根据2008年5月财政部等五部委发布的《企业内部控制规范――基本规范》和2010年4月发布的《企业内部控制应用指引第1号――组织架构》等18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》（通称为企业内部控制配套指引）等有关规定撰写。既包括内部控制的基本原理，也包括内部控制的具体措施；既阐述了内部控制的应用，也阐述了内部控制的评价和内部控制审计。
7.1.1 内部控制目标
内部控制是由企业董事会、监事会、经理层和全体员工共同实施的、旨在实现控制目标的过程。
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。具体地说，内部控制目标包括：
1．促进遵循国家法律法规
守法和诚信是企业健康发展的基石。逾越法律的短期发展终将付出沉重代价。内部控制要求企业必须将发展置于国家法律法规允许的基本框架之下，在守法的基础上实现自身的发展。
【例1】2004年1月13日，中国万里大造林集团内蒙古万里大造林有限公司吉林省分公司在长春市注册成立。之后，通过吉林省的众多媒体进行了连篇累牍的宣传，发布广告的内容有这样的文字描述：“今天投入29600元（转让价格）＝10亩林地（速生杨100%保成活）＝回报18万元（8年预计产出）”。该公司以托管合作造林高回报零风险为诱饵，通过虚假宣传和培训洗脑不断发展业务人员认购或介绍他人认购“林权”的手段，诱使全国3万多名群众投资所谓速生丰产杨树林，向社会不特定对象变相非法吸收资金，转让林地(林权)43万余亩，涉案金额达13亿元。全国各地公安机关已立案查办有关万里大造林案件40余起，抓获犯罪嫌疑人70余人。万里大造林公司因违法经营被查处，遭到毁灭性打击。
2．促进维护资产安全
资产安全是投资者、债权人和其他利益相关者普遍关注的重大问题，是企业可持续发展的物质基础。良好的内部控制，应当为资产安全提供扎实的制度保障。
3．促进提高信息报告质量
可靠及时的信息报告能够为企业提供准确而完整的信息、支持企业经营管理决策和对营运活动及业绩的监控；同时，保证对外披露的信息报告的真实、完整，有利于提升企业的诚信度和公信力，维护企业良好的声誉和形象。
4．促进提高经营效率和效果
它要求企业结合自身所处的特定的内外部环境，通过建立健全有效的内部控制，不断提高经营活动的盈利能力和管理效率。
5．促进实现发展战略
这是内部控制的终极目标。它要求企业将近期利益与长远利益结合起来，在企业经营管理中努力作出符合战略要求、有利于提升可持续发展能力和创造长久价值的策略选择。
【要点提示】内部控制目标是内部控制的总纲，内部控制的原则、方法、程序都是建立在内部控制目标基础之上。内部控制目标属于重要考点，考生应熟练掌握。
7.1.2 内部控制原则
内部控制原则是企业建立与实施内部控制应当遵循的基本指针。内部控制原则有五项：
1．全面性原则
内部控制应当贯穿决策、执行和监督的全过程，覆盖企业及其所属单位的各种业务和事项，实现全过程、全员性控制，不存在内部控制空白点。
2．重要性原则
内部控制应当在兼顾全面的基础上，关注重要业务事项和高风险领域，并采取更为严格的控制措施，确保不存在重大缺陷。重要性原则的应用需要一定的职业判断，企业应当根据所处行业环境和经营特点，从业务事项的性质和涉及金额两方面来考虑是否及如何实行重点控制。
3．制衡性原则
内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。制衡性原则要求企业完成某项工作必须经过互不隶属的两个或两个以上的岗位和环节；同时，还要求履行内部控制监督职责的机构或人员具有良好的独立性。
4．适应性原则
内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化加以调整。适应性原则要求企业建立与实施内部控制应当具有前瞻性，适时地对内部控制系统进行评估，发现可能存在的问题，并及时采取措施予以补救。
5．成本效益原则
内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。成本效益原则要求企业内部控制建设必须统筹考虑投入成本和产出效益之比。对成本效益原则的判断需要从企业整体利益出发，尽管某些控制会影响工作效率，但可能会避免整个企业面临更大损失，此时仍应实施相应控制。
7.1.3 内部控制要素
内部控制理论的发展经历了内部牵制、内部控制制度、内部控制结构（三要素）、内部控制整体框架（五要素）和企业风险管理整体框架（八要素）五个阶段。财政部等五部委在制定内部控制基本规范过程中，在形式上借鉴了以美国COSO①报
告为代表的内部控制整体框架（五要素框架），同时在内容上体现了风险管理整体框架的实质。之所以采用五要素框架是因为五要素框架相对较成熟、较稳定，包括美国证监会等推荐、参照的框架仍是五要素框架，得到业界公认，为了国际趋同，应该采用五要素框架。内部控制五要素包括：
脚注①：COSO是美国全国反虚假财务报告委员会下属的发起人委员会（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting）的英文缩写。
1985年，由美国注册会计师协会（AICPA）、美国会计协会（AAA）、财务经理人协会（FEI）、内部审计师协会（IIA）、管理会计师协会（IMA）联合创建了反虚假财务报告委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。两年后，基于该委员会的建议，其赞助机构成立COSO（Committee of Sponsoring Organization，COSO）委员会，专门研究内部控制问题。1992年9月，COSO委员会发布《内部控制整体框架》，简称COSO报告。由于COSO报告提出的内部控制理论和体系集内部控制理论和实践发展之大成，成为现代内部控制最具有权威性的框架，因此在业内倍受推崇，在美国及全球得到广泛推广和应用。
1．内部环境
内部环境规定企业的纪律与架构，影响经营管理目标的制定，塑造企业文化氛围并影响员工的控制意识，是企业建立与实施内部控制的基础。内部环境主要包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。具体包括以下内容：
（1）治理结构。企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确董事会、监事会和经理层在决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。
（2）机构设置及权责分配。企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。企业内部机构设置虽然没有统一模式，但所采用的组织结构应当有利于提升管理效能，并保证信息通畅流动。
（3）内部审计机制。企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。
（4）人力资源政策。人力资源政策应当有利于企业可持续发展，一般包括员工的聘用、培训、辞退与辞职；员工的薪酬、考核、晋升与奖惩；关键岗位员工的强制休假制度和定期岗位轮换制度；对掌握国家秘密或重要商业秘密的员工离岗的限制性规定等内容。企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。
（5）企业文化。企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识和法制观念。董事、监事、经理及其他高级管理人员在塑造良好的企业文化中发挥关键作用。
2．风险评估
风险评估是企业及时识别、科学分析经营活动中与实现控制目标相关的风险，合理确定风险应对策略，实施内部控制的重要环节。风险评估主要包括目标设定、风险识别、风险分析和风险应对。
（1）目标设定。风险是指一个潜在事项的发生对目标实现产生影响的可能性。风险与可能被影响的控制目标相关联。企业必须制定与生产、销售、财务等业务相关的目标，设立可辨认、分析和管理相关风险的机制，以了解企业所面临的来自内部和外部的各种不同风险。
