本案例项目组成员

苏阳，中财光大（北京）管理咨询有限公司管理咨询部项目经理，中国注册会计师（CPA）、国际注册内部审计师、中级审计师。具有多年管理咨询经验，先后主导参与央企、大型国有企业、上市公司、行政事业单位的内部控制体系建设，行政事业单位及企业内部管理制度的设计，内部控制评价及风险管理等企业活动。

其他成员：刘英斌、赵鲁生

 

导读

A单位经省编办、市编办同意，于2011年4月22日正式批复组建，为市政府直属事业单位。主要职责：负责城市轨道交通及铁路工程项目的规划与设计、征迁与建设、资金筹措、运营与管理及工程沿线综合开发工作。

为提升A单位的管理水平，确保单位各项工作规范、有序地开展，最大限度地减少或规避风险，按照财政部《行政事业单位内部控制规范（试行）》，建立统一、规范和有效的内部控制体系。根据行政事业单位内部控制有关文件要求，对内部控制体系建设的各项工作内容进行了深入分析，制定了《内部控制建设实施方案》，方案中明确内控体系建设的工作流程及方法，包括项目准备阶段、风险评估、流程梳理及优化阶段、制定手册及验收阶段。

项目准备阶段重点工作内容为：成立领导小组和工作办公室，制定工作方案，开展内部控制规范宣传和培训。

风险评估阶段重点工作内容为：查找风险点，提出风险控制措施，风险评价，综合评估风险。

流程梳理及优化阶段重点工作内容为：确定流程目录，绘制业务流程图，识别流程中的风险点和关键控制点，形成风险控制矩阵。

制定手册阶段重点工作内容为：制定并完善《内部控制管理手册》和《内部控制评价手册》。

验收阶段重点工作内容：组织项目验收，并根据专家意见进行修改并试行。

通过以上工作，制定《内部控制管理手册》和《内部控制评价手册》，以此作为建立、执行、评价及检查单位内部控制体系的指导和依据。

 

A单位内部控制体系建设项目

中财光大（北京）管理咨询有限公司 苏阳

一、项目概况

（一）A单位基本情况

A单位经省编办、市编办同意，于2011年4月22日正式批复组建，为市政府直属事业单位。主要职责：负责城市轨道交通及铁路工程项目的规划与设计、征迁与建设、资金筹措、运营与管理及工程沿线综合开发工作。

2012年3月，经市委研究，同意成立中共A单位委员会，隶属市委、市直机关工委管理。目前，单位内设机构为6个，拟设立3个，分别为：综合办公室、财务科、审计科、规划发展科、工程建设科（安全生产监督管理科）、总工办，拟设立机关党委（机关纪委）、对外联络科、秩序维护科。

（二）A单位的咨询需求及目标

1、外部监管要求

（1）财政部下发的《行政事业单位内部控制规范（试行）》（财会[2012]21号）；

（2）《财政部关于全面推进行政事业单位内部控制建设的指导意见》（财会[2015]24号）；

（3）《行政事业单位内部控制报告管理制度（试行）》（财会[2017]1号）。

2、内部管理要求

为提升A单位的管理水平，确保单位各项工作规范、有序地开展，最大限度地减少或规避风险，按照财政部《行政事业单位内部控制规范（试行）》，建立统一、规范和有效的内部控制体系，制定《内部控制管理手册》和《内部控制评价手册》，以此作为建立、执行、评价及检查单位内部控制体系的指导和依据。

二、项目总体思路

财政部《行政事业单位内部控制规范（试行）》明确规定：内部控制是单位对经济活动的控制，是指单位为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动风险进行防范和管控。

依据行政事业单位内部控制相关规定，结合A单位自身情况及特点，以单位预算为主线，以资金、资产管理为中心，针对具体的预算收支等经济业务，梳理工作流程，明确业务环节，系统分析经济活动风险，确定风险点，选择风险应对策略，在此基础上依据国家有关规定建立健全各项管理制度并督促相关人员认真执行，全面提升内部综合管理水平。

内控体系建设项目组制定的A单位内部控制体系建设项目的总体思路如下：

（一）控制目标

内部控制是单位履行职能、全面完成各项任务的重要保障。为做到自我约束和规范，控制目标为：经济活动合法合规，各项资产安全和使用有效，会计信息真实、完整、可靠，提高资金使用效率，作为反腐倡廉的重要手段。

（二）实施范围

内控控制规范实施的范围为单位所有科室。充分利用已经开展的科学化、精细化梳理工作和廉政风险防范工作等已有成果，结合内控控制工作的具体要求，追踪资金的具体流向，建立健全各项规章制度。

