2013版COSO内部控制实施指南

COSO内部控制框架自1992年发布以来，对各类组织完善和提升其内部控制的效率和效果发挥了重要的影响，2013年该框架首次进行了修订，这预示着未来十几二十年中新一轮的COSO内部控制框架将指导企业进行新的内部控制得改善与提升。本书由北京国家会计学院院长秦荣生，北京国家会计学院教授、博士生导师张庆龙等专业人士进行翻译并倾力推荐，旨在为COSO内部控制在国内企业的具体运用中提供指导和参考模板。

2013版COSO内部控制实施指南一书从实际操作层面，为企业全面执行2013版的COSO内部控制框架提供了权威指南。《2013版COSO内部控制实施指南》探讨了新版内部控制框架的组成要素，对应企业经营活动展示了经营层面内部控制的具体内容，运用COSO三维立体框架模型解释了各内部控制要素的重要性，阐释了如何整合COBIT框架，ISO内部控制和风险管理标准，并重点强调了如何保证企业内部控制构建和执行的有效性等问题。

罗伯特·R·穆勒（Robert R.Moller），一位有着多年从业经验的内部审计专家和项目经理。他拥有CPA、CISA、CISSP等专业证书，并在信息系统、公司治理和安全控制方面具有丰富的专业背景。穆勒先生从事审计等相关工作的经验已经超过25年，在他25年的从业生涯中，曾经作为首席审计执行官服务于一家财富50强的企业，也曾在Grand Thornton会计事务所和Sears Roebuck公司任职。穆勒先生是内审协会（IIA）芝加哥分会的前任主席，IIA的国际先进技术委员会的一员，还是AICOA计算机内审分会的前任主席。除本书之外，穆勒先生至今已著有6本专业书籍。

第1章 COSO内部控制框架的重要性
1.1 企业内部控制的重要性
1.2 什么是企业内部控制
1.3 理解COSO内部控制：如何使用本书

第2章 内部控制的历史沿革
2.1 内部控制早期定义：1977年的《反海外贿赂法》
2.2 《反海外贿赂法》与现代内部控制
2.3 反欺诈财务报告委员会成立始末
2.4 美国注册会计师协会发布的《审计准则公告》：第55号与第78号文件
2.5 反欺诈财务报告委员会的报告
2.6 最初的COSO内部控制框架
2.7 《萨班斯法案》与内部会计控制
注释

第3章 新版COSO内部控制框架概览
3.1 理解内部控制框架
3.2 新版框架在商业和经营环境方面的主要变化
3.3 新版COSO内部控制框架
3.4 新版COSO内部控制原则
3.5 COSO目标与经营业务
3.6 其他信息来源

第4章 COSO内部控制要素：控制环境
4.1 控制环境要素的重要性
4.2 控制环境原则一：诚信与道德观
4.3 控制环境原则二：董事会职能
4.4 控制环境原则三：对权力与责任的要求
4.5 控制环境原则四：加强人力资源建设
4.6 控制环境原则五：个人的内部控制责任
4.7 正确实施COSO控制环境

第5章 COSO内部控制要素：风险评估
5.1 风险评估的原则
5.2 风险识别与分析
5.3 风险应对策略
5.4 舞弊风险分析
5.5 COSO风险评估及修订后的内部控制框架
注释

第6章 COSO内部控制要素：控制活动
6.1 控制活动要素的原则
6.2 COSO控制活动的现状

第7章 COSO内部控制要素：信息与沟通
7.1 信息与沟通要素的变化
7.2 信息与沟通原则一：相关信息的使用
7.3 信息与沟通原则二：内部沟通
7.4 信息与沟通原则三：外部沟通
注释

第8章 COSO内部控制要素：监控活动
8.1 监控活动要素的重要性
8.2 监控活动原则一：持续评估与个别评价
8.3 监控活动原则二：评估与沟通内部控制缺陷
8.4 正确运用监控活动
注释

第9章 COSO内部控制治理、风险及合规营运控制
9.1 COSO营运目标
9.2 计划和预算控制
9.3 IT系统营运控制
9.4 营运过程控制和服务目录
9.5 COSO营运控制的重要性
注释

第10章 COSO报告程序
10.1 COSO报告目标
10.2 COSO外部财务报告控制
10.3 COSO内部财务报告控制
10.4 COSO外部非财务报告控制
10.5 COSO内部非财务报告控制
10.6 COSO 报告控制的重要性
注释

