內(nèi)部控制能夠幫助主體實現(xiàn)重要目標(biāo)，并維持與提高績效。《內(nèi)部控制———
整合框架》（以下簡稱“本框架”） 能夠使管理層更有效且高效地建立一個能夠
適應(yīng)業(yè)務(wù)及經(jīng)營環(huán)境變化的內(nèi)部控制體系，將風(fēng)險降至可接受水平，以幫助他們
更好地進行決策和治理。
設(shè)計并實施一個有效的內(nèi)部控制體系具有非常大的挑戰(zhàn)性，使這一內(nèi)部控制
體系每天保持有效且高效的運行也是非常艱難的。新興的和急劇變革的商業(yè)模
式、對技術(shù)的應(yīng)用和依賴程度的不斷增加、日益增加的監(jiān)管要求和細(xì)致審查、不
斷擴大的全球化趨勢及其他挑戰(zhàn)，都要求內(nèi)部控制體系能更靈活地應(yīng)對業(yè)務(wù)、運
營和監(jiān)管環(huán)境的變化。
一個有效的內(nèi)部控制體系不僅需要嚴(yán)格遵守政策和程序，還需要運用判斷。
管理層和董事會①運用判斷來確定所需控制的程度；管理層和其他人員每天都會
運用判斷在主體內(nèi)選擇、開展和實施控制；管理層和內(nèi)部審計人員則運用判斷來
監(jiān)督和評估內(nèi)部控制體系的有效性。
通過對內(nèi)部控制體系構(gòu)成部分的理解，以及對有效運用內(nèi)部控制的時機的洞
悉，本框架可協(xié)助管理層、董事會、外部利益相關(guān)方以及其他與組織相關(guān)方履行
其內(nèi)部控制職責(zé)，而不僅只是為了滿足規(guī)定要求。
本框架為管理層和董事會提供了：
? 無論主體屬于何種行業(yè)，具有何種法律架構(gòu)，處于組織、業(yè)務(wù)單元或職
能部門的何種層面，都能將內(nèi)部控制應(yīng)用于任何類型主體的一種方法。
? 一種具備靈活性并允許在控制的設(shè)計、實施和執(zhí)行中運用判斷的基于原
則的方法，并且原則可應(yīng)用于組織、業(yè)務(wù)單元或職能部門中的任何層面。
? 對于有效的內(nèi)部控制體系的要求，包括對于要素和原則是如何存在并持
續(xù)運行的，以及各要素如何以整合的方式共同運行的考量。
? 一種識別和分析風(fēng)險以及制定管理風(fēng)險應(yīng)對措施的方法，以確保將風(fēng)險
降至可接受的水平，同時更大程度地關(guān)注反舞弊措施。
? 一個能夠?qū)?nèi)部控制的應(yīng)用從財務(wù)報告擴展至其他報告形式及運營、合
規(guī)目標(biāo)的契機。
? 一個能夠消除無效、冗余和低效率控制的契機，這些控制在降低風(fēng)險以
保證主體目標(biāo)的實現(xiàn)方面提供的價值極小。
對于主體的外部利益相關(guān)方和其他與組織相關(guān)方而言，運用本框架會提高：
? 董事會監(jiān)督內(nèi)部控制體系的信心。
? 主體實現(xiàn)其目標(biāo)的信心。
３
① 框架采用“董事會” 來描述治理結(jié)構(gòu)， 包括董事會、受托董事會、一般合伙人、所有者及監(jiān)事
會。
內(nèi)部控制———整合框架（２０１３）
? 組織識別、分析和應(yīng)對風(fēng)險及業(yè)務(wù)、經(jīng)營環(huán)境變化的能力的信心。
? 對有效的內(nèi)部控制體系的要求的理解。
? 對管理層可以通過運用判斷來消除無效、冗余及低效率控制的理解。
內(nèi)部控制并非一個連續(xù)的過程，而是一個動態(tài)且整合的過程。本框架適用于
所有類型主體，包括大、中、小型主體，營利和非營利主體，以及政府機構(gòu)。然
而每個組織所選擇的內(nèi)部控制實施方式可能均有所不同。例如，一個較小型主體
