航天工程：内部控制评价手册_股票频道

内部控制评价手册

航天长征化学工程股份有限公司

二○一五年十二月

第一章总则 .......................................................... 1

第一节编制目的............................................................................................................... 1

第二节编制思路............................................................................................................... 1

第三节编制依据............................................................................................................... 1

第四节适用范围............................................................................................................... 2

第五节名词术语解释 ....................................................................................................... 2

第二章内部控制评价目标和原则、要求和类型 .............................. 3

第一节内部控制评价的目标 ........................................................................................... 3

第二节内部控制评价的原则 ........................................................................................... 3

第三节内部控制评价基本要求 ....................................................................................... 4

第四节内部控制评价类型 ............................................................................................... 4

第五节内部控制评价周期 ............................................................................................... 5

第三章组织机构与职责分工 .............................................. 6

第一节内部控制评价的组织结构 ................................................................................... 6

第二节内部控制评价的职责分工 ................................................................................... 6

第四章内部控制评价内容 ................................................ 8

第一节内部环境评价内容 ............................................................................................... 8

第二节风险评估评价内容 ............................................................................................. 11

第三节控制活动评价内容 ............................................................................................. 13

第四节信息与沟通评价内容 ......................................................................................... 13

第五节内部监督评价内容 ............................................................................................. 14

第五章内部控制评价程序 ............................................... 16

第一节总述................................................................................................................. 16

第二节内部控制评价准备阶段 ..................................................................................... 17

第三节内部控制评价实施阶段 ..................................................................................... 19

第四节内部控制评分及等级评定阶段 ......................................................................... 21

第五节汇总评价结果、编制评价报告阶段 ................................................................. 24

第六节内部控制评价报告反馈和跟踪阶段 ................................................................. 25

第六章内部控制评价方法 ............................................... 26

第一节总述................................................................................................................... 26

第二节穿行测试评价法 ................................................................................................. 28

第三节控制测试评价法 ................................................................................................. 30

第七章内部控制评价工作责任 ........................................... 35

内部控制评价手册

第一章总则

第一节编制目的

为规范内部控制运行评价管理,强化内部控制激励约束机制,保

障内部控制体系长期有效运行,航天长征化学工程股份有限公司(以

下简称“ 航天工程公司 ”)制订《航天长征化学工程股份有限公司

内部控制评价手册》(以下简称“本手册”)。本手册所称内部控制评

价,是指按照统一的程序、方法和标准,对内部控制的有效性进行全

面评价,形成评价结论并出具评价报告的过程。

第二节编制思路

以强化风险控制力为主线,按照《航天长征化学工程股份有限公

司内部控制管理手册》的要求,从提高经营效率的角度出发,根据风

险评估结果,将主要风险细化到具体的管控流程,制定相应的控制措

施和检查方法,作为各责任部门、单位实施具体管理的标准。各责任

部门、单位通过对风险控制效果和效率的自我评价和检查,持续改进

管控活动。

第三节编制依据

一、《企业内部控制基本规范》(财政部、审计署、中国保险监督

管理委员会、中国银行业监督管理委员会、中国证券监督管理委员会,

财会[2008]7 号);

二、《企业内部控制应用指引》和《企业内部控制评价指引》(财

政部、审计署、中国保险监督管理委员会、中国银行业监督管理委员

会、中国证券监督管理委员会,财会[2010]11 号);

内部控制评价手册

三、《关于加快构建中央企业内部控制体系有关事项的通知》(国

资发评价[2012]68 号);

四、《中央企业全面风险管理指引》(国资发改革[2006]108 号);

五、《中央企业重点财务内部控制检查手册(试行)》(国资委);

六、《航天长征化学工程股份有限公司内部控制管理手册》及管

理制度等。

第四节适用范围

本手册适用于航天工程公司。下属分公司、子公司可参照执行。

第五节名词术语解释

一、内部控制有效性,是指单位建立与实施内部控制对实现控制

目标提供合理保证的程度,包括内部控制设计的有效性和内部控制运

行的有效性。

二、内部控制设计的有效性,是指为实现控制目标所必需的内部

控制要素都存在并且设计适当。

三、内部控制运行的有效性,是指现有内部控制按照规定程序得

到了正确执行。

四、检查型控制,是针对某些环节的不足或缺陷而采取的控制措

施。检查型控制的目的是排除损失、错误和舞弊,把风险水平限制在

一定的范围内,如岗位轮换、不定期盘点、突击检查等。

五、内部控制缺陷,是指单位内部控制的设计或运行无法合理保

证内部控制目标的实现。

内部控制评价手册

第二章内部控制评价目标与原则

第一节内部控制评价的目标

内部控制评价的目标是通过评价内部控制体系的健全性、合理性

和有效性,促使公司切实加强内部控制体系建设并认真执行,保证内

控体系得到持续、有效的改进。具体评价目标如下:

一、强化内部控制意识,健全内部控制机制,严格落实各项控制

措施,确保内部控制体系有效运行;

二、提高风险管理水平,推动发展战略和经营目标的实现;

三、增强业务、财务和管理信息的真实性、完整性和及时性;

四、促进各部门、各单位严格遵守国家法律法规和公司制定的各

项内部管理制度。

内部控制评价应从健全性、合理性和有效性三个方面进行:

一、健全性:过程和风险是否已被充分识别,过程和风险的控制

措施是否得到明确规定并得以保持;

二、合理性:控制措施能否实现控制目标;

三、有效性:控制措施能否得到有效执行。

第二节内部控制评价的原则

内部控制评价应遵循以下原则:

一、全面性原则。评价工作包括内部控制的设计与运行,评价范

围包括公司的所有部门和岗位;

二、一致性原则。评价的准则、范围、程序和方法等须保持一致,

以确保评价结果的客观、可比;

三、客观性原则。评价工作应准确地揭示经营管理的风险状况,

内部控制评价手册

如实反映内部控制设计与运行的有效性,准确地揭示经营管理中存在

的问题和风险状况,在内部控制报告中如实反映、准确描述内部控制

缺陷,客观评价内部控制设计与运行的有效性;

四、以风险为导向原则。评价工作以风险为基础,根据风险发生

的可能性和对单位内部控制目标影响的程度确定需要评价的重点业

务单元、重要业务领域和重要流程环节;

