NC內(nèi)控與風(fēng)險(xiǎn)管理解決方案2011

1、全面管理風(fēng)險(xiǎn) 提升企業(yè)績(jī)效為企業(yè)發(fā)展保駕護(hù)航用友NC集團(tuán)全面風(fēng)險(xiǎn)管理解決方案用友軟件股份有限公司在此處鍵入文檔的摘要。摘要通常是對(duì)文檔內(nèi)容的簡(jiǎn)短總結(jié)。在此處鍵入文檔的摘要。摘要通常是對(duì)文檔內(nèi)容的簡(jiǎn)短總結(jié)。目錄1走向世界的中國(guó)企業(yè)面臨巨大風(fēng)險(xiǎn)41.1案例一：中國(guó)鐵路建設(shè)沙特項(xiàng)目巨虧41.53億元41.2案例二：受累湯姆遜清算，TCL集團(tuán)遭遇2.11億元索賠41.3案例三：諾西收購(gòu)摩托羅拉受阻，華為訴訟初步勝利51.4權(quán)威機(jī)構(gòu)針對(duì)企業(yè)風(fēng)險(xiǎn)管理的調(diào)查分析52實(shí)施全面風(fēng)險(xiǎn)與內(nèi)控管理的困惑52.1缺乏全面風(fēng)險(xiǎn)與內(nèi)控管理運(yùn)作體系52.2全面風(fēng)險(xiǎn)和內(nèi)部控制的管理流程難以長(zhǎng)期堅(jiān)持62.3全面風(fēng)險(xiǎn)管理與內(nèi)部控制

2、管理分離獨(dú)自運(yùn)作62.4風(fēng)險(xiǎn)控制評(píng)價(jià)工作量巨大，管理成本高企62.5風(fēng)險(xiǎn)管理和內(nèi)控管理報(bào)告輸出困難63企業(yè)全面風(fēng)險(xiǎn)和內(nèi)控體系建設(shè)思路63.1路徑一：先風(fēng)險(xiǎn)后內(nèi)控73.2路徑二：先內(nèi)控后風(fēng)險(xiǎn)73.3標(biāo)準(zhǔn)的風(fēng)險(xiǎn)內(nèi)控體系建設(shè)步驟73.3.1機(jī)構(gòu)設(shè)立和計(jì)劃階段83.3.2辨識(shí)風(fēng)險(xiǎn)/記錄風(fēng)險(xiǎn)內(nèi)部控制缺陷階段83.3.3設(shè)計(jì)缺陷整改/健全內(nèi)部控制階段93.3.4監(jiān)督風(fēng)險(xiǎn)/內(nèi)控措施有效執(zhí)行階段103.3.5董事會(huì)報(bào)告及披露階段114企業(yè)全面風(fēng)險(xiǎn)/內(nèi)控管理對(duì)信息化系統(tǒng)的要求115用友NC全面風(fēng)險(xiǎn)與內(nèi)控管理解決方案135.1本解決方案的應(yīng)用架構(gòu)135.2實(shí)現(xiàn)集團(tuán)級(jí)風(fēng)險(xiǎn)管理的全流程管理平臺(tái)155.2.1風(fēng)險(xiǎn)管理系

3、統(tǒng)流程155.2.2實(shí)現(xiàn)多級(jí)風(fēng)險(xiǎn)信息收集管理155.2.3支持多種評(píng)估標(biāo)準(zhǔn)和模型管理175.2.4實(shí)現(xiàn)風(fēng)險(xiǎn)指標(biāo)監(jiān)控、自動(dòng)預(yù)警195.2.5實(shí)現(xiàn)風(fēng)險(xiǎn)應(yīng)對(duì)管理205.2.6記錄風(fēng)險(xiǎn)控制的評(píng)價(jià)與改進(jìn)215.2.7實(shí)現(xiàn)風(fēng)險(xiǎn)控制的監(jiān)督與報(bào)告225.3實(shí)現(xiàn)COSO全面風(fēng)險(xiǎn)綜合架構(gòu)，與內(nèi)控體系整合235.3.1通過(guò)風(fēng)險(xiǎn)應(yīng)對(duì)方案建立與內(nèi)控體系的聯(lián)系235.3.2通過(guò)內(nèi)控系統(tǒng)完成與業(yè)務(wù)系統(tǒng)運(yùn)作管理的結(jié)合255.3.3通過(guò)內(nèi)控審計(jì)評(píng)測(cè)，驗(yàn)證風(fēng)險(xiǎn)管理方案的有效性265.4實(shí)現(xiàn)對(duì)業(yè)務(wù)系統(tǒng)的自動(dòng)監(jiān)控285.4.1構(gòu)建IT系統(tǒng)安全控制監(jiān)控平臺(tái)285.4.2實(shí)現(xiàn)對(duì)業(yè)務(wù)系統(tǒng)關(guān)鍵流程的自動(dòng)檢測(cè)305.5建立集團(tuán)級(jí)高性能、柔性開(kāi)

4、放平臺(tái)315.5.1構(gòu)建系統(tǒng)整合平臺(tái)，風(fēng)險(xiǎn)信息門戶315.5.2高效率、個(gè)性化柔性擴(kuò)展開(kāi)發(fā)平臺(tái)336解決方案的價(jià)值346.1.1實(shí)現(xiàn)全面風(fēng)險(xiǎn)與內(nèi)控管理，提高企業(yè)競(jìng)爭(zhēng)能力356.1.2快速遵從財(cái)政部、國(guó)資委相關(guān)管理?xiàng)l文要求356.1.3快速遵從SOX法規(guī)要求351 走向世界的中國(guó)企業(yè)面臨巨大風(fēng)險(xiǎn)1.1 案例一：中國(guó)鐵路建設(shè)沙特項(xiàng)目巨虧41.53億元10月25日，中國(guó)鐵建公告稱其承建的沙特輕軌項(xiàng)目因?qū)嶋H工程數(shù)量比簽約時(shí)預(yù)計(jì)工程量大幅增加等原因，預(yù)計(jì)將虧損人民幣41.53億元。由此引發(fā)中國(guó)鐵建股價(jià)劇烈波動(dòng)，跌幅超過(guò)10%。中國(guó)鐵建2011年1月21日發(fā)布公告稱，為妥善處理沙特麥加輕軌項(xiàng)目索賠事宜，上

