国投资本：内部控制评价管理办法2019-03-29
附件 5-1
国投资本股份有限公司
内部控制评价管理办法
第一章 总 则
第一条 为促进公司全面评价内部控制的设计与运行
情况，规范内部控制评价程序和评价报告，揭示和防范风险，
依据财政部等五部委颁发的《企业内部控制基本规范》、《企
业内部控制评价指引》及上市公司监管有关要求，制定本办
法。
第二条 本办法所称内部控制评价，是指公司董事会对
内部控制的有效性进行全面评价、形成评价结论、出具评价
报告的过程。
第三条 本办法适用于公司本部及下属企业。
下属企业包括公司直接或间接出资设立的全资、控股投
资企业，不包括受托管理的企业。
第四条 公司实施内部控制评价遵循下列原则：
(一) 全面性原则。评价工作应当包括内部控制的设计
与运行，涵盖公司的各种业务和事项；
(二) 重要性原则。评价工作应当在全面评价的基础上，
突出重点，关注影响控制目标的高风险领域、重要业务（单
- 1 -
位）、重大事项、关键控制环节和风险点；
(三) 客观性原则。评价工作应当客观地揭示经营管理
的风险状况，如实反映内部控制设计与运行的有效性；
(四) 成本效益原则。评价工作应当权衡实施成本与预
期效益，以适当的成本实现有效评价，提高评价工作效率和
效果。
第五条 公司董事会对内部控制评价报告的真实性负
责。
第二章 内部控制评价的组织和职责
第六条 公司审计与合规部在董事会和审计委员会的
领导下，负责内部控制评价的组织、管理、汇报等工作。
第七条 公司按经批准的内部控制评价工作方案，组成
内部控制评价工作组，具体实施内部控制评价工作。
第八条 公司内部控制设计和评价应保持分离，以保证
足够的独立性。
评价工作组成员对本部门的内部控制评价工作应当实
行回避制度。
第九条 公司可以聘请中介机构协助公司实施内部控
制评价。为公司提供内部控制审计服务的会计师事务所，不
得同时为同一公司提供内部控制评价服务。
第十条 内部控制评价中的职责和任务。
- 2 -
(一) 审计与合规部
1.拟订合理评价工作方案并经总裁办公会批准后组织
实施；
2.对于评价过程中发现的重大问题，应及时与经理层、
董事会审计委员会、董事会和监事会沟通，并复核内部控制
缺陷初步认定意见；
3.提出整改建议，并组织整改工作；
4.编写内部控制评价报告，及时向经理层、董事会审计
委员会、董事会、和监事会报告；
5.与外部审计师保持沟通，督促各部门、所属单位对内
部控制评价发现的问题进行整改；
6.根据评价和整改情况，在必要时拟订内部控制考核方
案。
(二) 内部控制评价工作组
1.内部控制评价工作组具体承担内部控制评价任务；
2.内部控制评价人员应具备独立性、业务胜任能力和职
业道德素养；
3.评价工作组成员应当吸收公司内部相关部门中熟悉
情况、参与日常监控的负责人或业务骨干参加；
4.评价工作组根据掌握的情况进一步确定评价范围、检
查重点和抽样数量，并结合评价人员的专业背景进行合理分
工；
- 3 -
5.评价工作组根据评价人员分工，综合运用各种评价方
法对内部控制设计与运行的有效性进行现场检查测试；
6.按要求填写工作底稿、记录相关测试结果，并对发现
的内部控制缺陷进行初步认定；
7.评价工作组汇总评价人员的工作底稿，初步认定内部
控制缺陷，形成现场评价报告；
8.评价工作组将评价结果及现场评价报告向被评价单
位进行通报，由被评价单位相关责任人签字确认后，提交公
司内部控制评价部门。
（三） 下属企业
1.逐级落实内部控制评价责任，建立日常监控机制；
2.开展内部控制自查、测试和定期检查评价；
3.发现问题并认定内部控制有缺陷，拟订整改方案和计
划；
4.编制本单位内部控制评价报告；
5.对内部控制的执行和整改情况进行监督落实。
第三章 内部控制评价的依据和内容
第十一条 公司董事会根据《企业内部控制基本规范》
及应用指引、上市监管要求以及公司的内部控制制度，围绕
