負險不彬 
劉韜律師，現為河南乾元昭義律師事務所律師。華北水利水電大學法學學士，中國政法大學在職研究生，美國注冊管理會計師（CMA）、基金從業資格、上市公司獨立董事資格。對法律具有較深領悟與把握。專業領域：公司法、合同法、物權法、擔保法、證券投資基金法、不良資產處置、私募基金管理人設立及登記備案法律業務、不良資產掛牌交易等。 劉韜律師自2010年至今，先后為河南新民生集團、中國工商銀行河南省分行、平頂山銀行鄭州分行、河南投資集團有限公司、鄭州高新產業投資基金有限公司、光大鄭州國投新產業投資基金合伙企業（有限合伙）、光大徳尚投資管理（深圳）有限公司、河南中智國?；鸸芾碛邢薰?、 蘭考縣城市建設投資發展有限公司、鄭東新區富生小額貸款公司等企事業單位提供法律服務，為鄭州科慧科技、河南杰科新材料、河南雄峰科技新三板掛牌、定向發行股票、股權并購等提供法律服務。 為鄭州信大智慧產業創新創業發展基金、鄭州市科技發展投資基金、鄭州澤賦北斗產業發展投資基金、河南農投華晶先進制造產業投資基金、河南高創正禾高新科技成果轉化投資基金、河南省國控互聯網產業創業投資基金設立提供法律服務。辦理過擔保公司、小額貸款公司、村鎮銀行、私募股權投資基金的設立、法律文書、交易結構設計，不良資產處置及訴訟等業務。 近兩年主要從事私募基金管理人及私募基金業務、不良資產處置及訴訟，公司股份制改造、新三板掛牌及股票發行、股權并購項目法律盡職調查、法律評估及法律路徑策劃工作。 專業領域：企事業單位法律顧問、金融機構債權債務糾紛、并購法律業務、私募基金管理人設立登記及基金備案法律業務、新三板法律業務、民商事經濟糾紛等。
作者：
目 錄 |
一、企業內部控制概述 |
二、企業內控五大維度 |
（一）內部環境 |
1、公司治理 |
2、組織架構 |
3、戰略規劃的制定 |
4、人力資源管理 |
5、企業文化與溝通 |
6、企業社會責任 |
（二）風險評估 |
（三）控制活動 |
（四）信息與溝通 |
（五）內部監督 |
二、企業內部控制的應用 |
（一）資金活動 |
1、籌資活動 |
2、投資活動 |
3、運營活動 |
（二）采購業務 |
（三）資產管理 |
1、存貨管理 |
2、固定資產管理 |
3、無形資產管理 |
（四）銷售業務 |
（五）研究與開發 |
（六）工程項目 |
（七）擔保業務 |
（八）業務外包 |
（九）財務報告 |
（十）全面預算 |
（十一）合同管理 |
四、企業內部控制評價的程序 |
（一）制定評價控制方案 |
（二）組成評價工作組 |
（三）實施評價工作與測試 |
（四）匯總評價結果 |
（五）內部控制評價報告 |
一、企業內部控制概述
內部控制是企業風險管理活動不可分割的組成部分，也是全面風險管理這一全流程的重要內嵌環節，該過程受董事會、管理層和其他管理人員的影響。從企業戰略制定一直貫穿到企業的各項活動之中，用于識別可能影響企業的潛在風險并予以管理，使之在企業的風險偏好之內，從而合理確保企業取得既定目標，在該框架下有三個維度，第一個維度是企業的目標（具體包括戰略目標、經營目標、報告目標和合規目標四個），第二個維度是全面風險管理要素（具體包括內部環境、目標設定、事項識別、風險評估、風險應對、控制活動、信息與溝通、監督），第三個維度是企業的層級（具體包括主體層次、各部門、各業務單元及其下屬子公司）。其具體邏輯關系如下圖：
一 | 內部環境 |
內部環境是企業實施內部控制的基礎，基本規范將內部環境的要素歸納為六個方面，分別是公司治理及結構，內部機構設置與職責分工、內部審計、人力資源政策、企業文化與法制環境。同時明確，企業應當成立專門機構或指定適當的機構具體負責組織協調內部控制的建立實施及日常工作 | |
二 | 風險評估 |
風險評估時企業及時識別、系統分析經營活動中于實現內部控制目標相關的風險，合理確定風險應對策略。企業應當根據設定的控制目標，全面系統、持續的收集相關信息，結合實際情況，及時進行風險評估。風險評估的要素主要包括四個方面，分別是確定風險承受度，識別風險（包括內部和外部風險），風險分析和風險應對 | |
三 | 控制活動 |
控制活動是企業根據風險評估的結果，采用相應的控制措施，將風險控制在可承受的范圍之內，具體包括七個方面：不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評控制。同時規定企業應當建立重大風險預警機制和突發時間應急處理機制，明確風險預警標準，對可能發生重大風險或突發時間，制定應急預案，明確責任人員、規范處置程序，確保突發事件得到及時妥善處理 | |
四 | 信息與溝通 |
信息與溝通是企業及時、準確收集、傳遞和內部控制相關的信息，確保信息在企業內部、企業與外部之間進行有效的溝通。具體工作上應圍繞內部和外部信息的收集、信息在內部和對外部相關者之間的傳遞、信息技術平臺、反舞弊機制，舉報投訴制度和舉報人保護制度等展開 | |
五 | 內部監督 |
內部監督是企業對內部控制建立與實施情況進行監督檢查，評價內部控制的有效性，發現內部控制缺陷，應當及時加以改進，具體要針對內部監督的類型和方式，內部控制和自我評價和缺陷認定機制，內部控制記錄制度等進行規定 |
二、企業內控五大維度
（一）內部環境
內部環境規定了企業的紀律與框架，影響經營管理目標的制定，塑造企業文化并影響員工的控制意識，是建立與實施內控的基礎。
1、公司治理
企業應當根據國家有關法律法規的規定，明確董事會、監事會和經理層的職責權限、任職條件、議事規則和工作程序，確保決策、執行和監督相互分離、形成制衡。
董事會對股東大會負責，依法行使企業的經營決策權，可以按照股東大會的有關決議，設立戰略、審計、提名、薪酬與考核等專門委員會，明確各專門委員會的職責權限，任職資格，議事規則和工作程序，為董事會科學決策提供支持。監事會對股東大會負責，監督企業董事、經理及其他高級管理人員依法履行職責。經理層對董事會負責，主持企業的生產經營管理工作，經理和其他高級管理人員的職責應當明確。董事會、監事會和經理層的產生程序應當合法合規，其人員構成、知識結構、能力素質等應當滿足履行職責的要求。
企業的重大決策、重大事項、重要人事任免以及大額資金支付業務等，應當按照規定的權限和程序實行集體鞠策審批或聯簽制度。任何個人不得單獨進行決策或擅自改變集體決策意見。重大決策、重大事項、重要人事任免及大額資金支付業務的具體標準由企業自行確定。
企業應當按照科學、精簡、高效、透明、制衡的原則，綜合考慮企業性質、發展戰略、文化理念和管理要求的因素，合理設置內部職能部門，明確各機構的職責權限，避免職責交叉、缺失或權責過分集中，形成各司其職、各負其責、相互制約、相互協調的工作機制。
企業應當對各機構的職能進行科學合理的分解，確定具體崗位的名稱、職責和工作要求等，明確各個崗位的權限和相互關系，企業在確定職權和崗位分工過程中，應當體現不相容職務相互分離的要求，不相容職務通常包括可行性研究與決策審批，決策審批與執行，執行與檢查監督等。
