一个“零缺陷”内控样本

　　“现在我们进入的是中国石油天然气集团公司（下称”中国石油“）流程管理信息系统的多主题界面，从这里可以看到任何一个管理部门信息或专业的流程管理信息。以采购部门为例，这是部门业务描述、这是岗位职责及相关负责人、这是岗位权限……”在中国石油信息管理系统中，人们只要轻点鼠标就可以瞬间查看任何部门的内控建设情况。

　　在这里，当记者见证中国石油这家大型跨国石油企业强大的内部控制体系时，记者也迫切期望为读者揭开其内控建设的神秘面纱。

　　“内控建设从梳理业务流程开始”

　　这是中国第一批开始内控建设企业的缩影。

　　2002年，美国时任总统布什签署了《萨班斯-奥克斯利法案》（下称“《萨班斯法案》”），要求加大的责任，强化财务披露义务。

　　2003年，在纽约及香港上市的中国石油，按照监管要求，开始了漫长的内控建设之路。

　　作为第一个吃螃蟹的人，当时没有人知道内控这只螃蟹该如何下手。

　　那一年，中国石油从各部门、专业公司和下属单位抽调30余人，成立内部控制项目组。

　　“我们那时候对内控的了解可以说是零，没有人知道什么是内控，也没有人知道该怎么做内控。”时任中国石油内控项目组负责人、现任中国石油内控与风险管理部副总经理周国芳向记者介绍当时的懵懂状态。

　　内控的探索之路如同摸着石头过河，边干边学，边学边干。

　　内控的目的就是帮助企业加强风险管理，提高管理水平，提升企业竞争力。也可以说，内控的核心就是风险管理。企业经营中面临的风险可以分为两个层面，一是企业决策面临的重大风险，需要管理层根据风险偏好，确定风险应对策略；二是业务层面的风险，需要企业内部制定相应的工作程序、工作流程，明确管控措施、岗位权责，通过规范的程序，保证风险得以防控，最终形成企业风险从战略到营运的立体防控格局。

　　随后，在一些系列学习和调研之后，中国石油决定借鉴国际大公司的成熟经验，并结合自身的管理实际，将其内控建设思路明确为：以流程管理为载体，以财务报告风险控制为切入点，步步推进，稳扎稳打。

　　流程管理的关键和核心是强调流程的权威大于部门权力，部门是资源库、信息库，但一项任务、一个项目是通过流程来完成的。而以流程管理为载体推进风险管理，就是借助流程管理的作用，赋予其新的内涵，将风险嵌入流程中，在业务流转过程中，识别风险并落实控制措施，从而实现风险管理落地。

　　“凡是加油站都是13个岗位”

　　2003年至2005年，中国石油内控建设的重要工作就是流程描述。

　　经历过那个阶段的内控体系建设的参与者现在回忆起来，感慨地说，那是一个人人谈内控、开口说流程的阶段。

　　“首先要明确部门的职责及业务范围，其次是梳理风险。那时候内控部门和业务部门在一起就讨论他们干什么工作，具有什么职责，这些职责由哪些岗位来履行，岗位有哪些权限，需要哪些管理办法来支撑，流程中存在哪些风险，应该采取什么措施。大家争得很热闹。”彼时，为了首先满足美国证监会对在美上市企业财务报告真实性、准确性和完整性的监管要求，中国石油首先以财务报告风险控制为切入点，重点规范了流程，并由此辨识了业务层面的重要风险，形成了一整套成熟的业务流程管理的制度和方法，随后在业务相对成熟的领域和部门逐渐展开流程梳理。

　　流程梳理，梳理什么？中国石油内控与风险管理部流程管理处处长曲传祥介绍，梳理的内容包括“主要业务、重要风险、关键控制、必备步骤”，基本工作程序包括“现状梳理、规范化设计、流程发布”三个环节。

