1、1内部控制评价实践与探索【摘 要】上市公司开展内部控制评价工作既是监管机构的强制要求，也是各公司面对日益复杂的经济形势，主动管理风险的需要。但是，近年来，内部控制评价工作却是各公司面临的一项复杂和庞大的工作，很多公司对此无从下手或开展效果不好。中国神华能源股份有限公司从2006 年开始开展此项工作，在实践基础上，总结了有益的工作经验。 【关键词】内控；内控评价 中国神华能源股份有限公司（简称公司）是一家以煤为基础，电力、铁路、港口、航运、煤制油与煤化工为一体，产、运、销一条龙经营的特大型能源企业。2005 年 6 月在香港主板上市，2007 年 10 月回归 A 股，作为 A+H 股上市公司，
2、公司内部控制建设要满足上市监管要求，同时要建立符合公司实际的内部控制评价制度，目前这一评价制度的建设和运行已经从公司总部、业务板块模式转变为“十八加 X”模式， “十八”就是财政部等五部委内控应用指引基本要求， “X”为公司基本要求，包括公司以风险管理为主要特征的经济本质安全体系建设和运行的基本评价点。目前内控评价已经成为公司监督内部控制有效性及提升企业管理水平的重要举措。 一、循序渐进逐步提高内控评价的有效性 （一）内控自我评价从公司总部开始。公司的内控建设和评价首先是在公司总部进行的，2006 年通过现状评估，与国际先进能源企业对标2并制定的内控自我评价标准，通过自我评价发现差距，寻找问题
3、的系统性原因，对问题进行整改，不断完善内控制度流程及组织架构，明确管控责任。 （二）以总部评价为基础，在全公司范围内自我评价。2007 年开始公司所属企业在总结公司总部内控评价经验基础上，全部子分公司开展内控评价。 （三）在自我评价基础上，进行抽样检查评价。2007 年开始在总部及子分公司自我评价的基础上，选择总部及部分重点子分公司进行检查评价，独立对自我评价的可靠性及重要业务领域进行测试。 （四）在抽样检查评价基础上，进行全公司范围检查评价。2009 年开始在总部及子分公司自我评价的基础上，对总部及全部子分公司进行全面检查评价，提高内控评价的可靠性和有效性。 （五）核实评价和内控审计，200
4、7 年开始外部审计机构对公司内控评价报告进行核实，包括对内控整体检查的方案、自我评价、检查评价的程序、内容和结果进行核实，2011 年开始外部审计机构对公司内控有效性进行审计。 公司在内部控制评价工作实践中，始终坚持量身定做、与时俱进，不断探索和创新，使内部控制评价工作与公司管理工作相融合，不断提升企业管理水平。 二、积极利用现有组织体系开展内控评价 公司开展年度内控评价工作以来，一直由内控审计部牵头组织，总部各部门、各分子公司全部参与，内控审计部由公司董事长直接分管，3向审计委员会汇报工作。公司总部和分子公司分别设置内控评价领导小组和工作小组，领导小组由公司领导和各部门总经理组成，主要负责对
5、本单位的内控评价工作统一部署和安排，同时对内控评价工作结果确认。工作小组由内控审计部和其他部门相关人员组成，负责工作的具体组织和实施。 子分公司是否设置内控与风险管理专职部门，以及如何设计内控与风险管理计划和规划，公司没有统一要求，公司只是定期组织进行风险评估、内控评价、专项检查，子分公司根据自身管理现状和公司统一管理要求逐步推进内控与风险管理工作。 三、以全面风险控制、重点内控检查为评价原则 公司开展内控评价一直坚持全面性、重要性、客观性、以风险为导向原则。 （一）全面性原则是指评价工作包括内部控制的设计与运行，包括公司各部门和各分子公司的各项业务和管理活动，涵盖决策、执行和监督的全过程。
6、（二）重要性原则是指在内部控制全面评价的基础上，针对公司总部重点部门、重点分子公司、重大业务事项和高风险领域进行重点检查或测试。 （三）客观性原则是指公司总部和分子公司以及评级工作组应在评价工作基础上，客观地揭示经营管理中存在的问题和风险状况，在内部控制评价报告中如实反映、准确描述内部控制缺陷，客观评价内部控制设计与运行的有效性。 4（四）以风险为导向原则是指根据全面风险评估工作确定的重要风险和制定的管控措施，评价公司各项管控措施对重要风险的控制情况，以及偏离公司整体控制目标的程度。 四、科学设计内控评价程序 内控评价工作过程中，公司逐步形成评价方案设计、自我评价、检查评价、缺陷认定及整改、撰