第11章 COSO合法、合规与遵循目标
11.1 企业合规性控制的重要性
11.2 合规控制问题
11.3 内部控制与法律问题
11.4 专业和其他标准的合规性

第12章 内部控制主体与组织的治理、风险及合规的关系
12.1 组织GRC视角下的内部控制
12.2 公司治理总体概念
12.3 企业层面内部控制
12.4 分支机构层面内部控制
12.5 业务层面内部控制
12.6 组织与GRC控制视角
注释

第13章 COSO、服务管理和有效的IT控制
13.1 IT一般控制的重要性
13.2 IT治理的一般控制
13.3 IT管理的一般控制
13.4 客户服务器和小型系统的IT一般控制
13.5 信息技术基础架构库服务管理最佳实践
13.6 服务交付最佳实践
注释

第14章 云计算、虚拟化和无线网络
14.1 IT无线网络的内部控制
14.2 云计算和COSO内部控制
14.3 虚拟化存储管理
14.4 COSO内部控制和最新技术
注释

第15章 其他框架：COSO企业全面风险管理框架
15.1 企业全面风险管理定义与风险组合观
15.2 COSO 企业全面风险管理框架模型
15.3 企业全面风险管理框架的其他维度
15.4 COSO企业全面风险管理和新版内部控制框架
注释

第16章 COBIT的内涵与应用
16.1 向高级管理人员介绍COBIT
16.2 运用COBIT评价企业内部控制
16.3 COBIT与COSO内部控制的对应关系
注释

第17章 ISO内部控制与风险管理标准
17.1 ISO标准的背景及其在全球商业世界的重要性
17.2 ISO标准综述
17.3 ISO标准与COSO内部控制整合框架
注释

第18章 董事会中的COSO内部控制
18.1 董事会决策与内部控制程序
18.2 董事会架构与治理规则
18.3 公司章程与董事会结构
18.4 审计委员会与内部控制管理
18.5 董事会成员的内部控制知识要求
18.6 COSO内部控制与公司治理
注释

第19章 服务组织控制报告和COSO内部控制
19.1 服务型组织内部控制的重要性
19.2 早期服务商的内部控制鉴证方法：SAS
19.3 服务型组织控制报告
19.4 审计权利条款
19.5 内部控制的局限性

第20章 2013版COSO内部控制框架的实施
20.1 2013版内部控制框架的最新变化
20.2 2013版COSO指南的过渡问题
20.3 2013版COSO内部控制框架的实施步骤

