cia輔導第三科：信息技術部分(完整版)

　　

【正文】 3年度沒有違反《上市公司內部控制指引》及《對外擔保管理制度》的情形發生。能保障公司所屬財產物資的安全、完整能按照法律、法規和公司章程規定的信息披露的內容和格式要求，真實、準確、完整、及時地報送和披露信息，確保公開、公平、公正地對待所有投資者，切實保護公司和股東的利益。 67 CIA后續教育 控制環境的 10大要素： 一、行為守則和政策制度 二、企業價值觀 三、高管的表率作用 四、組織架構 五、員工的素質 六、內部溝通渠道 七、授權制度 八、內部監督與檢查 九、資產保護 十、清晰合理的業務流程 68 CIA后續教育 計劃 執行 檢查 整改 (PDCA)的循環 仸何高質量項目的一個前提條件是強調持續改進。培訓員工，使他們掌握實現計劃所需的程序和技能，了解工作的性質，然后，依照這些程序執行工作。 74 CIA后續教育 ? PDCA循環確保產品的質量和服務符合組織的期望值，并且滿足預期的預算和交貨日期的要求。 80 CIA后續教育 COSO定義的內部控制角色與職責 管理層 管理層直接負責整個組織所有的活動，包括內部控制系統。為了履行這種責任，最關鍵的是首席執行官應當明確地規定需要什么信息。通過保留某些關鍵的決策權，董事會同樣可以在高階層目標的設定和制定戰略計劃中發揮作用。 85 CIA后續教育 組織的其他員工 內部控制在某些程度上 是組織中每一個人的責仸， 因此，應當明確規定每個員工的崗位職責。 86 CIA后續教育 也許沒有其他任何外部當事方可以像獨立審計師那樣，在幫助實現組織財務報告目標方面發揮重要的作用。 90 CIA后續教育 首席執行官 (CEO)—— 首席執行官對內部控制的整個系統負責，包括本組織中所有的控制措施。 93 CIA后續教育 職員的職能 —— 職員職能包括推銷、信息技術服務等。 98 CIA后續教育 有效控制環境的 10個最高屬性 —— 行為守則政策 ( Code of Conduct Policy)； —— 企業的價值觀 ( Corporate Values)； —— 首席執行官成為楷摸 (CEO as the Role Model)； —— 組織結構 (職責分離 )( Organizational Structure ) —— 人員的勝任能力 ( Competency of Personnel) —— 職責與權力的特別委派和溝通 (Specific Delegation and of Responsibility and Authority)； —— 一般授權與責任制 (General Authorization and Accountability)； —— 內部審計 (Internal Auditing )； —— 資產保護 (Asset Safeguarding )； —— 規定的工作流程 (Defined Work Processes ) 。 (7)一般授權與責任制 —— 一般授權規定責任的范圍和在實施工作中個人的權限。例如，致力于向沒有充足 食品的個人提供食品的組織其愿景可能是“消除世界饑餓”。然而，在 COSO 內部控制整合框架中所包括的指南提供了被認為是好的組織結構的指引。例如，應考慮： —— 負責的主管是否具有履行其職責所必需的知識、經驗和培訓。專業的審計文獻指出：“實現會計目標的合理保證取決于員工的勝任能力和誠實性，他們被委派職能的獨立性以及他們對規定程序的理解。特別事項的授權應當以允許對作出的決定進行有效審查的方式進行委派或限制。第一級是一般授權，包括執行某一行為的權力；第二級是特別授權，是批準某一特定交易事項的權力。 比較預算和實際結果的財務報告，分析差異以及從這種分析中產生的管理行動，可以使管理層識別需要加強控制的領域。 內部審計的任務之一可能是對內部控制措施 (包括會計控制 )進行評價，以及確定它們是否正在有效地行使其職能。公司政策或內部審計章程是一個有效內部審計部門的基石。