1、2023-1-28企业全面风险管理企业全面风险管理企业全面风险管理企业全面风险管理讨论内容讨论内容企业风险管理的必要性企业风险管理的必要性v案例分析v教训与启示企业风险管理框架企业风险管理框架v股东对企业风险管理最关心的四个问题v风险管理框架：一个基础、三道防线v构建风险管理的关键成功要素财务报告系统的内部控制财务报告系统的内部控制v财务报告系统的功能v财务报告系统的典型问题v美国索克斯法的主要规定及要求v如何建立内控以满足索克斯法的要求企业全面风险管理第一部分第一部分企业风险管理的必要性企业风险管理的必要性企业全面风险管理企业风险管理的必要性企业风险管理的必要性案案例例分析分析：安然公司 世
2、通公司 巴林银行回顾事件发生的经过了解引致公司倒闭或严重损失的内控缺陷从案例中吸取的教训 八百伴公司 百富勤公司 三家国有控股上市公司企业全面风险管理案例一：美国安然公司案例一：美国安然公司 (Enron)(Enron)在2002年，安然是美国最大的石油和天然气企业之一 2001年末，安然宣布第三季度录得6.4亿美元的亏损，美国证监会对该公司进行调查，发现该公司在1997以来虚报利润5.8亿美元 2001年末，安然申请破产保护令，但在之前10个月内，公司却因股票价格超越预期目标而向董事及高级管理人员发放3.2亿美元的红利企业全面风险管理 调查发现：调查发现：安然的董事会及审计委员会均采取不干预
3、(“hands-off”)监控政策事件发生之后，部分董事表示不太了解安然的财务状况、期货及期权的业务安然重视短期的业绩指标安然管理高层常常藐视或推翻公司制定的内控制度 企业全面风险管理案例二：美国世通公司案例二：美国世通公司 (Worldcom)(Worldcom)世通是美国第二大的电信公司 2002年，世通被发现利用把营运性开支反映为资本性开支等弄虚作假的方法，多年来虚报利润735亿美元 世通于2002年末申请破产保护令，成为美国历史上最大的破产个案 世通的四名主管(包括公司的CEO和CFO)承认串谋讹诈，被联邦法院刑事起诉 企业全面风险管理 调查发现：调查发现：世通的董事会持续赋予公司的C
4、EO(Bernard Ebbers)绝对的权力，让他一人独揽大权美国证监会的调查报告指出：世通完全没有制衡机制世通的董事会并没有负起监督管理层的责任世通为公司的高级管理层提供丰厚(不合理)的薪酬和奖金企业全面风险管理案例三：英国巴林银行案例三：英国巴林银行 (Barings Bank)(Barings Bank)巴林银行在90年代前是英国最大的银行之一，有超过200年的历史 1992-1994年期间，巴林银行新加坡分行的总经理里森(Nick Lesson)，从事日本大阪及新加坡交易所之间的日经指数期货套期对冲和债券买卖活动，累积亏损超过10亿美元，导致巴林银行于1995年2月破产 调查发现：调
5、查发现：巴林银行的高层对里森所从事的业务并不了解巴林缺乏职责划分的机制巴林银行的高层对财务报告不重视企业全面风险管理案例四：日本八百伴案例四：日本八百伴 (Yohan)(Yohan)在90年代，八百伴是日本最大的百货公司之一 1997年9月，八百伴宣布破产，向法院申请“公司更生法”保护，当时八百伴的负债额达1,613亿日元，是日本战后最大的一宗企业破产案调查发现：调查发现：八百伴低估经营非核心业务的风险八百伴低估扩张业务的风险八百伴低估了开发新兴市场的风险企业全面风险管理 在90年代，百富勤原是亚洲除日本外的最大投资银行 金融风暴冲击下，百富勤在短短一年内出现入不敷出，至1999年月1月宣布破
6、产案例五：香港百富勤公司案例五：香港百富勤公司 (Peregrine)(Peregrine)调查发现：调查发现：香港政府在调查百富勤的报告中表示，百富勤倒闭的原因主要是由于缺乏有效风险管理、内控体制和完善的财会报告系统 百富勤虽然设立了信贷委员会和风险管理部门，但却未能制衡业务部门强大的权力 百富勤忽略发展新兴市场的风险 百富勤低估了利率和汇率波动的风险企业全面风险管理某国有控股的上市企业(简称“国企A”)于19X4年以约4.2亿元人民币收购某汽车制造公司95%权益，两年后，该国企以3.2亿元人民币向一家马来西亚公司出售其在汽车公司中50%的权益，而记录了一笔4,000万元人民币的营业外收入。