企業應當制定組織結構圖，業務流程圖、崗位說明書和權限指引等內部管理制度或相關文件，使員工了解和掌握組織架構設計及權責分配情況，正確履行職責。
董事會及其風險管理委員會 | |
一 | 2012年6月 |
銀監會印發《商業銀行資本管理辦法（試行）》 | |
商業銀行董事會承擔本行資本管理首要責任，對其在銀行風險管理和資本管理方面應履行的職責進行規定，在風險管理方面，董事會對商業銀行風險管理承擔最終責任，負責風險偏好等重大風險管理事項的審議、審批，對銀行承擔風險的整體情況和風險管理體系的有效性進行監督 | |
二 | 2013年 |
銀監會印發《商業銀行公司治理指引》 | |
強調商業銀行董事會對銀行風險管理承擔最終責任。規定商業銀行董事會應當根據銀行風險狀況、發展規模和速度，建立全面的風險管理戰略、政策和程序，判斷銀行面臨的主要風險，確定恰當的風險容忍度和風險偏好，督促高級管理層有效識別、計量、監測、控制并及時處置商業銀行面臨的各種風險。對商業銀行風險水平、風險管理狀況、風險承受能力進行評估，并提出全面風險管理意見 | |
四 | 2015年 |
巴賽爾委員會第四版《銀行公司治理原則》 | |
強調董事會對銀行負有整體責任，包括批準并監督管理層實施銀行的戰略目標、治理框架和公司文化，具體包括董事會對銀行的業務戰略、財務穩健性、關鍵人員、內部組織、治理結構和實踐、風險管理和合規義務承擔最終責任 在風險管理方面，董事會要結合競爭和監管格局、銀行的長期利益、風險敞口及有效管理風險的能力，與高級管理層和首席風險官一同確定銀行的風險偏好，監督銀行遵守風險偏好聲明、風險政策和風險限額，審批并監督實施有關銀行資本充足率評估流程、資本與流動性規劃、合規政策以及內部控制體系 風險管理委員會是系統性重要銀行的必備委員會，具體工作包括監督資本和流動性管理以及銀行的所有相關風險（如信用、市場、操作及聲譽風險）的策略。委員會應接受首席風險官及其相關職能部門的定期報告，包括當前風險狀況、風險文化的現狀、已制定風險偏好的實施情況、限額突破情況等 | |
監事會 | |
一 | 2013年 |
銀監會印發《商業銀行公司治理指引》 | |
監事會是商業銀行內部監督機構，對股東大會負責，在風險管理方面，對本行經營決策、風險管理和內部控制等進行監督檢查并督促整改。監事會向股東大會和負責，是商業銀行的監督機構。監事會對董事會、高級管理層履職盡責盡情進行監督并向股東大會報告，同時，監事會還負責對商業銀行的財務活動、經營決策、風險管理和內部控制進行監督檢查并督促整改。 監事會在商業銀行風險管理方面，主要負責監督董事會，高管層，是否會盡職履責，并對銀行承擔的風險和風險管理體系的有效性進行獨立的監督和評價 在風險管理領域，監事會應當加強與董事會及董事會審計委員會、風險管理委員會等相關專門委員會，高管層以及審計部門、風險管理部門的工作聯系，全面了解商業銀行的風險管理和內部控制狀況，跟蹤監督董事會和高級管理層為加強風險管理，完善內部控制所做的相關工作，檢查和調研日常經營活動中是否存在違反既定風險管理政策和原則的行為 | |
二 | 2012年6月 |
銀監會印發《商業銀行資本管理辦法（試行）》 | |
商業銀行監事會應對董事會及高級管理層在資本管理和資本計量高級方法管理中的履職情況進行監督評價，并至少每年一次向股東大會報告董事及高級管理層的履職情況 監事會要處理好與董事會、高級管理層之間的關系，加強相互的理解、溝通與協調，充分聽取對內部監督工作的要求、意見和建議，避免重復檢查，不干預正常的經營管理活動，擴展對風險管理監督工作的深度和廣度，更加客觀、全面的對商業銀行的風險管理能力和風險狀況進行監督和評價 | |
三 | 2013年 |
銀監會印發《銀行業金融機構全面風險管理指引》 | |
要求監事會承擔全面風險管理的監督責任，負責監督檢查董事會和高級管理層在風險管理方面的盡職履責情況并督促整改，相關監督檢查情況應當納入監事會工作報告 | |
2、組織架構
企業應當根據組織架構的設計規范，對現有治理結構和內部機構設置進行全面梳理，確保本企業治理結構，內部機構設置和運行機制等符合現代企業制度要求。企業梳理治理結構，應當重點關注董事、監事、經理和其他高級管理人員的任職資格和履職情況，以及董事會、監事會和經理層的運行效果。治理結構存在問題的，應當采取有效措施加以改進。企業梳理內部機構設置，應當重點關注內部機構設置的合理性和運行的高效性。內部結構設置和運行存在職責交叉、缺失或運行效率低下的，應當及時解決。企業擁有子公司的，應當建立科學的投資管控制度，通過合法有效的形式履行出資人職責，維護出資人權益，重點關注子公司特別是異地、境外子公司的發展戰略，年度財務預決算、重大投融資、重大擔保、大額資金使用、主要資產處置、重要人事任免、內部控制體系建設等重要內容。
一是在董事會下設立審計委員會，加強內部審計工作（根據中國內部審計協會的解釋，內部審計是指組織內部的一種獨立客觀的監督和評價活動，它通過審查和評價經營活動及內部控制的適當性、合法性和有效性來促進組織目標的實現。內部審計的范圍主要包括財務會計、管理會計和內部控制檢查），保證內部審計機關設置、人員配備和工作的獨立性：
一 | 審計委員會 |
1、負責審查企業內部控制，監督內部控制的有效實施和內部控制的自我評價情況，協調內部控制及其他相關事宜等 | |
二 | 內部審計機關 |
1、需結合內部審計監督，對企業內部控制的有效性進行監督檢查 3、如果發現的內部控制缺陷屬于重大缺陷。機構有權直接向董事會及其審計委員會、監事會報告 |
二是在具體職能部門的設置上，遵循前中后臺有效分離的原則，搭建推動各項業務協同配合的架構體系。公司治理應以更加規范化，職責互斥將會成為前、中、后臺有效分離的基本原則。其中，前臺部門設置將會針對不同的業務類別，不斷的提高專業化水平，以便有效識別重點客戶。中臺方面，實現公司的全面風險和內控管理，推動全公司風險體系建設，對項目進行審查和管理。后臺方面，根據綜合管理、計劃財務、信息科技等各方面板塊分設相應職能部門。前中后臺各職能部門的具體功能職責將根據各自權限形成如表所示：
針對銀行類金融機構，其高級管理層和風險管理架構設置又有其他具體要求：
高級管理層 | |
一 | 巴賽爾委員會第四版《銀行公司治理》 |
高級管理層的成員應對他們管理的額人員和業務提供全面監督，并確保銀行的業務符合董事會批準的經營戰略、風險偏好和政策。高級管理層的成員應對他們管理的人員和業務提供全面監督，并確保銀行的業務符合董事會批準的經營戰略、風險偏好和政策。高級管理層應定期向董事會提供經營戰略、風險戰略和風險偏好的調整，銀行的業績和財務狀況，違反風險限額或合規規定，內部控制失效等有關充足的信息 大型、復雜且擁有國際業務的銀行以及其他銀行（基于風險狀況和當地監管要求）應委任一名高級管理人員（首席風險官或同等職位），全面負責銀行的風險管理職能。在銀行集團中，除了子公司層面的風險官之外，還應任命集團首席風險官，首席風險官的主要職責是監督銀行的風險管理職能的建立和實施，其中包括持續加強員工技能并強化必要的風險管理體系、政策、流程、定量模型和報告，確保銀行的風險管理能力足夠強大和有效，從而可以充分支持銀行的戰略目標及所有的風險承擔活動 | |