（三）项目工作步骤

内部控制体系建设工作从2018年09月中旬开始，至2018年11月中旬完成，分为项目准备、风险评估、流程梳理及优化、制定手册和成果验收五个阶段。

1、项目准备阶段

在这一阶段，内控体系建设项目组与A单位成立内部控制体系建设领导小组和工作组，明确内控建设工作的领导、组织、执行工作的分工和责任，制定并下发内部控制体系建设实施工作方案，制定工作任务及进度安排。

组织召开内控体系建设项目启动会，开展高效的宣传培训工作，培养员工的内控意识。在此过程中，单位领导充分发挥主导作用，以身作则，为A单位建立良好的内部控制环境。

2、风险评估阶段

项目组收集整理各科室的业务流程（包括流程图和流程说明）、制度、岗位职责等相关资料，针对梳理出的流程、制度、岗位职责等，结合实际执行效果，查找风险点，提出风险控制措施，并对现行流程和制度的设计合理性、运行有效性做出判断，综合评估整体风险。同时对风险评估的组织方式、评估频率、启动条件、关注重点等进行设计，形成风险评估机制。

3、流程梳理及优化阶段

项目组通过访谈、审阅文档及问卷调查等方式梳理、设计或优化流程，确定流程目录，绘制业务流程图，明确各业务流程运行标准和运行授权。同时做到制度与流程相匹配，主要业务环节及岗位职责要明确。

在流程梳理的基础上，项目组根据行政事业单位内部控制基本规范的要求，结合A单位的实际情况，识别流程中的风险点和关键控制点，对内部控制梳理结果和流程图中的风险点和关键控制点进行描述和记录，形成风险控制矩阵。

4、制定手册阶段

制定《内部控制管理手册》和《内部控制评价手册》。汇总整理单位层面和业务层面的内控流程，以及风险评估、内部监督和评价等资料，明确单位层面和业务层面的内控要求，形成各部分的内部控制规范文件。

5、成果验收阶段

组织专家对《内部控制管理手册》和《内部控制评价手册》进行审核验收，根据专家咨询组建议和内部反馈意见进行修改，报领导小组审核后试行。根据复核结果和试行反馈意见修改《内部控制管理手册》和《内部控制评价手册》并正式发布实施。

三、项目实施的原则

（一）全面性原则

内部控制应当贯穿单位内部各经济业务活动，并将业务处理过程中的风险控制要求，落实到决策、执行、监督等各个环节。

（二）重要性原则

在全面控制的基础上，重点针对单位重要业务、重要事项、高风险领域和高危险环节采取更为严格全面的控制措施，确保不存在重大缺陷和错漏。

（三）制衡性原则

内部控制应当在单位内部的科室管理、职责分工、业务流程等方面形成相互制约和相互监督。

（四）适应性原则

内部控制应当与单位的规模、业务范围和特点、风险水平及所处具体环境等相适应，并随着国家和本省的有关工作要求，以及内外环境的变化及时加以调整。

四、项目实施的内容

此次内部控制体系建设项目根据《行政事业单位内部控制规范（试行）》以及A单位的内部管理制度，围绕单位层面内控控制及业务层面内部控制中的预算业务控制、收支业务控制、政府采购业务控制、资产控制、建设项目控制及合同控制，结合A单位实际管理需求，对A单位现有业务管理流程进行梳理，遵循全面性原则，结合重要性原则对内部控制体系建设项目的实施内容进行确定。项目的实施内容列示见表1：

表1内控体系建设项目内容列表

五、内控体系建设项目的准备阶段

（一）制定内部控制体系建设工作实施方案

中财光大（北京）管理咨询有限公司（以下简称“中财光大”）项目组根据A单位实际情况制定了详细的、具有可操作性的《内部控制体系建设工作实施方案》。内控实施方案主要包括：控制目标、实施范围、实施原则、工作任务、基本要求、组织方式和职责、工作准备、风险评估、流程梳理或流程再造、制度完善要求、制定内控手册内容和要求等。A单位主任办公会审议通过并下发《内部控制体系建设工作实施方案》。

（二）组建内控建设工作组

按照实施方案要求成立了内部控制体系建设领导小组和工作组，由工作组和各科室风险管理工作联系人组成，工作组成员包括各科室人员和中介机构人员，工作组和各科室的联系人形成联动机制，工作组成员具有独立性、客观性及专业胜任能力，能够专业、及时地开展内控体系建设工作。