（2）风险识别。企业不仅要识别内部风险，还要识别与控制目标相关的各类外部风险。企业识别内部风险，一般关注：董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素；组织机构、经营方式、资产管理、业务流程等管理因素；研究开发、技术投入、信息技术运用等自主创新因素；财务状况、经营成果、现金流量等财务因素；营运安全、员工健康、环境保护等安全环保因素等。企业识别外部风险，一般关注：经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；法律法规、监管要求等法律因素；安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；技术进步、工艺改进等科学技术因素；自然灾害、环境状况等自然环境因素等。
（3）风险分析。在充分识别各种潜在风险因素后，要对固有风险，即不采取任何防范措施可能造成的损失程度进行分析，同时，重点分析剩余风险，即采取了相应应对措施之后仍可能造成的损失程度。企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
（4）风险应对。企业在分析了相关风险的可能性和影响程度后，结合风险承受度，权衡风险与收益，确定风险应对策略。常用的风险应对策略有：风险规避，即改变或回避相关业务，不承担相应风险；风险承受，即比较风险与收益后，愿意无条件承担全部风险；风险降低，即采取一切措施降低发生不利后果的可能性；风险分担，即通过购买保险、外包业务等方式来分担一部分风险。风险应对策略的选择与企业风险偏好密切相关，为此企业应当合理分析、掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。风险应对策略往往需结合运用。
3．控制活动
控制活动是指企业根据风险应对策略，采用相应的控制措施，将风险控制在可承受度之内，是实施内部控制的具体方式。常见的控制措施有：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。
（1）不相容职务分离控制。所谓不相容职务，是指那些如果由一个人担任既可能发生错误和舞弊行为，又可能掩盖其错误和舞弊行为的职务。不相容职务一般包括：授权批准与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办
与稽核检查、授权批准与监督检查等。对于不相容的职务如果不实行相互分离的措施，就容易发生舞弊等行为。不相容职务分离的核心是“内部牵制”，因此，企业在设计内部控制系统时，首先应确定哪些岗位和职务是不相容的；其次要明确规定各个机构和岗位的职责权限，使不相容岗位和职务之间能够相互监督、相互制约，形成有效的制衡机制。
（2）授权审批控制。授权审批是指企业在办理各项经济业务时，必须经过规定程序的授权批准。授权审批形式通常有常规授权和特别授权之分。常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权，用以规范经济业务的权力、条件和有关责任者，其时效性一般较长。特别授权是企业在特殊情况、特定条件下对办理例外的、非常规性交易事项的权力、条件和责任的应急性授权。企业必须建立授权审批体系，编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。对于重大的业务和事项，企业应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或擅自改变集体决策。
（3）会计系统控制。会计作为一个信息系统，对内能够提供经营管理的诸多信息，对外可以向投资者、债权人等提供用于投资等决策的信息。会计系统控制主要是通过对会计主体所发生的各项能用货币计量的经济业务进行记录、归集、分类、编报等而进行的控制。其内容主要包括：①依法设置会计机构，配备会计从业人员，建立会计工作的岗位责任制，对会计人员进行科学合理的分工，使之相互监督和制约；②按照规定取得和填制原始凭证；③设计良好的凭证格式；④对凭证进行连续编号；⑤规定合理的凭证传递程序；⑥明确凭证的装订和保管手续责任；⑦合理设置账户，登记会计账簿，进行复式记账；⑧按照《会计法》和国家统一的会计准则制度的要求编制、报送、保管财务会计报告。
（4）财产保护控制。财产是企业资金、财物及民事权利义务的总和，按是否具有实物形式，分为有形财产（如资金、财物）和无形财产（如著作权、发明权），按民事权利义务，分为积极财产（如金钱、财物及各种权益）和消极财产（如债务）。保障财产安全特别是资产安全，是内部控制的重要目标之一。财产保护控制的措施主要包括：①财产记录和实物保管。关键是要妥善保管涉及资产的各种文件资料，避免记录受损、被盗、被毁。对重要的文件资料，应当留有备份，以便在遭受意外损失或毁坏时重新恢复，这在计算机处理条件下尤为重要。②定期盘点和账实核对。它是指定期对实物资产进行盘点，并将盘点结果与会计记录进行比较。盘点结果与会计记录如不一致，可能说明资产管理上出现错误、浪费、损失或其他不正常现象，应当分析原因、查明责任、完善管理制度。③限制接近。它是指严格限制未经授权的人员对资产的直接接触，只有经过授权批准的人员才能接触该资产。限制接近包括限制对资产本身的接触和通过文件批准方式对资产使用或分配的间接接触。一般情况下，对货币资金、有价证券、贵重物品、存货等变现能力强的资产必须限制无关人员的直接接触。
（5）预算控制。预算是企业未来一定时期内经营、资本、财务等各方面的收入、支出、现金流的总体计划。预算控制的内容涵盖了企业经营活动的全过程，企业通
过预算的编制和检查预算的执行情况，可以比较、分析内部各单位未完成预算的原因，并对未完成预算的不良后果采取改进措施。在实际工作中，预算编制不论采用自上而下或自下而上的方法，其决策权都应落实在内部管理的最高层，由这一权威层次进行决策、指挥和协调。预算确定后由各预算单位组织实施，并辅之以对等的权、责、利关系，由内部审计等部门负责监督预算的执行。分解预算控制的主要环节有：①确定预算的项目、标准和程序；②编制和审定预算；③预算指标的下达和责任人的落实；④预算执行的授权；⑤预算执行过程的监控；⑥预算差异的分析和调整；⑦预算业绩的考核和奖惩。
（6）运营分析控制。运营分析是对企业内部各项业务、各类机构的运行情况进行独立分析或综合分析，进而掌握企业运营的效率和效果，为持续的优化调整奠定基础。运营分析控制要求企业建立运营情况分析制度，综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方面，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
（7）绩效考评控制。绩效考评是对所属单位及个人占有、使用、管理与配置企业经济资源的效果进行的评价。企业董事会及经理层可以根据绩效考评的结果进行有效决策，引导和规范员工行为，促进实现发展战略和提高经营效率效果。绩效考评控制的主要环节有：①确定绩效考评目标，绩效考评目标应当具有针对性和可操作性；②设置考核指标体系，考核指标既要有定量指标，以反映评价客体的各种数量特征，又要有定性指标，以说明各项非数量指标的影响，同时，针对不同的评价指标赋予相应的权重，体现各项评价指标对绩效考评结果的影响程度和重要程度；③选择考核评价标准，评价标准是反映评价指标优劣的具体参照物和对比尺度，企业可以根据评价目标选用不同的评价标准，如历史标准、预算标准、行业标准等；④形成评价结果，根据评价指标和评价标准，对企业全体员工的业绩进行定期考核和客观评价，在此基础上形成评价结论；⑤制定奖惩措施，企业应当将绩效考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗和辞退等的依据。
除上述常见控制措施外，企业还需建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案，明确责任人员、规范处理程序，确保突发事件得到及时妥善处理。
4．信息与沟通
信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通，是实施内部控制的重要条件。信息与沟通的要件主要包括：信息质量、沟通制度、信息系统、反舞弊机制。
