《企业内部控制应用指引第17号——内部信息传递》解读——有效管理内部信息传递 促进企业经营管理决策优化（2010年7月23日发布）
发文信息
- 发文机关： 财政部
- 发布日期： 2010-07-23
- 生效日期： 2010-07-23
- 时效性： 现行有效
- 原文链接： 财政部
信息资源是一个企业赖以生存的重要因素之一，企业在制定决策和日常运作中需要各种形式的信息。内部信息传递是企业内部各管理层级之间通过内部报告形式传递生产经营管理信息的过程。企业的内部控制活动离不开信息的沟通和传递。信息在企业内部进行有目的地传递，对贯彻落实企业发展战略、执行企业全面预算、识别企业生产经营活动中的内外部风险具有重要作用。《企业内部控制基本规范》十分重视信息与沟通这一控制要素。为了促进企业生产经营管理信息在内部各管理层级之间的有效沟通和充分利用，财政部等五部委专门制定了《企业内部控制应用指引第17号——内部信息传递》（下称“《内部信息传递》”），突出强调了内部报告的形成、使用和评估，提出了内部信息传递应当关注的主要风险以及相应的管控措施。本文就此进行解读。
一、内部信息传递管控的总体要求
为服务于企业生产经营管理决策，做好各项内部报告工作，企业管理人员需要从各种渠道获取相应的信息。企业内部信息有来自业务第一线人员根据市场或业务工作整理的信息，也有来自管理人员根据相关内部信息对所负责部门形成的指示或情况通报。尽管有关信息的来源、内容、提供者、传递方式和渠道等各不相同，但收集和传递相关信息一般应遵循以下原则。
（一）真实准确性。虚假或不准确的信息将严重误导信息使用者，甚至导致决策失误，造成巨大的经济损失。内部报告的信息应当与所要表达的现象和状况保持一致，若不能真实反映所计量的经济事项，就不具有可靠性。
（二）及时有效性。如果信息未能及时提供，或者及时提供的信息不具有相关性，或者提供的相关信息未被有效利用，都可能导致企业决策延误，经营风险增加，甚至可能使企业较高层次的管理陷入困境，不利于对实际情况进行及时有效的控制和矫正，同时也将大大降低内部报告的决策相关性。只有那些切合具体任务和实际工作，并且能够符合信息使用单位需求的信息才是具有使用价值的。
（三）遵守保密原则。企业内部的运营情况、技术水平、财务状况以及有关重大事项等通常涉及到商业秘密，内幕信息知情者（包括董事会成员、监事、高级管理人员及其他涉及信息披露有关部门的涉密人员）都负有保密义务。这些内幕信息一旦泄露，极有可能导致企业的商业机密被竞争对手获知，导致企业处于被动境地，甚至造成重大损失。
二、内部信息传递流程
企业应当加强内部报告管理，全面梳理内部信息传递过程中的薄弱环节，建立科学的内部信息传递机制，明确内部信息传递具体要求，关注内部报告的有效性、及时性和安全性，促进内部报告的有效利用，充分发挥内部报告的作用。
下图列示的内部信息传递流程具有普适性。企业在实际操作中，应当充分结合自身业务特点和管理要求，构建和优化内部信息传递流程。
三、内部信息传递流程的主要风险点及管控措施
（一）建立内部报告指标体系
内部报告指标体系是否科学直接关系到内部报告反映的信息是否完整和有用，这就要求企业应当根据自身的发展战略、风险控制和业绩考核特点，系统、科学地规范不同级次内部报告的指标体系，合理设置关键信息指标和辅助信息指标，并与全面预算管理等相结合，同时应随着环境和业务的变化不断进行修订和完善。在设计内部报告指标体系时，企业应当根据内部各“信息用户”的需求选择信息指标，以满足其经营决策、业绩考核、企业价值与风险评估的需要。该环节的主要风险是：指标体系的设计未能结合企业的发展战略，指标体系级次混乱，与全面预算管理要求相脱节，并且一旦设定后未能根据环境和业务变化有所调整。