领导小组是单位内控体系建设的最高权力机构，全面负责单位内部控制规范体系建设工作的实施。领导小组负责贯彻行政事业单位内部控制规范各项要求，推进单位内部控制工作，批准单位内部控制规范实施方案等相关文件，研究解决试点工作中出现的重大问题，探索建立适合单位实际情况的内部控制体系。

领导小组下设工作组，负责起草工作方案、简报、总结等文件，组织内部控制学习和培训，收集整理内部控制相关资料，负责预算控制、收支控制、政府采购控制、资产管理、合同管理、建设项目控制的业务梳理和整改，负责确认部门职能、岗位职责，负责开展关键岗位人员管理、轮岗管理，负责开展风险评估、内部控制评价业务的梳理和整改，查找风险点并编制风险清单、评估分析风险发生概率和风险等级、制订风险应对策略及管控措施、编制《内部控制管理手册》和《自我评价手册》。

（三）开展内部控制规范宣传和培训

召开内控体系建设项目启动会暨培训会，单位全体人员和中财光大咨询项目组成员参加。会议中就内部控制体系建设项目做动员，并就行政事业单位内部控制规范及单位内部控制体系建设工作实施方案向与会人员做了宣讲和培训。单位领导班子、内部控制体系实施机构成员主要学习内部控制规范的理论、原则、控制基本方法、风险评估程序、风险管控措施、自我评价要求等；单位非内控管理部门及其他人员主要学习内部控制规范体系建设的重要意义、个人在内部控制规范中的作用、控制的基本方法、流程梳理及风险查找方法。内控体系建设项目正式启动。

（四）制定工作任务及进度安排

内控体系建设项目组根据A单位的规模、业务模式及领导要求，制定内控体系建设项目的工作任务，并对时间节点进行安排如表2所示：

表2工作任务及进度安排表

六、内控体系建设项目的风险评估阶段

（一）资料、信息收集

内控建设项目组广泛、持续不断地收集与A单位风险和风险管理相关的内外部初始信息及资料，包括各类制度、文件、报告、历史数据、通知和表单等相关资料，重点收集预算管理、财务收支、政府采购、资产管理、建设项目以及合同管理等方面的信息。项目组分工对上述资料进行研读和梳理，了解和判断A单位内部控制工作流程是否顺畅，内控执行是否存在缺陷。

（二）风险识别

风险识别是指查找单位各项重要经济活动及其重要业务流程中存在的影响控制目标实现的风险和机遇的过程。风险识别的主要方法有小组讨论、访谈、问卷调查、案例分析、征求专家意见等。项目组通过人员访谈、问卷调研等方式了解单位的风险管理工作现状，识别A单位的风险事件。

1、开展单位全员摸底调查。

在内控培训的基础上，项目组设计了A单位内控调查问卷，调查问卷主要包括控制环境、风险评估、控制活动、信息与沟通、评价与监督5 个部分的内容。调查问卷应当要求单位全体员工逐人填写并全部回收。项目组对调查问卷进行汇总，逐项进行内容分析。

2、开展内部控制访谈调研。

项目组对单位领导班子成员、各主要部门负责人和重要工作岗位人员开展专题访谈调研工作，全面了解单位一把手和班子成员对内控管理的设想、对单位管理现状的分析、对管控措施的希望和建议。同时安排专人对获得的访谈记录进行分析，协助查找单位内部的管理风险和薄弱环节。

项目组根据调查问卷分析和访谈记录分析，认真研究并确定内部控制体系建设实施的工作重点，分别从单位层面、业务活动层面，动态识别影响单位目标实现的各种不确定性因素。

具有负面影响的因素代表风险，需要对其分析和提出应对措施；具有积极影响的因素代表机遇，在制定目标和政策实施过程中对其加以考虑并合理利用。项目组通过分析、整理相关风险，并根据单位具体情况及外部政策的变化不断进行修订和完善，最终确定A单位的风险清单如表3所示：

表3风险清单（部分节选）

一级风险	二级风险	风险事件现状描述
单位层面风险	内部控制工作组织	未确定内部控制职能部门或牵头部门，导致内部控制工作无法开展。
		未建立单位各部门在内部控制中的沟通协调和联动机制，导致内部控制无法有效执行。
	内部控制机制建设	经济活动的决策、执行、监督未能有效分离，导致出现利益冲突，影响内部控制整体有效性。
		内部机构权责不对等，导致无法履行职责或者职权被滥用。
		未建立健全议事决策机制，导致决策失误。
		未建立健全岗位责任制，导致职责不清。
	内部管理制度风险	未建立健全内部监督等机制，导致缺乏有效监督，控制执行不到位，甚至出现舞弊行为。
		内部管理制度不健全，导致经济业务活动无章可循。
		内部管理制度未得到有效执行，导致单位蒙受经济损失或者名誉损失。

