国投资本:国投资本股份有限公司内部控制评价管理办法（2021年8月修订）

国投资本股份有限公司
内部控制评价管理办法
（2021 月 8 月修订）
第一章 总 则
第一条 为促进公司全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，依据财政部等五部委颁发的《企业内部控制基本规范》、《企业内部控制评价指引》及上市公司监管有关要求，制定本办法。
第二条 本办法所称内部控制评价，是指公司董事会对
内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。
第三条 本办法适用于公司本部及下属企业。
下属企业包括公司直接或间接出资设立的全资、控股投资企业，不包括受托管理的企业。
第四条 公司实施内部控制评价遵循下列原则：
(一) 全面性原则。评价工作应当包括内部控制的设计与运行，涵盖公司的各种业务和事项；
(二) 重要性原则。评价工作应当在全面评价的基础上，突出重点，关注影响控制目标的高风险领域、重要业务（单位）、重大事项、关键控制环节和风险点；
(三) 客观性原则。评价工作应当客观地揭示经营管理
的风险状况，如实反映内部控制设计与运行的有效性；
(四) 成本效益原则。评价工作应当权衡实施成本与预期效益，以适当的成本实现有效评价，提高评价工作效率和效果。
第五条 公司董事会对内部控制评价报告的真实性负责。
第二章 内部控制评价的组织和职责
第六条 公司审计部在董事会和审计与风险管理委员会的领导下，负责内部控制评价的组织、管理、汇报等工作。
第七条 公司按经批准的内部控制评价工作方案，组成
内部控制评价工作组，具体实施内部控制评价工作。
第八条 公司内部控制设计和评价应保持分离，以保证足够的独立性。
评价工作组成员对本部门的内部控制评价工作应当实行回避制度。
第九条 公司可以聘请中介机构协助公司实施内部控制评价。为公司提供内部控制审计服务的会计师事务所，不得同时为同一公司提供内部控制评价服务。
第十条 内部控制评价中的职责和任务。
（一） 董事会
1.决定公司内部控制组织机构设置；
2.审议公司内部控制基本管理制度；
3.审议公司内部控制评价报告。
（二） 董事会审计与风险管理委员会
1.评估公司内部控制制度设计的适当性；
2.审阅内部控制评价报告；
3.审阅外部审计机构出具的内部控制审计报告，与外部审计机构沟通发现的问题与改进方法；
4.评估内部控制评价和审计的结果，督促内控缺陷的整改。
（三） 经理层
1.组织、协调内部控制管理工作的落实，推动公司内部控制体系良好运行；
2.审核并批准公司年度内部控制评价工作方案；
3.审核公司内部控制评价报告并向公司董事会报告。
（四） 审计部
1.制定、修订内部控制评价管理制度；
2.拟订合理评价工作方案并经总裁办公会批准后组织实施；
3.对于评价过程中发现的重大问题，应及时与经理层、董事会审计与风险管理委员会、董事会和监事会沟通，并复核内部控制缺陷初步认定意见；
4.提出整改建议，并组织整改工作；
5.编写内部控制评价报告，及时向经理层、董事会审计与风险管理委员会、董事会和监事会报告；
6.与外部审计师保持沟通，督促各部门、所属单位对内部控制评价发现的问题进行整改；
7.根据评价和整改情况，在必要时拟订内部控制考核方案。
（五） 内部控制评价工作组
1.内部控制评价工作组具体承担内部控制评价任务；
2.内部控制评价人员应具备独立性、业务胜任能力和职业道德素养；
3.评价工作组成员应当吸收公司内部相关部门中熟悉
情况、参与日常监控的负责人或业务骨干参加；
4.评价工作组根据掌握的情况进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工；
5.评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试；
6.按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定；
7.评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告；
8.评价工作组将评价结果及现场评价报告向被评价单
位进行通报，由被评价单位相关责任人签字确认后，提交公司审计部。
