由內部控制想到的5W+2H

1、由內部控制想到的5W+2H經 / 法 /財“/營 / 律/ 法/ 報+j / TOC o 1-5 h z HYPERLINK l bookmark2 o Current Document Z/俺 /控制環(huán)境-風險評估過程I與財務報告相關的系統(tǒng)和溝通I*jI控制活動。府I/對控制的監(jiān)督口I/用5W+2H的方式問自己，什么是內部控制（what） ?內部控制是 由誰來做的（who） ?什么時候實施內部控制 （when） ?哪些地方需要 內部控制（where ） ?為什么要實施內部控制（why）?在企業(yè)里要怎么開 展（how） ?開展的層度，多廣、多深 （how much） ?根據審計教材對內部控制的

2、定義（coso）:內部控制是被審計單位為了合 理保證財務報告的可靠性、經營的效率和效果以及對法律法規(guī)的遵守， 由治理層、管理層和其他人員設計與執(zhí)行的 政策和程序。而我國對內控 的目標還增加了資產安全和戰(zhàn)略目標。從內部控制的定義，內部控制是全員參與的，尤其是治理層和管理 層要認識到內控的必要性和重要性。而在實際工作中，我和朋友的溝通時發(fā)現(xiàn)一個很奇怪的事情，很多人都認為內部控制是內控部門的事情， 完全沒有那種自己也是內控的參與者的想法。關于什么時候實施內部控 制？聽了 sharelee老師的分享，覺得得非常正確，是要分階段實施內部控制的。結合老師的說法，不同的企業(yè)在不同的發(fā)展階段肯定是不一 樣的。

3、在小型企業(yè)不可能按照大型企業(yè)的要求執(zhí)行，不同的行業(yè)也必須 是有不同的側重點的。至于哪些地方要實施內部控制， 在審計教材也提出：內控控制是要 考慮成本的，不可能不計成本的在所有方面都實施全面的、完善的內部控制。但是也不是說，內控控制的實施是以成本控制為導向的。關于這 個，在平時一些專業(yè)群的討論來看，企業(yè)在實施內控的過程中確實會存 在這個問題。就拿我們經常的采購和工程項目的流程來說，一般情況下在選擇供應商的時候，企業(yè)會按照招投標程序進行。而在招投標的過程 中，雖然價格和質量都有相應的評分標準。但是質量因素，往往是讓道 價格因素。尤其是一項大型的工程，如果投資幾千萬甚至更多，在項目 未進行階段，把價

4、格因素放在第一位的。在項目未開始時，表面上看確實是大大節(jié)約了成本，一旦后期發(fā)現(xiàn)工程質量不達標，會造成項目的不斷改進，增加了成本也使工程延期。延期的、不達標的有缺陷的工程，使得內控的三項目標都會遭到影響。如果是一些大型的環(huán)保工程項目， 沒達標的項目有可能會造成企業(yè)的停產，這看似是一項法律法規(guī)的目標，但是對經營和財務報告的目標的影響是毀滅性的。話分兩頭，說起 來是容易的，實際工作中管理層、項目組負責人難道不明白其中的風險， 這不可能。那造成這樣的原因是什么？我的想法是， 價格因素是顯性的， 在初始階段是可量化的，而質量因素呢？在初始階段， 哪怕聘請了在行 業(yè)內排名靠前的企業(yè)來實施工程， 也不能保證

5、帶來的團隊一定是精英團 隊，再加上企業(yè)內部的部門考核因素、預算因素，前期對工程復雜性的判斷因素的影響等等。最后一個W,為什么？想到這里，我想到了薩班斯法案。在論 壇上，胡俊老師的“瀘州老窖1.5億元協(xié)定存款失蹤案例分析”(http:/thread-4988957-1-1.html) 和獐子島一次盤點十億存貨沒了( HYPERLINK /thread-4991243-1-1.html /thread-4991243-1-1.html ) 還有 論壇其他的一些討論上市公司的質疑類文章，我覺得可以給我們一些為什么要實施內控的啟示。在思考的過程中我突然冒出一個想法：我們一直強調內部控制，既然有內部控制

6、，就應該有外部控制。外部控制和內部控制是個什么關系 呢？ 一個企業(yè)，要遵守行業(yè)的法律法規(guī)，也要遵守國家的法律法規(guī)。從 這個角度分析，內控的三個目標在法律法規(guī)這個目標上更多的要受到外 部的影響。在審計教材中，我們在考慮證據的可靠性時會說外部證據比 內部證據的可靠性更高。我們在做收入的發(fā)生認定時，我腦子里經常會想起劉老師的話，收入是真實的嗎？審計師們會把行業(yè)毛利情況和企業(yè) 的毛利情況做比較，如果差異較大，在行業(yè)整體利潤下滑的時候，企業(yè) 的毛利情況很好，審計師們除了實施函證程序、存貨的盤點程序，查看 外部憑證，甚至會到企業(yè)的客戶去實地了解情況。查看資金流、票據流 和食物流三流是否一致。經常會在群里聽

