上市公司如何做好内部控制自我评价报告

北京七星华电科技集团有限责任公司 邵华标

上市公司如何做好内部控制自我评价报告

北京七星华电科技集团有限责任公司 邵华标

一、背景

2007年12月26日深圳证券交易所发布了《中小企业板上市公司内部审计工作指引》指引,要求上市公司内部审计部门要对本公司各内部机构,控股子公司的内部控制制度的完整性、合理性及实施的有效性进行检查和评估。在公司年度报告，公司公告文件中要有公司董事会提供《内部控制自我评价报告》。我们都知道企业内部控制评价是对内部控制执行有效性的检测，我国的内部控制评价标准体系在2009年还没有建立。2008年5月，22日财政部、证监会、审计署、银监会、保监会联合发布了财会(2008)7号关于印发《企业内部控制基本规范》的通知，2010年4月关于印发企业内部控制配套指引的通知，其目的在于推动国内上市公司实行内部控制自我评价制度和注册会计师审计制度，填补企业内部控制标准的空白，从而建立起了企业内部控制评价体系。

我们要对公司的内部控制进行评价，必须要有一套客观可行的基本参照指引和标准。这套指引标准不仅可为企业自我评估和改进其内部控制以及注册会计师发表评价意见提供依据，还可以为各方面的沟通与理解提供统一的基础。我国在内部会计控制的建设与完善方面虽已进入起步阶段，但有关内部会计控制的标准和评价体系较为薄弱，制约了企业内部控制的有效执行。2010年4月财会（2010）11号关于印发《企业内部控制配套指引》的通知和《企业内部控制评价指引》的发布为建立一套完善的、符合实际的、具有可操作性的企业内部控制评价体系提供了保障和依据。

二、我国内部控制评价体系框架

目前我国内部控制评价体系框架分三部分；第一部分是《企业内部控制基本规范》。第二部分是《企业内部控制配套指引》目前共出台17个应用指引 。第三部分《企业内部控制评价指引》。上述内部控制评价体系框架给我们制定一套具有统一性、公认性和完善性，既符合实际又具有可操作性的评价标准体系。

三、对公司的内部控制进行评价时关注的问题

在对内控制度进行评价时，只有先从操作性较强的具体标准入手，对具体内控制度的设计与运行有了认识之后，才能从整体上对企业内部控制的完整、合理、有效作出判断。对具体标准的评价方法常用的有“询问、观察、检查、重新执行”。企业内部控制评价可以按下列步骤展开：

首先是企业控制环境。以《企业内部控制基本规范》为依据，对企业进行测评。主要有：企业治理结构是否完善，董事会、监事会和股东大会等管理架构是否合法运作和科学决策；是否建立有效的激励约束机制和树立风险防范意识；企业管理层及业务环节是否开展内控培训，让内部风险防范成为高管的共识；是否培育良好的企业精神和内部控制文化，创造全体职工充分了解并履行职责的环境；企业高管人员和采购人员是否签订诚信承诺书，对所有的重要原材料及设备供应商，在购销活动中首先签订阳光协议，要求其操作过程透明公开，禁止商业贿赂等行为。

其次是企业风险。企业管理层应对影响企业目标实现的内、外部各种风险进行分析，考虑其可能性和影响程度，制定必要的对策。在对企业风险防范作测评时，应重点关注企业是否建立完整的风险评估体系，是否建立审计委员和风险管理部门，是否对经营风险、财务风险、市场风险、政策法规风险和道德风险等进行持续监控；是否对已发现的企业各类风险有控制措施，如内控制度执行情况的检查和监督，以及相关制度是否向子公司延伸，以确保子公司的经营安全。

第三是企业控制活动。企业管理层为确保风险对策有效执行和落实所采取的措施和程序，主要包括批准、授权、验证、协调、复核、定期盘点、记录核对、财产的保护、职责的分离、绩效考核等内容。

在对企业控制活动测试时，要重点审核组织机构方面采取的控制活动和内控制度方面采取的控制活动。在组织结构方面重点审核：机构、岗位及职责权限是否合理设置和分工，不相容职务是否相互分离，是否成立相关法律事务部门和职能，对采购与验收等环节是否设置相互监督制度，做到人员分离。企业是否把业务流程作为内部控制制度建设的重点，设置关键控制点和反馈系统。在内控制度建设方面重点审核：企业是否制定了董事会的议事规则、总经理事权规则、财务管理制度、采购管理制度、投资管理制度、合同管理制度、子公司管理制度、内控检查监督制度等。

第四是企业信息与沟通。在对企业信息活动测试时，要重点审核公司是否已制定公司内部信息和外部信息的管理政策，确保信息能够准确传递，确保董事会、监事会、高级管理人员及内部审计部门及时了解公司及其控股子公司的经营和风险状况，确保各类风险隐患和内部控制缺陷得到妥善处理；公司的日常业务包括资产、财务管理等是否实行流程表单化管理和建立ERP系统。

第五是企业检查与监督。在对企业该项活动测试时，要重点审核公司是否已制定了内部控制检查监督办法，该项工作是否在董事会或审计委员会直接领导下，有风险管理部门或审计部门具体负责实施，并有相关制度。如：基建项目是否有竣工决算审计制度、主要领导的离任是否实施责任审计，重大投资、担保、抵押、关联交易是否建立审核会签制度；以及是否有对公司重要物资、设备、原材料定期盘点和不定期的抽查制度，对公司现金、银行账户的抽查制度等。

另外要做好两个方面的沟通对于公司的内部控制评价也十分重要。一方面是内部沟通，主要是指公司管理层与分、子公司领导层及中层领导的沟通；另一方面是外部沟通，主要是指公司内审部门与注册会计师之间的沟通。内部沟通的目的和作用主要在于统一思想，达成内部控制是为了加强管理能力，提高管理水平，防范管理风险的共识，提高工作效率；外部沟通的主要目的在于就公司内部控制评价过程中发现的问题充分而坦诚地相互交流，共享审计成果。

综上所述，内审人员就可对企业内部控制作出比较客观、公正的内部控制评价报告，我们相信通过有政府关部门的高度重视和实践的积累，一套比较成熟的、适合中国国情的企业内部控制评价标准体系将更加完善。