五矿股份内控评价技术指南

1、内部控制评价技术指南为便于中国五矿股份有限公司（以下简称“五矿股份”）职能部门、业务中心及所属单位更好的开展内部控制评价工作，特制定本指南，以指导内部控制评价的具体操作。本指南重点对内控评价基本流程中关键环节的具体技术内容进行说明。1. 实施内部控制自评价工作1.1 下发自评价通知五矿股份年度内部控制实施及评价方案经审批后，五矿股份据此组织安排内部控制自评价工作，下发方案及相关文档模板，明确内部控制自评价工作要求、完成时间、提交成果、上报审批流程等。1.2 完成自评价工作内部控制自评价主体按照五矿股份总部的统一要求,在规定的时间内完成自评价工作，填写相关工作文档，并及时将经本层级管理层确认的相

2、关工作成果逐级上报。1.2.1 自评价测试方法的选择各业务中心和下属单位在开展自评价工作时，可参考以下方法开展自评价测试工作：（一）访谈法指通过口头或书面的方式对执行控制的相关人员提出问题，根据被访谈人的回答确定控制是否存在，以及控制执行人对控制的理解程度。访谈原则上应该以执行该项控制的人员作为访谈对象，如果相关人员（如部门负责人）能够说明具体情况，也可以访谈相关人员，不需要具体访谈到每个岗位。（二）调查问卷法针对重要风险或控制问题设计问卷调查表，分别对不同层次的员工进行问卷调查，根据调查结果对相关项目做出评价。（三）专题讨论会法通过召集与业务流程相关的管理人员就业务流程中的特定项目或具体问题

3、进行讨论及评估的一种方法。1.2.2 内部控制自评价底稿内部控制自评价主体在开展自评价工作时，需按五矿股份总部统一要求，填写评价工作底稿。工作底稿及填写方法参见“附件2-2-3.内控评价工作底稿”。内部控制自评价工作仅需填列“内控评价工作底稿”主页面的D至L列，其他内容在实施内控控制抽查工作时完成。1.2.3 缺陷汇总表及整改方案内部控制自评价主体针对内部控制自评价过程中发现的缺陷，应汇总缺陷，并制定有针对性的整改方案，整改方案应明确整改措施、责任人、计划完成时间等，并经自评价主体总经理办公会或类似权利机构审批。具体填写模板参见“附件2-2-2.内部控制缺陷汇总及整改方案模板”。1.2.4 内

4、部控制自评价报告内部控制自评价主体需完成内部控制自评价报告，并经自评价主体总经理办公会或类似权利机构审批。报告形式参见“附件2-2-1.内部控制自评价报告模板”。2. 实施内部控制抽查工作本部分内容对确定抽查范围、抽样方法等内容进行了界定，用于指导抽查工作的开展。因大部分自评价单位不涉及此部分工作内容，这里不再进行详细阐述，如果有相关工作需求，可与五矿股份审计部沟通。3. 缺陷认定及评价3.1 内部控制缺陷分类内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷。重大缺陷可以是重要缺陷的组合，重要缺陷可以是一般缺陷的组合。重大缺陷是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

5、重要缺陷是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，但仍有可能导致企业偏离控制目标。重要缺陷的严重程度低于重大缺陷，不会严重危及内部控制的整体有效性，但也应当引起经理层的充分关注。一般缺陷是指除重大缺陷、重要缺陷之外的其他缺陷。3.2 缺陷认定及评价步骤内部控制缺陷认定可参考以下步骤：3.2.1 步骤一：判断缺陷导致财务报表错报的可能性内部控制缺陷的严重程度主要取决于其可能导致的财务报表错报的程度或非财务报告内控目标偏离的程度。因此在进行财务报告内部控制缺陷评价时，需要关注该缺陷与财务报表认定的关联性，进而判断缺陷导致财务报表错报的可能性。错报可能性的界定需要专业判断，在判断错报的可

6、能性时，一般可以定性分析而无需定量分析，需要考虑的因素包括但不限于：影响到的财务报表科目或非财务报告的内控事项的性质；需要的主观判断程度、复杂性；控制执行中的异常情况发生的频率和原因；与其他控制的关联性；缺陷可能造成的后果； 历史错报行为。 3.2.2 步骤二：判断是否存在补偿性控制对于内部控制缺陷，应评估其是否存在补偿性控制，并且对补偿性控制开展必要的测试验证工作，获取该补偿性控制是否有效运行的证据，进而判断补偿性控制是否能够降低导致错报或对公司产生不利财务影响的程度。3.2.3 步骤三：判断此缺陷在考虑补偿性控制后仍然可能导致的财务报表错报在考虑补偿性控制后，对缺陷导致错报的影响程度判断包

7、括定量和定性两种方法。从定量角度看，可以认为错报金额大于等于年度财务报表总体重要性水平的100的错报程度为重大，小于重要性水平的100%而大于等于重要性水平的20%的错报程度为重要，其他为一般。重要性水平的设定随着公司的不同情况以及财务报表使用者使用财务报表的目的而有所不同，此外还和公司的性质和行业、以及财务指标的稳定性有关。例如，公司的财务报表使用者关注企业的盈利能力，则可以以税前利润、净利润的一定比例（如5%-10%）作为重要性水平；如果税前利润或净利润波动较大，而财务报表使用者又关注公司的成长，则可以以收入的一定比例（如0.5%-1%）作为重要性水平；同样，如果财务报表使用者更关注公司的