5、市公司中國(guó)鐵建與其控股股東中國(guó)鐵建總公司（國(guó)有企業(yè)）簽署協(xié)議，后者向中國(guó)鐵建支付20.77億元對(duì)價(jià)，接手沙特麥加輕軌項(xiàng)目的未完工工程。由此，通過(guò)母公司承擔(dān)損失的方式，中國(guó)鐵建順利保證財(cái)務(wù)賬面上的盈利。此事件凸顯公司在海外工程項(xiàng)目的管理短板。1.2 案例二：受累湯姆遜清算，TCL集團(tuán)遭遇2.11億元索賠本該是“好事”，可終究釀出了“苦果”。TCL集團(tuán)并購(gòu)法國(guó)湯姆遜公司后不但業(yè)績(jī)?cè)庥鲞B連虧損，事端頻發(fā)，如今受累法國(guó)湯姆遜公司清算，再次陷入財(cái)務(wù)壓力困境。2011年3月14日，TCL集團(tuán)在停牌一天后公告稱，法國(guó)南特商業(yè)法庭于3月10日對(duì)TTE歐洲公司重組訴訟案的第一令訴訟作出初審判決，要求TCL集團(tuán)、

6、TCL多媒體及其4家全資子公司向TTE歐洲之法定清盤人賠償2310萬(wàn)歐元(約2.11億元)，目前TCL多媒體已于2010年度財(cái)務(wù)報(bào)表中對(duì)TTE訴訟計(jì)提預(yù)計(jì)負(fù)債1000萬(wàn)歐元。實(shí)際去年就已經(jīng)傳出這個(gè)消息，TCL也立刻引起警覺(jué)，謀劃對(duì)策。然而還是終究難逃與湯姆遜合資成立的TTE歐洲公司的清算悲劇的波及。格力空調(diào)副總裁黃輝表示：“格力這兩年在巴西銷量超過(guò)5000萬(wàn)臺(tái)，中國(guó)企業(yè)在國(guó)外并購(gòu)充滿陷阱，一不小心就會(huì)翻身，并購(gòu)涉及文化融合、法規(guī)等無(wú)法協(xié)調(diào)。逐步收購(gòu)是格力的戰(zhàn)略?！?.3 案例三：諾西收購(gòu)摩托羅拉受阻，華為訴訟初步勝利在美國(guó)市場(chǎng)備受阻撓的中國(guó)最大電信設(shè)備供應(yīng)商華為，終于贏得了一次階段性的勝利。華

7、為公司2011年2月23日晚間發(fā)表聲明，稱美國(guó)伊利諾伊州北區(qū)法院就華為起訴摩托羅拉公司和諾基亞西門子公司(以下稱諾西公司)一案，正式做出裁決，頒發(fā)了初步禁止令。該初步禁止令除了2011年1月14日法院發(fā)出的臨時(shí)禁止令中要求摩托羅拉禁止向諾西轉(zhuǎn)移華為的保密信息外，還增加了要求摩托羅拉聘請(qǐng)獨(dú)立第三方進(jìn)行華為保密信息的安全刪除檢查，及允許華為對(duì)諾西維護(hù)摩托羅拉設(shè)備的服務(wù)記錄進(jìn)行審計(jì)等要求。而我們也注意到，美國(guó)議員在2010年10月底要求聯(lián)邦通信委員會(huì)（FCC）重審自華為和中興訂購(gòu)網(wǎng)絡(luò)設(shè)備可能的“安全”風(fēng)險(xiǎn)。這意味著華為在美國(guó)的各種官司將長(zhǎng)期糾結(jié)，為此，華為公司也預(yù)備計(jì)提5億美金的訴訟費(fèi)用。1.4 權(quán)

8、威機(jī)構(gòu)針對(duì)企業(yè)風(fēng)險(xiǎn)管理的調(diào)查分析德勤發(fā)布2011年中國(guó)企業(yè)風(fēng)險(xiǎn)管理白皮書。上榜企業(yè)共25家。調(diào)研結(jié)果顯示，中國(guó)企業(yè)在未來(lái)三年將面臨宏觀經(jīng)濟(jì)、競(jìng)爭(zhēng)和人才短缺三大風(fēng)險(xiǎn)。超過(guò)半數(shù)的受訪企業(yè)稱已經(jīng)建立應(yīng)對(duì)重大風(fēng)險(xiǎn)的基本流程，但仍需要進(jìn)一步完善。只有10%的企業(yè)認(rèn)為其風(fēng)險(xiǎn)應(yīng)對(duì)流程非常完善。還有10%的企業(yè)表示，一旦發(fā)生重大或危急的風(fēng)險(xiǎn)事件，自己能在第一時(shí)間有效管理。超過(guò)50%的企業(yè)對(duì)大部分重大風(fēng)險(xiǎn)都能實(shí)時(shí)采取適當(dāng)?shù)捻憫?yīng)措施。接近30%的企業(yè)只針對(duì)部分重要流程建立了監(jiān)督與報(bào)告程序。2 實(shí)施全面風(fēng)險(xiǎn)與內(nèi)控管理的困惑2.1 缺乏全面風(fēng)險(xiǎn)與內(nèi)控管理運(yùn)作體系企業(yè)缺少如何建立全面風(fēng)險(xiǎn)管理和內(nèi)部控制體系的思路、方法論

