【財務管理內部審計 】內部審計講義報告制度

財務管理內部審計內部審計講義報告制度 COSO 報告目錄目錄管理層概述 1總體構架 111 定義 132 控制環(huán)境 233 風險評估 334 控制活動 495 信息和交流 596 監(jiān)控 697 內部控制的局限 798 作用和職責 83附錄A 學習本文的相關事項及背景知識 93B 方法體系 99C 對定義的看法和使用 105D 反饋意見 111E 術語 119第一部分：管理層概述管理層概述高層管理人員一直在探求更好的企業(yè)經營控制之道。內部控制致力于促使企業(yè)向著贏利和完成自身使命的目標運行,并使這一過程中的意外最小化。內部控制使管理層能夠應對瞬息萬變的經濟和競爭環(huán)境,客戶不斷變換的需求和偏好,并進行重組以利于公司的未來發(fā)展。內部控制有利于提高企業(yè)經營效率,降低資產損失風險,有助于保證財務報表的可靠性、企業(yè)經營活動的合法合規(guī)性。 鑒于內部控制具有上述的重要性,因此對提高內控系統(tǒng)及其報告質量的需求日益增加。內部控制日益被視為諸多潛在問題的解決方案。什么是內部控制內部控制對不同的人有不同的含義。這一概念在商業(yè)界人士、法律界人士、監(jiān)管當局和其他人士之間容易引起混淆。由此造成的誤解和期望值的差異往往給企業(yè)帶來問題。一旦內部控制這一名詞未經清楚定義就寫入法律、規(guī)章或規(guī)則,問題便復雜化了。本文是針對管理層的需要和期望而寫的。本文對內部控制的定義服務于以下目的：ll確立一個滿足各方需要通用的定義。提供一個標準無論規(guī)模大小、公用和私人性質、贏利和非贏利,使各類企業(yè)都能以此對其內部控制制度進行評估和改進。內部控制廣義上可定義為一個受企業(yè)董事會、經理層和其他人員影響的,為達到下列目標提供合理的保證的程序：lll經營的效果和效率財務報告的可靠性法律法規(guī)的遵循性第一類目標指企業(yè)的基本經營目標,包括業(yè)績、贏利指標和資源保護。第二類目標指編制可靠的公開財務報表的,包括中期和簡略財務報表,以及從這些財務報表中摘出的數據（如利潤分配數據）。第三類目標指企業(yè)經營必須符合相關的法律法規(guī)。以上三類目標既相互獨立又相互聯(lián)系,分別代表不同的需求,需要對它們作專門研究。內部控制制度依據其運行的有效性程度而有所不同。因此,這三類目標又可據此進行劃分,如果董事會和經理層能夠合理的保證：lll他們清楚地知道企業(yè)經營目標實現(xiàn)的程度公開財務報表的編制是可靠的企業(yè)適用的法律得到遵守雖然內部控制是一個過程,它的效果卻表現(xiàn)為在某一時點上這一過程的狀態(tài)。 內部控制包括五個相互聯(lián)系的要素。它們源自管理層的經營方式,并與管理過程緊密相連。盡管此五項要素適用于各類企業(yè),但是中小企業(yè)對其應用可能不同于大型企業(yè)。中小企業(yè)的內部控制可能不及大型企業(yè)正式、組織性強,但其內部控制也可能是有效的。內部控制的五項要素為：l控制環(huán)境控制環(huán)境決定了企業(yè)的基調,直接影響企業(yè)員工的控制意識?？刂骗h(huán)境提供了內部控制的基本規(guī)則和構架,是其他四要素的基礎?？刂骗h(huán)境包括員工的誠信度、職業(yè)道德和才能；管理哲學和經營風格；權責分配方法、人事政策；董事會的經營重點和目標等。l風險評估每個企業(yè)都面臨諸多來自內部和外部的有待評估的風險。風險評估的前提是使經營目標在不同層次上相互銜接,保持一致。風險評估指識別、分析相關風險以實現(xiàn)既定目標,從而形成風險管理的基礎。