二 | 《商業銀行資本管理辦法（試行）》 |
商業銀行高級管理層負責根據業務戰略和風險偏好組織實施資本管理工作，確保資本與業務發展，風險水平相適應，落實各項監控初始，定期評估資本計量高級方法和工具的合理性、有效性 | |
三 | 《銀行業金融機構全面風險管理指引》 |
銀行業金融機構高級管理層應承擔全免費風險管理的實施責任： 一是建立適應全面風險管理的經營管理架構，明確全面風險管理職能部門、業務部門以及其他部門在風險管理上的分工，建立部門之間相互協調、有效制衡的運營機制 二是制定清晰的執行和問責機制，確保風險管理策略、風險偏好和風險限額得到充分傳達和有效實施 三是根據董事會設定的風險偏好，制定風險限額，包括但不限于行業、區域、客戶、產品等維度 四是制定風險管理政策和程序，定期評估，必要時予以調整 五是評估全面風險和各類重要風險管理狀況并向董事會報告 六是建立完備的管理信息系統和數據質量控制機制 七是對突破風險偏好、風險限額以及違反風險管理政策和程度的情況進行監督，根據董事會的授權進行處理 八是風險管理的其他職責 | |
企業應當定期對組織架構設計與運行的效率和效果進行全面評估，發現組織架構設計與運行中存在缺陷的，應當進行優化調整，企業組織架構調整應當充分聽取董事、監事、高級管理人員和其他員工的意見，按照規定的權限和程序進行決策審批。
3、戰略規劃的制定
企業在董事會下設立戰略委員會，或指定相關機構負責發展戰略管理工作，履行相應職責。戰略委員會主要職責：一是對戰略規劃進行可行性研究和科學論證；對戰略實施進行監控。二是進行充分調查研究、科學分析預測和廣泛征求意見的基礎上制定發展目標。三是根據企業的發展目標制定戰略規劃，明確發展的階段性和發展程度，確定每個發展階段的具體目標、工作任務和實施路徑。同時，制訂年度工作計劃，編制全面預算以確保戰略得以有效實施。四是在宏觀環境的情況發生重大變化時，企業應當按照規定權限和程序調整發展戰略。
董事會嚴格審議戰略委員會提交的發展戰略方案，重點關注其全局性、長期性和可行性。方案經董事會審議通過后，報經股東（大）會批準實施。但是，假若董事會在審議方案中如果發現重大問題，應當責成戰略委員會對方案做出調整。
4、人力資源管理
人力資源是指企業組織生產經營活動而錄（任）用的各種人員，包括董事、監事、高級管理人員和全體員工。人力資源管理應包括人力資源規劃和人力資源實務兩大方面。
人力資源規劃是整個公司宏觀戰略的主要驅動力，通過企業發展戰略和經營規劃整個經營方向的把控確保人員的供需平衡，以滿足企業在整個生命周期各個不同階段對人力資源結構和配置的差異化需求，為企業在不同階段的發展匹配相應的人力資源排布，促成企業戰略目標和長期利益的實現。通過人力資源的有效配置，可以使組織獲得高于競爭對手的優勢，通過不斷的調整確保人力資源管理活動能夠與組織實現更好的兼容。
人力資源政策和實務應包括但不限于招聘和雇用；新雇員的試用期和崗前培訓制；建立雇員員工培訓長效機制、提升員工素質；績效管理；薪酬管理；晉升渠道；辭職、解除勞動合同、退休等。其中：
培訓機制。針對高層管理人員、管理/業務骨干、業務拓展人員和一般員工四類不同崗位的具體培訓機制更應凸顯差異化和定制化。
一 | 中高層管理人員 |
培訓內容 一是管理和領導力培訓 二是公司治理 三是行業發展趨勢及業務知識技能 | |
培訓方式 一是與戰略合作伙伴合作領導力培訓項目 二是專家公開課與研討會 三是境內外交流考察 | |
主要目的 一是提高管理能力及公司治理水平 二是創新業務發展 | |
二 | 管理業務骨干 |
培訓內容 一是管理和領導力培訓 二是業務知識技能 三是專業培訓 | |
培訓方式 一是電子課程或培訓手冊 二是新老業務人員開展的“傳幫帶” 三是內部課堂培訓 | |
主要目的 提高與自身業務和職能相關的管理能力/知識技能，為晉升中層管理崗位做準備 | |
三 | 業務拓展人員 |
培訓內容 一是業務知識技能 二是產品培訓 三是風險合規培訓 四是客戶管理管理培訓 五是營銷技能培訓 | |
培訓方式 一是電子課程或培訓手冊 二是新老業務人員開展的“傳幫帶” 三是內部課堂培訓 | |
主要目的 提高客戶經歷工作所需技能，包括產品只是及銷售能力等 | |
四 | 一般員工 |
培訓內容 一是基本素質培訓 二是業務知識技能培訓 三是自身業務相關的培訓 | |
培訓方式 一是電子課程/指導手冊 二是在職培訓 | |
主要目的 使員工具有崗位相關技能，保證員工基本個人素質 |
績效管理，是通過下達任務的方式，明確員工績效目標，并在工作過程中不斷收集員工就其所分配的任務完成情況進行的評價和反饋，以確保員工的工作活動和工作產出能夠與組織保持一致，進而推動組織目標順利完成的管理過程。由公司決策層明確企業未來的發展方向和戰略規劃，基于公司的戰略規劃，梳理企業未來發展的關鍵重點，形成關鍵結果領域（key result areas）并以此確定KPI維度。在此基礎上進一步分解，將關鍵結果領域層層分解為關鍵績效要素（key result factors 即KPI要素）。為便于對這些要素進行量化考核，再將這些要素細分為各項指標，即為關鍵績效指標，結合公司的戰略目標及本考核周期所處的階段，設置評價標準，確定各個指標應該達到的水平。在此基礎上，圍繞戰略規劃，確定關鍵績效指標體系，然后圍繞組織內部自上而下對戰略目標進行層層分解，通過財務與非財務指標相結合的方式，體現關注短期效益，兼顧長期發展的原則，通過指標的設計在傳達結果的同時，也推動結果的產生。
薪酬管理，應同時兼顧內部公平性和外部競爭性，統籌激勵性和平穩性，內部公平性上，強調以崗位價值為原則，建立崗位職級體系，作為薪酬激勵的基礎，實現內部公平；外部競爭性上，應對標所在行業，激勵體系總體框架上以貼合金融市場規模為主，形成固有+短期激勵，并輔之以長期激勵的整體激勵框架，確保薪酬在市場上擁有較強的競爭力。針對前中后的區別，設置差異化的薪酬體制。針對前臺業務部門，采用幅寬較寬的薪酬帶設計，通過激勵性較強的薪酬結構吸引和保留市場化人員，借以增強對不同市場來源的人才的覆蓋能力，增加初次定薪的靈活度。此外還能增加管理彈性，當層級無法晉升時，可通過層級內調薪實現對人員的激勵，此外，這一模式還能覆蓋多種新業務的需要，通過寬帶薪酬保證了對薪酬成本較高的細分投資行業人員的吸引力。在有效統籌既有人力資源結構的同時，對接中長期要求，避免薪酬結構過于頻繁的調整。針對中后臺管理風控部門，采取非激進的薪酬政策，通過相對適中的薪酬帶寬，確保整體人力成本不發生大幅度增長，此類結構主要適用于行業研究、產品開發與創新業務研究、風險、法律、品牌與市場營銷及投后管理等中臺部門，以及數據管理、非投資相關的內審、法務、財務條線及人力、信息、行政等共享平臺純后臺部門。
