【正文】 控制框架并非唯一的內(nèi)部控制框架，但卻是美國證券交易委員會唯一推薦使用的內(nèi)部控制框架，《薩班斯—奧克斯利法案》第404條款的“最終細則”也明確表明COSO內(nèi)部控制框架可以作為評估公司內(nèi)部控制的標準。因此，在對內(nèi)部控制進行評估時，管理層必須考慮以下每個組成要素：控制環(huán)境：控制環(huán)境是內(nèi)部控制體系的基礎(chǔ)，是有效實施內(nèi)部控制的保障，直接影響著公司內(nèi)部控制的貫徹執(zhí)行、公司經(jīng)營目標及整體戰(zhàn)略目標的實現(xiàn)。控制環(huán)境包括職業(yè)道德、員工的勝任能力、管理理念和經(jīng)營風格、組織結(jié)構(gòu)、權(quán)利和責任的分配、人力資源政策與措施、董事會與審計委員會以及反舞弊等內(nèi)容。在風險評估中，應識別和分析對實現(xiàn)目標具有阻礙作用的風險。包括批準、授權(quán)、查證、核對、經(jīng)營業(yè)績評價、資產(chǎn)保全措施和職責分工等活動。信息不僅包括內(nèi)部產(chǎn)生的信息，還包括與公司經(jīng)營決策和對外報告相關(guān)的外部信息。監(jiān)督：監(jiān)督是對內(nèi)部控制體系有效性進行評估的持續(xù)過程，包括持續(xù)監(jiān)督、獨立評估和缺陷報告等。2004年9月，COSO委員會發(fā)布《企業(yè)風險管理整體框架》，在內(nèi)部控制的基礎(chǔ)上，擴展、提供了一個更強有力的框架，更廣泛地專注企業(yè)的全面風險管理。公司仍可以決定依靠這個企業(yè)風險管理框架去滿足企業(yè)內(nèi)控的需要，通過采用更全面的風險管理方法使企業(yè)持續(xù)發(fā)展。這些要素包括： 內(nèi)部環(huán)境：內(nèi)部環(huán)境包含了一個企業(yè)的基調(diào)，為該企業(yè)管理層和員工審視和應對風險的方式制定基礎(chǔ)，包括風險管理理念和風險容量、誠信和道德價值觀以及他們進行經(jīng)營活動所處的環(huán)境。企業(yè)風險管理確保管理層使制定目標的流程到位，并保持選擇的目標支持企業(yè)的使命并與此并行不悖，同時這些目標也與企業(yè)的風險容量相一致?？梢栽诠芾韺又贫ㄆ髽I(yè)戰(zhàn)略或目標的過程中對機遇加以考慮。還應對企業(yè)固有風險及殘存風險進行評估?？刂苹顒樱捍_立和實施政策和程序，以有助于確保風險反應方案得以有效地貫徹執(zhí)行。從廣義上講，有效的溝通也應自上而下、自下而上地進行，貫穿整個企業(yè)。通過持續(xù)性監(jiān)督活動、獨立評估或兩者兼而有之來完成監(jiān)督。企業(yè)風險管理 COSO企業(yè)風險管理整體框架認為，企業(yè)風險管理是一個受到企業(yè)董事會、管理層和其他人員影響的過程，這個過程從企業(yè)戰(zhàn)略制定一直貫穿到企業(yè)的各項活動中，旨在識別那些可能影響企業(yè)的潛在事件并管理風險使之在企業(yè)的風險容量之內(nèi)，從而合理確保企業(yè)實現(xiàn)其既定目標。美國上市公司會計監(jiān)管委員會（PCAOB）是根據(jù)2002年7月30日美國總統(tǒng)喬治其宗旨在于通過準備獨立、準確的審計報告來保護投資者的利益，從而進一步保護公眾的利益。聯(lián)邦法律還要求PCAOB每年向SEC和美國國會中主管PCAOB的委員會同時提交報告。該流程涉及對交易進行記錄、記錄的維護以及對未經(jīng)授權(quán)的收購、使用或處置公司資產(chǎn)的行為進行防范或檢測的措施。