海外业务内控体系构建案例分析

□ 文/魏颖

从近年来我国石油企业走出去的实践中发现，海外项目与集团所属境内企业在经营管理等方面存在着显著差异，照搬境内企业内控体系，会出现投入过大、内部控制过于频繁和低效率、内控制度与实际执行“两张皮”等弊端。因此，在开展海外内控体系建设中，必须立足海外油气业务实际，认真分析主要影响因素，从嵌入现代企业管理元素的角度出发，研究确定适当、适度、适用的建设原则和模型，做到实用而有效。

所处条件和面临的环境与国内迥然不同

我国石油企业海外油气业务大都分布在政治环境不稳定、法律法规不健全、安全风险较高的国家和地区，不少海外项目具有运营管理难度大、勘探开发风险高、边际利润低的特点，所处条件和面临的环境与国内迥然不同。

A. 合同模式多样性。石油合同实质是以石油勘探开发生产为目的，由资源国和投资者之间签署、界定双方权利义务关系的法律文件，一切经营管理活动都要以石油合同条款为基础。目前，中国石油海外勘探开发公司（CNODC）的海外油气项目所涉及的合同模式主要有许可证协议、产品分成、风险服务、回购、联合经营等，几乎涵盖了国际油气投资与合作领域所有的合同类型，合同模式的多样化决定了管理模式的差异性。采用许可证协议模式的项目公司拥有油气产品所有权、区块所建资产的所有权、勘探开发的作业控制权。项目公司独立开展生产运营，受资源国政府干涉和影响最小，经营成果和管理水平对我方经济效益和战略目标的实现有直接影响。采用产品分成合同模式的项目公司没有油田资产的所有权，只有合同期内的使用权，主要负责油田日常生产作业。在这种合同模式下，我方作为承包商回收投资并获得回报的来源为成本油和分成利润油，项目公司经营管理水平高低直接影响我方的投资回收速度和收益。服务合同模式和回购合同模式下的项目公司没有油气产品和油田资产的所有权，也没有油田作业的管理控制权。项目公司获得的收益为服务费用，面临的风险主要来自合同条款能否顺利执行。

联合经营模式下的项目公司，其经营管理决策必须通过公司股东会、董事会等法人治理机构来决定，能否进行内控体系建设取决于我方在项目公司中的股权比例。在这样的项目公司中，往往所在国国家石油公司的股权比例较高，我方进行内部控制体系建设的难度较大。

B. 权益比例大小差异性。我方在海外项目中的权益比例高低和作业控制权的大小，决定着对项目公司实质控制力的大小。在执行的海外项目中，我方作业权益大小不尽相同，最高达到100%，最低则不超过10%，差异性较大。

C. 项目发展阶段的差异性。海外众多项目发展阶段不尽相同，业务类型也不一样。一是处在生产开发阶段和勘探转开发阶段的油气项目，以及处在正常运营阶段的炼化和管道项目，项目已经进入较为稳定的发展阶段；二是处在风险勘探阶段和产能建设阶段的油气勘探开发项目；三是处在建设阶段的炼化项目；四是处于勘探无发现的拟优化退出项目。

D. 行权管理的多元性。海外项目实体通常是多方组成的联合作业公司。在对海外项目的管理上，主要是发挥项目公司股东会、董事会、联管会、联合作业委员会等机构的决策职能。公司通过派遣管理和技术人员参会，将中方的管理思想和管理意图贯彻到海外项目的生产经营管理工作中，达到行使出资人权利的目的。这与国内油气田企业我方独大的管理格局截然不同，情况更为复杂更具挑战性。另外，合同剩余期限、油气作业当量、投资规模、中方人员数量等因素对项目公司内部控制建设目标和模型的确定也都具有较大影响。

海外业务内控体系建设主要模式

内控建设作为一项长期系统性工程，并非一蹴而就，其中大量变化因素使这个过程变得较为艰难。因此，在海外内部控制建设的过程中，应以差异化的内部控制建设理念来推动海外内部控制建设的有序进行，提高海外内控体系建设的效率，逐步完善内控机制，直至形成全面覆盖、有效防控、健康运行的运营管理机制。

中国石油海外勘探开发公司在深入分析海外项目内控建设主要影响因素的基础上，全面衡量每个海外项目的内外部环境，系统完成了海外差异化内部控制建设模型的研究工作，确立了“有效性、差异化、全覆盖”的海外内部控制建设基本思路，并建立了三种差异化海外内部控制建设模型。

