光大证券审计案例

1、企业内部风险信息沟通不畅带 来的风险
证券公司应当在分支机构、业务部 门、风险管理部门、经理层、董事 会之间建立畅通的风险信息沟通机 制,确保相关信息传递与反馈的及时 、准确、完整。风险管理部门发现 风险出现异常情况,应当与业务部门 、分支机构及时沟通,了解情况和原 因,督促业务部门、分支机构釆取措 施在规定时间内予以有效解并及时 向首席风险官和负责信息披露人员 报告。
3、控制活动
但此次乌龙指事件的爆发，还是说明光大证券在内部控制方面存在比较 严重的问题的，本次事件，就是公司的独立套利系统出现了问题，这套系统 包含订单生成系统和订单执行系统两个部分，其中订单生成系统为光大自主 研发，订单执行系统由上海铭创软件公司为光大证券定制研发。一般情况下 ，由公司自主研发的系统和由其他机构为公司定制研发、没有大规模使用的 系统，都属于高风险的信息系统，需要给予格外的关注，但是光大证券对该 信息系统没有给予格外的关注，反而将其置于公司内部控制体系之外，使这 一充满问题的高频交易系统得以顺利上线。订单执行系统针对高频交易在市 价委托时,对可用资金额度未能进行有效校验控制,而订单生成系统存在的缺 陷,会导致特定情况下生成预期外的订单。“程序本身的问题触发后，自动 下单，停都停不住，最后是拔了电源”。这说明该高频交易系统的上线和管 理运行完全没有按照公司与信息系统有关的管理制度、操作流程和风险控制 制度来。

对管理层的有效监督。法律合规部负责对公司合规风险进行管理，负责
新业务、新产品的事前审核。风险管理部对各业务条线和净资本等风控 指标进行实时监控和现场检查。稽核部通过各种稽核方式对公司各项经
营管理活动进行事后的全面审计。

该套内部监督的制度设计我认为是比较完善的。
三、光大证券的内部控制体系在8.16事件中的表现
合理的期望
实际执业的缺陷
由于不现实的认识形 成执业缺陷
A
B
C 有必要进行执业上的改进
D
E
有必要进行进一步的沟通
28
会计师事务所面临的审计风险
1、注册会计师缺乏执业道 德和相关专业胜任能力带来 的审计风险 2、社会公众希望注册会计 师审查每一笔业务，所导致 的审计抽样的风险。 3、被审计单位管理层凌驾 于被审计单位内部控制之上 ，导演被审计单位舞弊，故 意隐瞒或者误导注册会计师 审计工作而带来的审计风险
内控体系在8.16事件中没有发挥任何作用
经查证，光大证券策略投资部门系统完全独立于公司其他系统，甚至 未置于公司风控系统监控下，多级风控体系都未发生作用。 交易员级：对于交易品种、开盘限额、止损限额三种风控，后两种都 没发挥作用。
部门级：部门实盘限额2亿元，当日操作限额8000万元，都没发挥作用。
的订单，应该进行必要的审核，审核通过才能发往交易所。
3、控制活动

控制活动是企业根据风险评估的结果而采用相应的控制措施，将风险控 制在可承受的范围之内。企业在经营过程中会对不同的业务设计不同的 控制程序，这就需要在实施内部控制审计时从两个层次来进行审计。第 一个层次是了解内部控制设计的程序是否合理，程序能否对关键点实施 控制达到预期目标。第二个层次是内部控制是否得到了有效是实施。合 理的内部控制若没有得到有效的实施那内部控制只是留于形式。
3、控制活动

在风险控制方面，光大证券已制定《信息隔离墙管理 办法》，建立明确清晰的内部隔离组织架构，通过采 取人员隔离、物理空间隔离、信息隔离、资金隔离、 跨墙管理、清单管理以及静默期管理等有效隔离措施 ，将内部隔离落实到公司各项业务活动中，从而保障 公司合法合规经营管理。但本次乌龙指事件中数百亿 的大订单能够顺利发出，还是说明光大证券的信息隔
光大证券受到多重 打击：2013年8月 16日上午的乌龙事 件中共下单230亿， 成交72亿，涉及 150多只股票。按 照8月 16日的收盘 价，上述交易的当 日盯市损失约为 1.94亿元。
目 录
04 总陈述 03 审计策略陈述 02 案情分析
01 案情陈述
—— 内部控制的要素 —— 光大在内控各要素上的制度设计 —— 内控在8.16事件中的表现

针对光大证券的控制活动，立信会计师事务所运用询问、观察、检查、 问卷调查等方法，从经纪业务、证券投资业务、投行业务、信用业务、 资产管理业务、直投业务、资金业务、信息系统、对控股子公司的管理 、关联交易控制、风险控制、公司其他业务、账户规范情况等方面了解 了光大证券的控制活动，得出了控制总体合理、有效的结论，但在经纪 业务、投行业务、资产管理业务、信息系统、对子公司管理等方面存在 问题，但都是无可厚非的小问题。

行交流。

但本次乌龙指事件中光大的表现却说明公司在信息与沟通方面的内 部控制是失败的，在上午系统出现问题，事情发生后，光大集团的
董秘仍对外坚称公司系统没有问题，从而引发外界对光大虚假陈述
的怀疑。
5、内部监督

