中国石化内部控制评价的体系[整理版]

中国石化内部控制评价体系第3章中国石化的内部控制评价体系3．1中国石化集团公司简介中国石油化工集团公司1 7(简称中国石化集团公司或中国石化，英文缩写Sinopec Group)是1998年7月国家在原中国石油化工总公司基础上重组成立的特大型石油石化企业集团，注册资本1306亿元，其控股的中国石油化工股份有限公司(简称中国石化股份公司或股份公司)先后于2000年10月和2001年8月在境外境内发行H股和A股，并分别在香港、纽约、伦敦和上海上市。

目前，中国石化股份公司总股本867亿股，中国石化集团公司持股占75．84％，外资股占19．35％，境内公众股占4．81％。

中国石化集团公司主营业务范围包括：石油炼制；石油石化工程的勘探设计、施工、建筑安装；石油、天然气的勘探、开采、储运(含管道运输)、销售和综合利用；石油化工及其他化工产品的生产、销售、储存、运输；石油石化设备检修维修；汽油、煤油、柴油的批发；技术及信息、替代能源产品的研究、开发、应用、咨询服务；机电设备制造；实业投资及投资管理；白营和代理各类商品和技术的进出口。

宽广的业务范围决定了中国石化集团公司拥有大量的子公司，其现有油田勘探开发、炼油、化工、销售及科研、外贸等全资子公司、控股和参股子公司、分公司等共90余家，经营资产和主要市场集中在中国经济最发达、最活跃的东部、南部和中部地区。

3．2组织架构中国石化按照精简和高效的原则，综合考虑企业性质、发展战略、文化理念和管理要求等因素设置内部组织架构，明确各机构的职责权限，并致力于内部结构紧密化，完善上、中、下游一体化产业链，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责、相互制约、相互协调的工作机制。

目前，中国石化的内部组织架构总体上可划分为三个层次，即：总部、事业(管理)部和企业。

总部在发展战略、综合计划、重大投资、重大资源配置、资金管理、重大科研开发和对外合作等方面承担决策、运行协调、监督检查的职能。

事业部按照业务板块划分的模拟利润中心负责各项经营管理指标的落实，指导企业有效运营以实现公司整体战略目标和经营目标。

企业是事实上的利润中心，在既定的运营模式和机构设置框架下实施具体的业务活动。

中国石化包括控股或全资管理的股份公司、资产公司、油田非上市企业和各类专业公司等单元，具体组织架构如下：3．3内部控制评价体系构建遵照2002年颁布的《萨班斯——奥克斯利法案》(简称萨班斯法案)，中国石化集团公司于2003年按照相关法律法规的要求，吸收借鉴我国石油化工企业几十年来积累的管理方法和成熟经验，参考COSO报告提出的内部控制整体框架，编制了《内部控制手册》(简称内控手册)”。

经过一年多的完善、培训、测试和试运行，2005年1月1日开始在股份公司实施内控制度。

2006年，集团公司非上市部分也开始试行内控制度，并于2008年1月1月起正式实施。

至此，内控制度基本覆盖了中国石化集团公司整个企业。

内控制度建立以来，中国石化在总部、二级单位(企业)两级管理架构的基础上建立了两级内部控制评价体系19。

总部从管理重点出发，每年根据管理层制定的检查评价方案，组织对内部控制全面或某一方面的检查评价，针对公司重大或重要风险，评价各项目标实现过程中存在的缺陷，及时解决和督促整改。

企业(包括分、子公司)参照总部的要求，每年组织本企业进行综合检查评价，出具内控自查报告上报总部。

中国石化借鉴国际先进做法，结合自身实际，依据国资委《中央企业全面风险管理指引》和国家五部委联合发布的《企业内部控制基本规范》及配套指引，围绕内部控制评价要素，以内部控制评价目的、原则、主体、内容、程序、方法、标准等为主要框架构建内部控制评价体系。

3．3．1内部控制评价的目的检查企业内部控制设计和运行的情况，认定内部控制缺陷，全面评价企业内部控制的健全性和有效性，揭示企业生产经营中存在和可能面临的风险，促进企业完善内部控制，规范经营管理行为，防范风险，提高经营效率和效果。

3．3．2内部控制评价的原则(1)全面性原则。

全面评价企业内部控制设计与运行，涵盖总部和下属企业的各项业务和事项。

(2)重要性原则。

从企业长期战略要求出发，在全面评价的基础上，对重点部门以及业务的重点流程给予充分重视。

(3)客观性原则。

准确揭示企业经营管理的风险状况，对企业实施的内部控制实施细则做出有效评价。

(4)及时性原则。

严格按照要求及时评价，并对评价过程中发现的问题及时上报。

(5)一致性原则。

在组织程序以及方式方法上与评价对象保持高度一致，一经确定，不得随意变更。

(6)以风险为导向原则。

根据风险管理的一般要求，从风险对企业的影响能力来制定相应的内部控制评价方案。

3．3．3内部控制评价的主体中国石化集团公司经理层、股份公司董事会领导企业内部控制评价与考核工作，分别对企业内部控制评价的真实性和完整性负责；负责审议和批准企业内部控制评价与考核办法；认定内部控制评价涉及的重大决策、重大缺陷和缺陷整改；审阅和批准企业内部控制评价报告。

股份公司审计委员会监督股份公司内部控制评价，听取内部控制评价情况汇报，对内部控制评价真实性和完整性负责；认定内部控制评价涉及的重大决策、重大缺陷和缺陷整改；审阅和批准企业内部控制评价报告。

内部控制领导小组负责组织内部控制综合评价工作；组织制定公司内部控制评价与考核办法，审阅和批准年度综合评价与考核方案，审阅内部控制缺陷整改计划，组织编制集团公司、股份公司内部控制评价报告；负责沟通外部审计师内部控制审计结果。

