【文章內(nèi)容簡介】 1. 手冊中明確的控制措施是基于單位現(xiàn)有的風險評估結(jié)果而制定的可用控制措施，然而由于單位的風險及其評估結(jié)果可能發(fā)生變化，因此內(nèi)部控制手冊中的控制措施的重要性及其有效性也可能發(fā)生改變。2. 手冊中的控制活動可能因人員簡單操作差 錯、人員串通舞弊、管理當局凌駕于內(nèi)控體系之上以及控制成本效益限制等情況失效，從而無法為單位內(nèi)部控制有效性以及風險控制提供合理保證。3. 手冊中的控制措施的實施依賴于單位職 工對措施本身的理解，行使內(nèi)部控制職能的人員素質(zhì)不適應(yīng)崗位要求，或?qū)?nèi)部控制措施理解出現(xiàn)偏差等情況也會影響風險管理與內(nèi)部控制功能的正常發(fā)揮。5第六節(jié) 內(nèi)部控制總體架構(gòu)與相關(guān)定義術(shù)語一、內(nèi)部控制總體架構(gòu)內(nèi)部控制總體架構(gòu)可以分為三個層次：單位層面控制、業(yè)務(wù)層面控制、內(nèi)部控制自我評價。在單位層面控制中，本單位成立內(nèi)部控制實施工作領(lǐng)導(dǎo)小組，在實施小組領(lǐng)導(dǎo)下，明確全局職能和工作機制，制定部門及關(guān)鍵崗位責任制、建立風險管理機制，并設(shè)計相應(yīng)的管控方式。在業(yè)務(wù)層面控制中，對常規(guī)經(jīng)濟活動，采用流程控制，將制衡機制嵌入業(yè)務(wù)流程，對其預(yù)算管理、資產(chǎn)管理、政府采購、收支管理、合同管理等活動中存在的風險進行管控。對專項資金，本單位建立了業(yè)務(wù)“處室負責制、歸口控制、內(nèi)部監(jiān)督”三維控制體系，業(yè)務(wù)處室負責對處室內(nèi)專項資金的縱向流程管控，歸口部門或崗位負責對專項資金使用的不同環(huán)節(jié)進行歸口控制，內(nèi)部監(jiān)督機構(gòu)通過制定內(nèi)部審計流程、建立信息反饋機制、抽查考核、績效考評等方式對專項資金使用的全過程進行監(jiān)督。建立三維管控體系，確保高質(zhì)高效地使用專項資金。在內(nèi)控自我評價層面中，對內(nèi)部控制設(shè)計有效性和內(nèi)部控制執(zhí)行有效性進行評價，不斷完善我局內(nèi)部控制體系。6 單 位 層 面 控 制 內(nèi) 控 工 作 領(lǐng) 導(dǎo) 小 組 部 門 及 關(guān) 鍵 崗 位 責 任 制 工 作 職 能 及 工 作 機 制 風 險 管 理 機 制 管 控 方 式 業(yè) 務(wù) 層 面 控 制 常 規(guī) 業(yè) 務(wù) 管 理 ? 業(yè) 務(wù) 流 程 控 制 ： ? 統(tǒng) 一 業(yè) 務(wù) 流 程 ? 不 相 容 崗 位 牽 制 ? 內(nèi) 部 授 權(quán) 審 批 ? 會 計 控 制 … 專 項 資 金 管 理 內(nèi) 部 審 計 監(jiān) 督 信 息 反 饋 機 制 結(jié) 果 抽 查 考 核 績 效 考 評 內(nèi) 控 自 我 評 價 內(nèi) 部 控 制 設(shè) 計 評 價 內(nèi) 部 控 制 執(zhí) 行 評 價 內(nèi) 部 控 制 總 體 架 構(gòu) 圖 歸 口 控 制 預(yù) 算 收 支 資 產(chǎn) 政 采 基 建 合 同 處 室 負 責 制 責 任 處 室 項 目 名 稱 …處 … 處 …處 … … 內(nèi) 部 監(jiān) 督 7二、相關(guān)定義與術(shù)語1. 內(nèi)部控制：指單位為實現(xiàn)控制目標，通過 制定制度、實施措施和執(zhí)行程序， 對經(jīng)濟活動的風險進行防范和管控。2. 風險：指未來的不確定性對單位實現(xiàn)其運營目標的影響。（1） 影響是指與預(yù)期結(jié)果的偏離（積極或消極）。