COSO Deck -CIIA - CNWord

　　COSO内部控制新框架 报告会美国证券交易委员会学院 何逸夫(Robert Hirth) COSO主席

　　20年的发展

　　1

　　过往今昔，追溯历史

　　2

　　COSO成立于1985年，是由5家专业组织发起并创建的联合委员会，旨在 提供针对风险管理、内部控制以及舞弊防范的理论框架和指导。

　　9,300 386,000 15,000 67,000 600,000

　　180,0003

　　使命COSO的使命是：“旨在通过建立内部控制、企业风险管理及 舞弊防范的综合性、指导性理论框架提供领先的知识，帮助 组织提升绩效和管理以及有效降低组织内部舞弊行为的产 生。”

　　COSO的基本原则维持有效的风险管理及内部控制是企业实现长久成功的必要条件。

　　4

　　2004: 企业风险管理框架 1987: 反虚假财务报告 委员会的报告1996年：《衍生金融 工具内部控制》1985 1990 1995 2000 2005

　　2010: 舞弊研究II 虚假财务报告: 19982007

　　2009: 内部控制系统 监控指南

　　2010

　　1992年： 内部控制-整合框架

　　1999: 舞弊研究I 虚假财务报告: 1987-1997 2006:财务报告内 部控制：小型上市 公司指引 2010-2013: 其他企业风险 管理研究文献

　　5

　　COSO 综述 – 内部控制相关出版物

　　1992

　　2006

　　2009

　　2013《内部控制整合框架框架和附录》6

　　《内部控制整合框架》 《财务报告内部控制 《内部控制监控指南》 -小型上市公司指引》

　　COSO 不仅仅是内部控制 《增强董事会监控》

　　《企业风险管理的实施》 《风险评估实践》7

　　W hy Make Changes?在原内控框架建立后的20年间，商业及运营环境发生 了巨大变化，更加复杂并且更容易受到科学技术及全 球化因素的影响。 于此同时，利益相关者对支持商业决策和组织管理的 内部控制系统的透明化及有效性提出更高的要求。

　　Source: COSO September 2012

　　8

　　为何COSO模型是适合的模型?管理层须依照一个适合的、公认的内部控制框架， 对财务报告相关的内部控制的有效性进行评估。这个适合的内部控制框架需要由一组专家人士， 依照一定的程序建立，并且需要对公众征询意见及 建议。来源: SEC

　　9

　　转变及影响 鼓励企业在可行的前提下，尽快依据新的框架调整工作和 相关文档。

　　旧框架将在过渡期(2014年12月15日)后废止 企业需要在外部报告中，就过渡期所使用的框架进行披露 。

　　10

　　SEC 提示: 使用COSO新框架(来源: Compliance Week, November 12, 2013)

　　SEC的相关人士指出：“上市企业持续沿用1992年的内控框架，可能 招致SEC就上市企业使用的内控框架是否符合适合的、公认的框架的要 求的质询”,尤其是在过渡期(2014年12月15日)之后。

　　11

　　为什么要更新尚在使用中的框架 – COSO内控框架已经是全 球应用最为广泛的内部控制指导框架1992年版

　　COSO’s 内部控

　　制——整合的指导框架 (1992 版)

　　更新

　　反映商业及运营环境 的变化

　　扩充运营及报告 的范围

　　明确提高内控有效性的基本原则

　　强化

　　内容更新

　　扩大适用性

　　明确相关要求

　　2013年版

　　COSO’s 内部控制——整合的指导框架 (2013版)12

　　COSO更新项目进程就相关者需求 进行调查 设计和建立 新框架 公布, 评估及修订 完成最终 版本

　　2010

　　2011

　　2012

　　2013

　　13

　　成果#1 – COSO内部控制—综合框架 (2013版) 共分为三个章节: 内容摘要 新的框架及多份附录 提供解释性工具的应用指南

　　明确指出: 内部控制的定义 企业内部控制目标 内部控制的基本要素及原则 就内控有效性的相关要求

　　14

　　成果#2 –财务报告内部控制：方法和案例汇编 就如何在财务报告编制工作中运 用内部控制基本原则进行举例说 明 就20年来商业和运营环境变化进 行讨论分析 企业案例：包括上市公司、私营 公司、非盈利组织、政府机构以 及其他类型组织 与2013版框架保持一致

