1、中國聯通內部控制評審建設的做法和啟示內部控制評審以下簡稱“內控評審”是指對內部控制制度的健全性和執行有效性進行審查和評價，旨在發現和改進內部控制薄弱環節，促進公司強化管理，提高經營效益，實現健康可持續發展。薩班斯法案第404條款對此提出了嚴格而明確的要求，即公司管理層要對本公司內控制度的有效性作出自我評審，向資本市場簽署內控有效性聲明；而管理層對內部控制的評價，擔任公司年報審計的會計公司應當對其進行測試并提出獨立評審意見，覆蓋范圍包括內控設計及執行的有效性。中國聯通作為在上海、香港和紐約上市的公司，自2005年末開始就把內控評審作為保證內控建設有效性的一項重大項目來抓，經過兩年多的摸索、實踐，

2、逐步建立健全了內控評審體系，積累了一些經驗。中國聯通內控評審建設及實施過程一、制定評審工作計劃中國聯通在2006年初根據公司的業務特點，制定了內控評審工作計劃，明確了各個層面以及各個部門的職責：總部各部門、各省分公司的主要負責人是內控建設工作的第一責任人，從總部到各省級分公司、各地市級分公司均要設立內控辦公室，負責具體的組織協調工作。在確定評審范圍時，重點關注重要會計科目、重要經營場所、重要業務流程、流程風險評估、關鍵控制及相互之間的匹配關系，還制定了統一的記錄、測試和報告標準及對應的測試方法。為保證評審工作的有效執行，在確定測試執行人員、職責分工后，明確分段測試具體時間，如應當在年末以前就對

3、其年末流程和程序進行復核，以確保年末流程和程序設計的有效性等。二、確定重要經營場所的覆蓋率1、確定重要經營場所的原則中國聯通根據經營場所相關財務狀況和經營狀況、出現重大錯報的風險、該經營場所的業務流程/循環和內控程序在集中處理或共享服務環境中所占的比重，把被評審經營場所分為四類，即：A類：單一地市重要的經營場所公司資產或收入金額占公司總額的0.4%以上；B類：具有特殊風險會計科目的經營場 所；C類：匯總后被認為重要的經營場所；D類：單一地市不重要或匯總后仍不重要的經營場所。根據2006年6月30日上市公司合并財務報表數據，被評審的 經營場所中A類公司占60.3%，保證了管理層直接評審的公司覆蓋

4、公司資產或收入總額到達了60%以上。2、確定重要經營場所的數量1按照自上而下的原則，省分公司為必審單位；2按照重要性原則，省會城市和資產或收入規模占全國匯總的0.4%以上的地市分公司為必審單位；3按照風險的重要程度，以前年度發生過財務報告錯報、舞弊行為，或公司內、外各項檢查、審計中發現重大問題的地市分公司為必審單位；4各省隨機選擇一個C類地市分公司對其公司層面控制的有效性包括期末關賬程序、財務報表分析、監控、反舞弊程序等總體控制活動進行獨立評估。但一旦被抽查到的C類地市分公司出現任何例外，審計師和公司管理層必須對所有C類地市公司的所有關鍵控制進行測試。3、確定評審組織方式任何成功的活動都離不開

5、正確的、與實際相結合的組織方式。中國聯通將評審分為總部直接評審和各省級分公司組織評審、委托評審三種方式。1總部直接評審。總部派出10個評審組對中國聯通所屬31個省分公司、27個省會分公司以及資產或收入占全國總額0.4%以上的30個地市 分公司、聯通紅籌公司下的聯通國際、聯通澳門子公司及10個華盛省分公司進行現場評審；2對總部層面各部門的評審，委托會計師事務所按總部層面的關鍵控制點進行現場評審；3其余的地市分公司由總部委托所在省分公司評審。三、確定評審面內部控制按照控制方式分為：公司層面控制、信息系統控制、業務流程控制。中國聯通內控評審相應的也從這三個方面分別開展。1、公司層面控制即控制環境的評

6、審公司層面控制是整個內控活動的前提和基礎，對公司內控的效率和效果起關鍵作用。中國聯通公司層面控制分總部、省級分公司、市級分公司三個層面，對其評審包括以下13項主要內容：職工行為準則、審計委員會的監督、會計政策和程序手冊、期末財務報告其中財務報告程序和期末結賬程序是重要的一項測試 項目、董事會及高級管理層的監督、人力資源管理、權限與職責分配、反舞弊、風險評估、經營業績分析、內部審計職能、管理層的自我評估、信息披露委員會。2、信息系統控制的評審信息系統控制是指管理和控制公司內部與信息技術有關的活動，它是滲透到公司各個管理環節的控制措施。信息系統控制評審的內容包括兩個部分：信息 系統總體控制、信息系

