基于全面风险管理的内部控制 深圳市迪博企业风险管理技术有限公司 董事长 胡为民 2017/9/12 深圳市迪博企业风险管理技术有限公司 1

主讲人：胡为民 深圳市迪博企业风险管理技术有限公司创始人， 中山大学管理学院兼职导师、深圳证券交易所创业培训中心讲师 ，2010年财政部高级会计师命题组专家成员。迪博是一家提供内部控制、全面风险管理解决方案的技术服务商，包括内部控制、风险管理体系咨询以及内部控制、风险管理的软件开发。 胡为民先生曾为中国中铁、中国铁建、中国建筑、中国水利水电建设集团、中国葛洲坝集团、、中国三峡、中国华能、国家核电技术公司、中国航天科工集团、东风汽车、中国西电、中国恒天集团、柳工等数十家集团公司和上市公司提供过咨询服务，在内部控制/风险管理方面积累了丰富的实践经验。 应国务院国有资产监督管理委员会的邀请曾多次给中央企业、地方国资委和地方国有企业讲授风险管理, 应中国证券监督管理委员会、深圳证券交易所的邀请给上市公司讲授内部控制，应财政部邀请参与内部控制评价及内部控制具体规范的审定工作。 主持国家重大专项课题：中国上市公司内部控制指数研究 参与国家自然科学基金的课题：内部控制与投资者保护—基于C-SOX的实施研究 参与财政部的主要课题：信息技术内部控制指引及典型案例研究、关联交易内部控制指引及典型案例研究、企业并购内部控制指引与典型案例研究、对子公司内部控制指引与典型案例研究 主持研究并发布2008、2009、2010年中国上市公司内部控制白皮书。 著有《内部控制与企业风险管理--实务操作指南》、 《内部控制与企业风险管理—案例分析与评价》、《上市公司内部控制实务》等书。 深圳市迪博企业风险管理技术有限公司

企业内部控制基本规范框架体系 财政部、证监会、审计署、银监会、保监会五部委联合颁布《企业内部控制基本规范》框架体系 借鉴COSO 报告5要素框架，内容上体现了风险管理8要素框架的实质。由内部环境、风险评估、控制活动、信息与沟通、内部监督5要素构成 企业内部控制基本规范 2008.06.28 标准体系 组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统 企业内部控制应用指引 2010.04.26 企业内部控制基本规范框架体系 1．基本规范 已于2008年5月22日正式发布，自2009年7月1日起在上市公司范围内施行，鼓励非上市的大中型企业执行。 规定了内部控制的基本原则、构成要素和总体要求，对内部控制的要素包括的内容进行了阐述，是制定具体规范和应用指南的基本依据，在内控标准体系中起统驭作用。 共分7章，包括总则、内部环境、风险评估、控制活动、信息与沟通、 内部监督、附则。 企业内部控制评价指引 评价体系 企业内部控制审计指引 深圳市迪博企业风险管理技术有限公司

内部控制实施时间 内部控制在各类企业实施的具体时间 2011年1月1日起在境内外同时上市的公司施行 内部控制基本规范及内部控制应用指引 . 择机在中小板和创业板上市公司施行，同时，鼓励非上市大中型企业提前执行 2012年1月1日起在上海证券交易所、深圳证券交易所主板上市的公司施行 2011年1月1日起在境内外同时上市的公司施行 内部控制基本规范及内部控制应用指引 . 深圳市迪博企业风险管理技术有限公司

内部控制的监管要求 沪、深主板上市的公司 基于财务报告的内部控制聘请事务所进行审计 2011年1月1日起在境内外同时上市的公司施行 境内外同时上市的公司及试点公司 03 06 09 2011.12.31 2012.06 2012.12.31 沪、深主板上市的公司 财务报告相关的内部控制体系基本建成并试运行 基于财务报告的内部控制聘请事务所进行审计 试运行总结、缺陷整改 深圳市迪博企业风险管理技术有限公司

内部控制可划分为财务报告内部控制和非财务报告内部控制。 其中财务报告内部控制是指，由公司的董事会、监事会、经理层及员工等实施的旨在合理保证企业财务报告信息真实完整和可靠、防范重大错报风险的过程。 公司与财务报告相关的内部控制以外的其他控制，为非财务报告内部控制。 深圳市迪博企业风险管理技术有限公司

