上海电气是如何开展内部控制的

1、上海电气是如何开展内部控制的程刚峰（上海电气集团股份有限公司 200233)一、引言上海电气集团股份有限公司(以下简称 “公司”)是我国综合性装备制造企业集团，2005年4月在香港发行境外上市外资股，2008年12月在上海发行人民币普通股，实现A股+H股上市。2010年合并财务报表的子公司共 81家，核心业务有新能源、高效清洁能源、工业装备和现代服务业。从2006年起，公司根据香港联交所企业管制常规守则和财政部等五部委企业内部控制基本规范及配套指引等文件规定，借助安永华明、普华永道等会计师事务所的先进经验，编制公司内控手册，统一公司内控标准，梳理完善管理制度和业务流程，提高公司内部控制设计有效

2、性。同时，公司建立内部控制监督机制，每年开展内控自评估并委托中介机构进行独立审计，提高内部控制执行力度，确保内部控制符合外部监管要求。二、基本做法(一)明确工作思路按照财政部等五部委的内部控制框架体系，公司内部控制工作从两方面着手：一是构建内控工作机制，以内控手册为切入点，统一规范内控标准，完善公司内控制度；二是建立内控监督机制，定期检查内控制度设计和执行情况，提高公司内部控制有效性。公司在开展内部控制工作过程中，持续加强信息化建设，所有内控管理制度、框架体系、工作标准、先进实践、工作动态等信息全部上传信息平台，通过信息共享和开放式课堂学习，努力宣传内控知识，展示工作进展和实际效果，提高公司内

3、部控制意识；同时通过信息系统固化内控评估步骤和工作底稿，规范内控检查程序，简化检查结果汇总、数据统计等工作，提高内控检查效率。(二)编制内控手册2009年，针对业务流程中存在的风险，公司参照内控应用指引和国内外先进企业实践，结合公司实际，列出流程中的关键控制点，制定相应控制措施，形成公司内控手册，统一内部控制标准，规范日常业务操作。内控手册包含29个流程、333个关键控制点、256项授权审批和294个职责分离，基本覆盖公司经营管理各个领域和关键控制环节。内控手册主要包括标准控制、授权审批表、职责分离表三部分内容：1.标准控制：通过表格和文字描述，清晰反映流程中关键控制点的控制目标和控制活动，以

4、及控制活动涉及的管控部门、控制频率、文档记录等信息。按每项控制活动逐一明确标准控制的内容或要求，包括：控制活动编号、标准控制活动概述、标准控制活动具体描述、控制、控制类别、预防性控制/检查性控制、控制文档控制频率、人工/自动、管控部门、现有制度。2.授权审批表：以表格形式规定业务流程中的审批控制点、审批方式和授权级别设置。授权审批表的主要内容包括：一级目录名称、二级目录名称、审批控制、定性、定量、审批授权级别、审批方式(书面审批、电子流审批)、审批权限描述、涉及印章名称、印章保管部门等。3.职责分离表：以表格的形式规定流程中应予分离的不相容职责岗位。职责分离表的内容是按一级目录和二级目录中的业

5、务流程与相对应的责任部门逐一展开的，形成一个二维表格(矩阵)，分别明确各业务岗位与标书评审、项目报价、销售合同评审、销售合同签订、发货、发票开具、退换货、收款、应收账款分析对账、坏账计提核销审批、账务处理、客户资信管理、客户基础数据维护等具体业务操作之间的关系，对警示有不相容职责符号的，应该由另外一个人或者由团队讨论决定谁来操作。内控手册发布后，公司采取集中重点、分步推进的方法，将内控手册推广到下属所有控股子公司，对标梳理企业管理制度，整体提高公司内控设计的有效性。推广中主要来取以下几种措施：(1)每家企业应确定牵头部门，将流程和控制点分解到相关职能部门，并由熟悉业务或实际操作业务的主管级人员

6、进行评估，部门负责人审核确认评估结果。（2）评估人员对照内控手册控制目标和内控措施，梳理现有内控制度和操作流程，填写内控手册推广工作底稿，记录发现的内控缺陷。（3）公司内控工作小组组织召开内控知识培训和研讨，交流先进工作经验，帮助评估人员准确理解内控标准和要求，提高内控手册推广效果。(三)开展内控自评估1.风险评估。根据内控评价指引要求，结合公司内控资源情况，每年开展风险评估工作，识别出那些影响公司实现内部控制目标的高风险领域和风险点，据此确定内控自评估范围。2009年，在总结以往年度风险评估工作的基础上，编制风险管理手册，对公司风险管理组织架构、职责分工、工作流程和方法进行标准化和书面化。2

