高速公路运营企业内控体系构建：风险防范实践

（一）积极筹划，充分准备

1.成立专门内控体系建设的推进机构。内部控制体系是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。它是一个系统工程，需要高度的协调和统一，任何一个部门都难以单独完成。因此企业应成立专门领导机构来有力推进这项工作。赣粤高速成立了以董事长、总经理为组长，总经济师具体负责，其它高管为成员的内部控制体系建设领导小组，下设办公室，由审计内控部牵头、公司本部各业务部门为成员组成，办公室分为五个工作组，并明确各工作组职责，使各项工作责任到人，落实到位，确保内控建设工作有序推进。为了确保工作高度统一，公司从各部门、各单位不同层面、不同岗位抽调了100多名专业精干人员组成工作团队，在领导小组统一组织下进行制度梳理、修订、增删，优化流程编制风控文档等工作。同时，要求各控股子公司成立专门的工作小组，组织足够的专业人员开展本单位内部控制规范实施工作。

2.营造良好的内控建设氛围。多数高速公路上市公司是由原来的事业单位改制而成，管理观念和行为仍然具有强烈的事业色彩，缺乏现代企业管理理念，内部控制意识不强，因此必须营造起内控控制体系建设的强烈氛围。赣粤高速采取多种措施营造良好内控建设氛围：一是统一思想，提高认识。多次召开会议强调内控体系建设的重要性和必要性，增强工作的责任感和紧迫感；二是适时召开动员会，向公司全体员工宣传内控体系建设工作，说明内控建设的时间、步骤和要求；三是依托内部宣传平台，加强宣传工作的针对性。充分利用网站、会议、简报等载体，集中宣传报道了内控体系建设进展情况和工作动态，在公司网站上开设“内部控制体系建设工作”专栏，及时宣传内部控制基础知识和各级领导关于内部控制实施的重要讲话精神。

3.制定体系建设工作方案。公司先后制订了《健全完善内控体系实施方案》和《内部控制规范实施工作方案》。并先后于2月14日和3月25日将两个方案呈送至江西省证监局。并进一步制定了详细的《风险管理与内部控制规范实施工作计划》，明确了时间节点，明确各阶段任务，每个大阶段应包含各子阶段，层层分解任务，以便任务能落实到的各工作组（部门）。要通过各子阶段目标的实现确保各大阶段目标的实现，最终确保企业内部控制体系建设整体目标的实现。

4.建立五项推进工作机制，确保工作高效有序开展。良好的工作机制是保证内部控制体系建设高效有序推进的前提和条件，公司从以下五个方面建立了推进工作机制：

一是建立会议协调机制。在内控工作推进过程中，内控项目办组织咨询专家、各部门经理、路段管理处、控股子公司负责人和各业务口专业人员定期召开周五工作例会，总结和部署工作。在必要的时候召开协调会、专题会，协调解决工作推进中的重要事项和存在难点问题；

二是建立了时间控制机制。所有制度、流程和风险控制文档均由办公室和咨询专家统一安排协调，确定编写批次和具体要求及提交任务时间节点，并严格按照时间节点进行任务完成情况检查，对未按时完成任务的单位或部门给予通报批评，并要求加班加点、保质保量的完成。

三是建立质量控制机制。由于制度流程修订和风险控制文档编制是项目的关键环节，该项工作的好坏直接影响项目质量，因此要严格抓好制度、流程和风险控制文档的审核关，通过部门、咨询专家组、分管领导、领导小组办公室专题会议、专家评审会（独立董事参与）、总经理办公会、董事会七道质量审核程序，确保各项文件内容全面、职责清晰、重点突出、切实可行。

四是建立考核机制。考虑到高速公路上市公司存在部分工作人员工作懒散、做事拖沓的现象，可能会影响项目的进度和质量，内控项目办建立了以领导小组办公室、人力资源部、咨询专家共同组成考核小组，对各单位、各部门的工作完成情况进行评分，主要以工作难度、工作量、完成时间和完成质量等为考核内容，评分结果直接影响单位或部门的年终绩效奖。

五是建立宣传培训机制。为强化公司全体员工对内部控制基础知识的理解和提高项目办工作人员的内控工作技能，赣粤高速开展了形式多样的学习宣传，积极营造良好的工作氛围。首先，通过培训学习，加深员工对内控体系的认识，使大家以良好的精神姿态投入到内控体系建设中。其次，依托内部宣传平台，加强宣传工作的针对性。充分利用网站、会议纪要等载体，集中宣传报道了内控体系建设进展情况和工作动态。在企业网站上开设“内部控制体系建设工作”专栏，及时宣传内部控制基础知识和各级领导关于内部控制实施的重要讲话精神。

