内部控制手册第2册-风险评估

xx市行政事业单位内部控制管理手册

第二册风险评估

二O一八年二月

修订记录类别：A-增加；M-修改；D-删除

目录

一、风险的定义及分类 (1)

（一）风险的定义 (1)

（二）风险的分类 (1)

（三）风险评估定义 (2)

（四）风险评估程序 (2)

（五）风险评估的目标 (2)

二、职责分工 (2)

（一）内部控制领导小组 (2)

（二）主责部门 (2)

（三）协作部门 (3)

三、风险评估程序 (3)

（一）目标设定 (3)

（二）风险识别 (3)

（三）风险分析 (4)

（四）风险应对 (7)

四、风险评估范围 (9)

（一）单位层面风险评估 (10)

（二）业务层面风险评估 (10)

五、风险评估操作流程 (12)

（一）成立风险评估组织 (12)

（二）计划阶段 (12)

（三）风险评估阶段 (12)

（四）整改阶段 (13)

一、风险的定义及分类

（一）风险的定义

风险，通常是指潜在事项的发生对目标实现产生的影响。本手册所关注的风险主要包括：经济活动不合法或不合规的风险；国有资产流失、资源使用效益低下的风险；财务信息不真实、不完整的风险；发生舞弊或腐败现象的风险以及其他风险。

（二）风险的分类

单位面临的风险可以分为单位层面风险和业务层面风险。

单位层面风险主要包括以下方面：

组织架构风险：内部机构设置不合理、部门职责不清晰、内部控制管理机制不健全等情况导致的风险。

内部控制风险：内部控制组织机构、工作机制、工具方法、内部审计等不健全导致的风险。

经济决策风险：经济活动决策的决策、执行、监督等未能有效分离，重大事项缺乏集体决策机制、决策机制不科学，决策程序不合理或决策未执行导致的风险。

人力资源风险：岗位职责不明确，关键岗位胜任能力不足，关键岗位不相容职务未分离，未进行定期轮岗或补偿性检查、监督等控制措施不足等导致的风险。

会计机构：会计机构不健全，未落实执行事业单位会计准则、会计制度，未实行会计电算化等导致的风险。

信息系统：信息系统未归口管理，关键岗位用户权限不适当，重要数据未定期备份，未落实防毒防泄密措施等导致的风险。

安全管理风险：安全防范不到位，未层层落实安全责任，未制定安全管理机机制产生的风险

业务层面风险主要包括以下方面：

业务层面的风险主要包括预算管理风险、收支管理风险、政府采购管理风险、资产管理风险、建设项目风险、合同管理风险，教学管理风险等。

（三）风险评估定义

风险评估是量化测评风险发生的可能程度及其造成的后果，识别及分析影响单位控制目标实现的因素的过程，是风险管理的基础。在风险评估中，既要识别和分析对实现控制目标具有阻碍作用的风险，也要发现对实现目标具有积极影响的机遇。

