cia輔導第三科：信息技術部分-全文預覽

　　

【正文】 規的學習，不斷提高風險管理意識。 63 CIA后續教育 三、內部控制的自我評價 公司目前建立了較完善的法人治理結構和內部控制體系，符合有關法律法規和證券監管部門的要求，能夠適應公司現行管理的要求和公司發展的需要。 62 CIA后續教育 (四 )內部監督 公司設有監事會，對股東大會負責。 60 CIA后續教育 (5)對外擔保的內部控制。從信息披露機構和人員、信息的收集、報告、流轉、審核、披露程序、保密措施、信息披露監督、責任追究等方面作了詳細規定。 公司制定有《重大經營與投資決策管理制度》，對投資的類別及相應的決策程序、決策權限、決策實施等方面作了明確規定。 (2)募集資金的內部控制。 憑證與記錄控制： 制定了較為完善的憑證與記錄的控制程序，對所有經濟業務往操作過程均經相關人員簽字確認進行控制。 56 CIA后續教育 2．控制措施 責任分工控制： 公司高管間的責任明確，各部門都有詳盡的崗位職責。對公司規范運作、穩健經營起到了有效的監督、控制和指導作用。審計人員獨立行使審計職權，每季度對公司財務收支和經濟活動進行內部審計監督檢查，并出具報告，以確保公司經營安全。 …… 權力機構、決策機構、監督機構間權責分明、各司其職、相互制衡、和諧運作。 因此，整個集團的共同參與對亍項目的成功至關重要。奧克斯利法案 （ SarbanesOxley Act) ? 需符合規定的時間： 提交截止 2023年底的經審計師鑒證的內部控制報告 ? 根據我們的經驗，美國類似規模的上市公司需要 一年 以上的時間進行準備。 29 CIA后續教育 30 CIA后續教育 風險管理框架 戰 略 目 標 經 營 目 標 報 告 合 法 目 目 標 標 目標制定 事項識別 風險評估 風險反應 控制活動 信息溝通 監控 公司 部門 業務 子公司等分支機構 內部環境 31 CIA后續教育 八要素與五要素關系 內部環境 目標制定 事項識別 風險評估 風險反應 控制活動 信息溝通 監控 內部環境 風險評估 控制活動 信息溝通 監控 32 CIA后續教育 要素 五要素及其相互關系 監控 控制活動 風 險 評 估 內部環境 信 息 溝 通 信 息 溝 通 基礎 手段 保證 載體 依據 33 CIA后續教育 ?薩班斯 在這種情況下，企業開始注重風險管理， 內 部審計重點從以制度為基礎審計 (內部控制評審） 轉向以風險為基礎審計，或稱風險導向審計。從 1991年開始，世界許多大公司開始了兼并、重組和公司治理的過程，企業面臨的風險普遍增大。 ? 由于該法案 80%的內容或措施都與內部控制有關，故被稱為是內部控制法案；亦稱為 “ 2023年公司與刑事欺詐責任法案 ”（ the Corporate and Criminal Fraud Accountability Act of 2023）。 ? 1992年， COSO 在《內部控制 —— 整合框架》中提出了內部控制報告的框架，規定內部控制報告應著重說明 控制系統的有效性 。 ? 20世紀 80年代，美國華爾街發生了許多金融機構破產的事件，給納稅人造成了 1500億美元的損失。 16 CIA后續教育 實施難度和主要問題 （ 1）政出多門，標準要求不統一； （ 2）企業無所適從，缺乏內在動力； （ 3）實施內部控制的成本巨大； （ 4）缺乏內部控制系統設計、執行和評估 的專業人才； （ 5）未能將內控合規性成本轉化為增強企 業核心競爭力的優勢。 ? 控制目標： 合理保證企業 (1)經營管理合法合規；(2)資產安全； (3)財務報告及相關信息真實完整；(4) 提高經營效率和效果； (5)促進企業實現發展戰略。 10 CIA后續教育 誰對內部控制系統負責 ? ? 最高管理層負有對內部控制系統的組織實施的責任； ? 