1、业务流程图及风险控制管理文档要素解读 二二一三一三年三月六日年三月六日2主要内容一、内部控制简介二、流程管理的内容和作用三、业务流程图要素解读四、风险控制文档要素解读一、内部控制简介什么是内部控制？传统上对内控的认识：管理手册、规章制度 内部控制现代内控理论：系统化的框架 一、内部控制简介与传统管理观念的区别 信息流动：单向-双向乃至多向 职责分工：模糊-清晰 企业运营：行政指令式活动-自发主动式活动 档案管理：混乱-规整 管理目标：单一的股东利益最大化-经营有效性，财务报告的可靠性，法律和法规的遵从性 风险应对：专门部门强制进行-在日常经营活动中自主进行一、内部控制简介 内部控制体系评价是按
2、照规定的程序、方法和标准，对已经建立和实施的内部控制体系，从设计有效性和执行有效性两个方面对财务报告内部控制有效性进行测试、评估和报告的过程。从概念中我们可以得出，内部控制评价是一个过程，是一个对内部控制设计有效性和执行有效性进行测试、评估和报告的过程。内部控制体系评价的概念一、内部控制简介内部控制评价的概念包含了以下两方面的内容：1.内部控制体系评价的目标 开展内部控制体系评价的基本目标是确定内部控制的有效性。公司开展内部控制体系评价的基本目标是：确认内部控制方面是否存在控制缺陷，判断内部控制体系是否有效。各单位内控评价的目标是通过查找内部控制设计和执行有效性方面的不足，一方面作好落实整改工
3、作，为确保内控体系有效性提供合理保证；另一方面对发现的内控体系中与相应规范、标准、要求之间存在的偏差（即例外事项）进行分析，为缺陷认定工作奠定基础。通过各单位评价，为各单位发表内控有效性声明提供依据。一、内部控制简介2.内部控制评价的内容 内部控制评价包括内控测试、缺陷评估和评价报告等。1）内部控制测试是按照规定的程序、方法和标准，针对控制目标，对公司内部控制体系设计有效性和执行有效性进行检查，旨在发现内部控制体系在设计层面和执行层面是否存在偏差。2）缺陷评估是以规定的程序、方法和标准，对内部控制测试发现的例外事项进行综合分析，进而评估内部控制是否存在缺陷以及导致财务报告错报的影响程度和发生可
4、能性的过程。3）评价报告是在测试和缺陷评估结果的基础上，根据公司对外披露和内部控制管理的不同需要，对财务报告内部控制有效性进行综合或者单独评价及报告的过程。8主要内容一、内部控制简介二、流程管理的内容和作用三、业务流程图要素解读四、风险控制文档要素解读9 流程管理是内控体系建设的重要内容，是适应内外部环境变化，实施有效控制的重要手段，可以提高效率、防控风险、降低成本，是规范运作、实现科学发展的必然选择，是集团公司建设综合性国际能源公司的基础保障。以流程建设和运行为主线，把制度建设和执行、信息化建设和应用有机结合起来，可以梳理和构建公司的管理体系，有利于团队精神的培育，是推动公司科学发展的有效方
5、式。我们要通过推广流程化管理，优化、调动公司的整体资源，进一步增强全体员工的团队意识，发挥公司的整体优势，真正实现公司建设国内一流的跨国运输物流企业的发展目标。二、流程管理的内容和作用10 建立完善：符合业务实际、满足风险控制要求、涵盖经营管理 全部工作的业务流程。建立健全：支持有成有效、高效运行的保障机制，全面提升流 流程执行力和执行效率。流程管理内容和目标核心：流程建设关键：有效执行概念是一套达成企业各种业务环节整合的全面管理模式。涵盖：人员、设备、应用系统等优化组合实现：跨应用、跨部门、跨合作伙伴和客户的企业运作。二、流程管理的内容和作用11流程概念风险点流程名称控制要求必备步骤 负责人
6、组织机构 是业务发起到结束，在公司内部横向或纵向“流转”的一系列相互关联的、端到端的管理与操作活动，主要反映的是工作程序、管理权限和管控要求等，体现价值的创造、实现与保障的过程。简单地说：是能够产生某种结果（产品/服务）一系列行为程序或完成任务必不可少的过程。二、流程管理的内容和作用12规范、有效、优化规范、有效、优化 流程管理的优势和影响因素提高效率和效益改善工作质量固化业务流程实现自动化 管理优势实现团队合作优化流程向知识型企业转变 影响因素领导重视建设与执行业务人员参与流程负责人培训过程审计持续优化自动化13主要内容一、内部控制简介二、流程管理的内容和作用三、业务流程图要素解读四、风险控
