【周四话题讨论】内控设计缺陷—如何认定？怎么查？重要性有多大？

话题来源

在上周我们讨论了关于自评底稿如何建立、如何使用的问题。那么在自评的过程中，通过调研取证内审人员会发现一些缺陷和问题。缺陷通常分为两种：设计缺陷和执行缺陷。往往查看我们的底稿会发现，在我们发现的缺陷中执行缺陷占了很大一部分，而设计缺陷却没有几个。究竟是查的方向不对还是设计缺陷就真的少？如何区分是设计缺陷还是执行缺陷呢？设计缺陷的重要性程度又该如何判断？

欢迎大家参与今天的讨论！

抛砖引玉

首先我们来看看法规中对于设计缺陷是如何定义的：

财政部会计司解读《企业内部控制评价指引》

按照内部控制缺陷成因或来源，内部控制缺陷包括设计缺陷和运行缺陷。设计缺陷是指企业缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标。运行缺陷是指设计有效（合理且适当）的内部控制由于运行不当（包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效运行等）而形成的内部控制缺陷。

《企业内部控制规范体系实施中相关问题解释第2号》

问：企业应如何对待内部控制评价中发现的缺陷？

答：内部控制缺陷按照成因分为设计缺陷和运行缺陷。对于设计缺陷，应从企业内部的管理制度入手查找原因，需要更新、调整、废止的制度要及时进行处理，并同时改进内部控制体系的设计，弥补设计缺陷的漏洞。对于运行缺陷，则应分析出现的原因，查清责任人，并有针对性地进行整改。

从法规角度出发我们可以发现，所谓的设计缺陷主要有两种表现形式：

1、缺失；2、设计不适当

如何检查设计缺陷？可以从制度入手，对制度进行检查、更新、调整、废止，同时改进内控体系设计。

鸟瞰制度整体布局<<<<

既然设计缺陷的检查是从制度入手，那么在深入到具体业务之前，我们可以先从制度的整体布局上鸟瞰一下公司的制度。类似于我们所谓的“制度体系”或者说“流程地图”。从整体角度看一下公司制度层级划分是否明确；制度间的索引是否到位；制度与制度之间是否存在冲突、矛盾或者缺失；制度是否有不符合公司目前组织架构/部门架构或其他实际的描述（例如：以前架构及制度中描述为“办公室”，但组织架构调整后成为“总务部”，但制度中仍未调整等情况）等。

然后就是一个我们经常提到的问题，公司是否有制度管理的根本大法：《制度管理制度》。各部门的制度是否都按照《制度管理制度》的要求进行编制，并且定期进行检查和修订。不过如果公司没有建立《制度管理制度》，各部门也没有及时修订制度，或者说都自说自话修订，没有统一的要求，这算不算是设计缺陷？

除了制度，我们还需要关注什么？<<<<

上述所提到的都是企业制度设计上的问题，根据法规的内容与制度相关的可以算作是设计缺陷。但是企业的内部控制除了制度之外，还有几个关键的要素：流程图、表单、授权表。那么在这些方面如果发生问题，算是设计缺陷吗？

例如在盘点的过程中，经调研后发现盘点表上没有设计监盘人签字。于是业务部门在操作的时候也就不让监盘人签字了。那么这样的问题属于设计缺陷吗？

诸如此类，如果问题发生在流程设计本身或者授权的合理性上，算不算是设计缺陷呢？

设计缺陷如何进行重要性判定<<<<

我国《企业内部控制基本规范》及其配套指引根据缺陷导致企业偏离控制目标的可能性大小将缺陷分为重大缺陷、重要缺陷与一般缺陷。并且给出了相应的解释。但是我们发现这些标准用在执行缺陷上还可以，但是遇到设计缺陷一时却不知如何把握。同样我们列举几种情况，各位可以判断一下这些是否属于内控缺陷，是不是设计缺陷，重要性程度又是什么水平呢？

1.盘点表上没有要求写明盘点结果，没有要求写明盘点日期以及监盘人签字。

2.在《合同审批制度》中，仅仅注明了财务、法务、业务等人员需要对合同进行审核，却没有明确每个人应当具体审核什么内容。

3.在《采购管理制度》中，明确了需要提供三家候选的供应商进行比选，但没有明确具体由谁来提出这三家候选的供应商。

4.同样是关于费用报销，采购部的制度中写差旅超过800元就要经过采购总监审批，但销售部差旅费要超过2000元才需要销售总监审批。

5.因为企业没有《制度管理制度》，因此存在部门自己更新了自己部门的制度/质量要求，但没有跟内审部门报备，自己就按照自己修订的制度执行了。但内审部门认为其修订的流程是存在风险的。

……

PS：现在有些企业还没有单独设立内审部和内控部，制度编写和检查的两项职责也不一定充分进行了分离，那么如果是同一部门又负责写制度，又负责检查设计缺陷的话，如何保证能检查出问题呢？

PS2：如果企业在一年内组织架构和业务没有发生太大的变化，那么去年经过内审没有发现设计缺陷，今年是否可以不查？或者也认为今年没有缺陷呢？