（四）风险评估程序

风险评估流程所涉及的主要工作包括：目标设定、风险识别、风险分析和风险应对。

（五）风险评估的目标

识别与控制目标相关的风险；

根据风险分析的结果，制定风险应对策略，将风险控制在可控的范围内；

提升单位整体对风险的承受能力以及业务层面的可接受风险水平。

二、职责分工

（一）内部控制领导小组

内部控制领导小组是单位内部控制与风险评估工作的决策机构，由局长担任组长，成员包括各分管副局长，以内部控制小组的形式开展工作。其职责主要包括：

1、审议批准内部控制和风险评估工作方案；

2、审议批准内部控制和风险评估工作成果；

3、批准内部控制整改方案；

4、对内部控制和风险管理工作中的重大事项进行决策；

5、指导、监督内部控制和风险评估中各部门的工作。

（二）主责部门

计划财务科作为单位内部控制工作小组办公室，在风险评估流程中承担的主要职责包括：

1、拟定风险评估的标准，报内部控制领导小组批准；

2、拟定风险评估工作方案，报内部控制领导小组批准；

3、依照风险评估工作方案，组织实施本单位的风险评估工作，指导和监督本单位各部

门开展流程梳理及风险评估工作；

4、协调外部中介机构、本单位各部门在风险评估工作中的关系；

5、负责汇总整理流程梳理及风险评估结果；

6、负责组织外部中介机构针对风险评估结果提出内部控制整改措施；

7、负责组织本单位各部门针对内部控制整改措施展开讨论和意见反馈；

8、负责拟定风险评估相关的工作报告及内部控制整改方案，并向内部控制领导小组汇报；

9、负责组织落实本单位内部控制整改方案。

（三）协作部门

本单位内其他各部门作为内部控制工作小组成员，在风险评估工作中，应接受计划财务科的组织、协调、指导和监督，主要履行以下职责：

1、按照风险评估工作方案的要求，开展本部门的流程梳理及风险评估工作；

2、与外部中介机构就风险评估结果及初步的整改措施进行沟通、确认；

3、做好本部门的风险管理信息收集及传递工作；

4、按照审批后的内部控制整改方案，落实整改措施。

三、风险评估程序

（一）目标设定

开展经济活动风险评估，首先应当确定各项业务活动的控制目标。各项业务活动的控制目标总体上与内部控制的整体目标相一致，都包括业务活动合法合规、资产安全和使用有效、财务信息真实完整、有效防范舞弊和预防腐败、提高公共服务的效率和效果等。但由于各项业务活动各有特点，所以各项业务活动的控制目标也有所侧重。

（二）风险识别

风险识别是对本单位各种不确定因素进行梳理、汇总，形成风险点清单。本单位设计和选择适当的风险识别方法，分别从单位层面和业务层面，动态识别影响本单位目标实现的各种不确定性因素。

带负面影响的因素代表风险，需要对其分析和应对；带积极影响的因素代表机遇，在制

定目标和政策实施过程中对其加以考虑并把握。

单位层面风险识别主要从组织、机制、制度、岗位和信息系统入手，主要内容包括：内部控制工作的组织情况，内部管理制度和制衡机制的建立、执行情况，内部控制关键岗位人员的管理情况，财务信息的编报情况以及信息技术的运用情况等。

业务层面风险识别从梳理业务流程、明确业务环节入手，主要内容包括：各项经济活动的业务流程是否清晰合理，流程中相关岗位的职责权限是否明确，不相容岗位是否相互分离；每个环节的授权审批是否科学完整，相关信息是否得到全面记录；各项管理要求是否在内部管理制度中予以明确，各项制度的执行是否有效，关键控制措施是否得到落实。

（三）风险分析

识别风险后，需要采用定量或定性的方法进一步分析风险发生的可能性和对单位目标实现的影响程度，以便为制定风险应对策略、选择应对措施提供依据。分析的内容主要包括：风险的可能性分析和影响程度分析。风险分析的目的就是对识别的风险进行排序，确定内部控制需要重点关注和优先控制的风险点。单位应当根据风险分析的结果，结合风险承受度，确定风险应对策略。

风险评估采用定性与定量相结合的方法。在内部控制建设阶段，主要以定性分析为主；在内部控制评价阶段，以定性分析结合定量分析为手段进行风险评估。定性方法包括问卷调查、集体讨论、专家咨询、情景分析、政策分析、由专人主持的工作访谈和调查研究等；定量方法包括统计推论、计算机模拟、失效模式与影响分析、事件树分析等。

风险的可能性分析及评价标准

对风险的可能性分析根据风险的具体情况，可以采用定性及定量评估方法。定性方法主要从日常管理中可能发生的潜在风险进行分析，并确定不同的可能性尺度。定量方法主要是通过历史数据统计出一定时期内风险发生概率作为标准进行评估。

按照定性与定量的分析方法对风险发生的可能性确定五个级别，分别是：几乎不可能、不太可能、可能、很可能、几乎确定五个级别，依次对应1至5分。具体的划分标准如下表：

风险发生的可能性评估标准

风险影响程度及评价标准

风险影响程度是指风险事件发生对单位所造成的影响的广度与深度。对于风险影响程度也确定五个级次，分别为不重要、次要、中等、主要、重大五个级别，依次对应1至5分。

对风险事件所造成的影响主要从法律法规的遵循、对其他日常管理控制目标的影响及资产损失三个维度进行评估。考虑法律法规的遵循及其他日常管理控制目标的影响时，主要采用定性的方法确定风险影响程度的级别；考虑资产损失时主要采用定量的方法，以造成的资产损失的金额大小为参照指标，确定风险影响程度的级别。具体的划分标准如下表：

