内控风险评估资料汇编细则

内控风险评估资料汇编细则一、第一条总则风险评估资料是内控体系自我证明的核心证据链——监管检查、外部审计、董事会问责时，口头描述和汇报PPT均不具证明力，唯有规范汇编、可追溯的书面资料才被采信。本细则旨在统一公司风险评估全过程中资料的产生、收集、整理、归档与使用规则，确保任何一项风险结论都能在30分钟内回溯至原始证据。本细则依据《企业内部控制基本规范》（财政部、证监会、审计署、银监会、保监会五部委发布）及其配套指引中关于风险评估的要求制定，适用于公司总部及全部下属分、子公司。1.1适用范围•覆盖的风险类别：战略风险、财务风险、运营风险、合规风险、信息安全风险五大类•覆盖的资料类型：风险识别清单、风险分析评分表、风险评估报告、应对方案、整改跟踪记录、支撑性原始凭证•适用主体：风险管理部（牵头）、各业务部门（责任主体）、内审部（独立复核）、财务部与法务部（专项支持）1.2职责分工角色职责产出与时限各业务部门识别本部门风险点，填报风险登记表，提供原始凭证每季度末月10日前提交季度风险登记表风险管理部汇总评分、编制评估报告、统一归档管理季度末月25日前完成评分，次月5日前出报告内审部独立抽样复核资料真实性与评分合理性报告发布后10个工作日内出具复核意见分管副总（风控领导小组组长）审批年度重大风险清单及应对方案年度报告后15个工作日内完成审批董事会/审计委员会审议年度内控风险评估报告每年4月底前完成年度审议二、第二条资料分类与编制标准资料的价值取决于可追溯性和格式统一性——同一风险点若三个部门用三种模板填报，汇总时必然出现口径冲突，评估结论不可信。本条对各类资料的模板、必填字段、量化标准作出统一规定。2.1风险识别资料风险登记表（模板见附件1），必填字段包括：•风险编号：格式R-部门代码-年份-序号，如R-FIN-2025-013•风险名称与描述：一句话概括+演化路径描述•风险类别：按2.1五大类归类，跨类风险归主责类别•涉及流程：填写至三级流程节点（如「采购管理—供应商管理—准入审批」）•责任岗位：写到岗位而非部门（如「应付账款会计」而非「财务部」）•现有控制措施：逐条列明，注明控制类型（预防性/发现性、自动/人工）•支撑证据清单：列明已附凭证的编号与名称2.2风险分析评分资料采用「可能性×影响程度」二维评分，评分标准必须事前固化，禁止评分人临场自由裁量。可能性评分标准（P值）分值判定标准5未来12个月内发生概率大于80%，或历史上每年发生2次及以上4发生概率50%~80%，或历史上年均发生1次3发生概率20%~50%，或过去3年发生过1~2次2发生概率5%~20%，同行业近3年发生过1发生概率小于5%，行业罕见影响程度评分标准（I值）——取四个维度中最高分，禁止取平均：分值财务影响合规影响运营影响声誉影响5损失大于500万元触发行政处罚或牌照风险主营业务中断超过7天省级以上媒体负面报道4损失100~500万元监管问询或责令整改中断2~7天行业内广泛传播3损失20~100万元内部通报或限期整改中断1~2天客户投诉集中出现2损失5~20万元制度违规，未造成外部后果影响个别岗位效率个别客户不满1损失小于5万元轻微偏差无实质影响无感知风险值R=•重大风险（R≥15•重要风险（8≤R•一般风险（R<8评分由两名以上评分人独立打分，分差大于等于2分（P值或I值任一维度）的必须召开评分校准会，会议记录纳入资料汇编。2.3风险演化路径描述要求风险描述禁止单写「存在资金风险」式结论，必须写全演化路径。以销售回款风险为例：客户信用额度审批流于形式（起因）→赊销放货后客户经营恶化（传播）→财务未按月对账、超期90天才预警（触发条件）→单笔300万元应收账款坏账（后果）。演化路径完整描述后，阻断点自然显现：本例中「按月对账+超期30天预警」即为可执行的控制改进措施，必须写入应对方案。三、第三条资料汇编流程与时限汇编不是季度末的突击装订，而是随风险评估过程同步产生的滚动积累——任何要求事后补做的资料，其可信度都会在审计中被质疑。本条按时间轴规定各环节动作。3.1季度汇编流程1.季度末月1~10日：各业务部门填报风险登记表，同步上传支撑凭证（扫描件命名规则：风险编号_凭证类型_日期，如R-OPS-2025-007_审批单_20250912.pdf）2.