构建有石化特色的内控评价体系

□

中国石化积极借鉴国际先进的管理经验，向国际一流公司的管理标准看齐，努力构建科学的两级内部控制评价体系，有效实施内部控制，在国际资本市场上树立了良好的中国公司形象，为打造集约化、集团化、信息化、规范化、精细化、国际化世界一流能源化工公司奠定了坚实的基础。2006年，作为在美上市的外国公司，中国石化以“零缺陷”内控评价结果成为首次顺利通过萨班斯法案监管的中国公司之一，确保了财务报告的合规。之后连续两年获得亚洲最佳披露奖，在资本市场树立了良好的中国公司形象。

建立两级内控检查评价体系

检查评价体系。中国石化在两级管理架构的基础上，建立了总部、二级单位（企业）两级内控检查评价体系(见图1)。总部部门（含事业部）和企业各责任部门从各自专业管理出发，定期开展责任流程测试，通过信息等手段实时监控、防范风险，加强日常自我监督。

总部内控部门从管理重点出发，每年根据管理层制定的检查评价方案，组织对内部控制全面或某一方面检查评价，针对公司重大或重要风险，评价各项目标实现过程中存在的缺陷，及时解决和督促整改。企业（包括分、子公司）内控部门参照总部要求，每年组织本企业检查评价，出具内控自查报告上报总部。

□ 到装置现场审计。 戚桂军 摄

总部审计部门根据管理层制定的检查评价方案，每年独立组织内部控制综合检查评价，包括对集团公司、企业两级内部控制设计、运行进行全面的独立检查评价。

独立评价分为公司层面评价和业务层面评价，并据此认定内部控制缺陷，出具内部控制评价报告。公司层面评价按照科学性、简便性、可行性等原则，突出重点、兼顾全面地评价内部环境、风险评估、信息与沟通、内部监督。主要针对管理层控制，按照风险和重要程度，紧紧抓住60个核心控制要求，对应编制了134个检查步骤与方法，评估管理层是否对业务进行了充分的风险评估，并采取了合适的监管措施，授权合理性以及信息与沟通的效率和效果，内部监督的效果。业务层面评价主要评价控制活动，包括对《内控手册》中的20大类、67个内控流程分别评价。在对2132个控制点全部制定检查方法、检查资料的同时，评价的重点放在三个方面，即流程遵循性、财务报告的质量、实现控制目标并有效控制风险。

中国石化内控检查评价体系着重建立一个高效的机制，使各项业务通过单位自查使内部控制整体运行处于实时监管状态，及时防范风险和反馈问题，并通过定期独立全面评价，确认重点业务领域的内部控制（包括设计、执行和监督）是否有效并进行修正实施（见图2）。

图1 两级内控检查评价体系图

图2 内控评价运行图

中国石化较早采用了按照财务报告内部控制缺陷和非财务报告内部控制缺陷的划分方法，用定性和定量的方法进行评价。内控缺陷全面反映内部控制的设计和执行情况，检测内部控制是否能够有效实现控制目标、防范经营风险。

该公司的内控报告分为外部报告和内部报告。外部报告遵循外部监管有关规定的格式，内部报告主要从管理角度深刻分析存在问题，揭示潜在风险及内控缺陷，报告管理层，制定整改措施。

2011年集团公司和股份公司《内控手册》整合后，通过对上市、非上市检查标准的统一，有效地促进了一体化进程。

同时，通过对控股子公司内部控制有效性与主管公司联动考核这一措施，有力地促进各控股子公司内部控制工作逐步建立和开展，并快速融入中国石化的管控模式和企业文化，使主要经营业务的风险处于受控状态，集团管控能力得到增强。

内控评价四大特点

中国石化密切结合自身实际搞好内部控制评价，其内控评价主要有四个特点：高层重视、自主创新、管评结合、科学实用。

中国石化管理层在人力、物力上全面保障内控评价的开展，每年安排总部若干部门主任（或副主任）担任现场各检查小组组长，提高内控检查级别，内控评价费用预算单列。管理层每年听取内控评价方案和结果汇报，并对评价结果考核兑现，董事会、监事会审核批准管理层内控自我评价报告后，按照境内外监管要求定期对外披露。

