中石化内部控制体系案例分析

1、中石化内部控制体系案例分析现代企业在风险状态下运作，无论是经营的效率、效果、财务报告的可靠性，还是法律法规的遵循,均存在 一定的风险.如何制定合理的内部控制制度,以实现企业对风险的规避、减少、共担或接受已日益成为企业 关心的问题。本案例将详细介绍中石化集团自 SOX 法案颁布后所建立的内部控制体系，希望能为广大企业 特别是国有控股企业选择、构建和实施内部控制提供可资借鉴的具体案例和经验.中石化背景资料中国石油化工股份有限公司成立于 2000 年 2 月 28 日，注册资本 688 亿元人民币，并于同年 10 月分别在香 港、纽约、伦敦三地成功上市,次年 7 月又在上海成功发行国内公众股。截至

2、2006 年底总股本 867 亿股. 中石化股份有限公司现有全资子公司、控股和参股子公司、分公司等共 80 余家.中石化 COSO 内部控制框架体系萨班斯法案出台后中石化采取的内控措施遵照萨班斯奥克斯利法案(SOX 法案）对在美国上市公司的内部控制及其披露的相关规定,中国石化 于 2003 年迅速成立了由董事长、总裁和财务总监组成的内部控制领导小组,协调内控制度实施和完善的相 关工作,各分（子）公司设立相应机构并结合自身的实际情况编制了相应的内部控制实施细则，承担本单位 内部控制的日常管理工作。中国石化按照相关法律法规的要求，吸收借鉴我国石油化工企业几十年来积累的大量行之有效的管理方法 和成熟

3、经验，参考采用了国际反虚假财务报告委员会下属的 COSO 委员会报告提出的内部控制框架，编制了 内部控制手册,简称内控手册。该控制手册在完善法人治理结构和理顺公司管理体制的基础上,以 COSO 为框架,按照业务目标、业务风险、业务流程步骤与控制点业务流程图表、相关制度目录和主要控制 点相关资料等规范格式,设计了 43 个重要的内部控制业务流程和权限指引，内容涵盖了投资、采购、销售、 合并报表等 15 大类、53 个业务流程.经过一年多的完善、培训、测试和试运行，内控手册于2005 年 1 月 1 日起正式实施.公司上下认真实施内控手册，制定了内部控制检查评价方法和标准,各分（子）公 司均进行了

4、每半年度内控自查和每季度流程测试。2006 年是中石化在年报中披露公司的内部控制实施情况 及实施效果的第一年，为了达到 SOX 法案 404 条款的要求，公司总部和 87 家分(子）公司分别对内部控制 （包括 IT 控制）执行情况进行了自我检查(检查面以资产额计超过 98），及时对发现问题进行了整改。 从中石化公司实施内控后的效果来看，公司内部控制组织框架基本健全，已基本建立实施防舞弊机制并取 得一定效果，较好地发挥了内部控制的约束与激励功能,为实现公司战略目标和经营目标提供了重要保障。中石化内部控制框架内容介绍作为我国在境外三地上市的大型石油化工企业，中国石油化工股份有限公司按照 SOX 法

5、案的要求和 COSO 报 告的设计原则，通过建立以集中决策、分权管理为特征的组织规划控制，以网络化全过程为主要内容的全 面预算控制，以“授权指引”为核心的授权批准控制,以内部控制手册为载体的制度控制,以及风险防 范控制和先进的 ERP 管理信息系统控制，在实施内部控制上进行了积极有益的探索，为国有控股企业构建 内部控制框架提供了宝贵的经验.中石化公司的组织结构自萨班斯法案颁布以后，中石化参照国际模式，构筑了新的公司架构，初步建立起了规范的法人治理结构,实行集中决策、分级管理和专业化经营的事业部制管理体制。该体制的框架是一级法人为主、三级管理，即：总部是投资决策和资金运营中心;事业部、专业公司和

