控制活動

內部控制的五個原則與五大要素

第1頁–第7頁

內部控制的五個原則與五大要素

每個企業(yè)都會遇到內控問題，這個問題永遠都不會過時，你要自己對照一下，這個企業(yè)

是否做到，是否存在重大和重要的缺陷。

內部控制原則

內部控制原則是企業(yè)建立與實施內部控制應當遵循的基本指針。企業(yè)建立與實施內部控

制應當遵循5項原則，即全面性、重要性、制衡性、適應性和成本效益原則。

（一）全面性原則

內部控制應當貫穿決策、執(zhí)行和監(jiān)督全過程，覆蓋企業(yè)及其所屬單位的各種業(yè)務和事項

實現(xiàn)全過程、全員性控制，不存在內部控制空白點。

（二）重要性原則

內部控制應當在全面控制的基礎上，關注重要業(yè)務事項和高風險領域，并采取更為嚴格

的控制措施，確保不存在重大缺陷。重要性原則的應用需要一定的職業(yè)判斷，企業(yè)應當根據(jù)

所處行業(yè)環(huán)境和經營特點，從業(yè)務事項的性質和涉及金額兩方面來考慮是否及如何實行重點

控制。

（三）制衡性原則

內部控制應當在治理結構、機構設置及權責分配、業(yè)務流程等方面形成相互制約、相互

監(jiān)督，同時兼顧運營效率。制衡性原則要求企業(yè)完成某項工作必須經過互不隸屬的兩個或兩

個以上的崗位和環(huán)節(jié)；同時，還要求履行內部控制監(jiān)督職責的機構或人員具有良好的獨立性。

（四）適應性原則

內部控制應當與企業(yè)經營規(guī)模、業(yè)務范圍、競爭狀況和風險水平等相適應，并隨著情況

的變化加以調整。適應性原則要求企業(yè)建立與實施內部控制應當具有前瞻性，適時地對內部

控制系統(tǒng)進行評估，發(fā)現(xiàn)可能存在的問題，并及時采取措施予以補救。

（五）成本效益原則

內部控制應當權衡實施成本與預期效益，以適當?shù)某杀緦崿F(xiàn)有效控制。成本效益原則要

求企業(yè)內部控制建設必須統(tǒng)籌考慮投入成本和產出效益之比。對成本效益原則的判斷需要從

企業(yè)整體利益出發(fā)，盡管某些控制會影響工作效率，但可能會避免整個企業(yè)面臨更大損失，

此時仍應實施相應控制。

內部控制要素

內部控制的五個原則與五大要素

第2頁–第7頁

借鑒COSO（CommitteeofSponsoringOrganizationsoftheTreadwayCommission,

全美反欺詐財務報告委員會下屬的發(fā)起人委員會，該委員會于1992年頒布了《內部控制—

整體框架》，提出了五要素的觀點。COSO內部控制框架是美國證券交易委員會唯一推薦使用

的內部控制框架，同時《薩班斯法案》第404條款的「最終細則」也明確表明COSO內部控

制框架可以作為評估企業(yè)內部控制的標準。）報告框架，我國《企業(yè)內部控制基本規(guī)范》將

內部控制的要素歸納為內部環(huán)境、風險評估、控制活動、信息與溝通、內部監(jiān)督5大方面。

（一）內部環(huán)境包括1.治理結構

公司治理結構指的是內部治理結構，又稱法人治理結構，是根據(jù)權力機構、決策機構、

執(zhí)行機構和監(jiān)督機構相互獨立、權責明確、相互制衡的原則實現(xiàn)對公司的治理。

治理結構是由股東大會、董事會、監(jiān)事會和管理層組成的，決定公司內部決策過程和利

益相關者參與公司治理的辦法，主要作用在于協(xié)調公司內部不同產權主體之間的經濟利益矛

盾，減少代理成本。

2.機構設置與權責分配

公司制企業(yè)中股東大會（權力機構）、董事會（決策機構）、監(jiān)事會（監(jiān)督機構）、總經

