泓域/内存研发公司治理手册内存研发公司治理手册目录一、 人力资源 3二、 发展战略 6三、 企业风险管理框架：内部环境的成熟 11四、 我国的借鉴与创新 12五、 反舞弊机制 14六、 举报投诉制度 25七、 信息与沟通的作用 29八、 信息与沟通的概念 31九、 风险分析的定义和目的 32十、 风险分析方法的选择 33十一、 内部控制目标的设定 34十二、 目标设定的含义 37十三、 风险应对概述 41十四、 风险应对策略 42十五、 项目基本情况 51十六、 产业环境分析 58十七、 必要性分析 59十八、 组织机构管理 60劳动定员一览表 61十九、 法人治理结构 62二十、 发展规划分析 73一、 人力资源企业的人力资源是指企业为组织生产经营活动而录（任）用的各种人员，包括董事、监事、高级管理人员和全体员工而内部控制的实施主体包括董事会、监事会、经理层和全体员工，涵盖了企业几乎所有的内部人员因此，人力资源控制水平的高低将直接影响到企业内部环境的质量《企业内部控制基本规范》第十六条要求企业应当制定和实施有利于企业可持续发展的人力资源政策人力资源政策应当包括员工的聘用、培训、辞退和辞职，员工的薪酬、考核、晋升与奖惩，关键岗位员工的强制休假制度和定期岗位轮换制度，掌握国家秘密或重要商业秘密的员工离岗的限制性规定，以及有关人力资源管理的其他政策。
企业应当重视人力资源建设，根据发展战略，结合人力资源现状和未来需求，建立人力资源发展目标，制订人力资源总体规划和能力框架体系，优化人力资源整体布局，明确人力资源的引进、开发、使用、培养、考核、激励、退出等管理要求，实现人力资源的合理配置，全面提升企业核心竞争力一）人力资源管理操作流程为了加强人力资源的内部控制，充分调动整体团队的积极性、主动性和创造性，全面提升企业的核心竞争力，企业一般可以根据人力资源管理操作流程分为人力资源引进与开发、人力资源的使用与退出和人力资源的评估与信息披露3个方面1、人力资源的引进与开发首先，企业应当根据人力资源总体规划，结合生产经营实际需求，制订年度人力资源需求计划，完善人力资源引进制度，规范工作流程，按照计划、制度和程序组织人力资源引进工作；其次，根据人力资源能力框架要求，明确各岗位的职责权限、任职条件和工作要求，通过公开招聘等多种方式选聘优秀人才；再次，企业应该建立严格的录用审批制度，对应聘人员进行严格的筛选并录用，在选聘人员之后，与其依法签订劳动合同；最后，对员工进行定期的培训与教育，提高员工的素质和技能2、人力资源的使用与退出企业应建立完善的激励约束机制，设置科学的业绩考核指标体系，对各级管理人员和全体员工进行严格考核与评价，以此作为确定员工薪酬、职级调整和解除劳动合同等的重要依据，确保整个团队处于持续优化状态。
3、人力资源的评估与信息披露企业应当定期对年度人力资源计划执行情况进行评估，总结人力资源管理经验，分析存在的主要缺陷和不足，完善人力资源政策，促进企业整体团队充满活力和生机企业应该依法披露报告期末在职员工数量、专业构成、教育程度等信息，以适当的形式披露人力资源政策可能存在的重大风险因素及其应对措施二）人力资源的主要风险企业应当明确人力资源面临的主要风险，以及这些风险可能导致的后果1）人力资源缺乏或过剩、结构不合理、开发机制不健全，导致企业发展战略可能难以实现2）人力资源激励约束制度不合理、关键岗位人员管理不完善，导致人才流失、经营效率低下3）人力资源退出机制不当，导致法律诉讼或企业声誉受损三）人力资源风险的应对措施针对上述风险及影响，企业采取的应对措施包括以下几个方面1）企业应当根据人力资源总体规划，结合生产经营实际需要，制订年度人力资源需求计划也就是说，人力资源要符合发展战略需要，符合生产经营对人力资源的需求，尽可能做到“不缺人手，也不养闲人”2）企业应当根据人力资源能力框架要求，明确各岗位的职责权限、任职条件和工作要求，通过公开招聘、竞争上岗等多种方式选聘优秀人才这项要求实际上意在强调企业要选合适的人，要按公开、严格的程序去选人，防止人情招聘、暗箱操作。
3）企业确定选聘人员后，应当依法签订劳动合同，建立劳动用工关系：已选聘人员要进行试用和岗前培训，试用期满考核合格后，方可正式上岗4）企业应当建立和完善人力资源的激励约束机制，设置科学的业绩考核指标体系，对各级管理人员和全体员工进行严格考核与评价，并制定与业绩考核挂钩的薪酬制度如何留住引进来的优秀人才，对企业至关重要5）企业应当建立、健全员工退出（辞职、解除劳动合同、退休等）机制，明确退出的条件和程序，确保员工退出机制得到有效实施只有退出机制健全，退出条件和程序清楚，才能够防范和化解当前企业人力资源退出方面存在的诸多问题，使企业人力资源管理步入良性循环的轨道二、 发展战略企业发展战略是指企业在对现实状况和未来趋势进行综合分析和科学预测的基础上，制订并实施的长远发展目标与战略规划制订明确、稳定、符合实际的发展战略可以防止公司盲目发展、过度扩张或发展滞后企业作为市场经济的主体，要想求得长期生存和持续发展，关键在于制订并有效实施适应外部环境变化和自身实际情况的发展战略发展战略主要是由企业的最高层制订，经过战略议题分析，集团战略制订，事业部战略制订，战略质询、审批、公布再到战略实施和最后的反馈控制，每一个环节都由战略制订者根据企业自身的情况客观地分析制订。
