cia輔導(dǎo)第三科：信息技術(shù)部分(更新版)

　　

【正文】 性指南適用于提供內(nèi)部審計(jì)服務(wù)的個(gè)人或機(jī)構(gòu)。立場(chǎng)公告表明 IIA關(guān)于內(nèi)部審計(jì)在特定事項(xiàng)中的角色及職責(zé)所持的立場(chǎng)或觀點(diǎn)。 (3)釋義。 2 CIA后續(xù)教育 國際內(nèi)部審計(jì)實(shí)務(wù)標(biāo)準(zhǔn)框架 （ IPPF） 3 CIA后續(xù)教育 4 CIA后續(xù)教育 新版 IPPF所作的重大改變是： (1)程序改進(jìn)。盡管并非每三年都需要進(jìn)行修改 IIA仍致力于確保對(duì)標(biāo)準(zhǔn)作全面的審核，并視需要進(jìn)行修訂。這部分內(nèi)容在范圍上己經(jīng)縮減為只包括用于實(shí)施“內(nèi)部審計(jì)定義”、《職業(yè)道德規(guī)范》和《標(biāo)準(zhǔn)》的技術(shù)和方法。《標(biāo)準(zhǔn)》中用“必須”特指無條件的強(qiáng)制性要求。這類指南 不具有強(qiáng)制性 ，而是為滿足強(qiáng)制性指南的要求提供一系列適用的解決方案。 (公司治理 ?) 14 CIA后續(xù)教育 內(nèi)部控制定義、目標(biāo)和要素 ? 定義： 內(nèi)部控制是由董事會(huì)、監(jiān)事會(huì)、經(jīng)理層和全體員工實(shí)施的、旨在實(shí)現(xiàn)控制目標(biāo)的過程。 19 CIA后續(xù)教育 與內(nèi)部控制立法相關(guān)的歷史事件 ? 1977年美國國會(huì)通過了 《反海外賄賂行為法》 。 COSO的五大成員機(jī)構(gòu)如下： —— 美國注冊(cè)會(huì)計(jì)師協(xié)會(huì)（ AICPA） —— 美國會(huì)計(jì)師學(xué)會(huì) （ AAA） —— 美國財(cái)務(wù)執(zhí)行官協(xié)會(huì)（ FEI） —— 國際內(nèi)部審計(jì)師協(xié)會(huì)（ IIA） —— 美國管理會(huì)計(jì)師協(xié)會(huì)（ IMA） 22 CIA后續(xù)教育 ? 《 2023年上市公司會(huì)計(jì)改革和投資者保護(hù)法案》(“ Sarbanes0xley Act” , SOX）亦稱《薩班斯 奧克斯利法案》 (簡(jiǎn)稱《薩 ?奧法案》 )。 26 CIA后續(xù)教育 20世紀(jì) 90年代 —— 風(fēng)險(xiǎn)管理取代內(nèi)部控制 ? 企業(yè)兼并重組實(shí)行多樣化經(jīng)營，進(jìn)入了眾多以前未涉及的領(lǐng)域； ? 實(shí)施國際化發(fā)展戰(zhàn)略，控制鏈大大延長(zhǎng)； ? 信息技術(shù)在經(jīng)營管理中廣泛應(yīng)用導(dǎo)致計(jì)算機(jī)犯罪增加。奧克斯利法案 （ SarbanesOxley Act) ? 所有在美國上市的公司均需遵行 ? 強(qiáng)調(diào)外部會(huì)計(jì)師的獨(dú)立性 ? 關(guān)注公司內(nèi)部治理及對(duì)外信息透明、完整與正確性 ? 以強(qiáng)化內(nèi)部控制為核心的要求 外部壓力－法案的強(qiáng)制性 35 CIA后續(xù)教育 ? 美國的薩班斯 奧克斯利法案的結(jié)果也是價(jià)值的創(chuàng)造 ?提供的數(shù)據(jù)客觀，形象的表示了公司業(yè)績(jī) ?財(cái)務(wù)報(bào)表更改的情況將很少發(fā)生 ?業(yè)績(jī)將更接近原有的預(yù)期 ?持續(xù)的計(jì)劃給管理層和投資者提供了數(shù)據(jù)用于公司應(yīng)對(duì)商業(yè)環(huán)境的變化 ?