cia輔導第三科：信息技術部分(已修改)

　

【正文】 2023年 CIA后續教育 風險管理、內部控制與內部審計 1 CIA后續教育 內部審計 是一項為了 增加組織的價值 和改善組織的運營 所進行的 獨立的、客觀 的 確認 和 咨詢 活動。它通過采取 系統化、規范化 的方法 評價和改進 組織的風險管理、控制及治理過程的 有效性 ，幫助組織 實現其目標 。 2 CIA后續教育 國際內部審計實務標準框架 （ IPPF） 3 CIA后續教育 4 CIA后續教育 新版 IPPF所作的重大改變是： (1)程序改進。加強 IPPF的各個部分，提高了透明度并確定了權威標準的修訂周期。標準的修訂周期目前確定為三年。盡管并非每三年都需要進行修改 IIA仍致力于確保對標準作全面的審核，并視需要進行修訂。 (2)發展與實務幫助。這二部分不再納入框架體條。它曾經包含了內部審計師在工作過程中可能會用到的所有資源 (例如培訓、出版物和研究報告等 )。由于新版 IPPF的范圍只包括上述的權威標準，這項內容不再適合于新的框架。 (3)釋義。這是新增的對標準中的術語和短語作出的進一步闡釋，置于需要加以解釋的相關標準條款之下。 (4)實務公告。這部分內容在范圍上己經縮減為只包括用于實施“內部審計定義”、《職業道德規范》和《標準》的技術和方法。原框架中涉及工具或技術方法的內容已經移至實務指南部分。 (5)實務指南和立場公告。這是 IPPF新增的內容。實務指南側重于在工具和技術的具體運用方面提供指引，包括詳細的流程、程序、方案和步驟(例如每一步所形成結果的范例 )。立場公告表明 IIA關于內部審計在特定事項中的角色及職責所持的立場或觀點。 5 CIA后續教育 IPPF包括兩類指南： 強制性指南， 包括：內部審計定義；職業道德規范；內部審計實務標準。 《標準》的強制性質通過使用“必須”一詞加以強調。《標準》中用“必須”特指無條件的強制性要求。在某些例外情況下使用“應當”一詞來表示期待相關要求得到遵守，除非根據專業判斷所涉情形允許偏離《標準》的要求。遵循強制性指南的要求對于內部審計師和內部審計部門有效地履行職責是至關重要的。《職業道德規范》要求內部審計師依據《標準》提供內部審計服務。內部審計師是指國際內部審計師協會會員、已經或正在獲取 IIA職業教育資格的人員以及按照內部審計定義的界定提供內部審計服務的人員。 強制性指南適用于提供內部審計服務的個人或機構。 6 CIA后續教育 IPPF包括兩類指南： 強力推薦的指南，包括：立場公告；實務公告；實務指南。強力推薦的指南通過了 IIA的認可，由 IIA國際技木委員會按照規定的流程制定。這類指南 不具有強制性 ，而是為滿足強制性指南的要求提供一系列適用的解決方案。強力推薦的指南并非旨在為特定情況給出明確的答案，因此更宜于用作指引。針對特定的具體情況， IIA 建議可以尋求獨立專家的意見。強力推薦的指南可以由勝任的內部審計師憑借其專業判斷加以運用。 7 CIA后續教育 培訓大綱 第一講： 內部控制原理與定義 第二講：內部控制環境 第三講： 風險管理與風險評估 第四講： 應用控制評估與測試 第五講： 內部控制衡量與報告 8 CIA后續教育 一、概述 二、 《企業內部控制基本規范》 三、內部控制理論與實務發展 第一講：內部控制原理與定義 9 CIA后續教育 目前，企業內部控制系統的設計主要有三種形式： —— 外包給四大會計師事務所； —— 企業自行設計； —— 自行設計與外包相結合。 10 CIA后續教育 誰對內部控制系統負責 ? ? 最高管理層負有對內部控制系統的組織實施的責任； ? 董事會負有監督責任； ? 外部和內部審計師負有評估內部控制有效性的責任； ? 誰擔當設計和實施內部控制的重任？ 11 CIA后續教育 二、我國《企業內部控制基本規范》 12 CIA后續教育 《企業內部控制基本規范》 ? 