内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控 制的有效性，发现内部控制缺陷并加以改进。内部监督系统相当于内部 控制系统中的纠错与更新程序其是保证内部控制不断完善的必要措施。 光大证券设计了以监事会为最高监督层，对公司财务以及公司董事、总 裁及其他高级管理人员履行职责的合法性进行监督，维护公司及股东的 合法权益，对股东大会负责。审计与稽核委员会是董事会的专门工作机 构，主要负责公司内、外部审计的沟通、监督和核查工作，确保董事会




在社会责任和企业文化方面也形成了相关的制度。
但是从光大证券的内部环境中没有体现内部审计的作用。
2、风险评估

风险评估是企业及时识别、系统分析经营活动中与
实现内部控制目标相关的风险，合理确定风险应对 策略。在进行内控审计过程中需要了解企业风险评 估的框架以及相应的确定风险承受度、识别的风险 、风险分析和风险应对的程序。
一、内部控制的要素

2013年COSO《内部控制综合框架》中指出，内部 控制的要素主要分为：内部环境、风险评估、控制 活动、信息与沟通、内部监督五大方面。

按照立信会计师事务所给光大证券出具的2012年度
《内部控制审计报告》，光大证券的内部控制要素
也是按照这五大方面设计的。
一、内部控制的要素
二、光大证券在各要素上的内部控制制度设计
离墙制度没有严格执行。
4、信息与沟通

信息与沟通是企业及时、准确的收集、传递与内部控制相关的信息 ，确保信息在企业内部、企业与外部之间进行有效的沟通。 案例中光大证券制定了《信息披露实务管理制度》、《内幕信息知 情人登记制度》等规章制度，对信息披露的流程和要求等做了明确 规定，并明确了相应信息披露的责任人，而且公司通过电话、电子 邮件、网络平台、接待来访、参加投资者见面会等形式与投资者进
2、风险评估
光大证券管理层已认识到风险管理对于公司生存、发展和战略目标实现的重要性。 公司根据设定的控制目标，施行自上而下的矩阵式风险识别与评估，建立了履行风 险识别和评估的四层级内部控制组织架构。公司董事会及各下设委员会，主要负责 公司整体风险的识别、评估及处置工作；经营管理层及下设各专业委员会，负责经 营过程中各业务领域的风险识别和评估工作；风险管理部、稽核部、法律合规部等 专职内控监督和检查部门，负责对公司各类业务风险的事前审核、事中监控和事后 审计监督；各业务和职能部门，负责各单位的风险自控。 此外，光大证券对于风险排序、风险应对、风险策略调整等都有一套比较科学的制 度方法。 可以说，光大证券在风险评估这个要素上的内部控制制度设计是比较完善的。但在 执行过程中，光大证券的风险评估体系有点流于形式，没有切实执行，此次事件， 合规部门没有做好事中控制，按理说，至少在订单生成前，合规部门对于将要发出
光大证券8•16事件浅探
目 录
04 总陈述 03 审计策略陈述 02 案情分析
01 案情陈述
—— 事件描述 —— 触发原因 —— 产生影响
一、事件描述
2013年8月16日上午11时05分，上证指数一改死 寂沉沉的盘面，指数曲线直线拉起，三分钟内上 证指数暴涨超过5%。因为这一天是周五加之是8 月股指期货合约的交割日。一时间，场内“利好 消息说”和“阴谋说”传的纷纷扬扬。“利好消 息说”有传优先股政策实施的，有传蓝筹要实行 T+0的，也有传降低印花税的。阴谋说有大资金企 图干扰期指交割日结算价的等等。几分钟后，有 媒体指出，指数异动是由于光大证券乌龙指引起 的，但市场并不相信，指数继续上涨。中午，光 大证券董秘声称“乌龙指”子虚乌有，使得该事 件更加扑朔迷离，这严重干扰了市场部分人士的 判断。午后开市，光大证券停牌，同时发布公告 称，光大证券策略投资部门自营业务在使用其独 立的套利系统时出现问题，公司正在进行相关核 查和处置工作。至此，此次指数异常波动被确认 为光大证券“乌龙指”所导致。投资者在得知真 相后，人气涣散，指数逐级回落，至收盘，上证 指数收跌0.64%
3
二、触发原因
三、产生影响
投资者损失惨 重，市场信心 低落：现货市 场投资者跟风 买入后被套牢
监管机构和交 易所被质疑不 作为： 1、没有及时 采取熔断措施， 导致股指剧烈 波动 2、没有及时 披露事件真相， 引发市场恐慌
IT供应商陷入信 任危机： 1、铭创公司关 闭网站，撤下80 家客户名单，被 你竞争对手挖墙 角 2、竞争对手恒 生、金证股价先 跌后大涨
1、内部环境

在治理结构上，公司三会运作规范，权责明确并互相制衡 。成立了董事长牵头的内控领导小组，独立董事也发挥了 应有的作用。 在发展战略上，公司董事会下设战略与发展委员会，对战 略与发展委员会的人员组成、职责权限、决策程序、议事 规则做出明确规定。 在人力资源上，建立了严格的职责分工政策，不相容职务 相互分离，建立了关键岗位员工的强制休假制度。
公司级：公司监控系统没有发现234亿元巨额订单，同时，或者动用了 公司其他部门的资金来补充所需头寸来完成订单生成和执行，或者根 本没有头寸控制机制。