内部控制程序、要素和类型_2025年高级会计实务预习知识点

（一）内部控制程序（★）

内部控制程序一般包括：确定控制目标（或标准），衡量控制结果，分析差异，采取补救或改善措施，综合检查评价。

1.确定控制目标（或标准）

控制目标（或标准）应至少明确关键业务、关键资源、关键费用或成本项目。控制类型有定量标准和定性标准。定量标准包括实物标准、价值标准和时间标准。控制标准应根据外部环境变化及工作开展情况及时调整。例如，企业预算系统能够较好地将经营目标按企业不同业务单元和组织，分解成不同部分可以执行且可以控制的预算指标。

2.衡量控制结果

衡量控制结果即通过检查执行记录、实际结果与控制目标（或标准）进行比较、计量偏离目标的差异等方式来评定控制成效。

3.分析差异

对于发生的差异，应进一步分析原因，包括差异的程度及产生原因、问题的性质等。

企业实务中，经营活动分析会、内外部审计等方式都是较好地实现衡量控制结果、分析差异的控制手段。如进一步利用内部控制的方法，有利于更为深入、全面地利用这些控制手段来分析差异。

4.采取补救或改善措施

通过分析差异，企业需要综合考虑成本效益原则，拟定所需采取的补救或改善措施，以确保有关内部控制有效。

5.综合检查评价

定期的综合检查评价，是在结合日常持续监督的基础上，运用一定的方法，定期对内部控制有效性进行全面评估和整体评价，确定内部控制的健全和有效。

（二）内部控制要素、方法和类型（★★）

从内部控制五要素的角度建立和评价内部控制体系，是确保内部控制有效性、实现内部控制目标的有效方法。《企业内部控制基本规范》规定的内部控制要素主要有：内部环境、风险评估、控制活动、信息与沟通、内部监督。

总体框架：

1.内部环境（基础—优化）

内部环境规定企业的纪律与架构，影响经营管理目标的制定，塑造企业文化氛围并影响员工的控制意识，是企业建立与实施内部控制的基础。内部环境主要包括治理结构、机构设置及权责分配、内部审计机制、人力资源政策、企业文化等。

（1）治理结构。企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确董事会、监事会和经理层在决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。

公司治理结构又称法人治理结构，是根据权力机构、决策机构、执行机构和监督机构相互独立、权责明确、相互制衡的原则实现对公司的治理，其关系见下图。

（2）机构设置及权责分配。企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。

企业内部机构设置虽然没有统一的模式，但所采用的组织结构应当有利于提升管理效能，保证信息通畅流动。

（3）内部审计机制。企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。

（4）人力资源政策。一般包括员工的聘用、培训、辞退与辞职；员工的薪酬、考核、晋升与奖惩；关键岗位员工的强制休假制度和定期岗位轮换制度；对掌握国家秘密或重要商业秘密的员工离岗的限制性规定等内容。企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。

（5）企业文化（软实力—灵魂）。企业应当加强文化建设，培育积极向上的道德价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识和法制观念。董事、监事、经理及其他高级管理人员应在塑造良好的企业文化中发挥关键作用。

2.风险评估（重要环节）

风险评估是企业及时识别、科学分析经营活动中与实现控制目标相关的风险，合理确定风险应对策略，是实施内部控制的重要环节。

从内部控制的角度看应建立流程，及时识别并评估对企业内部控制体系可能造成重大影响的改变，以及时调整内部控制确保其有效。

风险评估重点关注的内容有：①外部环境：监管或经济环境等外部环境变化可能导致竞争压力不断增加、运营需求发生变化，及由此出现的风险；自然灾害等物理环境的变化影响企业供应链、商业合作伙伴等，导致企业持续经营风险。②商业模式：改变商业模式、重大收购和资产剥离、境外业务、快速增长、新技术应用于企业生产、服务交付流程或支持信息系统等，以及由此出现的新风险。③领导变更：新的高层管理人员管理哲学、对现有企业文化的理解等发生变化；人员高流动性、缺乏有效的培训和监督都可能导致内部控制失效。

