關於印發企業內部控制規範體系實施
中相關問題解釋第2號的通知
財會[2012]18號

中共中央直屬機關事務管理局，鐵道部、國務院機關事務管理局，解放軍總後勤部、武警部隊後勤部，各省、自治區、直轄市、計劃單列市財政廳（局），新疆生産建設兵團財務局，各中央管理企業、上市公司：

    《企業內部控制基本規範》（財會〔2008〕7號）和《企業內部控制配套指引》（財會〔2010〕11號）已于2011年在境內外同時上市的公司平穩實施。對實施中出現的問題，2012年2月我部會同相關部門通過印發《企業內部控制規範體系實施中相關問題解釋第1號》（財會〔2012〕3號）加以明確，對推動企業內部控制規範體系有效實施發揮了積極的作用。隨著境內主板上市公司2012年正式實施內部控制規範體系，也出現了一些新情況、新問題，如內控組織實施、內控實施的進度與重點、內控人才隊伍培養、小型企業內控建設等，需要研究解決。為此，我部會同證監會、審計署、銀監會、保監會、國資委，對這些新情況、新問題進行了認真研究，並徵求了有關上市公司、諮詢機構和有關部門的意見，形成了《企業內部控制規範體系實施中相關問題解釋第2號》。經會簽證監會、審計署、銀監會、保監會、國資委，現予印發。

    附件：企業內部控制規範體系實施中相關問題解釋第2號　　

                                                                 財政部
                                                             2012年9月24日　　

    附件

企業內部控制規範體系實施中相關問題解釋第2號

    企業內部控制規範體系正式實施一年多來，總體平穩，但在具體實施過程中，部分企業還存在理解認識上的不到位和實際執行上的偏差。為了穩步推進企業內部控制規範體系貫徹實施，經研究，現就有關問題解釋如下：

    1.企業應如何正確把握內部控制的組織實施工作？

    答：企業在開始實施內部控制時，應當按照《企業內部控制基本規範》（財會〔2008〕7號）（以下簡稱基本規範）確定的內部控制目標、要素、原則和具體要求開展工作，強化組織領導，夯實內部控制基礎。董事會負責內部控制的建立健全和有效實施，監事會對董事會建立與實施內部控制進行監督，經理層負責組織領導企業內部控制的日常運行，全體員工廣泛參與內部控制的具體實施。企業的內部控制部門應結合實際，制定內部控制體系建設的分階段目標，圍繞內部控制的五個要素紮實開展工作，深入宣傳、認真執行、嚴格監督、嚴肅考核，保證企業經營管理合法合規、資産安全、財務報告及相關信息真實完整，提高經營效率和效果，規避生産經營風險。隨著實施工作的不斷深入，企業應當加強內部控制全員、全面、全過程管理，進一步推動管理創新，不斷提升管理水平，有效防控經營風險，保證實現價值目標，最終促進企業實現發展戰略。

    企業應當結合所在行業要求和自身特點，按照基本規範的要求，參照《企業內部控制配套指引》（財會〔2010〕11號）（以下簡稱配套指引）的規定開展內部控制實施工作。目前配套指引針對企業一般性的業務和重點環節制定了原則性的要求，未涵蓋行業特點突出的具體業務。在實施過程中，企業應當全面執行基本規範，以配套指引為參考，結合行業管理要求，從自身經營管理的實際出發，識別和評估相關風險，加強對關鍵和重點業務的控制，保持信息溝通的順暢，對實施效果做好監督評價，努力構建一套符合實際、業務規範、控制合理、管理有效的內部控制體系。

    2.不同的企業應如何把握好內部控制實施工作的進度和重點？

    答：對於即將啟動或剛剛啟動內部控制實施工作的上市公司、國有企業和集團企業，應按照相關業務主管部門、監管部門等的要求加快推動，並根據企業實際全面實施；對於已經在部分下屬分公司和子公司建立了較為完善的內部控制體系的企業，應當總結和借鑒已經開展內部控制建設的分公司和子公司的經驗和做法，將其推廣至全公司範圍；對於已經在全公司範圍內建立起覆蓋全過程、各層級內部控制體系的企業，應將工作重心放在內部控制的持續改進上，充分運用內部控制自我評價的方法和手段，按照有關要求對實施情況進行常規、持續的監督檢查，查找實施中的缺陷與不足，促進內部控制的持續改進和不斷優化。

    對於非上市的企業或企業集團，應從實際情況出發，根據下屬公司的經營性質、業務規模等特點制定切實可行的內部控制實施方案，分類分步推進，全面啟動內部控制建設與實施工作。企業集團也可以根據業務板塊、管理特點等，先在部分企業建立起較為完善的內部控制體系，再逐步建立覆蓋企業集團的內部控制體系，體現集團管控的要求。