9、?；蛘呷狈ｉT的組織、工作流程和與之配套的績(jī)效考核制度。2.2 全面風(fēng)險(xiǎn)和內(nèi)部控制的管理流程難以長(zhǎng)期堅(jiān)持全面風(fēng)險(xiǎn)和內(nèi)部控制由于涉及企業(yè)的方方面面，可以說(shuō)是全員參與，因此程序繁雜，涉及面廣，大量手工工作致使管理成本增加，難以長(zhǎng)期堅(jiān)持。2.3 全面風(fēng)險(xiǎn)管理與內(nèi)部控制管理分離獨(dú)自運(yùn)作體現(xiàn)在企業(yè)中經(jīng)常把全面風(fēng)險(xiǎn)管理與內(nèi)部控制管理進(jìn)行分離，兩套組織班子，兩套工作流程。同時(shí)，這兩個(gè)工作與實(shí)際的業(yè)務(wù)系統(tǒng)大多也是獨(dú)立部署運(yùn)作，僅僅局限在個(gè)別財(cái)務(wù)數(shù)據(jù)的提取分析，完全無(wú)法實(shí)現(xiàn)對(duì)業(yè)務(wù)過(guò)程的真正監(jiān)控。2.4 風(fēng)險(xiǎn)控制評(píng)價(jià)工作量巨大，管理成本高企由于一個(gè)重大風(fēng)險(xiǎn)的應(yīng)對(duì)措施，往往涉及多個(gè)業(yè)務(wù)流程、多個(gè)控制點(diǎn)和多個(gè)業(yè)務(wù)系統(tǒng)

10、、多部門協(xié)同運(yùn)作，因此控制評(píng)價(jià)往往需要采集多個(gè)環(huán)節(jié)的大量樣本進(jìn)行測(cè)試，然后進(jìn)行綜合評(píng)價(jià)，依賴于控制評(píng)價(jià)人員的測(cè)試方案設(shè)計(jì)能力、職業(yè)判斷能力等等，工作量非常巨大，造成這部分的管理成本上升。同時(shí)為了滿足控制評(píng)價(jià)的需要，業(yè)務(wù)部門也需要按照測(cè)試評(píng)價(jià)的要求保留各種資料文件，也造成相應(yīng)的辦公成本增加。2.5 風(fēng)險(xiǎn)管理和內(nèi)控管理報(bào)告輸出困難目前，中央到地方國(guó)資委，各地政府分管上市工作的部門，以及證交所、證監(jiān)會(huì)等多家機(jī)構(gòu)，都要求企業(yè)建立健全全面風(fēng)險(xiǎn)和內(nèi)部控制管理體系，并能按時(shí)按要求提供相應(yīng)的內(nèi)部和外部審計(jì)報(bào)告，同時(shí)要求按照各自的樣板格式內(nèi)容進(jìn)行提報(bào)，造成相關(guān)企業(yè)的管理人員必須3 企業(yè)全面風(fēng)險(xiǎn)和內(nèi)控體系建設(shè)思路

11、根據(jù)COSO委員會(huì)在1992年公布的內(nèi)部控制綜合框架（也稱“COSO內(nèi)部控制框架”），以及2004年提出內(nèi)部控制向全面風(fēng)險(xiǎn)管理轉(zhuǎn)變，出臺(tái)了全面風(fēng)險(xiǎn)管理綜合框架。由此可見(jiàn)，風(fēng)險(xiǎn)管理和內(nèi)控管理實(shí)際上是不同發(fā)展階段的產(chǎn)物。但是由于中國(guó)國(guó)資委和財(cái)政部等機(jī)構(gòu)發(fā)布相關(guān)政策所引用的框架基礎(chǔ)不同，名稱不同，導(dǎo)致企業(yè)要同時(shí)滿足兩個(gè)標(biāo)準(zhǔn)要求，也引發(fā)國(guó)內(nèi)企業(yè)出現(xiàn)了分離兩者，分別建設(shè)、兩套班子等現(xiàn)象。所以，不同的企業(yè)也根據(jù)自身的條件提出了不同的建設(shè)路徑，主要為以下兩種：3.1 路徑一：先風(fēng)險(xiǎn)后內(nèi)控此類企業(yè)多屬于國(guó)資委下屬國(guó)企，在中央企業(yè)全面風(fēng)險(xiǎn)管理指引文件的要求和指導(dǎo)下，首先在集團(tuán)內(nèi)部建立全面風(fēng)險(xiǎn)管理體系，然后針對(duì)選

12、擇的重大風(fēng)險(xiǎn)進(jìn)行內(nèi)控建設(shè)。這種建設(shè)路徑相對(duì)成本較低，但是容易受到主觀判斷導(dǎo)致部分重要的內(nèi)控領(lǐng)域被忽略，而提高突發(fā)重大風(fēng)險(xiǎn)發(fā)生的可能性。3.2 路徑二：先內(nèi)控后風(fēng)險(xiǎn)此類企業(yè)通常多屬于上市公司，或者已經(jīng)在海外上市，基于薩班斯法案要求，或者國(guó)內(nèi)財(cái)政部發(fā)布的企業(yè)內(nèi)部控制基本規(guī)范要求，首先在集團(tuán)內(nèi)部建立比較完善的內(nèi)控體系，然后根據(jù)國(guó)資委監(jiān)管的要求，拓展風(fēng)險(xiǎn)信息搜集和目標(biāo)設(shè)定的管理環(huán)節(jié)。這種建設(shè)路徑相對(duì)體系化比較好，更能覆蓋企業(yè)管理的方方面面，效益比較明顯。3.3 標(biāo)準(zhǔn)的風(fēng)險(xiǎn)內(nèi)控體系建設(shè)步驟實(shí)際上企業(yè)全面風(fēng)險(xiǎn)的建設(shè)過(guò)程應(yīng)該涵蓋內(nèi)部控制管理的同步建設(shè)，建議企業(yè)一套班子、一套流程、一套制度統(tǒng)籌考慮一體化建設(shè)。

13、因此本方案提供一個(gè)標(biāo)準(zhǔn)的體系建設(shè)步驟：3.3.1 機(jī)構(gòu)設(shè)立和計(jì)劃階段A. 主要步驟a) 成立專門職能部門（檢查監(jiān)督部門），定義監(jiān)督檢查部門職責(zé)分工；b) 確定項(xiàng)目計(jì)劃以建立/完善公司的內(nèi)部控制；c) 梳理現(xiàn)有內(nèi)部管理政策/制度，明確權(quán)責(zé)分配； d) 制定可持續(xù)發(fā)展的人力資源政策；e) 進(jìn)行針對(duì)性培訓(xùn)； f) 將內(nèi)控項(xiàng)目計(jì)劃承交董事會(huì)審閱。B. 關(guān)鍵事項(xiàng)a) 管理層委任項(xiàng)目領(lǐng)導(dǎo)及項(xiàng)目小組；b) 高層重視并直接參與非常重要；管理層事先將內(nèi)控項(xiàng)目計(jì)劃向董事會(huì)匯報(bào)符合財(cái)政部?jī)?nèi)控基本規(guī)范中有關(guān)控制環(huán)境的精神：以董事會(huì)為內(nèi)控制度之完整合理、實(shí)施有效之責(zé)任主體；c) 制定分批/分對(duì)象因材施教的培訓(xùn)計(jì)劃，增進(jìn)

