中国石化内控审计评价指引

第一篇：中国石化内控审计评价指引

中国石化审〔2015〕678号

中国石化内部控制审计评价业务规范指引

1基本要求

1.1中国石油化工集团公司、中国石油化工股份有限公司（以下统称中国石化）及各企事业单位、股份公司各分（子）公司（以下统称企业）审计部门应按照内部管理及相关监管要求，检查评价中国石化及企业内部控制设计和运行的有效性。

1.2企业审计部门可根据本单位内部控制及其审计评价的实际情况，制定本单位的内部控制审计评价规范，确保内控审计评价的程序规范、内容完整、方法科学、结论恰当，确保内控审计评价项目质量。1.3审计部门开展内控审计评价项目，执行《中国石化审计项目业务流程》中规定的一般审计项目适用流程。

2审计部门职责

2.1审计局负责组织制定和修订内部控制审计评价业务规范指引，指导并监督审计分局按照本规范指引和企业审计部门按照本规范指引或本单位相关规范开展内控审计评价项目。

2.2审计分局和企业审计部门负责内部控制审计评价业务规范指引的贯彻落实，按照相关要求开展内部控制审计评价工作，提出修改完善的意见和建议。

3审计评价程序及内容、方法

3.1审前准备中国石化及企业的年度审计项目计划确定后，各级审计部门按照计划组织开展内控审计评价项目。3.1.1审计部门按照规定程序成立审计组，确定审计组长和主审。审计组长应符合《中国石化审计项目组长负责制管理办法》中要求的任职资格条件。

3.1.2审计组长组织制定审计实施方案前应认真做好审前准备工作。需要开展审前调查的，应当开展审前调查，并尽可能组织采取远程调查的方式。

3.1.2.1审前调查的内容主要包括：

（1）了解被审计企业公司层面控制情况，包括主要经营管理者的风险偏好、内部环境、风险管理组织体系、信息与沟通以及内部监督架构等。

（2）了解被审计企业内控制度建设情况，包括内部控制实施细则和内部管理制度的制定、修订及内控管理信息系统线上维护情况。

（3）了解被审计企业业务流程适用情况和审计区间内主要业务的发生情况以及业务流程控制点的执行情况等。

（4）了解被审计企业信息系统建设及维护情况，主要包括ERP系统、资金集中管理系统、会计集中核算系统等应用系统的实施与管理情况。

（5）了解被审计企业近年来内审外查发现的问题和问题形成的原因以及整改情况，分析掌握内部控制方面存在的问题及薄弱环节。3.1.2.2为确保审前调查取得良好效果，审计组在有效采用访谈、询问、查阅、测试等方法的同时，还可运用问卷调查等方法。

3.1.2.3审计组在收集整理和综合分析上述情况资料的基础上，应对企业公司层面控制的各项内容、内控制度的健全性、重要业务流程执行的有效性以及信息系统的安全性作出初步判断和评价，并结合企业风险清单，初步识别和评估被审计企业内部控制方面所面临的主要风险和风险的主要方面。

3.1.3审计组应依据审前准备或调查得出的初步判断和评价结论，对照《内部控制年度综合审计评价方案》的要求，规范编制操作性强的审计实施方案。审计实施方案应明确下列内容：

3.1.3.1审计评价目的。促进企业规范经营管理行为、防范经营管理风险、实现控制目标。3.1.3.2审计评价依据。依据国家《企业内部控制基本规范》及其配套指引、总部下发的《企业内控手册》和《内控审计评价业务规范指引、《企业内控实施细则》等。

3.1.3.3审计评价对象及范围。被审计企业公司层面控制、主要业务流程、资产或收入所占比重较大的单位，特别是内控问题多、风险大的单位、业务领域和控制环节。

3.1.3.4审计评价内容及重点。根据审前调查掌握的线索和风险评估初步结果，具体明确审计检查的重点内容和方向。

（1）公司层面控制。应将被审计企业在内部环境、风险评估、信息与沟通以及内部监督等方面存在控制基础薄弱、管控措施不落实以及发生较多或重大案件问题的领域列为审计重点。

（2）业务层面控制。应将被审计企业主要业务流程和高风险的业务以及管控问题较多的业务列为审计重点，加强监督检查。对于IT应用控制点的审计，应将权限及职责分离类控制方面用户权限是否与其工作职责相符、不相容岗位是否有效分离，配臵及业务操作类控制方面系统配臵是否符合控制要求、系统功能是否得到有效执行、业务操作是否准确、及时、合规等列为审计重点。（3）内部控制缺陷的认定。应根据审计检查结果，对照中国石化内部控制手册中的内控缺陷（重大缺陷、重要缺陷和一般缺陷）认定标准，区分财务报告内控缺陷和非财务报告内控缺陷，对缺陷等级予以正确区分和认定。

（4）内部控制总体评价。依据审计检查结果和缺陷认定情况对被审计企业内部控制作出总体评价，凡未发现存在重大缺陷的，审计评价结论应认定为“总体有效”；凡发现存在重大缺陷的，审计评价结论应认定为“无效”。另外，审计组还应根据内部控制检查结果计算公司层面和业务层面控制设计及执行总体有效率。

3.1.3.5审计评价方法。对内部控制进行检查评价，应借助信息化审计手段，主要采取随机和判断抽样，实施符合性测试和实质性检查的方法。同时，根据实际情况和需要，可运用查阅、专题讨论、个别访谈、问卷调查、对比分析、实地查验等方法。3.1.3.6审计分工及时间安排。审计组长应根据审计组人员情况，合理进行审计分工，并对总体审计评价工作的时间作出统筹安排。3.1.3.7被审计企业需提供的资料。明确被审计企业应准备的内部控制审计评价所需的相关资料。

3.1.4下达审计通知书。审计通知书由主审按规定程序填写、上报审核和办理签发手续。与其他审计项目一并开展的内控审计评价项目，可合并下达审计通知书。

3.1.5审计组长在正式进驻被审计企业前，应组织审前培训。培训主要内容包括：学习和讲解公司及企业相关内部控制制度；介绍被审计企业经营管理情况和内控基本情况；讲解审计的目的、依据、范围和重点内容，审前准备或调查对企业内部控制健全性及执行有效性的初步评价结论，以及审计具体分工、审计方法和工作要求等。3.2审计实施

3.2.1进驻时应召开审计进点动员会，进点会上要向被审计企业讲清审计的目的、依据、范围和内容、重点和方法、时间安排和要求、审计工作及廉政纪律等。与其他审计项目一并开展的内控审计项目，可合并召开进点会。

3.2.2审计进点会召开后，审计组长及主审可围绕被审计企业公司层面控制、业务层面控制可能存在漏洞或内控缺陷的领域及相应的控制措施，与被审计企业领导班子成员以及有关部门、所属单位负责人等开展针对性访谈，并根据访谈结果组织实施相应的审计检查程序。3.2.3审计人员运用审阅、复核、对比分析等审计程序，对控制环境和相关财务及业务数据的变化情况进行符合性和分析性检查，并根据检查整体情况对审计方向和重点适时作出合理调整。

3.2.4实施审计抽样，开展符合性测试和实质性检查。依据审计实施方案确定和调整的审计方向及重点，审计人员应采用判断抽样和随机抽样相结合的审计方法予以符合性测试和实质性检查。审计抽样的主要步骤包括：

3.2.4.1确定样本量。一般按照业务发生的频率并参照国际通行的抽样矩阵确定抽样数量，即对业务每年发生一次的，抽1笔；每年一次以上至每月一次的，至少抽2笔；每月一次以上至每周一次的，至少抽5笔；每周一次以上至每天一次的，至少抽15笔；每天多次的，至少抽25笔。

3.2.4.2抽取样本。确定样本数量后，审计人员应根据所检查业务流程的经济业务特性和样本分布情况，按审计抽样的相关规定选择合适的样本。

3.2.4.3在实施审计抽样时，还应考虑以下因素：

（1）应侧重抽取发生业务的重要下属单位和异常业务发生单位的样本。

（2）应侧重抽取主要的供应商及客户等重要业务发生对象和异常业务发生对象的样本。

（3）应侧重抽取年初、年末或半年末、季度末的样本。

（4）应侧重抽取金额较大和金额异常的样本。

（5）应侧重抽取某些特定或非正常事项的样本，如销售及成本费用红字冲销、大额修理费用暂估、ERP上线企业手工结转成本、预算外支出等事项。

3.2.4.4对于检查发现存在缺陷或问题较多的业务（或控制点），审计人员应主要运用判断抽样的方法适当增加样本量，并对存在问题或缺陷的关键控制点进行实质性检查。

3.2.5 IT应用控制点的检查。IT应用控制点中，权限及职责分离类控制要求的检查，由BASIS人员和审计人员共同完成；配臵及业务操作类控制要求的检查，由审计人员与企业关键用户共同完成。3.2.6控制点的审计评价。审计人员应对所检查公司层面和业务层面控制点设计及执行的有效性进行客观评价。

3.2.6.1评价设计有效性。应以风险为导向，以总部下发的企业内控手册为标准，结合内部控制五大控制目标和成本效益原则，对内控设计的有效性作出恰当评价。对于判断设计无效的控制点，应说明依据和理由以及造成的实际影响等。

3.2.6.2评价执行有效性。评价内控执行的有效性，主要依据控制措施是否得到有效执行、是否实现了控制目标作出评价。具体评价因素包括：

（1）相关控制是否得到持续一致的运行。

（2）各控制环节是否由适当的人员执行。

（3）是否在适当的时间被执行。

（4）执行方式是否恰当。

（5）执行结果是否进行了适当的记录。

（6）执行时发现的差异是否及时得到了跟进。

3.2.7填写审计评价底稿。审计人员按要求检查完毕并收集完证据后，应严格按照内控审计评价底稿模板的要求，如实规范填写检查底稿。对于检查结论为“无效”的控制点，应详细记录问题样本，描述具体问题、产生的原因、所涉及的风险、整改意见及建议，构成缺陷的还应描述所涉及的具体缺陷，并留存有关证据材料。对于内控审计发现的重大、重要缺陷和造成重要影响或较大损失的一般缺陷，必须落实责任。

3.2.8内控审计评价底稿编制完成并经相关人员复核后，审计组应与被审计企业交换意见，交由相关流程责任部门负责人签字并加盖单位（或部门）公章。同时收回《审计人员廉洁纪律执行情况意见反馈表》。

3.2.9审计工作要求。

3.2.9.1审计组长和主审应加强业务指导和质量控制，合理掌控审计进度，积极引导审计人员深入查找问题、严格落实责任，及时召开审计组碰头会，准确把握审计方向，研究解决审计中发现的问题或难题；审计人员应按照审计实施方案的分工安排，各司其职，相互配合，以问题和风险为导向，积极主动并创造性地开展内控审计工作，确保审计程序到位。

3.2.9.2在审计查证过程中，审计组应积极利用内外部审计以及其他监督机构的成果，对审计区间内发生且截至审计日仍未整改或虽已整改、但造成重大外部影响的问题，经审计组长认定后可作为评价内部控制和认定缺陷的依据。

3.2.9.3审计组实施现场审计过程中，应加强与被审计企业的信息沟通与交流。对审计发现的问题，应与被审计企业及时沟通，深入剖析问题产生的原因及可能引起的风险，督促制定整改措施。3.3审计终结

3.3.1内控审计评价底稿签字确认后，审计组长应指定主审起草内控审计评价报告。报告应具备标题、正文、报告日期等要素，具体格式参见内部控制审计评价报告模板。

3.3.2内控审计评价报告撰写完成后，审计组长应组织审计人员进行认真讨论和修改，形成内控审计评价报告初稿，以审计组名义与被审计企业初步交换意见并进行现场讲评。

3.3.3审计报告的审理、签发与送达。审计组根据反馈意见和查证的事实对审计报告进行修改完善，相关责任人在审计报告封面背书签字后，连同审计评价底稿等资料一并按规定程序和时间要求报送审理。审计报告经审计部门负责人审阅后签发。审计报告主送被审计企业，抄送内控管理等相关部门和审计实施机构。

3.3.4审计决定的下达。对审计发现的涉及会计账目调整、资金追缴等需要纠正的事项和严重违纪违规的行为，应下达审计处理决定。主审起草审计决定书，按规定程序和时间要求报送审理。审计决定书经审计部门负责人审阅后签发。审计决定书主送被审计企业，抄送内控管理等相关部门和审计实施机构。