的內(nèi)部控制體系可能不太正式且結(jié)構(gòu)化程度較低，但仍然具備有效的內(nèi)部控制。
本內(nèi)容摘要的其余部分提供了對內(nèi)部控制的一個概述，包括其定義、目標(biāo)類
別、必備要素及相關(guān)原則的描述，以及有效內(nèi)部控制體系的要求。另外本內(nèi)容摘
要還包括對于局限性的討論，即為何一個完美無缺的內(nèi)部控制體系是不存在的。
最后，本內(nèi)容摘要為各方組織和人士提供了在使用本框架時的一些考慮因素。
４
第一部分 內(nèi)容摘要
內(nèi)部控制的定義
內(nèi)部控制的定義如下：
內(nèi)部控制是一個由主體的董事會、管理層和其他員工實施的，旨在為實現(xiàn)運
營、報告和合規(guī)目標(biāo)提供合理保證的過程。
這個定義強調(diào)內(nèi)部控制是：
? 旨在實現(xiàn)目標(biāo)———這些相互獨立但又互有重疊的目標(biāo)類別包括運營、報
告和合規(guī)。
? 一個持續(xù)不斷的過程———此過程包括持續(xù)的任務(wù)和活動，是達(dá)到目的的
手段，而非目的本身。
? 由人來實施———不僅僅是單純的政策、流程手冊、系統(tǒng)和表單，而且包
括組織中各層級人員以及他們所實施的可能影響內(nèi)部控制的行動。
? 可以提供合理保證———向組織的高級管理層和董事會提供合理保證，但
非絕對保證。
? 與組織的結(jié)構(gòu)相適應(yīng)———可靈活應(yīng)用于整個組織或其中一個下屬單位、
分部、業(yè)務(wù)單元或業(yè)務(wù)流程。
內(nèi)部控制的定義之所以被設(shè)計得很寬泛，是因為它需要體現(xiàn)如何設(shè)計、實施
和執(zhí)行內(nèi)部控制，以及開展內(nèi)部控制體系有效性評估這些最為基本的重要概念，
才能為那些不同類別、行業(yè)和地區(qū)的組織在應(yīng)用本框架提供基礎(chǔ)。
目標(biāo)
框架列舉了三種類別的目標(biāo)，使組織可以關(guān)注于內(nèi)部控制的不同方面：
? 運營目標(biāo)———組織運營的效果和效率，包括運營和財務(wù)業(yè)績目標(biāo)、保護
資產(chǎn)以避免損失。
? 報告目標(biāo)———內(nèi)外部的財務(wù)和非財務(wù)報告的可靠性、及時性、透明度，
以及監(jiān)管者、標(biāo)準(zhǔn)制定機構(gòu)和組織政策所要求的其他方面。
? 合規(guī)目標(biāo)———遵守組織所適用的法律法規(guī)及規(guī)章。
內(nèi)部控制的要素
內(nèi)部控制由五個不可分割的要素組成。
５
內(nèi)部控制———整合框架（２０１３）
控制環(huán)境
控制環(huán)境是一套標(biāo)準(zhǔn)、流程和結(jié)構(gòu)，能夠為組織實施內(nèi)部控制提供基礎(chǔ)。董
事會和高級管理層應(yīng)在高層建立基調(diào)，強調(diào)內(nèi)部控制的重要性（包括期望的行為
準(zhǔn)則），并應(yīng)在組織的各個層級強化這種要求?？刂骗h(huán)境包括了組織的誠信和道
德價值觀；促成董事會行使治理監(jiān)督職責(zé)的各種要素；組織結(jié)構(gòu)以及權(quán)力與責(zé)任
的分配；吸引、培養(yǎng)和留用人才的程序；用以實現(xiàn)績效問責(zé)的嚴(yán)密的績效衡量、
激勵和獎勵機制。控制環(huán)境會對整個內(nèi)部控制體系產(chǎn)生深遠(yuǎn)的影響。
風(fēng)險評估
每個主體都面臨著來自內(nèi)、外部的各類風(fēng)險。風(fēng)險是指某項事件將發(fā)生并對