7、写评价报告、核实评价及内控审计、结果评比等七个环节为一体的年度内控评价工作程序。 （一）评价方案设计是指评价工作开始前，对本年自我评价工作底稿中的关键控制点实施更新、确定检查评价内容与程序、对全部评价工作筹划安排，组织抽调相关人员组成评价工作组等。 （二）自我评价是指各部门、各分子公司对照自我评价工作底稿中的关键控制点，自我检讨和审视自身业务领域内内控的设计和执行情况，风险的管控情况，并撰写部门和分子公司内控自我评价报告。 （三）检查评价是指公司内控审计部抽调熟悉业务的人员或聘用专业机构组成评价工作组，对各部门和分子公司的自我评价底稿和自我评价报告复核，并抽取重要业务执行专业测试。 （四）缺陷
8、认定及整改是指各部门、各分子公司首先分析缺陷产生的原因和后果，并提出整改建议或措施，由公司汇总后分析缺陷的类型，是否需要披露，并分解整改责任，落实整改。 （五）撰写评价报告是指内控审计部在汇总、整理、分析全公司内控评价结果的基础上，撰写内控评价报告，经董事会审核批准后，对外披露。 5（六）核实评价及内控审计是指外部审计机构对评价报告核实后，发表核实意见，2011 年起改为内控审计，并发表财务报告相关内控有效性审计意见。 （七）结果评比是指按照预先制定并向各分子公司公布的评比办法，对内控评价结果打分排名，以鼓励先进、督促后进。 五、建立符合公司自身特点内控评价机制 （一）实施全面内控评价 公司到
9、底实施全面内控评价，还是与财务报告相关的内控，在外界对内控建设和评价的范围争论不休时，公司从提升管理水平，有效防范公司全面风险的角度出发，实施以财务为核心的全面内控评价。 公司实施内控评价时，评价的范围不仅包括资金管理、预算管理等与财务相关的内部控制，也包括了总体战略规划编制、资源选择与获取、公司并购业务、项目投资决策等与公司重大战略相关的内控控制，还包括年度生产计划制定、日常调度业务、生产装备管理、煤炭装船销售等与公司主营业务密切相关的内部控制，还包括安全监督检查与隐患整治管理、突发事故处理等与公司安全风险密切相关的内部控制，还包括科技创新项目管理等与公司科技发展密切相关的内部控制，体现了公
10、司董事会在内控评价伊始，就将公司的内控评价上升到防范公司重大风险、提升公司管理水平的重要手段。 （二）建立内控评价运行机制 公司在内控评价实践中，逐步建立了“风险评估-风险管控-内控评价-缺陷改进-考核评比”不断循环往复的机制。即每年年初，各部门、6各分子公司对当年可能发生的风险进行评估，并调整或制定相应的管控措施，年中各部门、各分子公司对各类风险持续管控，内控审计部、安全监督局等监督部门对各类风险持续监控并进行专项检查，年末内控审计部对各部门、各分子公司一年来风险管控措施执行情况、风险管控效果进行系统评价，对于评价过程中发现的问题，分析原因，分解责任，落实整改，并对评价结果打分评比。 由于建
11、立了这样一种常态性的内控监督评价机制，所有的内控实施人员，包括公司领导和具体操作人员，都能自觉遵守各项管控措施，并努力采取各类措施以有效控制风险，谋求公司的长远发展、科学发展和安全发展。 （三）实施全员内控评价 正如财政部王军副部长在企业内部控制规范联合培训班上的讲话所说，公司中每个人都是内部控制的剧中人和责任人。公司内控评价开始就没有走一般企业惯常走的评价组主导型的模式，而是走了一条全员内控自我评价的道路。公司内控评价的第一步首先是各部门、各分子公司对照自我评价工作底稿自我评价，撰写自我评价报告，自己评价自己到底做的怎么样，还有那些不足和缺陷待改进。 在这种评价方法下，全体员工既是自己所负责
12、领域内控的执行者，也是评价者。每位员工对自身工作的领域无疑是最了解的，由员工自己对照自我评价工作底稿的关键点，对自己实施的工作进行评价，员工会深刻了解自己工作中的不足，并主动的进行弥补和改正，同时也能提出更具有操作性和针对性的改正建议。为弥补自己评价自己所缺乏的客观7性，内控审计部抽调人员组成独立的评价工作组，对自我评价工作底稿和自我评价报告进行复核，并选择重要方面，使用专业评价方法测试。 这种评价方法实施以来，深刻改变了各分子公司、各部门的内控意识，增强了全体员工的内控责任感，从最初的“我被内控” ，转变为现在的“我要内控” ，如一些部门和公司，主动要求增加自我评价的流程，并接受评价工作组的