7、010年，在市国资委指导下，公司开发风险预警信息系统，对总部及下属72家子公司的40多个风险指标实施风险预警，依据预警结果落实应对措施，及时防范可能存在的风险。公司风险评估程序和方法是：第一步：明确目标。了解并明确发展目标和战略规划、年度预算指标等公司目标。第二步：识别风险。通过资料分析、调查问卷和现场访谈等方法，收集、分析公司发展战略、技术研发、财务信息、内部管理和市场竞争等内外部信息，从不同纬度识别出可能发生并会影响公司目标实现的事件，形成风险清单。第三步：评估风险。针对识别出的风险点，了解管理层对风险的认识和容忍度，梳理公司已经采取的应对措施，采用定性、定量的方法，评估有可能发生的风险及

8、其潜在影响，识别关键风险，并对风险进行优先级排序，确定关注重点和优先控制的风险。2.确定范围。按照内控评价指引规定，根据风险评估结果，结合公司经营业务、资产的分布状况，采用以下原则确定内控自评估范围：重要性原则：合规要求（关注重要业务单位、重大业务事项和高风险领域，选定企业总资产、营业收人和净利润三项指标同时占公司合并报表相应指标的50% 以上)；具体描述（关注重大风险领域，关注重要企业和业务事项，将若干重要资产或利润来源，选定企业的三项指标均占公司报表70% 以上)。全面性原则：合规要求(包括内部控制的设计与运行，涵盖公司及所属企业各项业务和事项)；具体描述(关注内部控制的设计和执行情况，关

9、注公司所有业务板块和企业，将印包、机床厂等中小业务板块和企业纳人工作范围)。3.评估标准。开展内控自评估，必须要有评价的标准，以此来判断怎样的控制才是可接受的。根据内控手册，公司制定内控评估标准，明确每一个关键控制需要达到的控制目标，对实现控制目标可以采取的具体控制活动提出参考意见，同时规范内控评估程序，明确测试步骤、收集证据、填写底稿、记录结果等工作要求，指导评估人员进行内控评估测试，合理提出评估结论。对每一项控制活动，都阐明标准控制活动概述、具体描述、测试方法、测试步骤，测试后，应填写样本数量、测试底稿编号、是否发现异常、异常情况描述、异常类型、测试人员、测试日期等。对每项控制活动的具体做

10、法都规定得很详细。如对于具有专业胜任能力的人员组成审核委员会并对公司内部控制的建立和执行情况进行独立监督，这一项控制活动，描述为”审核委员会至少由三名非执行董事组成，确保至少一名具有专业资格，精通财务管理知识。审核委员会持续的对公司内控执行情况进行独立监督，至少体现在：（1）确定对口的职能部门 审计部门对审核委员会的直接汇报关系；（2）审计部门必须将日常工作中发现的重大内控缺陷及时向审核委员会汇报；(3)定期召开的审核委员会会议，对内控的建立和执行情况进行监督；(4)审核委员会定期向董事会汇报对内控建立和执行的审查情况。这项控制活动的测试方法为检测，测试步骤为：(I)了解审核委员会构成，确保至

11、少由三名非执行董事组成，确保至少一名精通财务管理专业知识；(2)获取审核委员会职责文件，查看是否规定审核委员会应对公司内部控制的建立和执行进行监督；(3)了解公司内审部门是否定期向审核委员会递交工作报告，包括日常工作中发现的内控缺陷，确保审核委员会对内部控制的监督和指导；（4）查看审核委员会是否定期召开会议，并有会议记录。4.抽样标准。根据内部控制评价指引要求，针对企业整体风险水平(风险评级为高、中、低)和控制活动频率(每年1次或多次)，采取不同的测试样本量，准确评估内部控制的有效性。样本基数处于控制频率之间的，高风险控制从高，中低风险从低。抽样方式均为随机抽样，抽样时应保证样本覆盖性，例如采