风险影响程度评估标准

对风险的排序

对风险的排序采用风险坐标图的方法，风险坐标图主要是把风险发生可能性的高低、风险发生后对控制目标的影响程度，作为两个维度绘制在同一个平面上（即绘制成直角坐标系）。

绘制风险坐标图的目的在于对多项风险进行直接的比较，从而确定风险管理的优先顺序和策略。

风

险发生可能性

风险的影响程度

风险发生的可能性与风险的影响程度两个维度，在风险坐标图可将识别的风险划分为极低、低、中、高、极高五个区域。针对相关风险在风险坐标图中的坐标，选择相应的风险应对策略。

（四）风险应对

风险应对是指在风险分析的基础之上，针对******所存在的风险提出各种风险解决方案，经过分析论证与评价从中选择最优方案并予以实施的过程，风险应对的策略一般有四种：风险规避、风险降低、风险分担、风险承受。选定应对策略以后还应当有针对性的选择控制

方法。

1、风险规避策略

风险规避策略即通过评估后，对于超出可承诺范围的风险，通过放弃或者停止与该风险相关的业务活动，以避免和减轻损失的策略。

当风险造成的损失不能由该项目可能获得的净收益予以抵消时，避免风险是最可行、最简单的办法。

风险规避策略优势：有效避免了可能遭受的风险损失；可以将有限的资源运用到风险效益比更佳的项目上。

风险规避策略的局限性：

只有风险可以避免的情况下，避免风险才有效果；

有些风险无法避免，如市场风险、政治影响等；

有些风险虽然可以避免，但成本过大；

事事都采取避免风险的态度可能对单位产生安于现状、不求进取的风气。

2、风险降低策略

风险降低策略是指在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。降低风险主要有两方面：

控制可能导致风险的因素，降低风险发生的概率；

设置应急机制，一旦发生风险，降低风险损害程度。

3、风险分担策略

风险分担策略是指准备借助他人力量，采取业务分包、购买保险等方式，将风险控制在风险承受度之内的策略。风险分担与风险降低类似，也要将剩余风险降低到与期望的风险相协调的水平。

风险分担策略主要措施：包括业务分包、保险、出售以及合同中的转移责任条款。

4、风险承受策略

风险承受策略是指对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。

风险承受方式：

无计划的单纯自留，主要是指对未预测到的风险所造成损失的承担方式；

有计划的自发保险，是指对已预测到的损失的承担方式，如资产减值准备的提取、坏账

准备的提取、对待处理的市场价值很小的一些设备可不采取保管措施等。

风险承受的优势：成本较低，有利于资源的运用。

风险承受的劣势：

可能的巨额亏损；

可能更高的成本费用；

获得服务种类和质量的限制；

可能造成员工关系紧张。

5、风险应对策略的选择

根据风险坐标图中对风险的排序，相应的风险应对策略为：

针对低风险区域：承担该区域中的各项风险并不再增加控制措施。

针对中风险区域：严格控制该区域中的各项风险并专门补充制定各项控制措施。

针对高风险区域：确保规避和转移该区域中的各项风险且优先安排实施各项防范措施。

四、风险评估范围

风险评估的范围应该从两个不同的层面进行分别确定：一是单位层面风险评估，二是业务层面风险评估。

（一）单位层面风险评估

单位层面风险评估指站在单位的整体上对内部控制工作的组织、机制建设、制度完善、关键岗位工作人员的管理、财务信息的编报等方面的风险进行评估。单位层面的合理的制度安排和机制设计，是营造良好的内部控制氛围、使具体内部控制措施得以有效实施的重要保证。

进行单位层面的风险评估时，重点关注以下方面：

内部控制工作的组织情况。包括内部控制的组织结构是否健全，内部控制牵头部门、协作部门等的职责是否明确；内部控制中的沟通协调机制是否完善。

内部控制机制的建设情况。包括业务活动的决策、执行、监督是否实现有效分离；权责是否对等；是否分别建立、健全重大及一般事项的议事决策机制、岗位责任制、内部监督等机制。

