寿险公司内部控制评估表——法人机构.doc

附件一：
寿险公司内部控制评估表——法人机构

评估点
描述
过程和风险被充分识别且控制措施被明确规定
控制措施能合理实现目标
控制措施被有效执行
缺陷
1、控制环境（15分）

（1）基本环境（4分）

①建立股东大会、董事会、监事会和经理层之间各负其责、规范运作、相互制衡的公司治理结构，为公司内部控制目标的实现提供合理保证（1分）。

②明确董事会和董事、监事会和监事、经理层和高级管理人员在内部控制中的责任（1分）。

③在各项业务和管理活动中制定明确的内部控制政策，规定内部控制的原则和基本要求，并为制定和评审内部控制目标提供指导（1分）。

④在相关职能和层次上建立并保持内部控制目标（1分）。

（2）组织结构（6分）

①严格遵守国家法律、法规的规定以及监管部门的要求，根据公司业务规模、经营管理的需要以及合理、精简、高效的原则设置机构；遵循相互监督、相互制约、协调运作的原则设置部门和岗位（1分）。

②明确各机构、部门、岗位、人员的职责和权限，并形成文件予以传达，使员工清晰的了解其岗位的职责和标准（1分）。

③明确关键岗位、特殊岗位、不相容岗位及其控制要求（1分）。

④配备足够的具有相应知识、经验和技能的人员，确保其有效履行岗位职责（1分）。

⑤明确各岗位的报告关系，确保管理人员能够得到履行职责需要的信息（1分）。

⑥定期根据经营情况或环境变化对组织结构进行评价，及时进行必要的修正（1分）。

（3）企业文化（2分）

①培育积极健康的企业文化，对企业文化的内涵及其策划、渗透、评估与改进作出明确的规定（1分）。

②向员工传达风险管理、内部控制、合规经营的重要性，引导员工建立诚信道德观念，树立合规意识和风险意识，提高员工职业道德水准，规范员工职业行为（1分）。

（4）人力资源（3分）

①明确各岗位人员，特别是与风险和内部控制有关的人员的适任条件，明确有关教育、工作经历、培训和技能等方面的要求，确保相关人员能够胜任（1分）。

②根据不同层次员工的职责、能力、文化程度及所面临的风险制定并实施培训计划，以确保经理层和全体员工能够有效履行职责，并对培训计划进行定期评审和持续改进（1分）。

③建立完备的制度和程序，对员工招聘、晋升、绩效考核、薪酬、奖惩等进行明确规定，并充分考虑人力资源管理中的风险（1分）。

2、风险识别与评估（10分）

（1）风险识别与评估（5分）

①建立并保持书面程序，对各类风险进行持续有效的识别、计量、监测与评估（2分）。

②风险识别与评估应覆盖公司经营的各个环节；充分考虑内部和外部因素；持续识别法律法规、监管和其他要求；运用适当的方法和技术对风险进行持续监控，对风险发生的概率、后果进行评估，确定风险级别；及时对风险进行再识别和再评估（3分）。

（2）风险处理（5分）

①对已识别且认为可接受的风险，持续监测并定期评估，以确保其持续可接受（2分）。

②对已识别但不可接受的风险，制定内部控制方案，明确控制风险的相关职责与权限、控制策略、控制方法、资源需求和时限要求，制定重大、突发事项应急预案，明确责任人、处理流程和措施（2分）。

③内部控制方案若涉及到组织结构、流程、信息技术等方面的重大变更，考虑可能产生的新风险（1分）。

3、控制活动（50分）

（1）业务控制（20分）

①产品开发。成立产品开发领导和决策机构，明确精算责任人和法律责任人的责任（1分）；建立并实施产品开发管理程序，对新产品的开发、论证、审核等进行控制，对产品的销售、盈利和风险情况进行定期跟踪分析（1分）。

②销售管理。建立并保持书面程序，对销售人员或机构的甄选、签约、解约、薪酬、考核、档案、品质管理、宣传材料管理等进行控制（2分）；定期对销售人员进行专业培训和职业道德教育，建立销售人员失信惩戒机制（1分）；对于销售过程中已识别的风险，建立并保持控制程序，并将有关程序和要求及时通报销售人员或机构，确保其遵守寿险公司相关的控制要求（1分）；建立并实施客户回访制度，按照有关规定确定客户回访范围和内容，对客户反馈信息进行分析整改并定期跟踪（1分）。