晉升渠道的打造，既要建設晉升通道，也要搭建其他路徑，以激發員工提升專業能力的主觀能動性。
5、企業文化與溝通
企業文化是指企業在生產經營實踐中逐步形成的、為整體團隊所認同并遵守的價值觀、經營理念和企業精神，以及在此基礎上形成的行為規范的總稱。根據《企業內部控制應用指引第5號一企業文化》要求，一是要積極培育具有自身特色的企業文化，引導和規范員工行為，培育體現企業特色的發展愿景、積極向上的價值觀、誠實守信的經營理念、履行社會責任和開拓創新的企業精神，以及團隊協作和風險防范意識。二是要重視并購重組后的企業文化建設，平等對待被并購方的員工，促進并購雙方的文化融合。三是要求董事、監事、經理和其他高級管理人員在企業文化建設中發揮主導和垂范作用，企業文化建設既要注重“上下結合”，更應注重企業治理層和經理層的示范作用。四是要加強企業文化的宣傳貫徹，有效溝通，共同遵守，融入生產經營全過程。五是在建立企業文化的過程中，堅持誠信和道德觀是強化內部環境的重要因素，具體要通過制定行為守則、傳達行為守則、更新行為守則的方式加以落實。
6、企業社會責任
社會責任是強化內部環境中不可缺的一個元素，它代表企業管理層的形象和管理風格及責任使命感。根據《企業內部控制應用指引第4號一社會責任》規定，社會職責和義務主要包括安全生產、產品質量（含服務，合同）、環境保護、資源節約、促進就業、員工權益保護等。
（二）風險評估
風險評估作為整體內部控制結構的一部分，企業應開展風險評估，準確識別與實現控制目標的潛在外部風險和內部風險并確定相應的風險承受程度。在內部控制架構中，風險評估可被描述為一個兩步式程序。第一步是采用定性與定量相結合的方法，評估風險發生的可能性或頻率，以及其為企業帶來的影響程度；第二步是對識別的風險進行分析和排序。隨之而來的是企業可利用風險分析的結果為依據，考慮如何對重要風險進行管理及采取適當的應對風險行動。
風險管理的第一步就是風險的識別，具體而言主要通過感知和分析兩種路徑識別風險，其中，感知風險是通過系統化的方法發現公司所面臨的風險種類和性質，而分析風險則是深入理解各種風險內在的風險因素。根據風險識別路徑的不同可以分為自上而下和自下而上兩種不同的方式。其中，自上而下的路徑，是從最高管理層開始，逐步向下識別風險的方法，識別潛在風險的任務由董事會完成，董事會定期召開會議，或召集公司的個別員工共同探討企業所面臨的風險。這有利于企業從總體上把握公司所面臨的風險，在風險管理方面具有整體性和全面性，不過缺點也非常明顯，即遠離實操部門，不容易發現營運層面的風險。而自下而上的識別，則是從基層開始，逐步向上推進的風險識別方法，風險辨識與評估由基層小組承擔，然后逐步向上推進、傳遞相關信息。這有利于在一線發現營運層面的風險，但難以從總體上把握企業所面臨的風險，在風險管理方面缺乏整體性和全局性。
在風險計量方面，要根據不同的風險設置不同的數量模型，根據模型的推演給出相應的數值。在整個風險管理中，風險計量是最為關鍵也是技術含量最高的一個環節，所有的風險計量結果無一不是建立在卓越的風險模型基礎之上的，為此應開發出一系列準確的，能夠在未來一定時間限度內滿足企業風險管理需要的數量模型。企業將根據業務性質，規模和復雜程度，對不同類別的風險選擇適當的計量方法，基于合理的假設前提和參數，計量所承擔的所有風險。
通過模型進行風險計量之后，還要進行風險監測，監測各種可量化的關鍵風險指標及不可量化的風險因素的變化和發展趨勢。畢竟，風險管理既是一個流程化的管理體系，同時也是一個動態反饋過程，在這一過程中需要進行定期評價和修訂，因為隨著時間的推移和情況的變化，可能產生新的風險，有關風險的可能性和嚴重性的信息可能更易獲得。所以，隨時監測相應指標數據，借以修正完善計量模型，從而對風險作出更準確的預判。
最后是風險控制，即對經過識別和計量的風險采取分散、對沖、轉移、規避和補償等措施，進行有效管理和控制和過程。風險管理/控制措施應確保風險管理戰略和策略符合經營目標的要求，所采取的具體措施符合風險管理戰略和策略的要求，并在成本/收益基礎上保持有效性。通過對風險誘因的分析，發現管理中存在的問題，以完善風險管理程序。在實操層面，地方AMC進行風險管控，主要有事前和事后兩種路徑，在事前進行風險控制，主要采取的措施包括規避風險（即考慮風險事件存在與發生的可能性，主動放棄或拒絕某項可能導致風險損失的方案）、損失控制（在損失發生前全面的消除風險損失可能發生的根源，盡量減少損失發生的概率）。事后主要通過風險財務管理的方式，管控風險，即在風險事件發生后已經造成損失時，運用財務工具對損失及時補償，促使其盡快恢復，具體操作方式包括風險自留和風險轉嫁。
（三）控制活動
內控管理中的控制活動主要用于將風險控制在可承受之內的措施，具體可分為運營、財務報告及合規三個類別。常見的內部控制活動有不相容職務分離控制；授權審批控制；會計系統控制；調節和復核；財產保護控制；預算控制；營運分析控制；績效考評控制。
一 | 不相容職務分離控制 |
不相容職務是指那些如果由一個人擔任，既可能發生錯誤和舞弊行為，又可能掩蓋其錯誤和弊端行為的職務。它要求每項經濟業務都要經過兩個或兩個以上的部門或人員的處理，使得單個人或部門的工作必須與其他人或部門的工作相一致或相聯系，并受其監督和制約。企業可以通過在兩個或兩個以上的人員之間分配工作的方式，相互制約的工作機制實現這一監控目標。大多數交易都可分成三類獨立的職責。第一是認可或發起交易、第二是處理被交易的資產，最后是記錄交易。當舞弊涉及兩人或兩人以上的串通行為，不相容職務分離控制可能是無效的。在企業中如果某些職能尚未或無法分離，那么，應由管理層對相關活動進行詳細的監管審核，作為一種補償性控制。 | |
會計崗位設置中的不相容 企業設置的會計工作崗位一般可分為：會計機構負責人或者會計主管人員，出納，財產物資核算，工資核算，成本費用核算，財務成果核算，資金核算，往來結算，總賬報表，稽核，檔案管理等。上述會計工作崗位可以一人一崗、一人多崗或者一崗多人，但應符合不相容職務相互分離的要求，具體包括： 1、出納職務與收入、支出、費用的核算職務，與債權債務的核算職務，與稽核職務，與會計檔案的保管職務等均屬于不相容職務，應當予以分離 2、會計核算職務與相應的稽核檢查職務屬于不相容職務，應予以分離 3、總分類賬的登記職務與相關明細分類賬的登記職務屬于不相容職務，應當分離 4、開展會計電算化的企業，電算化會計崗位中的軟件操作職務、審核記賬職務、電算審查職務、檔案保管職務等互為不相容職務，均應當予以分離 7、出納與核對職務應分離，即庫存現金要由專人進行定期或不定期地進行盤點；銀行存款應指定專人及時對賬，每月收受銀行對賬單、編制銀行存款余額調節表，應當由出納、管現金賬和銀行存款賬以外的人員負責 8、支票的簽發除有專用公章外，還要有會計機構負責人或企業負責人的私章同時蓋印才有效。上述支票印簽章不能由出納一人保管 9、一切付款均須得到恰當批準，即付款經辦人與審批人應當分離 | |