董事會負有監督責任； ? 外部和內部審計師負有評估內部控制有效性的責任； ? 誰擔當設計和實施內部控制的重任？ 11 CIA后續教育 二、我國《企業內部控制基本規范》 12 CIA后續教育 《企業內部控制基本規范》 ? 2023年 6月，在借鑒和吸收國際監管新理念的背景下，我國財政部、審計署、證監會、銀監會和保監會五部委聯合印發了《企業內部控制基本規范》（財會[2023]7號）。強力推薦的指南并非旨在為特定情況給出明確的答案，因此更宜于用作指引。 強制性指南適用于提供內部審計服務的個人或機構。在某些例外情況下使用“應當”一詞來表示期待相關要求得到遵守，除非根據專業判斷所涉情形允許偏離《標準》的要求。立場公告表明 IIA關于內部審計在特定事項中的角色及職責所持的立場或觀點。原框架中涉及工具或技術方法的內容已經移至實務指南部分。 (3)釋義。 (2)發展與實務幫助。 2 CIA后續教育 國際內部審計實務標準框架 （ IPPF） 3 CIA后續教育 4 CIA后續教育 新版 IPPF所作的重大改變是： (1)程序改進。它通過采取 系統化、規范化 的方法 評價和改進 組織的風險管理、控制及治理過程的 有效性 ，幫助組織 實現其目標 。盡管并非每三年都需要進行修改 IIA仍致力于確保對標準作全面的審核，并視需要進行修訂。由于新版 IPPF的范圍只包括上述的權威標準，這項內容不再適合于新的框架。這部分內容在范圍上己經縮減為只包括用于實施“內部審計定義”、《職業道德規范》和《標準》的技術和方法。實務指南側重于在工具和技術的具體運用方面提供指引，包括詳細的流程、程序、方案和步驟(例如每一步所形成結果的范例 )。《標準》中用“必須”特指無條件的強制性要求。內部審計師是指國際內部審計師協會會員、已經或正在獲取 IIA職業教育資格的人員以及按照內部審計定義的界定提供內部審計服務的人員。這類指南 不具有強制性 ，而是為滿足強制性指南的要求提供一系列適用的解決方案。 7 CIA后續教育 培訓大綱 第一講： 內部控制原理與定義 第二講：內部控制環境 第三講： 風險管理與風險評估 第四講： 應用控制評估與測試 第五講： 內部控制衡量與報告 8 CIA后續教育 一、概述 二、 《企業內部控制基本規范》 三、內部控制理論與實務發展 第一講：內部控制原理與定義 9 CIA后續教育 目前，企業內部控制系統的設計主要有三種形式： —— 外包給四大會計師事務所； —— 企業自行設計； —— 自行設計與外包相結合。 (公司治理 ?) 14 CIA后續教育 內部控制定義、目標和要素 ? 定義： 內部控制是由董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程。上市公司應當對本公司內部控制有效性進行自我評估，披露年度自我評價報告，并可聘用具有證券、期貨業務資格的會計師事務所對內部控制的有效性進行審計。 19 CIA后續教育 與內部控制立法相關的歷史事件 ? 1977年美國國會通過了 《反海外賄賂行為法》 。 20 CIA后續教育 ? 1987年， Treadway Commission 在其報告中指出：大多金融機構破產的原因一半以上是內部控制失效，該報告引起了各界廣泛的關注。 COSO的五大成員機構如下： —— 美國注冊會計師協會（ AICPA） —— 美國會計師學會 （ AAA） —— 美國財務執行官協會（ FEI） —— 國際內部審計師協會（ IIA） —— 美國管理會計師協會（ IMA） 22 CIA后續教育 ? 《 2023年上市公司會計改革和投資者保護法案》(“ Sarbanes0xley Act” , SOX）亦稱《薩班斯 奧克斯利法案》 (簡稱《薩 ?奧法案》 )。 《薩 ? 