3.3.5审计组长和主审以及审计机构应跟踪内控审计评价报告和审计决定书中审计意见及建议的落实情况，督促被审计企业按规定日期报送审计问题整改相关资料，并可根据需要组织实施后续审计。3.3.6内控审计评价项目结束后，主审和审理人员应及时组织做好资料的收集、整理和立卷归档工作，并按照规定做好审计档案的保管和移交工作。

4监督与考核

4.1本规范指引是审计部门开展内控审计评价工作的遵循，是审理和考核内控审计项目的主要依据。

4.2审计部门应依据本规范指引严格审理内控审计评价项目，并加强对审计实施机构、审计组长、主审以及审计人员的监督和考核。4.3审计局负责对总部组织开展的内控审计评价项目进行监督考核，并通过审计工作督导等方式对企业审计部门开展的内控审计评价项目进行监督和指导。

4.4审计组及审计人员违反本规范指引导致内控审计评价项目出现质量问题，按照《中国石化审计项目质量考核评估办法》等规定进行处理。

第二篇：中国石化审计项目业务流程

中国石化审〔2015〕646号

中国石化审计项目业务流程

1基本要求

1.1本制度所称审计项目是指集团公司（含股份公司，以下统称公司）审计部门及审计人员根据公司/企业审计工作计划安排，围绕特定的审计对象，为达到既定的审计目标，所承担的具体审计任务。审计项目可划分为重大项目和一般项目。

1.2本制度所称重大项目在公司总部层面是指党组管理干部的离任和任期（中）经济责任审计、资产在100亿元以上企业的财务收支和管理效益审计、投资额在10亿元以上的建设项目竣工决算审计等具有重大影响的审计项目；企业层面是指由企业根据实际情况确定的具有重大影响的审计项目。一般项目是指除上述项目之外的审计项目。1.3本制度所称审计项目业务流程是指公司审计部门及审计人员实施审计项目应遵循的工作步骤和程序，主要包括以下8个环节：选定项目组组长与主审；开展审前准备，编制审计实施方案；实施现场审计，编写审计工作底稿与报告；审理、签发《审计报告》；下达《审计决定书；申请、受理审计复议；跟踪落实审计决定和审计意见；审计项目立卷归档及考核。

1.4公司审计部门及审计人员在实施审计项目过程中应自觉遵守依法依规、科学高效、防范风险、从严管理等原则。

1.5公司审计部门及审计人员在实施审计项目过程中应重点防范审计实施方案针对性与可操作性不强、重大违规违纪问题未发现或未报告、问题整改不到位等影响实现审计目标的风险。

1.6本制度适用于公司审计部门开展的经济责任审计、管理效益审计、财务收支审计、固定资产投资审计、内部控制审计评价等常规审计项目，一般不适用于专项审计调查、核查举报线索等工作。对于未独立设置审计部门或审计人员相对较少的单位，在保证审计质量的前提下，实施审计项目过程中可适当简化审计项目业务流程的环节。2各级审计部门职责

2.1审计局负责制定和修订本制度，并对各审计分局和企业审计部门依据本制度开展工作进行指导与监督。

2.2各审计分局和企业审计部门负责本制度的贯彻落实，并接受上级审计部门的业务指导与监督。

3工作程序及要求 3.1选定项目组组长与主审

3.1.1项目负责处（科）室根据公司/企业的审计工作计划安排，适时提出审计项目的组长和主审人选，报审计局（处）/审计分局（分处或中心）分管领导。

3.1.2审计局（处）/审计分局（分处或中心）分管领导根据审计项目的重要程度，对一般项目的审计组长和主审人选直接予以审定；对重大项目的审计组长和主审人选提出审阅意见后，报审计局（处）/审计分局（分处或中心）主要领导审定。

3.1.3审计局（处）/审计分局（分处或中心）应与审计组长签订《审计工作廉洁执业责任书》，具体落实审计廉洁执业责任。3.1.4审计组长和主审选定后如因特殊情况需要调整的，调整人选也应严格按照上述程序审批确定。审计局（处）/审计分局（分处或中心）应与新任审计组长重新签订《审计工作廉洁执业责任书》。3.2开展审前准备，编制审计实施方案

3.2.1审计组长和主审依据审计项目所适用的审计业务规范指引或其他有关制度确定的审计目标与内容要求，开展审前准备工作，充分运用信息化手段，了解掌握有关情况，并收集所需资料。3.2.2审计组长和主审研究认为需要开展审前调查的，应当开展审前调查。审前调查应由主审编制调查方案，经审计组长审核签字后报审计局（处）/审计分局（分处或中心）分管领导核准实施。3.2.3在审前准备阶段，审计人员应了解掌握被审计单位的有关情况，分析相关指标与数据的重大变化，初步判定被审计单位生产经营活动中存在的薄弱环节与问题线索，必要时也可对有关业务进行内控测试或风险评估。

3.2.4主审依据审前准备阶段所掌握的情况，编制审计实施方案，明确审计的目标、范围、内容、方法、所需人员及人员分工等要素。3.2.5审计实施方案编制完成后，审计局（处）/审计分局（分处或中心）分管领导对一般项目的实施方案直接予以审定；对重大项目的实施方案提出审阅意见，报主要领导或办公会议研究审定。3.2.6主审依据审定的审计实施方案，填写《审计通知书》，经审计组长审核签字后，由审计局（处）计划管理处（科）室/岗位对项目总体安排情况进行审核，再由综合处（科）室/岗位具体办理签发手续，其中一般项目由审计局（处）分管领导审批后下发，重大项目需经审计局（处）主要领导审批后下发。企业需要报单位分管领导签发的，报分管领导签发。

3.2.7《审计通知书》一般应在审计组进驻前3日送达被审计单位；领导临时交办的审计项目《审计通知书》可在审计组进驻被审计单位时送达。

3.2.8审计组长和主审认为需要进行审前培训的，应当组织审前培训。

3.3实施现场审计，编写审计工作底稿与报告

3.3.1审计组进驻被审计单位，应当召开审计进点会，说明审计的依据、目的、审计范围、工作方法和步骤、时间初步安排等，同时对配合工作及审计工作纪律等提出具体要求，并将《审计人员廉洁纪律执行情况意见反馈表》送交被审计单位，请被审计单位予以监督和及时反馈。

3.3.2审计组长和主审可以通过对被审计单位领导班子成员和有关部门人员进行访谈、组织召开座谈会、开展问卷调查等方式，了解有关情况，收集审计线索，并适时根据实际情况对审计内容和重点进行合理调整。需要设置举报电话的，审计组应设置举报电话。3.3.3审计人员按照审计实施方案的要求实施现场审计，根据了解掌握的情况采用判断抽样或随机抽样等方法对被审计单位相关会议纪要、记录和业务、会计资料等进行检查核实，广泛收集审计证据。3.3.4审计人员根据现场审计掌握的基本情况、发现的问题以及相关审计证据，逐事逐项编制《审计工作底稿》。

3.3.5审计人员将编制完成的《审计工作底稿》连同相关证明依据和材料附件，送经授权的复核人员、主审复核。

3.3.6复核人员、主审逐项复核《审计工作底稿》，并在复核确认的《审计工作底稿》上签字。对复核人员、主审提出异议或认为需要补充证据的，底稿编制人员应当进一步核实确认或补充审计证据，并另行编制《审计工作底稿》，报复核人员、主审重新复核签字。所修改内容比较重要或变化较大的，原底稿应作为附件。

3.3.7主审将经复核的《审计工作底稿》统一编号，交由被审计单位有关部门负责人在规定时间内确认签字并加盖公章。若被审计单位不予签字确认和盖章的，应当书面说明不予确认的理由。3.3.8审计人员依据审计实施方案的审计步骤和方法难以取得充分审计证据的，应当及时向主审报告，并共同研究和实施追加或替代审计程序。若实施追加或替代审计程序仍难以取得充分审计证据的，应将结果报告主审确认并在《审计工作底稿》中予以记录。3.3.9审计过程中审计组发现重大问题或问题线索，应及时向审计局（处）/审计分局（分处或中心）主要领导报告，并按领导指示做好相关审计工作。

3.3.10主审应在现场审计结束，且《审计工作底稿》经相关部门签字确认后3个工作日内，起草完成《审计报告》，并组织审计组人员进行讨论和修改，经审计组长审核后形成《审计报告》初稿。3.3.11审计组长和主审将《审计报告》初稿以审计组名义与被审计单位初步交换意见，并根据被审计单位的反馈意见进一步核实相关问题，修改《审计报告》。同时要求被审计单位将《审计人员廉洁纪律执行情况意见反馈表》及时反馈给审计局（处）审理处（科）室/岗位。3.3.12审计组应于现场审计结束后15个工作日内，将已由审计组长与主审背书签字的《审计报告》和被审计单位意见连同《审计工作底稿》等一并报送审理处（科）室/岗位进行审理。报送审理前需根据下列情况进行处理： 3.3.12.1审计分局（分处或中心）实施的项目《审计报告》须报审计分局（分处或中心）的领导及有关人员审核并签字，再将《审计报告》及《审计工作底稿》等相关材料上报审理。

3.3.12.2审计局（处）直接实施的项目《审计报告》及《审计工作底稿》等相关材料直接报送审理。3.4审理、签发《审计报告》

3.4.1审理处（科）室/岗位在收到《审计报告》后15个工作日内提出审理意见，经处（科）室负责人审核签字后交审计组。审计组按审理意见落实有关问题，修改《审计报告》，并将修改后的《审计报告》经审计分局（处）领导审核后再次提交审理处（科）室/岗位签字确认。经确认后的一般项目的《审计报告》报分管领导审定，重大项目报主要领导审定。

3.4.2《审计报告》审定后，若与征求意见稿有较大变化，审计组应进一步征求被审计单位意见，《审计报告》所反映情况、问题或所提建议涉及有关管理部门的，还应征求相关管理部门的意见。被审计单位应在收到征求意见函的7个工作日内以书面方式反馈意见，且主要领导要在反馈意见上签字并加盖公章。

3.4.3审理处（科）室/岗位根据被审计单位与有关管理部门反馈的意见，进一步核实有关情况，根据相关规定或要求修改《审计报告》，并将修改后的《审计报告》按下列程序处理：

3.4.3.1审计局重要审计项目的审计报告由局（部）务会审定，再由主要领导签发，具体包括各板块前五大企业及各专业公司的经济责任审计报告、投资额在10亿元以上的建设项目竣工决算审计报告、涉及重大违规违纪问题的报告、需对党组管理干部追责问责的报告等。3.4.3.2审计局除以上审计报告外的其他审计报告，一般项目报分管局领导审阅签发，重大项目报主要领导审阅签发。企业的《审计报告》，报审计处主要领导或企业分管领导审阅签发。

3.4.4签发后的正式《审计报告》应及时送达被审计单位，上报公司/企业领导并抄送有关管理部门。委托实施的审计项目，受托单位应将审计报告送达委托单位，由委托单位审核、签发。3.4.5审计局（处）对审计中查出的一些重大问题和带有普遍性、苗头性、倾向性等问题，还可通过《审计简报》、《专题报告》等方式向公司/企业领导及有关部门进行反映。经审计局局（部）务会/企业分管领导批准，也可将具有警示、教育作用的审计结果在一定范围内进行公告或通报。

3.4.6审计组在项目结束后要组织召开审计项目内部总评会议，总结审计工作开展及廉洁责任落实情况。3.5下达《审计决定书》

3.5.1主审在起草《审计报告》的同时，草拟《审计决定书》，对审计查出的违反国家法规与公司规章需要纠正和严肃处理的问题做出审计结论和决定。

3.5.2《审计决定书》由审计组长审核、审计分局（分处或中心）领导审阅确认后，提交审计局（处）审理处（科）室/岗位审理。3.5.3审理处（科）室/岗位审理《审计决定书》，并将审理后的《审计决定书》报审计局分管局领导/企业审计处主要领导或企业分管领导审阅签发。《审计决定书》在送达被审计单位的同时，还应抄送有关管理部门。委托项目的审计决定由委托单位根据实际需要下达，并督促整改。

3.5.4《审计决定书》（包括《审计报告》、《审计工作底稿》等项目资料）需要提供给外部单位的，必须报审计局/企业领导批准。3.5.5对审计中发现的可能存在涉案嫌疑、需要进一步深入查实的审计问题线索，审计组长和主审应在提交、上报《审计报告》时明确提出，由审理处（科）室/岗位审核确认，经审计局局（部）务会/企业主要领导批准后，以正式函件形式移交给纪检监察部门。3.6申请、受理审计复议