6、子公 司是利润中心；分公司是成本控制和生产管理中心，从而较为清晰地界定了有关规划、执行、控制和监督 活动的内部控制框架。在职能分解上按照业务范围组成由油田勘探开发、炼油、化工和油品销售等四个事 业部为主体的利润中心，分别管理作为成本中心的下属分公司并负责下属分公司之间的协调。中石化与事 业部之间、事业部与分（子）公司之间均采用经营承包方式，以层层落实委托、受托控制责任.13 个职能 部门、各事业部以及下属分(子)公司彼此相互独立,均按照“不相容职务相分离建立,在经营管理上拥有很 大的自主权，其职责范围没有重叠和交叉.但中石化总公司作为投资中心保留了预算、人事任免和重大投资 决策等权力,并运用利

7、润、成本等绩效指标对事业部进行控制，从而形成了控制主体明晰、责权利对称和管 理效率较高的控制体系，较好地降低了协调成本和控制成本。在法人治理结构上，中石化建立了股东大会 （权力机构）、董事会（决策机构）、监事会（监督机构)、总经理层（日常管理机构)四个基本组织框架。 在成员构成上，引入了独立董事制度;在权责分派体系上,董事会被授予股东契约控制权的绝大部分，并基 于其下属的战略委员会、审计委员会和薪酬与考核委员会等三个专业委员会的建议，行使聘用和解雇高层 管理人员、重大投资、兼并和收购等战略性的“决策控制权（一般剩余控制权)，并将日常的生产、销售、 雇佣等“决策管理权(特定控制权)只授予了公司经

8、理层（包括各事业部)，但没有授予作为成本中心的分 (子）公司。全面预算控制中石化公司把所有业务活动全部纳入预算管理，把预算嵌入到“授权指引”和“ERP ”系统中,使所有授权 均为预算（计划）项下的授权，规范了每项业务流程中预算的编制、上报、批复程序,加强了预算执行监督 考核工作，从而使各部门和各个分（子）公司,都把预算作为约束日常业务和推动优化经营管理的重要手段. 在预算责任体系上，中石化公司层面建立了由董事会审查年度财务预算，各事业部和各职能部门监控预算 执行和分(子）公司、研究院等全面落实预算目标的预算管理体系；分（子)公司层面建立了分级预算网络。 目前，中石化各事业部、分公司、子公司实施

9、预算管理率达到了 100。通过实施全面预算管理体制，企 业整体效益得到了提高,有力促成了企业整体经营目标的实现。以“授权指引为核心的授权批准控制为提高运营效率和最大限度地规避风险，中石化公司针对内控制度所列业务流程，运用定性控制和定量控 制方法，以控制点上的管理和决策权限为重点，通过权限指引构建了“五层两级”的梯形授权体系， 并基于一级法人的经营管理体系,将下属分(子）公司的权限较多地集中在经理一级，只将少数授权分至副 经理和处室负责人，通过明确执行部门以及与之对应的会签部门或复核岗位，进一步落实控制责任.中石化公司权限指引中所列权限是指经总部批准的预算项下的业务授权,包括最终的决定权、批准权

10、, 但不包括提议权、拟订审核权等中间过程的权限.与内部控制系统相对应,它主要包括公司治理、公司管理 和执行三个层面的授权控制，形式分为“一般授权”和“特殊授权”。对于常规性的重要经济业务实施“一 般授权”，并按照批准层级权利依次递减；对于非常规、高风险业务则实施“特殊授权”，从而将可能发 生的风险全面纳人授权体系，避免出现真空地带。以内部控制手册为载体的制度控制中石化公司为加强规章制度建设与管理，确保有效实施各项管理制度,实现管理工作系统化和规范化，促进 生产、技术、经营活动顺利进行，在实施内部控制过程中，还在清理内部原有规章制度的基础上，制定了 与内部控制手册相配套的配套规章制度汇编，其包含