③核保核赔管理。建立明确的核保、核赔标准，实施权责明确、分级授权、相互制约、规范操作的承保理赔管理机制（2分）；明确核保核赔人员的适任条件，定期对核保核赔人员进行培训，确保核保核赔人员具有专业操守并勤勉尽职（1分）。

④服务质量管理。建立并实施业务操作标准和服务质量标准，对销售、承保、保全、理赔等活动的服务质量进行规范管理，并建立客户服务质量考评机制（2分）。

⑤咨询投诉管理。建立并保持咨询投诉处理程序，对咨询投诉处理中发现的问题进行核实、分析、反馈，并进行整改和跟踪监督（2分）。

⑥再保险管理。建立并实施科学的分保管理流程，建立职责分明、互相制约的分保机制，合理确定自留额和分保方式，确保及时、足额进行分保（1分）。

⑦单证、印鉴、档案管理。建立并保持控制程序，对保险单证的印刷、保管、领用、作废和核销，印鉴的刻制、保管、使用范围、使用审批、使用登记、作废和核销以及档案的保管实施控制（2分）；对假造重要单证、仿制印鉴等违法违规行为进行责任追究（1分）。

⑧业务处理系统。建立稳定、高效、能够对业务提供全面功能支持的业务处理系统；制定业务处理系统的管理规章、操作流程、岗位手册和风险控制制度；实施操作权限管理，并及时根据业务和控制需要对业务处理系统进行改进（2分）。

（2）财务控制（15分）

①财务会计制度。根据相关法律、法规和监管部门要求，结合本公司具体情况，制定本公司的财务会计制度（1分）。

②职务牵制。单独设立财务会计部门，配备专职财会人员，合理设置岗位，明确岗位职责，严禁兼任不相容岗位，实行定期或不定期岗位轮换（2分）。

③账务处理程序。建立并实施规范的会计核算流程，依据真实的经济事项进行账务处理，对账务处理的全过程实施有效的控制，实现账账、账实和账表相符（2分）。

④财务报告。及时编制财务报表，确保会计信息的真实、完整、准确（1分）。

⑤资产管理。制定并保持书面程序，对收付费进行控制，明确收付费的操作流程与岗位职责，对收付费行为进行定期检查和审计（1分）；妥善保管现金、有价证券、空白凭证、密押、印鉴、固定资产等，定期核对现金和银行存款账户，定期盘点，确保各项资产的安全和完整（2分）。

⑥负债管理。建立完善的准备金精算制度，按照有关法律法规要求及时、足额计提准备金（1分）。

⑦预算控制。实行全面预算管理，建立预算制度，对预算的编制、执行、分析、考核进行明确；及时分析和控制预算差异，确保预算的执行（2分）。

⑧费用管理。建立严格的授权批准制度和预算控制制度，控制费用支出，并定期进行费用分析（1分）。

⑨财务处理系统。建立稳定、高效、安全的财务处理系统；制定财务处理系统的管理规章、操作流程、岗位手册和风险控制制度（1分）；财务处理系统能够与业务处理系统实现数据共享与无缝对接，确保各项业务活动得到及时、准确的反映（1分）。

（3）资金控制（7分）

①法人机构对资金进行统一管理和运作，严格实行收支两条线，对分支机构资金实行监控，确保资金及时足额上划集中（1分）。

②投资决策。建立透明、规范的投资决策程序和议事规则；投资决策应遵守国家法律、法规和行政规章的规定，并兼顾资产与负债的匹配（2分）。

③投资操作。建立规范的投资操作流程，实现前台操作与后台管理分离，确保投资的专业化；建立并保管交易记录（2分）。

④投资风险管理。建立完备的投资风险评估和控制系统，制定符合自身实际的风险控制政策、措施和定量指标，开发和运用量化的风险管理模型，对资金运用的收益与风险进行适时、审慎评价（2分）。

（4）信息技术控制（6分）

①信息技术管理。建立健全信息技术管理和风险防范制度，明确计算机信息系统开发、管理与应用部门及相关人员的职责，对计算机信息系统的项目立项、设计、开发、测试、运行和维护等实施控制（2分）。

