高阻隔膜公司治理与内部控制规划_参考.docx

泓域/高阻隔膜公司治理与内部控制规划高阻隔膜高阻隔膜公司治理与内部控制规划公司治理与内部控制规划目录目录一、公司概况.3公司合并资产负债表主要数据.3公司合并利润表主要数据.3二、公司治理原则的内容.4三、公司治理原则的概念.10四、公司治理与内部控制的融合.11五、公司治理与内部控制的联系.14六、审计范围与审计目标.17七、审计工作计划与实施.20八、内部控制评价的组织与实施.24九、内部控制缺陷的认定.35十、机构投资者治理机制.37十一、经理人市场.39十二、监督机制.44十三、决策机制.49十四、信息与沟通的概念.53十五、信息的含义与分类.54十六、反舞弊机制.56十七、举报投诉制度.68泓域/高阻隔膜公司治理与内部控制规划十八、项目基本情况.72十九、法人治理.78二十、项目风险分析.90二十一、项目风险对策.93二十二、发展规划.95泓域/高阻隔膜公司治理与内部控制规划一、公司概况公司概况（一）公司基本信息1、公司名称：xx 有限责任公司2、法定代表人：丁 xx3、注册资本：1070 万元4、统一社会信用代码：xxxxxxxxxxxxx5、登记机关：xxx 市场监督管理局6、成立日期：2016-7-57、营业期限：2016-7-5 至无固定期限8、注册地址：xx 市 xx 区 xx（二）公司主要财务数据公司合并资产负债表主要数据公司合并资产负债表主要数据项目项目20202020 年年 1212 月月20192019 年年 1212 月月20182018 年年 1212 月月资产总额3109.412487.532332.06负债总额1669.991335.991252.49股东权益合计1439.421151.541079.57公司合并利润表主要数据公司合并利润表主要数据项目项目20202020 年度年度20192019 年度年度20182018 年度年度泓域/高阻隔膜公司治理与内部控制规划营业收入6638.155310.524978.61营业利润1541.051232.841155.79利润总额1344.371075.501008.28净利润1008.28786.46725.96归属于母公司所有者的净利润1008.28786.46725.96二、公司治理原则的内容公司治理原则的内容针对公司治理，经济合作与发展组织早在 1999 年就出台了公司治理准则，旨在帮助其成员及非成员评估和改善其经济法律法规和制度体系，以提高公司治理水平。中国各级监管部门也相应出台了相关指引和要求，包括中国证券监督管理委员会和国家经济贸易委员会于2002 年 1 月联合发布的上市公司治理准则，以推动上市公司建立和完善现代企业制度，规范公司运作，完善公司治理。为了满足机构投资者对公司治理质量的关注，各国与各组织纷纷推出了公司治理原则。直以来，OECD 公司治理原则（以下简称原则）都被认为是全球范围内政策制定者、投资人、公司和其他利益相关者的国际标准。2002 年，OECD 公司治理指导小组对原则进行了重新审议，目前的原则是体现各成员及非成员公司治理挑战及经验的范本。泓域/高阻隔膜公司治理与内部控制规划原则是一个灵活的工具，提供了适用于各个国家和地区特殊情况的非约束性标准、良好实践和实施指南。（一）确保有效公司治理框架的基础为了确保一个有效的公司治理框架，需要建立一套适当且行之有效的法律、监管和制度基础，以便所有的市场参与者都能够在此基础上建立其私有的契约关系。这种公司治理框架，通常是以一国特殊的自身环境、历史状况以及传统习惯为基础建立的一套由法律、监管、自律安排、自愿承诺和商业实践等要素所构成的体系。其具体要求如下。（1）建立公司治理框架应该考虑到它对整体经济绩效的影响、市场的信誉度的提高、由它而产生的对市场参与者的激励机制以及对市场透明度和效率的促进。（2）在一个法域内，影响公司治理实践的那些法律的和监管的要求应符合法治原则，并且是透明和可执行的。（3）一个法域内各管理部门间责任的划分应该明确衔接，并保证公共利益得到妥善保护。（4）监督、监管和执行部门应当拥有相关的权力、操守和资源，以专业、客观的方式行使职责，对它们的决定应给予及时、透明和全面的解释。泓域/高阻隔膜公司治理与内部控制规划（二）股东权利与关键所有权功能公司治理框架应该保护和促进股东权利的行使。在此方面除了确保股东基本权利的行使外，还应当获得有效参加股东大会与涉及公司重大变化的决定，并得到相关方面的通知。