購貨與付款業務中的不相容職務 1、在購貨與付款業務中，商品存貨的請購、訂貨、驗收和結算職務互為不相容職務，必須由不同的人員擔任 2、按照財政部2002年12月23日發布的財會[2002]21號《內部會計控制規范——采購與付款（試行）》的規定，單位應當建立采購與付款業務的崗位責任制，明確相關部門和崗位的職責、權限，確保辦理采購與付款業務的不相容崗位相互分離、制約和監督。采購與付款業務不相容職責至少包括： （1）請購與審批 （2）詢價與確定供應商 （3）采購合同的訂立與審批 （4）采購與驗收 （5）采購、驗收與相關會計記錄 （6）付款審批與付款執行 上述均是對單位提出的、有關采購與付款業務相關職責適當分離的基本要求，以確保辦理采購與付款業務的不相容崗位相互分離、制約與監督 | |
存貨與倉儲業務中的不相容職務 2、商品存貨的請領、審批、發放與記賬須相互獨立，不能由一人包辦 3、財產物資的保管與清查職務應分離，即應由會計部門組織，定期或不定期的查對賬證、抽點實物，以保證賬證相符、賬賬相符、賬實相符 | |
工資業務中的不相容職務 1、勞動工資管理部門的主要職責是根據在冊職工和工資標準開列工資單；根據考勤記錄和扣款記錄計算工資額 2、會計部門的主要職責是根據工資結算單編制工資費用分配表；根據工資費用分配表編制記賬憑證入賬 | |
銷售與收款業務中的不相容職務 1、銷售部門和銷售人員必須專職獨立，不得兼記會計部門銷售收入賬和應收賬款賬，不得直接收取貨款，不得兼任貨物保管和發貨，不得兼貨物采購。同時，其他部門及人員也不得兼辦銷售，即銷售與記賬、收款、保管、發貨、采購均屬不相容職務 2、銷售業務的各個環節，包括銷售合同的簽訂、銷售單的編制、發票的開出、售價的確定、銷售方式和結算方式、銷售折扣折讓與退貨等，都要經過恰當的批準，即批準與經辦應予以分離 3、開票與發貨、開票與收款、銷售收入賬的記錄、應收賬款賬的記錄和收款應予分離，即負責銷售收入賬和應收賬款賬的會計不得經手貨幣資金，并且銷售收入賬和應收賬款賬最好由不同的會計人員負責 4、記賬、收款和抄寄對賬單屬于不相容職務，應予以分離，即企業應由不負責現金出納和銷售及應收賬款記賬的人員，按月向客戶寄發賬單 5、單位應當將辦理銷售、發貨、收款三項業務的部門（或崗位）分別設立 6、單位在銷售合同訂立前，應當指定專門人員就銷售價格、信用政策、發貨及收款方式等具體事項與客戶進行談判。談判人員至少應有兩人以上，并與訂立合同的人員相分離 7、編制銷售發票通知單的人員與開具銷售發票的人員相互分離 8、銷售人員應當避免接觸銷售現款 9、單位應收票據的取得和貼現必須經由保管票據以外的主管人員的書面批準 | |
籌資與投資業務中的不相容職務 | |
1、籌資業務中的不相容職務通常包括： （1）籌資計劃編制人與審批人應適當分離，以利于審批人從獨立的立場來評判計劃的優劣經辦人員不能接觸會計記錄，通常由獨立的機構代理發行債券和股票 （2）會計記錄人員同負責收、付款的人員相分離，有條件的應聘請獨立的機構負責支付業務 （3）證券保管人員同會計人員分離 | |
2、投資業務中的不相容職務一般包括： （1）對外投資預算的編制與審批 （2）對外投資項目的分析論證與評估 （3）對外投資的決策與執行 （4）對外投資處置的審批與執行 （5）對外投資業務的執行與相關會計記錄 | |
二 | 授權審批控制（預防性控制） 企業根據常規授權和特別授權的規定，明確各崗位辦理業務和事項的權限范圍、審批程序和相應責任。其中 （1）常規授權是企業在日常經營管理活動中按照既定的職責和程序進行的授權，以規范經濟業務的權力、條件和有關責任者 （2）特別授權是企業在特殊情況、特定條件下進行的授權。特別授權的對象是某些例外的經濟業務 |
三 | 會計系統控制 企業嚴格執行我國統一的會計準則制度、明確會計憑證、會計賬簿和財務會計報告的處理程序 |
四 | 調節和復核（偵察式控制） |
1、調節是指雇員將不同數據連接在一起，識別并找出差異，并且在必要時采取糾正措施 | |
五 | 財產保護控制 |
財產保護控制是指保護實物資產不被偷盜或未經許可而獲得或被使用的措施和程序。 | |
六 | 預算控制 |
明確各責任單位在預算管理中的職責權限，規范預算的編制、審定、下達和執行程序，強化預算約束 | |
七 | 營運分析控制 |
管理層可綜合運用生產、投資、籌資、財務等方面信息，通過不同種類的方法，如對比分析、趨勢分析等方法，對營運情況（如企業目標所實現的成果）進行分析，發現存在的問題，及時查明及更進 | |
八 | 績效考評控制 |
對企業內部各責任單位和全體員工的績效進行定期考核和客觀評價，將考評結果作為確定員工薪酬以及晉升、評優等依據。這種控制活動對企業內部環境具有支持作用 |
（四）信息與溝通
信息與溝通是指在人員能夠履行責任的方式及時間范圍內，識別、取得和報告經營、財務及法律遵守的相關資訊的有效的程序和系統。信息具體包括內部信息和外部信息，其中內部信息是指會計信息、生產經營信息、資本運作信息、人員變動信息、技術創新信息、綜合管理信息。外部信息是政策法規信息、經濟形勢信息、監管要求信息、市場競爭信息、行業動態信息、客戶信用信息、社會文化信息、科技進步信息。
在信息與溝通環節，企業應同時建立反舞弊機制，堅持懲防并舉、重在預防的原則，明確反舞弊工作的重點領域、關鍵環節和有關機構在舞弊工作的權限、規范舞弊案件的舉報、調查、處理、報告和補救措施。企業應關注的反舞弊工作重點包括但不限于：未經授權或采取其他不法方式侵占、挪用企業資產、牟取不當利益；在財務會計報告和信息披露等方面存在不正確、誤導性陳述或者重大漏報等；董事、監事或管理人員濫用職權；相關機構或人員串通舞弊等。在溝通環節中，有效的溝通必須在企業內以全方位方式進行。溝通系發生在高級管理層和雇員之間，管理層與董事會及董事會下轄的委員會之間，企業與外界各方（比如股東、客戶、供應商和監管機構）之間的溝通。有效的信息與溝通系統應具備以下特點：一是能夠生成企業經營所需的、關于財務、運營及法規遵守的報告，幫助做出精明的商業決策，以及對外發布可靠的報告；二是能使得雇員獲得信息，且交流他們為實施、管理及控制運轉情況所需的信息；三是能識別和傳達相關信息，并且是以一種人員能夠有效履行他們的職責的方式進行。
（五）內部監督
企業內部控制應有相應的監督機制，具體要明確內部審計機關和企業內部機構在內部監督中的權責，規范內部監督的程序、方法和要求；制定內部控制缺陷認定標準，并定期對內部控制的有效性進行自我評估及按法律法規要求委派會計師進行內部控制的審計。