由于經濟、產業(yè)、法規(guī)和經營環(huán)境的不斷變化,需要確立一套機制來識別和應對由這些變化帶來的風險。l控制活動控制活動指那些有助于管理層決策順利實施的政策和程序。控制行為有助于確保實施必要的措施以管理風險,實現(xiàn)經營目標。控制行為體現(xiàn)在整個企業(yè)的不同層次和不同部門中。它們包括諸如批準、授權、查證、核對、復核經營業(yè)績、資產保護和職責分工等活動。l信息和交流公平的信息必須被確認、捕獲并以一定形式及時傳遞,以便員工履行職責。信息系統(tǒng)產出涵蓋經營、財務和遵循性信息的報告,以助于經營和控制企業(yè)。信息系統(tǒng)不僅處理內部產生的信息,還包括與企業(yè)經營決策和對外報告相關的外部事件、行為和條件等。有效的交流從廣義上說是信息的自上而下、橫向以及自下而上的傳遞。所有員工必須從管理 層得到清楚的信息,認真履行控制職責。員工必須理解自身在整個內控系統(tǒng)中的位置,理解個人行為與其他員工工作的相關性。員工必須有向上傳遞重要信息的途徑。同時,與外部諸如客戶、供應商、管理當局和股東的之間也需要有效的交流。l監(jiān)控內部控制系統(tǒng)需要被監(jiān)控,即對該系統(tǒng)有效性進行評估的全過程。可以通過持續(xù)性的監(jiān)控行為、獨立評估或兩者的結合來實現(xiàn)對內控系統(tǒng)的監(jiān)控。持續(xù)性的監(jiān)控行為發(fā)生在企業(yè)的日常經營過程中,包括企業(yè)的日常管理和監(jiān)督行為、員工履行各自職責的行為。獨立評估活動的廣度和頻度有賴于風險預估和日常監(jiān)控程序的有效性。內部控制的缺陷應該自下而上進行匯報,性質嚴重的應上報最高管理層和董事會。這五項要素既相互獨立又相互聯(lián)系,形成一個有機統(tǒng)一體,對不斷變化的環(huán)境自動作出反應。內部控制制度與企業(yè)的經營行為緊密相連,因基本的商業(yè)動機而存在。內部控制成為企業(yè)內部構架的核心部分和基本理念時最為有效。這時內部控制可以支持經營質量和主動的授權,避免不必要的花費,并對環(huán)境的變化迅速作出反應。內部控制的三類目標之間具有直接聯(lián)系,他們代表了企業(yè)努力的目標；而五項要素代表了實現(xiàn)這些目標所需元素。所有五項要素都與每一類目標相聯(lián)系。為實現(xiàn)每一類目標如經營的效率和效果需要五項要素配合發(fā)揮作用,以說明經營的內部控制是有效的。內部控制的定義受人為因素影響、提供合理保證的過程,這一內在基本的概念及其不同種類的的目標、內部控制要素、內控有效性評價準則、與之相關的討論,構成這本內部控制基本構架的內容。內部控制能做什么?內部控制有助于企業(yè)實現(xiàn)其業(yè)績和利潤目標,防止資源損失,提高財務報 告的可靠性,督促企業(yè)遵守相關法律法規(guī),避免企業(yè)名譽受到損害以及受到其他不良影響?？傊?內部控制有利于企業(yè)在即定軌道中前進,避免走彎路和遭遇突然襲擊。內部控制不能做什么?不幸的是,一些人對內部控制有不合實際的預期,他們存在以下幻想：l內部控制可以確保企業(yè)的成功它能確保企業(yè)實現(xiàn)基本經營目標,至少能保證企業(yè)的生存。即使有效的內部控制也僅僅能幫助企業(yè)實現(xiàn)經營目標。它提給予管理層關于企業(yè)生長過程中的信息。但內部控制不能使一個內在水平糟糕的經理變得杰出。另外,政府政策的變化、競爭對手的行為或經濟環(huán)境都在管理層控制之外。內部控制不能保證成功,甚至不能保證生存。l內部控制可以確保財務報告的可靠性和法律法規(guī)的遵循性。此觀點也是不正確的。內部控制制度,無論設計、運行多么理想,都只能就企業(yè)目標的實現(xiàn)向管理層和董事會提供合理的,而非絕對的保證。