11、的 126 个规章制度分目录、 索引和正文三部分，均标明了与内部控制手册相对应的业务流程,并与手册同步更新，保证了制度的时效性和执行力，从而形成了以内部控制手册为载体、内部控制手册配套规章制度汇编为补充， 并与其他管理制度一起，共同构成了中石化公司的内部控制制度体系。关于财务管理信息系统建设中国石油化工股份有限公司为建立现代企业制度，建立了统一的财务管理信息系统，从而提高了会计信息 的及时性、准确性，为决策支持提供了更丰富的财务信息：（1)建立了全公司三级（决策中心、利润中心、 成本中心）统一标准的财务管理和会计核算网络系统.（2）建立了满足中国会计准则、国际会计准则，基 于财务逻辑网络的总部

12、、分（子)公司、生产厂三级统一的财务管理和会计核算体系；（3）支持公司总部 绩效考核管理体系，为领导决策提供科学、准确、快捷的服务；（4)开发符合国际会计准则和上市信息披 露规则的财务管理和会计核算软件；（5）建立了分布式财务数据库，支持财务会计数据的实时向上复制、 向下穿透查询和网上在线对账。健全风险防范控制针对各个风险控制点，中石化建立起有效的风险管理系统，它通过风险预警、风险识别、风险评估、风险 控制、风险报告等措施，对财务风险、经营风险和合规风险进行全面防范和控制。其控制方法突出体现在 销售业务的信用控制、采购支出业务的市场准入、招投标、合同控制以及资金业务管理等环节。先进的 ERP

13、管理信息系统控制中石化公司的 ERP 管理信息系统分为会计核算、资金管理、物资管理等分业务自成体系的管理信息系统。 目前公司正在规划实施与财务信息系统高度集成并以财务管理为核心的 ERP 管理信息系统。它通过把不同 业务部门的人员统一在 ERP 系统上进行业务操作，使业务数据一经录入，即可对企业产、供、销各环节完 全集成,按相应的业务流程和规范自动生成物流、资金流和信息流“三流合一的相关信息，并适时传输到 中石化公司总部统一的数据仓库中进行监控和分析，保证风险始终处于“受控”状态。截止 2007 年 3 月份， 已有 40 家下属企业正式上线运行.值得注意的是，中石化公司的 ERP 系统中所有

14、授权都是基于“预算项 下的授权，并将企业的整体目标分解为具体的控制项目和明确的控制标准，适时评价经济业务的价值链过 程，作为成本控制及绩效考核的基础，从而实现了预算“硬约束”的功能。科学完善的内部控制检查评价机制为了加强企业内部控制,提高管理水平，正确评价与考核内部控制的运行情况，中石化公司遵循国内外资本 市场监管规范,根据内部控制手册有关规定，制定颁发了中国石油化工股份有限公司内部控制检查评 价与考核暂行办法，并于 2006 年 8 月 1 日起开始执行。中石化公司内部控制检查评价与考核工作实行“总 部检查评价”和“单位自查评价两级检查评价体制，从而在纵向上形成了由股份公司内控领导小组检查，

15、 股份公司总部各职能部门自查及对口抽查，以及分(子)公司自查组成的三级监督网络；在横向上形成了由 派驻的内控检查组、股份公司各职能部门、分（子)公司分别提交综合评价报告，再由股份公司内控领导小 组最终形成年度综合评价报告并报董事会核准的二级报告制度,做到程序规范、依据科学、报告准确.同时， 根据考评需要，分别从内部控制环境评价、单位自查情况评价、业务流程综合检查评价、内部控制日常工 作评价、风险评价等方面，绘制了完整、规范的评价流程,使内部控制评价体系始终遵循统一的方法步骤， 确保监督、考评的公正性.客观公正的考核机制为了顺利地推进公司内部控制检查评价与考核工作的开展，内控办公室在公司各有关专