　　以加油站为例。加油站的业务相对成熟，也比较稳定和简便，通过梳理和规范流程，实现了岗位职责、各项风险和应对措施的统一。曲传祥说：“虽然可能因地区、规模不同，工作人员的数量会有不一致，但在中国，凡是中国石油的加油站都是13个岗位，统一针对23项风险实施30项控制措施。”中国石油按照“自上而下、由易而难、逐步延伸”的实施策略，以总部业务主管部门为引领，推进重点专业流程梳理，成熟后作为公司专业流程规范，在公司所属各单位推广实施，形成端到端的全业务流程规范。

　　“零缺陷”通过外部

　　经过2年多的内控体系建设，2005年12月27日，中国石油《内部控制管理手册》摆在了每一位员工的面前，标志着中国石油内控体系全面进入正式运行阶段。

　　2006年，中国石油以“零缺陷”通过外部审计。

　　2007年，美国着名的《财富与风险》杂志评选全球金融界最具影响力的100位人物，中国石油总师王国梁排名第10位。对他的评价是：“以他的努力，引领处于加速成长期的中国企业管理进入遵循《萨班斯法案》的新时代”。

　　随着全面风险管理工作的持续深入，中国石油确立的以流程管理为载体，面向经营管理各领域，深入推进风险管理的总体战略帮助其实现了管理规范化的快速发展。

　　例如，在物资采购管理上，以业务流程为切入点，中国石油对物资计划、采购、供应、招标、存货等业务流程进行了重新梳理，加强对验收入库、发出、盘点及处置等关键环节的控制，制定了统一的物资验收单、物资出库单和基建物资验收单，明晰了保管岗与稽核岗的工作界面，明确了物资验收和出库的程序和依据，保证了物资入库和发出成本核算的及时准确。

　　同时，通过对业务流程的梳理，中国石油实现从单一的制度建设向多维度的体系建设转变，实现风险管理和内部管理机制的有机结合，将风险管理融入经营管理的各个环节。

　　不仅如此，中国石油还实现从传统管理向风险管理的转变：通过建立风险评估标准、程序、方法和运行机制，随同业务流程梳理，面向经营管理各领域开展风险辨识、风险分析和风险评价，建立了业务层面风险数据库，引领其从传统管理向以风险管理为核心的转变，更加突出了管理的重点，为提高其整体管理水平奠定了基础。

　　王国梁：内控体系建设是经营管理领域的一场深刻变革

　　中国石油在企业内控建设方面已经远远地走在了前面

　　2003年以来，中国石油以美国《萨班斯法案》为契机，率先在国内开展了内部控制与风险管理探索和实践，建立起全面覆盖和持续有效运行的内部控制体系，企业风险管理能力不断增强，管理水平得到了持续提升。日前《中国会计报》记者对中国石油总会计师王国梁就企业内控建设进行了专访。

　　《中国会计报》：请您谈一谈中国石油是如何开展企业内控建设的？

　　王国梁：2006年中国石油率先在上市公司中正式运行内控体系，2009年完成了未上市企业内控体系建设。

　　目前，中国石油已经建立起全面覆盖的内控体系。

　　中国石油开展内控工作，经历了3个阶段。2003年至2005年为探索建设阶段，这个时期主要标志是，建立了中国石油的内部控制框架，发布了第一部内部控制管理手册，建立了内控体系。2006年至2007年为巩固稳定阶段，这期间，我们通过狠抓内控执行，完善考核机制，确保了体系持续有效运行，连续以“零缺陷”通过外部审计。与此同时，我们将内控工作作为一个提高企业管理水平的有效手段，在未上市企业中全面开展内控体系建设。2008年开始，进入拓展深化阶段，内控体系向经营管理各领域拓展，其在企业管理中的作用更加突出。