7、統應用控制。中國聯通的經營資料和經營所得絕大部分依靠計費系統、營賬系統中的運算結果反映。尤其是各項業務收入報告，各項資費套餐 的計費及分析，代理傭金的計提、稽核和支付，有價卡、 終端等資產的進銷存管理，這些復雜的數據必須依靠信息系統的支撐才能完成。因此，中國聯通的信息系統控制內控評審關注的重點是：各個相關的IT系統應用控制是否按照規定的內容提供與形成財務報告相關的數據。如月末財務確認收入數據是否通過系統形成；代理傭金， 攤銷，積分管理的核算、支付、審批、稽核等功能是否通過系統實現。3、業務流程控制控制活動的評審業務流程控制是指在業務層面上確保管理層的指令得到實施的政策和程序。業務流程控制評審的

8、內容按照財務報告重要科目的對應關系來設置，中國聯通 公司通過系統梳理從業務活動發生起點到最終形成財務報告的全過程，將業務流程控制控制活動的評審分為以下6個部分：資本性支出、收入、成本費用、資金 及資產、財務及信息披露、其他共性部分。四、確定關鍵控制點根據重要性原則，內控評審主要圍繞關鍵控制點進行。中國聯通全國各個分公司中，目前只有山東、浙江和廣東三個省實施ERP系統管理，所以在確定關鍵控制點時按是否實施ERP系統分別確定：ERP省分公司關鍵控制點共有676個點、非ERP省分公司共有583個點、華盛公司共有63個點；總部各部 門共有392個點。五、組織評審人員培訓中國聯通公司在進行內控評審前，組

9、織評審人員進行了集中培訓，對參與培訓的人員明確內控建設評審工作的整體要求，要求參與培訓的人員重點掌握內 控建設評審的方法和對關鍵控制點的分析評價，統一評價標準，并教育評審人員要遵循以下5項原則：獨立性、客觀性、標準性、全面性的原則，自上而下的原則， 關注重點的原則，注重效果的原則，注重文檔記錄的原則。六、評審實施各評審小組成員要根據中國聯通省級分公司內部控制標準所確定的控制措施編制內控評審工作底稿，依據該底稿的具體要求對內控制度標準設計的健全性與執行的有效性進行現場測試。1、中國聯通公司內控評審的主要內容包括控制環境評審、控制活動評審和IT信息系統控制評審。1公司層面控制控制環境評審。檢查職工

10、職業道德守則、不相容職務相互別離暫行規定、風險評估管理方法及反舞弊暫行規定等制度的培訓和標準執行情況；檢查經營信息定期分析、財務數據出現重大波動的分析報告，主要經濟活動授權審批，經營發展目標實施以及人力資源政策等控制要求的落實執行情況。2控制活動評審。圍繞資本性支出、收入、成本費用、資金及資產、財務及信息披露以及其他共性6個影響財務信息真實性的業務流程，檢查各分公司內控制度的健全性及執行的有效性；依據控制活動發生的頻率，抽取一定數量的樣本，測試各項控制措施的執行情況和效果。在檢查內控設計是否健全時，主要檢查內部控制是否結合被測評省分公司的實際并涵蓋了公司經營管理中需關注的重點問題及重點風險；內

11、控制度是否明確了公司各項經營活動的管理要求；風險控制 措施是否存在缺陷和漏洞，能否防范經營管理中的不標準行為，有效降低和控制經營管理中的風險；是否制定了清晰、明確的業務流程，流程的起點、終點以及中間涉及的各控制點、控制標準、各個崗位間的職責分工是否明確。在檢查內控執行是否有效時，主要檢查各項經營活動是否按已制定的流程文檔標準執行；實際執行 與流程文檔的描述存在什么差異；實際執行中各項流程文檔是否有效地涵蓋和控制了經營活動中的主要風險點；各級公司各個崗位的相關人員是否理解掌握內控流程 文檔的控制要求、本崗位的主要職責、主要風險點以及相應的控制措施；能否有效地控制當前公司經營過程中存在的風險，解決

