中国中车内部控制指引第1号-公司治理.doc

中国中车股份有限公司内部控制指引公司治理编号：CRRC/CG-1（送审稿）××××-××-××发布××××-××-××实施目录前言 (3)1定义及范围 (4)2内部控制原则 (4)3内部控制建设 (5)3.1内部控制环境……………………………………………………*3.2风险评估…………………………………………………………*3.3控制活动…………………………………………………………* 4内部控制评价…………………………………………………………*前言为指导和规范公司治理行为，特制定本指引。

本指引提出公司治理的内部控制原则，建设公司治理的主要要素、控制活动的控制要求和控制流程、要点，以及公司治理的内部控制评价。

旨在帮助企业按照内部控制的原则和要求，建设及评价公司治理，促进公司治理的有效、完善。

本指引由中国中车审计和风险部提出并负责解释、修订。

各企业在构建本企业及下属子公司的公司治理架构时，应按照本指引的要求及控制要点实施。

内部控制和审计部门可根据此指引对公司治理情况进行评估。

本指引主要起草人：陈震晗等人。

1 定义及范围本指引按照国家标准化委员会发布《中华人民共和国国家标准：风险管理-原则与实施指南》、《中华人民共和国国家标准：公司治理风险管理指南》、财政部等五部委颁布《企业内部控制基本规范》及其配套指引、《中国中车股份有限公司内部控制工作规定》、《中国中车股份有限公司内部控制手册》以及中国中车股份有限公司（以下简称“中国中车”）有关公司治理的相关规定制订。

本指引所称公司治理是指协调公司利益相关者之间关系的一种制度安排。

公司治理中，利益相关者主要包括董事会、监事会、经理层、股东、员工、债权人、供应商和监管机构等。

制度安排是指在公司治理领域内约束利益相关者行为的一组规则，它支配利益相关者之间可能采取合作与竞争的方式以确保实现自己的利益目标。

公司治理的目标是为了确保公司的正确决策，实现利益相关者之间的利益均衡，提高公司的绩效，确保公司经营的可持续发展。

本指引提供了中国中车总部及各子企业建立、实施公司治理的指导性文件，可指导企业按照内部控制的要求建立、实施公司治理。

2 内部控制原则建立公司治理的内部控制是为了防范企业可能存在的公司治理风险。

公司治理风险是指由于公司治理制度设计不合理或运行机制不健全，以及与公司治理相关的内外部环境的变化，对公司治理目标实现产生的影响。

为有效管理公司治理风险，公司治理的内部控制原则为：（1）确保合规公司应遵循与公司治理有关的法律法规，防止因违规而可能造成的法律制裁或监管处罚、重大财务损失或声誉损失等。

（2）信息沟通公司的利益相关者之间应进行持续、双向、充分和及时的沟通，尤其是公司的相关部门要保证及时准确地披露公司所有重要事务的信息，包括公司目标、财务状况、重大战略决策、绩效、所有权、关联交易和内部交易等重大风险事件以及公司治理风险管理有效性方面的信息披露。

（3）权力制衡在公司治理风险管理过程中，应明确董事会、监事会、经理层以及其他利益相关者的责权利，通过权力的有效制衡，防止一部分利益相关者的利益受到侵犯，确保有效实现所有利益相关者的利益均衡。

（4）持续改进公司治理风险管理是适应环境变化的动态过程，要持续关注内外部环境变化对公司治理的影响以及公司治理风险管理方案执行情况，通过绩效测量、检查和调整等手段，使公司治理风险管理得到持续改进。

3 内部控制建设3.1 内部环境公司建立公司治理的内部控制时，首先要明确公司治理的内、外部环境，并收集和分析这些内、外部环境信息。

3.1.1 公司治理的内部环境可包括但不限于：—公司治理组织结构；—股东、董事会、监事会、经理层和职工等内部利益相关者之间的关系；—公司战略、绩效目标；—股权结构及其变更、管理层变动、重大交易等重要事项的历史信息；—公司各级人员的激励约束机制；—关联交易、内部交易以及担保活动等重大活动的披露制度和控制程度；—公司财务信息的披露报告；—监督检查机制，如监事会以及其他具有监督检查职能的人员或部门的监督检查记录、内部审计、反舞弊机制、投诉和举报人保护制度等；—现有的公司治理风险管理政策及方案；—内部利益相关者的诉求、价值观、风险承受度；—企业文化等。

3.1.2 公司治理的外部环境包括但不限于：—与公司治理有关的法律法规约束；—政府及市场监管环境；—内外部利益相关者之间的关系；—公司外部利益相关者的利益诉求、价值观及风险偏好；—与本公司有关的控制权市场接管、合并、收购以及重组等信息；—外部审计、会计、律师等中介机构的信息披露；—社会公众舆论及媒体监督机制；—国际的、国内的、地区的和本地的经济、政治、文化等其他相关环境。

3.2 风险评估公司治理风险的评估包括风险识别、风险分析和风险评价三个步骤。

有关风险评估的方法和详细流程可参见《中车风险管理操作指南第2号-风险评估》。

3.2.1 公司治理风险的识别公司治理风险的识别是指采用适当的风险识别工具和技术，通过识别可能影响公司治理目标的风险源、影响范围、事件及其原因和潜在的后果等，生成公司治理风险列表。