内部管理的完善情况。包括内部管理制度是否健全；执行是否有效。

内部控制关键岗位工作人员的管理情况。包括关键岗位是否建立岗位责任制；有关的不相容职务是否进行识别并进行有效分离；关键岗位是否定期轮岗，不具备轮岗条件的是否进行定期的检查、监督；人员是否具备相应的资格和能力等。

财务信息的编报情况。按照国家统一的会计制度对经济业务事项进行账务处理，按照国家统一的会计制度编制财务会计报告，按照财政部门的规定编制和报送预决算报告和预算执行情况的报告等。

其他情况。

（二）业务层面风险评估

业务层面风险评估指对单位的预算管理、收支管理、政府采购管理、资产管理、建设项目管理、合同管理等各项经济活动的风险进行的评估，对业务层面进行的风险评估，需要从梳理各项经济活动的业务流程、明确业务环节入手，进行目标设定、风险识别、风险分析、风险应对，重点关注以下方面：

预算管理情况。包括预算编制、预算内部批复、预算执行、决算和绩效评价等环节。在预算编制环节，主要的风险是认为预算编制仅是财会部门的工作，业务部门不参与其中，导致预算编制不科学、不合理，业务活动与其财力支持相脱节。在预算内部批复环节，主要的风险是没有按照法定程序批复的预算在单位内部进行指标分解、审批下批，内部预算追加调

整程序不规范。在预算执行环节，主要风险是未按照规定的额度和标准执行预算，资金收支和预算追加调整随意无序，产生无预算支出、超预算支出等情形。在决算和绩效评价环节，主要的风险是决算编制和绩效评价不及时、不准确，决算结果没有得到有效运用，没有起到事后控制的效果。所以对预算业务进行风险评估时，应当重点关注：在预算编制过程中，单位内部各部门间沟通协调是否充分，预算编制与资产配置是否相结合、与具体工作是否相对应；是否按照批复的额度与开支范围执行预算，进度是否合理，是否存在无预算、超预算支出等问题；决算编报是否真实、完整、准确、及时等。

收支管理情况。包括收入是否按收费规定的项目和标准收取；是否实现归口管理；有关收入和支出的不相容职务是否有效分离；有关收入的合同、票据等是否及时提供给财会部门进行核对以确保“应收尽收”；是否按照规定保管和使用印章和票据等；发生支出事项时事前审核是否严格；是否按照规定审核各类凭据的真实性、合法性，是否存在使用虚假票据套取资金的情形；支出的审核职责、审批权限是否明确，审核流程是否合理；是否按照规定使用的会计准则对收支情况进行核算等。

政府采购管理情况。包括采购、资产管理和预算编制部门是否缺乏沟通协调，政府采购预算编制不合理；采购需求审核是否严格；采购业务是否归口管理；是否按照预算和计划组织政府采购业务；采购方式、采购价格、供应商的选择等是否符合有关规定；是否执行验收程序；是否按照规定保存政府采购业务相关档案。

资产管理情况。包括货币资金、实物资产、无形资产、对外投资；主要考虑是否建立有效的资产管理制度和信息系统；资产处置是否执行严格的审批程序；资产是否实现归口管理；资产的使用和保管责任是否明确；资产验收的程序是否恰当；资产的入库及领用发出是否进行登记、统计；资产是否进行实物标识和台账控制；是否定期对资产进行清查盘点并形成盘点报告；对账实不符的资产、滞留无用的库存是否有相应的处置程序。

建设项目管理情况。包括前期研究论证是否充分；施工设计和项目投资是否有效管控；竣工验收是否规范；是否按照概预算投资；是否严格履行审核审批程序；是否建立有效的招投标控制机制；是否存在截留、挤占、挪用、套取项目资金的情形；是否按照规定保存项目相关档案并及时办理移交手续。

合同管理情况。包括合同是否实现归口管理；应签订合同的经济活动范围和条件是否明确；合同签订前是否进行法律审核；合同签订是否经预算审核；合同审批权限、签署权限是否明确；合同用印是否规范，并进行用印登记；合同纠纷是否处理得当；是否有效监控合同

