企業全面風險管理框架(編輯修改稿)

　

【文章內容簡介】 編制規章制度 ? 對各業務單位的風險進行組合管理 ? 度量風險和評估風險的界限 ? 建立風險信息系統和預警系統 、厘定關鍵風險指標 ? 負責風險信息披露、溝通、協調員工培訓和學習的工作 ? 按風險與回報的分析，為各業務單位分配經濟資本金 47 “ 內部審計是一項獨立、客觀的審查和咨詢活動，其目的在于增加企業的價值和改進經營。內審通過系統的方法，評價和改進企業的風險管理、控制和治理流程的效益，幫助企業實現其目標。 ” 美國內部審計師協會 第三道防線：內審單位防線 ? 第三道防線涉及一個獨立于業務單位的部門，監控企業內控和其他企業關心的問題 ? 內部審計的定義 ： 48 內部審計的 三大功能 ? 財務監督 ? 財務帳的可用性 ? 內部管理和制度的執行 ? 典型例子 ： 檢查分、子公司上報總部的財務報表的 準確性以及執行財務管理政策的情況 ? 經營診斷 ? 管理審計以及效率和效益審計 ? 檢查和診斷經營和管理過程中的偏差和失誤 ? 典型例子 ： 企業對某 業 務單位或某部門執行效益審計 (一個輸入與產出的關系 ) 49 ? 咨詢顧問 ? 企業風險管理和發展策略方面的咨詢 ? 調查領導關心的熱點問題和管理薄弱環節 ? 典型例子 ： 兼并收購時調查被投資公司的內部管理和 流程操作，了解薄弱環節或其他影響并購 交易的重大事項，從而確定管理方法和 并購策略 50 構建企業風險管理的關鍵成功要素 1. 股東確立對企業監督的機制，考慮是否需要在集團層面： ? 引入以董事會領導的管理體制 ? 聘任有經驗的 外部 董事，來加強對企業的監督 ? 要求企業建立風險管理和內控系統，并對其運作及有效性作出定期的匯報 51 2. 管理高層的支持和參與 ? 確立方向和目標 ? 營造必要的環境 ? 為平衡風險與回報作出戰略性的決定 風險 回報 風險與回報成正比？ 風險 調整風險 后的回報 冒險程度 – 不夠進取 冒險程度 ?– 高危 冒險程度 ?– 理想范圍 52 3. 建立風險管理文化 ? 風險管理的手段，必 須融入日常的管理流程 ? 通過討論和培訓，使風險管理的實施得到 “全民 ” 的支持 ? 通過經驗的分享，不斷加強風險管理的認同性 4. 采用先進的風險管理的實施方法 ? 借鑒如美國 Treadway 委員會所提出的 COSO內控框架 ? 采用各種識別和度量風險的先進的方法 ? 采用標準的模板和程序確認風險、評估風險、建立記錄和文檔、參考國際最佳實務，構建信息管理系統和預警系統 53 第三部分 財務報告系統的內部控制 54 財務報告系統的功能 股東 監管部門 其他利益相關者 分析和修正 企業遠景、 戰略和目標 企業經營、 管理和控制 企業業績的 度量和報告 財務報告系統 財務信息披露和報告 55 經常性業務交易 非經常性業務交易 資料和數據的處理 ? 目標：更自動化、更程序化、更規范化 ? 縮短編制時間、減少人為錯誤 財務報告系統 ? 加強業務與財會人員之間的溝通 ? 了解會計準則的要求，減少個別主觀人為判斷 財務報告系統 管理 56 財務報告系統 的典型問題 1. 輸入資料不準確 或不完整 ? 缺乏內部控制 ? 員工缺乏應有的知識和資歷 ? 對資料的要求不清晰 2. 缺乏一套清晰和統一的會計政策 ? 如何確認收入？ ? 如何計提準備金？ ? 如何界定經營性與 資本性支出？ ? 會計科目設計不完善 ? 依靠人手操作或缺乏合適和統一的電子核算平臺 ? 如何反映對外投資？ ? 如何記錄各類金融衍生工具？ 57 財務報告系統 的典型問題 3. 關帳或財務結算程序不規范 ? 沒有明確財務結算的工作和程序 ? 沒有利用標準的結算表 /模板 ? 沒有訂立重要性的門檻 4. 未能披露或提供重要信息 ? 什么數據或差異需要進行分析？ ? 需要與什么數據進行比較？ ? 分析需要得到什么數據的支持？ ? 什么資料可協助管理層加強管理？ 58 財務報告系統和內部控制的關系 ? 財務報告系統是為企業內部管理提供信息和與外部利益相關者 (如股東、監管機構 )溝通的主要工具和媒介 ? 財務報告系統需要一個完善的內部控制環境，才能及時和有效地執行和發揮它應有的作用 59 內部控制的作用 內部控制的作用在于保證 /保護： ? 信息（會計信息和經營信息）的可靠性和完整性 ? 遵循政策、計劃、程序、法律和法規 ? 資產的安全 ? 提高經營效益和效能 ? 實現經營的目標 和 防止浪費資源 60 內部控制不能： ? 將一個原本拙劣的管理體系改變成一個優良的管理體系 ? 