②信息安全管理。建立信息安全管理体系，对硬件、操作系统、应用程序和操作环境实施控制，确保信息的完整性、安全性和可用性；计算机机房建设符合国家的有关标准，出入计算机机房有严格的审批程序和出入记录，确保计算机硬件、各种存储介质的物理安全；对系统数据资料采取加密措施，建立备份，异地存放，实施有效的口令管理和权限管理，定期更换用户使用的密码和口令；及时更新系统安全设置、病毒代码库、攻击特征码、软件补丁程序等，通过认证、加密、内容过滤、入侵监测等技术手段，不断完善安全控制措施；建立健全网络管理系统，对网络的安全、故障、性能、配置等进行有效管理，并对接入国际互联网实施有效的安全管理；对网络设备、操作系统、数据库系统、应用程序等设置必要的日志（3分）。

③应急计划。建立计算机安全应急系统，制定详细的应急方案，定期检查、维护应急的设施、设备和系统，确保其处于适用状态（1分）。

（5）其他控制（2分）

针对公司其他活动建立必要和恰当的政策和程序，恰当的执行已确定的控制行为，确保控制措施实现控制目标（2分）。

4、信息与沟通（15分）

①信息。建立并保持书面程序，持续识别、收集、处理、报告涉及公司目标实现及经营管理有效运作的内外部信息，以确保经理层能够及时、准确了解业务信息、管理信息、重要风险信息；确保其他所有员工充分了解相关信息，遵守涉及其责任和义务的政策和程序；确保及时、真实、完整的向监管部门和外界报告、披露相关信息；确保在出现紧急情况或重大突发事件时，相关信息能够得到及时报告和有效沟通（3分）。

②沟通。建立开放、有效的内外部沟通渠道，确保信息及时上传、下达，并在上下级机构及部门之间充分交流，使相关人员能够获取履行职责需要的信息；确保员工具有反映问题、提出建议的通道；确保在收到客户、监管部门及其他外部人员发应的情况后，采取及时适当的应对措施，妥善处理公司与外部的关系（3分）。

③信息的安全、保密。适当建立并保持相关信息交流与沟通的记录，并考虑信息安全性和保密性要求，对信息的报告、发布、披露进行授权（2分）。

④文件控制。建立并保持必要的内部控制体系文件，包括：对内部控制体系要素及其相互作用的描述，内部控制政策和目标，关键岗位及其职责与权限，不可接受的风险及其预防和控制措施，控制程序、作业指导、方案和其他内部文件等（3分）。内部控制体系文件能否满足下列要求：（1）易于查询；（2）实施前得到授权人的批准；（3）定期评审，必要时予以修订并由授权人员确认合理性；（4）所有岗位都能得到有关版本；（5）失效时，及时从所有发放处和使用处收回，或采取其他措施防止误用；（6）及时识别、处置外来文件并进行标识，必要时转化为内部文件；（7）留存的档案性文件和资料应予以适当标识（2分）。

⑤记录控制。建立并保持书面程序，对内部控制相关活动中所涉及记录的标识、生成、存储、保护、检索、保存期限和处置进行明确，记录应清晰、易于识别和检索，并可追溯到相关的活动，能够提供内部控制体系有效运行的证据（2分）。

5、监督（10分）

①持续性监控。各部门和员工在日常经营和履行职责的过程中持续获取相关信息（如：投诉等），对内部控制健全性、合理性、有效性进行检查、分析，并评估其实施的效率效果，以实现对内部控制实时动态的持续性监控和控制执行部门的自我改善（3分）。

②独立评估。设立内部审计机构或岗位，对内部控制的健全性、合理性和有效性实施独立评估（1分）。
内部审计机构或岗位应配备具有相应资质和能力的审计人员；有权获得寿险公司的所有经营、管理信息；定期或不定期根据对辖属机构的内部控制情况确定审计频率，以及对机构和业务的审计覆盖率，对内部控制的健全性、合理性和有效性实施检查、评价；对公司高级管理人员和重要岗位人员进行离任审计（4分）。

③缺陷报告与持续改进。对持续性监控、独立评估及监管部门评价发现的内部控制缺陷及时向董事会及经理层提交书面报告，及时纠正发现的问题，对整改情况进行跟踪监督（2分）。

43