A. 制度与流程建设模式。制度与流程作为内部控制体系的核心要素，是内部控制措施在实行过程中最为关键的表现形式，也可以说是一个事物的两个侧面，彼此具有密切的联系，但无法相互取代。各项目发展不同阶段具有各自的特点，在具体的操作实践中，要结合实际情况来采用相应的制度管理、流程梳理和后期完善工作。海外项目公司的内控建设的制度主要涉及财务、采购、经营计划、人力资源及主营业务（勘探、工程建设、钻井等）5个方面。海外内控建设必须不断优化、完善制度体系，通过制度建设，对公司各职能部门、各岗位职责进行再分配；对各角色接口关系进行再明确，规范内部管理，从而增强企业的核心竞争能力。海外项目内控体系的建设和运行，主要是以流程为主线对规章制度进行梳理与优化，旨在使制度建设落到支撑流程运行的实处，对制度起到固化与支撑作用，促进制度规范化。凭借制度建设和流程梳理，许多海外项目实现了从业务管理的初级阶段向等级较高、业务内容较为丰富的发展性业务模式转变。

B. 重要管理模块建设模式。重要业务模块化管理不但可以降低体系化建设的成本支出，而且更具针对性，重点关注项目公司在特定发展时期运营管理的最重要环节。CNODC以“风险导向、业务驱动”为原则，以流程管控和风险控制为目的，针对海外业务开展过程中的实际需求和关键领域，进行了潜在风险测评和甄别，进而对规章制度、内部控制措施进行补充和完善，建立相关管理模型供海外项目参考比照。海外项目依照给出的模型，对公司运营现状进行总结和梳理，查找存在的差距；同时组织开展风险评估工作，识别自身业务管理领域的重要风险，形成包括管理制度、流程图、关键控制文档和控制实施证据在内的内控管理模块。

C. 体系化建设模式。体系化建设以COSO内部控制框架/COSO企业风险管理整体框架要素和中国石油集团内部控制框架为基础，以“实用、简捷、有效、易操作”为原则，以管理制度为基础，通过梳理业务流程、权责、表单、评估风险、设计控制措施等，完善控制环境、风险评估、控制活动、信息与沟通、监督5方面内容，形成较为完善的5要素内控体系，并以内控管理手册形式予以规范固化。体系化建设模式适用的对象为规模大、收益高、业务链条复杂、管理体系趋于健全且处于成熟阶段的海外项目。

体系化建设模式结合项目公司业务管理实际需求，从公司、业务活动和信息系统三个层面开展内部控制体系建设。

一是公司层面的控制建设。公司层面内部控制包括董事会、监事会、经理层之间明确的权限划分和职责定位，是公司治理机制的具体化和公司治理机制的重要内容，是确保管理层在公司内部各个领域获得适当、有效控制的重要机制，主要包括公司层面的风险评估和控制建设。在进行公司层面控制建设的过程中，控制措施至关重要。项目公司应根据管理现状和外部环境要求，对中国石油集团内控体系框架确定的公司层面的内控关注点进行差异化选择，结合项目公司的组织结构及职责、规章制度等，对控制措施进行设计；对已设计完成的控制措施，要补充完善所涉及的管理制度；还要根据集团公司的管理要求和业务需求，对控制措施及时进行更新和完善，以达到统一性、有效性。

二是业务活动层面的控制建设。业务活动层面控制是指综合运用各种控制手段和方法，针对具体业务和事项的控制。主要内容是，以公司层面控制政策为导向，规范业务流程，制定业务活动层面风险控制措施。

三是信息系统层面的控制建设。信息系统层面控制包括两方面内容，首先是信息系统总体控制（GCC）。指对企业在信息技术的开发、实施、运行、维护及管理等方面的控制，它可以更好地保护企业的信息资产，提高信息系统对业务的支撑力度，增强企业信息系统的运行效力。其次是信息系统应用控制。包括应用软件中的电算化以及用以控制各类交易处理的手工操作程序。这些控制结合在一起，可以保证系统中的财务和其他信息的安全性、完整性、准确性和有效性。包括财务管理软件、人事管理软件、物资管理软件、销售管理软件等所涵盖的控制。