監督過程是對內部控制系統的表現進行評估的過程，可以通過持續的監察活動或單獨的評價來實現。監督適用于企業內的活動，以及為企業提供相關服務的外部承包商。內部監督分為日常監督和專項監督。其中，日常監督是指企業對建立與實施內部控制情況進行常規、持續監督檢查；專項監督是指在企業發展戰略、組織結構、經營活動、業務流程、關鍵崗位等發生較大凋整或變化的情況下，對內部控制的某一或某些方面進行針對性的監督檢查。
內部控制的監督方法包括：績效計量（內控系統要為目標的實現提供合理保證，因此可以通過對企業績效的測評來判斷內控系統的有效性）；對企業運營進行測試（通過內部審計部門完成，復核成本效益原則）。
在記錄方面，應形成內部控制的文件記錄。規模較小的企業可能備有較少的文件記錄，但這并不一定表示它們的內部控制無效。在報告方面，所有可能影響企業實現目標的內部控制缺陷，均應向能采取必要行動的人員匯報。一個渠道是在常規運營活動時產生的信息，通常通過正常的渠道向上級報告；另一渠道供匯報非常敏感的信息（向上級匯報一些例外事項）。
二、企業內部控制的應用
（一）資金活動
根據《企業內部控制應用指引第6號——資金活動》規定，資金活動是指企業籌資、投資和資金營運等活動的總稱。資金活動涉及三項主要內容：
1、籌資活動
一 | 提出籌資方案階段 |
控制目標 針對籌資方案可行性進行論證 | |
控制措施 1、進行籌資方案的戰略性評估 | |
二 | 籌資方案審批階段 |
控制目標 進行審批，選擇批準最優籌資方案 | |
控制措施 1、根據分級授權審批制度，按照規定程序嚴格審批經過論證的籌資資方案 | |
三 | 制定籌資計劃階段 |
控制目標 制定切實可行的具體籌資計劃，科學規劃籌資活動，保證低成本、高效率籌資 | |
控制措施 1、根據籌資方案，結合當時經濟金融形勢，分析不同籌資方式的資金成本，正確選擇籌資方式； | |
四 | 實施籌資階段 |
控制目標 保證籌資活動正確、合法、有效進行 | |
控制措施 1、簽訂籌資協議，明確規模、如利率、擔保等商定條件與權利義務，以及違約責任等 | |
五 | 籌資活動評價與責任追究階段 |
控制目標 保證籌集資金的正確有效使用，維護籌資信用 | |
控制措施 1、促成各部門嚴格按照確定的用途使用資金 |
2、投資活動
一 | 提出投資方案階段 |
控制目標 進行投資方案可行性論證 | |
控制措施 1、進行投資方案的戰略性評估 | |
二 | 投資方案審批階段 |
控制目標 進行審批，選擇批準最優投資方案 | |
控制措施 1、根據分級授權審批制度，按照規定程序嚴格審批經過可行性論證的投資方案 | |
三 | 實施投資方案及監督階段 |
控制目標 保證投資活動按計劃合法、有序、有效進行 | |
控制措施 1、根據投資計劃按進度適時投放資金，嚴格控制資金流量和時間 | |
四 | 投資資產收回或處置控制階段 |
控制目標 確保投資資產的處理符合企業的利益 | |
控制措施 1、跟蹤投資到期本金的回收 | |
五 | 籌資活動評價與責任追究階段 |
控制目標 保證籌集資金的正確有效使用，維護籌資信用 | |
控制措施 1、促成各部門嚴格按照確定的用途使用資金 |
3、運營活動
一 | 審批 |
控制目標 合法性 | |
控制措施 未經授權審批不得經辦資金收付業務；明確不同級別管理人員的權限 | |
二 | 復核 |
控制目標 真實性與合法性 | |
會計對于相關憑證進行橫向復核（即平級人員的相互核對）和縱向復核（即上下級人員的相互核對） | |
三 | 收支點 |
控制目標 收入入賬完整，支出手續完備 | |
控制措施 出納根據審核后的相關收款原始憑證收款或付款，并加蓋確認 | |
四 | 記賬 |
控制目標 真實性 | |
控制措施 出納人員根據資金收付憑證登記日記賬，會計人員根據相關憑證登記有關明細分類賬；主管會計登記總分類賬 | |
五 | 對賬 |
控制目標 真實性和財產安全 | |
控制措施 賬證核對、賬表核對與賬實核對 | |
六 | 保管 |
控制目標 財產安全與完整 | |
控制措施 授權專人保管資金；定期、不定期盤點 | |
七 | 銀行賬戶管理 |
控制目標 防范小金庫；加強業務管控 | |
控制措施 開設、使用與撤銷的授權 | |
八 | 票據與印章管理 |
控制目標 財產安全 | |
控制措施 1、票據統一印制或購買 |
（二）采購業務
根據《企業內部控制應用指引第7號一采購業務》規定，采購是指購買物資（或接受勞務）及支付款項等相關活動。業務流程如下圖：
其中，關鍵控制點及措施為購買與付款，具體流程中關鍵控制點，控制目標、控制措施如下：
購買 | |
一 | 編制采購計劃 |
控制目標 確保計劃的合理性 | |
控制措施 要求生產、經營等部門應按照實際需求準確編制需求計劃，并把有關計劃納入預算管理 | |
二 | 請購 |
控制措施 1、企業應當依據購買物資或接受勞務的類型，確定歸口管理部門，授予相應的請購權，明確相關部門或人員的職責權限及相應的請購和審批程序。 | |
三 | 供應商選擇、管理與合同 |
控制目標 選擇合適的供應商，以合理的條款采購 | |
控制措施 1、建立科學的供應商評估制度或供應商管理信息系統，對供應商清單中的實體進行資質信譽情況進行審查 | |
四 | 驗收 |
控制目標 避免缺乏驗收標準、有關程序不規范及有效管理及跟進驗收中發現的異常情況 | |
控制措施 1、建立嚴格的采購驗收制度及可用標準 | |
五 | 付款 |
控制目標 使流程得以完善，明確付款審核人的責任和權力，嚴格審核采購預算、合同、相關單據憑證、審批程序等相關內容，審核無誤后按照合同規定及時辦理付款 | |
控制措施 1、嚴格審查采購發票的真實性、合法性和有效性。對于內容相符的發票，加蓋印章證明。發現虛假發票的，應查明原因，及時報告處理 | |
（三）資產管理
根據《企業內部控制應用指引第8號-資產管理》要求，對于存貨、固定資產、無形資產管理應滿足如下要求：
1、存貨管理
針對生產企業和商品流通企業非，其業務流程應包括如下環節：
一 | 取得存貨、存貨的取得多來自外購、委托加工或自行生產 |
控制目標： 如果存貨預算編制不科學、采購計劃不合理，可能導致存貨積壓或短缺 | |
控制措施： 1、根據存貨間隔期和當前庫存，綜合考慮企業生產經營計劃及市場供求等決定因素管理存貨，以確定存貨數量和日期 | |
二 | 驗收入庫 |
控制目標： 避免缺乏驗收標準、有關程序不規范及有效管理及跟進驗收中發現的異常情況（來自于采購業務流程） | |
控制措施： 1、參考采購流程中的有關驗收程序的控制措施。所有驗收完成后，應有負責人簽字確認：建立嚴格的采購驗收制度及可用標準；規范機構驗收人員或專業機構對采購項目的品種、規格、數量、質量等相關內容進行驗收或對大宗或特殊物品采購進行專業測試；建立在驗收過程中發現的異常情況（如數量或質量不符）的通報機制，查明原因及時更進 | |
三 | 倉儲保管及領用發出 |
控制目標： 防范可能導致損壞變質、價值貶損、資源浪費 | |
