公司正面临哪些风险？ 最大的风险来自何方？ 如何应对与化解风险？ 怎样保证风险治理成果？ 新的征程在那里？

　　2008年，美国著名投行贝尔 斯登等倒闭； 2002年美国世通公司丑闻； 2001年美国安然公司倒台； 2008年中信泰富因外汇衍生金融工具而亏损20 亿美元； 2008年香港合俊集团因金融危机倒闭； 2004年中航油炒作原油期货巨亏5.5亿美元；

　　触目惊心的事实，促使全球商界、金融界、政府重新审视上市 公司风险控制的内部制度和外部环境。

　　管控模式选择难 跨地多元管控难 决策层 集团战略执行难 信息孤岛沟通难 财务信息反馈难 管理层 决策信息获取难

　　房地产开发 物业管理 房地产开发 商场经营 物业 房地产开发 开发销售 服务管理 房地产投资 二手房投资

　　30年来，房地产行业群雄并起，涌现出一大批规模、利润、品牌优秀的企业， 这其中万科始终以其规模、业绩、品牌和经营质量独占鳌头，被誉为中国房地产 行业的长青树。2008年市场占有率逆市上升。

　　A股公开上市 定向增发 H股公开上市 定向增发 … 定向增发 定向增发 10次

　　涉及商业、地产、贸易、 从行业多元化聚焦于地产 从多品种经营聚集于住宅 持续重视战略先行 持续重视客户忠诚度提升 持续重视并细分品牌 持续重视人才 持续重视市场细分 持续重视投资者和股东回报

　　“通过成本管理能够创造几亿甚至十几 亿的利润空间，万科运用金蝶EAS系统，成本 管理已经能精细化到一根电线，EAS系统领先 业内同行数年，金蝶EAS实现了财务、成本、 资金、审批流程的良好集成，为万科提供了数 据共享的快乐” ----万科成本管理部总经理刘石磊

　　 我国上市公司风险管理现状  《企业内部控制基本规范》概要  建立风险导向的内部控制框架体系

　　实施风险与内控的途径、方法  企业内部控制成果的评价  信息化：企业风险与内控解决之道

　　德勤华永会计师事务所有限公司最新《中国上市公司内部控制调查 分析报告》的调查结果显示，中国上市公司约58.82%的企业为应对金 融危机而指定了专门的部门落实风险管理和内控工作，但是，仅有 23.53%的企业将内控工作的重点从书面制度转变为具体实施；仅约 17.65%的企业进行了内部控制评价。

　　缺乏对风险意识和企业文化的重视 企业治理结构有待完善 “人治”代替“法制”的观念根深蒂固 内部控制体系与企业运营难以有效结合 内部控制的执行力难以保证 内部控制信息沟通不畅 信息系统控制薄弱

　　-控制环境 -目标设置 -事件辨识 -风险评估 -风险反应 -控制活动 -信息沟通 -监督

　　全面性原则 五原则 五要素 内部环境 风险评估 重要性原则 控制活动 制衡性原则 信息与沟通 适应性原则 内部监督 成本效益原则

　　2008年6月28日 财政部、证监会 审计署、银监会 保监会五部委联 合发布。

　　1．组织架构及权责分配（治理结构、机构设 置、权责分配、内部审计、总分公司等 内容） 2．母子公司（母子公司治理结构下母公司对 子公司的控制问题） 3．安全环保与社会责任（理念、制度、投入、 管理、检查等内容） 4．人力资源管理（扩充原内容，对人力资源 进行全方位、全过程控制） 5．货币资金（扩充内容，IM电竞 IM电竞平台不局限于收付程序 的审批，对资金管理中的高风险问题进 行提示） 6．采购与销售（购销高风险业务环节控制， 对以下各业务与事项的控制相似） 7．工程及实物资产 8．研发及无形资产 9．筹资 10．对外投资 11．运营管理（生产经营过程控制） 12．信用管理（授信管理问题，包括对 往来客户、分子公司等的授信政策和 管理等） 13．预算管理 14．担保与投保 15．合同协议与法律事务 16．重组与并购 17．关联交易 18．内部报告与信息系统（侧重内部报 告机制建设和信息系统安全控制，包 括反舞弊问题等） 19．对外报告（含信息披露） 20．银行业务（含信托业务） 21．保险业务 22．证券业务（含基金业务）

