油气田内控测试可视化分析及执行力提升

1、    油气田内控测试可视化分析及执行力提升    单军亭+单昱+单晨摘 要：油气田企业内控自我评价报告的编制，主要依据内部控制运行情况。而内控测试发现的例外事项，正是内部控制运行情况的具体表现。开展内控例外事项现状、集中趋势统计和可视化分析，是全面了解和及时掌握内控管理现状，有效规避因操作不当和内控措施失效造成的风险，全面提升内控执行力的决策参考和理论依据，为查找内控体系存在问题、分析根源，制定切实可行的防控措施，有效解决内控测试例外事项居高不下和重复发生问题等开辟的一条有效途径。关键词：内控测试 可视化 现状分析 执行力：f270 ：a：1004-4

2、914（2017）03-288-05油气田企业自建立内部控制体系以来，为合理保证企业经营的效率效果，财务报告的可靠性，相关法规的遵循性等目标的实现，始终把内部控制测试作为发现问题、防控风险，监督与评价内控体系有效运行必不可少的职能和重要手段。通过测试及时发现和改进内控体系运行中存在的问题，全面实现内控与风险管理目标。近年来，随着内控测试工作的逐步深入，加上评价手段和技术方法的不断改进，内控测试发现的问题也逐步增多，复杂程度也逐步显现。运用现有的技术手段，实现内控测试数据可视化分析，为油气田企业预测内控例外事项发展趋势，全面了解和及时掌握内控管理现状，有效规避因操作不当和内控措施失效造成的风险等

3、，提供了决策参考和理论依据。一、内控测试、例外事项及测试数据可视化定义控制测试是监督检查机构通过取证，评价和鉴定被测试单位在控制政策和程序的设计与执行方面，是否完整有效实施的审计程序。内部控制评价是企业董事会或类似权力机构对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。内控测试则是接受董事会、管理层授权或委托的部门和人员，按照内部控制制度和相关措施要求，对企业内部的控制设计有效性和合理性、控制系统运行情况等，进行全面系统的测定、检查和测验，做出全面评价、形成评价结论、出具评价报告的过程。例外事项是指实际存在的、已经被发现或隐蔽的，偏离设计目标、运行计划和预期效果的具体事件。企

4、业内部控制例外事项主要是指在内控体系顶层设计和有效执行方面，与相应的标准、规范、措施和要求等存在差异的事项。为了实现内部控制目标，保证内部控制体系的有效运行，企业内控与风险管理部门借用内部审计方法，按照测试方案和设计程序，通过开展内控测试，及时发现和改进内控体系运行中存在的问题，从而防控企业生产经营和管理风险，优化顶层设计、提升管理水平。测试数据可视化，是通过内控测试获取相关数据，利用计算机常用的图形或图像工具软件，把内控测试获取的枯燥数据，转换成生动形象的图形或图像，将数据表示、数据处理、数据管理和决策分析等进行交互式处理，用感官良好、形象可見的实物图形或图像，可视化的展现数据描述的原本意义

5、，有效地传达思想概念、沟通解释数据信息的一种直观分析手段。可视化既是一种数据解释，也是一种成果表达。二、内控例外事项现状及趋势分析开展内控例外事项现状分析，目的在于夯实内控与风险管理工作基础，查找内控体系存在问题的根源，制定切实可行的防控措施，有效解决内控测试例外事项居高不下和重复发生问题，合理规避和有效管控企业经营管理风险，全面提升企业内控执行力。2008年5月22日，财政部、证监会、审计署、银监会、保监会五部委，联合下发了关于印发企业内部控制基本规范的通知。企业内部控制基本规范第46条明确指出：“企业应当结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。”企业

6、内控测试的结果，显示的是内部控制运行情况，是内控自我评价报告编制的依据。这里以本单位2011年至2016年期间，公司层面、业务层面、信息层面内控自我测试发现的六年例外事项数据统计为例，对内控例外事项现状和趋势进行分析。2011年至2016年，油田按照内控管理手册要求，每年坚持开展内控自我测试，通过测试检查，监督改进，不断优化顶层设计，逐步实现了整改提高。测试结果见表1。为了直观显示油田2011年至2016年的内控测试结果，这里使用可视化图形进行各类例外事项比较。对比结果见图1。由表1和图1可知，2011年至2015年期间，油田内控自我测试在设计方面，发现的文本规范性问题、业务跟单测试问题和er