控制措施： 1、進入或發出存貨時應當辦理入庫手續，未經授權不得接觸存貨 | |
四 | 盤點清查及銷售處置 |
控制目標： 檢查賬實相符，對賬實差異進行分析，包括數量和質量方面 | |
控制措施： 應每年進行至少一次年度終的定期盤點清查，并在形成書面報告盤點結果，交代存貨盤盈、盤虧、毀損、閑置以及需要報廢的存貨的情況與責任追究，在按照規定權限批準后處置 |
2、固定資產管理
固定資產管理 | 盤點清查及銷售處置 |
控制目標： 建立完善制度，管控固定資產取得、資產運行維護及資產處置流程 | |
控制措施： 1、應用《企業內部控制應用指引第6號一資金活動》、《企業內部控制應用指引第11號一工程項目》等控制措施 |
3、無形資產管理
無形資產的取得（如外購、自行開發以及其他方式取得）、驗收并落實權屬、自用或授權其他單位使用、安全防范、技術升級與更新換代、處置與轉移。在關鍵控制點和控制措施上，應著重關注如下問題：一是企業應全面梳理無形資產的取得及權屬關系，加強無形資產權益保護，防范侵權行為和法律風險；二是企業應關注無形資產具有保密性質的，采取嚴格保密措施，嚴防泄露商業秘密；三是定期對專利、專有技術等無形資產的先進性進行評估，淘汰落后技術；四是加大研發投入，促進技術更新換代，不斷提升自主創新能力，努力做到核心技術處于同行業領先水平。
（四）銷售業務
根據《企業內部控制應用指引第9號一銷售業務》要求，對于銷售業務管控的主要環節在于銷售和收款。其控制目標和控制措施如下：
銷售 | |
一 | 計劃管理 |
控制目標： 防范銷售計劃缺乏或不合理，或未經授權審批，可導致產品結構和生產安排不合理，難以實現企業生產經營的良性循環 | |
控制措施： 1、根據企業發展戰略及實際銷售情況，制定月度的銷售計劃 | |
二 | 客戶開發與信用管理 |
控制目標： 防范現有客戶管理不足、潛在市場需求開發不夠，可能導致客戶丟失或市場拓展不利；客戶檔案不健全，缺乏合理的資信評估，可能導致客戶選擇不當，銷售款項不能收回或遭受欺詐，從而影響企業的資金流轉和正常經營。 | |
控制措施： 1、進行市場調查，并采用本書第五章第四節中提及的系統方法實施營銷戰略 | |
三 | 銷售定價、訂立銷售合同 |
控制目標： 定價或調價不符合價格政策，未能結合市場供需狀況、盈利測算等進行適時調整，將可能造成價格過高或過低、銷售受損；或是商品銷售價格未經恰當審批，或存在舞弊，可能導致損害企業經濟利益或者企業形象 | |
控制措施： 1、進行適當的產品戰略，應用在本書第五章第四節中提及的系統方法實施定價策略 | |
收款 | |
一 | 收款 |
控制目標： 防范企業信用管理不到位，結算方式選擇不當，票據管理不善，賬款回收不力，將導致銷售款項不能收回或遭受欺詐；又或是收款過程中存在舞弊，必導致企業經濟利益受損 | |
控制措施： 1、結合企業銷售政策，選擇適當的結算方式，加快款項回收 | |
（五）研究與開發
根據《企業內部控制應用指引第10號一研究與開發》要求，其關鍵的內部控制要求主要集中在如下幾個方面：
控制目標及控制措施 | |
一 | 建立完善的立項申請程序，展開可行性研究 |
二 | 審批通過，重點關注研究項目對促進企業發展的必要性、技術先進性以及成果轉化的可行性。重大的研究項目應當報經董事會或類似機構集體審議 |
三 | 落實崗位責任制，監督進程 |
四 | 與合作方／外包方簽訂合同，約定明確雙方投資、分工、權利義務、研究成果產權歸屬、研究進度和質量標準等內容 |
五 | 確定是否申請專利，或作為非專利技術、商業秘密等 |
六 | 界定核心研究人員名單和工作范圍，簽署保密防議；簽訂勞動合同時，應當特別約定研究成果歸屬、離職條件、離職移交程序、離職后保密義務、離職后競業限制年限及違約責任等 |
七 | 建立研究開發活動評估機制 |
（六）工程項目
根據《企業內部控制應用指引第11號-工程項目》規定，其業務流程為：
一 | 工程立項階段 |
控制目標： 防范如果工程立項缺乏可行性研究或者可行性研究流于形式，決策不當，盲目上馬，可能整個項目失敗 | |
控制措施： 1、制定專業標準以確?？尚行匝芯靠茖W，準確和公正 | |
二 | 工程招標階段 |
控制目標： 防范項目招標“暗箱操作”，存在商業賄賂將導致因中標人在實質上未能承包項目而影響項目進度或質量，以及使企業涉及違法的商業活動 | |
控制措施： 1、依照國家招投標法的規定及遵循公開、公正、平等競爭的原則，發布招標公告，提供載有招標工程的主要條款的招標文件，如技術要求、主要合同條款、評估的標準和方法等 | |
三 | 工程造價階段 |
控制目標： 防范工程造價信息不對稱，技術方案不落實，預算脫離實際，將導致項目投資失控 | |
控制措施： 1、明確初步設計預算和施工圖預算的編制方法 | |
四 | 工程建設階段 |
控制目標： 防范質量未達標而影響項目的預期效益 | |
控制措施： 1、在采購工程物資時，參照《企業內部控制指引第7號》中有關的內控措施 | |
五 | 工程驗收階段 |
控制目標： 防范竣工驗收不規范 | |
控制措施： 1、編制竣工決算，開展竣工決算審計、審批決算、組織驗收 |
（七）擔保業務
擔保是企業作為擔保人按照公平、自愿、互利的原則與債權人約定，當債務人不履行債務時，依照法律規定和合同協議承擔相應法律責任的行為。
根據《企業內部控制應用指引第l2號一擔保業務》規定，關鍵的內部控制主要集中在如下幾個方面：
關鍵控制點及措施
一 | 受理申請 |
控制目標： 防范擔保申請受理流于形式或難以對擔保申請人提出的擔保申請進行初步評價和審核 | |
控制措施： 1、健全其擔保政策和相關管理制度 | |
二 | 調查評估 |
控制目標： 防范企業擔保決策失誤或遭受欺詐 | |
控制措施： 強化擔保業務中調查評估制度，包括委派具備勝任能力的專業人員或部門負責對擔保人進行資信調查及風險評估。 | |
三 | 審批 |
控制目標： 防范擔保業務的審批及防止擔保決策出現重大疏漏，可能引發嚴重后果或存在舞弊行為 | |
控制措施： 1、明確擔保業務的授權批準方式、權限、程序、責任和相關控制措施，在授權范圍內進行審批，不得超越權限審批 | |
四 | 簽訂擔保合同 |
五 | 監控 |
控制目標： 對擔保合同履行情況疏于監控或監控不當，將可能導致企業不能及時發現和妥善應對被擔保人的異常情況，延誤處置時機，加劇擔保風險，加重經濟損失 | |
控制措施： 1、安排適當的人員定期監測被擔保人的經營情況和財務狀況，對被擔保人進行跟蹤和監督，了解投保項目的執行、資金的使用、貨款的歸還、財務運行及風險等情況，確保擔保合同有效履行 |
（八）業務外包
