集团有限公司内部控制管理办法附内部控制缺陷认定标准及评价报告.docx

集团有限公司内部控制管理办法附内部控制缺陷认定标准及评价报告模板第一章总则第一条为了加强和规范X集团有限公司（以下简称“X集团”）内部控制规范建设，提高X集团经营管理水平和风险防范能力、促进可持续发展、规范内部控制评价程序，依据国家有关法律法规、企业内部控制基本规范及其配套指引和X集团有限公司内部控制评价办法等相关制度要求，制定本办法。第二条本办法适用于X集团本部。X集团所属全资、控股及实际控制子企业，以及受托管理企业及其所属全资、控股及实际控制子企业（以下简称“所属企业”）可根据本企业内部决策流程决定适用本办法或者参照适用本办法，并制定符合本企业实际的内部控制管理制度。第三条本管理办法所称内部控制，是由X集团及所属企业、董事会、监事会、管理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息等真实完整，提高经营效率和效果,促进企业实现发展战略。第二章管理职责与分工第四条X集团根据国家有关法律法规、内部控制相关制度要求和公司章程，建立规范的治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制O第五条X集团建立内部控制组织架构，明确企业主要领导是企业内控体系监管工作第一责任人，负责组织领导建立健全覆盖各业务领域、部门、岗位，涵盖各级子企业全面有效的内控体系。并明确汇报机制，根据发展战略规划，按照战略目标确定X集团内部控制规范建设整体目标。第六条董事会决定X集团内部控制管理工作的重大方针和政策，保证内部控制管理体系建立健全和有效实施，并在每年4月30日之前审议和批准X集团的上一年度内控评价报告。根据董事会的授权，总经理负责X集团内部控制管理工作的具体执行，并根据实际将有关事项提交总经理办公会审议，具体包括：1 .批准内部控制建设与实施的工作计划；2 .批准年度内部控制评价的工作方案；3 .批准X集团内部控制的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；4 .审阅和批准X集团内部控制评价报告；5 .批准内部控制重要、重大缺陷认定报告（含缺陷整改方案）；6.批准内部控制与风险管理的重要文档及重大、重要报告；7.批准内部控制组织架构设计及职责方案；8 .督导X集团内部控制与风险管理文化的培育；9 .批准内部控制管理相关制度；10 .批准其他涉及内部控制管理的有关事项。第七条法律风控部是内部控制规范建设的归口管理部门，统筹协调各部门推进X集团内部控制建设日常管理和监督工作,组织实施X集团及所属企业的内部控制检查、监督与评价。其主要职责包括：1 .拟订内部控制建设年度工作计划；2 .组织X集团内部控制体系的建立、实施与完善；3 .组织内部控制手册的编写工作；4 .组织查找内控缺陷，对内部控制建设工作中出现的重要问题提出解决方案并汇报；5 .组织编制并审核X集团年度内部控制评价的工作方案；6 .组织实施内部控制评价工作，并对过程中违规违纪事件根据有关规定进行处理；7 .组织审核X集团内部控制评价报告；8 .组织审核其他需要提交董事会或者总经理办公会解决的相关重要事项、文档；9 .其他涉及内部控制规范建设的事项。第八条各部门是内部控制规范建设的具体实施部门，具体负责各自职能范围内的内控控制规范建设的日常管理，针对具体业务流程进行内控控制检查与评价。各部门主要职责包括：1 .负责内部控制建设年度工作计划中涉及本部门职能的工作安排;2 .建立涉及本部门职能的内部控制体系的制度、业务流程建立、实施与完善；3 .负责各自职能范围内内部控制手册的编写工作；4 .查找公司的内控缺陷，对内部控制建设工作中出现的重要问题提出意见、建议；5 .编制、审核X集团年度内部控制评价工作方案中涉及本部门职能的部分；6 .实施涉及本部门职能范围的内部控制评价工作，并对过程中违规违纪事件根据有关规定移交有关部门进行处理；7 .审核内部控制评价报告涉及本部门职能的部分；8 .审核涉及本部门职能的其他需要提交董事会或者总经理办公会解决的相关重要事项、文档；9 .其他涉及本部门职能范围内的内部控制规范建设事项。第九条X集团所属企业按分级管理的原则对所辖业务涉及的内部控制建设管理工作负责，主要履行以下职责：1 .负责组织制定本企业的内部控制制度及流程；2 .负责执行本企业的内部控制制度及流程，并根据本业务及管理变化情况，开展风险评估，对照风险点制定或完善相应的内部控制措施，及时更新内部控制流程文档，确保内部控制有效;3 .根据X集团内部控制工作整体部署，负责组织落实本年度内部控制相关工作;4 .负责向x集团法律风控部提供本业务内部控制相关信息,主要包括内部控制设计、运行情况和对内部控制检查情况，如遇内部控制重大变化应及时沟通；5 .按照X集团年度内部控制评价方案，执行内部控制检查工作，完成内部控制检查底稿。提出所辖业务内部控制缺陷的初步认定及内部控制缺陷整改方案，并在决策完成后五个工作日内报X集团备案；6 .负责培育员工良好的内部控制管理素质；7 .其他涉及企业内部控制管理的工作。第十条X集团所属企业在实施内部控制时应按规定记录相关内部控制文档，文档的编制方法应符合本办法的要求。主要包括：1 .X集团及各所属企业的各项规章制度；2 .各项业务生成的各种原始资料；3 .与内部控制相关的各项记录及会议资料；4 .内部控制自我检查及评价过程中的资料；5 .其他相关材料。第十一条X集团各部门负责人负责配合组织实施本部门内部控制评价。审定内部控制评价方案，审核内部控制评价报告，对内部控制评价中发现的问题或缺陷，积极采取有效措施整改。第十二条X集团各部门应负责组织本部门的内控自查、测试和评价工作，对发现设计和运行缺陷提出整改方案及具体整改计划，积极整改，并报送工作组复核，配合工作组开展X集团层面的内控评价工作。