（四） 財務狀況、經營成果、現金流量等財務因素。
（五） 其他有關內部風險因素。
第二十三條 企業識別外部風險，應當關注下列因素：
（一） 經濟形式、產業政策、融資環境、市場競爭、資源供給等經濟因素。
（二） 法律法規、監督要求等法律因素。
（三） 安全穩定、文化傳統、社會信用、教育水平、消費者行為等社會因素。
（四） 技術進步、工藝改進等科學技術因素。
（五） 自然災害、環境狀況等自然環境因素。
（六） 其他有關外部風險因素。
第二十四條 企業應當採用定性與定量相結合的方法，按照風險發生的可能性及其影響程度等，對識別的風險進行分析和排序，確定關注重點和優先控制的風險。
第二十五條 企業應當根據風險分析的結果，結合風險承受度，權衡風險與收益，確定風險應對策略。企業應當合理分析、準確掌握董事、經理及其他高級管理人員、關鍵崗位員工的風險偏好，財務適當的控制措施，避免因個人風險偏好給企業經營帶來重大損失。
第二十六條 企業應當綜合運用風險規避、風險降低、風險分擔和風險承受等風險應對策略，實現對風險的有效控制。
風險規避是企業對超出風險承受度的風險，通過放棄或者停止與該風險相關的業務活動以避免和減輕損失的策略。
風險降低是企業在權衡成本效益之後，準備財務適當的控制措施降低風險或者減輕損失，將風險控制在風險承受度之內的策略。
風險承受是企業對風險承受度之內的風險，在權衡成本效益之後，不準備採取控制措施降低風險或者減輕損失的策略。
第二十七條 企業應當結合不同發展階段和業務拓展情況。持續收集與風險變化相關的信息，進行風險識別和風險分析，及時調整風險應對策略。
第四章控制活動
第二十八條 企業應當結合風險評估結果，通過手工控制與自動控制、預防性控制與發現性控制相結合的方法，運用相應的控制措施，將風險控制在可承受度之內。
控制措施一般包括：不相容職務分離控制、授權審批控制、會計系統控制、財產保護控制、預算控制、運營分析控制和績效考評制等。
第二十九條 不相容職務分離控制要求企業全面系統地分析、梳理業務流程中所涉及的不相容職務，實施相應的分離措施，形成各司其職、各負其責、相互制約的工作機制。
第三十條 授權審批控制要求企業根據常規授權的規定，明確各崗位辦理業務和事項的權限範圍、審批程序和相應責任
企業應當編製常規授權的權限指引，規範特別授權範圍、權限、程序和責任，嚴格控制特別授權。常規授權是指企業在日常經營管理活動中按照既定的職責和程序進行的授權。特別授權是指企業在特殊情況、特定條件下進行的授權。
企業各級管理人員應當在授權範圍內行使職權和承擔責任。
企業對於重大的業務和事項，應當實行集體決策審批或者聯簽制度，任何個人不得單獨進行決策或者擅自改變集體決策。
第三十一條 會計系統控制要求企業嚴格執行國家同意的會計準則制度，加強會計基礎工作，明確會計憑證、會計帳簿和財務會計報告的處理程序，保證會計資料的真實完整。
企業應當依法設置會計機構，配備會計從業人員、從事會計工作的人員，必須取得會計從業資格證書，會計機構負責人應當具備會計師以上專業技術職務資格。
大中型企業應當設計總會計師，設置總會計師的企業，不得設置與其職權重疊的副職。
第三十二條財產保護控制要求企業建立財產日常管理制度和定期清查制度，財務財產記錄、實物保管、定期盤點、帳實核對等措施，確保財產安全。
企業應當嚴格限制未經授權的人員接觸和處置財產。
第三十三條 預算控制要求企業實施全面預算管理制度，明確各責任單位在預算管理中的職責權限，規範預算的編製、審定、下達和執行程序，強化預算約束。
第三十四條運營分析控制要求企業建立運營情況分析制度、經理層應當綜合運用生產、購銷、投資、籌資、財務等方面的信息，通過因素分析、對比分析、趨勢分析等方法，定期開展運營情況分析，發現存在的問題，及時查明原因並加以改進。