7、但其后，该马来西亚公司并没有按协议支付交易金额，而交易亦被迫中断。19X7年，国企A为掩饰交易失败而重新与三家公司签约，以3.2亿元人民币的同样金额将汽车公司的50%权益转售给这三家公司，但这三家公司最终都没有向国企A支付任何款项。案例六：投资与出售股权权益案例六：投资与出售股权权益企业全面风险管理调查发现：调查发现：国企A未有就对外投资建立完善的风险管理，投资前既没有清楚考虑其高级管理层缺乏汽车制造业的经验，亦没做好可行性研究的各种分析。在出售投资权益予该马来西亚公司时，并未充分考虑对方的信誉和偿付能力，亦未有利用买卖协议为可能出现的违约事件提供保障。在转售投资权益予该三家公司时，并未披露这
8、三家公司均为关联的“空壳公司”。财务报表亦没有如实反映交易中断的情况。汽车公司从成立至19X9年的5年间，一直未能调试投产，亦未有竣工验收，最终，该国企以大幅度低于成本的价钱，把该汽车公司出售，造成严重亏损。企业全面风险管理某国营企业(简称“国企B”)于19X6至19X8的两年间，动用接近10亿元人民币，投资了15家公司，而该国企在每家公司的权益均在10%至30%之间，这些公司的业务范围包括金融、包装材料、汽车零部件、房地产开发、贸易和通信等。调查发现：调查发现：国企B未有就对外投资建立完善的风险管理系统。这15家公司大部分没有为国企B提供经审计的财务报表，亦一直未派股息；国企B亦没有利用投资
9、协议来保障其权益。案例七：投资非核心性业务案例七：投资非核心性业务企业全面风险管理 某国有控股在香港上市的公司(简称“国企C”)没有遵守上市规则的要求，在没有得到股东批准的情况下，向一位董事的关联公司提供港币1.6亿元的贷款和港币1.96亿元的银行信用证担保，该贷款和信用证担保的总额占上市公司资本金的30%款项贷出后，该关联公司一直不予还款，而国企C为该关联公司所提供的银行信用担保当中的港币9,500万元已被有关银行提出追讨案例八：案例八：某香港上市公司某香港上市公司企业全面风险管理调查发现：调查发现：国企C的公司治理结构不规范，出现一小撮人独揽大权 国企C并没有建立合规方面的风险管理机制 国
10、企C的财务报告系统既没有为上述关联交易作出适当的披露，亦没有为拖欠的贷款提取坏账准备企业全面风险管理 教训与启示教训与启示 常言：智者从别人失败经验中吸取教训，聪明者从自己失败经验中吸取教训，愚者则永不懂从经验中学习。企业全面风险管理我们可以从上述案例中吸取什么教训？我们可以从上述案例中吸取什么教训？1.1.熟悉企业本身的业务与相关风险熟悉企业本身的业务与相关风险切记：避免制定不切实际的目标或盲目扩展投资，使企业承受无谓的风险 建立内控和相互制衡的机制建立内控和相互制衡的机制切记：权力过分集中就会出现腐败的情况 紧盯着现金紧盯着现金所有犯案、挪用公款和偷窃行为均与现金有关常言：“会计数字只是参
11、考意见，现金才真正令你感到踏实。”企业全面风险管理 合理制定绩效评估与激励机制合理制定绩效评估与激励机制“如果你发现精明的员工做出蠢事，你应意识到这可能是因为他们受到公司的绩效与激励机制的诱导而产生的结果。”5.5.建立规范和健全的财务报告系统建立规范和健全的财务报告系统财务报告系统必须有能力为企业提供及时、准确和具高分析性的财务资料，以帮助管理层管理业务和赢取股东的信心企业全面风险管理6.6.深化企业风险管理文化深化企业风险管理文化 要建立健康的企业文化及价值观，企业必须：由上而下，身体力行，建立严谨的“风纪”，使员工能上行下效 订立管理原则和行为规范 通过绩效管理的方法，鼓励正确的行为和态
12、度加强培训和沟通 企业必须建立有效机制，使员工能从企业本身或其他企业所犯的错误(或接近犯错)的经验中，吸取教训企业全面风险管理第二部分第二部分企业风险管理框架企业风险管理框架企业全面风险管理 什么是风险管理？什么是风险管理？企业风险管理是一套由企业董事会与管理层共同企业风险管理是一套由企业董事会与管理层共同设立、和与企业战略相结合的管理流程。它的功设立、和与企业战略相结合的管理流程。它的功能是识别那些会影响企业运作的潜在事件和把相能是识别那些会影响企业运作的潜在事件和把相关的风险管理到一个企业可接受的水平，从而帮关的风险管理到一个企业可接受的水平，从而帮助企业达至它的目标。助企业达至它的目标。
