风险管理及内部控制评价指引(10月19日)

风险管理及内部控制评价指引第一节总则1．为规范集团公司及所属企业风险管理及内部控制评价工作，持续促进企业提高风险管理及内部控制水平，特制订本指引。2．本指引所称风险管理及内部控制评价，指由企业的决策层和管理层要求的，对企业内部控制的设计完整性、执行遵循性和效果进行评价，以评价时点的风险管理及内部控制设计与本手册规定的标准差异来表示完整性，以抽样执行情况来表示遵循性，以实现绩效目标所残余的风险来表示效果。3．企业决策机构及其评价计委员会或风险管理委员会负责领导本企业的风险管理及内部控制评价工作。监事会对评价进行监督。4．按照企业风险管理及内部控制评价主体分为独立评价和自我评价，按照评价时点和范围分为年度评价和专项评价。5．企业可以授权评价计和风险管理及内部控制机构组织和实施独立评价工作。独立评价报告应当提交企业决策机构及其评价计委员会或风险管理委员会评价议，责任单位应当落实整改意见。6.企业应当建立风险管理及内部控制评价信息系统，提高评价工作效率，减少评价成本。7.企业实施风险管理及内部控制评价应当遵循的原则：7.1风险导向原则。以目标差距和对标差距及其风险评估为基础，确定重点评价对象、业务领域及其业务流程环节。7.2一致性原则。评价应当采用统一可比的评价指标体系和评价方法，保证评价结果的可比性。7.3公允性原则。评价应当以事实为依据，评价结果应当有适当的证据支持，所评价三级单位的数量和分布应当有抽样代表性，能客观反映所归口二级单位的风险管理及内部控制情况。7.4独立性原则。评价工作应当与风险管理及内部控制设计与运行相互分离。7.5.兼顾效率和成本的原则。评价组织的人员应当精干、知识和经验多元化，应当充分利用信息系统提高评价的效率。8．本指引对评价内容、指标体系、评价类型、评价方法、评价工作程序、评价成果运用做出了规定。9．本指引适用于集团公司对所属单位的风险管理及内部控制评价，集团公司所属各单位应当依据本指引和实际情况制定本单位的评价办法，开展自我评价和组织对所属单位的风险管理及内部控制评价。第二节评价的内容对企业风险管理及内部控制情况应当评价以下四方面内容：1．内部控制设计完整性。控制设计完整性是指企业各项控制措施应当符合集团公司对规范风险管理及内部控制所要求的内部环境、风险评估、控制活动、信息与沟通、内部监督5大要素及其子要素的基本要求。实质就是合理的控制行为是否被允许，不合理的控制行为是否被禁止。本指引所称控制措施主要包括企业各项规章制度和管理文件及其所规定的规则和业务流程。2．内部控制执行遵循性。内部控制执行遵循性是指各项管理活动是否按照企业设计的内部控制要求来做，实质就是允许的控制行为是否发生，禁止的控制行为是否被避免。3．基于目标的风险。风险管理及内部控制效果是指被评价对象在评价时点所实现的经营绩效与是目标绩效和标杆指标之间的差距。差距越小，表明风险管理及内部控制效果就越好，实质是以残余风险大小来表示效果。4．对风险的预测。在以上三个方面评价数据和历史数据基础上，对评价对象的单项指标和综合性指标数据发展趋势开展谨慎预测。第三节评价类型评价分为自我评价和独立性评价两类。1．自我评价。自我评价是企业或业务职能部门结合自身业务范围，确定评价内容和适用的评价指标，按照评价规则，规范开展的风险管理及内部控制评价，企业或业务职能部门对所属企业的开展的独立评价是自我评价主要组成部分。2．独立性评价。独立性评价是由独立于被评价企业或业务职能部门的内评价机构组织的风险管理及内部控制评价，是在被评价企业或业务职能部门自我评价的结果基础的独立性评价。第四节评价指标体系本评价体系对应上述3部分评价内容，由3个一级指标体系构成，分别是风险管理及内部控制的设计完整性指标体系、执行遵循性指标体系、效果性指标体系，各一级指标体系下设有二级指标体系，二级指标下设有三级指标体系。指标体系结构如下图。1．