（2） 目標可以有不同的方面，例如：財務(wù)、健康和安全、以及環(huán)境目標。目標同 時可以適用于不同的層面，例如，戰(zhàn)略、組織和過程。（3） 風險經(jīng)常被標注為潛在的事件、后果或者兩者的 結(jié)合、以及他們對期望達成目標的影響。（4） 風險經(jīng)常被解釋為 一個事件及其后果的 結(jié)合，或一個狀態(tài)的變化以及相關(guān)的發(fā)生可能性。3. 風險源：指任何單獨或聯(lián)合的、具有內(nèi)在潛力引起風險的事件。4. 事件：指發(fā)生或改 變一系列情況的事物（一個特定 時期內(nèi)，在一個特定地點所發(fā)生的事態(tài)）。通常，事件有如下幾種解讀：（1） 一般來說，事件的特性、可能性和后果不能完全可知。（2） 事件可以是一個或多個事件，也可以有多個原因造成。（3） 與事件相關(guān)的可能影響是可以確定的。（4） 事件可以由一個或多個未發(fā)生的情況組成。（5） 有后果的事件有時被稱為“事故” 。（6） 一個未發(fā)生損失的事件也可稱為“隱患” 。5. 風險類別：是由屬性相同的多個 風險源或事件 組成。風險類別反映了在進行風險分析時應(yīng)該考慮的主要方向。進行風險分析時，通常以風險類別為起點來辨識每一個風險類別內(nèi)的風險源或事件。隨著時間和內(nèi)外環(huán)境的變動，單位通常面臨著上千個動態(tài)的風險源或事件。但是這8上千個動態(tài)的風險源或事件，通常可以歸納成幾十個常態(tài)的風險類別。6. 風險識別：指查找單 位各業(yè)務(wù)單元、各 項重要經(jīng)濟活動及其重要業(yè)務(wù)流程中有無風險，有哪些風險。7. 風險分析：指對辨識 出的風險及其特征進 行明確的定義描述，分析和描述風險發(fā)生可能性的高低、風險發(fā)生的條件。8. 風險評價：指評估風險對單 位實現(xiàn)目標的影響程度、 風險的價值等。9. 風險承受度：指單位能 夠承擔的風險限度，包括 單位層面風險承受能力和業(yè)務(wù)層面的可接受風險水平。10. 風險規(guī)避：指單位 對超出風險承受度的 風險，通過放棄或者停止與該風險相關(guān)的業(yè)務(wù)活動以避免和減輕損失的策略。11. 風險降低：指單位在 權(quán)衡成本效益之后，準 備采取適當?shù)目刂拼胧┙档惋L險或者減輕損失，將風險控制在風險承受度之內(nèi)的策略。12. 風險轉(zhuǎn)移：指單位準備借助他人力量，采取 業(yè)務(wù)分包、購買保險等方式和適當?shù)目刂拼胧?，將風險控制在風險承受度之內(nèi)的策略。13. 風險承受：指單位 對風險承受度之內(nèi)的 風險，在權(quán)衡成本效益之后，不準備采取控制措施降低風險或者減輕損失的策略。14. 控制措施：包括不相容崗位分離控制、內(nèi)部授 權(quán)審批控制、歸口管理、預(yù)算控制、財產(chǎn) 保護控制、會 計控制、 單據(jù)控制、信息內(nèi)部公開等。15. 控制痕跡：控制痕跡即為“相關(guān)文檔” ，是指采取控制措施所留下的證據(jù)，可以是紙質(zhì)書面文件、業(yè)務(wù)流轉(zhuǎn)表單、會議紀要、電子文檔記錄等。9第七節(jié) 內(nèi)部控制流程圖說明。自上而下表示流程發(fā)展的時間或邏輯順序。單位順序從左至右按級別排序職能帶中的部門順序。序號 圖例 名 稱 圖例說明1 職能帶 表示職能部門2 分隔符 表示流程中的主要環(huán)節(jié)3 連接線 用來連接兩個工作步驟；表示層層步驟在順序中的進展；連接的箭頭表示一個過程的流程方向4 準備 流程的開始5 進程 記錄此控制點的工作內(nèi)容簡述6 文檔 表示以文本形式存在的文件、制度、表單等，內(nèi)容為文件、表單的全稱7 判定 判斷/決策的標志。用來表示 過程中的一項判定或一個分岔點。8 預(yù)先定義 的進程 予流程。