　　内部控制评价，是指由企业董事会和管理层实施的，对企业内部控制 有效性进行评价，形成评价结论，出具评价报告的过程。内部控制有效性 是指企业建立与实施内部控制能够为控制目标的实现提供合理的保证。

　　企业实施内部控制评价，包括 对内部控制设计有效性和运行 有效性的评价。 信息系统的有效性评价包括信 息系统一般控制评价和信息系 统应用控制评价。 企业集团对被评价单位内部控 制的有效性的评价。

　　内部控制评价工作方案 内部控制评价工作程序 内部控制评估和测试的方法 内部控制有效性相关的证据 内部控制有效性相关的判断 内部控制评价证据保存 内部控制评价证据报告

　　内部控制缺陷分类（一般可分 为设计缺陷和运行缺陷） 内部控制缺陷判的断则 内部控制缺陷判的整改 年度内部控制评价报告

　　企业内部控制鉴证，是指会计师事务所接受委托，对企业与财务报告相关的内部控制的

　　企业内部控制鉴证指引是注册会计师执行企业内部控制(以下简称内部控制)鉴证业务的

　　总则 制定鉴 证计划 实施鉴 证工作 评价控 制缺陷 鉴证报告 工作底稿 评价控 制缺陷 完成鉴 证工作

　　• 低层次/经营层次。风险监控 是内部审计人员的职能。 • 风险是一个需要控制的负面 因素。 • 风险管理在企业各部分个别 展开 • 风险管理的责任被委派到低 层次的人员 • 风险的衡量是主观的

　　• 是CEO的工作 (也是董事会的 监管) • 风险其实是一个机会 • 在整个企业范围内进行一体化 的风险管理 • 风险管理的责任由高级和部门 管理人员承担 • 风险的数化 • 风险管理被纳入所有企业管理 系统

　　三大需求是企业的普遍需求；  其中内部控制是各类企业的基本需求；  上市类公司及国资委企业出于法规的要求对风险管理有较高要求；  金融类公司出于国际、国内法规要求对违规防范（合规管理）有更高要求。

　　• 以客户为导向，优化重 组流程，确保业务流程 协调一致、高效运行； • 引入风险意识，将内部 控制嵌入企业日常管理 与业务流程中；

　　• 以战略为导向，纳入风 险管理意识，建立企业 内控与风险管理环境； • 以内控体系为基础，建 立全面的风险监控体系； • 以风险预警为手段，全 面监控企业战略风险， 确保企业稳健成长。

　　• 以内控与风险管理体系 为保障，确保企业运行 符合相关政策法规要求； • 以内控与风险管理体系 的合理设计与有效运行 为基础，履行法规要求 的记录与报告责任。

　　缺乏良好的控制环境  法人治理结构不健全，内部控制的外部约束 较弱；  公司治理结构中责任不到位；  缺乏绩效考核对内部控制与风险管理的引导 机制  高管层缺乏自主控制意识  没有形成重视风险的控制文化

　　缺乏内部控制方法理论  缺乏理论指导，以最佳实践为参考，注重对事 件本身的控制，忽视对责任人的行为尤其是高 管层行为的控制；  没有完善的行权、职责、反馈、改进规范；  把内控看成一套制度，而不是过程，缺乏动态 理念。

　　崇尚经验式管理  对管理的有效性和制度的适当性缺乏评价标准  制度拟定部门从自身利益考虑，造成跨部门流程断裂或交叉  对重要的职责与权限划分有较大的随意性，重权力划分，轻责任归属  缺乏系统的风险评估方法和工具 就内部控制建设而言，目前国企最缺乏的是制  缺乏定期反馈和修正机制

　　狭义的公司治理是指一组联结并规范公司股东、董事会、经理人之间责、权、 利关系的制度安排。 广义上，公司治理还包括公司与其他利益相关者（Stakeholder，IM电竞 IM电竞平台如员工、客户、 供应商、债权人和社区等）之间的关系，以及有关的法律、法规和上市规则等。

　　公司治理提供了对风险由上而下的监控与管理。 近年多个国家都订立了公司治理的最佳守则：

　　企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结 构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效 的职责分工和制衡机制。

　　会负责，监 督企业董事、 经理和其他 高级管理人 员依法履行 职责。 对董事会建 立与实施内 控与风险管 理进行监督。

　　会决议事项，主持企业的生产经营管 理工作。 负责组织领导企业内控与风险管理 的日常运行。

　　审议工作报告 确定风险管理总体目标和策 略 在董事 会领导 下，审 批准重大风险评估报告 议并提 交风险 管理各 重大风险控制决策 项方案、 报告 批准监督评价报告 批准