業務外包是企業利用專業化分工優勢，將日常經營中的部分業務委托給本企業以外的專業服務機構或其他經濟組織（即承包方）完成的經營行為。針對業務外包，關鍵的內部控制措施主要包括明確職責權限，加強過程監控，避免核心業務外包；建立和完善業務外包管理制度，如重大業務外包決策應由總會計師、分管會計工作負責人參與，報董事會或類似權利機構審批；明確選擇承包方的方式、標準及條件以及應用于選擇承包方時的有關保密工作；應用《企業內部控制應用指引第l5號一全面預算》的管控措施確保外包方案的可行性；應用《企業內部控制應用指引第l6號一合同管理》的管控措施明確外包內容、承包方與企業雙方的責任與義務，服務和質量標準、保密協議等條款；建立與承包方的溝通與協凋，及時搜集相關信息以便有效地解決業務過程存在的問題；對重大外包業務或各種意外情況做出預計及建立應急機制；外包業務的費用結算和會計處理；對承包方履約能力的持續評估，若有重大違約行為，應及時終止合同；應用如同項目工程中的驗收工作。
（九）財務報告
根據《企業內部控制應用指引第l4號-財務報告》要求，在關鍵的內部控制環節上，應注意如下內容：
一 | 財務報告的編制 |
控制目標： 編制一份符合法律法規和有關會計準則的報告作對外提供或分析之用 | |
控制措施： 1、制定合法合規的財務報告編制方案，并按權限和程序審批。不得隨意變更資產計價方法、提前、推遲或不確認負債、虛列或者隱瞞收入，隨意調整利潤的計算、分配方法或虛增或虛減有關金額 | |
二 | 財務報告的對外提供 |
控制措施： 1、嚴格按照編制財務報告的審批程序，由各級負責入逐級把關進行審批 | |
三 | 財務報告的分析利用 |
控制目標： 有效進行財務報告分析，充分利用財務報告反映的綜合信息，全面分析企業的經營管理狀況和存在的問題，不斷提高經營管理水平 | |
控制措施： 1、財務分析會議應吸收有關部門負責人參加，對各部門提出的意見，財會部應充分溝通、分析，進而修改完善財務分析報告 |
（十）全面預算
全面預算是企業劃一定期間經營活動、投資活動、財務活動等作出的預算安排。根據《企業內部控制應用指引第l5號-全面預算》要求，企業應在組織中健全全面預算的管理體制，包括：一是設立預算管理委員會履行全面預算管理職責，其成員由企業負責人及內部相關部門負責人組成。預算管理委員會主要的職責擬定預算目標和預算政策，制定預算管理的具體措施和辦法；組織編制、平衡預算草案；下達經批準的預算，協調解決預算編制和執行中的問題；考核預算執行情況，督促完成預算目標。二是明確全面預算管理工作機構。
（十一）合同管理
合同是企業與自然人、法人及其他組織等平等主體之間設立、變更、終止民事權利義務關系的協議。合同包括書面合同和口頭合同。根據《企業內部控制應用指引第16號-合同管理》要求，在業務流程上，合同管理從大方面可以劃分為合同訂立階段和合同履行階段：
合同訂立階段
一 | 合同調查 |
控制措施： 1、建立完善程序審查合同對方當事人的主體資格審查，包括身份證明、法人登記證書、授權委托書等證明文件 | |
二 | 合同談判 |
1、談判前搜集對方資料或細閱合同關鍵條款或細節以增加談判優勢 | |
三 | 合同文本擬定和審核 |
1、于合同內容中明確雙方的權利義務和違約責任，條款內容完整 | |
四 | 合同簽署 |
目標是確定合同的有效性。 |
合同履行階段
一 | 合同執行、補充、變更與解除 |
控制措施： 1、責任部門對合同的履行內容進行跟蹤及監控 | |
二 | 合同結算 |
控制目標： 防范企業違反合同條款，如未按合同規定期限、金額或方式付款，或因疏于管理而未能及時催收到期合同款項，或在沒有合同依據的情況下盲目付款等情況出現 | |
控制措施： 1、根據合同條款審核后辦理結算業務，及時付款 | |
三 | 合同登記 |
控制目標： 確保合同檔案保密，防止合同濫用 | |
控制措施： 1、加強合同登記管理，充分利用信息化手段，定期對合同進行統計、分類和歸檔，詳細登記合同的訂立、履行和變更等情況 4、建立及履行嚴格的保密工作。任何人士不得泄露有關履行合同過程的機密 |
四、企業內部控制評價的程序
（一）制定評價控制方案
企業可以授權審計部門或專門機構負責內部控制評價組織的實施工作。
該評價部門或機構應具備以下條件：能夠獨立行使對內部控制系統建立與運行過程及結果進行監督的權力；具備與監督和評價內部控制系統相適應的專業勝任能力和職業道德素養；與企業其他職能機構就監督與評價內部控制系統方面應當保持協調一致，在工作中相互配合、相互制約；能夠得到企業董事會和經理層的支持，通常直接接受董事會及其審計委員會的領導和監事會的監督，有足夠的權威性來保證內部控制評價工作的順利開展。
（二）組成評價工作組
評價工作組成員應具備獨立性、業務勝任能力和職業道德素養及吸收企業內部相關機構熟悉情況、參與日常監控的負責人或業務骨干參加。
（三）實施評價工作與測試
（四）匯總評價結果評價
工作組人員應當在其工作底稿中，記錄評價所實施的程序及有關結果。企業內部控制評價工作組應當建立評價質量交叉復核制度，有關評價報告應由評價工作組負責人嚴格審核確認，與被評價單位進行通報，在提交內部控制評價部門或機構前得到被評價單位相關責任人簽字確認。企業內部控制評價部門或機構應編制內部控制缺陷認定匯總表，結合日常監督和專項監督發現的內部控制缺陷及其持續改進情況，對內部控制缺陷及其成因、表現形式和影響程度進行綜合分析和全面復核，提出認定意見，并以適當的形式向董事會、監事會或者經理層報告。重大缺陷應當由董事會予以最終認定。
（五）內部控制評價報告
企業應根據年度內部控制評價結果，結合內部控制評價工作底稿和內部控制缺陷匯總表等資料，及時編制內部控制評價報告。內部控制評價報告應當報經董事會或類似權力機構批準后對外披露或報送相關部門。企業應當以12月31日作為年度內部控制評價報告的基準日，并于基準日后4個月內報出內部控制評價報告。對于基準日至內部控制評價報告發出日之間發生的影響內部控制有效性的因素，企業應當根據其性質和影響程度對評價結論進行相應調整。企業在評價報告中至少披露以下內容：董事會對內部控制報告真實性的聲明（實質就是董事會全體成員內部控制有效性負責）；內部控制評價工作的總體情況（概要說明）；內部控制評價的依據；內部控制評價的范圍（描述內部控制評價所涵蓋的被評價單位，以及納入評價范圍的業務事項）；內部控制評價的程序和方法；內部控制缺陷及其認定情況，主要描述適用于企業的內部控制缺陷具體認定標準，并聲明與以前年度保持一致，同時，根據內部控制缺陷認定標準，確定評價期末存在的重大缺陷、重要缺陷和一般缺陷；內部控制缺陷的整改情況及重大缺陷擬采取的整改措施；內部控制有效性的結論，對不存在重大缺陷的情形，出具評價期末內部控制有效結論，對存在重大缺陷的情形，不得作出內部控制有效的結論，并需描述該重大缺陷的成因、表現形式及其對實現相關控制目標的重要程度。
注：文章為作者獨立觀點，不代表資產界立場。
題圖來自 Pexels，基于 CC0 協議
本文由“負險不彬”投稿資產界，并經資產界編輯發布。版權歸原作者所有，未經授權，請勿轉載，謝謝！
原標題： 三萬字實操手冊：企業內控管理全方位梳理
