【文章內(nèi)容簡介】 公司從戰(zhàn)略發(fā)展的角度，識別公司層面面臨的所有重大的不利因素和有利因素，從而識別風險，發(fā)現(xiàn)機遇。這些因素來自外部和內(nèi)部兩個方面，外部因素主要包括政治因素、經(jīng)濟因素、社會因素、自然環(huán)境因素等；內(nèi)部因素主要包括基礎(chǔ)設(shè)施因素、員工因素、流程因素和技術(shù)因素等。 ② 業(yè)務活動層面風險識別。公司制定業(yè)務流程描述規(guī)范，建立流程目錄并用流程圖對所有業(yè)務進行直觀描述。在業(yè)務流程描述的基礎(chǔ)上，以業(yè)務流程步驟為主線，全面識別影響目標實現(xiàn)的相關(guān)因素。 （ 3）風險評價。風險評價是評估風險對公司實現(xiàn)目標的影響程度 和風險發(fā)生可能性的過程。公司針對固有風險和殘存風險，運用定性和定量的方法，對公司層面和業(yè)務活動層面風險發(fā)生的可能性和影響程度進行分析、評價，并按照風險排序標準和方法，確定風險重要性水平，識別公司重大風險，確定風險管理的優(yōu)先順序。 （ 4）風險反應。風險反應是公司針對風險發(fā)生的原因、風險重要性水平，考慮風險之間的關(guān)系并把握機遇，運用風險組合觀，選擇風險反應方案的過程。風險反應方案包括回避風險、減少風險、分擔風險、接受風險。 3）風險數(shù)據(jù)庫 公司按照規(guī)定的程序和方法，開展公司層面風險和業(yè)務活動層面風險評估后，結(jié) 合風險因素、重要性水平和風險反應方案，編制與維護公司層面風險數(shù)據(jù)庫和業(yè)務活動層面風險數(shù)據(jù)庫。 控制活動 控制活動是確保管理層關(guān)于風險應對方案得以貫徹執(zhí)行的政策和程序?？刂苹顒哟嬖谟诠舅屑墑e的分支機構(gòu)和職能部門，包括授權(quán)、批準、查證、核對、報告、內(nèi)部審計、重大風險預警、企業(yè)法律顧問、經(jīng)營業(yè)績評價和資產(chǎn)保全措施等活動。 公司應根據(jù)風險管理策略，針對各類風險或每一項重大風險制定相關(guān)的規(guī)章 制度、控制政策和控制措施，確保風險控制在風險承受度的范圍內(nèi)。 公司針對風險建立的規(guī)章制度、控制政策和控制措 施，要滿足合規(guī)的要求，堅持經(jīng)營戰(zhàn)略與風險策略一致、風險控制與運營效率及效果相平衡的原則，針對重大風險所涉及的各管理及業(yè)務流程，制定涵蓋各個環(huán)節(jié)的全流程控制措施；對其他風險所涉及的業(yè)務流程，要把關(guān)鍵環(huán)節(jié)作為控制點，采取相應的控制措施。 公司應當按照各有關(guān)部門和業(yè)務單位的職責分工，組織實施控制措施。 1）針對公司層面風險，按照風險反應方案，建立相應的公司層面風險控制政策，制定公司統(tǒng)一的規(guī)章制度，統(tǒng)馭業(yè)務活動層面控制。 2）針對業(yè)務活動層面風險，以公司層面控制政策為導向，規(guī)范業(yè)務流程，制定業(yè)務活動層面風險控制措施 。 （ 1）控制現(xiàn)狀描述與分析。制定風險控制文檔編制規(guī)范和模板，對業(yè)務流程進行風險控制分析，編制風險控制文檔（ RCD），對控制的合理性、完整性進行分析。 （ 2）規(guī)范、統(tǒng)一業(yè)務流程。根據(jù)風險控制分析結(jié)果，補充、完善相關(guān)控制，規(guī)范、統(tǒng)一流程步驟、控制規(guī)范和記錄表單，建立規(guī)范、統(tǒng)一的業(yè)務流程。 （ 3）建立關(guān)鍵控制。建立完善的關(guān)鍵控制確認方法，確定所有業(yè)務流程的關(guān)鍵控制并建立關(guān)鍵控制管理文件。 （ 4）強化自動控制。通過實施信息系統(tǒng)自動控制，固化流程操作程序，提高控制執(zhí)行效率和效果。 3）財務會計報告流程。建立健全財 務會計報告流程，完善財務會計報告相關(guān)制度。 4）建立并實施經(jīng)營管理活動分析評價制度。各級管理層開展經(jīng)營管理活動分析，對經(jīng)營管理情況實施審核和監(jiān)督。 