此外，公司应当披露特定股东获得与其股票所有权不成比例的控制权的资本结构和安排，允许公司控制权市场以有效和透明的方式运行，为所有股东行使所有权创造有利条件。（三）平等对待股东资本市场的一个重要因素是，投资者确信其所提供的资本会受到保护以及不受公司管理者、董事或控制性股东滥用或不当挪用。公司治理框架应当确保所有股东（包括少数股东和外国股东）受到平等对待。当其权利受到侵害时，所有股东应能够获得有效赔偿。原则中规定，合理的公司治理结构原则应当在此方面实现：（1）同类同级的所有股东都应享有同等待遇；（2）应禁止内部人交易和滥用权力的自我交易；（3）应要求董事和主要执行人员向董事会披露，他们是否在任何直接影响公司的交易或事务中有直接、间接或代表第三方的实质性利益。（四）利益相关者在公司治理中的作用泓域/高阻隔膜公司治理与内部控制规划公司治理的一个关键方面是关于确保外部资本以权益和债务两种形式流入公司，因此公司治理框架应承认利益相关者的各项经法律或共同协议而确立的权利，并鼓励公司与利益相关者之间在创造财富和工作岗位以及促进企业财务的持续稳健性等方面展开积极合作。（五）信息披露与透明度公司治理框架应确保及时准确地披露公司所有重要事务的信息，包括财务状况、绩效、所有权和公司的治理。一个健全的信息披露制度能够推动真正透明的产生，这是以市场为基础公司监控的关键特征，也是股东得以在充分信息的基础上行使股东权利的核心。一个健全的信息披露制度有助于资本市场吸引资本和保持信心。信息披露也有助于加强公众对企业的组织和活动、公司政策和绩效以及公司与所在社会关系的理解。（1）应当披露的重大信息。应当披露的重大信息至少包括：公司的财务状况及经营成果；公司目标；主要的股份所有权和投票权；董事和主要执行人员，以及他们的报酬；重要可预见的风险因素；与雇员和其他利益相关者有关的重要问题；治理结构和政策。公司应报告在实际工作中其怎样运用相关的公司治理结构原则。管理结构和公司政策的披露，特别是股东、经理层和董事会成员之间权力的划分，对评估公司的治理结构是很重要的。泓域/高阻隔膜公司治理与内部控制规划（2）应根据高质量的会计标准、金融和非金融披露及审计标准，对信息进行准备、审计和披露。（3）在准备和提交财务报表时，为提供外部和客观的保证，年审应由独立审计员进行。（4）信息传播渠道应当使用户公正、及时、费用合理地获得有关信息。（六）董事会的责任董事会是在股东大会上由全体股东选出的董事所组成、代表股东的利益和意志、执行公司业务的常设权力机构，董事会对股东会或股东大会负责，向股东会或股东大会报告工作。董事会是公司治理结构中的一个重要因素，甚至可以说是中心组成部分。董事会的运作方式和效率直接决定了公司治理的质量。论及董事会的责任，必然涉及董事会向谁负责的问题。传统观点认为，董事会应向股东负责。董事会是由股东选举和任命的、接受全体股东的委托、承担受托责任的权力机构，董事会当然要向委托人负责。从另一方面来看，股东是公司的唯一所有者，作为公司的权力机构也应向其所有者负责。从法律角度考察，以“董事会应向公司负责”的表述更为恰当。其一，董事会绝不仅仅是一个受托机构，董事会是公司的决策机构和泓域/高阻隔膜公司治理与内部控制规划权力机构，董事会承担着设定公司目标，制定公司战略、计划和政策等责任。如果董事会仅向股东负责，当出现股东利益与公司利益不一致时，董事会的决策可能会使公司丧失良好的发展机会或失败。美国在 20 世纪 80 年代出现的恶性并购就是一个恰当的说明。其二，企业是一系列契约的联结，“在法律意义上，股东并不是公司的所有者，公司与全体股份有所不同”。1909 年，英国上诉法院在关于留声机和打字机有限责任公司诉斯坦利的判决中明确规定，公司既不是股东的代理人，也不是他们的托管人。大法官巴克利勋爵否决了认为在实践中股东可以被视为其公司的观点。同时，他认为：“董事不是服从某个作为个人的股东发出的指令的仆人，而是按照规定被授予公司控制权的人；一旦被授予权力，只有达到或超过足以修改公司章程的决定多数股东的否决，他们才会失去控制权。即使所有股东都作为个人行动时发出同一指令，董事们也没有义务服从这个指令。”公司治理框架应确保董事会对公司的战略指导和对管理层的有效监督，确保董事会对公司和股东的受托责任。公司董事会成员应在全面了解情况的基础上，诚实、尽职、谨慎地开展工作，最大限度地维护公司和股东的利益。尽管世界上并不存在单一的良好的公司治理模式，但是许多经济组织和研究机构（如 OECD 等）认为，良好的公司治理是构建在一些共泓域/高阻隔膜公司治理与内部控制规划同要素基础之上的。