主要管控措施：第一，企业应认真研究企业的发展战略、风险控制要求和业绩考核标准，根据各管理层级对信息的需求和详略程度，建立一套级次分明的内部报告指标体系。企业明确的战略目标和具体的战略规划为内部报告控制目标的确定提供了依据。第二，企业内部报告指标确定后，应进行细化，层层分解，使企业中各责任中心及其各相关职能部门都有自己明确的目标，以利于控制风险并进行业绩考核。
由此可见，企业的战略目标、战略规划、内部报告的控制目标、各责任中心以及各职能部门的控制目标，是一个通过内部信息传递相互联系、不断细化的体系。第三，内部报告需要依据全面预算的标准进行信息反馈，将预算控制的过程和结果向企业内部管理层报告，以有效控制预算执行情况、明确相关责任、科学考核业绩，并根据新的环境和业务，调整决策部署，更好地规划和控制企业的资产和收益，实现资源的最有效配置和管理的协同效应。
（二）收集内外部信息
为了随时掌握有关市场状况、竞争情况、政策变化及环境的变化，保证企业发展战略和经营目标的实现，企业应当完善内外部重要相关信息的收集机制和传递机制，使重要信息能够及时获得并向上级呈报。企业可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息；通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。企业应当广泛收集、分析、整理内外部信息，并通过内部报告传递到企业内部有关管理层级，以便及时采取应对策略。该环节的主要风险是：收集的内外部信息过于散乱，不能突出重点；内容准确性差，据此信息进行的决策容易误导经营活动；获取内外部信息的成本过高，违反了成本效益原则。
主要管控措施：第一，根据特定服务对象的需求，选择信息收集过程中重点关注的信息类型和内容。为特定对象、特定目标服务的信息，具有更高的适用性，对于使用者具有更现实、重要的意义。因此需要根据信息需求者要求按照一定的标准对信息进行分类汇总。第二，对信息进行审核和鉴别，对已经筛选的资料作进一步的检查，确定其真实性和合理性。企业应当检查信息在事实与时间上有无差错，是否合乎逻辑，其来源单位、资料份数、指标等是否完整。第三，企业应当在收集信息的过程中考虑获取信息的便利性及其获取成本高低，如果需要较大代价获取信息，则应当权衡其成本与信息的使用价值，确保所获取信息符合成本效益原则。
（三）编制及审核内部报告
企业各职能部门应将收集的有关资料进行筛选、抽取，然后，根据各管理层级对内部报告的信息需求和先前制定的内部报告指标，建立各种分析模型，提取有效数据并进行反馈汇总，在此基础上，对分析模型进一步改造，进行资料分析，起草内部报告，形成总结性结论，并提出相应的建议，从而对发展趋势、策略规划、前景预测等提供重要的分析指导，为企业的效益分析、业务拓展提供有力的保障。企业内部报告因报告类型不同、反映的信息特点不同，内部报告的格式不尽一致。一般情况下，企业内部报告应当包括报告名、文件号、执行范围、内容、起草或制定部门、报送和抄送部门及时效要求等。该环节的主要风险是：未能根据各内部使用单位的需求进行编制，内容不完整，编制不及时，未经审核即向有关部门传递。
主要管控措施：第一，企业内部报告的编制单位应紧紧围绕内部报告使用者的信息需求，以内部报告指标体系为基础，编制内容全面、简洁明了、通俗易懂的内部报告，便于企业各管理层级和全体员工掌握相关信息，正确履行职责。第二，企业应合理设计内部报告编制程序，提高编制效率，保证内部报告能在第一时间提供给相关管理部门。对于重大突发事件应以速度优先，尽可能快的编制出内部报告，向董事会报告。第三，企业应当建立内部报告审核制度，设定审核权限，确保内部报告信息质量。企业必须对岗位与职责分工进行控制，内部报告的起草与审查岗位分离，内部报告在传递前必须经签发部门负责人审核。对于重要信息，企业应当委派专门人员对其传递过程进行复核，确保信息正确的传递给使用者。
（四）构建内部报告流转体系及渠道