（1）信息质量。信息是企业各类业务事项属性的标识，是确保企业经营管理活动顺利开展的基础。企业日常生产经营需要收集各种内部信息和外部信息，并对这些信息进行合理筛选、核对、整合，提高信息的有用性。企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息；还可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
（2）沟通制度。信息的价值必须通过传递和使用才能体现。企业应当建立信息沟通制度，将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。重要信息须及时传递给董事会、监事会和经理层。
（3）信息系统。为提高控制效率，企业可以运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。企业利用信息技术对信息进行集成和共享的同时，还应加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。
（4）反舞弊机制。舞弊是指企业董事、监事、经理、其他高级管理人员、员工或第三方使用欺骗手段获取不当或非法利益的故意行为，它是需要企业重点加以控制的领域之一。企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。反舞弊工作的重点包括：①未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益；②在财务会计报告和信息披露等方面存在虚假记载、误导性陈述或者重大遗漏等；③董事、监事、经理及其他高级管理人员滥用职权；④相关机构或人员串通舞弊。为确保反舞弊工作落到实处，企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应当及时传达至全体员工。
5．内部监督
内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，对于发现的内部控制缺陷，及时加以改进，是实施内部控制的重要保证。内部监督包括日常监督和专项监督。
（1）日常监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查。日常监督的常见方式包括：①在日常生产经营活动中获得能够判断内部控制设计与运行情况的信息；②在与外部有关方面沟通过程中获得有关内部控制设计与运行情况的验证信息；③在与员工沟通过程中获得内部控制是否有效执行的证据；④通过账面记录与实物资产的检查比较对资产的安全性进行持续监督；⑤通过内部审计活动对内部控制有效性进行持续监督。
（2）专项监督。专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或某些方面进行有针对性的监督检查。专项监督的范围和频率根据风险评估结果以及日常监督的有效性等予以确定。专项监督应当与日常监督有机结合，日常监督是专项监督的基础，专项监督是日常监督的补充，如果发现某专项监督需要经常性地进行，企业有必要将其纳入日常监督之中。
日常监督和专项监督情况应当形成书面报告，并在报告中揭示存在的内部控制缺陷。内部监督形成的报告应当有畅通的报告渠道，确保发现的重要问题能及时送
达至治理层和经理层；同时，应当建立内部控制缺陷纠正、改进机制，充分发挥内部监督效力。企业应当在日常监督和专项监督的基础上，定期对内部控制的有效性进行自我评价，出具自我评价报告。内部控制自我评价的方式、范围、程序和频率，除法律法规有特别规定的，一般由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。
内部控制五个要素之间的关系是：内部环境是基础，风险评估是依据，控制活动是手段，信息沟通是载体，内部监督是保证。内部控制五个要素是考试的重点，尤其是控制环境考得最多。
7.1.4 内部控制的组织实施
1．内部控制的组织形式
内部控制建设是一项系统工程，需要企业董事会、监事会、经理层及内部各职能部门共同参与并承担相应的职责。
（1）董事会
董事会对内部控制的建立健全和有效实施负责，定期召开董事会议，商讨内部控制建设中的重大问题并作出决策。内部控制建立与实施对企业组织架构最直接的影响就是加大了董事会及其全体董事的责任，具体包括：科学选择经理层并对其实施有效监督；清晰了解企业内部控制的范围；就企业的最大风险承受度形成一致意见；及时知悉企业最重大的风险以及经理层是否恰当地予以应对。
（2）审计委员会
审计委员会是董事会下设的专业委员会。内部控制建立与实施对审计委员会的人员构成、议事规则、报告机制等均有重要影响，要求审计委员会负责人及其成员必须具备相应的独立性、良好的职业操守和专业胜任能力。审计委员会在内部控制中的职责一般包括：审查企业内部控制的设计；监督内部控制有效实施；领导开展内部控制自我评价；与中介机构就内部控制审计和其他相关事宜进行沟通协调等。
（3）监事会
监事会对董事会建立与实施内部控制进行监督。监事会监督不同于审计委员会对经理层的监督，是一种层次更高、独立性更高的再监督。监事会主席及其成员应当定期参加董事会及其审计委员会召开的涉及内部控制的会议，如对董事会及其审计委员会有关内部控制的决策持有异议，或认为董事会和经理层成员存在舞弊行为，还可提议召开独立的监事会议。
（4）经理层
经理层负责组织领导企业内部控制的日常运行。经理作为企业经营管理活动的最高执行者，在内部控制建设过程中尤其承担着重要责任，包括：贯彻董事会及其审计委员会对内部控制的决策意见；为其他高级管理人员提供内部控制方面的领导和指引；定期与采购、生产、营销、财务、人事等主要职能部门和业务单元的负责人进行会谈，对他们控制风险的措施及效果进行督导和核查等。
（5）内部控制部门
企业建立与实施内部控制，可以根据需要成立专门的内部控制工作团队，以项目组的形式运作；也可以成立内部控制专职机构（或岗位），专门负责内部控制在企业内部各部门间的组织协调和日常性事务工作。内部控制专职机构的职责一般包括：制定内部控制手册并组织落实；确定各职能部门或业务单元对于内部控制的权利和义务；指导内部控制与其他经营计划和管理活动的整合；向董事会及其审计委员会或经理层报告内部控制建设进展情况和存在的问题等。
（6）内部审计部门
内部审计部门在评价内部控制的有效性，以及提出改进建议等方面起着关键作用。企业应当授予内部审计部门适当的权力以确保其独立地履行审计职责；对内部审计部门负责人的任免应当慎重；内部审计部门负责人与董事会或审计委员会应保持畅通沟通；应当赋予内部审计部门追查异常情况的权力和提出处理处罚建议的权力。
（7）财会部门
财会部门在保证与财务报告相关的内部控制有效性方面，发挥着十分重要的作用。企业开展内部控制工作，要求财会部门不能将眼光仅仅局限于财务活动，而应贯穿企业经营管理的全过程，在制定发展战略、分析评估风险和作出决策等环节扮演好关键的助手和参谋角色。为此，企业经理层应当赋予财会部门负责人参与相应决策的权力，并支持和指导其关注经营管理的更广范畴。
（8）其他职能部门
企业内部各职能部门（或业务单位）及其全体员工都应当在建立与实施内部控制过程中承担相应职责并发挥积极作用。如法律部门应当建立法律顾问制度和重大法律纠纷案件备案制度，做好法律宣传和解释工作，确保企业合法经营；人事部门应当建立举报人保护制度，确保投诉举报机制有效运行，并成为企业反舞弊的重要手段，等等。企业可以根据需要在各职能部门（或业务单位）内部设立内部控制岗位，专门负责与本部门相关的内部控制工作，并定期与内部控制职能部门进行沟通。企业经理层应当重视全体员工在内部控制中的作用，为员工反映诉求提供信息通道。
2．内部控制的设计程序
（1）对企业的组织体系、机构设置、营业范围、经营方式、主要业务、营运情况、管理水平、员工情况、财务状况、经营成果以及所处的外部环境等进行全面总结和分析。
（2）按照一定的方法，合理归集、构建适应企业经营管理状况和内部控制要求的相关子系统，包括组织架构、发展战略、人力资源、企业文化、社会责任等内部环境系统；资金活动、采购业务、资产管理、销售业务、研究开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统等业务活动系统。
（3）对各相关子系统进行认真研究和梳理，确定各子系统运行过程中的主要风险、关键环节和关键控制点，并针对每一个关键环节和关键控制点制定有效的控制措施。
