【摘 要】现代企业在风险状态下运作，无论是经营的效率、效果、财务报告的可靠性，还是法律法规的遵循，均存在一定的风险。如何制定合理的内部控制制度，以实现企业对风险的规避、减少、共担或接受已日益成为企业关心的问题。本案例将详细介绍中石化集团自萨班斯法案颁布后所建立的内部控制体系。
【关 键 字】内部控制、萨班斯法案、中石化、内控建设、石油行业、风险防范、分级授权、责任、结构
【参考文献】《内部控制基本规范》、《内部控制具体规范》、《中石化内部控制手册》、《萨班斯·奥克斯利法案》、《中石化内部控制简介》
内部控制，是指一个单位为了实现其经营目标，保护资产的安全完整，保证会计信息资料的正确可靠，确保经营方针的贯彻执行，保证经营活动的经济性、效率性和效果性而在单位内部采取的自我调整、约束、规划、评价和控制的一系列方法、手续与措施的总称。内部控制的目标是合理保证企业经营管理合法合规、资金安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。内部控制的固有功能在实际工作中对企业的生产经营活动及外部社会经济活动所产生的影响和效果。在社会化大生产中，内部控制作为企业生产经营活动的自我调节和自我制约的内在机制，处于企业中枢神经系统的重要位置。企业规模越大、其重要性越显著。可以说，内部控制的健全、实施与否，是单位经营成败的关键。因此，正确的认识内部控制的作用，对于加强企业经营管理，维护财产安全，提高经济效益，具有十分重要的现实意义。
中国石化集团于2003年成立了内控领导小组，设立专门机构、负责协调内控制度建设的相关工作。2005年1月1日股份公司率先实施内控制度，2006年集团公司非上市部分也开始试行内控制度，并于2008年1月1日起正式实施，至此内控制度基本覆盖了中国石化全企业。内控制度建立以来，根据外部监管和内部管理变化，结合执行中发现的问题和建议，每年都要进行补充完善、修订更新，目前集团公司和股份公司正在执行2009年版《内部控制手册》。
中国石油化工集团公司(简称中国石化集团公司，英文缩写Sinopec Group)是1998年7月是国家在原中国石油化工总公司基础上重组成立的特大型石油石化企业集团，是国家独资设立的国有公司、国家授权投资的机构和国家控股公司。中国石化集团公司注册资本1306亿元，总经理为法定代表人，总部设在北京。 中国石化集团公司对其全资企业、控股企业、参股企业的有关国有资产行使资产受益、重大决策和选择管理者等出资人的权力，对国有资产依法进行经营、管理和监督，并相应承担保值增值责任。中国石化集团公司控股的中国石油化工股份有限公司先后于2000年10月和2001年8月在境外境内发行H股和A股，并分别在香港、纽约、伦敦和上海上市。2007年底，中国石化股份公司总股本867亿股，中国石化集团公司持股占75.84%，外资股占19.35%，境内公众股占4.境内公众股占4.81%。
中国石化集团公司主营业务范围包括：实业投资及投资管理；石油、天然气的勘探、开采、储运（含管道运输）、销售和综合利用；石油炼制；汽油、煤油、柴油的批发；石油化工及其他化工产品的生产、销售、储存、运输；石油石化工程的勘探设计、施工、建筑安装；石油石化设备检修维修；机电设备制造；技术及信息、替代能源产品的研究、开发、应用、咨询服务；自营和代理各类商品和技术的进出口（国家限定公司经营或禁止进出口的商品和技术除外）。
美国《萨班斯·奥克斯利法案》；香港联交所《企业管制常规守则》；上交所《上市公司内部控制指引》；国资委《中央企业全面风险管理指引》；五部委发布《企业内部控制基本规范》。
二、中石化对企业自身需要：财务管理信息真实可靠；保险资产安全完整；规范经营行为、提高风险管理水平；促进健全制度化管理体系；完善法人管理结构。
作为我国在境外三地上市的大型石油化工企业，中国石油化工股份有限公司按照萨班斯法案的要求和内部控制整合框架的设计原则，通过建立以集中决策、分权管理为特征的组织规划控制，以网络化全过程为主要内容的全面预算控制，以“授权指引”为核心的授权批准控制，以《内部控制手册》为载体的制度控制，以及风险防范控制和先进的ERP管理信息系统控制，在实施内部控制上进行了积极有益的探索，为国有控股企业构建内部控制框架提供了宝贵的经验。
