時間：2023-03-02 15:08:25
序論：速發表網結合其深厚的文秘經驗，特別為您篩選了11篇風險自評報告范文。如果您需要更多原創資料，歡迎隨時與我們的客服老師聯系，希望您能從中汲取靈感和知識！
楊文斌認為，一直以來，防范和化解金融風險都是各國金融監管機關近幾年來的工作重點，實施嚴格的風險控制制度，有利于提高保險行業的穩健性，促進金融市場的公平競爭，保護被保險人利益，進一步為保險業的做大做強奠定基礎。制定并《指引》，有利于進一步提高國內保險資金運用的專業化管理水平，保證保險資金運用能夠按照安全和健全的方式運作，強化保險資金運用的穩健性；有利于加強從業人員的風險意識，促進保險公司建立強有力的風險控制機制和激勵約束機制；同時為進一步拓寬保險資金投資渠道做好充分準備。
作為平安保險集團的首席投資執行官，楊文斌指出，長期以來，中國平安一直高度重視保險資金運用的專業化管理，始終堅持“規范經營、嚴格管理、穩健發展”的經營方針，實施保險資金運作“安全性、流動性、效益性”的經營原則，貫徹“對客戶負責、對員工負責、對股東負責、對社會負責”的經營理念，不斷完善保險資金運用管理模式，積極引進全球先進的投資管理手段和國際一流的保險投資人才，構建全方位的風險管控體系，實現了資產規模和效益的同步增長，確保了保險資金長期穩定的保值、增值，連續幾年取得了較為理想的投資業績，在同業中始終名列前茅。
楊文斌介紹說，中國平安自1999年正式成立資產營運中心將保險資金進行集中管理和專業化運作以來，一直致力于建立一套既具有國際領先水平又能滿足平安未來發展的、成熟的風險管理體系。目前，中國平安的風險管理體系主要包括三個部分：投資決策機制、風險管理系統和內部管理制度。中國平安的投資管理共分三個層次，第一個層次為集團董事會，第二個層次為集團投資管理委員會、集團風險管理委員會，第三個層次為集團資產營運中心，同時在資產營運中心內設有專門的部門和崗位從事風險管理工作。這種投資管理組織模式的設立一方面有利于簡化投資管理流程，保證投資策略執行的一貫性、完整性、及時性和信息傳輸的充分性、即時性；另一方面則有利于消除系統性風險，使內部監督和反饋機制可以有效運行。
主題：有效防范 明確責任
內容：
根據信息傳播原理，信息的傳播過程由四個要素構成，即傳播者、傳播內容、傳播媒介、受傳者。缺少其中的任何一個都無法完成傳播活動。內控自評報告的傳播也存在這四個要素。
（一）傳播者 根據財政部等五部委于2010年的《企業內部控制評價指引》（以下簡稱《評價指引》），內部控制評價是指企業董事會或類似權利機構對內部控制的有效性進行全面評價、形成評價結論、出具評價報告的過程。因此，內控自評報告應該由企業董事會或類似權利機構做出。
（二）傳播內容 《評價指引》第二十二條規定了內部控制評價報告至少應當披露的內容，包括董事會對內部控制報告真實性的聲明等八個項目。同時《評價指引》第二十一條規定了報告應當分內部環境、風險評估、控制活動、信息與溝通和內部監督等要素進行設計。因此，內部控制評價報告應包括上述所有內容。
（三）傳播媒介 證監會指定的上市公司信息披露報紙有《證券時報》、《中國證券報》、《上海證券報》等，指定信息披露網站有巨潮資訊網等。上市公司都能按照規定選擇適當的傳播媒介披露內控自我評價報告。
（四）受傳者 一般而言，上市公司對外披露的信息是公開的，內控自評報告也不例外。所以，內控自評報告的受傳者為社會公眾。另一方面，傳播媒介決定了公眾可以以低成本獲得公司對外披露的內控自評報告，這使所有需要公司內控自評報告的人都能成為受傳者。
通過上述對內控自評報告傳播的分析，可以看出內控信息是否順利地從傳播者傳達到受傳者的關鍵要素是傳播者和傳播內容。是否由適當的傳播者制作內控自評報告關系到其可信度，由公司管理層做出的內控自評報告就如同球員兼裁判給出的得分一樣不能令人信服。而傳播內容則會影響內控自評報告傳遞信息的可利用度，泛泛而談、沒有任何本公司特有內容的報告對于投資者和監管機構而言都沒有太多價值。
二、內部控制自我評價報告現狀分析
制造業是上市公司中數量最多、最有代表性的行業，筆者選擇我國A股制造業進行分析并從巨潮資訊網下載內控自評報告和其他相關信息。在2012年1月1日之前上市的1430家公司中，有1112家對外披露了內部控制自我評價報告，282家未披露，另外36家是已經退市的公司。從1430家公司中隨機抽取200家，有158家對外披露了內控自評報告，35家未披露（全部來自滬市主板，其中32家單獨披露了《內部控制規范實施工作方案》說明公司的內部控制還在建設中，1家公司在年報中披露了其內控仍在建設中，2家未查到未披露內控自評報告的原因），7家已退市。針對上述對外披露了內控自評報告的158家公司，筆者首先分析內控自評報告的披露者和內容，其中內容分為《評價指引》第二十二條規定的八個項目和內部控制五要素兩方面；然后將樣本按照上市板塊進行分類，分為深市主板、中小板、創業板和滬市主板四組，進行橫向比較分析。
（一）內控自評報告的披露者 內控自評報告的署名即是報告的披露者，需要對報告的真實性承擔責任。通過對158份自評報告的署名進行統計（見表1），可知，審計部由于只是審計委員會下屬的一個部門，級別較低，不能代表整個董事會對內控自我評價報告的認可；而署名為公司名稱則沒有指明由公司哪個機構出具內控自我評價報告；報告也不可能由董事長一個人負責。因此，署名為公司董事會、董事長簽名和公司董事會以及公司董事會審計委員會這三類署名符合《評價指引》的要求，占73.42%；而署名為審計部、董事長簽名和公司名稱、公司名稱以及無署名這四類是不符合要求的，占26.58%。由此可見，并不是所有上市公司都已明確由公司內哪個機構負責內部控制的評價工作并出具內控自我評價報告，而這對于報告的可信度是至關重要的。
（二）《評價指引》第二十二條規定的八個項目 《評價指引》第二十二條規定的內控自評報告中至少應當披露的八個項目分別為：董事會對內部控制報告真實性的聲明；內部控制評價工作的總體情況；內部控制評價的依據；內部控制評價的范圍；內部控制評價的程序和方法；內部控制缺陷及其認定情況；內部控制缺陷的整改情況及重大缺陷擬采取的整改措施；內部控制有效性的結論。通過對158家上市公司內控自評報告的內容進行統計，董事會聲明、內部控制評價的依據、范圍、程序和方法以及有效性的結論比較明確，有披露的公司都會以單獨列示的方式說明；而內部控制評價工作的總體情況、內部控制缺陷及其認定情況和整改情況則并非有所披露的公司都是單獨列示的。在統計過程中，對有所提及后三項的都算作有披露，而不是僅針對單獨列示才算披露。統計結果如表2所示。從表2可以看出，在內控自評報告中，多數公司都披露了評價工作總體情況和內部控制有效性的結論；而評價的依據、范圍、程序和方法則較少有公司披露。因此，作為公司的外部信息需求者，要想僅憑內控自評報告全面地了解公司內部控制評價工作如何開展是有難度的。另一方面，更加細化的數據同樣值得關注。在上述87家提及內部控制缺陷及其認定情況的公司中，僅有40家說明了具體的內控缺陷；107家提及內部控制缺陷的整改情況及重大缺陷擬采取的整改措施的公司中，僅36家說明了當年的整改情況，還有94家寫的是未來擬采取的整改措施。這說明愿意公開披露自身內控缺陷和為完善內控而采取的措施的公司仍是少數。
（三）內部控制五要素 內部控制五要素能全面地概括企業內部控制制度的設計情況和執行情況，是內控自我評價具體化的對象。筆者對五要素的披露進行統計，統計的標準也是有所提及即算作進行了披露，而不是是否單獨列示五要素的情況。統計結果如表3所示。
從表3可以看出，超過60%的公司對內部控制五要素都有所提及。但相對而言，提及控制活動的公司較多，達到了91.14%，而提及風險評估和信息與溝通的公司較少。公司對于不同要素的理解程度和重視程度是不一樣的。大部分公司會重點說明控制活動。同時，控制活動的內容較為統一，通常包括關聯交易、對外擔保、重大投資、信息披露等重大事項的內部控制和不相容職務分離、授權審批、會計系統、資產接觸與記錄使用、預算控制等日常行為的內部控制。對于控制環境，不同的公司披露的詳細程度不同。超過90%的公司提及了治理結構與內控制度，同時有89.87%的公司提到了內部審計部。但是能清楚地說明內控工作在不同的組織機構之間如何分工的較少：僅有59.49%的公司提及了內審部的獨立性，說明內審部直接對董事會負責。能詳細說明發展戰略、人力資源、社會責任和企業文化的則更少，約為42.41%。然而，風險評估、信息與溝通和監督三個要素往往只是點到為止，不夠具體和詳細。這三個要素的內容也較為散亂。在風險評估中，既有公司說明如何進行風險評估，如采用定期評估還是不定期評估，由哪個機構執行風險評估等，也有公司直接在此部分列出了公司面臨的風險，如產品風險、市場風險等。信息與溝通和監督兩個要素也存在類似現象。散亂的內容降低了不同公司的內控自評報告之間的可比性，降低了報告的利用價值。