7、到有人說，外部審計的獨立性 不高。我的想法是外部控制的效率和效果質量如何是和外部的監(jiān)管環(huán) 境、國家的政策的寬松有著密切關系的接下來說說2H。怎么實施內部控制，實施內部控制的程度。關于2H,由于能力的關系。我只能感性的、膚淺的理解為2H如何做，是和5W聯(lián)系在一起的。5W做得好不好，將直接反映在 2H上。無論是審計教材本身，還是企業(yè)內部都有一個非常關心的話題，舞弊。財務與會計雜志曾有一篇文章臺灣博達財務舞弊案例。當時看 完這個案例，真的非常有感觸，我還寫了以下的一些想法：博達舞弊真的很難發(fā)現(xiàn)，相比較其他舞弊案例做到了票據流、資金流、實物流和 信息流的多方流轉。在國外通過員工建立的公司及國外函證時信

8、息的不 完整，都給審計帶來了很大的難度。復雜的金融衍生產品，對注冊會計 師的專業(yè)勝任能力提出了更高的要求。 該案例表明臺灣注冊會計師的整 體水平還是強過內地。如果提到識別，只能說如此的產能和銷售是不正 常的，分析行業(yè)和國內國外的行情，從分析性程序入手，再進行實質性 程序來進一步查出舞弊，詢問員工，去車間了解生產工時，因為是一筆 業(yè)務多次銷售，但是不可能重復生產的，那么這個機器的實際生產工時是小于報表上產品的生產工時的。這需要審計人員了解生產工藝流程， 必要時需要得到專家的幫助。同時仍舊要從常識入手，比如作者的分析： 真有錢為什么還要用海外存托償還可轉債，真有錢還要向銀行大額貸 款？制造虛假的銷

9、售，利用虛設的人頭公司，購買供應商，創(chuàng)造業(yè)績神 話，抬高股價，同時利用給員工分紅，套現(xiàn)。再把資金匯給人頭公司， 人頭公司匯給博達，撥打匯給供應商。目的在于減少應收賬款。利用股 市、金融衍生品、可轉債套現(xiàn)。例如信用聯(lián)結票據，實際上銀行存款與信用聯(lián)結票據已經相互抵消，賬上卻顯示有8500萬美元的銀行存款，虛增資產。”再次看這個案例，因為是事后的，所以我自己的一些思考存在著事 后諸葛亮。當時看這個案例，是基于怎么在審計的過程中如何提高自己 的業(yè)務能力。而今這個思路是內控的角度，企業(yè)的角度。如此的 用心 良苦”到極致的能力，為什么沒有在企業(yè)管理中運用，為什么不提高企 業(yè)自身的優(yōu)勢去創(chuàng)造價值？難道因為舞

10、弊更容易獲得私利？而不顧廣 大股民的利益？難道這才是控制環(huán)境的第一條：對誠信和道德價值觀念的溝通和落實放在第一位的原因所在？案例給我們的啟示，尤其是經過專家分析解讀的案例更能讓我們獲益。我認為本次sharelee老師在思享會的分享，就給我們帶來了很多的經典 案例。由于能力問題，我在坐等視頻回放，真的很有必要再多回味回味， 好好消化。而我這個感悟，也是沒有系統(tǒng)的，僅僅是基于自己的個人感 受，不足之處大家見諒，也希望大家多提意見！建立長效內控體系實現(xiàn)企業(yè)終極管理目標非常期待視野舉辦的第23期活動分階段長效內控體系建立，幾乎完整的兩個 小時，分享者視野網大咖sharelee 一氣呵成又是循序漸進，聽

11、完了意猶未盡， 還應該找找分享講義PPT,再回味一下?！边@是視野網友上海某公司財務總監(jiān)朱春麗在 5月30日第23期思享會結束后在論 壇上發(fā)出的贊嘆。本期嘉賓為視野資深版主sharelee大型會計師事務所管理咨詢部門經理，擁有 豐富的內控和風險管理經驗，曾經主持過大型央企、上市公司、國有企業(yè)、民營 企業(yè)和事業(yè)單位等各種類型的內控建設和風險評估項目，對內部控制和全面風險 管理有深入研究和獨特的見解。思享會還邀請到了視野資深網友、 某事務所所長 汪倫，同步點評嘉賓分享的內容，幫助大家更好的理解內控方面的知識。嘉賓sharelee做過很多企業(yè)的內控項目，但在給企業(yè)完善內控的過程中，發(fā)現(xiàn)很 多問題，sh

