2020年1月26日星期日 14
对风险控制自评进行控制的部门或岗位
2020年1月26日星期日 15
内部控制是通过有关企业流程的设计和实施的一系 列政策、制度、程序和措施，控制影响流程目标的 各种风险的过程
内控系统是全面风险管理的重要组成部分，是全面 风险管理的基础设施和必要举措
一般说来，内部控制系统针对的风险一般是可控纯 粹风险，其控制对象是企业中的个人，其控制目的 是规范员工的行为，其控制范围是企业的业务和管 理流程
风险控制的对象一般是可控风险，包括多数运营风险 ，如质量、安全和环境风险，以及法律风险中的合规 性风险
2020年1月26日星期日 3
可能性 用作对事件发生概率或频率的定性描述。 频率：是以规定的时间内发生次数来表达事件发生率的量度
。 概率：是以特定事件或结果与可能发生事件或结果的总数之
判断是否增加控制措施
分析控制效果
风险评估结果
分析新增控制措施 确定新生增成控控制制措底施稿 确定实施部门
确定监控部门
风险评估 底稿
2020年1月26日星期日 12
风险控制 底稿
对于所有风险因素均需明确具体的控制目标
2020年1月26日星期日 13
对于经评估认为需要改进控制措施的，在新增控制措施填 列所增加的措施，对于不需要新增加措施的，可以不填
2020年1月26日星期日 16
企业制定风险解决的内控方案，应满足合规的要求，坚 持经营战略与风险策略一致、风险控制与运营效率及效 果相平衡的原则，针对重大风险所涉及的各管理及业务 流程，制定涵盖各个环节的全流程控制措施；对其他风 险所涉及的业务流程，要把关键环节作为控制点，采取 相应的控制措施。
风险评估 设计控制策略 设计控制措施 监控改进
2020年1月26日星期日 21
1.
建立初始 信息
2. 风险评估 信息沟通贯穿始终
3.
制定风险 管理策略
5. 监控改进
4.
制定实施解 决方案
2020年1月26日星期日 22
内控设计以流程为基础。因此，在建立内部控制系统时， 首先要梳理现有的管理和业务流程。必要时，建立相关 的流程
美国2002年通过的萨班斯法案将建立和维持有效的内控
系统作为对上市公司的法律合规息沟通 控制活动
单流 位程 单 2流2 位程
11
风险评估
2020年1月26日星期日 18
控制环境
全面性 – 覆盖企业所有重要业务及管理流程和流程的全 过程
系统性 – 按统一原则制定，与风险策略一致 合规性 – 符合国家有关法律法规 成本效益 – 控制与收益平衡 权力分离及相互制约 – 岗位之间相互制约，重要流程及
、H、M）时，可以认为控制不足，需要进一步采取 控制措施
控制过度 当采取控制措施后，风险等级能够从不可接受（E、H
、M）达到基本可接受L（低风险）或I（极小风险） ，但为此付出的控制的成本过高，适当减少控制时仍 能使风险处于可接受状态，此时可以认为控制过度
2020年1月26日星期日 11
控制目标
比，来量度的特定事件或结果的可能性。概率用数字0至1来 表达，0表示一个不可能的事件或结果，而1表示一个必然的 事件或结果。
影响性（Consequence） ：后果等级以定量或定性的方式表 示的一个事件的结果（一个事件可能有多个与其相关的结果 ）。
2020年1月26日星期日 4
风险点 是指风险因素在业务流程中环节的反映和表现。 损失 是指任何财务或其他方面的负面影响。 固有风险 是指在没有考虑控制活动的有效性或其他减小风险的措施
2020年1月26日星期日 6
流程内控制
控制与风险重合 控制环节前置 控制环节后置
2020年1月26日星期日
7
流程外控制 其他流程控制（如监控流程控制） 非流程控制（如政策控制、责任控制）
2020年1月26日星期日 8
风险与控制重合
控制 2 控制1 1
2
3
控制 3 4
5
控制 4 非流程控制5
2020年1月26日星期日 9
控制有效 当采取控制措施后，风险等级从不可接受（E、H、M）达
到I （极小风险）时，
控制基本有效 当采取控制措施后，风险等级从不可接受（E、H、M）达
到L （低风险）时，可
2020年1月26日星期日 10
控制不足 当采取控制措施后，风险等级仍处于从不可接受（E
风险控制是指控制风险事件发生的动因、环境、条件 等，来达到减轻风险事件发生时的损失或降低风险事 件发生的概率的目的
2020年1月26日星期日 2
通常影响某一风险的因素有很多。风险控制可以通过 控制这些因素中的一个或多个来达到目的，但主要的 是风险事件发生的概率和发生后的损失。前者的例子 如室内使用不易燃地毯，山上禁止吸烟等；后者的例 子如修建水坝防洪，设立质量检查防止次品出厂等
决策不能由一个人完成
2020年1月26日星期日 19
激励平衡 – 权责明确及奖惩结合 信息反馈 – 内部控制应有自我调节功能 可操作性 – 根据企业现有操作水平制定 包容性 – 不致因个别环节失灵导致全系统失灵
2020年1月26日星期日 20
按照风险管理的基本流程进行：
对象流程的环境信息，包括目标、全流程各个步骤、有 关法规制度
没有付诸实施之前 已经存在的风险。 剩余风险 是指在采取控制活动或其他风险减轻措施后所剩余的风险
。 可接受风险 是2020年指1月2其6日星程期日度已降低到银行考虑监管要求和内控政策5 后能接
内部欺诈 外部欺诈 就业制度和工作场所安全事件 客户、产品和业务活动事件 实物资产的损坏 IT系统事件 执行、交割和流程管理事
2020年1月26日星期日 17
内部控制的概念始于上一世纪初的财务控制，在80年代 以后逐渐受到各国的重视，特别是监管机构的重视。在 发展过程中，内部控制的理论吸收了控制论、系统论、 组织理论、行为科学、心理学、管理学等多学科的内容
美国COSO组织1992年的整合内控体系对世界各国公司 立法和管理影响巨大