国有企业内控风险排查管理制度完整版

国有企业内控风险排查管理制度完整版第一章总则第一条为深入贯彻党中央关于防范化解重大风险的战略部署，落实国有资产监督管理委员会关于加强国有企业内部控制体系建设与监督工作的要求，进一步规范本企业内部控制（以下简称“内控”）风险排查工作，建立健全风险常态化排查与长效化防控机制，切实提升经营管理水平和抗风险能力，保障企业资产安全与持续健康发展，特制定本制度。第二条本制度适用于企业总部及所属各级全资、控股子企业（以下统称“各单位”）。企业参股企业可参照本制度，经法定程序批准后执行。第三条内控风险排查工作应当坚持以下原则：（一）全面覆盖原则。排查范围应覆盖企业所有业务流程、部门、岗位及下属单位，贯穿决策、执行、监督全流程，确保风险排查无死角、无盲区。（二）风险导向原则。以重大风险、重要业务环节和高风险领域为重点，聚焦关键控制点，合理配置排查资源，提高排查工作的针对性和有效性。（三）客观公正原则。排查工作应依据事实和数据，独立、内控地进行评价，如实反映风险状况，不隐瞒、不回避问题。（四）问题导向原则。注重发现实质性缺陷和管理漏洞，深入剖析根源，推动问题整改闭环管理，强化成果应用。（五）动态适应原则。根据外部环境变化、监管政策调整及企业发展战略转型，及时更新排查内容、标准和方法，保持排查工作的时效性。第四条本制度所称内控风险排查，是指企业内部专门机构或人员通过系统化的方法，对内部环境、风险评估、控制活动、信息与沟通、内部监督等内控要素进行检查、测试和评价，识别、分析和认定内部控制设计和运行缺陷的过程。第五条内控风险排查的主要依据包括但不限于：《中华人民共和国公司法》、《中华人民共和国会计法》、《企业内部控制基本规范》及其配套指引、国资监管机构出台的风险管理相关规定、公司章程、企业内部管理制度及业务流程等。第二章组织架构与职责分工第六条企业党委对内控风险排查工作发挥领导作用，把方向、管大局、保落实，研究决定内控风险排查工作中的重大事项，审议批准年度内控风险排查工作报告及重大风险整改方案。第七条企业董事会是内控风险排查工作的决策机构，主要职责包括：（一）审定企业内控风险排查管理制度；（二）审批年度内控风险排查工作计划；（三）审议内控风险排查发现的重大缺陷和重要缺陷及整改方案；（四）监督管理层对内控风险排查结果的应用及整改落实情况。第八条企业经理层是内控风险排查工作的执行机构，主要职责包括：（一）组织制定并落实年度内控风险排查工作计划；（二）协调解决排查过程中遇到的跨部门、跨层级问题；（三）督促各部门及所属单位配合开展排查工作，落实整改责任；（四）向董事会报告内控风险排查工作进展及结果。第九条企业审计与风险管理委员会（或类似决策支持机构）协助董事会履行职责，对内控风险排查工作方案、重大风险应对策略、重大缺陷整改情况进行研究和审议，并向董事会提出专业意见。第十条风险管理（或内部控制）职能部门是内控风险排查的牵头部门，主要职责包括：（一）拟定和完善内控风险排查管理制度及相关工作规范；（二）组织编制年度内控风险排查工作计划，并组织实施；（三）设计风险排查底稿、清单和评价标准；（四）协调各业务部门及子企业开展自查与抽查工作；（五）汇总分析排查结果，编制内控风险排查报告；（六）建立和管理内控风险缺陷库，跟踪督办整改情况；（七）组织内控风险排查业务培训。第十一条内部审计部门负责对内控风险排查工作的质量和效果进行监督评价，必要时可直接对特定领域进行独立审计，并将内控有效性作为经济责任审计、财务收支审计的重要内容。第十二条各业务职能部门是本专业领域内控风险排查的责任主体，主要职责包括：（一）负责本部门职责范围内业务流程的日常风险自查；（二）配合牵头部门开展专项排查和综合检查，提供相关资料和业务支持；（三）针对排查发现的缺陷，制定并实施整改措施；（四）优化本部门业务流程和控制活动。第十三条各子企业应参照本企业总部架构，明确本单位内控风险排查工作的归口管理部门和职责分工，建立上下联动的排查机制。第三章风险排查范围与内容第十四条内控风险排查的范围应涵盖企业的主要经济活动和管理活动。重点排查领域包括但不限于：（一）资金活动：包括资金管理、筹资管理、投资管理、营运资金管理等环节的审批、支付、核算安全性。（二）采购业务：包括供应商管理、采购计划、招标投标、合同签订、验收、付款等环节的合规性与效益性。（三）资产管理：包括存货、固定资产、无形资产等资产的取得、验收、使用、维护、处置等环节的控制有效性。