下载文档原格式
第六章内控、合规和审计本章主要内容：第一节内部控制第二节合规管理第三节内外部审计第一节内部控制内部控制是为合理保证组织目标实现而建立的控制机制和实施的管控措施,对于以经营风险为主的银行而言，内部控制尤为重要。
同时，内部控制也是一个动态概念。
【知识点】内部控制的起源与发展（大纲没有要求）(一)内部控制在国外的发展一般认为，内部控制发展大致经历五个阶段，分别为：内部牵制、内部控制制度、内部控制结构、内部控制整体框架、全面风险管理阶段。
(二)内部控制在中国的发展1997年中国人民银行颁布《加强金融机构内部控制的指导原则》，提出了包括“三道防线”在内的内控建设要求；2014年中国银监会修订发布了新版《商业银行内部控制指引》，明确商业银行内部控制目标、原则、职责及措施，同时还从内控评价、内控监督和监管约束等方面引导银行强化内控管理。
【知识点】内部控制的基本概念（掌握）(一)内部控制的定义2008年我国颁布的《企业内部控制基本规范》在借鉴COSO定义基础上，将内部控制定义为“由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程”。
2014年中国银监会修订发布了新版《商业银行内部控制指引》，明确“内部控制是商业银行董事会、监事会、高级管理层和全体员工参与的，通过制定和实施系统化的制度、流程和方法，实现控制目标的动态过程和机制”。
无论是对于一般企业还是商业银行，首先，都强调了董事会、监事会和高级管理层在建立与实施内部控制中的重要作用。
其次，明确了内部控制是全体员工的共同责任。
最后，明确了内部控制是一个过程，是全过程控制。
同时，内部控制又是一个不断改进完善的动态过程。
(二)内部控制的目标中国银监会新修订的《商业银行内部控制指引》，结合商业银行实际，确定了商业银行内部控制的四项目标。
1.保证国家有关法律法规及规章的贯彻执行。
2.保证商业银行发展战略和经营目标的实现。
3.保证商业银行风险管理的有效性。
第六章、内部控制、合规管理与审计课后测试测试成绩：60.0分。
恭喜您顺利通过考试！单选题•1、商业银行应及时将合规政策、合规管理程序和合格指南等内部制度向（）备案。
（3.33 分）A上级行银监会C工商部门D人民银行正确答案:B•2、根据《商业银行合规风险管理指引》的规定，商业银行任命合规负责人，应按有关规定报告银监会，在合规负责人离任后的（）内，应向银监会报告离任原因等有关情况（3.33 分）A五个工作日B一个月十个工作日D十五个工作日正确答案:C•3、下列关于《商业银行合规风险管理指引》相关规定的表述，错误的是（）。
（3.33 分）内部审计部门应随时将合规性审计结果告知合规负责人B内部审计部门应负责商业银行各项经营活动的合规性审计C商业银行应明确合规管理部门与内部审计部门在合规风险评估合规性测试方面的职责D商业银行合规管理职能应与内部审计职能分离，内部审计部门职能的履行情况应受到合规管理部门定期的独立评价正确答案:D•4、某商业银行近期进行了一系列人员调整，下列做法不符合监管要求的是（）。
（3.33 分）在不预先通知下属某营业机构负责人的情况下，要求该营业机构会计主管赵某强制休假，并安排另一营业机构会计主管接替B将负责固定资产购建审批的吴某与固定资产购建的采购人员郑某轮岗C对下属12家营业机构的委派会计（授权经理）包括任职期限不到1年李某全部予以轮岗D对已任职超过3年的某基层营业机构负责人周某轮岗，并同时实施离任审计正确答案:B•5、消费金融公司向个人发放消费贷款的余额最高不得超过人民币（）万元。
（3.33 分）20.0B50.0C30.0D40.0正确答案:A•6、根据《商业银行合规风险管理指引》，商业银行应建立对管理人员合规绩效的考核制度。
商业银行的绩效考核应体现（）的价值观念。
（3.33 分）A效益优先和合规为辅倡导合规和惩处违规C一切从经济效益出发D做大规模和做强效益正确答案:B•7、（）履行内部控制的监督职能。
