為滿足上市公司內部控制法律法規要求，提高企業管理水平和風險防範能力，促進企業可持續發展，XY股份有限公司根據財政部、中國證監會等五部委發布的《內部控制基本規範及配套指引》的要求，聘請外部咨詢公司，於2011年3月開始內部控制體系建設。根據《企業內部控制基本規範》及其配套指引，結合國外公司經驗，企業內部控制體系建設通常分為內部控制梳理、內部控制整改固化、內部控制自我評價和內部控制審計四個階段。前三個階段是內部控制建設的核心工作，需要企業來完成，內部控制審計是審計人員在企業的配合下進行的。
為做好內控標準體系建設工作，公司於2011年3月正式成立了由公司董事長任組長，以公司高層領導、總部各部門負責人、子公司總經理為組員的內控領導小組，負責組織領導公司內控標準建設工作。2011內部控制實施項目啟動會於3月中旬召開，對公司內部控制建設進行了部署和動員，制定了公司內部控制實施方案和工作計劃。
壹是建立內控建設的組織架構，明確相關人員的職責。
作為壹項長期的系統工程，內部控制的建設不可能壹蹴而就，因此公司決定建立持續運作的長效領導機制。公司內部控制體系建設的組織架構圖如下，明確董事長是內部控制實施的第壹責任人；公司總經理和副總經理是實施內部控制的具體負責人。
(壹)內部控制領導小組的職責
經公司六屆十次董事會審議通過，公司成立了由董事長、審計委員會主任、總經理、公司高管和主要業務負責人組成的風險管理委員會，作為內部控制領導小組。
風險管理委員會對董事會負責，主要履行以下職責:
(1)負責營造良好的內控建設環境；
(2)負責制定公司內部控制戰略規劃，提出總體建設方案；
(三)負責審核重大決策、重大風險、重大事件和重要業務流程的判斷標準或判斷機制，以及重大決策的風險評估報告；
(四)內部控制建設、實施和監督活動的部署；
(5)審核內部控制手冊的編制、修訂和更新；
(六)提交內部控制評價報告。
(7)協調公司內部控制建設的重大事項；
(8)對內部控制建設相關人員進行考核，保持公司整體利益和方向的壹致性。
(二)內部控制項目組的職責
1.公司設立風險管理委員會辦公室，作為風險管理委員會下設的內控項目組，主要履行以下職責:
(1)全面貫徹風險管理委員會關於內部控制建設的精神和政策；
(2)制定公司內部控制建設的階段性目標和實施方案，並提交風險管理委員會審議；
(3)負責內部控制建設的有效實施和運行，落實內部控制建設的具體職責；
(四)研究提出內部控制評價報告；
(5)負責公司內部控制手冊的編制、修訂和更新；
(6)審查內部控制建設過程中存在的問題，並督促各部門進行整改。
2.公司在風險管理委員會辦公室細分為風險控制體系、策略與證券體系、財務體系、運營體系四大體系，並明確了各體系的具體職責。
3.風險管理委員會辦公室成員主要來自財務管理部、戰略與證券管理部、風險管理部、管理創新部、營銷中心、質量與客戶服務部、供應鏈中心、法律事務部、R&D中心、制造中心和戰略人力資源部，共有33名專職人員。各業務單元、職能部門和子公司(事業部)在風險管理委員會辦公室的指導下參與並實施內部控制建設。
4.審計委員會作為公司內部控制體系有效性的監督機構，監督內部控制的有效實施和內部控制的自我評價，審查和監督外部審計機構是否獨立客觀和審計程序是否有效，審查公司的財務信息及其披露，協調內部控制審計及其他相關事宜。
(3)責任部門和工作預算
