国企内控体系建设实施细则

国企内控体系建设实施细则第一章总则第一条为全面提升企业风险管理水平，规范内部控制体系的建设、运行与监督工作，保障企业战略目标的实现和国有资产的安全完整，根据《中华人民共和国公司法》《中华人民共和国企业国有资产法》《企业内部控制基本规范》及其配套指引等相关法律法规和国资监管规定，结合本企业实际，特制定本细则。第二条本细则适用于本企业集团总部、各全资子公司、控股子公司及具有实际控制权的各级子企业（以下统称“各单位”）。各级参股企业参照执行。第三条内部控制体系建设应当遵循以下基本原则：（一）全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项，实现全流程、全员、全方位覆盖。（二）重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域，防范重大风险。（三）制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督的机制，同时兼顾运营效率。（四）适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。（五）成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。第四条企业内部控制体系建设的主要任务是通过建立健全制度体系、优化业务流程、完善信息系统，构建以风险为导向、以合规为重点、以内控为抓手、以促发展为目标的管理体系，实现“强内控、防风险、促合规”的总体目标。第二章组织架构与职责分工第五条企业应当建立党组织前置研究、董事会全面负责、经理层组织实施、内控与风险管理部门牵头协调、各业务职能部门具体执行的内部控制组织架构体系。第六条党委（党组）在内部控制体系建设中的职责：（一）发挥把方向、管大局、保落实的领导作用，将内部控制体系建设纳入企业整体战略规划。（二）对企业重大风险评估、重大内控缺陷认定及整改方案等涉及“三重一大”事项进行前置研究讨论。第七条董事会及审计与风险委员会职责：（一）董事会负责内部控制的建立健全和有效实施，对企业内部控制体系的完整性、合理性及有效性承担最终责任。（二）审计与风险委员会负责审查企业内部控制体系建设的整体规划及年度工作计划，监督内部控制的有效实施，审阅内部控制评价报告，协调内部控制审计及外部监管事宜。第八条经理层职责：（一）负责组织领导企业内部控制体系的日常运行与建设实施。（二）拟订内部控制体系建设总体方案、基本管理制度，报董事会审批后执行。（三）授权并督促各业务部门开展内部控制流程梳理、风险识别与控制措施设计工作。（四）负责重大内控缺陷的整改落实，确保内部控制体系持续优化。第九条内控与风险管理部门（牵头部门）职责：（一）作为内部控制体系建设的归口管理部门，负责制定内部控制体系建设总体规划、年度计划及相关标准。（二）组织各部门开展风险识别、评估及内控流程梳理工作，编制并更新《企业内部控制手册》。（三）指导、监督各单位内部控制体系建设与运行情况，组织开展内部控制评价工作。（四）负责内部控制体系建设的信息化对接及日常协调联络工作。第十条各业务与职能部门（执行部门）职责：（一）作为内部控制体系建设的“第一道防线”，负责本部门职责范围内业务流程的梳理、风险点的识别及控制措施的具体设计。（二）严格执行内部控制各项规定，确保业务活动在内控框架内规范运行。（三）开展本业务领域的内控日常自查，及时反馈内控设计缺陷及运行缺陷，并落实整改要求。第十一条内部审计与纪检监察部门（监督部门）职责：（一）内部审计部门负责对内部控制体系的建立与执行情况进行独立监督审计，开展内部控制专项审计。（二）纪检监察部门负责对内部控制体系建设及执行过程中发现的违规违纪行为进行问责追责，作为内部控制体系有效运行的“第三道防线”提供强力保障。第三章内部环境建设第十二条完善公司治理结构。企业应当严格按照法律法规及国资监管要求，建立健全权责对等、运转协调、有效制衡的法人治理结构。明确党委会、董事会、监事会、经理层的权责边界和议事规则，形成各司其职、各负其责、协调运转的公司治理机制。