内部控制介绍
中国石油化工股份有限公司内控办公室
方春生
内容提要
一、内控制度建设回顾
二、《内部控制手册》
三、内控检查评价
四、实施内部控制的效果及体会
中国石油化工股份有限公司简介
中国石油化工股份有限公司（简称“中国石化”）是中国最大的石油产品和主要石化产品生产商和供应商，中国第二大原油生产商，世界第三大炼油公司，拥有比较完备销售网络，境内外（上海、香港、纽约、伦敦）四地上市的股份制企业。 2008年中国石化集团公司列世界500强第16位。
中国石化现有全资子公司、控股和参股子公司、分公司等共90余家，包括油气勘探开发、炼油、化工、产品销售以及科研、外贸等，经营资产和主要市场集中在中国的东部、南部和中部地区。
中国石化组织结构
股东大会
董事会
股份公司总裁班子
炼、化
分（子）公司
监事会
董事会秘书局
战略委员会
审计委员会
薪酬与考核委员会
化工事业部
油田勘探开发事业部
油品销售事业部
炼油事业部
机关职能部门
总裁办公室
法律事务部
发展计划部
生产经营管理部
财务部
科技开发部
人事部
安全环保部
外事部
工程部
物资装备部
信息系统管理部
审计部
监察部
油
田
分
（子）
公
司
销
售
分
（子）
公
司
专
业
公
司
研
发
单
位
炼
油
部
分
化
工
部
分
中国石化内控制度定位
美国《萨班斯-奥克斯利法案》(2002)
香港联交所《企业管治常规守则》(2006)
上海证交所《上市公司内部控制指引》（2006)
国资委《中央企业全面风险管理指引》(2006)
五部委发布《企业内部控制基本规范》(2008)
财务、管理信息真实可靠；
保障资产安全完整；
规范经营行为，提高风险管理水平；
促进健全制度化管理体系；
完善法人治理结构。
法律法规要求
企业自身需要
中国石化采用的内控框架
内部控制是为遵循国内外监管要求，提高风险管理能力和经营管理水平，由公司董事会、管理层及其全体员工实施的，为经营活动的效率和效果、财务报告的可靠性、相关法律法规的遵循性等目标的实现而提供合理保证的过程。
COSO 扩充三个要素，
2004年9月推出：
“企业风险管理整体架构”
控制环境
风险评估
控制活动
信息与沟通
监督
COSO报告：内部控制–综合性框架
中国石化采用的内控框架（续）
COSO企业风险管理整体框架
运营
公司层面
分支机构
战略
报告
遵循
分、子公司
业务板块
监控
信息与沟通
控制活动
风险应对
风险分析
风险识别
目标设定
内部环境
（ERM）
2003年，总部编制《内部控制手册》
2004年，公司试行，分子公司制定实施细则
2005年，公司正式实施内控制度
2004～2008年，5次修订内控手册
2005～2008年，4次全面内控检查
2006 ～2008年，3次外部审计，无“披露缺陷”
内控制度的建设及实施概况
内控制度的建设过程
2003年上半年
2003年7-10月
2003年11月
2004年
2004年10月由董事会审议、批准
2002年下半年
管理层讨论、搜集资料
2005年
正式
实施
持续实施
检查
修订
总部成立领导小组、编制内控手册
总部组织到18家企业测试、定稿
动员培训、全面试行
总部部门编工作流程、分公司编实施细则
结合试行、组织修订
中国石化内控制度体系
内部控制度体系
中国石化《内部控制手册》（上、下册）
内部控制相关的管理制度（上、中、下册）
分公司《实施细则》
子公司《内控手册》
《研究院内部控制手册》
《内部控制手册》
内容提要
一、内控制度建设回顾
二、《内部控制手册》
三、内控检查评价
四、实施内部控制的效果及体会
《内部控制手册》的结构
内部控制基本要求
按业务分类控制的具体程序和措施
财务报告计划矩阵和业务控制矩阵
相关重要附件
内部控制手册的结构
总则
业务流程
控制矩阵
附则
权限指引
检查评价
不同管理层次、级别的权限规定
内控自我评价与考核办法
内控手册－总则
目的和意义、定义、原则、适用范围