與內控工作組相對應，公司確定了內控建設的責任部門，即風險管理部、戰略與證券管理部、財務管理部、管理創新部、營銷中心、供應鏈中心、質量與客戶服務部、法律事務部、制造中心、R&D中心和戰略人力資源部。本內控項目已制定相關預算，包括內控咨詢、內控審計、人力成本和培訓費用。為確保內部控制建設的專業化、系統化和合理化，公司聘請咨詢公司作為外部咨詢機構，為公司提供專業支持，協助公司梳理、構建和完善整體內部控制架構，幫助公司識別內部控制存在的薄弱環節和主要風險，有針對性地設計控制的關鍵流程和內容，協助公司開展內部控制自我評價。風控系統人員將參與風險識別和評估、風險清單和控制矩陣編制、內控缺陷整改、內控評價等工作，為公司培養內控建設和評價人才。
二。內部控制制度建設的具體進展
內部控制建設將分為五個階段，從2011年4月至201年4月，總體安排如下:
(1)確定內部控制的實施範圍(2011年4月10日前完成)
根據證監局文件精神和公司實際情況，本次內部控制實施範圍為股份公司、上海子公司和廣州子公司。
按照《企業內部控制基本規範》及其配套指引，結合公司業務性質，公司將圍繞發展戰略、組織架構、人力資源等公司層面三大流程，信息系統、財務報告、信息披露、關聯交易、全面預算、資本活動、采購業務、銷售業務、資產管理等業務層面九大流程，
各工序負責人如下(××代表負責人姓名):
流程第壹責任人具體責任人內部控制協調員中介責任
發展戰略××××
組織結構×××××
……
註:上述責任人適用於內部控制建設的各個階段。
(2)風險識別與評估(5月31，201前完成)
1.流程梳理:公司通過面談、查閱文件或問卷調查等方式梳理流程，明確上述12流程對應的子流程，完善組織架構和審批授權指引，按照統壹模板編制業務流程圖。在流程梳理過程中，及時發現並記錄存在遺漏、無序、不符合相關法律、不相容崗位未分離或權限設置不合理等內控缺陷的工作流程，采取相應措施規範操作流程，避免內部舞弊等重大風險，提高工作效率。
2.風險識別:根據《企業內部控制基本規範》及相關配套指引中所列的風險、公司客戶審計要求、內審報告、建議改進、質量事故等原始數據，從風險發生的可能性和影響程度等方面綜合分析子流程中涉及的各個控制點，識別內在風險，評估風險等級，形成風險清單。
3.文檔:根據風險等級，確定流程中的關鍵控制活動，並在流程圖中編號；準備內部控制文件，如流程描述和風險控制矩陣，以記錄控制活動和控制點。
4.發現內部控制缺陷:將公司現有制度和控制措施與風險清單進行比較，通過走查測試、控制測試等手段獲取內部控制設計和運行有效性的證據，發現內部控制缺陷，形成風險數據庫和內部控制風險診斷與評價報告。及時向董事會和管理層報告發現的重大缺陷，管理層應及時制定內部控制缺陷的整改計劃。
(三)確定內部控制缺陷整改計劃(2011年6月30日前完成)
1.內控管理建議書的編制:公司對發現的內控缺陷進行分類分析，確定內控缺陷的重要性，區分設計缺陷和操作缺陷，形成內控管理建議書。
2.制定內部控制缺陷整改計劃:公司根據內部控制管理建議書和具體控制缺陷，提出整改時間和責任部門及人員，形成內部控制缺陷整改計劃。
3.提交審議:內控缺陷整改方案應由風險管理委員會審議通過。
四。內部控制缺陷整改(2011前完成)
1.實施整改並提交報告:責任部門根據內部控制缺陷整改計劃，對發現的缺陷逐壹進行整改，完善公司內部控制管理制度和控制措施，提交內部控制缺陷整改報告；內部控制項目組會同中介機構對缺陷整改的運行有效性進行測試，並形成內部控制運行測試報告。
2.內部控制手冊的編制:內部控制項目組根據風險清單和各種內部控制文件編制內部控制手冊，並對手冊的實施進行指導和推動。
3.內部控制自我評價指引的編制:內部控制項目組編制了內部控制自我評價指引，為下壹步內部控制自我評價奠定了基礎。
4.提交審議:將內部控制缺陷整改報告、內部控制運行測試報告、內部控制手冊和內部控制自我評估指引提交風險管理委員會審議。
(五)持續推進內部控制和內部控制自我評價。