隨著時(shí)間的推移，信息將快速的產(chǎn)生 ?需要快速的提供給投資者相關(guān)信息 ?簡(jiǎn)單化和標(biāo)準(zhǔn)化的信息使得更容易被理解和接受 ?管理層要直接看到推動(dòng)業(yè)務(wù)的相關(guān)因素 及時(shí) 可預(yù)測(cè) 透明 精確 1999 2023 2023 2023 2023EEarnings 39 CIA后續(xù)教育 一、基本概念闡述 二、內(nèi)控系統(tǒng)整體架構(gòu) 三、內(nèi)部控制的實(shí)施 內(nèi)部控制 主要內(nèi)容 40 CIA后續(xù)教育 風(fēng)險(xiǎn)如何最小化？ ?加強(qiáng)系統(tǒng)的內(nèi)部控制 ?對(duì)可能的損失投保 ?當(dāng)可能的風(fēng)險(xiǎn)較大時(shí)，尋求較大的回報(bào) 41 CIA后續(xù)教育 內(nèi)控系統(tǒng)五要素架構(gòu) 42 CIA后續(xù)教育 一些重要的內(nèi)控方法 ? 職責(zé)分離控制 ? 授權(quán)批準(zhǔn)控制 ? 內(nèi)部報(bào)告控制 ? 電子信息技術(shù)控制 …… 43 CIA后續(xù)教育 不相容職務(wù)相互分離控制－示例 工作職責(zé) 存在的風(fēng)險(xiǎn) 同時(shí)負(fù)責(zé)現(xiàn)金的收取和應(yīng)收賬款的會(huì)計(jì)記錄 可能會(huì)通過注銷應(yīng)收賬款和截留應(yīng)收賬款等調(diào)節(jié)賬簿的方法來私自挪用現(xiàn)金 同時(shí)負(fù)責(zé)購貨訂單的審批和貨物的收取 可能以組織的名義為個(gè)人購入貨物，在收取貨物時(shí)利用職務(wù)之便將貨物占為己有，同時(shí)不向會(huì)計(jì)部門遞交原始憑證或者在原始憑證上反映虛假信息 同時(shí)負(fù)責(zé)付款的審批和購貨訂單簽發(fā)與審核 可能會(huì)偽造購貨業(yè)務(wù)并支付貨款，從而貪污現(xiàn)金 44 CIA后續(xù)教育 信息系統(tǒng)控制－目標(biāo) ?提高資源使用效率 ?有效達(dá)到企業(yè)目標(biāo) ?保持?jǐn)?shù)據(jù)完整 ?維護(hù)資產(chǎn)安全 ?符合相關(guān)的法律、法規(guī)和政策 45 CIA后續(xù)教育 一般信息系統(tǒng)控制 ?信息系統(tǒng)的組織和管理 信息系統(tǒng)操作 外包廠商管理 數(shù)據(jù)安全 ?危機(jī)處理與業(yè)務(wù)持續(xù)計(jì)劃 應(yīng)用系統(tǒng)安裝與維護(hù) ?數(shù)據(jù)庫安裝與支持 ?網(wǎng)絡(luò)支持 ?系統(tǒng)軟件支持 ?硬件支持 提高企業(yè)信息系統(tǒng)的整體可信賴程度的控制 46 CIA后續(xù)教育 實(shí)施內(nèi)部控制制度 逐項(xiàng)復(fù)核內(nèi)控是否存在亍現(xiàn)有流程中，是否有效 必要時(shí)進(jìn)一步制定具體政策和管理報(bào)告 考慮成本效益原則 強(qiáng)化對(duì)內(nèi)控的監(jiān)督與評(píng)估 最有效的辦法 47 CIA后續(xù)教育 實(shí)施控制時(shí)的成本效益原則 48 CIA后續(xù)教育 實(shí)施內(nèi)控時(shí)常出現(xiàn)的誤區(qū) ? 管理層在實(shí)施內(nèi)控中未承擔(dān)應(yīng)有職責(zé) ? 過分強(qiáng)調(diào)控制成本 ? 片面強(qiáng)調(diào)人員素質(zhì) ? 認(rèn)為內(nèi)控包治百病 49 CIA后續(xù)教育 ? 文檔記錄的重要性 ? 