用于保護某一資產的努力應當與該資產的價值、流動性和損失的風險相關。 122 CIA后續教育 資產的保護也可以通過以下各種不同的合乎邏輯的程序予以完成，包括： ?對要安排在敏感職位上的人員的正直性進行調查的聘用程序； ?提供降低資產損失影響的保險； ?與關鍵的員工簽約； ?為關鍵的員工投保； ?只有經授權的個人才能知道密碼； ?處理權限的計算機控制程度； ?在關鍵的名字和地址通訊錄上列出可信賴員工的名字，如果該通訊錄需要調整，并與通訊錄上的那些人聯絡，盡可能與可信賴的員工聯絡。 124 CIA后續教育 大多數的績效控制起源于良好的或有缺陷工作慣例的結果。 努力建立良好的計劃和系統，但是，所有的計劃和系統經過一段時間會受到腐蝕。 建立控制環境 127 CIA后續教育 管理層通過實例和行動建立的控制環境影響整個內部控制系統執行的有效性。履行這些職責的方法決定著組織的控制環境。 公司規模越大，運營就越復雜，就越有必要通過圖表、職位說明、政策聲明和類似的文件說明組織結構。企業長期計劃好壞的程度為保護資產和產生用于決策的財務信息提供適當的控制程度，可能決定著公司控制系統的末來質量；它甚至可能決定企業的未來發展。計劃編制應當控制發生在各層級中的整個組織的業務活動。 監督在提升人員的勝任能力和正直性以及為每一個主管的下屬人員設定控制環境氛圍方面發揮著關鍵性作用。 135 CIA后續教育 環境控制存在三個重要方面 第一，制定的控制措施應當足以監控這種環境，并向管理層提供評價控制措施適當性和有效性的充足信息 第二，管理層應當使用這種信息采取任何所需的糾正行動，以確保其運營的完整性 第三，當環境發生變化時，環境控制措施應當進行調整，保持與環境同步變化。 這些特征影響著有效內部控制環境職責分離的四種類型，即在財務記錄與運營、會計與資產保管、授權與資產保管和會計仸務每種類型之間進行職責分離。 140 CIA后續教育 相關資產保管與交易授權分離 較為理想的做法是，防止授權交易的人有權控制相關的資產。 在任何信息技術系統中，同樣重要的是系統設計要提供這兩種職責的分 離和被控制的“例外報告”屬于信息系統之外的職能。為了確保公正的信息，財務保存的記錄應當由會計主管職能的一個單獨部門來負責。一般來說，控制措施的成本不應當超過正在被保護事物的潛在損失。因此，管理層應當評價主管人員的職權和不斷地尋求他們有效履行其職責的保證。 制定戰術計劃 133 CIA后續教育 環境控制的指導 指導是將經營計劃變成現實的下一個步驟。 132 CIA后續教育 戰術計劃或經營計劃編制包括執行戰略計劃的各項活動，以及決定運營活動的需要。它應當在組織的所有層級發生。通常它涉及報告關系、由組織內各部門執行的職能和主要職務的權力、責任和限制因素。組織的最高層領導必須明確地敘述，并且營造和溝通控制的適當意識氛圍。不能低估對良好計劃和系統的檢查在組織實現成功方面的重要性。如果有缺陷的習慣做法己經造成工作效率低下、無效果或不經濟 節約，就要建立績效控制措施避免重復這些拙劣的習慣做法。 123 CIA后續教育 規定的工作流程 組織的運營績效是管理層直接關注的事項。 資產保護涉及資產的安全。許多人對內部審計師和外部審計師的職責感到困惑。 一些公司因為其規模太小而沒有設立內部審計職能，或因為它們己經選擇使用替代的辦法，所以運營中可能沒有設立內部審計機構。 適當的報告是對已經被委派給其他人的職權行使控制的主要形式。 117 CIA后續教育 組織的一般授權政策應當正式形成。同樣也需要知道直接和間接地影響個人職責的政策、程序和活動。不誠實或能力低下的員工會便大多數的控制程序無法發揮作用。例如，應考慮： —— 既定的報告關系，正式的或非正式的、直接的或模本式的報告是否有效，它們是否能向經理們提供適合他們的職責和授權的信息； —— 業務主管是否有渠道與高級運營主管溝通。主管人員應當完全了解他們的 控制責任，并且具有與他們職務相匹配所必需的經驗和知識。 例如，價值觀可能包括： ?