内控建设与管理提升：制度化、流程化、信息化

1、普信咨询 版权所有 2013.04内控建设与管理提升：制度化、流程化、信息化-普信GPRC内控方法论汪 健 豪2013.04.21普信咨询 版权所有 2013.04Page 2主讲人介绍：汪健豪主讲人介绍：汪健豪n北京普信管理咨询有限公司北京普信管理咨询有限公司 董董 事事 长长 首席管理专家首席管理专家n国家注册高级风险管理师、高级工程师国家注册高级风险管理师、高级工程师n财政部财政部“企业内部控制标准委员会企业内部控制标准委员会” 咨咨 询询 专专 家家n财政部财政部“会计信息化委员会会计信息化委员会” 咨咨 询询 专专 家家n证监会证监会上市公司内控体系建设工作指南上市公司内控体系建设工

2、作指南 专家组成员专家组成员n国家注册风险管理师考试大纲国家注册风险管理师考试大纲编委会编委会 编编 委委 及及内部控制内部控制教程教程 作作 者者n银监会培训中心银监会培训中心“商业银行合规风险管理与内控商业银行合规风险管理与内控”课程课程 特特 聘聘 教教 师师n山东大学经济学院山东大学经济学院 金融学硕士生导师金融学硕士生导师n银行家银行家杂志社杂志社 编委兼编委兼 上海首席代表上海首席代表普信咨询 版权所有 2013.04企业内部控制基本规范Page 3Page 3以下文件，标志着适应我国企业实际情况、融合国际先进经以下文件，标志着适应我国企业实际情况、融合国际先进经验的中国企业内部控

3、制规范体系基本建成验的中国企业内部控制规范体系基本建成普信咨询 版权所有 2013.04内控的多视角困惑：横看成岭侧成峰内控的多视角困惑：横看成岭侧成峰Page 4普信咨询 版权所有 2013.04Page 5普信普信PROOF内控评价模型示意图内控评价模型示意图n企业风险管理显现的有三个视角：目标，组织架构，风险管理。还有一个隐含的视角：流程。所以企业风险管理与内部控制是四元结构：目标，组织，流程，风险。n风险可以从四个维度的任意一个维度而涉及到其他方面。Page 5普信咨询 版权所有 2013.04Page 6Page 6Process-流程流程对流程的评价应重点关注：对流程的评价应重点关

4、注：n流程识别的充分性流程识别的充分性n流程的成熟度流程的成熟度-5级（以级（以COBIT来指导来指导IT化的流程评级）化的流程评级）n流程的合规性流程的合规性n流程与目标的适宜性流程与目标的适宜性Risk 风险风险对风险的评价应重点关注发现和解决问题的能力，包括对风险的评价应重点关注发现和解决问题的能力，包括n内控环境（风险政策、风险偏好、风险容忍度等等）内控环境（风险政策、风险偏好、风险容忍度等等）n风险识别与评估风险识别与评估n风险应对与控制风险应对与控制n信息与沟通信息与沟通n监督与控制监督与控制Objectives-目标目标目标设定程序的科学性、合理性，有效性，是否符合目标设定程序的

5、科学性、合理性，有效性，是否符合SMART原则原则目标体系应包括以下两方面内容，并在各职能层级和机构分解、管理：目标体系应包括以下两方面内容，并在各职能层级和机构分解、管理：n1）战略目标、运营目标、资产目标（）战略目标、运营目标、资产目标（KPIs）n2）报告目标、合规目标（）报告目标、合规目标（KRIs）Organization-组织组织对组织架构与运营模式的评价应关注对组织架构与运营模式的评价应关注n适宜性适宜性n制衡性制衡性n组织结构的效率组织结构的效率n资源配置的合理性资源配置的合理性Financial-财务财务基于财务报告基于财务报告KPI/KRI及及KPA/KRA的的“财务报告内

6、部控制规范体系财务报告内部控制规范体系”普信内部控制评价普信内部控制评价PROOF模型释义模型释义普信咨询 版权所有 2013.04管理活动规范化：企业内部控制十八个应用指引管理活动规范化：企业内部控制十八个应用指引Page 7Page 7普信咨询 版权所有 2013.04政策解读政策解读Page 8 2012 2012年年5 5月月7 7日，国资委、财政部联合发布日，国资委、财政部联合发布关于加关于加快构建中央企业内部控制体系有关事项的通知快构建中央企业内部控制体系有关事项的通知（国资国资发评价发评价201220126868号号），其中明确要求），其中明确要求“各中央企业要各中央企业要力争用

