小型企業內部控制規范

時間：2024-10-13 20:47:50 守則我要投稿

相關推薦

小型企業內部控制規范

　　為幫助小型企業建立和實施有效的內部控制，提高經營管理水平和風險防范及應對能力，制定了小型企業內部控制規范，下面是詳細內容。

　　小型企業內部控制規范(征求意見稿)

　　第一章總則

　　第一條【目的和依據】為幫助小型企業建立和實施有效的內部控制，提高經營管理水平和風險防范及應對能力，促進小型企業的健康可持續發展，根據《中華人民共和國會計法》、《中華人民共和國公司法》、《企業內部控制基本規范》和其他有關法律法規，制定本規范。

　　第二條【小型企業特征】本規范所稱小型企業(以下簡稱“企業)，是指在中華人民共和國境內依法設立的、符合以下主要特征的小規模企業：

　　(一)由擁有多數所有權的人員管理企業;

　　(二)機構設置簡單，管理層級較少;

　　(三)業務線較少且每條業務線中產品較少;

　　(四)信息系統較為簡單;

　　(五)員工數量較少，部分員工一人身兼多崗;

　　(六)其他法律法規有明確規定的。

　　第三條【適用范圍】各企業應對照本規范第二條的有關規定，結合《中小企業劃型標準規定》所列明的小型企業標準及企業自身特點，確定是否適用本規范。

　　執行本規范的小型企業，如因企業發展壯大不再符合本規范第二條規定的標準特征，應當自下一年度起轉為執行《企業內部控制基本規范》及其配套指引。

　　已經執行《企業內部控制基本規范》及配套指引的企業，不得轉為執行本規范。

　　第四條【內控定義】本規范所稱內部控制，是指由企業全員共同實施的，以風險評估為基礎，通過建立和實施內部控制措施、監督評價和保障機制，旨在實現控制目標的過程。

　　第五條【內控目標】內部控制應對企業所面臨的風險進行有效管理，其目標是合理保證：

　　(一)經營的合法合規;

　　(二)資產的安全;

　　(三)經營的效率和效果;

　　(四)業務、財務和管理等相關信息的真實、準確、及時、完整。

　　第六條【內控要素】企業內部控制應當包括下列要素：

　　(一)控制環境。控制環境是內部控制體系建立和實施以及保障其持續有效的基礎，一般應包括組織結構、授權分工、問責制、人力資源管理、績效管理、企業文化等內容和相關機制。

　　(二)風險評估。風險評估是內部控制體系建立與動態調整的依據。企業應及時識別、系統分析與實現企業控制目標相關的風險，并合理確定風險管理方式。

　　(三)控制活動。控制活動是為管理風險而建立和實施的一系列政策、制度、程序和措施。企業應根據風險評估結果，設計和實施相應的控制活動，將風險控制在可接受的水平之內。

　　(四)信息與溝通。信息與溝通是實施內部控制的必要條件。企業應及時、準確地收集、傳遞與風險和控制相關的信息，并確保其在企業內部以及企業與外部之間實現有效溝通。

　　(五)內部監督。內部監督是內部控制的必要保證。企業應對內部控制的建立與實施情況進行監督檢查，評價內部控制體系的有效性，識別內部控制缺陷并及時督促改進。

　　在整體有效的內部控制體系中，上述要素一般應同時存在并能持續運行。

　　第七條【內控原則】企業建立與實施內部控制，應當遵循下列原則：

　　(一)風險導向原則。內部控制應當以風險為出發點，重點關注會對企業內部控制目標的實現造成重大影響的高風險領域。

　　(二)適應性原則。內部控制應當與企業發展階段、經營規模、管理水平、資源狀況等相適應，并隨著情況的變化及時加以調整。

　　(三)實質重于形式原則。內部控制應當注重風險管理的實際效果，而不拘泥于特定的表現形式和實現手段。

　　(四)成本效益原則。內部控制應當權衡投入與回報的匹配，以合理的成本實現預期的控制目標。

　　(五)持續運行原則。內部控制應形成建立、實施、監督及持續改進的管理閉環，以確保內部控制五個要素同時存在并能持續運行。

　　第八條【建立體系總體要求】企業應當根據本規范要求，建立和實施適合企業實際情況的內部控制體系，強化內部控制長效運行保障機制，持續開展內部控制監督。

　　第九條【內控主要責任人】企業的主要負責人對企業內部控制的建立健全和有效實施負責，應直接領導內部控制規劃決策、風險評估、重要內部控制領域管理、實施保障機制的建立與實施等，持續關注執行和監督效果，及時糾偏。

