风险评估内控

1. 怎么通过风险评估来进行内部控制

对于这一定义，可从以下三个角度进行理解。
（一）内部控制评价的主体是董事会或类似权力机构
内部控制评价的主体是董事会或类似的权力机构，是指董事会或类似的权力机构是内部控制设计和运行的责任主体。董事会可指定审计委员会来承担对内部控制评价的组织、领导、监督职责，并通过授权内部审计部门或
独立的内部控制评价机构执行内部控制评价的具体工作，但董事会仍对内部控制评价承担最终的责任，对内部控制评价报告的真实性负责。对内部控制的设计和运行
的有效性进行自我评价并对外披露是管理层解除受托责任的一种方式，董事会可以聘请会计师事务所对其内部控制的有效性进行审计，但其承担的责任不能因此减轻
或消除。
（二）内部控制评价的对象是内部控制的有效性
内部控制评价的对象是内部控制的有效性，所谓内部控制的有效性，是指企业建立与实施内部控制对实现控制目标提供合理保证的程度。
从控制过程角度，内部控制的有效性可分为内部控制设计的有效性和内部控制
运行的有效性。内部控制设计的有效性是指为实现控制目标所必需的内部控制程序都存在并且设计恰当，能够为控制目标的实现提供合理保证；内部控制运行的有效
性是指在内部控制设计有效地前提下，内部控制能够按照设计的内部控制程序正确地执行，从而为控制目标的实现提供合理保证。内部控制运行的有效性离不开设计
的有效性，如果内部控制在设计上存在漏洞，即使这些内部控制制度能够得到一贯的执行，那么也不能认为其运行有效的。
从控制目标的角度来看，内部控制的有效性可分为合规目标内部控制的有效性、资产目标内部控制的有效性、报告目标内部控制的有效性、经营目标内部控制的有效性、战略目标内
部控制的有效性。其中，合规目标内部控制的有效性是指相关的内部控制能够合理保证企业遵循国家相关法律法规，不进行违法活动或违规交易；资产目标内部控制
的有效性是指相关的内部控制能够合理保证资产的安全与完整，防止资产流失；报告目标内部控制的有效性是指相关的内部控制能够防止、发现并纠正财务报告的重
大错报；经营目标内部控制的有效性是指相关的内部控制能够合理保证经营活动的效率和效果及时为董事会和经理层所了解或控制；战略目标内部控制的有效性是指相关的内部控制能够合理保证董事会和经理层及时了解战略定位的合理性、实现程度，并适时进行战略调整。
评价内部控制设计的有效性，可以考虑以下三个方面，一是内部控制的设计是否做到以内部控制的基本原理为前提，以《企业内部控制基本规范》及其配套指引为依据；二是内部控制的设计是否覆盖了所有关键的业务与环节，对董事会、监事会、经理层和员工具有普遍的约束力；三是内部控制的设计是否与企业自身的经营特点、业务模式以及风险管理要求相匹配。评价内部控制运行的有效性，也可以从三个方面进行考察，一是相关控制在评价期内是如何运行的；二是相关控制是否得到了持续一致的运行；三是实施控制的人员是否具备必要的权限和能力。
需要说明的是，由于受内部控制固有局限（如评价人员的职业判断、成本效益原则）的影响，内部控制评价只能为内部控制目标的实现提供合理保证，而不能提供绝对保证。
（三）内部控制评价是一个过程
内部控制评价是一个过程，是指内部控制评价要遵照一定的流程来进行。内部控制评价工作不是一蹴而就的，它是一个涵盖计划、实施、编报等多个阶段、包含多个步骤的动态过程。