五、重要性原则。评价工作在全面性的基础上,关注重要业务单

元、重大业务事项和高风险领域,即:

(一)在全面开展评价工作的基础上,对公司的重要流程进行内

部控制测试;

(二)对《企业内部控制应用指引》和《航天长征化学工程股份

有限公司内部控制管理手册》强调的控制点进行内部控制测试,突出

重点;

六、及时性原则。评价应按照规定的时间间隔持续进行,当经营

管理环境发生重大变化时,应及时进行重新评价。

第三节内部控制评价基本要求

公司管理层应根据国家有关法律法规和监管规则以及公司的要

求,结合实际情况,围绕战略目标、经营管理的效率和效果目标、财

务报告目标、资产安全目标、合规目标等单个或整体控制目标的实现

程度,组织实施对公司内部控制系统设计和运行的有效性进行定期或

不定期(每年至少一次)的调查、测试、分析、评估和改进,以合理

保证公司目标的实现。

第四节内部控制评价的类型

内部控制评价包括年度评价和专项评价。年度评价是指按照公司

年度内部控制评价的要求,结合公司内部控制目标,对公司年度内建

内部控制评价手册

立与实施内部控制的有效性进行的评价;专项评价是公司在特定时点

对特定范围的内部控制的有效性进行的评价。

第五节内部控制评价周期

公司初次对某一部门进行内部控制评价时,须覆盖内部控制的所

有方面。再次评价时,可根据监管重点、评价期内内部控制的实际情

况等确定评价的范围。评价周期为一个自然年度,一个评价周期内应

覆盖内部控制的所有方面。但是,当某部门发生重大违法违规行为、

经营状况出现严重问题、管理层重大变动、重大的并购或处臵、重大

的营运方式改变、业务财务信息处理方式改变,或公司认为必要时,

可以对其内部控制实施专项评价。

内部控制评价手册

第三章组织机构与职责分工

第一节内部控制评价的组织结构

一、建立健全和有效实施内部控制,并评价其有效性是公司董事

会审计委员会(以下简称审计委员会)的责任。

二、在公司审计委员会领导下,成立内部控制评价工作领导小组

和工作小组,负责内部控制评价具体实施工作。内部控制评价工作小

组由内部控制评价领导小组以审计部为主体综合实际工作需要组织

成立。内部控制评价工作小组成员应具备丰富的业务管理经验,并且

熟练掌握评价的方法和工具。

【组织机构】

内部控制评价领导小组:

组长:总经理副组长: 主管内控副总经理

组员:相关公司领导以及相关职能部门

第二节内部控制评价的职责分工

一、公司审计委员会的主要职责:

(一)确保内部控制的建立健全和有效实施;

(二)批准内部控制运行评价的相关管理制度;

(三)审核并批准公司内部控制评价工作计划及内部控制评价报

告;

(四)内部控制缺陷的最终认定;

(五)审定内部控制重大缺陷与重要缺陷整改意见。

二、内部控制评价领导小组的主要职责:

(一)审议内部控制评价工作计划;

内部控制评价手册

(二)审议年度内控自我评估报告,并提出相关意见和建议;

(三)了解单位日常内部控制风险监控结果,根据内控缺陷情况,

审议内控整改方案和措施;

(四)协调和解决单位跨部门的内部控制评价过程中出现的重大

事项;

(五)听取和了解内控整改过程中出现的相关重大事项,并按照

审计委员会授权进行决策;

(六)组织、协调、指导和监督公司内部控制评价工作开展;

三、内部控制评价工作小组的主要职责:

(一)负责组织实施内部控制评价;

(二)制定与实施公司内部控制评价工作方案;

(三)汇总公司内部控制评价工作结果并向内部控制评价领导小

组及时汇报;

(四)负责组织和领导内部控制评价的现场测试工作,编制《内

部控制评价报告》;

(五)负责汇总分析内部控制评价结果,跟踪内部控制缺陷的整

改落实情况。

四、其他相关部门是内部控制评价的参与单位,其主要职责包括:

(一)参与本部门内部控制自我评估工作;

(二)实施部门内控自我评估,对本部门内部控制缺陷及时向内

部控制评价小组汇报;

(三)提供可靠信息资料配合内部控制评价小组进行内部控制测

评和检查工作。

内部控制评价手册

第四章内部控制评价内容

第一节内部环境评价内容

一、治理结构、内部机构设臵与权责分配

(一)是否根据国家有关法律法规的相关规定,建立包括董事会、

监事会、总经理办公会在内的治理结构;

(二)是否明确董事会、监事会、总经理办公会的职责权限、议

事规则和工作程序;

(三)公司领导和其他管理人员的职责分工是否明确;

(四)重大决策、重大事项、重要人事任免及大额资金支付业务

等是否实行集体决策审批或者会签制度,是否存在个人单独进行决策

或者擅自改变集体决策意见的情况;

(五)是否设臵业务重复或职能重叠的机构,管理层次是否合理;

(六)是否对各部门的职能进行科学合理的分解,确定各具体职

位的名称、职责、岗位要求和工作内容等,编制岗(职)位说明书,

明确各个岗位的职责范围、主要权限、任职条件和沟通关系;

(七)在确定职权和岗位分工过程中,是否体现不相容职务相互

分离的制衡要求。不相容职务通常包括:可行性研究与决策审批,决

策审批与执行,执行与监督检查;

(八)是否制定并公布组织结构图、业务流程图、岗(职)位说

明书和授权手册等内部管理制度或相关文件,使员工了解和掌握组织

机构设计及权责分配情况,促进各层级员工明确职责分工,正确行使

职权;

(九)是否根据发展战略、业务重点、市场环境、监管要求等因

素的变化,对组织机构及时进行优化调整。组织机构调整是否充分听

取员工的意见,并按程序进行决策和审批;

内部控制评价手册

二、发展规划

(一)发展规划目标是否清晰,定位是否准确,是否经过科学充

分的论证,是否符合实际情况;

(二)年度计划指标是否与公司发展规划一致,是否得到及时发

现和纠正;

(三)是否根据发展战略调整或市场环境等外部条件变化,对发

展规划进行调整;

三、内部审计

(一)内部审计机构设臵是否合理,人员配备是否充足,工作独

立性是否能够得到保证;

(二)内部审计机构是否结合内部审计监督,对内部控制执行的

有效性进行监督检查;