信息與溝通 信息與溝通是公司經(jīng)營管理所需的信息被識別、獲得并以一定形式及時地傳遞，以便員工履行職責。信息不僅包括內(nèi)部產(chǎn)生的信息，還包括與公司經(jīng)營決策和對外報告相關(guān)的外部信息。暢通的溝通渠道和機制使公司的員工能及時取得他們在執(zhí)行、管理和控制公司經(jīng)營過程中所需的信息。公司建立符合發(fā)展戰(zhàn)略并與經(jīng)營管理活動一體化的信息系統(tǒng)，為公司風險管理提供足夠的信息 資源和順暢的溝通渠道。 1）信息資源收集。 公司持續(xù)不斷地識別、收集、整理與歸納來自內(nèi)部與外部、經(jīng)營與管理的各種信息。針對不同的信息來源和信息類型，明確各種信息的收集人員、收集方式、傳遞程序、報告途徑和加工與處理要求，確保經(jīng)營管理各種信息資源得到及時、準確、完整收集。 2）信息溝通渠道。公司建立橫向和縱向相互通暢、貫穿整個公司的信息溝通渠道，確保公司目標、風險策略、風險現(xiàn)狀、控制措施、員工職責、經(jīng)營狀 況、市場變化等各種信息在公司內(nèi)部得到有效的傳達。 公司建立適當?shù)那?，與公司的相關(guān)方如供應商、客戶、律師、股 東、監(jiān)管機構(gòu)、外部審計師，就相關(guān)信息進行必要的外部溝通。 3）信息披露。公司制定完善的信息披露管理制度，明確重大事項的判定標準和報告程序，確定披露事項的收集、匯總和披露程序，符合資本市場監(jiān)管要求。 4）信息系統(tǒng) 公司將信息技術(shù)應用于風險管理各項工作，運用信息系統(tǒng)對經(jīng)營管理進行過程控制和信息的采集、存儲、加工、分析、測試、傳遞、報告和披露等，實現(xiàn)對各種風險計量和定量分析、定量測試；能夠適時反映風險矩陣和排序頻譜、重大風險和重要業(yè)務流程的監(jiān)控狀態(tài)并進行重大風險預警；能夠滿足風險管理內(nèi)部信息報告制度和企業(yè)對外信息 披露管理制度的要求。 信息系統(tǒng)應實現(xiàn)信息在各職能部門、業(yè)務單位之間的集成與共享，既能滿足單項業(yè)務風險管理的要求，也能滿足企業(yè)整體和跨職能部門、業(yè)務單位的風險管理綜合要求。 （ 1）建立信息系統(tǒng)總體控制。建立包括信息系統(tǒng)的控制環(huán)境、信息安全、項目建設(shè)管理、系統(tǒng)變更管理、系統(tǒng)運行維護、最終用戶操作等六方面內(nèi)容的信息系統(tǒng)總體控制規(guī)范與規(guī)章制度。 （ 2）建立信息系統(tǒng)應用控制。全面識別應用系統(tǒng)相關(guān)風險，建立完善的應用系統(tǒng)控制規(guī)范，對應用系統(tǒng)的輸入、處理和輸出進行有效控制。公司信息系統(tǒng)提供的信息應達到一致性、準確性、及時 性、可用性和完整性的目標。公司確保信息系統(tǒng)穩(wěn)定運行和安全，并根據(jù)實際需要不斷進行改進、完善或更新。 （ 3）建立流程管理信息系統(tǒng)。建立統(tǒng)一業(yè)務流程管理平臺，實現(xiàn)業(yè)務流程語言、設(shè)計規(guī)范、管理制度、控制措施、流程發(fā)布的統(tǒng)一管理，建成滿足全面風險管理，具有開放性、可拓展性的流程管理信息系統(tǒng)。 監(jiān)督 監(jiān)督是對內(nèi)部控制體系有效性進行評估的持續(xù)過程。包括持續(xù)監(jiān)督、獨立評估和缺陷報告等。公司應以重大風險、重大事件和重大決策、重要管理及業(yè)務流程為重點，對內(nèi)控體系的有效性實施監(jiān)督。 1）持續(xù)監(jiān)督。公司制定內(nèi)部 控制體系運行與維護管理制度，定期維護 《 內(nèi)部控制管理手冊 》 ，將內(nèi)部控制工作納入公司各級管理層業(yè)績考核，構(gòu)建內(nèi)部控制體系運行長效機制。 公司各級管理部門、流程責任部門，在體系日常運行中，實施自我監(jiān)督和自我檢查，并將檢查、檢驗報告報送內(nèi)控管理部門。 2）獨立評估。以風險為導向，建立完整的測試規(guī)范，定期對各部門和業(yè)務單位內(nèi)部控制體系有效性進行檢查和監(jiān)督。 3）缺陷報告。