　　提出风险管理工作报告 提出风险管理策略 主持 全面 风险 管理 日常 工作 研究提出跨部门重大风险 评估报告 研究提出跨部门重大风险 管理方案 负责有效性评估提出改进 方案 组织协调日常工作

　　执行风 险管理 基本流 开展监督 程和制 评价，出 度规范。 具评价报 负责本 告 部门工 作。

　　业大部分的资产和业 务，它们在日常工作 第 中面对各类的风险， 二 是企业的前线 道

　　员会 风险管理部职责包括： 编制规章制度 对各业务单位的风险进 行组合管理 度量风险和评估风险的 界限 建立风险信息系统和预 警系统 、厘定关键风险 指标 负责风险信息披露、沟 通、协调员工培训和学 习的工作 按风险与回报的分析， 为各业务单位分配经济 资本金

　　独立于业务单位的部门， 监控企业内控和其他企 业关心的问题。 内部审计的三大功能： 财务监督，包括财 务帐的可用性、内部 管理和制度的执行。 经营诊断，包括管 理审计以及效率和效 益审计、检查和诊断 经营和管理过程中的 偏差和失误。 咨询顾问，包括企 业风险管理和发展策 略方面的咨询、调查 领导关心的热点问题 和管理薄弱环节。

　　上市公司风险面面观  什么是风险管理框架  实施风险与内控的途径  企业内部控制成果的评价  信息化：企业风险与内控解决之道

　　项目计划的制定 项目启动的准备工作 项目范围的确定 项目的时间和人员预算 培训

　　项目运营的内部政策，如技术指令的发布程序、技术资料的保管 程序、项目组资料的保密要求、项目工作成果审核办法、考核办法  出差住宿的相关政策、项目组动态联系方式

　　企业的组织架构，包括企业本部或总部的部门设置，还包括整个企 业集团内的组织结构； 分析业务类型，确定不同的业务类型对企业集团重要财务指标的贡 献度； 企业内部控制体系的现状 管理层目前对内部控制的看法。

　　阅读：财务报告、组织结构图、部门权责、相关业务流程 问卷：网上发布、手工填写、收集整理 访谈：对有代表性部门的重要岗位人员进行访谈。

　　背景信息  组织结构及重要业务单元 ----公司整体组织框架 ----业务单元或单位企业1 ----业务单元或单位企业2 ----业务单元或单位企业3 ----业务单元或单位企业*

　　2、确定具体的项目范围 方法一：以公司具体业务作为项目范围：如全面预算、合同管 理、采购业务、销售业务、研究与开发、资金活动、资产 管理、工程项目、银行业务、证券期货业务、保险业务、 担保业务、业务外包、财务报告等业务； 方法二：按照重要性原则，确定具体的项目范围 主要是为了满足“财务报告及相关信息的真实、完整”的 目标。

　　第一步:确定重要性水平： 如总资产的0.5%-1% 税后净利润的5%-10% 净资产的1% 营业收入的0.5%-1% 第二步：根据重要性水平，选择单独重要的单位。 第三步：考虑定性因素，确定单独重要的单位。 第四步：考虑覆盖率，确定重要单位 第五步：确定重要的会计报表科目和披露事项 第六步：根据第五步确定重要的业务流程 第七步：利用覆盖率，确定需要纳入范围的具体业务流程 第八步：最后的定性考虑

　　资金管理、采购与支出、收入与成本核算、固 定资产、工资与人事、财务报告与关账 收入与成本核算、财务报告与关账

　　长期股权投资 固定资产 商誉 短期借款 应付账款 应付职工薪酬 应缴税费 实收资本 营业总收入 财务费用

　　资金管理、财务报告关账 固定资产、财务报告关账 固定资产、财务报告关账 资金管理、财务报告关账 采购支出、固定资产、财务报告与关账 职工与人事、财务报告与关账 工资与人事、财务报告与关账、收入与成本人 事 资金管理、财务报告与关账 收入与成本核算、财务报告与关账 资金管理、财务报告与关账

　　2、董事会审议内部控制评估报告，审计师出具审计报告。 3、管理层进行的内部控制测试及审计师实施的内部控制审计 4、管理层进行的内部控制测试及内部控制的整改。 5、内部控制梳理及构建