3.6.1被审计单位对《审计决定书》有异议的，可在收到《审计决定书》15个工作日内向审计局提出书面复议申请。

3.6.2审计局在收到复议申请后3个工作日内，提出是否受理复议申请的意见，经分管局领导审阅后，报审计局局（部）务会审议，做出是否受理复议申请的决定。经办处室负责将有关决定及时通知申请复议单位。

3.6.3接受复议申请的，经办处室应编制复议方案，一般项目报分管局领导审定后实施；重大项目报主要领导审定后实施。复议工作一般应在复议方案批准后20个工作日内完成，并出具复议报告，一般项目报分管局领导审定、重大项目报主要领导审定后，正式回复申请复议单位。

3.7跟踪落实审计决定和审计意见

3.7.1《审计报告》和《审计决定书》下达以后，审计组长和主审以及审计组派出机构应及时跟踪《审计决定书》的落实情况，督促被审计单位在30日内将审计整改落实情况和措施以书面形式反馈给审计组长和审计局（处），并附上有关调账凭证的复印件和具体整改措施的情况说明。

3.7.2审计局（处）审理处（科）室/岗位应当督促审计组长和审计组派出机构以及被审计单位认真跟踪和落实审计决定和审计意见。

3.7.2.1被审计单位在规定时间内未将整改落实情况反馈给审计局（处），审计局（处）应及时向被审计单位发出《审理督导通知书》，要求被审计单位立即落实审计整改意见，并责成被审计单位将整改情况和措施于5个工作日内以书面方式反馈审计局（处）。

3.7.2.2被审计单位在规定时间内仍未上报审计决定和审计意见整改落实结果的，审理处（科）室/岗位应及时将情况向分管领导报告，并以审计局（处）名义对被审计单位进行书面通报批评。3.7.3审计局（处）有关处（科）室/岗位要及时做好审计决定和审计意见的整改落实统计工作，并定期向审计局（处）的领导反馈。3.7.4需要实施后续审计的，审理处（科）室/岗位应提出后续审计建议，报审计局（处）主要领导审批后组织实施。后续审计应当出具《后续审计报告》，并根据具体情况出具《审计决定书》。3.8审计项目立卷归档及考核

3.8.1审计项目结束后，主审和审理处（科）室/岗位的有关人员应当按照审计项目档案管理规定要求，及时组织做好审计项目资料的收集、整理和归档工作，列出审计项目档案资料清单，报审计组长和审理处（科）室/岗位的负责人审核签字。

3.8.2主审和审理处（科）室/岗位的有关人员，将审计项目档案及清单移交档案管理部门时，交接双方的经办人员和处（科）室负责人应在移交清单上签字。

3.8.3审理处（科）室/岗位应对每个审计项目的审计质量和审计人员廉洁自律情况按规定进行考核和评分，考核评分结果经审计局局（部）务会/企业审计处处务会审定后，作为综合评价与考核的重要依据。

4监督与考核

4.1本制度是各级审计部门及审计人员开展审计项目的依据，由审计局通过审计督导、审理处（科）室/岗位项目审理等工作监督实施。

4.2对未按本制度要求开展相关审计工作的，按照《中国石化审计项目审理办法》、《中国石化审计项目质量考核评估办法、《中国石化企业内部审计工作督导办法》等制度进行认定和处理，并视情形追究审计组派出机构的管理责任。

5附件

5.1审计项目业务流程图 5.2审计工作廉洁执业责任书

5.3审计人员廉洁纪律执行情况意见反馈表

5.1审计项目业务流程图

附件5.2审计工作廉洁执业责任书

甲方（派出审计组机构）： 乙方（审计组）：

为规范甲、乙双方执行审计公务活动行为，建立健全审计人员廉洁自律监督的长效机制，维护审计良好形象，根据国家有关法律法规和集团公司有关规定，双方一致同意签订如下廉洁执业责任书。

一、双方应严格遵守国家法律法规和廉洁从业有关规定，严格遵守集团公司《员工守则》和总部机关廉洁自律有关规定，以及《中国石化审计职业道德规范》，认真履行审计监督职责。

二、甲方应加强对乙方的管理和廉洁执业教育，双方应自觉抵制不廉洁行为。

三、乙方在实施审计项目全过程中应严格遵守《中国石化审计工作“八不准”规定》，即：不准超规定超标准乘坐交通工具，不要求企业和被审计单位的领导班子成员到机场、车站迎送并支付不必要的贵宾服务费用；不准接受企业和被审计单位安排的高标准住宿和超标准宴请；不准参加企业和被审计单位组织安排的旅游或高消费娱乐活动；不准接受企业和被审计单位以任何名义赠送的各种礼品、礼金、土特产、有价证券及支付凭证等；不准向企业和被审计单位提出与审计工作无关的任何其他要求；不准要求企业在外部宾馆或风景名胜区举办会议和培训活动，或为审计部门承担、支付会议和培训活动等费用；不准以任何名义在企业和被审计单位报销应由个人支付的其他费用；不准利用工作之便为亲朋好友谋取任何私利。

四、甲方有权力和义务对乙方在实施审计项目全过程中的廉洁自律情况进行监督。若发现乙方存在不廉洁行为，有责任和义务及时向派出审计组的机构领导或审计局有关处室反映。

五、审计局对乙方在实施审计项目全过程中涉嫌不廉洁的行为进行调查时，甲、乙双方有提供证据和作证的义务。一经查实，审计局将根据具体情节和造成的后果，对有关责任人相应进行戒勉谈话、审计系统通报批评、转岗，或提请纪检监察和人事部门依据相关法律法规和公司规定给予纪律处分或组织处理。

六、本责任书经双方签署后立即生效。

七、本责任书一式二份，双方各执一份，具有同等效力。

甲方主要负责人 审计组组长： 或授权代理人：

年 月 日 年 月 日

第三篇：中国石化经济责任审计管理办法

中国石化经济责任审计管理办法 经济责任审计的基本要求

1.1 有关概念的界定。

1.1.1 各单位负责人是指中国石油化工集团公司、中国石油化工股份有限公司（以下简称中国石化）及各企事业单位、股份公司各分（子）公司（以下统称各单位），及其所属二级单位的董事长和总经理等主要行政负责人、重要业务部门的主要负责人。

1.1.2 经济责任审计是指审计部门依据本办法规定，对以董事长为代表的公司决策层和以总经理为代表的公司高级管理层，以及重要业务部门的主要负责人履行经济责任情况所开展的审计监督和评价活动。

1.2 根据被审计对象及其任职情况的不同，各单位负责人经济责任审计工作可分为离任经济责任审计、任期（中）经济责任审计和专项经济责任审计。

1.2.1 对有下列情形之一的各单位负责人，应组织开展离任经济责任审计：

1.2.1.1 拟提拔或调任的。

1.2.1.2 被免职、解聘或辞职的。

1.2.1.3 拟办理退二线或退休手续的。

1.2.1.4 拟整合重组且主要负责人需要调整的。

1.2.2 对有下列情形之一的各单位负责人，可不组织开展离任经济责任审计，但为核实企业的资产、负债和损益情况，分清继任者的经济责任，应组织开展财务收支审计：

1.2.2.1 因病故离任的。

1.2.2.2 因违法乱纪被纪检监察或司法机关立案调查的。

1.2.2.3 不宜或开展经济责任审计无意义的其他情形。

1.2.3 各单位负责人任期已满或任职超过3年的，原则上应组织开展任期（中）经济责任审计。

1.2.4 企业发生重大经济异常情况，如发生财务危机、长期经营亏损、资产质量较差，以及改制、关闭、破产、注（撤）销等重大经济事件的，应组织开展专项经济责任审计。

1.3 经济责任审计工作应坚持“依法审计、客观公正、实事求是”的原则。对审计发现的问题要查明原因、落实责任，客观公正地提出审计评价意见。

1.4 按照中国石化领导干部管理权限，各单位负责人经济责任审计工作，实行“统一标准、分级负责”的管控方式。

1.5 在经济责任审计中，被审计人享有下列权利：

1.5.1 依照相关规定，要求与审计事项有利害关系的审计人员回避。

1.5.2 对审计组的审计报告提出意见。

1.5.3 对审计结果有异议的，按规定向总部审计部门申请复议。

1.5.4 有关法律法规和制度规定的其他权利。各级审计部门职责

2.1 审计局负责中国石化党组管理的各单位负责人经济责任审计工作，履行管理、指导职责。

2.2 各单位审计部门负责本单位管理的二级单位负责人经济责任审计工作，完成上级审计部门安排的经济责任审计任务，接受上级审计部门的业务指导和监督。经济责任审计的程序、内容和方法

3.1 经济责任审计工作程序主要有：提出经济责任审计计划、组织实施经济责任审计、责任认定、经济责任审计评价、提出审计评价意见、出具审计报告。

3.2 实施经济责任审计工作应按照中国石化有关规定，选派符合任职资格条件的人员担任审计项目组长和主审，并严格执行审计工作流程。

3.3 实施经济责任审计工作应遵循“以风险为导向，以内控为主线、抓重点”的审计方法，在审计现场进行公示并公布举报电话。

3.4 实施经济责任审计工作应充分利用财务收支审计、管理效益审计、专项审计、纪检监察和外部审计工作成果，努力避免重复审计，提高审计效率。

3.5 中国石化及各单位应建立经济责任审计联席会议制度，及时交流通报经济责任审计情况，研究解决经济责任审计中出现的问题，不断改进、深化经济责任审计工作，形成监管合力。经济责任审计的主要内容与规则

4.1 提出经济责任审计计划。

4.1.1 各单位负责人离任和任期（中）经济责任审计，应按照干部管理权限，由各级人事部门于每年底前商同级审计部门提出拟审计名单，报经本单位主要领导批准后，以书面形式委托审计部门纳入审计工作计划。

4.1.2 专项经济责任审计由审计部门于每年底商有关部门提出审计项目计划，连同其他审计项目计划一并报经单位办公会或主要领导批准后组织实施。

4.1.3 因特殊情况，需要临时追加经济责任审计项目的，按上述规定程序报经单位主要负责人批准后，办理审计项目计划追加手续。

4.2 组织实施经济责任审计

4.2.1 开展各单位负责人经济责任审计工作，应根据审计类型和审计对象的不同，科学确定审计工作的内容和方法。

4.2.2 对以董事长为代表的董事会决策层实施经济责任审计，应重点围绕法律法规、公司章程规定的董事长及董事会的职责履行情况及其结果进行审计。主要审计下列内容：

4.2.2.1 经董事会审定的单位经营计划和财务预算、资产保值增值目标的科学性、合理性，以及执行结果的真实性、合规性。

4.2.2.2 应由董事会和董事长决策的各项重大经济事项决策程序的合规性，落实决策事项措施的有效性，以及决策事项执行结果的效益性。

4.2.2.3 单位安全环保和节能减排目标制定的科学性及重大责任措施的监督落实情况，包括教育培训、检查监督、隐患治理、监测分析、事故信息、应急处理、落实问责、建立保险等。

4.2.2.4 单位发展战略研究制定的科学性、有效性，以及相关措施的监督落实情况。

4.2.2.5 单位构建和完善体制机制、建立健全内部控制制度和加强风险防范情况，以及治理的实际效果。

4.2.2.6 单位对高级管理人员的激励和约束机制建设及执行情况。

4.2.2.7 单位正确处理国家、股东、企业、职工和社会等多元利益关系，履行社会责任情况。

4.2.2.8 董事长个人及其他高级管理人员遵纪守法和廉洁从业等情况。具体审计时，审计组还应关注董事长对决策事项的个人表决意见。

4.2.3 对以总经理为代表的高级管理层实施经济责任审计，应重点围绕总经理的经济责任履行情况及其结果进行审计。主要审计下列内容：

4.2.3.1 单位经营业绩和经营成果的真实性，包括审计投资计划、生产经营计划、财务预算指标完成情况，以及会计信息反映和资产保值增值目标完成情况的真实性和完整性。

4.2.3.2 单位财务收支核算及管理的合规性，包括资产、负债、收入、成本、税费和损益的核算，以及资产、资金等管理的合规性。

4.2.3.3 单位重大经营决策和经营活动的合法性和有效性，包括重大筹融资活动、重大对外投资、重大资金支付和对外担保、重大资本运作和资产处置、重大购销合同签订与履行等业务活动的合规性和有效性。