(三)内部审计机构对监督检查中发现的内部控制缺陷,是否按

照内部审计工作程序要求进行报告;

(四)内部审计机构对监督检查中发现的内部控制重大缺陷,是

否有权直接向总经理报告;

四、人力资源管理

(一)是否根据发展战略,结合人力资源现状和未来需求预测,

制定人力资源总体规划,优化人力资源整体布局,确保人力资源供给

和需求达到动态平衡,实现人力资源合理配臵;

(二)是否根据人力资源总体规划,结合经营实际需要,制定年

度人力资源计划,按照规定的权限和程序审批后实施;

(三)选拔高级管理人员和聘用中层以下员工,是否遵循“德才

兼备”的原则,重点关注选聘对象的价值取向和责任意识;

(四)是否制定高级管理人员和中层以下员工的能力框架,切实

做到因事设岗、以岗选人,避免因人设事或设岗,确保选聘人员能够

胜任岗位职责要求;

内部控制评价手册

(五)是否通过多种形式促进高级管理人员和中层以下员工的知

识更新,不断提升整体团队的业务能力;

(六)是否设臵科学的绩效考核指标体系,对管理人员和中层以

下员工的业绩进行考核与评价,以此作为确定员工薪酬、晋升、降级、

退出等的重要依据,切实做到严格考核,有奖有惩,强化对整体团队

的激励与约束;

(七)是否制定与绩效考核挂钩的薪酬制度,切实做到薪酬安排

与员工贡献相协调,体现“效率优先、兼顾公平”的原则;

(八)员工退出(辞职、解除劳动合同、退休等),是否符合国

家有关法律法规的规定,退出的条件和程序是否予以明确。管理人员

或核心机密人员退出是否经程序严格审批;

(九)是否定期对年度人力资源计划执行情况进行评估,查找人

力资源管理工作中存在的主要缺陷和不足,采取有效措施,及时加以

改进。

五、社会责任

(一)是否建立了安全责任制,制定安全管理规范及有关操作规

程,并对有关人员进行操作培训;

(二)是否定期开展安全检查及隐患排查工作,并对整改情况进

行验收考核;

(三)是否对职业病防治工作进行了专项检查,并对整改情况进

行落实验收;

(四)是否对各种安全事故制定了有效的应急预案,并定期进行

演练;

(五)是否能积极履行社会公益方面的责任和义务,关心帮助社

会弱势群体,支持慈善事业。

六、企业文化

(一)公司领导是否在文化建设中发挥主导作用,以自身的优秀

内部控制评价手册

品格和脚踏实地的工作作风带动影响整体团队,共同营造积极向上的

文化环境;

(二)员工是否遵守员工行为守则,忠于职守,勤勉尽责;

(三)企业文化建设是否融入日常经营过程,切实做到文化建设

与发展战略的有机结合。公司是否加强对员工的文化教育和熏陶,全

面提升员工的文化修养和内在素质;

(四)是否建立文化评估制度,分析总结文化在公司发展中的积

极作用,研究发现不利于公司发展的文化因素,及时采取措施加以改

进;

(五)企业文化评估,是否重点关注公司核心价值的员工认同感、

公司品牌的社会认可度,以及员工对公司未来发展的信心。

第二节风险评估评价内容

一、目标设定

(一)是否综合考虑市场机会与需求变化、竞争对手状况、可利

用的资源水平和自身优势与弱点等情况,在充分调查研究、征求意见

和分析预测的基础上制定发展目标;

(二)是否根据发展目标制定发展战略。董事会战略委员会对发

展目标和战略规划进行可行性研究和科学论证,形成发展战略建议方

案,并提交董事会审议,审议通过后,报经股东大会批准实施;

(三)是否采取教育培训等有效措施将发展目标和发展战略传递

到内部各个管理层级和全体员工;

(四)是否根据发展目标和发展战略,结合规划期间时间进度安

排,制定阶段性经营目标、年度工作计划和全面预算体系,确保发展

规划分解、落实到业务承接量、资产规模、利润增长幅度、投资回报

要求、技术创新、品牌建设、人才建设、制度建设、企业文化、社会

责任等各个方面;

内部控制评价手册

(五)是否建立战略实施进程和效果的动态监控与报告制度,健

全战略实施相关信息的收集、筛选、分析、处理机制和预警机制,增

强对内外部环境变化的敏感度和判断力;

(六)是否建立发展战略评估制度,加强对战略制定与实施的事

前、事中和事后评估;

(七)经济形势、产业政策、行业状况、竞争格局等外部环境发

生重大变化,以及经营管理内部条件发生重大变化时,是否按规定程

序进行战略调整。

二、风险识别

(一)是否建立风险管理组织机构,明确职责分工和工作程序;

(二)是否明确各部门、各单位的风险信息收集职责,建立信息

收集、整理、加工和利用渠道;

(三)风险的识别是否准确、适当,是否存在重要风险被遗漏的

情况;

(四)是否随着业务和环境的变化针对新的业务和经营环境进行

相应的风险识别工作。

三、风险分析与评价

(一)对风险的成因分析和影响分析是否准确适当;

(二)对风险的重要程度评价是否准确适当。

四、风险应对

(一)风险应对策略是否合理适当,是否根据不同发展阶段和业

务拓展情况进行及时调整;

(二)风险解决方案和应对措施是否充分有效,是否随着风险的

变化及时进行调整。

五、风险预警

(一)风险承受度指标设臵是否准确合理;

(二)风险预警职责是否分工明确;

内部控制评价手册

(三)风险预警是否有效执行。

第三节控制活动评价内容

一、是否按照《航天长征化学工程股份有限公司内部控制管理手

册》(以下简称“内部控制管理手册”)的要求,对业务范围内的各项

业务制定并执行明确而规范的业务流程,以保证各项业务规范运行;

二、是否按照内部控制管理手册的要求,对业务范围内的各项业

务,明确并严格执行相关的控制措施,以有效防范各项风险,确保业

务的正常运转;

三、是否按照内部控制管理手册的要求,明确各部门、各单位的

岗位控制责任,确保各种控制措施落实到部门、岗位;

四、是否按照内部控制管理手册的要求,对业务范围内的各项业

务,制定完善的控制证据(表单)体系,并严格按照要求收集、填制、

传递、审核各种表单,以确保内部控制落实到位,并留有痕迹;