理層（日常管理機構）這四個法定剛性機構為內部控制機構的建立、職責分工與制約提供了

基本的組織框架，但并不能滿足內部控制對企業(yè)組織結構的要求，內部控制機制的運作還必

須在這一組織框架下設立滿足企業(yè)生產經營所需要的職能機構。

●所采用的組織結構應當有利于提升管理效能，并保證信息通暢流動。

3.內部審計機制

內部審計控制是內部控制的一種特殊形式。根據(jù)中國內部審計協(xié)會的解釋，內部審計是

指組織內部的一種獨立客觀的監(jiān)督和評價活動，它通過審查和評價經營活動及內部控制的適

當性、合法性和有效性來促進組織目標的實現(xiàn)。

內部審計的范圍主要包括財務會計、管理會計和內部控制檢查。內部審計機制的設立包

括內部審計機構設置、人員配備、工作開展及其獨立性的保證等。

4.人力資源政策

人力資源政策是影響企業(yè)內部環(huán)境的關鍵因素，它所包括的雇用、培訓、評價、考核、

晉升、獎懲等業(yè)務，向員工傳達著有關誠信、道德行為和勝任能力的期望水平方面的信息，

這些業(yè)務都與公司員工密切相關，而員工正是公司中執(zhí)行內部控制的主體。

一個良好的人力資源政策，能夠有效地促進內部控制在企業(yè)中的順利實施，并保證其實

施的質量。

5.企業(yè)文化

企業(yè)文化體現(xiàn)為人本管理理論的最高層次。企業(yè)文化重視人的因素，強調精神文化的力

量，希望用一種無形的文化力量形成一種行為準則、價值觀念和道德規(guī)范，凝聚企業(yè)員工的

內部控制的五個原則與五大要素

第3頁–第7頁

歸屬感、積極性和創(chuàng)造性，引導企業(yè)員工為企業(yè)和社會的發(fā)展而努力，并通過各種渠道對社

會文化的大環(huán)境產生作用。

（二）風險評估

風險評估是企業(yè)及時識別、科學分析經營活動中與實現(xiàn)控制目標相關的風險，合理確定

風險應對策略，是實施內部控制的重要環(huán)節(jié)。風險評估主要包括目標設定、風險識別、風險

分析和風險應對。

1.目標設定

風險是指一個潛在事項的發(fā)生對目標實現(xiàn)產生的影響。風險與可能被影響的控制目標相

關聯(lián)。企業(yè)必須制定與生產、銷售、財務等業(yè)務相關的目標，設立可辨認、分析和管理相關

風險的機制，以了解企業(yè)所面臨的來自內部和外部的各種不同風險。

企業(yè)開展風險評估，應當準確識別與實現(xiàn)控制目標相關的內部風險與外部風險，確定相

應的風險承受度。風險承受度是企業(yè)能夠承擔的風險限度，包括整體風險承受能力和業(yè)務層

面的可接受風險水平。

2.風險識別

風險識別實際上是收集有關損失原因、危險因素及其損失暴露等方面信息的過程。風險

識別作為風險評估過程的重要環(huán)節(jié)，主要回答的問題是：存在哪些風險，哪些風險應予以考

慮，引起風險的主要因素是什么，這些風險所引起的后果及嚴重程度如何，風險識別的方法

有哪些等。而其中企業(yè)在風險評估過程中，更應當關注引起風險的主要因素，應當準確識別

與實現(xiàn)控制目標有關的內部風險和外部風險。

3.風險分析

風險分析是在風險識別的基礎上對風險發(fā)生的可能性、影響程度等進行描述、分析、判

斷，并確定風險重要性水平的過程。企業(yè)應當在充分識別各種潛在風險因素的基礎上，對固

有風險，即不采取任何防范措施可能造成的損失程度進行分析，同時，重點分析剩余風險，

即采取了相應應對措施之后仍可能造成的損失程度。企業(yè)應當采用定性與定量相結合的方法，

按照風險發(fā)生的可能性及其影響程度等，對識別的風險進行分析和排序，確定關注重點和優(yōu)