2. 风险评估为什么属于内部控制，应该了解内部控制是风险识别和评估的一部分吧

风险评估是内部控制的一个环节，完整的内部控制流程包括识别风险、评估风险、控制措施、信息交流与沟通、监督等。
因此，只有经过风险评估，才能确定风险有多大，是否能承受，需要进行什么样的控制等后续工作。
1.在理论框架层面，完整的内控体系包括依据COSO内控整体框架开展内部控制的评审体系以及内控自我评估体系;而目前国内外较为认可的企业风险管理理论框架是COSO企业风险管理整体框架。这两个框架在理论基础上具有继承性和发展性。
2.在推进工作的步骤层面，从国内大型国有企业集团开展内部控制和风险管理的推进步骤来看，以内控先行、再逐步开展全面风险管理的做法是符合我国国情的。通过内控体系建设，在组织架构的完善、人员经验的积累、内控流程的记录等方面做好准备，可为公司未来开展全面风险管理打下较为完善的基础。

(一)风险管理系统应与公司治理系统进行整合

风险管理功能与公司治理功能相耦合和良性互动是风险管理系统与公司治理系统整合的目标。美国内部审计师协会(IIA)指出，企业风险管理的本质是“通过管理影响企业目标实现的不确定性来创造、保护和增强股东价值”。而公司治理则是董事会为了维护公司利害相关者的利益而对管理层提供指导、授权和监督的过程。整合风险管理与公司治理就是在公司治理框架中加入风险管理的角色。在这种拓展的公司治理框架中，高管和风险主管应当直接承担风险管理的责任，董事会则应积极参与增值型的风险管理活动，如在风险管理的过程中对管理层进行指导、授权和监督等活动。

(二)风险管理系统应与公司战略管理系统相整合

将战略管理系统与风险管理系统相整合，有利于以较低的成本顺利实现企业的战略目标。公司治理确定企业风险管理的范围和边界，并为风险管理提供政策;而战略管理则为风险管理提供资源与支持。公司实施不同的战略，会引起不同的风险，也应采取不同的风险应对措施。因此，不同的战略模式将会导致在不同的领域配置风险管理的资源。

企业战略管理的最终目标是为了实现企业价值的持续增长，企业价值创造路径应围绕“股东价值←客户价值←业务流程←核心资源”这一路径展开，该路径表明企业长期股东价值的增长来自于客户价值的增长。企业要获得长期稳定的客户价值，必须具有高效、快捷和质量可靠的业务流程，这些业务流程的价值创造能力又依赖于企业核心资源的研究与开发。这也是企业价值链的形成路径，企业风险管理也应遵循这一路径而展开。

总之，整合的风险管理框架应该是由公司治理层面确定风险管理的政策;由高管确定风险管理的偏好;由战略管理层确定风险管理流程、文件和模型;在应用和基础设施层面配备相应自动控制装置，以促进事件的自动处理和报告的自动生成，并使用分析工具对这些事件及其组合与公司政策的相关性进行分析，为决策者提供风险应对的信息。

3. 内部控制五要素中的风险评估包括哪些

风险评估：风险评估是及时识别、科学分析和评价影响企业内部控制目标实现的各种不正确因素并采取应对策略的过程，是实施内部控制的重要环节。

风险评估主要包括目标设定，风险识别、风险分析和风险应对。

4. 风险评估和内部控制的关系

风险评估是内部控制的一个环节，完整的内部控制流程包括识别风险、评估风险、控制措施、信息交流与沟通、监督等。
因此，只有经过风险评估，才能确定风险有多大，是否能承受，需要进行什么样的控制等后续工作。