　　统一技术语言，掌握相关技术、确保项目顺利进行。（主 要采用课堂式讲授、小组讨论、角色扮演） 2、项目组外人员的培训： 介绍内部控制的基本理念、内部控制优化的重要意义、需 要各部门什么样的配合和支持等。(课堂式讲授）

　　要了解企业面临的风险有哪些？  他们各自的风险因素是什么？  如果发生会有什么后果？  导致风险事故的原因有哪些？

　　2008年7月份，邀请专家组织开展了全面风险管理工作的专项培 训，对于全面风险办公室成员及部分员工进行了较为系统的培训。 培训会后，下发了调查问卷，通过问卷调查的方式，在集团/股份 总部职能部室、事业部本部及国际贸易部范围内进行广泛征集，共收 到风险事件371件。 经过汇总、分类、风险辨识分析、调整等环节，初步搭建完成 PTAC风险分类框架，形成了PTAC风险事件库，包括战略、财务、市 场、运营、法律五个大类，28项风险，共计143条风险事件。

　　指企业在发展方向和速度等战略方面的制定和实施上出现错误，或因未 能随环境的改变而作出适当的调整，而导致经济上的损失的风险 指融资安排、会计核算与管理、会计及财务报告失误而对企业造成的损 失的风险

　　指企业因违反法律、法规或规定，或侵害其他利益相关者的权益，而导 致企业遭受经济或声誉损失的风险

　　战略类风险（46件） 风险名称 政策法规风险 宏观经济风险 战略规划风险 投资风险 品牌声誉风险 公司治理风险 企业文化管理风险 数 量 4 3 5 7 5 20 2 财务类风险（27件） 风险名称 预算管理风险 资金管理风险 资产管理风险 应收账款风险 担保风险 账务处理风险 税务管理风险 数 量 3 5 6 8 2 2 1 市场类风险（10件） 风险名称 竞争风险 产品资源风险 数 量 5 5 运营类风险（54件） 风险名称 人力资源风险 信息管理风险 IT系统风险 沟通风险 灾害风险 库存管理风险 信用管理风险 物流管理风险 销售管理风险 安全风险 数 量 14 3 8 4 1 3 4 3 11 3 法律类风险（6件） 风险名称 合同管理风险 诉讼纠纷风险 数 量 5 1

　　从可持续发展能力的影响、财务方面的影响、以及发生可能性等三个 维度请各部门总经理对风险事件进行了逐条评估、打分。 根据风险评估问卷调查结果通过加权汇总计算以及定量、定性分 析，在对风险进行排序的基础上，绘制了“PTAC风险坐标图”，将风 险划分为高、中、低三级。

　　级别 1 2 3 4 5 描述符 几乎是确定的 很可能 可能的 不太可能的 很少的 具体标准 风险每天不只发生一次 约每三天发生一次 约每十天发生一次 约每半年发生一次 约每一年或约每三年以上 发生一次

　　风险名称 政策法规风险 宏观经济风险 战略规划风险 投资风险 品牌声誉风险 公司治理风险 企业文化管理风险 预算管理风险 资金管理风险 资产管理风险 应收账款风险 担保风险 账务处理风险 税务管理风险

　　风险名称 竞争风险 产品资源风险 人力资源风险 信息管理风险 IT系统风险 沟通风险 灾害风险 库存管理风险 信用管理风险 物流管理风险 销售管理风险 安全风险 合同管理风险 诉讼纠纷风险

　　战略类风险 战略类风险 财务类风险 财务类风险 财务类风险 市场类风险 运营类风险 运营类风险

　　投资风险 战略规划风险 应收账款风险 资金管理风险 担保风险 产品资源风险 库存管理风险 销售管理风险

　　信息管理风险 IT系统风险 沟通风险 灾难风险 信用管理风险 物流管理风险

　　1. 重大投资可行性研究不够，新设公司或新设项目缺乏调研，导致投资失误。

　　3. 投资前期调查研究不够全面、深入，导致提供的决策信息不充分、不线. 重大投资项目未经公司领导集体决策，导致决策风险或决策失误。 5. 分、子单位未经批准擅自进行投资，导致投资管理失控。 6. 未对投资的实施及日常运营进行监控，管理不到位，导致项目运营失控。 7. 投资项目未经法律、技术、业务等部门论证、把关，导致投资项目存在技术、法律风险。

　　原华北公司超负荷投资、经营酒店资产，最终因经营不善导致重大损失 投资并购零售店面但缺乏管控能力，造成经营亏损 -57P57

　　1. 经营手段单一，外部环境变化对企业经营和财务状况影响巨大。 2. 企业盲目扩张，导致经营成本增长过快。 3. 经营业务种类过于单一，四项主业之间发展严重不均衡，导致公司整体经营效益下降。