因此，构建在这些共同要素之上并且包容已有的各种不同模式的公司治理原则，是有相当的实用价值的。它既是改善公司治理的标准和方针政策，也是公司管理层次的实务原则，对政府的政策制定和市场参与者的实务操作都有重要的参考作用。三、公司治理原则的概念公司治理原则的概念广义的公司治理原则包括有关公司治理的准则、报告、建议、指导方针和最佳做法等，它通过一系列规则建立一套具体的公司治理运作机制，维护投资者和其他利害相关者的利益，促进公司健康发展实现公司的有效治理。公司治理原则可以帮助政府对本国公司治理方面的法律、制度和管理机制框架进行评估、改进，也可以为上市公司（甚至是非上市公司）建立良好的公司治理提供指导、借鉴，还对股票交易所、投资者和其他在建立良好的公司治理中起作用的机构提供了参考和建议。公司治理原则不具有强制约束力，其目的不在于制定详细的国家立法，而是为人们提供某种参考。比如政策制定者在审查并制定反映本国特定的经济、社会、法律和文化环境特色的有关公司治理的法律和监管框架时，可以公司治理原则为参考；再如市场参与者，可以参考公司治理原则制定自身的公司治理制度。泓域/高阻隔膜公司治理与内部控制规划公司治理原则是不断发展的，因此应根据环境的重大变化不断重新对其进行审查。为了在这个不断变化的世界中保持竞争地位，公司必须不断创新并使自己的公司治理状况适应变化了的环境，这样才能使公司不断满足新的需求，抓住新的机遇。同样，政府有义务制定一个有效的规范框架，保持足够的灵活性，使市场能够有效地发挥作用并能对股东和利益相关者的期望做出反应。政府和市场参与者可以根据成本与收益的比例，自己决定是否采纳这些原则。四、公司治理与内部控制的融合公司治理与内部控制的融合公司治理与内部控制既有不同点，也有相同点，既有分离区域，也有交叉领域。离开公司治理结构，内部控制就没有完整性，当然也就不可能取得风险管理方面的成功；同时，公司治理结构同样也离不开内部控制制度，如果没有完善的内部控制做支撑，公司治理结构所追求的公平与效率的目标也必然会落空。可以看到，公司治理与内部控制实质上是一种互动关系，即有效的公司治理对完善内部控制至关重要；反过来，健全有效的内部控制通过产生高质量的会计信息也能优化公司治理机制。1、内部控制与公司治理不是主体与环境的关系迄今为止，公司治理和内部控制的关系在理论上仍未有统一定论。AICPA 的审计准则第 55 号和 COSO 的内部控制一整体框泓域/高阻隔膜公司治理与内部控制规划架这两个研究报告均把董事会及其对待内部控制的态度认定为内部控制的控制环境，由于董事会是现行公司治理结构的核心，所以很多人认为公司治理结构是内部控制的环境要素，内部控制框架与公司治理机制是内部管理监控系统与制度环境的关系。这种认识是否正确也是值得商榷的。首先，根据哲学环境论的有关知识，环境是与主体相对应并外在于主体的。如果将两者的关系定义为环境论，那么就意味着公司治理与内部控制是两个完全独立的没有重叠和交叉的主体。其次，环境论降低了公司治理对于内部控制所具有的重要意义。按照哲学内外因理论，内因是事物发展变化的根本原因，外因只起一定的促进作用。环境作为非决定性的外部影响因素，其需要通过内部因素的转化才能起作用。这样人们就会有意或者无意地把公司治理结构的影响及其意义缩小。最后，环境论也忽视了内部控制对公司治理的重要性，或者说没有看到内部控制对公司治理具有一定的反向促进作用。公司治理与内部控制并非完全独立，存在着联系与区别。因此，内部控制与公司治理不是主体与环境的关系，而是“你中有我、我中有你”的相互包含、相互融合的关系。2、离开公司治理结构，内部控制就没有完整性公司治理机制有效，才能保证不同层次控制目标的一致性，只有从源头实施内部控制，才能维护各利益相关者的利益；公司治理不能泓域/高阻隔膜公司治理与内部控制规划很好地解决所有者和经营者之间的代理问题，则企业管理当局就没有足够的动力去改进内部控制，再好的内部控制也无法提供“合理保证”。内部控制与公司治理不能割裂，需将内部控制纳入公司治理路径之上。两权合一时，股东和股东会直接实施内部控制；两权分离时，利益相关者通过董事会或监事会间接控制，由股东会或董事会设计监控制度，考核、评价经理层绩效。公司治理机制有效，才能保证不同层次控制目标的一致性；只有从源头实施内部控制，才能维护各利益相关者的权益。有效的内部控制应当能够维护所有利益相关者的合法权益，而不是维护某一类或少数利益相关者的权益。3、有效的内部控制是完善公司治理的重要保障从公司治理角度认识内部控制，是正确认识内部控制的本质、发挥内部控制作用的前提，企业内部控制内涵和外延得以升华正是内部治理结构作用的结果。