7、两年时间，按照企业内部控制基本规范和配力争用两年时间，按照企业内部控制基本规范和配套指引的要求，建立规范、完善的内部控制体系套指引的要求，建立规范、完善的内部控制体系”。并。并且在第三条第五点中提到且在第三条第五点中提到“推进内部控制体系建设同信推进内部控制体系建设同信息化建设的融合对接息化建设的融合对接”。普信咨询 版权所有 2013.04Page 9管理制度化、制度流程化、流程信息化管理制度化、制度流程化、流程信息化 各中央企业要按照各中央企业要按照管理制度化、制度流程化、流程信息化管理制度化、制度流程化、流程信息化的要求，立足企业实际，倡导全员参与，的要求，立足企业实际，倡导全员参与，注

8、重控制实效，防止流于形式，抓好内部控制建设的基础工作和关键环节。注重控制实效，防止流于形式，抓好内部控制建设的基础工作和关键环节。n一是建立规范的公司治理结构和议事规则。一是建立规范的公司治理结构和议事规则。n二是以价值管理为主线，以风险管理为导向，全面梳理各类各项业务流程，实施业务流程再造，编制二是以价值管理为主线，以风险管理为导向，全面梳理各类各项业务流程，实施业务流程再造，编制内部控制管理手册，促进业务处理规范化和标准化。内部控制管理手册，促进业务处理规范化和标准化。n三是加强重点流程与特殊业务的内部控制。三是加强重点流程与特殊业务的内部控制。n四是结合内部控制目标，梳理完善管理制度体系

9、，防止出现制度和流程缺陷。四是结合内部控制目标，梳理完善管理制度体系，防止出现制度和流程缺陷。n五是推进内部控制体系建设同信息化建设的融合对接，将业务流程和控制措施逐步固化到信息系统，五是推进内部控制体系建设同信息化建设的融合对接，将业务流程和控制措施逐步固化到信息系统，实现在线运行。实现在线运行。 关于加快构建中央企业内部控制体系有关事项的通知关于加快构建中央企业内部控制体系有关事项的通知 （国资发评价（国资发评价201268号）号）普信咨询 版权所有 2013.04普信内控方法论的基本思路普信内控方法论的基本思路Page 10通过配套的管理咨询实现通过配套的管理咨询实现管理制度化管理制度化

10、：对企业内控基本信息现状进行清理，管理制度对标，识别评估风险、建立控制措对企业内控基本信息现状进行清理，管理制度对标，识别评估风险、建立控制措施、确认设计缺陷，同时设计企业全新的内控制度框架，编制各类内控制度，形施、确认设计缺陷，同时设计企业全新的内控制度框架，编制各类内控制度，形成内控手册，实现企业管理的制度化。成内控手册，实现企业管理的制度化。通过管理平台实现通过管理平台实现制度流程化制度流程化：应用普信应用普信GPRC内部控制评价与管理平台，打通企业各个管理职能，整合各类管内部控制评价与管理平台，打通企业各个管理职能，整合各类管理要求，通过理要求，通过“一图两表一图两表”工具进行整合，促

11、进企业制度的流程化提升。工具进行整合，促进企业制度的流程化提升。通过管理平台实现通过管理平台实现流程信息化流程信息化：通过普信管理平台的工作流配置功能，最终实现从流程化到信息化的转变，帮助通过普信管理平台的工作流配置功能，最终实现从流程化到信息化的转变，帮助企业建立完善的内部控制和风险管理体系。企业建立完善的内部控制和风险管理体系。普信咨询 版权所有 2013.04普信方法论解读（一）普信方法论解读（一）Page 11 普信普信“内控评价与管理系统内控评价与管理系统”内置完善的内置完善的制度管理流程，通过具有自主知识产权的制度管理流程，通过具有自主知识产权的“一图两表编辑器一图两表编辑器”将制