　　公司过于依赖分销业务的经营，该项业务的业绩好坏直接影响公司整体的业绩，业务发展 不平衡。

　　1. 缺乏对应收账款的催收管理机制，回款率低，导致流动资金减少、偿债能力差。 2. 3个月以上应收账款清理不及时，导致坏账产生的可能性增大。

　　3. 应收账款收款责任不明确，未落实到人，没有与个人考核直接挂钩，或业务人员离职时 交接不清，导致后期回款困难。 4. 分、子公司额度超期使用过多，导致应收账款数额过大，欠款收不回来，贷款增加。 5. 运营商占用资金周期长，金额大，导致资金成本增加。

　　1. 资金管理计划性差，缺乏监管，导致资金链出现问题，无法保证按时付款。 2. 子公司资金体外循环，导致总部对资金无控制力。 3. 筹资受阻，资金不能及时到位，影响公司正常业务开展。

　　1. 违规担保，造成经济损失。 2. 被担保单位出现违约行为，导致连带偿债责任增加。

　　原通建总公司未审慎履行前期核查，违规对外担保，导致被动承担担保赔偿责任，损失 巨大

　　1. 对主要供应商（终端厂商）依赖过强，导致公司未来收益存在重大不确定性。 2. 手机资源单一，产品结构不合理，导致市场竞争力下降。 3. 对市场了解不够全面，终端进货量过大，导致库存过大，易发生跌价损失。 4. 供应商受市场等因素影响，无法继续维持，退出市场，造成产品价格，引起库存积 压、跌价损失。 5. 经济波动，产品价格变动，导致产品跌价，利润不稳定。

　　1. 进、销、存管理不系统，导致库存积压严重，存货周转率降低，占用大量资金，从而引 发财务危机。 2. 3个月以上库存积压严重，折扣、折让补偿不确定，价格倒挂，极易发生存货减值损失。 3. 积压库存的清理，责任不明确，导致消化积压库存不积极，增大潜亏。IM电竞 IM电竞平台

　　我公司产品转型（）时，尾货库存的压货 原大区公司国产手机销售不畅导致的存货损失

　　1. 产品终端价格制定过于随意，产品价格混乱，导致违规窜货、利润流失。 2. 分、子公司或分销商经营能力不佳，导致销量降低、库存增加、应收款增加。 3. 终端销售渠道扁平化，导致分销行业利润率下降。 4. 在个体、私营企业和事业部的分公司之间，产品资源分配不平衡，影响分公司积极性。 5. 客户关系维护不当，缺乏对业务员控制的客户关系进行规范管理，导致客户关系未成为 公司资源，甚至关键客户流失。

　　原大区公司之间打价格战，出现大量违规窜货，扰乱价格体系，造成资源内耗，利润降 低

　　1、未编制固定资产投资预算 2、预算编制不正确 3、固定资产投资立项依据不充分 4、审批程序不符合规定 5、购建固定资产不符合规定 6、采购方式不符合规定 7、固定资产状况不佳 8、固定资产管理责任不明确

　　10、资产盘点差异未得到有效处理 11、计算机网络安全存在隐患 12、移动设备遗失

　　13、维修计划不合理 14、维修审批程序不符合规定 15、资产报废不符合规定

　　组织相关责任部门对 重大高风险进行研究，分 析其产生的原因，暴露存 在的问题。

　　风险应对即针对各类重大风险事项（例如财务报告合 规相关风险）制定应对方案，降低可能的损失，提高机会 收益。其核心功能主要包括了风险与控制应对、剩余风险 评估、监控对策等。 风险应对的主要策略：  避免风险  控制风险  分散与中和风险  承担风险  转移风险  集中风险

　　任何经济单位对风险的对策，首先考虑到的是避 免风险，尤其是对静态风险尽可能予以避免。凡 风险所造成的损失不能由该项目可能获得利润予 以抵消时，避免风险是最可行的简单方法。  局限性