何谓内部控制 《企业内部控制基本规范》第三条：内部控制的概念与目标 。 通俗的讲，内部控制就是使企业内部业务活动顺畅进行的人人都遵守的一种保障机制，风险抵御机制，就是不让企业运转出毛病而且能提高效益的一些规定、约定等。 。 内部控制的概念 由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。 内部控制的目标 合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。 深圳市迪博企业风险管理技术有限公司

内部控制的本质并非消灭风险，而是合理、勇敢、策略性地管理风险，更有技巧、信心百倍地抓住机遇，实现企业价值最大化。 内部控制的本质是什么 内部控制的本质并非消灭风险，而是合理、勇敢、策略性地管理风险，更有技巧、信心百倍地抓住机遇，实现企业价值最大化。 2017/9/12 8 深圳市迪博企业风险管理技术有限公司

内部控制五目标 促进企业实现发展战略 财务报告及相关信息真实完整 合理保证企业经营管理合法合规 提高经营效率和效果 资产安全 战略目标 报告目标 合规目标 经营目标 资产安全 内部监督 公司层面 下属部门及下属公司 信息沟通 控制活动 风险评估 内部环境 资产安全 业务活动层面 深圳市迪博企业风险管理技术有限公司

内部控制五原则 内部控制应当贯穿决策、执行和监督全过程， 覆盖企业及其所属单位的各种业务和事项。 内部控制应当在全面控制的基础上，关注重要 全面性原则 内部控制应当贯穿决策、执行和监督全过程， 覆盖企业及其所属单位的各种业务和事项。 内部控制应当在全面控制的基础上，关注重要 业务事项和高风险领域。 重要性原则 内部控制应当在治理结构、机构设置及权责分配、 业务流程等方面形成相互制约、相互监督，同时兼 顾运营效率。 制衡性原则 内部控制应当与企业经营规模、业务范围、竞争 状况和风险水平等相适应，并随着情况的变化及 时加以调整。 适应性原则 内部控制应当权衡实施成本与预期效益，以适当的 成本实现有效控制。 成本效益原则 深圳市迪博企业风险管理技术有限公司

内部控制五要素 内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。 战略目标 报告目标 合规目标 经营目标 资产安全 内部监督 公司层面 下属部门及下属公司 信息沟通 控制活动 风险评估 内部环境 信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。 业务活动层面 控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。 风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。 内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。 深圳市迪博企业风险管理技术有限公司

内部控制的组织实施---组织形式 A D B C 董事会 1、内部控制的组织形式 各职能部门 监事会 经理层 内部控制建设是一项系统工程，需要各层级共同参与并承担相应的职责。 经理层 C 深圳市迪博企业风险管理技术有限公司

内部控制的组织实施---组织形式 股东（大）会 董事会 监事会 经理层 业务机构 职能部门 子（分）公司 A业务部 B业务部 C业务部 负责内部控制的建立健全和有效实施。 对董事会建立与实施内部控制进行监督。 股东（大）会 董事会 监事会 经理层 业务机构 职能部门 子（分）公司 A业务部 B业务部 C业务部 ······ 财务部门 内控部门 内审部门 …… A公司 B公司 C公司 审计委员会 负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。 负责组织领导企业内部控制的日常运行。 负责组织协调内部控制的建立实施及日常工作。 在保证与财务报告相关的内部控制有效性方面发挥着十分重要的作用。 企业各业务部门及全体员工都应当在建立与实施内部控制过程中承担相应职责。可在各业务部门内部设立内部控制岗位，专门负责与本部门相关的内部控制工作，并与内部控制职能部门及时沟通。 内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。 深圳市迪博企业风险管理技术有限公司