12、arelee介紹說，內部控制進入企業(yè)時間也不短了，但怎么理解內控的 目標，很多企業(yè)都不清楚。內控實質是為了實現(xiàn)一個控制目標提出來的，在我們日常工作中哪些方面會出現(xiàn)風險， 就根據實際情況建立我們的控制目標。 就此問 題，嘉賓sharelee通過解讀內部控制目標，幫助大家認識和了解內控，并為大家 講解如何建立內控，并分享了建立長效內控體系的三個階段：合規(guī)內控建設、管理提升內控建設、全面風險管理。我們目前企業(yè)的內控建設的目標怎么樣呢？嘉賓 sharelee介紹，證監(jiān)會和財政部 2013年和2014年做過上市公司內控建設的調查，就其結果來看，絕大多數(shù)企業(yè) 都認為是按照五目標的政策來做的，實際上很多企業(yè)

13、看上去是建立了相應的內控 體系，但財報內控體系不夠嚴謹，非財報內空體系又很少。嘉賓總結了三面的原 因：1、壓力不足，監(jiān)管機構指定了很多規(guī)范，但企業(yè)后期執(zhí)行情況如何，后續(xù) 沒有很強勢的監(jiān)管或是沒有懲罰性的措施，所以企業(yè)只是應付交差；2、理解不夠，有很多企業(yè)的內部控制的建設小組連 18項內控指引都不清楚；3、方法不對, 希望用一種方法建立一次性的內部控制目標。用什么方法能夠建立真正的日趨完善的內控體系？嘉賓針對這個話題，分享了自己的經驗。內部控制體系的建立要分成三個階段，第一個階段是合規(guī)性內控建設， 包括財報目標和合規(guī)目標，第二個階段管理提升的階段，主要是經營目標和資產 安全目標。第三階段是全面風

14、險管理階段， 主要是達成戰(zhàn)略目標。從事過多家企 業(yè)內控體系建設的汪倫也認為，合規(guī)目標內控建設，對照法律法規(guī)和規(guī)章制度， 普遍適用和行業(yè)適用。合規(guī)性與合理性往往之間就存在空間， 硬性的和靈活的往 往需要職業(yè)判斷。嘉賓sharelee到，內控目標之間的管理，戰(zhàn)略目標涵蓋了合規(guī)目標和資產安全 目標、經營目標，而這些目標構成了非財務報告目標， 非財務報告目標映射出來 的信息，可以反映出財務報告的真實情況，從中可以發(fā)現(xiàn)企業(yè)的內控是否有漏洞。很多人認為財報內控太簡單了，不值得做為一個內控目標，實際上這是對財報內 控有認識上的誤區(qū)，針對著這一問題，嘉賓舉出一個案例，在財務報告中反映某 個項目情況會很簡單，但

15、很多涉及到的單項合同會后補的， 合同項目的完成情況 在財報中如何核算和反映，需要按照會計準則中的收入確認規(guī)定按不同的完工程 度確認收入，會計處理上一點也不簡單。由此，嘉賓又談到管理會計，這個財務 人員比較關心的話題。有了管理會計這個概念，財務會計職業(yè)是不是要消融了 呢？其實對財務會計職業(yè)的實際影響是，在財務工作中會用到越來越多的職業(yè)判 斷，嘉賓認為，財務會計人員把業(yè)務狀況真實的反映到財務報表中去，財務會計工作價值會得到提高。嘉賓sharelee感慨，期末財務報表內控流程非常弱，很多內控只是粗線條沒有展 開，結賬的時間表需要發(fā)給財務部門和業(yè)務部門， 確定提供資料時間和結賬時間,建立結賬事項檢查表

16、，簽字確認，這些也是企業(yè)財務人員沒有意識到內控薄弱環(huán) 節(jié)。汪倫老師對此點評：期末財務報告流程，應該完善相應的內控，清查賬實、項目 勾稽、暫估入賬、內部單證補充完善以便及時入賬。怎樣分階段建立內控體系呢？嘉賓 sharelee認為，可以用不同的內控建設的方法 對癥下藥，內涵不同，方法也不同；先易后難，用固定的格式去思考，是否有財 報風險，要像劉翔一樣確定目標然后跨越； 管理基礎的決定，把內控融入到企業(yè) 管理當中去。建議企業(yè)分階段，一個目標一個目標的建立自己的內控體系。嘉賓sharelee非常有感觸，為什么很多人去日本買馬桶蓋、電飯煲，是因為這些 產品的設計都是為使用者考慮，這也是企業(yè)管理的終極目