　　只有在风险可以避免的情况下，避免风险才有效果；  有些风险无法避免；  有些风险可能避免但成本过大；  消极地避免风险，只能使企业安于现状。不求进取。

　　避免风险的方法还可以分为完全避免和部分避免 两种。  完全避免，就要不惜放弃伴随风险而来的盈利机 会。部分避免，主要取决于成本因素和非经济因 素。如果避免收益大于避免成本，就可以考虑避 免，否则可以不要避免。是否部分避免还取决于 社会心理、道德、美学等方面的因素。  在采取部分避免风险时，往往还有两种战略：一 种是进攻性战略，即在高收益和低风险“替代选 择”中，挑选高收益而不顾忌风险；另一种是防 守战略，即在高收益和低风险的“替代选择”中， 挑选低风险而不在乎收益。

　　在风险不能避免或在从事某项经济活动势必面临某些风险 时，首先想到的是如何控制风险发生、减少风险发生，或 如何减少风险发生后所造成的损失，即为控制风险预防和 抑制风险。 控制风险主要有两方面意思：一是控制风险因素，减少风 险的发生；二是控制风险发生的频率和降低风险损害程度。 要控制风险发生的频率就要进行准确的预测，如对汇率预 测、利率预测、债务人信用评估等。要降低风险损害程度 就要果断地采取有效措施，如在股票投资中采用心理界线 法（也称心理目标法），当股价下跌到一定程度（心理界 线）时就要毫不犹豫地抛出，以防股价进一步下滑而造成 更大的损失。

　　分散风险，主要指经济单位采取多角经营、多方 投资、多方筹资、外汇资产多源化、吸引多方供 应商、争取多方客户以分散风险的方式。  中和风险，主要是指在外汇风险管理中所采用的 决策，如减少外汇头寸、期货套期保值、远期外 汇业务等以中和风险。

　　企业既不能避免风险，又不能完全控制风险。分 散风险、中和风险或减少损失时，只能自己承担 风险所造成的损失。  经济单位承担风险的方式可以分为无计划的单纯 自留或有计划的自己保险。  无计划的单纯自留，主要是指对未预测到的风险 所造成损失的承担方式。有计划的自己保险是指 已预测到的风险所造成损失的承担方式，如提取 坏账准备金等形式。

　　经济单位为了避免自己在承担风险后对其经济活 动的妨害和不利，可以对风险采用各种不同的转 移方式，如进行保险或非保险形式转移。  现代保险制度是转移风险的最理想方式。如单位 进行财产、医疗等方面保险，把风险损失转移给 保险公司。  此外，单位还可以通过合同条款规定，把部分风 险转移给对方。

　　保险企业和大型集团性企业主要采用风险集中的 方法，如保险企业向许多投保单位收取保险金， 虽然每个单位交的数目很小，但加在一起数目就 很大，足以用来应付风险，这就是保险集中的方 法。  由于大型集团企业分支机构多，通过预测，每年 要求各分支机构交少量管理费，由集团公司自己 承担某些风险，而不利用保险。

　　《企业内部控制基本规范》第二十八条 ： 企业应当结合风险评估结果，通过手工控制与 自动控制、预防性控制和发现性控制相结合的方法， 运用相应的控制措施，将风险控制在可承受度之内。 控制措施一般包括：不相容职务分离控制、授 权审批控制、会计系统控制、财产保护控制、预算 控制、运营分析控制和绩效考评控制等

　　会计组织控制 会计机构 会计基础  实物资产控制 防舞弊控制 防盗控制 防损控制  纪律控制 职责分工 内部监控制度

　　组织控制、  人事控制、  业务操作与产品质量 控制、  风险与安全控制、  管理技术控制

　　一般会选择2-3个稍 简单的业务流程作为试 点，  试点和推广之间相隔 的时间一般很短。

　　要选择有代表性的单 位进行试点，  确定出能够满足监管 要求，由无缝嵌入企业 生产经营活动各环节的 控制手段  推广时间需要4-6个 月的 时间

　　要选择各行业有代表 性的单位进行试点，  根据行业特点制定不 同的内部控制标准模板  推广时间依难度和人 员而定，一般在1年左右 时间。

　　在理解标准模板的基础上，对标准的控制活动进行 本地化，即按照标准模板的要求，识别出适用于本 单位的本地化的控制活动；  用统一的格式记录这些本地化的控制活动，形成内 部控制文档；  按照这些本地化的控制活动执行，使这些本地化的 控制活动成为正常生产经营活动的一部分，并确保 这些控制执行有效。

　　组织培训工作，确保推广单位理解相关的知识和要 求  现场指导推广工作，确保识别出的本地化控制活动 满足标准模板的要求；  复核推广单位记录的内部控制文档；  在时间允许的情况下，抽查内部控制的实际执行情 况，若发现缺陷，则提出改进的建议。

