内部控制与风险管理框架
一、COSO 五要素
| 要素 | 含义 | 典型内容 |
|---|---|---|
| 控制环境 | 基调与文化 | 治理结构、诚信与道德、权责分配、人力资源政策 |
| 风险评估 | 识别与分析风险 | 目标设定、风险识别、风险分析、风险应对 |
| 控制活动 | 应对风险的政策与程序 | 授权审批、职责分离、凭证与记录、实物控制、独立核查 |
| 信息与沟通 | 信息的获取与传递 | 内部报告、反舞弊举报渠道、外部沟通 |
| 内部监督 | 对内部控制的评价 | 日常监督、专项监督、缺陷整改 |
二、控制活动的五种类型
- 授权审批：一般授权 vs 特别授权；
- 职责分离：不相容职务分离（授权、执行、记录、保管、稽核）；
- 凭证与记录控制：编号连续、单据齐全、及时入账；
- 实物控制：限制接触、盘点、保险柜；
- 独立核查：对账、复核、内审。
不相容职务的经典组合：出纳不得兼管稽核、会计档案保管和收入/支出/费用/债权债务账目的登记。
三、内部控制的目标与局限
三个目标：经营的效率效果、财务报告可靠性、合规性。
五条固有局限：
- 人为错误（疏忽、判断失误）；
- 串通舞弊（两人以上合谋绕过控制）；
- 管理层凌驾于控制之上；
- 成本效益原则（控制成本不能超过收益）；
- 控制针对常规业务，对非常规交易可能失效。
四、风险管理流程
- 目标设定；
- 风险识别（PEST、流程梳理、历史损失数据）；
- 风险分析（可能性 × 影响，画风险矩阵）；
- 风险应对：规避、降低、转移、承受；
- 监督与改进。
五、内控评价与审计
- 企业每年至少进行一次内部控制自我评价，出具评价报告；
- 会计师事务所需对上市公司内部控制有效性发表审计意见（整合审计）；
- 评价结论分四类：有效、存在重要缺陷、存在重大缺陷、无法表示意见。
缺陷分级：一般缺陷、重要缺陷、重大缺陷（看是否可能导致财务报表重大错报或严重影响经营合规）。
六、内控与审计的关系
- 审计师了解内控是为了识别和评估重大错报风险；
- 只有拟信赖内控时，才实施控制测试；
- 无论内控多好，实质性程序都必须实施。
七、答题模板（内控缺陷题）
- 指出缺陷是什么（哪项控制缺失或失效）；
- 说明可能导致的风险（错报/舞弊/资产流失）；
- 给出改进建议（新增控制/职责分离/审批层级）；
- 判断缺陷等级并说明理由。
八、易错点
- 内控只能提供合理保证，不能提供绝对保证
- 了解内控 ≠ 测试内控，前者每次必做，后者视情况
- 管理层凌驾是固有局限，不代表内控无效
- 职责分离的核心是「不相容职务」，不是「多设几个人」