内部控制的组织实施---设计程序 2、内部控制的设计程序 深圳市迪博企业风险管理技术有限公司 （1）对企业的组织体系、机构设置、营业范围、经营方式、主营业务、营运情况、管理水平、员工情况、财务状况、经营成果以及所处的外部环境进行全面的总结和分析。 （2）按照一定的方法，合理归集、构建适应企业经营管理状况和内部控制要求的相关子系统，包括组织架构、发展战略、人力资源、企业文化、社会责任等内部环境子系统；资金活动、采购、资产管理等业务活动子系统。 （4）用流程图、流程描述、风险控制矩阵等多种形式将各相关子系统及其业务和事项的控制目标、风险、控制措施、控制频率等加以规定和说明，形成与经营管理制度有机结合的内部控制体系。 2、内部控制的设计程序 （3）对各相关子系统进行梳理，识别各子系统运营过程中的主要风险以及关键控制点，制定相应的控制措施。 深圳市迪博企业风险管理技术有限公司

内部控制的组织实施---实施体系 3、内部控制的实施体系 深圳市迪博企业风险管理技术有限公司 （1）以标准建设为推动，财政部等五部委制定了统一的内部控制基本规范体系，国务院相关部门在此基础上制定相关政策性文件，明确内部控制实施的具体要求。 （2）以企业实施为主体，企业应当根据内部控制基本规范制定本企业的内部控制制度并组织实施，同时建立内部控制评价和激励约束机制，并纳入绩效考评体系。 3、内部控制的实施体系 （3）以政府监管和社会评价为补充，政府监管部门对企业建立预实施内部控制进行监督检查、会计师事务所对企业内部控制有效性进行审计，并出具审计报告。 深圳市迪博企业风险管理技术有限公司

内部控制建设的组织保障 项目组----董事长负责下的组织体系 内部控制项目领导小组 组长：xxx董事长 组长：xxx董事长 成员：xxx.xxx.xxx. 组长：xxx董事长 副组长 ：xxx 内部控制项目领导小组 内部控制项目工作推进小组 组长：xx 项目经理：xxx 成员： 组长：xxx副总裁 项目经理：xxx 成员：各职能部门负责人 公司总部相关职能部门工作人员 职能部门确定一名熟悉本部门业务的人员负责本部门内部控制的工作协调 深圳市迪博企业风险管理技术有限公司

内部控制建设的组织分工 xx内控项目组职责分工 深圳市迪博企业风险管理技术有限公司 层级 组别 成员 具体负责人 职 责 领导层 领导小组 职 责 领导层 领导小组 xxx等其他领导班子成员 xxx 总体负责内部控制项目；方案决策；协调组织内外资源，保证项目顺利实施；其它有关项目全局性、方向性工作的事宜。 推进小组 各相关部门。由财务部牵头 财务部XXX 在领导小组的领导下开展工作，负责内部控制的基本原则、目标的确定；主导项目的实施推进方向；确认项目实施计划和项目成果以及公司内部部门之间的协调沟通等项目具体工作； 业务层 销售 　待定 待定　 收集归纳业务流程、制度，对本环节内部控制情况进行介绍；进行内部控制的自我评估；确认风险评估结果；协助制定内部控制缺陷改进措施和解决方案；协助建立内部监督机制等 采购 投资 财务 深圳市迪博企业风险管理技术有限公司

基于全面风险管理的内部控制体系建设方法 1、梳理并建立流程体系框架 2、建立制度体系框架，并与流程体系框架对接 3、识别、评估流程风险，评价控制措施的有效性 1、充分了解综合分析管理现状 2、评估风险管理能力水平 编制《内部控制手册》、《缺陷及改进建议报告》等 风险管理能力现状评估 公司层面控制建设 业务层面控制建设 1、公司层面风险评估 2、建立公司层面风险库 3、公司层面控制的主要内容 1、编制《内部控制手册》 2、编制《缺陷及改进建议报告》 深圳市迪博企业风险管理技术有限公司

总结 01 目标 内部控制 02 控制 02 风险 “苍蝇不叮无缝的蛋” 2017/9/12 19 深圳市迪博企业风险管理技术有限公司

武汉市东湖高新技术开发区光谷创业街2栋5楼 Tel:027-877497827 结束语 谢 谢！ 胡为民 董事长 深圳市迪博企业风险管理技术有限公司 深圳市车公庙劲松大厦10C Tel:0755-83890942 E-mail:huweimin@dibcn.com http://www.ic-erm.com 武汉市东湖高新技术开发区光谷创业街2栋5楼 Tel:027-877497827 北京市宣武门西大街金隅大厦1818 Tel:010-66419419 深圳市迪博企业风险管理技术有限公司