企业还应针对战略实施过程进行动态监控与报告，并建立、健全战略评估制度一个现代企业，如果没有明确的发展战略，就不可能在当今激烈的市场竞争和国际化浪潮冲击下求得长远发展一）发展战略阶段为了加强对企业发展战略规划的内部控制，明确发展战略的整个流程，企业可以将发展战略规划的程序大致划分为战略制订、战略实施两个大的阶段，其中战略实施中包含了实施后的战略评估与调整发展战略是公司围绕主经营业务，在对现实状况和未来形势进行综合分析和科学预测的基础上，制订并实施的具有长期性和根本性的发展目标与战略规划1、战略制定阶段一个正确的战略形成需要企业先提出一个合理的战略目标企业应当在充分调查研究、科学分析预测和广泛征求意见的基础上制订发展目标企业在制订发展目标的过程中，应该综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素根据上述因素以及企业管理层人员的经验和专业知识拟定出一个合理的战略目标企业应当根据发展目标制订战略规划战略规划应当明确发展的阶段性和发展程度，确定每个发展阶段具体目标、工作任务和实施路径也就是说，战略对于企业的指导是一个过程，而不是企业一下子就能达到战略所要求的目标。
所以这个过程需要一个完整、明确的规划企业应当在董事会下设立战略委员会，或指定专门机构负责发展战略管理工作，履行相应职责战略委员会成员应当具有较强的综合素质和实践经验，其任职资格应当符合有关法律法规的规定董事会应当严格审议战略委员会提交的发展战略方案，如发现重大问题，应责成战略委员会对方案进行调整调整后的方案重新审议，直至通过，并上报股东大会最后经由股东大会批准实施2、战略实施阶段企业应当根据发展战略，制订年度工作计划，编制全面预算，将年度目标分解、落实；同时，完善发展战略管理制度，确保发展战略有效实施企业应当重视发展战略的宣传工作，通过内部各层级会议和教育培训等有效方式，将发展战略及其分解落实情况传递到内部各管理层级和全体员工让全体员工接受、认可，甚至形成一种企业文化由于经济形势、产业政策、技术进步、行业状况以及不可抗力等因素发生重大变化，需要对发展战略做出调整的，应当按照规定权限和程序调整发展战略二）发展战略的主要风险企业应当明确发展战略面临的主要风险，以及这些风险可能导致的后果1）缺乏明确的发展战略或发展战略实施不到位，导致企业盲目发展，难以形成竞争优势，丧失发展机遇和动力2）发展战略过于激进，脱离企业实际能力或偏离主业，导致企业过度扩张、经营失控甚至失败。
3）发展战略频繁变动，导致企业资源严重浪费，最后危及企业的生存和持续发展三）发展战略风险的应对措施针对上述风险及影响，企业采取的应对措施包括以下几方面的内容1）企业健全组织机构，在董事会下设立战略委员会，或指定专门机构负责发展战略管理工作同时，对战略委员会的成员素质、工作规范也提出相应要求2）应在充分调查研究、科学分析预测和广泛征求意见的基础上制定发展目标，而不是靠拍脑袋，盲目制定发展战略在制定目标过程中，应综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素3）强调战略规划应当根据发展目标制定，明确发展的阶段性和发展程度，确定每个发展阶段的具体目标、工作任务和实施路径4）董事会从全局性、长期性和可行性等维度，严格审议战略委员会提交的发展战略方案，之后再报经股东（大）会批准实施5）从抓实施的角度，要求企业根据发展战略，制订年度工作计划，编制全面预算，将年度目标分解、落实，以确保发展战略的有效实施6）设立发展战略后实施评估制度，要求战略委员会加强对发展战略实施情况的监控，定期收集和分析相关信息对发现明显偏离发展战略的情况，要求及时报告；确需对发展战略做出调整，企业要遵循规定的权限和程序调整发展战略。
三、 企业风险管理框架：内部环境的成熟COSO的《企业风险管理一一整体框架》用“内部环境”代替了“控制环境”，提出内部环境包含组织的基调、营销组织中人员的风险意识，是企业风险管理所有其他构成要素的基础，为其他要素提供约束和结构；它影响着战略和目标如何制定、经营活动如何组织以及如何识别、评估风险并采取行动；它还影响着控制活动、信息与沟通体系和监控措施的设计与运行由风险管理理念、风险文化、董事会、操守和价值观、对胜任能力的承诺、管理方法和经营模式、风险偏好组织结构、职责和权限分配、人力资源政策和实务9大因素构成与COSO92内部环境构成因素相比，COSO04虽然仅增加了两个因素、微调了因素排列顺序、修正了部分因素的措辞，但内部环境内涵却发生了深刻变化第一，突出“企业”的重要性内部环境建设是企业自己的事，是企业内部积极的需求，而非外部强加的压力，强调企业首先应有“风险管理理念”，并将这种理念传导、灌输给全体员工，形成“风险文化”，这是对COSO92内部环境思想的重大突破；第二，突出“风险”的重要性强调风险管理理念、风险文化、风险偏好（风险承受度），将上述内容用于制定战略之中，并贯穿于整个企业；第三，突出“管理”的重要性。
实现从控制到管理的转变，引入战略观念，同时提升了董事会在战略决策中的地位和作用在措辞方面，相对于COSO92，将“诚信与道德”改为“操守和价值观”，将“素质要求”改为“对胜任能力的承诺”，更为恰当、准确地把握了企业文化是内部环境构成因素的精髓；将“管理哲学与经营风格”改为“管理方法和经营模式”，更为具体且切合企业管理实际，即对管理层的要求不仅是空洞的哲学与风格，更要拥有具体的方法与模式；“组织结构”改为“风险偏好组织结构”，合理解释了每个企业组织结构的不同是受风险偏好影响的缘由四、 我国的借鉴与创新2008年，财政部、证监会、审计署、银监会、保监会联合发布了《企业内部控制基本规范》基本规范参照国际良好实践，结合我国企业具体情况对内部环境做了规定内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等总体来说，基本规范借鉴了SASNO.55的表述方式，同时融入COSO92的先进理念我国企业市场化发展起步较晚，内部控制成熟度较低，内部环境整体还处于低层次在内部环境构成因素中，需要健全治理结构、完善机构设置治理结构作为我国企业内部环境的首要因素是长期、正确的战略考虑，完善治理结构是上市公司的迫切任务，也是现阶段相关部门监管的重点。