第十三条优化机构设置与权责分配。企业应当结合业务特点和管理需要，科学设置内部职能机构，明确各部门职责权限和汇报关系。应当编制《部门职责说明书》和《岗位说明书》，将内部控制责任落实到具体岗位和人员，避免职能交叉、缺失或推诿扯皮。第十四条建立健全“三重一大”决策制度。凡涉及重大决策、重要人事任免、重大项目安排和大额度资金运作的事项，必须严格执行集体决策程序。决策前应当进行充分论证、风险评估和合法合规性审查；决策时应当按照规定的议事规则进行表决，并形成会议纪要或决议留存备查；决策后应当强化跟踪落实和督查督办。第十五条培育良好的企业文化。企业应当将合规经营、风险防范理念融入企业文化建设中，树立“全员合规、全程控险”的内控文化。高级管理人员应当带头遵守内控制度，发挥表率作用。定期开展内控文化宣贯和合规培训，增强全体员工的风险意识和规矩意识。第十六条加强人力资源政策与队伍建设。企业应当建立与内部控制要求相适应的人力资源政策，包括员工招聘、培训、考核、晋升、奖惩等环节。关键岗位人员应当具备相应的专业胜任能力和职业道德，对财务、采购、工程、投资等高风险岗位实行定期轮岗或强制休假制度。第四章风险评估与管理第十七条企业应当建立全面风险评估机制，定期或根据重大环境变化开展风险评估，识别可能对企业目标实现产生影响的内部和外部风险因素。第十八条风险识别应当覆盖战略规划、投融资、资金管理、采购与付款、销售与收款、资产管理、工程项目、研究与开发、合同管理、财务报告等所有核心业务领域。各部门应当结合宏观经济形势、行业政策变化及企业历史数据，采用问卷调查、访谈、头脑风暴、流程梳理等方法系统识别风险。第十九条风险分析应当结合风险发生的可能性和影响程度两个维度进行。采用定性与定量相结合的方法，对识别出的风险进行排序。根据风险排序结果，将风险划分为重大风险、重要风险和一般风险，并据此确定内部控制的重点领域和优先级。风险等级影响程度（财务损失/声誉损害/业务中断）发生可能性应对策略重大风险导致重大资产损失或严重负面影响，甚至危及企业生存极高或高规避、转移或优先采取严格措施降低重要风险导致较大资产损失或一定负面影响，影响某项业务目标实现中等或较高降低、转移或分担一般风险导致轻微资产损失或微小负面影响，不影响整体运营较低或低承受并日常监控第二十条风险应对策略。企业应当根据风险分析结果，结合风险承受度，权衡成本与收益，选择合适的风险应对策略：（一）风险规避。对超出风险承受度且无法有效控制的重大风险，应当停止或放弃相关业务。（二）风险降低。对可控制的风险，采取适当的控制措施将风险降低至可承受范围以内。（三）风险分担。对无法直接降低的风险，可通过购买保险、业务外包、签订对赌协议等方式将风险部分转移。（四）风险承受。对影响较小且在承受能力范围内的风险，在确认相关控制措施有效的前提下，可选择自行承担。第二十一条建立动态风险预警机制。内控与风险管理部门应当牵头建立关键风险指标（KRI）库，设定风险阈值。各业务部门应当定期监测相关风险指标，一旦指标触及预警线，应当立即启动风险预警程序，查明原因并采取干预措施，同时向主管领导和内控管理部门报告。第五章控制活动实施细则第二十二条不相容职务分离控制。企业应当全面梳理业务流程中的不相容职务，并在机构设置和人员配备上严格分离。主要包括：授权批准与业务经办分离、业务经办与会计记录分离、会计记录与财产保管分离、业务经办与稽核检查分离、授权批准与监督检查分离。严禁一人包办业务全流程。第二十三条授权审批控制。企业应当建立严格的授权审批体系，明确各项业务的审批权限、审批程序及审批责任。（一）常规授权。制定年度授权目录，明确日常经营活动的审批权限和流程，由经理层审批后执行。（二）特别授权。对于临时性、非日常或重大特殊事项，由董事会或党委会进行特别授权，明确授权范围、期限和责任，特别授权事项需建立台账跟踪管理。（三）严禁越权审批。各级审批人员应当在授权范围内行使职权，不得越权审批或逆程序审批。对于“三重一大”事项，必须严格执行集体决策，不得以个人签批替代集体决策。第二十四条会计系统控制。企业应当严格执行国家统一的会计准则制度，加强会计基础工作。