4.2.3.4 单位安全环保管理制度和措施的健全性、有效性，以及加强隐患治理、节能减排等各项指标的完成情况，对重大安全、环保事故的预防控制情况。

4.2.3.5 单位内部控制和管理的健全性、有效性，特别是各项主要经济业务、高风险业务的内部控制与监管的到位情况。

4.2.3.6 单位资产质量变动及持续发展情况，包括资产质量的改善、财务结构的优化、资产运营效率的提高，以及生产经营和发展能力的提升情况。

4.2.3.7 单位正确处理国家、股东、债权人、职工及社会等多元利益关系，履行社会责任等情况。

4.2.3.8 总经理个人及班子其他成员遵纪守法和廉洁从业情况等。没有设立董事会和董事长的单位，其总经理的经济责任审计内容应包括董事长的审计内容。

4.2.4 对部门主要负责人实施经济责任审计，应重点围绕部门职责履行情况及其结果的合规性、真实性、有效性，以及个人遵纪守法、廉洁从业情况等进行审计。

4.2.5 对单位发生重大财务异常情况实施专项经济责任审计，应区分不同审计事项和目标，审计以下内容：

4.2.5.1 对财务危机、长期经营亏损、资产质量较差等异常情况或事项实施专项审计，应重点审查被审计事项的真实情况，分析问题产生的原因，并落实相关责任。

4.2.5.2 对改制、关闭、破产等特殊经济事件实施的专项经济责任审计，应重点审计企业资产、负债、损益和净资产的真实性、合规性以及资产评估和审计结果的合法性、恰当性，同时评价、界定各类资产的价值或变现能力。

4.2.6 对以董事长为代表的决策层和以总经理为代表的管理层实施经济责任审计工作，应按照重要性原则将企业机关及其重要子公司（单位）纳入审计范围，审计单位户数不得低于企业总户数的50%，审计资产量不得低于被审企业资产总额的70%。

4.2.7 对各单位负责人任职期较长的，审计工作的重点放在近3年。但若发现重大情况和问题，应追溯或延伸，直至查清为止。

4.2.8 审计部门组织开展经济责任审计，被审计单位应按规定向审计组提供相关资料，并对所提供资料的真实性、完整性负责，同时作出书面承诺。被审计人应向审计组作任期述职报告，并积极配合审计组的工作。

4.2.8.1 各单位负责人述职报告应包括以下内容：

4.2.8.1.1 各单位负责人任职期限和职责范围。

4.2.8.1.2 任期内各项目标任务及其完成情况。

4.2.8.1.3 任期内重大经济事项及其决策过程和效果情况。

4.2.8.1.4 任期内重要规章制度和内部控制的制定完善情况。

4.2.8.1.5 任期内国家财经法律法规和政策及总部规定的遵守、执行情况。

4.2.8.1.6 任期内处理历史遗留问题的情况。

4.2.8.1.7 任期内个人及班子成员执行廉洁从业规定的情况。

4.2.8.1.8 其他需要说明的问题和改进、加强企业经营管理的建议等。

4.2.8.2 对财务危机、长期经营亏损、资产质量较差等异常情况或事项实施专项经济责任审计，被审计单位报告的主要内容应包括：单位基本情况，审计期间内的财务状况、经营状况、资产质量状况，形成该状况的主要原因，存在的主要问题，单位为改变该状况所做的主要工作及其效果，其他需要说明的情况或问题等。对因改制、关闭、破产等特殊经济事件实施专项审计，被审计单位报告的主要内容应包括：单位基本情况，改制等事项的依据、决策过程和审批情况，相关资产的评估和审计情况以及相关法律程序履行情况，单位的财务状况及损益情况、资产价值或变现能力情况，其他需要说明的情况或问题等。

4.3 责任认定。审计部门对审计发现的重大问题，根据各单位负责人对问题产生所起的作用，按照直接责任、主管责任和领导责任实事求是地予以划分和认定。

4.3.1 直接责任是指各单位负责人在履行职责过程中，直接作出违纪违规的决定或指使授意下属单位（部门）、人员违反规定所应承担的责任。凡有下列行为之一的，均应承担或认定为直接责任：

4.3.1.1 直接违反国家财经法律法规和政策，违反中国石化经营管理规定的。

4.3.1.2 授意、指使、强令、纵容、包庇下属单位（部门）或人员违反国家财经法律法规和中国石化规定的。

4.3.1.3 滥用职权、徇私舞弊、弄虚作假或玩忽职守的。

4.3.1.4 未经民主决策、相关会议讨论而直接决定、批准、组织实施重大事项，造成重大资产损失、效益流失的。

4.3.1.5 主持相关会议讨论或者以其他方式研究，但是在多数人不同意的情况下直接决定、批准、组织实施重大事项，由于决策不当或者决策失误造成重大资产损失、效益流失的。

4.3.2 主管责任是指各单位负责人在履行职责过程中，对所分管的工作未履行或未正确履行管理职责，导致重大违纪违规问题产生所应承担的责任。凡有下列行为之一的，均应承担或认定为负有主管责任：

4.3.2.1 对分管工作领导、指挥不力，致使经营管理活动未能达到预期目标，造成重大经济损失或产生重大不良影响的。

4.3.2.2 由于分管工作制度缺失、监管措施不到位，致使相关经营管理活动失去控制，造成重大经济损失或产生重大不良影响的。

4.3.2.3 对分管工作存在其他失职渎职或不作为行为，致使相关经营管理活动面临重大风险或产生重大经济损失的。

4.3.2.4 主持相关会议讨论或者以其他方式研究，且在多数人同意的情况下决定、批准、组织实施重大经济事项，由于决策不当或者决策失误造成重大经济损失或产生重大不良影响的。

4.3.3 领导责任是指各单位负责人在履行职责过程中，未履行或未正确履行所承担的职务岗位责任；对任期内单位（部门）存在的重大问题，除负有直接责任、主管责任的问题外，对其他问题均负有领导责任。

4.4 经济责任审计评价。审计部门在对审计查出的重大违纪违规问题逐项明确和认定责任的基础上，应对各单位负责人履行经济责任情况作出全面、客观、公正的评价，并提出恰当的审计处理意见。

4.4.1 审计部门评价经济责任履行情况，应以客观事实为依据、以政策法规为准绳，坚持定性评价与定量评价相结合的方法。

4.4.2 经济责任评价内容。

4.4.2.1 对以董事长为代表的董事会决策层进行审计评价，应主要评价以下内容：

（1）经营计划、财务预算和资产保值增值目标的科学性及执行结果的真实性情况（计分系数0.15）。

（2）重大事项依法依规决策及效果情况（计分系数0.15）。

（3）安全环保和节能减排责任落实及效果情况（计分系数0.12）。

（4）企业发展战略制定及落实情况（计分系数0.12）。

（5）企业体制机制构建、内控制度建设和风险防范情况（计分系数0.15）。

（6）企业高级管理人员激励约束机制建设及执行情况（计分系数0.08）。

（7）企业处理各方利益及履行社会责任情况（计分系数0.08）。

（8）董事长个人及其他高级管理人员遵纪守法和廉洁从业情况等（计分系数0.15）。

4.4.2.2 在对董事会决策层审计评价的基础上，依据董事长在各项工作中发挥的作用及其在审计查出问题中所承担的责任，对董事长个人作出恰当的审计评价。

4.4.2.3 对以总经理为代表的高级管理层进行审计评价，应主要评价以下内容：

（1）单位经营业绩和经营成果真实性情况（计分系数0.15）。

（2）单位财务收支核算及管理合规性情况（计分系数0.10）。

（3）重大事项规范决策及执行效果情况（计分系数0.10）。

（4）安全环保责任措施落实及效果情况（计分系数0.15）。

（5）内部监管制度建立健全及执行情况（计分系数0.10）。

（6）企业资产质量变动及持续发展情况（计分系数0.15）。

（7）处理各方利益关系及履行社会责任情况（计分系数0.10）。

（8）总经理个人及其他班子成员遵纪守法和廉洁从业情况等（计分系数0.15）。

4.4.2.4 在对高级管理层审计评价的基础上，依据总经理在各项工作中发挥的作用及其在审计查出问题中所承担的责任，对总经理个人作出恰当的审计评价。

4.4.2.5 对部门主要负责人进行审计评价，应主要评价以下内容：

（1）经济业务活动执行决策及完成目标情况（计分系数0.30）。

（2）经济业务活动执行有关法规政策和总部规定情况（计分系数0.20）。

（3）部门建立健全相关管理制度及执行情况（计分系数0.20）。

（4）个人及部门其他管理人员遵纪守法、廉洁从业情况等（计分系数0.30）。

4.4.3 审计部门评价上述经济责任履行情况，先以每项100分为基准逐项评估打分，再按照相应的计分系数计算并汇总得分。审计部门评价各单位负责人履行经济责任情况，评价标准划分为“很好履行”、“较好履行”、“基本履行”、“未履行”4个档次。

4.4.3.1 汇总得分在90分（含90分）以上，单项评估得分不低于75分，且个人不存在违反廉洁从业规定的，给予“很好履行”经济责任的综合评价。

4.4.3.2 汇总得分在75（含75）-90分之间，且个人不存在严重违反廉洁从业规定的，给予“较好履行”经济责任的综合评价。

4.4.3.3 汇总得分在60（含60）-75分之间，且个人不存在严重违反廉洁从业规定的，给予“基本履行”经济责任的综合评价。

4.4.3.4 汇总得分在60分以下、存在应承担直接责任或主管责任特别是有严重的违纪违规行为的，给予“未履行”经济责任的综合评价。

4.5 提出审计评价意见。审计部门应结合实际审慎提出评价意见，并遵循以下原则：

4.5.1 对与被审计对象无关的经济责任不评价。

4.5.2 对与审计事项不相关的事项不评价。

4.5.3 对审计证据不充分的事项不评价。

4.5.4 对一般性的问题原则上不评价。

4.6 出具审计报告。经济责任审计现场工作结束后，审计组应按照规定向派出机构出具审计报告。审计报告应充分征求被审计单位和被审计人的意见。

4.6.1 审计报告分类。各单位负责人经济责任审计报告可分为主报告和副报告。主报告主要反映被审计人任职期间发生的重大问题，副报告主要反映与被审计人履职无关。但现任领导或上级有关部门应引起重视或予以纠正的问题。

4.6.2 审计报告主报告的主要内容应包括：

4.6.2.1 被审计单位的基本情况。

4.6.2.2 各单位负责人任职期间相关考核指标的完成情况。

4.6.2.3 各单位负责人任期内所做的主要工作和业绩。

4.6.2.4 审计发现的主要问题。

4.6.2.5 审计的总体评价意见。

4.6.2.6 审计问题的处理意见及建议。

4.6.3 审计报告副报告的主要内容应包括审计发现的与被审计人无关的问题及审计处理意见和建议。

4.6.4 审计派出机构应按规定对审计报告进行审理和审议。审理、审议时若重大问题定性发生了较大变化，审计派出机构应进一步征求被审计人和被审计单位的意见，并在确认审计报告无误后，连同审计决定一并报领导签发。

4.6.5 审计报告主送委托审计的组织人事部门和被审计单位，同时抄报本单位有关领导，抄送纪检监察等相关部门。审计决定抄送被审计单位，同时抄送本单位有关管理部门。监督与考核

5.1 经济责任审计报告是对各单位负责人在任期内履行经济责任情况和经营业绩的最终认定，是组织人事部门考核、评价和任用干部，以及有关部门奖惩、处理（处罚）干部的依据。

5.2 在经济责任审计中，发现各单位负责人负有经济责任问题的，应区分问题的性质和严重程度，移交有关部门予以处理。

5.2.1 对一般经济责任问题，应移交相关管理部门予以处理。

5.2.2 对违反党纪政纪问题，应移交纪检监察和组织人事部门予以处理。

5.2.3 对触犯国家法律法规问题，应移送司法机关依法处理。

5.3 各级审计部门应严格按照《中国石化审计项目审理办法》对经济责任审计项目进行审理，确保审计质量，并根据项目质量评分情况进行考核，纳入综合考评结果。

二Ｏ一一年四月一日

第四篇：审计指引

企业内部控制审计指引

第一章 总 则

第一条 为了规范注册会计师执行企业内部控制审计业务，明确工作要求，保证执业质量，根据《企业内部控制基本规范》、《中国注册会计师鉴证业务基本准则》及相关执业准则，制定本指引。

第二条 本指引所称内部控制审计，是指会计师事务所接受委托，对特定基准日内部控制设计与运行的有效性进行审计。

第三条 建立健全和有效实施内部控制，评价内部控制的有效性是企业董事会的责任。按照本指引的要求，在实施审计工作的基础上对内部控制的有效性发表审计意见，是注册会计师的责任。