遵照《萨班斯—奥克斯利法案》（萨班斯法案）对在美国上市公司的内部控制及其披露的相关规定，中国石化于2003年迅速成立了由董事长、总裁和财务总监组成的内部控制领导小组，协调内控制度实施和完善的相关工作，各分（子）公司设立相应机构并结合自身的实际情况编制了相应的内部控制实施细则，承担本单位内部控制的日常管理工作。
中国石化按照相关法律法规的要求，吸收借鉴我国石油化工企业几十年来积累的大量行之有效的管理方法和成熟经验，参考采用了国际反虚假财务报告委员会下属的内部控制整合框架委员会报告提出的内部控制框架，编制了《内部控制手册》，简称《内控手册》。该控制手册在完善法人治理结构和理顺公司管理体制的基础上，以内部控制整合框架为框架，按照业务目标、业务风险、业务流程步骤与控制点业务流程图表、相关制度目录和主要控制点相关资料等规范格式，设计了43个重要的内部控制业务流程和权限指引，内容涵盖了投资、采购、销售、合并报表等15大类、53个业务流程。经过一年多的完善、培训、测试和试运行，《内控手册》于2005年1月1日起正式实施。公司上下认真实施《内控手册》，制定了内部控制检查评价方法和标准，各分（子）公司均进行了每半年度内控自查和每季度流程测试。2006年是中石化在年报中披露公司的内部控制实施情况及实施效果的第一年，为了达到萨班斯法案404条款的要求，公司总部和87家分（子）公司分别对内部控制（包括IT控制）执行情况进行了自我检查（检查面以资产额计超过98%），及时对发现问题进行了整改。从中石化公司实施内控后的效果来看，公司内部控制组织框架基本健全，已基本建立实施防舞弊机制并取得一定效果，较好地发挥了内部控制的约束与激励功能，为实现公司战略目标和经营目标提供了重要保障。
自萨班斯法案颁布以后，中石化参照国际模式，构筑了新的公司架构，初步建立起了规范的法人治理结构，实行集中决策、分级管理和专业化经营的事业部制管理体制。该体制的框架是一级法人为主、三级管理，即：总部是投资决策和资金运营中心；事业部、专业公司和子公司是利润中心；分公司是成本控制和生产管理中心，从而较为清晰地界定了有关规划、执行、控制和监督活动的内部控制框架。在职能分解上按照业务范围组成由油田勘探开发、炼油、化工和油品销售等四个事业部为主体的利润中心，分别管理作为成本中心的下属分公司并负责下属分公司之间的协调。中石化与事业部之间、事业部与分(子)公司之间均采用经营承包方式，以层层落实委托、受托控制责任。13个职能部门、各事业部以及下属分(子)公司彼此相互独立，均按照“不相容职务相分离”建立，在经营管理上拥有很大的自主权，其职责范围没有重叠和交叉。但中石化总公司作为投资中心保留了预算、人事任免和重大投资决策等权力，并运用利润、成本等绩效指标对事业部进行控制，从而形成了控制主体明晰、责权利对称和管理效率较高的控制体系，较好地降低了协调成本和控制成本。在法人治理结构上，中石化建立了股东大会(权力机构)、董事会(决策机构)、监事会(监督机构)、总经理层(日常管理机构)四个基本组织框架。在成员构成上，引入了独立董事制度；在权责分派体系上，董事会被授予股东契约控制权的绝大部分，并基于其下属的战略委员会、审计委员会和薪酬与考核委员会等三个专业委员会的建议，行使聘用和解雇高层行使聘用和解雇高层管理人员、重大投资、兼并和收购等战略性的“决策控制权”(一般剩余控制权)，并将日常的生产、销售、雇佣等“决策管理权”(特定控制权)只授予了公司经理层(包括各事业部)，但没有授予作为成本中心的分(子)公司。
中石化公司把所有业务活动全部纳入预算管理，把预算嵌入到“授权指引”和“ERP”系统中，使所有授权均为预算(计划)项下的授权，规范了每项业务流程中预算的编制、上报、批复程序，加强了预算执行监督考核工作，从而使各部门和各个分(子)公司，都把预算作为约束日常业务和推动优化经营管理的重要手段。在预算责任体系上，中石化公司层面建立了由董事会审查年度财务预算，各事业部和各职能部门监控预算执行和分(子)公司、研究院等全面落实预算目标的预算管理体系;分(子)公司层面建立了分级预算网络。目前，中石化各事业部、分公司、子公司实施预算管理率达到了100％。通过实施全面预算管理体制，企业整体效益得到了提高，有力促成了企业整体经营目标的实现。