7、p权限测试问题，在逐年减少并趋于稳定。由此说明，体系设计基本合理。由于例外事项数量和样本总体数量有一定的相关关系，单纯从例外事项数量进行对比，不能完全代表例外事项的现实状况。因此，需要考虑例外事项相关因素，并把样本总体、测试主题及数量等作为基数，使用比率分析法进行对比，才能更好地体现其代表性和显示现状。这里以公司层面和信息层面总体控制主题，业务层面关键控制实抽样本为基数进行计算，计算结果见表2。为了直观描述油田2011年至2016年的内控测试公司层面、业务层面、信息总体层面例外事项状况，这里使用可视化图形进行现状描述，同时引入多项式分析发展趋势，预测例外事项走势。公司层面描述结果见图2，业务层

8、面描述结果见图3，信息总体层面描述结果见图4。图2-图5中的无端点弧线为各层面趋势线。由图2、图3和图4可知，公司层面、业务层面关键控制、信息层面总体和应用，例外事项起伏波动较大，但基本趋势都是在2014达到峰顶后开始向下运行。在不考虑其他因素影响的情况下，忽略测试主题个数的影响，用实抽样本作基数计算，2011年至2016年例外事项比率分别是0.044、0.071、0.248、0.177、0.312、0.211。这里用比率分析法进行例外事项整体描述，可视化状况为图5所示。在六年的统计数据中，执行层面例外事项的平均数量为173.33，平均比率为0.177。由图5可知，前两年的例外事项低于平均值，

9、后四年有一年达到平均值、三年高于平均值。可以说，内控执行力滑坡比较严重，一直处于上升态势。从总体趋势上看，例外事项已在起伏中，于2015年达到峰顶，2016年已开始显示回落状态，但仍在高处。整体而言，例外事项居高不下。由此说明，各层面例外事项当前的形势不容乐观，内控执行力弱化，需要引起管理层高度关注。 三、例外事项集中分布分析经对各个层面例外事项统计汇总，2011年至2016年期间，公司层面例外事项主要集中在职业道德、信访举报和违规处理、反舞弊程序与控制等6个测试主题上。详见表3。业务层面例外事项主要集中在公司治理、油气田开发建设、人力资源管理、财务管理、物资管理、合同与纠纷管理等15个一级流

10、程、26个二级流程上。例外事项集中分布详见表4。信息层面例外事项主要集中在信息安全、日常运维等4个总体控制，erp應用控制（已纳入业务层面统计，主要集中在人力资源管理、财务管理、物资管理3个一级流程中），fmis、erp、amis权限控制上。例外事项集中分布详见表5。为了直观描述油田2011年至2016年内控测试公司层面、业务层面、信息总体层面例外事项集中分布状况，这里使用可视化图形进行集中分布描述。详见图6。从表3、表4、表5和图6可知，公司层面、业务层面、信息总体层面例外事项集中分布在当前备受关注的反舞弊和合规管理主题，以及业务流程高风险领域。为直观展示油田2011年至2016年的内控测试

11、公司层面、业务层面、信息总体层面例外事项所占比率，这里使用可视化图形进行描述。描述结果见图7、图8、图9。四、重复发生例外事项统计及原因分析重复发生例外事项是指连续两次以上发生的例外事项。2011年至2016年期间，公司层面重复发生的例外事项主要有职业道德、信访举报和违规处理两个测试主题。业务层面主要有公司治理、油气资源勘探、油气田开发建设、人力资源管理、财务管理、物资管理、信息管理、合同与纠纷管理等一级流程。信息层面主要有信息安全、日常运维两个总体控制，erp应用（3个一级流程）控制，fmis、erp、amis权限控制。重复发生例外事项统计详见表6。由表6可知，重复发生频次在4次以上的例外事

12、项共有16项。信访举报和违规处理、信息安全和日常运维是当前备受关注的反舞弊和合规管理主题，也是内部控制的高风险领域。油气田开发建设、人力资源管理、财务管理、物资管理、信息管理、合同与纠纷管理等业务流程，是企业赖以生存和发展的核心业务，是经营管理的重要基础。重复发生例外事项分布详见图10。“基础不牢，地动山摇”，没有坚实的基础，就没有长期发展的基业。再高大的树木，如果根基不牢，最终会被大风吹倒。对上述问题要有风险意识，不仅需要管理层的高度关注，同时还需要企业全员共同参与防控。否则，后果会极其严重。从2011年至2016年重复发生的例外事项总体情况看，例外事项重复发生既有主观原因，也有客观原因。主

13、要原因可以归纳为：一是监督考核不到位，缺乏防范潜在风险意识。内控考核在建设和运行初期，是一项硬性考核指标，进入新常态后变成了软指标，在签订业绩责任时随即取消。各层级领导没有了业绩指标的约束，在没有出现对自己产生有影响的内部控制问题时，产生了内控工作繁琐且无实际意义的意识。特别是内部控制和单位或个人利益发生冲突时，有些人会弄虚作假，抵制甚至对抗内控要求。二是内控部门员工队伍不稳定，基础管理工作薄弱，岗位人员业务素质不高。由于受机构重组、部门整合、岗位调整等因素的影响，造成一些关键岗位人员频繁变动，加上工作传帮带不够和业务培训力量不足，使一些重要岗位的相关人员，对内部控制要素、内控要求、管理程序等