14、全員意識(shí)。分批/分對(duì)象地實(shí)施培訓(xùn)。C. 工作成果a) 制定項(xiàng)目小組制度，以及專門委派的職能部門或項(xiàng)目小組定義項(xiàng)目職責(zé)分工； b) 制定項(xiàng)目實(shí)施具體計(jì)劃；c) 制定分批/分對(duì)象的培訓(xùn)計(jì)劃；d) 制作培訓(xùn)材料；e) 分批/分對(duì)象地實(shí)施培訓(xùn)。3.3.2 辨識(shí)風(fēng)險(xiǎn)/記錄風(fēng)險(xiǎn)內(nèi)部控制缺陷階段A. 主要步驟a) 設(shè)計(jì)風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)，基于集團(tuán)風(fēng)險(xiǎn)調(diào)查問(wèn)卷匯總開(kāi)展風(fēng)險(xiǎn)評(píng)估；b) 設(shè)定風(fēng)險(xiǎn)容忍程度，確認(rèn)重大風(fēng)險(xiǎn)及其相關(guān)認(rèn)定及流程；c) 使用內(nèi)控自我評(píng)估問(wèn)卷辨識(shí)與記錄工作范圍內(nèi)的企業(yè)層面和流程層面的內(nèi)部控制活動(dòng)；d) 記錄各業(yè)務(wù)流程中發(fā)現(xiàn)的內(nèi)部控制設(shè)計(jì)缺陷，匯總并提出整改方案。B. 關(guān)鍵事項(xiàng)a) 以風(fēng)險(xiǎn)評(píng)估為基礎(chǔ)，

15、有側(cè)重點(diǎn)地選擇哪些下屬部門/公司的、哪些業(yè)務(wù)環(huán)節(jié)需要進(jìn)行內(nèi)控建立健全的工作；b) 根據(jù)最佳實(shí)踐和監(jiān)管機(jī)構(gòu)要求，設(shè)計(jì)內(nèi)控自我評(píng)估問(wèn)卷，并以此作為起點(diǎn)，逐步調(diào)整，建立適合公司的內(nèi)部控制制度；c) 公司各級(jí)人員回答的問(wèn)卷將為公司的工作提供富有效率的證據(jù)基礎(chǔ)，而且也體現(xiàn)了內(nèi)控全員參與的精神；d) 對(duì)在建立健全內(nèi)控過(guò)程中發(fā)現(xiàn)的控制缺陷提出內(nèi)控設(shè)計(jì)整改方案和時(shí)間表是非常關(guān)鍵的，這將為管理層增加長(zhǎng)期價(jià)值，并非只是為了符合監(jiān)管要求，而是為公司規(guī)范運(yùn)作和長(zhǎng)遠(yuǎn)發(fā)展打下更好的基礎(chǔ)。C. 工作成果a) 風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)；b) 確認(rèn)項(xiàng)目范圍和流程的風(fēng)險(xiǎn)評(píng)估工作表，風(fēng)險(xiǎn)地圖；c) 內(nèi)部控制手冊(cè)(不兼容職責(zé)表，控制矩陣，流程圖

16、,流程匯編)；d) 控制效果的穿行測(cè)試；e) 控制缺陷報(bào)告和相應(yīng)的整改方案建議。3.3.3 設(shè)計(jì)缺陷整改/健全內(nèi)部控制階段A. 主要步驟a) 根據(jù)整改方案糾正內(nèi)部控制設(shè)計(jì)缺陷；b) 按照法律法規(guī)，部門規(guī)章及證券交易所上市規(guī)則的規(guī)定制定/完善內(nèi)部控制制度；c) 更新內(nèi)部控制的記錄文件。B. 關(guān)鍵事項(xiàng)a) 對(duì)監(jiān)督過(guò)程中發(fā)現(xiàn)的內(nèi)部控制缺陷，提出整改方案，采取適當(dāng)形式向董事會(huì)，監(jiān)事會(huì)或者經(jīng)理層報(bào)告；b) 跟蹤監(jiān)控內(nèi)控運(yùn)行整改方案的實(shí)施情況，不僅是合規(guī)的要求，也是提升公司執(zhí)行力的關(guān)鍵。C. 工作成果a) 控制缺陷報(bào)告和相應(yīng)的整改方案建議。3.3.4 監(jiān)督風(fēng)險(xiǎn)/內(nèi)控措施有效執(zhí)行階段A. 主要步驟a) 制定

17、風(fēng)險(xiǎn)內(nèi)控監(jiān)督制度，規(guī)范其程序，方法和要求；b) 開(kāi)展風(fēng)險(xiǎn)內(nèi)部控制自我評(píng)價(jià)，出具內(nèi)部控制自我評(píng)價(jià)報(bào)告；c) 跟蹤風(fēng)險(xiǎn)內(nèi)部控制運(yùn)行缺并及時(shí)改進(jìn)。B. 關(guān)鍵事項(xiàng)a) 應(yīng)根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，制定內(nèi)控監(jiān)督檢查辦法和內(nèi)控自評(píng)和檢查計(jì)劃，使有限的資源被有側(cè)重地運(yùn)用到高風(fēng)險(xiǎn)的領(lǐng)域；b) 抽檢管理層的內(nèi)控自我評(píng)估問(wèn)卷，通過(guò)檢查和必要的抽樣測(cè)試等手段確認(rèn)內(nèi)控自我評(píng)估問(wèn)卷是否準(zhǔn)確填寫，并向總裁辦公會(huì)及董事會(huì)報(bào)告測(cè)試結(jié)果。管理層內(nèi)控自我評(píng)估加上檢查監(jiān)督部門循環(huán)抽查符合指引中內(nèi)控框架下“檢查監(jiān)督”層面的精神；c) 跟蹤監(jiān)控內(nèi)控運(yùn)行整改方案的實(shí)施情況，不僅是合規(guī)的要求，也是提升公司執(zhí)行力的關(guān)鍵；d) 監(jiān)管要求指出，檢查監(jiān)