5. 如何进一步提高内部控制风险评估

企业内部控制应当遵循全面性、重要性、制衡性、适应性和成本效益原则制定。对企业的所有业务重新树立，优化内部环境，搞好风险评估，加强控制活动，确保信息畅通，强化内部监督，促进企业实现发展战略。
1、完善制度建设、实施内部控制。以《企业内部控制规范-基本规范》、《企业内部控制基本规范》、《企业内部控制配套指引》等文件为依据，结合企业实际情况，全面梳理原有管理制度，在符合内部控制要求的前提下，着眼于管理创新、建立适合本企业的内部控制管理体系，明确相关部门人员的指责和权限，推行全面管理，提倡全员参与，建立彼此牵制、彼此连接、彼此制约的内控制度。
2、明确控制目标，优化内部控制环境。内部控制制度重点是围绕会计核算和会计监督环节来设置的。一般说来，健全的内部控制制度应能有效预防错误和舞弊的发生。即使发生了，也容易及时发觉和纠正。因此，在设计时必须明确控制目标，充分考虑各项内部控制制度是否符合内部控制基本原则，认真检查关键控制点是否进行了控制，所有的控制目标是否已达到。控制环境是指对建立或实施某项政策发生影响的各种因素，主要反映单位管理者和其他人员对控制的态度、认识和行动。企业内部控制应当建立在共同的道德规范的基础上，强调沟通和感情的交流，消除管理者和被管理者之间的隔膜，强调每一个人的积极性，形成真正意义上的团队精神。只有当企业凝聚起来一种文化氛围、企业价值观、企业精神、经营境界和广大员工所认同的道德规范和行为方式，才能为内部控制程序的执行创造良好的人文环境，也只有企业中的每一个员工目标明确，观念相同，内部控制才能更有效。
3、提高会计人员素质。会计人员素质是加强内部控制的关键，企业要通过科学合理的聘用、培训、轮岗、考核、奖励、晋升、淘汰等办法，提高财会人员整体素质。在聘用会计人员上，要制定严格的招聘程序，不仅要选择业务能力强的人，更要注意选择那些具有良好的道德观、价值观的人才。在会计人员安排上，要实行工作岗位轮换制，通过轮换及时发现存在的问题，抑制部分人员的不良动机。要建立考核、奖励、晋升、淘汰机制，定期对会计人员进行业绩、道德品质、思想操守等综合考核，奖优罚劣，充分激发会计人员的积极性和责任感。在培养人才上，不仅要定期进行业务培训，不断提升业务水平，更要注意其职业道德及法制观念的培养。
4、加强内部监督。企业内部控制是一个过程，这个过程是通过纳入管理制度及活动实现的。因此，要确保内部控制制度被切实地执行，且执行效果良好，其必须被监督。企业应设置内部审计机构或建立内部控制自我评估系统，加强对本企业内部会计控制的监督和评估，及时发现漏洞和隐患，并针对出现的新问题和新情况及内部控制执行中的薄弱环节，及时修正或改进。做到有章可循，违章必究，违规必罚，以罚促纠。
5、实施预算控制，提高内控水平。实行全面预算，搞好各业务事项的事前预测、事中控制、事后分析，将企业的经营目标转化为各生产厂、各部门、各岗位以至个人的具体行为目标。预算控制内容应涵盖企业经营活动的全过程，强化预算控制，通过预算的编制和考核预算的执行情况，动态分析执行结果，及时纠正偏差，确保预算执行到位。并与管理者的绩效工资挂钩，节将超罚，充分发挥预算的灵魂作用。
6、加强内外部信息交流与沟通，加强反舞弊机制。企业应建立建立上传下达的有效机制。通过建立组织机构制定岗位责任制来实现。还应注意信息沟通的有效性和及时性。重视和加强反舞弊机制建，通过各种方式，鼓励员工及企业利益方举报和投诉企业内部的违法违纪行为。企业还应注意于外部关系人以适当的形式进行及时沟通与反馈。比如于注册会计师、客户、供应商等。
7、会计电算化。会计电算化是现代会计发展的必然，因此我们要加快会计电算化建设，有效地加强会计内部控制与防范计算机风险。部分企业已实施ERP工程，在工作中要运用既定程序对各项会计业务进行检查，建立一套先进的会计内部控制信息系统，用现代化手段对会计数据进行整理分析。在应用软件开发中，设计会计业务处理程序时要将制约、监督等风险控制防范功能融人其中，使操作人员必须按照职责权限和有制约的操作程序才能进人系统处理会计业务，以达到防范技术风险和计算机犯罪。
总之，加强实施内部控制能够规范社会主义市场经济秩序，确保国民经济稳定、持续、健康地向前发展。有活力的内部控制制度应该是推动企业创新的制度，只有企业全体职工齐心协力，相互支持，相互激励，企业内部会计控制才能发挥应有的作用，才能促进企业健康有序发展。