内部环境
风险评估
控制活动
信息与沟通
内部监督
《内部控制手册》结构、生效、更新
总则包括七个方面
内控手册－总则
内部控制是由董事会、监事会、管理层和全体员工实施的、为经营管理合规合法、资产安全、财务报告及相关信息的可靠性，经营活动的效率和效果、发展战略的实现提供合理保证的过程。
主要由内部环境、风险评估、控制活动、信息与沟通、内部监督等五个要素构成。
（一）内部控制定义、原则、适用范围
内控手册－总则
（一）内部控制定义、原则、适用范围（续）
合规性原则
全面性与系统性原则
重要性原则
内部牵制及不相容原则
适应性原则
包容性原则
成本效益原则
内控手册－总则
合规性原则
企业内控制度必须符合国家的法律、法规和政策；符合股份公司上市地（上海、香港、纽约、伦敦）证券监管机构有关上市公司的法律、法规和要求。
内控手册－总则
包容性原则
《内部控制手册》是依据中国石化现行各项管理制度，为控制风险而编制的一系列业务流程控制体系，内容涵盖投资、生产、经营、财务、监督检查等方方面面。《内部控制手册》力求避免与其他制度相矛盾，尽可能包容不同企业现有的内控制度。对确实脱离实际的各项内部管理制度，应及时修改、完善，并以《内部控制手册》规定为准。
内控手册－总则
总部、分公司和全资子公司
分公司和全资子公司按照更严、更具体、更全面的原则，结合实际制定“实施细则”，总部一般不审批。
控股子公司参照制定手册
按照“业务覆盖、权限比照分公司”的原则制定，履行本公司董事会审批程序。
更具针对性
满足体制需要
（一）内部控制定义、原则、适用范围（续）
内控手册－总则
企业文化：设企业文化部，起草中石化文化建设纲要整合企业文化
员工守则：守法纪、讲诚信
治理结构：明确董事会及其审计委员会、监事会、总裁班子内控职责
组织机构：授权董事长决定机构，委派子公司股东代表、董事、监事；总部内控机构及企业内控机构
责任分配与授权：明确岗位分离，授权管理
人力资源政策：激励与约束相结合
反舞弊机制：建立举报投诉制度和举报人保护制度并公开
内部审计：两级审计机构，审计部门的内控职责
（二）内部环境
内控手册－总则
总部内部控制组织机构
财务部
法律事务部部
审计部
……
股份公司内部控制领导小组
组长：总裁
信息系统管理部
内控办公室
人事部
内控手册－总则
分子公司内部控制组织机构
企业内部控制领导小组
组长：分公司总经理
财务处
企管处
法律事务处
审计处
……
内控办公室
人事处
信息处
内控手册－总则
根据目标，各部门归口收集信息，确定风险承受度；
内部风险：高管人员、体制机制、技术创新、财务状况、安全环保等；
外部风险：经济市场政策、法律、社会、科技、自然环境等；
风险评估机制：各部门针对责任内控流程，总部、企业针对系统风险。
（三）风险评估
内控手册－总则
根据风险评估结果，采用相应控制措施，将风险控制在可承受度之内；
控制措施：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、计划控制、预算控制、合同管理控制、资金支付控制、信息技术控制、运营分析控制和绩效考评控制等；
综合运用控制措施：手工控制与自动控制、预防性控制与发现性控制相结合；建立重大风险预警机制和突发事件应急处理机制。
通过编制业务流程具体控制 ：18大类、59个流程。
（四）控制活动
内控手册－总则
信息资源归口管理，不断完善信息搜集机制；
信息系统集中管理，完善系统沟通平台；
对外信息披露由董秘局和总裁办公室审核、提供；
重要信息及时传递董事会、监事会和总裁班子。
（五）信息与沟通
内控手册－总则
日常监督：建立两级内部控制监督检查机制，持续性监督；
专项监督：针对内部控制某一或某些方面的监督检查；
股份公司每年评价，出具内部控制自我评价报告。
（六）内部监督
内控手册－总则
结构－六个部分
生效－董事会审批
更新－每年一次
（七） 《内部控制手册》结构、生效、更新
内控手册－控制流程
