中石化内部控制检查评价与考核办法

1、中国石油化工股份有限公司内部控制检查评价与考核办法第一章总则第一条为加强中国石油化工股份有限公司（以下简称股份公司）内部控制，提高管理水平，遵循国内外资本市场监管要求，正确评价内部控制，根据股份公司内部控制手册（以下简称内控手册）有关规定，特制定本办法。第二条内部控制检查评价与考核工作的领导和组织股份公司内部控制领导小组（以下简称股份公司内控领导小组）统一领导股份公司内部控制检查评价与考核工作。股份公司内部控制领导小组办公室（以下简称股份公司内控办公室）具体负责股份公司内部控制检查评价与考核工作的组织实第三条股份公司内部控制检查评价形式股份公司内部控制检查评价实行“总部检查评价”和“单位自查评

2、价”两级检查评价体制。其中，“总部检查评价”包括“股份公司年度综合检查评价”和“审计部独立检查评价”；单位自查评价包括“分（子）公司自查”和“总部部门自查”。“股份公司年度综合检查评价”是股份公司内控领导小组组织对各单位内部控制实施情况的综合检查与评价，每年选取一定数量的单位检查。“审计部独立检查评价”是审计部每年至少对25家分（子）公司内部控制的实施情况进行独立检查评价。检查评价结果报股份公司内控领导小组审定后，作为股份公司年度综合检查评价的组成部分。“分（子）公司自查”是各分（子）公司按照内控手册有关规定，组织开展的业务流程测试和内部控制执行情况的检查评价工作，由三部分组成，即：业务流程季

3、度穿行测试、审计抽查和年度自查。其中，业务流程季度穿行测试是指责任部门和责任人每季度对相关业务流程和关键控制点的有效性至少穿行测试一次，测试记录（报告）报本单位内控办公室；审计抽查是指分（子）公司内部审计人员参与内控检查或独立抽查一定数量业务流程，独立抽查评价结果向本单位内控领导小组汇报并报审计部，相关资料交本单位内控办公室；年度自查是指分（子）公司内控领导小组（办公室）每年至少组织一次内部控制综合检查评价，每次检查区间须与上一检查区间衔接，对内审部门独立抽查的业务流程可不再重复检查评价。年度自查应填写自查工作底稿，检查结果连同业务流程季度穿行测试情况、审计抽查情况等一并形成自查评价报告，经分

4、（子）公司经理审定后，于次年2月1日前报股份公司内控办公室。“总部部门自查”是总部有关部门至少每半年对责任业务流程和控制点的有效性穿行测试一次，结合日常专业管理，对分（子）公司的执行情况适当抽查。穿行测试及抽查结果形成书面报告，经部门主任审定后，向股份公司内控领导小组汇报，并于每年8月1日第四条内部股份公司内和次年2月1日前报控制检查评价人员办公室在各有关专股份公司内业领域内公控办公室。经考试合格者颁发格证书。年度综合检查评价时，以“内控检查评价小位进行现场检查和评价，各类检查评价结果必须由第五条本办法适用于股份公司总分（子）公司、研本办法，结合实际，内部控制检查评价与考核办法第六条审计检查评

5、价。第二章股份公司年度综合检查评价第七条股份公司年度综合检查评价的原则股份公司年度综合检查评价（以下简称综合检查）以内控综合检查和评价。第八条综合检查内容及评分综合检查内容：内部制环境评价、位自查情况评价务流程综合检查评价、10分0。综合检查结果，制检查评价汇总表第九条第十四条第十条4最近一次审计或财务稽核查出问题的整改情况等。（三）现场检查。检查小组根据被检查单位适用业务流程和检查小组人员构成情况等进行工作分工。每个检查项目配备相应的检查人员，同时由他人复核。现场检查人员应根据内控手册控制点规定，参考检查工作底稿中检查步骤及方法，认真对照检查评价标准，填写检查工作底稿，做出检查评价结论。检查

6、小组组长、副组长或经其授权的人员须审核全部检查结果，并对检查结果的真实性负责。检查工作底稿由被检查单位流程责任人签字确认。（四）汇总检查评价结果。检查小组对检查中发现的各类问题进行研究和确定，汇总检查评价结果，形成现场检查评价初步结果。（五）通报检查评价情况。检查小组就现场检查评价初步结果与被检查单位交换意见，形成现场检查评价报告，向被检查单位通报。对检查小组做出的检查评价结论，被检查单位不得以任何形式施加影响；对检查评价结论有不同意见，可向股份公司内控办公室书面反映，由股份公司内控办公室会同有关部门研究解决方案并报股份公司内控领导小组审定。（六）跟踪整改。对检查中发现的问题，被检查单位要及时