18、督部門的工作資料，包括底稿和報(bào)告等需要保存十年。C. 工作成果a) 在風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)上，制定風(fēng)險(xiǎn)內(nèi)控監(jiān)督檢查辦法和內(nèi)控檢查計(jì)劃；b) 設(shè)計(jì)開(kāi)展內(nèi)控自我評(píng)價(jià)和抽樣評(píng)審的標(biāo)準(zhǔn)和工具，包括：風(fēng)險(xiǎn)內(nèi)控自評(píng)的問(wèn)卷，抽樣測(cè)試的程序、方法和具體工作底稿；c) 風(fēng)險(xiǎn)內(nèi)控監(jiān)督檢查報(bào)告。3.3.5 董事會(huì)報(bào)告及披露階段A. 主要步驟a) 董事會(huì)/審計(jì)委員會(huì)審核內(nèi)部控制檢查監(jiān)督工作報(bào)告；并以此為基礎(chǔ)制作內(nèi)部控制自我評(píng)估報(bào)告形成董事會(huì)決議；b) 披露內(nèi)部控制自我評(píng)估報(bào)告以及會(huì)計(jì)師事務(wù)所對(duì)該報(bào)告出具的核實(shí)評(píng)價(jià)意見(jiàn)；c) 以內(nèi)控自我評(píng)估報(bào)告為基礎(chǔ)，結(jié)合國(guó)資委風(fēng)險(xiǎn)管理報(bào)告模板框架，披露風(fēng)險(xiǎn)管理報(bào)告。B. 關(guān)鍵事項(xiàng)a) 董事

19、會(huì)是公司內(nèi)控制度之完整合理、實(shí)施有效之責(zé)任主體；b) 董事會(huì)應(yīng)當(dāng)根據(jù)監(jiān)管機(jī)構(gòu)將要出臺(tái)的董事會(huì)議事規(guī)則以及其它相關(guān)法規(guī)的要求，采取適當(dāng)?shù)牟襟E和取得充分的資料，來(lái)支持其對(duì)公司內(nèi)控有效性的年度決議，這些資料既應(yīng)包括檢查監(jiān)督部門遞交的內(nèi)部控制檢查監(jiān)督工作報(bào)告；也應(yīng)包括管理層提交的其他支持性文件，包括管理層的內(nèi)控自我評(píng)估問(wèn)卷等；C. 工作成果a) 根據(jù)上交所將要出臺(tái)的董事會(huì)議事規(guī)則以及其它相關(guān)法規(guī)的要求，制定董事會(huì)內(nèi)部控制檢查監(jiān)督清單（Checklist）；b) 制定董事會(huì)內(nèi)部控制資料檢查制度，制度中規(guī)定董事會(huì)應(yīng)采取的適當(dāng)步驟，來(lái)支持其對(duì)公司內(nèi)控的年度決議或有重大內(nèi)部控制缺陷時(shí)的披露程序；c) 擬定內(nèi)部

20、控制自我評(píng)估報(bào)告、全面風(fēng)險(xiǎn)管理報(bào)告或者其他的披露文件。4 企業(yè)全面風(fēng)險(xiǎn)/內(nèi)控管理對(duì)信息化系統(tǒng)的要求在企業(yè)建立了全面風(fēng)險(xiǎn)管理和內(nèi)部控制體系的基礎(chǔ)上，企業(yè)對(duì)信息化系統(tǒng)的要求可以概述為以下幾點(diǎn)：A. 建立適應(yīng)集團(tuán)企業(yè)全員應(yīng)用的、集中部署的風(fēng)險(xiǎn)管理工作平臺(tái)；a) 完成風(fēng)險(xiǎn)管理的業(yè)務(wù)流程：包括從風(fēng)險(xiǎn)組織和管理標(biāo)準(zhǔn)設(shè)立、風(fēng)險(xiǎn)信息搜集、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)應(yīng)對(duì)、風(fēng)險(xiǎn)控制、風(fēng)險(xiǎn)評(píng)價(jià)與改進(jìn)、風(fēng)險(xiǎn)監(jiān)督與報(bào)告；b) 滿足集團(tuán)多層級(jí)、多部門的風(fēng)險(xiǎn)管理審批、評(píng)估等工作中全員參與、流程流轉(zhuǎn)、信息互通的要求；c) 滿足各類風(fēng)險(xiǎn)評(píng)估、應(yīng)對(duì)、監(jiān)督和評(píng)價(jià)信息的共計(jì)、匯總分析，支持各類外部監(jiān)管機(jī)構(gòu)的報(bào)告輸出要求。B. 能夠?qū)⑷骘L(fēng)險(xiǎn)管理