12、度进行流程化，并将制度进行流程化，并且具备通过流程自动生成制度，和将流程转且具备通过流程自动生成制度，和将流程转变为实际工作流实现流程信息化的功能。变为实际工作流实现流程信息化的功能。 普信普信“内控评价与管理系统内控评价与管理系统” 通过梳理各类通过梳理各类业务和管理流程，建立内部控制和风险管理业务和管理流程，建立内部控制和风险管理“一一图两表图两表”，进行以流程为基础的与环节相关的风，进行以流程为基础的与环节相关的风险识别评估，明确风险等级、风险清单、控制节险识别评估，明确风险等级、风险清单、控制节点及控制要求，并以此为基础实施业务流程再造，点及控制要求，并以此为基础实施业务流程再造，最终

13、自动生成内部控制管理手册。（参见下页案最终自动生成内部控制管理手册。（参见下页案例）例）普信咨询 版权所有 2013.04附：附：“一图两表一图两表” 及风险点标识及风险点标识Page 12 “一图两表一图两表”即：即：“配置流程图配置流程图”、“流程分析表流程分析表”和和“风险自我评估表风险自我评估表”的简的简称，是由北京普信管理咨询有限公司在大量管理咨询研究和实务经验基础上研究和总称，是由北京普信管理咨询有限公司在大量管理咨询研究和实务经验基础上研究和总结的具有独创性的应用技术。通过普信结的具有独创性的应用技术。通过普信“内控评价与管理系统内控评价与管理系统”，能够实现流程图在，能够实现流

14、程图在线绘制、风险识别评估控制及相关风险点标识的一眼清。线绘制、风险识别评估控制及相关风险点标识的一眼清。配置流程图配置流程图流程分析表流程分析表风险自我评估表风险自我评估表普信咨询 版权所有 2013.04Page 13Page 13基于流程风险管理的基于流程风险管理的“一图二表一图二表”普信咨询 版权所有 2013.04普信方法论解读（二）普信方法论解读（二）Page 14 普信普信“内控评价与管理系统内控评价与管理系统”具有强大的工具有强大的工作流引擎，能够通过参数配置，快速将嵌入制度作流引擎，能够通过参数配置，快速将嵌入制度和控制措施的流程图转变为能够进行数据流转的和控制措施的流程图转

15、变为能够进行数据流转的业务工作流，实现在线运行。（参见下页案例）业务工作流，实现在线运行。（参见下页案例）普信咨询 版权所有 2013.04附：工作流案例附：工作流案例Page 15 2011年，普信利用年，普信利用“一图两表编辑器一图两表编辑器”及工作流配置功能为交通银行河南省分行及工作流配置功能为交通银行河南省分行定制了定制了4个部门共计个部门共计14个管理工作流，包括：证照管理、规章制度管理、授权管理、投个管理工作流，包括：证照管理、规章制度管理、授权管理、投诉管理、考核管理、贷款规模管理、产品定价审批管理、会议管理、机构管理、印章诉管理、考核管理、贷款规模管理、产品定价审批管理、会议管

16、理、机构管理、印章管理、人员调配管理、综合目标考核管理、人力资源规划管理等。管理、人员调配管理、综合目标考核管理、人力资源规划管理等。普信咨询 版权所有 2013.04普信方法论解读（三）普信方法论解读（三）Page 16 通过普信通过普信“内控评价与管理系统内控评价与管理系统”工作流引工作流引擎，能够将风险信息沟通及报告流程转变为报告擎，能够将风险信息沟通及报告流程转变为报告工作流，实现风险信息报告的工作流，实现风险信息报告的IT化。化。 普信普信“内控评价与管理系统内控评价与管理系统” 具有具有“在线测在线测试试”功能，能够利用题库自动生成测试考卷，实功能，能够利用题库自动生成测试考卷，实

17、现分发、测试、判卷、评分和统计的全现分发、测试、判卷、评分和统计的全IT化过程。化过程。 “日常和专项监督检查日常和专项监督检查”是普信是普信“内控评价内控评价与管理系统与管理系统”的核心功能之一，通过全的核心功能之一，通过全IT化的检化的检查过程实施和问题报告功能，实现从监督检查、查过程实施和问题报告功能，实现从监督检查、事件处理、跟踪整改到管理改进的完整管理闭环。事件处理、跟踪整改到管理改进的完整管理闭环。 普信普信“内控评价与管理系统内控评价与管理系统”的的“内控设内控设计评价计评价”功能，能够通过穿行测试等方法，发功能，能够通过穿行测试等方法，发现并认定制度缺失或流程缺陷，并通过缺陷整