第1篇第一章总则第一条为加强本单位的内部控制管理，提高内部管理水平，确保单位资产的安全、完整和有效利用，防范和化解经营风险，根据《中华人民共和国会计法》、《企业内部控制基本规范》等法律法规，结合本单位实际情况，制定本规定。
第二条本规定适用于本单位的内部控制管理，包括但不限于财务、采购、人力资源、运营、项目、信息、保密等方面的内部控制。
第三条本单位内部控制管理应遵循以下原则：（一）全面性原则：内部控制应覆盖所有业务环节和所有部门；（二）重要性原则：内部控制应重点关注关键业务环节和关键岗位；（三）制衡性原则：内部控制应实现业务流程的相互制约和监督；（四）有效性原则：内部控制应确保各项制度得到有效执行；（五）动态性原则：内部控制应适应业务发展和外部环境变化，不断优化和完善。
第二章组织架构与职责第四条本单位设立内部控制领导小组，负责内部控制工作的总体规划和组织实施。
第五条内部控制领导小组下设内部控制办公室，负责具体实施内部控制工作，其主要职责包括：（一）组织制定和修订内部控制制度；（二）组织内部控制风险评估和检查；（三）组织内部控制培训和宣传教育；（四）组织内部控制信息收集和报告；（五）协调各部门之间的内部控制工作。
第六条各部门负责人为本部门内部控制工作的第一责任人，负责本部门内部控制制度的制定、实施和监督。
第七条各部门应设立内部控制专兼职人员，负责本部门内部控制的具体实施和监督。
第三章内部控制制度第八条本单位内部控制制度应包括以下内容：（一）内部控制基本制度；（二）业务流程控制制度；（三）岗位责任制度；（四）风险管理制度；（五）审计监察制度；（六）保密制度；（七）应急预案。
第九条内部控制基本制度应明确内部控制的目标、原则、组织架构、职责分工、工作程序、监督检查、奖惩措施等。
第十条业务流程控制制度应针对不同业务环节，制定相应的控制措施，确保业务流程的规范、高效、安全。
第十一条岗位责任制度应明确各岗位的职责、权限和责任，确保岗位职责的明确和落实。
第六章内部控制及其评审一、单选1.小规模企业的内部控制通常都较为薄弱，审计人员应该（）。
A.增加符合性测试，增加实质性测试B.减少符合性测试，减少实质性测试C.增加符合性测试，减少实质性测试D.减少符合性测试，增加实质性测试2.按照内部控制的要求，审计人员对有关业务重做一遍，以判断有关人员是否遵循了内部控制制度，这种方法称为（）。
A.实验法B.追踪法C.观察法D.判断法3.发生下列情况时，审计人员需实施符合性测试（）。
A.相关内部控制不存在B.相关内部控制未有效运行C.进行符合性测试的工作量可能小于进行符合性测试所减少的实质性测试工作量D.小规模企业4.如被审计单位内部控制在所审计会计期间发生显著变动，注册会计师应当考虑（）。
A.分别进行符合性测试B.分别进行实质性测试C.直接进行实质性测试D.在审计报告中以适当方式进行披露5.内部控制系统是否实施有效，关键取决于实施内部控制系统的（）。
A.人员素质B.健全性C.经常性D.合法、合规性6.下列各项中，预防员工贪污、挪用销货款的最有效的方法是（）。
A.收取顾客支票与收取顾客现金由不同人担任B.请顾客将货款直接汇入公司所指定的银行账户C.记录应收账款明细账的人员不得兼任出纳D.公司收到顾客支票后立即寄送收据给顾客7.下列（）业务属于不相容职务。
A.经理和董事长B.采购员和供销科长C.保管员与车间主任D.记录现金日记账和记录现金总账8.所谓（），是指未加控制容易产生错弊的环节。
A.不相容职务B.内部牵制C.关键控制点D.内部审计9.在对被审计单位的内部控制系统进行符合性测试的基础上，应进一步对被审计事项进行（）。
A.抽查B.详查C.合规性测试D.实质性测试10.（）是指被审计单位具有健全、科学的内部控制系统，并且均能有效发挥作用。
A.高信赖程度B.中信赖程度C.低信赖程度D.良好的信赖程度二、多选1.内部控制系统描述的方法通常有（）。
A.调查表法B.文字表述法C.规划法D.流程图法2.当难以对内部控制的有效性做出评估时，注册会计师应当（）。