为强化内部监督，针对我国企业内部审计弱化、形同虚设的特点，参照美国早期的做法，基本规范将内部审计作为内部环境构成因素，要求企业保持内部审计在机构设置、人员和工作上的独立性在企业成长、发展过程中，企业文化是必不可少的重要环境因素从中西方内部环境影响因素排列顺序来看，COSO两个报告都将文化因素排在前列，我国却将其排在最后权衡制度管理与人本管理的关系，在没有良好制度的前提下，文化作为环境因素是相当脆弱的我们认为，西方的人本管理是其制度管理的回归，在我国，制度管理是根本，人本管理是补充，我国企业需要补制度管理的课但是，基本规范中相关因素的表述尚未达到西方良好实践的高度，如在管理哲学（方法）和经营风格（模式）方面未做基本概念的约定；权责分配因素采用权在前、责在后的中国式表述方式，不符合国际先进理念，按照COSO报告“目标→责任→权力”的思路，首先明确部门、人员目标，目标如果不能实现应承担责任，为避免风险的发生（责任的承担）才赋予一定的权力，保持责权对等；在人力资源方面只强调“政策”制定，不强调政策的“执行（或实务）”事实上，人力资源建设关键在于执行五、 反舞弊机制（一）反舞弊机制的概念反舞弊机制指为了防止舞弊，加强公司治理和内部控制，降低企业风险，规范经营行为，维护企业合法权益，确保经营目标的实现和企业持续、稳定、健康发展，保护股东合法权益，根据经营目标及法律、法规，结合企业的实际情况，制定的用以规范企业中高级管理人员及所有员工的职业行为的一种制度。
企业应当建立反舞弊机制，坚持“惩防并举、重在预防”的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序通过反舞弊机制的建立，企业要将反舞弊工作的重点放在重点领域和关键环节，防范舞弊行为的发生并及时发现发生的舞弊行为在所建立的反舞弊机制中，要规范相应的舞弊案件查处程序，以便对舞弊案件及时进行处理和纠正，并在反舞弊过程中不断完善内部控制体系二）反舞弊机制的重点《企业内部控制基本规范》第四十二条规定：企业至少应当将下列情形作为反舞弊工作的重点：未经授权或者采取其他不法方式侵占、挪用企业资产，牟取不当利益；在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等：董事、监事、经理及其他高级管理人员滥用职权；相关机构或人员串通舞弊三）反舞弊工作的内容1、舞弊的含义舞弊是一种采取不正当和欺骗的手段，有意识地违反既定的公众认可的规则以损害或牟取组织经济利益的行为2、舞弊的种类（1）按照舞弊主体的不同进行分类按照舞弊主体的不同，即作弊者身份的不同，可以将舞弊划分为两类，管理舞弊与非管理舞弊管理舞弊是指管理层蓄谋的舞弊行为，是指企业最高管理当局进行的舞弊。
这种舞弊隐蔽性大，难以发现，影响力也很大，舞弊者的层次越高，越难有效地进行预防与检查，危害也越大其主要表现为财务报表舞弊非管理舞弊也称为员工舞弊，是指企业中的职员利用内部控制的各种漏洞，采用涂改或伪造单据、账册及其他手段贪污、盗窃或挪用财产的不法行为，常常表现在将现金或其他资产窃为己有2）按照内部审计具体准则第6号的规定进行分类《内部审计具体准则第6号—一舞弊的预防、检查与报告》将舞弊分为：损害组织经济利益的舞弊行为以及谋取组织经济利益的行为损害组织经济利益的舞弊，是指组织内外人员为谋取自身利益采用欺骗等违法违规手段使组织经济利益遭受损害的不正当行为有下列情形之一者属于损害组织经济利益的舞弊行为：收受贿赂或回扣；将正常情况下可以使组织获利的交易事项转移给他人；贪污、挪用、盗窃组织资财；使组织为虚假的交易事项支付款项；故意隐瞒、错报交易事项；泄露组织的商业秘密；其他损害组织经济利益的舞弊行为谋取组织经济利益的舞弊，是指组织内部人员为使本组织获得不当经济利益而其自身也可能获得相关利益，采用欺骗等违法违规手段，损害国家和其他组织或个人利益的不正当行为有下列情形之一者属于谋取组织经济利益的舞弊行为：支付贿赂或回扣；出售不存在或不真实的资产；故意错报交易事项、记录虚假的交易事项，使财务报表使用者误解而做出不适当的投融资决策；隐瞒或删除应对外披露的重要信息；从事违法违规的经营活动；偷逃税款；其他谋取组织经济利益的舞弊行为。
四）反舞弊的理论研究1、舞弊GONE理论“GONE”理论（四因素论）是由Bologua等人在1993年提出的，是在美国流传最广，也是最有意思的一个企业会计舞弊与反会计舞弊的著名理论该理论认为，舞弊由G（greed，贪婪）、0（opportunity，机会）、N（need，需要）、E（exposure，暴露）四个因子组成，它们相互作用，密不可分，没有哪一个因子比其他因子更重要因此，它们共同决定了企业舞弊风险的程度GONE理论实质上表达了会计舞弊产生的4个条件，即舞弊者既有贪婪之心，且又十分需要钱财时，只要有机会，并被认为事后不会被发现，他就一定会舞弊，导致“Youcanconsideryourmoneygone”（被欺骗者的钱、物、权益等离他而去）因此，产生了一种很巧妙的说法，即“在贪婪、机会、需要和暴露四因子共同作用的特定环境中，会滋生舞弊，促使被欺骗者的钱、物、权益等离他而去”GONE理论中“贪婪”和“需要”与行为人个体强相关，使个体成为潜在的犯罪者；“机会”和“暴露”则更多与组织环境有关，使组织成为潜在的受害者组织一方面要加强制度建设，但制度并非十全十美，可能给“贪婪”“需要”的人以机会，另一方面就要对舞弊行为暴露（发现并加以查处）。
