从中石油看企业内部控制及风险防范

,内控中心黄继业 2008.10,引 子,管理企业就好比驾驶一辆车，车速越快，越需要好的控制系统。美国著名管理学家罗伯特·安东尼,一、企业内部控制的缘起及其演变,1、什么是控制 2、安然事件及其萨班斯·奥克斯利法案 3.中航油新加坡公司巨亏事件 4、天安某些机构高官的行为 5、上述案例引发的内部控制启示 6、全球范围企业内部控制的不断完善的过程,1、什么是控制,控制是控制者掌握对象不使其任意活动或超出范围。 控制就是控制主体有一定的目标，通过各种手段使得其控制对象沿着既定的轨道朝着目标前进，如果在前进的过程由于环境的因素，控制对象的行为发生偏离，就需要及时行动进行纠正，让它回到既定的轨道。,输入（资源）,输出（目标）,发现偏差,过程或经营活动,纠正过程,从控制主体角度可分为外部控制和内部控制。 如果以企业组织为划分对象，那么来自于企业组织外部对企业的控制，就属于外部控制，如税务控制、政府审计控制；如果控制者来自于企业组织内部，就属于内部控制。,2、安然事件及其萨班斯·奥克斯利法案,安然公司在财务丑闻暴露之前，连续几年对社会和股东披露的净利润、每股盈利指标都是不错的。 安然公司曾经是美国最大的能源公司（美国500强列第7，世界500强列第16），2001年12月突然申请破产保护。,在2001年10月16日安然公布第二季度财报以前，安然公司的财报是所有投资者都乐于见到的。看看它过去的财务报告：2000年第四季度，“公司天然气业务成长翻升3倍，公司能源服务公司零售业务翻升倍”，2001年第一季度，“季营收成长4倍，是连续21个盈余成长的财季”。在安然，衡量业务成长的单位不是百分比，而是倍数，这让所有投资者都笑逐颜开。到了2001年第二季度，公司突然亏损了，而且亏损额还高达6.18亿美元！,直接导火线,有30亿美元的到期债务，而安然手中拿不出现金担保，无法得到美国联邦存款保险制度的支援，又没有公司愿意资助安然度过危机。,根本原因,内部控制缺失！,具体表现,管理层激励缺乏约束（常务副总裁2000年卖掉股票期权的收入高达2.65亿美元，高级管理人员享受公司低息贷款），过度利用金融创新工具而没有进行风险评估与风险应对、操纵利润、关联公司太多且管理混乱、缺乏监督。,然后，一直隐藏在安然背后的合伙公司开始露出水面。经过调查，这些合伙公司大都被安然高层官员所控制，安然对外的巨额贷款经常被列入这些公司，而不出现在安然的资产负债表上。这样，安然高达130亿美元的巨额债务就不会为投资人所知，而安然的一些官员也从这些合伙公司中牟取私利。,更让投资者气愤的是：安然的高层对于公司运营中出现的问题非常了解，但长期以来熟视无睹甚至有意隐瞒。包括首席执行官斯基林在内的许多董事会成员一方面鼓吹股价还将继续上升，一方面却在秘密抛售公司股票。而公司的14名监士会成员有7名与安然关系特殊，要么供职于安然支持的非盈利机构，要么正与安然进行交易，对安然的种种劣迹睁一只眼闭一只眼。,乱世重典萨班斯·奥克斯利法案,随着美国安然公司、环球电信公司会计造假丑闻的披露，暴露出美国现行体制中存在弊端。为整顿上市公司秩序、维护投资者信心，美国民主党参议员萨班斯（Sar-banes)和共和党众议员奥克斯利（Oxley)联合提出了萨班斯·奥克斯利法案，该法于2002年7月经布什总统签署正式生效。,萨班斯·奥克斯利法案,1、上市公司会计监管委员会 2、审计师的独立性 3、公司的职责 4、加强财务信息的披露 5、分析员的利益冲突 6、证券监管委员会的资源与权限 7、研究和报告 8、公司和刑事舞弊的责任 9、加强对白领刑事犯罪的惩罚 10、公司税务申报表 11、公司的舞弊行为及其相应的责任,萨班斯·奥克斯利法案,该法案的严肃性在于：公司治理被正式纳入联邦法律管辖范围，越来越多的财会欺诈者无论他是CEO或CFO都将被投入监狱，安然之后，抓坏蛋和将前车之鉴铭刻于法律条文自然成为这一阶段的主题。 