（四）按上市板塊進行分類的橫向比較 將158家公司分為深市主板、中小板、創業板和滬市主板四組進行上述三項統計，結果如表4、表5、表6所示。
從總體上看，表4、表5和表6并沒有反映出在內控自評報告中披露的內容因上市板塊的不同有明顯區別：從《評價指引》第二十二條規定的八個項目的披露上看，深市主板和滬市主板略好于中小板和創業板；但從內部控制五要素的披露上看，中小板和創業板又略好于深市主板和滬市主板。具體而言，分上市板塊進行分析可發現以下幾個問題：（1）滬市主板的公司披露內控自評報告的自愿性較差。被隨機抽樣抽中但沒有披露內控自評報告的35家上市公司全部來自滬市主板，這能看出滬市主板披露報告的自愿性較差。而統計數據顯示滬市主板中的公司在披露內控自評報告時多會寫明董事會對內部控制報告真實性的聲明。這可以作為解釋其自愿性較差的一個原因，即滬市主板公司的董事會更深刻地認識到披露了報告就應該為其真實性作保證，為了自身承擔更少的責任，那么在沒有強制規定需要披露之時還是不披露為好。同時，在滬市主板公司的報告署名上，符合規定的比例也較另三個板塊低，這也可能是上市公司董事會為減輕自身責任而采取的手段之一。（2）中小板和創業板的公司在內控評價工作不合規范的可能性較主板更大。較少披露內控評價工作的依據、范圍、程序和方法是普遍存在的問題。但從表5可以看出，在中小板和創業板中披露這三個項目的比例明顯低于主板。因此，外部信息需求者無從知曉中小板和創業板中的公司如何評價內部控制的可能性更大，更無法保證公司的內控評價全面、合理、有序地開展。（3）深市主板的公司對除控制活動以外的四個要素重視程度不夠。從表6可以看出，深市主板對內部控制活動披露的比例高于90%，但對于其他四個要素的披露均低于50%，差距較大。但這種情況沒有出現在其他三個板塊中：披露控制活動的比例最高，但與其他要素的差距不是很大；沒有任何一個要素的披露比例低于50%。通過橫向比較可以看出深市主板公司對控制環境、風險評估、信息與溝通和內部監督四個要素的披露不足，反映出在實際內部控制評價工作中對四個要素的重視程度不夠。
三、內部控制自我評價報告披露建議
針對我國上市公司內部控制自我評價報告的披露現狀，可從以下幾個方面加以改進：
（一）重視內控自評報告披露 無論是內控自評報告的披露自愿性較差還是報告不符合規范的要求，反映出的根本問題是上市公司還沒有認識到內部控制的重要性和內部控制自我評價的重要性。我國內部控制在企業中的發展多是在強制性規范的作用下形成的，而不是企業自發形成的。雖然目前關于內部控制的文獻很多，但在實踐中，內部控制制度設計合理和執行有效而使公司有良好發展的案例和反面案例并沒有深入人心。部分公司對待內控自我評價報告的態度消極，將其看作是不得不提交的報告而不是落實內控自我評價之后形成的結果。只有通過案例教育等手段，讓公司真真切切地體會到內控的重要性，才能將公司對待內控自我評價的態度由消極轉為積極，讓自評報告從強制性披露轉為監管下的自愿性披露。內控自評報告是一份反映公司內部控制制度設計和執行情況的報告。如果公司對內部控制知識有深刻的理解，那么無論是自評報告的署名還是是否應該披露某些內容等問題都能迎刃而解。但不同公司內控自評報告的質量參差不齊，可見部分公司并沒有掌握內控知識并認真執行相關規范，以至于撰寫報告時無話可說或是只能“借鑒”其他公司的報告。
（二）加強政府監管 政府除了制定相關規范外，還要鼓勵公司詳細披露自身的內控及其評價情況：對內控及其評價工作做得到位的公司予以獎勵，同時對應付了事的公司進行處罰。然而在現有的規定中，仍存在不合理之處：《深圳證券交易所上市公司信息披露工作考核辦法（2011年修訂）》第十八條規定：公司披露的年度內部控制自我評價報告顯示最近一個會計年度內部控制存在重大缺陷的，其信息披露工作考核結果評為C。筆者認為作為監管機構的深交所不應把內控自評報告中是否披露重大缺陷作為考核標準。這樣的規定只會讓公司消極對待發現的重大缺陷，而不是披露它并完善自身內部控制，同時可能導致公司為了獲得較好的信息披露工作考核評級而隱瞞已發現的內控重大缺陷。深交所應該將信息披露是否符合公司實際情況作為考核標準，如已發現重大缺陷卻將其描述為一般缺陷的公司考評結果為C。
（三）規范內控自評報告內容 目前，上市公司較少有能將《評價指引》第二十二條規定的八個項目和第二十一條規定的五要素同時清楚地披露在一份報告中的，更不用說在不同公司之間進行對比了。因此，統一內控自評報告的內容框架意義重大。筆者認為，《評價指引》第二十二條是針對內部控制自我評價工作的；而第二十一條是針對內部控制的基本情況的，是內控自評工作的對象，可以單獨作為一個項目融入到自評報告中。因此，內控自評報告可以由以下九個部分組成：（1）董事會對內部控制報告真實性的聲明：包括董事會對內控自評報告承擔的責任等；（2）內部控制評價工作的總體情況：包括內控評價工作執行的時間、評價針對的期間、執行者、是否聘請中介機構等；（3）內部控制評價的依據：包括法律法規和企業內部規章制度；（4）內部控制評價的范圍；（5）內部控制評價的程序和方法；（6）內部控制基本情況：包括內控環境、風險評估、控制活動、信息與溝通、內部監督五個要素。其中內控環境包括組織架構、發展戰略、人力資源、社會責任和企業文化等；控制活動包括重大事項的控制和日常事項的控制。風險評估、信息與溝通和內部監督應說明公司如何保證面臨的風險均被識別、內外部信息及時、準確地被傳遞到適當的人員和內控缺陷均及時被發現并采取適當的整改措施；（7）內部控制缺陷及其認定情況：包括公司內控缺陷認定標準和認定結果；（8）內部控制缺陷的整改情況及重大缺陷擬采取的整改措施：包括在評價期間已采取的措施和未來準備采取的措施；（9）內部控制有效性的結論：包括董事會對內控有效性的認定；如未單獨披露監事會和獨立董事對內控有效性的意見，也應在此部分一同披露。
國際金融公司于2002年入股南京銀行后,在激活并提高南京銀行公司治理水平上發揮了重要的先導作用。當時,國際金融公司的股份為15%,南京銀行也成為當時外資占比最高的國內銀行。
國際金融公司提倡“好的公司應該有好的董事會”的理念,強化了南京銀行的內控建設、風險建設和發展規劃的建設,同時完善了內部管理機構。可以說,通過“引資引智”,南京銀行領導層認識到了完善公司治理機制的重要性,并根據自身發展狀況切實予以加強。
南京銀行是啟動IPO較早的城市商業銀行,要想成功發行上市,最重要的一條是治理要規范。這一時期,南京銀行董事會切實將完善公司治理建設列為工作的重中之重,公司治理水平有了質的突破。
此外,這段時期,南京銀行還引進了戰略投資者法國巴黎銀行,發行了次級債券,可以說,南京銀行的公司治理較好地體現了職責明確、分權制衡、規范運作、科學合理的公司治理要求。
2007年上市后,公司治理也開始由形備到神似的變化。
在建立激勵約束機制上,按照財政部的要求和銀監會的《商業銀行穩健薪酬指引》,修訂了《高級管理人員考評和薪酬激勵管理辦法》,增加了風險指標的考核和部分薪酬延期支付制度,使考核更加全面、科學、有效。在具體考核上,則實行民主測評、董事考評以及監事會綜合評價相結合的方式,實現對高級管理人員履職的科學考評,較好地做到了個人業績與公司可持續發展的有機統一。
提高公司治理水平在于細節
規范與完善內控程序。主要表現在有較為全面的制度和程序,而且不折不扣地執行。比如,在董事的提名上,董事會對董事人選的原則是用能人,而不是“花瓶”,這點在獨立董事的提名程序中體現得特別明顯。董事會提名及薪酬委員會有搜尋、初審獨立董事人選的工作職責。該委員會按照任職條件的規定,嚴格對獨立董事候選人進行形式和實質審核。形式上的審核主要是對提供資料的完整性和真實性進行審查;而實質審核非常重要,主要是通過多方渠道對其履職的能力和品行進行深入了解,力求能夠體現“專業和專注”的履職要求,而且初審的原則是“不求名氣,只求合適”,以真正提高南京銀行的公司治理水平為目標。
注重董事會軟環境建設。一般來說,董事會只關注議案的表決情況和決策的效率,而不太關心董事提出的各式各樣與公司治理緊密相關的問題。但南京銀行董事會認為,公司治理的不斷提高就是在于細節,所以對董事無論是在各類會議中、實地調研中還是與經營層溝通中提出的好的建議和方法,都及時歸總并強化落實,具體到相關責任人和完成時間,并定期在董事會上進行反饋,使董事感到自己的建議得到了尊重和重視。比如:針對今年上半年南京銀行一位外籍董事提出的注重同業資產風險、表外資產中的理財產品風險的建議,董事會立即讓經營層予以調查落實,經營層迅速展開專項管理工作,并及時向董事會風險管理委員會進行了詳細的書面報告,并在下次董事會會議上向全體董事會成員做了通報。正是這些點點滴滴的良性循環,在潛移默化中提升了公司治理水平,也提高了董事履職的主動性和積極性。