文檔記錄可以為控制程序的確定和控制的監(jiān)管提供證據(jù) ? 內(nèi)部控制設(shè)計(jì)若缺乏文檔記錄將可能導(dǎo)致內(nèi)部控制的重大失效或重大缺陷 ? 缺乏足夠的證據(jù)來支持公司的評(píng)估結(jié)果會(huì)在外部簽證報(bào)告中列為質(zhì)量的重大缺陷，并簽發(fā)反對(duì)意見報(bào)告 ? 管理層聲明 ? 完成評(píng)估后，公司必須向它的審計(jì)師提供一份關(guān)于內(nèi)部控制有效性的書面聲明 ? 管理層聲明必須作為一個(gè)獨(dú)立的報(bào)告包括在管理當(dāng)局說明書中(*) ? 對(duì)于拒絕出具書面的管理層聲明的公司，外部審計(jì)人員必須拒絕對(duì)其內(nèi)部控制系統(tǒng)發(fā)表意見 * 公司 CEO和 CFO對(duì)該聲明書全權(quán)負(fù)責(zé)，并對(duì)不實(shí)的聲明承擔(dān)刑事責(zé)仸 管理層責(zé)任 —— 評(píng)估財(cái)務(wù)報(bào)告系統(tǒng)內(nèi)部控制的有效性 50 CIA后續(xù)教育 實(shí)施以風(fēng)險(xiǎn)為導(dǎo)向的內(nèi)部控制體系的主要做法： ? 內(nèi)控體系建設(shè)的基本思路 ? 構(gòu)建內(nèi)控體系基礎(chǔ)框架 ? 開展年度檢討和管理改進(jìn) ? 持續(xù)改進(jìn)，內(nèi)控體系建設(shè)向縱深發(fā)展 51 CIA后續(xù)教育 《內(nèi)部控制手冊(cè)》目錄 第一章 前言 第二章 內(nèi)部控制環(huán)境建設(shè) 第三章 目標(biāo)設(shè)定中的風(fēng)險(xiǎn)考量 第四章 風(fēng)險(xiǎn)管理 52 CIA后續(xù)教育 第五章 業(yè)務(wù)管理流程控制 第六章 信息與溝通 第七章 監(jiān)控與評(píng)價(jià) 第八章 管理改進(jìn) 附錄一 手冊(cè)內(nèi)容與香港聯(lián)交所國資委內(nèi)控相關(guān)要求的對(duì)照表 附錄二 相關(guān)詞匯的定義 53 CIA后續(xù)教育 2023年度企業(yè)內(nèi)部控制自我評(píng)估報(bào)告 一、公司內(nèi)部控制的原則和目標(biāo) 二、公司內(nèi)部控制體系 （一）內(nèi)部環(huán)境 《公司法》、《證券法》等法律法規(guī)要求，公司擁有較為完善的法人治理結(jié)構(gòu)。 55 CIA后續(xù)教育 (二 )控制活動(dòng) 1．建立健全管理制度 公司治理方面： 公司在 2023年修訂完善了公司章程，規(guī)范完善了《財(cái)務(wù)管理制度》、《董事、監(jiān)事和高級(jí)管理人員所持本公司股份及其變動(dòng)的專項(xiàng)管理制度》、《董事會(huì)審計(jì)委員會(huì)工作細(xì)則》、《董事會(huì)提名委員會(huì)工作細(xì)則》、《董事會(huì)薪酬與考核委員會(huì)工作細(xì)則》、《董事會(huì)戰(zhàn)略委員會(huì)工作細(xì)則》、《獨(dú)立董事工作制度》、《獨(dú)立董事年度報(bào)告工作制度》、《對(duì)外擔(dān)保管理辦法》、《關(guān)聯(lián)交易管理制度》、《募集資金專項(xiàng)存儲(chǔ)制度》、《內(nèi)部審計(jì)制度》、《投資者接待和推廣制度》、《信息披露管理制度》《重大經(jīng)營及投資決策管理制度》、《東晶電子 2023年度內(nèi)部控制自我評(píng)價(jià)報(bào)告 3中信息內(nèi)部報(bào)告制度》等十八項(xiàng)制度。一般授權(quán)由各部門逐級(jí)審批或協(xié)調(diào)處理并將事項(xiàng)的最終處理意見提交總經(jīng)批；特別授權(quán)由董事會(huì)或股東大會(huì)批準(zhǔn)。 