　　中国石油全面开展的内控体系建设，既是一项满足资本市场监管要求的合规性工作，更是经营管理领域的一场深刻变革，是对中国石油优良管理传统的继承和发扬，是对改革开放30多年来经营管理经验的总结和创新，适应了公司快速发展的要求，实现了与国际先进管理方法的融合，促进了经营管理的系统化、程序化和规范化。

　　《中国会计报》：在采访中我们了解到，中国石油将内控融入到企业管理中，让员工人人心中有内控，而将“内控让我做”变成“我要做内控”需要一个过程。请问中国石油在这方面是如何做的？王国梁：为确保内控体系的有效执行，让公司广大员工了解内控、接受内控并自觉执行内控，把《内控管理手册》变成百万员工的行动，公司把培训宣传工作贯穿于内控体系建设的始终，先后编印《内控管理文件汇编》、《内控体系建设丛书》，供员工学习、理解。各部门组织编写了130余万字培训资料，公司举办培训班50余期。公司下属各单位开展了不同形式的宣传培训活动，累计 编制各类宣传学习手册、培训教材等资料1200余万字，举办各种形式培训班2000余期，培训人员30余万次，组织内控知识竞赛340多次。

　　通过广泛宣传和加强培训，内部控制的影响力扩大了，各级干部和全体员工对内控体系的了解逐步加深，认识不断提高。几年来公司内部已经逐渐形成了凡事讲内控、自觉执行内控的意识。

　　《中国会计报》：中国石油内控工作的目标是什么？王国梁：当前和今后一个时期，公司内控工作的总体目标是：按照集团公司建设综合性国际能源公司的战略部署，全面推进内部控制管理工作，建立起集团公司统一的，以风险管理为核心，较为完善和有效运行的内控体系，为公司又好又快发展提供有力保障。基本要求是，建立集团公司统一的内部控制体系框架，遵循公司战略目标、经营目标、报告目标和合规性目标，以控制环境、风险评估、控制活动、信息与沟通以及监督为主要内容，实现“全面风险管理、全部业务流程、全过程控制”的总体要求。

　　“全面风险管理”就是要建立起全面风险管理机制。按照全面风险管理要求，运用风险评估方法论，识别和评估经营管理中的重大风险，突出对重要经营业务和特殊风险领域的风险防控，建立系统的风险管理政策和完善的风险管理责任机制。

　　“全部业务流程”就是要建立公司业务流程管理制度与规范，进一步梳理和规范全部主要业务流程，实现流程统一、控制集中、界面清晰、简洁高效。

　　“全过程控制”就是要通过强化运行监督和测试改进，严格评价与考核，使管理的全过程处于受控状态，重点落实对关键环节的控制措施，促使执行力得以较大提升。

　　态度决定内控成败

　　78000余项岗位职责描述，实现1800多个不相容岗位分离；新建支持内部控制的规章制度3400多个，梳理、补充2800个，完善、修订4600个；10个月的测试，40余万个的抽取样本……这是一组并不全面的数字，但却清晰地描绘出中国石油在内控建设上所走过的每一步。

　　诚然，内控不是一朝一夕的事情，作为一项增强企业防范风险能力，提高企业管理水平的庞大的系统工程，它需要考虑方方面面。

　　中国石油内控工作开展之初，所属企业都设立了领导机构和专门工作班子，1600余人直接参与内控建设。始自2003年的内控建设，中国石油在人力、物力的投入上堪称庞大，但只要能够保证企业管理上水平，暂时的投入都是值得的。

　　很多即将或正在进行内控建设的企业经常担心内控流于形式，无法真正实现设定的目标。中国石油科技管理部的内控建设经验为其提供了很好的案例。

　　4月26日，部、证监会等五部委联合发布《企业内部控制评价指引》。

　　面对新的政策指引，中国石油依然抱着谦虚谨慎的学习态度，逐条进行对照梳理，将企业自身的内控与新的指引一一进行比照，查找差异，形成了厚厚的一摞摞文档。

　　或许，这才是诸多企业真正要学习的地方，那就是对待内控的态度……