内部控制是在公司治理解决了股东、董事会、监事会、经理之间的权、责、利划分之后，作为经营者的董事会和经理为了保证受托责任的履行，而做出的主要面向次级管理人员的控制。有效的内部控制是完善公司治理的重要保障，如果内部控制失效，其提供的会计信息也就无法真实反映企业的财务状况和经营成果，企业的经营者就无法进行正确的决策。健全有效的内部控制能够确保公司管理行为符合国家法律法规，有利于董事会行使控制权从而泓域/高阻隔膜公司治理与内部控制规划提高公司治理效率。健全有效的内部控制可以提供真实可靠的财务信息，有利于所有者和管理者之间的制衡，有利于保障债权人等利益相关者利益，实现共同治理。在我国，事实上企业控制权相当大程度转移到管理者手中，良好的内部控制是公司法人主体正确处理各个利益相关者关系、实现公司治理目标的重要保证。总之，如果内部控制不能与公司治理兼容，将导致治理成本骤增；如果没有健全的内部控制，公司治理留下的空间将导致机会主义行为，由此可能演变为制约公司发展的顽疾。五、公司治理与内部控制的联系公司治理与内部控制的联系公司治理和内部控制两者之间存在着很多相同点和大部分的相互交叉与重叠区域，在企业的管理实践中，两者存在着一定的关联性。具体在以下几个方面。（一）具有同源性公司治理与内部控制都与现代公司两权分离所引发的代理问题密切相关。由于交易信息的不对称性，以及契约的不完备性直接导致了“委托代理问题”的出现，因而公司治理与内部控制在一定程度上来说具有同源性。两权分离之后，如果所有决策相关信息在委托代理双方之间的分布是均衡的，那么不论经营者与所有者的目标函数一致与否，经营者都不敢做出违背所有者利益的行为。然而现实的情况是信泓域/高阻隔膜公司治理与内部控制规划息双方总是处于不对称地位，委托人对代理人的行为、决策并不十分清楚，代理人的行为选择往往会偏离委托人的目标，甚至会严重损害委托人利益。因此，客观上要求有一整套相应的制度安排来解决这种利益冲突，公司治理便应运而生。而内部控制作为一种系统的制约机制，其产生根源同样是所有者与经营者间、企业内部上下级间的信息不对称，当委托人授权代理人从事某项活动时，为了保证代理人的行为能够符合委托人利益最大化的要求，客观上就要求有相应的措施和手段来加以控制。公司治理的核心是要有效地解决在契约不完备时企业剩余控制权和剩余索取权的分配问题，而内部控制在本质上也是为了在节约交易费用的同时增强企业契约的完备性，进而保证企业剩余控制权和剩余索取权能实现最大化。在契约不完备的情况下，对企业控制权优化配置的共同追求，本身也说明了公司治理与内部控制具有同源性。（二）具有共同载体公司治理机制与内部控制制度作为一系列制度安排，要想发挥其作用就必须依附于一定的组织载体。脱离企业这个组织，公司治理与内部控制就好比是“镜中花，水中月”，不论公司治理结构多么完善，也不管内部控制多么健全，都只是凭空而论，不能发挥实际作用，更谈不上实现企业的目标。从另外一个角度看，公司治理的完善泓域/高阻隔膜公司治理与内部控制规划与企业内部控制的加强也必须依靠会计信息这个共同载体。真实、完整、及时的会计信息既是实施内部控制的必要前提，也是公司治理发挥作用的基本条件；而只有公司治理机制有效，内部控制健全，才能保证会计信息的真实、完整和及时，两者相辅相成。总之，企业组织和会计信息是公司治理与内部控制的两个共有载体。组织为公司治理与内部控制提供了依附的实体，而会计信息则为依附在组织身上的两种制度安排提供了沟通和交流的平台。两者缺一不可，共同为公司治理与内部控制的互动提供了先决条件。（三）存在着交叉区域首先，控制主体存在交叉性。公司治理的主体是“股东董事会总经理”委托代理链上的各个节点。如吴敬琏教授把公司治理结构定义为由所有者、董事会和高级管理人员组成的一种组织结构。其中董事会是核心，而内部控制的主体是“董事会总经理职能经理执行岗位”委托代理链中的节点，核心在于总经理。因此，董事会和总经理既是公司治理结构的主体，也是内部控制的主体。其次，适用对象的交叉性。在三种基本企业形式中，独资企业和合伙企业只有管理和控制问题，没有治理问题，因为其所有权与控制权通常是合一的。但是对公司制企业来说，公司治理和内部控制问题都存在，需要同时解决治理问题和控制问题，并需要注意两者的有效对接。再次，泓域/高阻隔膜公司治理与内部控制规划总目标的一致性。两者的具体目标统一于企业目标之下，即最终实现企业价值最大化。