该法案恰强调了公司内控的重要性，从管理者、内部审计及外部审计等几个层面对公司内控作了具体规定，并设定了问责机制和相应的惩罚措施，成为20世纪30年代美国经济大萧条以来，政府制定的涉及范围最广、处罚措施最严厉的公司法律。,第404条：管理层对公司内部控制的评价,要求公司年报中包括一份“内部控制报告”，该报告应：-明确指出公司管理层对建立和保持一套完整的与财务报告相关的内部控制系统和程序所负有的责任；并且-包含管理层在财务年度末对公司财务报告相关内部控制体系及程序的有效性的评估。,第404条：管理层对公司内部控制的评价,受托的上市公司审计师应按照上市公司会计监管委员会对审核约定所发布或采用的准则就管理层关于内部控制的评估进行鉴证并提交报告，此类鉴证约定并不构成单独的约定主体。,3.中航油新加坡公司巨亏事件,一个因成功进行海外收购曾被称为“买来个石油帝国”的企业，却因从事投机行为造成5.54亿美元的巨额亏损。一个被评为2004年新加坡最具透明度的上市公司，其总裁却被新加坡警方拘捕，接受管理部门的调查。,中航油新加坡公司巨亏事件,中航油新加坡事件是一个国企监管不到位和国企本身现代企业制度不到位的典型案例。监控机制形同虚设，陈久霖违规操作一年多无人知晓。,一是中航油集团公司的内部监控机制形同虚设,根据中航油内部规定，损失20万美元以上的交易，要提交公司风险管理委员会评估；累计损失超过35万美元的交易，必须得到总裁同意才能继续；任何将导致50万美元以上损失的交易，将自动平仓。多达5亿多美元的损失，中航油才向集团报告，而且陈久霖同时也是集团副总经理，中航油经过批准的套期保值业务是集团给其授权的，中航油集团事先没有发现问题。,二是新加坡公司基本上陈久霖一人的天下,最初公司只有陈久霖一人，2002年10月，集团公司向新加坡公司派出党委书记和财务经理。陈以财务经理外语不好为由，将其调任旅游公司经理。第二任财务经理又被安排为公司总裁助理。陈雇了新加坡当地人任财务经理，只听他一人的。党委书记在新加坡两年多，一直不知道陈久霖从事场外期货投机交易。,三是中航油集团公司和新加坡公司的风险管理制度也形同虚设,集团公司成立有风险管理委员会，制定了风险管理手册。手册明确规定，损失超过500万美元，必须报董事会。但陈久霖从来不报，集团公司也没有制衡的办法。专家指出，中航油新加坡公司所从事的并非如外界所传的“石油期货交易”，而是“场外石油衍生品交易（OTC)”，风险极大。以中航油的实力和风险控制能力，对手又是高盛等老牌高手，“翻船”是难免的。,4、天安某些机构高官的行为,某中支夫妻老婆店 某分公司负责人大权独揽、费用开支缺少约束 擅自对外借款，承诺高额费用 阴阳单、吃保费,5、上述案例引发的内部控制启示,内部控制无处不在 内部控制对企业的生存、发展与获利至关重要 企业需要实施内部控制 社会需要企业实施内部控制 内部控制的重要性不仅仅在于设计，也不仅仅在于执行，更重要的在于评价 设计、执行和评价应相互联系，成为一体，这样内部控制才能持续改进并真正发挥作用 内部控制的关键在于人的控制,1、内控的重心：应从细节控制转向风险管理 2、内控的主体：应从单元主体转向多元主体 3、内控的监督：应从关注内控建立转向内控运 行和评价 4、内控的对象：应从基层、中层转向高官控制 5、应建立内控失效的补救措施,6、全球范围企业内部控制的不断完善的过程,1)、美国内部控制的演变及其现状,2）、其他地区内部控制的要求,美国内部控制概念的演变及现状,从内部控制概念的演变看，大致可以分为五个阶段：内部牵制阶段、内部控制制度阶段、内部控制结构阶段、内部控制整合框架阶段和风险管理阶段。,内部控制直到上世纪30年代才被人们提出、认识和接受。但在此前的人类社会发展史中，早已存在着内部控制的基本思想和初级形式，这就是内部牵制。