预算
采购
销售
成本费用
资金
资本支出
资产
关联交易
合并报表
重大事项
信息管理与披露
生产运行
安全环保
税务管理
合同管理
人力资源
信息系统控制
内部审计
内控手册业务流程分类
（18类、59个流程）
内控手册－控制流程
原油采购业务流程
进口原油代理业务流程
一般物资采购业务流程
……
采购类控制流程
原油销售业务流程
天然气销售业务流程
一般产品销售业务流程
……
销售类控制流程
内控手册－控制流程
一般物资采购业务流程
制度不健全
或有漏洞，执行
制度不到位和监
督考核不力,导
致违纪违规问题
发生。
物资采购合
同或协议不符合
国家法律、法规
、外贸政策和股
份公司内部规章
制度的要求，造
成损失。
…
资金分散
使用，付款
时间、方式、
金额不恰当
造成资金效
益的流失。
结算不及
时，多记、
错记、漏记
物资入库、
库存或应付
账款，导
致财务数据
不准确、不
完整。
…
分散对外采购，
不能形成整体和批
量采购优势，造成
采购资金浪费和流
失。
国内外采购割
裂，不能在全球范
围内搜寻资源，对
全球供应市场行情
缺乏了解、跟踪、
分析和研究，价格
监管不力，导致采
购性能价格比不合
理。
…
物资采购
过程公开、
规范有序、
合法合规。
物资采购
合同或协议
符合国家法
律、法规、
外贸政策和
股份公司内
部规章制度。
…
资金支付
安全。
会计核算
真实、准确、
完整、及时。 …
建立“统一
管理、统一采
购、统一储备
、统一结算”
的物资采购供
应管理体制。
按质按量
按时和经济高
效地满足生产
建设物资需求。
…
合规风险
财务风险
经营风险
合规目标
财务目标
经营目标
（二）业务风险
（一）业务目标
内控手册－控制流程
一般物资采购业务流程（续）
（三）业务流程步骤与控制点
物资供应职责的界定
物资计划编制与审核
采购渠道确定与控制
采购价格确定与控制
框架协议和采购合同签订与审批
供应过程控制
绩效评价、考核与监督
采购资金使用和控制
内控手册－控制流程
一般物资采购业务流程控制点举例：
物资供应部门内部实行计划、采购、质检、合同审核、申请付款等环节相互监督的分段管理模式。【ERP】各分（子）公司物资供应部门在ERP系统中设计计划、采购等岗位的权限时，应遵从内部牵制及不相容原则。
【ERP】对于超过合同有效期3个月以上未执行完成的采购订单，分（子）公司物资供应部门要及时核销。维护采购订单交货容差时依据分（子）公司相关规定执行。
内控手册－控制流程
（四）相关制度目录 （制度后标号为《内控手册配套规章制度汇编》目录索引号）
1.关于印发《中国石油化工股份有限公司对外贸易管理规定》的通知（石化股份外[2003]274号）
……
一般物资采购业务流程（续）
内控手册－控制流程
一般产品销售业务流程
产品销售不
符合国家有关法
律、法规和股份
公司内部规章制
度，受到处罚。
产品销售合
同不符合合同法
等国家法律、法
规和股份公司内
部规章制度的要
求，造成损
失。
…
虚增或截留
收入，多记或
少记应收账
款，导致财务
数据失真。
核算不正
确，造成财务
数据不准确。
…
随意降价导致收
入减少。
擅自提价导致市
场丢失。
…
产品销售
符合国家有
关法律、法
规和股份公
司内部规章
制度。
…
核算规
范，保证销售
收入及应收账
款的真实、准
确、完整。
…
获取经营
利润。
扩大市场
份额。
…
合规风险
财务风险
经营风险
合规目标
财务目标
经营目标
（二）业务风险
（一）业务目标
内控手册－控制流程
一般产品销售业务流程（续）
（三）业务流程步骤与控制点
接受客户订单与编制销售计划
客户主数据维护和信用审核
确定销售价格
签订销售合同
开票和收款
发货
财务记账
编制销售日报表
催收账款
月末盘点
分析与考核
内控手册－控制流程
一般产品销售业务流程控制点举例：
主数据维护员按审核后的客户信息在ERP系统中维护客户主数据。系统信用主数据应设置为高风险级别或零信用。