經營目標的實現(xiàn)受到任何內控系統(tǒng)都具有的固有局限性的影響。內控系統(tǒng)的內在有限性包括以下現(xiàn)實情況：決策判斷可能失誤,簡單的錯誤可能導致大紕漏。另外,控制可能因為兩個以上人的相互勾結而趨于無效,而經理層有超越內控系統(tǒng)的權力。還有一個局限就是內控系統(tǒng)的設計必須反映以下事實,即出于資源有限性的考慮,內部控制必須考慮成本收益的匹配。因此,盡管內部控制有助于企業(yè)實現(xiàn)其目標,但它并非萬能藥。角色和職責企業(yè)的每位員工都應擔負內部控制的職責。l經理層總裁應最終負責并具有內控系統(tǒng)的“所有權”。與其他人相比較,總裁制定了最高基調,這將影響誠信度、道德品行以及構成一個 積極的控制環(huán)境的其他因素。在大公司,總裁通過督導高層管理人員檢查其經營行為來完成自身職責。高層管理人員,則向各部門負責人分配具體的控制措施和程序。在規(guī)模小些的公司,總裁常常身兼所有者和經理人雙重角色,其影響也就更加直接。在任何情況下,對于金字塔式的職責分布結構,每位經理人實際就是他所轄管職責范圍內的總裁。經理層中具有特殊意義的是財務總監(jiān)及其下屬,他們的控制行為切入企業(yè)經營的各部分。l董事會經理層對董事會負責,董事會提供管理、指引和核查。高效率的董事會成員應該是實事求是、富有才華和鉆研精神的。他們熟悉企業(yè)經營及環(huán)境,留出足夠的時間來完成董事會職責。不誠實的經理層有可能越過內部控制,忽視或壓制下屬的信息反饋,并故意誤報結果以掩蓋其行徑。一個強有力、活躍的董事會,特別是具備了有效的信息自下而上傳遞的渠道,以及完善的財務、法律和內審職能后,往往能識別和糾正這樣的問題。l內部審計人員內審人員在評價、維護企業(yè)內控系統(tǒng)有效性方面起重要作用。由于在企業(yè)中的組織地位和權威性,內部審計在監(jiān)控方面扮演重要角色。l其他人員從某種程度上說,內部控制是企業(yè)中每個人的職責,因此應成為每個人工作職責中明示或暗示的部分。實際上,所有職員都在產出內控系統(tǒng)需用的信息,或在進行與內控有效運行相關的活動。而且,所有職員都有責任向上層匯報經營中存在的問題、背離準則和違規(guī)違法行為。一些企業(yè)外部人員常常有助于企業(yè)目標的實現(xiàn)。獨立審計師通過實施獨立、客觀的監(jiān)控,通過直接的財務報表審計和間接的管理建議,來幫助管理層完成職責。其他能夠提供對有效內部控制有用信息的外部人員,包括律 師、監(jiān)管當局、客戶、財務分析師、債券評級師和新聞媒體等。外部人員,不屬于企業(yè)內控系統(tǒng)的一部分,也不對企業(yè)內控系統(tǒng)負責。本報告的組織結構本報告分四部分。第一部分“管理層總結”,是對內部控制總體構架的高度總結,是針對總裁和高級管理人員、董事會成員、律師和監(jiān)管當局而寫的。第二部分“總體構架”,對內部控制進行了定義,闡述其構成要素,為管理層、董事會及他人提供了評估內部控制有效性的準則。第三部分“外部團體報告”,是附件,對那些已經或準備公開披露其對編制財務報表進行內部控制的企業(yè)提供了指導第四部分“評估工具”,提供了對內控系統(tǒng)進行評估的有用資料。本報告目的根據本報告所能采取的行動與當事人所處的位置和承擔的職責有關：l高級管理人員多數來此學習的管理人員相信其對企業(yè)能夠基本控制。然而,許多人認為一些部門或控制環(huán)節(jié)的內控還處于發(fā)展階段或需要進一步加強。沒有人喜歡出漏子。本研究報告建議總裁創(chuàng)建一套內控系統(tǒng)的自我評價系統(tǒng)。