为提高运营效率和最大限度地规避风险，中石化公司针对内控制度所列业务流程，运用定性控制和定量控制方法，以控制点上的管理和决策权限为重点，通过《权限指引》构建了“五层两级”的梯形授权体系，并基于一级法人的经营管理体系，将下属分(子)公司的权限较多地集中在经理一级，只将少数授权分至副经理和处室负责人，通过明确执行部门以及与之对应的会签部门或复核岗位，进一步落实控制责任。
中石化公司《权限指引》中所列权限是指经总部批准的预算项下的业务授权，包括最终的决定权、批准权，但不包括提议权、拟订审核权等中间过程的权限。与内部控制系统相对应，它主要包括公司治理、公司管理和执行三个层面的授权控制，形式分为“一般授权”和“特殊授权”。对于常规性的重要经济业务实施“一般授权”，并按照批准层级权利依次递减；对于非常规、高风险业务则实施“特殊授权”，从而将可能发生的风险全面纳人授权体系，避免出现线、以《内部控制手册》为载体的制度控制
中石化公司为加强规章制度建设与管理，确保有效实施各项管理制度，实现管理工作系统化和规范化，促进生产、技术、经营活动顺利进行，在实施内部控制过程中，还在清理内部原有规章制度的基础上，制定了与《内部控制手册》相配套的《内部控制手册配套规章制度汇编》，其包含的126个规章制度分目录、索引和正文三部分，均标明了与《内部控制手册》相对应的业务流程，并与手册同步更新，保证了制度的时效性和执行力，从而形成了以《内部控制手册》为载体、《内部控制手册配套规章制度汇编》为补充，并与其他管理制度一起，共同构成了中石化公司的内部控制制度体系。
中国石油化工股份有限公司为建立现代企业制度，建立了统一的财务管理信息系统，从而提高了会计信息的及时性、准确性，为决策支持提供了更丰富的财务信息：
针对各个风险控制点，中石化建立起有效的风险管理系统，它通过风险预警、风险识别、风险评估、风险控制、风险报告等措施，对财务风险、经营风险和合规风险进行全面防范和控制。其控制方法突出体现在销售业务的信用控制、采购支出业务的市场准入、招投标、合同控制以及资金业务管理等环节。
中石化公司的ERP管理信息系统分为会计核算、资金管理、物资管理等分业务自成体系的管理信息系统。目前公司正在规划实施与财务信息系统高度集成并以财务管理为核心的ERP管理信息系统。它通过把不同业务部门的人员统一在ERP系统上进行业务操作，使业务数据一经录入，即可对企业产、供、销各环节完全集成，按相应的业务流程和规范自动生成物流、资金流和信息流“三流合一”的相关信息，并适时传输到中石化公司总部统一的数据仓库中进行监控和分析，保证风险始终处于“受控”状态。截止2007年3月份，已有40家下属企业正式上线运行。值得注意的是，中石化公司的ERP系统中所有授权都是基于“预算项”下的授权，并将企业的整体目标分解为具体的控制项目和明确的控制标准，适时评价经济业务的价值链过程，作为成本控制及绩效考核的基础，从而实现了预算“硬约束”的功能。
为了加强企业内部控制，提高管理水平，正确评价与考核内部控制的运行情况，中石中石化公司遵循国内外资本市场监管规范，根据《内部控制手册》有关规定，制定颁发了《中国石油化工股份有限公司内部控制检查评价与考核暂行办法》，并于2006年8月1日起开始执行。中石化公司内部控制检查评价与考核工作实行“总部检查评价”和“单位自查评价”两级检查评价体制，从而在纵向上形成了由股份公司内控领导小组检查，股份公司总部各职能部门自查及对口抽查，以及分(子)公司自查组成的三级监督网络；在横向上形成了由派驻的内控检查组、股份公司各职能部门、分(子)公司分别提交综合评价报告，再由股份公司内控领导小组最终形成年度综合评价报告并报董事会核准的二级报告制度，做到程序规范、依据科学、报告准确。同时，根据考评需要，分别从内部控制环境评价、单位自查情况评价、业务流程综合检查评价、内部控制日常工作评价、风险评价等方面，绘制了完整、规范的评价流程，使内部控制评价体系始终遵循统一的方法步骤，确保监督、考评的公正性。
为了顺利地推进公司内部控制检查评价与考核工作的开展，内控办公室在公司各有关专业领域内公开选拔若干名业务骨干(包括IT专业人员)，组建内部控制专业人员队伍，并定期进行培训，经考试合格者颁发“内控专业人员”资格证书。年度综合检查评价时，以“内控专业人员”为主组成检查评价小组，对各单位进行现场检查和评价，各类检查评价结果必须由“内控专业人员”签字确认，确保年度综合检查评价的独立、客观和公正。