（六） 公司各部门
1.按照公司内部控制建设与评价工作的总体部署，开展本部门内部控制建设与自查工作；
2.根据内部控制标准与管理要求，对本部门职责范围内的制度进行梳理，落实内部控制基本要求，建立内部控制标准与制度对应关系，检查相关控制标准执行情况；
3.负责开展本部门职责范围内的内部控制自查工作，配合公司审计部开展内部控制评价工作；
4.负责落实本部门职能范围内的内部控制缺陷整改工作。
（七） 下属企业
1.逐级落实内部控制评价责任，建立日常监控机制；
2.开展内部控制自查、测试和定期检查评价；
3.发现问题并认定内部控制缺陷，拟订整改方案和计划；
4.编制本单位内部控制评价报告；
5.对内部控制的执行和整改情况进行监督落实。
第三章 内部控制评价的依据和内容
第十一条 公司董事会根据《企业内部控制基本规范》及
应用指引、上市监管要求以及公司的内部控制制度，围绕公司内部控制的目标、内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。
第十二条 内部控制的目标包括经营合规目标、资产安
全目标、报告可靠目标、经营效率效果目标和战略实现目标等。
第十三条 公司组织开展内部环境评价，应当以组织架
构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合公司的内部控制制度，对内部环境的设计及实施运行情况进行认定和评价。
第十四条 公司组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求以及各项应用指
引中所列主要风险为依据，结合上市公司监管要求及公司的内部控制制度，对公司层面和日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。
第十五条 公司组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合公司对相关控制措施与流程的设计和运行情况进行认定和评价。
第十六条 公司组织开展信息与沟通评价，应当以内部
信息传递、财务报告、信息系统等相关应用指引为依据，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。
第十七条 公司组织开展内部监督评价，应当以《企业内部控制基本规范》和有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合公司内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、董事会、审计与风险管理委员会、内部审计部门等是否在内部控制设计和运行中有效发挥监督作用。
第四章 内部控制评价的程序和方法
第十八条 公司实行内部控制分级监督评价机制，公司
审计部统一组织开展内部控制监督评价工作，各下属企业负责完成本单位的内控评价工作。
第十九条 内部控制评价工作一般包括四个阶段，即准备阶段，实施阶段，汇总评价结果、编制评价报告阶段，报告反馈和跟踪阶段。
（一）准备阶段
1.制定评价工作方案。
评价方案应当明确评价主体范围、工作任务、人员组织、进度安排和费用预算等相关内容。
2.组建评价工作组。
公司按经批准的评价方案，挑选具备独立性、业务胜任能力和职业道德素养的评价人员实施评价。
（二）实施阶段
1.了解被评价单位（部门）基本情况。
评价工作组应充分了解企业发展战略和环境、领导层成员构成及分工、部门设置及职责分工等基本情况。
2.确定检查评价范围和重点。
评价工作组根据掌握的情况进一步确定评价范围、检查重点和抽样数量，并结合评价人员的专业背景进行合理分工。
检查重点和分工情况可以根据需要进行适时调整。
3.开展现场检查测试。
评价工作组根据评价人员分工，综合运用各种评价方法对内部控制设计与运行的有效性进行现场检查测试，按要求填写工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行初步认定。
评价工作底稿应详细记录执行评价工作的内容，包括评价要素、评价标准、评价和测试方法、主要风险点、采取的控制措施、有关证据资料以及认定结果等。
评价工作底稿应当设计合理、证据充分、简便易行、便于操作。