先控制的風險。

4.風險應對

企業(yè)應當在分析相關風險的可能性和影響程度基礎上，結合風險承受度，權衡風險與收

益，確定風險應對策略。企業(yè)應合理分析、準確掌握董事、經理及其他高級管理人員、關鍵

崗位員工的風險偏好，采取適當?shù)目刂拼胧?，避免因個人風險偏好給企業(yè)經營帶來重大損失。

企業(yè)管理層在評估了相關風險的可能性和后果，以及成本效益之后要選擇一系列策略使

剩余風險處于期望的風險容限以內。常用的風險應對策略有：

（1）風險規(guī)避。

風險規(guī)避，即改變或回避相關業(yè)務，不承擔相應風險，是企業(yè)對超出風險承受度的風險，

通過放棄或者停止與該風險相關的業(yè)務活動以避免和減輕損失的策略。例如：由于雨雪天氣，

航空公司取消某次航班；企業(yè)拒絕與不守信用的廠商有業(yè)務來往；新產品在試制階段發(fā)現(xiàn)問

內部控制的五個原則與五大要素

第4頁–第7頁

題而果斷地停止研發(fā)。

（2）風險承受。

風險承受，即比較風險與收益后，愿意無條件承擔全部風險，是企業(yè)在權衡成本效益之

后，對風險承受度之內的風險，不準備采取控制措施降低風險或者減輕損失的策略。例如：

企業(yè)設有一個小型倉庫，平時就存放一些待處理的設備（市場價值很?。?，如果為了防止這

些設備被盜偷而專門雇傭一個保管員，那么這時支付保管員的費用要遠高于設備的價值，顯

然，不符合成本效益原則，因此，對于這種存在的失竊風險企業(yè)就應該采用風險承受策略。

（3）風險降低。

風險降低，即采取一切措施降低發(fā)生不利后果的可能性,是企業(yè)在權衡成本效益之后，

準備采取適當?shù)目刂拼胧┙档惋L險或者減輕損失，將風險控制在風險承受度之內的策略，包

括兩類措施：風險預防和風險抑制。

（4）風險分擔。

風險分擔，即通過購買保險、外包業(yè)務等方式來分擔一部分風險,是企業(yè)準備借助他人

力量，采取業(yè)務分包、購買保險等方式和適當?shù)目刂拼胧?，將風險控制在風險承受度之內的

策略。常見的措施有業(yè)務分包、購買保險等。例如：大學里學生宿舍的管理外包給物業(yè)公司

負責，這是由于大學本身不具有物業(yè)管理的能力，通過外包的方式轉移了與物業(yè)相關的風險；

公司給某些關鍵設備購買財產保險來轉移風險。

風險應對策略往往是結合運用的。同時企業(yè)應當結合不同發(fā)展階段和業(yè)務拓展情況，持

續(xù)收集與風險變化相關的信息，進行風險識別和風險分析，及時調整風險應對策略。

（三）控制活動

控制活動是指企業(yè)根據(jù)風險應對策略，采用相應的控制措施，將風險控制在可承受度之

內，是實施內部控制的具體方式。常見的控制措施有：不相容職務分離控制、授權審批控制、

會計系統(tǒng)控制、財產保護控制、預算控制、運營分析控制和績效考評控制等。企業(yè)應當結合

風險評估結果，通過手工控制與自動控制、預防性控制與檢查性控制相結合的方法，運用相

應的控制措施，將風險控制在可承受度之內。

1.不相容職務分離控制

所謂不相容職務，是指那些如果由一個人擔任既可能發(fā)生錯誤和舞弊行為，又可能掩蓋

其錯誤和舞弊行為的職務。

2.授權審批控制

授權批準是指企業(yè)在辦理各項經濟業(yè)務時，必須經過規(guī)定程序的授權批準。授權審批控

制要求企業(yè)根據(jù)常規(guī)授權和特別授權的規(guī)定，明確各崗位辦理業(yè)務和事項的權限范圍、審批

程序和相應責任。

3.會計系統(tǒng)控制

會計作為一個信息系統(tǒng)，對內能夠向管理層提供經營管理的諸多信息，對外可以向投資

者、債權人等提供用于投資等決策的信息。會計系統(tǒng)控制主要是通過對會計主體所發(fā)生的各

項能用貨幣計量的經濟業(yè)務進行記錄、歸集、分類、編報等進行的控制。

內部控制的五個原則與五大要素

第5頁–第7頁

4.財產保護控制

財產保護控制是指為了確保企業(yè)財產物資安全、完整所采用的各種方法和措施。財產是