所有的員工必須勝任他們的工作； ?合理支付薪酬； ?保護個人的誠實性； ?讓客戶滿意是我們的第一目標。責任制是每個人要對他們所代表的組織日常工作活動負責。 (2)企業的價值觀 ——公司希望在實施日常運營中考慮的價值觀。例如，工資管理部門有一個工資流程，產生支付工資的支票和聯邦納稅申報表的產品。《薩 ?奧法案》的頒布，要求首席執行官證明內部控制系統的適當性。 外部審計 87 CIA后續教育 立法者和監管者通過立法要求建立內部控制措施，或通過檢查特別的單位來影響許多單位組織的內部控制系統。他們可能提出可用于內部控制系統的信息，例如，存貨記錄、在制品數據、銷售或者支出報告，或者來取實現控制所需的其他行動。 董事會 (包括董事會的重要委員會 ) 83 CIA后續教育 審計委員會 管理層對財務報表的可靠性負責，但是，有效的審計委員會發揮著重要的監督作用。財務主管時常參與制定整個組織范圍的預算和計劃。這些職責通常是非常不相同的，取決于這個組織的特點。反復運用 PDCA的循環可以不斷改進工作質量和工作方法，并且獲得預期的結果。檢查執行工作的程序、情況變化或可能出現的反常現象。這一循環包括計劃 (Plan)、執行 (Do)、檢查 (Check)和整改 (Act) 四個步驟 ( 如圖 234所示 ) 。 (二 )繼續加強對相關知識的學習加強公司董事、監事、高級管理人員和業務人員對《公司法》、《證券法》以及與公司經營和證券管理相關的法律、法規的學習，不斷提高風險管理意識。 62 CIA后續教育 (四 )內部監督 公司設有監事會，對股東大會負責。從信息披露機構和人員、信息的收集、報告、流轉、審核、披露程序、保密措施、信息披露監督、責任追究等方面作了詳細規定。 (2)募集資金的內部控制。 56 CIA后續教育 2．控制措施 責任分工控制： 公司高管間的責任明確，各部門都有詳盡的崗位職責。審計人員獨立行使審計職權，每季度對公司財務收支和經濟活動進行內部審計監督檢查，并出具報告，以確保公司經營安全。 因此，整個集團的共同參與對亍項目的成功至關重要。 29 CIA后續教育 30 CIA后續教育 風險管理框架 戰 略 目 標 經 營 目 標 報 告 合 法 目 目 標 標 目標制定 事項識別 風險評估 風險反應 控制活動 信息溝通 監控 公司 部門 業務 子公司等分支機構 內部環境 31 CIA后續教育 八要素與五要素關系 內部環境 目標制定 事項識別 風險評估 風險反應 控制活動 信息溝通 監控 內部環境 風險評估 控制活動 信息溝通 監控 32 CIA后續教育 要素 五要素及其相互關系 監控 控制活動 風 險 評 估 內部環境 信 息 溝 通 信 息 溝 通 基礎 手段 保證 載體 依據 33 CIA后續教育 ?薩班斯 從 1991年開始，世界許多大公司開始了兼并、重組和公司治理的過程，企業面臨的風險普遍增大。 ? 1992年， COSO 在《內部控制 —— 整合框架》中提出了內部控制報告的框架，規定內部控制報告應著重說明 控制系統的有效性 。 16 CIA后續教育 實施難度和主要問題 （ 1）政出多門，標準要求不統一； （ 2）企業無所適從，缺乏內在動力； （ 3）實施內部控制的成本巨大； （ 4）缺乏內部控制系統設計、執行和評估 的專業人才； （ 5）未能將內控合規性成本轉化為增強企 業核心競爭力的優勢。 10 CIA后續教育 誰對內部控制系統負責 ? ? 最高管理層負有對內部控制系統的組織實施的責任； ? 董事會負有監督責任； ? 外部和內部審計師負有評估內部控制有效性的責任； ? 誰擔當設計和實施內部控制的重任？ 11 CIA后續教育 二、我國《企業內部控制基本規范》 12 CIA后續教育 《企業內部控制基本規范》 ? 2023年 6月，在借鑒和吸收國際監管新理念的背景下，我國財政部、審計署、證監會、銀監會和保監會五部委聯合印發了《企業內部控制基本規范》（財會[2023]7號）。 強制