建立健全缺陷報告管理機制，制定缺陷認定規(guī)范，明確上報內(nèi)控缺陷的程序。 1 3 組織結(jié)構(gòu)、職責與權(quán)限 1 3 1 目的 通過建立分工合理、職責明確、 報告關(guān)系清晰的組織結(jié)構(gòu)，明確內(nèi)控管理決策機構(gòu)、管理機構(gòu)、執(zhí)行機構(gòu)和監(jiān)督機構(gòu)的責任和義務，確保本公司內(nèi)部控制的職責、權(quán)限及其相互關(guān)系得到規(guī)定和溝通，使本公司內(nèi)部控制體系得到有效運行。 1 3 2 機構(gòu) 公司內(nèi)部控制和風險管理體系工作，在總裁領(lǐng)導下形成決策、管理、執(zhí)行、監(jiān)督四個層次的管理架構(gòu)： 1）決策機構(gòu)：內(nèi)控 體系 建設(shè)委員會是公司內(nèi)部控制和風險管理工作的決策機構(gòu)； 2）管理機構(gòu)： 內(nèi)部控制部 作為公司內(nèi)部控制體系日常管理部門和委員會的辦事機構(gòu)； 3）執(zhí)行機構(gòu)：總部各部門、專業(yè)分公司、地區(qū)公司作為執(zhí)行層，按照內(nèi)部控 制和風險管理體系的統(tǒng)一要求，具體組織落實； 4）監(jiān)督機構(gòu)：審計部門行使監(jiān)督職能，負責對體系運行狀況實施測試監(jiān)督。 為加強對內(nèi)部控制體系管理工作的組織和領(lǐng)導，各地區(qū)公司成立相應的內(nèi)控 體系 建設(shè)委員會。內(nèi)控 體系 建設(shè)委員會由各單位有關(guān)領(lǐng)導和部門負責人組成，由總經(jīng)理擔任內(nèi)控 體系 建設(shè)委員會主任。內(nèi)控 體系 建設(shè)委員會下設(shè)辦公室。 1 3 3 職責與權(quán)限 1 3 3 1 公司 內(nèi)控體系建設(shè)委員會 主要職責 1） 審定內(nèi)部控制體系框架及實施計劃。 2） 審定內(nèi)部控制體系建立、測試和評估方案，對內(nèi)部控制體系建設(shè)工作進行安排、部署。 3）協(xié)調(diào)解決內(nèi)部控制體系建設(shè)工作中的重大問題。 4）審查批準對各部門、專業(yè)分公司和地區(qū)公司進行內(nèi)部控制體系建設(shè)的考核方案，并組織實施。 5）負 審定需要提交董事會或管理層解決的重大事項。 6） 督導、督促公司內(nèi)部控制體系的建立、完善和運行。 1 3 3 2 內(nèi)部控制部 主要職責 1）根據(jù)國家有關(guān)法律、法規(guī)及相關(guān)規(guī)定，負責組織制定集團公司、股份公司內(nèi)部控制及風險管理制度、標準及方法； 2）負責編制集團公司、股份公司內(nèi)部控制及風險管理體系建設(shè)規(guī)劃、體系框架，并組織實施； 3）負責組織集團公司、股份公司風險評估工作，確 定重大風險，建立風險數(shù)據(jù)庫； 4）負責組織和協(xié)調(diào)集團公司、股份公司業(yè)務流程相關(guān)工作管理； 5） 負責組織集團公司、股份公司風險控制設(shè)計及實施，負責內(nèi)部控制及風險管理體系日常維護； 6）協(xié)調(diào)內(nèi)、外部審計測試，組織開展運行評價、改進測試和缺陷評估。負責組織內(nèi)部控制及風險管理體系運行監(jiān)督考核； 7）代擬股份公司管理層內(nèi)部控制評估報告，協(xié)助董秘局處理對外披露相關(guān)事宜； 8）負責集團公司、股份公司內(nèi)部控制及風險管理業(yè)務培訓。 1 3 3 3 公司各部門、專業(yè)分公司、地區(qū)公司職責 1）審計部負責內(nèi)部控制體系執(zhí)行有效性的監(jiān) 督，組織實施管理層測試，其主要職能包括： （ 1）編制管理層測試計劃和方案，經(jīng)管理層批準后組織實施； （ 2）按照審計規(guī)定和公司發(fā)布的 內(nèi)部控制體系評價規(guī)范 ，每年定期組織實施管理層測試，對測試結(jié)果進行匯總、確認和分析，并分別向管理層和審計委員會匯報； （ 3）對被測試單位（股份公司機關(guān)、專業(yè)公司、地區(qū)公司）出具測試報告。 