內部控制制度成果完成後，公司將繼續推進，並根據轄區證監局的要求，於每季度結束後10個工作日內向證監局提交內部控制進展情況說明，並在定期報告中披露。季度進度報表至少包括本季度內部控制建設的開展情況、與工作計劃中計劃進度的對比情況、差異原因及提出的解決方案。
通過上述工作，公司初步建立和完善了內部控制體系，有效提升了內控管理水平。
三、企業內部控制制度的“落地”和持續推廣
在XY公司內部控制制度初步建設完成後的具體實施過程中，部分部門和員工由於對新的內部控制制度不了解，或由於長期工作習慣難以改變，或由於內部控制制度改革觸及自身利益，導致內部控制制度在壹段時間內無法實施。如何有效執行內部控制制度，並保持內部控制制度的持續改進和完善，是管理層迫切需要解決的問題。
為了真正“落地”內控體系，XY公司通過全方位的內控培訓、加強內控檢查監督、完善考核激勵機制、依托第三方專業機構的持續輔導，有效保證了內控建設的持續維護，公司在內控建設方面取得了豐碩的成果。
具體而言，采取的主要措施是:
(1)完善內部控制的組織結構，設立內部控制部門，加強審計部門，建立促進內部控制的組織結構和運行機制。
XY公司通過對國際大型企業內部控制建設現狀和流程的全面考察，發現要實施有效的內部控制，必須建立與之相匹配的組織結構。為此，公司由高級管理層成立了內控工作領導小組，各子公司管理層相應成立了內控管理小組；在部門設置方面，XY公司新成立了內控部，各子公司根據自身規模設立了內控部或內控崗負責內控建設；在內控監督方面，改變了原審計部的職責，增加了內控評價和檢查的職能。在公司董事會審計委員會的直接領導下，在較大的子公司設立了內部審計師，負責內部控制自查。
(2)註重內控環境建設，開展全方位內控培訓。
XY公司通過壹系列的培訓和輔導，提高了各級管理人員和基層員工對內部控制理念的認識，為內部控制工作創造了良好的文化環境。首先，公司特別重視宣傳工作，普及內部控制基本知識，營造內部控制實施環境。公司內部控制部組織編寫了《內部控制手冊》,分發給股份公司各職能部門和下屬公司主要管理幹部。手冊通過生動的案例和生動的語言，幫助各級管理者統壹對內部控制的認識和理解，減少內部控制推進的思想阻力。
其次，公司根據內部控制規範實施進度，圍繞內部控制的各個環節，開展了包括基本理念、管理制度、風險評估、內控評價、內控評估等在內的各種集中專項培訓，極大地推動了內部控制制度的編制和實施。
(3)建立促進內部控制的溝通機制，確保內部控制建設的可持續性和問題解決的及時性。
內控體系正式推廣以來，為保證推廣的實施，公司進行了全方位的信息溝通機制，實現了信息的實時傳遞和上傳下達的順暢。
首先，XY公司建立了周例會制度。內部控制領導小組每周組織壹次內部控制工作例會，由公司董事或審計委員會主任主持。參加人員包括內控領導小組成員、內控部、審計部、財務部以及子公司內控負責人。總部和子公司各職能部門必須在會議上以書面形式提交“內部控制工作周報”，匯報內部控制的進展情況、存在的問題、解決方案、遇到的困難和需要股份協助的事項，內部控制領導小組組長將對相關具體問題提出意見和工作指導。會後，股份公司內控部負責回復各子公司，確保所有問題都能得到及時有效的解決。所有會議記錄和相關文件應在會後抄送總經理和股份公司董事會，並抄送相關子公司管理層，以確保高級管理層及時了解內部控制的進展情況。
其次，公司建立了每月工作總結的內控制度。每個月末，各子公司內控領導對內部控制開展情況進行工作總結，內控部通知股份公司管理層、子公司管理層及相關內控領導，督促各子公司內控執行。