影響環境因素，如 政府的法規和政策、競爭對手的行動或經濟狀況 ? 保證企業的成功 或不會面臨倒閉的命運 ? 杜絕員工或管理層舞弊和欺詐的行為 61 美國索克斯法的主要規定及要求 62 ?第 404節 (a) ? 要求企業在提交年報時 (20F)一并提交內部控制及財務報告程序的有效性管理報告。 ?第 404節 (b) ? 要求審計師就管理層內控報告出具驗證意見。 ?SOA404生效日期： ? 美國本土上市公司：于 2023年 11月 15日或以后的財務年度； ? 非美國本土上市公司：于 2023年 7月 15日或以后的財務年度 (此日期已再次延后 )。 SOA404法案總體要求 63 SOA 404 的要求 要求年度報告中要包括 “內部控制報告 ” , 其具體內容為 : ? 管理層責任 的聲明：管理層有責任建立和維護健全的內部控制制度以確保財務報表的合理和準確性； ? 管理層的評價 的聲明：關于在財政年度末有關財務報表的內部控制有效性的評價； ? 評價框架 的說明：明確指出管理層適用于評價有關財務報表的內部控制有效性的框架； ? 關于外部審計師已出具關于管理層評價的鑒定報告的聲明。 該準則不允許管理層在已發現內部控制制度有一處或多處 “ 重大缺陷 ” 時，作出有關財務報表內部控制有效的認定。該準則同時要求管理層 披露 評價過程中發現的任何 “ 重大缺陷 ” 。 盡管準則中沒有明確說明，但是通常認為，財政年度中已發現并已糾正的 “ 重大缺陷 ” 不影響管理當局在財政年度末作出有關財務報表的內部控制有效的評價。 64 SOA 404 要求 (續 ) ? 合理地保證會計記錄合理、準確、詳細并公允地反映公司的日常交易和資產處理； ? 合理地保證對所有交易都作了必要適當的記錄以便于按照公認會計準則編制財務報表，并且收入和支出活動均經管理當局和董事會的適當授權； ? 合理地保證防止或及時發現對財務報表有重大影響的未經授權的資產采購、使用或處臵。 準則對 “ 有關財務報表的內部控制 ” 的定義為： “ 公司主要的管理人員或者主要的財務管理人員設計內控政策和控制程序，并監督其執行，以便對財務報告是按照公認會計準則編制以及財務報表的可靠程度做出合理的保證。 ” 該控制政策和控制程序主要包括： 65 ? 對形成、記錄、處理和調節賬戶余額、交易的分類和披露以及財務報表的相關認定的控制。 ? 對形成和處理 非常規交易和非系統化交易 的控制； ? 對防止、確認和發現 舞弊 的控制。 評價有關財務報表的內部控制： 準則強調指出管理層必須制定并保存有關內部控制的書面文件 , 包括關于內部控制 設計 和 測試程序 的文件 , 從而為管理當局評價有關財務報表的內部控制有效性提供合理的保證。這些 書面文件 是有效的內部控制的首要條件。 管理當局的評價必須基于評價內部控制設計的有效性和測試其執行的有效性的程序。 詢問本身 并 不能 為內部控制的評價提供足夠的基礎。 有關評價的內部控制包括： SOA 404 要求 (續 ) 66 如何建立內控以滿足索克斯法的要求 67 評估階段 : 管理層出具 內部控制 報告 制定程序，確立項目小組，項目進度 時間進度： 方法 ? COSO 中對內部控制的定義是一個很好的開端。 ?選擇適合的項目小組以及制定詳細的項目計劃是項目成功的關鍵。 ?以評估公司層面的控制作為評估工作的開始。 ?此階段是一個復雜而費時的階段，需要記錄并理解各交易環節的流程及其相關的控制。 ?最后的階段是根據評估結果形成總體評價。 ?制訂監督程序。 準備資料，進行詳細測試，并修正控制的不足。 審計師對管理層聲明的審驗 項目計劃 準備資料并評估控制 測試并監督控制 報告 理解內部控制的概念 組織項目小組進行評估 評估公司層面的控制 理解并分別評估程序、交易及應用層面的風險 評估整體控制的有效性，確定應改進的地方并建立監督系統 建立符合 404法案要求的內控框架 68 COSO內控框架 ? Committee of Sponsoring Organisation of The Treadway Commission (COSO)為內控開發了一個全面的框架 ? 這個內控框架是唯一被美國證監會確認為完整、全面和不偏依的內控框架 ? 構建內部控制須分兩個層 面 ： ? 公司層面 ? 流程、交易及資訊科技應用層 面 COSO 內控框架 內控環境 風險評估 控制活動 信息和溝通 監控 業務部門 業務功能 整體 管理層出具 內部控制 報告 評估整體控制的有效性，確定應改進的地方并建立監督系統 理解并分別評估程序、交易及應用層面的風險 評估公司層面的控制 組織項目小組進行評估 理