内部控制的目标是公司治理结构目标的进一步延伸和具体化；公司治理结构所追求的公平和效率目标，是建立在内部控制的目标即信息真实、资产安全和效益提高基础上的。否则，在一个虚假信息泛滥、资产被盗严重、管理效率低下的企业中，去实现公司治理的目标无异于痴人说梦。最后，两者在内容上存在关联性。在公司治理结构三种权力的实施过程中，除了监督权主要由股东、监事会行使而独立于企业的业务系统外，决策权和执行权都要落实到具体的部门、岗位和个人，并通过内部控制制度加以规范和管理。六、审计范围与审计目标审计范围与审计目标内部控制作为企业中一项重要的管理活动，用来促进提高经营的效率效果，实现企业的发展战略。一些国家和地区，如美国、日本、欧盟等对内部控制审计已提出强制性要求。同样，我国企业内部控制基本规范中除了要求企业为其内部控制的设计与运行情况进行全面的评价、披露年度自我评价报告外，在第十条中明确指出：上市公司和非上市大中型企业聘请符合资格的会计师事务所，根据规范及配套办法和相关执业准则，对企业财务报告内部控制的有效性进行审计泓域/高阻隔膜公司治理与内部控制规划并出具审计报告。会计师事务所及其签字的从业人员应当对发布的内部控制审计意见负责。为企业内部控制提供咨询的会计师事务所，不得同时为同一企业提供内部控制审计服务。（一）内部控制审计的定义内部控制审计是通过对被审计单位的内控制度的审查、分析测试、评价，确定其可信程度，从而对内部控制是否有效做出鉴定的一种现代审计方法。内部控制审计是内部控制的再控制，它是企业改善经营管理、提高经济效益的自我需要。一般地，企业内部审计部门负责内部控制审计，也可以委托不负责年审的会计师事务所开展内部控制审计。（二）内部控制审计的范围内部控制审计的范围限于特定日期与财务报表相关的内部控制。通常，注册会计师对某特定日期的内部控制进行审核。特定日期可以是会计年度结束日，也可以是某中期结束日。注册会计师对某特定日期的内部控制审核时，应在接近于此日期之前的一段时间内对内部控制进行了解和测试，并对该日期的内部控制有效性发表审核意见。（三）内部控制审计的目标1、内控审计目标的具体界定泓域/高阻隔膜公司治理与内部控制规划内部控制审计的目标是检查并评价内部控制的合法性、充分性、有效性及适宜性。内部控制的合法性、充分性、有效性及适宜性，具体表现为其能够保障资产、资金的安全，即保障资产、资金的存在、完整、为我所有、金额正确、处于增值状态。2、内控审计目标与财务报表审计目标的联系与区别（1）两者的联系。内部控制审计的前四个目标实际就是财务报表审计的具体目标。企业管理层对外提供的资产负债表，表上反映有多少资产，其明示或暗示了这样几个声明：资产负债表上反映的资产是存在的、是完整的、是属于自身的、金额是正确的。相应地，外部财务报表审计的具体目标也就是鉴证企业管理层的这些声明是否属实。（2）两者的区别。财务报表审计直接评价的是财务报表，或者说直接评价资产、资金本身的安全状态，其目标对象是资产、资金本身，而内部控制审计直接评价的是内部控制能否保障资产、资金的安全，其目标对象是内部控制，而资产、资金只是作为中间的观察对象而存在。财务报表审计主要评价财务报表所反映的存量资产、资金的“静的安全”，一般不评价资产、资金的“动的安全”，即不评价资产、资金在流转中的增值性；而由于内部控制既要保障资产、资金“静的泓域/高阻隔膜公司治理与内部控制规划安全”，又要保障其“动的安全”，所以内部控制审计既检查资产、资金的“静的安全”，又检查资产、资金的“动的安全”。七、审计工作计划与实施审计工作计划与实施（一）审计工作计划企业内部审计指引第六条的规定：注册会计师应该恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导。企业内部审计指引第七条的规定：在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响：与企业相关的风险；相关法律法规和行业概况；企业组织结构和经营特点、资本结构等相关事项；企业内部控制最近发生变化的程度：与企业沟通过的内部控制缺陷；重要性、风险等与确定内部控制重大缺陷相关的因素对内部控制有效性的初步判断；可获取的、与内部控制有效性相关的证据的类型和范围。注册会计师应当以风险评估为基础，选择拟测试的控制，确定测试所需收集的证据。内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多。