（4）用文字、流程图、风险控制文档等多种形式将各相关子系统及其业务和事项的风险类型、控制目标、关键控制点、控制措施、控制频率加以规定和说明，形成与经营管理制度有机结合的内部控制。
运用计算机信息技术手段实施内部控制的企业，在建立健全本企业内部控制时，应当充分考虑手工控制与计算机信息技术控制的特点和差异，但不得因实行计算机信息技术控制而免除或减少必要的控制程序。
3．内部控制的实施体系
内部控制的实施体系由三个层面构成：
（1）以标准建设为推动，即由财政部门同相关政府部门联合研究制定一套科学的、权威的、统一的企业内部控制规范体系，国务院部门和系统在此基础上，根据法律法规和行业监管规则，制定相关政策性文件，明确特定行业、特殊类型企业建立与实施内部控制的具体要求。
（2）以企业实施为主体，企业应当根据有关法律法规和企业内部控制规范体系，制定本企业的内部控制制度并组织实施，同时建立内部控制的自我评价和激励约束机制，将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系。
（3）以政府监管和社会评价为补充，财政、审计、证券、银行、保险等政府监管部门应对企业建立与实施内部控制的情况进行监督检查，会计师事务所应对企业内部控制的有效性进行审计，并出具内部控制审计报告。
7.2.1 组织构架控制
7.2企业层面控制
2010年4月财政部等五部委发布的《企业内部控制应用指引》包括18项应用指引，可以划分为三类，即内部环境类指引、控制活动类指引、控制手段类指引。 企业层面控制根据环境类指引撰写，具体包括《企业内部控制指引第1号――组织架构》、《企业内部控制指引第2号――发展战略》、《企业内部控制指引第3号――人力资源》、《企业内部控制指引第4号――社会责任》、《企业内部控制指引第5号――企业文化》。
企业层面控制，是指对企业控制目标的实现具有重大影响，与内部环境、风险评估、信息与沟通、内部监督直接相关的控制。在此，侧重介绍与内部环境直接相关的有关控制。
7.2.1组织架构控制
组织架构，是指企业按照国家有关法律法规、股东（大）会决议和企业章程，结合本企业实际，明确股东（大）会、董事会、监事会、经理层和企业内部各层级机构设置、职责权限、人员编制、工作程序和相关要求的制度安排。
1．组织架构设计与运行中的主要风险
（1）治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。
【例2】A公司是甲集团公司的子公司，A公司董事长由甲集团公司总经理张某兼任。由于张某身兼数职，异常繁忙，根本无法履行A公司董事长的职责，治理结构形同虚设，使A公司生产经营决策面临巨大的风险。
（2）内部机构设计不科学 ，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮，运行效率低下。
2．组织架构设计环节的关键控制点及控制措施
（1）董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序等应当根据国家有关法律法规的规定予以明确，企业的决策权、执行权和监督权应当相互分离，形成制衡。其中：
①董事会对股东（大）会负责，依法行使企业的经营决策权。可按照股东（大）会的有关决议，设立战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的职责权限、任职资格、议事规则和工作程序，为董事会科学决策提供支持。 ②监事会对股东（大）会负责，监督企业董事、经理和其他高级管理人员依法履行职责。
③经理层对董事会负责，主持企业的生产经营管理工作。经理和其他高级管理人员的职责分工应当明确。
董事会、监事会和经理层的产生程序应当合法合规，其人员构成、知识结构、能力素质应当满足履行职责的要求。
（2）企业的重大决策、重大事项、重要人事任免及大额资金支付业务等，应当按照规定的权限和程序实行集体决策审批或者联签制度。任何个人不得单独进行决策或者擅自改变集体决策意见。（三重一大）
（3）企业应当按照科学、精简、高效、透明、制衡的原则，综合考虑企业性质、发展战略、文化理念和管理要求等因素，合理设置内部职能机构，明确各机构的职责权限，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的工作机制。
（4）企业应当按照不相容职务相互分离的要求，对各机构的职能进行科学合理的分解，确定具体岗位的名称、职责和工作要求等，明确各个岗位的权限和相互关系。
组织架构中的不相容职务通常包括：可行性研究与决策审批；决策审批与执行；执行与监督检查等。
（5）企业应当制定组织结构图、业务流程图、岗（职）位说明书和权限指引等内部管理制度或相关文件，使员工了解和掌握组织架构设计及权责分配情况，正确履行职责。
3．组织架构运行环节的关键控制点及控制措施
（1）企业应当根据组织架构的设计规范，对现有治理结构和内部机构设置进行全面梳理，确保本企业治理结构、内部机构设置和运行机制等符合现代企业制度要求。
①在梳理治理结构的过程中，应当重点关注董事、监事、经理及其他高级管理人员的任职资格和履职情况，以及董事会、监事会和经理层的运行效果。治理结构存在问题的，应当采取有效措施加以改进。
②在梳理内部机构设置过程中，应当重点关注内部机构设置的合理性和运行的高效性等。内部机构设置和运行中存在职能交叉、缺失或运行效率低下的，应当及时解决。
（2）企业拥有子公司的，应当建立科学的投资管控制度，通过合法有效的形式履行出资人职责、维护出资人权益，重点关注子公司特别是异地、境外子公司的发展战略、年度财务预决算、重大投融资、重大担保、大额资金使用、主要资产处置、重要人事任免、内部控制体系建设等重要事项。
（3）企业应当定期对组织架构设计与运行的效率和效果进行全面评估，发现组织架构设计与运行中存在缺陷的，及时优化调整。组织架构调整应当充分听取董事、监事、高级管理人员和其他员工的意见，按照规定的权限和程序进行决策审批。
7.2.2 发展战略控制
发展战略，是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的长远发展目标与战略规划。
1．发展战略制定与实施中的主要风险
（1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力。
（2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。
（3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。
2．发展战略制定环节的关键控制点及控制措施
（1）企业应当在充分调查研究、科学分析预测和广泛征求意见的基础上，综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素，制定发展目标。
（2）企业应当根据发展目标制定战略规划，明确企业发展的阶段性和发展程度，确定每个发展阶段的具体目标、工作任务和实施路径。
（3）企业可以在董事会下设立战略委员会，或指定相关机构负责发展战略规划管理工作，履行相应职责。企业发展战略委员会对发展目标和战略规划进行可行性研究和科学论证，形成发展战略建议方案。
（4）董事会应当严格审议战略委员会提交的发展战略方案，重点关注其全局性、长期性和可行性。董事会在审议方案中如果发现重大问题，应当责成战略委员会对
方案作出调整。企业的发展战略方案经董事会审议通过后，报经股东（大）会批准实施。
3．发展战略实施环节的关键控制点及控制措施
（1）企业应当根据战略规划，制定年度工作计划，编制全面预算，将年度目标分解、落实；同时完善发展战略管理制度，确保发展战略有效实施。
（2）企业应当采取组织结构调整、人员调配、财务安排、薪酬分配、信息沟通、管理和技术变革等配套保障措施，确保发展战略的有效实施。
（3）企业应当重视发展战略的宣传工作，通过内部各层级会议和教育培训等有效方式，将发展战略及其分解落实情况传递到内部各管理层级和全体员工。
（4）企业应当加强对发展战略实施情况的监控和评估，定期收集和分析相关信息，对于明显偏离发展战略的情况，应当及时进行内部报告；由于经济形势、产业政策、技术进步、行业状况以及不可抗力等因素发生重大变化，确需对发展战略作出调整的，应当按照规定程序调整发展战略。