7、制定整改方案，并认真落实整改，整改情况及结果须在检查结束后2个月内向第十一条第十二条第十三条点，可扣减被检查单位相同或相近的控制点得分；内控缺陷认定比照本办法，扣减被检查单位总得分；未建立内控制度的，被检查单位视同存在实质性漏洞。（三）确定适用控制点。参照业务流程中的“适用单位”，结合业务实际发生情况，确定被检查单位适用控制点。对不适用控制点或适用控制点但未发生业务的，相应的“控制点分值”清零，并在业务流程检查工作底稿的“检查记录”栏内标注“不适用”或“未发生”字样（参见附件4：业务流程检查工作底稿标准格式）。（四）控制点抽样检查与记录。业务流程控制点按其性质可分为“财务报告相关控制点”和“非

8、财务报告相关控制点”两类。凡在业务内部控制矩阵中注明“会计报表项目”的控制点为“财务报告相关控制点”，其余为“非财务报告相关控制点”。检查评价区间跨年度时，原则上按照内控手册最新版本对不同期间业务进行检查评价。但对于上一年度业务不符合最新版本规定但符合原版本规定的，视同有效执行。1抽样检查原则。控制点抽样检查，原则上采取“随机抽样”的方法，抽取的检查样本应尽可能包含大、中、小各种金额类型，并均匀覆盖规定的检查区间。其中，检查区间包含12月份的，则至少应抽取12月份的一笔检查样本。根据检查需要，检查小组也可灵活采用实地查验法、个别访谈法等其它检查方法，或与抽样检查方法结合使用。2财务报告相关控制

9、点的抽样方法与记录。财务报告相关控制点检查样本抽取数量，根据业务发生频率高低及相关会计科目的重要性确定。业务发生频率与样本抽取数量对照关系如下：序号业务发生频率至少抽样数量1每年一次1笔2每年一次以上至每季度一次2笔3每季度一次以上至每月一次2笔4每月一次以上至每周一次5笔5每周一次以上至每天一次15笔6每天多次25笔各业务流程财务报告相关控制点的具体抽样数量、记录内容等，参照财务报告相关控制点抽样记录表的要求执行（参见附件5：财务报告相关控制点抽样记录表标准格式）。检查人员可根据需要，增加抽样数量。3非财务报告相关控制点的抽样检查方法与记录。对非财务报告相关控制点的检查评价，至少要抽取3个样

10、本（实际发生业务数量少于3笔的，要全部检查）。记录内容至少包括样本名称、业务编号（凭证号/合同号/文件号）等。4“未执行”控制点的记录。对抽取的每笔业务，应参照业务流程检查工作底稿中“控制点描述”、“检查步骤及方法”、“控制点相关资料”，尽可能穿透检查，判断样本是否有效执行。“未执行”的控制点，要复印留存有关抽查样本及相关证明材料。未执行的控制点，在业务流程检查工作底稿中“未有效执行的原因”栏目详细记录未执行样本的业务编号（凭证号/合同号/文件号等）及具体未执行原因。财务报告相关控制点，还应在财务报告相关控制点抽样记录表的“有效执行/未有效执行样本序号”栏目内记录“未执行”样本的序号，“有效执

11、行”的财务报告相关控制点，在其对应栏目内填写7”。（五）控制点检查评价。控制点的检查评价，包括“不相容岗位（职务）分离情况评价”和“控制点执行情况评价”两项内容。1不相容岗位（职务）分离情况评价。按照业务流程中列示的“不相容岗位”，检查实际工作中是否对不相容岗位（职务）进行了有效分离。未做到不相容岗位（职务）分离的，视为“未执行”，控制点“检查评价得分”为零。2控制点执行情况检查评价。参照业务流程检查工作底稿中“检查步骤及方法”对控制点执行情况检查评价。控制点的所有抽查样本中，如果有一个样本存在下列情况之一，即视为该控制点“未执行”，控制点“检查评价得分”第十四条（一）财务报告缺陷认定财务报告

12、缺陷，包括影响会计报表缺陷、其他会计信息质量缺陷、IT控制缺陷和内控重大事故事件缺陷四个部分，依其严重程度分为一般缺陷、重大缺陷和实质性漏洞。1影响会计报表缺陷。影响会计报表缺陷，是指影响利润表及资产负债表项目等错报事项，。缺陷认定应重点关注资本性支出与费用性支出划分、达到可使用状态的资产结转、存货计价方式、销售收入截账、跨期费用摊销、减值准备计提等方面。方法如下：（1）记录错报样本情况。将错报样本序号、错报样本数量和错报样本的有关情况等在财务报告相关控制点抽样记录表的相应栏目中填列和说明。（2）计算潜在错报金额。根据控制点错报样本数量和抽取样本总量，在潜在错报率对照表中查找对应的潜在错报率；

