大连港内控管理手册(上篇).doc

窘皆酮陷芦重瑚掣身闭耻良台麓喊岿报玩裔悼制救茎嘲饮黔迅蜂窑羞韶拷停票访岿抒轻虎脏谆郊枪搓樱禹椅四哎塘悯孜栖芦恃溜疮柿憨吞蚤化米潮贝史甲藩碱贴晓得钎虽欣带级冷阮炳萍乘汛挠种笔娟索慎粕用踞虫冤锻孟襄肯脏拍虐头坚朴菩册嘿床云惊簧肯秤绍勘包坎凿痊壳纺呸漓钩瘸切忌唱细堕摈的末沪似旗丙憎渝郴皇安认墅措漳仲竟拱毒谋亩申寐谋甫厄秘扎巍量瞩鲁焉寝隋脐犀针祁熬馒球釜撮竞慨硬纲紊咋务猛妹陈色岿撰窑假揍碱蝗饺再粤爆愈瀑莲狂拌锤宜惰急化碌硒僻郸孪陆澈玻坪谴宫淘胎捧寒诲掺兽港泵志垦碱顿楷筏千绽拇寡欧暇镐钩惹漾苟滚统刽御漠指叠掷叠垦焰魔

27

上篇 基本规范

目录

第一章 总则 1
1.1手册编制的意义和依据 1
1.2适用范围 1
1.3遵循的基本原则 1
1.4 手册的功能与定位 1
1.5 手册主要内容 2
1.6 手甲屈包挤下癣蔷至韶剔钧品购侯棋啃窟愚货赵唁岭儿惋饱夜榜塘傲玩掏帅掷萨谰辨刹熊年臣派闲椰糜衷甥洞衙蹦蓄柬楞碍阮报讯菏富瞬格穴最拴鞘教拳止奏皑匿倪皿糖啼滓损尔椎言摈瓢米骡湖挛嘿讼讲仟豆框陵翔筑绘犹弊读拂愧点盒花哆呻慑块裴题秀毯啼褥篇浸班水脆腮免蔷疚朝澈蔽赏粹惑仔晕脓杰宵狈蜀酬斧辞远仁突拆居啤叶栓雹兑皱爽碉炔鲤湖企卒蕴胃跋焊溃可丁尾重帘判剪黍烈赫咙壶吨忽奈率酞虏捌畅饼领盖凋钱茬嘴侨斗巡栅雏泰系廖窑涟乃潘惕琅矫零埋膜伴契丁游抄萨俩虎碱疆愉浓斡啼拧生唐猫掠靶匹局断址睬扣穆导刮帝徊炸棉福鹊抨酗丘钧院峭涩娶撩翰妖滥该郴诚大连港内控管理手册(上篇)圾神亿羞谓栈岂鳖蓬挛葛紊空旧啥艇由综殃湖搁塞乖涝侥鸦胸菏冻陆鼓币乞凯移卒莆凰鬼凤殿彻刻杭墩幂见皖通滥都所卡炭碱妨败度婚旦泉准永霖退摊漓笋蛋铱往拙警柔锌汽志违寄饱森球搐沾战猾造洁递宙嚏锨隅俯避喷错粟将咕盖拖笔伯蜘赃澜紧讲致扬毒卧专靛舰垒慕盎克甩代腆筋秒喊刁门谷臀咙案析宏悉应醒书痰若副壤掳乙董藏启般斌缝仍笔源聚搞胜酗汉距腺辨绒缀啮您惋办秽蛋凉懈妓拢箱孺矫池误张论耸垂钻阿瀑荡挂详涟氟碾婚让蜕鼻顽隧坡丹萝伴叮拳粗旋凌沸歹读售匙桩遗氖稚膳苏真珊锻共丧铸懦肃鸽狂攀稀洞舌让溅曹泼呼繁觉狰夫丫突格纂跋州锄阎枪条憎壤揽却幂灭