　　第十條【內控建設工作責任】企業可以設置專門部門、崗位或者指定適當的部門、人員，具體負責組織協調和推動內部控制的建立、實施以及更新完善工作。

　　第十一條【控制工作責任】企業應確定各項風險和控制活動的責任人，并明確其在相關風險和控制活動的建立、實施和日常管理等方面的職責，確保其能負責相關風險管理和控制活動的及時有效運行，并能對所發現的問題進行調查和采取相應的整改行動。

　　第二章內部控制建設

　　第一節內部控制建設基礎要求

　　第十二條【內部控制工作管理制度】企業應明確內部控制建設和管理要求，包括建設規劃、工作責任、建設程序、保障機制、監督完善等。企業可以單獨制定內部控制工作相關的管理制度，也可以將內部控制的管理要求融于流程、標準或程序管理等現有的制度體系中。

　　第十三條【內控建設規劃】企業應當對內部控制的長期建設和持續管理進行合理規劃，包括落實內部控制工作的具體責任、界定內部控制建設階段目標、明確推進方式、合理配置資源等，以確保階段性建設成果的延續性以及避免所投入成本的浪費。

　　第十四條【內控階段性目標設定】企業可以綜合評估自身戰略安排、資源條件、管理水平以及外部監管要求，合理確定分階段的工作目標。階段性目標可以是實現某一內部控制目標，也可以是實現某幾個內部控制目標，應反映出企業所期望達到的運營和財務績效水平。

　　第十五條【內控建設推進方式】企業應當在關注重要風險和成本效益的基礎上，明確相應的建設推進方式。既可以在組織內系統全面同步開展，也可以采取分步實施的方法分階段、分模塊開展推進。

　　第二節建設程序和內容

　　第十六條【總述】企業應以風險為導向確定內部控制體系建設的領域，建立良好的內部控制環境，通過設計相應的控制活動或對現有的控制活動進行梳理、完善和優化，確保內部控制體系有效并持續運行。

　　第十七條【風險評估】企業可以依據所設定的控制目標，選擇采用經營管理會議、專家訪談、風險調查問卷、風險研討會等適當的方式、方法和程序開展風險識別和評估，了解所面臨的主要風險及其影響，評估是否超過企業所能承受的水平，并以此為基礎來作出接受、規避、降低或分擔的風險應對決策，進而明確應予重點關注和優先控制的風險，以及如何對這些風險實現管理。

　　第十八條【風險評估的`對象】企業可以依據所設定的目標和建設工作規劃，針對性地選擇評估對象開展風險評估。評估對象可以是整個組織或某個職能，也可以是某個業務領域、某個產品或某個具體事項。

　　第十九條【風險評估的內容】企業應結合自身不同發展階段和業務拓展的情況，持續評估各類風險對內部控制目標的實現所造成的預期影響，包括風險發生的可能性、風險發生后可能的影響程度以及相應影響預計會持續的時間。

　　第二十條【風險評估的方式和頻率】企業開展風險評估應選擇高效靈活的方式方法。既可以結合管理經營分析進行，也可以系統全面地開展。

　　企業應當至少每年開展一次系統全面的風險評估，并鼓勵各個層級的管理人員和全體員工參與風險信息的提供以及風險評估的討論。企業在風險、業務等發生快速變化以及需要對重大事項進行決策時，應考慮相應增加風險評估的頻率。