創新風險管控舉措。在風險管理上,南京銀行先后制定并完善了七大風險管理政策和相適應的風險管理程序、流程。尤其是今年,南京銀行認真執行“三辦法一指引”,積極進行地方政府融資平臺貸款的“解包還原”,嚴格房地產貸款風險管理,有效開展“內控和案防制度執行年”活動,提升了公司治理效果。同時,完善了風險條線的組織架構,設立了經營層內部控制和風險管理委員會,設立了風險管理部、授信審批部、資產保全部,理順了風險作業機制;按照銀監會的“六項機制”要求,建立了小企業金融部,并按照“兩個不低于”強化了對小企業的經營和管理;建立了金融市場部、會計結算部和營運管理部,強化了市場風險和操作風險的管理。
在發展戰略上,南京銀行建立了三年發展規劃,科學指導全行的經營方向和經營目標,并按照自身實際狀況建立了發展規劃年度回溯評價機制,提高了發展規劃執行的合理性和可行性,保證了南京銀行的可持續發展。
在資本管理方面,南京銀行制定了《資本管理辦法》、《資本充足率管理辦法》和《三年資本規劃》,強化了對資本的規模、風險和持續補充等方面的管理,逐步在資產負債配比、經濟資本考核和小企業專營等方面加以運用,同時,通過對年度投資參股計劃和分支機構發展計劃進行資本量化分析,保證了對資本實行長效管理。
010年以來，隨著我國企業內部控制理論框架的逐漸成熟，其實踐環節也顯得日趨重要。其中，作為利益相關者了解企業經營效率和效果的重要途徑，包括企業自評報告和外部審計報告的內部控制報告的披露質量備受關注。作為上市公司的直接監管機構，上交所和深交所就此開展了大量工作。然而，盡管兩所多次頒布文件規范上市公司的內部控制報告披露工作，但并未針對報告披露質量提出明確的量化標準。為此，近年來眾多學者致力于從多種角度對影響內控報告披露質量的因素進行分析，并通過構建評價指標體系來評判報告質量。這些研究表明，市場管理者出于宏觀監管的需要，企業基于實現長久立足于資本市場的內在要求，外部投資者為了獲得財務真實可靠的報告信息，都追求高質量的內控報告信息披露。鑒于此，本文依據市場管理者制定的上市公司信息披露質量考核標準，借鑒有關學者的指標分析方法，從市場管理者的視角構建我國上市公司內部控制報告信息披露質量分析指標。
一、文獻綜述與質量分析指標建立
（一）文獻綜述
2004年推出的COSO報告為上市公司內部控制質量體系提供了一套標準化體系，但該體系主要采用定性方法而難以進行定量衡量，并不適用于我國現行的市場經濟，因而國內學者對如何衡量內控報告信息披露質量進行了大量探討。韓傳模、劉彬（2012）認為學術界研究信息披露質量主要采用兩類方法：一是直接采用權威機構的評分；二是學者根據自身搜集的數據給予的評分。戴文濤、李維安（2013）從一個“局外人”如政府監管機構或外部非營利性機構的角度對企業內部控制狀況實施了全面、綜合、定量化評價。宋洪琦、魏建（2011）指出影響上市公司信息披露質量的評價指標，既有定性指標，又有定量指標，只有將定性指標和定量指標有機的結合才能實現真正的綜合測度。孟強、蘇本知、赫紅（2008）認為內部控制的評價方法應從內部檢查、外部監督、注冊會計師的評價三方面進行。另一些學者則引入信息傳播學相關理念，形成內部控制信息披露質量評價的理論基礎，構建評價的指標體系與方法，以此來衡量上市公司的內部控制信息披露質量，如劉玉、鄧德強（2011）等。綜上可以看出，學者們在內控報告信息披露質量的研究中對質量測度方法予以了重點關注。本文擬選取一個新的外部監督者視角，即從證券市場管理者的角度，參考現有相關文件，構建一套內控報告信息披露定性與定量的質量分析指標。
（二）基于證券市場管理者角度構建內控報告披露質量分析指標
為了保證上市公司內部控制信息披露質量，深交所和上交所頒布了一系列規定與考核措施。證券交易所作為證券市場最直接的管理者，輔助五部委組織和監督上市公司的市場交易行為，肩負著規范上市公司內部控制報告及提高內控報告信息披露質量的任務。
深交所2001年《深圳證券交易所上市公司信息披露工作考核辦法》（以下簡稱《考核辦法》），對上市公司信息披露實施考評。從信息披露的及時性、準確性、完整性、合法性四方面劃分評價等級，同時考慮上市公司所受獎懲情況及與深交所的工作配合情況而綜合形成最終考評結果，并將上市公司信息披露質量從高到低劃分為A、B、C、D 四個等級。2013年4月深交所對該《考核辦法》進行修訂，增加了真實性和公平性兩項指標，并詳細指出不能評價為A的情形和必須評價為C和D的情形。此后，2013年10月上交所也正式《上海證券交易所上市公司信息披露工作評價辦法（試行）》，重點關注上市公司信息披露的真實性、準確性、完整性、及時性和公平性，通過定量計分和定性評價將上市公司分為A、B、C、D四大監管類別，分別為信息披露優秀類、良好類、合格類及不合格類公司。從深交所對考核辦法的修改及上交所試行的評價辦法來看，兩所均賦予了信息披露的真實性及準確性重要地位。
因此，本文結合上交所和深交所頒布的信息披露質量考核辦法，選取其共同的五項評價指標進行內控報告披露質量評級。具體定義如下：（1）真實性。是否聘請外部審計機構對公司的內控自評報告信息披露進行鑒證及外部審計機構的聲譽等級。本文將四大會計師事務所定義為第一等級，其他會計師事務所定義為第二等級，未聘請會計師事務所定義為第三等級。（2）準確性。內部控制缺陷及風險的衡量，即是否在自評報告中披露對內部缺陷的定性及定量的衡量和對公司各種風險的闡述與預防、應對措施。（3）完整性。是否按照內控自評報告書寫規范要求出具至少應當披露的8大內容，即董事會對內部控制報告真實性的聲明，內部控制評價工作的總體情況，內部控制評價的依據、范圍、程序和方法，內部控制缺陷及其認定情況，內部控制缺陷的整改情況及重大缺陷擬采取的整改措施及內部控制有效性的結論。（4）及時性?！镀髽I內部評價指引》（以下簡稱“指引”）第二十六條規定，“企業應當以12月31日作為年度內部控制評價報告的基準日，內部控制評價報告應于基準日后4個月內報出”。為對樣本加以區分，本文以10日為一個間隔期對及時性做出劃分。（5）公平性?！吨敢肪蜕鲜泄救绾伪ＷC公平信息披露提出了幾點原則性要求，如信息披露要平等對待所有投資者；發生未公開重大信息泄漏或股票交易異常時，應第一時間報告交易所并立即公告等，本文據此定義公平性。
從上交所和深交所頒布的信息披露考核辦法中各評價指標的排序可以看出，真實性、準確性、完整性、及時性和公平性的重要性由高到低，由此本文為上述五個指標設定了等差權重，公差為5%。每個指標設定滿分為20分，總計100分，并為細分項目設定了相應的分值。具體評價指標體系詳見下頁表1。評價測算分數公式為E=ΣW×Xi；評級標準為：85至100分評定為A級，70至85分評定為B級，55至70分評定為C級，55分以下評定為D級。
二、上市公司內控報告信息披露質量分析
（一）樣本選取
本文以滬深兩市主板以及深市部分中小板上市公司作為研究樣本，基于研究設計的要求進行了適當比例的篩選，即制造業為總樣本的1%，其他行業為總樣本的10%，最終得到100個研究樣本。其中滬市主板49家，包括制造業5家，其他行業44家；深市主板27家，包括制造業2家，其他行業25家；深市中小板24家，包括制造業6家，其他行業18家。
（二）總體披露質量
對100家樣本公司的內控報告信息披露質量使用本文上述質量評價方法打分并評級，得到總體質量情況的分布，具體如下頁表2所示。
從表2可以發現，2011年評價為C級的樣本居多，而2012年評價為B級的樣本居多。2011年上市公司內控報告信息披露質量等級向上累積頻數分布為22、67、95、100；2012年的則為10、35、79、100。從總體來看，樣本公司的內控報告信息披露質量有了明顯的提升。其中，滬市主板高分變動最大，評價為A級的公司由2011年的4家變為2012年的16家，相應比例由8.1%變為32.7%；評價為B級的公司增加5家，占2012年總體的49.0%。深市主板評價為A級的公司增加4家，評價為B級的公司增加9家，深市中小板總體變動不大，略有改善。從年度數據的變化可見上交所和深交所對內控報告規范化的實施具有實際指導意義，證券市場管理者能引導上市公司在理解規范理論的基礎上更加高效率地實施內部控制。
（三）對真實性和準確性指標的進一步分析
在此基礎上本文進一步分析真實性和準確性兩項加和權重為55%的指標，這是由于其對總體質量的評價結果具有較大影響，因此細化而深入的分析能為評價內控報告信息披露質量提供強有力的補充。
1.真實性指標。從證券市場管理者在《指引》中規定上市公司聘請外部審計機構或更換外部審計機構對企業進行審計以加強企業內控建設的行為可見，外部審計機構對上市公司內控報告信息的披露質量的鑒證作用與市場管理者對上市公司內部控制監管的目的相契合。外部審計機構對證券市場管理者評價內控自評報告信息披露質量有輔助作用。本文將內控審計報告披露質量劃分為以下兩等，若由“四大”出具則為優，若由一般會計師事務所出具則為良，具體如表3所示。
