Date 中海集装箱运输有限公司 内部控制培训 2009年6月

Date 目 录 国内外对上市公司的 内控监管要求 案例分析 内部控制体系介绍

Date 目 录 国内外对上市公司的 内控监管要求 案例分析 内部控制体系介绍

Date 美国萨班斯•奥克斯利(SOX)法案 美国安然事件发生后，萨班斯•奥克斯利法案于2002年7月30日签署生效 ，旨在建立并恢复公众对公司财务报告的信心，并对上市公司审计委员会、管理层和审计师各自的职责及相互制约机制带来根本性的变化。美国证监会（“SEC”）承诺进行定期的审阅和强制执行。该方案的主要内容包括： 成立上市公司会计监管委员会（PCAOB） PCAOB负责建立、采纳或修改审计及质量控制标准、道德规范和独立准则，并实施纪律处分和制裁。 CEO和CFO需每季度和每年在对SEC提交的报告中： 季度和年度的财务报告： 302条款 - 保证季度报告的完整性和准确性 906条款 - 保证完全遵守了证券交易法案关于财务报告未包括重大错误的规定 年报: 404条款 - 针对财务报表的内部控制的有效性 The PCAOB’s proposed standard establishes requirements that apply when an auditor is engaged to audit a public company. This slide highlights what we believe to be the most important provisions of the standard - - which will be spoken to in more detail on later slides. To begin, the proposed standard puts forth the concept that the audit of the financial statements and the audit of internal control over financial reporting (the term given to the attestation requirement of Section 404) are closely interrelated, and, therefore, should be integrated activities. As a result, an auditor cannot audit internal controls of a public company as required by Section 404 of the Act without also auditing the financial statements. The standard recognizes that internal control is not a “one-size-fits-all” concept and that companies will implement control in different ways. The standard has an appendix that is dedicated to providing further guidance for auditors of small and medium-sized companies. The standard also provides the auditor an outline of management responsibilities as well as management’s documentation requirements to meet the objectives of auditability. As you might expect, the standard provides detailed guidance with regard to the auditor’s responsibilities and required communications. The standard establishes criteria for evaluating deficiencies, including providing revised definitions of internal control deificencies – significant deficiency and material weakness. This guidance is applicable to management as well. One of the areas of the standard that contemplates additional responsibilities for the auditor is that of management’s quarterly internal control reporting under Section 302. Finally, the standard contains reminders of current standards for independence of the auditor. The PCAOB is seeking comment about whether or not the current guidance is adequate in this area.

香港联交所关于公司治理的指引（PN21） Date 2004年10月19日，香港证券及期货事务监察委员会（“证监会”）与香港联合交易所有限公司（“联交所”）联合发表《有关对保荐人及独立财务顾问监管的咨询总结》，随后发布了“第21项应用指引 - 保荐人就首次上市申请进行的尽职审查”，于2005年1月1日生效，旨在维护香港上市市场的披露标准及公正操作，从而保持上市市场对投资者及发行人的吸引力。 香港联交所治理规范要求董事会就其是否评估了内控有效性发表声明。 许多企业进行“内部控制自我评估”作为内控有效性评估的基础。

中国《企业内部控制基本规范》 Date 2008年6月28日，财政部、审计署、证监会、银监会、保监会联合颁布了《企业内部控制基本规范》，针对国内上市公司如何建立、评估其内部控制有效性提出了明确要求；上市公司需要对内部控制有效性进行年度评估，并披露评价结果。 接受企业委托从事内部控制审计的会计师事务所，应当根据本规范及其配套办法和相关执业准则，对企业内部控制的有效性进行审计，出具审计报告。 《基本规范》在国内上市公司范围内强制施行，并鼓励非上市大中型企业执行，施行时间可能推迟到2010年1月1日。

内部控制定义 内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。 内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。 －《企业内部控制基本规范》

Date 目 录 国内外对上市公司的 内控监管要求 案例分析 内部控制体系介绍

案例一：安然事件 安然事件 美国安然公司曾经是叱咤风云的“能源帝国”，2000年总收入高达1000亿美元，名列《财富》杂志“美国500强”中的第七。2001年10月16日，财务报表显示一直盈利的安然公司公布该年度第三季度的财务报告，突然宣布公司亏损总计达6.18亿美元。2001年12月2日，安然公司正式向破产法院申请破产保护，成为当时美国历史上最大的破产企业。 虚增利润的财务舞弊行为使得投资者丧失了对公司的信心是安然的破产的导火索，但更深层原因还是由于安然涉足风险较大的信用能源交易，大量应用高风险的金融衍生物和大量举债发展等，最终资不抵债。