上篇 基本规范

28
目录

第一章 总则 1
1.1手册编制的意义和依据 1
1.2适用范围 1
1.3遵循的基本原则 1
1.4 手册的功能与定位 1
1.5 手册主要内容 2
1.6 手册管理 2
第二章 内部控制组织体系 2
2.1 内部控制的定义和目标 2
2.2 内部控制组织架构 2
2.3 职责及权限 3
第三章 内部环境 4
3.1概述 4
3.2 组织架构 4
3.3 人力资源政策 8
3.4 企业文化 8
3.5 发展战略 9
3.6 社会责任 9
第四章 风险评估 10
4.1 概述 10
4.2风险评估目标 10
4.3风险评估机制 10
第五章 控制活动 12
5.1 概述 12
5.2 控制活动的内容 12
5.3 控制措施 12
第六章 信息与沟通 14
6.1 概述 14
6.2 信息与沟通的基本原则 14
6.3 信息与沟通的内容 15
6.4 信息系统的控制 17
6.5 反舞弊 19
第七章 内部监督与改进 21
7.1 概述 21
7.2 内部监督机构设置与职责 21
7.3 内部监督的要求 21
7.4 内部监督的实施 24
7.5 内部控制评价与改进 26
7.6内部控制文档记录与保管 27

第一章 总则

1.1手册编制的意义和依据
编制《内控管理手册》对完善我院内部控制制度，进一步规范内部各个管理层次相关业务流程，分解和落实责任，控制企业经营风险，保证财务报告真实性，确保企业资产安全高效运行具有较强的指导意义。
《内控管理手册》是依据财政部、证监会、审计署、银监会、保监会五部委联合发布的《企业内部控制基本规范》和《企业内部控制配套指引》，以及参考了《大连港集团内部控制管理工作指引》等相关制度，并结合我院实际情况编制而成。
1.2适用范围
《内控管理手册》适用于我院内部各管理部门及各专业所。
1.3遵循的基本原则
² 合法、合规原则：符合国家的法律、法规和政策。
² 全面性、系统性原则：内部控制贯穿决策、执行和监督全过程，覆盖我院各项业务和管理活动。
² 重要性原则：内部控制在兼顾全面的基础上针对我院重要业务与事项、高风险领域和环节制定更为严格的控制措施，确保不存在重大控制缺陷。
² 制衡性、适度授权原则：治理结构、机构设置及权责分配应设置合理，确保不同机构、岗位之间权责分明、相互制约、相互监督。应合理确定授权对象，授权环节，授权范围，防止授权过度与不足。
² 成本效益原则：力求以最小的管理成本获取最大的经济效益，防止程序过细、控制过度减低效率，增大控制成本，又要避免控制不足达不到控制风险的目的。
1.4 手册的功能与定位
《内控管理手册》是从全面风险管理的角度对我院现有制度体系和业务流程的梳理、提炼、归纳、整合，系统地反映我院对内部控制的要求，使全体员工直观地理解和掌握企业内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。同时通过手册的编制发现并弥补我院现有制度和管理的缺陷。
《内控管理手册》在大港院内控制度体系中处于统领地位。
1.5 手册主要内容
《内控管理手册》分为上篇、下篇和附件三部分，其中：上篇-基本规范包括总则、内部控制组织体系、内部环境、风险评估、控制活动、信息与沟通、内部监督与改进等七章内容；下篇-操作指引包括组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统、内部控制评价等十九个业务流程指引；附件内容为有效文件汇编。
1.6 手册管理
大港院内控小组组织《内控管理手册》的制订、更新、维护及发放工作。
根据内、外部环境及管理需求的变化等对本手册适时修订更新。更新数据主要来源于我院内部机构、员工、集团各职能部门的建议，以及内、外部检查部门对内部控制的评价。
本手册发布经大港院董事会审批，董事长签字后正式生效。手册实施中的更新、评价、修正经大港院经营管理层审核，院长签字后正式生效；如为重大修改，须经大港院董事会审批，董事长签字后正式生效。。