（三）汇总评价结果，编制评价报告阶段
1.评价工作组汇总评价人员的工作底稿，初步认定内部控制缺陷，形成现场评价报告。评价工作组将评价结果及现场评价报告向被评价单位（部门）进行沟通，由被评价单位（部门）相关责任人签字确认后，返回评价工作组。
2.评价工作组应当实施评价质量交叉复核，工作组组长应当对评价工作底稿和现场评价报告进行严格审核，并对所认定的评价结果签字确认后，提交审计部。
3.审计部对工作组现场初步认定的内部控制缺陷进行
全面复核、分类汇总。
4.审计部以汇总的评价结果和认定的内部控制缺陷为基础，编制内部控制评价报告。审计部应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生
影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。内部控制评价报告应报送公司经理层、董事会审计与风险管理委员会、董事会和监事会，由董事会最终审定后对外披露。
（四）报告反馈和跟踪阶段
对于认定的内部控制缺陷，审计部应当结合董事会和审计与风险管理委员会要求，提出整改建议，要求责任单位（部门）制定切实可行的整改方案并按期整改，并跟踪其整改落实情况，已经造成损失或负面影响的，公司应当追究相关人员的责任。
第二十条 内部控制评价具体测试方法包括：
（一）个别访谈法
个别访谈法主要用于了解公司内部控制的现状，在公司层面评价及业务层面评价的了解阶段使用。访谈前应根据内部控制评价需求形成访谈提纲，撰写访谈纪要，记录访谈的内容。
（二）调查问卷法调查问卷法主要用于公司层面评价。调查问卷应尽量扩大对象范围，包括公司各个层级员工，应注意事先保密性，题目尽量简单易答（如：答案只需为“是”、“否”、“有”、“没有”等）。
（三）穿行测试法穿行测试法是指在内部控制流程中任意选取一笔交易作为样本，追踪该交易从最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流程从起点到终点的全过程，以此了解控制流程和控制措施设计的有效性，并识别出关键控制点。
（四）抽样法抽样法分为随机抽样和其他抽样。随机抽样是指按随机原则从样本库中抽取一定数量的样本；其他抽样是指人工任意选取或按某一特定标准从样本库中抽取一定数量的样本。
（五）实地查验法
实地查验法主要针对业务层面控制，它通过使用统一的测试工作表，与实际的业务、财务单证进行核对的方法进行控制测试。
（六）比较分析法
比较分析法是指通过数据分析，识别评价关注点的方法。
数据分析可以是与历史数据、行业（公司）标准数据或行业最优数据等进行比较。
（七）专题讨论法
对于同时涉及财务、业务、信息技术等方面的控制缺陷，需由内部控制管理部门组织召开专题讨论会议，综合内部各部门、各方面的意见，研究确定缺陷整改方案。
（八）其他方法
包括观察、抽查、审阅、重新执行、标杆、实际工作经验等方法。
第二十一条 内部控制评价工作组对被评价单位（部门）进行测试，应综合运用上述方法，广泛收集被评价单位（部门）内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。
第五章 内部控制缺陷认定
第二十二条 按照影响内部控制目标的具体表现形式，内部控制缺陷可分为财务报告内部控制缺陷和非财务报告
内部控制缺陷；按照影响程度，内部控制缺陷可分为重大缺陷、重要缺陷和一般缺陷。
第二十三条 财务报告内部控制缺陷评价的定量和定性标准。
（一）定量标准
内部控制缺陷或缺陷组合可能导致的财务错报≥公司
利润总额的 5%，则认定为重大缺陷；内部缺陷或缺陷组合可能导致的财务错报≥公司利润总额的 3%，且＜公司利润总额的 5%，则认定为重要缺陷；如果内部缺陷或缺陷组合可能导致的财务错报＜公司利润总额的 3%，则认定为一般缺陷。
（二）定性标准
1.重大缺陷:
（1）公司董事、监事和高级管理人员舞弊；
（2）公司更正已公布的财务报告，以更正由于舞弊或错误导致的重大错报；
（3）当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；
（4）审计与风险管理委员会和内部审计机构对内部控制的监督无效。
2.重要缺陷：
（1）公司重述以前公布的财务报表，以更正由错误导致的重要错报；