第六章风险管理框架下的内部控制本章考情分析本章属于次重点章，应重点掌握的内容包括：（1）企业内部控制理论的演变与发展；（2）内部控制与风险管理的关系；（3）内部控制的目标、内部控制的原则和内部控制的要素；（4）内部控制应用指引（包括18项指引）；（5）内部控制评价；（6）企业内部控制审计；（7）审计委员会在内部控制中的作用；（8）风险管理、内部控制与公司治理及其三者的关系。
本章考试的题型主要关注客观题和简答题，近3年平均分值为10分左右。
2013年重点关注内部控制应用指引（包括18项指引）、内部控制评价和在内部控制中审计委员会的作用，这三个方面内容考主观题。
第一节内部控制与风险管理的关系一、企业内部控制理论的演变与发展（一）内部牵制阶段第一阶段，起步阶段，即内部牵制阶段。
最初的内部控制定义就是内部牵制，它基本是以査错防弊为目的，以岗位分离和账目核对为手段，以钱、账、物等会计事项为主要控制对象。
其核心主要关注于会计领域。
（二）内部控制制度阶段第二阶段，进化阶段，即内部控制制度阶段。
20世纪50年代至70年代，内部控制的发展进入到内部控制制度阶段。
内部控制制度有两类，即内部会计控制制度和内部管理控制制度。
内部控制的目标除了保护组织财产的安全之外，还包括增进会计信息的可靠性、提高经营效率和遵循既定管理方针。
（三）内部控制结构阶段第三阶段，提高阶段，即内部控制结构阶段。
20世纪80年代至90年代初，内部控制的发展进入内部控制结构阶段。
在该阶段正式将内部控制环境纳入内部控制范畴，同时不再区分内部会计控制和内部管理控制。
内部控制被认为是为合理保证企业特定目标的实现而建立的各种政策和程序，内部控制由三个要素组成：内部控制环境、会计制度和控制程序。
（四）内部控制整合框架阶段第四阶段，演进阶段，即内部控制整合框架阶段。
1992年9月，美国反虚假财务报告委员会的发起组织委员会（COSO)发布了一份报告《内部控制——整合框架》（1994年进行了增补），即COSO内部控制整合框架。
第六章内部控制第一节内部控制的定兑和发展一、内部控制的定义内部控制是指为确保实现企业目标而实施的程序和政策。
内部控制还应确保识别可能阻碍实现这些目标的风险因素并采取预防措施。
内部控制和风险管理是出色的公司治理极为重要的组成部分。
出色的公司治理意味着董事会必须对企业的所有风险加以识别和管理，就风险管理而言，内部控制系统涉及企业财务、运营、遵守法律法规及其他方面。
内部控制系统包括两个因素，分别是控制环境和控制政策与程序。
控制环境是指企业内对于内部控制的态度及内部控制意识，代表整个企业对于内部控制的价值观。
控制政策及程序是指嵌入企业运营中的具体的内部控制。
控制政策及程序的设计目的在于，尽可能确保业务行为是有序且有效的。
控制政策及程序必须能够根据企业面临的内外部风险而改变，并且应以企业面临的主要风险为重点，并对这些风险作出反应。
内部控制的思想和框架总体上就是对企业内资掘进行管理的体系，然而基于不同的角度和层次，对内部控制的定义有着不同的认识和分析。
(一) COSO委员会对内部控制的定义成立于1985年的COSO (Committee of Sponsoring Organization)委员会为全国舞弊报告委员会提供支持。
该组织包括美国会计协会(Ame出an Ac¬counting . Association)和美国注册会计师协会(Ame由an Institute of Ce时ified Public Accountants)。
现在，COSO委员会负责制订有关大型和小型企业实施内部控制系统的指南。
1992年9月COSO委员会提出了《内部控制一一整合框架)) 0 1994年又进行了增补，简称《内部控制框架}.即COSO内部控制框架。
COSO委员会对内部控制的定义是"公司的董事会、管理层及其他人士为实现以下目标提供合理保证而实施的程序:运营的效益和效率，财务报告的可靠性和遵守适用的法律法规。
"以下章节将对内部控制框架的内容作更详尽的分析。
COSO委员会指出，从风险管理的角度来看，内部控制是必要的。
但是，在实施内部控制时，有几点需要注意。
首先，即使实施了优良的内部控制系统，也不一定能使一个鳖脚的管理者变得出色。
其次，由于所有的内部控制系统仍然面临发生错误或出现差错的危险，因而内部控制系统只能就企业目标的实现提供合理保证。