可以發現，樣本公司未聘請會計師事務所的數量由2011年的51家減至2012年的33家，聘請“四大”的總數不變，說明新加入的“四大”之外的會計師事務所增加了18家。其中，深市主板“未聘請”比例由2011年的70.4%降至2013年的37.0%，滬市主板“未聘請”比例由2011年的20.4%降至2012年的4.1%，滬市主板總體狀況明顯優于深市主板，深市中小板“未聘請”比例較高且兩年來幾乎沒有變化。從總體情況來看，上市公司聘請外部審計機構的數量仍有提高空間，證券市場管理者需加強對上市公司聘請會計師事務所進行內控自評報告鑒證監督的工作力度。
2.準確性指標。內控缺陷的準確認定作為內部控制有效性評價的核心，影響著內控自評報告信息披露的質量。近年來，越來越多的國內學者試圖對企業內控缺陷認定做出系統研究，并建議在內控自評報告中披露內部控制缺陷定性和定量的認定與分析，與此同時，上市公司也逐漸開始加強此方面的工作。王惠芳（2011）認為內控缺陷的認定是內部控制評價和鑒定中最基礎的問題。若上市公司能加強內控缺陷的認定、有效管理企業內部缺陷，并減少實質性漏洞或重大缺陷發生的可能性則對企業內部控制有良好效益，從而提高內控自評報告信息披露的質量。
筆者選取內控缺陷的相關控制作為內控自評報告信息披露質量分析的關鍵，并將其定義為制定了內控缺陷定性、定量的認定標準或采取了有效預防措施應對內部缺陷，同時增加是否設立包括內部審計部門在內的內控小組考核項，以對內控缺陷的相關控制展開補充，更細致地研究兩年樣本內控自評報告信息披露質量及內部控制情況，具體如下頁表4所示。
由表4可知，樣本內控缺陷的相關控制比例增幅較大，由2011年的41%增至2012年的77%，設立內控小組的上市公司增加了8家，比例由64%增至72%。在這兩項考核中，2011年滬市主板的情況較之深市主板與中小板都顯現劣勢，2012年滬市主板的情況有較大改善，略遜色于深市主板，且明顯優于幾乎未有改善的深市中小板。這不僅說明證券市場管理者對上市公司內部控制的相關規范起了一定作用，更說明上市公司對其內部控制治理的自愿意識有所提高。證券市場管理者應繼續鼓勵上市公司使其提高對內控缺陷的管理與控制，使得市場整體內部控制水平穩步提升。
風險管理是企業提高核心競爭力的重要手段，而風險評估作為美國COSO委員會提出的內控五要素之一，更是內部控制質量衡量的決定性因素之一。這部分內容是否在內控自評報告中得以準確詳盡披露對披露質量有重要的影響，因此證券市場管理者應將上市公司是否在內控自評報告中披露對公司各種風險的評估、預防及應對措施作為另一披露質量關鍵考核點。
筆者提取出較有代表性的另一個細化考核項風險控制，審查上市公司內控自評報告是否有風險評估與控制的相關披露，如對運營風險、財務風險、流動風險等風險的認定及預防應對措施。內控自評報告風險控制的披露情況具體如表5所示。統計樣本顯示，2012年上市公司在內控自評報告中披露風險控制的比例有所增加，其中上交所樣本公司增加了4家；而深市中小板僅增加1家，主板未有變動；2011、2012兩年在自評報告中披露“風險控制”的樣本公司比例，深市中小板最高，主板次之，而滬市主板情況最不盡如人意。上市公司雖然對內控缺陷的披露意識有所提高，但是對風險控制的觀念仍有待加強。
三、結論與建議
本文基于證券市場管理者的角度，以2011年及2012年滬市主板和深市主板及中小板上市公司為研究對象，通過構建內控報告信息披露質量評價指標體系對100家樣本公司內控報告信息披露質量進行實證研究。研究表明，2012年內控報告信息披露質量高于2011年，且滬市的質量高于深市；滬市絕大部分上市公司兩年來皆聘請外部審計機構對其自評報告進行了審計或鑒證，而深市2011年只有較少數公司做到了這一點，2012情況略有好轉；外部審計機構多為國內事務所，“四大”常被聘請作為外部咨詢機構協助上市公司開展內部控制。
基于此，筆者提出三點建議：（1）證券市場管理者應加強對上市公司內控報告信息披露質量的監管工作，同時制定更加細化的衡定指標以引導上市公司開展實踐。上交所和深交所要肩負起有效考評內控報告信息披露質量的重任，必須建立起強制性信息披露制度及定性、定量考核標準，在加強外部監管的同時，要求所披露內容必須經注冊會計師審計。（2）證券市場管理者及企業都應提高對內控缺陷認定及控制與風險評估及控制的關注度。對內控缺陷和風險管理實施適度的監督檢查，是市場管理者評價內部控制有效性、企業避免內控流于形式并及時改進的必要持續措施。上市公司的內控缺陷和風險越少或越能被有效控制，則越能保證內部控制的有效性，從而提供高質量的內控報告。（3）證券市場管理者應督促企業聘請外部審計機構對內控自評報告進行審計或鑒證。聘請會計師事務所且所聘事務所信用等級越高，內控自評報告信息披露的質量也越高，會計師的審計工作有助于確保內控有效性，也可為市場管理者進行內控報告信息披露質量評級提供輔助依據。X
參考文獻：
1.戴文濤，李維安.企業內部控制綜合評價模型與滬市上市公司內部控制質量研究[J].管理評論，2013，（1）.
2.方紅星，孫，金韻韻.公司特征、外部審計與內部控制信息的資源披露――基于滬市上市公司2003-2005年年報的經驗研究[J].會計研究，2009，（10）.
3.葛建軍.基于風險視角的企業內控缺陷淺探[J].國際商務財會，2012，（12）.
一、企業風險管理框架介紹
1 企業風險管理的定義。2003年7月美國COSO(全美反舞弊性財務報告委員會發起組織)委員會的《企業風險管理框架》征求意見稿中對其定義“企業風險管理是4"由企業的董事會、管理層和其他員工共同參與的，應用于企業戰略制定和企業內部各個層次和部門的，用于識別可能對企業造成潛在影響的事項并在其風險偏好范圍內管理風險的，為企業目標的實現提供合理保證的過程。這是一個廣義的風險管理定義，適用于各種類型的組織、行業和部門。
2 COSO企業風險管理框架的內容。對于許多企業來說，沒有一個普遍認同的關于風險以及風險管理的定義，也缺乏一個概述風險管理運作程序的全面框架，這使得董事會成員和管理層之間進行風險交流變得異常困難。在這背景下，制定框架有著強烈的驅動力。為了順應企業的呼聲和要求，2003年7月美國COSO委員會頒布了企業風險管理框架的討論稿。討論稿描述了企業風險管理框架包括四類目標：戰略目標、經營目標、報告目標、合規性目標。要素：內部環境、目標制定、事項識別、風險評估、風險應對、控制活動、信息與溝通、監控。
二、以風險導向的內部審計
內部審計是在一個組織內部建立的一種獨立的評價活動，并作為對該組織的活動進行審查和評價的一種服務。內部審計的目的是協助該組織的管理成員有效地履行他們的職責。內部審計的發展趨勢是有財務審計到財務審計與管理審計并重。
現在國內外的審計都推行風險導向審計。審計風險模式為：審計風險=重大錯報風險×檢查風險。在審計過程中，審計師需要實施審計程序，評估重大錯報風險，并依據重大錯報風險的評估水平確定并實施進一步的審計程序，以便把檢查風險降低到一個可以接受的低水平。
站在企業立場的內部審計師更多的把風險導向審計中的“風險”擴大為企業或組織在經營過程中面臨的不能實現其目標的各種風險，所以內部審計領域的風險導向審計是以影響企業經營目標實現的經營風險為依據確定審計項目，以企業進行的所有降低風險的活動為測試重點，評價風險降低的充分性和有效性，并提出恰當的降低風險的建議的一種審計方法。
三、內部審計與企業風險管理的關系
內部審計即是企業風險管理(內部控制)的一個組成部分，又是企業風險管理(內部控制)的一種特殊形式。
企業風險管理體系包括要素，其中監控又分為持續監控與個別評價。持續監控的對象是除監控外的七大要素，持續監控的主體是各直接進行風險管理的業務部門。個別評價的對象是除監控外的七大要素和持續監控。個別評價的主題是內部審計部門和業務部門，并且應該以內部審計部門為主，因為業務部門主要負責持續監控，長時間從一個角度看問題容易產生偏差，由內部審計部門介入，能有效地糾正這種偏差。作為個別評價的內部審計是企業風險管理的一部分，評價除自身以外的企業風險管理體系的全部內容。
四、內部審計中企業風險管理框架的應用
在企業風險管理體系中，內部審計是對企業風險管理有效性的評價。本文試圖建立一個風險管理評價體系，以方便地指導內部審計對風險管理體系的評價工作，加強全企業范圍內對風險的識別與控制，完善風險管理體系。
1 評價的目的。內部審計對企業風險管理有效性評價的目的在于完善企業風險管理體系，更好地控制風險、增加價值。需要注意的是，評價本身不是目的，評價過程中內審人員與各部門的溝通以及評價后相應改進措施比評價本身更為重要。
2 評價的內容。內部審計人員對企業風險管理的評價可分為總體和業務兩個層面進行，評價的內容就是企業風險管理框架中的八要素。