三是建立了重大項目單獨報告機制。各子公司內部控制負責人應將子公司內部控制建設中發現的重大問題及時向股份內部控制領導小組和內部控制部門報告，以便實時處理可能出現的重大風險。此外，股份公司內控部長、審計部長、財務總監的聯系方式向所有子公司的內控總監和內控專員公開，這是直接傳遞信息的重要渠道，有助於股份公司及時了解子公司的內控風險。
(四)完善內部控制評價和檢查機制，建立多層次的內部控制檢查體系。
為確保內部控制制度的執行，公司建立了從各子公司到股份公司內控部門、審計部，再到外部獨立第三方中介的全面內部控制評價檢查體系。股份公司內部控制部門定期對每個業務周期進行內部控制檢查。通過出具內部控制調查清單和內部控制專家現場檢查，發現子公司內部控制建設存在的不足，及時出具風險接觸函、風險關註函和風險警示函，幫助子公司及時整改和完善內部控制。其中，聯系函主要是對子公司聯系函的回復；關註函主要表達對子公司業務的關註，壹般要求對方在壹定期限內做出書面說明；警告信是在關註信的基礎上，對執行不到位的重大風險或情況提出警告。
股份公司審計部每年對各子公司進行兩次內部控制評價。為實現評價的量化和規範化，審計部編制了內部控制評價稿，通過檢查，形成了子公司內部控制建設的量化評價，並對檢查發現的問題出具了改進建議，要求各子公司在規定時間內進行整改。總部內控部對子公司的整改措施和整改質量進行全程監督，整改完成後，審計部及時復查，確保審計發現的問題能夠及時整改。
(五)將內部控制建設納入績效考核，通過獎懲機制實現內部控制的有效性。
首先，為充分發揮下屬子公司管理人員在推進內部控制中的作用和積極性，自200×起，股份公司將審計部的內部控制評價結果納入其管理團隊的績效考核指標，明確了管理團隊對內部控制建設的責任和重點任務。通過這種績效考核，促使管理層關註和推動內部控制的實施，從而為內部控制的推進建立良好的環境。
其次，股份公司委派到子公司的重要人員也與內控建設直接掛鉤。公司發布《內控委派人員績效考核管理辦法》，對各子公司內控總監進行了全面的內控建設考核，明確了內控委派人員的績效考核指標、考核方式和獎懲機制，進壹步推動了內控委派工作的落實；其次，對於股份委派的財務負責人，將相當比例的內控建設納入其年度考核總分(100分制)，從財務職能上加強對子公司的內控推進。
(六)充分發揮專業中介機構的力量。
XY公司在開始建立內部控制制度時，聘請了專業的咨詢公司提供咨詢服務。在整個體系建立過程中，充分發揮咨詢公司的專業力量，聘請專業顧問對公司人員進行培訓，提高公司人員的內控理念和技能。內控體系初步建立後，我們繼續與咨詢公司合作。借助咨詢公司在專業性和獨立性方面的優勢，我們推動了公司內部控制的持續建設。在內部控制的持續建設中，專業咨詢公司提供了大量的專業建議和培訓輔導服務，幫助公司提升各項業績，使得公司內部控制的持續建設取得了顯著成效。
四、企業內部控制制度建設過程的經驗和啟示
在公司董事會、各級管理人員和基礎員工的不懈努力下，公司內控體系建設取得了壹系列良好成效，公司各級員工的風險管理意識明顯提高，對風險的認識和關註貫穿於所有業務和管理環節；加強各項經營活動的規範運作，實現重大經營活動集體決策機制，有效防範決策風險；提高公司財務管理水平，確保從實業公司到股份公司各級財務數據的真實、公允，以及資金和資產的安全；加強了公司對新業務環境下管理風險的關註；完善了公司風險預警機制，提高了各職能部門對業務發生後潛在風險的持續監測、分析和應對能力。在內控體系建設和推進過程中，公司的主要經驗和啟示如下:
1.公司董事會和最高管理層的關註和親自參與。
在XY公司的董事會中，無論是大股東委派的董事，還是非執行董事、獨立董事，都非常重視和關心內部控制制度的建設。集團作為公司的大股東，對股份公司的內控建設給予了極大的理解和支持，有力地推動了實業公司內控建設的進程。董事會例會將內部控制的進展情況作為重要議題進行溝通，對於內部控制推進過程中出現的任何問題，董事會總是給予相應的支持。