企业应当制定严密的内部报告传递流程，充分利用信息技术，强化内部报告信息集成和共享，将内部报告纳入企业统一信息平台，构建科学的内部报告网络体系。企业内部各管理层级均应当指定专人负责内部报告工作。正常而言，内部报告应当按照职责分工和权限指引中规定的报告关系传递信息。但为保证信息传递的及时性，重要信息应当及时传递给董事会、监事会和经理层。企业应当拓宽内部报告渠道，通过落实奖励措施等多种有效方式，广泛收集合理化建议。该环节的主要风险是：缺乏内部报告传递流程，内部报告未按传递流程进行传递流转，内部报告流转不及时。
主要管控措施：第一，企业应当制定内部报告流转制度。企业可根据信息的重要性、内容等特征，确定不同的流转环节。第二，企业应严格按设定的传递流程进行流转。企业各管理层对内部报告的流转应做好记录，对于未按照流转制度进行操作的事件，应当调查原因，并做相应处理。第三，企业应及时更新信息系统，确保内部报告有效安全的传递。
企业应在实际工作中尝试精简信息系统的处理程序，使信息在企业内部更快地传递。对于重要紧急的信息，可以越级向董事会、监事会或经理层直接报告，便于相关负责人迅速做出决策。
（五）内部报告有效使用及保密要求
企业各级管理人员应当充分利用内部报告进行有效决策，管理和指导企业的日常生产经营活动，及时反映全面预算执行情况，协调企业内部相关部门和各单位的运营进度，严格绩效考核和责任追究，确保企业实现发展战略和经营目标。企业应当有效利用内部报告进行风险评估，准确识别和系统分析企业生产经营活动中的内外部风险，确定风险应对策略，实现对风险的有效控制。企业对于内部报告反映出的问题应当及时解决。企业应当制定严格的内部报告保密制度，明确保密内容、保密措施、密级程度和传递范围，防止泄露商业秘密。该环节的主要风险是：企业管理层在决策时并没有使用内部报告提供的信息，内部报告未用于风险识别和控制，商业秘密通过企业内部报告被泄露。
主要管控措施：第一，企业在预算控制、生产经营管理决策和业绩考核时充分使用内部报告提供的信息。企业应当将预算控制和内部报告接轨，通过内部报告及时反映全面预算的执行情况；要求企业尽可能利用内部报告的信息对生产、购售、投资、筹资等业务进行因素分析、对比分析和趋势分析等，发现存在的问题，及时查明原因并加以改进；将绩效考评和责任追究制度与内部报告联系起来，依据及时、准确、按规范流程提供的信息进行透明、客观的定期业绩考核，并对相关责任人进行追究惩罚。第二，企业管理层应通过内部报告提供的信息对企业生产经营管理中存在的风险进行评估，准确识别和系统分析企业生产经营活动中的内外部风险，涉及突出问题和重大风险的，应当启动应急预案。第三，企业应从内部信息传递的时间、空间、节点、流程等方面建立控制，通过职责分离、授权接触、监督和检查等手段防止商业秘密泄露。
（六）内部报告的保管
在企业的经营管理活动中，会产生大量的数据信息，管理好这些资料，对于分析和解决企业管理中的问题至关重要。但是，有些企业对这些管理中产生的大量数据记录采取粗放经营的态度，甚至使一些重要数据丢失，造成不可挽回的损失。
例如，在原材料采购和商品销售过程中，市场价格的调查资料、对供应商和销售商做出选择的依据、对方企业的资金信用状况等数据资料，不仅是企业以后购销工作的重要参考依据，同时也是实行财务监督的重要依据，但是许多企业对以上资料不做长期保留，致使发生了原材料质量问题或者是应收账款变成坏账等问题以后，都找不到企业内部的责任者，分析不出失误的原因，更找不到解决问题的方法。该环节主要风险点：企业缺少内部报告的保管制度，内部报告的保管存放杂乱无序，对重要资料的保管期限过短，保密措施不严。