14、理解产生偏差，导致控制结果不正确。内控与风险管理人员的频繁变动，造成测试和监督力量不足。人员变动和知识更新，已成为当前制约业内工作推进的一个瓶颈。岗位人员的频繁调整，造成接续力量和制度执行缺口，弱化了一些员工的工作责任。一些单位基础管理工作薄弱，岗位人员业务素质不高、工作积极性不强，执行内部控制延续习惯做法。有些岗位人员了解如何实施控制，但由于怕麻烦而不愿改变习惯性做法，执行控制的随意性较大。业务主管部门未把业务流程及控制要求分配到专业部门和岗位，实行归口管理，并进行检查考核及监督。没有形成内控风险管理意识和风险管理文化，并把这种理念融入日常工作和业务管理之中，造成控制制度高高挂起和执行失效。

15、五、控制频发例外事项和提升内控执行力的思考内控执行力的问题，是一个宣传和教育的问题。例外事项的频繁发生和重复出现，说明内控执行力弱化，管理层、主管部门领导和岗位人员业务知识匮乏，管理意识淡薄。例外事项潜在风险如不关注和有效防控，必然影响企业财务报告的真实可靠、经管业绩和声誉形象，甚至给企业带来不良影响。（一）建立例外事项数据库，构筑分析和警醒基础例外事项数据库的建立，有助于启发我们去发现关联工作自身存在的缺陷和问题，从不同角度启示我们去思考和查找缺陷及问题形成因素，分析企业风险来源，识别风险要素，确定风险范围，评估企业内部控制存在的缺陷和风险，为改进缺陷提供参考，为有效防范和规避风险、实现内部

16、控制和风险管理目标提供支持。一是建立二级单位自己的例外事项数据库，同时纳入非本单位同类型例外事项，方便相关部门分析例外事项产生原因、现状趋势和风险性质，启发和警醒自己防范风险，规范操作，避免例外事项重复发生；二是建立地区公司层面例外事项数据库，借助科技手段开展统计汇总，分析例外事项集中趋势、风险因素和重复发生原因，制定相应对策，防止控制措施失效；三是从风险监控和预警角度出发，利用科学和先进的计量模型，实现企业例外事项状况和集中趋势能力分析，随时做好主动应对风险的准备；四是运用互联网技术，从整体视角、立体角度，多维度进行数据分析，丰富内控测试内涵，预测例外事项趋势，防控管理风险，实现数据共享新常

17、态。（二）加强内控风险知识业务培训，筑牢内部控制防火墙随着企业改革的不断深入，人员变动和知识更新，已成为当前制约业内工作推进的一个瓶颈。内控与风险管理人员的频繁变动，造成测试和监督力量不足。岗位人员的频繁调整，造成接续力量和制度执行缺口。内控执行力的问题，是一个宣传和教育的问题。加强业务知识培训，是筑牢内部控制防火墙的必然要求。 一是建立内控与风险管理业务培训制度，明确每年参加培训的天数，培养企业员工职守情操，增强内控与风险管理意识，促进员工牢固树立内控与风险管理人人有责的思想；二是开展领导层面内控风险知识培训，提高各级领导的风险防范、管控和合规意识，发挥各级领导潜移默化和带头执行作用，把內控

18、要求落到实处；三是开展内控风险管理人员、业务骨干、关键岗位人员业务培训，及时更新相关知识，稳定队伍、提高素质，提升岗位工作科技含量，筑牢内部控制防火墙。促进网络队伍建设，发挥业务支撑下的杠杆作用；四是加大内控宣贯力度，建立良好的风险管理氛围，使全体员工树立内控理念，掌握内控知识，自觉地将内控工作融入到日常管理工作之中。（三）建设内控风险管理文化，加大日常工作监督检查力度党的十八大以来，政府审计、反腐倡廉、合规管理等被提升到前所未有的高度，企业全员的风险管理意识虽然逐步增强，但并未形成内控风险管理文化。内控与风险管理工作给追责力度大的工作让路，领导层和员工责任感、危机感和紧迫感被淡化，应付思想、习惯性做法和形式主义“故地重游”，导致内控与风险管理执行力失衡和下滑。一是正确认识例外事项存在的潜在风险和长期积累的严重后果，不把内控风险管理作为形式主义的牺牲品，只喊口号、淡化监督、弱化执行。企业的内控目标和管理目标是相一致的，需要管理人员经常宣讲、沟通、解释和提醒，只有形成氛围和局面，才能提升核心价值并形成内控风险管理文化；二是完善评价考核