内部控制设计完整性指标：本手册第四章对集团公司20类业务循环流程的130个风险管理及内部要点提出了控制要求，表示了内部控制设计完整性，相应地由130个三级指标表征完整性，作为内部控制设计完整性指标体系。如下图所示。2.执行遵循性指标体系：执行遵循性指标体系与内部控制设计完整性指标一一对应，共有130个执行情况的三级指标体系。通过抽样调查和统计，抽样样本不少于30个。3.基于目标的风险指标体系：效果性指标体系由2大部分构成，分别是生存能力指标、发展能力指标，共有100个三级指标。效果性指标表完成情况表征了实现目标风险的大小。具体指标体系如下图所示。第五节评价规则1.评价遵循的基本原则1.1全面遵循本手册总则部分所规定的风险管理及内部控制评价原则。1.2以被评价对象在评价时点完成设定目标所存在的各种风险为客观评价依据的，预测是以历史数据为基础的。2.数据采集与测试方法主要方法2.1访谈法。2.2调查问卷发。2.3穿行测试法。指通过抽取全过程的文档，来了解业务流程执行情况。2.4抽样法。从确定的总体样本中采集一定比例的样本。2.5实地查验或重新执行法。3．评价方法3.1采用基于多级灰色关联度的模糊综合评价方法对评价对象的现时风险管理及内部控制情况进行评价；3.2采用时间序列预测法或回归分析预测法对风险管理及内部控制情况的发展趋势进行预测和评价。4.采用基于多级灰色关联度的模糊综合评价方法的原因在实际开展的自评价和独立评价活动中，有几种情况应当充分考虑，一是评价者不可能了解评价对象的全部情况及细节，评价对象对评价者来说是一个灰色系统；二是参与评价人员数量都不可能足够多，评价人员的经验和其熟悉领域范围不一致，各指标的统计分布不可能非常清晰；三是选取的各项指标也有相关性，并不完全相互独立；四是虽然大部分指标值是客观数据，也有少部分指标值是主观判断数据，但是，好的区间标准和劣的区间标准存在重叠部分即存在模糊区间，无论客观数据还是主观数据隶属于好区间和劣区间的程度不同，都不易简单地或主观地归属到具体的好区间或劣区间，为了公平性和可比性，也不应该这样主观简单评判；五是评价本身仅是手段和过程，而揭示过程和体系结构中各层级和各部分的风险，进一步找出原因和提出建议是非常重要的，因此，不能仅关注于最后的综合评判，还要关注对体系结构中各层级和部分单项指标的评价数据。5.基于多级灰色关联度的模糊综合评价原理5.1灰色关联度方法是分析灰色系统各因素所构成序列（或者叫曲线）的几何形状与参考序列（或称曲标杆曲线或最优曲线）几何形状和距离的接近程度，接近程度越小，表示关联度越大。如果某个单因素指标值越接近参考值（标杆值），就说明该指标对增加曲线相似度和缩小距离贡献大，代表的权重就大。如果在多级多指标评价中采用灰色关联度方法，计算出来的某个单因素指标权重就表示其对上一级指标的贡献程度。5.2模糊综合评价是采用矩阵模糊运算的方法，由表征单项指标值属于好区间和劣区间的隶属度构成模糊评判矩阵，由单项指标权重值构成权重矩阵，通过对这2个矩阵实施模糊运算来合成单项指标值，得出对综合指标的评价结果，揭示出综合指标值隶属于好区间和劣区间的程度，属于好区间的隶属度最大的指标值为最优，进一步按照设定的优劣等级对评价对象进行综合排序。6.实施评价的基本规则鉴于以上原因，本着科学、简单、实用的原则，采用基于多级灰色关联度的模糊综合评价方法，采用时间序列预测法或回归分析预测方法。基本规则是：6.1采用灰色关联度方法来计算各单项指标的权重。是主客观集成赋权法，在确定权重的过程中不受评价者事先主观设定参数的干扰，得出的权重是动态的，与评价对象实际情况相适应；6.2采用模糊运算对两方面数据进行合成，这两方面数据分别是：通过灰色关联度确定的单项指标权重和单项指标客观数据隶属于各优劣区间程度的数据。6.3实施逐级、多方面评价，直至得出最终综合评价数据。但是，评价过程中的各级和各方面评价数据与最终综合评价数据同等重要，以满足局部对比、分析、预测和提出改建建议的需要，满足非综合性评价既局部评价或专项评价的需要。