13、美国内控研究委员会美国内控研究委员会企业全面风险管理企业为何要建立风险管理？企业为何要建立风险管理？因为企业的股东与管理层常常要面对一些令他们寝食难安的问题。因此，企业需要系统化地建立一套风险管理体制，从而识别影响企业盈利的关键因素，并对那些会影响企业达标的风险进行监控及管理企业全面风险管理股东对企业风险管理最关心的四个问题：股东对企业风险管理最关心的四个问题：企业知道它所面对的主要风险吗？企业知道它所面对的主要风险吗？例如：什么风险正在或将会影响企业的业务？v 企业的品牌v 新产品、新市场的开发v 战略联盟v 客户或供应链的管理理想的情况：理想的情况：企业能开发一套标准的、共通的风险语言，从
14、而识别企业所面对的风险，并就其严重的程度进行排序。共通的风险语言亦有利于企业上下层就风险的管理进行沟通企业全面风险管理 企业是否已对这些风险设置内部控制？企业是否已对这些风险设置内部控制？企业需要就各业务单位在日常运作中所面对的风险(战略性风险、业务性风险、流程性风险)，构建内部控制(包括预防性控制及觉察性控制)，以确保企业能实现目标和符合各方面的法律、法规理想的情况：理想的情况：企业就其所面对的风险和采取的内控，编制一套完整的文档，并借鉴国际最佳的实务不断进行检讨 企业全面风险管理 企业的内部控制有效吗？企业的内部控制有效吗？企业要对其内控系统不间断地进行监控和测试，以确保其对风险控制的能力
15、理想的情况：理想的情况：企业把各类风险控制在可接受的水平，并在这基准上赚取合理的回报企业全面风险管理 哪一些内部控制必须改进？哪一些内部控制必须改进？企业内部和内部环境的变化会不停地影响企业所面对的风险和所应采取的监控措施理想的情况：理想的情况：企业能建立一套具前瞻性的信息管理系统和预警系统，使企业能及时识别新生的风险，并对相关的业务计划、政策和程序进行修正企业全面风险管理企业风险管理框架企业风险管理框架一个基础三道防线管理层管理层CEO第第三三道防线道防线第第二二道防线道防线第一道防线第一道防线业务部门业务部门董事董事会会风险管理风险管理内部审计内部审计审计委员审计委员会会风险管理风险管理委
16、员会委员会企业全面风险管理一个基础：公司治理结构一个基础：公司治理结构什么是公司治理？什么是公司治理？公司治理是涉及公司的表现：它关系到一家公司如何得到有效的管理，从而发挥最佳表现公司治理是涉及责任的问题：它关系到董事会及管理层如何向股东负责，而使股东能从公司的表现中得益企业全面风险管理公司治理与风险管理有什么关系公司治理与风险管理有什么关系？公司治理是风险管理的一个必要的组成部份，因为它提供了对风险由上而下的监控与管理 近年多个国家都订立了公司治理的最佳守则：美国：纽约证交所最佳治理守则英国：Cadbury/Hampel Report、The Combined Code加拿大：Dey Rep
17、ortOECD Report这些最佳守则均清楚指出建立风险管理是董事会及管理层的责任企业全面风险管理如何构建一个有利风险管理的公司治理结构如何构建一个有利风险管理的公司治理结构？建立一个健全的、以董事会为首的公司治理结构 订立企业的目标和战略，包括企业的风险政策和极限 贯彻一套重视风险管理的企业文化和价值观企业全面风险管理第一道防线：业务单位防线第一道防线：业务单位防线 业务单位包含了企业大部分的资产和业务，它们在日常工作中面对各类的风险，是企业的前线 企业必须把风险管理的手段和内控程序融入到业务单位的工作与流程中，才能建立好防范风险的第一道防线企业全面风险管理如何建立第一道防线如何建立第一道
18、防线了解企业战略目标及可能影响企业达标的风险识别风险类别对相关风险作出评估决定转移、避免或减低风险的策略1.计设及实施风险策略的相关内部控制企业全面风险管理(风险宇宙风险宇宙TM TM)资信资信制度知识产权财务财务流动资产与信贷资本结构市场财务报告营运营运法律生产程序营商环境营商环境市场结构民风与文化管治管治策略董事会活动交易交易并购变卖声誉道德社区责任风险管理董事会及管理层业绩组织结构监察与沟通执行筹划与开发利益有关方供应商政府顾客股东经济情况国家情况市场变化竞争对手人才资源雇员沟通有形资产机器、厂房与土地其他有形资产负债合约法规市场与销售生产及流通商品/服务开发流程估值与选择买家评估与甄选