即：套取的其他流程9 終結(jié)符 流程的結(jié)束10 通過或不通過 邏輯符號 描述流程的邏輯10第二章 風險評估與控制第一節(jié) 風險評估風險評估是單位及時識別、系統(tǒng)分析經(jīng)營活動中與實現(xiàn)管理目標相關(guān)的風險，合理確定風險應(yīng)對策略的過程，是風險管理的基礎(chǔ)與核心。在風險評估中，既要識別和分析對實現(xiàn)目標具有阻礙作用的風險，也要發(fā)現(xiàn)對實現(xiàn)目標具有積極影響的機遇。風險評估的基本流程包括風險初始信息收集、風險的識別、分析與評價、風險管理策略與選擇等。單位在日常經(jīng)營中充分、連續(xù)搜集風險管理信息，根據(jù)自身業(yè)務(wù)特點，選用具備可兼容性的風險分析技術(shù)，對風險管理信息進行辨識、計量、評估、分析，采用適當?shù)娘L險控制技術(shù)方法，并形成相關(guān)記錄，為應(yīng)對風險提供相應(yīng)控制策略依據(jù)。一、評估部門風險評估由內(nèi)部控制主管處室負責計劃、組織和安排具體工作；組織財會、資產(chǎn) 管理、采購、基本建 設(shè)、內(nèi)部審計 、紀檢監(jiān)察等處室或崗位工作人員成立風險評估小組，進行風險評估工作。評估人員在梳理各類經(jīng)濟活動的業(yè)務(wù)流程、明確業(yè)務(wù)環(huán)節(jié)的基礎(chǔ)上，系統(tǒng)分析經(jīng)濟活動風險，確定風險點，并據(jù)此選擇控制方法和應(yīng)對措施。二、評估周期及方法：單位對內(nèi)部經(jīng)濟活動的風險評估至少每年進行一次，在全面、系統(tǒng)、準確分析單位各經(jīng)濟業(yè)務(wù)活動風險的基礎(chǔ)上，繪制各業(yè)務(wù)事項的流程圖，確定經(jīng)濟活動的風險點，剖析風險存在的原因，以及導(dǎo)致風險發(fā)生的可能性，以確保新的風險得到及時有效的控制。同時，11對預(yù)算、收支等高風險經(jīng)濟活動業(yè)務(wù)，開展不定期評估，建立風險預(yù)警系統(tǒng)，有效地防范和管控風險。：單位內(nèi)部控制的風險分析，采用以定性、定量相結(jié)合的方式，從風險 可能性、風險影響度等方面進行評估。（1）可能性定性的測度很可能：即在多數(shù)情況下預(yù)期可能發(fā)生?？赡埽涸谀承r候可能發(fā)生。不太可能：在多數(shù)情況下都不太可能發(fā)生。表 1 風險評估的五級評分（示例）評分可能性 1 2 3 4 5可能性定量分析 10%以下 10%~30% 30%~70% 70%~90% 90%~100%風險可能性測度 不太可能 可能 很可能極低 較低 中等 較高 極高一般情況下不會發(fā)生在極少情況下才會發(fā)生會在某些情況下發(fā)生會在較多情況下發(fā)生經(jīng)常會發(fā)生風險可能性測度的描述 在之后 10年發(fā)生的可能少于1 次在之后 5至 10 年內(nèi)可能發(fā)生1 次在之后 2至 5 年內(nèi)可能發(fā)生1 次在之后 1年內(nèi)可能發(fā)生 1 次在之后 1年內(nèi)至少發(fā)生 1 次（2）影響程度分析的測度重大：對目標實現(xiàn)有重大影響，如發(fā)生，將造成極大的損失。次重要：對目標實現(xiàn)有中等程度的影響，如發(fā)生，將造成一定的損失。不重要：目標實現(xiàn)不受影響，如發(fā)生，將造成較低的損失。單位應(yīng)當基于自身的定位和特色，利用專業(yè)的評估工具對內(nèi)外部風12險進行量化的分析，對風險可能發(fā)生的頻率和后果賦值，計量風險的嚴重程度，同時設(shè)定本單位對風險的容忍限度，對診斷出的所有風險進行排序，隨后建立相應(yīng)的風險數(shù)據(jù)庫和風險分析排序表，制定正確的風險應(yīng)對策略。