2、舞弊三角理论舞弊三角理论由美国注册舞弊审核师协会的创始人、曾任美国会计学会会长的史蒂文—阿伯雷齐特提出，他认为，企业舞弊的产生是由压力、机会和自我合理化三要素组成，就像必须同时具备一定的热度、燃料、氧气这三要素才能燃烧一样，缺少了上述任何一项要素都不可能真正形成企业舞弊企业舞弊产生的原因是由动机、机会和借口三要素组成的，这三者也是美国最新的反舞弊准则提醒注册会计师应该关注的舞弊产生的主要条件1）实施舞弊的动机或压力舞弊者具有舞弊的动机是舞弊发生的首要条件，压力可能是经营或财务上的困境以及对资本的急切需求等例如，高级管理人员的报酬与财务业绩或公司股票的市场表现挂钩、公司正在申请融资等情况都可能促使管理层产生舞弊的动机2）实施舞弊的机会舞弊者需要有舞弊的机会，舞弊才能成功舞弊的机会一般源于内部控制在设计和运行上的缺陷，如公司对资产管理的松懈，公司管理层能够凌驾于内部控制之上而可以随意操纵会计记录等实施舞弊的机会主要有六种情况，分别是缺乏发现企业舞弊行为的内部控制；无法判断工作的质量；缺乏惩罚措施；信息不对称；能力不足和审计制度不健全3）为舞弊行为寻找借口的能力借口是指存在某种态度、性格或价值观念，使得管理层或员工能够做出不诚实的行为，或者管理层或员工所处的环境促使其能够将舞弊行为予以合理化。
借口是舞弊发生的重要条件之一只有舞弊者能够对舞弊行为予以合理化，舞弊者才可能做出舞弊行为，做出舞弊行为后才能够心安理得例如，侵占资产的员工可能认为单位对自身不公，编制虚假报告者可能认为造假不是出于个人私利而是出于公司集体利益企业舞弊者常用的理由有：这是公司欠我的；我只是暂时借用这笔资金、肯定会归还的：我的目的是善意的，用途是正当的，等等压力、机会和借口三要素，缺少任何一项要素都不可能真正形成企业舞弊行为3、企业舞弊风险因子理论该理论是伯洛格那等人在GONE理论的基础上发展形成的，是迄今最为完善的关于形成企业舞弊的风险因子的学说它把舞弊风险因子分为个别风险因子与一般风险因子当一般风险因子与个别风险因子结合在一起，并且被舞弊者认为有利时，舞弊就会发生1）一般风险因子一般风险因子是指那些主要由进行自我防护的组织或实体来控制的因素，包括：潜在企业舞弊者进行舞弊的机会；企业舞弊发生时发现企业舞弊的概率；企业舞弊发现后企业舞弊者受罚的性质和程度首先，企业舞弊发生的机会这一因子主要指相对于企业舞弊所针对的财产或对象而言的企业舞弊者的职位企业舞弊发生的机会因子不可能完全消除，消除机会的任何努力将是非经济性和反生产力的，只要组织存在有价值的财产，而且这些财产由其他人（包括雇员、顾客及供应商）流转、交易或控制，企业舞弊发生的机会就永远存在。
将企业舞弊机会因子控制在合理水平内的企业反舞弊举措包括：对每个雇员均应明确或规定一个适当的最低舞弊机会水平；严格禁止灾难性舞弊机会水平的出现这一水平主要取决于具体环境，尤指组织规模其次，发现舞弊的概率在企业舞弊发生机会的既定水平下，可以通过增加发现企业舞弊的概率来降低企业舞弊风险企业舞弊发现的可能性主要取决于内部控制制度，尽管这些控制措施不能杜绝一切企业舞弊行为，但在理论上它们应该足以防止多数重大企业舞弊行为的长期存在最后，惩罚的性质和程度发现企业舞弊本身并不足以威慑企业舞弊行为，还必须存在潜在的犯罪逆向结果，即应存在着会产生逆向结果的观念虽然目前还没有惩罚与企业舞弊发生率关系的相关研究，但传统理念表明，惩罚的性质与程度在逻辑上具有威慑作用组织或团体应当制定关于惩罚性质与程度的明确政策，并严格实施例如，凡发现舞弊者的舞弊行为，均应报告主管部门，并对此进行指控2）个别风险因子个别风险因子指那些因人而异，且在组织或团体控制范围之外的因素，包括道德品质与动机两大类首先，道德品质该因子在这里表现了更宽泛的道德品质方面的内容，它与个性、正直、诚实等一样，与个人的内在特性息息相关其次，动机企业舞弊者进行企业舞弊的动机有很多，但大多数与经济需要有关。
对于这类存在于雇员头脑中的黑厘子式的各种复杂动机，企业可采取的反舞弊措施包括：营造有利的环境，以减少企业雇员的舞弊动机（如坦诚对待雇员，保持沟通渠道公开化，以及建立可让雇员舒缓不满情绪的机制等）；业绩评价和奖励制度，尽量确保公平对待每个雇员；员工资助方案，包括为面临个人问题的员工提供免费咨询或其他服务，它们可以有效防止突发的企业舞弊问题；员工培训和监督4、企业反舞弊四层次机制理论该理论首先在美国著名的特雷德维委员会的调查报告中提出，它全面地阐述了企业反舞弊的防止体系该理论建议任何组织实体可通过建立下列四道防线来防止企业舞弊：高层的管理理念、业务经营过程的内部控制、内部审计、外部独立审计这些控制机制相辅相成，共同形成综合的、多层面性的企业反舞弊防线，能有效地检查和威慑企业舞弊1）高层的管理理念企业舞弊，尤其是企业舞弊性财务报告的产生环境，在很大程度上取决于整个公司的管理思想，其具体表现形式为公司书面及非书面的管理规章等该防线是防止企业舞弊性财务报告举足轻重的一环为确定和宣传正确的管理思想，上层管理人员必须辨别和判断可能导致企业舞弊的各种因素，并设立内部控制制度，以合理保证防止和及早发现企业舞弊。