　　选取一个单位试点  按照二级子集团推广  在子集团中按照业务类型和管控力度采取不同方式

　　对下属单位管理集中程度较高的，业务管理模式一致的， 采取一次性全面推广的办法，并由子集团公司派员会同 项目组成员对下属各推广单位的推广效果进行检查  对于下属各单位管理差异较大，采取分两批推广的办法， 在第一批推广展开时候，自第二批单位中临时抽调人员 参与推广。

　　通过对风险控制点的实际情况进行有效性检测，以 确定： 1、各业务流程中的控制是否依照公司内部控制的 规定运行； 2、向公司报告测试结果及失效控制点的整改建议， 监督整改落实情况； 3、为公司董事会出具内部控制评价报告提供依据。

　　测试范围 执行人员 测试工具 测试前的培训工作 测试工作底稿提交和审核的时间点 各流程组的工作底稿审核流程 测试工作底稿的统计和归档

　　过程流程图 风险与控制矩阵 风险与控制参考手册 使用内部行业或同行的信息确定基准 计算机辅助审计系统 风险与控制自我评价讨论会 调查问卷 动员会

　　缺陷分类 一般缺陷 错报的可能性 微小 关联性 或 错报的潜在程度 不重要

　　确定受缺陷影响的会计科目和披露事项 判断错报发生的可能性 计算潜在影响金额 检查是否存在补偿性控制活动 确定考虑补偿性控制活动后的潜在影响金额 根据错报发生的可能性和潜在影响金额，判断缺陷 类型 考虑定性因素 重新认定缺陷类型

　　控制缺陷在公司中的普遍性 控制缺陷对公司层面各组成要素的相对重要性 产生错误风险增加的迹象（根据以往错报记录） 舞弊的可能性（包括管理层越权的风险） 控制运行有效性方面已发现的例外情况的原因和频 率 缺陷可能导致的后果。

　　推广工作进度、整改方 案 被测试单位测试结果分 析、测试结果总结与评 价 项目成果总结、内部控 制相关职能落实建议

　　项目领导小组、审计委员会、被测试单位管 理层 被测试单位管理层及项目管理办公室

　　（1）审计报告（必须包括的报告） （2）公司治理报告（一般包括的报告） （3）企业可持续发展报告 （4）风险因素披露报告 （5）企业全面风险管理报告 （6）企业的社会责任报告 （7）环境报告 （8）质量报告 （9）企业内部控制程序与原则 （10）损失事件和损失报告 （11）某些行业特定风险报告

　　内控项目 具体计划 （4) 组建项目 管理办公 室 制定标准模板 技术方案

　　上市公司风险面面观  什么是风险管理框架  实施风险与内控的途径、方法  企业内部控制成效的评价与鉴定  信息化：企业风险与内控解决之道

　　2008年6月28日 财政部、证监会 审计署、银监会 保监会五部委联 合发布。

　　收集评价资料 非现场评价结果汇总分析 制定评价方案 组成评价组 征求上级有关单位对被评价单位的评价意见 发出《风险管理与内部控制评价通知书》

　　企业风险管理报告。主要包括的内容：1、风险管理的基本情况；2、采取的主要措 施和成效；3、风险管理存在的主要问题；4、对以前评价、审计和检查中发现问题 的整改情况；5、评价期发生的案件和责任事故情况，6、进一步加强风险管理的思 路 本单位机构设置情况，包括领导人员及分工、内设部门及职能、风险管理机构体系 构成等 本单位的各项规章制度、业务流程图、自律监管相关文件和有关资料等。

　　内部风险管理部门、审计部门等，对本单位风险管理与内部控制审计、检查形成的 工作底稿和检查（审计）报告等 年度工作计划、评价年度工作总结等 外部监管部门、中介机构（包括监事会、政府审计部门、安全、环保等部门、会计 师事务所等）对本单位的各项检查报告、通报等； 其他： 1 2

　　本部门年初工作计划 本部门年度工作总结 本部门职责 本部门人员分工及岗位职责 本部门工作流程 本部门制定的各项规章制度 本部门办公会议记录和纪要

　　本部门业务工作会议相关文件 本部门自律监管相关资料 本部门风险管理机构、内部审计、纪检监察等部门检查中 涉及本部门的问题及其整改情况 外部监管部门、中介机构（包括政府审计部门、安全、环 保等部门、会计师事务所等）各项检查中涉及本部门的问 题及其整改意见 其他： 1 2

