内部控制评价管理框架 - 公司制定内部控制评价管理办法以全面评估内部控制设计与运行有效性 推动持续优化并规范评价程序及报告编制 [1] - 评价范围涵盖公司本部 全资或控股子公司及其他纳入合并报表范围的业务单位 参股公司参照执行 [1] - 内部控制评价由董事会全面负责 形成评价结论并出具报告 [1] 评价原则与组织机构 - 评价工作遵循全面性 重要性及客观性原则 覆盖所有业务和事项 重点关注重要单位及高风险领域 [1] - 纪委办公室（审计部）作为综合管理部门 负责组织制度修订 实施评价 编制报告及监督分子公司工作 [2] - 董事会审计与风险委员会审核评价报告 经半数以上成员同意后提交董事会审议 [2] 评价内容与要素 - 评价内容围绕内部环境 风险评估 控制活动 信息与沟通及内部监督五大要素展开 [2] - 内部环境评价涵盖组织架构 发展战略 人力资源 企业文化及社会责任等 [3] - 风险评估机制评价关注风险识别 分析及应对策略 [4] - 控制活动评价针对控制措施的设计与运行有效性 [4] - 信息与沟通评价涉及信息传递及时性 反舞弊机制健全性 财务报告真实性及信息系统安全性 [4] - 内部监督评价重点评估监督机制有效性 包括董事会审计与风险委员会及内部审计机构的作用 [4] 评价程序与实施 - 评价工作形成详细工作底稿 记录评价要素 风险点 控制措施及证据资料 [5] - 评价范围包括公司本部及分子公司 分子公司延伸至机关 直附属机构及二级单位 [5] - 评价程序包括制定方案 组成工作组 现场测试 缺陷认定 结果汇总及报告编报 [5] - 评价方案需报董事会审议通过 工作组由业务骨干组成并实行回避制度 [5] - 现场测试采用访谈 问卷 穿行测试及抽样等方法收集证据 [6] 评价报告与披露 - 内部控制评价报告需包括董事会声明 评价总体情况 依据范围程序方法 缺陷认定 整改情况及有效性结论 [6][7] - 报告基准日为每年12月31日 基准日至提交日间的重大缺陷需核实并调整结论 [8] - 报告经董事会审计与风险委员会审阅及董事会审议后 于基准日后4个月内披露或报送 [8] - 分子公司需开展自我评价并将报告报送纪委办公室（审计部） [8] 监督考核与缺陷认定 - 内部控制评价工作纳入绩效管理 进行考核兑现 [8] - 违反规定的行为将通报批评或追究责任 包括评价基础不到位 程序不健全 报告不规范及擅自公布结果等 [8][11] - 内部控制缺陷分为设计缺陷与运行缺陷 按严重程度分为重大 重要及一般缺陷 [9][12] - 财务报告内部控制缺陷定性标准包括董事高管舞弊 审计委员会监督失效 未识别的重大错报及财务报告重报等 [12] - 定量标准按错报金额划分：一般缺陷小于利润总额1% 重要缺陷介于1%-5% 重大缺陷大于等于5% [13] - 非财务报告内部控制缺陷定性标准涉及决策程序缺失 重大决策失误 违法法规 人才流失及制度失效等 [13] - 定量标准按直接财产损失金额划分：一般缺陷小于500万元 重要缺陷介于500-1000万元 重大缺陷大于1000万元 [14]