18、现并认定制度缺失或流程缺陷，并通过缺陷整改，不断完善内部控制的制度体系。改，不断完善内部控制的制度体系。普信咨询 版权所有 2013.04普信方法论解读（四）普信方法论解读（四）Page 17 普信结合五部委普信结合五部委内部控制基本规范内部控制基本规范及及18个应用指引的要求，建立了一整套个应用指引的要求，建立了一整套“内控示范流内控示范流程程”，各企业均能够以此作为相关业务的评价体，各企业均能够以此作为相关业务的评价体系和内部控制缺陷认定标准。系和内部控制缺陷认定标准。 同上页，普信同上页，普信“内控评价与管理系统内控评价与管理系统”的的“内控设计评价内控设计评价”和和“内控运营评价内控运

19、营评价”功能，能功能，能够通过穿行测试、控制测试等方法，发现并认定够通过穿行测试、控制测试等方法，发现并认定内部制度的设计缺失和运行缺陷，并通过缺陷整内部制度的设计缺失和运行缺陷，并通过缺陷整改、跟踪落实等控制手段，实现内控的闭环管理，改、跟踪落实等控制手段，实现内控的闭环管理，促进管理水平的不断提高。促进管理水平的不断提高。 普信普信“内控评价与管理系统内控评价与管理系统”具有具有“内控绩内控绩效管理效管理”功能，能够将体系建立、运行、评价过功能，能够将体系建立、运行、评价过程中发现的问题通过积分等绩效考核手段进行管程中发现的问题通过积分等绩效考核手段进行管理并自动生成多维度的统计报告，能够

20、以此作为理并自动生成多维度的统计报告，能够以此作为履职评价或绩效考核的重要依据。履职评价或绩效考核的重要依据。普信咨询 版权所有 2013.04Page 18普信方法论：数字化普信方法论：数字化GPRC内控评价与管理系统的建立内控评价与管理系统的建立普信咨询 版权所有 2013.04普信普信GPRC内控评价与管理系统功能架构内控评价与管理系统功能架构Page 19日常专项监测日常专项监测内控缺陷内控缺陷管理管理风风 险险 识识 别别 评评 估估业务流程业务流程梳理梳理内部制度内部制度管理管理内控内控规范要求规范要求内控内控基础信息基础信息内控内控设计评价设计评价内控内控运营评价运营评价内控评价

21、内控评价报告报告内控体系建设和运维内控体系建设和运维内控体系评价和改进内控体系评价和改进普信咨询 版权所有 2013.04普信普信GPRC内控评价与管理系统实施流程内控评价与管理系统实施流程Page 20项项目目启启动动系统功系统功能配置能配置基础数基础数据导入据导入一图两一图两表工具表工具制度对制度对标工具标工具穿行测穿行测试工具试工具内控基内控基础信息础信息清理清理管理对管理对象分析象分析制度流制度流程化程化制度对制度对标标设计评设计评价报告价报告控制测控制测试工具试工具运行评运行评价报告价报告内控评价报告内控评价报告内控手册内控手册标准化实施工具标准化实施工具标准化实施过程标准化实施过程

22、普信咨询 版权所有 2013.04普信普信GPRC内控评价与管理系统核心方法内控评价与管理系统核心方法Page 21一图两表一图两表 一图两表是指流程图、流程分析表和风险识别评估表。这是一种基于流一图两表是指流程图、流程分析表和风险识别评估表。这是一种基于流程的整合落地工具，通过流程将岗责、绩效指标、控制要求、风险等等要素程的整合落地工具，通过流程将岗责、绩效指标、控制要求、风险等等要素关联起来，实现管理要素数字化整合。关联起来，实现管理要素数字化整合。普信咨询 版权所有 2013.04普信普信GPRC系统核心方法系统核心方法Page 22普信普信PUSHPUSH矩阵矩阵 在进行对标分析过程中

