《行政事业单位内部控制规范》解读(一)

《行政事业单位内部控制规范》解读（一）

主讲老师：谢路一

第一节 行政事业单位内部控制的起源、定义和体系

一、内部控制的起源

1．产生在西方，最初的控制形式是“内部牵制”。这种古老的管理思想发源于古埃及的国库管理制度，即公元前 3 600年以前的美索不达米亚文化时期。其理论基础是假设两个人或部门无意识地犯同样错误的可能性是很小的，以及假设两个人或部门有意识地串通舞弊的可能性也是很小的。直到20世纪初，企业管理依然继承了这种以业务授权、职责分工、双重记录、定期核对等为内容的内部牵制的基本思想。

1992年9月，由美国国会的“反对虚假财务报告委员会”下属的，并由美国会计学会（AAA）、美国注册会计师协会（AICPA）、内部审计师协会（IIA）、财务经理协会（FEI）和管理会计学会（IMA）等多个专业团体组织参与的“发起组织委员会（COSO）”发布了《内部控制——整体框架》，并明确了有关定义。

2．安然事件

指2001年发生在美国的安然公司破产案以及相关丑闻。安然公司曾经是世界上最大的能源、商品和服务公司之一，名列《财富》杂志“美国500强”的第七名，自称全球领先企业。在2001年宣告破产之前，安然拥有约21 000名雇员，是世界上最大的电力、天然气以及电讯公司之一，2000年披露的营业额达1 010亿美元之巨。公司连续六年被《财富》杂志评选为“美国最具创新精神公司”然而，在2001年10月安然公司突然在资产负债平衡表上曝光出了高达6.18亿美元的亏损。2001年12月2日，公司向纽约破产法院申请破产保护，这个拥有上千亿资产的公司在几周内破产，该案成为美国历史上最大的一宗破产案，它是公司持续多年精心策划、乃至制度化系统化的财务造假丑闻。它严重挫伤了美国经济恢复的元气，重创了投资者和社会公众的信心，引起美国政府和国会的高度重视。

“ 安然事件 ”

通过安然事件，我们认识到，企业治理结构与内部控制制度密切联系，既不能否定股票期权制、审计委员会、内部控制的正面作用，但也不能对它们的作用过分依赖和夸大，而需要将各种制度安排，如公司独立董事制度、外部审计制度协同起来。因为公司治理结构的缺陷，并不是孤立的，存在的问题需要通盘考量和系统解决。

3．萨班斯法案

萨班斯法案，又被称为萨班斯?奥克斯利法案。2001年12月，美国最大的能源公司——安然公司，突然申请破产保护，此后，美国公司丑闻不断，规模也“屡创新高”，特别是

2002年6月的世界通信会计丑闻事件，“彻底打击了（美国）投资者对（美国）资本市场的信心”。为了改变这一局面，美国国会和政府加速通过了《萨班斯法案》，由参议院银行委员会主席萨班斯和众议院金融服务委员会主席奥克斯利联合提出，又被称作《2002年萨班斯?奥克斯利法案》。该法案的另一个名称是《公众公司会计改革与投资者保护法案》。法案的第一句话就是“遵守证券法律以提高公司披露的准确性和可靠性，从而保护投资者及其他目的。”该法案对美国《1933年证券法》《1934年证券交易法》做出大幅修订，在公司治理、会计职业监管、证券市场监管等方面做出了许多新的规定。

二、内部控制的定义

内部控制是受企业董事会、管理当局和其他员工的影响，为旨在取得：

1．经营效率和效果；

2．财务报告的可靠性；

3．遵循适当的法规等目标而提供合理保证的一个过程。

2008年财政部、证监会、审计署、银监会、保监会在《企业内部控制基本规范》中定义：内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。

三、内部控制体系

“中国企业内部控制规范体系”

根据国家有关法律法规，财政部会同证监会、审计署、银监会、保监会五部委在2008～2010年间制定了《企业内部控制基本规范》《企业内部控制应用指引第1号——组织架构》等18项应用指引，以及《企业内部控制评价指引》和《企业内部控制审计指引》。

执行时间：

自2011年1月1日起在境内外同时上市的公司施行。

自2012年1月1日起在上海证券交易所、深圳证券交易所主板上市公司施行。

在此基础上，择机在中小板和创业板上市公司施行。

鼓励非上市大中型企业提前执行。

要求执行《企业内部控制基本规范》及企业内部控制配套指引的上市公司和非上市大中型企业，应当对内部控制的有效性进行自我评价，披露年度自我评价报告，同时应当聘请会计师事务所对财务报告内部控制的有效性进行审计并出具审计报告。

与企业内部控制建设相比，我国行政事业单位的内部控制制度建设则明显相对滞后，也存在一些突出的问题。

一是单位内部治理结构不完善，对决策缺乏有效制约和监督，特别是一把手的内控意识薄弱。有的主要负责人利用权力“设租”“寻租”，干预重大决策或直接违规决策、插手干预招投标活动，为相关方面谋求不正当利益。