2023年 6月，在借鑒和吸收國際監管新理念的背景下，我國財政部、審計署、證監會、銀監會和保監會五部委聯合印發了《企業內部控制基本規范》（財會[2023]7號）。 ? 這一被稱為中國版《薩 ? 奧法案》的《企業內部控制基本規范》是我國第一部加強和完善企業內部控制系統，提高企業經營管理水平和風險防范能力，促進企業可持續發展，維護社會主義市場經濟秩序和社會公眾利益的重要法規文件。 13 CIA后續教育 基本規范的特點 ? 該規范的實施給不少企業帶來脫胎換骨的影響，意味著中國企業內控規范體系建設正在向國際標準靠攏（主要借鑒美國 COSO報告）； ? 大力強化內部控制是進入美國資本市場的 “入門證”和“通行證” ； ? 對企業每一項經營活動強調 過程控制 ； ? 以財務報告真實完整的內部控制為主線，以防范風險和控制舞弊為中心。 (公司治理 ?) 14 CIA后續教育 內部控制定義、目標和要素 ? 定義： 內部控制是由董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程。 ? 控制目標： 合理保證企業 (1)經營管理合法合規；(2)資產安全； (3)財務報告及相關信息真實完整；(4) 提高經營效率和效果； (5)促進企業實現發展戰略。 ? 要素： 基本規范在形式上借鑒了 COSO內部控制 5要素框架 ；在內容上體現了 COSO風險管理 8要素框架 的實質。 15 CIA后續教育 ? 根據《企業內部控制基本規范》的執行要求，自 2023年 7月 1日起在上市公司范圍內施行，鼓勵非上市的大中型企業執行。上市公司應當對本公司內部控制有效性進行自我評估，披露年度自我評價報告，并可聘用具有證券、期貨業務資格的會計師事務所對內部控制的有效性進行審計。 16 CIA后續教育 實施難度和主要問題 （ 1）政出多門，標準要求不統一； （ 2）企業無所適從，缺乏內在動力； （ 3）實施內部控制的成本巨大； （ 4）缺乏內部控制系統設計、執行和評估 的專業人才； （ 5）未能將內控合規性成本轉化為增強企 業核心競爭力的優勢。 17 CIA后續教育 內部控制的演變 內部牽制 內部控制制度 內部控制結構 內部控制整合框架 企業風險管理整合框架 18 CIA后續教育 引發內部控制法規出臺的國際背景 ? 1992年， COSO—— 美國反欺詐財務報告委員會（ Treadway Committee）發起組織委員會發布《內部控制 —— 整合框 架》構建了由三個目標和五項要素組成的內部控制框架。 ? 該框架的發布和廣泛采用 標志著內部控制開始在理論上和實務上走出審計范疇 ，從而成為企業整個管理體系的有機組成部分，同時該框架也為企業內部控制評價提供了指導。 19 CIA后續教育 與內部控制立法相關的歷史事件 ? 1977年美國國會通過了 《反海外賄賂行為法》 。 ? 20世紀 80年代，美國華爾街發生了許多金融機構破產的事件，給納稅人造成了 1500億美元的損失。財務報告舞弊案件很多，但隨后的調查發現幾乎所有案件中審計師都 沒有發出預警的信號 。 ? 1985年， COSO發起成立了美國反欺詐財務報告委員會（ Treadway Commission），責成該委員會調查公司治理中存在的問題。 20 CIA后續教育 ? 1987年， Treadway Commission 在其報告中指出：大多金融機構破產的原因一半以上是內部控制失效，該報告引起了各界廣泛的關注。 ? 1992年， COSO 在《內部控制 —— 整合框架》中提出了內部控制報告的框架，規定內部控制報告應著重說明 控制系統的有效性 。 21 CIA后續教育 COSO的五大成員機構 COSO是“ Committee of Sponsoring Organization”的 英文簡稱，是致力于通過商業道德、有效的內部控制和 公司治理來改進財務報告質量的民間組織。 