就有必要将其纳入日常监督中，进行日常持续的监控。通常情况下，两种监督有效组合能确保企业内部控制在一定时期内保持有效性。六、 内部监督比较内部
32、控制制度的有效实施，依赖于有效的内部监督系统。内部监督作为内部控制的基本要素之一，对于内部控制的有效运行，以及内部控制的不断完善起着重要的作用。内部监督是对企业内部控制整体运行情况的跟踪、监测和调节。内部监督是在尽可能不影响企业正常经营管理活动的情况下，对内部控制实施情况进行评价，及时纠正企业发生的错误和舞弊，将内部控制制度的缺陷和改进意见反馈给管理者，对发现的内部控制缺陷及时予以弥补。COSO的企业内部控制整体框架和企业风险管理框架中都规定监督为其构成要素。COSO报告与我国企业内部控制基本规范在内部监督的定义、内容与组织机构方面进行了比较。我国企业内部控制基本规范指出内部监督是企业对内部控
33、制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进，内部监督的主要内容包括日常监督和专项监督、缺陷报告、档案记录与验证，内部监督的主要进行机构为内部审计机构（或经授权的其他监督机构）。七、 内部控制评价工作底稿与报告（一）内部控制评价工作底稿根据企业内部控制评价指引第十一条的要求，内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。（二）内部控制评价报告根据企业内部控制基本规范企业内部控制评价指引的相关规定，企业应当结合
34、内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。1、内部控制评价报告的内容根据企业内部控制评价指引第二十二条的规定，内部控制评价报告至少应当披露下列内容：（1）董事会对内部控制报告真实性的声明；（2）内部控制评价工作的总体情况；（3）内部控制评价的依据；（4）内部控制评价的范围：（5）内部控制评价的程序和方法；（6）内部控制缺陷及其认定情况；（7）内部控制的整改情况及对重大缺陷拟采取的整改措施；（8）内部控制有效性的结论。2、报告时间及要求内部控制评价报告应当报经董事会或类似权力机构批准后与审计报告一起对外披露。企业应当以12月31日作为年度内部控制评价报告的基准日
35、，内部控制评价报告应当在基准日后4个月内报出。企业内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。八、 内部控制评价的组织与实施内部控制评价是由企业董事会和管理层实施的。进行评价的具体内容应围绕企业内部控制基本规范中提及的内部控制五个要素即内部环境、风险评估、控制活动、信息与沟通、内部监督，以及企业内部控制基本规范及企业内部控制应用指引中的内容。在确定具体内容后，企业应制定内部控制评价程序，对内部控制有效性进行全面评价，包括财务报告内部控制有效性和非财务报告内部控制有效性；同时为内部评价
36、工作形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、关键风险点、采取的控制措施、有关证据资料以及认定结果等；企业还应在评价工作中明确内部控制缺陷的认定准则；完成评价后，企业应当准备一份内部控制自我评价报告，在其年报中进行披露：企业董事会应当对内部控制评价报告的真实性负责。（一）内部控制评价的相关概念内部控制评价一般是指由专门的机构或人员，通过对单位内部控制系统的了解、测试和分析，对其完整性、合理性及有效性提出意见，并进行报告，以利于单位进一步健全和完善内部控制体系。我国企业内部控制基本规范第四十六条指出：企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我
37、评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。（二）内部控制评价应当遵循的原则根据企业内部控制评价指引第三条的规定，内部控制评价应遵循以下3个原则。1、全面性原则评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。2、重要性原则评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。3、客观性原则评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。（三）内部控制评价的内容根据企业内部控制评价指引的要求，内部控制评价涉及以下7个方面。（1）企业应
38、当根据企业内部控制基本规范、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。（2）企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。（3）企业组织开展风险评估机制评价，应当以企业内部控制基本规范有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。（4）企业组织开展控
39、制活动评价，应当以企业内部控制基本规范和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。（5）企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。（6）企业组织开展内部监督评价，应当以企业内部控制基本规范有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注
40、监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。（7）内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。（四）内部控制评价的程序根据企业内部控制评价指引第十二条的要求，企业应按照内部控制评价办法规定程序，有序开展内部控制评价工作。内部控制评价程序一般包括制订评价控制方案、组成评价工作组、实施评价工作与测试、认定控制缺陷、汇总评价结果及编报评价报告等环节。在这里重点讲解制订评价控制方案、组成评价工作组、实施评价工作与测试、汇总
