内部控制检查评价与考核办法

2008年E－1中国石油化工股份有限公司内部控制检查评价与考核办法第一章总则第一条为加强中国石油化工股份有限公司（以下简称股份公司）内部控制，提高管理水平，遵循国内外资本市场监管要求，正确评价内部控制，根据股份公司《内部控制手册》（以下简称内控手册）有关规定，特制定本办法。第二条内部控制检查评价与考核工作的领导和组织股份公司内部控制领导小组（以下简称股份公司内控领导小组）统一领导股份公司内部控制检查评价与考核工作。股份公司内部控制领导小组办公室（以下简称股份公司内控办公室）具体负责股份公司内部控制检查评价与考核工作的组织实施。第三条股份公司内部控制检查评价形式股份公司内部控制检查评价实行“总部检查评价”和“单位自查评价”两级检查评价体制。其中，“总部检查评价”包括“股份公司年度综合检查评价”和“审计部独立检查评价”；单位自查评价包括“分（子）公司自查”和“总部部门自查”。2008年E－2“股份公司年度综合检查评价”是股份公司内控领导小组组织对各单位内部控制实施情况的综合检查与评价，每年选取一定数量的单位检查。“审计部独立检查评价”是审计部每年至少对25家分（子）公司内部控制的实施情况进行独立检查评价。检查评价结果报股份公司内控领导小组审定后，作为股份公司年度综合检查评价的组成部分。“分（子）公司自查”是各分（子）公司按照内控手册有关规定，组织开展的业务流程测试和内部控制执行情况的检查评价工作，由三部分组成，即：业务流程季度穿行测试、审计抽查和年度自查。其中，业务流程季度穿行测试是指责任部门和责任人每季度对相关业务流程和关键控制点的有效性至少穿行测试一次，测试记录（报告）报本单位内控办公室；审计抽查是指分（子）公司内部审计人员参与内控检查或独立抽查一定数量业务流程，独立抽查评价结果向本单位内控领导小组汇报并报审计部，相关资料交本单位内控办公室；年度自查是指分（子）公司内控领导小组（办公室）每年至少组织一次内部控制综合检查评价，每次检查区间须与上一检查区间衔接，对内审部门独立抽查的业务流程可不再重复检查评价。年度自查应填写自查工作底稿，检查结果连同业务流程季度穿行测试2008年E－3情况、审计抽查情况等一并形成自查评价报告，经分（子）公司经理审定后，于次年2月1日前报股份公司内控办公室。“总部部门自查”是总部有关部门至少每半年对责任业务流程和控制点的有效性穿行测试一次，结合日常专业管理，对分（子）公司的执行情况适当抽查。穿行测试及抽查结果形成书面报告，经部门主任审定后，向股份公司内控领导小组汇报，并于每年8月1日和次年2月1日前报股份公司内控办公室。第四条内部控制检查评价人员股份公司内控办公室在各有关专业领域内公开选拔若干名业务骨干，组建内部控制专业人员队伍，并定期进行培训，经考试合格者颁发“内控专业人员”资格证书。年度综合检查评价时，以“内控专业人员”为主组成检查评价小组，对各单位进行现场检查和评价，各类检查评价结果必须由“内控专业人员”签字确认。第五条本办法适用于股份公司总部各部门、事业部，各分（子）公司、研究院（以下简称各单位）。各单位可参照本办法，结合实际，制定本单位内部控制检查评价与考核办法。第六条审计部按照本办法独立进行内部控制检查评价。2008年E－4第二章股份公司年度综合检查评价第七条股份公司年度综合检查评价的原则股份公司年度综合检查评价（以下简称综合检查）以内控手册为基础，对各单位内部控制的健全性、实施的有效性等进行综合检查和评价。第八条综合检查内容及评分综合检查内容：内部控制环境评价、单位自查情况评价、业务流程综合检查评价、内部控制缺陷认定及整改落实等，总分100分。综合检查结果，记录在《内部控制检查评价汇总表》中（见附件1）。（一）内部控制环境评价10分。（二）单位自查情况评价20分。（三）业务流程综合检查评价70分。（四）内部控制缺陷认定，包括财务报告缺陷认定和非财务报告缺陷认定（参见第十四条）。财务报告缺陷分为3个等级，即：一般缺陷、重大缺陷和实质性漏洞。