第三十五條績效考評控制要求企業建立和實施績效考評制度。科學設置考核指標體系，對企業內部各責任單位和全體員工的業績進行定期考核和客觀評價，將考評結果作為確定員工薪酬以及職務晉陞、評優、降級、調崗、辭退等的依據
。
第三十六條 企業應當根據內部控制目標，結合風險應對策略，綜合運用控制措施，對各種業務和事項實施有效控制。
第三十七條 企業應當建立重大風險預警機制和突發事件應急處理機制，明確風險預警標準，對可能發生的重大風險或突發時間，制定應急預案、明確責任人員、規範處置程序，確保突發事件得到及時妥善處理。
第五章信息與溝通
第三十八條 企業應當建立信息與溝通制度，明確內部控制相關信息的收集、處理和傳遞程序，確保信息及時溝通，促進內部控制有效運行。
第三十九條 企業應當對收集的各種內部信息和外部信息進行合理篩選、核對、整合，提高信息的有用性。
企業可以通過財務會計資料、經營管理資料、調研報告、專項信息、內部刊物、辦公網絡等渠道，獲取內部信息。
企業可以通過行業協會組織、社會中介機構、業務往來單位、市場調查、來信來訪、網絡媒體以及有關監管部門等渠道，獲取外部信息。
第四十條 企業應當將內部控制相關信息在企業內部各管理級次、責任單位、業務環節之間，以及企業與外部投資者、債券人、客戶、供應商、中介機構和監管部門等有關方面之間進行溝通和反饋。信息溝通過程中發現的問題，應當及時報告並加以解決。
重要信息應當及時傳遞給董事會、監事會、經理層。
第四十一條 企業應當利用信息技術促進信息的集成與共享，充分發揮信息技術在信息與溝通中的作用。
企業應當加強對信息系統開發和維護、訪問與變更、數據輸入與輸出、文件儲存與保管、網絡安全等方面的控制，保證信息系統安全穩定運行。
第四十二條 企業應當建立反舞弊機制，堅持懲防並舉，重在預防的原則明確反舞弊工作的重點領域、關鍵環節和有關機構在反舞弊工作中的職責權限，規範舞弊案件的舉報、調查、處理、報告和補救程序。
企業至少應當將下列情形作為反舞弊工作的重點：
（一） 未經授權或者採取其他不法方式侵佔、挪用企業資產、牟取不當利益。
（二） 在財務會計報告和信息披露等方面存在的虛假記載、誤導性陳述或者重大遺漏等。
（三） 董事、監事、經理及其他高級管理人員濫用職權。
（四） 相關機構或人員串通舞弊。
第四十三條 企業應當建立舉報投訴制度和舉報人保護制度，設置舉報專線，明確舉報投訴處理程序、辦理時限和辦理要求，確保舉報，投訴成為企業有效掌握信息的重要途徑。
第六章內部監督
第四十四條 企業應當根據本規範及其配套方法，指定內部控制監督制度，明確內部審計機構（或經授權的其他監督機構）和其他內部機構在內部監督中的職責權限，規範內部監督的程序、方法和要求。
內部監督分為日常監督和專項監督，日常監督是指企業對建立與實施內部控制的情況進行常規、持續的監督檢查；專項監督是指在企業發展戰略、組織結構、經營活動、業務流程、關鍵崗位員工等發生較大調整或變化的情況下，對內部控制的某一或者某些方面進行有針對性的監督檢查。
專項監督的範圍和頻率應當根據風險評估結果以及日常監督的有效性等予以確定。
第四十五條 企業應當指定內部控制缺陷認定標準，對監督過程中發現的內部控制缺陷，應當分析缺陷的性質和產生的原因，提出整改方案，採取適當的形式及時向董事會、監事會或者經理層報告。
第四十六條 企業應結合內部監督情況，定期對內部控制的有效性進行自我評價，出具內部控制自我評價報告。
內部控制自我評價的方式、範圍、程序和頻率，由企業根據經營業務調整、經營環境變化、業務發展狀況、實際風險水平等自行確定。國家有關法律法規另有規定的，從其規定。
第四十七條 企業應當以書面或者其他適當形式，妥善保存內部控制建立與實施過程中的相關記錄或者資料，確保內部控制建立與實施過程的可驗證性。
企業內部控制制度（二）
一、內部控制概述