2）監(jiān)察部、審計部負責建立和完善反舞弊工作機制。 3）信息管理部負責公司信息系統(tǒng)總體控制和應用控制管理制度的建立、運行維護工作。 4）法律部負責公司規(guī)章制度和法律風險的綜合管理 5）公司各部門、專 業(yè)公司按照內(nèi)部控制和風險管理體系的各項要求，具體負責本部門、專業(yè)公司內(nèi)控體系建設(shè)、運行、維護等工作的具體實施。 6） 地區(qū)公司內(nèi)控建設(shè)是股份內(nèi)控體系的組成部分。地區(qū)公司按照《內(nèi)部控制管理手冊》的要求，具體負責本公司內(nèi)部控制體系建設(shè)、運行、維護等工作，并對特殊風險和業(yè)務流程制定專門管理辦法。 地區(qū)公司的內(nèi)部控制管理接受公司 內(nèi)部控制部 領(lǐng)導。 2 控制環(huán)境 概 述 概念 控制環(huán)境確立公司風險管理的總體態(tài)度，是內(nèi)部控制體系的基礎(chǔ)，是有效實施風險管理的保障，直接影響內(nèi)部控制體系的執(zhí)行、公司經(jīng)營 目標及整體戰(zhàn)略目標的實現(xiàn)。 要素 控制環(huán)境包括誠信與道德價值觀、發(fā)展目標、管理理念與企業(yè)文化、風險管理策略、董事會及下屬委員會、組織結(jié)構(gòu)、權(quán)利和責任分配、人力資源政策與措施、員工勝任能力以及反舞弊機制等內(nèi)容。 誠信與道德價值觀 一個公司的目標及目標實現(xiàn)的方式基于該公司的優(yōu)先選擇、價值判斷和管理層的經(jīng)營風格。這些 優(yōu)先選擇和價值判斷反映出公司管理層的誠信及其信奉的道德價值觀。 發(fā)展目標 公司制定發(fā)展目標 ,作為風險評估的前提條件，只有先確立了目標，管理層才能針對 目標確定風險，并采取必要的行動來管理風險。公司制定戰(zhàn)略目標，并在此基礎(chǔ)上制定相關(guān)經(jīng)營目標、報告目標和合規(guī)性目標。 戰(zhàn)略目標：與高層次目標有關(guān)，支持公司的使命并與此相一致。 經(jīng)營目標：與公司資源利用的效率和效果、防止公司不因災害性風險或人為失誤而遭受重大損失有關(guān)。 報告目標：與為公司經(jīng)營管理和對外披露提供信息的可靠性有關(guān)。 合規(guī)性目標：與公司對適用法律和法規(guī)的遵循性有關(guān)。 公司發(fā)展目標可以分為公司層面目標和業(yè)務活動層面目標。公司層面目標是指公司的總目標和相關(guān) 戰(zhàn)略計劃，與高層次資源的分配和優(yōu)先利用相關(guān)。業(yè)務 活動層面目標是總目標的子目標，是針對公司業(yè)務和管理活動的更加專門化的目標。 管理理念與企業(yè)文化 管理層的管理理念和企業(yè)文化會影響公司的管理方式，包括面對各種風險的態(tài)度。管理層的管理 理念和企業(yè)文化還表現(xiàn)在：管理層對財務報告的態(tài)度，在現(xiàn)在可替代的會計準 則選擇方面是保守的還 是激進的，進行會計核算時是否遵循謹慎性原則，對待數(shù)據(jù)處理、會計職能及人事管理方面的態(tài)度如 何等。 繼承和發(fā)揚公司企業(yè)文化，體現(xiàn)公司的經(jīng)營宗旨、價值觀念和行為準則；將風險管理文化融入企業(yè)文化建設(shè)全過程。 風險管理策略 公司圍繞發(fā)展戰(zhàn)略，確定風險容量、風險承受度、風險管理有效性標準，體現(xiàn)公司風險管理的總體策略，并據(jù)此制定風險反應方案。 董事會及下屬委員會 控制環(huán)境和“高層管理基調(diào)”受到公司董事會及下屬委員會的重大影響。影響因素包括：董事會 和審計委員會相對于管理層的獨立性、其成員的經(jīng)驗和職業(yè)道德水平、參與和監(jiān)督公司活動的范圍以 及其行為的適當性；影響因素還包括董事會和審計委員會對涉及公司計劃或業(yè)績等問題的詢問和質(zhì)疑 程度以及管理層解決這些問題的程度，董事會和審計委員會與內(nèi)、外部審計師的 交流和溝通程度。 組織結(jié)構(gòu) 公司的組織結(jié)構(gòu)提供了一個構(gòu)架，在此構(gòu)架中為實現(xiàn)公司目標對公司