企業(yè)資金、財物及民事權利義務的總和，按是否具有實物形態(tài)，分為有形財產（如資金、財

物）和無形財產（如著作權、發(fā)明權），按民事權利義務，分為積極財產（如金錢、財物及

各種權益）和消極財產（如債務）。財產是企業(yè)開展各項生產經營活動的物質基礎，企業(yè)應

采取有效措施，加強對企業(yè)財產物資的保護。

5.預算控制

預算是企業(yè)未來一定時期內經營、資本、財務等各方面的收入、支出、現(xiàn)金流的總體計

劃。預算控制是內部控制中使用得較為廣泛的一種控制措施。通過預算控制，使得企業(yè)的經

營目標轉化為各部門、各個崗位以至個人的具體行為目標，作為各責任企業(yè)的約束條件，能

夠從根本上保證企業(yè)經營目標的實現(xiàn)。

6.運營分析控制

運營活動分析，曾被稱為經營活動分析，但實際上運營活動是比經營活動范疇更廣，更

能夠全面涵蓋企業(yè)活動的提法。運營分析是對企業(yè)內部各項業(yè)務、各類機構的運行情況進行

獨立分析或綜合分析，進而掌握企業(yè)運營的效率和效果，為持續(xù)的優(yōu)化調整奠定基礎。

企業(yè)運營活動分析的方法包括定性分析法和定量分析法。定性分析法可以有專家建議法、

專家會議法、主觀概率法和特爾菲法（通過函詢的方式收集專家意見，對未來進行直觀預測

的一種定性方法）。定量分析法可以有對比分析法、趨勢分析法、因素分析法和比率分析法。

運營分析控制要求企業(yè)建立運營情況分析制度，綜合運用生產、購銷、投資、籌資、財

務等方面的信息，通過因素分析、對比分析、趨勢分析等方面，定期開展運營情況分析，發(fā)

現(xiàn)存在的問題，及時查明原因并加以改進。

7.績效考評控制

績效考評是對所屬企業(yè)及個人占有、使用、管理與配置企業(yè)經濟資源的效果進行的評價。

績效考評是一個過程，即首先明確企業(yè)要做什么（目標和計劃），然后找到衡量工作做得好

壞的標準進行監(jiān)測（構建指標體系并進行監(jiān)測），發(fā)現(xiàn)做得好的（績效考核），進行獎勵（激

勵機制），使其繼續(xù)保持或者做得更好，能夠完成更高的目標。更為重要的是，發(fā)現(xiàn)不好的

地方，通過分析找到問題所在，進行改正，使得工作做得更好（績效改進）。這個過程就是

績效考評過程。企業(yè)為了完成這個管理過程所構建起來的管理體系，就是績效考評體系。

（四）信息與溝通

信息與溝通是企業(yè)及時、準確地收集、傳遞與內部控制相關的信息，確保信息在企業(yè)內

部、企業(yè)與外部之間進行有效溝通，是實施內部控制的重要條件。企業(yè)應當建立信息與溝通

制度，明確內部控制相關信息的收集、處理和傳遞程序，確保信息及時溝通，促進內部控制

有效運行。信息與溝通的要件主要包括：信息質量、溝通制度、信息系統(tǒng)、反舞弊機制。

1.信息質量

信息是企業(yè)各類業(yè)務事項屬性的標識，是確保企業(yè)經營管理活動順利開展的基礎。企業(yè)

日常生產經營需要收集各種內部信息和外部信息，并對這些信息進行合理篩選、核對、整合，

提高信息的有用性。企業(yè)可以通過財務會計資料、經營管理資料、調研報告、專項信息、內

部刊物、辦公網絡等渠道，獲取內部信息；還可以通過行業(yè)協(xié)會組織、社會中介機構、業(yè)務

內部控制的五個原則與五大要素

第6頁–第7頁

往來企業(yè)、市場調查、來信來訪、網絡媒體以及有關監(jiān)管部門等渠道，獲取外部信息。

2.溝通制度

信息的價值必須通過傳遞和使用才能體現(xiàn)。企業(yè)應當建立信息溝通制度，將內部控制相

關信息在企業(yè)內部各管理級次、責任企業(yè)、業(yè)務環(huán)節(jié)之間，以及企業(yè)與外部投資者、債權人、

客戶、供應商、中介機構和監(jiān)管部門等有關方面之間進行溝通和反饋。信息溝通過程中發(fā)現(xiàn)

的問題，應當及時報告并加以解決。重要信息須及時傳遞給董事會、監(jiān)事會和經理層。

3.信息系統(tǒng)