組織實現(xiàn)其目標(biāo)產(chǎn)生負(fù)面影響的可能性。風(fēng)險評估應(yīng)通過動態(tài)和反復(fù)的過程，以
識別和評估影響組織目標(biāo)實現(xiàn)的風(fēng)險。在考慮影響主體目標(biāo)實現(xiàn)的各個方面風(fēng)險
時，應(yīng)與已建立的各項風(fēng)險容忍度相關(guān)聯(lián)。由此，風(fēng)險評估為形成如何管理風(fēng)險
的決策奠定基礎(chǔ)。風(fēng)險評估的先決條件是已建立了各種目標(biāo)，并聯(lián)接到主體內(nèi)不
同的層級。管理層應(yīng)充分明確運營、報告和合規(guī)三大類具體目標(biāo)，以便識別和評
估與這些目標(biāo)相關(guān)的風(fēng)險。管理層也應(yīng)考慮這些目標(biāo)對于主體的適用性。風(fēng)險評
估還要求管理層考慮可能導(dǎo)致內(nèi)部控制失效的外部環(huán)境和內(nèi)部商業(yè)模式變化帶來
的影響。
控制活動
控制活動是通過政策和程序所確立的行動， 旨在協(xié)助確保管理層關(guān)于降低
影響目標(biāo)實現(xiàn)的風(fēng)險的方針已經(jīng)落實。在主體的各個層級、業(yè)務(wù)流程的各個環(huán)
節(jié)，以及技術(shù)環(huán)境中都應(yīng)實施控制活動?？刂苹顒釉谛再|(zhì)上， 可以是預(yù)防性
的，也可以是發(fā)現(xiàn)性的； 可能涵蓋一系列的人工和自動化控制， 如授權(quán)和批
準(zhǔn)、核查、對賬和企業(yè)績效評估等。不相容職責(zé)分離就是典型的應(yīng)選擇和執(zhí)行
的控制活動。如果不相容職責(zé)分離對主體來說難以實施， 管理層應(yīng)選擇并執(zhí)行
替代性的控制活動。
信息與溝通
信息對于主體履行內(nèi)部控制責(zé)任以促進目標(biāo)實現(xiàn)而言是非常必要的。管理層
應(yīng)從內(nèi)外部來源獲取或生成和使用高質(zhì)量的、相關(guān)的信息，以支持內(nèi)部控制的持
續(xù)運行。溝通是提供、共享和獲取所需信息的持續(xù)和不斷重復(fù)的過程。內(nèi)部溝通
是讓信息在整個組織內(nèi)向上、向下和橫向傳遞的手段，它使員工能清晰獲得高層
要求其認(rèn)真履行控制職責(zé)的訊息。外部溝通則是雙重的：將外部的相關(guān)信息引
６
第一部分 內(nèi)容摘要
入，以及向外部提供信息以回應(yīng)相關(guān)方的要求和期望。
監(jiān)督活動
主體應(yīng)通過持續(xù)評估、單獨評估或者兩者的組合，以確認(rèn)內(nèi)部控制的五個要
素（包括實現(xiàn)每個要素中原則的控制活動） 是否存在并持續(xù)運行。持續(xù)評估應(yīng)
被嵌入主體不同層級的業(yè)務(wù)流程中，以提供及時的信息。單獨評估應(yīng)定期開展，
其評估范圍和頻率因風(fēng)險評估結(jié)果、持續(xù)評估的有效性以及管理層的其他考慮而
有所不同。主體應(yīng)依據(jù)監(jiān)管機構(gòu)、標(biāo)準(zhǔn)制定機構(gòu)，或管理層和董事會所設(shè)定的標(biāo)
準(zhǔn)，對各種發(fā)現(xiàn)進行評估，必要時應(yīng)當(dāng)向管理層和董事會報告各項缺陷。
７
內(nèi)部控制———整合框架（２０１３）
目標(biāo)與要素的關(guān)系
目標(biāo)是主體所致力于實現(xiàn)的；要素是主體實
現(xiàn)目標(biāo)必不可少的；主體結(jié)構(gòu)包括業(yè)務(wù)單元、法