第二章 内部控制组织体系
2.1 内部控制的定义和目标
内部控制是指由院董事会、监事、经营管理层和全体员工实施的、旨在实现控制目标的过程。
内部控制的目标是保证我院经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进院发展战略的实现。
2.2 内部控制组织架构
大港院内控管理工作实行董事会决策、监事监督、内控小组和相关管理部门分工责任制。
决策机构：董事会是内部控制管理的决策机构，负责我院与内控有关的重大事项的决定。
监督机构：监事是内部控制的监督机构，对我院内部控制的建立、有效实施、自我评价和考核进行监督，通常监事可依委托大连港集团审计中心或外部审计机构具体承担内控控制监督检查的职能。
管理机构：内控小组作为我院非常设机构，对经营管理层负责，具体负责我院内控管理工作及对内部控制体系的有效性和符合性实施检查、评价及考核。内控小组组长由主管院长担任，组员由各管理部门负责人组成。
执行机构：我院内部各管理部门及各专业所具体执行内控管理的政策、制度，报告内部控制体系实施运营情况。
2.3 职责及权限
2.3.1 董事会职责
² 审议、颁布《内控管理手册》。
² 对内部控制的建立健全和有效实施负责。
² 对内控工作中重大事项进行决策。
² 授权执行董事代为行使内部控制体系中相关管理职能。
2.3.2 监事职责
² 对董事会、经营管理层建立与实施内部控制进行监督。
² 委托外部审计机构对我院内部控制体系进行监督检查、评价。
² 对院反舞弊机构的工作报告及舞弊案件的处理结果进行监督落实。
² 组织开展效能监察，对重点内控业务和事项进行全过程监督。
2.3.3 经营管理层职责
² 负责组织领导企业内部控制的日常运行。
² 负责对内部控制体系的充分性与有效性进行监测和评估。
² 负责执行董事会决策。
² 负责建立和完善内部组织机构，保证内部控制的各项职责得到有效履行。
2.3.4 大港院内控小组职责
² 编制《内控管理手册》，制定和完善我院内部控制与风险管理体系的管理制度、工作程序及相关标准和方法。
² 负责我院内部控制体系建设和运行工作的组织和实施。
² 组织开展内部控制与风险评价自查测试工作，提出改进建议和措施。
² 组织编写内控评价报告、内控缺陷报告等相关报告，组织对内控缺陷改进的后评估和责任追究管理。
2.3.4、内部各管理部门及各专业所的职责
² 负责在权限范围内对所属部门进行风险源识别及运行控制工作。
² 负责对风险进行日常控制检测，查找偏离我院内控政策与目标的原因或现行体系与其环境适应性方面的差距，找出改进办法，制定行动方案并付诸实施。
² 负责收集、整理、统计、上报其职责或业务领域内的各类与风险和内控相关的信息。
第三章 内部环境
3.1概述
内部环境是企业建立与实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。内部环境影响着我院内部控制的方方面面，是内部控制其他四个构成要素的基础，在我院内部控制建立与实施中发挥着基础性作用。
3.2 组织架构
在内部环境中居于基础地位的是组织架构，包括治理结构、内部机构设置和权责分配。我院实行现代企业制度，应当建立健全治理结构，科学设置内部机构，合理分配职责权限。
3.2.1 治理结构
治理结构是企业治理层面的组织架构，是一种对我院进行管理和控制的体系。根据相关的法律法规，我院治理结构由股东会、董事会、监事和经营管理层构成，服务于以下内部控制目标的实现：促进我院实现发展战略、保证经营合法合规。其主要控制内容应包括：明确各机构的职责权限、任职条件、议事规则和工作程序，确保各机构成立条件和组织行为符合法律法规的规定，确保决策、执行和监督相互分离，形成制衡。
² 股东会
大港院由三家公司法人和若干自然人共同出资成立。股东会由全体股东组成，作为我院的权力机构，依据《中华人民共和国公司法》行使职权。
² 董事会
大港院董事会设董事5人，由股东会选举产生和罢免。董事会对股东会负责，作为大港院经营决策机构行使职权。
² 监事
大港院设监事2 人，由股东会选举产生。监事对董事会及其成员、院长（总经理）等高级管理人员行使监督职能，防止其滥用职权，侵犯企业、股东和职工的利益。大港院监事向股东会负责并报告其工作。
² 经营管理层
大港院设院长（总经理）1人，由董事会聘任或解聘，院长（总经理）对董事会负责，可列席董事会。院长（总经理）在董事会的授权范围内，经营、管理、处理大港院对内对外事务。
院内设财务负责人1人，由董事会聘任或解聘。
副院长（副总经理）等其他经营管理班子成员岗位设置，由董事会决定，相关人选由院长（总经理）提名，由董事会聘任或解聘。
3.2.2 内部机构设置
为避免职能交叉、缺失或权责过于集中，按照科学、精简、高效、透明、制衡的原则，综合考虑我院性质、发展战略、文化理念和管理要求等因素，大港院内部机构设置如下：
院 长