为了进一步推动企业内控工作的深入发展，探索企业如何通过内控体系建设提升管理水平的思路与方法，帮助企业和金融机构解决内控专业人才匮乏的现实问题，提高内控人员和内部审计人员业务素质，中审网校与国际内控协会（The Internal Control Institute ,英文简称ICI）强强联合，将于2013年6月开展国际注册内部控制师资格认证考试。

6. 内部控制方法与风险评估

一、地勘单位风险评估流程

（一）定期评估机制的建立

地勘单位在风险评估过程中要考虑外部环境和内部条件的变化，建立经济活动风险定期评估机制，对经济活动存在的风险进行全面、系统和客观评估。经济活动风险评估至少每年进行一次；外部环境、经济活动或管理要求等发生重大变化的，应及时对经济活动风险进行重估。

（二）成立组织机构

该机构主要明确以下几个问题：其一，谁牵头建设内部控制制度体系？其二，谁参与内部控制制度体系的建设；其三，谁监督内部控制制度的执行、落实？

地勘单位开展经济活动风险评估应当成立风险评估工作小组，单位领导担任组长。经济活动风险评估结果应当形成书面报告并及时提交单位领导班子，作为完善内部控制的依据。地勘单位内部控制制度建设组织与方法流程，如图22-1所示。

图22-1 地勘单位内部控制组织与方法流程图

二、地勘单位内部控制方法

（一）不相容岗位相互分离

不相容岗位是指那些如果由一个人担任，既可能发生错误和舞弊行为，又可能掩盖其错误和弊端行为的岗位。事业单位不相容岗位分离的核心是“内部牵制”，它要求每项经济业务都要经过两个或两个以上的部门或人员的处理，使得个人或部门的工作必须与其他人或部门的工作相一致或相联系，并受其监督和制约。

例如，仓库保管员负责原材料的收、发、存和管理工作，并负责登记原材料的数量，而相关的账务处理则应由会计人员负责。假设：A—采购申请；B—采购审批；C—采购验收；D—费用支付申请；E—费用支付审批；F—应付账款的审批；G—应付账款的入账。不相容岗位如表22-1所示。

表22-1 不相容岗位情况表

注：×表示不相容职责；○表示相容职责。

合理设置内部控制关键岗位，明确划分职责权限，实施相应的分离措施，形成相互制约、相互监督的工作机制。

（二）内部授权审批控制

地勘单位内部授权批准控制是由单位权力机构或上级管理者明确规定有关业务经办人员的职责范围和业务处理权限与责任，使所有的业务经办人员在办理每项经济业务时都能事先得到适当的授权，并在授权范围内办理有关经济业务，承担相应的经济责任和法律责任。地勘单位的内部授权审批控制要求明确各岗位办理业务和事项的权限范围、审批程序和相关责任，建立重大事项集体决策和会签制度。地勘单位的相关工作人员应当在授权范围内行使职权、办理业务。

内部授权批准控制要求地勘单位规定各级管理人员的职责范围和业务处理权限。各级管理人员在其职责范围和业务处理权限以内，不需请示便可处理业务，这样可以尽快地进行业务处理，避免发生推诿的现象。同时，授权控制也要求明确各级管理人员所承担的责任，使他们对自己的业务处理行为负责，以加强工作的责任心。

地勘单位内部授权控制可以分为一般授权和特殊授权。一般授权是授予单位有关人员处理正常范围内的经济业务的权限：特殊授权是授予单位有关人员处理超出一般授权范围的特殊业务的权限。