19、尽职调查并购后整合资信管理运营组织与监察硬件软件网络无形资产知识管理信息现金管理对冲融资股东资本债务商品利率外汇税务会计合规风险宇宙风险宇宙企业全面风险管理 战略性风险是指公司因作出战略性错误的决定而导致经济上的损失 战略性风险是业务单位、高级管理层和董事会的共同责任 常见的战略性风险包括：企业的目标与方针市场潜在的威胁业务的范围(深度与广度)品牌及形象的建立 战略性风险与战略性伙伴的合作投资和融资的策略员工的素质和雇员关系企业的信息及监控系统企业全面风险管理信贷风险是指贷款人或合同的另一方因不能履行合约而使公司产生经济损失的风险常见的信贷风险包括：贷款未能回收 应收帐款未能回收 债券跌价(因
20、信贷评级的减值或债务人未能履行付款义务)买卖金融市场产品而未能兑现 企业因合资、合作、联盟、外包等经济活动而产生或暴露的信贷风险 信贷风险企业全面风险管理市场风险是指因市场价格或利率波动而使公司产生经济损失的风险构成市场风险的三大因素：因买卖或投资金融产品而产生的风险因资产与负债错配、或原材料与产成品价格不能同步浮动而产生的风险资金流动性风险常见的市场风险包括：利率风险外汇风险股票与债券市场风险商品价格风险期货、期权与衍生工具风险 市场风险企业全面风险管理操作风险操作风险是指企业内部流程、人为错误或外部因素而令公司产生经济损失的风险，它包括了公司的流程风险、人为风险、系统风险、事件风险和业务风
21、险等流程风险流程风险是指交易流程中出现错误而引致损失的风险，流程包括如：销售、定价、记录、确认、出货/提供服务等环节。流程风险也包括合规性风险人为风险人为风险概指因员工缺乏知识和能力、缺乏诚信或道德操守而引致损失的风险系统风险系统风险是指因系统失灵、数据的存取和处理、系统的安全和可用性、系统的非法接入与使用而引致损失的风险事件风险事件风险是指因内部或外部欺诈、市场扭曲、人为或自然灾害而引致损失的风险业务风险业务风险是指因市场或竞争环境出现预期以外的变化而引致损失的风险，所涉及的问题包括市场策略、客户管理、产品开发、销售渠道和定价等领域 操作风险企业全面风险管理风险发生的可能性风险发生的可能性评
22、分评分可能性可能性说明说明5几乎肯定在未来12个月内，这项风险几乎肯定会出现至少 1次4极可能在未来12个月，这项风险极可能出现1次3可能在未来2至10年内，这项风险可能出现1次2低在未来10至100年内，这项风险可能出现至少1次1极低这项风险出现的可能性极低，估计在100年内出现的可能性少于1次企业全面风险管理评分评分 损失程度损失程度说明说明5灾难令企业失去继续运作的能力(或占税前利润达20%)4重大对于企业在争取完成其策略性计划和目标，造成重大影响(5-10%税前利润)3中等对于企业在争取完成其策略性计划和目标的过程，在一定程度上造成阻碍(至5%税前利润)2轻微对于企业在争取完成其策略性
23、计划和目标，只造成轻微影响(至1%税前利润)1近乎没有影响程度十分轻微风险对企业造成的影响风险对企业造成的影响企业全面风险管理评分评分有效性有效性说明说明5极度过头处理方法能直接针对该项风险，但相信会令企业业绩“倒退”或成本过高4过头处理方法能直接针对该项风险，但由于需要投入大量资源或/及将其他资源转到处理该项风险上，会对企业的效率造成影响3适中处理方法有效针对该项风险，同时并不影响企业的效率2低效处理方法针对该项风险的效果不理想，或投入处理该风险的资源不充分或/及对投入的资源未有适当利用1近乎没有 效果处理方法的效果十分低，可能是由于企业根本没有处理方法，又或处理手法不当风险处理方法的效果风
24、险处理方法的效果企业全面风险管理风险地图风险地图(或风险共同语言或风险共同语言)影响程度影响程度近乎没有轻微中等重大灾难几乎 肯定极可能可能低极低BCAGIDJKHEF可可能能性性说明:A 人力资源风险B 财务风险C 竞争风险D 开发风险E 过度自信风险F 系统故障风险G 主要客户风险H 欺诈风险I 政治风险J 薪酬奖励风险K 科技风险企业全面风险管理风险处理组合风险处理组合 处理评级处理评级风风险险评评级级近乎没有效果低效适中超标极度极高高中等低BCAGIDJKHE说明:A 人力资源风险B 财务风险C 竞争风险D 开发风险E 过度自信风险F 系统故障风险G 主要客户风险H 欺诈风险I 政治风