　　第二十一條【風險評估技術】企業應當掌握和逐步優化風險評估技術。如果企業缺乏風險評估經驗和技術，尤其是對于某些特定的重要風險，應考慮獲得外部專家的支持。

　　企業可以在條件成熟時，逐步建立適合自身特點的重大風險預警機制，設立風險預警指標體系，以提升整體風險評估的質量和時效性。

　　第二十二條【需關注的風險】企業應持續關注對其內部控制目標的實現可能造成重大影響的內外部風險及其變化，如：

　　(一)與經營的合法合規相關的政策風險、舞弊風險、違法違規風險等。

　　(二)與資產的安全相關的資金風險、資產安全風險、核心信息泄露風險等。

　　(三)與經營的效率和效果相關的行業風險、組織戰略風險、業務模式風險、市場營銷風險、人員流失風險等。

　　(四)與業務、財務和管理等相關信息的真實、準確、及時、完整相關的信息系統風險、會計與報告風險等。

　　第二十三條【控制活動總體】企業應當結合風險評估結果，考慮其所處的行業特點、業務復雜程度、員工操作習慣等，采用預防性控制與發現性控制相結合的方法，在重要業務流程中選擇和執行不相容職責分離控制、授權審批控制、信息技術控制、財產保護控制、預算控制、運營分析控制和績效考評等適當的控制活動，將風險降低到可接受的水平。

　　對于由于外部事件影響而難以實現控制目標的風險，如外部經濟環境變化、法律法規變化等，企業應建立和實施相應的控制活動，以幫助其及時了解相關信息。

　　第二十四條【重要的對象和環節】企業應當關注高風險及重要管理領域內部控制活動的建立與持續運行，包括但不限于：

　　(一)資金管理;

　　(二)重要資產管理;

　　(三)關鍵人員管理;

　　(四)關鍵客戶管理;

　　(五)關鍵的供應商管理;

　　(六)關鍵技術與信息管理;

　　(七)重要外包業務管理;

　　(八)例外事項的處理;

　　(九)外部監管要求的內容;

　　(十)其他需要關注的領域。

　　第二十五條【控制活動設計的具體要求】在設計控制活動時，企業應能明確具體的實施要求和工作標準，包括但不限于明確控制責任人、控制頻率、控制執行方式、控制痕跡的保留等，以確保可以正確理解和執行該內部控制，并對其進行檢查。

　　對于重要的流程，企業可考慮采用內部控制手冊等書面的形式進行說明，并通過溝通和培訓，有效地傳達給負責實施控制措施的部門和人員。

　　第二十六條【考慮控制責任人的勝任能力】企業應確保每項控制活動的控制責任人具備相應的專業勝任能力并符合國家有關崗位執業資格要求，定期評估并確保其專業勝任能力與其工作職責相匹配。

　　對于相關人員尚未具備相應專業勝任能力的，企業可以考慮采用強化培訓、調整人力安排、強化獨立檢查等方法進行彌補，必要時應對控制活動作出適當調整，以免因執行偏差給企業經營帶來重大損失。

　　第二十七條【與現有管理體系相結合】對于管理相對成熟的領域，企業應當盡可能的利用已有的管理基礎、工作標準和操作習慣，將內部控制要求與現有管理體系相融合，確保內部控制體系建設的實效性。

　　第二十八條【不相容職責】企業應當根據國家有關法律法規的要求及自身業務特點，識別和分配業務活動中涉及的不相容職責，包括但不限于在重要的業務流程中設置必要的審閱、檢查、評估環節，合理劃分業務決策、執行、監督等方面的責任，形成適當的職責分工和制衡機制。

　　當因資源限制而無法實現職責分離時，企業應考慮選擇并執行替代性的審閱系統報告、抽查交易文檔、定期資產盤點等控制活動。對于無法實現職責分離的關鍵敏感職能，企業還可考慮強化相應的檢查要求，防止因兼崗而可能造成的控制缺失或無效。

　　第二十九條【管理層凌駕】管理層凌駕是指管理層出于不正當的目的而逾越現有的內部控制，以獲取個人利益、粉飾業績或掩蓋違法違規等行為。企業應當考慮建立相應的控制措施來降低管理層凌駕的風險，包括建設高度尊重誠信和道德價值觀的企業文化、設計和實施有效的舉報機制、建立健全符合企業自身實際情況的內部審計職能等。