運用此系統(tǒng),總裁以及主要經營、財務管理人員就能夠將注意力集中在關鍵問題上。一種方法是：總裁將部門負責人和業(yè)務骨干召集在一起討論內部控制的初始評估方案,然后指導其他職員和上司討論本報告中的概念,各職員在其職責范圍內檢查初始評估方案并提出反饋意見。另一種方法則包括對公司情況的初步復核、部門控制政策和內部審計程序。不管何種形式,初始評估方案應該能夠決定是否有必要,或如何進行更深層次的評估。另外,它也應能保證持續(xù)的監(jiān)管到位。評價內控系統(tǒng)所花費的時間是一種具有高回報的投資。l董事會成員董事會成員應該和高層管理人員討論企業(yè)內部控制制度的狀況并在需要時提供督導。他們應借鑒內部審計師和外部審計師 的意見。l其他人員經理和其他人員應該考慮自身控制職能在整體內控構架下如何執(zhí)行,并和高級管理人員討論加強內部控制的方法。內部審計師應該考慮其對內控系統(tǒng)的關注范圍,并將比較其評估資料與評估工具。l立法者和監(jiān)管當局立法當局認識到對任何事件都會存在誤解和不同的期望。對內部控制的理解在兩方面存在不同。首先,在內部控制的作用方面存在不同。如前所述,一些人認為內控系統(tǒng)應該能夠防止企業(yè)遭受損失,或至少能夠防止企業(yè)破產。其次,即使已在內控系統(tǒng)所能和所不能,以及“合理保證”的概念上取得一致,對于內部控制的概念和應用仍存在分歧。公司總裁非常關注監(jiān)管當局在所謂內控失敗事件發(fā)生后如何分析有關“合理性保證”的公開報告。在遵守有關管理層報告其內控情況的法律法規(guī)之前,需要對包括內控局限性的內部控制基本構架取得一致。本報告所闡述概念框架有助于達成以上共鳴。第二部分：定義第一章定義本章概要：內部控制被定義為一個受企業(yè)員工行為影響,用以完成特定目標的過程。這是一個廣義的概念,包含了對企業(yè)進行控制的各個方面,但卻強調將重點放在特定的目標上。內部控制包括五個相互聯(lián)系的要素,它們都包含在管理層經營企業(yè)的方式中。五項要素相互聯(lián)系,作為評判內控系統(tǒng)是否有效的準則。本次研究的主要目的在于協(xié)助管理層更好地控制企業(yè)行為。但內部控制對不同的人有不同的含義。大量的術語和釋義妨礙人們了對內部控制的達成共鳴。因此一個重要的目標就是將形式各異的內控概念總結成一個總體構架,以確定一個通用的定義和明確各控制要素。本構架是為適應多數觀點而設計的,并為企業(yè)的內控評價、立法機構的未來舉措以及教學研究提供了起點。 內部控制內部控制的定義如下：內部控制是一個受到董事會、經理層和其他人員影響的過程,該過程的設計是為了提供實現(xiàn)以下三類目標的合理保證：lll經營的效果和效率財務報告的可靠性法律法規(guī)的遵循性該定義反映了以下基本概念：ll內部控制是一個過程。它是實現(xiàn)目的手段,而非目的本身。內部控制受人為影響。它不僅僅是政策手冊和圖表,而且涉及企業(yè)各層次的人員。l內部控制只能向企業(yè)董事會和經理層提供合理的保證,而非絕對的保證。l內部控制是為了實現(xiàn)三類即相互獨立又相互聯(lián)系的目標。有兩個理由使我們相信以上內部控制的定義是廣泛適用的。第一,我們采訪的多數經理是這樣來看企業(yè)內部控制的。實際上,他們常常提及“控制”一詞,而且正在“控制”。第二,它適用于內部控制的多個子集。不同人可以有不同的側重點,例如,可以分別側重于財務報告和法律法規(guī)的遵循性。類似的,這一定義對企業(yè)某一部門或某一行為的內部控制也適用。該定義同時也提供了決定內控有效性的基礎,這在后面章節(jié)將會討論到。以上基本定義將在以下小節(jié)詳細討論。