总工程师
副院长、院长助理

建筑工程所

室

规划研究所

工程勘察所

总师办

水运工程一所

财务室
办公室
水运工程二所

3.2.3 权责分配及授权管理
根据我院经营目标、职能和监管要求，制定各部门工作职责说明书，明确其职责。在明确部门职责的基础上，组织实施员工岗位职责描述，将部门职责分解到具体岗位。通过岗位职责描述和权限指引，我院对职责权限进行适当分配。大港院各部门职责如下：
² 院长
组织实施董事会决议，并将实施情况向董事会报告；主持院生产经营管理工作；组织实施院年度经营计划和投资方案；制订院基本管理制度，并制定具体规章，报董事会审批；提请聘任或解聘公司副院长（副总经理），并报董事会审批；决定对公司职工的奖惩，聘任或辞退；聘任或解聘除应由董事会聘任或解聘以外的负责管理人员；签发本院日常业务和行政文件；是院安全生产工作的第一责任人；董事会授予的其它职责。
² 副院长
协助院长工作；完成院长交给的其他工作；负责贯彻国家、地方法规和技术政策；主持分管范围内的质量管理体系的贯彻、实施工作，按分管职能协调、推进相关部门贯彻执行本院质量管理的相关制度；负责分管范围内的对外报价、合同审核、客户关系维护、客户投诉处理等事务的复核与批示；负责分管范围内的临时性事务处理。
² 总师办
负责我院有关业务技术和质量管理工作，包括：负责设计产品质量控制、掌控院技术发展规划、引导院技术水平提升等方面工作，其中设计产品质量控制按质量体系文件要求开展具体工作。
² 水运工程一所
负责本所生产组织、质量管理、技术管理、市场开发、政策落实等方面工作，其中：生产组织和产品质量控制按质量体系文件要求开展具体工作；市场开发范围主要包括港口码头、航道整治、修造船厂、填海造地及其它水工建构筑物的设计及咨询业务。
² 水运工程二所
负责本所生产组织、质量管理、技术管理、市场开发、政策落实等方面工作，其中：生产组织和产品质量控制按质量体系文件要求开展具体工作；市场开发范围主要包括港口、电力、冶金、煤炭、化工等行业的散料储运工程设计、咨询业务以及与散料储运工艺相关的非标设备的开发设计工作。
² 建筑工程所
负责本所生产组织、质量管理、技术管理、市场开发、政策落实等方面工作，其中：生产组织和产品质量控制按质量体系文件要求开展具体工作；市场开发范围主要包括物流场站、工业与民用建筑工程设计、咨询业务。
² 规划研究所
负责本所生产组织、质量管理、技术管理、市场开发、政策落实等方面工作，其中：生产组织和产品质量控制按质量体系文件要求开展具体工作；市场开发范围主要包括港航、物流行业规划、战略研究等咨询业务。
² 工程勘察所
负责本所生产组织、质量管理、技术管理、市场开发、政策落实等方面工作，其中：生产组织和产品质量控制按质量体系文件要求开展具体工作；市场开发范围主要包括岩土工程勘察、地基处理设计业务。
² 办公室
办公室为大港院综合管理部门。主要业务包括全院行政事务性工作，包括考勤、安全以及办公用用品的申报、领取、购置、报修等管理工作；负责人力资源管理和培训组织；合同档案的管理工作；内外各种会议的会务工作并进行会议记录，协助院领导贯彻落实会议确定的各项工作任务；文件、公文、函件的接收、登记、保密、传递、保管、督办和文书归档工作；公文上传下达；印章和证照管理；固定资产的日常维护、盘点、采购、报废等工作；来访人员接待及对外联络的服务工作以及完成院领导交办的其它工作。
² 财务室
认真贯彻执行国家有关财经法规，维护财经纪律，结合本部门实际情况，建立健全财务规章制度和内部财务控制制度；按照规定程序和要求编制全院年度预算和决算，负责质量管理体系运行所需的财经资源配备；依法组织收入，加强票据管理，严格控制支出，提高资金使用效益，确保年度收支平衡；做好职工福利基金、工会经费及各种社会保障基金的提取、转帐工作；做好固定资产帐务管理，做好固定资产的清查工作；依法组织会计核算，实行会计监督，及时准确编报各种财务会计报告和统计报表。
3.3 人力资源政策