16、业领域内公开选拔 若干名业务骨干(包括 IT 专业人员)，组建内部控制专业人员队伍，并定期进行培训，经考试合格者颁发“内 控专业人员”资格证书.年度综合检查评价时,以“内控专业人员为主组成检查评价小组，对各单位进行现 场检查和评价，各类检查评价结果必须由“内控专业人员”签字确认，确保年度综合检查评价的独立、客观和公正。此外,中石化公司针对 ERP 单轨运行企业业务流程的检查与评价还做了特别说明，指出原则上实行业务流程 在线检查评价，按照ERP 单轨运行企业业务流程检查工作底稿中规定的“检查方法，检查 ERP 系统中 业务流程和审批权限的设置及执行是否符合内部控制要求。对财产清查、盘点、资产处置

17、、八项减值准备 计提、往来款项核对、资金支付、非经常性资本支出等业务及控制事项,必须检查线下审批手续是否齐全、 有效.对缺少必要的线下审批手续,或线下审批手续不符合内控手册要求的控制点视为“未执行,扣除控制 点相应的全部分值。对 ERP 单轨运行企业未实施的功能模块相应业务流程的检查评价，按照非 ERP 企业 业务流程检查工作底稿执行。中石化公司 COSO 内部控制体系存在的主要问题中石化公司 COSO 内部控制框架体系的实施仅有两年时间,作为一个新生事物和一项系统工程,其内控理念、 方式仍处在不断规范、提升阶段,员工对控制环境、信息与沟通等角色定位和职责履行还有一个自我适应和 自我完善的过程

18、，运用业务流程控制来规范各级管理者及全体员工行为,使内部控制成为落实“过程控制” 目标的现实选择还有许多工作要做.目前,中石化公司 COSO 内部控制框架体系存在以下几方面问题：全面预算管理机制尚不健全中石化公司的全面预算管理体系仍存在着如下问题:(1）对全面预算管理的认识存在偏差。至今仍有一些单 位认为全面预算管理就是财务预算，没有把全面预算管理目标、起点、依据、预算编制过程及方法、预算 组织与控制、预算考核等贯穿到企业的生产、经营、财务、人事、项目管理等每一个职能部门和个人。因 此不少企业的全面预算管理最后流于上级部门下达年度财务指标的一种形式。（2)预算管理组织机制存在 缺位现象.中石化

19、很多单位存在只是形式上设有预算管理委员会和监督机构的现象,没有从上至下建立起全 面预算管理组织体制。（3）预算编制程序、方法、指标的科学性和合理性有待提高。（4）预算执行与监 督缺乏力度.一些企业预算决策、监督一体化，削弱了监督力度,影响预算执行的有效性。（5）预算考核和 激励机制不到位。目前的预算激励措施缺乏力度和差距,影响了企业实行全面预算管理的积极性。（6）预 算管理信息化建设等基础工作滞后。目前在中石化系统中还存在着各项定额不全、修订不及时，计量手段 不完整、准确度不高，班组经济核算开展不深入，预算基础数据不完整等问题.许多企业没有制定信息分类、 分级标准，没有及时组织、汇总、归纳信息

20、需求,甚至少数企业的信息资源还滞留在某个部门或个人，没有 得到有效利用。内控环境存在差距企业的内控环境是其他所有风险管理要素的基础.在中石化公司内部的一些企业由于机制不顺，基础管理工 作薄弱，串通舞弊牟取个人私利现象时有发生,从而导致内控环境、日常管理跟不上企业发展的需要。一些 重要业务(如采购、销售等）缺少必要的监督制约,不符合“不相容部门、岗位相互分离”的内控要求，这 就为内部控制埋下了极不安全的隐患。因为要求不兼容职位分离是为了达到相互监督的效果，但是若负有 不同职责的员工串通舞弊，或者本公司员工通过外部关系规避控制，协同作弊，将会导致一个健全的内部 控制失效。分级授权制度未能得到严格执

21、行在资金支出环节存在着越权审批付款问题，费用支出上有少数企业超预算支付或变相越权支付现象，还有 一些企业没有严格执行投资、物资采购、维修、技术改造和科研开发业务的招投标控制程序,更有一些公司 管理层和相关内控人员有失职现象出现。所以严格限制授权审批权限，加大对违规违法行为的惩处力度势 在必行。中石化公司进一步完善内部控制的建议和措施深化对内控制度的认识中石化制定一系列内控措施的目标不能仅仅是为了满足证券监管机构的要求.因为满足 SOX 法案 302 条款和 404 条款的要求,只不过是建立内部控制机制的一部分，而不是全部。换句话说，实现透明可靠的财务报告， 只是内部控制的第一级目标。而更为重要