內部控制是一個過程內部控制并非單一的事件或環(huán)境,而是針對企業(yè)行為的一系列活動。這些活動是潛移默化的,蘊含于管理層的日常經營行為中。企業(yè)橫向和縱向的經營行為都是通過計劃、執(zhí)行和監(jiān)控這一基本過程進行的。內部控制是與這一過程密不可分的一部分,使之能夠良好運行,并監(jiān)督運行 以保持持續(xù)的相關性。它是管理層的工具,而非管理的替代品。這一定義與很多人不同,他們認為內部控制在企業(yè)的運營過程之外,是立法者和監(jiān)管當局給企業(yè)增加的負擔。內控系統(tǒng)與企業(yè)的運營緊密相連,因基本的商業(yè)動機而存在。只有內部控制成為企業(yè)內部構架中關鍵的一部分時,才最為有效。內部控制應該“嵌入”企業(yè)之中,而非“外置”在企業(yè)之外?！扒度胧健笨刂浦苯佑绊懫髽I(yè)實現(xiàn)其目標的能力,并支持企業(yè)的質量舉措。對質量的要求直接與企業(yè)的運營和控制相聯(lián)系。質量舉措已成為企業(yè)運營構架的一部分：l高層管理人員確信質量價值蘊涵于企業(yè)的經營方式中。ll確立質量目標與企業(yè)的信息收集、分析及其他過程相聯(lián)系。運用對有關競爭活動和客戶期望的認知來不斷推進質量的提高以上質量要素與有效的內控系統(tǒng)要素相重合。實際上,內部控制不僅與質量規(guī)劃緊密結合,而且對其成功起關鍵作用?！扒度胧健笨刂茖Τ杀竟?jié)約和減少反應時滯有重要作用。l多數企業(yè)面臨高度的市場競爭和節(jié)約成本的需要。在現(xiàn)有的過程上增加新程序必然會增加費用。如果將重點放在當前的運營及其對有效內部控制的影響上,并將內部控制嵌入企業(yè)的日常經營中,常能使企業(yè)避免不必要的程序和成本。l將內部控制嵌入企業(yè)的運營構架中,有助于針對新的經營行為采取新的控制措施。這種自動反應增加了企業(yè)的敏捷度和競爭力。人的因素內部控制受到企業(yè)董事會、經理層和其他人員的影響。它是通過企業(yè)員工的言行才實現(xiàn)的。人們確立企業(yè)的目標并將內控系統(tǒng)付諸實施。同樣,內部控制也影響人們的行為。人們理解、交流和行動的方式并非一成不變,每個人都有獨特的背景和才干,具有不同的需求和重點。 這些現(xiàn)實既對內部控制產生影響也受到其影響。人們必須知道各自的職責和權限。相應的,在不同職責和執(zhí)行方式之間應有明確的分工和聯(lián)系,企業(yè)的各層目標也是一樣。企業(yè)員工包括董事會、經理層和其他職員。盡管董事被視為實施監(jiān)管的主要人員,他們也進行工作指導,批準某些交易和政策。因此,董事會也是內部控制的一個重要元素。合理性保證內部控制,無論設計和執(zhí)行多么理想,也只能就企業(yè)目標的實現(xiàn)向經理層和董事會提供合理的保證。企業(yè)目標實現(xiàn)的可能性受到內部控制內在局限的影響：包括人員決策上的失誤；建立內部控制需考慮成本效益原則；人為錯誤和失誤帶來的內部控制失效。另外,內部控制會因兩個或更多人的聯(lián)合欺詐而失效。最后,經理層具有越過內控系統(tǒng)的權力。目標每個企業(yè)都有自己的使命,確立需實現(xiàn)的目標及相應戰(zhàn)略。目標的設立應針對整個企業(yè)或企業(yè)內特定行為。雖然很多目標只針對特定企業(yè),有一些還是普遍適用的,例如,幾乎對所有企業(yè)普遍適用的目標是：在企業(yè)界和客戶層保持良好的聲譽,向股東提供可靠的財務報表,以及合法合規(guī)經營。本報告將目標分為三類：lll經營關于企業(yè)資源利用的效率、效果財務報告關于編制公開財務報表的可靠性遵循性關于法律和法規(guī)的遵循性這一分類有利于將內部控制的重點放在不同方面。