公司治理风险的识别，可以考虑但不限于以下方面：—公司内部利益相关者的利益保障以及监督实施机制，包括股东权利的保障机制，控股股东与其他利益相关者的制衡机制和控股股东的行为约束以及利益分配监督机制，保证所有同级同类股东获得平等待遇的监督机制，董事会、监事会、经理层之间的责权利分配监督实施机制和激励约束机制；监事会对公司相关人员和业务的监督职能执行机制；管理层和职工之间的监督管理机制的实施和保证；公司企业文化的渗透以及监督等；—公司外部利益相关者的利益保证和监督机制，包括上下游在内的产品市场的链条利益制衡监督和协调机制，机构投资者、债权人和外部控制权等在内的资本市场的运作机制和风险监管制度，公司与社区环境的相容性保障措施等；—信息披露和透明度的执行监督，包括公司目标、绩效目标、管理层的薪酬政策、重大关联交易、内部交易、担保活动、交叉持股、并购、合并以及重组等重要信息的披露制度执行保证，公司财务报告信息的准确、公正和及时等的保障机制，内部审计制度的独立性及有效性保障机制，公司战略实施以及部门职能执行的保障监督制度，所有利益相关者的激励约束机制等；—与公司治理相关的法律法规约束执行机制，包括与公司治理内容有关的国际、国内的公司法、证券法、会计法、监管法，社会舆论监督机制以及确保公司内外部利益协调的政府相关法律法规等。

根据公司内部利益相关者、公司外部利益相关者、信息披露和透明度以及与公司治理有关的法律法规约束这四个方面，做出公司治理风险识别表的示例见附表一。

3.2.2 公司治理风险的分析公司治理风险的分析是对识别出的公司治理风险，考虑发生风险的原因和风险源、风险事件发生的可能性及风险事件的正面和负面的后果、影响后果和可能性的因素、不同风险及其风险源的相互关系，还要考虑现有的管理措施及其效果和效率，以及公司治理风险的其他特性，并对其进行定性和定量分析，为风险评价和风险应对提供支持。

在公司治理风险分析中，应考虑公司的风险承受度及其对前提和假设的敏感性，并适时与公司的决策者以及其他利益相关者有效地沟通。

另外，还要考虑可能存在的重要参与人的观点的分歧及数据和模型的局限性。

公司治理风险发生的可能性和后果可采用定性、半定量、定量的或以上方法的组合的方式，通过专家意见确定，或通过对事件或事件组合的结果建模确定，也可通过对调查分析或实验研究可获得的数据的推导确定。

对后果的描述可以表达为有形或无形的影响，如所有股东的基本权利得到有效保障或公司声誉的提升。

在某些情况下，可能需要多个指标来确切描述不同时间、地点、类别或情形的后果。

公司治理风险事件发生的可能性和后果，可以系统化和结构化地根据专家意见得出；也可以利用相关历史数据来识别那些在过去发生的事件或情况，借此推断出它们在未来发生的可能性；还可以利用故障树和事件树等技术来预测。

3.2.3 公司治理风险的评价公司治理风险评价是指将风险分析所确定的结果与公司治理风险管理准则比较，或者在各种风险的分析结果之间进行比较，确定风险等级，并结合公司管理层的风险偏好或者风险态度，做出风险应对的决策。

对识别出的每一个公司治理风险事件进行风险分析和风险评价，均可获得相应的风险等级。

公司治理风险评价的结果应满足公司治理风险应对的需要，否则，应做进一步分析。

有时，根据已经制定的公司治理风险准则，公司治理风险评价使公司做出维持现有的公司治理风险应对措施，不采取其他新的措施的决定。

3.3 控制活动3.3.1 公司治理的主要控制要求（1）企业应当根据股东（大）会、董事会、监事会和高级管理人员的职责权限，结合不同层级人员对实现企业内部控制目标的影响程度和不同要求，分别制定适合不同层级人员的职业操守准则或者行为守则，并明确相应的监督约束机制。

（2）企业与控股股东在人员、资产、财务上需分离。

上市企业总经理及高层管理人员不得在控股股东单位兼职，如总经理必须专职，总经理在集团等控股股东单位不得担任除董事以外的其他行政职务。

（3）企业应建立独立董事制度，明确独立董事的任职资格、议事范围、职责义务与权利，并在公司治理结构中确保独立董事至少占董事会所有成员的1/3。

（独立董事应独立于所受聘的公司及其主要股东。

独立董事不得在上市公司担任除独立董事外的其他任何职务。

）（4）企业董事会可以根据实际管理需要和相关规定，按照股东大会的有关决议设立战略、审计、提名、薪酬与考核等专门委员会。

专门委员会成员全部由董事组成，其中审计委员会、提名委员会、薪酬与考核委员会中独立董事应占多数并担任召集人，各专门委员会成员应具备恰当的背景、知识和能力以胜任其工作。

各专门委员应制定相应的章程、工作细则，其中需明确专门委员会职能、分工，议事程序等内容。

（5）企业应当成立专门机构或者指定适当的机构具体负责组织协调内部控制的建立实施及日常工作，明确董事会、监事会与经理层就内部控制的建立、组织、实施与监督的职责划分。

（6）企业应该在董事会下设立审计委员会，并至少满足以下要求：－审计委员会成员具备良好的职业操守和专业胜任能力；－审计委员会及其成员应当具有相应的独立性；－审计委员会应当直接对董事会负责；－上市企业的审计委员会主席一般应由独立董事担任。

（7）企业应设立专门的内部审计机构，保证内部审计机构具有相应的独立性，并配备与履行内部审计职能相适应的人员和工作条件。

如果未设立内部审计机构，应当由董事会授权或者企业章程规定的有关机构承担上述职责。