22、的内部控制目标，在于实现有效率与有效益的经营,循规守法和保 护企业财产安全。退一步说，上市公司即使得到了外部审核和评价的肯定意见,也并不意味着公司内控机制 就一定是令人满意的。因此，建议中石化在以下几个方面深化对内控的认识：首先，控制目标应趋向更高 层次的战略控制,中石化公司也要随着业务提升，把内控由关注传统的业务执行的合法性和合规性，向关注 业务执行效率以及风险控制转变.其次,控制方式趋向信息技术的集成和优化。第三，控制结构趋向逐步补 充和扩展的过程。第四，控制对象趋向于对“人”的控制。第五，内部控制理论趋向与公司管理和公司治 理相融合。引导员工提高认同感和参与度，夯实实施内部控制的基础一个

23、良好的内部控制系统，应能确保公司内每个人均清楚地知道自己所拥有的权力和承担的责任，充分调 动每一个员工的积极性,为企业总体目标的实现，认真履行自己的职责。同时，在人力资源管理上还要注意 以下几个方面：人员配置和制度设计要匹配,绝对避免身兼具有角色冲突性的多个职位;另外,在人员配置时 应避免关系密切人员或者利益关切人员进行相互监督;应最大可能地预先控制经理人道德风险漏洞；定期对 员工进行培训，以提高其业务素质;应加强考核奖罚力度，定期对员工业绩进行考核，奖惩分明。只有真正 调动每一个员工参与工作的热忱，健全的内部控制系统才可以得到有效实施。所以中石化在建立健全内部 控制系统的时候一定不能忽视内部

24、控制的实施主体对员工的教育。完善权力制衡机制，有效控制和规避风险根据 COSO 内部控制框架的观点，在构建内部控制体系时，应当使企业所有利害关系人对内部控制的理解有 共同基础，使他们都充分认识内控的必要性。同时更为重要的是，在中石化公司内部应设置必要的内部控 制部门，给予适当的职位和必要的职权，来监督企业所有利害关系人的行为,形成权力制衡机制。特别提醒 的是,警惕出现内部控制部门“空化”问题，不要让内部控制部门成为摆设。而且内部控制部门的管理与薪 酬奖励机制也应不受公司管理层约束,即独立于公司，只有这样才能真正保证内部控制部门的职责有效执 行。发挥 ERP 系统在内部控制中的作用，尽快实现财务

25、系统信息化、集成化对中石化而言，企业财务系统信息化应用应该包括两个层面的应用。一方面是下属企业的应用，它所要解 决的问题主要在于流程、业务、订单、事务等实现信息化，而从集团公司总部的角度来看,关键应该考虑如 何设计规范，实现下属企业在规范和标准下运作。中石化公司目前采用 ERP 系统统领企业整个财务过程， 但是仍存在很多不如人意的地方。所以，公司应进一步加强对 ERP 管理子模块的开发，扩大 ERP 系统的业 务涵盖范围，保证 ERP 环境下的内部控制能够取得应有的效果。同时，还要做好 ERP 系统本身的内部控制， 以确保系统运行和数据库安全.特别是要加强对实施 ERP 后如何发挥内部审计功能的探索研究，做好基于 ERP 环境下的内部审计模块开发和与内部控制在系统中的有序衔接,准确界定二者的功能边界，加强对内审 人员 ERP 应用培训，实现内部控制的集成化管理。建立严格的授权批准规范规范中石化各个企业的授权批准以形成相互制约和促进的制衡机制。例如，确保资产保管与会计核算相分 离，经营责任与会计责任相分离,授权与执行、保管、审查、记录等岗位相分离，实行关键岗位人员