人結(jié)構(gòu)和其他結(jié)構(gòu)， 這三者之間具有直接的聯(lián)
系，它們的關(guān)系可以用一個立方體來表示。
? 立方體的縱向代表內(nèi)部控制目標(biāo)的三種類
別———運營、報告、合規(guī)。
? 立方體的橫向代表內(nèi)部控制的五個要素。
? 立方體的第三維層次代表主體結(jié)構(gòu)。
要素和原則
框架詳細(xì)說明了１７項代表著與要素相關(guān)基本概念的原則。由于這些原則是
從各要素中直接得出的，主體可以通過應(yīng)用所有的原則從而實現(xiàn)有效的內(nèi)部控
制。所有原則均適用于運營、報告及合規(guī)目標(biāo)。支持各要素的原則列示如下：
控制環(huán)境
原則１?組織①應(yīng)展現(xiàn)對誠信和道德價值的承諾。
原則２?董事會應(yīng)展現(xiàn)出其獨立于管理層，并對內(nèi)部控制的開展與成效實施
監(jiān)督。
原則３?管理層為實現(xiàn)目標(biāo)，應(yīng)在董事會的監(jiān)督下確立組織架構(gòu)、匯報路線、
合理的權(quán)力與責(zé)任。
原則４?組織應(yīng)展現(xiàn)出其對吸引、培養(yǎng)和留用符合組織目標(biāo)要求的人才的
承諾。
原則５?組織為實現(xiàn)目標(biāo)，應(yīng)要求員工承擔(dān)內(nèi)部控制的相關(guān)責(zé)任。
風(fēng)險評估
原則６?組織應(yīng)設(shè)定清晰明確的目標(biāo)，以識別和評估與目標(biāo)相關(guān)的風(fēng)險。
原則７?組織應(yīng)對影響其目標(biāo)實現(xiàn)的風(fēng)險進行全范圍的識別和分析，并以此
為基礎(chǔ)來決定應(yīng)如何管理風(fēng)險。
８
① 本框架中的“組織” 一詞是董事會、管理層和其他主體人員的統(tǒng)稱，在內(nèi)部控制的定義中也有所
體現(xiàn)。
第一部分 內(nèi)容摘要
原則８?組織應(yīng)在評估影響其目標(biāo)實現(xiàn)的風(fēng)險時，考慮潛在的舞弊行為。
原則９?組織應(yīng)識別并評估對其內(nèi)部控制體系可能造成重大影響的改變。
控制活動
原則１０?組織應(yīng)該選擇并執(zhí)行那些可以將影響其目標(biāo)實現(xiàn)的風(fēng)險降至可接受
水平的控制活動。
原則１１?針對信息技術(shù)，組織應(yīng)選擇并執(zhí)行一般控制活動以支持其目標(biāo)的
實現(xiàn)。
原則１２?組織應(yīng)通過政策和程序來實施控制活動。政策是建立預(yù)期，程序是
將政策付諸行動。
信息與溝通
原則１３?組織應(yīng)獲取或生成和使用高質(zhì)量的、相關(guān)的信息來支持內(nèi)部控制的
持續(xù)運行。
原則１４?組織應(yīng)在內(nèi)部對內(nèi)部控制目標(biāo)和責(zé)任等必要信息進行溝通，從而支
持內(nèi)部控制持續(xù)運行。
原則１５?組織應(yīng)就影響內(nèi)部控制發(fā)揮作用的事項，與外部進行溝通。
監(jiān)督活動
原則１６?組織應(yīng)選擇、開展并實施持續(xù)和（或） 單獨評估，以確認(rèn)內(nèi)部控制
的各要素存在并持續(xù)運行。
原則１７?組織應(yīng)評價內(nèi)部控制缺陷，并及時與整改責(zé)任方溝通，必要時還應(yīng)
與高級管理層和董事會溝通。
９
內(nèi)部控制———整合框架（２０１３）
有效的內(nèi)部控制
本框架闡明了有效內(nèi)部控制體系的要求。有效的內(nèi)部控制體系可為主體目標(biāo)