（三）风险评估

项目组采用定性与定量相结合的方法进行风险评估。定性方法包括问卷调查、集体讨论、专家咨询、情景分析、政策分析、由专人主持的工作访谈和调查研究等；定量方法包括统计推论、计算机模拟、失效模式与影响分析、事件树分析等。在进行风险定量评估时，应当统一风险度量和度量模型；在运用风险坐标图对多项风险进行比较时，应确定风险排序的方法。

识别风险后，采用定量及定性的方法对风险进行分析，分析的内容主要有：风险发生的可能性（或频率、概率），风险可能产生的影响，确定风险的重要性水平。

1、风险影响程度

风险影响程度是指风险事件的发生对单位所造成的影响的广度与深度，对于风险影响程度也可划分为五个级次，分别为极低、低、中等、高、极高，依次对应1至5分。对风险事件所造成的影响主要从财务收支、日常管理、法律法规的遵循三个方面考虑。考虑财务损失时采用定量的方法，以造成的损失金额大小为参照指标，确定风险影响程度的级别；考虑日常管理与法律法规的遵循时采用定性的方法，确定风险影响程度的级别。具体的划分标准如表4所示：

表4风险影响程度评估标准

评估方法	评估标准	极低	低	中等	高	极高
		1	2	3	4	5
定量方法	财务方面的损失金额	轻微的财务损失，小于1万元	较低的财务损失，1万到5 万元	中等的财务损失，损失在5万至10万元	重大的财务损失，损失在10万至100万元	极大的财务损失，大于100万元
定性方法	日常管理方面	对单位日常管理或单位的控制目标有轻微影响，情况立刻得到控制	对单位日常管理或单位的控制目标有轻度影响，情况经过内部协调后得到控制	对单位日常管理或单位的控制目标有中度影响，情况需要外部支持才能得到控制	对单位日常管理或单位的控制目标有严重影响，情况失控，但对单位无致命影响	对单位日常管理或单位的控制目标有重大影响，情况失控，给单位带来致命影响
	法律法规的遵循方面	可能存在轻微的违反法规的问题	违反法规，伴随着少量的罚款或诉讼的损失	违反法规，导致监管部门、司法机构的调查或诉讼；伴随着一定的罚款或诉讼的损失	严重违反法规，导致监管部门、司法机构的调查和重大的诉讼；伴随着较大的罚款或诉讼的损失	严重违反法规，导致监管部门、司法机构的调查和重大诉讼、行政、经济处罚，或非常严重的集体诉讼

2、风险发生的可能性

对风险发生可能性分析可以根据风险的具体情况，采用定性及定量评估方法，定性方法主要从日常管理中可能发生的潜在风险、大型灾难或事故的风险两个层面进行分析并确定不同的可能性尺度；定量方法主要是以通过历史数据统计出一定时期内风险发生的概率作为标准进行评估。按照定性与定量的分析方法将风险发生的可能性划分为五个级别，分别是极低、低、中等、高、极高，依次对应1至5分。具体的划分标准如表5所示：

表5风险发生的可能性评估标准

评估方法	评估标准	极低	低	中等	高	极高
		1	2	3	4	5
定性方法	针对日常运营中可能发生的潜在风险	一般情况下不会发生	极少情况下才发生	某些情况下发生	较多情况下发生	常常会发生
	适用于大型灾难或事故	今后10年内发生的可能少于1次	今后5〜10年内可能发生1次	今后2〜5年内可能发生1次	今后1年内可能发生1 次	今后1年内至少发生1 次
定量方法	适用于可以通过历史数据统计出一定时期内风险发生概率的风险	发生概率为10%以下	发生概率为10%〜30%	发生概率为30%〜70%	发生概率为70%〜90%	发生概率为90%以上

3、风险坐标图

风险坐标图是把风险发生可能性的高低、风险发生后对控制目标的影响程度作为两个维度绘制在同一个平面上（即绘制成直角坐标系）。我们通过定性及定量评估方法对单位风险进行了评估，绘制了单位的风险坐标图，如下图1所示：

