从企业内控合规到风险管理方案.ppt

从内部控制到风险管理体系建设的总体蓝图 内控合规阶段 第一阶段 第二阶段 风险管理阶段 第三阶段 第四阶段 1 内部控制基础 体系建立 2 内控自我评 估及长效机制建立 3 风险管理 体系建立 4 重大风险应对及 智能型风险管理 主 要 内 容 ? 梳理核心业务流程，进 1 行穿行测试，诊断内控 设计缺陷，检查执行与 操作缺陷 ? 在公司总部建及试点单 位立内部控制体系，并 逐步在公司范围内全面 推广。 ? 实施 GRC 访问控制 / 流程 控制 ( 手工 / 自动化结合 ) ? 建立并推广内控自评及 2 内审独立测评的体系， 形成内部控制自我评估 长效机制。 ? 定期测试，更新内部控 制手册，编制内控自评 报告 ? 实施 GRC 流程控制 ( 全部 自动化 ) ? 开展风险管理工作，建立公 司风险管理的体系和风险管 理的工作流程 ? 采用“自上而下”或“自下而上” 的方式进行风险识别，建立 风险数据库，对风险进行全 面评估及排序 ? 风险管理体系与内控体系的 对接与融合 ? 实施 GRC 风险管理 ? 选定重大风险进行专项 应对，形成风险预警机 制。 ? 形成智能型风险管理体 系 ? 实现 GRC 平台与战略 管理平台联动 59 从内部控制到风险管理体系建设的总体蓝图 内控合规阶段 第一阶段 第二阶段 风险管理阶段 第三阶段 第四阶段 1 内部控制基础 体系建立 2 内控自我评 估及长效机制建立 3 风险管理 体系建立 4 重大风险应对及 智能型风险管理 主 要 内 容 ? 梳理核心业务流程，进 1 行穿行测试，诊断内控 设计缺陷，检查执行与 操作缺陷 ? 在公司总部建及试点单 位立内部控制体系，并 逐步在公司范围内全面 推广。 ? 实施 GRC 访问控制 / 流程 控制 ( 手工 / 自动化结合 ) ? 建立并推广内控自评及 2 内审独立测评的体系， 形成内部控制自我评估 长效机制。 ? 定期测试，更新内部控 制手册，编制内控自评 报告 ? 实施 GRC 流程控制 ( 全部 自动化 ) ? 开展风险管理工作，建立公 司风险管理的体系和风险管 理的工作流程 ? 采用“自上而下”或“自下而上” 的方式进行风险识别，建立 风险数据库，对风险进行全 面评估及排序 ? 风险管理体系与内控体系的 对接与融合 ? 实施 GRC 风险管理 ? 选定重大风险进行专项 应对，形成风险预警机 制。 ? 形成智能型风险管理体 系 ? 实现 GRC 平台与战略 管理平台联动 59 统一权控平台优化提升权限的集中申请和合规性管理 通过权限管控平台的技术功能，将控制环节固化在系统工作流中，并在工作流中明 晰各部门在不同环节中的职责： 合规部门 强化监督管理的功能： 通过管控平台提供的实 时管理报表，实时监督 控制执行情况、管理权 限风险。 IT 部门 减轻手工维护权限工作量： 业务部门 利用管控平台权限自动配置 功能，将 IT 部门从繁重的手 工维护权限工作中解放出来， 从而关注于技术支持、系统 维护等 IT 职能。 承担更多的职责，增强权限管控的主动性： 通过系统工作流的固化，使得控制环节在权 限维护流程中是业务部门必需执行的步骤。 访问权限管控平台 33 2015 某著名大型石油央企访问控制系统架构 ? 集中部署统一的权限管理应用系统，实现权限的集中申请和合规性管理。 用户平台 各企事业 内部支持队伍 系统关键 单位 用户 审核人 系统入口 权限管理员 内控部门 信息管理部 外部审计 待办集成 展示门户 权限管理应用 GRC 权限管理应用核心功能 报表和表单 ERP 系统权限 合规性检查 用户认证管理 各平台权限申请 报表和表单 流程管理 数据分级管理 合规性规则库 用户授权库 服务总线平台 应用平台 接口配置 数据映射管理 ERP 系统应急 账号管理 日志管理 应用平台 ERP 系统平台 上市 ERP 未上市 ERP 人力资源 海外 ERP 决策支持平台 用户平台 集成平台 （ BPM ） 自主开发 应用 34 某著名大型石