季度末月11~25日：风险管理部完成汇总评分与交叉校验；对新增风险和评分变化超过2分的风险，组织责任部门确认，确认记录留存3.季度末月26日至次月5日：编制季度风险评估报告（结构见3.3），内审部抽样复核4.次月10日前：全部资料归入电子档案库与纸质档案盒，档案编号登记入册3.2资料完整性核验标准每一风险点的汇编资料必须齐备以下五件，缺一即为汇编不合格，内审复核时按不合格项通报：1.风险登记表（责任部门填报、部门负责人签字）2.评分表（含独立评分原始记录与校准会记录，如有）3.支撑凭证（至少1份原始证据：审批单、对账单、系统截图、巡检记录等）4.应对措施及整改跟踪表（重大与重要风险必备）5.季度报告中的对应分析段落3.3季度风险评估报告结构•上季度风险清单变动情况（新增、关闭、升级、降级，逐项列明原因）•重大风险专项分析（每个重大风险单独成节：演化路径、当前控制有效性评价、应对进展、量化指标完成率）•控制缺陷与整改建议（缺陷描述、责任部门、整改时限、验收标准）•下季度重点关注事项四、第四条资料保管、借阅与保密风险评估资料包含流程漏洞、控制缺陷等敏感信息——一旦泄露，可能被内外部人员利用规避控制，甚至成为舞弊作案指南。本条的保密分级并非形式要求，而是对资料本身的风险控制。4.1保管要求•电子档案：存放于内控系统专用目录，设置分级权限——一般风险资料全公司风控条线可查；重大风险资料仅风控领导小组成员及内审人员可查•纸质档案：风险管理部专柜保管，双人在场方可调阅；保存期限10年•备份：电子资料每季度末备份至独立存储介质，备份介质异地（另址）存放，备份后进行一次恢复验证4.2借阅审批•一般风险资料：部门负责人审批，登记借阅，5个工作日内归还•重大风险资料：分管副总审批，仅限公司内部使用，禁止复制外带；确需复印的须经风险管理部逐页编号登记五、第五条监督检查与责任追究制度是否落地，取决于违反制度的后果是否真实发生——没有追责记录的细则会在两年内退化为摆设。本条将汇编质量纳入考核，并规定内审部的独立检查机制。5.1检查机制•内审部每年至少开展2次汇编质量专项检查，每次抽样不少于风险点总数的20%且不少于10个（含全部重大风险点）•检查内容：资料齐备性、凭证真实性（与业务系统核对）、评分合理性（复核人独立重评，风险值偏差超过30%记为评分失真）•检查结果5个工作日内书面通报被查部门，被查部门10个工作日内提交整改计划5.2责任追究分级级别判定标准处理措施一般资料逾期提交5个工作日以内，或格式瑕疵部门内通报，责任人当月绩效扣1分较重逾期超过5个工作日，或资料缺失、评分失真全公司通报，部门负责人约谈，绩效扣2~5分严重伪造凭证、隐瞒重大风险、擅自销毁资料移交纪检/人事部门，按《员工奖惩管理制度》处理；涉嫌违法的移送司法机关5.3持续改进风险管理部每年1月组织一次细则适用性评审，结合上年度内审发现的问题、监管新规和业务变化，提出修订建议，报风控领导小组审批后发布修订版。附件1：风险登记表（样表）字段填写内容（示例）风险编号R-OPS-2025-007风险名称供应商准入审核流于形式风险类别运营风险演化路径描述准入审查仅核对证照不核实质（起因）→资质不实供应商进入名录（传播）→批量供货质量事故（触发）→生产停线、客户索赔（后果）涉及流程采购管理—供应商管理—准入审批责任岗位采购部供应商管理岗现有控制措施1.证照核验（预防性/人工）；2.年度供应商评审（发现性/人工）可能性P3影响程度I4（运营中断维度）风险值R12（重要风险）支撑证据准入审批单3份、年度评审记录1份填报人/日期张某某/2025-09-10部门负责人签字（签字栏）附件2：汇编资料齐备性检查表检查项判定标准结果风险登记表字段完整、部门负责人签字□是□否评分表双人独立评分，分差超标的有校准记录□是□否支撑凭证至少1份原始证据，命名符合规则□是□否应对跟踪表重大/重要风险逐项有措施、时限、责任人□是□否报告对应段落风险点在季度报告中有分析记录□是□否归档编号电子与纸质档案编号一致□是□否附件3：年度汇编工作日历时间节点工作事项责任主体每季度末月1