2011年国际内审师考试辅导：COSO框架

　　本准则指出，管理层对公司的财务报告内部控制的有效性评估必须以一个由专家组制定的合理的内部控制框架作为基础。根据本准则，提出内控评估框架的专家组必须遵循正当程序，将该框架提交公众进行评价。在美国，至为广泛接受的框架是早在九十年代初COSO在其出版的内部控制—整合框架中提出的框架。尽管美国证券交易委员会成员指出，COSO框架符合美国证券交易委员会的标准，但是委员会并不强制使用该框架。美国证券交易委员会确认，美国之外也存在其他的评估标准，而且在美国也可能制定了其他适当的框架。美国证券交易委员会表示，加拿大特许会计师公会发表的控制评估指南以及英格兰与威尔士特许会计师公会发表的特恩布尔报告就属于其他适当框架的范例。本报告中的指导原则是在假设机构采用COSO框架的基础上提出的。

　　COSO将内控定义为一个合理的能够确保机构实现以下三个领域内的目标的流程（由机构的董事会、管理层以及其他人员实施生效）：（1） 有效及高效的运营；（2） 可靠的财务报告；及（3） 符合适用的法律法规。以下是与将上述三个COSO目标应用于404条款时应额外考虑的因素：

　　1. 有效果及高效率的运营：这个领域涉及公司基本的业务目标，包括业绩和赢利能力目标以及资产的保护。404条款通常不包括关于有效果及高效率运行的目标，除非它们与资产保护相关。

　　2. 可靠的财务报告：在COSO框架下，可靠的财务报告与公司根据公认会计准则编制财务报表以及相关陈述有关。

　　3. 符合适用的法律法规：COSO框架包含对遵循诸如萨班斯-奥克斯利法案及相关规则的法规的内部控制，这样公司可以避免对其名誉造成损害或者遭受其他不利后果。除遵循直接与财务报表编制相关诸如美国证券交易委员会的对财务报告的要求和国内收入法等规则之外，404条款没有涉及其他法律法规的合规性问题。

　　尽管COSO框架涉及了合规性和运营的内部控制，404条款通常要求管理层仅对财务报告内部控制进行评估。因此管理层仅当运营和合规性的内部控制对财务报告产生重大影响时，才需要进行评估。

　　COSO框架提出五个互相关联的组成要素，每个要素包括三个目标。根据公司的规模和结构，公司可采用不同方式来实施这些组成要素；但是所有公司都将涉及该五个组成要素。因此，在对内部控制进行评估时，管理层必须考虑每个组成要素。有关内部控制五要素的讨论如下：

　　控制环境：控制环境确定了整个机构高层管理者的态度，影响员工的内控意识。该组成要素是内部控制所有其他组成要素的基础，提供了纪律要求和结构。控制环境包括以下因素：

　　·声誉及道德价值观（包括行为准则和反舞弊程序）

　　·致力提高人员工作能力及促进员工职业发展的承诺

　　·管理层的理念及经营风格

　　·组织结构

　　·权限及职责分配

　　·人力资源政策及程序

　　·监管部门的参与（根据上市公司会计监管委员会规定，参与内容包括董事会对审计委员会的有效性评估）

　　风险评估：每个机构都面临着各种来自内部和外部的必须进行评估的风险。风险评估是识别及分析相关风险及其对公司目标实现的影响的工作。管理层必须设定一个标准来决定如何对风险进行管理。由于经济、行业、监管环境和运营状况不断变化，管理层必须采用必要的机制使之能对导致发生上述变化的特殊风险进行识别和处理。

　　控制活动：控制活动有助于确保管理层的指令得到贯彻执行，以及针对风险的必要措施得到实施，从而使机构实现其目标。这些活动在机构范围内的各个层面和各个职能中进行，涉及各种流程，如批准、授权、核实、调节、经营绩效审阅、资产安全性以及职责分工。

　　信息与沟通：相关信息的选择和沟通必须在一定时间框架内进行，并使得员工能够各行其责。信息系统产生包含有关运营、财务和合规性的信息的报告，帮助管理层经营和控制公司。该要素不仅报告内部产生的数据，还包括在了解各方信息的情况下进行决策和外部报告时所需的关于外部事件、活动和状况的信息。应在广泛的范围内进行有效的沟通，包括自上而下、机构内部及自上而下的沟通。管理高层必须清楚的告知所有员工他们必须严格执行各自的内控职责。员工必须理解他们在内控系统中的职责以及他们自身的活动与其他人的工作之间的互动关系。员工还必须拥有向机构高层报告重要信息的途径，并且还必须与外部各方进行有效沟通，如客户、供应商、监管机构及股东。

　　监督：必须经常或定期对内部系统的质量进行监督。目前的监督发生在运营过程中，包括管理层和监事会的日常监督以及其他员工在履行职责时采取的其他行动。管理层单独评估的范围和频率取决于（1）具体的风险及（2）当前监督程序的有效性。

　　COSO用一个矩阵（如下所示）来说明公司目标与内控组成要素之间的直接关系。矩阵的第三维表示机构与内部控制相关的业务单位或活动。

　　点击查看论坛原帖>>