此外，中石化公司针对ERP单轨运行企业业务流程的检查与评价还做了特别说明，指出原则上实行业务流程在线检查评价，按照《ERP单轨运行企业业务流程检查工作底稿》中规定的“检查方法”，检查ERP系统中业务流程和审批权限的设置及执行是否符合内部控制要求。对财产清查、盘点、资产处置、八项减值准备计提、往来款项核对、资金支付、非经常性资本支出等业务及控制事项，必须检查线下审批手续是否齐全、有效。对缺少必要的线下审批手续，或线下审批手续不符合内控手册要求的控制点视为“未执行”，扣除控制点相应的全部分值。对ERP单轨运行企业未实施的功能模块相应业务流程的检查评价，按照《非ERP企业业务流程检查工作底稿》执行。
中石化公司内部控制整合框架内部控制框架体系的实施仅有两年时间，作为一个新生事物和一项系统工程，其内控理念、方式仍处在不断规范、提升阶段，员工对控制环境、信息与沟通等角色定位和职责履行还有一个自我适应和自我完善的过程，运用业务流程控制来规范各级管理者及全体员工行为，使内部控制成为落实“过程控制”目标的现实选择还有许多工作要做。目前，中石化公司内部控制整合框架内部控制框架体系存在以下几方面问题：
（1）对全面预算管理的认识存在偏差。至今仍有一些单位认为全面预算管理就是财务预算，没有把全面预算管理目标、起点、依据、预算编制过程及方法、预算组织与控制、预算考核等贯穿到企业的生产、经营、财务、人事、项目管理等每一个职能部门和个人。因此不少企业的全面预算管理最后流于上级部门下达年度财务指标的一种形式。（2）预算管理组织机制存在缺位现象。中石化很多单位存在只是形式上设有预算管理委员会和监督机构的现象，没有从上至下建立起全面预算管理组织体制。
（4）预算执行与监督缺乏力度。一些企业预算决策、监督一体化，削弱了监督力度，影响预算执行的有效性。
（5）预算考核和激励机制不到位。目前的预算激励措施缺乏力度和差距，影响了企业实行全面预算管理的积极性。
（6）预算管理信息化建设等基础工作滞后。目前在中石化系统中还存在着各项定额不全、修订不及时，计量手段不完整、准确度不高，班组经济核算开展不深入，预算基础数据不完整等问题。许多企业没有制定信息分类、分级标准，没有及时组织、汇总、归纳信息需求，甚至少数企业的信息资源还滞留在某个部门或个人，没有得到有效利用。
企业的内控环境是其他所有风险管理要素的基础。在中石化公司内部的一些企业由于机制不顺，基础管理工作薄弱，串通舞弊牟取个人私利现象时有发生，从而导致内控环境、日常管理跟不上企业发展的需要。一些重要业务(如采购、销售等)缺少必要的监督制约，不符合“不相容部门、岗位相互分离”的内控要求，这就为内部控制埋下了极不安全的隐患。因为要求不兼容职位分离是为了达到相互监督的效果，但是若负有不同职责的员工串通舞弊，或者本公司员工通过外部关系规避控制，协同作弊，将会导致一个健全的内部控制失效。
在资金支出环节存在着越权审批付款问题，费用支出上有少数企业超预算支付或变相越权支付现象，还有一些企业没有严格执行投资、物资采购、维修、技术改造和科研开发业务的招投标控制程序，更有一些公更有一些公司管理层和相关内控人员有失职现象出现。所以严格限制授权审批权限，加大对违规违法行为的惩处力度势在必行。
中石化制定一系列内控措施的目标不能仅仅是为了满足证券监管机构的要求。因为满足萨班斯法案302条款和404条款的要求，只不过是建立内部控制机制的一部分，而不是全部。换句话说，实现透明可靠的财务报告，只是内部控制的第一级目标。而更为重要的内部控制目标，在于实现有效率与有效益的经营，循规守法和保护企业财产安全。退一步说，上市公司即使得到了外部审核和评价的肯定意见，也并不意味着公司内控机制就一定是令人满意的。因此，建议中石化在以下几个方面深化对内控的认识：
首先，控制目标应趋向更高层次的首先，控制目标应趋向更高层次的战略控制，中石化公司也要随着业务提升，把内控由关注传统的业务执行的合法性和合规性，向关注业务执行效率以及风险控制转变。其次，控制方式趋向信息技术的集成和优化。