注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用内部审计人员、内部控制评价人员和其他相关人员的工作以及泓域/高阻隔膜公司治理与内部控制规划可利用的程度，相应减少本应由注册会计师执行的工作。注册会计师利用企业内部审计人员、内部控制评价人员和其他相关人员的工作，应当对其专业胜任能力和客观性进行充分评价。注册会计师应当对发表的审计意见独立承担责任，其责任不因为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻。（二）审计工作实施企业内部审计指引第十条规定：注册会计师应当按照自上而下的方法实施审计工作。自上而下的方法是注册会计师识别风险，选择拟测试控制的基本思路。注册会计师在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行。“自上而下”的方法始于财务报表层次，以注册会计师对财务报告内部控制整体风险的了解开始，然后注册会计师将关注重点放在企业层面的控制上，并将工作逐渐下移至重大账户、列报及相关的认定。1、识别企业层面控制通过了解企业与财务报告相关的整体风险，注册会计师可以识别出为保持有效的财务报告内部控制而必需的企业层面内部控制。注册泓域/高阻隔膜公司治理与内部控制规划会计师测试企业层面控制，应当把握重要性原则，至少应当关注以下几方面。（1）与内部环境相关的控制。内部环境，即控制环境，包括治理职能和管理职能，以及治理层和管理层对内部控制及其重要性的态度、认识和措施。在评价控制环境的设计时，注册会计师应当考虑构成控制环境的下列要素，以及这些要素如何被纳入企业业务流程：对诚信和道德价值观念的沟通与落实；对胜任能力的重视；治理层的参与程度：管理层的理念和经营风格；组织结构；6 职权与责任的分配；人力资源政策与落实。（2）针对董事会、经理层凌驾于控制之上的风险而设计的控制。注册会计师可以根据对企业舞弊风险的评估做出判断，选择相关的企业层面控制进行测试，并评价这些控制能否有效应对管理层凌驾于控制之上的风险。注册会计师应当特别关注由于管理层凌驾于账户记录控制之上，或规避控制行为而产生的重大错报风险，并考虑企业如何纠正不正确的交易处理。（3）企业的风险评估过程。包括识别与财务报告相关的经营风险和其他经营管理风险，以及针对这些风险采取的措施。注册会计师在对企业整体层面的风险评估过程进行了解和评估时，考虑的主要因素可能包括：企业是否已建立并沟通其整体目标，并辅以具体策略和业泓域/高阻隔膜公司治理与内部控制规划务流程层面的计划；是否已建立风险评估过程，包括识别风险，估计风险的重大性，评估风险发生的可能性以及确定需要采取的应对措施；是否已建立某种机制，识别和应对可能对企业产生重大且普遍影响的变化；会计部门是否建立了某种流程，以识别会计准则的重大变化；业务操作发生变化并影响交易记录的流程时，是否存在沟通渠道以通知会计部门；风险管理部门是否建立了某种流程，以识别经营环境，包括监管环境发生的重大变化。（4）对内部信息传递和财务报告流程的控制。注册会计师应当从下列方面了解与财务报告相关的信息系统：对财务报表具有重大影响的各类交易；在信息技术和人工系统中，交易生成、记录、处理和报告的程序；与交易生成、记录、处理和报告有关的会计记录、支持性信息和财务报表中的特定项目；信息系统如何获取除各类交易之外的对财务报表具有重大影响的事项和情况；企业编制财务报告的过程，包括做出的重大会计估计和披露。财务报告流程的控制可以确保管理层按照适当的会计准则编制合理、可靠的财务报告并对外报告。（5）对控制有效性的内部监督和自我评价。企业对控制有效性的内部监督和自我评价可以在企业层面上实施，也可以在业务流程层面上实施，包括对运行报告的复核和核对、与外部人士的沟通、对其他泓域/高阻隔膜公司治理与内部控制规划未参与控制执行人员的监控活动，以及将信息系统记录数据与实物资产进行核对等。2、识别业务层面控制注册会计师测试业务层面控制，应当把握重要性原则，结合企业实际内部控制各项应用指引的要求和企业层面控制的测试情况，重点对生产经营活动中的重要业务与事项的控制进行测试。注册会计师应首先确定企业的重要业务流程和影响重大账户的重要交易类别，了解重要交易从发生到记入账目的整个流程，与重大账户及其相关认定相结合，在重要交易整个流程中确定错报可能会在什么环节发生，即确定相应的控制目标；然后根据确定的审计测试策略、计划对内部控制进行进一步了解和评估，对重要交易流程中设计的防止或发现并纠正可能错报的相关控制加以识别；再通过执行穿行测试，来证实对重要交易流程和相关控制的了解，并确定相关控制是否得到执行；最后对相关控制的设计和是否得到执行进行评价，以确定进一步的审计程序。