所有公司均应制订、完善并执行有效的公司管理规章，规范员工的可为行为与不可为行为此外，稳定的规章制度是公司防止企业舞弊的重要前提只有建立成文的、完善的公司管理规章，才能为内部成员树立明确的道德守则，引导员工行为趋向公司利益最大化，从整体上透彻理解整个公司的目标和活动2）业务经营过程的内部控制广义地讲，可将保护某一实体的资产或法定权益免受损失或虚报的任何控制方面称为一项内部控制这一内部控制系统包括五个密切联系的组成要素：控制环境、风险评价、控制活动、信息与沟通以及监控其中控制环境奠定了其他四个控制要素的基础，并确定整个公司的管理思想，它包含了管理哲学、经营风格、授权与责任方式、组织结构、董事会指示、员工的团结观念和竞争意识等许多因素，因而属于企业反舞弊第一道防线的范畴其他四个控制要素，则属企业反舞弊第二道、第三道防线的内容上述内部控制诸因素相互联系，密切配合，不可或缺，形成组织内部的有机整体任何一种控制因素的缺乏或不足，均将导致整个控制系统目标的失败从企业反舞弊角度出发，这些目标包括：使企业舞弊难以发生；使企业舞弊在某些场合下不可能发生；使已产生的企业舞弊易于发现，并使相关的企业舞弊责任易于确认。
此外，以企业反舞弊思想为出发点的内部控制设计还强调了热线（如建立直接的举报等）的重要功能，使发现可疑现象的人员有机会直接将问题反映到企业监督部门或上层，而这一点往往被传统的内部控制所忽视经营业务过程的内部控制实为企业反舞弊防线成功的重要保证是高层管理者管理思想和相关载体形式得以最终贯彻实施的基础设施，因而亦是企业反舞弊防线中更为基础的一环3）内部审计有效、客观的内部审计对公司内部防止和检查企业舞弊性财务报告起着主要的作用公司内部审计人员的资格、组织、地位、报告渠道及其与董事会下属审计委员会的关系等，均应充分保证内部审计的有效性和客观性内部审计人员应在公司财务报告的相关联系中考查其审计结果，并在适当程度上密切配合注册会计师的工作由于与注册会计师相比，内部审计人员与公司高层管理人员有着更为密切的联系和频繁的接触，因而容易觉察整个公司的管理思想和危险信号他们可以通过适当授权、协调分工、交叉审核、贷款审批、定期报告及预算差异的分析等多种程序，及时避免有关差错和企业舞弊行为内部审计人员还可以审查公司对可疑付款的调查和处理情况：审计大额的、非正常的或无充分理由的费用支出（尤其是超越授权权限的超额支出）；审查敏感性支出，诸如诉讼费用、咨询费用、广告费用以及国外销售佣金等；调查对公司的反常捐助等。
这些均将增强企业反舞弊防线的防范功能，同时也增强了与内部审计人员日常事务息息相关的道德准则建设4）外部独立审计外部独立审计在企业反舞弊防线中同样有着不可忽视的作用作为企业反舞弊四道防线的最后一道，注册会计师有着不同于其他三道防线的特点与功能，首先是其客观的、公正的、独立的鉴证地位综合四道防线而言，前三道防线均直接或间接地受管理当局的监督与控制，属于组织内部防线：而注册会计师这一道防线则独立于受审对象，乃为组织外部的防线事实上，无论是公司管理当局还是社会公众均依赖于注册会计师所提供的客观、公正、独立的鉴证活动（审计意见）从企业反舞弊角度而言，公司管理当局希望注册会计师发现其内部审计人员及管理当局自身未能发现的企业舞弊行为及相关内部控制系统的薄弱环节；而社会公众则希望注册会计师确保对外公布的财务报告无企业舞弊，尤其是保证管理当局没有做出误导、欺骗社会公众的报告陈述总之，社会反舞弊的需求明确了注册会计师对企业舞弊性财务报告所承担的审计责任，亦自然将其承担的外部审计职能作为企业反舞弊防线的最后关隘从而，外部独立审计较其他防线承担了更多的社会期望过去由于我国一直将企业舞弊活动作为腐败现象予以惩处，而从、来没有将企业舞弊作为一项理论问题进行研究，所以，至今还没有提出比较系统的企业反舞弊理论。
这不利于提高我国企业反舞弊活动的效率虽然世界各国因具体国情不同而存在着差异，我们并不能直接套用国外发展了多年、比较成熟的企业舞弊及企业反舞弊理论，但“他山之石，可以攻玉”，我们可以从中吸取很多经验、教训，这将有利于尽快研究出适合我国国情的企业舞弊与企业反舞弊理论，以完善我国企业管理理论体系六、 举报投诉制度《企业内部控制基本规范》第四十三条规定：企业应当建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径举报投诉制度和举报人保护制度应当及时传达至全体员工投诉是信息沟通的重要手段之一，是信息自下而上沟通的重要形式企业员工处于经营活动的第一线，能够及时发现经营活动及内部控制实施过程中存在的不足、问题和缺陷以及舞弊行为，并能就完善内部控制体系提出合理化建议和改进意见为此，企业应当建立举报投诉制度，设置举报专线明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径一）投诉举报范围及管理职责归属1、投诉举报范围投诉举报范围主要包括以下几个方面1）收受贿赂或回扣；（2）将正常情况下可以使企业合法获利的交易事项转移给他人；（3）故意隐瞒、错报交易事项，使信息披露存在虚假记载、误导性陈述或重大遗漏；（4）贪污、挪用、盗窃企业资产；（5）伪造、变造会计记录或凭证，提供虚假财务报告；（6）泄露公司的商业机密、技术秘密；（7）董事、监事、经理及其他高管人员以权谋私；（8）其他损害公司经济利益或谋取不正当利益的经济行为以及使员工个人的正当利益受到损害的行为。
2、管理职责归属一般而言，企业内部审计、监察等部门是投诉及举报人保护的管理部门，具体职责如下1）负责管理投诉举报、电子邮箱，接收实名或匿名投诉举报，并根据需要公布投诉举报号码、电子邮箱、通信地址等；（2）书面记录举报内容并及时向管理层或董事会报告；（3）对接受的投诉举报进行调查并将调查结果向管理层或董事会报告；（4）对投诉举报和调查处理后的报告材料及时立卷归档二）投诉举报方式投诉举报人可以采用书面、电子邮件、等形式进行投诉举报投诉举报时应当说明事情的基本经过，被投诉举报对象的名称、地址、具体当事人、投诉举报人的姓名、联系方式、投诉举报人的具体投诉要求，并应同时提供投诉举报人利益或公司利益受到侵害的证据，以及与投诉举报事项相关的其他材料企业应提倡实名投诉举报凡实名投诉举报的，审计、监察部门将严格保密并以适当的方式将处理结果反馈给投诉举报人三）投诉举报处理程序投诉举报的处理程序主要包括以下几个方面1）投诉举报时投诉举报人应当如实提供情况，审计、监察部门接收工作人员应对投诉举报内容进行记录投诉举报人捏造事实伪造证据，利用投诉举报诬告、陷害他人的，应当承担相应的责任2）对涉及普通员工及中级管理人员（包括控股子公司管理层）的实名投诉举报，审计、监察部门自接到投诉举报后两个工作日内报总经理；对涉及普通员工及中级管理人员（包括控股子公司管理层）的匿名投诉举报，审计、监察部门进行初步评估后报总经理。