,内部控制整合框架阶段,1992年，美国“反对虚假财务报告委员会”提出非常著名的内部控制整体框架，也称COSO报告，1994年又作了补充。本报告将内部控制定义为：“由企业董事会、管理层和其他人员实施的，为经营的效果和效率、财务报告的可靠性、相关法规的遵循等目标的实现而提供合理保证的过程”,该报告将内部控制的组成分成五个相互独立而又相互联系的五个要素：控制环境、风险评估、控制活动、信息与沟通和监督。,风险管理阶段,2004年，COSO委员会在借鉴以往有关内部控制研究报告的基本精神的基础上，结合萨班斯-奥克斯利法案在财务报告方面的具体要求，发表了新的研究报告企业风险管理框架（Enterprise Risk Management Framework)。,这个报告的出台，预示着COSO委员会对待内部控制的认识和态度有了新的变化，即从重视内部控制本身转向了重视风险管理，或者说其更加倾向于在风险管理的背景下研究内部控制问题。,企业风险管理框架创新,（一）提出了一个新的观念风险组合观企业风险管理要求企业管理者以风险组合的观念看待风险对相关的风险进行识别并采取措施使企业所承担的风险在风险偏好的范围内。对企业每个单位而言，其风险可能在该单位的风险容忍度范围内，但从企业总体来看，总风险可能超过企业总体的风险偏好范围。因此，应从企业总体的风险组合的观点来看待风险。,（二）增加一类目标战略目标，并扩大了报告的范畴在COSO报告的经营效率、效果性目标，会计信息可靠性目标，以及法律法规遵循性目标之外，增加了战略目标。它比其他三个目标层次更高，企业风险管理也应用于战略制定的过程中。财务报告范围有很大的扩展，覆盖了企业编制的所有报告。,（三）针对风险度量提出两个新概念风险偏好和风险容忍度风险偏好指企业在实现其目标的过程中愿意接受的风险的数量。企业的风险偏好与企业的战略目标直接相关，企业在制定战略时，应考虑将该战略的既定收益与企业的管理者风险偏好结合起来。风险容忍度指在企业目标实现过程中对差异的可接受程度，是企业在风险偏好的基础上设定的在目标实现过程中对差异的可接受程度和可容忍限度。,（四）增加了三个风险管理要素，对其他要素的分析更加深入，范围也有所扩大企业风险管理框架中将内部控制的要素进一步扩展为内部环境、目标制定、事项识别、风险评估、风险反应、控制活动、信息与沟通、监控等八个要素。,需要说明的是，企业风险管理框架虽然较晚于COSO报告，但是它并不是要完全替代COSO报告。在企业管理实践中，内部控制是基础，风险管理只是建立在内部控制基础之上的、具有更高层次和更有综合意义的控制活动。如果离开良好的内部控制系统，所谓的风险管理只是一句空话而已。,世界其他地区内部控制的要求,2004年6月，十国集团发布了被称为“Basel II”的资本充足性框架，Basel II中744和745节要求就内部控制框架进行独立检查。 欧盟2002年改革白皮书定义的内部控制包括以下五个方面：控制环境；业绩和风险管理；信息和沟通；控制活动、及审计和评估等；经合发展组织以原则为基础的方法提出内控相关要求，提升透明度的举措包括足够的会计法规要求；独立外部审计和公司内部控制。 信息及相关技术控制目标（COBIT)由IT治理协会制定发布，是信息技术治理方面的一个开放性标准，作为良好IT安全和控制实务的标准，COBIT为管理当局、企业用户和信息系统审计、控制及安全从业人员人员提供了一个参考框架。,英国公司治理综合法典指导意见的目的是帮助那些在美国证监会（SEC)注册的非美国企业应对内部控制要求，这些企业可选择采用该指导意见作为其内控框架，而SEC也认可该指南在评估内部控制有效性方面的权威。 加拿大安大略证券委员会要求企业与年报一同提交相关内部控制报告。,二、企业内部控制基本规范的主要内容及其解读,1、我国内部控制概念的产生及其演变,我国在20世纪80年代前没有“内部控制”这一概念。内部控制作为一种管理制度被明确写入有关法规中，还是近十年的事。,