（四）销售业务：包括客户信用管理、合同订立、发货、收款、售后服务等环节的风险管控。（五）研究与开发：包括立项论证、过程管理、验收、成果转化及保护等环节的管控。（六）工程项目：包括立项、招标、造价、建设、验收、竣工决算等环节的全流程管理。（七）担保业务：包括担保调查、审批、执行、监控等环节的风险控制。（八）业务外包：包括承包方选择、外包实施、验收等环节的管理。（九）财务报告：包括财务报告编制、对外提供、分析利用等环节的准确性、及时性与合规性。（十）全面预算：包括预算编制、审批、执行、分析与考核等环节的控制。（十一）合同管理：包括合同谈判、审核、签署、履行、纠纷处理等环节的法律风险与履约风险。（十二）信息系统：包括信息系统规划、开发、运行、维护及网络安全等方面的控制。（十三）人力资源：包括招聘、培训、薪酬、考核、晋升、离职等环节的合规性。（十四）关联交易：包括关联方识别、交易定价、审议披露等环节的合规管控。第十五条内控风险排查的具体内容应聚焦内部控制设计的有效性和运行的有效性。（一）设计有效性排查：重点检查企业现有的管理制度、业务流程是否健全，控制措施是否覆盖所有关键风险点，是否符合国家法律法规及监管要求，职责分工是否体现不相容职务分离原则。（二）运行有效性排查：重点检查各项控制措施是否在实际工作中得到一贯执行，相关控制证据是否齐全、真实、有效，是否存在控制缺失或控制执行偏差的情况。第十六条针对国有企业特性，应重点加强对“三重一大”决策制度执行情况、混合所有制改革、国有资产交易、境外资产管理、廉洁从业等方面的风险排查。第四章排查方式与频次第十七条内控风险排查方式主要包括：（一）日常排查：各业务部门在日常经营管理活动中，结合岗位职责和业务流程，对关键控制点进行常态化检查。（二）年度全面排查：每年对企业全部业务流程和内部控制体系进行一次系统性、全面性的检查。（三）专项排查：当企业外部环境发生重大变化、发生重大风险事件、组织架构调整、开展新业务或监管机构有明确要求时，针对特定领域或特定环节开展的深入排查。（四）即时排查：针对突发性风险事件或重要风险预警信号，立即启动的应急排查。第十八条内控风险排查的方法包括：（一）个别访谈法：通过与相关管理人员、业务人员面对面交流，了解业务流程实际执行情况和风险点。（二）调查问卷法：设计标准化问卷，向相关人员收集关于内部控制执行情况的信息。（三）穿行测试法：抽取若干笔具有代表性的具体业务，追踪其从发生到结束的整个处理过程，以验证控制流程的完整性。（四）控制测试法：对特定控制点的执行情况进行抽样检查，评估控制运行的有效性。（五）比较分析法：对比不同时期的数据、行业标准或预算目标，分析异常波动背后的风险。（六）专题讨论会：组织跨部门人员对特定复杂业务流程的风险点进行集中研讨和梳理。第十九条年度全面排查应在每年年底或次年年初完成，专项排查根据实际需要适时开展。对于高风险领域和关键业务环节，应适当增加排查频次。第五章排查工作程序第二十条年度内控风险排查工作应遵循以下程序：（一）计划制定。风险管理职能部门应于每年年初根据企业战略重点、上一年度排查结果及监管要求，编制年度内控风险排查工作计划，明确排查目的、范围、内容、时间安排、人员分工及资源保障，报经理层审批后实施。（二）方案准备。根据年度计划，针对具体的排查项目制定详细实施方案，设计排查底稿、测试样本量标准及缺陷认定标准。（三）现场排查。排查人员通过访谈、查阅资料、实地盘点、系统抓取等方式收集证据，按照排查底稿实施测试程序，如实记录排查发现的问题和异常情况。（四）缺陷认定。排查小组对发现的问题进行汇总、分析和论证，依据缺陷认定标准，判断缺陷的性质（一般缺陷、重要缺陷、重大缺陷）和成因。（五）沟通反馈。就初步认定的缺陷与被排查单位或部门进行充分沟通，核实情况，听取意见，确保事实清楚、证据确凿。（六）报告编制。风险管理职能部门汇总排查结果，编制内控风险排查报告，经内部审核后报经理层审议。（七）整改落实。相关责任单位根据报告制定整改方案，明确整改措施、责任人、完成时限，并组织实施整改。（八）后续验证。风险管理职能部门及内审部门对整改完成情况进行验收和验证，实现闭环管理。第二十一条专项排查程序可适当简化，但必须保证准备、实施、报告、整改四个关键环节的完整性。第二十二条排查工作底稿应做到资料完整、记录清晰、结论明确。底稿应包括：排查对象、排查时间、排查人员、测试程序、测试内容、发现的事实、判断依据、初步结论等。工作底稿应按照档案管理规定进行归档保存，保存期限不少于10年。