3 評價的方法。評價的方法有很多，有很多不同的評價方法和工具，包括一覽表、問券以及流程圖技術等。這里介紹2種模式。(1)風險管理自評。風險管理自評的方法就是要求審計人員與被審計部門管理人員組成一個小組，對本部門風險管理的恰當性和有效性進行評估，然后根據評估提出審計報告，由管理者實施。對于內部審計而言，風險管理自評可以讓管理部門了解到對風險管理的責任，同時還可以提高審計的效率和效果，減少審計人員的工作量，節省審計時間。(2)風險管理矩陣法。風險管理矩陣法是審計人員根據企業經常目標、風險與控制之間的聯系，為確保審計建議能針對重要的風險而建立的一張工作表。
該表包含了下列信息：明確企業的經營目標，審計人員對被審計事項的初步了解，根據初步了解的情況識別風險因素，衡量風險的重要程度，采取適當的控制措施，審計人員的評價和結論。
內部審計人員通常在測試的最后階段來做這個矩陣，其優點是清楚地反映出對每一目標的測試和評價，有助于關注重要風險。
PCAOB的審計準則將“實質性漏洞”定義為：“如果一項或若干項缺陷有能致使年度或中期財務報表存在重大錯報而不能有效預防或及時察覺的合理可能時，該缺陷就構成實質性漏洞(material weakness)”。
關于實質性漏洞的類型，本文借鑒Ge和McVay(2005)的研究思路并將上市銀行漏洞劃分為九大類型，為了便于讀者理解實質性漏洞的概念及其具體表現形式，本文列舉了每一類型實質性漏洞缺陷的表現形式(具體見表1)。
二 浦發銀行內控實質性漏洞信息披露狀況分析
(一)內控信息披露狀況分析
由于2000-2010年資本市場對上市公司內控信息的披露規定經歷了波段起伏的變化，故上市公司內控信息分布比較零散。本文采取手工統計的方式對浦發銀行自上市以來10份年度報告中的“銀行業務信息與數據”、“公司治理結構”、“股東大會情況簡介”、“董事會報告”，“監事會報告”、“重要事項”、“報表附注”以及“附件”等部分披露的內控信息狀況進行統計分析。
1 內控信息披露的分布狀況
2006年6月5日《上海證監交易所上市公司內部控制指引》(簡稱《上交所指引》)的出臺旨在引導上市公司定期披露內控信息以增強公司信息透明度以及提高內控信息披露的可靠性來增強公司抵御風險的能力，進而提升公司的價值。但考慮到時間上的倉促以及高額的執行成本，上交所于2006年12月29日了《關于做好上市公司2006年年度報告工作的通知》，強制要求上市公司在披露的年報中的“重要事項”部分披露內控信息。本文對以上8個部分內控披露狀況。按照5級量表進行衡量，具體含義見表2。
浦發銀行自上市以來的內控信息披露狀況如表3所示。
從表3可以看出啟浦發銀行上市之初，披露的公司年報中對于銀行業務信息與數據披露較為簡單，主要是摘錄近幾年的關鍵會計數據以及財務指標、對境內外的審計差異予以解釋說明，幾乎沒有涉及到內控方面的信息。從2001～2006年公布的年報可以看出，雖然2001年年報中新增了一項特別提示，可視為對內控信息的補充，但是很顯然這一舉措只是出于公司剛上市，迎合監管的需要而采取的補救措施，并非本意上建立完善內控機制，隨著2006年6月5日《上交所指引》的與實施，公司對控的建立完善給予了充分的重視，表現在年報編排體例上發生了重大變化，將以往年報中披露的會計數據與業務數據部分分拆為主要會計數據指標與銀行業務信息與數據兩部分，第一部分實質上與以往年報披露的會計數據與業務數據相似，但第二部分則更偏向于對銀行各類風險的大致介紹和管理情況，表述中多處提及內控字句，其中更有一段內容是對公司的內控制度的完整性、合理性與有效性的說明?！肮局卫斫Y構”從無到有，主要披露了公司治理結構，對內控信息的描述比較簡單，格式相對固定；“董事會報告”比較詳盡地披露了公司內控信息，從2000-2006年的年報中，我們發現這一部分涵蓋了公司可能面臨的各類風險以及應對措施、公司對不良貸款的分類以及管理情況等，但自2007年披露的年報開始，“董事會報告”部分對內控相關信息的描述顯然減少了，更多介紹了新年度公司面臨的挑戰與機遇、新的經營目標以及為達到目標擬采取的主要措施。筆者認為公司此舉凸顯了董事會的職能，一方面，董事會對于內控體系的建立和完善負有不可推卸的責任，但另一方面，董事會更應該站在一個新的高度為公司發展制定戰略計劃，而對于風險的防范內控的建立等職能可以授權給其下屬的審計委員會以及其他部門，“監事會報告”非常籠統地披露了公司的內控信息，說明監事會對于內控重要性認識不足，形式主義嚴重，“報表附注’簡要披露了對金融資產的使用以及管理情況、各類風險應對措施等，公司的內控“三性”說明書以及內控自我評價報告詳細說明了內控體系的建立與完善、公司下一年度內控有關工作計劃，其中我們發現自2008年起年報披露的內控自評報告對于內控信息的披露更加規范，借鑒了《企業內控基本規范》規定的五要素來分項介紹，會計師事務所在2000年,2001年出具的“內控評價報告”中提及對公司內控關鍵領域審核，而在2007年,2008年,2009年的“內控審核報告”中，按照《內部會計控制規范一基本規范(試行)》的有關標準對公司管理層披露的自評報告進行了審核并發表了意見，“股東大會情況”與“重要事項”部分自銀行上市以來從未披露與內控相關的信息。
2 內控信息披露的連續性
根據表3我們注意到公司并非每年都披露內控信息報告,2000年、2001年的年報中公司披露了內控“三性”說明書，而在2002―2006年報中雖然其他部分披露了與內控相關的信息，但是井未披露內控自評報告，從2007年的年報起公司又開始披露內控自評報告，內控信息的披露作為一項既定的制度安排，理應得到連續的執行，可是為什么在2002-2006年的年報中未披露類似的報告?證監會于2000年12月21日了《第7號編報規則》，其中第六條明確要求商業銀行應對內控制度的完整性、合理性與有效性作出說明，并委托所聘請的會計師事務所對其內控制度進行評價，出具評價報告。浦發銀行于1999年11月上市交易，可能是為了給監管機構和廣大投資者留下良好的印象，公司在年報中主動披露了內控“三性”說明書及審核報告，公司在披露2001年的年報時正值證監會了關于內控信息披露的最新規定，基于避免遭受違規所帶來的嚴厲處罰以及繼續樹立公司良好形象的考慮，公司繼續選擇披露內控“三性”說明書及審核報告。之后雖然證監會與銀監會陸續出臺丁關于內控信息披露的規定，但可能由于該項制度還不完善及對高執行成本的顧忌，浦發銀行出于自利的動機停止了披露行為。2006年6月上交所頒布了《上市公司內控指引》，要求董事會對內控的建立和實施情況作出評價，并隨年度報告一起披露內控自評報告及注冊會計師的審核意見。但浦發銀行公布的2006年年報中仍未披露內控的自評報告及審核意見，這大概是浦發銀行主觀上認為指引是非強制性的，即使違規也不會遭受譴責，對該指引的可行性持觀望態度。2006年7月Ⅱ5日，財政部會同有關部門成立了企業內部控制標準委
員會，旨在構建內控標準體系，推動企業完善治理結構和內部約束機制，考慮到監管部門的系列舉措以及違約成本的不斷加大。浦發銀行自2008年起積極披露內控自評報告及審核意見。由浦發銀行披露內控信息的時間分布我們可以發現，要使內控制度在上市公司得到連貫執行，就應該對上市公司內控自評報告采用強制披露與分部走相結合的做法，而對于內控審核報告應采用強制性披露與鼓勵性披露相結合的做法(楊有紅，汪薇,2008)。
(二)實質性漏洞披露狀況分析
實質性漏洞作為特別風險理應受到銀行的關注，我們根據表1對實質性漏洞概念的明確以及類型的劃分，通過對浦發銀行公布的內控“三性”說明書內控自評報告以及審核報告進行研究，對披露的內控“缺陷”進行鑒別，來識別內控實質性漏洞(見表4)。
1 實質性漏洞數量分析
由表4我們發現浦發銀行在2000年與2001年的年報中分別披露了4項實質性漏洞，而在2007年的年報中隱約披露了一項實質性漏洞，2008年與2009年則大量披露了實質性漏洞。由此可見，實質性漏洞披露的數量呈現越來越多的趨勢，似乎表明浦發銀行面臨的內控問題越來越突出。2006年6月上交所《上市公司內控指引》后，浦發銀行隨后公布的2007年年報中的自評報告中雖然對公司內控建設做了大量的陳述，但是未見公司明確披露內控建設中遇到的難題。而2008年以及2009年的年報顯示浦發銀行的內控建設并非如2007年年報披露的如此無懈可擊，多家分行因為業務違規處理遭受了相關部門的處罰，信息系統運行與維護存在問題，而管理者在向外部市場披露相關信息時，有很強的利己主義傾向(何進日，武麗,2006)，而且鑒于指引剛不久，需要一個過渡期，很多上市銀行當時并未有足夠的能力構建起標準的內控體系，監管機構處罰力度并不會非常大，所以公司在2007年的年報中井未明確披露實質性漏洞。而到了2008年，2009年的年報中，由于違規行為遭到了相關部門的處罰，公司意識到了內控不完善給自身帶來的危害，才披露了一系列實質性漏洞。因此我們可以推測浦發銀行的內控問題由來已久，只是因為我國相關法規不完善，違規成本比較低，所以并未披露實質性漏洞。但隨著監管力度的不斷加大，違規成本越來越高，上市銀行才開始致力于內控體系的建設與完善，積極披露實質性漏洞。