主要管控措施：第一，企业应当建立内部报告保管制度，各部门应当指定专人按类别保管相应的内部报告。第二，为了便于内部报告的查阅、对比分析，改善内部报告的格式，提高内部报告的有用性，企业应按类别保管内部报告，对影响较大的、金额较高的一般要严格保管，如企业重大重组方案、企业债券发行方案等。第三，企业对不同类别的报告应按其影响程度规定其保管年限，只有超过保管年限的内部报告方可予以销毁。对影响重大的内部报告，应当永久保管，如公司章程及相应的修改、公司股东登记表等。有条件的企业应当建立电子内部报告保管库，分性质，按照类别、时间、保管年限、影响程序及保密要求等分门别类地储存电子内部报告。第四，企业应当制定严格的内部报告保密制度，明确保密内容、保密措施、密级程度和传递范围，防止泄露商业秘密。有关公司商业秘密的重要文件要由企业较高级别的管理人员负责，具体至少由两人共同管理，放置在专用保险箱内。查阅保密文件，必须经该高层管理人员同意，由两人分别开启相应的锁具方可打开。
（七）内部报告评估
由于内部报告传递对企业具有重要影响，《内部信息传递》强调企业应当建立内部报告评价制度。企业应当对内部报告是否全面、完整、内部信息传递是否及时、有效，对内部报告的利用是否符合预期数做到心中有数，这就要求企业建立内部报告评估制度，通过对一段时间内部报告的编制和利用情况进行全面的回顾和评价，掌握内部信息的真实状况。企业对内部报告的评估应当定期进行，具体由企业根据自身管理要求做出规定，至少每年度对内部报告进行一次评估。企业应当重点关注内部报告的及时性，内部信息传递的有效性和安全性。经过评估发现内部报告存在缺陷的，企业应当及时进行修订和完善，确保内部报告提供的信息及时、有效。该环节主要风险点：企业缺乏完善的内部报告评价体系，对各信息传递环节和传递方式控制不严，针对传递不及时、信息不准确的内部报告缺乏相应的惩戒机制。
主要管控措施：第一，企业应建立并完善企业对内部报告的评估制度，严格按照评估制度对内部报告进行合理评估，考核内部报告在企业生产经营活动中所起的真实作用。第二，为保证信息传递的及时准确，企业必须执行奖惩机制。对经常不能及时或准确传递信息的相关人员应当进行批评和教育，并与绩效考核体系挂钩。
四、反舞弊
舞弊是指以故意的行为获得不公平的或者非法的收益，主要存在以下领域：虚假财务报告、资产的不适当处置、不恰当的收入和支出、故意的不当关联方交易、税务欺诈、贪污以及收受贿赂和回扣等方面。有效的反舞弊机制，是企业防范、发现和处理舞弊行为、优化内部环境的重要制度安排。有效的信息沟通是反舞弊程序和控制成功的关键。如果信息交流机制不畅通，就会产生信息不对称的问题，舞弊行为产生的机会就会增大。企业应当建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。该环节的主要风险是：忽视了对员工的道德准则体系的培训，内部审计监察不严，内部人员未经授权或者采取其他不法方式侵占、挪用企业资产，在财务会计报告和信息披露等方面存在的虚假记录、误导性陈述或者重大遗漏等，董事、监事、经理及其他高管人员滥用职权，相关机构或人员串通舞弊，企业对举报人的保护力度小，信访事务处理不及时，缺乏相应的舞弊风险评估机制。
主要控制措施：第一，企业应当重视和加强反舞弊机制建设，对员工进行道德准则培训，通过设立员工信箱、投诉热线等方式，鼓励员工及企业利益相关方举报和投诉企业内部的违法违规、舞弊和其他有损企业形象的行为。第二，企业应通过审计委员会对信访、内部审计、监察、接受举报过程中收集的信息进行复查，监督管理层对财务报告施加不当影响的行为、管理层进行的重大不寻常交易、以及企业各管理层级的批准、授权、认证等，防止企业资产侵占、资金挪用、虚假财务报告、滥用职权等现象的发生。第三，企业应当建立反舞弊情况通报制度。企业应定期召开反舞弊情况通报会，由审计部门通报反舞弊工作情况，分析反舞弊形势，评价现有的反舞弊控制措施和程序。第四，企业应当建立举报人保护制度，设立举报责任主体、举报程序，明确举报投诉处理程序，并做好投诉记录的保存。切实落实举报人保护制度是举报投诉制度有效运行的关键。结合企业的实际情况，企业应明确举报人应向谁举报，以何种方式进行举报，举报内容的界定等；确定举报责任主体接到投诉报告后进行调查的程序、办理时限、办结要求及将调查结论提交董事会处理的程序等。