運行有效性當設計恰當?shù)膬?nèi)控按設計運行，并且執(zhí)行內(nèi)控的相關(guān)人員具備有效執(zhí)行控制所需的權(quán)限和資格時，對于財務報告的內(nèi)部控制的運行是有效的。1 概 述 框架編制的目的通過確定內(nèi)部控制體系建設目標，明晰內(nèi)部控制體系建設的范圍和內(nèi)容，為公司建設以風險管理為核心內(nèi)容的內(nèi)部控制體系提供指引，以建立統(tǒng)一、規(guī)范、有效的內(nèi)部控制體系，增強公司風險防范能力，為公司戰(zhàn)略發(fā)展提供合理保障。以國內(nèi)及上市地法律法規(guī)為準繩，結(jié)合公司實際建立內(nèi)部控制體系。以COSO內(nèi)部控制整體框架為基礎(chǔ)，融合COSO企業(yè)風險管理整體框架的主要內(nèi)容，結(jié)合國家監(jiān)管部門的基本要求，全面開展內(nèi)部控制體系建設，覆蓋全部業(yè)務和部門。在公司現(xiàn)有管理體系的基礎(chǔ)上，依托已有管理優(yōu)勢，建立內(nèi)部控制體系。在保證體系設計合理性的前提下，提高公司運營效率和效益。 框架編制的思路與方法在現(xiàn)有內(nèi)控體系框架的基礎(chǔ)上，結(jié)合《COSO企業(yè)風險管理整體框架》的主要內(nèi)容，按照國資委《中央企業(yè)全面風險管理指引》的基本要求，增加控制目標和體系建設內(nèi)容，汲取國內(nèi)外其他公司內(nèi)部控制體系建設的先進經(jīng)驗，根據(jù)公司管理實際編制內(nèi)部控制體系框架?？蚣艽_定的工作目標將在今后分年度實施。 內(nèi)部控制體系建設指導思想充分認識公司建設內(nèi)部控制體系工作的嚴肅性、重要性和緊迫性，以《薩班斯—奧克斯利法案》的頒布為契機，以國資委發(fā)布的《中央企業(yè)全面風險管理指引》為指導，以提高公司管理水平為動力，依托已有的管理優(yōu)勢，適應公司國際化發(fā)展要求，開展以風險管理為核心內(nèi)容的內(nèi)部控制體系建設，為公司戰(zhàn)略發(fā)展提供合理保障，從而樹立和維護公司在國際資本市場誠信、穩(wěn)健和安全的良好形象。風險管理是受公司董事會、管理層和其他人員影響的過程，這個過程從公司戰(zhàn)略制定一直貫穿到企業(yè)的各項活動中，旨在識別那些可能影響公司目標的潛在因素并予以管理，使之在公司的風險容量之內(nèi)，從而為公司實現(xiàn)其目標提供合理保證。1）誠信與道德價值觀：建立涵蓋公司各個層面的員工職業(yè)道德規(guī)范，體現(xiàn)公司誠信與道德價值觀念，樹立員工誠信價值觀。3）管理理念與企業(yè)文化：確立公司管理理念，體現(xiàn)公司的經(jīng)營管理風格；確立公司風險管理理念，體現(xiàn)公司認知經(jīng)營管理風險所共有的信念和態(tài)度。公司高級管理人員應在繼承和發(fā)揚風險管理文化中發(fā)揮表率作用，中層管理人員應繼承和發(fā)揚風險管理文化的骨干作用。公司確定針對發(fā)展戰(zhàn)略的風險容量，體現(xiàn)公司在戰(zhàn)略制定與實施過程中愿意承受的風險范圍和風險水平，反映公司的風險偏好。公司確定風險容量和風險承受度，要正確認識和把握風險與收益的平衡，防止忽視風險，片面追求收益或者單純?yōu)橐?guī)避風險而放棄發(fā)展機遇。公司根據(jù)風險管理的總體目標，制定風險管理有效性標準。董事會負責督導公司內(nèi)部控制體系的建立和實施，督導公司將風險管理融入戰(zhàn)略管理之中，監(jiān)督公司以風險管理為核心內(nèi)容的內(nèi)部控制工作。