尼日尔炼厂内控体系建设案例

津德尔炼油有限公司（SORAZ）是中国石油与尼日尔政府按照6∶4股比合资兴建的股份制现代化炼油企业，2008年10月28日奠基，2011年11月28日正式投产运营。年设计原油加工能力100万吨，主要产品有汽油、柴油和液化气等，大部分产品出口至尼日利亚、布基纳法索和马里等周边国家。

作为现代化的炼油企业，公司已经成为尼日尔国家支柱型企业，每年为尼日尔上缴税赋超过1亿美元，为尼日尔经济发展提供了强大的动力和保障。

A. 内控建设的目标。津德尔炼厂内控建设工作采用COSO框架，根据合资协议、津德尔炼厂管理现状，以预算管理、法律事务、HSE管理、工程管理、设备检维修管理、产品生产、产品销售、人力资源管理、财务管理、采购管理、库存管理、合同与纠纷管理及行政管理13个重要模块为切入点，开展内部控制建设工作，编制完成中、英、法三种语言的《内部控制管理手册》。明晰公司董事会、管理层与各部门或岗位在业务执行过程中的权力和责任，优化业务流程与管理表单，使得经营活动标准化、流程化、表单化。

在公司层面建设中，公司以风险管理为核心，考虑自身管理模式及尼日尔当地政治经济、社会环境等因素，进行了差异化选择，具体实施内容如下。一是建立健全项目公司内部控制管理组织体系。公司成立了内部控制管理委员会，作为内控管理的决策机构。二是进行控制措施设计。针对适用的风险主题，结合公司的组织结构及职责、规章制度等要求，对控制措施进行设计。三是完善公司授权审批机制，编制权限指引表。由于津德尔炼厂为独立法人实体，故其授权审批机制按照公司章程规定的治理机制及其权限进行权限描述，体现联合公司的管理特色。

在业务活动层面建设中，公司主要是针对业务活动层面风险，以公司层面控制政策为导向，规范业务流程，制定业务活动层面风险控制措施，业务层面控制建设主要内容如下：一是确定业务流程架构。以中国石油集团内部控制框架的统一业务流程目录为基础，结合公司业务实际，确定业务流程描述范围。

B. 业务流程描述。通过走访相关工作人员，了解业务实际运行状况，结合公司相关管理制度进行分析，使用VISIO进行流程描述，包括：业务流程名称编码和起止点、工作步骤、业务风险点、控制要求、工作界面及对应的组织机构、岗位和记录表单等。

C. 风险控制分析。建立业务层面风险数据库。以中国石油集团业务活动层面的《财务报告风险数据库》和《经营风险数据库》为基础，结合公司业务经营现状进行风险分析，选取适用风险形成风险数据库，共包含210项相关风险，其中134项为重要风险。编制风险控制文档。参考公司现有的管理制度，对已识别风险进行控制措施设计，控制措施包括执行控制负责人、控制时间、控制频率、控制具体内容、控制实施证据五大要素。对现有制度不足以控制潜在风险或不符合实际之处进行修订完善。进行风险建模。将已识别风险和设计的控制措施进行风险建模。

D. 关键控制确认及应用。关键控制是内控体系框架的重要内容，也是通过外部审计的必审内容，关键控制管理文件设计不到位和执行不严格，将直接影响内控体系的有效性。公司在进行内控体系建设时，尽量满足中国石油集团的关键控制文件（包括业务流程图、关键控制文档等）要求，但根据联合公司自身特点进行了适当调整：控制措施的执行部门及岗位，按公司机构岗位设置情况进行调整；审批权限方面遵循公司授权审批机制；对于不适用的关键控制点，在能够满足控制潜在风险的前提下予以删除，共确认关键控制点154个。

通过几年实践，中国石油海外勘探开发公司基本形成了以通用模块为主、个性化模块为辅的内控体系建设模型。通用模块包括财务管理、采办管理、经营计划管理、人力资源管理等模块。个性化模块主要根据各项目公司的主营业务模式确定，涵盖勘探管理、开发管理、工程建设管理、生产作业管理等。截至2015年底，中国石油海外勘探开发公司共有20个海外项目的内控体系建设全面完成，两个项目的内控体系建设进展顺利，以公司本部为中心，涵盖主要油气合作区域与重点项目的内部控制体系网络初步建成，并持续有效地运行。公司通过差异化的海外内控体系的建设和实施，梳理完善管理制度和流程，规范设计风险控制措施，实现了保障发展速度、提高运营效益与有效防控风险的均衡统一。