集团公司内部控制评价管理办法

第二条本办法所指内部控制（以下简称“内控”）评价，是指审计部门根据职责权限对内控有效性进行全面评价、形成评价结论、出具评价报告的过程。主要是按照规定的程序、方法和标准，对内控评价报告基准日（以下简称“评价基准日”，一般情况下指每年12月31日）已经建立和实施的内控体系，从设计有效性和执行有效性两个方面对内控有效性进行测试、评估和报告。
（五）例外事项，是指内控体系设计层面和运行层面与相应的规范、标准、要求之间存在的偏差。
（六）内部控制缺陷，指内部控制的设计或运行无法合理保证内部控制目标的实现。分为设计缺陷和运行缺陷；重大缺陷、重要缺陷和一般缺陷；财务报告内部控制缺陷和非财务报告内部控制缺陷。
第四条内控评价的实施应当遵循以下基本原则：
（五）汇总例外事项。评价小组根据穿行测试与抽样测试结果，汇总设计层面与运行层面例外事项（附件6：例外事项汇总表）。汇总的例外事项经内控评价小组讨论、审计部门负责人审批后定稿。
（六）评估、认定缺陷。评价小组依据经公司审议通过的“内控缺陷认定标准”与例外事项汇总表，判定缺陷类型与等级，形成“内部控制缺陷汇总表”（附件7：内部控制缺陷汇总表）经审计部门负责人与分管领导审核后，提交总裁办公会审批，重大缺陷经董事会最终认定。
第五条本办法适用于对公司及所属全资、控股子公司（以下简称“所属单位”）开展的内控评价工作。
第二章内控评价组织与评价内容
第六条内控评价工作应在公司分管审计工作的领导直接领导下，以审计部门组成内控评价小组测评、各单位实施内控自评的方式开展年度内控评价工作。
第七条内控评价工作的主要内容包括：
（一）内控环境评价。了解被评价单位的组织架构、发展战略、人力资源、公司文化与内控制度建设情况，是否有专人负责内控建设工作，是否有单位领导分管内控工作，是否建立完整的制度体系。
第三条相关术语与定义
（一）内部控制，是由公司董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内控目标合理保证了公司经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进公司实现发展战略。
（二）设计有效性，是对于建立的内控体系，如果由拥有必要授权和专业胜任能力的组织、机构和人员按设计的要求去实施，能够有效地防范风险，为实现控制目标提供合理的保证，由此表明内控具有设计有效性。
中国*集团股份有限公司
内部控制评价管理办法
第一章总则
第二章内控评价组织与评价内容
第三章内控评价工作程序
第四章考核
第五章附则
第一章总则
第一条为规范中国*集团股份有限公司（以下简称 “公司”）内部控制评价管理，强化内部控制激励约束机制，为内部控制体系长期有效运行提供合理保证，公司审计部门根据证监会对上市公司内部控制评价的要求、《企业内部控制基本规范》和《企业内部控制评价指引》，制定本办法。
（四）信息与沟通。被评价单位应当加强对信息系统开发和维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。
第三章 内控评价工作程序
第八条内控评价工作采取评价小组测评与被评价单位自评结合的方式开展，具体程序如下：
（一）每年初，审计部门制定年度内控评价工作方案，明确评价范围、工作任务、人员组织和进度安排等内容，经审计部门负责人、分管领导审核，报总裁办公会审议，经董事会或其授权机构审批。根据工作方案进度安排，审计部门制定具体的实施计划，明确工作任务、分工与时间安排，经审计部门ห้องสมุดไป่ตู้责人、分管领导审批后下发实施。
（三）运行有效性，是对于已经建立的内控体系，在经营管理过程中，由符合规定能力和权限的组织、机构和人员，按照已设计的内控相关规定予以实施，能够为达到预期的控制目标提供合理的保证，由此表明内控具有运行有效性。
（四）内控测试，是按照规定的程序、方法和标准，针对控制目标，对公司内控体系设计有效性和运行有效性进行检查，旨在发现内控体系在设计层面和运行层面是否存在偏差。
（二）根据审计部门下发的内控评价方案，被评价单位进行全面内控自评，重要业务模块按照附件3《所属单位内控自评底稿》（包括自评计划表、测试底稿与自评例外事项整改情况表）编制内控自评底稿，根据自评结果编写自评报告，自评报告需要包括工作组织、开展情况、自评业务模块的选择及存在的例外事项与整改概况。所属单位于审计部门开展内控评价前将自评报告、自评底稿与样本报审计部门存档。
（三）现场评价前准备工作。评价小组对比被评价单位制度与内控手册，确定其相关内容与审批流程是否一致，判断内控手册是否已经识别所有重大风险。根据被评价单位提交的内控自评底稿，审计部门选取1个被评价单位自查模块抽查，以确定自评工作质量。
（四）实施现场测试。包括组织现场进点会，评价小组就内控评价工作计划、内容与被评价单位领导、同事沟通，并提请其配合现场工作；访谈重要业务流程的相关人员，了解重要业务流程的运行情况与变化情况，重点关注公司确定的重要风险和关键控制在被测试单位是否被采用，并在哪些岗位实施；对业务流程选取1个样本实施穿行测试，穿行测试样本应该能够代表重要业务流程中的主要业务类型，具有一定的普遍性，留档穿行测试样本并编号；根据控制活动发生频率与样本特征确定抽样方法与样本量（附件4：样本选取的基本方法），实施抽样测试，记录抽取的样本，对于出现偏差的样本予以留档；记录测试情况，编制测试底稿（见附件5：内部控制测试底稿）。
（一）全面性原则。评价工作应当包括内控的设计与运行，涵盖公司及其所属单位的各种业务和事项。
（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域，重点针对内控的重要风险和关键控制进行评价。
（三）客观性原则。内控评价应当准确地揭示经营管理的风险状况，如实反映内控设计与运行的有效性。
（二）风险评估。被评价单位是否准确识别风险，并对风险分析后制定应对策略。以《企业内部控制基本规范》、《企业内部控制应用指引》中所列主要风险为依据（见附件2：企业内控运行风险点与关键控制点梳理表），结合内控制度，评价内控手册是否已识别所有重大风险，是否与内控制度在相关方面保持一致。
（三）控制活动评价。对各类业务的控制措施与流程的设计有效性和运行有效性进行认定和评价，主要关注以下控制是否健全并严格执行：不相容职务分离控制、授权审批控制和财产保护控制等控制措施是否被严格执行。