二是利用公共资源“借道”若干非公单位，或在多个地区实施违法违纪行为。

三是利用虚假注资、虚假项目、虚假合同和虚假票据等方式，将违法行为隐藏在合法“外衣”之下。

四是监督协调机制不够健全和完善，内部监督信息不共享、渠道不畅通。

五是岗位设置不合理，监督不到位甚至存在缺失。

六是预算控制缺乏刚性，费用支出方面缺乏有效控制。

七是财务管理制度不健全，缺乏明确的岗位制度。

八是资产管理和控制制度有待加强，固定资产管理比较薄弱，重钱轻物、重购轻管的现象比较普遍。

为了进一步提高行政事业单位的内部管理水平，规范内部控制，加强廉政风险防控机制建设，根据《中华人民共和国会计法》《中华人民共和国预算法》等法律法规和相关规定，财政部于2011年11月发布了《行政事业单位内部控制规范》（征求意见稿），由深圳市财政委员会牵头，由北京市财政局、中央直属机关事务管理局、国务院机关事务管理局武警部队后勤部、东北财大等八家单位参与进行课题调研。在此基础上财政部于2012年11月29日发布了《行政事业单位内部控制规范》，要求各级党政机关、人民团体和事业单位（简称单位）于2014年1月1日起执行。它与《企业内部控制基本规范》《企业内部控制配套指引》一起构成了较为完整的全社会的规范合理的内部控制制度体系。

第二节 行政事业单位内部控制的概念、目标、原则

行政事业单位内部控制，是指单位为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动的风险进行防范和管控。

单位内部控制的目标主要包括：合理保证单位经济活动合法合规、资产安全和使用有效、财务信息真实完整，有效防范舞弊和预防腐败，提高公共服务的效率和效果。

“单位建立与实施内部控制遵循下列原则”

（一）全面性原则。内部控制应当贯穿单位经济活动的决策、执行和监督全过程，实现对经济活动的全面控制。

在组织层次上，实现全人员：涵盖单位领导、管理层和全体员工；

在范围上，实现全过程：覆盖单位各项业务和管理活动，在流程上应当渗透到决策、执行、监督、反馈等各个环节；

在内容上，实现全风险控制：包含战略风险、财务风险、市场风险、运营风险、法律风险在内的所有风险。

（二）重要性原则。在全面控制的基础上，内部控制应当关注单位重要经济活动和经济活动的重大风险。

内部控制应当在兼顾全面的基础上突出重点，针对重要业务与事项、高风险领域与环节采取更为严格的控制措施，确保不存在重大缺陷。

（三）制衡性原则。内部控制应当在单位内部的部门管理、职责分工、业务流程等方面形成相互制约和相互监督。

治理结构、组织结构和权责分配：应当科学合理并符合内部控制的基本要求，确保不同部门、岗位之间权责分明和有利于相互制约、相互监督。

（四）适应性原则。内部控制应当符合国家有关规定和单位的实际情况，并随着外部环境的变化、单位经济活动的调整和管理要求的提高，不断修订和完善。内部控制应当合理体现企业经营规模、业务范围、业务特点、风险状况以及所处具体环境、成本与效益匹配等方面的要求。

单位负责人对本单位内部控制的建立健全和有效实施负责。

第三节 单位层面的内部控制

一、单位层面的风险评估

现阶段我国行政事业单位经济活动的主要风险包括：单位经济活动不合法或不合规的风险；国有资产流失、资源使用效益低下的风险；财务信息不真实、不完整的风险；发生舞弊或腐败现象的风险等。

单位应当建立经济活动风险定期评估机制，对经济活动存在的风险进行全面、系统和客观评估。经济活动风险评估至少每年进行一次；外部环境、经济活动或管理要求等发生重大变化的，应及时对经济活动风险进行重估。

二、进行单位层面的风险评估时，应当重点关注的方面

1．内部控制工作的组织情况。包括是否确定内部控制职能部门或牵头部门；是否建立单位各部门在内部控制中的沟通协调和联动机制。单位应当单独设置内部控制职能部门或者确定内部控制牵头部门，负责组织协调内部控制工作。单位开展经济活动风险评估应当成立风险评估工作小组，单位领导担任组长，成员由财会、资产管理、纪检监察、采购、基建、内审、纪检监察等部门人员组成。

2．内部控制机制的建设情况。包括经济活动的决策、执行、监督是否实现有效分离；权责是否对等；是否建立健全议事决策机制、岗位责任制、内部监督等机制。

3．内部管理制度的完善情况。包括内部管理制度是否健全，执行是否有效。

4．内部控制关键岗位工作人员的管理情况。包括是否建立工作人员的培训、评价、轮岗等机制，工作人员是否具备相应的资格和能力。

5．财务信息的编报情况。包括是否按照国家统一的会计制度对经济业务事项进行账务处理，是否按照国家统一的会计制度编制财务会计报告。

6．其他情况。

三、风险识别

四、风险应对

单位风险应对策略有四种基本类型：风险规避、风险降低、风险分担、风险承受。单位应当综合运用风险应对策略，实现对风险的有效控制。

1．风险规避

风险规避是单位对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。这是控制风险的一种最彻底、最有力的措施，它与其他的控制风险方法不同，是在风险事故发生之前，将所有风险因素完全消除，从而彻底排除某一特定风险事故发生的可能性。

2．风险降低

风险降低是单位在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。

3．风险分担

风险分担是单位准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。

4．风险承受

风险承受是单位对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。这也是一种最普通、最省事的风险应对策略。

例如，某图书馆门口停车场安排人员收费，每月收款总额在30 00元左右，单位安排李某收取，如果为了防止李某贪污舞弊，另外专门安排一个正式员工每日专门复核款项，这时