第四条 注册会计师执行内部控制审计工作，应当获取充分、适当的证据，为发表内部控制审计意见提供合理保证。

注册会计师应当对财务报告内部控制的有效性发表审计意见，并对内部控制审计过程中注意到的非财务报告内部控制的重大缺陷，在内部控制审计报告中增加“非财务报告内部控制重大缺陷描述段”予以披露。

第五条 注册会计师可以单独进行内部控制审计，也可以将内部控制审计与财务报表审计整合进行（以下简称整合审计）。在整合审计中，注册会计师应当对内部控制设计与运行的有效性进行测试，以同时实现下列目标：

（一）获取充分、适当的证据，支持其在内部控制审计中对内部控制有效性发表的意见；

（二）获取充分、适当的证据，支持其在财务报表审计中对控制风险的评估结果。

第二章 计划审计工作

第六条 注册会计师应当恰当地计划内部控制审计工作，配备具有专业胜任能力的项目组，并对助理人员进行适当的督导。

第七条 在计划审计工作时，注册会计师应当评价下列事项对内部控制、财务报表以及审计工作的影响：

（一）与企业相关的风险；

（二）相关法律法规和行业概况；

（三）企业组织结构、经营特点和资本结构等相关重要事项；

（四）企业内部控制最近发生变化的程度；

（五）与企业沟通过的内部控制缺陷；

（六）重要性、风险等与确定内部控制重大缺陷相关的因素；

（七）对内部控制有效性的初步判断；

（八）可获取的、与内部控制有效性相关的证据的类型和范围。

第八条 注册会计师应当以风险评估为基础，选择拟测试的控制，确定测试所需收集的证据。

内部控制的特定领域存在重大缺陷的风险越高，给予该领域的审计关注就越多。

第九条 注册会计师应当对企业内部控制自我评价工作进行评估，判断是否利用企业内部审计人员、内部控制评价人员和其他相关人员的工作以及可利用的程度，相应减少可能本应由注册会计师执行的工作。

注册会计师利用企业内部审计人员、内部控制评价人员和其他相关人员的工作，应当对其专业胜任能力和客观性进行充分评价。与某项控制相关的风险越高，可利用程度就越低，注册会计师应当更多地对该项控制亲自进行测试。

注册会计师应当对发表的审计意见独立承担责任，其责任不因为利用企业内部审计人员、内部控制评价人员和其他相关人员的工作而减轻。

第三章 实施审计工作

第十条 注册会计师应当按照自上而下的方法实施审计工作。自上而下的方法是注册会计师识别风险、选择拟测试控制的基本思路。注册会计师在实施审计工作时，可以将企业层面控制和业务层面控制的测试结合进行。

第十一条 注册会计师测试企业层面控制，应当把握重要性原则，至少应当关注：

（一）与内部环境相关的控制；

（二）针对董事会、经理层凌驾于控制之上的风险而设计的控制；

（三）企业的风险评估过程；

（四）对内部信息传递和财务报告流程的控制；

（五）对控制有效性的内部监督和自我评价。

第十二条 注册会计师测试业务层面控制，应当把握重要性原则，结合企业实际、企业内部控制各项应用指引的要求和企业层面控制的测试情况，重点对企业生产经营活动中的重要业务与事项的控制进行测试。

注册会计师应当关注信息系统对内部控制及风险评估的影响。

第十三条 注册会计师在测试企业层面控制和业务层面控制时，应当评价内部控制是否足以应对舞弊风险。

第十四条 注册会计师应当测试内部控制设计与运行的有效性。

如果某项控制由拥有必要授权和专业胜任能力的人员按照规定的程序与要求执行，能够实现控制目标，表明该项控制的设计是有效的。

如果某项控制正在按照设计运行，执行人员拥有必要授权和专业胜任能力，能够实现控制目标，表明该项控制的运行是有效的。第十五条 注册会计师应当根据与内部控制相关的风险，确定拟实施审计程序的性质、时间安排和范围，获取充分、适当的证据。与内部控制相关的风险越高，注册会计师需要获取的证据应越多。

第十六条 注册会计师在测试控制设计与运行的有效性时，应当综合运用询问适当人员、观察经营活动、检查相关文件、穿行测试和重新执行等方法。

询问本身并不足以提供充分、适当的证据。

第十七条 注册会计师在确定测试的时间安排时，应当在下列两个因素之间作出平衡，以获取充分、适当的证据：

（一）尽量在接近企业内部控制自我评价基准日实施测试；

（二）实施的测试需要涵盖足够长的期间。

第十八条 注册会计师对于内部控制运行偏离设计的情况（即控制偏差），应当确定该偏差对相关风险评估、需要获取的证据以及控制运行有效性结论的影响。

第十九条 在连续审计中，注册会计师在确定测试的性质、时间安排和范围时，应当考虑以前执行内部控制审计时了解的情况。

第四章 评价控制缺陷

第二十条 内部控制缺陷按其成因分为设计缺陷和运行缺陷，按其影响程度分为重大缺陷、重要缺陷和一般缺陷。

注册会计师应当评价其识别的各项内部控制缺陷的严重程度，以确定这些缺陷单独或组合起来，是否构成重大缺陷。

第二十一条 在确定一项内部控制缺陷或多项内部控制缺陷的组合是否构成重大缺陷时，注册会计师应当评价补偿性控制（替代性控制）的影响。企业执行的补偿性控制应当具有同样的效果。

第二十二条 表明内部控制可能存在重大缺陷的迹象，主要包括：

（一）注册会计师发现董事、监事和高级管理人员舞弊；

（二）企业更正已经公布的财务报表；

（三）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报；

（四）企业审计委员会和内部审计机构对内部控制的监督无效。

第五章 完成审计工作

第二十三条 注册会计师完成审计工作后，应当取得经企业签署的书面声明。书面声明应当包括下列内容：

（一）企业董事会认可其对建立健全和有效实施内部控制负责；

（二）企业已对内部控制的有效性作出自我评价，并说明评价时采用的标准以及得出的结论；

（三）企业没有利用注册会计师执行的审计程序及其结果作为自我评价的基础；

（四）企业已向注册会计师披露识别出的所有内部控制缺陷，并单独披露其中的重大缺陷和重要缺陷；

（五）企业对于注册会计师在以前审计中识别的重大缺陷和重要缺陷，是否已经采取措施予以解决；

（六）企业在内部控制自我评价基准日后，内部控制是否发生重大变化，或者存在对内部控制具有重要影响的其他因素。

第二十四条 企业如果拒绝提供或以其他不当理由回避书面声明，注册会计师应当将其视为审计范围受到限制，解除业务约定或出具无法表示意见的内部控制审计报告。

第二十五条 注册会计师应当与企业沟通审计过程中识别的所有控制缺陷。对于其中的重大缺陷和重要缺陷，应当以书面形式与董事会和经理层沟通。

注册会计师认为审计委员会和内部审计机构对内部控制的监督无效的，应当就此以书面形式直接与董事会和经理层沟通。书面沟通应当在注册会计师出具内部控制审计报告之前进行。

第二十六条 注册会计师应当对获取的证据进行评价，形成对内部控制有效性的意见。

第六章 出具审计报告

第二十七条 注册会计师在完成内部控制审计工作后，应当出具内部控制审计报告。标准内部控制审计报告应当包括下列要素：

（一）标题；

（二）收件人；

（三）引言段；

（四）企业对内部控制的责任段；

（五）注册会计师的责任段；

（六）内部控制固有局限性的说明段；

（七）财务报告内部控制审计意见段；

（八）非财务报告内部控制重大缺陷描述段；

（九）注册会计师的签名和盖章；

（十）会计师事务所的名称、地址及盖章；

（十一）报告日期。

第二十八条 符合下列所有条件的，注册会计师应当对财务报告内部控制出具无保留意见的内部控制审计报告：

（一）企业按照《企业内部控制基本规范》、《企业内部控制应用指引》、《企业内部控制评价指引》以及企业自身内部控制制度的要求，在所有重大方面保持了有效的内部控制；

（二）注册会计师已经按照《企业内部控制审计指引》的要求计划和实施审计工作，在审计过程中未受到限制。

第二十九条 注册会计师认为财务报告内部控制虽不存在重大缺陷，但仍有一项或者多项重大事项需要提请内部控制审计报告使用者注意的，应当在内部控制审计报告中增加强调事项段予以说明。

注册会计师应当在强调事项段中指明，该段内容仅用于提醒内部控制审计报告使用者关注，并不影响对财务报告内部控制发表的审计意见。

第三十条 注册会计师认为财务报告内部控制存在一项或多项重大缺陷的，除非审计范围受到限制，应当对财务报告内部控制发表否定意见。

注册会计师出具否定意见的内部控制审计报告，还应当包括下列内容：

（一）重大缺陷的定义；

（二）重大缺陷的性质及其对财务报告内部控制的影响程度。

第三十一条 注册会计师审计范围受到限制的，应当解除业务约定或出具无法表示意见的内部控制审计报告，并就审计范围受到限制的情况，以书面形式与董事会进行沟通。

注册会计师在出具无法表示意见的内部控制审计报告时，应当在内部控制审计报告中指明审计范围受到限制，无法对内部控制的有效性发表意见。

注册会计师在已执行的有限程序中发现财务报告内部控制存在重大缺陷的，应当在内部控制审计报告中对重大缺陷做出详细说明。第三十二条 注册会计师对在审计过程中注意到的非财务报告内部控制缺陷，应当区别具体情况予以处理：

（一）注册会计师认为非财务报告内部控制缺陷为一般缺陷的，应当与企业进行沟通，提醒企业加以改进，但无需在内部控制审计报告中说明；

（二）注册会计师认为非财务报告内部控制缺陷为重要缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进，但无需在内部控制审计报告中说明；

（三）注册会计师认为非财务报告内部控制缺陷为重大缺陷的，应当以书面形式与企业董事会和经理层沟通，提醒企业加以改进；同时应当在内部控制审计报告中增加非财务报告内部控制重大缺陷描述段，对重大缺陷的性质及其对实现相关控制目标的影响程度进行披露，提示内部控制审计报告使用者注意相关风险。

第三十三条 在企业内部控制自我评价基准日并不存在、但在该基准日之后至审计报告日之前（以下简称期后期间）内部控制可能发生变化，或出现其他可能对内部控制产生重要影响的因素。注册会计师应当询问是否存在这类变化或影响因素，并获取企业关于这些情况的书面声明。

注册会计师知悉对企业内部控制自我评价基准日内部控制有效性有重大负面影响的期后事项的，应当对财务报告内部控制发表否定意见。

注册会计师不能确定期后事项对内部控制有效性的影响程度的，应当出具无法表示意见的内部控制审计报告。

第七章 记录审计工作

第三十四条 注册会计师应当按照《中国注册会计师审计准则第1131号——审计工作底稿》的规定，编制内部控制审计工作底稿，完整记录审计工作情况。

第三十五条 注册会计师应当在审计工作底稿中记录下列内容：

（一）内部控制审计计划及重大修改情况；

（二）相关风险评估和选择拟测试的内部控制的主要过程及结果；

（三）测试内部控制设计与运行有效性的程序及结果；

（四）对识别的控制缺陷的评价；

（五）形成的审计结论和意见；

（六）其他重要事项。

附录：内部控制审计报告的参考格式

1.标准内部控制审计报告

内部控制审计报告

××股份有限公司全体股东：

按照《企业内部控制审计指引》及中国注册会计师执业准则的相关要求，我们审计了××股份有限公司（以下简称××公司）××年×月×日的财务报告内部控制的有效性。

一、企业对内部控制的责任

按照《企业内部控制基本规范》、《企业内部控制应用指引》、《企业内部控制评价指引》的规定，建立健全和有效实施内部控制，并评价其有效性是企业董事会的责任。

二、注册会计师的责任

我们的责任是在实施审计工作的基础上，对财务报告内部控制的有效性发表审计意见，并对注意到的非财务报告内部控制的重大缺陷进行披露。

三、内部控制的固有局限性

内部控制具有固有局限性，存在不能防止和发现错报的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制审计结果推测未来内部控制的有效性具有一定风险。