21、與內(nèi)部控制體系無(wú)縫集成；a) 達(dá)到風(fēng)險(xiǎn)管理與內(nèi)部控制體系的集成應(yīng)用，實(shí)現(xiàn)一套班子、一套體系、一套流程的統(tǒng)一管理；b) 通過(guò)風(fēng)險(xiǎn)管理的應(yīng)對(duì)方案，實(shí)現(xiàn)通過(guò)內(nèi)部控制體系實(shí)現(xiàn)風(fēng)險(xiǎn)控制的目的；c) 風(fēng)險(xiǎn)控制點(diǎn)可以直接控制業(yè)務(wù)系統(tǒng)的運(yùn)作；d) 實(shí)現(xiàn)業(yè)務(wù)系統(tǒng)數(shù)據(jù)自動(dòng)支持風(fēng)險(xiǎn)預(yù)警、風(fēng)險(xiǎn)識(shí)別。C. 實(shí)現(xiàn)風(fēng)險(xiǎn)控制節(jié)點(diǎn)監(jiān)督的自動(dòng)檢測(cè)；a) 通過(guò)內(nèi)控體系實(shí)現(xiàn)對(duì)業(yè)務(wù)系統(tǒng)風(fēng)險(xiǎn)控制點(diǎn)的自動(dòng)監(jiān)控，降低風(fēng)險(xiǎn)監(jiān)督人工成本；b) 實(shí)現(xiàn)對(duì)現(xiàn)有各類業(yè)務(wù)系統(tǒng)安全控制的監(jiān)察，防止由于系統(tǒng)安全策略和漏洞造成系統(tǒng)應(yīng)用風(fēng)險(xiǎn)。D. 建立風(fēng)險(xiǎn)管理知識(shí)庫(kù)，完善相應(yīng)的績(jī)效考核和保障機(jī)制a) 構(gòu)建集團(tuán)統(tǒng)一的風(fēng)險(xiǎn)管理知識(shí)平臺(tái)，加強(qiáng)風(fēng)險(xiǎn)管理意識(shí)普及；b) 設(shè)

22、計(jì)風(fēng)險(xiǎn)指標(biāo)，并根據(jù)控制效果評(píng)價(jià)影響相關(guān)部門人員的績(jī)效考核。E. 滿足大用戶量大并發(fā)的效率要求，支持后續(xù)應(yīng)用變化引起的系統(tǒng)整合、個(gè)性化開(kāi)發(fā)應(yīng)用需求5 用友NC全面風(fēng)險(xiǎn)與內(nèi)控管理解決方案5.1 本解決方案的應(yīng)用架構(gòu)NC全面風(fēng)險(xiǎn)/內(nèi)控管理體系架構(gòu)圖廣義的NC全面風(fēng)險(xiǎn)與內(nèi)控管理解決方案由依托于UAP平臺(tái)包括業(yè)務(wù)經(jīng)營(yíng)層、戰(zhàn)略管理層和公司治理層三部分，而狹義的全面風(fēng)險(xiǎn)與內(nèi)控管理方案則專指公司治理層。其中，全面風(fēng)險(xiǎn)管理的業(yè)務(wù)運(yùn)作可以用下圖標(biāo)示：全面風(fēng)險(xiǎn)管理系統(tǒng)架構(gòu)圖Ø 基礎(chǔ)設(shè)置層：本層是整個(gè)風(fēng)險(xiǎn)管理信息系統(tǒng)的平臺(tái)基礎(chǔ)，包括風(fēng)險(xiǎn)管理組織設(shè)置、風(fēng)險(xiǎn)分類與信息、風(fēng)險(xiǎn)知識(shí)庫(kù)、風(fēng)險(xiǎn)預(yù)警設(shè)置、風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)與模

23、型、風(fēng)險(xiǎn)問(wèn)卷管理等。構(gòu)建整個(gè)風(fēng)險(xiǎn)管理的基礎(chǔ)環(huán)境。Ø 業(yè)務(wù)處理層：本層是整個(gè)風(fēng)險(xiǎn)管理信息系統(tǒng)的核心業(yè)務(wù)處理部分。包括從風(fēng)險(xiǎn)信息搜集、風(fēng)險(xiǎn)識(shí)別與評(píng)估、風(fēng)險(xiǎn)預(yù)警和應(yīng)對(duì)管理、風(fēng)險(xiǎn)應(yīng)對(duì)執(zhí)行與監(jiān)督管理。實(shí)現(xiàn)集團(tuán)多層級(jí)的協(xié)同風(fēng)險(xiǎn)管理作業(yè)，建立相關(guān)的標(biāo)準(zhǔn)流程和信息共享。Ø 分析與報(bào)告層：本層處理是風(fēng)險(xiǎn)信息查詢分析和風(fēng)險(xiǎn)管理報(bào)告披露的部分。包括風(fēng)險(xiǎn)管理報(bào)告管理、風(fēng)險(xiǎn)熱圖和矩陣分析等。5.2 實(shí)現(xiàn)集團(tuán)級(jí)風(fēng)險(xiǎn)管理的全流程管理平臺(tái)5.2.1 風(fēng)險(xiǎn)管理系統(tǒng)流程全面風(fēng)險(xiǎn)管理系統(tǒng)流程5.2.2 實(shí)現(xiàn)多級(jí)風(fēng)險(xiǎn)信息收集管理l 支持集團(tuán)全面風(fēng)險(xiǎn)管理問(wèn)卷的設(shè)計(jì)、下發(fā)與信息上報(bào)管理。 l 支持重大風(fēng)險(xiǎn)事件的上報(bào)管

24、理?！撅L(fēng)險(xiǎn)調(diào)查問(wèn)卷下發(fā)】【重大風(fēng)險(xiǎn)事件上報(bào)】5.2.3 支持多種評(píng)估標(biāo)準(zhǔn)和模型管理l 支持集團(tuán)多層級(jí)、多部門風(fēng)險(xiǎn)評(píng)估運(yùn)作機(jī)制； l 支持風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)與模型建立； l 支持評(píng)估結(jié)果自動(dòng)選取標(biāo)準(zhǔn)。【風(fēng)險(xiǎn)評(píng)估流程圖】【評(píng)估結(jié)果生成規(guī)則】【固定風(fēng)險(xiǎn)評(píng)估】5.2.4 實(shí)現(xiàn)風(fēng)險(xiǎn)指標(biāo)監(jiān)控、自動(dòng)預(yù)警l 針對(duì)風(fēng)險(xiǎn)成因，設(shè)置相應(yīng)的參照指標(biāo)，可以是定性指標(biāo)，可以是定量指標(biāo)。其中定量指標(biāo)可以設(shè)置報(bào)警區(qū)間，一旦滿足預(yù)警條件，系統(tǒng)自動(dòng)發(fā)送相關(guān)信息給指定人；【風(fēng)險(xiǎn)指標(biāo)設(shè)置】l 系統(tǒng)提供預(yù)警信息報(bào)送機(jī)制的設(shè)置，以各種方式傳遞?！绢A(yù)警方式設(shè)置】5.2.5 實(shí)現(xiàn)風(fēng)險(xiǎn)應(yīng)對(duì)管理l 風(fēng)險(xiǎn)應(yīng)對(duì)策略方案的管理；l 建立與內(nèi)控措施關(guān)聯(lián)關(guān)系；