7、制文档要素解读14责任、参与部门链接的风险控制文档?涉及哪些风险控制?职责职责相关的制度?流程相关的部门、职责和制度?14业务流程图的细节三、业务流程图要素解读15三、业务流程图要素解读EPC（列展示）用于描述业务流程图。流程图由功能、事件、组织单元、岗位、组、纸质文档、电子文档、应用系统、风险、控制等对象及其之间的连线关系组成；其中，功能（即流程步骤）与事件是流程的主线。16开始步骤结束执行的部门及岗位规范性文件及规章制度控制风险流转的文件及记录表单16 在解读流程图时，首先应该明确该流程的起点和终点，主要了解什么岗位在什么情况下（依据各种规章制度）做了什么并形成哪些文档或表格，并确定每一个
8、步骤所对应的实施证据等，这是流程图形成的基本要素，只有掌握了这一点，才能够更好的读懂流程图所表达的意思。三、业务流程图要素解读17A 职能带 职能带是流程图中的区域划分，表示不同组织在该流程中执行的功能。AB B 职能部门 职能部门表示职能带中各步骤的执行所有岗位所属部门。DEFCC 执行岗位 执行岗位表示执行流程中各功能步骤的岗位人员。D 功能步骤 流程图的功能步骤。E 风险标识 流程图中的风险标识。三、业务流程图要素解读F 控制标识 流程图中的控制措施标识。18G G 流程接口 引用其他流程作为此流程的前驱/中间/后继流程。H H 事件/判断 流程运行中所发生的状态改变。I 实施证据 功能
9、步骤执行输入/输出的表单。J 应用系统 执行功能使用的应用系统。I JK 连线 连接两个对象，通过箭头指向建立功能步骤执行指向。K 三、业务流程图要素解读19A SAP功能 流程中使用ERP系统执行的功能步骤。B SAP系统文档 ERP系统使用的文档。ERP蓝图建模规范较业务流程规范区别在于多了两个应用对象：三、业务流程图要素解读20业务流程的图形化描述方式：由每个功能步骤构成流程执行顺序，且每步骤具有清晰的主谓宾关系。职能部门步骤执行岗位 流程步骤流程接口判断事件流程风险标识流程控制标识实施证据表单应用系统三、业务流程图要素解读2121符号名称图形符号说明功能（步骤）描述业务活动步骤的内容一
10、般为：“动作+对象/结果”，如“编制出库单”、“审核费用申请”处理代码表示流程步骤执行的顺序编号，例如“01”事件业务活动过程中的事件点，如：开始、结束描述流程运行过程中所发生的状态改变，如：通过、不通过风险标识以编号形式体现流程中不同主题的风险点信息控制标识以编号形式体现不同主题风险点对应的控制点信息逻辑符号与：两个以上事件（功能）都必须产生；或：两个以上事件（功能）至少有一个产生异或：两个以上事件（功能）有且只有一个产生或与异或三、业务流程图要素解读22符号名称图形符号说明组织单元表示执行流程的职能部门组表示执行流程的职能部门或功能步骤的执行者岗位表示流程中功能步骤的执行者流程接口流程执行
11、时使用到的其他流程应用系统流程功能步骤涉及的应用系统22三、业务流程图要素解读23符号名称图形符号说明纸质文档流程功能步骤涉及的实施证据电子文档表示在应用系统数据库中储存的文档23u 注：流程步骤与文档之间有两种关系，如下图 一种是流程步骤输出文档，连线方向由流程步骤指向文档，此类文档是指由该流程步骤完成或者在完成步骤过程中产生的文档；另一种是文档作为流程步骤的输入，连线由文档指向步骤，此类文档是指在执行该流程步骤之前或者过程中会用到此文档。三、业务流程图要素解读2424三、业务流程图要素解读2525三、业务流程图要素解读2626三、业务流程图要素解读27 执行业务流程时，需关注以下内容，这些
12、内容同样是内控测试关注的要点：本单位/部门的实际业务是否存在，若存在，是否与流程所描述的内容相符。实际执行流程步骤是否与流程规范一致，是否完整，有无缺失。执行流程步骤的部门、岗位是否与流程规范一致。针对流程中已经标注的风险，结合实际业务的需要，确保已经设计的控制措施被严格、无遗漏的执行。实际业务中使用的表单是否与流程规范相符，表单上留下的签认痕迹是否与流程中要求的岗位一致。实际业务中，体现流程管理痕迹的表单，是否符合相应制度的要求。27三、业务流程图要素解读28主要内容一、内部控制简介二、流程管理的内容和作用三、业务流程图要素解读四、风险控制文档要素解读29 为配合描述业务流程，详细描述流程中
13、涉及的不同主题风险，并结合工作实际、科学合理的规避风险，从不同出发点设计风险的控制措施。执行控制措施时需关注以下内容，这些内容同样是内控测试关注的要点：控制措施是否被有效执行 实际执行的控制措施的方法、类型、频率是否符合流程规范 执行控制措施后，形成的证据表单是否与风险控制管理文档的要求一致，尤其是部门及岗位要求、时间要求、金额及数量要求等。四、风险控制文档要素解读30样表注：仅当“控制方法”列为“自动”时，“系统控制措施”、“应用系统控制所属模块”、“控制方式”这三列才有内容。30四、风险控制文档要素解读31文档表头：表头包含单位名称、编制部门、编制人、当前流程名称、最后更新时间、业务流程名