即使一个企业实施了内部控制，也可能由于故意串通破坏、管理层逾越监控而失效。
再次，大型或小型企业在建立内部控制系统时，均可能存在资惊受限的问题。
(二)美国上市公司会计监管委员会对内部控制的定义美国上市公司会计监管委员会( PCAOB)发布的"审计准则第5号"规定，注册会计师对企业财务报告进行审计必须关注财务报告内部控制，同时管理层应该对企业内部控制作出评估。
所谓财务报告内部控制，是指在企业主要的高级管理人员、主要财务负责人或行使类似职能的人员的监督下设计的一套流程，并由公司的董事会、管理层和其他人批准生效.该流程可以为财务报告的可靠性及根据公认会计原则编制的对外财务报表提供合理保证，它包括如下政策和程序(1)保管以合理的详尽程度、准确和公允地反映企业的交易和资产处置的有关记录(2)为按照公认会计原则编制财务报表记录交易，以及企业的收入和支出仅是按照管理和公司董事会的授权执行，提供合理的保证; (3)为预防或及时发现对财务报表有重大影响的未经授权的企业资产的购置、使用或处理，提供合理保证。
(三)特恩布尔委员会对内部控制的定义1992年，英国《综合守则》(Combined Code)颁布之后，设立了特恩布尔委员会(Turnbull committee)。
该委员会的职能是为上市公司执行《综合守则》规定的内部控制原则提供指南。
特恩布尔报告的总体要求是，董事应实行一套完善的内部控制系统，并定期对该系统实行复核。
该报告还谈到了建立一个完善的内部控制系统的必要性。
内部控制的主要组成部分包括为企业的有效运营提供辅助条件，使企业有能力对阻碍目标实现的重大风险做出反应。
风险可能来自业务经营、合规、运营或财务方面。
此外，内部控制还能确保对内和对外报告的质量，确保法规及内部有关业务开展的政策得以遵守。
特恩布尔报告哈还包括对内部控制系统的检查。
该报告指出，对内部控制系统的检查时管理层的常规责任。
不过检查可委派给审计委员会，并且董事会必须提供有关内部控制系统的信息，并进行复核。
复核应为至少每年一次。
为了通过维持完善的内部控制系统来确保使企业面临的风险降至最低。
特恩布尔委员会还建议应持续对内部控制情况进行监察，并建议作出关于财务及合规和运营控制的报告。
此外，管理层应向董事会保证内部控制已得到监察，确认这些控制提供了“对重大风险及内部控制系统对于管理这些风险的有效性”的平衡性评价。
而且，由于董事会应对内部控制系统负责，因此董事会可能需要对该系统进行复核。
(四)中国《企业内部控制基本规范》对内部控制的定义财政部、证监会、审计署、银监会和保监会于2008年6月联合发布的《企业内部控制基本规范》中指出，内部控制是由企业董事会、证监会、经理层和全体员工实施的、旨在实现控制目标的过程。
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和结果，促进企业实现发展战略。
二、内部控制的演变与发展(一)内部控制在20世纪80年代的控制理论自20世纪80年代以来，内部控制的理论研究有了新的发展，人们对内部控制的研究重点逐步从一般含义转向具体内容。
其标志是美国注册会计师协会于1998年5月发布的《企业准则公告第55号} (5A555)。
在这份公告中内部控制结构"的概念取代了"内部控制制度"。
公告指出企业内部控制结构包括为提供取得企业特定目标的合理保证而建立的各种政策和程序。
"公告认为内部控制结构由下列三个要素组成:(1)控制环境。
这是指对建立、加强或削弱特定政策与程序的效率有重大影响的各种因素，包括管理者的思想和经营作风;组织结构;董事会及所属委员会，特别是审计委员会发挥的职能:确定职权和责任的方法;管理者控制和检查工作时所使用的控制方法，包括经营计划、预算、预测、利润计划、责任会计和内部审计;人事工作方针及其执行等;影响企业业务的各种外部关系，如由银行指定代理人的检查等。
(2)会计制度。
