引言

凡是对内部控制略有所知的人均知道，COSO1994版的《Internal Control-Integrated Framework》被公认为内部控制领域的权威指导。不过令人遗撼的是始终没有经COSO认可的正式中文译本。令人惊喜的是这样的尴尬局面总算被打破。本译本由中国内部控制的官方权威机构--企业内部控制标准委员会组织翻译，而且译者在翻译时以直译为主，很好地诠释了COSO的内部控制理论。而且难能可贵的是本译本所翻译的是1994年版的《Internal Control-Integrated Framework》修订版，包括了上卷整合框架”与下卷评价工具”。在评价工具中提供了COSO五要素空白的以及已填好的工具范例，对于内部控制实务操作人员极具借鉴价值。

编者的话

本书在内部控制理论与实务界的地位是众所周知的。长期以来，国内有关内部控制的文献几乎是言必称COSO框架。本书是COSO框架的1994年修订版。它是一个两卷本，上卷为整合框架”，下卷为评价工具”。它对内部控制是什么进行了界定，并对内部控制能做什么以及不能做什么进行了详细的论述。此外，本书还包含了一套可用于对企业内部控制体系进行评价的工具。

内容提要

高级执行官们长期以来一直在探寻更好地控制他们所经营的企业的方法。内部控制正是用来促使公司向着盈利目标和实现自身使命迈进，并减少这一进程中出现的意外情况。它们使管理层能够应对急剧变革的经济和竞争环境、不断变化的客户需求和偏好，以及为未来增长而进行的重组。内部控制能提高效率，降低资产损失的风险，并且有助于确保财务报表的可靠性以及对法律和法规的遵循。

因为内部控制为多个重要目的服务，所以对更好的内部控制体系及其报告的呼声日益高涨。内部控制越来越被看作是一系列潜在问题的解决方案。

作者介绍

目录

内容摘要
框架
第1章 定义
第2章 控制环境
第3章 风险评估
第4章 控制活动
第5章 信息与沟通
第6章 监控
第7章 内部控制的局限
第8章 职能与责任
附录A 背景和引发本项研究的事件
附录B 方法
附录C 对定义的看法与运用
附录D 对意见信的考虑
附录E 选定的术语表
向外部各方报告
附录 对意见信的考虑
向外部各方报告”补遗

预读

　　第4章控制活动

　　本章摘要：控制活动是那些帮助确保管理层的指令得以贯彻的政策和程序。它有助于确保采取必要的行动来处置风险，以便实现主体的目标。控制活动发生于整个组织的所有层级和所有职能之中。它包括一系列不同的活动，如批准、授权、验证、调节、经营业绩评价、资产保管以及职责分离等。

　　控制活动是那些帮助确保管理层处置风险所需的特定指令得以贯彻的政策和程序，它是执行这些政策的人员的行动。根据与其相关的主体目标的性质，控制活动可以分为三类：经营、财务报告和合规。

　　尽管有些控制仅仅与一个方面有关，但它们之间经常是交叉的。随着情况的不同，一项特定的控制活动可能有助于满足主体的三类目标中的多个类别。因此，经营控制可能还有助于确保可靠的财务报告；财务报告控制可能有助于实现合规。

　　例如，一个零件分销公司的销售经理，为了随时了解特定产品和特定地域的销售情况，每天都从地区负责人那里获取快报(flash reports)。由于这名销售经理把这些信息与会计系统所记录的销售和所报告的销售人员的佣金联系起来，这项控制活动所针对的目标既与经营有关，也与财务报告有关。在一家零售连锁店中，客户偿还的针对商品的赊销款通过记录的数字顺序号加以控制，并且出于财务报告的目标而进行汇总。这种汇总还可以提供逐个产品的分析，以供商品经理用于未来的采购决策和库存控制。在这个例子里，最初为财务报告而设置的控制活动，也能为经营服务。

　　尽管这些类别在论述内部控制时有用，但是把一项控制放到哪个特定的类别，并不如它在实现哪一种特定的活动层次目标中所起的作用那样重要。

　　控制活动的类型

　　关于控制活动的类型，已经提出了许多不同的表述，包括预防性控制、发现性控制、人工控制、计算机控制和管理控制。控制活动可以根据特定的控制目标来分类，例如确保数据处理的完整性和准确性。以下是通常由组织中不同层级的人员来执行的一些特定的活动。介绍它们的目的只是用于展示控制活动的范围和多样性，而不是建议任何特定的分类。

　　高层审核(toplevel reviews)——审核通过将实际业绩与预算、预测、前期和竞争者进行比较来进行。对主要活动——例如营销推进、改进生产流程，以及成本控制或降低计划——进行跟踪，以测度目标得以实现的程度。对新产品开发、合营或融资等计划的执行进行监控。管理层用来分析和追查这些报告的行动属于控制活动。

　　直接的职能或活(direct functional or activity management)——执行职能或活动的经理审核业绩报告。负责一家银行的客户贷款事务的经理逐一审核各个分支机构、区域和贷款(担保)种类的报告，核对汇总和确定趋势，并把结果与经济统计数据和目标联系起来。相应地，分支机构的经理接收各个贷款官员和地方客户分部的新业务数据。分支机构经理还关注合规问题，例如，审核监管机构要求的对超过规定金额的存款的报告。利用集中报告的前夜划转和投资净头寸对日现金流量进行调节(reconcile)。

　　信息处理(information processing)——执行一系列控制，以核对交易的准确性、完整性和授权。对输入的数据进行编辑核对或与经过审批的控制文件相比对。例如，订单，只有在对照经过审批的客户文件和信用额度之后才可以受理。记录交易的数字顺序号。将文件的合计数与前期余额以及控制账户进行比较和调节。需要追查的例外事项由办事人员遵照执行，必要时向监督人员报告。对新系统的开发和当前系统的变动，以及对数据、文件和程序的访问进行控制。对信息处理的控制将在后文中进一步讨论。

　　实物控制(physical controls)——对设备、存货、证券、现金和其他资产进行实物保管，定期盘点，并与控制记录上列示的数额进行比较。

　　业绩指标(performance indicators)——把不同系列的数据——经营的或者财务的——彼此联系起来，与对关系的分析以及调查和矫正措施一起，构成一项控制活动。业绩指标包括诸如采购价格差异、紧急订单”所占的百分比以及退货订单占总订单的百分比等。通过对非预期的结果或异常趋势进行调查，管理层可以识别主要的采购活动目标面『临无法实现的危险的情形。经理是将这些信息仅仅用于作出经营决策，还是进一步对财务报告系统所报告的非预期结果进行跟踪，决定了分析业绩指标是仅仅服务于经营目标，还是同时服务于财务报告控制目标。

　　职责分离(segregation of duties)——在不同人员之间进行职责分开或分离可以降低错误或不当行为的风险。例如，交易授权、记录和处理相关资产的职责应该分开。授权赊销交易的经理不应该负责保持应收账款记录或处理现金收款。同样，销售人员也不能拥有