內部控制是指為了保證企業業務活動的有效進行，保護資產的安全和完整，防止、發現、糾正錯誤與舞弊，保證會計資料的真實、合法、完整而制定和實施的政策與程序。內部控制的目標包括：
（1）保護企業資產的安全、完整及對其的有效使用；
（2）保證會計信息及其他各種管理信息的可靠和及時提供；
（3）保證企業制定的各項管理方針、制度和措施的貫徹執行；
（4）盡量壓縮、控制成本、費用，減少不必要的成本、費用，以求企業達到更大的盈利目標；
（5）預防和控制且儘早儘快查明各種錯誤和弊端，及時、準確地制定和採取糾正措施；
（6）保證企業各項生產和經營活動有序有效地進行。
內部控制是現代企業管理的重要手段。完善企業內部控制制度，保證會計信息質量，對於完善公司治理結構和信息披露制度，保護投資者合法權益，保證資本市場有效運行，均有着非常重要的意義。
二、現行企業內部控制中存在的主要問題
（一）對內部控制認識不足
目前一些企業特別是某些國有企業對內部控制的認識存在兩種傾向值得注意：一是一部分人習慣於甚至滿足於傳統的經營管理方式，認為只要能夠規範化操作就行了，不必考慮是否先進；二是雖然意識到改革的必要性，但是容易片面強調改革組織結構的重要性，忽視了控制方式的跟進和強化；這就使企業的改革同微觀治理機制相脫離。
（二）產權關係不明
在我國現階段，公司的法人治理結構不夠完善，甚至是有形無實，尤其體現在董事會這一重要機構沒有發揮應有的職能。有不少國有企業在改革過程中，一味地“放權讓利”，致使原廠長負責制的領導班子現在既是經理層又進入董事會，董事會成員和經理成員高度重疊，致使國有企業產權主體缺位、權責不清，內部控制的受益主體模糊。這種責權不分的公司治理結構，導致所有者對經營者不能實施控制，作為代表公司股東的控制主體（董事會）也就形同虛設。
（三）監督機制不健全
目前有很多企業監督評審主要依靠內審部門來實現，而有些企業的內審部門隸屬於財務部門，與財務部同屬一人領導，內部審計在形式上缺乏應有的獨立性。另外，在內審的職能上，很多企業的內部審計工作僅僅是審核會計賬目，而在內部稽查、評價內部控制制度是否完善和企業內各組織機構執行指定職能的效率等方面，卻未能充分發揮應有的作用。
三、企業內部控制制度的基本框架
（一）完善企業的控制環境
任何企業的控制活動都存在於一定的控制環境之中。控制環境中的要素很多，有價值觀、組織結構、控制目標、員工能力、激勵與誘導機制、管理哲學與經營風格、規章制度和人事政策等等。要改善企業內部控制環境，要做好如下工作：
1、加快現代企業產權制度改革。真正實現產權明晰、權責清楚、管理科學、政企分開的現代企業制度，從產權制度上保證內部控制制度有效建立。
2、要有明確的內部控制主體和控制目標。控制主體解決了由誰進行內部控制的問題，而控制目標則解決了為什麼要進行控制的問題。科學的企業組織結構在企業內部應包含四個層次的經濟主體，相應地，企業內部也有四種控制主體，即股東、經營者、管理者和普通員工，他們有各自的控制目標？押股東的目標是財富最大化？鴉經營者的目標是不斷增加經營效益；管理者的目標是完成責任目標、獲得業務運行的真實報告；普通員工的目標是遵從企業的內部規章制度，不斷提高企業的生產經營效率。
3、要有先進的管理控制方法和高素質的管理人才。管理控制方法作為管理當局對其他人的授權使用情況直接控制和整個公司活動實行監督的一種方法，包括很多內容，如制定企業各項管理制度、編製各項計劃、業績與計劃考評、調查與糾正偏離期望值的差異等，實施先進管理控制方法，還需輔以積極的人事政策，要能培養和引進一批具有高素質、掌握先進管理方法的人才隊伍來改善企業的經營管理觀念、方式和風格，培養全體員工良好的道德觀、價值觀和全員控制意識，從而形成一個特定的企業文化氛圍。
（二）設立有效的控制活動
1、針對人員的控制。
（1）職責分離。職責分離是現代企業內部控制的基本要求，對於企業的一切交易或事項都應嚴格按照不相容職務相分離的原則，科學地劃分各職責權限，形成相互制衡機制。