由总经理决定是否接受该投诉举报3）对投诉举报牵涉到公司高级管理人员的，审计、监察部门自接到投诉举报后一定（如两个）工作日内报公司董事会，由董事会决定是否接受该投诉举报董事会在接受投诉举报后，视需要可聘请外部审计师或其他机构协助调查4）接受投诉举报事项后，审计、监察部门对其展开调查，对涉及普通员工及中级管理人员（包括控股子公司管理层）的调查结果上报总经理并形成处理意见，对牵涉到高级管理人员的调查结果上报董事会并形成处理意见5）接受投诉举报事项后，审计、监察部门应在规定期限内将调查情况或处理结果告知投诉举报人具体分为以下几种情况①对属于职权范围内的，自收到举报后一定时期（如2个月）内，将调查情况或处理结果告知投诉举报人；逾期不能告知的，应当向投诉举报人说明原因②对不属于职权范围内的，自收到投诉举报后一定时期（如10日）内，将不予接受的原因告知投诉举报人，并告知受理机关；需要代转或送交有关部门办理的，应告知投诉举报人所转送部门和转办时间③投诉举报人未署真实姓名、地址，无法告知的，不适用前两款规定6）投诉举报人认为接收、办理投诉举报的工作人员与被投诉举报人是近亲属或有利害关系，可能影响举报事项客观、公正处理的，有权提出回避要求。
情况属实的，有关人员必须回避7）投诉举报人对处理结果有异议或多次投诉举报不予接受的，可以向董事会陈述意见，并由董事会在一定时期（如30日）内将办理情况答复投诉举报人七、 信息与沟通的作用信息与沟通的作用主要表现在以下几方面一）信息与沟通是有效实施内部控制的重要载体未来竞争是管理的竞争，竞争的焦点在于企业内外部的有效信息来源以及充分沟通上经济市场化程度的提高，要求企业必须加强信息的采集、存储、处理、加工和运用信息与沟通是内部控制体系的重要组成部分，贯穿于内部控制体系的整个过程，是有效实施内部控制的重要载体，直接影响着企业内部控制的贯彻执行以及企业经营目标乃至战略目标的实现二）信息与沟通是整个内部控制系统的生命线内部控制是一个动态的过程，依据环境来制定相应的措施，整个过程就是通过连续不断的信息反馈来纠正错误，并不断改进与完善因此，信息与沟通为管理层监督各项活动并在必要时采取纠正措施提供了保证另外，信息与沟通是保障内部控制效率和效果的重要手段，随着信息系统的广泛应用，企业内部实现了物流、资金流、信息流的集成管理，外部实现了与供应商、客户的信息共享，使得信息传递更加流畅，从而使内控运行的效率得到提高。
三）信息与沟通是实施内部控制的关键因素从纵向来看，管理层通过信息与沟通下达任务，了解业务进展情况，及时发现其中隐藏的风险这种自上而下的沟通方式同样伴随着企业有关目标、风险、管理流程信息的传递而员工则通过自下而上的沟通方式向管理层反映有关一线经营、生产中存在的问题，使管理层能够及时地了解相关信息，动态地优化管理及控制流程从横向来看，不同部门、不同职责的员工之间通过有效的沟通来传达各自信息需求、信息缺口，有助于信息交流与共享，从而最大化地提高信息资源的利用效率因此，广泛的信息沟通通过辅助决策来促进企业战略目标的实现；通过加强管理和控制来提高经营的效率和效果；通过保障内控效率和效果来保证财务报告和管理信息的真实、可靠和完整，确保资产的安全完整，以及遵循国家法律法规的要求总的来说，有效的信息与沟通是内部控制目标实现的重要保证八、 信息与沟通的概念《企业内部控制基本规范》第三十八条指出：企业应当建立信息与沟通制度，明确企业内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行信息与沟通，包括辨别取得适当的信息并加以有效沟通两个部分内容美国COSO委员会的《内部控制—一整体框架》要求企业以一定的形式、在一定的时间范围内识别、获取和沟通相关信息以使企业内部各层次员工能够顺利履行其职责。
信息与沟通是指企业能够准确、及时并最大限度地获取和运用来自企业内外部与本企业生产经营活动有关的政策、法律、技术、市场等各方面的信息，并使信息在企业内部进行有效的传递，为企业管理者的各种决策提供强有力的支持作为内部控制基本要素之一的信息与沟通，在内部控制中发挥着不可替代的作用，为内部控制的其他要素有效发挥作用提供了信息支撑，也为企业整个内部控制的有效运行提供了信息支持要准确理解信息沟通的含义，需要注意以下几点：第一，信息与沟通首先是信息的传递，如果信息没有被传递，信息沟通就没有发生，信息是沟通的对象和内容，而沟通是信息传递的手段；第二，成功的信息与沟通，不仅需要信息被传递，还需要被理解；第三，信息与沟通的主体是人，即信息与沟通主要发生在人与人之间；第四，由于管理过程中各种信息相互关联、交错，所以管理者把各种信息沟通过程看成是一个整体，即管理信息系统由于所收集的各种信息来自不同的渠道和信息源，属于零散的、非系统的，企业必须对所收集的各种内部和外部信息进行必要的筛选、整理和加工以提供给有关方面为了提高内部控制的有效性，企业应当将相关信息在企业内部各管理级次、责任单位、业务环节之间进行内部传递。