25、l 形成風(fēng)險(xiǎn)控制矩陣?！撅L(fēng)險(xiǎn)應(yīng)對(duì)方案】【風(fēng)險(xiǎn)控制矩陣】5.2.6 記錄風(fēng)險(xiǎn)控制的評(píng)價(jià)與改進(jìn)l 根據(jù)風(fēng)險(xiǎn)管理組織和崗位分工，支持風(fēng)險(xiǎn)崗位針對(duì)風(fēng)險(xiǎn)控制點(diǎn)的測(cè)試，記錄測(cè)試結(jié)果，并進(jìn)行統(tǒng)計(jì)分析【風(fēng)險(xiǎn)控制點(diǎn)測(cè)試】l 支持對(duì)失效的控制點(diǎn)進(jìn)行設(shè)計(jì)和運(yùn)行缺陷的認(rèn)定，并制定整改的時(shí)間和相關(guān)負(fù)責(zé)人。【風(fēng)險(xiǎn)缺陷評(píng)價(jià)】5.2.7 實(shí)現(xiàn)風(fēng)險(xiǎn)控制的監(jiān)督與報(bào)告l 支持以風(fēng)險(xiǎn)為核心的各種信息搜集、評(píng)估、應(yīng)對(duì)、控制執(zhí)行測(cè)試等綜合信息的報(bào)告式輸出；l 支持以word、excel、txt、html等多種格式輸出系統(tǒng)內(nèi)的信息，形成相關(guān)分析報(bào)告；l 支持向外部風(fēng)險(xiǎn)管理和內(nèi)控審計(jì)機(jī)構(gòu)提供相關(guān)信息。【風(fēng)險(xiǎn)管理綜合報(bào)告】5.3 實(shí)現(xiàn)COSO

26、全面風(fēng)險(xiǎn)綜合架構(gòu)，與內(nèi)控體系整合5.3.1 通過(guò)風(fēng)險(xiǎn)應(yīng)對(duì)方案建立與內(nèi)控體系的聯(lián)系 系統(tǒng)在風(fēng)險(xiǎn)應(yīng)對(duì)方案中，建立與內(nèi)部控制體系之間的對(duì)應(yīng)關(guān)系，從而實(shí)現(xiàn)：l 風(fēng)險(xiǎn)應(yīng)對(duì)方案直接對(duì)應(yīng)內(nèi)控措施，包括控制點(diǎn)、控制業(yè)務(wù)流程、監(jiān)督措施、監(jiān)督部門、監(jiān)督崗位；【風(fēng)險(xiǎn)應(yīng)對(duì)與內(nèi)控措施對(duì)應(yīng)】l 內(nèi)部控制管理手冊(cè)中直接選取關(guān)聯(lián)的業(yè)務(wù)風(fēng)險(xiǎn)，定義控制點(diǎn)、監(jiān)督檢查方法、業(yè)務(wù)流程等，實(shí)現(xiàn)雙向的互相索引關(guān)聯(lián)。【內(nèi)控手冊(cè)維護(hù)】5.3.2 通過(guò)內(nèi)控系統(tǒng)完成與業(yè)務(wù)系統(tǒng)運(yùn)作管理的結(jié)合 l 提供關(guān)鍵業(yè)務(wù)數(shù)據(jù)審計(jì)線索配置與監(jiān)控查詢：包括基礎(chǔ)數(shù)據(jù)檔案，諸如客戶檔案、會(huì)計(jì)科目、銀行賬戶檔案等。系統(tǒng)可自動(dòng)記錄這些關(guān)鍵數(shù)據(jù)的變化日志，特別是編輯的時(shí)間、

27、前后變化的對(duì)比、編輯人員等關(guān)鍵信息?！娟P(guān)鍵數(shù)據(jù)審計(jì)線索配置】l 提供關(guān)鍵業(yè)務(wù)流程審計(jì)線索的配置與監(jiān)控查詢：指流程配置平臺(tái)制定的業(yè)務(wù)流程，一旦發(fā)生變化，系統(tǒng)將自動(dòng)記錄變化前后的流程，以及變化的時(shí)點(diǎn)、操作員。方便審計(jì)人員追查系統(tǒng)控制變化的過(guò)程，防止非授權(quán)情況下對(duì)業(yè)務(wù)系統(tǒng)的改變?！娟P(guān)鍵業(yè)務(wù)流程審計(jì)配置】l 提供關(guān)鍵控制參數(shù)審計(jì)線索的配置和監(jiān)控查詢：指系統(tǒng)中各種集團(tuán)級(jí)別、公司級(jí)別的業(yè)務(wù)系統(tǒng)參數(shù)，可以設(shè)計(jì)參數(shù)變化的日志記錄，便于審計(jì)人員和系統(tǒng)管理人員監(jiān)控和追查。5.3.3 通過(guò)內(nèi)控審計(jì)評(píng)測(cè)，驗(yàn)證風(fēng)險(xiǎn)管理方案的有效性 通過(guò)內(nèi)控審計(jì)平臺(tái)，針對(duì)內(nèi)部控制進(jìn)行專項(xiàng)審計(jì)，并形成內(nèi)部的審計(jì)評(píng)估報(bào)告：l 支持內(nèi)控審計(jì)項(xiàng)

