第 2 章 · 内部控制：COSO 五要素与常见缺陷
考点梳理
2.1 COSO 五要素（内控"骨架"）
| 要素 | 核心内容 | 典型例子 |
|---|---|---|
| 1 控制环境 | “地基”：治理结构、管理层理念、权责分配、人力资源 | 董事会独立、" tone from the top"（高层基调） |
| 2 风险评估 | 识别 + 评估目标相关的风险（战略/运营/报告/合规） | 年度风险清单、新业务风险评估 |
| 3 控制活动 | “具体动作”：不相容职务分离、授权审批、资产保护、绩效复核 | 出纳不得兼管稽核、大额支出双签、仓库盘点 |
| 4 信息与沟通 | 内部信息流动 + 对外报告（财务报告/非财务） | 财务月报、举报热线、与审计师沟通 |
| 5 监督 | 持续监控 + 专项检查（内部审计） | 内审部门、管理层季度内控评估 |
记忆锚：“环风活信监”（环境、风险、活动、信息、监督）——控制环境是"地基"，监督是"天花板"（贯穿始终）。
2.2 不相容职务分离（最高频考点）
“管钱的不管账，管账的不管物，管物的不管审批”——四类职务必须分离：
| 职务 A | 职务 B | 为什么分离 |
|---|---|---|
| 出纳（收付现金/银行） | 稽核/记账（登记账簿/核对） | 出纳若兼记账 = “自己收钱自己记账”，可以贪污 |
| 审批（授权支出） | 执行（实际付款） | 审批人若兼执行 = “自己批自己付”，可以挪用 |
| 保管（管资产/库存） | 记录（记账/盘点） | 保管人若兼记录 = “自己管货自己记数”，可以偷货 |
| 业务经办 | 稽核（独立检查） | 经办人若兼稽核 = “自己检查自己”，失去独立性 |
记忆锚：“出纳不记账，审批不执行，保管不记录，经办不稽核”——案例题给一个"某公司出纳兼管稽核"→ 内控缺陷。
2.3 授权审批控制（分级授权）
- 分级授权：按金额/事项分级（如 10 万以下部门经理、10~50 万总经理、50 万以上董事会）；
- 越权审批 = 内控缺陷（“总经理批了 100 万"但董事会权限才是 50 万以上 → 越权）；
- 集体决策：重大事项（并购/投资/担保）必须董事会/股东会集体决策，不能“一把手说了算”。
2.4 资产保护控制
- 限制接触：仓库/金库限制进入（门禁/监控）；
- 定期盘点：库存/现金定期盘点（月盘/季盘/年盘）；
- 保险：重要资产投保（财产险/责任险）；
- 印章管理：公章/财务章专人保管，用印审批（不能"一把章”）。
2.5 常见内控缺陷（案例题"送分点"）
| 缺陷 | 典型场景 |
|---|---|
| 不相容职务未分离 | 出纳兼记账、采购兼验收、销售兼收款 |
| 授权审批缺失 | 大额支出无审批、“先斩后奏” |
| 资产保护不足 | 仓库无门禁、现金无盘点、印章"一把抓" |
| 信息沟通不畅 | 财务月报延迟、举报热线形同虚设 |
| 监督缺失 | 无内审部门、内审"自己查自己" |
| 控制环境薄弱 | 董事会"橡皮图章"、“一言堂”、高层凌驾内控 |
记忆锚：“职务分离是地基，授权审批是骨架，资产保护是血肉，信息沟通是神经，监督是天花板”。
🧠 记忆工具箱
口诀速记
- COSO 五要素：“环风活信监”；
- 不相容职务：“出纳不记账，审批不执行，保管不记录，经办不稽核”；
- 缺陷：“分离缺失授权乱，资产保护信息断，监督形同环境弱”。
场景锚点
- 不相容职务想象"小卖部老板"：老板自己收钱（出纳）+ 自己记账（记账）+ 自己盘点（保管）= “自己收钱自己记账自己管货”——可以偷钱。大公司必须分开：收银员收钱、会计记账、仓库管理员管货、内审盘点。
⚠️ 易错提醒
- 控制环境是"地基"：高层"凌驾内控"（bypass controls）= 最严重的内控缺陷——再好的制度，老板不遵守 = 白搭；
- 不相容职务分离是"最低标准"：题目说"某公司出纳兼管稽核"→ 一定是有缺陷（不需要分析"金额大小"）；
- 授权审批分级：越权 = 缺陷，但紧急情况下可以"先执行后补批"（需记录）——不能“永远不批”；
- 监督要素：内审必须独立（向董事会/审计委员会报告，不向管理层报告）——内审"自己查自己" = 监督失效。