25、险J 薪酬奖励风险K 科技风险F采取行动密切监控定期审阅企业全面风险管理风险处理策略风险处理策略影响程影响程度度可可能能性性转移转移避免避免小心管理小心管理可接受可接受大大小小高高低低企业全面风险管理风险策略风险策略 避免 禁止交易 减少或限制交易量 离开市场 转移 套期 保险 策略性联盟 其他分担风险的安排 小心管理 投资 广泛保护的安排 订价反映风险程度 可接受 自我保险 预留储备 增加监督风险处理策略风险处理策略影响程度影响程度小小可可能能性性转移转移避免避免小心管理小心管理可接受可接受高高低低企业全面风险管理企业建立的第一道防线，就是要各业务单位就其战略性风险、信贷风险、市场风场和操作
26、风险等等，系统化地进行分析、确认、度量、管理和监控企业需要把评估风险与内控措施的结果进行记录和存档，对内控措施的有效性不断进行测试和更新第一道防线：总结第一道防线：总结管理层管理层CEO第第三三道防线道防线第第二二道防线道防线第一道防线第一道防线业务部门业务部门董事董事会会风险管理风险管理内部审计内部审计审计委员审计委员会会风险管理风险管理委员会委员会企业全面风险管理第二道防线：风险管理单位防第二道防线：风险管理单位防线线第二道防线是在业务单位之上建立一个更高层次的风险管理功能，它的组成部份可能包括风险管理部门、信贷审批委员会、投资审批委员会风险管理部的责任是领导和协调公司内各单位在管理风险方
27、面的工作，它的职责包括：编制规章制度对各业务单位的风险进行组合管理度量风险和评估风险的界限建立风险信息系统和预警系统、厘定关键风险指标负责风险信息披露、沟通、协调员工培训和学习的工作按风险与回报的分析，为各业务单位分配经济资本金企业全面风险管理“内部审计是一项独立、客观的审查和咨询活动，其目的在于增加企业的价值和改进经营。内审通过系统的方法，评价和改进企业的风险管理、控制和治理流程的效益，帮助企业实现其目标。”美国内部审计师协会美国内部审计师协会第三道防线：内审单位防线第三道防线：内审单位防线 第三道防线涉及一个独立于业务单位的部门，监控企业内控和其他企业关心的问题 内部审计的定义：企业全面风
28、险管理内部审计的三大功能内部审计的三大功能 财务监督财务帐的可用性内部管理和制度的执行典型例子：检查分、子公司上报总部的财务报表的准确性以及执行财务管理政策的情况 经营诊断管理审计以及效率和效益审计检查和诊断经营和管理过程中的偏差和失误典型例子：企业对某业务单位或某部门执行效益审计(一个输入与产出的关系)企业全面风险管理咨询顾问企业风险管理和发展策略方面的咨询调查领导关心的热点问题和管理薄弱环节典型例子：兼并收购时调查被投资公司的内部管理和流程操作，了解薄弱环节或其他影响并购交易的重大事项，从而确定管理方法和并购策略企业全面风险管理构建企业风险管理的关键成功要素构建企业风险管理的关键成功要素1
29、.1.股东确立对企业监督的机制，考虑是否需要在集团层面：股东确立对企业监督的机制，考虑是否需要在集团层面：引入以董事会领导的管理体制聘任有经验的外部董事，来加强对企业的监督要求企业建立风险管理和内控系统，并对其运作及有效性作出定期的汇报企业全面风险管理 2.2.管理高层的支持和参与管理高层的支持和参与确立方向和目标营造必要的环境为平衡风险与回报作出战略性的决定风险回报风险与回风险与回报成正比？报成正比？风险调整风险后的回报冒险程度冒险程度 不够不够进取进取冒险程冒险程度度 高高危危冒险程度冒险程度 理想理想范围范围企业全面风险管理 3.3.建立风险管理文化建立风险管理文化风险管理的手段，必须融