根据2008年5月财政部等五部委发布的《企业内部控制规范――基本规范》和2010年4月发布的《企业内部控制应用指引第1号――组织架构》等18项应用指引、《企业内部控制评价指引》和《企业内部控制审计指引》（通称为企业内部控制配套指引）等有关规定撰写。既包括内部控制的基本原理，也包括内部控制的具体措施；既阐述了内部控制的应用，也阐述了内部控制的评价和内部控制审计。
7.1.1 内部控制目标
内部控制是由企业董事会、监事会、经理层和全体员工共同实施的、旨在实现控制目标的过程。
内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。具体地说，内部控制目标包括：
1．促进遵循国家法律法规
守法和诚信是企业健康发展的基石。逾越法律的短期发展终将付出沉重代价。内部控制要求企业必须将发展置于国家法律法规允许的基本框架之下，在守法的基础上实现自身的发展。
【例1】2004年1月13日，中国万里大造林集团内蒙古万里大造林有限公司吉林省分公司在长春市注册成立。之后，通过吉林省的众多媒体进行了连篇累牍的宣传，发布广告的内容有这样的文字描述：“今天投入29600元（转让价格）＝10亩林地（速生杨100%保成活）＝回报18万元（8年预计产出）”。该公司以托管合作造林高回报零风险为诱饵，通过虚假宣传和培训洗脑不断发展业务人员认购或介绍他人认购“林权”的手段，诱使全国3万多名群众投资所谓速生丰产杨树林，向社会不特定对象变相非法吸收资金，转让林地(林权)43万余亩，涉案金额达13亿元。全国各地公安机关已立案查办有关万里大造林案件40余起，抓获犯罪嫌疑人70余人。万里大造林公司因违法经营被查处，遭到毁灭性打击。
2．促进维护资产安全
资产安全是投资者、债权人和其他利益相关者普遍关注的重大问题，是企业可持续发展的物质基础。良好的内部控制，应当为资产安全提供扎实的制度保障。
3．促进提高信息报告质量
可靠及时的信息报告能够为企业提供准确而完整的信息、支持企业经营管理决策和对营运活动及业绩的监控；同时，保证对外披露的信息报告的真实、完整，有利于提升企业的诚信度和公信力，维护企业良好的声誉和形象。
4．促进提高经营效率和效果
它要求企业结合自身所处的特定的内外部环境，通过建立健全有效的内部控制，不断提高经营活动的盈利能力和管理效率。
5．促进实现发展战略
这是内部控制的终极目标。它要求企业将近期利益与长远利益结合起来，在企业经营管理中努力作出符合战略要求、有利于提升可持续发展能力和创造长久价值的策略选择。
【要点提示】内部控制目标是内部控制的总纲，内部控制的原则、方法、程序都是建立在内部控制目标基础之上。内部控制目标属于重要考点，考生应熟练掌握。
7.1.2 内部控制原则
内部控制原则是企业建立与实施内部控制应当遵循的基本指针。内部控制原则有五项：
1．全面性原则
内部控制应当贯穿决策、执行和监督的全过程，覆盖企业及其所属单位的各种业务和事项，实现全过程、全员性控制，不存在内部控制空白点。
2．重要性原则
内部控制应当在兼顾全面的基础上，关注重要业务事项和高风险领域，并采取更为严格的控制措施，确保不存在重大缺陷。重要性原则的应用需要一定的职业判断，企业应当根据所处行业环境和经营特点，从业务事项的性质和涉及金额两方面来考虑是否及如何实行重点控制。
3．制衡性原则
内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。制衡性原则要求企业完成某项工作必须经过互不隶属的两个或两个以上的岗位和环节；同时，还要求履行内部控制监督职责的机构或人员具有良好的独立性。
4．适应性原则
内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化加以调整。适应性原则要求企业建立与实施内部控制应当具有前瞻性，适时地对内部控制系统进行评估，发现可能存在的问题，并及时采取措施予以补救。
5．成本效益原则
内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。成本效益原则要求企业内部控制建设必须统筹考虑投入成本和产出效益之比。对成本效益原则的判断需要从企业整体利益出发，尽管某些控制会影响工作效率，但可能会避免整个企业面临更大损失，此时仍应实施相应控制。
7.1.3 内部控制要素
内部控制理论的发展经历了内部牵制、内部控制制度、内部控制结构（三要素）、内部控制整体框架（五要素）和企业风险管理整体框架（八要素）五个阶段。财政部等五部委在制定内部控制基本规范过程中，在形式上借鉴了以美国COSO①报
告为代表的内部控制整体框架（五要素框架），同时在内容上体现了风险管理整体框架的实质。之所以采用五要素框架是因为五要素框架相对较成熟、较稳定，包括美国证监会等推荐、参照的框架仍是五要素框架，得到业界公认，为了国际趋同，应该采用五要素框架。内部控制五要素包括：
脚注①：COSO是美国全国反虚假财务报告委员会下属的发起人委员会（The Committee of Sponsoring Organizations of The National Commission of Fraudulent Financial Reporting）的英文缩写。
1985年，由美国注册会计师协会（AICPA）、美国会计协会（AAA）、财务经理人协会（FEI）、内部审计师协会（IIA）、管理会计师协会（IMA）联合创建了反虚假财务报告委员会，旨在探讨财务报告中的舞弊产生的原因，并寻找解决之道。两年后，基于该委员会的建议，其赞助机构成立COSO（Committee of Sponsoring Organization，COSO）委员会，专门研究内部控制问题。1992年9月，COSO委员会发布《内部控制整体框架》，简称COSO报告。由于COSO报告提出的内部控制理论和体系集内部控制理论和实践发展之大成，成为现代内部控制最具有权威性的框架，因此在业内倍受推崇，在美国及全球得到广泛推广和应用。
1．内部环境
内部环境规定企业的纪律与架构，影响经营管理目标的制定，塑造企业文化氛围并影响员工的控制意识，是企业建立与实施内部控制的基础。内部环境主要包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。具体包括以下内容：
（1）治理结构。企业应当根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确董事会、监事会和经理层在决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。
（2）机构设置及权责分配。企业应当结合业务特点和内部控制要求设置内部机构，明确职责权限，将权利与责任落实到各责任单位。企业内部机构设置虽然没有统一模式，但所采用的组织结构应当有利于提升管理效能，并保证信息通畅流动。
（3）内部审计机制。企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。
（4）人力资源政策。人力资源政策应当有利于企业可持续发展，一般包括员工的聘用、培训、辞退与辞职；员工的薪酬、考核、晋升与奖惩；关键岗位员工的强制休假制度和定期岗位轮换制度；对掌握国家秘密或重要商业秘密的员工离岗的限制性规定等内容。企业应当将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。
（5）企业文化。企业应当加强文化建设，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，树立现代管理理念，强化风险意识和法制观念。董事、监事、经理及其他高级管理人员在塑造良好的企业文化中发挥关键作用。
2．风险评估
风险评估是企业及时识别、科学分析经营活动中与实现控制目标相关的风险，合理确定风险应对策略，实施内部控制的重要环节。风险评估主要包括目标设定、风险识别、风险分析和风险应对。
（1）目标设定。风险是指一个潜在事项的发生对目标实现产生影响的可能性。风险与可能被影响的控制目标相关联。企业必须制定与生产、销售、财务等业务相关的目标，设立可辨认、分析和管理相关风险的机制，以了解企业所面临的来自内部和外部的各种不同风险。