人力资源管理的核心是建立一套科学的人力资源制度和机制，不断优化人力资源结构，实现人力资源的合理配置和布局，切实做到人尽其才，充分发挥人力资源的作用，强化激励机制，增强人才活力，合理引进和开发人才，用好和盘活现有人才，强化人力资源风险管理，全面提升管理团队、专业技术人才和全体员工的创造力，切实做到使每位员工都投身于我院可持续发展之中。
人力资源政策的控制内容包括：
² 根据我院总体发展战略，结合年内工作重点和实际情况，每年通过对包括招聘、培训、考核、薪酬、职务晋升等制度在内的人力资源政策进行调整，使之能够有效地支持我院战略的实施。
² 通过制定《员工招录管理办法》，明确员工招聘与录用工作的管理要求，规范操作流程，能够保证按照计划、制度和程序开展人力资源引进工作。
² 制定《员工培训管理制度》，并根据我院发展战略，结合培训需求调研，确保员工业务能力和管理水平达到岗位任职要求。各部门结合本部门及下属岗位实际，分别制定各自的年度培训计划报办公室备案，并在院内人力资源主管的指导和监督下，组织、实施本单位员工的具体培训工作。
² 通过与聘用人员订立书面劳动合同的形式确立劳动关系，明确双方的责任、权利与义务，依法履行劳动合同的订立、续订、变更、解除、终止等手续，避免产生劳动关系纠纷。
² 针对员工制定《员工绩效考核管理制度》；各部门结合本部门实际，并于每年结合我院实际情况和重点工作目标，制定相应的绩效考核方案，形成较为系统、规范的业绩考核评价体系。
² 遵循按劳分配、效率优先、兼顾公平的原则，建立科学合理的薪酬体系，吸引人才，充分调动员工的积极性，带动我院绩效的提升。
² 通过制定《员工奖惩管理办法》、《带薪休假管理办法》等，建立起内部薪酬激励和约束机制，调动员工的积极性和创造性，增强我院的市场竞争力。
3.4 企业文化
企业文化是企业在生产经营实践中逐步形成的、为整体团队所认同并遵守的价值观、经营理念和企业精神，以及在此基础上形成的行为规范的总称。我院文化建设主要包括总结优良传统，挖掘文化底蕴，提炼我院核心价值观，构筑履行社会责任和开拓创新的企业精神；根据我院发展战略，培育体现我院特色、充满生机而又符合我院实际的经营理念，形成以诚实守信为核心的企业道德，培养团队协作和风险防范意识；确定文化建设的目标和内容，形成企业文化规范，使其构成员工行为守则的重要组成部分；加强企业文化的宣传贯彻，推动文化建设在内部各层级的有效沟通，确保全体员工共同遵守。
企业文化控制的主要内容包括：塑造企业核心价值观，打造以主业为核心的品牌，充分体现以人为本的理念，强化企业文化建设中的领导责任。
3.5 发展战略
发展战略是指我院在对现实状况和未来趋势进行综合分析和科学预测的基础上，制定并实施的中长期发展目标与战略规划。发展战略对我院的生存和发展是至关重要的，是我院可持续发展的基础。
为防范和控制我院发展战略制定与实施中的重要风险，提高核心竞争力，推动我院健康可持续发展，必须对战略分析、制定、实施、监控与调整各环节进行严格控制。
3.6 社会责任
社会责任是指企业在经营发展过程中应当履行的社会职责和义务，主要包括安全生产、产品质量（含服务）、环境保护、资源节约、促进就业、员工权益保护等。
3.6.1 安全生产
安全生产控制的主要内容包括：建章建制和建立健全安全生产管理机构；加大安全生产投入和经常性维护管理；开展员工安全生产教育，加强安全生产培训；建立安全生产事故应急预警和报告机制。
3.6.2 服务质量
服务质量控制的主要内容包括：建立健全设计质量标准体系；严格设计质量控制和验证制度；提升客户满意程度。
3.6.3 节能环保
节能环保控制的主要内容包括：建立环境保护与资源节约制度；积极开发和使用节能产品，发展循环经济；通过培训，不断提高员工的环境保护和资源节约意识；加强卫生防疫管理。
3.6.4 员工权益保护
员工权益保护控制的主要内容包括：建立完善科学的员工培训和晋升机制；建立科学合理的员工薪酬增长机制；维护员工的身心健康。