公司内部控制的目标、内部环境、风险评估、控制活动、信
息与沟通、内部监督等要素，确定内部控制评价的具体内容，
- 4 -
对内部控制设计与运行情况进行全面评价。
第十二条 内部控制的目标包括经营合规目标、资产安
全目标、报告可靠目标、经营效率效果目标和战略实现目标
等。
第十三条 公司组织开展内部环境评价，应当以组织架
构、发展战略、人力资源、企业文化、社会责任等应用指引
为依据，结合公司的内部控制制度，对内部环境的设计及实
施运行情况进行认定和评价。
第十四条 公司组织开展风险评估机制评价，应当以
《企业内部控制基本规范》有关风险评估的要求以及各项应
用指引中所列主要风险为依据，结合上市公司监管要求及公
司的内部控制制度，对公司层面和日常经营管理过程中的风
险识别、风险分析、应对策略等进行认定和评价。
第十五条 公司组织开展控制活动评价，应当以《企业
内部控制基本规范》和各项应用指引中的控制措施为依据，
结合公司对相关控制措施与流程的设计和运行情况进行认
定和评价。
第十六条 公司组织开展信息与沟通评价，应当以内部
信息传递、财务报告、信息系统等相关应用指引为依据，对
信息收集、处理和传递的及时性、反舞弊机制的健全性、财
务报告的真实性、信息系统的安全性，以及利用信息系统实
施内部控制的有效性等进行认定和评价。
- 5 -
第十七条 公司组织开展内部监督评价，应当以《企业
内部控制基本规范》和有关内部监督的要求，以及各项应用
指引中有关日常管控的规定为依据，结合公司内部控制制度，
对内部监督机制的有效性进行认定和评价，重点关注监事会、
董事会、审计委员会、内部审计部门等是否在内部控制设计
和运行中有效发挥监督作用。
第四章 内部控制评价的程序和方法
第十八条 内部控制评价工作一般包括四个阶段，即准
备阶段，实施阶段，汇总评价结果、编制评价报告阶段，报
告反馈和跟踪阶段。
（一）准备阶段
1.制定评价工作方案。
评价方案应当明确评价主体范围、工作任务、人员组织、
进度安排和费用预算等相关内容。
2.组建评价工作组。
公司按经批准的评价方案，挑选具备独立性、业务胜任
能力和职业道德素养的评价人员实施评价。
（二）实施阶段
1.了解被评价单位（部门）基本情况。
评价工作组应充分了解企业发展战略和环境、领导层成
员构成及分工、部门设臵及职责分工等基本情况。
- 6 -
2.确定检查评价范围和重点。
评价工作组根据掌握的情况进一步确定评价范围、检查重点
和抽样数量，并结合评价人员的专业背景进行合理分工。检
查重点和分工情况可以根据需要进行适时调整。
3.开展现场检查测试。
评价工作组根据评价人员分工，综合运用各种评价方法
对内部控制设计与运行的有效性进行现场检查测试，按要求
填写工作底稿、记录相关测试结果，并对发现的内部控制缺
陷进行初步认定。
评价工作底稿应详细记录执行评价工作的内容，包括评
价要素、评价标准、评价和测试方法、主要风险点、采取的
控制措施、有关证据资料以及认定结果等。
评价工作底稿应当设计合理、证据充分、简便易行、便
于操作。
（三）汇总评价结果，编制评价报告阶段
1.评价工作组汇总评价人员的工作底稿，初步认定内部
控制缺陷，形成现场评价报告。评价工作组将评价结果及现
场评价报告向被评价单位（部门）进行沟通，由被评价单位
（部门）相关责任人签字确认后，返回评价工作组。
2.评价工作组应当实施评价质量交叉复核，工作组组长
应当对评价工作底稿和现场评价报告进行严格审核，并对所
认定的评价结果签字确认后，提交审计与合规部。
- 7 -
3.审计与合规部对工作组现场初步认定的内部控制缺
陷进行全面复核、分类汇总。
4.审计与合规部以汇总的评价结果和认定的内部控制
缺陷为基础，编制内部控制评价报告。审计与合规部应当关
注自内部控制评价报告基准日至内部控制评价报告发出日
之间是否发生影响内部控制有效性的因素，并根据其性质和