2 實質性漏洞披露載體與類型分析
浦發銀行實質性漏洞的載體主要有內控“三性”說明書內控自評報告，其中，內控“三性”說明書披露了8項實質性漏洞，內控自評報告披露了12項。從實質性漏洞信息披露所占披露載體整體篇幅而言，占了較小的比例，這從側面反映出公司有避重就輕、多報喜少報憂之嫌，責任方對于出現的內控實質性漏洞問題有所重視。但重視程度不夠。內控審核報告作為對內控“三性”說明書和自評報告的審核報告，只是遵照固定的格式對這兩者發表了意見，沒有指出公司內控的實質性漏洞。由此可見，公司董事會對內控信息披露表明了積極主動的態度，努力改進內控中存在的實質性漏洞，而事務所對內控信息披露的審核卻似流于形式，筆者推測注冊會計師披露內控審核報告中未披露實質性漏洞有幾大可能性：第一，注冊會計師面對巨大的經濟利益誘惑，存在與管理層合謀的動機，與上市公司勾結以虛假信息欺騙投資者(何進日，武麗,2006)，第二，注冊會計師自身存在專業勝任能力不足的問題，不能勝任內控審核業務；第三，注冊會計師缺乏勤勉盡責的職業態度。從2008～2009年披露的內控審核報告可以發現，在公司自評報告已經披露實質性漏洞的情況下，事務所依然出具無保留意見，可推測出注冊會計師缺乏勤勉盡責的態度，對內控審核的重要性認識不足。雖然財務報告內控審核的對象有其特殊性，對注冊會計師的要求不能太高(張龍平，陳作習，2009)，但是筆者認為注冊會計師應注重自身業務能力的提高，以更好應對新業務帶來的挑戰，特別是配套指引的頒布，為注冊會計師實施內控審計提供了方向及具體標準，故更應以勤勉盡責的態度對待新業務。
由表4我們發現浦發銀行一共披露了表1中九類實質性漏洞的七類，占漏洞總類的77.78％。其中職責劃分與授權這一類達到了7項,2000年、2001年的內控“三性”說明書中各披露了2項，2008年的內控自評報告中披露了3項。可見職責劃分與授權是最為常見的缺陷，這在銀行業中是普遍存在的，也與我國銀行業競爭激烈的現狀相關，一些銀行以“存款第一”為衡量銀行工作業績的唯一標準，重業務輕管理，致使分支機構網點對雇員的違規操作熟視無睹，結果釀成了一系列的惡性案件。技術問題、培訓、子公司特定式與高級管理層是另外比較常見的缺陷，其中高級管理層這一項分別出現在2000年與2001年的內控“三性”說明書中各一次，2007―2009年未再出現過，這說明隨著內控重要性的不斷提升，公司高級管理層逐漸認識到內控制度建設與運行的急迫性，井表明了加強內控體系建設的決心與態度，也付出了巨大的努力。技術問題分別出現在了2000年、2001年、2008年的報告中，說明構建規范的內控體系對于上市公司而言確實是一個巨大的挑戰。需要公司付出高昂的設計成本以及曰后的運行與維護成本。培訓問題一方面與銀行之間競爭過度導致大量招聘人員而培訓不到位有關，另一方面在于內控體系的實施與完善需要公司各級員工的參與。這需要公司不僅重視內控體系的設計與建立，更應該重視執行人的專業理解能力與操作能力，應加強內控文化理念的推廣及實施全員培訓體系。子公司特定式主要反映了分支銀行對信用風險的控制力度不夠，期末報告與會計政策與賬戶特定式都出現在了2009年的報告中，這在以前的年度中均未出現過，反映出公司的內控缺陷存在多樣性、擴散性的特征，需要公司對內控體系進行完整的排查，掃除一切可能存在的漏洞，浦發銀行對于披露的實質性漏洞提出了相應的整改措施及達標時間表，反映出公司內部良好的內控環境與高管堅決的執行力。
三 結論與政策建議
經過研究我們發現：內控“三性”說明書內控自評報告及內控審核報告是披露公司內控狀況的主要載體，而內控實質性漏洞的披露主要集中于內控“三性”說明書及內控自評報告中，董事會承擔了維持完善內控系統的責任，而監事會和審計師對內控信息的監督流于形式，公司年報沒有完整連續的披露公司內控信息，在特定年份未披露內控報告，存在應付監管機構、避免遭受處罰之嫌。在《企業內控基本規范》頒布后，公司披露的自評報告遵循基本規范中規定的基本要素分類進行披露。形成了較為固定的披露模式內控實質性漏洞主要與職責劃分與授權、技術問題、培訓子公司特定式與高級管理層有
關，實質性漏洞信息的披露并非公司的自愿行為，而是在遭到監管部門的處罰后被迫披露的。
鑒于此，筆者對完善內控實質性漏洞信息披露作出如下幾點建議：
縣支行屬于政策傳導末端，政策敏感性不強，風險意識和制度觀念相對淡??；縣支行人員少，財務組織機構簡單，財務內控難以做到相互制約；縣支行財會人員素質不高，老齡化嚴重，知識儲備更新緩慢，跟不上現行財務工作的迅速發展，會計財務核算操作存在隨意性可能。同時，因接受的外部監管相對較少，容易造成在制度執行上打折扣，為財務風險的發生埋下隱患。因此給予在人民銀行縣支行中開展完善的財務風險評估工作。
二、縣支行財務風險評估的指標體系及評估方式
（一）縣支行財務風險評估的指標體系
基于縣支行自身業務的特點和客觀環境因素，其存在的財務風險主要是后五類風險（不可量化風險），財務風險評估指標體系如下：
人民銀行縣支行財務風險評估指標體系
（二）縣支行財務風險評估的操作方式
1.自評估階段。由轄內各縣支行根據財務工作實際，對照環境控制、財務狀況及風險管理三方面評估內容，每年在上半年定期開展本單位財務風險評估工作。各縣支行完成自評報告后上報市中心支行，自評報告包含評估工作開展情況，風險識別、分析、處置等內容。
2.審核與評估階段。市中心支行在各縣支行上報的自評估報告的基礎上，由會計財務部門、內審部門以及外聘專家（必要時）組成評審小組，結合現場檢查和非現場監管情況，對轄內縣（市）支行財務風險控制情況進行評估，根據得分情況，確定風險評估等級。
三、縣支行財務風險評估中存在的主要風險及原因
（一）現行財務管理機制與當前嚴格的財經紀律存在差距，導致道德、操作風險潛在發生
由于歷史的、體制的原因，縣支行財務管理仍存在一定的差距，主要體現在：一是風險防范意識相對淡薄。由于絕大多數縣支行多年未發生案件，都不同程度存在對風險案件防范的重要性有所忽視，存在僥幸心理和麻痹思想；二是人員數量和素質達不到內控制度要求。長期以來，因種種原因導致縣支行會計財務部門的人員數量和素質得不到提高，呈現人員緊張、年齡老化、綜合素質不高等現象。部分人員缺少主動掌握各項規章制度、操作規程的積極性，缺乏風險防范意識和能力。
（二）制度建設滯后和業務迅速發展不同步，導致操作風險潛在發生
目前，人民銀行財務會計的主要法規是財政部2000年1月1日頒布實施的《中國人民銀行財務制度》，經過十五年的快速發展，人民銀行的管理和服務職能不論從范圍、方式或深度等方面都發生了比較大的變化，經歷了預算會計科目的的多次變化和預算體制的改革，制度中包括預算管理、預算科目的核算等許多內容已經不適應財務綜合管理系統的需求和人民銀行的業務實際，制度建設已嚴重滯后于業務發展的需要，制度的約束力在逐漸下降?，F行集中采購的主要法規是人總行2007年制定的《中國人民集中采購操作規程》，隨著2014年人總行集中采購管理系統的上線運行，相應的規章制度跟不上，缺乏《集中采購管理系統業務處理辦法》或者類似的制度，缺少相應的約束力。
（三）“財權和事權”未分離的財務操作模式，導致監管風險潛在發生
當前大部分縣支行，仍一直沿用縣支行成立以來的財務操作模式，即費用支出的使用權和審批權均在辦公室，這種模式未能做到“財權和事權”相分離，不利于財務風險控制，不適應當前形勢要求。由于辦公室一般不配備會計專業人員，沒有很好掌握會計專業知識和有關財經制度，費用憑證到了營業室會計人員記賬時發現問題，木已成舟，無法改變。會計部門只是被動的記賬，起不到事前監督的作用，給財務收支工作的合規性帶來一定的風險。
四、對策與建議
（一）強化風險意識，提高風險防控水平
縣支行領導要高度重視財務管理工作，要把財務管理工作擺上重要議事日程，作為當前一項重要工作來抓，經常聽取財務形勢分析并提出加強管理的措施，注重會計財務人員配備，支持會計財務部門大膽管理，對違反管理規定的嚴格追究責任。此外還應加強對財務人員的培訓，真正落實財務人員的崗前培訓，以及新業務、新制度、新辦法、新程序執行和推廣應用前的培訓工作，使財務人員真正做到持證上崗，規范操作，進一步提高業務操作水平，把操作風險降到最低。
（二）強化制度建設，提高制度的可操作性
根據有關要求和實際需要，進一步健全操作規程和部門規章制度，加強資金核算、資產管理、崗位設置等方面的配套制度建設、提高制度的剛性和系統性，建議人總行及時修訂《人民銀行財務制度》、《中國人民銀行集中采購操作規程》等制度辦法，特別是對于一些制度未規定或未明確規定其列支渠道的費用，需盡快界定，使之更嚴密、更完善。
（三）改變財務操作模式，建立財務風險防控機制
按照財權、事權分離的原則，改變縣支行現行的財務操作模式，將縣支行出納崗位從辦公室調整到會計部門，直接由會計部門管理，實現財務報銷事前監督，并進一步修訂和完善相關規章制度，規范操作流程，建立有效的財務風險防控機制，切實防范財務風險。2015年溫州市中支轄內永嘉支行已對舊財務操作模式進行改革試點，撰寫《基層央行財權、事權分離的改革實踐探索》文章，取得了初步成效，得到了上級行的認可。