1985年 COSO 成立，目的是共同發起組建美國反欺詐財務報告委員會。 COSO的五大成員機構如下： —— 美國注冊會計師協會（ AICPA） —— 美國會計師學會 （ AAA） —— 美國財務執行官協會（ FEI） —— 國際內部審計師協會（ IIA） —— 美國管理會計師協會（ IMA） 22 CIA后續教育 ? 《 2023年上市公司會計改革和投資者保護法案》(“ Sarbanes0xley Act” , SOX）亦稱《薩班斯 奧克斯利法案》 (簡稱《薩 ?奧法案》 )。 ? 由于該法案 80%的內容或措施都與內部控制有關，故被稱為是內部控制法案；亦稱為 “ 2023年公司與刑事欺詐責任法案 ”（ the Corporate and Criminal Fraud Accountability Act of 2023）。 23 CIA后續教育 ? 《薩 ? 奧法案》的意向是增強投資者及公眾對財務報告和公司治理的信任感。《薩 ? 奧法案》的七個意向目標包括如下內容： 恢復公眾對公司會計報告的信任感； 促使公司高級管理層對其行為更加負責； 增強財務系統、披露以及內部控制措施； 鼓勵和支持自行檢舉者； 確保保留必需的證據； 增強董事會，尤其是董事會審計委員會的 監管職責； 增強獨立審計師的獨立性。 《薩 ? 奧法案》的意向目標 24 CIA后續教育 20世紀 80年代 ,內部控制是企業管理的重要內容，檢查和評價內部控制制度是否適當、有效和具有可操作性是內部審計的重要工作。從 1991年開始，世界許多大公司開始了兼并、重組和公司治理的過程，企業面臨的風險普遍增大。 25 CIA后續教育 20世紀 80年代 ,內部控制是企業管理的重要內容，檢查和評價內部控制制度是否適當、有效和具有可操作性是內部審計的重要工作。從 1991年開始，世界許多大公司開始了兼并、重組和公司治理的過程，企業面臨的風險普遍增大。 26 CIA后續教育 20世紀 90年代 —— 風險管理取代內部控制 ? 企業兼并重組實行多樣化經營，進入了眾多以前未涉及的領域； ? 實施國際化發展戰略，控制鏈大大延長； ? 信息技術在經營管理中廣泛應用導致計算機犯罪增加。 在這種情況下，企業開始注重風險管理， 內 部審計重點從以制度為基礎審計 (內部控制評審） 轉向以風險為基礎審計，或稱風險導向審計。 27 CIA后續教育 21世紀初 —— 螺旋式回歸內部控制 ? 2023年（企業兼并重組改革 10年后），上述公司財務丑聞的出現，使許多公司面臨一些災難性問題。同時，也影響了注冊會計師事務所的信譽和形象，各大會計師事務所修改了審計制度方面的要求，例如，會計師事務所不能同時做審計和咨詢業務。 28 CIA后續教育 回歸內部控制的重要原因 2023年 《 薩 ?奧法案 》 對加強內部控制和設立審計委員會的強制性法律要求 。 29 CIA后續教育 30 CIA后續教育 風險管理框架 戰 略 目 標 經 營 目 標 報 告 合 法 目 目 標 標 目標制定 事項識別 風險評估 風險反應 控制活動 信息溝通 監控 公司 部門 業務 子公司等分支機構 內部環境 31 CIA后續教育 八要素與五要素關系 內部環境 目標制定 事項識別 風險評估 風險反應 控制活動 信息溝通 監控 內部環境 風險評估 控制活動 信息溝通 監控 32 CIA后續教育 要素 五要素及其相互關系 監控 控制活動 風 險 評 估 內部環境 信 息 溝 通 信 息 溝 通 基礎 手段 保證 載體 依據 33 CIA后續教育 ?薩班斯 奧克斯利法案 （ SarbanesOxley Act)對內部控制要求； ? 作為統一公司的制度和流程的基礎；及 ? 開始建立與現代企業制度相適應的公司治理結構和控制環境。 34 CIA后續教育 ? 美國的薩班斯 奧克斯利法案 （ SarbanesOxley Act) ?