　　健全性测试主要是了解、检查和评价企业各种业务和事项 中的风险是否被识别、关键风险点的定位是否准确，是否 有相应的管理和控制制度、措施。 五种测试方式

　　问卷调查 询问调查 查阅被评价单位各项管理制度和相关文件以及风险管理与内部控制 过程中形成的文件和记录 观察被评价单位业务活动和内部控制的实际运行情况，了解被评价 单位内部控制体系的基本情况(穿行测试） 流程图比较

　　被评价单位 ： 管理与控 评价项目 制缺陷 潜在错弊 补偿性措 施 重要性 备注

　　风险管理与内部控 制制度健全性缺陷 已采取的 补偿性措施 潜在 风险 已发生的风险情况 （典型案件）

　　符合性测试主要检查在实际业务环节活动中企业是否贯彻 风险与内控制度 符合性测试样本数量的确定（与风险与内控发生频率成反 比） 符合性测试的方法

　　缺少风险管理与内部控制的重要业务领域  风险管理与内部控制设置不合理、控制目标不能实 现的领域  风险管理与内部控制没有发挥作用的领域

　　基本情况 企业概况、主要业务 类型和经营范围  问卷调查的基本情况、 企业关键风险点及配套 制度的建设、执行情况  子企业风险管理情况  行业特定风险  风控部门独立性

　　评价结果 企业主要成绩和存在 的主要不足  逐项列示存在的重大 违规事项和重大风险管 理与内部控制缺陷  详细说明各样本测试 单位定性评价结果的整 体分布情况及其对企业 集团整体定性评价结果 的影响

　　评价分析 分析企业集团整体的 风险管理与内部控制水 平  逐项说明重大风险与 内部控制缺陷、分析制 度健全性与合理性  分析缺陷的主要环节、 原因及其影响、提出完 善建议  反馈意见、双方分歧 和各自依据

　　风险管理与案件 和责任事故评价 … 风险管理 监督与改进 企业 内部控制 风险管理信息 交流与反馈 企业风险 管理环境 企业风险 识别与评估

　　风险管理与内部控制充分、适宜、合规、有效；现场评价和非 现场评价均没有发现问题、缺陷。 风险与内控制度措施比较健全、适宜、合规，并得到较好贯彻 执行，但现场评价和非现场评价发现风险与内控存在个别性质 轻微的问题缺陷。 风险与内控制度基本健全、适宜、合规，并得到较好的贯彻执 行，控制效果一般，现场评价和非现场评价发现风险与内控存 在一些明显的问题、缺陷。 风险与内控制度措施不够充分、适宜或不够合规，风险与内控 的制度措施执行不力，控制效果差，现场与非现场评价发现存 在的问题、缺陷较多，风险较大，但未造成严重后果、损失 风险与内控制度措施缺失、不合理或不合规，风险与内控制度 措施没有得到贯彻执行，现场与非现场评价中发现风险与内控 存在普遍性或者性质比较严重、已经造成风险损失的问题缺陷

　　企业风险与 内控体系健全、 规章制度得到有 效执行，管理与 控制效果显著。

　　风险与内控 制度体系比较健 全，虽然存在个 别缺陷，未对业 务安全性和制度 有效性产生很大 影响，风险与内 控制度基本得到 执行，管理与控 制效果较好。

　　企业风险与 60以上70以下 内控体系存在明 显缺陷，但风险 在可控范围内，  企业内部控制 风险与内控规章 制度基本得到执 体系存在较多缺陷 行，管理与控制 。内部控制规章制 效果一般。 度没有得到有效执 行，内部控制效果 较差，业务经营安 全面临较大风险。

　　企业风险与 内控体系不健全， 存在严重漏洞和 缺陷，风险与内 控制度贯彻执行 较差，已发生了 数量较多或性质 比较严重的案件、 责任事故等。

　　2008年6月28日 财政部、证监会 审计署、银监会 保监会五部委联 合发布。

　　制定内部控制鉴证计划 实施内部控制鉴证工作 实施鉴证工作的程序 评估控制缺陷 完成鉴证工作 出具鉴证报告

　　上市公司风险面面观  什么是风险管理框架  实施风险与内控的途径、方法  企业内部控制成果的评价  信息化：企业风险与内控解决之道

　　1、已获利息倍数 2、成本费用利润率 3、股东权益利润率 1、销售增长率IM电竞 IM电竞appIM电竞 IM电竞appIM电竞 IM电竞app