    3.企業應如何改善內部控制專業人才缺乏的狀況？

    答：為解決企業內部控制專業人才緊缺狀況，企業可以抽調財會、審計和生産管理等業務骨幹開展內部控制管理工作，同時應當有計劃地培養內部控制專業人才。一是通過參加政府部門、仲介機構、企業內部舉辦的培訓學習等，促使內控人員掌握相關知識；二是讓從事內部控制的專業人員，在工作實踐中不斷探索學習，以內部控制基礎理論、基本規範及配套指引為指針，借鑒其他企業的經驗，結合實際，自我學習、自我積累，探索創新，不斷提升個人的業務能力和企業的內控管理水平；三是在聘請仲介機構開展內部控制諮詢、審計服務時，充分利用仲介機構的專業力量，通過業務溝通交流和參與實際運作來鍛鍊培養企業專業人才隊伍。

    企業領導要高度重視內部控制專業人才隊伍建設，在強調全員參與內部控制的基礎上，採取多種措施，建立激勵機制，鼓勵從事內部控制的專業人員崗位成才。對於為企業內部控制建設做出貢獻的專業人員應當給予獎勵，以調動內部控制專業人才隊伍的工作積極性。

    4.集團性企業應如何確定內部控制評價的範圍？

    答：集團性企業在確認內部控制評價範圍時，應當遵循全面性、重要性、客觀性原則，在對集團總部及下屬不同業務類型、不同規模的企業進行全面、客觀評價的基礎上，關注重要業務單位、重大事項和高風險業務。

    重要業務單位一般以資産、收入、利潤等作為判定標準。包括集團總部、資産佔合併資産總額比例較高的分公司和子公司，營業收入佔合併營業收入比例較高的分公司和子公司以及利潤佔合併利潤比例較高的分公司和子公司等。

    重大事項一般是指重大投資決策項目，兼併重組、資産調整、産權轉讓項目，期權、期貨等金融衍生業務，融資、擔保項目，重大的生産經營安排，重要設備和技術引進，採購大宗物資和購買服務，重大工程建設項目，年度預算內大額度資金調動和使用，以及其他大額度資金運作事項等。

    高風險業務一般是指經過風險評估後確定為較高或高風險的業務，也包括特殊行業及特殊業務，國家法律、法規有特殊管制或監管要求的業務等。

    5.企業在選擇仲介機構協助開展內部控制體系建設與實施工作時，應重點考慮哪些因素？

    答：企業建設與實施內部控制，應當按照基本規範及配套指引的要求，原則上要立足於行業特點和企業實際，倡導自上而下、自主開展內部控制建設與實施工作。

    如果企業確有需要選擇仲介機構協助開展工作，可重點考慮以下幾個因素：一是仲介機構的專業性，如內控諮詢團隊的專業知識及項目管理經驗等；二是服務內容與企業需求的匹配程度，如實施方案是否符合企業實際情況等；三是團隊的配置水平，如人員數量是否適當、團隊的整體知識結構、過去的成功案例情況及客戶評價等；四是服務報價合理性等，企業對收費明顯偏離合理性的仲介機構，應防範服務質量風險。

    企業在聘請仲介機構協助開展內部控制體系建設與實施工作中，應當採取有效的方式保護企業核心商業秘密和國家機密，防範泄密風險。

    6.企業應採用何種組織形式開展內部控制評價工作？

    答：內部控制評價是指企業董事會或類似權力機構對內部控制的有效性進行全面評價、形成評價結論、出具評價報告的過程。同時也是企業內部涉及業務面廣、專業性強的工作，包括日常檢查評價和專項檢查評價。

    企業可以授權內部審計機構具體實施內部控制有效性的定期評價工作。由於內部審計機構在企業內部處於相對獨立的地位，該機構的工作內容、性質和人員的業務專長與內部控制評價工作有著密切的關聯，因此內部審計機構可以負責內部控制評價的具體實施工作。

    成立了專門的內部控制機構的企業，由內部控制機構負責組織協調內部控制的建立實施及日常管理工作，其工作直接向董事會或類似權力機構負責。企業的內部控制機構可以組織實施內部控制評價工作。內部控制機構可以組織審計、財務、生産管理等專業人員，對內部控制全面或某一方面進行日常和專項檢查評價，也可以對認定的重大風險進行專項監督，定期出具內部控制評價報告，報董事會或類似權力機構審核。

    企業也可以根據自身特點，成立內部控制評價工作的非常設機構，比如，抽調內部審計、內部控制等相關機構的人員組成內部控制評價小組，具體組織實施內部控制評價工作。

    此外，企業可以委託仲介機構實施內部控制評價。

    7.企業應如何對待內部控制評價中發現的缺陷？

    答:內部控制缺陷按照成因分為設計缺陷和運行缺陷。對於設計缺陷，應從企業內部的管理制度入手查找原因，需要更新、調整、廢止的制度要及時進行處理，並同時改進內部控制體系的設計，彌補設計缺陷的漏洞。對於運行缺陷，則應分析出現的原因，查清責任人，並有針對性地進行整改。