八、内部控制评价的组织与实施内部控制评价的组织与实施内部控制评价是由企业董事会和管理层实施的。进行评价的具体内容应围绕企业内部控制基本规范中提及的内部控制五个要素即内部环境、风险评估、控制活动、信息与沟通、内部监督，以及企泓域/高阻隔膜公司治理与内部控制规划业内部控制基本规范及企业内部控制应用指引中的内容。在确定具体内容后，企业应制定内部控制评价程序，对内部控制有效性进行全面评价，包括财务报告内部控制有效性和非财务报告内部控制有效性；同时为内部评价工作形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、关键风险点、采取的控制措施、有关证据资料以及认定结果等；企业还应在评价工作中明确内部控制缺陷的认定准则；完成评价后，企业应当准备一份内部控制自我评价报告，在其年报中进行披露：企业董事会应当对内部控制评价报告的真实性负责。（一）内部控制评价的相关概念内部控制评价一般是指由专门的机构或人员，通过对单位内部控制系统的了解、测试和分析，对其完整性、合理性及有效性提出意见，并进行报告，以利于单位进一步健全和完善内部控制体系。我国企业内部控制基本规范第四十六条指出：企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。内部控制自我评价的方式、范围、程序和频率，由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。（二）内部控制评价应当遵循的原则泓域/高阻隔膜公司治理与内部控制规划根据企业内部控制评价指引第三条的规定，内部控制评价应遵循以下 3 个原则。1、全面性原则评价工作应当包括内部控制的设计与运行，涵盖企业及其所属单位的各种业务和事项。2、重要性原则评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。3、客观性原则评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。（三）内部控制评价的内容根据企业内部控制评价指引的要求，内部控制评价涉及以下 7个方面。（1）企业应当根据企业内部控制基本规范、应用指引以及本企业的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。泓域/高阻隔膜公司治理与内部控制规划（2）企业组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合本企业的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。（3）企业组织开展风险评估机制评价，应当以企业内部控制基本规范有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合本企业的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。（4）企业组织开展控制活动评价，应当以企业内部控制基本规范和各项应用指引中的控制措施为依据，结合本企业的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。（5）企业组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合本企业的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。（6）企业组织开展内部监督评价，应当以企业内部控制基本规范有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合本企业的内部控制制度，对内部监督机制的有效性进行泓域/高阻隔膜公司治理与内部控制规划认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。（7）内部控制评价工作应当形成工作底稿，详细记录企业执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。（四）内部控制评价的程序根据企业内部控制评价指引第十二条的要求，企业应按照内部控制评价办法规定程序，有序开展内部控制评价工作。