17、標。怎么了解客戶的目 標，怎么能抓住客戶，就是把內控中的戰(zhàn)略目標融入到企業(yè)管理當中去。針對嘉賓留下的互動話題，網友們也爭相發(fā)表自己的看法，并提出一些疑問。汪 倫稱本次分享對他有很大的啟發(fā)：“同是內控服務方面的同行，今晚的分享，思 路縱橫都有，有啟發(fā)的地方在三點：一是，三角的要素，本來就應該是分階段； 二是，長效的內控建設不僅僅就是財務內控，更多是管理內控和內控環(huán)境方面； 三是，看內控的角度既有從企業(yè)角度也有從審計角度， 兩者之間往往是對立統(tǒng)一 的。”也分享了自己對“研發(fā)部與財務內控有關的內容”，也引起了大家的興趣， 并提議汪倫老師在適當?shù)臅r候也來分享一期思享會。視野思享會歷屆內容匯總（一）一一

18、第 1期至第10期（包括視頻回放）視野思享會歷屆內容匯總（二）一一第 11期至第20期（包括視頻回放）視野思享會歷屆內容匯總（三）一一第 21期至第23期（包括視頻回放大學時曾經開設過一門內部控制課程，具體內容已經差不多忘光了，但是仍 然記得課本的大致框架里有對各個流程的內控分析，比如采購流程是怎么樣的， 哪里會有風險點，要怎么做；還有銷售流程、材料驗收入庫流程、崗位設置等等， 比較粗糙，感覺非?？菰铩，F(xiàn)在通過特訓營和 23期思享會的學習，對內部控制 又有了新的認識。首先要問自己，什么是內部控制，內部控制是做什么的，內部控制有什么 用，為什么要進行內部控制，需要怎么開展內部控制，先從哪里入手，

19、具體要怎 么做。內部控制，重點是控制二字，控制什么，控制企業(yè)內部各業(yè)務流程可能會 出現(xiàn)的風險，為什么控制，這里就要結合老師所說的五目標（合法合規(guī)、財報信 息、經營效率和效果、發(fā)展戰(zhàn)略、資產安全）和三目標（營運效果和效率、財務 數(shù)據的可靠性、相關法令的遵循）了。怎么展開內部控制？大牛老師談到分階段建設， 把內控建設分成三個階段， 一個是合規(guī)建設，主要針對財報信息和合法合規(guī)；第二是管理提升，主要針對經 營效率和效果以及資產安全；第三個是全面風險管理，這個就要涉及戰(zhàn)略目標了。 對于分階段建設內部控制，這與導師說的 企業(yè)生命歷程的不同階段，內部控制 的相關方面應當與之相適應而有所不同”相類似。所以首先

20、要看清企業(yè)目前所處 的階段、環(huán)境，再結合企業(yè)的控制目標來開展內部控制設計， 這應該就是導師說 的由面到點了吧。從哪里入手？ coso的內控五要素是內部環(huán)境、風險評估、控制活動、信息 與溝通和內部監(jiān)督，信息與溝通應該是貫穿這幾個要素始終的。 在導師講解的內 控五要素中很形象的用金字塔來形容，控制環(huán)境處于金字塔最底層，所以內部控 制應該首先從環(huán)境分析入手，整體考慮企業(yè)的情況、業(yè)務流程，找出風險點，設 計出一個總體框架。這里可以結合大牛老師的合規(guī)建設 6個步驟的前三步，確定 重要會計科目和披露事項，確定業(yè)務流程（循環(huán)），確定相關會計報表認定，這 個可以幫助對風險點的認定。接下去就是風險評估了。企業(yè)內

21、部控制規(guī)范中對風險評估有這么一句描述： 企業(yè)開展風險評估，應當準確識別與實現(xiàn)控制目標相關的內部風險和外部風險， 確定相應的風險承受度。所以并不是只要有風險就必須去控制，要考慮風險的重 要程度和企業(yè)對風險的承受度。導師的風險評估矩陣中把風險分成四個象限， 兩 個坐標分別對應發(fā)生的概率和影響金額的大小， 概率與業(yè)務的發(fā)生頻次以及交易 過程環(huán)節(jié)是否復雜有直接關系。對風險進行評估之后就可以確認相關的控制點， 之后要做的工作不是馬上設置相應的控制活動活動， 而是先根據評估出的關鍵控 制點進行分析，看這些點當中有沒有派生的或者相互依存的關系，有時候解決了這個問題，其他問題也就迎刃而解了，我覺得這一點可以運

