基于COSO报告的企业内部控制体系构建

一、内部控制理论的最新发展——ERM报告美国反虚假财务报告委员会(Treadway委员会)的发起组织委员会(Committee of Sponsoring Organization of the Treadway Committee,简称COSO)于1992年发布了《内部控制——整体框架》报告,即COSO报告,并于1994年进行了修订。该报告在沿用了多年以后,Treadway委员会在吸收与修改该报告的基础上,于2004年底颁布了一个全新的COSO报告

维普资讯 http://

内部控制 I E A O RO I RN LC NT L NT

基于 C 报告的企业内部控制体系构建 OS O宜昌市獍亭区财政局刘丽萍一

、

内部控制理论的最新发展—— R E M报告( o mie fS o sr g O gnzt n o e Ted a C m t eo pno n rai i ft raw y t i ao h

识别、评估和反应，还影响企业控制活动、信息和沟通系统以及监控活动的设计和执行。(目标设定。了实现企业的发展， 2)为管理者必须首先确定企业的目标，才能确定对目标实现有潜在影响的

美国反虚假财务报告委员会 ( raw y Ted a委员会 )的发起组织委员会

C m t e简称 C S于 19发布了《内部控制——整体框 o mie, t O O) 9 2年架》报告， C S即 O O报告，并于 19 94年进行了修订。该报告在沿用了多年以后， r d a委员会在吸收与修改该报告的基础上， Te w y a于 20 0 4年底颁布了一个全新的 C S O O报告，《业风险管理——即企总体框架》( n rr e i n gm n, E t pi s Maae e t简称 E M) R把内 e sR k R。E M部控制框架囊括其中，使企业风险管理框架能更好地满足企业内部控制的需要。

事项。而企业风险管理为管理者提供一个将企业的任务或预期、企业目标和企业的风险偏好有效结合起来的过程，保证制定的目标

与企业的风险偏好相一致。 (事件识别。由于企业目标的实现 3)存在着诸多的不确定性，管理者应对影响一个企业成功实现战略达到目标的能力的潜在事件进行识别。潜在事件可能是对企业有

正面影响的事项，或者是企业的机遇，或者是可以抵消风险对企业的负面影响的事项，企业管理者可以将其引入到企业战略或目标制定的过程；有负面影响的事项是企业的风险，可能潜在的负面影

( ) R确立的企业内部控制目标 E M报告突出了企业一 EM R

的战略定位，将企业内部控制目标分成四类：战略性目标，即高层次目标，目标的层次比其他三个目标更高，该与主体的使命相关联并支持该使命；营性目标，经即资源利用的效果和效率；告性目报 标，即报告的可靠性，目标涵盖了企业的所有报告；该遵循性目标，即遵循可应

用的法律与规则。四目标分类法明确了企业各层次管

响的事项要求企业的管理者应在风险的评估和回应阶段予以考虑。(风险评估。了解潜在事项如何影响企业目标的实现， 4)为管

理者必须对企业的风险进行评估，识别和分析那些妨碍实现经营管理目标因素的活动。管理者应从风险发生的可能性和影响两个方面对风险进行评估。 (风险回应。在对风险进行相应的评估 5)后，管理者应当制定适当的措施，制定不同风险回应方案，具体包括规避风险、减少风险、共担风险和接受风险四类。 6) (控制活动。 控制活动是为确保管理层的风险回应方案得到正确执行而采取的政策和程序，贯穿于整个组织、阶层、各各功能。企业管理阶层辩识风险，针对这种风险发出必要的指令，就需要控制活动，批应这如

理人员的特定职责，企业管理层和起监管作用的董事会能及时意识到企业目标实现的程度。 R E M指出，报告性目标和遵循性目标属于企业内部控制的范围，R为这两类目标的实现提供了合理保 EM证；但战略性目标和经营性目标，不在企业控制范围内，因此对这两类目标，R E M只能合理保证。 ( )R二 E M报告构成要素主要包括： 1内部环境。 ()企业内

准、授权、审核、整、调经营业绩评价、资产安全以及职责分离等，其

部环境是指在企业内部影响企业经营管理要素的集合，是其他所有风险管理要素的基础，为其他要素提供规则和结构。企业内部环

目标是经风险评估确定的管理和控制风险措施能够有效落实。(信息与沟通。企业内部和外部的相关信息必须以一定的格式 7)和时间间隔进行收集、确认和传递，使得信息在企业内外进行沟

境不仅影响企业战略和目标的制定、业务活动的组织及对风险的

待。从业务部门管理的角度来看，需要有相应的流程来实现业务需

目标涵盖了数据的整个生命周期中的不同阶段和特征，包括数据的格式；源文档的控制、数据输入、处理和输出的控制；数据存储媒质的识别、移动和数据存放点的管理；数据备份和恢复、数据验证和完整性的管理、数据所有权的定义、数据管理政策、数据模型和数据标准、整个系统应用平台上的数据的一致性；涉及数据管理的法律和法规要求等。(设施管理。 3)在该过程中，信息

服务部门需

求； I门管理的角度来看，从 T部业务就是为系统用户或使用部门提供满足他们业务需求的信息服务，确保信息应用和技术解决手

段能够得到很好的利用。在 C BT中， OI这种控制体现在企业是否有结构化的手段来制定和开发用户手册、运作流程、服务要求和培训材料等。另外还必须考虑其他方面的因素：务流程设计，序业程

的需求与技术交付的同等重要性，开发编制程序的及时性，用户程序和控制，运作管理程序和控制，培训材料，变更管理等。 其二，会计信息系统交付和支持控制，包含控制系统安全、数据管理、设施管理等。( ) 1控制系统安全。业务需求除了要求系统从功能上满足外，同时也必须反映出业务运行中的秩序和相应的

要提供合适的物理环境来保护 I设备和相关人员免受人为的和 T非人为的危害。了确保有效性， O I为 C BT的控制目标就是为了让企业有合适的系统安置环境以及对安置环境有很好的物理控制，并

对定期的控制有效性进行评估。在控制目标的审核中， O I C BT重点关注：对设施访问的控制；物理环境的安全性；业务持续性机会和危机管理机制的合理性；相关人员的健康和安全等。参考文献：

控制机制。 O I C BT关注和审核的对象包括：对信息机密程度和有关隐私信息的定义；授权，身份甄别和系统访问的控制；系统用户的识别和授权的相关信息；密钥管理；防火墙的管理等。 (数据管 2)理。确保数据在输入、更新和存储过程中的完整性、准确性和有效性是信息服务管理中的核心环节。此过程中， O I主要控制在 C BT的

[] 1詹姆斯 霍尔：信息系统审计与鉴证》, A 《中心出版社20 0 3年版。 (辑编余俊娟 )

酣佘通孔 理财 20年第9 08期