表 2 風險評估的影響程度（示例）評分影響程度 1 2 3 4 5風險影響程度定量分析損失低于100 元造成損失100 元~2022 元造成損失2,000 元~10,000 元造成損失10,000 元~1000,000元造成損失1,000,000元以上風險影響程度測度 極低 較低 中等 較高 極高財務(wù)影響 極低的財務(wù)損失 較低的財務(wù)損失 中等的財務(wù)損失 重大的財務(wù)損失 極大的財務(wù)損失 聲譽影響負面消息未使單位聲譽受損 負面消息造成單位聲譽輕微受損負面消息造成單位聲譽中等受損負面消息造成單位聲譽重大受損負面消息造成單位聲譽災(zāi)難性受損風險影響程度測度描述不會影響單位的日?；顒訉挝蝗粘；顒佑休p度影響， 對單位日?；顒佑兄卸扔绊?對單位日常活動造成重大影響對單位日?；顒釉斐蔀?zāi)難性性影響（3）風險識別矩陣單位風險評估小組（或部門）根據(jù)風險分析的結(jié)果，結(jié)合風險承受程度，對各層 面的分析進行排序分析，形成風險識別排序表和風險識別矩陣。 風險識別 排序表根據(jù)風險評分自高到低排序。風險識別矩陣對各類風險進行區(qū)分（如 表 3），其中：風險影響度列 為“重大”、可能性為“ 很可能” 的風險列 為一級風險 ，風險影響度列為“重大”或“ 次重要”、可能性為“可能”或“ 很可能” 的風險列為二級風險，風險 影響度列為“不重要”或“ 次重要” 、可能性為“可能 ”或“不太可能”的風險列為三級風險。單位根據(jù)上13述風險分析方法，分別確定各管理業(yè)務(wù)層面的風險點，并確定相應(yīng)的后續(xù)應(yīng)對策略。表 3 風險分析的識別矩陣（示例）低 中 高極低 較低 中等 較高 極高可能性影響程度0~1 1~2 2~3 3~4 4~5極高 4~5 二級 二級 一級 一級 一級高較高 3~4 三級 二級 二級 一級 一級中 中等 2~3 三級 三級 二級 二級 一級較低 1~2 三級 三級 三級 二級 二級低極低 0~1 三級 三級 三級 三級 二級三、評估步驟1. 風險初始信息收集（1）內(nèi)部控制主管處室負責對單位內(nèi)、外部環(huán)境的相關(guān)信息進行系統(tǒng)收集、更新及維護。外部環(huán)境包括社會、政治、法律、經(jīng)濟環(huán)境，以及對組織目標有影響的關(guān)鍵驅(qū)動因素和發(fā)展趨勢等；內(nèi)部環(huán)境包括組織架構(gòu)、角色和責任、 組織 文化、管理特色、 財務(wù) 因素、信息系統(tǒng)、信息流和決策過程等。（2）各有關(guān)職能處室負責收集與其職能相關(guān)的風險管理初始信息，并對收集到的風險管理初始信息進行更新和維護，由內(nèi)部控制主管處室進行指導(dǎo)和監(jiān)督。（3）單位通過內(nèi)部討論、數(shù)據(jù)收集、外部溝通等方式對信息進行收集。由于信息的多樣性與廣泛性，單位通過建立的相應(yīng)規(guī)范流程與標準模板，對信息 進行系統(tǒng)篩選、提煉、 對比、分 類和組合。同時， 單位通過風險信息收集的匯報與監(jiān)督機制，確保風險初始信息的收集充分、有效。142. 風險的識別、分析與評價（1）風險評估小組針對風險分類、風險評估標準、風險模板、應(yīng)對策略制定原則等內(nèi)容，對各相關(guān)處室開展培訓(xùn)，并組織各處室的風險評估人員進行風險信息的收集以及風險事項的識別，分析風險的原因和后果，評價風險的重要性水平。由風險評估工作小組負責匯總、整理、排序各處室提交的風險評估結(jié)果，根據(jù)評估分值確定風險等級，匯總、整理出風險評估初步結(jié)果。（2）單位采用定性與定量相結(jié)合的方法對風險進行識別、分析、評價。定性方法包括問卷調(diào)查、集體討論、管理層訪談、專家咨詢、情景分析、政策分析、調(diào)查研究等。定量方法包括采用統(tǒng)計推論（如集中趨勢法）、計算機模 擬（如蒙特卡羅分析法）、失效模式與影響分析、事件樹分析等。3. 風險管理策略與選擇（1）單位根據(jù)自身情況確定風險偏好和風險容忍度，通過正確認識和把握風險與收益的平衡，明確各項風險的管理策略，包括：風險規(guī)避、風險承受、 風