13、根据潜在错报率和相应会计科目同向累计发生额，计算控制点潜在错报金额。公式如下：潜在错报金额=相应会计科目同向累计发生额X潜在错报率。潜在错报率、潜在错报金额在财务报告相关控制点抽样记录表相应栏目中填列。业务流程财务报告相关控制点潜在错报金额合计在内部控制缺陷认定汇总表（见附件6）相应栏目中填列。（3）计算错报指标。根据被检查单位适用业务流程潜在错报金额合计，分别按照被检查单位和股份公司两种口径计算错报指标：错报指标1=潜在错报金额合计/被检查单位当期主营业务收入与期末资产总额孰高；错报指标2=潜在错报金额合计/股份公司当期主营业务收入。（4）影响会计报表缺陷认定等级。一般缺陷：错报指标11%。

14、，且错报指标21%;重大缺陷：1%。错报指标25%;实质性漏洞：错报指标25%。影响会计报表缺陷认定结果在内部控制缺陷认定汇总表的相应栏目中填列。2其他会计信息质量缺陷。其他会计信息质量缺陷是指不直接影响会计报表，但不符合涉及财务信息内部控制要求的重点事项，存在以下情况判断为“一般缺陷”：（1）会计人员缺乏必要的任职资格和胜任能力。（2）财会岗位职责不清晰，或未执行规定的会计不相容岗位（职务）分离。（3）会计凭证未按规定装订、保管和归档，或会计凭证丢失。（4）重要原始凭证如出/入库单、提货通知单、开出发票和支票等不连号或未经审批取消原始凭证。（5）未按规定与股份公司内、外部往来单位对账及编制往

15、来账户余额调节表，或100万元以上的对账差异1个月以上未处理，或其他对账差异3个月以上未处理。（6）未按规定编制银行存款余额调节表，或调节表差异1个月以上未处理。（7）一人保管支付款项所需的全部印章。开通网上银行的，由一人保管网银卡和密码。（8）存货盘点未按照规定执行。（9）由于审查不严、处理不当等原因造成执行国家税收政策偏差，受到罚款处罚等。上述各种情况每出现一种即可判断为存在一个“一般缺陷”，但同一种情况出现多次的不重复计算个数。涉及到错报的样本，其样本序号在财务报告相关控制点抽样记录表中记录；认定结果在内部控制缺陷认定汇总表的相应栏目中填列。3.IT控制缺陷。IT控制分一般性控制和应用控

16、制。叮一般性控制主要包括IT整体层面管理、程序和数据访问、程序变更、程序开发、系统运行等控制。应用控制指相关业务流程通过ERP系统和其他应用系统的设置，对涉及财务报告的输入、数据处理和输出等实施控制。存在以下情况判断为“一般缺陷”：（1）ERP系统、财务信息管理系统、加油卡系统的用户管理或密码管理未按要求执行。（2）ERP系统同一业务流程主数据管理和维护有两个或两个以上控制点未按要求执行。（3）分（子）公司信息化管理机构不健全，职责不到位。（4）分（子）公司ERP支持中心人员不落实，支持中心人员没有履行相关职责。（5）安全管理员、系统管理员、应用系统管理员的设置未执行不相容岗位（职务）分离。（

17、6）未进行信息安全教育和培训。（7）ERP系统、财务管理信息系统、加油卡系统服务器未纳入信息管理部门统一管理。上述各种情况每出现一种即可判断为存在一个“一般缺陷”，但同一种情况出现多次的不重复计算个数。认定结果在内部控制缺陷认定汇总表的相应栏目中填列。4内控重大事故事件缺陷。内控重大事故事件，是指由于未经授权、舞弊或IT控制不善等原因造成直接财产损失或造成重大负面影响。重大事故事件与缺陷认定等级对照如下：缺陷认定直接财产损失金额重大负面影响等级一般缺陷10万元（含10万元）或受到省级（含省级）以下政府二)第十五条修订、配套制度更新和整体实施有效程度，以及检查工作的基本情况、现场评价得分等。2内

18、部控制环境。结合被检查单位内部控制检查评价结果和内部控制环境检查评价表，对被检查单位内部控制环境进行综合评价。3单位测试自查情况。介绍被检查单位内部控制测试自查工作的组织实施情况，以及现场检查中对单位自查评价的验证结果等。4业务流程检查评价情况。介绍被检查单位业务流程和控制点的适用情况（含不适用、未发生情况）、检查评价情况及检查评价结果等。对发现的问题要深入进行分析，可依次按业务流程顺序分析，也可按日常管理问题归类分析。5内部控制缺陷认定情况。对检查中确认的各类内部控制缺陷要详细分析和说明，深入挖掘问题的根源，阐明评价依据。6检查小组向被检查单位提出的意见和建议。对于被检查单位、检查小组对股份公司内控手册及内部控制工作的意见和建议，在内控工作意见和建议表（见附件7）中另外填列。（二）综合检查评价报告。股份公司内控办公室根据检查小组现场检查