（2）风险识别。企业不仅要识别内部风险，还要识别与控制目标相关的各类外部风险。企业识别内部风险，一般关注：董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素；组织机构、经营方式、资产管理、业务流程等管理因素；研究开发、技术投入、信息技术运用等自主创新因素；财务状况、经营成果、现金流量等财务因素；营运安全、员工健康、环境保护等安全环保因素等。企业识别外部风险，一般关注：经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；法律法规、监管要求等法律因素；安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；技术进步、工艺改进等科学技术因素；自然灾害、环境状况等自然环境因素等。
（3）风险分析。在充分识别各种潜在风险因素后，要对固有风险，即不采取任何防范措施可能造成的损失程度进行分析，同时，重点分析剩余风险，即采取了相应应对措施之后仍可能造成的损失程度。企业应当采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
（4）风险应对。企业在分析了相关风险的可能性和影响程度后，结合风险承受度，权衡风险与收益，确定风险应对策略。常用的风险应对策略有：风险规避，即改变或回避相关业务，不承担相应风险；风险承受，即比较风险与收益后，愿意无条件承担全部风险；风险降低，即采取一切措施降低发生不利后果的可能性；风险分担，即通过购买保险、外包业务等方式来分担一部分风险。风险应对策略的选择与企业风险偏好密切相关，为此企业应当合理分析、掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。风险应对策略往往需结合运用。
3．控制活动
控制活动是指企业根据风险应对策略，采用相应的控制措施，将风险控制在可承受度之内，是实施内部控制的具体方式。常见的控制措施有：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。企业应当根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。
（1）不相容职务分离控制。所谓不相容职务，是指那些如果由一个人担任既可能发生错误和舞弊行为，又可能掩盖其错误和舞弊行为的职务。不相容职务一般包括：授权批准与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办
与稽核检查、授权批准与监督检查等。对于不相容的职务如果不实行相互分离的措施，就容易发生舞弊等行为。不相容职务分离的核心是“内部牵制”，因此，企业在设计内部控制系统时，首先应确定哪些岗位和职务是不相容的；其次要明确规定各个机构和岗位的职责权限，使不相容岗位和职务之间能够相互监督、相互制约，形成有效的制衡机制。
（2）授权审批控制。授权审批是指企业在办理各项经济业务时，必须经过规定程序的授权批准。授权审批形式通常有常规授权和特别授权之分。常规授权是指企业在日常经营管理活动中按照既定的职责和程序进行的授权，用以规范经济业务的权力、条件和有关责任者，其时效性一般较长。特别授权是企业在特殊情况、特定条件下对办理例外的、非常规性交易事项的权力、条件和责任的应急性授权。企业必须建立授权审批体系，编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。对于重大的业务和事项，企业应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或擅自改变集体决策。
（3）会计系统控制。会计作为一个信息系统，对内能够提供经营管理的诸多信息，对外可以向投资者、债权人等提供用于投资等决策的信息。会计系统控制主要是通过对会计主体所发生的各项能用货币计量的经济业务进行记录、归集、分类、编报等而进行的控制。其内容主要包括：①依法设置会计机构，配备会计从业人员，建立会计工作的岗位责任制，对会计人员进行科学合理的分工，使之相互监督和制约；②按照规定取得和填制原始凭证；③设计良好的凭证格式；④对凭证进行连续编号；⑤规定合理的凭证传递程序；⑥明确凭证的装订和保管手续责任；⑦合理设置账户，登记会计账簿，进行复式记账；⑧按照《会计法》和国家统一的会计准则制度的要求编制、报送、保管财务会计报告。
（4）财产保护控制。财产是企业资金、财物及民事权利义务的总和，按是否具有实物形式，分为有形财产（如资金、财物）和无形财产（如著作权、发明权），按民事权利义务，分为积极财产（如金钱、财物及各种权益）和消极财产（如债务）。保障财产安全特别是资产安全，是内部控制的重要目标之一。财产保护控制的措施主要包括：①财产记录和实物保管。关键是要妥善保管涉及资产的各种文件资料，避免记录受损、被盗、被毁。对重要的文件资料，应当留有备份，以便在遭受意外损失或毁坏时重新恢复，这在计算机处理条件下尤为重要。②定期盘点和账实核对。它是指定期对实物资产进行盘点，并将盘点结果与会计记录进行比较。盘点结果与会计记录如不一致，可能说明资产管理上出现错误、浪费、损失或其他不正常现象，应当分析原因、查明责任、完善管理制度。③限制接近。它是指严格限制未经授权的人员对资产的直接接触，只有经过授权批准的人员才能接触该资产。限制接近包括限制对资产本身的接触和通过文件批准方式对资产使用或分配的间接接触。一般情况下，对货币资金、有价证券、贵重物品、存货等变现能力强的资产必须限制无关人员的直接接触。
（5）预算控制。预算是企业未来一定时期内经营、资本、财务等各方面的收入、支出、现金流的总体计划。预算控制的内容涵盖了企业经营活动的全过程，企业通
过预算的编制和检查预算的执行情况，可以比较、分析内部各单位未完成预算的原因，并对未完成预算的不良后果采取改进措施。在实际工作中，预算编制不论采用自上而下或自下而上的方法，其决策权都应落实在内部管理的最高层，由这一权威层次进行决策、指挥和协调。预算确定后由各预算单位组织实施，并辅之以对等的权、责、利关系，由内部审计等部门负责监督预算的执行。分解预算控制的主要环节有：①确定预算的项目、标准和程序；②编制和审定预算；③预算指标的下达和责任人的落实；④预算执行的授权；⑤预算执行过程的监控；⑥预算差异的分析和调整；⑦预算业绩的考核和奖惩。
（6）运营分析控制。运营分析是对企业内部各项业务、各类机构的运行情况进行独立分析或综合分析，进而掌握企业运营的效率和效果，为持续的优化调整奠定基础。运营分析控制要求企业建立运营情况分析制度，综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方面，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
（7）绩效考评控制。绩效考评是对所属单位及个人占有、使用、管理与配置企业经济资源的效果进行的评价。企业董事会及经理层可以根据绩效考评的结果进行有效决策，引导和规范员工行为，促进实现发展战略和提高经营效率效果。绩效考评控制的主要环节有：①确定绩效考评目标，绩效考评目标应当具有针对性和可操作性；②设置考核指标体系，考核指标既要有定量指标，以反映评价客体的各种数量特征，又要有定性指标，以说明各项非数量指标的影响，同时，针对不同的评价指标赋予相应的权重，体现各项评价指标对绩效考评结果的影响程度和重要程度；③选择考核评价标准，评价标准是反映评价指标优劣的具体参照物和对比尺度，企业可以根据评价目标选用不同的评价标准，如历史标准、预算标准、行业标准等；④形成评价结果，根据评价指标和评价标准，对企业全体员工的业绩进行定期考核和客观评价，在此基础上形成评价结论；⑤制定奖惩措施，企业应当将绩效考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗和辞退等的依据。
除上述常见控制措施外，企业还需建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案，明确责任人员、规范处理程序，确保突发事件得到及时妥善处理。
4．信息与沟通
信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通，是实施内部控制的重要条件。信息与沟通的要件主要包括：信息质量、沟通制度、信息系统、反舞弊机制。