五、是否按照内部控制管理手册的要求,完善各项管理制度,并

对各项制度执行情况实施有效的监督检查。

第四节信息与沟通评价内容

一、信息评价

(一)是否持续识别、收集、处理、报告涉及公司目标实现及经

营管理有效运作的内外部信息,以确保公司领导能够及时、准确了解

业务信息、管理信息、重要风险信息;

(二)关键岗位员工是否充分了解相关信息,确保其有效履行相

关责任和义务;

(三)是否及时、真实、完整的向监管部门报告、披露相关信息;

(四)在出现紧急情况或重大突发事件时,相关信息能否得到及

时报告。

内部控制评价手册

二、沟通评价

(一)是否建立开放、有效的内外部沟通渠道,确保信息及时上

传、下达,并在上下级之间以及平级之间充分交流,使相关人员能够

获取履行职责需要的信息;

(二)是否建立员工反映问题、提出建议的通道;

(三)是否在收到客户、监管部门及其他外部人员反映的情况后,

采取及时适当的应对措施,妥善处理公司与外部的关系;

(四)是否保持相关信息交流与沟通的记录,并考虑信息的安全

性和保密性要求,对信息报告、发布、披露进行授权。

三、反舞弊机制评价

(一)是否将职业道德纳入培训和考核范围;

(二)是否设立举报信箱、电子举报邮箱和举报电话等多种形式

受理对违规和舞弊行为的举报;

(三)是否明确受理和调查违规和舞弊行为的程序,对查实的舞

弊行为是否按照规定进行严肃处理。

第五节内部监督评价内容

一、是否采取相关措施确保各部门员工在日常经营和履行职责的

过程中持续获取必要的、相关的证据以证明内部控制体系发挥功能,

对内部控制健全性、合理性、有效性进行检查、分析,并评估其实施

的效率效果,以实现对内部控制实时动态的持续性监控和控制执行部

门的自我改善;

二、是否定期或不定期对内部控制的健全性、合理性和有效性实

施检查、评价;

三、是否按要求对公司高级管理人员、控股子公司负责人进行经

济责任审计;

四、对持续性监控、独立评估及监管部门评价发现的内部控制缺

内部控制评价手册

陷,是否及时进行整改纠正,是否对整改情况进行跟踪监督,以持续

提高内部控制体系的有效性。

内部控制评价手册

第五章内部控制评价程序

第一节总述

本手册所称的内部控制评价是对公司内部控制设计与运行情况

进行评价,包括组织结构、人力资源、发展战略、资金活动、资产管

理、合同管理、采购、销售等生产经营管理的各项业务和事项。重点

关注经营管理过程中的高风险领域和重要业务事项。

一、内部控制评价的责任主体

内部控制评价的责任主体是审计委员会。审计委员会可指定内部

控制评价领导小组来承担对内部控制评价的领导、监督职责,并通过

授权内部控制评价工作小组执行内部控制评价的具体组织实施工作。

二、内部控制评价的关注重点

公司每年将根据自身的业务变化情况,结合当年国内外环境变化、

监管机构的关注重点、管控重点、公司当年风险评估结果以及以前年

度审核发现的缺陷等情况,适时调整公司各部门、各单位当年的评价

工作内容和重点。一般而言,内部控制评价工作重点主要有:

(一)流程和制度设计的合理性:主要检查制度或流程的设计是

否涵盖了本公司经营管理中需关注的重点问题及重点风险;是否明确

了各项经营活动的管理要求;风险控制措施是否存在缺陷和漏洞,能

否防范经营管理中的不规范行为,有效降低和控制经营管理中的风险;

是否制定了清晰、明确的业务流程,流程的起点、终点以及中间涉及

的各控制点、控制标准、各个岗位间的职责分工是否明确。

(二)流程和制度运行的有效性:主要检查各项经营活动是否已

按制定的流程文档规范执行;实际执行与流程文档的描述存在什么差

异;实际执行中各项流程文档是否有效地涵盖和控制了经营活动中的

主要风险点;各个岗位的相关人员是否理解掌握内控流程文档的控制

内部控制评价手册

要求、本岗位的主要职责、主要风险点以及相应的控制措施;能否有

效地控制当前公司经营过程中存在的风险,解决公司在经营活动中的

突出问题。

(三)在检查执行过程是否保留了完整和可靠的文档记录时,要

注意验证每个业务控制环节,核实实际执行情况与流程图、流程描述

及风险控制文档的描述是否一致;验证业务活动所经过的流程和控制

是否有完整和可靠的文档记录,是否保留了控制实施证据。

(四)在验证业务控制流程设计和运行的一致性时,从业务发生

开始,抽取一定数量的样本,通过对业务申请、审批、执行、过程记

录、款项收付到财务处理全过程测评,验证业务控制流程设计和运行

是否一致。

内部控制评价程序一般包括准备阶段,实施阶段,内部控制评分

及等级评定阶段,汇总评价结果、编制评价报告阶段,评价报告反馈

和跟踪阶段等五个环节。公司内部控制评价工作小组负责内部控制评

价的具体组织实施工作。

第二节内部控制评价准备阶段

一、成立内部控制评价工作小组

公司内部控制评价领导小组以审计部为主体根据实际情况组织

成立内部控制评价工作小组,具体实施内部控制评价工作。

(一)内部控制评价工作小组的人员数量

内部控制评价工作小组人员数量的确定应综合考虑评价范围以

及现场评价时间等因素。在内部控制评价工作小组人员数量受到各方

条件限制时,应考虑延长现场评价时间,以保证评价覆盖面和评价质

量。

(二)内部控制评价工作小组成员要求及确定

内部控制评价工作小组成员的确定应以满足评价工作需求为首

内部控制评价手册

要标准,选择具备内部控制评价能力的相关专业人员,综合考虑人员

的专业经验,评价工作小组可以吸收公司内部相关部门熟悉情况的业

务骨干参加,必要时可聘请业务或管理方面的专家。评价工作小组成

员对本部门的内部控制评价工作应当回避。

1.内部控制评价工作小组成员的职业道德要求:应能够严格遵守

审计人员的职业道德规范,且在过往的评价项目中无违背职业道德的

不良记录。

2.内部控制评价工作小组成员的能力要求:应能够独立完成某方

面的评价工作,具备相应的内部控制评价知识和内部控制评价能力,

内部控制评价小组成员的业务专长组合起来应该能够满足评价工作

总体要求,覆盖评价内容的重大方面。

(三)内部控制评价工作小组工作原则

1.分工原则:根据评价工作内容及评价人员专业特长,合理分工。

2.全面性原则:应将所有关系到内部控制的重大评价事项分配到

人,以保证评价工作的全面性。

3.能力和任务相匹配原则:评价任务应该与评价人员的能力相匹

配,充分发挥评价人员各自的专长,以便保证评价质量,提高评价效

率,达到评价目标。

(四)内部控制评价工作小组工作职责

1.内部控制评价工作小组组长职责:

⑴ 编制评价工作方案,选配内部控制评价小组成员;

⑵ 按照本手册规定内容开展评价工作;

⑶ 复核评价工作底稿,监督工作进度和质量;

⑷ 协调被评价部门等有关方面,解决工作中的疑难问题;

⑸ 按照内部控制评价工作程序报告评价工作情况;

⑹ 对评价涉及到的事项负有保密责任,并要求评价人员对于所

评价事项严格保密,未经批准不得以任何形式对外泄露;

内部控制评价手册

⑺ 编写内部控制评价报告,提出整改意见和建议。

2.内部控制评价工作小组成员职责:

⑴ 在内部控制评价工作小组组长的领导下,按照内部控制评价

方案的要求,获取充分、适当、客观反映被评价部门内部控制情况的

相关证据,按时编制规范的内部控制评价工作底稿及缺陷认定底稿;

⑵ 内部控制评价工作小组成员应对评价工作底稿及缺陷认定底

稿的客观性、相关性、充分性和合法性负责。

二、制定评价工作方案

公司内部控制评价工作小组应拟订评价工作方案,根据公司内部

监督情况和管理要求,分析生产经营管理过程中的高风险领域和重要

业务事项,确定检查评价方法,制定科学合理的评价工作方案,明确

评价目的、范围、工作任务、人员组织、进度安排和资源配臵等相关

内容,评价工作方案既可以以全面评价为主,也可以根据需要采用重

点评价的方式。报经内部控制评价领导小组审批后实施。

三、撰写并下发《内部控制评价通知书》

根据内部控制评价领导小组审批后的评价工作方案,公司内部控

制评价工作小组撰写《内部控制评价通知书》(见附件 1),并在评价

工作开展前送达被评价部门。《内部控制评价通知书》是一种以书面

形式告知被评价部门即将对其进行内部控制评价的正式文书,其内容

至少应包括:被评价部门名称、评价内容、评价期间和现场评价时间

等。

第三节内部控制评价实施阶段

一、召开评价首次会议

(一)会议目的

1.了解被评价部门(业务)基本情况。充分沟通企业文化和发展

战略、组织机构设臵及职责分工、领导层成员构成及分工等基本情况;

内部控制评价手册

2.了解内部控制体系。取得并审阅被评价部门的主要业务流程和

流程控制描述,以及内控制度、程序文件等相关资料,初步评价其内

部控制管理情况;

3.加深被评价部门对内部控制评价的理解,使被评价部门管理层

及员工提高风险管理认识,增强评价项目的严肃性和权威性,为现场

工作顺利开展打好基础。

(二)召开时间

首次会一般在抵达评价现场后召开。如遇特殊情况由内部控制评

价小组与被评价部门协商会议召开时间。

(三)参会人员

内部控制评价工作小组的所有成员、被评价部门负责人及业务骨

干。除特殊情况外,上述人员应全部到会。

(四)会议议程

1.参会人员介绍:会议一般由被评价部门相关人员主持,并逐一

介绍参会人员。

2.内部控制评价工作小组组长介绍评价工作:对本次评价工作的

时间、目的、范围、重点及人员进行介绍,以加深被评价部门对评价

工作的认识,并对即将开展的评价工作从总体上有所了解。

3.被评价部门介绍情况:被评价部门负责人应对本部门的内部控

制总体情况、人员情况、内部工作流程以及内部管理瓶颈等事项进行

介绍。

二、收集评价资料

被评价部门必须按照内部控制评价小组要求的资料清单及时提

供相关资料,评价人员应对评价资料进行审核、分析,查找评价疑点,

根据评价疑点增加评价资料,进而确定评价疑点是否可作为内部控制

问题。

三、核实被评价部门以往的评价结果整改情况。查看以往的检查

内部控制评价手册

报告、内部各专项审计报告和工作底稿及落实整改情况。

四、根据评价实施方案的要求、内部控制体系的了解以及以往评

估报告结果,确定本次检查评价范围和重点。检查重点和分工情况可

以根据需要进行适时调整。

五、开展现场检查测试。评价工作小组根据评价人员分工,对被

评价部门进行现场测试,综合运用个别访谈、调查问卷、专题讨论、

穿行测试、实地查验、抽样和比较分析等方法,充分收集被评价部门

内部控制设计和运行是否有效的证据,按照评价的具体内容,如实填

写评价工作底稿,研究分析内部控制缺陷。

在评价工作开展前,评价工作小组需要获取的资料,包括但不限

于:

⑴ 内部控制制度修订情况;

⑵ 以往内部控制评价报告及缺陷汇总表;

⑶ 内部审计及各项专项检查报告;

⑷ 中层以上人员变动情况;

⑸ 组织机构变动情况;

⑹ 财务报表;

⑺ 发生的重大事项情况说明;

⑻ 缺陷整改情况;

⑼ 评价表中相关控制证据。

第四节内部控制评分及等级评定阶段

公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和

一般缺陷的认定要求,结合公司规模、行业特征、风险偏好和风险承

受度等因素,区分财务报告内部控制和非财务报告内部控制,研究确

定了适用于本公司的内部控制缺陷具体认定标准。公司确定的内部控

制缺陷认定标准如下:

内部控制评价手册

1.财务报告内部控制缺陷认定标准

公司确定的财务报告内部控制缺陷评价的定量标准如下:

项目重大缺陷重要缺陷一般缺陷

错报>资产总额的资产总额的 0.5%<错报错报≤资产总额

资产总额

2% ≤资产总额的 2% 的 0.5%

营业收入的 0.5%<

错报>营业收错报≤营业收

营业收入错报≤营业收入的

入的 1% 入的 0.5%

错报>利润总利润总额的 3%<错错报≤利润总

利润总额

额的 5% 报≤利润总额的 5% 额的 3%

所有者权益的 0.5%

所有者权错报>所有者错报≤所有者

<错报≤所有者权益

益权益的 1% 权益的 0.5%

的 1%

公司确定的财务报告内部控制缺陷评价的定性标准如下:

重大缺陷:单独缺陷或连同其他缺陷,导致不能及时防止或发现

并纠正财务报告中的重大错报。出现下列情形的,认定为重大缺陷:

(1)董事、监事和高级管理人员舞弊;

(2)企业更正已发布的财务报告;

(3)注册会计师发现当期财务报告存在重大错报,而内部控制

在运行过程中未能发现该错报;

(4)审计委员会和内部审计机构对内部控制的监督无效。

重要缺陷:单独缺陷或连同其他缺陷,导致不能及时防止或发现

并纠正财务报告中虽不构成重大错报但应仍引起管理层重视的错报。

一般缺陷:不构成重大缺陷或重要缺陷的其他内部控制缺陷。

2.非财务报告内部控制缺陷认定标准

公司确定的非财务报告内部控制缺陷评价的定量标准如下:

内部控制评价手册

项目重大缺陷重要缺陷一般缺陷

资产总额的 0.5%<

资产总金额>资产总金额≤资产总

金额≤资产总额的

额额的 2% 额的 0.5%

营业收入的 0.5%<

营业收金额>营业收金额≤营业收

金额≤营业收入的

入入的 1% 入的 0.5%

利润总金额>利润总利润总额的 3%<金金额≤利润总

额额的 5% 额≤利润总额的 5% 额的 3%

所有者权益的 0.5%

所有者金额>所有者金额≤所有者

<金额≤所有者权益

权益权益的 1% 权益的 0.5%

的 1%

公司确定的非财务报告内部控制缺陷评价的定性标准如下:

出现以下情形的,应认定为重大缺陷:

(1)严重违犯国家法律法规;

(2)“三重一大”决策制度缺失;

(3)关键岗位管理人员和技术人员流失严重;

(4)媒体负面新闻频现;

(5)重要业务缺乏制度控制或制度系统性失效;

(6)内部控制评价的结果特别是重大缺陷或重要缺陷未得到整

改。

出现以下情形的,应认定为重要缺陷:

(1)被公开警告或被政府质疑调查;

(2)中度影响运营体系;

(3)负面消息在某区域或当地局部流传,对企业声誉造成中等

损害;

(4)长期影响一位或多位员工或公民的健康;

(5)环境污染和破坏在可控范围内,未造成永久的环境影响。

出现以下情形的,应认定为一般缺陷:

(1)口头警告;

(2)对运营体系造成轻度影响;

内部控制评价手册

(3)负面消息在企业内部流传,企业声誉几乎未受损;

(4)短暂影响员工或公民的健康;

(5)轻微环境污染。

第五节汇总评价结果、编制评价报告阶段

一、汇总评价结果

1.评价工作小组汇总评价人员的工作底稿,初步认定内部控制等

级,对缺陷的成因、表现形式及风险程度进行定量或定性的综合分析,

按照对控制目标的影响程度判定缺陷等级,形成现场评价报告。评价

工作底稿应进行交叉复核签字,并由评价工作小组负责人审核后签字

确认,工作组现场初步认定的内部控制缺陷应进行全面复核、分类汇

总;最后,将评价结果及现场评价报告向被评价部门进行沟通,由被

评价部门相关责任人签字确认后,提交公司内部控制评价工作小组;。

2.内部控制评价工作小组以汇总的评价结果和认定的内部控制

缺陷为基础,综合内部控制工作整体情况,客观、公正、完整地编制

内部控制评价报告,并报送内部控制评价领导小组,由内部控制评价

领导小组最终审定后向审计委员会报告。

二、撰写内部控制评价报告

内部控制评价由公司审计委员会统一领导。内部控制评价报告应

真实、完整,不得瞒报和虚报。

内部控制评价报告应至少包括以下内容:

(一)董事会对内部控制报告真实性的声明。

(二)内部控制评价工作的总体情况。

(三)内部控制评价的依据。

(四)内部控制评价的范围。

(五)内部控制评价的程序和方法。

(六)内部控制缺陷及其认定情况。

内部控制评价手册

(七)内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。

(八)内部控制有效性的结论。

第六节内部控制评价报告反馈和跟踪阶段

在评价过程中发现内部控制缺陷后,应进行缺陷原因分析,分析

该缺陷存在的主要原因,例如:控制活动缺失、控制活动本身缺乏执

行性、人为执行不利、审批不当等;并针对所发现的问题、控制缺陷,

提出整改建议。整改建议必须内容具体、切实可行。对于认定的内部

控制缺陷,内部控制评价工作小组应当结合审计委员会和内部控制评

价领导小组的要求,提出整改建议,要求责任部门及时整改,并跟踪

其整改落实情况;已经造成损失或负面影响的,根据公司相关规章制

度追究相关人员的责任。

内部控制评价手册

第六章内部控制评价方法

第一节总述

内部控制评价方法主要有详细评价法和风险基础评价法两种方

法。1.详细评价法:以内部控制框架或标准为参照物,根据内部控制

框架的构成要素评价内部控制的设计是否有效,测试内部控制的运行

是否有效,最后综合设计和运行的评价对内部控制的有效性做出总体

评价,评估内部控制目标实现的风险,判断是否存在重大缺陷,确定

内部控制是否有效;2.风险基础评价法:首先,要评估相关目标实现

的风险;其次,识别和确定公司充分应对这些风险的内部控制是否存

在,即评价内部控制的设计应对相关目标实现风险的有效性;第三,

识别和确定内部控制运行有效性的证据,评价现有的控制是否得到了

有效的运行;最后,对控制缺陷进行评估,判定是否构成实质性缺陷,

确定内部控制是否有效。

具体的内部控制测试方法主要有:

一、个别访谈法

个别访谈法是指根据内部控制评价需要,对被评价部门负责人或

员工进行单独访谈,以获取内部控制体系的建立、执行与监督等情况。

个别访谈法主要用于了解单位内部控制的现状,在公司层面评价

及流程层面评价的了解阶段使用。访谈前应根据内部控制评价需求形

成访谈提纲,撰写访谈纪要,记录访谈的内容。

个别访谈法具有保密性强、访谈形式灵活、调查结果准确、访问

表回收率高等优点。

二、调查问卷法

调查问卷法是指通过设臵问卷调查表,分别对不同岗位、不同层

次的员工进行问卷调查,根据调查结果对相关项目作出评价。调查问

内部控制评价手册

卷法主要用于公司层面评价。调查问卷应尽量扩大对象范围,包括公

司各个层级员工,应注意事先保密性,题目尽量简单易答(如答案只

需为“是”、“否”、“有”、“没有”等)。

三、穿行测试法

穿行测试法是指是指在内部控制流程中任意选取一笔交易作为

样本,追踪该交易从最初起源直到最终在财务报表或其他经营管理报

告中反映出来的过程,即该流程从起点到终点的全过程,以此了解控

制流程和控制措施设计的有效性,并识别出关键控制点。主要应用于

对流程层面和具体业务的测试和评价。

四、抽样法

抽样法是指针对具体的内部控制业务流程,按照业务发生频率及

风险的高低,按一定比例从确定的抽样总体中抽取一定数量的业务样

本,对业务样本的符合性进行判断,进而对业务流程控制运行的有效

性做出评价。

抽样法分为随机抽样和其他抽样。随机抽样是指按随机原则从样

本库中抽取一定数量的样本;其他抽样是指人工任意选取或按某一特

定标准从样本库中抽取一定数量的样本。

五、实地查验法

实地查验法是指通过对单位财产进行盘点、清查,以及针对业务

流程中的各个控制环节进行现场查验等方式进行控制测试。如通过对

单位财产进行盘点、清查,以及针对业务流程中的各个控制环节进行

现场查验等方式进行控制测试。

六、比较分析法

比较分析法也称对比分析法,是指通过分析企业经营中的各类数

据,比较数据间的关系、比率和趋势来进行有效评价。数据分析可以

是与历史数据、行业(单位)标准数据或行业最优数据等进行比较。

七、标杆法

内部控制评价手册

标杆法是指通过与行业内具有相同或相似经营活动的标杆企业

进行比较而对内部控制设计有效性进行评价的方法。标杆法是将公司

经营的各方面状况和环节与竞争对手或行业内外一流的企业进行对

照分析的过程,是一种评价自身企业和研究其他组织的手段,是将外

部企业的持久业绩作为自身企业的内部发展目标并将外部的最佳做

法移植到本企业的经营环节中去的一种方法。

八、重新执行法

重新执行是指评价人员根据有关资料和业务处理程序,以人工方

式或使用计算机辅助审计技术,重新处理一遍业务,并比较其结果,

进而判断企业内部控制执行的有效性,是一种通过对某一控制活动全

过程的重新执行来评估内部控制执行情况的方法。

九、专题讨论法

专题讨论法是指集中与业务流程有关的专业人员就内部控制执

行情况或控制缺陷进行分析。比如,对于同时涉及企业多个业务部门

的控制缺陷,由内部控制管理部门组织召开专题讨论会议,综合各方

面意见,研究确定整改方案。

在实务中,通常采取穿行测试、控制测试这两种方法开展内部控

制评价,以验证内控设计和运行的有效性,将访谈、抽样、实地查验

等方法综合融入上述两种测试方法中。以下具体介绍这两种测试方法。

第二节穿行测试评价法

穿行测试是指在内部控制流程中任意选取一笔交易作为样本,追

踪该交易从最初起源直到最终在财务报表或其他经营管理报告中反

映出来的过程,即该流程从起点到终点的全过程,以此了解控制设计

的有效性。穿行测试关注业务流程的每个步骤的具体工作内容、控制

活动、证据表单和频率的符合性。

一、测试目的

内部控制评价手册

验证控制描述或流程描述中所记录的控制内容是否正确,各环节

是否按照其相关规定运行,是否存在控制设计及运行缺陷。

二、测试对象

所有控制点。

三、测试频率

穿行测试为每年进行一次(如组织结构、业务流程发生调整,此

时可适当安排频率)。

四、测试独立性原则

测试执行人员需要严格贯彻内控测试的独立性原则,即某一控制

的实际操作人员需要回避相关控制的任何测试。

五、样本选取原则

(一)样本必须能够代表该领域或该子流程的典型业务及操作流

程;

(二)样本需要尽可能覆盖该领域或该子流程的所有控制点;

(三)对于那些确实无法被覆盖的控制点,可以单独选取额外样

本进行测试;

(四)必须随机选取样本。

六、样本数量

每个子流程中的控制点选取一个样本进行测试。

七、记录样本

(一)对于穿行测试过程中取得所有样本资料,可根据需要进行

复印、编号,并单独存档保管;

(二)记录测试结果(异常/无异常/不适用);

(三)对于出现异常的控制点,需要详细描述样本的异常特征,

并标注相应留档纸质文档编号。

内部控制评价手册

第三节控制测试评价法

控制测试需要综合运用访谈法、抽样法、标杆法和实地查验法。

针对具体的内部控制业务流程,按照业务发生频率及风险的高低,从

确定的样本总体中抽取一定比例的业务样本,参照风险控制文档或最

佳实践,对业务样本进行实地查验,并对其符合性进行判断,进而对

业务流程控制运行的有效性做出评价。

控制测试的主要评价对象是控制点,尤其是穿行测试中证明为有

效的控制点。

控制点是指管理层在日常运营过程中为达到有效抑制来自内部

和外部的不同风险,保证整个经营活动结果运行的有效性而设臵的环

节。例如对经营活动中产生的各类报表进行复核,或对各类经济活动

进行事前审批和事后检查等。

一、测试目的

确认各末级流程中控制点是否运行有效。

二、测试对象

末级流程中的控制点。

三、测试频率

全面控制测试建议每年至少进行一次;对于一些风险较大的子流

程,可考虑加大测试频率或加大样本量。

四、测试独立性原则

测试执行人员需要严格贯彻内控测试的独立性原则,即某一子流

程的实际操作人员需要回避该子流程的任何测试。

五、测试方法

控制测试共有四种测试方法可供选择,内控评价人员根据风险评

估结果和现场实际情况选取适当的测试方法。

(一)访谈(询问)