這些既相互獨立又相互聯(lián)系的分類體現(xiàn)了不同的需求,也可能是不同管理人員的職責。這一分類還利于區(qū)分每類控制的可能結果。內控系統(tǒng)可以為實現(xiàn)財務報告的可靠性和法律法規(guī)的遵循性目標提供合理的保證。這些目標（很大程度上是外界施加的）的實現(xiàn)有賴于企業(yè)內控系統(tǒng)的 實施。然而,經營目標的實現(xiàn)如投資回報、市場份額、引進新產品并非完全在企業(yè)控制能力之內。內部控制并不能阻止決策失誤和意外事件的發(fā)生。只有當管理層及時了解企業(yè)向既定目標邁進的程度,內控系統(tǒng)才能為企業(yè)目標的實現(xiàn)提供合理的保證。要素內部控制包括五項相互聯(lián)系的要素。它們來自管理層經營企業(yè)的方式,并融入管理過程本身。這些要素包括：l控制環(huán)境企業(yè)的核心是人員工的特性,包括誠信、道德和能力和他們所處的環(huán)境。環(huán)境是企業(yè)發(fā)展的基礎,也是推動企業(yè)發(fā)展的引擎。l風險評估企業(yè)必須了解并應對其面臨的風險,設定目標,包括銷售、產品、營銷、財務和其他行為,使之進入即定軌道運行。還必須確立識別、分析和管理風險的機制。 圖示 1內部控制要素監(jiān)控控制行為信息和溝風險通評估控制環(huán)境控制環(huán)境提供了員工實施(控制)活動和履行控制責任的氛圍,是其他控制要素的基礎。在此環(huán)境內,經理層評估實現(xiàn)特定目標的風險?？刂苹顒邮菫榱舜_保經理層有關減少風險的措施的順利實施。同時,與之相關的信息被獲取和在組織內部傳遞。整個過程都得到監(jiān)控,并隨著環(huán)境的改變而更新。l控制活動必須確立和執(zhí)行控制政策和程序,以確保那些被管理層認為必要的減少風險的措施得以執(zhí)行。l信息和交流圍繞在控制活動周圍的是信息和交流系統(tǒng)。這些系統(tǒng)有利于企業(yè)員工獲得及交換與運作、管理和控制企業(yè)有關的信息。l監(jiān)控整個控制過程必須得到必要的監(jiān)控和修訂。這樣,內控系統(tǒng)才能對環(huán)境的變化自動反應。內部控制各項要素及其間聯(lián)系如圖示 1。該模型描述了內控系統(tǒng)的運行體制。例如,對風險的評估不僅影響控制行為,還可能強調需要重新考慮信息和溝通,或重新考慮企業(yè)監(jiān)控行為。因此,內部控制并非一項要素影響下一項要素的順序過程。它是一個幾乎任一要素都可以影響其他要素的多方向、相互作用的過程。 沒有兩個企業(yè)會或應該具有相同的內控系統(tǒng)。公司的內控系統(tǒng)因行業(yè)和規(guī)模、文化和管理層哲學而不同。因此,盡管企業(yè)都需要這幾項要素來實施對企業(yè)的控制,某一公司的內控系統(tǒng)常?？雌饋砼c另一公司的內控系統(tǒng)大相徑庭。目標和控制要素之間的關系在企業(yè)盡力要實現(xiàn)的目標,和代表實現(xiàn)這些目標需要什么的控制要素之間存在直接聯(lián)系。它們之間的聯(lián)系可用圖示 2 中的三維矩陣表示：ll三類目標經營,財務報告和遵循性用垂直柱條表示五項要素用行來表示l內控系統(tǒng)相關的企業(yè)行為用第三維表示。每行要素都貫穿、針對所有三類目標。圖例左下角部分可以作為例子：從企業(yè)內、外部而來的財務和非財務數據,作為信息和交流要素的組成部分,需要被用來有效管理企業(yè)運作,編制可靠財務報表和保證企業(yè)合法經營。另一例子（未單獨列示）,用以保證管理層規(guī)劃、戰(zhàn)略和其他指示得以貫徹的內部控制政策和程序的確立和執(zhí)行代表了控制活動這一要素也與所有三類目標有關。