第六章风险缺陷认定标准第二十三条内控缺陷按照其成因分为设计缺陷和运行缺陷。（一）设计缺陷：指企业缺少为实现控制目标所必需的控制措施，或现有控制措施设计不合理，导致无法有效防范和控制风险。（二）运行缺陷：指控制措施设计合理且健全，但由于未按设计执行、执行人员缺乏专业胜任能力或执行过程中出现偏差，导致控制失效。第二十四条内控缺陷按照其影响程度分为重大缺陷、重要缺陷和一般缺陷。（一）重大缺陷：指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标，对资产安全、财务报告真实性、经营合法性及战略实施产生重大负面影响。例如：企业财务报告发生重大错报；违反国家法律法规，受到严厉处罚；高管人员舞弊；企业内部控制环境失效等。（二）重要缺陷：指其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标的缺陷。例如：某一业务流程缺乏合理的控制设计；财务报告中存在未更正的中等错报；反舞弊程序不足等。（三）一般缺陷：指除重大缺陷和重要缺陷之外的其他缺陷。第二十五条企业应制定详细的《内控缺陷认定指引》，明确财务报告缺陷和非财务报告缺陷的具体定量和定性指标。（一）定量指标：通常以资产总额、营业收入、利润总额、净利润等财务数据的一定比例为阈值。（二）定性指标：通常参考风险发生的可能性、影响的广度与深度、声誉损失程度、是否涉及舞弊等因素。缺陷等级定量标准参考（示例）定性标准参考重大缺陷错报≥资产总额/营收的1%；或损失金额≥净利润的10%董事、监事及高管舞弊；企业违规被吊销执照；内部控制环境无效；财务报告严重虚假。重要缺陷资产总额/营收的0.5%≤错报<1%；或损失金额≥净利润的5%独立董事或审计委员会对财务报告内部控制异议；审计师发现当期财务报告存在重大错报但内控未发现。一般缺陷错报<资产总额/营收的0.5%；或损失金额<净利润的5%上述缺陷以外的其他控制缺陷，对控制目标影响较小。第二十六条缺陷认定应遵循谨慎性原则。对于难以区分等级的缺陷，应优先认定为较高等级缺陷。涉及多个缺陷共同作用时，应合并评估其影响程度。第七章风险整改与成果应用第二十七条建立内控风险问题整改台账。风险管理职能部门负责将排查发现的所有问题登记造册，实行“清单式”管理。整改台账应包含问题描述、责任部门、责任人、整改措施、计划完成时间、实际完成情况、验证状态等信息。第二十八条责任部门收到风险排查报告或整改通知后，应在规定时间内制定整改方案。整改方案应具备可操作性，包括：（一）纠正违规行为的具体措施；（二）完善制度、优化流程的具体计划；（三）修复系统漏洞的技术方案；（四）落实整改责任的具体人员和时间节点。第二十九条整改工作实行“销号制”管理。责任部门完成整改后，应向风险管理职能部门提交整改报告及相关佐证材料（如修订后的制度文件、会议纪要、系统截图、会计凭证等）。风险管理职能部门组织人员进行审核验收，确认整改到位后方可销号。第三十条对于重大缺陷和重要缺陷，企业应建立挂牌督办机制。由企业领导班子成员牵头负责，定期听取整改汇报，协调解决整改中的难点问题。整改情况应纳入企业月度或季度经济运行分析会进行通报。第三十一条坚持“当下改”与“长久立”相结合。对于排查发现的共性问题、深层次问题，应从体制机制层面查找原因，通过完善制度体系、优化组织架构、调整业务模式、升级信息系统等方式，从根本上堵塞管理漏洞。第三十二条内控风险排查结果应作为企业绩效考核、干部任免、评优评先的重要依据。（一）对内控风险排查工作组织得力、整改及时、成效显著的单位和个人，给予表彰奖励。（二）对排查工作敷衍塞责、隐瞒问题、整改不力或屡查屡犯的单位和个人，视情节轻重给予通报批评、扣减绩效薪酬、组织处理或纪律处分。第三十三条建立内控风险排查与全面风险管理、合规管理、法治建设等工作的联动机制。排查结果应及时更新企业风险数据库，调整风险应对策略，并为编制年度全面风险管理报告提供数据支持。第八章信息化管理与档案管理第三十四条企业应加快推进内控风险排查信息化建设。将内控流程、控制点、风险预警指标嵌入ERP、财务共享、OA等业务信息系统，利用大数据、人工智能等技术手段，实现对关键风险的自动监测、实时预警和智能分析。第三十五条推广应用线上排查工具。通过信息化系统固化排查流程，实现排查底稿在线填写、证据在线上传、报告自动生成、整改在线跟踪，提高排查工作效率和标准化水平。第三十六条加强内控风险排查档案管理。排查过程中的计划、方案、底稿、沟通