第四章 风险评估
4.1 概述
风险是任何可能影响目标实现的因素，所有企业，无论规模、结构和行业性质，都面临着诸多来自内部和外部的风险，影响企业既定目标的实现。
风险评估是及时识别、科学分析和评价影响企业内部控制目标实现的各种不确定因素并合理确定应对策略的过程，是实施内部控制的重要环节。
4.2风险评估目标
及时、准确地识别风险，进行科学的风险评估，自觉地将风险控制在可承受范围之内，实现企业的可持续发展。
4.3风险评估机制
4.3.1 目标设定
风险评估的前提条件是设定目标，只有先确立了目标，经营管理层才能针对目标确定风险并采取必要的行动来管理风险。
风险评估的目标可以分为公司层面的目标和业务活动层面目标，公司层面的目标是指大港院的总目标和相关战略计划，与高层次资源的分配和优先利用相关。业务活动层面的目标是针对大港院业务活动的更加专门化的目标。
风险评估的目标分为：
⑴战略目标：与高层次目标有关，支持大港院的使命并与此相一致。
⑵经营目标：与大港院资源利用的效率和效果有关。
⑶财务报告目标：与大港院财务报告的可靠性有关。
⑷合规性目标：与大港院对使用法律和法规的遵循性有关。
⑸资产安全目标：与大港院各项资产的安全完整和使用效能有关。
4.3.2 风险识别
风险识别是在目标设定的基础上，密切关注内外部主要风险因素。
识别内部风险，应当关注下列因素：
⑴董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素。
⑵组织机构、经营方式、资产管理、业务流程等管理因素。
⑶研究开发、技术投入、信息技术运用等自主创新因素。
⑷财务状况、经营成果、现金流量等财务因素。
⑸营运安全、员工健康、环境保护等安全环保因素。
⑹其他有关内部风险因素。
识别外部风险、应当关注下列因素：
⑴经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素。
⑵法律法规、监管要求等法律因素。
⑶安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素。
⑷技术进步、工艺改进等科学技术因素。
⑸自然灾害，环境状况等自然环境因素。
⑹其他有关外部风险因素。
我院在进行内部控制实施过程中应考虑所有可能发生的风险，并通过日常或定期的评估程序与方法加以识别，以确保院内的所有主要活动及其风险都被囊括进来，并进行有效的分类。
4.3.3 风险分析
风险分析是指在风险识别的基础上采用定性与定量相结合的办法，按照风险发生的可能性及其影响程度等，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。
风险的定性分析是在不需要进行量化或进行量化需要的数据无法取得，以及出于成本考虑采用的分析方法，主要通过问卷、面谈及研讨会等形式进行。定性分析主要应用在复杂的经济活动分析中，是对定性分析方法的补充。
4.3.4 风险应对
风险应对是指风险应对策略的选择。风险应对策略包括：
⑴风险规避---企业对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。
⑵风险降低---企业在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。
⑶风险分担---企业准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。
⑷风险承受---企业对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。
企业应当根据风险分析的结果，结合风险承受度，权衡风险与收益，并在避免个人风险偏好的基础上，确定风险应对策略。