这是指为认定、分析、归类、记录、编报各项经济业务，明确资产与负债的经管责任而规定的各种方法，包括认定和登记一切合法的经济业务;对各项经济业务按时和适当的分类，作为编制财务报表的依据;将各项经济业务按照适当的货币价值计价，以便列入财务报表;确定经济业务发生的日期，以便按照会计期间进行记录;在财务报表中恰当地表述经济业务及对有关的内容进行揭示。
(3)控制程序。
这是指企业为保证目标的实现而建立的政策和程序，如经济业务和经济活动的适当授权;明确各个人员的职责分工，如指派不同的人员分别承担业务批准、业务记录和财产保管的职责，以防止有关人员对正常经济业务图谋不轨和隐匿各种错弊;账簿和凭证的设置、记录与使用，以保证经济业务活动得到正确的记载，如出厂凭证应事先编号，以便控制发货业务;资产及记录的限制接触，如接触电脑程序和档案资料要经过批准;已经登记的业务及记录与复核，如常规的账面复核，存款、借款调节表的编制，账面的核对，电脑编程控制，以及管理者对明细报告的检查。
(二)内部控制在成熟阶段的研究结果如前文所述，C050委员会于1992年9月发布了指导内部控制实践的纲领性文件《内部控制一一整合框架}，并于1994年进行了增补，即COSO内部控制框架。
这份文件堪称内部控制发展史上的里程碑。
COSO对内部控制的定义包含大量关键概念，它们能举例说明企业内的内部控制系统有普遍影响力，而且控制是一个程序，而非结构。
内部控制是公司董事会和各级管理层计划、实施和监察的不间断的一系列活动。
内部控制的目标不仅是为了保证财务报告的可靠性与合规性，而且有助于提高企业运营的效益和效率。
因此，内部控制也与业绩目标(比如获利能力)的实现有关。
但是内部控制只为企业目标的实现提供合理保证，而非绝对保证。
内部控制系统包括企业的政策、程序、任务、行为，使企业能够对与实现企业目标有关的重大业务、经营、财务、法规及其他风险作出适当反应，促进企业的运营效益和效率。
这包括保护资产，避免被不当使用或流失和欺诈，并确保负债得到有效管理。
完善的内部控制系统还有助于确保对内及对外报告的质量。
这要求维持适当的记录和程序，以提供有关企业内外部的及时、相关且可靠的信息。
而且，完善的内部控制系统还有助于确保企业遵守适用的法律法规，或遵守商业行为的内部政策。
内部控制可分成五个相互关联的组成部分，在配合实现独立而又有重叠的经营、财务报告和法规遵守的目标时，这五个部分也可作为评价内部控制系统有效性的标准。
这五个部分包括:控制环境、风险评估、控制活动、信息与沟通以及监察。
不仅如此，COSO对内部控制系统的五大要素进行了认定。
从董事会为企业制定整体管理哲学以实施内部控制，到控制环境的详情，都属于这五个要素的范畴。
1 (Control environment)。
内部审计师协会(The Institute of Internal Auditors , IIA)对控制环境的定义是董事会与管理层对待公司内部控制的重要性的态度及采取的行动"。
控制环境是其他内部控制元素的根基，并提供纪律及结构。
控制环境因素包括人员的道德观和胜任能力、董事会提供的指示和管理的效率。
控制环境被称为企业的"最高层"。
控制环境能说明企业的道德观和文化，为内部控制其他方面的运作提供框架。
控制环境是由管理层所定的基调、管理哲学与管理风格、授权方式、组织和培养员工的方式以及董事会对执行内部控制的决心决定。
2 (Risk assessment)。
风险评估是指识别和分析影响目标实现的风险(包括与监管和运营环境不断变化有关的风险)，以此来确定降低和管理此类风险的依据。
企业的目标与所面临的风险之间有一定关联。
为了对风险进行评估，必须确立企业目标。
目标一经确立，必须识别和评估为实现这些目标而面临的风险，并且该评估应构成决定如何管理该风险的基础。
企业的管理层应定时对企业内部的各类业务进行风险评估，而且需要考虑内部及外部因素。
内部因素包括组织的复杂性、组织结构的变更、员下流动情况及员工素质。
外部因素包括行业及经济条件的改变以及技术变革等。
风险评估程序亦应区分可控制风险和不可控制风险。
对于可控制风险，管理层应决定是否承受该风险，采取措施控制或降低该风险。
l对于不可控制的风险，管理层应决定是否承受该风险，或部分或完全退出此项业务，以规避风险。
