内部控制建设方案和内部控制评价方案编制.docxVIP

内部控制建设方案和内部控制评价方案编制

内部控制建设方案与内部控制评价方案是组织治理体系的两根支柱，前者解决“如何搭好架子”，后者回答“架子是否牢靠”。二者共用一套风险语言，却在目标、技术路径、文档逻辑上呈现明显差异：建设方案以“设计有效”为终点，评价方案以“运行有效”为衡量；建设方案强调“从无到有”，评价方案强调“从有到优”。若将两份文件合并为同一模板，极易导致控制措施与测试程序混淆、缺陷认定口径漂移、整改责任边界模糊。基于财政部、国资委、证监会等监管框架，并吸收上市公司与大型国企近年实践，可将两份方案拆分为“共享底座＋各自扩展”的并行架构，既保持监管合规，又兼顾操作效率。

一、共享底座：同一套风险清单与三层控制结构

1、风险清单统一编码。以战略目标、经营目标、报告目标、合规目标为纵轴，以业务流程为横轴，建立“目标—风险—控制”三维矩阵，风险编号全局唯一，后续建设措施与评价程序均引用同一编码，避免“两张皮”。

2、三层控制结构。①公司层面控制：治理架构、道德文化、信息系统整体控制；②业务流程控制：销售、采购、生产、资金、投资、研发等端到端流程；③IT通用控制：访问安全、程序变更、运维管理、数据中心。建设方案与评价方案均按此三层展开，保证范围一致。

3、文档规范。统一术语表、统一缺陷分级标准（重大、重要、一般）、统一整改状态标识（已整改、整改中、无法整改），为日后持续监控和外部审计