6）組織結(jié)構(gòu)：建立規(guī)范的法人治理結(jié)構(gòu)，優(yōu)化組織結(jié)構(gòu)，明確部門權(quán)責并細化落實到各個崗位，規(guī)范組織機構(gòu)編制管理工作。建立健全公司內(nèi)部控制管理組織體系， 明確內(nèi)部控制組織體系的職責分工，形成包括董事會、審計委員會、管理層、內(nèi)控體系建設委員會、內(nèi)部控制管理部門、其他職能部門及各業(yè)務單位在內(nèi)的內(nèi)部控制管理組織體系。內(nèi)部控制管理工作應與其他管理工作緊密結(jié)合，把內(nèi)控管理的各項要求融入企業(yè)管理和業(yè)務流程中。8）人力資源政策與措施：建立完善的公司管理人員任用選拔、管理考核和激勵監(jiān)督等方面的政策。10）反舞弊機制：制定反舞弊相關(guān)制度，建立反舞弊機制。制定反舞弊控制措施，持續(xù)開展舞弊調(diào)查并進行違規(guī)處理。 風險評估風險是指未來的不確定性對公司實現(xiàn)其目標的影響。在風險評估中，既要識別和分析對實現(xiàn)目標具有阻礙作用的風險，也要發(fā)現(xiàn)對實現(xiàn)目標具有積極影響的機遇。公司風險評估工作由內(nèi)控部門組織有關(guān)職能部門和業(yè)務單位實施。2）風險評估的基本程序（1）信息收集。公司對收集的數(shù)據(jù)、信息和變化情況進行必要的篩選、提煉、對比、分類、組合，形成與公司風險管理相關(guān)的信息資料庫并不斷更新，以便進行風險評估。風險識別是指查找公司各項重要經(jīng)營管理活動及其重要業(yè)務流程中存在的影響目標實現(xiàn)的風險和機遇的過程。帶負面影響的因素代表風險，需要對其分析和應對；帶積極影響的因素代表機遇，在制定目標和政策實施過程中對其加以考慮并把握。公司從戰(zhàn)略發(fā)展的角度，識別公司層面面臨的所有重大的不利因素和有利因素，從而識別風險，發(fā)現(xiàn)機遇。② 業(yè)務活動層面風險識別。在業(yè)務流程描述的基礎(chǔ)上，以業(yè)務流程步驟為主線，全面識別影響目標實現(xiàn)的相關(guān)因素。風險評價是評估風險對公司實現(xiàn)目標的影響程度和風險發(fā)生可能性的過程。 （4）風險反應。風險反應方案包括回避風險、減少風險、分擔風險、接受風險。 控制活動控制活動是確保管理層關(guān)于風險應對方案得以貫徹執(zhí)行的政策和程序。公司應根據(jù)風險管理策略，針對各類風險或每一項重大風險制定相關(guān)的規(guī)章制度、控制政策和控制措施，確保風險控制在風險承受度的范圍內(nèi)。公司應當按照各有關(guān)部門和業(yè)務單位的職責分工，組織實施控制措施。2）針對業(yè)務活動層面風險，以公司層面控制政策為導向，規(guī)范業(yè)務流程，制定業(yè)務活動層面風險控制措施。制定風險控制文檔編制規(guī)范和模板，對業(yè)務流程進行風險控制分析，編制風險控制文檔（RCD），對控制的合理性、完整性進行分析。根據(jù)風險控制分析結(jié)果，補充、完善相關(guān)控制，規(guī)范、統(tǒng)一流程步驟、控制規(guī)范和記錄表單，建立規(guī)范、統(tǒng)一的業(yè)務流程。建立完善的關(guān)鍵控制確認方法，確定所有業(yè)務流程的關(guān)鍵控制并建立關(guān)鍵控制管理文件。通過實施信息系統(tǒng)自動控制，固化流程操作程序，提高控制執(zhí)行效率和效果。建立健全財務會計報告流程，完善財務會計報告相關(guān)制度。各級管理層開展經(jīng)營管理活動分析，對經(jīng)營管理情況實施審核和監(jiān)督。信息不僅包括內(nèi)部產(chǎn)生的信息，還包括與公司經(jīng)營決策和對外報告相關(guān)的外部信息。