奧法案》的意向目標 24 CIA后續教育 20世紀 80年代 ,內部控制是企業管理的重要內容，檢查和評價內部控制制度是否適當、有效和具有可操作性是內部審計的重要工作。 26 CIA后續教育 20世紀 90年代 —— 風險管理取代內部控制 ? 企業兼并重組實行多樣化經營，進入了眾多以前未涉及的領域； ? 實施國際化發展戰略，控制鏈大大延長； ? 信息技術在經營管理中廣泛應用導致計算機犯罪增加。 28 CIA后續教育 回歸內部控制的重要原因 2023年 《 薩 ?奧法案 》 對加強內部控制和設立審計委員會的強制性法律要求 。奧克斯利法案 （ SarbanesOxley Act) ? 所有在美國上市的公司均需遵行 ? 強調外部會計師的獨立性 ? 關注公司內部治理及對外信息透明、完整與正確性 ? 以強化內部控制為核心的要求 外部壓力－法案的強制性 35 CIA后續教育 ? 美國的薩班斯 ?內部控制 是 ： 美國反欺騙性財務報告委員會（ COSO）的定義 ： 內部控制 是一個靠組織的 董事會、管理層和其他員工 去實現的 過程 ，實現這一過程是為了合理的保證： ? 經營的效果性和效率性； ? 財務報告的可信性； ? 對法律和規章制度的遵循性。奧克斯利法案的結果也是價值的創造 ?提供的數據客觀，形象的表示了公司業績 ?財務報表更改的情況將很少發生 ?業績將更接近原有的預期 ?持續的計劃給管理層和投資者提供了數據用于公司應對商業環境的變化 ?隨著時間的推移，信息將快速的產生 ?需要快速的提供給投資者相關信息 ?簡單化和標準化的信息使得更容易被理解和接受 ?管理層要直接看到推動業務的相關因素 及時 可預測 透明 精確 1999 2023 2023 2023 2023EEarnings 39 CIA后續教育 一、基本概念闡述 二、內控系統整體架構 三、內部控制的實施 內部控制 主要內容 40 CIA后續教育 風險如何最小化？ ?加強系統的內部控制 ?對可能的損失投保 ?當可能的風險較大時，尋求較大的回報 41 CIA后續教育 內控系統五要素架構 42 CIA后續教育 一些重要的內控方法 ? 職責分離控制 ? 授權批準控制 ? 內部報告控制 ? 電子信息技術控制 …… 43 CIA后續教育 不相容職務相互分離控制－示例 工作職責 存在的風險 同時負責現金的收取和應收賬款的會計記錄 可能會通過注銷應收賬款和截留應收賬款等調節賬簿的方法來私自挪用現金 同時負責購貨訂單的審批和貨物的收取 可能以組織的名義為個人購入貨物，在收取貨物時利用職務之便將貨物占為己有，同時不向會計部門遞交原始憑證或者在原始憑證上反映虛假信息 同時負責付款的審批和購貨訂單簽發與審核 可能會偽造購貨業務并支付貨款，從而貪污現金 44 CIA后續教育 信息系統控制－目標 ?提高資源使用效率 ?有效達到企業目標 ?保持數據完整 ?維護資產安全 ?符合相關的法律、法規和政策 45 CIA后續教育 一般信息系統控制 ?信息系統的組織和管理 信息系統操作 外包廠商管理 數據安全 ?危機處理與業務持續計劃 應用系統安裝與維護 ?數據庫安裝與支持 ?網絡支持 ?系統軟件支持 ?硬件支持 提高企業信息系統的整體可信賴程度的控制 46 CIA后續教育 實施內部控制制度 逐項復核內控是否存在亍現有流程中，是否有效 必要時進一步制定具體政策和管理報告 考慮成本效益原則 強化對內控的監督與評估 最有效的辦法 47 CIA后續教育 實施控制時的成本效益原則 48 CIA后續教育 實施內控時常出現的誤區 ? 管理層在實施內控中未承擔應有職責 ? 過分強調控制成本 ? 片面強調人員素質 ? 認為內控包治百病 49 CIA后續教育 ? 文檔記錄的重要性 ? 文檔記錄可以為控制程序的確定和控制的監管提供證據 ? 內部控制設計若缺乏文檔記錄將可能導致內部控制的重大失效或重大缺陷 ? 缺乏足夠的證據來支持公司的評估結果會在外部