12、公司在經營活動中的突出問題。在檢查執行過程是否保留了完整和可靠的文檔記錄時，要注意驗證每個業務控制環節，核實實際執行情況與流程圖、流程描述及風險控制文檔的描述是否一致；驗證業 務活動所經過的流程和控制是否有完整和可靠的文檔記錄，是否保留了控制實施證據。在驗證業務控制流程設計和執行的一致性時，從業務發生開始，抽取一定數 量的樣本，通過對用戶入網資料的審核、服務的開通、網絡運行、網間結算、計費出賬、確認收入等一直到壞賬的追繳、收回及生成會計報表的全過程測評，驗證業 務控制流程設計和執行是否一致。3IT信息系統控制評審。圍繞信息系統總體控制和應用控制的要求，中國聯通對系統開發及變更管理、數據備份管理

13、、日常維護管理、安全管理、系統自動控制、系統用戶權限和電子表格管控等情況進行檢查，同時針對各省分公司IT管控指標達標率進行評審。2、為保證公司資金安全，中國聯通在進行內控各環節的評審的同時，也對資金安全狀況進行了調查。內容包括非正常開立銀行賬戶或存款、3個月以上含3個月銀行未達賬項、12個月以上應收款項等。3、中國聯通在完成上述工作的基礎上，統一了現場評審需提交的主要工作文檔，要求各評審小組按照文檔內容的要求填寫完整，并經評審人員、評審小組負責人、被測評單位簽字蓋章確認，以利于評審各環節的責任認定。4、在現場評審工作中，中國聯通從以下3個方面入手，確保評審的有效性：1強調時點：內控評審不同于傳

14、統財務報表審計，后者可以通過結賬日后的調整實現財務報表的公允反映。而內控是否有效包括設計的有效、執行的有效以及保留準確、完整的文檔記錄是基于財務報告結賬日即資產負債表日是否存在并有效地執行了控制活動，并保留執行后的文檔記錄，因此整改完成日 不能遲于財務報告結賬日。2強調文檔記錄的重要性：包括業務流程文檔、控制活動證據和評審工作底稿，缺一不可，而且文檔的記錄必須準確、完整、詳實，以備外部審計師審閱。開始評審工作前，控制活動責任人必須將重要控制活動證據按次序準備齊全。3強調評審工作底稿：評審工作底稿應滿足美國公認審計準則的基本要求，以作為外部審計師用以評價公司自我評估是否有效的基礎。中國聯通要求各

15、評審小組對不同階段進行的測試工作底稿分別妥善保管，以備日后進行整改后的更新測試參考。七、提交評審報告中國聯通要求各評審小組在評審現場結束后一周內提交評審報告和現場評審工作文檔，并對評審報告的編制提出了具體的要求，即評審小組出具的評審報告要說明分公司內部控制建設的總體概況、整改目標完成進度，并詳細描述未整改的問題，與業務流程相關的關鍵控制點設計和執行的缺陷，以及有關問題對財務報 告的影響，分析問題形成的原因、存在的風險和對分公司整改的具體要求。八、評估測試結果為了確認內控是否有效運行，中國聯通還要求各評審小組在測試后編制一個有關所有內控缺陷、重要缺陷和實質性漏洞的清單，記錄每個缺陷的原因并且評估

16、必要的糾正行動，還要對每個糾正后的內控缺陷進行重新測試，以證明它的運行有效性，從而為財務報表認定提供支持。中國聯通內控評審建設的實施效果和啟示中國聯通內控評審實施兩年來，為公司內控建設取得階段性的重要成果提供了堅實的保障。在對香港披露的2006年度內控評審報告中，普華審計機構對中國聯通內部控制建設和評審結果給予了肯定并出示了無保留意見，同時，公司以零缺陷報告順利通過了薩班斯法案審計。通過對中國聯通內控評審建設的實例分析，筆者認為內控評審的質量直接決定了內控建設的效果。結合上述分析，筆者談幾點心得和建議，以供參考與討論。第一，內控工作具有強制性，不能以個人意志為轉移。薩班斯法案是一部保護投資者的法律，具有強制性。因此任何在美國上市的公司都必須嚴格執行。不管管理者是否情愿，也不管企業管理水平高低，都必須無條件提供經過外部審計師進行評估的管理層內控報告。第二，內控的目的是推動公司高效運轉，不能為了內控而內控。內部控制是提升公司經營效益及財務報告真實性的重要舉措，注重研究探討問題產生的原 因并尋求解決方