四、财务报告内部控制审计意见

我们认为，××公司按照《企业内部控制基本规范》和相关规定在所有重大方面保持了有效的财务报告内部控制。

五、非财务报告内部控制的重大缺陷

在内部控制审计过程中，我们注意到××公司的非财务报告内部控制存在重大缺陷[描述该缺陷的性质及其对实现相关控制目标的影响程度]。由于存在上述重大缺陷，我们提醒本报告使用者注意相关风险。需要指出的是，我们并不对××公司的非财务报告内部控制发表意见或提供保证。本段内容不影响对财务报告内部控制有效性发表的审计意见。

××会计师事务所 中国注册会计师：×××（签名并盖章）

（盖章）中国注册会计师：×××（签名并盖章）

中国××市 ××年×月×日

2.带强调事项段的无保留意见内部控制审计报告

内部控制审计报告

××股份有限公司全体股东：

按照《企业内部控制审计指引》及中国注册会计师执业准则的相关要求，我们审计了××股份有限公司（以下简称××公司）××年×月×日的财务报告内部控制的有效性。

[“

一、企业对内部控制的责任”至“

五、非财务报告内部控制的重大缺陷”参见标准内部控制审计报告相关段落表述。]

六、强调事项

我们提醒内部控制审计报告使用者关注，（描述强调事项的性质及其对内部控制的重大影响）。本段内容不影响已对财务报告内部控制发表的审计意见。

××会计师事务所 中国注册会计师：×××（签名并盖章）

（盖章）中国注册会计师：×××（签名并盖章）

中国××市 ××年×月×日

3.否定意见内部控制审计报告

内部控制审计报告

××股份有限公司全体股东：

按照《企业内部控制审计指引》及中国注册会计师执业准则的相关要求，我们审计了××股份有限公司（以下简称××公司）××年×月×日的财务报告内部控制的有效性。[“

一、企业对内部控制的责任”至“

三、内部控制的固有局限性”参见标准内部控制审计报告相关段落表述。]

四、导致否定意见的事项

重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

[指出注册会计师已识别出的重大缺陷，并说明重大缺陷的性质及其对财务报告内部控制的影响程度。]

有效的内部控制能够为财务报告及相关信息的真实完整提供合理保证，而上述重大缺陷使××公司内部控制失去这一功能。

五、财务报告内部控制审计意见

我们认为，由于存在上述重大缺陷及其对实现控制目标的影响，××公司未能按照《企业内部控制基本规范》和相关规定在所有重大方面保持有效的财务报告内部控制。

六、非财务报告内部控制的重大缺陷

[参见标准内部控制审计报告相关段落表述。]

××会计师事务所 中国注册会计师：×××（签名并盖章）

（盖章）中国注册会计师：×××（签名并盖章）

中国××市 ××年×月×日

4.无法表示意见内部控制审计报告

内部控制审计报告

××股份有限公司全体股东：

我们接受委托，对××股份有限公司（以下简称××公司）××年×月×日的财务报告内部控制进行审计。

[删除注册会计师的责任段，“

一、企业对内部控制的责任”和“

二、内部控制的固有局限性”参见标准内部控制审计报告相关段落表述。]

三、导致无法表示意见的事项

[描述审计范围受到限制的具体情况。]

四、财务报告内部控制审计意见

由于审计范围受到上述限制，我们未能实施必要的审计程序以获取发表意见所需的充分、适当证据，因此，我们无法对××公司财务报告内部控制的有效性发表意见。

五、识别的财务报告内部控制重大缺陷（如在审计范围受到限制前，执行有限程序未能识别出重大缺陷，则应删除本段）重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。

尽管我们无法对××公司财务报告内部控制的有效性发表意见，但在我们实施的有限程序的过程中，发现了以下重大缺陷：

[指出注册会计师已识别出的重大缺陷，并说明重大缺陷的性质及其对财务报告内部控制的影响程度。]

有效的内部控制能够为财务报告及相关信息的真实完整提供合理保证，而上述重大缺陷使××公司内部控制失去这一功能。

六、非财务报告内部控制的重大缺陷

[参见标准内部控制审计报告相关段落表述。]

××会计师事务所 中国注册会计师：×××（签名并盖章）

（盖章）中国注册会计师：×××（签名并盖章）

中国××市 ××年×月×日

第五篇：商业银行内控指引

商业银行内部控制指引

（银监会令2007年第6号 2007年7月3日）

第一章 总则

第一条 为促进商业银行建立和健全内部控制，防范金融风险，保障银行体系安全稳健运行，依据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律规定和银行审慎监管要求，制定本指引。

第二条 内部控制是商业银行为实现经营目标，通过制定和实施一系列制度、程序和方法，对风险进行事前防范、事中控制、事后监督和纠正的动态过程和机制。

第三条 商业银行内部控制的目标：

（一）确保国家法律规定和商业银行内部规章制度的贯彻执行。

（二）确保商业银行发展战略和经营目标的全面实施和充分实现。

（三）确保风险管理体系的有效性。

（四）确保业务记录、财务信息和其他管理信息的及时、真实和完整。

第四条 商业银行内部控制应当贯彻全面、审慎、有效、独立的原则，包括：

（一）内部控制应当渗透商业银行的各项业务过程和各个操作环节，覆盖所有的部门和岗位，并由全体人员参与，任何决策或操作均应当有案可查。

（二）内部控制应当以防范风险、审慎经营为出发点，商业银行的经营管理，尤其是设立新的机构或开办新的业务，均应当体现“内控优先”的要求。

（三）内部控制应当具有高度的权威性，任何人不得拥有不受内部控制约束的权力，内部控制存在的问题应当能够得到及时反馈和纠正。

（四）内部控制的监督、评价部门应当独立于内部控制的建设、执行部门，并有直接向董事会、监事会和高级管理层报告的渠道。

第五条 内部控制应当与商业银行的经营规模、业务范围和风险特点相适应，以合理的成本实现内部控制的目标。

第二章 内部控制的基本要求

第六条 内部控制应当包括以下要素：

（一）内部控制环境。

（二）风险识别与评估。

（三）内部控制措施。

（四）信息交流与反馈。

（五）监督评价与纠正。第七条 商业银行应当建立良好的公司治理以及分工合理、职责明确、相互制衡、报告关系清晰的组织结构，为内部控制的有效性提供必要的前提条件。

第八条 商业银行董事会、监事会和高级管理层应当充分认识自身对内部控制所承担的责任。

董事会负责保证商业银行建立并实施充分而有效的内部控制体系；负责审批整体经营战略和重大政策并定期检查、评价执行情况；负责确保商业银行在法律和政策的框架内审慎经营，明确设定可接受的风险程度，确保高级管理层采取必要措施识别、计量、监测并控制风险；负责审批组织机构；负责保证高级管理层对内部控制体系的充分性与有效性进行监测和评估。

监事会负责监督董事会、高级管理层完善内部控制体系；负责监督董事会及董事、高级管理层及高级管理人员履行内部控制职责；负责要求董事、董事长及高级管理人员纠正其损害商业银行利益的行为并监督执行。

高级管理层负责制定内部控制政策，对内部控制体系的充分性与有效性进行监测和评估；负责执行董事会决策；负责建立识别、计量、监测并控制风险的程序和措施；负责建立和完善内部组织机构，保证内部控制的各项职责得到有效履行。

第九条 商业银行应当建立科学、有效的激励约束机制，培育良好的企业精神和内部控制文化，从而创造全体员工均充分了解且能履行职责的环境。第十条 商业银行应当设立履行风险管理职能的专门部门，负责具体制定并实施识别、计量、监测和控制风险的制度、程序和方法，以确保风险管理和经营目标的实现。

第十一条 商业银行应当建立涵盖各项业务、全行范围的风险管理系统，开发和运用风险量化评估的方法和模型，对信用风险、市场风险、流动性风险、操作风险等各类风险进行持续的监控。

第十二条 商业银行应当对各项业务制定全面、系统、成文的政策、制度和程序，在全行范围内保持统一的业务标准和操作要求，并保证其连续性和稳定性。

第十三条 商业银行设立新的机构或开办新的业务，应当事先制定有关的政策、制度和程序，对潜在的风险进行计量和评估，并提出风险防范措施。

第十四条 商业银行应当建立内部控制的评价制度，对内部控制的制度建设、执行情况定期进行回顾和检讨，并根据国家法律规定、银行组织结构、经营状况、市场环境的变化进行修订和完善。

第十五条 商业银行应当明确划分相关部门之间、岗位之间、上下级机构之间的职责，建立职责分离、横向与纵向相互监督制约的机制。

涉及资产、负债、财务和人员等重要事项变动均不得由一个人独自决定。

第十六条 商业银行应当根据不同的工作岗位及其性质，赋予其相应的职责和权限，各个岗位应当有正式、成文的岗位职责说明和清晰的报告关系。

商业银行应当明确关键岗位及其控制要求，关键岗位应当实行定期或不定期的人员轮换和强制休假制度。

第十七条 商业银行应当根据各分支机构和业务部门的经营管理水平、风险管理能力、地区经济和业务发展需要，建立相应的授权体系，实行统一法人管理和法人授权。

授权应适当、明确，并采取书面形式。

第十八条 商业银行应当利用计算机程序监控等现代化手段，锁定分支机构的业务权限，对分支机构实施有效的管理和监控。

下级机构应当严格执行上级机构的决策，在自身职责和权限范围内开展工作。

第十九条 商业银行应当建立有效的核对、监控制度，对各种账证、报表定期进行核对，对现金、有价证券等有形资产及时进行盘点，对柜台办理的业务实行复核或事后监督把关，对重要业务实行双签有效的制度，对授权、授信的执行情况进行监控。

第二十条 商业银行应当按照规定进行会计核算和业务记录，建立完整的会计、统计和业务档案，妥善保管，确保原始记录、合同契约和各种资料的真实、完整。

第二十一条 商业银行应当建立有效的应急预案，并定期进行测试。在意外事件或紧急情况发生时，应按照应急预案及时做出应急处臵，以预防或减少可能造成的损失，确保业务持续开展。

第二十二条 商业银行应当设立独立的法律事务部门或岗位，统一管理各类授权、授信的法律事务，制定和审查法律文本，对新业务的推出进行法律论证，确保各项业务的合法和有效。

第二十三条 商业银行应当实现业务操作和管理的电子化，促进各项业务的电子数据处理系统的整合，做到业务数据的集中处理。

第二十四条 商业银行应当实现经营管理的信息化，建立贯穿各级机构、覆盖各个业务领域的数据库和管理信息系统，做到及时、准确提供经营管理所需要的各种数据，并及时、真实、准确地向中国银监会及其派出机构报送监管报表资料和对外披露信息。

第二十五条 商业银行应当建立有效的信息交流和反馈机制，确保董事会、监事会、高级管理层及时了解本行的经营和风险状况，确保每一项信息均能够传递给相关的员工，各个部门和员工的有关信息均能够顺畅反馈。

第二十六条 商业银行的业务部门应当对各项业务经营状况进行经常性检查，及时发现内部控制存在的问题，并迅速予以纠正。

第二十七条 商业银行的内部审计部门应当有权获得商业银行的所有经营信息和管理信息，并对各个部门、岗位和各项业务实施全面的监督和评价。

第二十八条 商业银行的内部审计应当具有充分的独立性，实行全行系统垂直管理。

下级机构内部审计负责人的聘任和解聘应当由上一级内部审计部门负责，总行内部审计负责人的聘任和解聘应当由董事会负责。

第二十九条 商业银行应当配备充足的、具备相应的专业从业资格的内部审计人员，并建立专业培训制度，每人每年确保一定的离岗或脱产培训时间。

第三十条 商业银行应当建立有效的内部控制报告和纠正机制，业务部门、内部审计部门和其他人员发现的内部控制的问题，均应当有畅通的报告渠道和有效的纠正措施。

第三章 授信的内部控制

第三十一条 商业银行授信内部控制的重点是：实行统一授信管理，健全客户信用风险识别与监测体系，完善授信决策与审批机制，防止对单一客户、关联企业客户和集团客户授信风险的高度集中，防止违反信贷原则发放关系人贷款和人情贷款，防止信贷资金违规使用。