案例一：安然事件（续） 启示 深层原因 公司治理不完善，公司的15位独立董事拿着高薪却没有尽职，没有起到监督的作用。 在确定独立董事人选时应充分考虑候选人的责任心和精力等方面的胜任能力，日常工作中要充分发挥其独立监督的作用，避免“橡皮图章”的表面文章。 一味追求股市业绩，不切实际的企业目标，形成了自大的、缺乏责任心和基本约束机制的错误企业文化。 要实现可持续发展的目标，必须坚持科学发展观，建立以责任心和准确道德观为基础的企业文化。 过分强调管理创新，经营过于分散，过度分权，激进的财务策略，忽视了风险控制。 稳健经营，控制风险是企业可持续发展和经营管理的永恒法则。 缺乏有效的反舞弊监控机制，没有及时发现和防止做假帐行为。 完善的反舞弊报告渠道和监督机制对企业的健康发展至关重要。

案例二：中航油事件 中航油事件 在新加坡上市的中国航油曾经是一个被作为中国国有企业走向世界的明 星企业。然而，因从事投机性石油衍生品交易，损失约5.5亿美元(合人 民币45亿元)，2004年申请破产保护。 “中航油事件”称为“中国的巴林银行事件”，是国资委成立以来最大 的央企丑闻，尽管随后中航油完成重组避免了破产清算，但也给国家造 成巨额损失。

案例二：中航油事件（续） 深层原因 董事会和监事会成员英语水平欠缺，缺乏对海外经营和监控环境的专业知识。 启示 确定董事会和监事会人选时应该充分考虑其业务技能和专业素质，以及对当地经营和监控环境的了解程度。 缺乏严格的内控监督机制，没有及时发现虚假的财务信息和隐瞒的投机性交易。在事发前，集团管理层对中航油进行投资性衍生品交易毫不知情。 董事会、监事会以及内部审计等监督机制对及时发现违规事件、防范和控制风险至关重要。 风险意识薄弱，一味追求业绩而违规操作，没有遵循该公司《风险管理手册》关于“单笔亏损达到50万美元，立即止损”的规定。 仅建立风险管理制度是不够的，风险意识淡薄和没有严格执行风险管理控制对企业的影响将是致命的。

案例三：法国兴业银行事件 法国兴业银行事件 法国兴业银行(Societe Generale，简称“SG”), 是世界上最大的银行 集团之一 。2008年1月24日，法国兴业银行曝出世界金融史上最大的 违规操作丑闻。现年32岁的权证市场交易员凯维埃尔（Jerome Kerviel）以欺诈手段从事期货买卖，其违规头寸高达500亿欧元，造 成法国兴业银行的直接损失近49亿欧元。 经过调查发现，事件的主要原因首先是风险控制预警没有引起足够重 视。其次是系统缺陷被最大限度地利用，包括伪造公司账户，利用同 事的名字登录系统以掩盖自己的交易痕迹，以及利用交易时间差和伪 造虚假交易记录来逃避风险监管等。

案例三：法国兴业银行事件（续） 启示 深层原因 涉案人长期在风险风险管理体系工作，后来才被调到交易部门参与金融交易，因此非常熟悉风险管理体系的漏洞。 启示 职责分工作为企业常用的控制，是相互监督和防止舞弊的重要的风险管理和内部控制手段。在安排和调动岗位时应，应考虑相关的风险。 日常的风险管理和控制监督工作虽然琐碎但意义重大，不能敷衍了事。一时的忽略可能错过重大的违规事件，给企业造成难以挽回的损失。 管理层没有根据风险管理制度对交易员的交易进行定期检查，也没有对风险预警系统提出的警示提起足够的重视。 随着计算机系统逐步作为企业主要的控制手段，完善的计算机安全控制将成为企业风险管理和内部控制的主要战场。 利用计算机系统的缺陷，侵入数据库，篡改系统数据，掩饰违规操作。