（2）工作流程。明確每個崗位的職責，使每一個人的工作能自動地相互檢查另一個人或更多人的工作，從而達到相互牽制的目的。為了實現這一目標，可以採用對每一個崗位設計工作流程圖的辦法，在工作流程圖中明確規定每個人應該做什麼、如何做、何時做以及正確進行工作的結果等。工作流程圖設計的目的應達到使管理的過程標準化，也就是說，要能夠做到讓不同的人按照工作流程圖去做同樣的工作，得到的工作結果將是相同的。
（3）票據與記錄控制。實行票據保管、收款與會計記錄人員的崗位分離；對所有票據進行預先編號，所有作廢的票據都要妥善保存，對已經使用的票據由會計人員進行定期消號，並及時與票據保管人員進行核對，以防止交易漏記或重複記錄現象，保證全部收入、結算款項等能夠及時準確入賬。
（4）資產接觸與記錄使用。資產接觸與記錄使用主要是指限制接近資產和接近重要記錄，以保證資產和記錄的安全。保護資產和記錄安全的重要措施是採用實物和技術防護措施。在採取電算化核算的情況下，每個崗位只能使用自己設置的密碼接觸由自己負責的數據，複核崗位只能進行數據查詢和複核，而不能具備修改已經形成數據記錄的權限。
（5）績效考評。為了實現既定的工作目標，應實施有效的激勵、獎懲機制，激勵全體員工參與企業管理和控制的主觀能動性。各部門通過定期舉行績效考評會議，作為對其工作目標完成情況的事後控制，不僅可以總結一定時期的工作成果，同時也是發現問題、改進工作的過程。通過績效考評，配合一些必要的獎懲措施，將部門的工作目標與個人工作目標緊密地聯繫在一起，部門的工作目標也將通過個人工作目標的實現而實現。
2、針對信息系統的控制活動。在信息系統的日常使用中，信息系統產生的舞弊現象比手工操作更具隱蔽性，因而對信息系統的控制也十分重要，具體應通過採取權限控制、數據錄入輸出控制、手工憑證的控制等方式，各個崗位應通過設置密碼口令來防止別人越權使用自己的權限，沒有權限的人絕不允許對數據進行查閱或修改。
（三）加強企業內部牽制制度
內部牽制是指對具體業務進行分工時，不能由一個部門或一個人完成一項業務的全過程，而必須由其他部門或人員參與，並且與之銜接的部門能自動地對前面已完成工作進行正確性檢查。它由適當授權、不相容工作的責任分工、憑證和記錄、接近控制、獨立檢查等環節組成。這種制約包括上下級之間的互相制約、相關部門之間的相互制約。如會計信息收集、歸類過程中，除了制單外，必須有複核並由財會主管審批；又如現金流轉業務中，現金收支的審批、收入和支出、印鑒的保管、記賬等業務應分工管理，互相牽制。
在內部牽制中，必須採取工作輪換制，這樣才能更好地達到牽制的效果。工作輪換制是指根據不同崗位在管理系統中的重要程度，明確規定並嚴格控制每一員工在某一崗位的履職時間。對關鍵崗位應頻繁輪換，次要的崗位可少一些。從輪換中暴露出存在的問題，揭示出制度的缺陷、管理的缺陷。
（四）加強企業內部稽核制度和內部審計制度
切實提高企業對內部稽核和內部審計的認識，切實加強考核、監督、制約機制，發揮企業內部審計的作用，將內部審計人員從會計、財務人員中分離出來，直接對董事會負責，這樣才能真正發揮內審人員的作用，監督和保護企業的資產、財產安全，監督企業朝着合理、合法的良性方面發展。內部監督評審應當遵循以下原則。
1、在日常工作中不斷地監督評審內控的總體效果。對主要風險的監督評審應當是公司日常活動的一部分。
2、對內控系統應當進行有效和全面的內部審計。內審要獨立進行，內審人員應得到適當的培訓，並配備稱職和得力的人員。內審作為內控系統監督評審的一部分，應當向董事會或其審計委員會直接報告工作。
3、不論是經營層還是其他控制人員，發現內控缺陷都應及時地向適當的管理層報告，並使其得到果斷處理。要樹立全員控制意識，幫助企業更有效地實現預期控制目標，促進企業控制環境的建立，為改進內控制度提供建設性建議，實現預期的內控目標。