中石油风险评估培训材料.ppt

风险评估培训材料,集团公司内控部二八年一月,2,一、风险管理概述二、集团公司内控体系建设范围的确认三、集团公司风险数据库介绍四、风险与控制活动的关系五、现阶段工作内容,主要内容,3,到底该如何理解风险呢？,定义：风险是任何可能影响您实现目标的因素。,危险坏的事情发生的风险,结果的不确定性不能满足预期,机会丧失机会,4,到底该如何理解风险管理呢？,AS/NZS4360:1999风险管理的定义：风险管理是发现和了解组织中风险的各个方面,并且付诸明智的行动，帮助组织实现战略目标、减少失败的可能、降低不确定的经营结果的整个过程。,5,到底该如何理解风险管理呢？,COSO企业风险管理给出的定义：企业风险管理是一个过程：它由公司董事会、管理层以及其他员工执行，适用于公司战略的制定和整个公司范围，用来识别可能对公司产生影响的潜在事项，并将风险控制在企业可以承受的水平以内，为公司目标的实现提供合理的保证。,6,风险管理的发展史,7,为何风险管理日益重要？不断变化的驱动因素,持续的改变，不确定性的增加,通信技术进步和互联网全球化的竞争贸易自由化和投资全球化数不胜数的金融衍生工具组织结构的变化分营、剥离、重组、体制改革更高的客户预期法律法规的变化随时出现的外部危机,8,为何风险管理日益重要？国外、国内风险管理与内部控制相关法律法规的要求,2006年，国内出台了很多关于风险管理和内部控制的法律法规,9,为何风险管理日益重要？全球风险管理与内部控制相关法律和规章的发展趋势,2002年7月美国萨班斯奥克斯利法案生效2003年3月澳大利亚证券交易所（ASX）及其公司治理委员会采纳良好公司治理原则和最佳实务操作建议2004年11月香港联交所公布公司治理实务和公司治理报告的准则，要求公司董事至少每年审核一次内部控制的有效性，并在公司治理报告中向股东汇报2005年2月加拿大安大略证券委员会要求管理层评估并测试有关财务报告的内部控制系统（MI52-111）2005年5月新加坡交易所就其加强上市规定和程序的计划发行了一份公共咨文，提出了公司治理标准并促进更好的监管。,10,为何风险管理日益重要？全球风险管理与内部控制相关法律和规章的发展趋势,德国2002年2月发布了德国公司治理准则英国TurnbullGuidance,1999TheCombinedCodeonCorporateGovernance,Jul2003,FinancialReportingCouncil欧盟2004年10月成立了欧洲公司治理论坛（EuropeanCorporateGovernanceForum）EC4thand7thDirectiveConsultation日本将于2008年3月实施与萨奥法案相等的法案，加强对上市公司的监管,11,为何风险管理日益重要？中国风险管理与内部控制相关法规的发展,2006年6月国务院国有资产监督管理委员会发布国资发改革2006108号中央企业全面风险管理指引2006年6月上交所发布上海证券交易所上市公司内部控制指引2006年7月财政部成立“企业内部控制标准委员会”2006年9月深交所发布深圳证券交易所上市公司内部控制指引,12,为何风险管理日益重要？国资委2006108号中央企业全面风险管理指引,全面风险管理是指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。风险管理基本流程包括：收集风险管理初始信息、进行风险评估、制定风险管理策略、提出和实施风险管理解决方案和风险管理的监督与改进。,13,为何风险管理日益重要？财政部企业内部控制规范基本规范摘要,第四条：“内部控制是指由董事会、管理层和全体员工共同实施的、旨在合理保证实现基本目标的一系列控制活动”基本目标包括：“企业战略、经营的效率和效果、财务报告及管理信息的真实、可靠和完整、资产的安全完整、遵循国家法律法规和有关监管要求”“有义务对外提供财务报告的企业，应当确保财务报告及管理信息的真实、可靠和完整，具备条件的，还应同时实现其他控制目标”,基本规范在形式上借鉴了COSO报告5要素框架，同时在内容上体现了风险管理8要素框架的实质。,14,挑战与成功的因素将企业带入到风险管理的新阶段,企业风险管理并不是一个新的概念，但是大规模实施风险管理的企业需面对相当大的挑战经常被“分阶段”地定义和实施,15,集团公司内控体系建设项目遵循以下原则,推动全面的企业风险管理是一个远期目标近期寻找一个适当的切入点，逐步建立相应体系，在建设过程中统一认识，为实现远期目标做好准备。