（一）统一会计政策与会计估计，明确会计凭证、账簿、报表的处理流程和标准。（二）依法设置会计机构，配备具备从业资格的会计人员。会计机构负责人应当具备会计师以上专业技术职务资格。（三）建立健全财务收支审批制度和成本费用核算制度，严禁私设“小金库”和账外账。第二十五条财产保护控制。企业应当建立资产日常管理制度和定期清查制度。（一）限制未经授权的人员接触财产和财产相关记录，对现金、有价证券、存货等高流动性资产实行重点防护。（二）建立资产台账，定期进行实物盘点和账实核对，发现差异应当及时查明原因并按规定处理。（三）对重要资产投保财产险，通过外部转移降低资产意外损失风险。第二十六条预算控制。企业应当实施全面预算管理，将所有业务活动纳入预算控制范畴。（一）按照“上下结合、分级编制、逐级汇总”的程序编制年度预算，经党委会前置研究、董事会审议批准后下达执行。（二）严格预算执行刚性，原则上未经法定程序不得调整预算。预算内支出实行简化审批，预算外或超预算支出必须履行严格的审批程序。（三）定期召开预算分析会议，通报预算执行情况，对重大偏差进行预警和考核。第二十七条运营分析控制。企业经理层应当定期（月度、季度、半年度、年度）召开经营活动分析会议。综合运用生产、购销、投资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，发现经营管理中存在的问题，查明原因，提出改进措施并督促落实。第二十八条绩效考评控制。企业应当建立和完善绩效考评体系，将内部控制执行情况纳入各部门及员工的年度绩效考核指标。（一）设定科学合理的内控考核指标，如制度执行率、缺陷整改率、风险事件发生次数等。（二）定期对考评结果进行通报，并将考评结果作为员工薪酬调整、职务晋升、评先评优的重要依据。对因内控执行不力导致重大风险事件的，实行“一票否决”。第二十九条核心业务领域专项控制。（一）资金活动控制。严格资金授权审批，防范资金舞弊；实行资金集中管理，提高资金使用效率，防范资金链断裂风险；加强对网银支付、票据流转等关键环节的控制，定期核对银行账户。（二）采购与付款控制。建立供应商准入与动态评价机制，实行供应商黑名单管理；推行集中招标和电子化采购，防范暗箱操作；严格采购验收与付款审批，做到账实相符、单证齐全。（三）销售与收款控制。建立客户信用评估体系，实行信用限额管理；定期对账，建立应收账款催收责任制，防范呆坏账风险；严格销售价格管理和折扣审批，防范利益输送。（四）工程项目控制。规范项目立项与可研论证，严禁未批先建；严格招投标管理，防范围标串标；强化项目过程变更管理，重大变更需重新履行审批；严格工程竣工决算审计，未经审计不得结清工程款。（五）合同管理控制。推行合同标准文本库建设，降低法律风险；严格合同会签流程，重大合同需经法务部门审核及外部律所审查；建立合同履行跟踪台账，定期评估合同履约风险。第六章信息与沟通机制第三十条企业应当建立规范的信息收集、处理和传递机制，确保内部控制相关信息在企业内部各层级之间、企业与外部之间顺畅沟通。第三十一条信息系统控制。企业应当将内部控制要求嵌入到ERP、OA等业务信息系统中，实现手工控制向系统自动控制的转变，减少人为操纵空间。（一）一般控制。建立信息系统开发、测试、上线、运维及报废的全生命周期管理机制。严格系统访问权限管理，实行账号实名制，定期清理僵尸账号和离岗人员账号。加强服务器网络安全防护和数据异地备份，保障业务连续性。（二）应用控制。在系统中固化业务流程和审批节点，设置逻辑校验、勾稽关系检查和异常数据拦截功能。严禁后台直接修改业务数据，确需修改的必须留存不可篡改的操作日志并经高级别审批。第三十二条内部信息传递与报告。企业应当完善内部报告体系，明确各类内部报告的编制周期、报送对象和内容要求。（一）建立自下而上的风险与内控信息报告机制。一线员工发现内部控制缺陷或风险隐患时，应当及时向部门负责人或内控管理部门报告。（二）建立自上而下的信息下达机制。管理层应当及时将战略调整、制度变更、重大风险预警等信息传达到各级执行人员。（三）内部报告应当确保信息真实、准确、完整，对迟报、漏报、瞒报重大内控信息的责任人严肃问责。