22、用TOC法則中尋找瓶頸的方法。做完這些工作之后就可以設計相應的控制活動了。通過這兩次的學習，對內部控制有了一些總體思路，不足的地方還望大家 指正。對于內部控制我覺得是知易行難， 想的跟做的可能差距會很大，而且內部 控制的推行也不是那么容易的事情。分級建立長效內控體系之群討論汪倫：內控體系三層：第一層：總體框架；第二層：職責及流程；第三層：內控執(zhí)行表單?？蚣芪募儆凇绊攲釉O計”，包括授權、目標等，含14個大的方面，是按照業(yè)務和管理循環(huán)為主線進行設計的。職責和流程 其實就是將內控目標及內控規(guī)范要求下放落地到公司具體 部門，明確職責、流程，該層面屬于制度化環(huán)節(jié)。內控執(zhí)行表單，其實就是根據企業(yè)當前狀況

23、，找到關鍵點，順應其過往操作習慣進行串聯(lián)、修補、增加設計出來的表格，尤其強調其 共享和流轉。Sharelee :共享很重要。企業(yè)內部的表單多如牛毛，但系統(tǒng)性不強，沒有共享，數(shù)據重復采集或打架，特別是母子公司之間。汪倫：是的，就是這樣的。Sharelee :總部不同部分重復再重復向子公司要數(shù)據。qq25850253:我覺得用軟件可以使母子公司流程順暢起來。汪倫：其實，軟件雖然好，但需要先把內控執(zhí)行訓練到一定程度以后才好實施，否則，過早 使用軟件管理體系，很可能半途而廢。我所在的這家公司原先弄了一套XX軟件，這次我調查時，企業(yè)執(zhí)行人員反感聲一片。最后，我和公司老板溝通，廢了這個軟件。汪倫：高消費、

24、低執(zhí)行，還不如先腳踏實地把流程理順了，然后，瓜熟蒂落之前再上比較好。飛影：汪倫。ERP是一個流程梳理過程，而不是簡單應用一個軟件的。反感的原因是前期 流程調查與預備如何調整沒作好 ，碰著問題就系統(tǒng)外靈活處理，而且領導沒下決心處理。此外 軟件是否合適企業(yè)運作也不知道。軟件前端銷售人員為了業(yè)績就隨便答應，實施人員解決不了就推。汪倫：在工廠車間調查時，一個很有意思的現(xiàn)象，明明倉庫有，但ERP系統(tǒng)說沒有，領料人急得團團轉。最后，庫管不管了，發(fā)，然后在本子上登記一下，過了幾天，忘了往電腦上 登記。飛影：這種情況跟數(shù)據沒有及時錄入有關。lff417 :如果企業(yè)的管理本身就很薄弱，要通過系統(tǒng)來梳理流程，其實

25、效果并不是很佳，關 鍵點不是流程。Sharelee :管理基礎薄弱的，上軟件是找死。軟件是工具的工具，工具都沒有，哪里需要 工具的工具。不沉的船：恩，確實，基礎不好的企業(yè)上 SAP真的很麻煩。上了以后發(fā)現(xiàn)跟企業(yè)的經營模 式有沖突，就要求軟件公司按自已的要求開發(fā)模塊。搞的最后基本變成了具有企業(yè)自已特色的SAP,把SAP中很多的流程和控制都改了。lff417 :最后搞出來個四不像。不沉的船：確實是個四不像，錢也不少花。lff417 :內控建設是服務于經營，如果經營處于困難階段或轉型階段，內控是要承接經營轉型的壓力，這對于財務的要求就會很高。samantha79 :聽了老師的分享才了解到確實有些東西時機還不到，原來想通過內控來梳 理其實是顛倒了，是要先梳理才有可能上內控。汪倫：我看到，每個倉庫都有一個或很多個本子， 上面象鬼畫符一般的劃了很多個記號。庫 管們抓狂，眼看著軟件正兒八經做擺設； 老板們高端，想象中提升拔苗助長燒鈔票。這就是 當前一些企業(yè)的實際，夢想轉型卻沒有從自身做起， 只是一味的求新求跟上“時代的步伐”。不沉的船：恩，不做流程梳理，一味想著上內控或系統(tǒng)軟件，根本無從著手，做出來的東西 根本沒法用。lff417 :內控這個東西，除了上市公司外，是證監(jiān)會強制要求外，很多民營企業(yè)，特別是很 多做業(yè)務出身的老板， 對于內控這