非财务报告缺陷一般情况下视同一般缺陷。股份公司内控办公室根据确认后的等级修正综合检查评分。一般缺陷：扣减综合检查得分的1%；重大缺陷：扣减综合检查得分的50%；2008年E－5实质性漏洞：综合检查得分为零。当出现多个缺陷认定结果时，按扣减比例累加结果对综合检查量化评分进行修正。（五）整改落实。现场检查评价结束后2个月内，被检查单位应就未执行的控制点及内部控制缺陷制定措施并认真落实整改。股份公司内控办公室会同总部有关业务流程责任部门复核整改结果。第九条综合检查工作流程（一）制定检查评价工作方案。股份公司内控办公室统一制定综合检查工作方案，报股份公司内控领导小组批准后，派出检查小组对各单位进行现场检查和评价。（二）现场检查和评价。检查小组进驻各单位进行现场检查和评价，遇到问题应及时向股份公司内控办公室报告。股份公司内控办公室对现场检查中遇到的各类问题要及时协调和研究解决。现场检查结束后，检查小组向股份公司内控办公室提交现场检查评价报告及有关资料。（三）检查评价结果复核与确认。股份公司内控办公室会同有关部门对现场检查评价结果2008年E－6统一复核和确认，结合审计部独立检查评价结果，形成年度综合检查评价报告，报股份公司内控领导小组审定。第十条现场检查评价工作流程（一）检查动员。检查小组对内部控制检查的目的、意义等向被检查单位宣讲和动员，对检查工作进行安排和部署。（二）单位配合。被检查单位向检查小组全面介绍：1．本单位的基本情况（生产经营业务范围、组织机构、经理班子成员及其分工、财务管理核算体制、ERP建设和实施情况等）；2．被检查期间生产经营计划和预算完成情况；3．内部控制实施情况（内控宣传培训、实施细则及相关制度修订完善、日常内控工作机制、单位测试自查及整改情况）；4．最近一次审计或财务稽核查出问题的整改情况等。（三）现场检查。检查小组根据被检查单位适用业务流程和检查小组人员构成情况等进行工作分工。每个检查项目配备相应的检查人员，同时由他人复核。现场检查人员应根据内控手册控制点规2008年E－7定，参考检查工作底稿中检查步骤及方法，认真对照检查评价标准，填写检查工作底稿，做出检查评价结论。检查小组组长、副组长或经其授权的人员须审核全部检查结果，并对检查结果的真实性负责。检查工作底稿由被检查单位流程责任人签字确认。（四）汇总检查评价结果。检查小组对检查中发现的各类问题进行研究和确定，汇总检查评价结果，形成现场检查评价初步结果。（五）通报检查评价情况。检查小组就现场检查评价初步结果与被检查单位交换意见，形成现场检查评价报告，向被检查单位通报。对检查小组做出的检查评价结论，被检查单位不得以任何形式施加影响；对检查评价结论有不同意见，可向股份公司内控办公室书面反映，由股份公司内控办公室会同有关部门研究解决方案并报股份公司内控领导小组审定。（六）跟踪整改。对检查中发现的问题，被检查单位要及时制定整改方案，并认真落实整改，整改情况及结果须在检查结束后2个月内向股份公司内控办公室反馈。股份公司内控办公室会同总部业务流程责任部门对各单位的整改情况进行跟踪和监督。2008年E－8第十一条内部控制环境评价内部控制环境是开展内部控制各项工作的基础，是内部控制检查评价的重要内容之一。检查小组在现场检查评价过程中，要注重与被检查单位各级人员的交流与沟通，通过访谈、调查、实地观察等形式了解并掌握被检查单位内部控制环境，由检查小组组长、副组长或经其授权的人员填制《内部控制环境检查评价表》（见附件2），对被检查单位诚信与道德、责任分配与授权、组织结构、管理哲学与经营风格、人力资源政策与实务、信息与沟通、监督等方面作出评价，进而对被检查单位内部控制环境综合评价。第十二条单位自查情况评价股份公司年度综合检查评价中，对单位自查情况验证和评价。（一）分（子）公司自查情况评价。分（子）公司自查评价的内容包括“业务流程季度穿行测试”和“年度自查”。