第三十二条 商业银行应当设立独立的授信风险管理部门，对不同币种、不同客户对象、不同种类的授信进行统一管理，设臵授信风险限额，避免信用失控。

第三十三条 商业银行授信岗位设臵应当做到分工合理、职责明确，岗位之间应当相互配合、相互制约，做到审贷分离、业务经办与会计账务处理分离。

第三十四条 商业银行应当建立有效的授信决策机制，包括设立授信审查委员会，负责审批权限内的授信。

行长不得担任授信审查委员会的成员。授信审查委员会审议表决应当遵循集体审议、明确发表意见、多数同意通过的原则，全部意见应当记录存档。

第三十五条 商业银行应当建立严格的授信风险垂直管理体制，对授信实行统一管理。

第三十六条 商业银行应当对授信实行统一的法人授权制度，上级机构应当根据下级机构的风险管理水平、资产质量、所处地区经济环境等因素，合理确定授信审批权限。

第三十七条 商业银行应当根据风险大小，对不同种类、期限、担保条件的授信确定不同的审批权限，审批权限应当采用量化风险指标。

第三十八条 商业银行各级机构应当明确规定授信审查人、审批人之间的权限和工作程序，严格按照权限和程序审查、审批业务，不得故意绕开审查、审批人。

第三十九条 商业银行各级机构应当防止授信风险的过度集中，通过实行授信组合管理，制定在不同期限、不同行业、不同地区的授信分散化目标，及时监测和控制授信组合风险，确保总体授信风险控制在合理的范围内。

第四十条 商业银行应当对单一客户的贷款、贸易融资、票据承兑和贴现、透支、保理、担保、贷款承诺、开立信用证等各类表内外授信实行一揽子管理，确定总体授信额度。

第四十一条 商业银行应当以风险量化评估的方法和模型为基础，开发和运用统一的客户信用评级体系，作为授信客户选择和项目审批的依据，并为客户信用风险识别、监测以及制定差别化的授信政策提供基础。客户信用评级结果应当根据客户信用变化情况及时进行调整。

第四十二条 商业银行对集团客户授信应当遵循统一、适度和预警的原则。对集团客户应当实行统一授信管理，合理确定对集团客户的总体授信额度，防止多头授信、过度授信和不适当分配授信额度。商业银行应当建立风险预警机制，对集团客户授信集中风险实行有效监控，防止集团客户通过多头开户、多头借款、多头互保等形式套取银行资金。

第四十三条 商业银行应当建立统一的授信操作规范，明确贷前调查、贷时审查、贷后检查各个环节的工作标准和尽职要求：

（一）贷前调查应当做到实地查看，如实报告授信调查掌握的情况，不回避风险点，不因任何人的主观意志而改变调查结论。

（二）贷时审查应当做到独立审贷，客观公正，充分、准确地揭示业务风险，提出降低风险的对策。

（三）贷后检查应当做到实地查看，如实记录，及时将检查中发现的问题报告有关人员，不得隐瞒或掩饰问题。

第四十四条 商业银行应当制定统一的各类授信品种的管理办法，明确规定各项业务的办理条件，包括选项标准、期限、利率、收费、担保、审批权限、申报资料、贷后管理、内部处理程序等具体内容。

第四十五条 商业银行实施有条件授信时应当遵循“先落实条件、后实施授信”的原则，授信条件未落实或条件发生变更未重新决策的，不得实施授信。

第四十六条 商业银行应当对授信工作实施独立的尽职调查。授信决策应依据规定的程序进行，不得违反程序或减少程序进行授信。在授信决策过程中，应严格要求授信工作人员遵循客观、公正的原则，独立发表决策意见，不受任何外部因素的干扰。

第四十七条 商业银行对关联方的授信，应当按照商业原则，以不优于对非关联方同类交易的条件进行。

在对关联方的授信调查和审批过程中，商业银行内部相关人员应当回避。

第四十八条 商业银行应当严格审查和监控贷款用途，防止借款人通过贷款、贴现、办理银行承兑汇票等方式套取信贷资金，改变借款用途。

第四十九条 商业银行应当严格审查借款人资格合法性、融资背景以及申请材料的真实性和借款合同的完备性，防止借款人骗取贷款，或以其他方式从事金融诈骗活动。

第五十条 商业银行应当建立资产质量监测、预警机制，严密监测资产质量的变化，及时发现资产质量的潜在风险并发出预警提示，分析不良资产形成的原因，及时制定防范和化解风险的对策。

第五十一条 商业银行应当建立贷款风险分类制度，规范贷款质量的认定标准和程序，严禁掩盖不良贷款的真实状况，确保贷款质量的真实性。第五十二条 商业银行应当建立授信风险责任制，明确规定各个部门、岗位的风险责任：

（一）调查人员应当承担调查失误和评估失准的责任。

（二）审查和审批人员应当承担审查、审批失误的责任，并对本人签署的意见负责。

（三）贷后管理人员应当承担检查失误、清收不力的责任。

（四）放款操作人员应当对操作性风险负责。

（五）高级管理层应当对重大贷款损失承担相应的责任。第五十三条 商业银行应当对违法、违规造成的授信风险和损失逐笔进行责任认定，并按规定对有关责任人进行处理。

第五十四条 商业银行应当建立完善的授信管理信息系统，对授信全过程进行持续监控，并确保提供真实的授信经营状况和资产质量状况信息，对授信风险与收益情况进行综合评价。

第五十五条 商业银行应当建立完善的客户管理信息系统，全面和集中掌握客户的资信水平、经营财务状况、偿债能力和非财务因素等信息，对客户进行分类管理，对资信不良的借款人实施授信禁入。

第四章 资金业务的内部控制

第五十六条 商业银行资金业务内部控制的重点是：对资金业务对象和产品实行统一授信，实行严格的前后台职责分离，建立中台风险监控和管理制度，防止资金交易员从事越权交易，防止欺诈行为，防止因违规操作和风险识别不足导致的重大损失。

第五十七条 商业银行资金业务的组织结构应当体现权限等级和职责分离的原则，做到前台交易与后台结算分离、自营业务与代客业务分离、业务操作与风险监控分离，建立岗位之间的监督制约机制。

第五十八条 商业银行应当根据分支机构的经营管理水平，核定各个分支机构的资金业务经营权限。

对分支机构的资金业务应当定期进行检查，对异常资金交易和资金变动应当建立有效的预警和处理机制。

未经上级机构批准，下级机构不得开展任何未设权限的资金交易。

第五十九条 商业银行应当完善资金营运的内部控制，资金的调出、调入应当有真实的业务背景，严格按照授权进行操作，并及时划拨资金，登记台账。

第六十条 商业银行应当根据授信原则和资金交易对手的财务状况，确定交易对手、投资对象的授信额度和期限，并根据交易产品的特点对授信额度进行动态监控，确保所有交易控制在授信额度范围之内。

第六十一条 商业银行应当充分了解所从事资金业务的性质、风险、相关的法规和惯例，明确规定允许交易的业务品种，确定资金业务单笔、累计最大交易限额以及相应承担的单笔、累计最大交易损失限额和交易止损点。

高级管理层应当充分认识金融衍生产品的性质和风险，根据本行的风险承受水平，合理确定金融衍生产品的风险限额和相关交易参数。

第六十二条 商业银行应当建立完备的资金交易风险评估和控制系统，制定符合本行特点的风险控制政策、措施和定量指标，开发和运用量化的风险管理模型，对资金交易的收益与风险进行适时、审慎评价，确保资金业务各项风险指标控制在规定的范围内。

第六十三条 商业银行应当根据资金交易的风险程度和管理能力，就交易品种、交易金额和止损点等对资金交易员进行授权。

资金交易员上岗前应当取得相应资格。

第六十四条 商业银行应当按照市场价格计算交易头寸的市值和浮动盈亏情况，对资金交易产品的市场风险、头寸市值变动进行实时监控。

第六十五条 商业银行应当建立资金交易风险和市值的内部报告制度。有关资金业务风险和市值情况的报告应当定期、及时向董事会、高级管理层和其他管理人员提供。商业银行应当制定不同层次和种类的报告的发送范围、程序和频率。

第六十六条 商业银行应当建立全面、严密的压力测试程序，定期对突发的小概率事件，如市场价格发生剧烈变动，或者发生意外的政治、经济事件可能造成的潜在损失进行模拟和估计，以评估本行在极端不利情况下的亏损承受能力。

商业银行应当将压力测试的结果作为制定市场风险应急处理方案的重要依据，并定期对应急处理方案进行审查和测试，不断更新和完善应急处理方案。

第六十七条 商业银行应当建立对资金交易员的适当的约束机制，对资金交易员实施有效管理。

资金交易员应当严格遵守交易员行为准则，在职责权限、授信额度、各项交易限额和止损点内以真实的市场价格进行交易，并严守交易信息秘密。

第六十八条 商业银行应当建立资金交易中台和后台部门对前台交易的反映和监督机制。

中台监控部门应当核对前台交易的授权交易限额、交易对手的授信额度和交易价格等，对超出授权范围内的交易应当及时向有关部门报告。

后台结算部门应当独立地进行交易结算和付款，并根据资金交易员的交易记录，在规定的时间内向交易对手逐笔确认交易事实。

第六十九条 商业银行在办理代客资金业务时，应当了解客户从事资金交易的权限和能力，向客户充分揭示有关风险，获取必要的履约保证，明确在市场变化情况下客户违约的处理办法和措施。

第七十条 商业银行资金业务新产品的开发和经营应当经过高级管理层授权批准，在风险控制制度和操作规程完备、人员合格和设备齐全的情况下，交易部门才能全面开展新产品的交易。

第七十一条 商业银行应当建立资金业务的风险责任制，明确规定各个部门、岗位的风险责任：

（一）前台资金交易员应当承担越权交易和虚假交易的责任，并对未执行止损规定形成的损失负责。

（二）中台监控人员应当承担对资金交易员越权交易报告的责任，并对风险报告失准和监控不力负责。

（三）后台结算人员应当对结算的操作性风险负责。

（四）高级管理层应当对资金交易出现的重大损失承担相应的责任。

第五章 存款和柜台业务的内部控制

第七十二条 商业银行存款及柜台业务内部控制的重点是：对基层营业网点、要害部位和重点岗位实施有效监控，严格执行账户管理、会计核算制度和各项操作规程，防止内部操作风险和违规经营行为，防止内部挪用、贪污以及洗钱、金融诈骗、逃汇、骗汇等非法活动，确保商业银行和客户资金的安全。

第七十三条 商业银行应当严格执行账户管理的有关规定，认真审核存款人身份和账户资料的真实性、完整性和合法性，对账户开立、变更和撤销的情况定期进行检查，防止存款人出租、出借账户或利用存款账户从事违法活动。

第七十四条 商业银行应当严格管理预留签章和存款支付凭据，提高对签章、票据真伪的甄别能力，并利用计算机技术，加大预留签章管理的科技含量，防止诈骗活动。

第七十五条 商业银行应当对存款账户实施有效管理，建立和完善银行与客户、银行与银行以及银行内部业务台账与会计账之间的适时对账制度，对对账频率、对账对象、可参与对账人员等做出明确规定。

第七十六条 商业银行应当对内部特种转账业务、账户异常变动等进行持续监控，发现情况应当进行跟踪和分析。

第七十七条 商业银行应当对大额存单签发、大额存款支取实行分级授权和双签制度，按规定对大额款项收付进行登记和报备，确保存款等交易信息的真实、完整。

第七十八条 商业银行应当对每日营业终了的账务实施有效管理，当天的票据当天入账，对发现的错账和未提出的票据或退票，应当履行内部审批、登记手续。

第七十九条 商业银行应当严格执行“印、押、证”三分管制度，使用和保管重要业务印章的人员不得同时保管相关的业务单证，使用和管理密押、压数机的人员不得同时使用或保管相关的印章和单证。

使用和保管密押的人员应当保持相对稳定，人员变动应当经主管领导批准，并办好交接和登记手续。

人员离岗，“印、押、证”应当落锁入柜，妥善保管。

第八十条 商业银行应当对现金收付、资金划转、账户资料变更、密码更改、挂失、解挂等柜台业务，建立复核制度，确保交易的记录完整和可追溯。

柜台人员的名章、操作密码、身份识别卡等应当实行个人负责制，妥善保管，按章使用。第八十一条 商业银行应当对现金、贵金属、重要空白凭证和有价单证实行严格的核算和管理，严格执行入库、登记、领用的手续，定期盘点查库，正确、及时处理损益。

第八十二条 商业银行应当建立会计、储蓄事后监督制度，配臵专人负责事后监督，实现业务与监督在空间与人员上的分离。

第八十三条 商业银行应当认真遵循“了解你的客户”的原则，注意审查客户资金来源的真实性和合法性，提高对可疑交易的鉴别能力，如发现可疑交易，应当逐级上报，防止犯罪分子进行洗钱活动。