第三十三条反舞弊机制与举报投诉制度。企业应当建立健全反舞弊机制，明确反舞弊的重点领域和检查程序。（一）设立专门的举报电话、邮箱或信箱，并在企业内部公开，鼓励员工及外部相关方对违规违纪、内幕交易、贪污舞弊等行为进行实名或匿名举报。（二）建立严格的举报人保护制度。未经企业最高管理层授权，任何人不得查阅举报人信息；严禁对举报人进行打击报复，违者从严从重处理。（三）纪检监察或内审部门应当对受理的举报线索及时开展调查核实，构成违纪违法的移交相关司法机关处理。第七章内部监督与缺陷认定第三十四条企业应当建立日常监督与专项监督相结合的内部监督机制，对内部控制体系的建立与执行情况进行持续跟踪评价。第三十五条日常监督。各业务部门作为第一道防线，应当对本部门内控执行情况进行日常检查；内控与风险管理部门应当通过穿行测试、关键控制点抽检等方式，对各部门日常监督的有效性进行复核和指导；内审部门应当将内部控制常规审计纳入年度审计计划。第三十六条专项监督。当企业发生重大组织架构调整、并购重组、新业务拓展、重大违法违规事件或外部监管环境发生重大变化时，应当及时组织开展内部控制专项监督评估，重点关注相关领域内控制度的适应性和有效性。第三十七条内部控制缺陷认定。企业应当结合自身实际情况，制定科学的内部控制缺陷认定标准。内部控制缺陷分为设计缺陷和运行缺陷，按其影响程度分为重大缺陷、重要缺陷和一般缺陷。缺陷等级财务错报影响程度指标运营/合规影响程度指标缺陷认定标准及要求重大缺陷错报金额≥利润总额的5%或资产总额的1%导致严重违反法律法规被监管机构重罚或追究刑责；导致战略目标完全无法实现必须立即采取有效整改措施，由董事会直接督办，并向国资委报告重要缺陷利润总额的3%≤错报金额<利润总额的5%导致较大合规风险或一定声誉损失；导致某项业务目标无法实现限期整改，由经理层督办，内控部门跟踪验证一般缺陷错报金额<利润总额的3%仅造成轻微影响或日常管理漏洞纳入常规考核管理，由业务部门自行整改并备案第三十八条缺陷整改机制。对于认定的内部控制缺陷，内控与风险管理部门应当下达《内部控制缺陷整改通知书》，明确整改责任人、整改措施及整改期限。（一）一般缺陷由各责任部门在规定期限内自行整改，并将整改结果报内控管理部门备案。（二）重要缺陷由责任部门主管领导牵头制定整改方案，内控管理部门定期跟进整改进度。（三）重大缺陷应当由企业主要负责人亲自挂帅，制定专项整改方案，涉及制度修订或流程重大调整的需经党委会、董事会审议通过后实施。整改完成后，需由内审部门进行专项复核验收。第八章内控评价与考核问责第三十九条企业应当每年开展一次全面的内部控制体系有效性评价工作，形成《年度内部控制评价报告》。第四十条评价工作组织与实施。内控与风险管理部门负责制定年度评价工作方案，组建评价工作组。评价工作组可由内控、审计、法务等部门人员组成，必要时可聘请外部专业咨询机构协助，但评价工作组的主体应当是企业内部人员。第四十一条评价方法与抽样标准。评价工作组应当综合运用个别访谈法、调查问卷法、穿行测试法、实地查验法、抽样法等方法收集评价证据。抽样应当具有代表性，能够覆盖关键控制点。对于发生频率高的控制活动，样本量应当不少于25个；发生频率低的控制活动，应当全数检查。抽样测试应当留存完整的工作底稿，包括测试样本、凭证复印件、系统截图及相关说明。第四十二条评价报告编制与披露。评价工作结束后，工作组应当汇总评价结果，编制《内部控制评价报告》。报告内容应当包括：内部控制体系建设的总体情况、评价工作的总体情况、内部控制缺陷认定及整改情况、内部控制体系有效性结论。评价报告经审计与风险委员会审议、党委会前置研究、董事会最终审议批准后，按照国资监管要求按时上报并按规定对外披露。第四十三条考核与问责。企业应当建立严格的内控考核与问责机制。（一）将内部控制评价结果及缺陷整改情况纳入各单位年度综合经营业绩考核体系，与绩效薪酬直接挂钩。发生重大内控缺陷或整改不力的单位，扣减当年一定比例的绩效年薪。（二）对因内部控制设计存在重大漏洞导致重大风险事件发生的，追究相关业务部门及内控管理部门负责人的设计责任。（三）对因内部控制执行不到位、越权审批、弄虚作假导致资产损失或严重不