影响程度对评价结论进行相应调整。内部控制评价报告应报
送公司经理层、董事会审计委员会、董事会和监事会，由董
事会最终审定后对外披露。
（四）报告反馈和跟踪阶段
对于认定的内部控制缺陷，审计与合规部应当结合董事
会和审计委员会要求，提出整改建议，要求责任单位（部门）
制定切实可行的整改方案并按期整改，并跟踪其整改落实情
况，已经造成损失或负面影响的，公司应当追究相关人员的
责任。
第十九条 内部控制评价具体测试方法包括：
（一）个别访谈法
个别访谈法主要用于了解公司内部控制的现状，在公司
层面评价及业务层面评价的了解阶段使用。访谈前应根据内
部控制评价需求形成访谈提纲，撰写访谈纪要，记录访谈的
内容。
（二）调查问卷法
- 8 -
调查问卷法主要用于公司层面评价。调查问卷应尽量扩
大对象范围，包括公司各个层级员工，应注意事先保密性，
题目尽量简单易答（如：答案只需为“是”、“否”、“有”、
“没有”等）。
（三）穿行测试法
穿行测试法是指在内部控制流程中任意选取一笔交易
作为样本，追踪该交易从最初起源直到最终在财务报表或其
他经营管理报告中反映出来的过程，即该流程从起点到终点
的全过程，以此了解控制流程和控制措施设计的有效性，并
识别出关键控制点。
（四）抽样法
抽样法分为随机抽样和其他抽样。随机抽样是指按随机
原则从样本库中抽取一定数量的样本；其他抽样是指人工任
意选取或按某一特定标准从样本库中抽取一定数量的样本。
（五）实地查验法
实地查验法主要针对业务层面控制，它通过使用统一的
测试工作表，与实际的业务、财务单证进行核对的方法进行
控制测试。
（六）比较分析法
比较分析法是指通过数据分析，识别评价关注点的方法。
数据分析可以是与历史数据、行业（公司）标准数据或行业
最优数据等进行比较。
- 9 -
（七）专题讨论法
对于同时涉及财务、业务、信息技术等方面的控制缺陷，
需由内部控制管理部门组织召开专题讨论会议，综合内部各
部门、各方面的意见，研究确定缺陷整改方案。
（八）其他方法
包括观察、抽查、审阅、重新执行、标杆、实际工作经
验等方法。
第二十条 内部控制评价工作组对被评价单位（部门）
进行测试，应综合运用上述方法，广泛收集被评价单位（部
门）内部控制设计和运行是否有效的证据，按照评价的具体
内容，如实填写评价工作底稿，研究分析内部控制缺陷。
第五章 内部控制缺陷认定
第二十一条 财务报告内部控制缺陷分类。
依其严重程度分为：重大缺陷、重要缺陷和一般缺陷。
所采用的认定标准直接取决于由于内部控制缺陷的存
在可能导致的财务报告错报的重要程度。这种重要程度主要
取决于两个方面的因素：
（一）该缺陷是否具备合理可能性导致企业的内部控制
不能及时防止或发现并纠正财务报告错报。合理可能性是指
大于微小可能性（几乎不可能发生）的可能性，确定是否具
备合理可能性涉及评价人员的职业判断。
- 10 -
（二）该缺陷单独或连同其他缺陷可能导致的潜在错报
金额的大小。
如果一项内部控制缺陷单独或连同其他缺陷具备合理
可能性导致不能及时防止或发现并纠正财务报告中的重大
错报，则将该缺陷认定为重大缺陷。
重大错报中的“重大”，参照公司当年聘请的年度财务
决算审计（或内控审计）机构确定的有关重要性水平执行。
第二十二条 财务报告内部控制缺陷评价的定量和定
性标准。
（一）定量标准
参照公司当年聘请的年度财务决算审计（或内控审计）
机构确定的有关重要性水平执行。
（二）定性标准
1．重大缺陷:
1) 董事、监事和高级管理人员舞弊；
2) 企业更正已公布的财务报告，以更正由于舞弊或错
误导致的重大错报；
3) 当期财务报表存在重大错报，而内部控制在运行过
程中未能发现该错报；
4) 审计委员会和内部审计机构对内部控制的监督无效。
2. 重要缺陷：
1) 企业重述以前公布的财务报表，以更正由错误导致
- 11 -
的重要错报；
2) 当期财务报表存在重要错报，而内部控制在运行过