23、，普信提供在进行对标分析过程中，普信提供PUSH矩阵对象分析法，将某个职能、矩阵对象分析法，将某个职能、某个模块进行对象分解，按照不同的对象进行对标。某个模块进行对象分解，按照不同的对象进行对标。流程维度流程维度对对象象维维度度普信咨询 版权所有 2013.04内控体系运营内控体系运营Page 23基础信息基础信息管理对象分类管理对象分类流程文件清单流程文件清单组织机构组织机构/权限权限外部法律法规外部法律法规内部规章制度内部规章制度目标目标/指标指标风险列表风险列表检查检查/监测监测流程策划流程策划 流程定义流程定义 整合设计整合设计 流程发布流程发布 流程测试流程测试 版本管理版本管理监测

24、改进监测改进 企业监测企业监测 缺陷管理缺陷管理 统计分析统计分析内部控制内部控制应用指引应用指引示范流程示范流程普信咨询 版权所有 2013.04普信内控方法论：普信内控方法论：“系统系统-管理管理”过程过程Page 24n内控规范体系建立过程内控规范体系建立过程标准规范解析标准规范解析基础信息收集基础信息收集对标评价对标评价缺陷整改缺陷整改业务流程梳理业务流程梳理n内控体系运维过程内控体系运维过程内控制度管理内控制度管理检查管理检查管理问题管理问题管理风险评估风险评估n内控评价过程内控评价过程设计评价设计评价/运营评价运营评价评价准备评价准备评价分工评价分工评价实施评价实施缺陷整改缺陷整改

25、评价报告评价报告体系建立体系建立体系运维体系运维自我评价自我评价普信咨询 版权所有 2013.04普信普信GPRC系统核心功能：内控规范要求系统核心功能：内控规范要求Page 25内控评价及建设的标准体系内控评价及建设的标准体系 产品将外部法律法规、产品将外部法律法规、内部控制基本规范内部控制基本规范及及18个应用指引的内容进行解析，个应用指引的内容进行解析，在内控体系框架下，通过一图两表形成标准的内控示范流程和控制要求，既能够作为在内控体系框架下，通过一图两表形成标准的内控示范流程和控制要求，既能够作为企业对标和评价的标准，查找缺陷，也能够作为示范和参考帮助企业进行内控体系的企业对标和评价的

26、标准，查找缺陷，也能够作为示范和参考帮助企业进行内控体系的建立的。建立的。普信咨询 版权所有 2013.04普信普信GPRC系统核心功能：内控环境信息系统核心功能：内控环境信息Page 26企业内控信息诊断清单企业内控信息诊断清单 产品集合了企业内控相关的所有基本情况，通过表单的方式进行展示和管理，能产品集合了企业内控相关的所有基本情况，通过表单的方式进行展示和管理，能够进行定期的更新维护，是企业进行内控评价的重要对象，更是企业进行内控体系建够进行定期的更新维护，是企业进行内控评价的重要对象，更是企业进行内控体系建设的基础。设的基础。普信咨询 版权所有 2013.04内部制度管理内部制度管理P

27、age 27内部制度管理全流程内部制度管理全流程 产品提供了企业内部制度管理的全流程产品提供了企业内部制度管理的全流程IT化解决方案，从制度的规划、建立、发化解决方案，从制度的规划、建立、发布、维护、评价等，并能够提供内控手册的自动生成和查阅功能。布、维护、评价等，并能够提供内控手册的自动生成和查阅功能。普信咨询 版权所有 2013.04业务流程梳理业务流程梳理Page 28企业制度流程化企业制度流程化产品通过产品通过“一图两表编辑器一图两表编辑器”将企业内部制度进行将企业内部制度进行“流程化流程化”，并通过对流程的分析，并通过对流程的分析和风险的识别评估，实现自身内部控制的岗责要求、操作规范、控制策划和落实等。和风险的识别评估，实现自身内部控制的岗责要求、操作规范、控制策划和落实等。普信咨询 版权所有 2013.04普信普信GPRC系统核心功能：日常专项监督系统核心功能：日常专项监督Page 29设计评价和运营评价的基础设计评价和运营评价的基础产品将日常和专项检查的结果和问题进行收集，既能够进行一眼清查看，也能够进行产品将日常和专项检查的结果和问题进行收集，既能够进行一眼清查看，也能够进行整改和跟踪，同时