访谈(询问)是向被访谈人了解控制相关的信息,但访谈(询问)

内部控制评价手册

不能提供足够的审计证据以支持评价人员对控制的有效性发表结论,

所以评价人员需要进一步获取一些证据支持,如向其他人员询问,或

者检查一些报告,或者获取在控制执行过程中产生的一些文档。

访谈(询问)最好和其它的测试方法和技术结合在一起。访谈(询

问)的关注重点如下:

1.首先访谈(询问)控制执行人是否了解其控制目的及执行方法;

2.其次访谈(询问)是否在日常工作中实际实施控制,且具体如

何操作;

3.重点关注有哪些证据及相关文档是如何保管等。

在访谈工作中,评价人员须考虑以下几点:

1.被访谈人应来自被评价范围内实施活动或任务的适当层次或

岗位;

2.访谈在被访谈人正常工作时间和正常工作地点进行;

3.访谈前和访谈过程中应努力使被访谈人放松;

4.解释访谈和作记录的原因;

5.访谈可通过请被访谈人描述其工作开始;

6.避免提出有倾向性答案的问题(即引导性提问);

7.与被访谈人沟通访谈的结果;

8.感谢被访谈人的参与和合作。

(二)观察

如果控制点没有控制操作的相关文档,则观察是一种较为有效的

测试方法,比如职责分离相关的控制。同时,观察也是对物理控制测

试的一种比较有用的方法,比如对机房、数据中心、门禁的管理等。

通常,直接获取的证据(比如通过现场观察获取的证据)比间接获取

的证据(比如询问)具有较高的审计保证和审计信心。

观察的关注重点如下:

1.观察员工执行控制步骤;

内部控制评价手册

2.可能需要其他跟进测试;

3.底稿记录要求:谁,什么时候,观察的结果,获取的证据。

(三)检查(必须执行)

检查一般应用在手工控制是否被执行,比如银行存款余额调节表

是否按期编制。证据文件可能包括书面的检查记录等。一般来说,检

查与抽样的测试方法会结合,如统计测试期间内发生的样本总体,根

据抽样原则随机选取相应数量的样本进行检查。检查的关注重点如下:

1.获得控制执行相关证据(例如经审批签字的文件等);

2.审阅文档记录或报告,查看是否留有控制执行的痕迹(例如签

字、邮件等);

3.评价控制执行是否有效、符合要求(例如是否经过适当的人审

批、控制是否在适当的时间执行等);

4.记录所获取的证据,并对测试过程、测试结果及结论进行书面

记录。

(四)重新执行

重新执行控制操作以验证是否控制执行有效。例如:评价人员重

新计算当月薪酬,以验证所计提及发放的月度薪酬是否正确。

六、制定控制测试计划

由于控制测试存在样本选取数量较为复杂、需要消耗较多人力和

时间等情况,因此在正式进行控制测试之前,应拟定控制测试计划,

以便更好地实施测试工作,明确责任人,严格控制测试成本。

七、样本选取原则

(一)针对每个控制点独立选取样本,样本只需覆盖被测试控制

点即可,不需要覆盖流程中的其他控制活动;

(二)样本必须随机选取,采用统计抽样的方法;

(三)避免选取穿行测试中已经选取的样本;若穿行测试中选取

的为唯一样本,则控制测试可以直接利用穿行测试的样本和结果。

内部控制评价手册

样本数量选择可参见下表:

内控评价样本表

样本量

控制发生频率控制发生数量

低风险中风险高风险

每年 1 1 1 1

每季 4 2 2 2

每月 12 2 3 5

每周 52 5 10 15

每日 250 20 30 40

每日多次超过 250 25 45 60

注:此处规定的样本量是指评价期间为全年所必须抽取的样本量,在评价期间不足一年

的,应按照相应的比例重新确定(如针对 1-3 月发生的业务进行评价,则样本量为全年样本

量的 1/4)。

八、记录样本

(一)对于控制测试过程中取得的无异常样本,不需要复印留底;

(二)对于存在异常内容的样本,均需要记录异常原因,若情况

需要,可以对相关证据进行复印、编号,并单独存档保管;

(三)采用《内部控制评价工作底稿》(见附件 2)进行样本记

录;

(四)根据《内部控制评价工作底稿》,描述进行的所有测试方

法和测试步骤;

(五)根据《内部控制评价工作底稿》,描述取样方法及取样数

量;

(六)对于个别控制步骤采用的替代样本,需要描述替代样本的

内容、选取方法以及采用替代样本的原因(原有样本为何不适用);

(七)根据《内部控制评价工作底稿》列示内容,填写每个样本

所有特征(包括异常部分),并标注相应留档纸质文档编号;

内部控制评价手册

(八)需要在底稿中简要描述造成样本异常的原因(如“XX 年 XX

周的《某某组织纪要》中没有包含 xx 项目立项情况, 未发现 xx 项

目决策审批的记录等),若留档,需要标注相应留档纸质文档编号;

(九)在每张底稿上都应标注测试结论(控制有效或控制失效)。

内部控制评价手册

第七章内部控制评价工作责任

被评价部门须提供真实、全面的内部控制资料,被评价部门负责

人须对提供的内部控制资料和其他评价基础资料的真实性、合法性、

完整性负责。

内部控制评价小组应严格执行内部控制评价工作的规定,规范技

术操作,确保评价过程科学、独立、合理,评价结论客观、公正、准

确。

内部控制评价结果应纳入公司对各部门的年度绩效考核指标体

系中,按照规定实行奖惩。

附件: 1.内部控制评价通知书

2.内部控制评价工作底稿

内部控制评价手册

附件 1

关于 XX 部门(单位)内部控制评价的通知

XX 部门(单位):

根据 (文件或依据),审计部决定派出内控评价组,自

年月日起(截止 20XX 年 12 月 31 日)的内部控制有效性进行评

价,请予以积极配合,提供有关资料和必要的工作条件。

审计部

年月日

内部控制评价手册

附件 2

内部控制评价工作底稿

被评价部门

业务循环名称: 附件共页

控制环节日期

评价期间评价人

评价方法复核人

关键风险点

控制措施

责任岗位

现状描述

控制文档

控制发生频率

评价记录

控制缺陷

改进建议

整改责任岗位

本底稿第页

查看公告原文

证券之星微信

扫描二维码

关注

证券之星微信