一个良好的内部控制系统，应能确保公司内每个人均清楚地知道自己所拥有的权力和承担的责任，充分调动每一个员工的积极性，为企业总体目标的实现，认真履行自己的职责。同时，在人力资源管理上还要注意以下几个方面：人员配置和制度设计要匹配，绝对避免身兼具有角色冲突性的多个职位；另外，在人员配置时应避免关系密切人员或者利益关切人员进行相互监督；应最大可能地预先控制经理人道德风险漏洞；定期对员工进行培训，以提高其业务素质；应加强考核奖罚力度，定期对员工业绩进行考核，奖惩分明。只有真正调动每一个员工参与工作的热忱，健全的内部控制系统才可以得到有效实施。所以中石化在建立健全内部控制系统的时候一定不能忽视内部控制的实施主体——对员工的教育。
根据内部控制整合框架内部控制框架的观点，在构建内部控制体系时，应当使企业所有利害关系人对内部控制的理解有共同基础，使他们都充分认识内控的必要性。同时更为重要的是，在中石化公司内部应设置必要的内部控制部门，给予适当的职位和必要的职权，来监督企业所有利害关系人的行为，形成权力制衡机制。特别提醒的是，警惕出现内部控制部门“空化”问题，不要让内部控制部门成为摆设。而且内部控制部门的管理与薪酬奖励机制也应不受公司管理层约束，即独立于公司，只有这样才能真正保证内部控制部门的职责有效执行。
对中石化而言，企业财务系统信息化应用应该包括两个层面的应用。一方面是下属企业的应用，它所要解决的问题主要在于流程、业务、订单、事务等实现信息化，而从集团公司总部的角度来看，关键应该考虑如何设计规范，实现下属企业在规范和标准下运作。中石化公司目前采用ERP系统统领企业整个财务过程，但是仍存在很多不如人意的地方。所以，公司应进一步加强对ERP管理子模块的开发，扩大ERP系统的业务涵盖范围，保证ERP环境下的内部控制能够取得应有的效果。同时，还要做好ERP系统本身的内部控制，以确保系统运行和数据库安全。特别是要加强对实施ERP后如何发挥内部审计功能的探索研究，做好基于ERP环境下的内部审计模块开发和与内部控制在系统中的有序衔接，准确界定二者的功能边界，加强对内审人员ERP应用培训，实现内部控制的集成化管理。
规范中石化各个企业的授权批准以形成相互制约和促进的制衡机制。例如，确保资产保管与会计核算相分离，经营责任与会计责任相分离，授权与执行、保管、审查、记录等岗位相分离，实行关键岗位人员定期轮换制度等。牵制机制和岗位轮换的实行，既可以防止超越权限、串通舞弊，又有利于揭示企业内部控制中的管理缺陷，以便及时加以修订和完善，落实好企业内部控制制度。此外，还需合理划分企业的授权审批权限。对内部控制制度执行人员的授权要把握好一个度，对不同的控制环节要有不同的授权，以使内部控制制度有效运行，不然容易产生新的舞弊行为。不管哪个环节，在具体授权时，应做到既保证经营决策有效运作，管理制度有效贯彻，又保证权力制衡得到落实。
中石化公司目前实施的内部控制，其整体框架仍没有脱离会计、审计范畴，仍存在诸如集体舞弊、成本过高等固有局限。为此，既要克服片面地理解内控制度，如制定细则时机械地照搬照抄，只重视权限审批，不重视业务流程控制，以计划审批代替过程审批，认为内部控制只是财务部门的事等弊端，也不能用内部控制代替专业管理，甚至代替高水平的决策。所以，从管理的角度来看，预算管理相当重要，要实现真正的预算管理，首先必须在思想上意识到预算管理的重要性和必要性，并通过循并通过循序渐进的方式逐步完善财务预算体系，同时要有良好的业务解决方案和优秀的工具支持。
内部控制的建设是一项长期而艰巨的系统工程，需要企业上下通力、内外合作，而且无论内部控制制度设计得多么完美，运行得多么符合设计者的预期，也不可能摆脱其自身存在的固有的内生性局限，例如人为疏忽、分心、疲惫、误解指令、判断失误等。所以，作为我国在境外上市的大型集团公司，中石化股份有限公司一开始就站在萨班斯法案规定的起点上，严格按照内部控制整合框架框架构建其内部控制体系，并将其结合引用到ERP系统中，在实践中进行了积极的探索和有益的尝试。虽然还存在一些问题和不足，尚有待于进一步发展和完善，但其在内控制度方面所作的理论探索和运行实践，特别是将国际通行作法与企业实际情况有效结合的成功经验，对于其他企业建立和完善内部控制，并将内部控制作为企业长期推行的有效机制，都具有积极的借鉴参考作用。