    內部控制缺陷按照影響程度分為重大缺陷、重要缺陷和一般缺陷。對於重大缺陷，應當由董事會予以最終認定，企業要及時採取應對策略，切實將風險控制在可承受度之內。對於重要缺陷和一般缺陷，企業應當及時採取措施，避免發生損失。

    企業應當編制內部控制缺陷認定匯總表，結合實際情況對內部控制缺陷的成因、表現形式和影響程度進行綜合分析和全面復核，提出認定意見和改進建議，確保整改到位，並以適當形式向董事會、監事會或者經理層報告。

    對於因內部控制缺陷造成經濟損失的，企業應當查明原因，追究相關部門和人員的責任。

    8.如果會計師事務所將其內部控制諮詢業務和內部控制審計業務進行分離後，是否可以為同一企業提供內部控制審計和諮詢服務？

    答：基本規範及配套指引的發佈實施，拓寬了會計師事務所的業務領域。隨著2012年國內主板上市公司分類分批實施，內部控制諮詢、內部控制評價、內部控制審計的需求會很大。當前，我國會計師事務所在內部控制諮詢和內部控制審計方面的專業人才和技術力量有限。據了解，很多會計師事務所為了執行基本規範第十條的規定，主動開展了內部體制機制整合。

    會計師事務所在受聘為企業提供有關內部控制諮詢或審計服務時，應堅持獨立性原則，嚴格遵守《中國註冊會計師職業道德守則》要求，不得與具有網絡關係的仲介機構同時為同一企業提供內部控制諮詢和審計服務。

    有的會計師事務所採取內部隔離方式，即在內部成立諮詢部門和審計部門，兩個部門之間相互獨立，人員不交叉使用，在形式上建立了內部的“防火墻”。這種方式難以有效地將內部控制諮詢和內部控制審計業務進行分離，不符合獨立性要求。

    也有會計師事務所新設立了具有法人資格的諮詢機構，如果新設立的諮詢機構與原事務所構成網絡關係，則違反獨立性原則，也不能同時為同一家企業提供內控諮詢和審計服務。

    9.註冊會計師在開展內部控制審計時應如何安排時間？

    答：按照配套指引中《企業內部控制審計指引》的要求，註冊會計師在確定測試的時間安排時，應當儘量在接近企業內部控制自我評價基準日實施測試，實施的測試需要涵蓋足夠長的時間。

    企業應按照要求及時委託會計師事務所開展內部控制審計業務，保證按期對外披露或報送內部控制審計報告。首次進行內部控制審計時，企業和註冊會計師應當在當期會計年度的上半年即開始準備該年度的內部控制審計工作，從而保證整改後的控制運行有足夠長的時間。對於認定為缺陷的業務，如果企業在基準日前對其進行了整改，但整改後的業務控制尚沒有運行足夠長的時間，註冊會計師應當將其認定為內部控制在審計基準日存在缺陷。註冊會計師在接受或開展內部控制審計業務時，應當儘早與企業溝通內部控制審計計劃，併合理安排內部控制測試的時間。

    在連續進行內部控制審計的過程中，註冊會計師應當考慮以前年度執行內部控制審計時所了解的情況以及當年企業發生的相關變化，在此基礎上確定適當的內部控制審計工作方案和時間安排。

    10.與大、中型企業相比，小型企業在實施內部控制時應有哪些特殊的考慮？

    答：小型企業通常是指具有業務比較單一、所有權和管理權集中、管理層級較少、部門設置簡單等特徵的企業。小型企業根據基本規範及配套指引實施內部控制時，在保證有效性的基礎上，可結合企業特點進行適當調整。

    小型企業的管理層級一般較少，所有權、決策權和管理權較為集中，治理層通常密切參與公司日常經營及管理活動，使企業的控制力和執行力得到了提高，但也容易導致決策失誤或舞弊風險，因此要提高董事會的集體決策能力，加強企業決策過程的控制。

    小型企業應明確內部控制目標，準確評估經營風險，建立健全各項制度，將決策過程和各項業務流程制度化、規範化；明確不同層級部門和人員的權限和職責，強化崗位制衡，做到適度授權和分權；重點關注與企業資金、資産、資本、財務報告等關鍵業務有關的風險的控制。

    小型企業應提高財務、會計和審計人員的素質，培養和聘用內部控制專業人才，加強對財務會計工作和財務報告的重視程度。小型企業的機構設置簡單，管理資源易於整合，可以根據企業所面臨的主要風險和相關控制的效果，適當簡化內部控制體系建設，靈活設計、選擇控制流程和控制活動，達到有效控制風險和防範舞弊的目的。

    基於效率的考慮，小型企業應當提高信息技術的應用，結合業務風險和信息系統風險評估，加強信息系統控制的應用，採取手工控制與自動控制相結合的方式，將風險控制在可承受度之內。

    小型企業應建立健全內部控制的監督機制，持續監控和定期評價內部控制的有效性，尤其要對會計信息、資金運轉、資産安全、採購及銷售等方面加強監控，及時發現和糾正缺陷，確保內部控制在企業不同成長階段、不同環境下的持續有效改進。