第十三条X集团所属企业内部控制建设岗位的所有人员应具备相应的职业道德和任职能力，拥有完整专业的知识和对应的业务熟悉程度。第十四条X集团所属企业应参照X集团内控工作开展情况逐级落实内部控制评价责任，建立日常监控机制，开展内控自查、测试和定期检查评价，发现问题并认定内部控制有缺陷的，需拟定整改方案和计划，进行整改,编制并上报内部控制评价报告（详见附件2）。同时应制定相关制度，对内部控制执行和整改情况考核。第三章内部控制的建立与实施第十五条建立和实施内部控制，遵循以下基本原则：1全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。2 .重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。3 .制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。4 .适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。5 .成本效益原则。内部控制应当权衡实施成本与预期效益,以适当的成本实现有效控制。第十六条建立和实施有效的内部控制，应当包括下列要素:1内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。6 .风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。7 .控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。8 .信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。9 .内部监督。内部监督是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。第十七条控制措施一般包括：不相容职务分离控制、授权审批控制、业务程序控制、人员素质控制、重大风险预警控制、总法律顾问控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制和审计检查控制等。第十八条法律风控部组织编制内部控制管理手册，从内部环境、风险评估、控制活动、信息与沟通、内部监督五个方面建立完善内部控制。业务流程是内部控制管理手册编制、更新的重要依据，X集团各职能部门应在制定、修订规章制度时编制和更新对应业务流程文件，并纳入规章制度中。第十九条当发生下列事项时，应修订完善内部控制管理手册及相关内部控制体系文件：1 .国家相关法律法规、外部监管要求等发生变化时。2 .公司发展战略、组织机构、管理职责、规章制度、信息系统等发生较大调整和变化时。3 .业务管理要求发生重大变化时。4 .发生重大内控缺陷事件时，需新增、修订和完善对应内部控制规范内容。5 .其他需修订和完善内部控制体系文件的事项。第二十条法律风控部牵头各有关部门在X集团整体内部控制框架下，牵头梳理规范X集团关键业务流程和控制措施，使员工掌握企业规章制度、业务流程、关键控制点等情况，明确权责分配，正确行使职权。第二十一条各部门应以书面或者其他适当的形式，妥善保存内部控制建立与实施过程中的相关记录或者资料，确保内部控制建立与实施过程的可验证性。第二十二条各部门应通力配合，加强内部控制信息化建设力度，推动公司“三重一大”、投资和项目管理、财务和资产、物资采购、全面风险管理、人力资源等信息系统的集成应用，逐步实现内部控制与业务信息系统互联互通、有机融合。第二十三条各部门应梳理和规范业务系统的审批流程及各层级管理人员权限设置，将内部控制管控措施嵌入各类业务信息系统，确保自动识别并终止超越权限、逾越程序和审核材料不健全等行为，促使各项经营管理决策和执行活动可控制、可追溯、可检查，有效减少人为违规操纵因素。第四章内部控制的评价内容第二十四条内部控制评价工作主要依据X集团制度和工作流程，围绕内部环境、风险评估、控制活动、信息与沟通和内部监督等要素，对内部控制设计和运行情况进行全面评价。第二十五条内部环境是实施内部控制的基础。内部环境评价的内容包括：治理结构、机构设置及权责分配、人力资源、企业文化和社会责任等，结合集团公司内控制度对内部环境的设计和运行情况进行认定和评价。第二十六条风险评估是及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略的过程。风险评估评价的内容包括：以X集团日常管控过程发现的主要风险为依据，结合X集团内控制度，对日常经营管理过程中的风险识别、风险分析、风险应对政策等进行认定和评价。第二十七条控制活动是根据风险评估结果，采用相应的控制措施，将风险控制在可承受范围之内，达到控制目标的全过程。控制活动评价包括：以各项法律法规、行业规范中的控制措施为依据，结合X集团制度，对各项业务处理程序的授权批准、职责分工、财产保护、预算控制、风险化解及处置等控制措施的设计与运行情况进行认定和评价。第二十八条信息与沟通是及时、准确地收集、传递与内部控制相关的信息，确保信息在内、外部之间进行有效沟通。信息与沟通评价包括：以各项法律法规、行业规范为依据，结合X集团制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。第二十九条内部监督是对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，及时加以改进的过程。内部监督评价包括：以各项法律法规、行业规范中有关日常管控的规定为依据，结合X集团制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计与风险管理委员会、内部审计机构等是否在内部控制设计和运行中有效