（1）信息质量。信息是企业各类业务事项属性的标识，是确保企业经营管理活动顺利开展的基础。企业日常生产经营需要收集各种内部信息和外部信息，并对这些信息进行合理筛选、核对、整合，提高信息的有用性。企业可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息；还可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
（2）沟通制度。信息的价值必须通过传递和使用才能体现。企业应当建立信息沟通制度，将内部控制相关信息在企业内部各管理级次、责任单位、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈。重要信息须及时传递给董事会、监事会和经理层。
（3）信息系统。为提高控制效率，企业可以运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。企业利用信息技术对信息进行集成和共享的同时，还应加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。
（4）反舞弊机制。舞弊是指企业董事、监事、经理、其他高级管理人员、员工或第三方使用欺骗手段获取不当或非法利益的故意行为，它是需要企业重点加以控制的领域之一。企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。反舞弊工作的重点包括：①未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益；②在财务会计报告和信息披露等方面存在虚假记载、误导性陈述或者重大遗漏等；③董事、监事、经理及其他高级管理人员滥用职权；④相关机构或人员串通舞弊。为确保反舞弊工作落到实处，企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应当及时传达至全体员工。
5．内部监督
内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，对于发现的内部控制缺陷，及时加以改进，是实施内部控制的重要保证。内部监督包括日常监督和专项监督。
（1）日常监督。日常监督是指企业对建立与实施内部控制的情况进行常规、持续的监督检查。日常监督的常见方式包括：①在日常生产经营活动中获得能够判断内部控制设计与运行情况的信息；②在与外部有关方面沟通过程中获得有关内部控制设计与运行情况的验证信息；③在与员工沟通过程中获得内部控制是否有效执行的证据；④通过账面记录与实物资产的检查比较对资产的安全性进行持续监督；⑤通过内部审计活动对内部控制有效性进行持续监督。
（2）专项监督。专项监督是指在企业发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的某一或某些方面进行有针对性的监督检查。专项监督的范围和频率根据风险评估结果以及日常监督的有效性等予以确定。专项监督应当与日常监督有机结合，日常监督是专项监督的基础，专项监督是日常监督的补充，如果发现某专项监督需要经常性地进行，企业有必要将其纳入日常监督之中。
日常监督和专项监督情况应当形成书面报告，并在报告中揭示存在的内部控制缺陷。内部监督形成的报告应当有畅通的报告渠道，确保发现的重要问题能及时送
达至治理层和经理层；同时，应当建立内部控制缺陷纠正、改进机制，充分发挥内部监督效力。企业应当在日常监督和专项监督的基础上，定期对内部控制的有效性进行自我评价，出具自我评价报告。内部控制自我评价的方式、范围、程序和频率，除法律法规有特别规定的，一般由企业根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等自行确定。
内部控制五个要素之间的关系是：内部环境是基础，风险评估是依据，控制活动是手段，信息沟通是载体，内部监督是保证。内部控制五个要素是考试的重点，尤其是控制环境考得最多。
7.1.4 内部控制的组织实施
1．内部控制的组织形式
内部控制建设是一项系统工程，需要企业董事会、监事会、经理层及内部各职能部门共同参与并承担相应的职责。
（1）董事会
董事会对内部控制的建立健全和有效实施负责，定期召开董事会议，商讨内部控制建设中的重大问题并作出决策。内部控制建立与实施对企业组织架构最直接的影响就是加大了董事会及其全体董事的责任，具体包括：科学选择经理层并对其实施有效监督；清晰了解企业内部控制的范围；就企业的最大风险承受度形成一致意见；及时知悉企业最重大的风险以及经理层是否恰当地予以应对。
（2）审计委员会
审计委员会是董事会下设的专业委员会。内部控制建立与实施对审计委员会的人员构成、议事规则、报告机制等均有重要影响，要求审计委员会负责人及其成员必须具备相应的独立性、良好的职业操守和专业胜任能力。审计委员会在内部控制中的职责一般包括：审查企业内部控制的设计；监督内部控制有效实施；领导开展内部控制自我评价；与中介机构就内部控制审计和其他相关事宜进行沟通协调等。
（3）监事会
监事会对董事会建立与实施内部控制进行监督。监事会监督不同于审计委员会对经理层的监督，是一种层次更高、独立性更高的再监督。监事会主席及其成员应当定期参加董事会及其审计委员会召开的涉及内部控制的会议，如对董事会及其审计委员会有关内部控制的决策持有异议，或认为董事会和经理层成员存在舞弊行为，还可提议召开独立的监事会议。
（4）经理层
经理层负责组织领导企业内部控制的日常运行。经理作为企业经营管理活动的最高执行者，在内部控制建设过程中尤其承担着重要责任，包括：贯彻董事会及其审计委员会对内部控制的决策意见；为其他高级管理人员提供内部控制方面的领导和指引；定期与采购、生产、营销、财务、人事等主要职能部门和业务单元的负责人进行会谈，对他们控制风险的措施及效果进行督导和核查等。
（5）内部控制部门
企业建立与实施内部控制，可以根据需要成立专门的内部控制工作团队，以项目组的形式运作；也可以成立内部控制专职机构（或岗位），专门负责内部控制在企业内部各部门间的组织协调和日常性事务工作。内部控制专职机构的职责一般包括：制定内部控制手册并组织落实；确定各职能部门或业务单元对于内部控制的权利和义务；指导内部控制与其他经营计划和管理活动的整合；向董事会及其审计委员会或经理层报告内部控制建设进展情况和存在的问题等。
（6）内部审计部门
内部审计部门在评价内部控制的有效性，以及提出改进建议等方面起着关键作用。企业应当授予内部审计部门适当的权力以确保其独立地履行审计职责；对内部审计部门负责人的任免应当慎重；内部审计部门负责人与董事会或审计委员会应保持畅通沟通；应当赋予内部审计部门追查异常情况的权力和提出处理处罚建议的权力。
（7）财会部门
财会部门在保证与财务报告相关的内部控制有效性方面，发挥着十分重要的作用。企业开展内部控制工作，要求财会部门不能将眼光仅仅局限于财务活动，而应贯穿企业经营管理的全过程，在制定发展战略、分析评估风险和作出决策等环节扮演好关键的助手和参谋角色。为此，企业经理层应当赋予财会部门负责人参与相应决策的权力，并支持和指导其关注经营管理的更广范畴。
（8）其他职能部门
企业内部各职能部门（或业务单位）及其全体员工都应当在建立与实施内部控制过程中承担相应职责并发挥积极作用。如法律部门应当建立法律顾问制度和重大法律纠纷案件备案制度，做好法律宣传和解释工作，确保企业合法经营；人事部门应当建立举报人保护制度，确保投诉举报机制有效运行，并成为企业反舞弊的重要手段，等等。企业可以根据需要在各职能部门（或业务单位）内部设立内部控制岗位，专门负责与本部门相关的内部控制工作，并定期与内部控制职能部门进行沟通。企业经理层应当重视全体员工在内部控制中的作用，为员工反映诉求提供信息通道。
2．内部控制的设计程序
（1）对企业的组织体系、机构设置、营业范围、经营方式、主要业务、营运情况、管理水平、员工情况、财务状况、经营成果以及所处的外部环境等进行全面总结和分析。
（2）按照一定的方法，合理归集、构建适应企业经营管理状况和内部控制要求的相关子系统，包括组织架构、发展战略、人力资源、企业文化、社会责任等内部环境系统；资金活动、采购业务、资产管理、销售业务、研究开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统等业务活动系统。