从2005年正式实施内部控制以来，中国石化内控评价不断创新、持续改进，大体经历了三个阶段：

第一阶段是全面检查阶段，特点是“全面检查、简单评价、手工为主”。内部控制实施初期，为推动内控工作的全面开展，检查范围覆盖所有企业、所有流程控制点，检查方法主要是手工随机抽取3个样本，以符合性测试为主，核对业务执行是否符合控制程序，是否按要求审批签字等。

第二阶段是重点检查阶段，特点是“突出重点、风险导向、实质性检查，加强信息技术应用”。充分吸收COSO（全美反舞弊性财务报告委员会）监督指南的内容，缩小检查评价的范围，突出管理重点；方法上不限于符合签字审批程序，而是注重实质性测试；内容上分别完善了财务报告、非财务报告内控缺陷认定标准；对信息系统控制点专门制定或开发检查评价方法，90套检查底稿实现了自动打分、汇总、自动校验错误内容、自动链接等功能；在样本选取上，财务报告相关控制点扩大了测试范围。这一阶段有力地促进了内部控制与经营管理、控制风险、信息化的深度结合，提高了检查评价的效率。

第三阶段是提高独立性、重检查结果应用和共享阶段，特点是“瞄准高风险区域、内控审计与其他审计项目紧密结合，独立评价和持续监督并重”。一是执行制度检查与设计分开；二是内容上更加重视风险分析，检查结果出具风险分析报告，对发现的重要或重大风险，专项审计项目跟踪不放；三是日常监督中发现的问题纳入内控评价，年终整体考核；四是在ERP等信息系统的基础上开发检查功能更为强大的内控测试系统工具。这一阶段进一步提高了内控评价的独立性和专业性，促进了内控评价职能化、机制化、长效化，使企业在日常工作中将内部控制与经营管理有机结合。

独特的内控评价体系较好地解决了持续监督与独立评价的关系，使各种检查有机整合、资源共享。部门专业管理通过内控测试开展日常专业监督，如ERP支持部门每月发布ERP运行通报，报告日常影响会计信息质量的不规范操作、不符合管理要求的行为；资金管理部门通过信息系统，每日对资金预算和账户管理进行监控等。其他日常专业检查结果（如HSE检查结果、账户专项检查等）也纳入内控评价的范围。这些自我监督检查构成公司的第一道防线。总部、企业两级内控部门通过专项评价或重点抽查，从总体上分析集中存在问题的区域，通过内部环境分析，从全局角度提出改进的方案，形成第二道防线。总部审计部门根据年度内控检查评价方案，开展独立的内控综合评价或结合审计项目开展专项内控审计，检查中发现的部门和内控缺陷，及时反馈给内控部门督促整改，构成公司第三道防线。管评结合、三位一体的“防火墙”使公司具有灵活反应、高效处理问题的能力。

内控评价方法除借鉴运用传统审计方法外，逐步形成具有自身特点的科学合理的评价方法。内控评价是基于生产经营涉及的所有流程评价，有利于整体把握公司目标和风险。内控评价适时适应信息化和自动控制的发展，逐步挖掘ERP系统配置实时监测的检查方法，开发ERP权限检查工具。中国石化正在开发的内控评价系统，将通过与ERP系统、资金集中系统等日常管理系统的衔接，结合经营控制目标和指标，实现远程在线测试、在线检查、预警提示等功能。

中国石化建立了以管理为中心的检查评价、整改、考核全过程追踪的内控评价闭环机制。总部出台《检查评价与考核办法》、《总部自查指导意见》、《企业自查指导意见》等，规范和指导检查评价。为了统一检查标准，专门制作了《检查方案》和《检查评价指引》，开展培训，提高检查质量。中国石化2009年、2010年连续两年在中央企业信息化水平评价中名列第一。