30、入日常的管理流程通过讨论和培训，使风险管理的实施得到“全民”的支持通过经验的分享，不断加强风险管理的认同性 4.4.采用先进的风险管理的实施方法采用先进的风险管理的实施方法借鉴如美国 Treadway 委员会所提出的COSO内控框架采用各种识别和度量风险的先进的方法采用标准的模板和程序确认风险、评估风险、建立记录和文档、参考国际最佳实务，构建信息管理系统和预警系统企业全面风险管理第三部分第三部分财务报告系统的内部控制财务报告系统的内部控制企业全面风险管理财务报告系统的功能财务报告系统的功能股股东东监管部门监管部门其他利益其他利益相关者相关者分析和修正分析和修正企业远景、企业远景、战略和目标战略
31、和目标企业经营、企业经营、管理和控制管理和控制企业业绩的企业业绩的度量和报告度量和报告财务报告系统财务报告系统财务信息披露和报告财务信息披露和报告企业全面风险管理 经常性业务交易经常性业务交易 非经常性业务交易非经常性业务交易资料和数据的处理资料和数据的处理n目标：更自动化、更程序化、更规范化n缩短编制时间、减少人为错误财务报告系统财务报告系统n加强业务与财会人员之间的沟通n了解会计准则的要求，减少个别主观人为判断财务报告系统管理财务报告系统管理企业全面风险管理财务报告系统财务报告系统的典型问题的典型问题输入资料不准确或不完整缺乏内部控制员工缺乏应有的知识和资历对资料的要求不清晰缺乏一套清晰和
32、统一的会计政策如何确认收入？如何计提准备金？如何界定经营性与资本性支出？会计科目设计不完善依靠人手操作或缺乏合适和统一的电子核算平台如何反映对外投资？如何记录各类金融衍生工具？企业全面风险管理财务报告系统财务报告系统的典型问题的典型问题 关帐或财务结算程序不规范 没有明确财务结算的工作和程序 没有利用标准的结算表/模板 没有订立重要性的门槛 未能披露或提供重要信息 什么数据或差异需要进行分析？需要与什么数据进行比较？分析需要得到什么数据的支持？什么资料可协助管理层加强管理？企业全面风险管理财务报告系统和内部控制的关系财务报告系统和内部控制的关系 财务报告系统是为企业内部管理提供信息和与外部利益
33、相关者(如股东、监管机构)沟通的主要工具和媒介 财务报告系统需要一个完善的内部控制环境，才能及时和有效地执行和发挥它应有的作用企业全面风险管理内部控制的作用内部控制的作用内部控制的作用在于保证/保护：信息（会计信息和经营信息）的可靠性和完整性 遵循政策、计划、程序、法律和法规 资产的安全 提高经营效益和效能 实现经营的目标和防止浪费资源企业全面风险管理内部控制不能：将一个原本拙劣的管理体系改变成一个优良的管理体系 影响环境因素，如政府的法规和政策、竞争对手的行动或经济状况 保证企业的成功或不会面临倒闭的命运 杜绝员工或管理层舞弊和欺诈的行为企业全面风险管理美国索克斯法的主要规定及要求美国索克斯
34、法的主要规定及要求企业全面风险管理第404节(a)要求企业在提交年报时(20-F)一并提交内部控制及财务报告程序的有效性管理报告。第404节(b)要求审计师就管理层内控报告出具验证意见。SOA404生效日期：美国本土上市公司：于2004年11月15日或以后的财务年度；非美国本土上市公司：于2006年7月15日或以后的财务年度(此日期已再次延后)。SOA404法案总体要求法案总体要求企业全面风险管理SOA 404 的要求的要求要求年度报告中要包括要求年度报告中要包括“内部控制报告内部控制报告”,其具体内容为其具体内容为:v管理层责任管理层责任的声明：管理层有责任建立和维护健全的内部控制制度以确保
35、财务报表的合理和准确性；v管理层的评价管理层的评价的声明：关于在财政年度末有关财务报表的内部控制有效性的评价；v评价框架评价框架的说明：明确指出管理层适用于评价有关财务报表的内部控制有效性的框架；v关于外部审计师已出具关于管理层评价的鉴定报告的声明。该准则不允许管理层在已发现内部控制制度有一处或多处“重大缺陷”时，作出有关财务报表内部控制有效的认定。该准则同时要求管理层披露披露评价过程中发现的任何“重大缺陷”。尽管准则中没有明确说明，但是通常认为，财政年度中已发现并已纠正的“重大缺陷”不影响管理当局在财政年度末作出有关财务报表的内部控制有效的评价。企业全面风险管理SOA 404 要求要求(续续