（2）当期财务报表存在重要错报，而内部控制在运行过程中未能发现该错报；
（3）受控制缺陷影响存在、其严重程度不如重大缺陷
但足以引起审计与风险管理委员会、董事会关注。
3. 一般缺陷内部控制中除重大缺陷和重要缺陷以外的控制缺陷。
第二十四条 非财务报告内部控制缺陷评价的定量和定性标准。
（一） 定量标准内部控制缺陷已经形成或很有可能形成的直接财产损
失金额超过公司资产总额的 0.5%，则认定为重大缺陷；内部控制缺陷已经形成或很有可能形成的直接财产损失金额超
过公司资产总额 0.3%但不超过 0.5%，则认定为重要缺陷；如果内部控制缺陷已经形成或很有可能形成的直接财产损失
金额不超过公司资产总额的 0.3%，则认定为一般缺陷。
（二）定性标准
1.重大缺陷：
（1）缺乏民主决策程序，如缺乏“三重一大”决策程序；
（2）企业决策程序不科学，如决策失误，导致并购不成功；
（3）违犯国家法律、法规，如环境污染；
（4）管理人员流失严重；
（5）媒体负面新闻频现；
（6）上年的重大缺陷未得到整改；
（7）重要业务缺乏制度控制或制度系统性失效；
（8）其他对公司造成重大影响的情形。
2.重要缺陷：
（1）关键岗位业务人员流失严重；
（2）上年的重要缺陷未得到整改；
3.不构成重大缺陷和重要缺陷的内部控制缺陷，应认定为一般缺陷。
第六章 内部控制缺陷的报告
第二十五条 内部控制缺陷的报告途径
（一）内部控制的一般缺陷、重要缺陷应定期（至少每年）报告，重大缺陷应立即报告;
（二）对于重大缺陷和重要缺陷，应向经理层、董事会
审计与风险管理委员会、董事会和监事会报告;
（三）对于一般缺陷，向公司经理层报告，并视情况考
虑是否需要向董事会审计与风险管理委员会、董事会和监事会报告。
第七章 内部控制评价报告
第二十六条 内部控制评价报告至少应当包括下列内容：
（一）董事会对内部控制报告真实性的声明。声明董事
会及全体董事对报告内容的真实性、准确性、完整性承担个别及连带责任，保证报告内容不存在任何虚假记载、误导性陈述或重大遗漏;
（二）内部控制评价工作的总体情况。明确公司内部控
制评价工作的组织、领导体制、进度安排，是否聘请会计师事务所对内部控制有效性进行独立审计;
（三）内部控制评价的依据。说明公司开展内部控制评
价工作所依据的法律法规和规章制度;
（四）内部控制评价的范围。描述内部控制评价所涵盖
的被评价单位（部门），以及纳入评价范围的业务事项，及重点关注的高风险领域。内部控制评价的范围如有所遗漏的，应说明原因，及其对内部控制评价报告真实完整性产生的重大影响等;
（五）内部控制评价的程序和方法。描述内部控制评价
工作遵循的基本流程，以及评价过程中采用的主要方法;
（六）内部控制缺陷及其认定情况。描述适用本公司的
内部控制缺陷具体认定标准，并声明与以前年度保持一致或做出的调整及相应原因；根据内部控制缺陷认定标准，确定评价期末存在的重大缺陷、重要缺陷和一般缺陷;
（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。对于评价期间发现、期末已完成整改的重大缺陷，说明与该重大缺陷相关的内部控制设计且运行有效。针对评价期末存在的内部控制缺陷，公司拟采取的整改措施及预期效果;
（八）内部控制有效性的结论。对不存在重大缺陷的情形，出具评价期末内部控制有效结论；对存在重大缺陷的情形，不得作出内部控制有效的结论，并需描述该重大缺陷的性质及其对实现相关控制目标的影响程度，可能给公司未来生产经营带来相关风险。自内部控制评价报告基准日至内部控制评价报告发出日之间发生重大缺陷的，公司须责成内部控制评价部门予以核实，并根据核查结果对评价结论进行相应调整，说明董事会拟采取的措施。
第八章 附 则
第二十七条 公司以 12 月 31 日作为年度内部控制评价
报告的基准日，并于年度结束 4个月内，结合上市公司年度报告披露时间进行报告和披露。
第二十八条 内部控制评价的有关文件资料、工作底稿、证明材料等应当妥善保管，保存时间不少于十年，年度报告应永久保存。
第二十九条 评价人员应以客观、公正的态度执行评价工作，如果因不当行为导致评价结果不符合事实，应追究相关评价人员责任。
第三十条 本办法由公司审计部负责解释，自印发之日起实施，《国投资本股份有限公司内部控制评价管理办法》（国投资本〔2019〕21 号）同时废止。