　　15

　　COSO新框架更加易于使用并且适用范围更广什么没有改变： 内部控制的核心定义 内部控制体系的三大目标和五大要素 五大要素保证内部控制的有效性 在内部控制的设计、执行和实施以及 其有效性评估时需要运用的专业判断

　　什么变化了： 新框架考虑了商业及运营环境的变化 等因素 新框架扩大了运营及报告的目标 新框架明确列示了用以支持内部控制 五大要素的原则 新框架提供了运营、合规和非财务报 告目标相关的工作步骤及案例

　　16

　　考虑商业及运营环境变化等因素环境的改变对公司治理监管更加重视

　　推动COSO进行更新

　　市场及公司运营的全球化不断的变化以及业务更加复杂 法律法规以及各种标准的要求和复杂程度大幅提 升 对内部控制框架的能力和责任的预期大幅提高

　　使用以及对不断进步的科学技术的 依赖防范和检测舞弊行为的要求不断提升

　　COSO 立方体 (2013 版)

　　17

　　新框架明确列示了用以支持内部控制五大要素的原则：控制环境1. 2. 2. 3. 4. 6. 7. 8. 9. 企业对诚信和道德价值观的承诺 监督控制的执行 建立健全组织架构、合理的授权与责任等机制 提高管理人员能力 增强相关责任制 识别和评估风险，制定明确的目标 对影响其目标实现的风险进行全面的识别和分析 考虑舞弊行为及相关风险 识别和评估对内部控制体系可能造成较大影响的变更

　　风险评估

　　控制活动

　　10. 选择并制定控制活动 11. 为用以支持目标实现的技术选择并制定一般控制政策 12. 通过合理的政策制度和切实的执行流程，部署控制活动 13. 获取相关的信息 14. 进行内部沟通 15. 进行

　　外部沟通 16. 实施持续且(或)独立的评估 17. 评估内部控制的缺陷，并就相关问题进行汇报18

　　信息与沟通

　　监督活动

　　对原则的重要特点及描述进行更新，如：控制环境

　　1. 企业对诚信和道德价值观的承诺

　　关注点: 确立“高层态度” 建立行为标准 评价对行为准则的遵守情况 及时处理行为偏差

　　关注点的适用性及相关性要视情况而定，有时需要增加新的关注点 关注点可效促进并指导内部控制的设计及实施 无需单独测试关注点的存在性

　　19

　　就内部控制活动对基本原则的影响进行更新：要素 原则 控制环境 1. 企业对诚信和道德价值观的承诺

　　存在于其他要 素的相关控制 可能对此原则 产生影响

　　控制环境：

　　信息与沟通：

　　监督活动： 内部审计可根据员工 行为及检举热线相关 信息对控制环境进行 独立评价

　　人力资源部门通过审 管理者可通过检举热 阅雇员签署的确认函， 线获得相关信息数据 评估行为手册是否被 组织内的所有员工所 理解和遵循

　　20

　　28

　　风险评估

　　6. 企业制定足够

　　清晰的目标，以便识别 和评估有关目标所涉及的风险。

　　7. 从整个企业的角度来识别实现目标所 涉及的风险，分析风险，并据此决定 应如何管理这些风险。 8. 企业在评估影响目标实现的风险时， 考虑潜在的舞弊行为。9. 企业识别并评估可能会对内部控制系 统产生重大影响的变更。29

　　原则7—关注点 涵盖总公司、子公司、分支机构、 事业部和职能部门; 分析内部和外部因素; 涵盖适当层级的管理人员; 预计识别出的风险的影响重大程度; 决定如何应对风险.30

　　31

　　合规“概念” 法律法规对行为准则的规范仅是最低的要求； 合规目标的建立； 管理层考虑可接受的偏差范围；

　　法律法规的实施受时间、地域、所处行业以及企 业规模等外部因素影响。

　　32

　　33

　　考虑商业及运营环境变化等因素环境的改变对公司治理监管更加重视

　　推动COSO进行更新

　　市场及公司运营的全球化不断的变化以及业务更加复杂 法律法规以及各种标准的要求和复杂程度大幅提 升 对内部控制框架的能力和责任的预期大幅提高

　　使用以及对不断进步的科学技术的 依赖防范和检测舞弊行为的要求不断提升

　　COSO 立方体 (2013 版)