36、)合理地保证会计记录合理、准确、详细并公允地反映公司的日常交易和资产处理；合理地保证对所有交易都作了必要适当的记录以便于按照公认会计准则编制财务报表，并且收入和支出活动均经管理当局和董事会的适当授权；合理地保证防止或及时发现对财务报表有重大影响的未经授权的资产采购、使用或处置。准则对准则对“有关财务报表的内部控制有关财务报表的内部控制”的定义为：的定义为：“公司主要的管理人员或者主要的财务管理人员设计内控政策和控制程序，并监督其执行，以便对财务报告是按照公认会计准则编制以及财务报表的可靠程度做出合理的保证。”该控制政策和控制程序主要包括：企业全面风险管理v对形成、记录、处理和调节账户余额、交易
37、的分类和披露以及财务报表的相关认定的控制。v对形成和处理非常规交易和非系统化交易非常规交易和非系统化交易的控制；v对防止、确认和发现舞弊舞弊的控制。评价有关财务报表的内部控制：评价有关财务报表的内部控制：准则强调指出管理层必须制定并保存有关内部控制的书面文件,包括关于内部控制设计设计和测试程序测试程序的文件,从而为管理当局评价有关财务报表的内部控制有效性提供合理的保证。这些书面文件书面文件是有效的内部控制的首要条件。管理当局的评价必须基于评价内部控制设计的有效性和测试其执行的有效性的程序。询问本身询问本身并不能不能为内部控制的评价提供足够的基础。有关评价的内部控制包括：SOA 404 要求要求
38、(续续)企业全面风险管理如何建立内控以满足索克斯法的要求如何建立内控以满足索克斯法的要求企业全面风险管理评估阶段评估阶段:管理层出具管理层出具内部控制内部控制报告报告制定程序，确立项目小组，项目进度制定程序，确立项目小组，项目进度时间进度：时间进度：方法方法 COSO 中对内部控制的定义是一个很好的开端。选择适合的项目小组以及制定详细的项目计划是项目成功的关键。以评估公司层面的控制作为评估工作的开始。此阶段是一个复杂而费时的阶段，需要记录并理解各交易环节的流程及其相关的控制。最后的阶段是根据评估结果形成总体评价。制订监督程序。准备资料，进行详细测试，并修正控制准备资料，进行详细测试，并修正控制
39、的不足。的不足。审计师对管理层声明的审验审计师对管理层声明的审验项目计划项目计划准备资料并评估控制准备资料并评估控制测试并监督控制测试并监督控制报告报告理解内部理解内部控制的概控制的概念念组织项组织项目小组进目小组进行评估行评估评估公评估公司层面的司层面的控制控制理解并分别评理解并分别评估程序、交易估程序、交易及应用层面的及应用层面的风险风险评估整体控制的有效评估整体控制的有效性，确定应改进的地方性，确定应改进的地方并建立监督系统并建立监督系统建立符合建立符合404404法案要求的内控框架法案要求的内控框架企业全面风险管理COSO内控框架内控框架 Committee of Sponsoring
40、 Organisation of The Treadway Commission(COSO)为内控开发了一个全面的框架 这个内控框架是唯一被美国证监会确认为完整、全面和不偏依的内控框架 构建内部控制须分两个层面：公司层面 流程、交易及资讯科技应用层面COSO COSO 内控框架内控框架内控环境风险评估控制活动信息和沟通监控业务部门业务功能整体营运财务报告合规评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目
41、小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理组织项目小组进行评估组织项目小组进行评估 高层参与 各业务部门之参与 财务、内审、计算机管理部门之参与评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理方面方面需考虑的因素需考虑的因素 高管层的诚信、道德和行为 控制意识和经营风格 胜任能力和承担 董事会或审计委员会
42、的监管 组织结构、权限和责任 人力资源政策和程序 风险评估流程 对重要事件的预测、识别和反应机制 识别会计准则差异、业务操作和内部控制变化的程序 提供完整的业绩报告 与业务策略相联系 持续开发、测试和监控计算机系统和程序 计算机业务持续性系统和应急计划 便于职员履行职责而建立的沟通渠道 有必要的政策和程序 有明确的财务目标，并对其主动监控 合理的职责分离 预算与实际情况的定期比较 对文件、记录和财产的适当保管 对内部控制的定期评估 实施改进建议 建立内部审计职能以实施监控控制环境风险评估信息和沟通控制活动监控NoImage如何构建内部控制如何构建内部控制公司层面的评估公司层面的评估管理层关于内