公司建立符合發(fā)展戰(zhàn)略并與經(jīng)營管理活動一體化的信息系統(tǒng)，為公司風險管理提供足夠的信息資源和順暢的溝通渠道。公司持續(xù)不斷地識別、收集、整理與歸納來自內(nèi)部與外部、經(jīng)營與管理的各種信息。2）信息溝通渠道。公司建立適當?shù)那?，與公司的相關(guān)方如供應商、客戶、律師、股東、監(jiān)管機構(gòu)、外部審計師，就相關(guān)信息進行必要的外部溝通。公司制定完善的信息披露管理制度，明確重大事項的判定標準和報告程序，確定披露事項的收集、匯總和披露程序，符合資本市場監(jiān)管要求。信息系統(tǒng)應實現(xiàn)信息在各職能部門、業(yè)務單位之間的集成與共享，既能滿足單項業(yè)務風險管理的要求，也能滿足企業(yè)整體和跨職能部門、業(yè)務單位的風險管理綜合要求。建立包括信息系統(tǒng)的控制環(huán)境、信息安全、項目建設管理、系統(tǒng)變更管理、系統(tǒng)運行維護、最終用戶操作等六方面內(nèi)容的信息系統(tǒng)總體控制規(guī)范與規(guī)章制度。全面識別應用系統(tǒng)相關(guān)風險，建立完善的應用系統(tǒng)控制規(guī)范，對應用系統(tǒng)的輸入、處理和輸出進行有效控制。公司確保信息系統(tǒng)穩(wěn)定運行和安全，并根據(jù)實際需要不斷進行改進、完善或更新。建立統(tǒng)一業(yè)務流程管理平臺，實現(xiàn)業(yè)務流程語言、設計規(guī)范、管理制度、控制措施、流程發(fā)布的統(tǒng)一管理，建成滿足全面風險管理，具有開放性、可拓展性的流程管理信息系統(tǒng)。包括持續(xù)監(jiān)督、獨立評估和缺陷報告等。1）持續(xù)監(jiān)督。公司各級管理部門、流程責任部門，在體系日常運行中，實施自我監(jiān)督和自我檢查，并將檢查、檢驗報告報送內(nèi)控管理部門。以風險為導向，建立完整的測試規(guī)范，定期對各部門和業(yè)務單位內(nèi)部控制體系有效性進行檢查和監(jiān)督。建立健全缺陷報告管理機制，制定缺陷認定規(guī)范，明確上報內(nèi)控缺陷的程序。3 組織結(jié)構(gòu)、職責與權(quán)限11 目的通過建立分工合理、職責明確、報告關(guān)系清晰的組織結(jié)構(gòu)，明確內(nèi)控管理決策機構(gòu)、管理機構(gòu)、執(zhí)行機構(gòu)和監(jiān)督機構(gòu)的責任和義務，確保本公司內(nèi)部控制的職責、權(quán)限及其相互關(guān)系得到規(guī)定和溝通，使本公司內(nèi)部控制體系得到有效運行。3為加強對內(nèi)部控制體系管理工作的組織和領(lǐng)導，各地區(qū)公司成立相應的內(nèi)控體系建設委員會。內(nèi)控體系建設委員會下設辦公室。331 公司內(nèi)控體系建設委員會主要職責1）審定內(nèi)部控制體系框架及實施計劃。3）協(xié)調(diào)解決內(nèi)部控制體系建設工作中的重大問題。5）負審定需要提交董事會或管理層解決的重大事項。13負責組織內(nèi)部控制及風險管理體系運行監(jiān)督考核；7）代擬股份公司管理層內(nèi)部控制評估報告，協(xié)助董秘局處理對外披露相關(guān)事宜；8）負責集團公司、股份公司內(nèi)部控制及風險管理業(yè)務培訓。