分（子）公司营销和财务等部门共同建立客户信用动态档案，并至少每年更新一次，由不相容岗位人员提出划分、调整客户信用等级的方案；根据客户信用等级和企业信用政策，拟定客户信用具体的限额和时限，经营销及财务部门负责人审核后，报分（子）公司经理或信用管理领导小组审批。财务部门按照审批结果在ERP系统中维护客户信用主数据。
内控手册－控制流程
（四）相关制度目录 （制度后标号为《内控手册配套规章制度汇编》目录索引号）
1.关于印发《中国石油化工股份有限公司应收款项管理实施细则》的通知（石化股份财 [2007]506号）
……
一般产品销售业务流程（续）
内控手册－控制流程
2009版内控手册共计1272个控制点，分类如下：
161
429
843
1272
数量
ERP控制点
与财务报告相关控制点
管理相关控制点
合计
控制点
内控手册－控制矩阵
为更好地遵循外部监管要求，同时便于落实内部管理责任，编制财务报告计划矩阵和每项业务的控制矩阵。
内控手册－控制矩阵
财务报告计划矩阵：旨在将会计报表项目和监管事项与业务流程建立联系，以确保内控制度合理保证对外披露的会计报告及重大事项真实可靠。
内控手册－控制矩阵
业务控制矩阵：明确每一控制点的“目标、风险、责任单位、不相容岗位、分值、记录文档、相关制度索引、会计报表认定、会计报表”，便于落实内部控制责任。
特别是：对每一控制点都进行“业务风险”描述，容易识别内部控制设计是否必要和充分，体现内部控制以全面风险管理为导向的基本要求。
内控手册－权限指引
授权是内部控制的重要手段。为适应公司一级法人为主的经营体制，达到“授权有度、风险受控”的目的，按照分级授权的指导思想，特别制定了《权限指引》，统一规范权限管理。
（一）制定权限指引，明确责任和授权
内控手册－权限指引
（二）权限控制指标的定义
《权限指引》中的权限为该项业务的决定权、审批权、最终处置权，不包括过程中的建议权、拟议权。
内控手册－权限指引
（三）权限控制指标的设置原则
内部往来业务从宽，直接对外的业务事项从严；
经批准的预算（计划）内授权从宽，预算外从严；
常规授权从宽，特别授权及转授权从严。
内控手册－权限指引
按照企业的业务规模分为大、中、小三类；
不同板块的企业，根据业务性质设置不同权限；
分公司在实施过程中可以制订向下延伸的权限级别；
子公司按照“子公司体制、分公司地位”的原则，比照分公司权限执行 。
（四）《权限指引》的企业分类及应用
内控手册－权限指引
（五）《权限指引》的结构
《权限指引》列表，以矩阵式表格描述，由横向、纵向两个指标体系构成。
编制权限指引说明，对权限指引表中事项进行统一解释。
内控手册－检查评价与考核
总部检查评价
内控领导小组（办公室）组织年度综合检查评价
审计部独立检查评价(不少于25家)并检查总部
单位自查评价
企业自查评价：部门内控流程测试、综合检查评价（审计参与）
总部部门自查及对口抽查评价
两级监控评价机制
（一）检查评价
内控手册－检查评价与考核
设“内部控制执行情况”指标: 根据年度综合检查评价结果及执行情况，只扣不奖
高层管理人员业绩奖金考核：设2分、5分、10分三档
单位经营目标考核： 设1分、2分、5分三档
（二）内控考核
内控手册－附则
内控业务流程总部部门联系人
《内部控制手册》控制流程适用单位
内控手册配套规章制度目录及索引
员工守则
附则
内容提要
一、内控制度建设回顾
二、《内部控制手册》
三、内控检查评价
四、实施内部控制的效果及体会
每年组织内控检查评价
管理层组织内控综合检查评价
外部审计师对财务报告内控审计
内控自我评价依据
《内控检查评价与考核办法》及指引
依据内控手册，检查内部控制健全性（设计）
依据适用的内容、范围，检查内部控制符合性（执行）
内控自我评价依据（续）
内控自我评价方式
中国石化从“量化评分”和“内控缺陷认定”两个方面进行内控评价，满足内控考核和外部监管的要求。
内控自我评价内容