内部控制评价程序一般包括制订评价控制方案、组成评价工作组、实施评价工作与测试、认定控制缺陷、汇总评价结果及编报评价报告等环节。在这里重点讲解制订评价控制方案、组成评价工作组、实施评价工作与测试、汇总评价结果四个环节。1、制订评价控制方案企业可以授权审计部门或专门机构负责内部控制评价组织的实施工作。承担内部控制评价的部门或机构应具备以下条件。（1）能够独立行使对内部控制系统建立与运行过程及结果进行监督的权力；泓域/高阻隔膜公司治理与内部控制规划（2）具备与监督和评价内部控制系统相适应的专业胜任能力和职业道德素养；（3）与企业其他职能机构就监督与评价内部控制系统方面应当保持协调一致，在工作中相互配合、相互制约；（4）能够得到企业董事会和经理层的支持，通常直接接受董事会及其审计委员会的领导和监事会的监督，有足够的权威性来保证内部控制评价工作的顺利开展。内部控制评价部门或机构应根据内部监督情况和要求，制订评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权审批后实施。这是一个进行内部控制评估前的全面计划，提供内部控制评价的效率和效果。2、组成评价工作组内部控制评价部门或机构在评价方案获得批准后，需要组织评价工作组，具体承担内部控制检查评价任务。评价工作组成员应具备独立性、业务胜任能力和职业道德素养及吸收企业内部相关机构熟悉情况、参与日常监控的负责人或业务骨干参加。企业可根据自身的条件建立内部控制培训机制，为评价工作组成员提供培训，使其尽快掌握内部控制知识，熟悉企业业务流程及应关注重点、评价工作流程、方法以及工作底稿准备的要求。对于拥有内泓域/高阻隔膜公司治理与内部控制规划部审计部门的企业来说，内审部门很有可能也同样地担当内部控制评价组的工作。但如果企业决定利用外聘会计师事务所为其提供内部控制评价服务，根据企业内部控制基本规范的要求，则该事务所不应同时为企业提供内部控制的审计服务。3、实施评价工作与测试评价工作组需通过了解企业层面基本情况、各业务层面的主要流程，识别有关主要风险后，才能开展实施及测试设计和运行有效性的内部控制工作。（1）了解公司层面基本情况。评价工作组与被评价单位进行充分沟通，了解其经营业务范围、企业文化、发展战略、组织结构、人力资源等内部环境及内部控制内容中五个要素的运作情况。（2）了解各业务层面的主要流程及风险。在这一阶段，评价工作组把工作重点放在主要业务流程上，如资金管理流程、销售流程和采购流程等。为支持评估工作与相关测试有效进行，企业应建立全面文档记录。文档记录可以帮助评价工作组了解各个主要业务领域的流程，识别相关的风险关注点及可能存在的内部控制措施。评价工作组可审阅的内控流程文档可能有以下几种。风险控制矩阵文档。关注点在于复核风险流程的合理性，例如，文档是否包含了流程面临的所有风险、列示的风险是否得到定期泓域/高阻隔膜公司治理与内部控制规划或及时的更新、对于各项风险的重要性水平分析是否合理，以及复核控制点的识别，关键控制点、重要控制点、一般控制点的判断是否合适。流程图文档。关注点在于流程图是否与实际操作及风险控制矩阵描述相符合，流程图是否清楚地标示所有风险点及控制点，流程图中责任部门、岗位以及其他管理机构是否表述清晰、表述的流程路径是否清晰、是否存在交叉，以及内容是否涵盖所有流程实际操作及相应的控制活动。审批权限表文档。关注点在于部门及岗位的描述是否准确、权限的划分和设置是否合理。评价工作组应识别业务流程中的关键业务或固有风险，提出对于每一重大流程在交易过程中“可能出错”而产生重大错误的问题在这些控制点上识别降低风险的控制，这些控制应当能够为防止发生重要的错误或者能发现并更正错误提供合理保证。有些控制可能并不显而易见，可能是电子化或者是人工的，并且同时是高层及基层实施。这些关注点将是评价工作组进行设计或运行有效性并做出结论的地方。例如，银行账户管理中，银行账户的开立、变更及撤销未经合理的审批及授权，对于该风险点应该采取相应控制措施，提交给银行的开立账户申请书需要经过公司总经理书面批准（签章），提交给银行的变泓域/高阻隔膜公司治理与内部控制规划更账户申请需要经过财务经理和总经理审批，提交给银行的撤销账户申请需要经过财务经理和总经理审批。再以资金管理流程为例，企业面临的一个关键业务风险可能是客户需求的波动，当客户需求下降时，企业收入减少，进而发生资金的短缺并增加对营运资金需求的压力，资金需求将会直接导致银行融资或企业债券融资的增加进而导致企业的财务费用成本增加。固有风险是指假设不存在相关的内部控制，某一业务风险事项发生的可能性。例如，某企业所处