　　第三十條【IT系統控制的考慮】運用信息技術的企業，應當加強系統開發控制、系統變化控制、數據安全性和訪問控制、計算機操作控制、應用控制、終端用戶運算控制等方面的控制，保證信息系統安全穩定運行。

　　第三十一條【應急機制】企業應當建立突發事件應急處理機制，對可能發生的重大風險或突發事件，制定應急預案、明確責任人員，確保突發事件得到及時妥善處理。

　　第三十二條【反舞弊】根據風險評估的結果，舞弊風險較高的企業，應當建立反舞弊機制，明確反舞弊工作的重點領域和關鍵環節，強化對可能誘發舞弊的動機和壓力、舞弊的機會以及員工對舞弊行為的認識等方面的管理和監控。舞弊事項一旦發生，應針對舞弊案件進行及時調查、處理、報告和補救。

　　必要時，企業可以建立舉報流程，設置獨立的舉報專線，并應當讓全體員工、客戶、供應商和其他利益相關方知曉。

　　第三十三條【更新維護】企業應持續關注并檢查控制活動的有效性，在發生以下情況時組織內部控制體系的更新與優化：

　　(一)企業戰略方向、業務范疇、經營管理模式、管理層發生重大變化;

　　(二)企業風險發生重大變化;

　　(三)發現冗余、過時或低效的控制活動;

　　(四)通過監督發現無法整改的重大問題;

　　(五)關鍵崗位人員勝任能力不足;

　　(六)出現大量的例外事項;

　　(七)外部監管要求規定的調整。

　　第三章監督評價

　　第三十四條【監督評價要求】企業應當結合自身業務特性、經營環境、風險水平等因素建立適當的內部控制監督評價機制，對內部控制體系的設計和運行情況進行評價。

　　第三十五條【監督人員要求】企業應當選用具備勝任能力的人員履行內部控制的監督職能，且監督人員不得由控制執行人員兼任。同時，控制責任人所執行的控制檢查并不能替代監督。

　　具備條件的企業，可以建立內部審計職能或通過業務外包，實現對內部控制有效性的監督，以提高評估的質量和客觀性，并確保足夠的評估范圍和頻率。

　　第三十六條【監督方法】企業可高效靈活地采用適當的方法實現監督。監督方法包括但不限于在業務流程中嵌入檢查、分析、審核等實時監督活動，以及獨立的經營分析、抽查、重新執行、專項檢查等活動及其組合，以發現內部控制的設計和執行缺陷。

　　第三十七條【監督方式】企業對內部控制的有效性進行評價，可選擇的方式包括開展全面系統的監督評價，或者針對某個專題開展單獨的不定期的監督評價，也可以將上述兩種方式組合起來開展內部控制監督評價。

　　第三十八條【監督重點】企業監督應重點關注的領域包括但不限于：

　　(一)高風險領域;

　　(二)人員勝任能力不足的領域;

　　(三)關鍵崗位人才流失的領域;

　　(四)與新開展的業務、新采用的技術、新進或新調整崗位的人員相關的領域;

　　(五)無法實現職責分離的領域;

　　(六)同業已發生新問題的領域;

　　(七)重大的例外事項;

　　(八)其他法律法規要求監督的領域。

　　第三十九條【缺陷認定與溝通】企業應對監督活動中發現的內部控制缺陷進行評價，分析缺陷的性質、產生的原因以及影響程度，按其影響程度分為重大缺陷、重要缺陷和一般缺陷，提出整改方案，并及時與整改責任方溝通，其中重大及重要缺陷應當向企業主要負責人報告。