7．趋势预测。把对被评价对象的现时评价与其历史数据相结合，应当采用时间序列预测方法或回归分析预测方法，根据实际情况，可以把月或年作为时间序列，分别对专项指标和综合情况进行定量预测。对单项指标或综合指标采用时间序列预测方法时，应当根据实际情况考虑趋势性、季节性、周期性和不规则性四个因素。8.实施评价的基本步骤和内容无论是全面综合评价还是非综合性评价都应当遵循下属4个大步骤，涵盖内部控制设计指标、内部控制执行情况指标、距离目标的风险指标3个方面。8.1第一步，在对第3级指标（最低层指标）采用灰色关联度方法评价的基础上，对第2级指标进行模糊综合评价，对上述3个方面指标内容分别评价；8.2第二步，在对第2级指标（中间层指标）采用灰色关联度方法评价的基础上，对第1级指标进行模糊综合评价，对上述3个方面指标内容分别评价；8.3第三步，在对三个方面的第1级指标（中间层指标）采用灰色关联度方法评价的基础上，对最终综合指标进行模糊综合评价；8.4第四步，依据前面分级、分类评价，定量和定性分析产生风险的原因，研究被评价对象的风险管理及内部控制优劣分布情况，预测风险发展趋势，提出针对性地改进建议。8.5第四步，依据以上内容编制《企业风险管理及内部控制评价报告》。第六节对第二级指标评价1.内部控制设计完整性指标1.1第3级设计完整性单项指标的度量对照本手册所列业务循环流程中的内部控制点，逐点评价各业务循环流程下的内部控制设计完整性。对所评价的单项指标均采用其完备程度来表示，取值范围为[0-1]，均为正向指标，即取值越大表示效果越好。1.2第3级单项指标评价按照下面“表6-1”格式要求，开展单项指标评价工作。1）在第1列填写参与评价的单项指标，建立评价指标集合；2）评评价人员按照1.1中的要求，评价每个单项指标，把对每个单项指标的评价赋值按列填入表格。3）计算各单项指标的平均值xi，填入每行的最左边单元格。表6-1.评评价人(j=1…m)评价值xij第3级单项指标(i=1…n)123………m单项指标值xi（按照行统计平均值xi=(∑xij)/m）1.xxx2.xxx3.xxx………n.xxx1.3确定评价指标的分级标准采用5级评价标准，分别是：极差、较差、一般、较好、很好，指标赋值所对应的分界区间分别是:0.2左右、0.45左右、0.6左右、0.75左右、0.9左右。对于第3级单项指标来说，直接所赋予的分值已表示了指标的优劣等级。对于第2级指标，需要综合考虑其下所有指标，通过模糊运算合成来综合评判第2级指标的优劣等级。1.4整理单项指标的等级隶属关系鉴于所评价的第3级指标均属于越大越优秀型指标，此处采用了降半梯形分布、三角形分布、升半梯形分布来确定单项指标的等级模糊隶属函数。按照“表6-2”第一行要求，计算各单项指标的等级隶属度μik值，填入对应单元格.表6-2.隶属等级(k=1…5)隶属程度μik第3级单项指标及值xi(i=1…n)1.极差隶属度μik的计算规则：1）若xi≥0.45时,取μik=0;2）若0.2≤xi0.45时,取μik=(0.45-xi)/(0.45-0.2)；2）若xi0.2时,取μik=1.2.较差隶属度μik的计算规则：3）若xi0.2或xi≥0.6时,取μik=0;2）若0.45≤xi0.6时,取μik=(0.6-xi)/(0.6-0.45)；4）若0.2≤xi0.45时,取μik=(xi-0.2)/(0.45-0.2).3.一般隶属度μik的计算规则：5）若xi0.45或xi≥0.75时,取μik=0;2）若0.6≤xi0.75时,取μik=(0.75-xi)/(0.75-0.6)；6）若0.45≤xi0.6时,取μik=(xi-0.45)/(0.6-0.45).4.较好隶属度μik的计算规则：1）若xi0.6或xi≥0.9时,取μik=0;2）若0.75xi0.9时,取μik=(0.9-xi)/(0.9-0.75)；2）若0.6≤xi0.75时,取μik=(xi-0.6)/