程中未能发现该错报；
3) 受控制缺陷影响存在、其严重程度不如重大缺陷但
足以引起审计委员会、董事会关注。
3. 一般缺陷
内部控制中除重大缺陷和重要缺陷以外的控制缺陷。
第二十三条 非财务报告内部控制缺陷评价的定量和
定性标准。
（一）定量标准
参照公司当年聘请的年度财务决算审计（或内控审计）
机构确定的有关重要性水平执行。
（二）定性标准
1.重大缺陷：
1)缺乏民主决策程序，如缺乏“三重一大”决策程序。
2)企业决策程序不科学，如决策失误，导致并购不成功
3)违犯国家法律、法规，如环境污染
4)管理人员或技术人员纷纷流失
5)媒体负面新闻频现
6)重要业务缺乏制度控制或制度系统性失效
7)其他对公司造成重大影响的情形。
其他情形按影响程度分别确定为重要缺陷或一般缺陷。
- 12 -
第六章 内部控制缺陷的报告
第二十四条 内部控制缺陷的报告途径
（一）内部控制的一般缺陷、重要缺陷应定期（至少每
年）报告，重大缺陷应立即报告;
（二）对于重大缺陷和重要缺陷，应向经理层、董事会
审计委员会、董事会和监事会报告;
（三）对于一般缺陷，向公司经理层报告，并视情况考
虑是否需要向董事会审计委员会、董事会和监事会报告。
第七章 内部控制评价报告
第二十五条 内部控制评价报告至少应当包括下列内
容：
（一）董事会对内部控制报告真实性的声明。声明董事
会及全体董事对报告内容的真实性、准确性、完整性承担个
别及连带责任，保证报告内容不存在任何虚假记载、误导性
陈述或重大遗漏;
（二）内部控制评价工作的总体情况。明确公司内部控
制评价工作的组织、领导体制、进度安排，是否聘请会计师
事务所对内部控制有效性进行独立审计;
（三）内部控制评价的依据。说明公司开展内部控制评
价工作所依据的法律法规和规章制度;
- 13 -
（四）内部控制评价的范围。描述内部控制评价所涵盖
的被评价单位（部门），以及纳入评价范围的业务事项，及
重点关注的高风险领域。内部控制评价的范围如有所遗漏的，
应说明原因，及其对内部控制评价报告真实完整性产生的重
大影响等;
（五）内部控制评价的程序和方法。描述内部控制评价
工作遵循的基本流程，以及评价过程中采用的主要方法;
（六）内部控制缺陷及其认定情况。描述适用本公司的
内部控制缺陷具体认定标准，并声明与以前年度保持一致或
做出的调整及相应原因；根据内部控制缺陷认定标准，确定
评价期末存在的重大缺陷、重要缺陷和一般缺陷;
（七）内部控制缺陷的整改情况及重大缺陷拟采取的整
改措施。对于评价期间发现、期末已完成整改的重大缺陷，
说明与该重大缺陷相关的内部控制设计且运行有效。针对评
价期末存在的内部控制缺陷，公司拟采取的整改措施及预期
效果;
（八）内部控制有效性的结论。对不存在重大缺陷的情
形，出具评价期末内部控制有效结论；对存在重大缺陷的情
形，不得作出内部控制有效的结论，并需描述该重大缺陷的
性质及其对实现相关控制目标的影响程度，可能给公司未来
生产经营带来相关风险。自内部控制评价报告基准日至内部
控制评价报告发出日之间发生重大缺陷的，公司须责成内部
- 14 -
控制评价部门予以核实，并根据核查结果对评价结论进行相
应调整，说明董事会拟采取的措施。
第八章 附 则
第二十六条 公司以 12 月 31 日作为年度内部控制评价
报告的基准日，并于年度结束 4 个月内，结合上市公司年度
报告披露时间进行报告和披露。
第二十七条 内部控制评价的有关文件资料、工作底稿、
证明材料等应当妥善保管，保存时间不少于十年，年度报告
应永久保存。
第二十八条 评价人员应以客观、公正的态度执行评价
工作，如果因不当行为导致评价结果不符合事实，应追究相
关评价人员责任。
第二十九条 本办法由公司审计与合规部负责解释，自
印发之日起实施，《国投资本股份有限公司内部控制评价管
理办法》（国投资本〔2018〕1 号）同时废止。
- 15 -