内控环境、要素评价（10分）
单位自查情况评价（20分）
业务流程综合检查评价（70分）
内部控制缺陷认定（修正总得分）
整改落实（年终考核修正总得分）
内控自我评价范围
总部：各管理部门
企业：各管理部门、所属单位
企业所属全资、控股、参股子公司原则上全部检查，直属单位至少抽查3个单位。
内控自我评价流程图
编制内部控制自我评价报告
修订完善
补救整改
组织现场检查
制定检查方案，报内控领导小组批准
报告管理层
健全性测试
符合性测试
检查汇总结果
集中培训检查人员
现场检查评价步骤
见面会
掌握基本情况
分析/定范围
抽样、访谈等
缺陷认定
填写底稿
签字确认
编写报告
讲评会
交换意见
汇报内控办公室
审计部
检查结果
现场检查小组
评分/评价
内控环境、要素评价（10分）
主要内容包括7个方面（访谈、检查证据）：
诚信与道德；
责任分配与授权；
组织结构 ；
管理哲学与经营风格 ；
人力资源政策与实务 ；
信息与沟通 ；
监督
检查组长或副组长填写“企业内部环境检查评价表”
内控环境、要素评价（续）
企业自查情况评价（20分）
控制流程季度穿行测试（10分）
企业半年度内控自查（10分）
检查人填写“企业自查评价表”，被检查单位内控办主任签字确认。
企业自查情况评价（续）
控制流程检查评价（70分）
检查人员参照《内控检查评价指引》检查评价，填写“业务流程检查工作底稿”
与财务报告相关的控制点，还应填写“财务报告相关控制点抽样记录表”
“业务流程检查工作底稿” 和“财务报告相关控制点抽样记录表”需经检查人、被查单位责任人签定确认。
控制流程检查评价（续）
控制流程检查工作底稿
控制流程检查评价（续）
财务报告相关控制点抽样记录表
内控缺陷的分类
影响会计报表缺陷
其他会计信息质量缺陷
IT控制缺陷
内控重大事故事件缺陷
内部控制缺陷
企业内部管理缺陷
财务报告缺陷
内控缺陷是指在内控设计和运行方面，已经发生的内控程序不足或产生不足的可能性。
内控缺陷的划分等级
财务报告缺陷
内部管理缺陷
填写“内部控制缺陷认定汇总表”
实质漏洞
重要缺陷
一般缺陷
结果
结果
一般缺陷
一般情况下
内控缺陷的扣分
一般缺陷：发现一处扣减总得分的1%
重要缺陷：发现一处扣减总得分的50%
实质漏洞：综合检查得分为零
内控缺陷的认定
检查人填写“内部控制缺陷认定汇总表”，被查单位内控办公室主任签字确认。
内容提要
一、内控制度建设回顾
二、《内部控制手册》
三、内控检查评价
四、实施内部控制的效果及体会
效果之一：促进健全制度化管理体系
综合
发展规划
规章制度
采购
销售
信息系统
财务
科技开发
控制环境
监督
风险评估
控制活动
信息与沟通
……
……
梳理
补充
完善
COSO框架
总部内部控制范围不断扩大、内容不断深化、优化：控制流程由43个增加到59个，运用信息系统控制、评价标准提高，建立颁布规章制度审核机制；
分子公司制度体系不断创新、完善：重新划分岗位职责、再造流程、完善制度，形成《职责划分手册》、《工作程序、业务流程手册》和《规章制度手册》制度化管理体系。
不断扩大、深化内部控制，逐步形成以内控制度为保障、具有中国石化特色的制度化管理体系。
促进健全制度化管理体系（续）
统一物资采购、工程项目、修理业务等内部招标管理；
建立主要原料、产品内部损耗标准，生产经营管理精细化；
初步建立IT风险控制体系，增强风险防范能力；
设法律部门及总法律顾问，制定各类合同示范文本，法律意识增强；
财务管理职能拓宽，会计基础工作加强，外部审计问题逐年减少；
结合内控审计，提高审计效率和效果，更好地审计追踪。
效果之二：提高企业管理水平
中国石化总部层面：
加快新建、新并入企业建章立制的进程；
厘清管理权责：合理设置机构、划清领导、部门、关键岗位职责等；
健全管理标准：各种定额、合理库存、专项费用、印章使用、票据管理等；
重新规范业务操作程序：合同审批、价格变动审批、赊销审批、资金支付审批等；