43、部控制的报告评估内控的整体的有效性，找出有待改进的地方，并建立一个监控体系在流程、交易和应用层面，理解和评估内部控制在全公司层面评估内部控制组织项目小组实施评估工作理解内部控制的定义评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的公司层面的内控内控控控制制环境环境 企业道德规范与价值观 员工的行为操守与企业文化 公司治理结构
44、和政策 董事会及各委员会的构成 企业规章制度 董事会与管理层之间的关系、权力和职责评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的公司层面的内控内控风险评估风险评估 企业是否拥有既定的程序以确定、评估和度量影响企业达标的风险？-先进的内审部门？-风险管理部门？-全面风险评估？企业有否详细记录评估风险的结果？有否进行详细的讨论
45、和沟通？评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的公司层面的内控内控信息和沟通信息和沟通 企业的架构是否能够令各部门及业务单位明确各自的职责及促进沟通 企业是否拥有一个合适的电子平台-处理管理信息和数据-确保信息能够及时发放-确保各类信息和报告的准确性和可用性评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定
46、应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理 规章制度 审批程序 资产实物的安全 特殊报告 表现指标 信息系统控制 职责划分公司层面的公司层面的内控内控控制活动控制活动评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织
47、项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的内控公司层面的内控控制活动控制活动规章制度 董事会及各委员会的章程 企业风险政策 员工招聘守则 企业采购政策 会计及财务管理守则评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的内控公司层面的内控控制活动控制活动审批程序 一种预防
48、性的控制措施 确保规章制度得以落实执行 知识与经验分享 责任的承担评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的内控公司层面的内控控制活动控制活动资产实物的安全 档案/库存上锁 减少利用现金交易 办工室安全系统/警铃 资料数据库进入的限制 保安人员 员工身份证 机器上的标记 隐型录相机评估整体控评估整体控制的有效性，制的有
49、效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的内控公司层面的内控控制活动控制活动特殊报告 逾期应收款报告 工作超时完成报告 原材料不合格报告 机器故障报告 产品不合格或退货报告 存货台帐红字报告评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风
50、险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的内控公司层面的内控控制活动控制活动表现指标 预算与实际比较 项目管理报告 财务指标报告 系统可用性报告 员工利用率报告评估整体控评估整体控制的有效性，制的有效性，确定应改进的确定应改进的地方并建立监地方并建立监督系统督系统理解并分别评理解并分别评估程序、交易及估程序、交易及应用层面的风险应用层面的风险评估公评估公司层面司层面的控制的控制组织项组织项目小组目小组进行评进行评估估理解内理解内部控制部控制的概念的概念企业全面风险管理公司层面的内控公