履行情况；合同归档是否及时、完整。

其他情况。

五、风险评估操作流程

单位应每年进行一次经济活动风险评估，对经济活动中存在的风险进行全面、系统和客观的评估。国家政策法规及部门规章、外部经济环境、单位内部经济活动或管理要求、标准等发生重大变化的，应随时对经济活动的风险进行重估。

（一）成立风险评估组织

根据单位实际情况确定由计划财务科牵头，发起召开会议，成立本单位的风险评估组织，包括内部控制领导小组及内部控制工作小组，其职责分工参见前述部门职责分工中的有关内容。

（二）计划阶段

风险评估工作由计划财务科牵头组织实施。计划财务科于每年第一季度末，制订当年度的《20XX年度风险评估工作计划》，征求内部控制工作小组意见并经单位内部控制工作小组组长审核后，上报内部控制领导小组审议批准，组织开展本单位的风险评估工作。

《20XX年度风险评估工作计划》内容应涵盖风险评估工作的组织架构及相应的职责、定期的联络和沟通机制、年度风险评估的工作目标、实施范围、工作内容及重点、各项工作的时间节点要求等。

（三）风险评估阶段

各部门按照前述流程梳理及风险评估的方法，开展业务流程梳理、初始风险信息收集、风险识别、风险评估及风险应对等工作。

1、流程梳理

各部门在计划财务科的指导下，广泛收集和整理本单位的管理和业务流程、配套的管理制度文件、业务表单、未成文或成文的业务处理规则等，对其进行归类、分级，并对其全面性、有效性及是否需要修改做出判断后，交由计划财务科汇总，形成本单位的流程目录。

完成上述工作后，计划财务科及各部门在社会中介机构（如需要）的指导下，根据流程目录，绘制相应的业务流程图。

2、风险识别

在流程梳理的基础上，计划财务科及各科室在社会中介机构（如需要）的协助下，围绕预算管理、收支管理、政府采购、资产管理、建设项目管理以及合同管理等方面，广泛、持续地收集与之相关的风险信息和案例，并对照本校业务流程，识别与本单位业务相关的风险。

3、风险评估和风险应对

完成上述工作后，计划财务科及各部门在社会中介机构（如需要）的协助下，使用《风险评估工作底稿》，按照前述风险评估的方法，对本单位业务相关的风险，根据其发生的可能性及影响程度进行评估和排序后，根据排序结果选择相应的风险应对策略，并制订适用于本单位实际情况的、具体的风险应对措施，由计划财务科汇总，并组织内部控制工作小组讨论。

风险评估过程中，发现重大风险和缺陷（风险排序为“极高”）的，计划财务科应随时发起报告，经内部控制工作小组讨论，内部控制工作小组组长审核后，及时向内部控制领导小组报告，由内部控制领导小组进行确认并立即作出整改措施。

计划财务科于当年度第二季度之前，组织各部门完成风险评估及控制措施的讨论，形成本单位的《20XX年度风险评估与内部控制措施草案》，经内部控制工作小组组长审核后报本单位内部控制领导小组审议。

在风险评估过程中，计划财务科及社会中介机构，负责对风险评估、制订内部控制措施的过程中出现的各类问题进行解释与指导，确保各部门及时完成风险评估工作。

（四）整改阶段

计划财务科根据风险级别及控制措施实施的成本效益原则，拟定《20XX年度内部控制措施整改计划》，经本单位内部控制工作小组讨论确认、内部控制工作小组组长审核后，上报内部控制领导小组审批。各部门按照内部控制领导小组审批后的整改计划，落实整改措施。

《20XX年度内部控制措施整改计划》应落实整改措施的实施部门、整改完成时限、检查部门等，确保整改责任得到明确落实并具有可执行性。

各部门自整改工作开始后，每隔两月向本单位计划财务科书面报告整改措施的落实情况，经计划财务科审核汇总后，向内部控制工作小组组长、内部控制领导小组汇报。

计划财务科不定期抽查各部门对整改措施的执行情况，对照相应流程节点的控制目标，评估内部控制整改措施的实施效果。