14、称对应当前末级流程的前两级流程名称。控制点编号、关键控制点编号：末级流程编码+”-”+风险编码+”-”+控制点编码。风险类别：分战略、经营、报告、法律这四大主题，区分风险类别。风险描述：对风险的内容进行详细描述，与风险数据库对应。控制类型：一般分为3种，预防性、发现性、补救性。控制方法：根据实际业务，分为人工控制、自动控制。控制频率：说明该控制多久控制一次，共有六种，分别为随时/日/周/月度/季度/年度控制实施证据：最能说明或证明执行过某项控制的书面证据。（可以是统一实施证据，也 可以是会议纪录或是电话记录等）控制文件的文号及名称：能够支持对应的控制措施的制度名称。31四、风险控制文档要素解读
15、32关键控制编号：末级流程编码+”-”+风险编码+”-”+关键控制点编码；关键控制点编码与集团公司保持一致。SP10.01.01-01-K132四、风险控制文档要素解读33系统相关控制措施：紧扣风险，详细描述实际采用的控制措施。控制措施的描述基本满足满足四要素，“谁”、“做了什么事”、“怎么做”、“留下了什么证据”系统相关控制措施：目前仅包含FMIS、AMIS系统控制措施、模块信息、控制方式。今后需增加ERP系统控制措施、模块信息及控制方式。33四、风险控制文档要素解读34业务流程图与风险控制文档的关联：通过风险标识与控制标识将业务流程图与全面风险控制文档关联起来。在流程图中分别采用如下图形表
16、示：风险标识 控制标识34四、风险控制文档要素解读35u 风险标识1)描述内容：流程中涉及的风险。风险标识是风险在流程图中的符号化展示。2)风险标识与各类风险控制文档中风险的关系：财务报告类风险：非系统类风险：F+报告风险序号，如“F3”,代表1个非系统类的报告风险：风险3系统类风险：F+报告风险序号+X，如“F2X”,代表1个系统类的报告风险：系统风险2 以“MP01.03.02 薪酬”为例，“MP01.03.02-01 与工资相关的信息不完整、不准确”对应的风险在流程图中标识为“F1”法律类风险：L+法律风险序号，如“MP01.03.02 薪酬”中“L5.7.2”代表1个法律风险：风险5.
17、7.2，对应法律风险防控手册中“L05.07.02 未按月足额支付劳动报酬”经营类风险:B+经营风险序号，如“SP03.03.02 公司中长期规划编制”中“B1”代表1个经营风险：风险1，对应投资业务风险控制文档（BRCD）中的“SP03.03.02-B01 中长期发展规划不适应公司内外环境的变化”35四、风险控制文档要素解读3636u 控制标识1)描述内容：流程中涉及的控制。2)控制标识的解读：财务报告类控制：非关键控制点的控制编号：F#.#M。F表示财务报告风险的控制，第一个#表示对应的风险编号，第二个#表示此为该风险的第#个控制；字母M表示手工控制。如F7.3M。关键控制点控制编号：FK
18、#应用系统关键控制点编号：FKA#法律类控制：形式为L.f/k/b/fk/fb/kb#.#.#L+“.”+“f（防范性）/k（控制性）/b（补救性）/fk（防范性+控制性）/fb（防范性+补救性）/kb（控制性+补救性）”+法律风险序号。例如：L.f1.1.1 经营类控制：与财务报告类控制的命名规则相同，只需要将“F”改成“B”。例如：B#.#M、BK#。四、风险控制文档要素解读373）与风险控制文档中风险相应控制的关系：与风险标识类似，控制标识是控制在流程中的符号化展示。例如“MP02.04.03.02.01 营业税”中：控制标识“F1.1M”对应RCD文档中控制措施“MP02.04.03.
19、02.01-01-M1”，同时由于该控制措施是关键控制，流程图中控制标识“F1.1M”附近还有一个控制标识“FK1”，在流程图中风险“F1营业税计算不准确”后有一个“（K）”。控制标识“F3.1M”对应RCD文档中控制措施“MP02.04.03.02.01-03-M1”，由于该控制不是关键控制，在流程图中“F3税务核算不符合纳税管理办法”后没有“（K）”标识。37四、风险控制文档要素解读38需掌握的知识点：1、熟悉内部控制体系评价的概念、目标和内容。2、了解流程管理的具体内容和作用。3、熟练掌握流程图EPC列展示，以及EPC列展示中的各种标识图标。4、熟练掌握风险控制文档要素，特别是财务、经营、法律风险标识对应的风险控制标识，以及风险控制文档中相对应的控制关系。3939