3.控制活动（重要手段）

控制活动是指企业根据风险应对策略，采用相应的控制措施，将风险控制在可承受度之内，是实施内部控制的具体方式。常见的控制措施有下列7项。

提示：内部控制要制度化，制度要流程化。流程是借鉴了计算机软件设计中的方法论，使工作程序化、标准化、系统化。这样不易出现漏洞，从而更加严谨。

（1）不相容职务分离控制。

提示：

①内部控制的基本假设是：两个人有意识地犯同样错误的概率要远少于一个人；两个人有意识地合伙舞弊的可能性要远少于一个人。

②不相容职务分离的核心是内部牵制。

③因资源限制等原因无法实现不相容职务相分离的，企业应当采取抽查交易文档、定期资产盘点等替代性控制措施。

④不相容职务相分离贯穿内部控制、设计、实施、运行、评价全过程。企业在设计内部控制系统时，首先应确定哪些岗位和职务是不相容的；其次要明确规定各个机构和岗位的职责权限，使不相容岗位和职务之间能够相互监督、相互制约，形成有效的制衡机制。

不相容职务分离控制贯穿于企业经营管理活动的始终，是企业防范风险的重要手段之一。

（2）授权审批控制。

提示：“授权”表明了企业各项决策和业务必须由具备适当权限的人员办理，这一权限通过公司章程约定或其他方式授予。（权限指引）。

授权时对事不对人、不可越权授权、要适度授权、授权后要适当的监督。授权时尽量采用书面形式，特别授权一般采用口头形式；审批不得越权、不得随意审批。

（3）会计系统控制。

（4）财产保护控制。

（5）预算控制。

预算是企业未来一定时期内经营、资本、财务等各方面的收入、支出、现金流的总体计划。预算控制的内容涵盖了企业经营活动全过程，企业通过预算的编制和检查预算的执行情况，可以比较、分析内部各单位未完成预算的原因，并对未完成预算的不良后果采取改进措施。

分解预算控制的主要环节有：①确定预算的项目、标准和程序；②编制和审定预算；③预算指标的下达和责任人的落实；④预算执行的授权；⑤预算执行过程的监控；⑥预算差异的分析和调整；⑦预算业绩的考核和奖惩。

（6）运营分析控制。

运营分析是对企业内部各项业务、各类机构的运行情况进行独立分析或综合分析，进而掌握企业运营的效率和效果，为持续的优化调整奠定基础。

（7）绩效考评控制。

绩效考评是对所属单位及个人占有、使用、管理与配置企业经济资源的效果进行的评价。企业董事会及经理层可以根据绩效考评的结果进行有效决策，引导和规范员工行为，促进实现发展战略和提高经营效率效果。

主要环节有：

①确定绩效考评目标，绩效考评目标应当具有针对性和可操作性；

②设置考核指标体系，包括定量指标（以反映评价客体的各种数量特征）和定性指标（以说明各项非数量指标的影响），同时，针对不同的评价指标赋予相应的权重，体现各项评价指标对绩效考评结果的影响程度和重要程度；

③选择考核评价标准，评价标准是反映评价指标优劣的具体参照物和对比尺度，企业可以根据评价目标选用不同的评价标准，如历史标准、预算标准、行业标准等；

④形成评价结果，根据评价指标和评价标准，对企业全体员工的业绩进行定期考核和客观评价，在此基础上形成评价结论；

⑤制定奖惩措施，企业应当将绩效考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗和辞退等的依据。

除上述常见控制措施外，企业还需建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案，明确责任人员、规范处理程序，确保突发事件得到及时妥善的处理。

提示：

内部控制环境与控制活动

内部控制环境是其他四个要素的基础，在企业内部控制的建立与实施中发挥着基础性作用。任何企业要有健全的治理结构，明确机构设置及权责分配，完善的内部审计制度，人力资源政策，塑造良好的企业文化。应充分体现企业业务模式、经营管理的特点以及内部控制的要求，与企业自身的规模、发展阶段相适应。

控制活动是指结合具体业务和事项，运用相应的控制措施和程序去实施控制。也就是在风险评估之后，企业采取相应的控制措施以将风险控制在可承受的范围之内（7项控制措施）。

4.信息与沟通（重要条件）

信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通，是实施内部控制的重要条件。信息与沟通的要件主要包括：信息质量、沟通制度、信息系统、反舞弊机制。

（1）信息质量。信息是企业各类业务事项属性的标识，是确保企业经营管理活动顺利开展的基础。企业日常生产经营需要收集各种内部信息和外部信息，并对这些信息进行合理筛选、核对、整合，提高信息的有用性。