58 CIA后續(xù)教育 (3)重大投資的內(nèi)部控制。公司在 2023年做好了信息披露機(jī)構(gòu)及相關(guān)人員的培訓(xùn)和保密工作，未出現(xiàn)信息泄密事件。東晶電子 2023年度內(nèi)部控制自我評(píng)價(jià)報(bào)告5董事會(huì)審計(jì)委員會(huì)是董事會(huì)設(shè)立的專門工作機(jī)構(gòu)，主要負(fù)責(zé)內(nèi)部審計(jì)與外部審計(jì)之間的溝通；審核公司的財(cái)務(wù)信息及其披露；審查公司內(nèi)部控制制度，對(duì)重大關(guān)聯(lián)交易進(jìn)行審計(jì)等。 某股份有限公司董事會(huì)審計(jì)委員會(huì) 二零零九年四月六日 65 CIA后續(xù)教育 第二講：內(nèi)部控制環(huán)境 ? 內(nèi)控環(huán)境的概念 ? 內(nèi)控環(huán)境的 10大要素 ? 構(gòu)建企業(yè)內(nèi)控環(huán)境實(shí)務(wù) ? 內(nèi)控戰(zhàn)略規(guī)劃 ? 員工行為守則 守則和政策規(guī)定 ? 企業(yè)價(jià)值觀 高管表率 ? 組織構(gòu)架、牽制、分責(zé)制 ? 建立內(nèi)部溝通渠道 舞弊丼報(bào)、受理機(jī)構(gòu)、信息反饋 ? 授權(quán)制度建設(shè) 崗位職責(zé)、授權(quán) ? 內(nèi)部監(jiān)督與檢查 利益沖突調(diào)查、審計(jì)檢查、丼報(bào)核查 ? 資產(chǎn)保護(hù) 風(fēng)險(xiǎn)預(yù)警、保險(xiǎn) ? 業(yè)務(wù)流程開發(fā) 系統(tǒng)設(shè)計(jì)、系統(tǒng)整合、 ERP系統(tǒng)、系統(tǒng)優(yōu)化 66 CIA后續(xù)教育 控制環(huán)境 控制環(huán)境 —— 是指股東和管理層對(duì)內(nèi)部控制及其重要性的態(tài)度、認(rèn)識(shí)和措施。計(jì)劃應(yīng)當(dāng)清楚地描述目標(biāo)和在現(xiàn)階段達(dá)到目標(biāo)所需的政策。尋找問題產(chǎn)生的原因，避免再次發(fā)生這些問題。系統(tǒng)控制和交易處理控制兩者被包括在 COSO的活動(dòng)定義中。首席執(zhí)行官與高級(jí)經(jīng)理們一起構(gòu)建形成本組織內(nèi)部控制系統(tǒng)的基本價(jià)值觀、原則和主要經(jīng)營政策。就這點(diǎn)而論，處在一個(gè)組織財(cái)務(wù)職能中的首席財(cái)務(wù)官、首席會(huì)計(jì)官、主記員和其他人員是管理層行使控制方式的中樞。因此，審計(jì)委員會(huì)必須履行直接指出嚴(yán)重事件或情況的監(jiān)督作用。 其次，所有的人員應(yīng)當(dāng)負(fù)責(zé)將運(yùn)營中的問題、違反行為守則的行為，或其他違反政策的情況以及非法行為通知上一級(jí)組織。此外，法律委員會(huì)還應(yīng)當(dāng)向董事會(huì)和首席執(zhí)行官提出內(nèi)部控制系統(tǒng)法規(guī)要求方面的忠告。治理本組織實(shí)際系統(tǒng)的是內(nèi)部會(huì)計(jì)控制措施；包括財(cái)務(wù)記錄、致股東的報(bào)告、業(yè)績(jī)報(bào)告等。當(dāng)要求降低失敗的風(fēng)險(xiǎn)時(shí)，控制措施將有助于實(shí)現(xiàn)這一目標(biāo)。 (4)組織結(jié)構(gòu) ——必須設(shè)定組織的結(jié)構(gòu)，并進(jìn)行適當(dāng)?shù)穆氊?zé)分離，以便能以高效和便捷的方式完成組織的使命。 (10) 規(guī)定的工作流程 —— 用于實(shí)施工作的詳細(xì)的按部就班的程序。 首席執(zhí)行官為了成為一個(gè)楷模，必須使組織的員工可視其言行。 107 CIA后續(xù)教育 ?應(yīng)當(dāng)界定 主要經(jīng)理們的職責(zé)和他們對(duì)這些職責(zé)的理解。 111 CIA后續(xù)教育 ?特別是在管理和監(jiān)督的能力方面，有足夠的熟練技工執(zhí)行組織的各項(xiàng)活動(dòng)。同樣地，管理人員經(jīng)常能有機(jī)會(huì)故意地繞過或凌駕于控制程序之上。關(guān)鍵性的測(cè)試是，需要通知的人實(shí)際上己經(jīng)得到適當(dāng)?shù)耐ㄖｎA(yù)算和財(cái)務(wù)報(bào)告是在公司目的和目標(biāo)明確表達(dá)與溝通過程中的工具。通過系統(tǒng)的、規(guī)范的方法評(píng)價(jià)和改進(jìn)風(fēng)險(xiǎn)管理、控制和治理流程的有效性，幫助組織實(shí)現(xiàn)其目標(biāo)。內(nèi)部審計(jì)的目的是協(xié)助組織的成員有效地履行他們的職責(zé)。這種檢查通常需要獨(dú)立審計(jì)師對(duì)實(shí)物資產(chǎn)和賬簿記錄的資產(chǎn)進(jìn)行比較，以確定被記錄數(shù)額的合理性。邏輯安全包括個(gè)人必須遵循的內(nèi)設(shè)的程序，例如，在現(xiàn)金分發(fā)的終端機(jī)上使用密碼。行業(yè)工程師的評(píng)價(jià)通常涉及生產(chǎn)設(shè)備和人，而系統(tǒng)工程師 (即內(nèi)部的和外部的顧問 )設(shè)計(jì)和評(píng)價(jià)行政管理系統(tǒng)的運(yùn)行績(jī)效。因此，管理層必須將績(jī) 效控制的益處與它們可能限制人們使用良好判斷力盼任何抑制因素迸行 比較做出決定。計(jì)劃和系統(tǒng)控制旨在確保活動(dòng)符合既定的目標(biāo)。 沒有文件記錄的政策和程序也可能會(huì)有一個(gè)強(qiáng)有力的控制環(huán)境，但是，它不太可能長(zhǎng)久地保持被控制的狀態(tài)，因?yàn)樽畛踅⑦@種控制意識(shí)和運(yùn)行控制結(jié)構(gòu)的人會(huì)通過正常的退休自然減員。 129 CIA后續(xù)教育 作為環(huán)境控制的組織結(jié)構(gòu) 對(duì)某一公司組織結(jié)構(gòu)外部和內(nèi)部需求的反饋越多，就越有可能在適當(dāng)?shù)奈恢眉訌?qiáng)會(huì)計(jì)控制程序。 組織通常進(jìn)行兩種類型的計(jì)劃： 戰(zhàn)略計(jì)劃和戰(zhàn)術(shù)計(jì)劃，這兩種計(jì)劃可能在各個(gè)不同的層級(jí)發(fā)生。雖然管理方式會(huì)改變，但是，所有的管理層應(yīng)當(dāng)判斷和識(shí)別需要注意的領(lǐng)域，并決定將要采取的行動(dòng)。 有能力的管理層的指導(dǎo)和監(jiān)督的價(jià)值經(jīng)常被視為控制的一個(gè)關(guān)鍵要素。 監(jiān)督能力的一個(gè)重要因素是培訓(xùn)應(yīng)該如何控制、控制誰和控制什么。環(huán)境檢查應(yīng)當(dāng)包括作為各種不同層級(jí)檢查的特定目標(biāo)，即與環(huán)境連鎖層級(jí)中內(nèi)部控制措施和對(duì)處理與控制個(gè)別交易事項(xiàng)及其資源的活動(dòng)相關(guān)的那些目標(biāo)。當(dāng)一個(gè)人同時(shí)執(zhí)行這兩種職能時(shí)，就存在為個(gè)人贏利而處理資產(chǎn)并調(diào)整記錄加以隱瞞的風(fēng)