（3）对各相关子系统进行认真研究和梳理，确定各子系统运行过程中的主要风险、关键环节和关键控制点，并针对每一个关键环节和关键控制点制定有效的控制措施。
（4）用文字、流程图、风险控制文档等多种形式将各相关子系统及其业务和事项的风险类型、控制目标、关键控制点、控制措施、控制频率加以规定和说明，形成与经营管理制度有机结合的内部控制。
运用计算机信息技术手段实施内部控制的企业，在建立健全本企业内部控制时，应当充分考虑手工控制与计算机信息技术控制的特点和差异，但不得因实行计算机信息技术控制而免除或减少必要的控制程序。
3．内部控制的实施体系
内部控制的实施体系由三个层面构成：
（1）以标准建设为推动，即由财政部门同相关政府部门联合研究制定一套科学的、权威的、统一的企业内部控制规范体系，国务院部门和系统在此基础上，根据法律法规和行业监管规则，制定相关政策性文件，明确特定行业、特殊类型企业建立与实施内部控制的具体要求。
（2）以企业实施为主体，企业应当根据有关法律法规和企业内部控制规范体系，制定本企业的内部控制制度并组织实施，同时建立内部控制的自我评价和激励约束机制，将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系。
（3）以政府监管和社会评价为补充，财政、审计、证券、银行、保险等政府监管部门应对企业建立与实施内部控制的情况进行监督检查，会计师事务所应对企业内部控制的有效性进行审计，并出具内部控制审计报告。
7.2.1 组织构架控制
7.2企业层面控制
2010年4月财政部等五部委发布的《企业内部控制应用指引》包括18项应用指引，可以划分为三类，即内部环境类指引、控制活动类指引、控制手段类指引。 企业层面控制根据环境类指引撰写，具体包括《企业内部控制指引第1号――组织架构》、《企业内部控制指引第2号――发展战略》、《企业内部控制指引第3号――人力资源》、《企业内部控制指引第4号――社会责任》、《企业内部控制指引第5号――企业文化》。
企业层面控制，是指对企业控制目标的实现具有重大影响，与内部环境、风险评估、信息与沟通、内部监督直接相关的控制。在此，侧重介绍与内部环境直接相关的有关控制。
7.2.1组织架构控制
组织架构，是指企业按照国家有关法律法规、股东（大）会决议和企业章程，结合本企业实际，明确股东（大）会、董事会、监事会、经理层和企业内部各层级机构设置、职责权限、人员编制、工作程序和相关要求的制度安排。
1．组织架构设计与运行中的主要风险
（1）治理结构形同虚设，缺乏科学决策、良性运行机制和执行力，可能导致企业经营失败，难以实现发展战略。
【例2】A公司是甲集团公司的子公司，A公司董事长由甲集团公司总经理张某兼任。由于张某身兼数职，异常繁忙，根本无法履行A公司董事长的职责，治理结构形同虚设，使A公司生产经营决策面临巨大的风险。
（2）内部机构设计不科学 ，权责分配不合理，可能导致机构重叠、职能交叉或缺失、推诿扯皮，运行效率低下。
2．组织架构设计环节的关键控制点及控制措施
（1）董事会、监事会和经理层的职责权限、任职条件、议事规则和工作程序等应当根据国家有关法律法规的规定予以明确，企业的决策权、执行权和监督权应当相互分离，形成制衡。其中：
①董事会对股东（大）会负责，依法行使企业的经营决策权。可按照股东（大）会的有关决议，设立战略、审计、提名、薪酬与考核等专门委员会，明确各专门委员会的职责权限、任职资格、议事规则和工作程序，为董事会科学决策提供支持。 ②监事会对股东（大）会负责，监督企业董事、经理和其他高级管理人员依法履行职责。
③经理层对董事会负责，主持企业的生产经营管理工作。经理和其他高级管理人员的职责分工应当明确。
董事会、监事会和经理层的产生程序应当合法合规，其人员构成、知识结构、能力素质应当满足履行职责的要求。
（2）企业的重大决策、重大事项、重要人事任免及大额资金支付业务等，应当按照规定的权限和程序实行集体决策审批或者联签制度。任何个人不得单独进行决策或者擅自改变集体决策意见。（三重一大）
（3）企业应当按照科学、精简、高效、透明、制衡的原则，综合考虑企业性质、发展战略、文化理念和管理要求等因素，合理设置内部职能机构，明确各机构的职责权限，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的工作机制。
（4）企业应当按照不相容职务相互分离的要求，对各机构的职能进行科学合理的分解，确定具体岗位的名称、职责和工作要求等，明确各个岗位的权限和相互关系。
组织架构中的不相容职务通常包括：可行性研究与决策审批；决策审批与执行；执行与监督检查等。
（5）企业应当制定组织结构图、业务流程图、岗（职）位说明书和权限指引等内部管理制度或相关文件，使员工了解和掌握组织架构设计及权责分配情况，正确履行职责。
3．组织架构运行环节的关键控制点及控制措施
（1）企业应当根据组织架构的设计规范，对现有治理结构和内部机构设置进行全面梳理，确保本企业治理结构、内部机构设置和运行机制等符合现代企业制度要求。
①在梳理治理结构的过程中，应当重点关注董事、监事、经理及其他高级管理人员的任职资格和履职情况，以及董事会、监事会和经理层的运行效果。治理结构存在问题的，应当采取有效措施加以改进。
②在梳理内部机构设置过程中，应当重点关注内部机构设置的合理性和运行的高效性等。内部机构设置和运行中存在职能交叉、缺失或运行效率低下的，应当及时解决。
（2）企业拥有子公司的，应当建立科学的投资管控制度，通过合法有效的形式履行出资人职责、维护出资人权益，重点关注子公司特别是异地、境外子公司的发展战略、年度财务预决算、重大投融资、重大担保、大额资金使用、主要资产处置、重要人事任免、内部控制体系建设等重要事项。
（3）企业应当定期对组织架构设计与运行的效率和效果进行全面评估，发现组织架构设计与运行中存在缺陷的，及时优化调整。组织架构调整应当充分听取董事、监事、高级管理人员和其他员工的意见，按照规定的权限和程序进行决策审批。
7.2.2 发展战略控制
发展战略，是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的长远发展目标与战略规划。
1．发展战略制定与实施中的主要风险
（1）缺乏明确的发展战略或发展战略实施不到位，可能导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力。
（2）发展战略过于激进，脱离企业实际能力或偏离主业，可能导致企业过度扩张，甚至经营失败。
（3）发展战略因主观原因频繁变动，可能导致资源浪费，甚至危及企业的生存和持续发展。
2．发展战略制定环节的关键控制点及控制措施
（1）企业应当在充分调查研究、科学分析预测和广泛征求意见的基础上，综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素，制定发展目标。
（2）企业应当根据发展目标制定战略规划，明确企业发展的阶段性和发展程度，确定每个发展阶段的具体目标、工作任务和实施路径。
（3）企业可以在董事会下设立战略委员会，或指定相关机构负责发展战略规划管理工作，履行相应职责。企业发展战略委员会对发展目标和战略规划进行可行性研究和科学论证，形成发展战略建议方案。
（4）董事会应当严格审议战略委员会提交的发展战略方案，重点关注其全局性、长期性和可行性。董事会在审议方案中如果发现重大问题，应当责成战略委员会对
方案作出调整。企业的发展战略方案经董事会审议通过后，报经股东（大）会批准实施。
3．发展战略实施环节的关键控制点及控制措施
（1）企业应当根据战略规划，制定年度工作计划，编制全面预算，将年度目标分解、落实；同时完善发展战略管理制度，确保发展战略有效实施。
（2）企业应当采取组织结构调整、人员调配、财务安排、薪酬分配、信息沟通、管理和技术变革等配套保障措施，确保发展战略的有效实施。
（3）企业应当重视发展战略的宣传工作，通过内部各层级会议和教育培训等有效方式，将发展战略及其分解落实情况传递到内部各管理层级和全体员工。
（4）企业应当加强对发展战略实施情况的监控和评估，定期收集和分析相关信息，对于明显偏离发展战略的情况，应当及时进行内部报告；由于经济形势、产业政策、技术进步、行业状况以及不可抗力等因素发生重大变化，确需对发展战略作出调整的，应当按照规定程序调整发展战略。