　　34

　　控制活动

　　10.企业选择并制定有助于将影响目标实 现的风险降低至可接受水平的控制活 动。 11. 企业为用以支持目标实现的技术选择 并制定一般控制政策。 12. 企业通过政策和程序来部署控制活动： 政策用来确定所期望的目标；程序则 将政策付诸于行动。

　　35

　　原则11—关注点 确定技术在流程中的应用以及技术的一般控制之 间的相互依赖性 制定相关的： - 技术基础设施控制活动 - 安全管理流程控制活动

　　- 技术取得、发展和维护控制活动

　　36

　　外包服务(第23页)“原则上来讲，由外包服务商或由内部人员实施控 制活动需要考虑的因素是一样的。然而，外包服 务本身具有一些独特的风险，需要制定额外的控 制来确保信息的完整性、准确性以及信息在来往 于外包服务商时的合法性。”

　　37

　　信息与沟通

　　13. 企业获取或生成和使用相关的高质 量信息，以支持内部控制其他要素 发挥效用。 14. 企业内部沟通的信息，包括内部控 制目标和职责范围，必须能够支持 内部控制的其他要素发挥效用。 15. 企业就影响内部控制其他要素发挥 效用的事项与外部方进行沟通。38

　　原则13—关注点 识别信息需求; 从内部和外部数据来源获取数据; 将相关数据处理成信息;

　　在处理过程中保持信息质量; 考虑成本效益.

　　39

　　有效的内部控制可为实现目标提供合理保证，但需要做到 以下两点： 1. 五要素及相关原则均存在且

　　发挥效用； 2. 内部控制五要素合为一体运转有效

　　每条原则均适用于所有公司：所有原则都假定相关，除特 殊情况下，管理层认为某条原则不适用于该公司(例如治 理或技术方面)。 如果各要素均存在且发挥效用并且各要素所集合的内部控 制缺陷并未导致“存在一个或多个主要缺陷”,那么各要 素整体运行有效。 内部控制主要缺陷被定义为“显著降低一个企业实现其目 标的可能性的一个内部控缺陷或多个内部控缺陷的汇总” 。

　　40

　　新框架没有就如何选择、制定并实行内部控制进行具体描 述； 为保证相关原则有效的具体控制的选择要依据管理层的判 断，要特殊情况特殊分析； 针对某一要素或者原则的内部控制主要缺陷，无法通过针 对其他要素或者原则的内部控制，将风险降低至可接受的 水平的；

　　理解并思考控制如何保证多个原则的有效性，可以为公司 就各大要素及原则是否存在且发挥效用的评估，提供说服 性的证据。

　　41

　　通过选择、制定并实行可以满足多个原则要求的内部控制 ，可以减少孤立的、重复无用的内部控制。 采用整合的方法，以内部控制同时涵盖业务、报告和合规 性三个方面，可能会减少其实施的复杂性； 在评估内部控制缺陷严重程度时，使用新框架中提出的相

　　关的分类标准或者使用外部监管机构、准则制定机构及其 他相关第三方制定的其他相关分类标准

　　42

　　COSO 适用于所有组织机构

　　43

　　如何获取COSO出版物获得COSO新框架及相关说明的三种方式： 1. 电子书 –此模式下，打印受到限制。只能供电子阅读。

　　购买请点击 http://www.wendangwang.com2. 纸质书 购买请点击

　　3. PDF 版– 适用于希望购买使用权从而获得多份文档的用户 请联系AICPA copyright@

　　44

　　内部控制-综合框架

　　适用于所有组织机构的内部控制框架45

　　46

　　声明 本人并非PCAOB的雇员，因而Word中 所示仅代表个人观点，并不反映 PCAOB董事、成员及员工的观点。

　　47

　　现行标准议程审计透明度(明确项目合伙人及其他各方)

　　审计报告模型– 2014版关联方(及重大不寻常交易) 证券交易商审计/制度更新 持续经营(待 FASB 明确) 其他审计师、会计师及行业专家

　　50

　　52