28、目計(jì)劃、任務(wù)分配、工作日志和協(xié)同合作的項(xiàng)目管理；l 支持設(shè)置內(nèi)控審計(jì)工作底稿、工作組分發(fā)、底稿填報(bào)與匯總的管理；l 支持內(nèi)控審計(jì)評(píng)估報(bào)告的編寫、簽審、發(fā)布和內(nèi)部傳閱的管理?！緝?nèi)控審計(jì)項(xiàng)目計(jì)劃】【內(nèi)控審計(jì)工作底稿】【內(nèi)控審計(jì)評(píng)估報(bào)告】5.4 實(shí)現(xiàn)對(duì)業(yè)務(wù)系統(tǒng)的自動(dòng)監(jiān)控5.4.1 構(gòu)建IT系統(tǒng)安全控制監(jiān)控平臺(tái)當(dāng)前企業(yè)越來(lái)越依賴ERP業(yè)務(wù)系統(tǒng)對(duì)于日常業(yè)務(wù)的管理，但是，如果業(yè)務(wù)系統(tǒng)沒(méi)有足夠的安全控制能力，或者說(shuō)無(wú)法對(duì)系統(tǒng)的安全機(jī)制進(jìn)行監(jiān)控，那么整個(gè)系統(tǒng)輸出的數(shù)據(jù)結(jié)果將存在很大的可質(zhì)疑之處。l 授權(quán)監(jiān)控：通過(guò)對(duì)關(guān)鍵用戶、關(guān)鍵角色、關(guān)鍵功能、關(guān)鍵流程的設(shè)置，NC系統(tǒng)可以自動(dòng)對(duì)這些關(guān)鍵點(diǎn)進(jìn)行授權(quán)情況以及變化情

29、況進(jìn)行跟蹤，形成相關(guān)的管理日志，并支持輸出到指定格式的報(bào)告?！娟P(guān)鍵功能設(shè)置】【關(guān)鍵流程授權(quán)監(jiān)控】l 互斥設(shè)置：系統(tǒng)內(nèi)置內(nèi)控措施當(dāng)中不相容職責(zé)分離的模型。通過(guò)對(duì)關(guān)鍵業(yè)務(wù)流程的各個(gè)業(yè)務(wù)環(huán)節(jié)設(shè)置互斥，從而提供授權(quán)時(shí)的互斥職能檢測(cè)，防止出現(xiàn)不相容職責(zé)授權(quán)失誤。【互斥設(shè)置】l 特殊日志報(bào)告：系統(tǒng)為IT管理人員提供一些特殊用戶的監(jiān)測(cè)日志，防止諸如系統(tǒng)管理員之類的特殊用戶對(duì)系統(tǒng)造成數(shù)據(jù)干擾。包括：特殊用戶（指系統(tǒng)管理員、帳套管理員）操作日志報(bào)告、離職人員報(bào)告、調(diào)配人員報(bào)告、不明身份人員報(bào)告（指無(wú)法與人員檔案建立對(duì)應(yīng)關(guān)系的用戶）。l 安全策略監(jiān)控：提供對(duì)于不同角色、人員密碼策略的設(shè)置，以及策略變化的日志記錄。

30、5.4.2 實(shí)現(xiàn)對(duì)業(yè)務(wù)系統(tǒng)關(guān)鍵流程的自動(dòng)檢測(cè)用友NC系統(tǒng)針對(duì)主數(shù)據(jù)和業(yè)務(wù)流程的變動(dòng)情況，自動(dòng)進(jìn)行日志記錄，給出相應(yīng)的報(bào)告，方便內(nèi)部和外部?jī)?nèi)控審計(jì)人員進(jìn)行管理過(guò)程的跟蹤和評(píng)價(jià)?！娟P(guān)鍵數(shù)據(jù)監(jiān)控報(bào)告】【關(guān)鍵流程檢查報(bào)告】5.5 建立集團(tuán)級(jí)高性能、柔性開(kāi)放平臺(tái)5.5.1 構(gòu)建系統(tǒng)整合平臺(tái)，風(fēng)險(xiǎn)信息門戶用友引進(jìn)IBM的企業(yè)服務(wù)總線（ESB）平臺(tái)，為企業(yè)圍繞風(fēng)險(xiǎn)管理的各個(gè)業(yè)務(wù)系統(tǒng)進(jìn)行基于信息管理服務(wù)的整合，實(shí)現(xiàn)跨平臺(tái)、跨系統(tǒng)的風(fēng)險(xiǎn)信息整合披露和搜集管理，并完成風(fēng)險(xiǎn)控制過(guò)程中要求的業(yè)務(wù)整合和流程控制?！酒髽I(yè)整合平臺(tái)企業(yè)信息服務(wù)總線】為達(dá)到各系統(tǒng)的信息整合和互通利用，用友提供對(duì)各個(gè)業(yè)務(wù)系統(tǒng)基礎(chǔ)數(shù)據(jù)的統(tǒng)一標(biāo)準(zhǔn)化

31、管理平臺(tái)主數(shù)據(jù)管理平臺(tái)，幫助集團(tuán)IT部門統(tǒng)一集團(tuán)內(nèi)各企業(yè)業(yè)務(wù)系統(tǒng)的共有基礎(chǔ)數(shù)據(jù)信息，統(tǒng)一發(fā)布機(jī)制和編碼機(jī)制，為后續(xù)的集成和管理提供基礎(chǔ)?！局鲾?shù)據(jù)管理平臺(tái)】此外，為提高系統(tǒng)使用人員的應(yīng)用體驗(yàn)，利于整個(gè)風(fēng)險(xiǎn)管理工作的順利開(kāi)展，用友提供統(tǒng)一的風(fēng)險(xiǎn)信息門戶，并可與企業(yè)的辦公信息門戶集成，實(shí)現(xiàn)統(tǒng)一登錄、信息集成的應(yīng)用效果。同時(shí)，在該門戶可以集成風(fēng)險(xiǎn)知識(shí)庫(kù)管理，便于風(fēng)險(xiǎn)管理的工作人員查找相應(yīng)的案例、信息的溝通和制度的梳理保管等。5.5.2 高效率、個(gè)性化柔性擴(kuò)展開(kāi)發(fā)平臺(tái)由于全面風(fēng)險(xiǎn)管理和內(nèi)部控制管理系統(tǒng)，將是涉及集團(tuán)內(nèi)部各個(gè)企業(yè)、部門和人員的綜合系統(tǒng)，因此必須能夠滿足大用戶量、大并發(fā)情況下的高性能運(yùn)作。用友NC系統(tǒng)已經(jīng)在2010年9月發(fā)布NC5.6 3萬(wàn)人Hpux的性能測(cè)試報(bào)告。其中，平均反應(yīng)時(shí)間、處理事務(wù)的能力、CPU利用率等指標(biāo)