案例四：采购员收受贿赂案件 某制造型企业的采购员收受贿赂案件 2006年，某国际知名的制造型企业收到某供应商的电话投诉，诉称其采购员在公司筹备期采购大批办公设备时收受供应商大额贿赂。该企业对该采购员进行调查，发现确有其事，随后向公安机关报案。 公安机关通过侦缉发现该采购员在采购办公设备期间，共收受回扣人民币200万元，而这批办公设备采购价格比市场价格高大约人民币500万元。由于公司成立初期内部控制较差，不合理的采购没有被及时发现。

案例四：采购员收受贿赂案件（续） 深层原因 启示 没有建立严格的供应商评估机制，没有正式的市场调查、供应商选择和比价文档，采购决策没有合理的依据支持。 启示 采购是一项比较复杂的业务。缺乏正式的控制手段和控制文档，可能会对企业利益造成直接损失，并会增加采购舞弊的风险。 由于案件发生在企业筹备期间，没有具备采购业务经验的主管领导对采购申请进行独立审核，采购价格的不合理未被及时发现。 仅依赖员工的道德素质是不够的。需要建立对关键业务的独立审核机制，以起到有效的监督作用。

Date 目 录 国内外对上市公司的 内控监管要求 案例分析 内部控制体系介绍

《基本规范》的内部控制框架 中国颁布的《基本规范》参考了COSO框架模型，立足于国内实际情况，拟定形成具有中国特色的内控体系，由控制环境、风险评估、控制活动、信息和沟通、监督5个方面构成。 财务报告 合规性 合规性 营运 财务报告 合规性 营运 财务报告 控制活动 确保管理活动付诸实施的政策/流程 措施包括审批、授权复核、业绩考核、资产安全和职责分离 合规性 战略 监督 不断评估内部控制系统的表现 整合实时和独立的评估 管理层监督活动 内部审计工作 监督 活 活 活 监控 监控 活 活 动 动 活 动 业 业 信息和沟通 动 动 2 业 动 2 信息和沟通 信息和沟通 业 2 业 务 务 1 业 务 1 1 控制活动 务 务 单 单 务 单 控制活动 控制活动 单 单 位 位 单 位 位 B 位 B 风险评估 位 B 风险评估 风险评估 A A A 信息和沟通 及时地获取，确定并交流相关的信息 从内部和外部获取信息，行成从职责说明到管理层有关管理问题的总结等各方面有利于内部控制成功的措施的信息流 控制环境 控制环境 控制环境 控制环境 营造企业氛围－让公司员工建立内部控制 因素包括正直、道德价值、能力、权威和责任 是其他内部控制组成部分的基础 风险评估 风险评估是为了达到企业目标而确认和分析相关的风险，形成内部控制活动的基础

内部控制框架－控制环境 要素 1：控制环境 控制环境： 营造企业氛围－让公司员工建立内部控制 因素包括正直，道德价值，能力，权威和责任 监控 信息和沟通 控制活动 风险评估 控制环境 财务报告 合规性 业 务 单 位 A B 活 动 2 1 营运 战略 监督 控制环境： 营造企业氛围－让公司员工建立内部控制 因素包括正直，道德价值，能力，权威和责任 是其他内部控制组成部分的基础

中海集运－控制环境举例 中海集运的发展目标和战略规划： 战略目标－建设成为世界一流的集装箱航运物流企业。 指导思想－坚持科学发展，建设百年中海。 近期经营方针－调结构、保增长，运力保持平稳增长，运量保持年增长5%左右，经营收入力争保平。 经营理念 － 精心组织，精细管理，培育精品航线 董事会和审核委员会 全面道德文化建设，学习科学发展观 惩防体系

控制环境－常见内控缺陷 不完善的企业文化，如缺乏正确的道德观 不健全的法人治理架构，董事会、监事会的职能流于形式 分散管理，过度放权 低效率的组织结构 不完善的业绩考核指标/激励机制 非正式的管理方式和程序 非书面的或不成体系的制度规范

内部控制体系－风险评估 要素 2：风险评估 风险评估 风险评估是为了达到企业目标而确认和分析相关的风险，形成内部控制活动的基础 战略 监督 监控 信息和沟通 控制活动 风险评估 控制环境 财务报告 合规性 业 务 单 位 A B 活 动 2 1 营运 战略 监督 风险评估 风险评估是为了达到企业目标而确认和分析相关的风险，形成内部控制活动的基础