译者序
2010年11月，美国反虚假财务报告委员会（National Commission of Fraudulent Financial Reporting）下属的发起组织委员会（Committee of Sponsoring Organizations，COSO）启动了对1992版内部控制框架修订的项目，于2011年12月发布征求意见稿，最终于2013年5月正式发布2013版内部控制框架及其配套指南。
1985年，在美国创建的反虚假财务报告委员会，旨在探讨财务报告中舞弊产生的原因，并寻找解决之道。1987年，该委员会的赞助机构成立了COSO委员会，专门研究内部控制问题。1992年9月，COSO发布内部控制框架，公司可根据该框架逐条检视其内部控制的有效性，或用于设定公司目标，在理论和实务界备受推崇，在美国及全球得到了广泛推广和应用。
2013版内部控制框架及其配套指南旨在结合当前新的商业和运营环境，来反映企业内部控制框架体系的新变化、新思维，以适应IT系统、商业运营、多元合作、国际化经营、公司治理等现代企业所面临的巨大变化。从内容来看，2013版的COSO框架着重强调了原则导向，并扩大了报告目标类别，将财务报告以外的其他外部报告，以及包括财务和非财务报告在内的内部报告，都纳入其指导范围。对比而言，1992年的COSO框架则局限于对外财务报告。
面对2013版COSO框架，我们应该如何解读和应对这些变化？2013版内部控制框架是1992版的升级版，它对各类组织完善和提升其内部控制的效率和效果都会产生重要作用。2013版内部控制框架的主要内容可以概括为:一个定义、三类目标、五大要素和十七项原则。一个组织是否要实施以及如何实施2013版框架需要根据组织的性质和类型进行判断，在了解相关法规制度体系的变化和要求的基础上做出决策，但同时要认识到内部控制也具有一些局限和缺陷。
针对2013版COSO框架的新变化，美国著名的风险管理专家罗伯特R穆勒先生在第一时间推出了个人的这本专著《2013版COSO内部控制实施指南》。该书作者结合多年的内部控制与风险管理理论研究与实践经验，对2013版COSO内部控制框架进行了深入解读，细化了新修订后的版内部控制框架的具体内容，使得读者更清楚地了解新框架的变化及其应用形式。例如，2013版内部控制框架发生了哪些变化；如何与企业已有的内部控制制度框架进行对接；内部控制框架与全面风险管理框架是什么关系；内部控制主体与公司治理层面的关系如何；内部控制三维立体模型呈现的主题是什么；与1992版内部控制三维立体模型相比，变化的背后原因是什么；内部控制要素相应下的每项具体原则如何理解，实际中最佳应用如何体现等具体内容。此外，该书还论述了如何在云计算、虚拟化和无线网络环境下做好内部控制，有哪些应用技术；内部控制与已有的标准制度之间关系如何，如COBIT、ISO等；如何做好董事会的内部控制；如何降低外部服务商的相关风险等问题。
我国的内部控制规范体系借鉴了企业全面风险管理框架体系的思想，运用了内部控制框架的要素，自2011年起在上市公司和国有企业逐步实施以来，取得了明显的效果。它的实施提升了组织单位领导及员工的风险意识，优化了组织单位的业务流程，提高了组织的合规性、运营效率和效果，以及财务报告的质量。但在实践中，内部控制规范体系依然存在一些问题。例如，在内部控制建设和实施的过程中，企业往往注重内部控制形式，在实际应用中只做加法不做减法，这会降低内部控制的实施效果。2013版内部控制框架的出版，为我国内部控制的实际应用及效果提升提供了重要的参考。而本书为2013版COSO内部控制在企业中的具体应用提供了指导和参考模板。
本书由北京国家会计学院审计与风险管理研究所专门从事内部控制研究的各位教授合作翻译，张庆龙教授、韩菲副教授承担了翻译的主要工作，崔志娟教授、聂兴凯副教授、马雯副教授、孙娜副教授参与了相关章节的翻译工作，最后由我对全书进行了审校。衷心希望该书的出版，对广大实务工作者和研究人员具有积极的借鉴和参考价值。由于时间较紧和译者的水平所限，该书翻译过程中存在的不足之处，敬请各位读者批评指正！
前言
内部控制是覆盖企业经营全过程的管理概念。从最基本的会计流程到生产经营，再到IT系统等其他企业活动，无不是内部控制所涉足的领域。然而过去的许多年里，人们美其名曰“有效内部控制”，却没有统一清晰的定义。20世纪90年代，一系列会计丑闻催生了由美国注册会计师协会等专业财会组织组建的COSO委员会，该委员会的职责是制定一套明确内部控制概念的统一框架。
经过长时间的公开讨论与修改，COSO内部控制框架于1992年问世。它不是正式标准或政府法规，而是为各行各业不同规模的公司阐明有效内部控制系统概念与特点的一个框架。之后它就被快速应用于注册会计师评估财务报表内部控制，并成为是否遵循《萨班斯-奥克斯利法案》的关键标准。
虽然该框架长期以来保持不变，但是很多内容已经不能适应IT系统、商业运营、多元合作、国际化经营、公司治理等现代企业所面临的巨大变化。因此，COSO委员会经过长时间的讨论和修改，于2013年5月发布了修订后的新版COSO内部控制框架。
本书从执行的角度全面介绍了新版COSO内部控制框架。各章节描述了新版框架的组成部分以及对企业经营至关重要的主要因素。我们以新版COSO的三维框架为基础，全方位地展示了内部控制各大要素的重要性。部分章节还详细介绍了构建与实施有效的COBIT控制、ISO控制、风险管理框架等方面的过程，作为内部控制的辅助指南。
本书通过对新版COSO内部控制框架的介绍与解读，帮助企业高级管理人员正确使用和实施有效内部控制流程。本书还适用于企业董事会成员、审计委员会成员、企业基层工作人员、IT管理部门工作人员全面理解COSO内部控制的重要性。此外，本书还会讨论如由原版框架何过渡到修订版框架，完成《萨班斯-奥克斯利法案》所规定的内部控制遵循目标。
第一次接触新版COSO内部控制框架的人，难免觉得困惑和复杂。但是，内部控制是在我们今后的工作中发挥重要作用的管理工具。因此，各大企业应该尽快实施新版COSO内部控制框架。