五、成效
（一）提高思想認識，有效增強風險防控能力
我市中心支行通過對縣（市）支行財務風險評估活動，使各縣支行領導提高對財務風險防控工作的重要性、必要性的認識，把財務管理工作擺上重要議事日程，重視財務管理工作，支持會計財務人員配備，對本單位的財務工作總體把關。通過財務風險評估活動，提高財務人員風險防范的意識和能力，形成人人自覺遵章守制的良好氛圍，強化了財務內控制約機制。
（二）識別風險內容，有針對性消除財務風險隱患
企業價值評估風險可以定義為：在評估業務或事項中，由于評估機構或人員對企業價值做了不準確或錯誤的判斷給相關人員帶來損失或需承擔相應責任的各種風險。根據此定義可以將企業價值評估風險分為以下四種：
（一）來自被評估方的風險
來自被評估方的風險主要有以下三種：（1）道德風險。被評估企業為了提高企業自身價值，獲得相關利益，通過提供虛假材料、隱瞞對企業不利事項來使評估機構高估企業價值。（2）客觀風險。這種風險是由于被評估企業規模較大、行業特殊、無形資產較多等客觀因素，導致評估難度加大，評估準確性難以保證。（3）被評估企業信息不清帶來的風險。這種風險通常是由于被評估企業提供的資料有誤、缺損，特殊機器設備資料難以獲得以及資產權屬不清等原因引發的風險。
（二）來自評估方的風險
來自評估方的風險主要有以下三種：（1）道德風險。與被評估方一樣，評估方同樣會產生道德風險，為了獲得更多的評估費用、收受好處或者評估方與被評估方有親屬關系等，評估方可能高估或低估被評估企業的價值。（2）組織風險。組織風險主要是指評估機構組織管理人員時產生的風險。評估機構人員管理能力不足、管理制度存在缺陷、缺乏經驗等都可能致使評估機構在項目組織、控制環節存在風險。（3）操作風險。評估人員在評估過程中方法選擇不恰當、計算錯誤、數據遺漏以及在操作中缺乏必要的評估程序，沒有按照相應的法律法規、行業準則操作，評估技術手段落后，不適用當前評估業務階段等，這些都會使評估結果不符合實際。操作風險很大程度上與評估人員專業勝任能力相關，企業價值評估在方法選擇、參數選取上，要依賴評估人員的專業判斷，如果評估人員專業能力不足，也會帶來很大的風險。
（三）來自評估環境的風險
來自評估環境的風險主要有以下四種：（1）法律風險。企業價值評估在我國發展時間不長，相關的法律法規還不是很完善，評估人員在工作中缺乏法律依據。很多企業評估相關法律法規不適用當前我國的經濟發展狀況，與現實脫節，很難有效指導當前的評估工作。（2）市場風險。市場環境不佳，經濟不穩定，行業間的不正當競爭以及市場信息缺乏等都有可能使評估結果出現錯誤。（3）行業自身發育不良產生的風險。我國企業價值評估起步晚，在理論方面，主要是借鑒西方理論研究成果，缺乏實踐性。西方學者經過不斷探索，已取得了顯著的成果，為企業價值評估理論的發展做出了很大的貢獻，但從整體來看，企業價值評估理論并不完善，實踐中還存在很多有待解決的問題。另一方面，西方經濟環境與我國經濟環境有很大不同，其理論成果不一定能完全適應我國情況。（4）監管風險。監管不到位，行業就會出現不正當競爭，導致評估機構只注重自身經濟利益，忽視工作質量。另外，監管方對企業價值評估行業以及評估機構監管不足，政府對評估的過多干預都會使評估結果背離實際情況。
（四）其他風險
其他風險主要表現為評估報告使用風險和關聯風險兩種。（1）評估報告使用風險。評估報告具有時效性，如果評估報告超過使用時效則不能客觀地反映企業價值，會產生風險。另一方面，評估報告根據評估目的不同會有不同類型，使用錯誤類型的評估報告同樣會產生風險。除此之外，評估報告使用者還應考慮后續事項對評估結果的影響。（2）關聯風險。有時，評估項目過大，需要幾家評估機構合作完成項目，其他評估機構出現問題也會引發本機構產生風險。
二、企業價值評估風險控制策略
（一）完善相關法律法規，加強行業監管
相比西方發達國家，我國在企業價值評估立法方面還有很多不足，由此導致評估機構受利益驅逐，利用法律漏洞，獲得非法利益。因此，我國應盡快完善企業價值評估相關法律法規，使企業價值評估工作有法可依，讓企業價值評估行業規范化、法制化。我國評估機構監管部門應定期對評估機構資質進行評審，評估機構根據評定資質等級接受業務，不得接受超越資質范圍的業務。要發揮政府職能，加強行業監管，對企業價值評估機構工作的質量進行監督，但要注意，政府在其中只是起到監督和導向作用，不得干預正常的企業價值評估工作。
（二）重視企業價值評估行業規范建設
目前，我國評估機構數量眾多，規模大小各異，在實際業務操作中，評估業務執行標準也不盡相同，不可避免地會出現一些行業混亂現象。為了保證評估業務的科學性和客觀性，應重視企業價值評估行業規范建設，建立一套完整的企業價值評估管理體系，規范評估標準、評估程序及評估報告的制作，從而減少人為主觀影響評估結果。要不斷完善評估準則，將評估準則作為重要指導。只有行業規范統一了，評估結果才有可比性。要建立并完善企業價值評估機構的進入與退出機制，保證企業價值評估行業有序發展。
（三）建立企業價值評估風險管理機制
企業價值評估機構應建立風險管理機制，風險管理機制一般包括三個方面：（1）風險預測。在評估機構接受評估項目前，對該項目進行可行性分析論證，發現項目面臨的風險，并預測風險發生的概率及可能造成的損失。（2）風險控制。通過制定相應的控制措施，在風險可能發生的環節加強控制與管理，從而減少風險的發生。（3）風險管理。評估機構應通過評定風險控制的效果、建立風險責任制、獎罰制度、明確評估人員責任、提高評估人員風險規避意識等措施來最大限度地降低企業價值評估中的風險。
（四）提高評估人員綜合素質
企業價值評估工作的質量與評估人員的綜合素質密不可分。目前，我國企業價值評估執業人員素質參差不齊，整體來看，還有待提高。評估人員綜合素質主要包括兩個方面：道德素質和專業技術素質。道德素質要求評估人員遵紀守法，保持客觀公正，不受任何個人和組織的影響，做出正確的評估結果。同時，評估工作很多時候要依賴評估人員的專業判斷，專業技術素質對評估人員做出正確的專業判斷至關重要。專業技術素質要求評估人員充分理解企業價值評估準則，熟悉企業價值評估的技術方法。根據評估人員綜合素質要求，評估機構應做好以下工作：第一，提高評估人員風險意識，在工作中提高警惕。第二，在聘用評估人員時，應對其進行充分考核，考察其專業技術能力是否符合要求，對專業技術不合格的人員堅決不聘用，這樣可以避免評估人員由于專業素質不高帶來的風險。第三，要重視評估人員后續教育，企業價值評估是一個不斷發展的行業，評估人員要進行后續教育才能應對不斷出現的新問題，評估人員不僅要重視理論學習，還要注重實踐操作，不同機構部門應加強交流，促進發展，共同進步。第四，提高評估人員道德素質，加強評估機構道德建設工作。
（五）改善企業價值評估信息質量狀況
建設“三位一體”的管控機制
在內部控制治理架構與體系方面，中國平安董事會對內部控制的有效性負最終責任。中國平安董事會是一個依托本土優勢并踐行國際化公司治理標準的董事會，現有19名董事中，有3名獨立非執行董事及5名非執行董事來自海外，這些海外董事均為金融、保險、財務、法律等專業領域的資深人士，負責內部控制的建立健全和有效實施，董事會下設審計與風險管理委員會,負責監督、審查公司內部控制的有效實施和內部控制評價情況，協調內部控制審計及其他相關事宜。
中國平安集團設立內控管理中心，包括合規部、風險管理部、稽核監察部；各專業公司層面設立相應的合規、風險管理、稽核監察職能部門。公司持續優化內部控制體系，在公司副總經理兼首席稽核執行官葉素蘭（其作為首席稽核執行官根據《審計與風險管理委員會工作細則》直接向董事長、董事會審計與風險管理委員會報告工作，以確保獨立性）的統籌協調與管理指導下，不斷加強“合規管理、風險管理、稽核監察”三個模塊職能的分工與協作，強化工作銜接與信息共享以及“事前、事中、事后”的三位一體風險管控機制。葉素蘭向《董事會》表示，“三位一體”指三個專業部門在風險管控中分工、配合與協作，強化事前、事中、事后風險管控。其中，合規部門主要履行“風險事前策劃應對”，風險管理部門主要履行“風險事中監測控制”，稽核監察部門主要履行“風險事后監督報告”。業務部門是風險管控的第一道防線，中國平安通過建立內控評價與考核問責，將內部控制與日常經營管理融合，嵌入業務和流程，確立內部控制的核心驅動力，將風險管控盡可能前置。合規部門和風險管理部門是第二道防線，稽核監察部門是第三道防線。
針對綜合金融可能存在的關聯交易、風險轉移、資本重復計算等風險，中國平安通過建立完善嚴格的“法人防火墻”、“財務防火墻”、“交易防火墻”和“信息防火墻”等防火墻制度，將單一/累積風險控制在遠低于集團可接受的水平范圍內。