的實現(xiàn)提供合理的保證，并將影響主體實現(xiàn)其目標(biāo)的風(fēng)險降低至可接受的水平，
這些風(fēng)險可能涉及一種、兩種或全部三種目標(biāo)類別。這就要求：
? 內(nèi)部控制五個要素中的每個要素以及相關(guān)原則必須同時存在并持續(xù)運行。
“存在” 是指在內(nèi)部控制體系的設(shè)計和實施以實現(xiàn)特定目標(biāo)的過程中，應(yīng)
確定各要素和相關(guān)原則存在?！俺掷m(xù)運行” 是指在內(nèi)部控制體系的執(zhí)行以
實現(xiàn)特定目標(biāo)的過程中，應(yīng)確定各要素和相關(guān)原則持續(xù)存在。
? 五個要素以整合的方式共同運行。“共同運行” 是指確定五個要素共同持
續(xù)運行，以將影響目標(biāo)實現(xiàn)的風(fēng)險降低至可接受的水平。五個要素作為
一個整合的體系共同運行，不應(yīng)僅考慮單個要素。各要素是相互依存的，
這是由于彼此間存在大量關(guān)聯(lián)和聯(lián)系，特別是通過各原則在相關(guān)要素內(nèi)
以及各要素之間互動的方式。
若存在一項重大缺陷，而該缺陷與某要素或相關(guān)原則的存在并持續(xù)運行相
關(guān)，或與各要素未以整合的方式共同運行相關(guān)，組織就不能得出其已滿足有效內(nèi)
部控制體系所有要求的結(jié)論。
當(dāng)內(nèi)部控制體系被確定為有效時，可以就其在主體結(jié)構(gòu)內(nèi)的應(yīng)用向高級管理
層和董事會提供如下合理保證：
? 當(dāng)外部事件對目標(biāo)的實現(xiàn)不太可能造成重大影響，或組織可以合理地預(yù)
測外部事件的性質(zhì)和發(fā)生時間，并將其影響降低到可接受水平時，組織
可以實現(xiàn)運營目標(biāo)的效果和效率。
? 當(dāng)外部事件可能對目標(biāo)實現(xiàn)造成重大影響，且組織不能將其影響降低到
可接受水平時，需要知曉運營目標(biāo)的效果和效率被控制的程度。
? 編制報告，以遵照各項適用的規(guī)章及標(biāo)準(zhǔn)，或主體特定的報告目標(biāo)。
? 組織遵守適用的法律法規(guī)、規(guī)章及外部標(biāo)準(zhǔn)。
本框架要求在設(shè)計、實施和執(zhí)行內(nèi)部控制及評估其有效性時，應(yīng)進行判斷。
運用判斷可以協(xié)助管理層在相關(guān)法律法規(guī)、規(guī)章及標(biāo)準(zhǔn)所限定的范圍內(nèi)更好地作
出內(nèi)部控制方面的決策，但并不能保證達(dá)到完美效果。
內(nèi)部控制的局限性
本框架認(rèn)為一個有效的內(nèi)部控制體系，在為實現(xiàn)主體目標(biāo)提供合理保證的同
時，其固有的局限性始終存在。內(nèi)部控制無法防止錯誤的判斷和決策，也無法防
１０
第一部分 內(nèi)容摘要
止可能導(dǎo)致組織無法實現(xiàn)其運營目標(biāo)的外部事件。換句話說，即使是一個有效的
內(nèi)部控制體系也有可能出現(xiàn)失敗。造成這些局限性的原因如下：
? 目標(biāo)設(shè)定的適當(dāng)性是內(nèi)部控制的先決條件。
? 在決策過程中的人為判斷可能造成錯誤和偏見。
? 因差錯等人為過失而導(dǎo)致的內(nèi)部控制失效。
? 管理層凌駕于內(nèi)部控制之上。
? 管理層、組織其他人員和（或） 第三方通過串通而規(guī)避控制。
? 發(fā)生超出組織控制能力的外部事件。
這些局限性妨礙董事會和管理層對實現(xiàn)主體目標(biāo)獲得絕對保證，也就是說，