33 公司各部門、專業(yè)分公司、地區(qū)公司職責1）審計部負責內(nèi)部控制體系執(zhí)行有效性的監(jiān)督，組織實施管理層測試，其主要職能包括：（1）編制管理層測試計劃和方案，經(jīng)管理層批準后組織實施；（2）按照審計規(guī)定和公司發(fā)布的內(nèi)部控制體系評價規(guī)范，每年定期組織實施管理層測試，對測試結(jié)果進行匯總、確認和分析，并分別向管理層和審計委員會匯報；（3）對被測試單位（股份公司機關(guān)、專業(yè)公司、地區(qū)公司）出具測試報告。3）信息管理部負責公司信息系統(tǒng)總體控制和應用控制管理制度的建立、運行維護工作。6）地區(qū)公司內(nèi)控建設是股份內(nèi)控體系的組成部分。地區(qū)公司的內(nèi)部控制管理接受公司內(nèi)部控制部領(lǐng)導。 要素控制環(huán)境包括誠信與道德價值觀、發(fā)展目標、管理理念與企業(yè)文化、風險管理策略、董事會及下屬委員會、組織結(jié)構(gòu)、權(quán)利和責任分配、人力資源政策與措施、員工勝任能力以及反舞弊機制等內(nèi)容。這些優(yōu)先選擇和價值判斷反映出公司管理層的誠信及其信奉的道德價值觀。公司制定戰(zhàn)略目標，并在此基礎(chǔ)上制定相關(guān)經(jīng)營目標、報告目標和合規(guī)性目標。經(jīng)營目標：與公司資源利用的效率和效果、防止公司不因災害性風險或人為失誤而遭受重大損失有關(guān)。合規(guī)性目標：與公司對適用法律和法規(guī)的遵循性有關(guān)。公司層面目標是指公司的總目標和相關(guān)戰(zhàn)略計劃，與高層次資源的分配和優(yōu)先利用相關(guān)。 管理理念與企業(yè)文化管理層的管理理念和企業(yè)文化會影響公司的管理方式，包括面對各種風險的態(tài)度。 繼承和發(fā)揚公司企業(yè)文化，體現(xiàn)公司的經(jīng)營宗旨、價值觀念和行為準則；將風險管理文化融入企業(yè)文化建設全過程。 董事會及下屬委員會控制環(huán)境和“高層管理基調(diào)”受到公司董事會及下屬委員會的重大影響。 組織結(jié)構(gòu)公司的組織結(jié)構(gòu)提供了一個構(gòu)架，在此構(gòu)架中為實現(xiàn)公司目標對公司活動進行規(guī)劃、執(zhí)行、控制和監(jiān)督。公司根據(jù)自身的需要來確定其組織結(jié)構(gòu)。 權(quán)利和責任分配包括對公司經(jīng)營活動的權(quán)限和職責分配、建立上下級報告關(guān)系和授權(quán)協(xié)議。 人力資源政策與措施人力資源政策引導員工達到公司期望的職業(yè)道德水平和勝任能力。 員工勝任能力勝任能力應反映出員工完成工作任務所需要的知識和技能。 反舞弊機制反舞弊機制不僅需要滿足合法性要求，而且應該具有預防性和及時性，受到公司管理層的直接監(jiān)督和重視。 誠信與道德價值觀 職業(yè)道德規(guī)范的制定及推行 內(nèi)控關(guān)注要點管理層應該向員工傳達職業(yè)道德規(guī)范，并且必須不折不扣地執(zhí)行。管理層應該在言談和行動中表現(xiàn)出對職業(yè)道德規(guī)范一絲不茍的遵循。2）公司對職業(yè)道德規(guī)范進行有效的宣傳推廣。 措施1）建立并推行高級管理人員的職業(yè)道德規(guī)范。（2）公司制定《中國石油天然氣股份有限公司高級管理人員職業(yè)道德建設制度》，將對高級管理人員職業(yè)道德規(guī)范的宣傳作為職業(yè)道德建設的重要工作內(nèi)容：①公司總裁是公司職業(yè)道德的倡導者，踐行的表率，也是公司職業(yè)道德建設的第一責任人。②公司將職業(yè)道德建設列入公司高級管理人員的培訓內(nèi)容，通過印發(fā)學習資料、把職業(yè)道德建設列入部分培訓班的學