企业应当建立良好的外部沟通渠道，加强与外部投资者、客户、供应商、中介机构和监管部门等有关方面之间的沟通和反馈九、 风险分析的定义和目的我国《企业内部控制基本规范》第二十四条规定：企业应当采用定性定量相结合的方法，按照风险发生的可能性及影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险企业进行风险分析应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，确保风险分析结果的准确性风险分析是在风险识别的基础上对风险发生的可能性、影响程度等进行描述、分析、判断，并确定风险重要性水平的过程管理层根据被识别的风险的重要性来计划如何应对风险风险分析应达到以下目的：（1）对各个风险进行比较，根据分析风险的不确定性和后果，确定风险的先后顺序；（2）确定风险事件之间的关系，表面上看起来不相干的多个风险事件可能是由一个共同的风险源所造成的，因此应当理顺风险事件之间的关系；（3）进一步量化已识别风险的发生概率和后果，减少风险发生概率和后果估计的不确定性，必要时根据形势的变化重新评估风险发生的概率和可能的后果十、 风险分析方法的选择选择风险分析的方法和判断标准，应考虑行业自身特点，区别它们各自的关注点，灵活确定风险分析过程和分析方法。
例如，对于金融行业来说，丢失数据风险的损失比短时间业务停顿的风险所带来的损失更为严重：而对于通信行业来说，业务停顿风险带来的损失比少量数据丢失的风险更难以接受与定量分析相比较，定性分析的准确性稍好但精确性不够，定量分析则相反；定性分析没有定量分析那样繁多的计算负担，但却要求分析者具备一定的经验和能力；定量分析依赖大量的统计数据，而定性分析没有这方面的要求；定性分析较为主观，定量分析基于客观；此外，定量分析的结果很直观，容易理解，而定性分析的结果则很难有统一的解释企业可以根据自身的具体情况来选择定性或定量的分析方法当前最常用的分析方法一般都是定量和定性的混合方法，对一些可以明确赋予数值的要素直接赋予数值，对难于赋值的要素使用定性方法，这样不仅更清晰地分析了资产的风险情况，也极大简化了分析的过程，加快了分析进度十一、 内部控制目标的设定（一）制订战略目标企业的战略目标一般是稳定的，但与其相关的业务层面的目标具有动态性，会随着内部和外部的条件而调整在企业风险管理目标的设计过程中，首先要确定企业层面的目标，即战略目标战略目标需要通过董事会及员工的相互沟通后确定，同时还要有支持其实现的资金预算及战略计划。
战略目标的制订需要经过如下5个阶段1）明确企业发展目标企业在长期规划中应明确自身的发展目标和发展方向，通过培训、发放宣传手册、领导讲话等方式将企业层面的目标清晰地传达给员工2）制订实现目标的战略规划企业通过SWOT分析，在了解自身的优势、劣势、机会和威胁的基础上制订帮助企业实现目标的战略规划3）制订年度计划及资金预算企业根据制订的中长期战略规划，编制年度经营计划该年度经营计划应符合企业中长期战略规划的效益目标、投资方向和投资结构4）企业编制年度预算企业应按照上下结合、分级编制、逐级汇总的原则编制全面预算，将战略目标进一步分解、细化与落实5）企业编制《企业预算管理办法》，明确编制预算的基本原则、内容、编制依据等二）确定业务层面目标业务层面目标包括合规目标、资产目标、报告目标和经营目标它来自企业战略目标及战略规划，并制约或促进企业战略目标的实现业务层面的目标应具体并具有可衡量性，并且与重要业务流程密切相关业务层面目标的制订需要经过如下四个阶段1）设定业务层面目标企业的总目标及战略目标规划为业务层面目标的设定指明了方向，业务层面根据自身的实际情况及总体目标的要求提出本单位的目标，通过上下不断沟通最终确定。
2）根据企业的发展变化，定期更新业务活动的目标3）配置资源以保证业务层面目标的顺利实现企业在确定各业务单位的目标之后，将人、财、物等资源合理分配下去，以保证各业务单位有实现其目标的资源4）分解业务目标并下达企业确定业务层面的目标后，再将其分解至各具体的业务活动中，明确相应岗位的目标三）合理确定风险承受能力为了合理地确定风险承受能力，在目标设定阶段，企业必须解决以下3个基本问题1）风险偏好风险偏好是指企业在实现其目标的过程中愿意接受的风险程度可以采用定性和定量两种方法对风险偏好加以度量风险偏好与企业的战略直接相关，在战略制定阶段，企业应进行风险管理，考虑将该战略的既定收益与企业的风险偏好结合起来，目的是帮助企业的管理者在不同的战略之间选择与企业的风险偏好相一致的战略2）风险容忍度风险容忍度是指在企业目标实现的过程中对差异的可接受程度，是企业在风险偏好的基础上设定的对相关目标实现过程中所出现的差异的可容忍限度企业风险管理（2016）将风险容忍度确定为可接受的绩效变动区间，该定义更加明确和可度量，有助于组织在给定绩效目标下量化可以承受的风险边界3）风险组合观风险管理要求企业管理者以风险组合的观点看待风险，对相关的风险进行识别并采取措施，以使企业所承受的风险在风险偏好的范围内。
对企业内每个单位而言，其风险可能落在该单位的风险容忍度范围内，但从企业总体来看，总风险可以超过企业总体的风险偏好范围因此，应以企业总体的风险组合的观点看待风险十二、 目标设定的含义我国《内部控制基本规范》第二十条规定，企业应当根据设定的控制目标，全面、系统、持续地收集相关信息，结合实际情况，及时进行风险评估目标设定是风险识别、风险分析和风险应对的前提在管理当局识别和分析风险并采取行动来管理风险之前，首先必须有目标，确定与目标相关的风险，目标设定是风险评估的前提目标设定分为三个层次，首先在企业既定的使命或愿景指导下，管理层制定企业的战略目标；其次根据战略目标制定业务层面的目标，并在企业内层层分解和落实；最后根据设定的目标合理确定企业整体风险承受能力和具体业务层次上可接受的风险水平企业应当按照战略目标，设定相关的经营目标、财务报告目标、合规性目标与资产安全目标，并根据设定的目标合理确定企业整体风险承受能力和具体业务层次上的可接受的风险水平1、战略目标战略目标反映了管理层就主体如何努力为其利益相关者创造价值所做出的选择，是高层次的目标，与其使命相关联并支撑其使命企业在考虑实现战略目标的各种方案时，必须考虑与各种战略相伴的风险及其影响。