41、评价结果四个环节。1、制订评价控制方案企业可以授权审计部门或专门机构负责内部控制评价组织的实施工作。承担内部控制评价的部门或机构应具备以下条件。（1）能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；（2）具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；（3）与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约；（4）能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，有足够的权威性来保证内部控制评价工作的顺利开展。内部控制评价部门或机构应根据内部监督情况和要求，制订评价工作方案，明确评价范围
42、、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权审批后实施。这是一个进行内部控制评估前的全面计划，提供内部控制评价的效率和效果。2、组成评价工作组内部控制评价部门或机构在评价方案获得批准后，需要组织评价工作组，具体承担内部控制检查评价任务。评价工作组成员应具备独立性、业务胜任能力和职业道德素养及吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业可根据自身的条件建立内部控制培训机制，为评价工作组成员提供培训，使其尽快掌握内部控制知识，熟悉企业业务流程及应关注重点、评价工作流程、方法以及工作底稿准备的要求。对于拥有内部审计部门的企业来说，内审部门很有可能也
43、同样地担当内部控制评价组的工作。但如果企业决定利用外聘会计师事务所为其提供内部控制评价服务，根据企业内部控制基本规范的要求，则该事务所不应同时为企业提供内部控制的审计服务。3、实施评价工作与测试评价工作组需通过了解企业层面基本情况、各业务层面的主要流程，识别有关主要风险后，才能开展实施及测试设计和运行有效性的内部控制工作。（1）了解公司层面基本情况。评价工作组与被评价单位进行充分沟通，了解其经营业务范围、企业文化、发展战略、组织结构、人力资源等内部环境及内部控制内容中五个要素的运作情况。（2）了解各业务层面的主要流程及风险。在这一阶段，评价工作组把工作重点放在主要业务流程上，如资金管理流程、销
44、售流程和采购流程等。为支持评估工作与相关测试有效进行，企业应建立全面文档记录。文档记录可以帮助评价工作组了解各个主要业务领域的流程，识别相关的风险关注点及可能存在的内部控制措施。评价工作组可审阅的内控流程文档可能有以下几种。风险控制矩阵文档。关注点在于复核风险流程的合理性，例如，文档是否包含了流程面临的所有风险、列示的风险是否得到定期或及时的更新、对于各项风险的重要性水平分析是否合理，以及复核控制点的识别，关键控制点、重要控制点、一般控制点的判断是否合适。流程图文档。关注点在于流程图是否与实际操作及风险控制矩阵描述相符合，流程图是否清楚地标示所有风险点及控制点，流程图中责任部门、岗位以及其他管
45、理机构是否表述清晰、表述的流程路径是否清晰、是否存在交叉，以及内容是否涵盖所有流程实际操作及相应的控制活动。审批权限表文档。关注点在于部门及岗位的描述是否准确、权限的划分和设置是否合理。评价工作组应识别业务流程中的关键业务或固有风险，提出对于每一重大流程在交易过程中“可能出错”而产生重大错误的问题在这些控制点上识别降低风险的控制，这些控制应当能够为防止发生重要的错误或者能发现并更正错误提供合理保证。有些控制可能并不显而易见，可能是电子化或者是人工的，并且同时是高层及基层实施。这些关注点将是评价工作组进行设计或运行有效性并做出结论的地方。例如，银行账户管理中，银行账户的开立、变更及撤销未经合理的
46、审批及授权，对于该风险点应该采取相应控制措施，提交给银行的开立账户申请书需要经过公司总经理书面批准（签章），提交给银行的变更账户申请需要经过财务经理和总经理审批，提交给银行的撤销账户申请需要经过财务经理和总经理审批。再以资金管理流程为例，企业面临的一个关键业务风险可能是客户需求的波动，当客户需求下降时，企业收入减少，进而发生资金的短缺并增加对营运资金需求的压力，资金需求将会直接导致银行融资或企业债券融资的增加进而导致企业的财务费用成本增加。固有风险是指假设不存在相关的内部控制，某一业务风险事项发生的可能性。例如，某企业所处行业的性质决定该类企业资金、在建工程与固定资产的交易比存货（通常为一些低
47、值易耗品）的交易更容易出现差错。一些产生经营风险的外部因素也可能影响固有风险，如“节能减排”的目标要求企业投资建立高效率、低消耗的新型生产线，并对旧装备进行技术改造，这些都会影响资金流。在各重要流程中，管理层可能已实施不同程度的控制以应对风险。例如，在资金管理流程、银行账户的开立的风险点中，可能有的控制措施是要求提交给银行的开立账户申请书需要经过公司总经理书面批准或签章。（3）确定检查评价范围和重点。评价工作组根据掌握的情况确定评价范围、检查重点和抽样数量，进行分工与测试。评价范围、方式、程序和频率，将因企业经营业务调整、经营环境、风险水平等因素而异。（4）开展现场检查测试。评价工作组可综合运
48、用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等评价方法，收集被评价单位内部控制设计与运行是否有效的证据，按照要求填写工作底稿、记录有关测试结果。如果发现内部控制出现缺陷，则需与管理层沟通，对有关缺陷进行认定并进行记录。个别访谈。评价工作组人员可以个别访谈企业或被评价单位的不同人员，了解公司内部控制的现状与运行。个别访谈通常用于企业层面与业务层面评价的阶段。调查问卷。调查问卷多用于企业层面的评价，通过扩大对象范围，如企业中的全体员工，收集简单结果，如对公司企业文化的认同。专题讨论。这是一种集合企业中有关专业人员就内部控制执行情况或控制问题进行的分析和讨论。穿行测试。穿行测试是指在流程中任意选取一项交易为样本，获取原始单据，跟踪交易从最初起源，到会计处理、信息系统和财务报告编制，直到这项交易在财务报表中报告出来的全过程。通过执行“穿行测试”，评价工作人员可获取对一个流程的了解，查找潜