运用信息系统，提高管理效率：融入ERP控制、建立综合审批系统等。
提高企业管理水平（续）
中国石化企业层面：
效果之三：满足外部监管要求
趋势④=③/（②*可比系数）
26
74
243
非披露缺陷③
32
34
21
检查企业数量②
1179
1149
998
内控手册控制点①
2008
2007
2006
年度
外部审计师历年内控评价
满足外部监管要求（续）
趋势④=③/（②*可比系数）
580
1002
1189
未执行控制点③
40
82
79
检查企业数量②
1179
1149
998
内控手册控制点①
2008
2007
2006
年度
中国石化历年内控评价
投资、工程项目集中
物资采购、原油采购集中
产品销售专业化
资金集中（贷款、担保、收支两条线）
效果之四：保障公司体制改革
中国石化总部层面：
中国石化企业层面：
促进新并入的企业融入中国石化
加快重组企业内部整合步伐、理顺管理机制
内部环境是影响、制约企业内部控制建立与执行的各种内部因素的总称，是实施内部控制的基础。
效果之五：促进内部环境建设
颁布《员工守则》，倡导风险、诚信经营理念，内控意识不断加强，企业由“要我内控”变为“我要内控”；
对外发布《企业社会责任报告》；
设企业文化部，编写文化整合纲要，整合企业文化；
改革审计机构、加强审计力量；
颁发《中国石化监督制度汇编》，完善反舞弊机制。
充实董事会及其委员会、监事会、总裁班子等议事规则、工作规则的内容，完善“三重一大”等集体决策机制，决策、监督、执行的职责更加明确；
内控制度作为载体，将外部监管、公司治理要求具体落实到经营管理每个环节。
效果之六：完善公司治理结构
内部控制与公司治理目标一致，规避企业风险，追求可持续发展。
实施与国际接轨的内控制度，增加对外合作的话语权，有力地支持企业实现“走出去”战略。
效果之七：增强对外合作的能力
有利于中外合营公司的管理体制机制、管理制度的对接；
有利于含有外资成分的控股、参股公司日常管理；
有利于境外合作，加快“走出去”步伐。
体会之一：领导重视参与是关键
中国石化自2003至2008年：
集团公司党组听取汇报9次，总裁班子听取汇报30多次；
总部两次召开全系统会议，18次集中培训各级领导干部3000多人次；
组织4次全面检查，年均组织300多人、耗时一个多月；
总部组织4次修改，04、05、06、07年董事会分别审议通过；
总部6年参与内控建设、检查与修订，约6万个工作日（48万小时）。
体会之二：内控实施要循序渐进
初期目标：合规内控
现时目标：管理内控
未来目标：价值内控
内部控制总目标：逐步形成内部环境良好、决策程序科学，业务流程清晰、经营管理规范，风险控制有效的内部控制体系，保障实现中国石化发展战略。
总部集中培训：试行、实施、检查评价、年度更新；
赴企业现场培训：总部已对70%的企业现场培训；
专项培训：主要安排新建、落后的企业系统培训；
组织交流：分板块组织现场交流、研讨；
企业培训：全方位、多层次， 05、06、07年分别培训超过10万人次，累计接近股份公司员工总数；
培训形式深化，主要领导亲自培训，新进员工培训，培训主体由内控部门转向专业归口部门，结合日常管理。
体会之三：持续培训是基础
体会之四：检查考核是保证
全面检查评价与专项检查相结合
考核内控执行情况
体会之五：内控工作任重道远
与其他管理体系的融合：全面风险管理、ISO、HSE等；
传统管理理念：“人治”因素、管理习惯等长期影响；
国企体制障碍：“新三会”与“老三会”关系难以协调；
期待内控理论创新、统一政策引导；
内控专业人才的培养。
E-mail: sinopeccwc@
谢谢各位！
欢迎批评
箭头直接到14张幻灯片（13张已放映过）
三角按钮回上一张幻灯片
箭头直接连接到19张幻灯片（17、18已放映过）
三角形可以链接到24张幻灯片
箭头可以链接到第22张幻灯片
三角形可以链接到24张幻灯片
箭头可以链接到第22张幻灯片