战略目标方面的关注点主要包括：（1）对企业绩效现状进行的评估（2）对内部和外部环境的监测分析；（3）战略目标体系（4）战略选择遵循必要的流程，以及获得了充分的讨论；（5）对目标实现与现有资源状况之间的匹配程度进行的评估；（6）设定战略目标可接受程度；（7）就战略目标与企业内部员工和外部相关利益集团之间的沟通2、经营目标经营目标与企业经营的效率与效果有关，包括业绩和盈利目标的实现，需要反映企业运营所处的特定经营、行业和经济环境经营目标来自公司的战略目标和战略计划，并与之紧密联系，是随着具体对象和不同时段制订的，这些目标应针对每个重要业务活动并与其他业务活动保持一致经营目标方面的关注点主要包括以下几点：（1）经营目标与公司战略目标及战略计划一致；（2）经营目标适应公司所处的特定经营环境、行业和经济环境等；（3）各个业务活动目标之间保持一致；（4）所有重要业务流程与业务活动目标相关；（5）适当的资源及有效配置（6）管理层制定的公司经营目标及其对目标的负责程度3、报告目标报告目标与财务报告及其相关信息的真实完整有关可靠的报告能够为管理层提供适合其既定目标的准确而完整的信息，支持管理层的决策，并对主体活动和业绩实施有效监控。
报告目标方面的关注点主要包括以下几点：（1）管理层决策及对公司活动、业绩监控的准确、及时、完整的信息的对内报告；（2）满足投资者、监管部门及其他相关信息需求者真实、可靠、完整的信息的对外报告；（3）反映信息的全面性，包括财务信息与非财务信息4、资产安全目标资产安全目标是内部控制的基本目标，包括：防止企业无效率经营，损失资产；防止员工舞弊；防止公司资产被盗等资产的安全与完整对于我国企业尤其是国有企业具有非常重要的现实意义，近年来国有资产流失的案件屡有发生，内部控制应该把资产安全作为一个重要的目标来加以实现资产安全目标方面的关注点主要包括以下几点：（1）关注企业日常经营活动的效率；（2）提高企业的生产力和竞争力；（3）防止资产缩水；（4）关注资产使用及处置的授权情况5、合规目标合规目标与企业各项活动的合法性有关企业进行内部控制建设必须符合相关的法律和法规企业需要根据相关的法律法规制定最低的行为标准并作为企业的遵循目标，企业的合规记录可能对它在社会上的声誉产生极大的正面或负面影响合规目标方面的关注点主要包括：公司的各项活动符合法律法规的要求，通常涉及知识产权、市场、价格、税收、环境、员工福利以及国际贸易等。
十三、 风险应对概述我国《企业内部控制基本规范》第二十五条规定：企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略企业应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失风险应对就是在风险评估的基础上，针对企业所存在的风险因素，根据风险评估的原则和标准，运用现代科学技术知识和风险管理方面的理论与方法，提出各种风险解决方案，经过分析论证与评价从中选择最优方案并予以实施，来达到降低风险目的的过程风险应对可以从改变风险后果的性质、风险发生的概率和风险后果3个方面提出多种策略，对不同的风险可用不同的处置方法和策略企业所面临的各种风险都可以综合运用各种策略进行处理《企业内部控制基本规范》第二十六条规定：企业应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制十四、 风险应对策略风险应对的策略有风险规避、风险降低、风险分担和风险承受4类一）风险规避风险规避是指企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略风险规避是各种风险管理技术中最简单、最为消极的一种。
例如，一个经销家庭日用品的企业在其经销的产品有导致小儿麻痹症的情况出现时，决定终止这种经销活动，以免引致产品责任索赔案企业通过中断风险源，将避免可能产生的潜在损失或不确定性，但企业同时失去了从风险源中获得收益的可能性企业在采用规避方法来处理风险时必须考虑以下几个方面的因素第一，风险要想真正避免也许不可能对企业而言，有些基本风险如世界性的经济危机、能源危机等难以避免第二，风险得以避免在经济上也许不适当对某些风险即使可以避免，但就经济效益而言也许不合适在成本和效益的比较分析下，如果企业避免风险所花费的成本高于避免风险所产生的经济效益时，仍然采取避免风险的方法，经济上可谓不适当第三，风险规避使企业失去了从中获益的可能性第四，避免了某一风险可能产生另外新的风险，新风险产生的可能性和危害程度可能更甚于先前的风险1、风险规避的适用范围当企业面临下列两种情况时最适合采用风险规避策略：某种特定风险导致的发生概率和产生损失程度相当大；应用其他风险处理技术的成本超过其产生的收益，采取风险规避法可以使企业所受损失为零2、风险规避的方式（1）完全放弃，是指企业拒绝承担这种风险，根本不从事可能产生某些特定风险的活动。
2）中途放弃，是指企业在项目进行的过程中终止承担某种风险例如，公司研发一种新产品，在市场上试销后发现市场前景惨淡，于是中途停止这种产品的生产与上市，防止产生更大的新产品的开发风险这种风险规避通常与环境的较大变化和风险因素的变动有关由于发生了新的不利。