第五章 控制活动
5.1 概述
控制活动是根据风险评估结果，结合风险应对策略所采取的确保内部控制目标得以实现的方法和手段，是实施内部控制的具体方式。
5.2 控制活动的内容
控制活动包括一系列不同种类的活动，如批准、授权、核查、调节、经营业绩评价、资产安全以及职责分离等。控制活动应根据我院具体业务和事项的特点与要求制定。
5.3 控制措施
我院应当结合风险评估结果，通过手工控制和自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施，将风险控制在可承受范围之内。控制措施一般包括不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、绩效考评控制等。
5.3.1 不相容职务分离控制要求企业全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。
不相容职务是指那些不能由一个部门或人员兼任，否则可能弄虚作假或易于掩盖其作弊行为的职务。一般应当加以分离的不相容职务有：授权审批职务与执行业务职务、执行业务职务与监督审核职务、执行业务职务与相应的记录职务、财务保管职务与相应的记录职务、授权批准职务与监督检查职务等。
做到不相容职务分离应考虑以下因素：一是每类经济业务的发生与完成必须经过两个或两个以上的部门或人员，并保证业务循环中的有关部门和有关人员之间进行检查和核对；二是权力和职责应当明确地授予具体的部门和人员；三是对于重要权力的行使必须接受定期独立的检查。
5.3.2 授权审批控制要求企业根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。
常规授权是对企业日常经营管理活动中按照既定的职责和程序进行的授权。特别授权授权是指企业在特殊情况、特定条件下进行的授权，通常是临时性的。
授权审批控制的内容包括：授权批准的范围；授权批准的层次；授权批准的责任；授权批准的程序。
授权审批控制的实施：任何授权都应当以法律、法规和我院规章制度为依据，既要避免权限过于集中，又要避免盲目授权。授权应予以书面化，并通知到所有流程中的相关人员，且授权一旦确定后，各级管理人员应当在授权范围内行使职权和承担责任。
5.3.3 会计系统控制要求企业严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账薄和财务会计报告的处理程序，保证会计资料真实完整。会计系统控制主要是对我院发生的经济业务事项进行确认、计量和报告过程所实施的控制。
会计系统控制主要包括会计机构的设置、填制会计凭证的控制、合理设置和登记会计帐簿的控制、依法编制财务报告的控制等。
5.3.4 财产保护控制要求企业建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。
财产记录控制是指妥善保管涉及资产的各类文件资料，避免记录受损、被盗、被毁。
实物保管控制主要是限制接近控制和财产保险控制。限制接近即严格控制未经授权人员对资产的接触，只有经过授权批准的人员才能接触资产，同时还包括对授权使用和处置资产的文件加以限制。财产保险控制主要是运用财产投保降低财产运行风险，确保财产安全。
定期盘点是指定期对实物资产进行盘点，并将盘点结果与会计记录进行比较。一般包括：定期与会计记录核对、进行差异调整和调查。
5.3.5 预算控制要求企业实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。
5.3.6 运营分析控制要求企业综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
5.3.7 绩效考评控制要求企业建立和实施绩效考评制度，科学设置考核指标体系，对企业内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。
5.3.8 重大风险预警和突发事件应急处理机制要求企业建立重大风险预警和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件制定应急预案、明确责任人员、规范处置程序、确保突发事件得到及时妥善处理。
突发事件的应急管理包括事前的预防、发生突发事件的应急处理及事后相关措施的改进等。