（二）分步推进，构建内控体系

1.依据企业整体职能定位与公司“十二五”战略规划分解各项业务职能。企业的整体职能是根据企业当前在社会中所承担的各项职责的高度概括，是企业安身立命的根本基础。通过对赣粤高速当前各项业务职能的整理，提出赣粤高速整体职责是为我国经济社会的发展提供便捷、高效、重载、安全、环保的科技含量高的高速公路通行服务。同时，赣粤高速根据当前自身的“十二五”战略规划，提出了当前要实施八大重点工作、关注七大主项、做好六大典范、实现一个目标的“金字塔”战略蓝图，即为实现打造“百年赣粤”一个大目标，企业要做好科技创新、项目管理、综合融资、通行服务、运营管理、企业文化、实现高速投资集团四大战略定位六大典范，关注公路基础设施成网、基础公共服务均衡、重要交通节点运输枢纽建设、交通运输管理信息服务系统建设、应急保障系统效率、交通运输低碳技术研发、员工队伍高素质建设等当前七大主项业务以及实施通行服务精细化管理、投融资工作、高新技术研发与应用、重点工程建设、抓好养护管理、强化内部管理，健全赣粤高速企业标准、构建信息化体系、拓展企业文化内涵等八大重点工作。

依据上述企业整体职能定位与公司金字塔战略分解赣粤高速各分项业务职能，共分解出18项业务职能即工程养护、项目建设、收费管理、服务区管理、资金活动管理、物资采购、投资与筹资、人力资源管理、固定资产管理、科技研发、发展战略管理、行政事务管理、后勤服务管理、信息系统管理、公司治理管理、全面预算、党群事务管理、工会等职能。

2.优化组织架构，完善部门职责。将上一步骤分解的18项业务职能与企业现有的13个部门承担的业务职能进行对比分析，查找现有部门缺失的职能和存在多个部门重叠管理的职能，发现有的职能机构设置过多导致职能重叠和多头管理，而有的职能机构设置薄弱导致形同虚设不能发挥作用。因此赣粤高速重新调整了部门架构（合并职能重复的部门，分拆职能不相容的部门），使调整后的部门组织架构与企业各项业务职能相匹配。根据调整后的部门架构制定了新的部门职责和岗位标准，使优化后的组织架构和岗位符合企业的整体职能和发展战略规划。同时，企业在优化组织架构时，将内部审计部门独立出来，直接设在董事会或审计委员会的管辖下，以发挥其对内部控制的有效性监督与评价作用。

3.依据职能对比分析进行制度（表单）梳理和流程绘制。内控体系建设的重要内容之一就是梳理管理制度（表单）、描述企业的业务流程和内部控制现状。只有管理制度完善了，业务流程和内部控制现状描述出来了，才能以此为基础，分析流程中的风险，与企业现有的控制相对照，从而寻找缺陷，不断进行改进。

在进行职能对比分析的同时，赣粤高速重视实现各项业务职能的管理制度（表单）的补充与修订。经本次内部控制体系构建过程的制度梳理，发现多数原有制度不健全，且未成体系，制度流程相互之间存在对立或无法对接等问题，从而使企业在执行制度和内部控制的效果大打折扣。由于本次新增和修订的制度非常多，绘制的工作流程和收集的表单工作量也大，需要投入大量的人力物力。针对此情况，赣粤高速从各部门、各单位等不同层面、不同岗位抽调了100多名专职精干人员组成工作团队，按业务部门分成工作组，在内控咨询专家指导下按照项目办公室统一确定的制度目录和业务流程目录进行制度（含工作表单）补充及修订以及流程绘制、控制现状描述等工作。

（1）确定各工作组的管理制度和流程目录以及内容框架。项目办公室在前期工作的基础上，结合分解的职能以及调研公司的实际情况，制定了统一的管理制度和流程目录以及各管理制度内容框架。各工作组（部门）将项目办所提供的目录和内容框架，与本部门业务现有的管理制度、流程相对照，以便确定哪些制度和流程需要增加，并哪些制度和流程需要修订，并将需增加的制度流程目录和修订的制度流程目录报公司内控项目办审核确定。

（2）完成各业务的管理制度梳理和重点业务流程的绘制。各工作组在本次制度梳理和流程绘制时有两点要求：一是按照项目办公室提供的统一模板进行制度梳理、流程绘制（见《管理制度模板》和《业务流程模板》）；二是要考虑制度、流程在部门业务间的横向衔接以及在公司本部、路段管理处、收费所等不同层面业务纵向衔接问题，既要弥补职能空白区又要分清职能重叠区。

（3）描述现有的控制措施并归集相关规章制度。各工作组针对绘制的业务流程，分析并描述内部控制现状，确定各流程的现有控制点，找出现有的控制方法，归集相关管理制度（表1）。

表1　管理制度模板

1.目的

2.范围

3.职责

3.1

3.2

3.3(www.xing528.com)