检查小组在现场检查过程中对分（子）公司自查情况进行验证和评价，由检查小组组长、副组长或经其授权的人员填制《内部控制自查情况检查评价表》（见附件3）。（二）总部部门自查情况评价。2008年E－9按照《总部层面内部控制检查评价与考核实施细则》执行。第十三条业务流程综合检查评价业务流程综合检查评价，执行如下程序和要求：（一）确定适用业务流程范围。参照内控手册“附则2”，确认被检查单位适用的业务流程范围。对被检查单位根据管理需要，申请调整并经股份公司内控办公室批准的业务流程，按批准后的业务流程列入检查评价范围。股份公司直属研究院，依据《研究院内部控制手册》检查评价。（二）确定所属单位或部门的抽查范围。根据业务流程检查需要，结合被检查单位的管理层级和产（股）权结构情况，确定对被检查单位下属单位及子公司的抽查范围和数量：1．实行两级或两级以上核算（或管理）的单位，检查小组应根据所属单位的数量、规模等情况抽取样本，抽查样本应覆盖一定数量的所属单位。2．对被检查单位的所属（或管理）全资子公司和控股子公司，原则上要全部检查。对控股子公司较多，无法全部检查的，可根据实际情况选择影响较大的控股子公司进行抽查。2008年E－10对抽查的子公司，检查其内部控制环境及内控制度建设情况，并根据被查单位对子公司的管理要求，结合其自行制定的内控制度，重点检查采购、销售、资金管理（含担保）、资本支出、关联交易、合并报表等主要业务。对未有效执行的控制点，可扣减被检查单位相同或相近的控制点得分；内控缺陷认定比照本办法，扣减被检查单位总得分；未建立内控制度的，被检查单位视同存在实质性漏洞。（三）确定适用控制点。参照业务流程中的“适用单位”，结合业务实际发生情况，确定被检查单位适用控制点。对不适用控制点或适用控制点但未发生业务的，相应的“控制点分值”清零，并在《业务流程检查工作底稿》的“检查记录”栏内标注“不适用”或“未发生”字样（参见附件4：业务流程检查工作底稿标准格式）。（四）控制点抽样检查与记录。业务流程控制点按其性质可分为“财务报告相关控制点”和“非财务报告相关控制点”两类。凡在《业务内部控制矩阵》中注明“会计报表项目”的控制点为“财务报告相关控制点”，其余为“非财务报告相关控制点”。检查评价区间跨年度时，原则上按照内控手册最新版本对2008年E－11不同期间业务进行检查评价。但对于上一年度业务不符合最新版本规定但符合原版本规定的，视同有效执行。1．抽样检查原则。控制点抽样检查，原则上采取“随机抽样”的方法，抽取的检查样本应尽可能包含大、中、小各种金额类型，并均匀覆盖规定的检查区间。其中，检查区间包含12月份的，则至少应抽取12月份的一笔检查样本。根据检查需要，检查小组也可灵活采用实地查验法、个别访谈法等其它检查方法，或与抽样检查方法结合使用。2．财务报告相关控制点的抽样方法与记录。财务报告相关控制点检查样本抽取数量，根据业务发生频率高低及相关会计科目的重要性确定。业务发生频率与样本抽取数量对照关系如下：序号业务发生频率至少抽样数量1每年一次1笔2每年一次以上至每季度一次2笔3每季度一次以上至每月一次2笔4每月一次以上至每周一次5笔5每周一次以上至每天一次15笔6每天多次25笔各业务流程财务报告相关控制点的具体抽样数量、记录内容等，参照《财务报告相关控制点抽样记录表》的要求执行（参见附件5：财务报告相关控制点抽样记录表标准格式）。检查2008年E－12人员可根据需要，增加抽样数量。3．非财务报告相关控制点的抽样检查方法与记录。对非财务报告相关控制点的检查评价，至少要抽取3个样本（实际发生业务数量少于3笔的，要全部检查）。记录内容至少包括样本名称、业务编号（凭证号/合同号/文件号）等。4．“未执行”控制点的记录。对抽取的每笔业务，应参照《业务流程检查工作底稿》中“控制点描述”、“检查步骤及方法”、“控制点相关资料”，尽可能穿透检查，判断样本是否有效执行。“未执行”的控制点，要复印留存有关抽查样本及相关证明材料。未执行的控制点，在《业务流程检查工作底稿》中“未有效执行的原因”栏目