中海集运－风险评估举例 中海集团目前正在开展的企业全面风险评估工作，将会进一步推广到中海集运 管理层定期例会对公司的各项风险进行讨论，制定应对策略 对重大投资进行可行性分析，市场调研等

风险评估－常见内控缺陷 缺乏对风险评估方式、方法、程序的了解 对潜在的风险缺乏系统性归类和整体性把握 没有对潜在风险的重要性进行排序，没有抓住重点 风险意识薄弱，没有制定完善的风险应对措施 风险管控制度仅流于形式，敷衍了事

内部控制框架－控制活动 要素3：控制活动 控制活动 确保管理活动付诸实施的政策/流程 措施包括审批、授权、复核、业绩考核、资产安全和职责分离 监控 信息和沟通 控制活动 风险评估 控制环境 财务报告 合规性 业 务 单 位 A B 活 动 2 1 营运 战略 监督 控制活动 确保管理活动付诸实施的政策/流程 措施包括审批、授权、复核、业绩考核、资产安全和职责分离

中海集运－控制活动举例 对客户信用期的评估，以及对应收帐款帐龄和收款情况的监控 对口岸公司资金收支两条线的控制 核算中心对各项收入和费用的独立审核 管理层对投资、锁油、借款等重大事项的审批

控制活动－常见内控缺陷 重要的不相容职责没有分离 缺乏对关键业务的独立复核程序 系统控制不能满足业务发展的需要 重要的决策和交易没有得到充分的审批 实物资产没有严格的保管和盘点控制 控制缺乏正式有效的文档支持，没有留下可查的痕迹

内部控制框架－信息和沟通 要素4：信息和沟通 信息与沟通 及时地获取，确定并交流相关的信息 监控 信息和沟通 控制活动 风险评估 控制环境 财务报告 合规性 业 务 单 位 A B 活 动 2 1 营运 战略 监督 信息与沟通 及时地获取，确定并交流相关的信息 从内部和外部获取信息，形成从职责说明到管理层有关管理缺陷的总结等各方面有利于内部控制的措施的信息流

中海集运－信息和沟通举例 每月总经理办公会；每周部门长例会；每天业务调度会议等渠道沟通各部门的业务和管理情况。 IMIS、SAP、Email等信息系统中传递的业务和财务信息。 关于科学发展观的学习和研讨。 出版企业内部刊物：中海集团出版《海运报》、中海集运出版《中海集运》，向员工通报公司大事和管理理念。

信息与沟通－常见内控缺陷 财务和业务数据的传输不完善，导致信息传递错误和滞后，无法及时整理和提供管理决策所需的信息。 管理层和员工之间缺乏有效的沟通途径，管理层的要求和员工的期望无法充分及时地上传下达。 缺乏与外部环境的沟通机制，无法及时了解外部的环境变化，以及向外界准确传递企业的声音。

内部控制框架－监督 要素5：监督 监督 不断评估内部控制系统的表现 整合实时和独立的评估 管理层监督活动 内部审计工作 战略 监督 监控 信息和沟通 控制活动 风险评估 控制环境 财务报告 合规性 业 务 单 位 A B 活 动 2 1 营运 战略 监督 监督 不断评估内部控制系统的表现 整合实时和独立的评估 管理层监督活动 内部审计工作

中海集运－监督举例 在整个公司范围内建立并实施惩防体系等一系列监督防控体系，定期对惩防体系执行情况进行检查 成立本部监察审计部，由具有丰富业务和财务经验的人员担任专职内部审计工作，并在各分子公司建立内审职能，委派内审人员。

监督－常见内控缺陷 参与内审的人员缺乏独立性 审计委员会的监督力度不足，内部审计的范围和深度不够 内审人员的专业能力不足，人员配备不充分 过度依赖员工的责任心和自觉性，没有充分发挥内部控制监督和制衡作用

Date Internal Controls optimisation Overview 问题?

Date 谢 谢！ © 2009 普华永道版权所有。「普华永道」乃指PricewaterhouseCoopers旗下之中国内地机构，或视乎上文下理之含义，泛指PricewaterhouseCoopers International Limited之成员机构网络，而其中每个成员均为个别及独立之法律实体。*connectedthinking 为 PricewaterhouseCoopers 之商标。