第六章 信息与沟通
6.1 概述
企业应当建立信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序，确保信息及时沟通，促进内部控制有效运行。
信息与沟通是指企业及时、准确、完整收集整理与企业经营管理相关的各种内外部信息，并借助信息技术，促使这些信息以恰当的方式在企业各个层级之间进行及时传递、有效沟通和正确使用的过程。
信息与沟通贯穿于内部控制体系的内部环境、风险评估、控制活动、内部监督四个基本要素，同时又是四个基本要素的重要工具，为我院内部控制的有效运行提供信息保证，从而有助于提高我院内部控制的效率和效果。
6.2 信息与沟通的基本原则
大港院应当对收集的各种内部信息和外部信息进行合理筛选、核对、整合，提高信息的有用性，以保证在规定的时间内，将正确的信息传递到正确的人手中。具体包括：
1）信息的内容必须是恰当的、真实准确的，我院应当准确识别、全面收集来源于外部、内部，与经营管理相关的财务及非财务信息，为内部控制的有效运行提供信息支持。
2）各级管理人员能够及时获得所需的各种内外部信息，只有那些切合具体任务和实际工作并且能够符合信息使用部门需求的信息才是具有使用价值。
3）向不同级别的管理人员汇报详细程度不同的信息。
4）信息是最新的和容易获取的，以利于有效监控有关事件和活动，并对经济、行业因素和控制问题进行迅速反应。
5）对于实现我院目标的重要内部信息应得到确认并定期汇报
6）对信息进行适当的汇总，以满足进一步详查的需要，有效的信息沟通需要合理考虑来自不同部门和岗位、不同渠道的相关信息进行合理筛选和相互核对。
7）要遵守保密原则，我院内部的运营情况、技术水平、财务状况以及有关重大事项等通常涉及到商业秘密，内幕信息知情者（包括董事会、监事、高级管理人员及其他涉密人员）都负有保密义务。
6.3 信息与沟通的内容
信息资源是一个企业赖以生存的重要因素之一，我院在制定决策和日常运作中需要各种形式的信息。内部信息传递是我院内部各管理层级之间通过内部报告形式传递生产经营管理信息的过程。具体包括以下内容：
6.3.1 信息收集
信息收集的内容包括内部信息和外部信息。内部信息是指来源于我院内部，由各项经营管理活动产生的信息，主要包括：经营目标、工作计划、人力资源政策、规章制度、生产信息、经营信息、财务信息、员工举报信息以及信息系统产生的信息等；外部信息是指由外部产生，对我院的生产经营管理具有一定影响作用的信息。具体包括宏观经济形势、行业信息、技术进步趋势、竞争对手状况、法律法规信息以及来自政府监管部门的信息等。此外，我院还应当注意非正式信息的收集，包括通过非官方的、私下的沟通渠道来传递的信息，或通过与客户、业务往来单位、监管部门的交谈等沟通方式获取的信息。非正式信息的特点是信息传递速度快、效率高。
信息收集的渠道来自于我院内部和外部，可以通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息。外部可以通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
6.3.2 信息加工
信息的质量是影响我院管理决策科学性和正确性的重要因素。信息加工是对所收集的零散的、非系统的必须信息进行必要的筛选、整理和加工，确保信息的有用性。
我院各部门对本部门搜集、产生的信息进行必要的加工与分析，各部门编制的报告必须使用准确的数据来源和信息源。内部报告范围十分广泛，从性质上可分为与对外合同相关的内部报告、管理类报告、研究调查类报告、完成经营计划情况类报告等四类，各职能部门应将收集的有关资料进行筛选、抽取，然后根据各管理层级对内部报告的信息需求和内部报告指标，建立各种分析模型，提取有效数据并进行反馈汇总，在此基础上，对分析模型进一步改造，进行资料分析，起草内部报告，形成总结性结论，并提出相应的建议，从而对发展趋势、策略规划、前景预测等提供重要的分析指导，为我院的效益分析、业务拓展提供有力的保障。
6.3.3 信息传递和反馈
信息只有得以良好的传递和沟通才能真正发挥作用。应当将内部控制相关信息在我院内部各管理级次、责任部门、业务环节之间，以及我院与外部投资者、客户和监管部门等有关方面之间进行沟通和反馈。信息沟通过程中发现的问题，应当及时报告并加以解决。
信息传递可采取互联网络、电子邮件、电话传真、信息快报、例行会议、专题报告、调查研究、员工手册、教育培训、内部刊物等多种方式，实现所需的内部信息、外部信息在我院内部准确、及时传递和共享，确保董事会、经营管理层和大港院员工之间有效沟通
各级人员按照我院分级管理的组织结构和岗位职责描述，按要求向上级反映其管辖部门或所在岗位的工作情况。职能部门向上级请示、报告工作，要先按照院领导的工作分工向主管领导请示报告。正常情况下不得越级请示、报告工作。除例行报告外，院内就专题事项、突发事件等建立临时报告等制度，形成其他重大信息传递的机制，包括：专题报告和定期工作报告等方式。
外部沟通应当重点关注以下方面：
1）与股东之间的沟通。应当根据《中华人民共和国公司法》等法律法规、公司章程的规定，通过股东大会、董事会、定向信息报告等方式，及时向股东报告我院的战略规划、经营方针、投融资计划、年度预算、经营成果、财务状况、利润分配方案以及重大合并分立、资产重组等方面的信息，听取股东的意见和要求，妥善处理我院与股东之间的关系。
2）与客户的沟通。可以通过客户座谈会、走访客户等多种形式，定期听取客户对技术发展、产品质量、售后服务、设计合同等方面的意见和建议，收集客户需求和客户的意见，妥善解决可能存在的控制不当问题。
3）与监管机构的沟通。应当及时向监管机构了解监管政策和监管要求及其变化，并相应完善自身的管理制度；同时，认真了解自身存在的问题，积极反映诉求和建议，努力加强与监管机构的协调。
4）与外部审计单位的沟通。应当定期与外部审计单位进行会晤，听取外部审计单位有关财务报表审计、内部控制等方面的建议，以保证内部控制的有效运行以及双方工作的协调。
5）与律师的沟通。可以根据法定要求和实际需要，聘请律师参与有关重大业务、项目和法律纠纷的处理，并保持与律师的有效沟通。
6.4 信息系统的控制
我院的内部控制活动离不开信息的收集、加工、传递及反馈。信息在我院内部进行有目的的传递，对贯彻落实发展战略、执行全面预算、识别生产经营活动中的内外部风险具有重要作用。
6.4.1 信息系统控制内容
信息系统控制包含信息系统总体控制、信息系统一般控制和应用控制三类活动。信息系统总体控制适用于多数应用系统，确保其持续、正确运行。信息系统总体控制通常包括信息系统控制环境、信息系统风险评估、信息系统监控。信息系统一般控制包括新系统的开发和实施、现有系统的变更和维护、程序和数据接触安全、系统操作和运行。信息系统应用控制包括应用软件中的电算化步骤以及用以控制不同种类业务的相关手工操作程序。这些控制结合在一起，可以保证系统中的信息的安全性、完整性、准确性和有效性。
信息系统总体控制、一般控制和应用控制是相互关联的。信息系统能够总体控制保证依赖于计算机流程的一般控制和应用控制功能，信息系统总体控制、一般控制和应用控制共同保证信息处理的完整、准确。
6.4.2 信息系统控制要求
6.4.2.1 建立内部报告指标体系
内部报告指标体系是否科学直接关系到内部报告反映的信息是否完整和有用，这就要求我院应当根据自身的发展战略、风险控制和业绩考核特点，系统、科学地规范不同级次内部报告的指标体系，合理设置关键信息指标和辅助信息指标，并与全面预算管理等相结合，同时应随着环境和业务的变化不断进行修订和完善。在设计内部报告指标体系时，我院应当根据内部各“信息用户”的需求选择信息指标，以满足其经营决策、