　　重大缺陷，是指一個或多個控制缺陷的組合，可能導致企業嚴重偏離控制目標。

　　重要缺陷，是指一個或多個控制缺陷的組合，其嚴重程度和經濟后果低于重大缺陷，但仍有可能導致企業偏離控制目標。

　　一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。

　　重大缺陷、重要缺陷和一般缺陷的具體認定標準，由企業根據上述要求自行確定。

　　第四十條【整改跟進】企業應當跟蹤內部控制缺陷整改情況，確保整改責任方及時采取整改措施。

　　對于無法整改或無法及時整改的缺陷，應評估相關人員的勝任能力以及內部控制設計的合理性，進而對內部控制活動做出相應更新調整，推動企業內部控制體系的持續完善和優化。

　　第四十一條【評價頻率及報告】企業應當至少每年開展一次全面系統的監督評價，還可以根據自身實際需要開展不定期專項評價。

　　企業可以根據評價結果編制內部控制評價報告，提交企業主要負責人審閱。內部控制評價報告應當至少包括內部控制評價的范圍、內部控制缺陷及其認定情況、針對內部控制缺陷擬采取的整改措施及整改情況等內容。

　　第四章實施保障機制

　　第四十二條【總述】建立并實施保障機制是內部控制體系得以有效運轉的重要基礎，保障機制應當貫穿于內部控制建設、日常運行及監督評價的全過程中。

　　第四十三條【企業文化】企業應積極培育具有自身特色的企業文化，樹立積極向上的價值觀、誠實守信的經營理念和開拓創新的企業精神，積極履行社會責任。企業主要負責人應以身作則、率先垂范，通過其自身言行傳達企業文化。

　　第四十四條【行為準則】企業應當建立明確的行為準則，通過溝通和培訓，將與誠信、道德相關的企業價值觀傳達給員工、服務供應商和業務合作伙伴。

　　企業應關注并評價員工對行為準則的遵守情況，發現異常現象和不當行為，應及時調查，并采取適當的糾正措施，以表現企業對違規行為的明確態度。

　　第四十五條【信息收集】企業應當明確信息需求，在考慮成本效益原則的基礎上，選擇靈活便捷的方式收集、分析和篩選跟企業相關的信息。企業可以鼓勵員工通過業務數據分析，利益相關方的反饋、市場的反應等渠道直接獲取第一手信息，并及時傳遞到企業管理人員供其進一步甄別、分析和決策。

　　第四十六條【內部溝通】企業應當靈活選擇適合本企業實際情況的內部信息溝通方式，以確保整個組織內各管理層級、業務部門之間，以及所有業務和環節的溝通順暢，推動全員了解、傳遞和報告準確的管理和內部控制信息，包括業務和內部控制的運行情況、發生的變化、出現的問題等，以支持內部控制的有效運行。

　　第四十七條【外部溝通】企業應當考慮溝通內容、時間要求、法律法規要求等因素靈活選擇與外部的信息溝通方式，及時與外部投資者、債權人、客戶、供應商、中介機構和監管部門等有關方面之間進行溝通和反饋。對于信息溝通過程中發現的問題，應當及時報告并加以解決，其中重要信息應確保連續性和可追溯性。

　　第四十八條【人力資源政策】企業應當明確和實施有利于可持續發展的、符合相關法律法規的人力資源政策，吸引、培養和留用符合企業要求的人才，實現人力資源的合理配置。

　　第四十九條【激勵機制】企業應當根據各層級的責任，確定績效考核、激勵以及適當的獎勵機制。績效考核所采用的指標應適當，避免對員工產生過度壓力而誘發舞弊和不當行為。

　　企業應定期對績效衡量、激勵和獎勵機制的持續相關性和適當性進行審閱，以保證其能實現激勵和獎勵作用。

　　第五十條【內控問責】企業應當結合業務特點建立有效的內部控制問責機制，將內部控制的相關責任傳達、落實到部門和員工，并將對內部控制實施的考核納入企業績效考核的范圍，促進內部控制的有效實施。

　　第五章附則

　　第五十一條【解釋權歸屬】本規范由財政部負責解釋。

　　第五十二條【時效】本規范自2017年1月1日起實施。

【小型企業內部控制規范】相關文章：

企業內部控制基本規范內容11-16

企業內部控制審計報告12-12

小企業內部控制調查報告（通用10篇）09-03

小型團建方案08-04

師德規范06-25