內(nèi)部控制僅能提供合理保證而非絕對保證。雖然存在上述固有局限性，但是管理
層在選擇、執(zhí)行及部署內(nèi)部控制時，應(yīng)清楚這些限制，并在切合實際的情況下將
這些限制最小化。
內(nèi)部控制整合框架的使用
如何使用這個報告取決于當(dāng)事方的不同角色：
? 董事會———董事會應(yīng)與高級管理層商討組織內(nèi)部控制體系的現(xiàn)狀，并進
行適當(dāng)?shù)谋O(jiān)督。高級管理層就內(nèi)部控制情況向董事會負(fù)責(zé)，同時董事會
應(yīng)針對其成員如何對內(nèi)部控制實施監(jiān)督設(shè)定相關(guān)的政策和期望。董事會
應(yīng)被告知如下信息：實現(xiàn)主體目標(biāo)的各種風(fēng)險、對內(nèi)部控制缺陷的評估、
管理層為應(yīng)對這些風(fēng)險和缺陷而部署的行動，以及管理層如何評估內(nèi)部
控制體系的有效性。在必要時，董事會應(yīng)挑戰(zhàn)管理層、提出尖銳的問題，
并從內(nèi)、外部審計人員或其他渠道獲取信息并尋求支持。董事會下設(shè)的
委員會通常可以協(xié)助董事會行使一些監(jiān)督的職責(zé)。
? 高級管理層———高級管理層應(yīng)根據(jù)本框架對內(nèi)部控制體系進行評估，并
關(guān)注于組織是如何應(yīng)用１７項原則來支持內(nèi)部控制要素的。如果曾應(yīng)用了
１９９２年版框架，管理層在應(yīng)用本框架時需先了解本框架中的更新內(nèi)容
（如第二部分“框架和附錄” 中附錄Ｆ所載），并考慮這些更新對主體內(nèi)
部控制體系的影響。管理層在初步比較的過程中可考慮使用工具示例，
并將其用于對主體內(nèi)部控制體系的持續(xù)評估中。
? 其他管理層及人員———各級經(jīng)理或其他人員應(yīng)對此版本較上一版本的變
動進行查閱，并評估這些變動對主體內(nèi)部控制體系的影響。此外，他們
也需要考慮如何在本框架的要求下行使其職責(zé)，并與更高級別的人員就
如何加強內(nèi)部控制進行探討。具體而言，他們應(yīng)考慮現(xiàn)有的控制是如何
在內(nèi)部控制五要素中對相關(guān)原則產(chǎn)生影響的。
１１
內(nèi)部控制———整合框架（２０１３）
? 內(nèi)部審計人員———內(nèi)部審計人員應(yīng)對其運用１９９２年版框架的情況進行回
顧，并對內(nèi)審計劃進行審閱。同時，內(nèi)部審計人員還需要對新版框架中
的變動進行詳細(xì)審閱，并考慮這些變動對于主體現(xiàn)有內(nèi)部控制體系相關(guān)
的審計計劃、評估及其他報告的影響。
? 獨立審計人員———在某些司法管轄地區(qū)，獨立審計人員不僅會審計主體
的財務(wù)報表，也會對客戶的財務(wù)報告相關(guān)內(nèi)部控制的有效性進行審計或
核查。審計人員會參照本框架針對主體的內(nèi)部控制體系進行評估，并關(guān)注
組織如何選擇、執(zhí)行及部署影響內(nèi)部控制要素相關(guān)原則的控制。同管理
層一樣，審計人員也可以將工具示例應(yīng)用于對內(nèi)部控制體系整體有效性
的評估中。
? 其他專業(yè)機構(gòu)———其他提供運營、報告及合規(guī)相關(guān)指引的專業(yè)機構(gòu)可將
其制定的標(biāo)準(zhǔn)和指引與本框架進行比較，并在一定程度上通過消除概念
與術(shù)語上的分歧來使所有相關(guān)方都能夠從中受益。
? 教學(xué)者———在本框架獲得廣泛認(rèn)可的前提下，應(yīng)將其中的概念和術(shù)語納
入到大學(xué)課程中。
１２