,16,集团公司内控体系建设项目遵循以下原则,切入点：考虑到财政部在企业内部控制规范中的如下观点：“企业的经营管理活动归根结底要通过财务报告来反映，所以抓住了财务报告内部控制这条主线，在一定程度上也抓住了企业经营管理与内部控制的重心和主体。”企业内部控制规范起草说明考虑到股份公司的经验可借鉴,本项目最有效的切入点是“财务报告风险”，以“避免财务重大错报”为目标。,17,集团公司内控体系建设项目遵循以下原则,另一方面，考虑到国资委的监管要求，在2008年6月要完成集团公司风险控制年报，集团对公司层面的各项风险（战略风险、财务风险、市场风险、运营风险、法律风险）进行宏观概要的分析，仅将“财务报告风险”管理做为近期工作重点，进行深入工作，建立相应体系。,18,风险管理一般流程,19,目标设定,目标设定是事件识别、风险评估和风险反应的前提。企业必须首先审定目标，在此之后，管理层才能识别和评估影响目标实现的风险并且采取必要的行动对这些风险进行管理战略目标经营目标报告目标合规目标,20,风险识别是指查找公司各项重要经营管理活动及其重要业务流程中存在的影响目标实现的风险和机遇的过程。公司分别从公司层面、业务活动层面，动态识别影响公司战略目标及相关目标实现的、内部和外部的各种不确定性因素。,风险识别,21,风险评估,理解潜在的事件对企业目标有多大程度的影响，并从两个方面对风险进行评估：发生的可能性影响程度,22,风险应对1,确定并评估可能的应对风险的方法根据企业风险偏好、潜在风险应对措施的成本效益来评价各种风险应对措施，以及各种风险应对措施可以在多大程度上降低风险影响程度和/或发生可能性基于对风险和应对措施组合的评估，选择并实施适当的应对措施风险回应的四个选择：规避、控制、转移和承担,23,风险应对2,规避退出产生风险的各种活动。规避风险的例子可能有退出使用一条生产线、停止向一个新的地理区域市场扩大业务，或者出售公司的一个分支，剥离亏损业务，缩小经营规模。控制是指采取行动或控制减少风险的可能性和影响程度。转移是指通过合同将风险转移到第三方，企业对转移后的风险不再拥有所有权。承担完全接受、设定损失目标和容忍水平、设定并监控关键风险指标、制定恢复计划、准备补救措施、事先筹措资金。,24,控制活动,在业务层面通过业务流程中的控制活动减少影响目标实现的风险,25,一、风险管理概述二、集团公司内控体系建设范围的确认三、集团公司风险数据库介绍四、风险与控制活动的关系五、现阶段工作内容,主要内容,26,集团公司内控体系建设范围的确认,集团公司主要业务流程的认定依据集团公司流程架构，通过定性和定量的分析，目前已经完成集团层面的主要业务流程目录初稿。,27,集团公司主要流程目录例示,28,一、风险管理概述二、集团公司内控体系建设范围的确认三、集团公司风险数据库介绍四、风险与控制活动的关系五、现阶段工作内容,主要内容,29,三、集团公司风险数据库介绍,（一）风险数据库的形成（二）风险数据库的结构,30,风险数据库是进行风险记录的工具。风险数据库记录整个集团公司范围内的风险，按照流程，记录各个流程中可能出现的风险，并对风险的属性进行记录，例如是否是财务风险等。,（一）风险数据库的形成,31,在已确定的主要业务流程基础上，需要对主要业务流程进行风险分析。与股份公司相同的业务流程直接借鉴股份公司风险控制数据库相关风险点。对于集团公司特有的流程，结合业务进行具体分析，识别相应的风险。,（一）风险数据库的形成,32,集团公司项目组制定了风险数据库初稿，并根据最新的主要业务流程目录进行了更新。,（二）风险数据库的结构,33,集团公司风险数据库例示,（二）风险数据库的结构,34,（二）风险数据库的结构,结算,录井工程,综合录井,35,（二）风险数据库的结构,结算,录井工程,综合录井,36,结算,财务数据和业务数据不一致（账实相符，账单相符）,（二）风险数据库的结构,录井工程,综合录井,37,非财务风险：经营决策风险违反法律法规风险,财务风险财务报告失真风险资产安全受到威胁营私舞弊风险,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,38,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,39,需要根据具体的风险，选择对应的控制目标类型。