4.工作程序

4.1

4.2

4.3

5.相关文件

《公路养护技术规范》（JTG H10?2009）

6.记录

6.1《基于GIS的高速公路养护管理决策支持系统》

6.2《20**年度养护工程及新增固定资产投资项目完成情况月报表》

6.3《小修保养包干及维修基金范围项目表》

6.4《立项、计划流程时间安排表》

附录

《养护工程中、大修立项及计划管理流程图》

表2　业务流程模板

4.识别重点业务的风险并评估风险等级，提出控制要求。随着市场经济不断发展，高速公路上市企业现阶段面临更大的环境变化和生存风险，诸如政策风险、行业风险、信贷风险、营运风险、声誉风险、技术风险等。企业应该建立可以辨认、分析和管理风险的机制，并确认高风险领域，以加强管理。但我国高速公路上市公司缺乏的就是这种机制，股东大会、董事会、监事会、经理层互相监督、制约的机制没有建立，董事会中没有风险评估委员会或形同虚设，造成在没有科学可行性论证的情况下随意决策。公司为达到建立以风险管理为核心和导向的内控管理目标，从加强关键环节、重点领域的业务管理入手，对资金活动管理、工程养护、项目建设、服务区管理、物资采购、人力资源管理、筹资与投资、全面预算、收费管理、发展战略管理等重点业务经营管理过程中高危环节进行监控，以其业务控制目标为导向并结合业务单元工作人员的实际经验对这些业务流程步骤中的关键环节进行风险识别（识别主要以问卷调查和访谈方式进行），根据风险评价标准（即依据风险发生的可能性与风险发生后对公司的影响程度进行综合评价）和风险等级判断标准对识别出的风险进行了风险评估与排序，分为重大、中等及一般风险三个风险等级。同时，对识别的风险对照《企业内部控制应用指引》相关条款并结合风险等级提出相应的控制要求，即重大风险实行重点控制、中等风险实行中等控制、一般风险实行一般控制。

图1

5.结合内部控制现状查找内部控制薄弱点，进一步完善管理制度流程。结合上一步骤提出的控制要求，对比重点业务流程的公司现有内部控制措施，分析内部控制设计缺口，找出薄弱点，补充完善相应的控制活动及制度，修改前期制定的管理制度、流程，同时根据项目办提供的格式编制风险控制文档。

6.编制《内部控制手册》。

将第二次修订制度（流程、表单）以及风险控制文档装订成册，编制成《内部控制手册》，并邀请省内知名内控专家评审，进一步修订完善《内部控制手册》。最后，提交公司总经理办公会、董事会审议并获得通过后，开展内部控制体系试运行工作。为保证质量，赣粤高速在整个内控体系核心成果《内部控制手册》的出台之前，《内部控制手册》先后共经历了部门经理、咨询单位专家、项目组、分管领导、评审专家、总经理办公会、董事会七道工序的严格审查，修订4稿，最后发布试运行。

（三）内控有效性测试与评价

企业在建立内部控制体系后，立即转入试运行过程。公司审计内控部对体系的适用性和有效性应用询问、观察、检查、重复执行或者是以上几种方法的组合进行测试，依靠测试查找设计和执行存在的各种缺陷，进行缺陷整改从而进一步完善体系。多数企业在内部控制体系建立和实施中存在“两张皮”现象，往往重制度构建轻制度执行，内控制度的制定和实际业务脱节。赣粤高速为避免此现象的发生，在制定内部控制相关制度的同时，对每一业务环节均设计相应的流程，对流程中的各个重要控制点均设计了相应的工作表单和编制风险控制文档，要求员工在业务操作过程中严格按流程步骤执行，按管理制度和风险控制文档要求填写相应的控制表单及工作资料，使制度、工作流程和表单融入业务操作中，发挥内控体系应有的作用。在体系运行过程中，审计内控部对重点业务的各控制点上的表单及工作资料使用检查监督方式（监督流程见图1）进行定期测试。属于运行缺陷的检查表单是否符合内部控制要求，不合格的下发整改通知书限期整改，并要求提交整改结果报告；属于设计缺陷的则由内部控制办公室召集相关部门开会讨论，是否增加控制点或修改控制点，并按修改后的控制试运行，效果良好则适时修改内控体系（制度、流程、风险控制文档、表单），逐步完善体系。同时，对重要的收费与缴款、采购与付款、工薪与人事、养护与工程、筹资与投资、固定资产管理等业务审计内控部要进行每年两次的评价，评价方法参照《内部控制评价手册》，并形成内控检查工作底稿，年底还编制内控自我评价报告。

（四）《内部控制手册》的持续改进

内部控制体系构建是一个动态过程，并不是一劳永逸的。在测试补救阶段完成之后，只能说针对当前的情况，所建立的内部控制体系是有效的。但社会经济环境和企业自身的情况是不断变化的，业务流程与风险也是在不断更新的，这就需要公司随时关注内部控制体系建设，维护更新，以适应具体情况的变化。管理层每年都需要发表声明，来证明公司内部控制运行的有效性。所以，高速公路运营公司不能满足当前工作的完成，而是要把内部控制体系建设作为一项长期的工作来抓，不断继续下去。

试运行期间，内部控制体系的完善是一个运行、检查、改进、再运行、再检查、再改进的循环过程。在内控体系试运行过程中，企业应根据监督和评价过程查找的缺陷修改制度（含表单）、流程以及风险控制文档，定期对《内部控制手册》更新。经过两年试运行的修改和完善，《内部控制手册》提交公司总经理办公会审议通过后，由公司发文正式实施。