（三）归口管理

归口管理是指按单位赋予的权利和承担的责任、各司其责，按特定的管理渠道实施管理。地勘单位归口管理的目的是为了防止重复管理、多头管理，即要求该管的一定要按责任划分管好，不要缺位；不该管的不要乱干预；超出责任权限范围的，不要越位管理。地勘单位应根据本单位实际情况，按照权责对等的原则，采取成立联合工作小组并确定牵头部门或牵头人员等方式，对有关经济活动实行统一管理。

（四）预算控制

预算控制是指通过编制预算并以此为基础，执行和控制地勘单位经营活动并在活动过程中比较预算和实际的差距及原因，然后对差异进行处理。预算控制通常根据预算规定的收入与支出标准，来检查和监督各部门活动，以保证组织经营目标的实现，并使费用支出受到严格有效约束的过程。地勘单位应该强化对经济活动的预算约束，使预算控制贯穿于单位经济活动的全过程。

（五）财产保护控制

地勘单位应该建立资产日常管理制度和定期清查机制，采取资产记录、实物保管、定期盘点、账实核对等措施，确保资产安全完整。

（1）资产记录。地勘单位应妥善保管涉及资产的各种文件资料，避免记录受损、被盗、被毁。对重要的文件资料，应当留有备份，以便在遭受意外损失或毁坏时重新恢复，这在计算机处理条件下尤为重要；

（2）定期盘点和账实核对控制。地勘单位应定期对实物资产进行盘点，并将结果与会计记录进行比较。盘点结果与会计记录如不一致，可能说明资产管出现错误、浪费、损失或其他不正常现象，应当分析原因、查明责任、完善管理制度；

（3）实物保管控制。财产保护控制要求地勘单位严格限制未经授权的人员对资产的直接接触，只有经过授权批准的人员才能接触该资产。一般况下，地勘单位对货币资金、有价证券、存货等变现能力强的资产，必须限制无关人员的直接接触。

（六）会计控制

建立健全本单位财会管理制度，加强会计机构建设，提高会计人员业务水平，强化会计人员岗位责任制，规范会计基础工作，加强会计档案管理，明确会计凭证、会计账簿和财务会计报告处理程序。

（七）单据控制

要求单位根据国家有关规定和单位的经济活动业务流程，在内部管理制度中明确界定各项经济活动所涉及的表单和票据，要求相关工作人员按照规定填制、审核、归档、保管单据。

（八）信息内部公开

信息内部公开是指地勘单位向单位内部公开或开放自己所拥有的信息，使其他个人或部门可以基于任何正当的理由、采用尽可能简便的方法获得上述信息。地勘单位应建立健全经济活动相关信息内部公开制度，根据国家有关规定和单位的实际情况，确定信息内部公开的内容、范围、方式和程序。

地勘单位信息内部公开制度在一定程度上能够抑制单位内部腐败的发生，进而实现事业单位内部控制与管理的有效性。

三、地勘单位层面及业务层面风险评估关注重点

（一）单位层面风险评估重点内容

事业单位进行单位层面的风险评估时，应当重点关注内容见表22-2。

表22-2 单位层面风险评估关注点

续表

（二）业务层面风险评估关注重点

地勘单位进行经济活动业务层面的风险评估时，应当重点关注对预算控制与管理、收支控制与管理、政府采购控制与管理、资产控制与管理、建设项目控制与管理、合同控制与管理等情况实施的评估。

具体见表22-3。

表22-3 业务层面风险评估关注点

7. 内控管理的风险评估

发现千里之堤的蚁穴
应对变化
评估
案例：诺基亚与西门子之争

8. 内部控制中的风险评估要素主要包括哪些

控制要素
1.
内部环境
内部环境是企业实施内部控制的基础。包括治理结构、机构设置以及权责分配、内部审计、人力资源政策、企业文化等。
2.
风险评估
风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。
3.
控制活动
控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受之内。
4.
信息与沟通。
信息沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。
5.
内部监督
内部监督是企业对内部控制与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。

9. 风险评估程序属于内部控制吗

属于内部控制
企业内部控制建设中风险评估的程序：制定企业内控管理程序，或者运营管理程序 。