控制目标类型的详细介绍参见下页。,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,40,指建立完整规范的控制体系和标准；生产经营和财务信息数据的采集、记录和处理完整，无遗漏和重复。如：把当期所有的合同信息都完整地、不重复地录入合同管理系统。按照会计确认收入的原则，将当期所有的销售收入记录下来。保证合并报表的原始数据包括了所有需要合并的会计核算单位的数据。,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,41,指所有信息和数据计算、归集和记录操作等准确。如：保证账务处理的金额是准确的。在采购业务中，合同上的价格、数量应该准确。销售收入应当记入正确的会计期间。发票内容与销售交易内容或合同应当一致。,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,42,指所有的生产经营活动都经过适当的授权和批准，都是真实发生的，并按规定保存有效的原始文件。如：付款经过适当级别的审批。记录的销售收入是真实的。费用支出与公司的业务相关，且符合公司的费用开支标准。,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,43,指信息处理和实物资产的保护和安全控制。如：防止存货和实物资产的偷窃和遗失。会计人员只能在授权的情况下，编制与自己分管业务相关的会计凭证。对企业投资实施计划的保密，防止被不相关的人员了解。,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,44,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,45,极小可能性,较大影响,中,高（重要风险）,低,中,风险矩阵示例,极小影响,较大可能性,（二）风险数据库的结构,46,可能性：将风险发生的可能性分为极小可能和较大可能两级。风险可能性的级别确定，可以采用风险发生的概率或一定时期风险发生的次数来判断。对于财务报告风险，可以从以下角度考虑：概率标准：资产变现难易程度、业务流程中人工参与的程度以及财务数据是否涉及大量繁杂的人工计算。如资产变现难或财务数据涉及大量人工计算，则风险概率大，反之则小。频率标准：对于不便以概率估计的，以发生频率为标准，即以一个会计年度内风险发生的次数判断。低于一次的，为极小可能；大于或等于一次的，为较大可能。同样，确定风险发生的可能性也需要一定的判断因素，项目组在合并风险数据库时，会进一步进行分析确认。,（二）风险数据库的结构,录井工程,综合录井,结算,财务数据和业务数据不一致（账实相符，账单相符）,47,一、风险管理概述二、集团公司内控体系建设范围的确认三、集团公司风险数据库介绍四、风险与控制活动的关系五、现阶段工作内容,主要内容,48,四、风险与控制活动的关系,本项目把“避免财务重大错报”的目标分解到了目前确认的主要业务流程，在业务层面进行各业务流程的风险识别及评估；在风险分析的基础上，继续进行控制活动设计和业务流程的描述；在业务层面通过业务流程中的控制活动减少影响目标实现的风险。,49,四、风险与控制活动的关系,对各主要业务流程的风险点和相应控制活动进行详细记录，形成风险控制文档。风险控制文档示例1：,50,四、风险与控制活动的关系,风险控制文档示例2：,51,一、风险管理概述二、集团公司内控体系建设范围的确认三、集团公司风险数据库介绍四、风险与控制活动的关系五、现阶段工作内容,主要内容,52,五、现阶段工作内容,（一）前一阶段的工作成果（二）现阶段需要完成的工作事项及时间安排,53,前一阶段的工作成果,集团公司主要业务流程目录（初稿）集团公司风险数据库（初稿）,54,第一批建设单位现阶段工作内容总结如下：对项目组梳理的主要业务流程的完整性、准确性提供具体的反馈意见。分析流程是否符合本单位实际业务情况，特别是针对集团特有的末级流程。,2月20日集团提交下发主要业务流程目录初稿，各企事业单位在流程梳理的过程中对集团公司主要流程目录提出意见，集团