审计局(部)依据公司内部控制评价办法，组织实施现场内部控制评价工作，编制现场评价报告，按规定程序报告股份公司董事会或审计委员会、集团公司总经理班子。

审计局(部)及时与企业改革管理部沟通现场评价结果，反馈现场评价报告及相关评价资料。

企业改革管理部作为公司内部控制综合监督工作的归口管理部门，负责公司内部控制日常监督和专项监督；结合审计年度内部控制综合评价、日常监督和专项监督，编制集团公司、股份公司年度《内部控制评价报告》；负责协调外部审计师内部控制审计工作。

总部各职能部门、事业部(管理部)每季度开展内部控制测试，积极配合企业各项内部控制评价，督促本部门管理范围内的所属企业内部控制缺陷整改。

中国石化下属企业建立内部控制日常监督机制，结合本单位内部控制，制定内部控制评价与考核办法。

内部控制管理部门(内审部门参与或独立开展)每年组织内部控制综合评价，对发现的问题和缺陷制定整改方案，并督促整改，编制年度内部控制评价报告，报告内部控制领导小组。

根据内部控制评价结果，下属企业将内部控制执行情况纳入企业绩效考核体系，制定具体奖惩措施考核兑现；配合内外部各种内部控制评价工作。

内部控制责任部门(单位)每季度开展内部控制测试，内部控制管理机构应根据季度内部控制测试情况，编制内部控制测试14报告，经企业内部控制管理部门负责人签字后，于每季度末15日内报企业改革管理部。

年度内部控制评价报告经内部控制领导小组组长签字后，于次年2月1日前报企业改革管理部。

3．3．4内部控制评价的内容评价工作组依据内部控制手册，以查找内部控制缺陷和风险为重点，对企业内部控制设计和运行的有效性进行全面评价，填写内部控制评价底稿，出具内部控制评价报告。

设计的有效性主要是评价内部控制设计是否能够合理保证内部控制目标的实现。

运行的有效性主要是评价内部控制是否按照规定程序得到正确执行。

内部控制评价的内容主要包括三个方面：公司层面的控制情况、业务层面的控制情况和内部控制缺陷认定。

公司层面的控制存在于企业整体层面，对业务层面实施的控制措施产生普遍、深远的影响，能够体现企业的风险管理理念、风险承受能力、企业治理监控水平、对道德价值观的遵守、人员素质与发展水平以及职责权力的分工。

公司层面的控制情况从以下四个方面进行评价：(1)内部环境。

主要是以企业组织架构、权责分配、发展战略、人力资源、企业文化、社会责任、反舞弊、内部审计的控制内容为依据，对内部环境设计和运行有效性作出评价。

组织架构重点关注企业领导班子成员分工是否明确合理，部门和岗位职责是否清晰并相互制衡。

权责分配重点关注企业是否建立自上而下的权责分配关系，形成恰当的制衡和授权机制。

发展战略重点关注企业的发展目标是否突出主业增强核心竞争力。

人力资源重点关注企业是否建立科学的人力资源管理制度和运行机制。

企业文化重点关注企业文化建设是否与制度建设有效统一，能够为内部控制有效性提供保证。

社会责任重点关注企业安全生产、产品质量、环境保护、节能减排等社会责任是否履行。

反舞弊重点关注企业是否建立健全反舞弊机制。

内部审计重点关注内部审计组织机构设立的合理性、科学性等。

(2)风险评估。

重点关注企业是否建立持续有效的内部和外部风险信息搜集、风险识别机制，是否按照风险评估的程序、方法识别分析风险，评估风险等级，建立风险清单，制定应对策略；各项控制措施是否落实责任部门和责任人。

(3)信息与沟通。

重点关注企业是否建立信息保密制度，防止信息泄露；与企业外部之间信息沟通是否及时、有效，做到信息公开透明；信息系统建设是否与企业经营相适应，保证系统运行安全稳定。

(4)内部监督。

重点关注企业重大缺陷是否追究相关责任；对发现的内部控制问题和内部控制缺陷是否及时分析原因，组织整改，实施考核。

业务层面的控制情况从企业适用的内部控制矩阵及控制点的设计及执行情况进行评价，共包含20类业务，分别是资金活动、采购及生产活动、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、关联交易管理、税务管理、人力资源管理、HSE管理、产品质量管理、信息资源管理、信息系统管理、信息披露和内部审计。

重点关注企业内部控制是否足够覆盖企业的各类风险，内部控制矩阵及控制点的设计是否能够有效控制相关风险并得到有效执行。

评价工作组结合被评价企业板块业务特点确定重要的管理及业务内部控制矩阵，进行重点关注，其中：油田企业重点关注原油销售业务、工程技术服务业务、勘探开发项目管理、油气生产成本管理、其他业务成本管理等；炼化企业重点关注原油采购业务、一般产品销售业务、炼化生产成本管理等；销售企业重点关注成品油采购业务、成品油直销及分销业务、成品油零售管理、润滑油销售业务、加油卡管理、加油卡非油品业务等。

内部控制缺陷是指内部控制的设计存在漏洞、不能有效防范错误和舞弊，或者内部控制的运行存在弱点和偏差，不能及时发现、纠正错误与舞弊。

内部控制缺陷包括设计缺陷和运行缺陷。

设计缺陷是指企业缺少为实现控制目标所必须的控制，或者现存控制设计不适当，即使正常运行也难以实现控制目标。

运行缺陷是指公司设计有效的内部控制，没有按照设计意图运行，或者没有获得必要授权、缺乏胜任能力导致无法有效实施控制。