在公司管理上，成立了內部控制領導小組，投入大量人力財力帶領員工進行內部控制建設，為內部控制的推進提供了良好的內部環境，同時也激發了員工的積極性和主動性，促進了內部控制向更加順暢和完善的方向發展。
2.統壹理解內部控制概念及其與公司其他管理體系的關系。
XY公司在內部控制推進的第壹階段大力推進高頻率、實質性的培訓，幫助各級管理人員和基層員工了解內部控制的主要原則和價值，減少內部控制實施中的思想阻力。其次，公司統壹了對內控制度和其他管理制度的認識。內部控制和風險管理不是孤立的新制度和體系，而是基於“目標-風險-控制-監督”框架的管理思想。這種管理思想可以融入到企業的所有其他管理體系和管理制度中，是對企業原有管理制度的整合和提升。
3.已制定明確的內部控制戰略計劃。
公司根據自身實際情況，制定並提出了內部控制五年兩步走規劃，並納入公司五年戰略規劃。第壹階段(3年)通過自上而下的剛性要求，構建集團全面統壹的內控框架，通過理念灌輸，形成內控推進的文化範圍；第二階段(2年)，通過自下而上、自覺的內控體系的完善，形成各實業公司的特色內控。這壹步，從強制到自覺，從理念普及到制度完善，再到內控手冊的表格化推廣，使得公司的各個層面，從高層管理到基層員工，都明確了內部控制在不同時期的不同任務和不同發展狀態，穩步推進，逐步深化，為內部控制的發展勾畫了清晰的路徑。
4.為企業量身定制的實施計劃。
XY公司意識到集團企業的內部控制不可能千篇壹律。為了實施內部控制，需要根據自身的業務類型、公司規模和公司所處的階段選擇合適的內部控制方法。
首先，公司在吸收五部委內部控制基本規範及配套指引精髓的基礎上，結合公司業務實際，基於“優先第壹、優先第二”的重要性原則和成本效益原則，提出了若幹個業務周期作為公司內部控制建設的主要周期範圍。
其次，考慮到公司人員的能力和素質，沒有壹步到位的內控成就，而是在制度建設的基礎上，通過制度規範、流程優化、風險細化，逐步實現內控。
再次，在內部控制的推進上，公司充分考慮下屬實業公司的業務特點，確定適合各公司的內部控制模式和重點。
5、分步實施步驟
(1)自上而下的概念推動了自下而上的進程。
在內部控制實施的第壹階段，公司強調自上而下理念的推廣。公司通過內部培訓和各種工作會議達成內控理念的統壹，並傳達至子公司。之後子公司自下而上推進內控流程，即實業公司根據自身內部流程完善制度，經公司內控部門審核後實施。
(2)從總部引入框架體系到各子公司制定有針對性的業務流程。
公司內控部門結合外力制定框架體系，明確各業務周期的關鍵控制點和操作要求。各實業公司根據自身的經營情況，在符合框架體系要求的前提下，制定適合自己的管理制度，更貼近實業公司的管理實際。
(3)具有普遍性和普適性的風險點向具有專業性和針對性的風險點遞進。
首先，根據對實業公司實際情況的調查，繪制公司綜合風險數據庫，梳理出具有普遍性的主要風險點。之後各實業公司在實際操作中針對不同的業務特點不斷尋找專業獨特的風險，從而實現內部控制的完善。
(4)關註重點公司、主要周期和風險、典型事件。
公司內部控制遵循重要性原則，關註重點公司的重要周期和風險，關註典型事件，以通過重點推動內部控制的發展。
6、借助外部專業中介機構推進內部控制建設。
外部專業機構的內控專業力量和實施經驗相對豐富，客觀獨立。在整個體系建立過程中，XY公司充分發揮了咨詢公司的專業力量，但並沒有完全依賴中介機構而放棄責任，而是充分參與和配合。在內部控制建設過程中，實現了知識轉移和內部控制人員培訓，取得了良好的實施效果。
——摘自新浪微博馬俊生——內控博客。