图1 风险图谱

绘制风险坐标图的目的在于对多项风险进行直观的比较，从而确定风险管理的优先顺序和策略。风险发生的可能性与风险的影响程度两个维度，在风险坐标图可将识别的风险划分为极低、低、中、高、极高五个区域。项目组通过风险图谱分析，在所有风险进行排序，判断各个风险的重要性等级和风险等级。

风险评估工作结束后，项目组对A单位的风险管理现状进行了归纳总结并出具了《风险评估报告》。在报告中对工作过程中发现的问题进行了分析、总结并提出了针对性的改进建议，同时建立了A单位的风险评估工作机制、风险评估工作程序及风险应对策略。

七、内控体系建设项目的流程梳理及优化阶段

（一）确定流程目录

项目组在综合考虑A单位风险评估阶段识别出的主要风险以及《行政事业单位内部控制基本规范（试行）》的要求，并结合A单位的业务性质，确定了纳入内部控制体系范围的主要业务环节，确定了A单位的业务流程目录。

流程目录分为一、二、三、四级流程，一级流程共6个，包括预算业务管理、收支业务管理、采购业务管理、资产管理、合同管理、建设项目管理，并根据各流程的复杂程度，逐级细分出二、三、四级流程，如表6所示：

表6业务流程目录（部分节选）

流程编号	一级流程	二级流程	三级流程	四级流程
GDB01	预算业务管理
GDB01.01		预算的编制与审批
GDB01.02		预算的追加调整
GDB01.03		预算的执行与分析
GDB01.04		预算的决算与考评
GDB02	收支业务管理
GDB02.01		收入管理
GDB02.02		支出管理
GDB02.02.01			支出申请与资金支付
GDB02.02.02			借款与差旅费管理
GDB02.03			银行账户管理

（二）绘制业务流程图

在业务流程目录确定后，项目组通过访谈、审阅文档或问卷调查等方式梳理流程，绘制业务流程图初稿，对现有管理流程和业务流程进行细致描述，并对流程图进行编号。在对现有流程进行梳理、绘制的基础上，根据本单位内控管理的实际需要，对必须调整的工作流程进行再造，以达到“合理保证单位经济活动合法合规，资产安全和使用有效，财务信息真实完整，有效防范舞弊和预防腐败，提高公共服务的效率和效果”的控制目标，经过与各流程负责人及相关业务人员的反复探讨和修改后，绘制业务流程图定稿，明确各业务流程运行标准和运行授权，同时做到制度与流程相匹配，主要业务环节及岗位职责明确。

（三）编制风险控制矩阵

在流程梳理的基础上，项目组根据行政事业单位内部控制基本规范的要求，结合A单位的实际情况，识别流程中的风险点和关键控制点，在对应的业务流程图中进行标记，同时对内部控制梳理结果和流程图中的风险点和关键控制点进行描述和记录，制定控制措施，明确控制类型和控制频率，形成风险控制矩阵，见表7：

 

表7风险控制矩阵（部分节选）

流程编号及名称	控制目标	风险描述	控制点编号	控制措施	控制类型	控制文档/证据	控制频率	控制制度
GDB01.01预算的编制与审批	确保单位预算管理在财政部门预算管理的整体框架和要求范围内，并结合自身业务特点编制本单位预算	由于预算编制准备不充分，对全年工作缺乏充分的预测和详细的规划，预算编制程序不规范、编制方法不科学，可能导致预算编制效率低下、数据不准确	1.1	财务科预算管理员根据政府财政部门下发的编制预算通知，部署预算编报工作；各业务科室积极配合预算编报工作，根据本科室年度工作目标和上年预算安排执行情况及时组织本科室预算编制工作，并提交科室负责人及主管副主任审核，同时在规定时间内提交预算管理员审核	预防	预算编制通知、科室年度预算草案、审核记录	年度	财务预算管理办法
			1.2	预算管理员对各科室提交的预算建议数汇总平衡并审核，形成单位初步预算数提交财务科科长审核	预防	单位年度预算草案、审批记录	年度
			1.3	主管财务副主任对单位预算草案进行审批，重点审核预算内容是否符合单位实际，是否在财政部门预算管理的整体框架和要求范围内	预防	单位年度预算草案、审批记录	年度
			1.4	预算管理员将年度预算草案提交党委会审议批准	预防	单位年度预算草案、会计纪要	年度
			1.5	预算管理员将本单位年度预算报送财政部门，财政部门对单位上报的预算数进行最终审批，并下达预算批复。预算管理员接到财政部门的预算批复后，在指定网站公开预算信息	预防	单位年度预算、预算批复、财政审批文件	年度