13、检查。这种评价方法也充分调动了全体员工在内控工作中的积极性，各分子公司、各部门自觉行动起来，加强学习内控知识，调整组织结构，整章建制，主动系统完善和改进公司的各项内控建设，弥补自己在工作中不足，公司的整体内控建设发生了翻天覆地变化，公司的内控文化深入人心，公司的整体管理水平得到迅速提高。 （四）内控评价推动内控执行 “天下之事，不难于立法，而难于法之必行” 。内控的最大的难点不在于制度不全，而在于执行不力。公司自实施内控评价以来，一直把推动内控的执行列为内控评价的主要目的。 公司每年都实施内控自我评价，但每年全体员工对照进行自我评价的关键控制点不是一成不变的，而是每年根据监管要求的变化、公司管
14、控要求的变化、当年风险评估的结果、上一年内控评价发现的问题等进行调整，将最新的外部监管要求和公司内部管控要求贯彻落实，促进了这些管控措施的真正落地，同时公司的内控评价始终围绕公司的主要风险展开，围绕最常出现问题的环节展开，不断督促公司各个层面加强管理，有效防范风险。 （五）致力于全体分子公司管理水平提升 8中国神华下属有 40 多家二级分子公司，分布在煤炭、电力、铁路、港口、航运五大业务板块，神东煤炭、国华电力等几家大的公司资产和收入总额占集团公司相当大比重，根据方案分析，如果只做这几家公司内控评价，基本能够满足监管要求。但是中国神华没有将内控评价理解为仅仅满足监管要求，或者走形式，而是致力于
15、全面提升所有分子公司内控管理水平。 历年来，对于几大分子公司以外的其他公司的内控工作，中国神华也常抓不懈。如各个公司的内控底稿和报告，内控评价组全部复核，对于几大分子公司外的其他公司，内控评价组也派人亲赴现场，测试重要业务，访谈有关领导。以致力于推动全集团内控管理水平提高，避免各分子公司间内控发展水平不平衡。 六、内控评价中存在的问题和对策 公司实行以风险评估为基础的内控评价以来，也清醒看到尚存在一些问题和不足，对于存在的问题和不足，公司一直在积极改进、应对和系统解决。 （一）风险和管控措施重要性分级 风险评估是公司内部控制和评价的方向，公司从 2006 年以来，每年进行风险评估，根据风险评估
16、结果，制定管控措施和实施内控评价。但是公司目前只评估出公司和各分子公司层面的重大风险，对重大风险进行重点管控，对于重大风险及其他风险的关键风险点，缺乏适合公司管控体系和管理需要的风险分级、分层标准，尚未建立分层级的风险管理策略及风险应对机制，可能导致公司不能依照风险的管理层级，有效配9置人力和资源，合理管控和评价公司存在的全部风险。 针对此问题，公司将进行风险评估科研立项，补充完善公司风险信息库，对风险进行分级、分层、分类、分担，建立分层级的风险管控策略和风险应对机制，在确定风险管理关键控制环节和关键岗位的基础上，平却管控责任和评价各项风险。 （二）评价结果评比 公司目前尚未将内控评价结果纳入
17、各分子公司、各部门的绩效考核，原因是目前的打分评比方法，不能客观比较不同规模大小、不同发展阶段（如生产期和基建期） 、不同业务类型（如煤炭生产企业和铁路运输企业、境内外企业、复杂业务与简单业务企业）企业间内控发展水平，这在一定程度上影响到内控的贯彻执行和内控评价的效果。 针对此问题，公司正在考虑对风险评估和内部控制进一步深化，制定一套具有科学性、客观性、可操作性、可比性、适应性的评价标准和办法，对各分子公司、各部门的评价结果评比，在此基础上，逐步过渡到对评价结果考核。 （三）评价指标定量化 公司目前使用的评价标准主要是定性指标，缺乏定量指标，例如对关键控制点：“公司在制定战略规划目标和指标时，
18、是否明确规定所需资源支持以及未来所需获取资源的范围、重点、计划”进行自我评价时，目前可选的答案是“是”和“否” ，在选择“是”时，不能反映“是”的程度，当连续两年都选择“是”时，也不能反映出公司针对此关键控制点的管控水平提高了没有，提高了多少。当不同的两个分子公司都选择10“是”时，也不能反映这两个分子公司针对此关键控制点的管控水平的差异。 目前公司一是调整评价指标，减少定性指标，增加定量指标；二是在不得不使用定性指标时，增加定性指标的梯度选择，例如增加“差、较差、一般、好、较好、很好”等答案的选择，并赋予不同的分值，以区别不同的管控水平。 内控建设是长期的过程，是不断探索和提升的过程，公司经营环境及风险是动态变化的，要求内控评价不断调整与之相适应，需要借鉴国内外优秀企业内控建设与评价经验，古为今用，洋为中用，统筹规划，因地制宜，因时制宜，因企制宜，坚持原则性与灵活性，不断打造神华特色的内控评价模式。 作者简介：薛岩宏，中国神华能源股份有限公司内控审计部内控主管，从 2006 年起，长期从事公司内控评价工作，在实践中积累了丰富的内控工作理论和经验。