為提高控制效率，企業(yè)可以運用信息技術加強內部控制，建立與經營管理相適應的信息

系統(tǒng)，促進內部控制流程與信息系統(tǒng)的有機結合，實現(xiàn)對業(yè)務和事項的自動控制，減少或消

除人為操縱因素。企業(yè)利用信息技術對信息進行集成和共享的同時，還應加強對信息系統(tǒng)開

發(fā)與維護、訪問與變更、數(shù)據(jù)輸入與輸出、文件儲存與保管、網絡安全等方面的控制，保證

信息系統(tǒng)安全穩(wěn)定運行。

4.反舞弊機制

舞弊是指企業(yè)董事、監(jiān)事、經理、其他高級管理人員、員工或第三方使用欺騙手段獲取

不當或非法利益的故意行為，它是需要企業(yè)重點加以控制的領域之一。企業(yè)應當建立反舞弊

機制，堅持懲防并舉、重在預防的原則，明確反舞弊工作的重點領域、關鍵環(huán)節(jié)和有關機構

在反舞弊工作中的職責權限，規(guī)范舞弊案件的舉報、調查、處理、報告和補救程序。

反舞弊工作的重點包括：

（1）未經授權或者采取其他不法方式侵占、挪用企業(yè)資產，牟取不當利益；

（2）在財務會計報告和信息披露等方面存在的虛假記載、誤導性陳述或者重大遺漏等；

（3）董事、監(jiān)事、經理及其他高級管理人員濫用職權；

（4）相關機構或人員串通舞弊。

為確保反舞弊工作落到實處，企業(yè)應當建立舉報投訴制度和舉報人保護制度，設置舉報

專線，明確舉報投訴處理程序、辦理時限和辦理要求，確保舉報、投訴成為企業(yè)有效掌握信

息的重要途徑。舉報投訴制度和舉報人保護制度應當及時傳達至全體員工。

信息與溝通的方式是靈活多樣的，但無論哪種方式，都應當保證信息的真實性、及時性

和有用性。

（五）內部監(jiān)督

內部監(jiān)督是企業(yè)對內部控制建立與實施情況監(jiān)督檢查，評價內部控制的有效性，對于發(fā)

現(xiàn)的內部控制缺陷及時加以改進，是實施內部控制的重要保證。從定義出發(fā)，內部監(jiān)督主要

有兩個方面的意義：第一，發(fā)現(xiàn)內控缺陷，改善內部控制體系，促進企業(yè)內部控制的健全性、

合理性；第二，提高企業(yè)內部控制施行的有效性。除此之外，內部監(jiān)督也是外部監(jiān)管的有力

支撐。最后，內部監(jiān)督機制可以減少代理成本，保障股東的利益。

1.企業(yè)應當制定內部控制監(jiān)督制度，明確內部審計機構（或經授權的其他監(jiān)督機構）

和其他內部機構在內部監(jiān)督中的職責權限，規(guī)范內部監(jiān)督的程序、方法和要求。

但是內部審計機構應該獨立于被監(jiān)督部門。例如，它不能隸屬于財務部，否則可能

內部控制的五個原則與五大要素

第7頁–第7頁

失去應有的獨立性與謹慎性。

2.內部監(jiān)督包括日常監(jiān)督和專項監(jiān)督。

（1）日常監(jiān)督是指企業(yè)對建立與實施內部控制的情況進行常規(guī)、持續(xù)的監(jiān)督檢查。日

常監(jiān)督的常見方式包括：在日常生產經營活動中獲得能夠判斷內部控制設計與運行情況的信

息；在與外部有關方面溝通過程中獲得有關內部控制設計與運行情況的驗證信息；在與員工

溝通過程中獲得內部控制是否有效執(zhí)行的證據(jù)；通過賬面記錄與實物資產的檢查比較對資產

的安全性進行持續(xù)監(jiān)督；通過內部審計活動對內部控制有效性進行持續(xù)監(jiān)督。

（2）專項監(jiān)督是指在企業(yè)發(fā)展戰(zhàn)略、組織結構、經營活動、業(yè)務流程、關鍵崗位員工

等發(fā)生較大調整或變化的情況下，對內部控制的某一或某些方面進行有針對性的監(jiān)督檢查。

專項監(jiān)督的范圍和頻率根據(jù)風險評估結果以及日常監(jiān)督的有效性等予以確定。

專項監(jiān)督應當與日常監(jiān)督有機結合，日常監(jiān)督是專項監(jiān)督的基礎，專項監(jiān)督是日常監(jiān)督

的補充，如果發(fā)現(xiàn)某專項監(jiān)督需要經常性地進行，企業(yè)有必要將其納入日常監(jiān)督之中。

3.日常監(jiān)督和專項監(jiān)督情況應當形成書面報告，并在報告中揭示存在的內部控制缺陷。

內部監(jiān)督形成的報告應當有暢通的報告渠道，確保發(fā)現(xiàn)的重要問題能及時送達至治理層和經

理層；同時，應當建立內部控制缺陷糾正、改進機制，充分發(fā)揮內部監(jiān)督效力。

4.企業(yè)應當在日常監(jiān)督和專項監(jiān)督的基礎上，定期對內部控制的有效性進行自我評價，

出具自我評價報告。內部控制自我評價的方式、范圍、程序和頻率，除法律法規(guī)有特別規(guī)定

的，一般由企業(yè)根據(jù)經營業(yè)務調整、經營環(huán)境變化、業(yè)務發(fā)展狀況、實際風險水平等自行確

定。