12、购、收货，不应只选取外部供应商，除非内部供应商的供货由其他关键控制点关注。5.缺陷评估标准。根据内控评价指引规定，公司将内控缺陷分为重大缺陷、重要缺陷、一般缺陷这三类。在缺陷评估过程中，首先由内控检查小组依据现场检查情况提出初步评估意见，再由公司管理层审阅评估依据和结论，最终报送公司董事会审定。结合公司自身情况和关注的重点，主要依据内控缺陷发生的可能性和潜在影响进行评估。评估的定量标准是可能对企业造成负面影响的金额大小，以公司当年财务报告重要性水平税前利润的5%作为衡量的标准。评估的定性标准是，涉及业务性质的严重程度，根据其直接或潜在负面影响的可能性、性质、影响的范围等因素确定。以下迹象通常表

13、明内部控制可能存在重大缺陷：（1）高级管理人员有舞弊；（2）缺乏民主决策程序，如缺乏“三重一大”决策程序；（3）决策程序不科学，如决策失误，导致不成功；（4）违反国家法律法规，受到政府监管部门的处罚，如环境污染；（5）管理人员或技术人员纷纷流失；（6）媒体负面新闻频现；（7）内部控制评价的结果特别是重大或重要缺陷末得到整改；（8）重要业务缺乏内部控制或控制系统性失效。三、实施内控工作的体会1.提高认识，落实责任，建立公司内控工作机制。公司管理层高度重视内控工作，将实施内控规范作为公司管理精细化，实现现代化、国际化战略目标的重要手段，邀请外部专业机构开展内控知识培训，公司管理层积极参加，提高对内

14、部控制的认识，从而树立起正确的内部控制理念，营造了公司良好的控制环境。由管理层和业务部门组成的领导小组和工作小组，分别负责公司内控建设和日常运行，总裁和财务总监分别担任领导小组和工作小组的组长，定期跟踪内控实施进度和工作情况，提出指导建议，有效推进公司内控建设。2.建立标准，统一方法，完善公司内控监督机制。根据公司审核委员会职权范围规定，审核委员会负责监控公司内控体系建设和实施情况，内审部门具体承担内控检查监督职责，每年开展内控自我评估，同时聘请会计师事务所实施内控审计，每半年向审核委员会汇报内控检查情况，确保公司内控监督的独立性和工作效果。根据内控评价指引，参照中介机构审计标准和方法，公司不

15、断完善内控评估标准、评估方法和工作模板，使内控自评估工作有章可循、有法可依，有效提高内控自评估的效率和效果。结合内部审计资源分布，公司统一工作计划、统一评估标准、统一评估方法和统一工作模板，实现公司总部和下属产业集团内审部门分工合作，共同参与内控检查工作，大大增强公司内控监督力量。3.加强培训，经验共享，提高公司内控工作效率。首先是对审计人员的培训，使他们尽快了解内控实施方法，深人掌握内控手册要求，再由他们去引导、培训本单位各部门内控工作人员。通过以点带面的方式，迅速传播内控工作方法，明确内控要求。其次，-公司总部、产业集团及时召开沟通会议，讨论遇到的问题，分享先进经验，及时解决问题。最后，项

16、目结束后及时召开总结交流会，及时总结经验教训，指导今后工作开展。4.内外联动，学习先进，提高公司内控工作能力。中介机构在人才、专业知识和经验方面具有一定的优势。公司高度重视与中介机构的工作联动，充分发挥 “外脑”的专业作用。2007年聘请安永华明会计师事务所指导公司开展内控自评估，帮助公司构建内控检查团队并学习运用专业内控评估标准、方法和工具。2O09年聘请普华永道会计师事务所协助公司编制内控手册，统一公司内部控制标准。2010年聘请安永华明会计师事务所对内部控制开展试点审计，从外部审计师角度评估公司内控建设和内控自评估工作情况，协助公司提升内部控制水平。通过内外联动，公司初步形成了具有上海电气特色的内部控制体系，培养锻炼出一支具有一定能力的内控工作团队，为公司持续推进内控工作打下了良好基础。5.重视整改，加强跟踪，提高公司内控工作效果。对内控检查中发现的内控缺陷，公司管理层高度重视，召开专题会议明确整改要求。各相关企业和部门及时制定整改计划，明确整改责任部门、责任人和完成时间，并将整改结果纳人相关企业和部门的业绩考核。公司内控检查小组开展后续审计，及时跟踪内控缺陷的整改情况，督促企业和部门落实整