圖示 2控制目標和控制要素的關系經營財務報告合法性監(jiān)控信息和交流控制行為風險評估控制環(huán)境左上：控制目標和要素之間具有直接聯(lián)系,目標是企業(yè)盡力去實現(xiàn)的,而要素代表實現(xiàn)這些目標需要什么。右上：內部控制與整個企業(yè),或企業(yè)的任一部門或任一行為相關。左下：所有三類目標都需要信息以有效管理企業(yè)、編制可靠財務報表及保 證合理性。右下：所有五項要素對經營目標的實現(xiàn)都適用和重要。 類似的,所有五項要素與每類目標都有關聯(lián)。例如,對經營的效果和效率目標,所有五項要素都適用和重要。這在圖例 2 的右下角已說明。內部控制與整個企業(yè)或其中某一部分有關。這一關系用第三維表示,第三維代表附屬公司、部門、業(yè)務單位、職能單位或諸如購買、生產、營銷在內的企業(yè)行為。相應的,每個人都可以關注三維矩陣的一個單元。例如,可以考慮矩陣左下方前側的一個單元,其代表與公司特定部門經營目標相關的控制環(huán)境。有效性不同企業(yè)的內控系統(tǒng)在不同的有效性水平上運行。類似的,特定的系統(tǒng)在不同的時期運行,可能具有不同的效果。當內控系統(tǒng)滿足以下標準時,我們可以認為它是有效的：如果董事會和經理層能夠分別合理地保證在每類中任一類內部控制都可視為有效,：lll他們了解企業(yè)經營目標可以在多大程度上實現(xiàn)對外財務報表的編制是可靠的適用的法律和法規(guī)得以遵循盡管內部控制是一個過程,其有效性卻是過程中某一時點的狀態(tài)或情況。評價某一內控系統(tǒng)是否有效是一種主觀判斷,判斷來自對五項要素是否存在及有效運行的評估。內控系統(tǒng)的有效運行為上述某一或多項目標的實現(xiàn)提供了合理保證。因此,這些要素也是有效內控系統(tǒng)的評價標準。盡管所有五項標準都必須滿足,但并不意味著在不同企業(yè),各項要素的功能必須完全一致或在同一水平上。在要素間存在某種平衡。由于控制服務于多重目的,服務于目的的在某一要素中的控制也可能體現(xiàn)在其他要素的控制上。另外,控制防范某一特定風險的程度也有所差異,因此,加入附加的控制措施（盡管各自具有有限的影響力）可以帶來令人滿意的效果。所有的要素和準則適用于整個內控系統(tǒng),或適用于某一或多個分類目標。例如,當考慮到其中一類目標對財務報告的控制時,所有五項準則都必須被滿足以得出對財務報告的控制是有效的這一結論。 當評判一個內部控制制度是否有效時,應該考慮以下的章節(jié)。應該認識到：由于內部控制是管理過程的一部分,因此對控制要素的討論是在l管理層如何經營企業(yè)這一背景下進行的。但并非管理層的一切行為都是內部控制的元素。例如,確立目標這一管理層重要的職責,就是內部控制的先決條件。類似的,很多管理層的決策和行為不代表內部控制。圖例 3 列出了管理層的日常行為,并標出哪些被視作內部控制的要素。（該列示并非對管理層行為方式全面或唯一的歸納）l討論的原則適用于所有規(guī)模的企業(yè)。一些中小型企業(yè)對要素的應用可能不同于大企業(yè),但其仍能擁有有效的內部控制。每一章有一部分解釋這樣的情形。l每一章包含了“評估”部分,列出了評價控制要素時應考慮的因素。這些因素并非涵蓋一切,也不是與每種環(huán)境都相關。它們僅提供例證用以開發(fā)一個更易理解或更具有針對性的評估模型。圖例 3內部控制和管理過程管理行為內部控制公司總體目標制定使命,公司價值描述戰(zhàn)略規(guī)劃建立控制環(huán)境要素操作層目標制定風險識別和分析風險管理實施控制活動信息甄別、獲取和傳遞監(jiān)控科教興國18