第八十四条 商业银行应当严格执行营业机构重要岗位的请假、轮岗制度和离岗审计制度。

第六章 中间业务的内部控制

第八十五条 商业银行中间业务内部控制的重点是：开展中间业务应当取得有关主管部门核准的机构资质、人员从业资格和内部的业务授权，建立并落实相关的规章制度和操作规程，按委托人指令办理业务，防范或有负债风险。

第八十六条 商业银行办理支付结算业务，应当根据有关法律规定的要求，对持票人提交的票据或结算凭证进行审查，并确认委托人收、付款指令的正确性和有效性，按指定的方式、时间和账户办理资金划转手续。

第八十七条 商业银行办理结汇、售汇和付汇业务，应当对业务的审批、操作和会计记录实行恰当的职责分离，并严格执行内部管理和检查制度，确保结汇、售汇和收付汇业务的合规性。

第八十八条 商业银行办理代理业务，应当设立专户核算代理资金，完善代理资金的拨付、回收、核对等手续，防止代理资金被挤占挪用，确保专款专用。

第八十九条 商业银行应当对代理资金支付进行审查和管理，按照代理协议的约定办理资金划转手续，遵循银行不垫款的原则，不介入委托人与其他人的交易纠纷。

第九十条 商业银行应当严格按照会计制度正确核算和确认各项代理业务收入，坚持收支两条线，防止代理收入被截留或挪用。

第九十一条 商业银行发行借记卡，应当按照实名制规定开立账户。

对借记卡的取款、转账、消费等支付业务，应当制定并严格执行相关的管理制度和操作规程。

第九十二条 商业银行发行贷记卡，应当在全行统一的授信管理原则下，建立客户信用评价标准和方法，对申请人相关资料的合法性、真实性和有效性进行严格审查，确定客户的信用额度，并严格按照授权进行审批。

第九十三条 商业银行应当对贷记卡持卡人的透支行为建立有效的监控机制，业务处理系统应当具有实时监督、超额控制和异常交易止付等功能。

商业银行应当定期与贷记卡持卡人对账，严格管理透支款项，切实防范恶意透支等风险。

第九十四条 商业银行受理银行卡存取款或转账业务，应当对银行卡资金交易设臵必要的监控措施，防止持卡人利用银行卡进行违法活动。

第九十五条 商业银行发卡机构应当建立和健全内部管理机制，完善重要凭证、银行卡卡片、客户密码、止付名单、技术档案等重要资料的传递与存放管理，确保交接手续的严密。

第九十六条 商业银行应当对银行卡特约商户实施有效管理，规范相关的操作规程和处理手续，对特约商户的经营风险或操作过失应当制定相应的应急和防范措施。

第九十七条 商业银行从事基金托管业务，应当在人事、行政和财务上独立于基金管理人，双方的管理人员不得相互兼职。

第九十八条 商业银行应当以诚实信用、勤勉尽责的原则保管基金资产，严格履行基金托管人的职责，确保基金资产的安全，并承担为客户保密的责任。

第九十九条 商业银行应当确保基金托管业务与基金代销业务相分离，基金托管的系统、业务资料应当与基金代销的系统、业务资料有效分离。

第一百条 商业银行应当确保托管基金资产与自营资产相分离，对不同基金独立设账，分户管理，独立核算，确保不同基金资产的相互独立。

第一百零一条 商业银行应当严格按照会计制度办理基金账务核算，正确反映资金往来活动，并定期与基金管理人等有关当事人就基金投资证券的种类、数量等进行核对。

第一百零二条 商业银行开展咨询顾问业务，应当坚持诚实信用原则，确保客户对象、业务内容的合法性和合规性，对提供给客户的信息的真实性、准确性负责，并承担为客户保密的责任。

第一百零三条 商业银行开办保管箱业务，应当在场地、设备和处理软件等方面符合国家安全标准，对用户身份进行核验确认。

对进入保管场地和开启保管箱，应当制定相应的操作规范，明确要求租用人不得在保管箱内存放违禁或危险物品，防止利用商业银行场地保管非法物品

第七章 会计的内部控制

第一百零四条 商业银行会计内部控制的重点是：实行会计工作的统一管理，严格执行会计制度和会计操作规程，运用计算机技术实施会计内部控制，确保会计信息的真实、完整和合法，严禁设臵账外账，严禁乱用会计科目，严禁编制和报送虚假会计信息。

第一百零五条 商业银行应当依据企业会计准则和国家统一的会计制度，制订并实施本行的会计规范和管理制度。

下级机构应当严格执行上级机构制定的会计规范和管理制度，确保统一的会计规范和管理制度在本行得到实施。

第一百零六条 商业银行应当确保会计工作的独立性，确保会计部门、会计人员能够依据国家统一的会计制度和本行的会计规范独立地办理会计业务，任何人不得授意、暗示、指示、强令会计部门、会计人员违法或违规办理会计业务。

对违法或违规的会计业务，会计部门、会计人员有权拒绝办理，并向上级机构报告，或者按照职权予以纠正。

第一百零七条 商业银行会计岗位设臵应当实行责任分离、相互制约的原则，严禁一人兼任非相容的岗位或独自完成会计全过程的业务操作。

第一百零八条 商业银行应当明确会计部门、会计人员的权限，各级会计部门、会计人员应当在各自的权限内行事，凡超越权限的，须经授权后，方可办理。

第一百零九条 商业银行应当对会计账务处理的全过程实行监督，会计账务应当做到账账、账据、账款、账实、账表和内外账的六相符。

凡账务核对不一致的，应当按照权限进行纠正或报上级机构处理。

第一百一十条 商业银行应当对会计主管、会计负责人实行从业资格管理，建立会计人员档案。

会计主管、会计负责人和会计人员应当具有与其岗位、职位相适应的专业资格或技能。

第一百一十一条 商业银行下级机构会计主管的变动应当经上级机构会计部门同意。会计人员调动工作或离职，应当与接管人员办清交接手续，严格执行交接程序。

第一百一十二条 商业银行应当对会计人员实行强制休假制度，联行、同城票据交换、出纳等重要会计岗位人员和会计主管还应当定期轮换，落实离岗（任）审计制度。

第一百一十三条 商业银行应当实行会计差错责任人追究制度，发生重大会计差错、舞弊或案件，除对直接责任人员追究责任外，机构负责人和分管会计的负责人也应当承担相应的责任。

第一百一十四条 银行应当做到会计记录、账务处理的合法、真实、完整和准确，严禁伪造、变造会计凭证、会计账簿和其他会计资料，严禁提供虚假财务会计报告。

第一百一十五条 商业银行应当建立规范的信息披露制度，按照规定及时、真实、完整地披露会计、财务信息，满足股东、监管当局和社会公众对其信息的需求。

第一百一十六条 商业银行应当完善会计档案管理，严格执行会计档案查阅手续，防止会计档案被替换、更改、毁损、散失和泄密。

第八章 计算机信息系统的内部控制

第一百一十七条 商业银行计算机信息系统内部控制的重点是：严格划分计算机信息系统开发部门、管理部门与应用部门的职责，建立和健全计算机信息系统风险防范的制度，确保计算机信息系统设备、数据、系统运行和系统环境的安全。

第一百一十八条 商业银行应当明确计算机信息系统开发人员、管理人员与操作人员的岗位职责，做到岗位之间的相互制约，各岗位之间不得相互兼任。

各级机构应当配备计算机安全管理人员，明确计算机安全管理人员的职责。

第一百一十九条 商业银行应当对计算机信息系统的项目立项、开发、验收、运行和维护整个过程实施有效管理，开发环境应当与生产环境严格分离。

技术部门与业务部门之间应当进行沟通协调，确保系统的整体安全。

第一百二十条 商业银行购买计算机软、硬件设备，应当对供应商的资格条件进行严格审查，在使用前进行试用性安全测试，明确产品供应商对产品在使用期间应当承担的责任，确保产品的正常使用和有效维护。

第一百二十一条 商业银行计算机机房建设应当符合国家的有关标准，出入计算机机房应当有严格的审批程序和出入记录，确保计算机硬件、各种存储介质的物理安全。

计算机机房和营业网点应当有完备的计算机监控系统，确保计算机终端的正常使用。

第一百二十二条 商业银行应当建立和健全网络管理系统，有效地管理网络的安全、故障、性能、配臵等，并对接入国际互联网实施有效的安全管理。

第一百二十三条 商业银行应当对计算机信息系统实施有效的用户管理和密码（口令）管理，对用户的创建、变更、删除、用户口令的长度、时效等均应当有严格的控制。

员工之间严禁转让计算机信息系统的用户名或权限卡，员工离岗后应当及时更换密码和密码信息。

第一百二十四条 商业银行应当对计算机信息系统的接入建立适当的授权程序，并对接入后的操作进行安全控制。

输入计算机信息系统的数据应当核对无误，数据的修改应当经过批准并建立日志。

第一百二十五条 商业银行应当及时更新系统安全设臵、病毒代码库、攻击特征码、软件补丁程序等，通过认证、加密、内容过滤、入侵监测等技术手段，不断完善安全控制措施，确保计算机信息系统的安全。

第一百二十六条 商业银行的网络设备、操作系统、数据库系统、应用程序等均应当设臵必要的日志。

日志应当能够满足各类内部和外部审计的需要。

第一百二十七条 商业银行应当严格管理各类数据信息，数据的操作、数据备份介质的存放、转移和销毁等均应当有严格的管理制度。

第一百二十八条 商业银行运用计算机处理业务，应当具有可复核性和可追溯性，并为有关的审计或检查留有接口。

第一百二十九条 商业银行的电子银行服务应当具备客户身份识别、安全认证等功能，防止发生泄密事件，确保交易安全。

第一百三十条 商业银行应当尽可能利用计算机信息系统的系统设定，防范各种操作风险和违法犯罪行为。

第一百三十一条 商业银行应当建立计算机安全应急系统，制定详细的应急方案，并定期进行修订和演练。

数据备份应当做到异地存放，应当建立异地计算机灾难备份中心。

第九章 内部控制的监督与纠正

第一百三十二条 商业银行应当指定不同的机构或部门分别负责内部控制的建设、执行和内部控制的监督、评价。

内部控制的建设、执行部门负责设计内部控制体系，组织、督促各业务部门、分支机构建立和健全内部控制。

内部控制的监督、评价部门负责组织检查、评价内部控制的健全性和有效性，督促管理层纠正内部控制存在的问题。

第一百三十三条 商业银行应当建立内部控制的报告和信息反馈制度，业务部门、内部审计部门和其他控制人员发现内部控制的隐患和缺陷，应当及时向董事会、管理层或相关部门报告。

第一百三十四条 商业银行内部控制的监督、评价部门应当对内部控制的制度建设和执行情况定期进行检查评价，提出改进建议，对违反规定的机构和人员提出处理意见。第一百三十五条 商业银行上级机构应当根据自身掌握的内部控制信息，对下级机构的内部控制状况定期做出评价，并将评价结果作为经营绩效考核的重要依据。

第一百三十六条 商业银行应当建立内部控制问题和缺陷的处理纠正机制，管理层应当根据内部控制的检查情况和评价结果，提出整改意见和纠正措施，并督促业务部门和分支机构落实。

第一百三十七条 商业银行应当建立内部控制的风险责任制：

（一）董事会、高级管理层应当对内部控制的有效性负责，并对内部控制失效造成的重大损失承担责任。

（二）内部审计部门应当对未执行审计方案、程序和方法导致重大问题未能被发现，对审计发现隐瞒不报或者未如实反映，审计结论与事实严重不符，对审计发现问题查处整改工作跟踪不力等行为，承担相应的责任。

（三）业务部门和分支机构应当及时纠正内部控制存在的问题，并对出现的风险和损失承担相应的责任。

（四）高级管理层应当对违反内部控制的人员，依据法律规定、内部管理制度追究责任和予以处分，并承担处理不力的责任。

第十章 附则

第一百三十八条 本指引第三章至第八章未作具体规定的商业银行其他业务或环节，应当按照本指引的要求建立和完善内部控制。第一百三十九条 本指引适用于在中华人民共和国境内依法设立的商业银行。

政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、农村资金互助社、金融资产管理公司、邮政储蓄机构、信托公司、财务公司、金融租赁公司、货币经纪公司等其他金融机构参照执行。

第一百四十条 中国银监会及其派出机构依据本指引及《商业银行内部控制评价试行办法》对商业银行做出的内部控制评价结果是商业银行风险评估的重要内容，也是中国银监会及其派出机构进行市场准入管理的重要依据。

第一百四十一条 本指引由中国银监会负责解释。第一百四十二条 本指引自公布之日起施行。