值得一提的是，平安一直致力于建立一個以國際領先綜合金融服務集團為目標，與自身業務特點相結合的全面風險管理體系。其通過完善的組織架構、規范的管理流程、定量與定性相結合的風險管理技術方法，進行風險的識別、評估和控制，支持業務決策，促進集團有效益可持續健康發展。
中國平安總經理任匯川對《董事會》感慨道：“風控體系非常獨立和嚴格，集團強調法規+1，之所以能放心也是因為有這套體系?！?/p>
完善內控評價機制
內控評價機制方面，中國平安確立了以內控評價方法論為基礎，覆蓋全部業務部門進行內控自我評價，風險管理部門進行內控風險評估，稽核監察部門成立專門的評價小組進行內控獨立評價，外部審計師對公司內控狀況進行審計的內控評價機制。
中國平安的內部控制評價工作嚴格遵循相關外部監管規定及公司內部控制評價辦法規定的程序執行。由公司合規部牽頭，會同各業務及相關管理部門進行管理層內控自評，由公司稽核監察部實施內控稽核獨立評價，相關責任部門根據內控缺陷及整改建議制定并執行整改計劃。中國平安不斷完善管理層內控自評和內控稽核獨立評價流程，通過加強項目管理、過程管理、質量復核、固化項目方法和程序、評價結果分類等內容，規范管理層內控自評和內控稽核獨立評價工作的開展。公司通過內部控制系統平臺，完成內部控制評價的發起、測試、匯總、復核、審批、整改追蹤、結果分析等工作。管理層內控自評和內控稽核獨立評價過程中，公司通過訪談、資料收集與研討、專題研討、與行業最佳實踐對比、培訓等方式，收集、確認、分析相關信息，確定與實現公司整體控制目標相關的風險，并在此基礎上辨識與細化相對應的控制活動，然后針對控制活動進行穿行測試和運行有效性測試，獲取充分、相關、可靠的證據對內部控制的有效性進行評價，并書面記錄工作底稿。從定量和定性等方面進行衡量，判斷是否構成內部控制缺陷，對發現的內部控制缺陷，督促相關單位或部門進行整改，并對整改結果進行核查和確認。
中國平安外部審計師安永華明會計師事務所對其財務報告內部控制發表的審計意見認為，于2011年12月31日中國平安按照《企業內部控制基本規范》和相關規定在所有重大方面保持了有效的財務報告內部控制。
打造信賴工程
自從國際的金融危機爆發以后，先進國家和地區對金融制度和經濟結構不斷進行著重大的調整，各個國都在加大科研創新，紛紛將新材料、新能源、新技術作為新一輪產業發展重點，搶占經濟發展的制高點。隨著經濟環境日趨復雜，公司的經營活動面臨著更多的不確定性。所以建立全面風險管理和內控體系，成為了我國國有上市公司的工作重點。
一、全面風險管理和內部控制體系的關系和意義
1.全面風險管理的發展歷程和目標
后危機時代的中國企業面臨著來自方方面面的危機，2004年中航油新加坡公司風險管理失敗事件后，2006年6月國資委頒布了《中央企業全面風險管理指引》，對開展全面風險管理工作作出了明確規定，并要求報送年度風險管理報告。全面風險管理，指企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，從而為實現風險管理的總體目標提供合理保證的過程和方法。
2.內部控制的發展歷程和目標
2001年12月，美國最大的能源公司--安然公司突然申請破產保護，暴露出美國上市公司治理結構和外部監督的缺失，美國加速通過了《薩班斯法案》，要求建立公司建立內部控制體系。2008年和2010年，中國五部委聯合了《企業內部控制基本規范》和《企業內部控制配套指引》后，中國證監會強力推進上市公司內控建設。
3.全面風險管理和內部控制的關系
全面風險管理和內部控制目標是一致的。內部控制的目標是防范和控制風險并促進企業實現發展戰略，風險管理也是為了促進企業實現發展戰略，要求將風險控制在可承受范圍之內。兩者之間不是對立的，而是協調、統一的整體。
全面風險管理和內部控制內容互相包容。內部控制是一類控制風險的措施，是一種風險治理的解決方案，旨在最小化風險。因此，全面風險管理和內部控制管理內容是相互包容的。
4.全面風險管理和內控體系建設的意義
積極開展全面風險管理和內控體系的建設，發揮好審計部在風險管理工作中的第三道防線，進行風險監督，對公司持續健康發展有舉重輕重的作用。為了更好的開展全面風險管理和內控制度的建設工作，并落實到日常管理工作中。公司應將全面風險管理和內部控制相結合，在現有體系基礎上融入風險管理的要素，建立健全全面風險管理和內控體系。
二、全面風險管理和內控體系建設的治理結構
公司治理是公司全面風險管理和內部控制的核心，良好的公司治理是提高公司經營管理效率的基本要素。全面風險和內部控制體系作為公司為履行管理目標，建立了規則、政策和程序，與公司管理及公司治理密不可分。
1.全面風險管理和內控治理機構的一致性
公司治理是現代公司在決策、激勵、監督約束方面的制度、原則，涉及利益相關者之間在權力與責任方面的分配、制衡以及效率經營與科學決策。在《中央企業全面風險管理指引》與《企業內部控制基本規范》中均規定，企業應建立并健全公司的治理結構，明確責權限，形成有效科學職責分工制衡機制。全面風險管理與內控控制體系組織結構共同包括：股東大會、董事會、監事會、審計委員會、內部審計機構等。
2.全面風險管理和內控治理機構的差異性
雖然全面風險體系和內部控制體系在治理機構中存在著很多的一致性，但仍存在部分差異。
全面風險體系治理結構還包括：風險管理委員會、風險管理部門等。內部控制體系治理結構還包括：經理層、內部控制管理機構
三、企業開展全面風險管理和內控體系建設實踐
1.全面風險管理體系建設
公司已初步建立了相關內部控制體系，但隨著公司的快速發展，以及公司經營管理水平的不斷提高的需要，內控體系也應作相應調整和補充完善，對此開展了全面風險管理和內控體系建設。
（1）全面風險管理和內控體系框架
為了加強公司全面風險管理工作，建立健全全面風險管理和內控體系，根據境內外相關法律法規，結合公司實際，制定了《全面風險管理手冊》。明確了風險管理的組織機構和管理流程，形成風險管理長效機制。
（2）全面風險管理和內控體系建設的流程與操作
風險管理流程分為四個主要流程：風險辨識評估流程、重大風險管控流程、風險管理監控與改進流程、風險管理總結與報告流程。風險管理各主要流程存在著緊密的內在關聯性，且各工作流程呈遞進關系。
2.內控自評價持續完善
全面風險管理和內控體系建設是一個持續改進的過程，建立是最開始的一部分內容，對建立的全面風險管理和內控體系建設和執行情況進行評價更是促進體系改善的有效手段；制度執行又是體系建設最關鍵的環節，建立再好的體系，不執行也是無效的。公司對全面風險管理和內控體系運行的有效性進行定期及不定期檢查，開展全面風險管理和內控自評價審計。
（1）全面風險和內部控制管理測試評價
全面風險和內部控制管理測試評價包括：全面風險管理和內部控制健全性檢查評價、全面風險管理和內部控制有效性測試、全面風險管理和內部控制實質性測試、全面風險管理和內部控制合理科學性綜合評價。
（2）全面風險管理和內部控制管理缺陷判定
內控制度審計評價應對內部控制進行綜合的判斷，按其嚴重程度分為重大缺陷、重要缺陷和一般缺陷。被審計單位應建立內部控制缺陷的整改機制，明確內部各管理層級和單位整改職責分工，確保內部控制設計和運行中的重大風險和主要問題得到及時解決和有效控制。
（3）出具全面風險管理和內控自評價報告
出具內控審計報告，書寫審計結論，向公司管理層報告內控審計結果。審計報告主要內容包括：審查和評價內部控制管理的目的、范圍、依據、主要實施程序的描述；對內部控制管理的評價；審計結論；對改善內部控制管理的建議。
（4）全面風險管理和內控自評價審計整改
按照PDCA方法，加強過程審計，通過制定審計計劃、按照方案實施審計，針對審計發現問題，制定整改措施，形成閉環。將各類審計結果轉化為審計成果，有效維護體系運轉。
四、全面風險管理和內控體系建設效果
通過全面風險管理與內控體系的建立，加強了公司風險管理與內控的有效融合。全面風險管理體系建設是在已有內控體系的基礎上，導入風險管理的概念，經過辯識、評估等一系列科學系統的方法，建立的風險與內控體系。內控體系重點在于防范與規避風險；全面風險管理體系更強調在防范與規避的基礎上，有效利用風險創造更大價值。內控體系更強調執行層面；全面風險管理體系更關注企業全局。建設過程中更加強調：全面風險管理體系建設與內控體系深度融合。
五、全面風險管理和內控體系建設存在的問題
全面風險管理和內控體系建設工作，涉及面廣，參與人員多。在企業經營工作繁重的情況下，即要按照計劃進度完成工作，又要保證體系建設質量，是體系建設中的重要環節。
六、全面風險管理和內控體系建設建議
加強組織領導。體系建設負責人要高度重視、統籌安排此項工作。制定具體落實方案，將任務落實到位。
參考文獻：
[1]蒲育軍.淺析風險導向審計在國有商業銀行的應用[J].中國內部審計，2010（127），48-51.
[2]鄺滿維.內部審計在企業內部控制評價中的應用研究[J].中國內部審計，2010（127），40-43.