（2）沟通制度。信息的价值必须通过传递和使用才能体现。企业应当建立信息沟通制度，将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。重要信息须及时传递给董事会、监事会和经理层。

（4）反舞弊机制。舞弊是指企业董事、监事、经理、其他高级管理人员、员工或第三方使用欺骗手段获取不当或非法利益的故意行为。反舞弊工作的重点领域包括：①侵占、挪用企业资产，谋取不正当利益；②在财务会计报告和信息披露等方面存在虚假记载、误导性陈述或者重大遗漏等；③董事、监事、经理及其他高级管理人员滥用职权；④相关机构或人员串通舞弊。为确保反舞弊工作落到实处，企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，

确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应当及时传达至全体员工。

COSO框架认为，舞弊风险的评估需要考虑：虚假报告、资产损失的可能性以及各种舞弊、不当行为所导致的腐败行为；各种动机和压力；未经授权的获取、使用或出售资产、改变主体报告记录或犯有其他不当行为等方面的机会；管理层及其他人员是如何参与不当行为并对此进行辩解的。此外，通过集中管理的职责分离可一定程度地减少舞弊的可能性。

5.内部监督（重要保证）

内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，对于发现的内部控制缺陷，及时加以改进，是实施内部控制的重要保证。内部监督包括日常监督和专项监督。

（1）日常监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查。日常监督的常见方式包括：①在日常生产经营活动中获得能够判断内部控制设计与运行情况的信息；②在与外部有关方面沟通过程中获得有关内部控制设计与运行情况的验证信息；③在与员工沟通过程中获得内部控制是否有效执行的证据；④通过账面记录与实物资产的检查比较对资产的安全性进行持续监督；⑤通过内部审计活动对内部控制有效性进行持续监督。

（2）专项监督。专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一方面或某些方面进行有针对性的监督检查。日常监督是专项监督的基础，专项监督是日常监督的补充，如果发现某专项监督需要经常性地进行，企业有必要将其纳入日常监督之中。

日常监督和专项监督情况应当形成书面报告，并在报告中揭示存在的内部控制缺陷。

基于上述控制方法，内部控制可以分为不同类型，按是否与业务直接相关分为企业层面控制和业务层面控制；按控制目的不同可分为会计控制和管理控制，如会计系统控制属于会计控制，预算控制、运营分析控制则属于管理控制；按控制功能不同分为预防式控制和发现型控制，如预算控制属于预防式控制、绩效考评控制则属于发现型控制；

按控制目标不同分为财产物资控制、会计信息控制、财务收支控制、经营决策控制、经济效益控制、经营目标控制；按照是否信息化分为人工控制和自动控制；信息系统控制分为一般控制和应用控制，开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全均属于一般控制，而设计在信息系统中、有助于达到信息处理目标的控制则属于应用控制。

COSO框架强调，企业内部控制有效，应保证五要素同时存在并持续运行，并且五要素应以整合的方式共同运行，以将影响目标实现的风险降低至可接受的水平。这是因为，企业层面的失控容易导致业务层面的失控，但单纯的业务操作失控也会给企业造成损失，如证券公司交易员的操作失误可能导致证券市场巨大波动及公司损失。因此，无论忽视哪一方面导致的重大内部控制缺陷，都可能给企业造成损失甚至灭顶之灾。

提示：内部控制五大要素贯穿内部控制全过程，要与内部控制五大目标，五项原则结合起来掌握。

（三）内部控制活动的基本内容（★）

我国《内部控制应用指引》将内部控制分为企业层面控制和业务层面控制。企业层面包括组织架构、发展战略、人力资源、社会责任、企业文化等5项对实现控制目标有重大影响，且与内部环境、风险评估、信息与沟通，内部监督直接相关的控制，业务层面包括资金、采购、资产、销售、研发、工程、担保、业务外包、财务报告、全面预算、合同、内部信息传递、信息系统等13项具体业务和事项的控制。每项应用指引均分析了所涉及的主要风险和关键控制点及控制措施，构成企业内部控制活动的基本内容。

在实务中，企业进行内部控制体系建设时，应在遵循内部控制规范的基础上，结合实际，综合利用控制方法，分企业层面、业务层面分别分析风险、制定关键控制点和控制措施，分别落实责任和执行。