8、净资产，则可以按净资产的一定比例（如1%-5%）作为重要性水平。在实际操作中，建议按下述原则确定重要性水平：反映公司正常盈利水平，且盈利水平稳定的情况下，以净利润的5%作为重要性水平；如果税前利润或净利润波动幅度较大情况或不能正常反映其盈利水平，但收入相对稳定的情况下，以收入的0.5%作为重要性水平；如上述2种情况均不适合的情况下，以净资产的1%作为重要性水平。从定性角度看，对于某些性质的控制缺陷，即使其错报小于总体重要性水平的20，其缺陷的认定结果也应调高。内部控制存在重大缺陷的迹象包括但不限于：发现董事、监事和高级管理人员舞弊；更正已公布的财务报表；发现当期财务报表存在重大错报，而内部控制

9、在运行过程中未能发现该错报；内部审计职能对内部控制的监督无效。 对于与财务报表认定不相关的缺陷，直接执行3.2.4 步骤四 。3.2.4 步骤四：判断财务主管或相关负责人对缺陷的重视程度当在缺陷不存在合理的可能性导致财务报表错报时，或是存在补偿性控制，或是缺陷导致的财务报表错报不重大时，测试人员对于内控缺陷的评价还需要从谨慎性的角度出发，考虑缺陷是否足以引起财务主管或相关负责人的重视，从而得出该缺陷是为一般缺陷还是为重要缺陷的结论。其中相关负责人主要指负责该项业务的中高层管理人员。3.2.5 步骤五：判断第三方独立且知情的人员对缺陷的态度本步骤中所指的第三方独立且知情的人员可以是外部审计师、监

10、管机构人员、投资人等。当他们在取得和测试人员同样的缺陷相关信息时，是否会认为导致重大财务错报或潜在负面财务影响，如果是，则该缺陷构成重大缺陷，反之则为重要缺陷。本步骤的目的是在上述内控缺陷定性定量分析的基础上，充分发挥测试人员的职业谨慎态度，从第三方角度客观地重新审视内控缺陷的严重性，做出缺陷类型的判断。内部控制缺陷认定的流程如下图所示，缺陷评价模板及填写方法参见“附件2-2-4.内部控制缺陷评价表”。示例：缺陷认定流程图评价过程中注意发现的内控缺陷步骤一：此缺陷是否存在合理的可能性导致财务报表错报/潜在负面财务影响是否步骤二：是否存在有效运行的足以预防或发现财务报表重大错报/潜在负面财务影响

11、的补偿性控制？步骤三：此缺陷可能导致的财务报表错报/潜在负面财务影响是否重大（考虑定量和定性因素）？一般缺陷步骤四：此缺陷的重要程度是否足以引起财务主管或相关负责人的重视？否否是重要缺陷步骤五：一个足够知情、有胜任能力并且客观的人员是否能得出此项缺陷为重大缺陷的结论？否是重大缺陷是3.3 公司层面、信息系统总体控制缺陷认定的特殊考虑3.3.1 公司层面缺陷认定的特殊考虑公司层面控制包括控制环境、风险评估、信息与沟通、内部监督四方面。公司层面控制缺陷通常不会直接导致错报，但会增加流程层面错报的可能性，需考虑的因素包括： 控制缺陷在被测试主体中的普遍性； 控制缺陷对公司层面控制各组成要素的相对重要

12、性； 以往错报是否与公司层面控制缺陷有关； 舞弊的可能性（包括管理层越权的风险）； 控制运行有效性方面已发现的例外情况的原因和频率； 缺陷可能导致的未来后果。3.3.2 信息系统总体控制缺陷认定的特殊考虑信息系统总体控制缺陷并不直接导致错报，信息系统错报大多来源于无效的应用系统控制，因此，对信息系统总体控制缺陷的评估应参照其对应用控制的影响。如果应用系统层面的控制缺陷与信息系统总体控制中的缺陷有关或由它所引起，则信息系统总体控制缺陷应与应用系统控制中的缺陷结合起来评估，并且通常与应用系统控制缺陷的分类一致。3.3.3 记录并沟通测试结果所有涉及缺陷认定的支持性证据应注意予以保留，详细的缺陷描述应记录在“附件2-2-4.内部控制缺陷评价表”中，包括缺陷描述、是否与财务认定相关、补偿性控制、影响的财务报表科目和金额、缺陷认定类型等。内部控制自评价缺陷认定结果需经被评价主体管理层确认后上报；抽查测试阶段，抽查测试人员退场前需就测试结果与被测试主体管理层进行沟通。如沟通后无法达成共识，抽查测试人员将以自身的测试结果为准。3.4 缺陷汇总及整改对于自评价阶段各评价主体发现的缺陷，各中心、单位及相关部门应对其整改情况给予足够的关注，对