中国长江航运集团南京油运股份有限公司 内部控制规范实施工作方案 为贯彻落实江苏省证监局《关于做好江苏上市公司内部控制规范有关工作的通知》（苏证局公司字[2012]101 号）精神，根据财政部等五部委《企业内部控制基本规范》及相关配套指引要求，结合公司经营特点和发展规划，制定本实施工作方案。 一、公司基本情况 中国长江航运集团南京油运股份有限公司（以下简称“公司”）原名南京水运实业股份有限公司，成立于 1993 年 7 月，公司股票于 1997 年经批准在上海证券交易所上市。公司简称“长航油运”，股票代码 600087。 根据《公司法》、《证券法》、《公司章程》等法律法规要求，公司的股东大会、董事会、监事会各司其职，规范运作。董事会下设战略委员会、审计委员会、提名委员会、薪酬与考核委员会和风险管理委员会等五个专门委员会，为董事会提供专业决策支持。公司经营层在《公司章程》及董事会的授权范围内开展经营管理工作，向董事会负责。公司组织机构设置合理，权责明确，相互制衡，为管理目标的实现提供组织保障。 为建立和完善公司内部控制和全面风险管理运行机制，推动内控和风险管理的各项活动融入公司生产经营和管理的整个过程，促进体系的有效运行，公司设置了内部控制和全面风险管理的组织机构，明确了相应的职责。 1、董事会负责内部控制的建立健全和有效实施，设立风险管理委员会；监事会对董事会建立与实施内部控制进行监督；审计委员会负责审查企业内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜等。 2、经营层设立内部控制和全面风险管理领导小组，负责组织领导企业内部控制的日常运行。 3、设立内部控制和风险管理部，与企业管理部合署办公，归口管理内控和全面风险管理工作。 4、公司全体员工均为内控和全面风险管理体系的执行人员。 二、内部控制体系建设工作回顾 从2009年起，公司开始建设系统化的内部控制和全面风险管理体系，经过项目准备、项目实施和计算机应用系统开发等各个阶段的建设，2010年6月底，公司内部控制体系顺利建设完毕，经过为期一年的试运行，于2011年7月起进入正式运行阶段。公司的内部控制体系主要有以下特点： 1、内部控制体系框架。在内部控制框架方面，把公司全部的经营管理活动，按内部环境、风险评估、控制活动、信息沟通和内部监督五个要素展开为54个单元，每个单元均为一系列相似活动的集合。在全面风险管理框架方面，把上述54个单元中的内部环境和控制活动设为第一道防线；把风险的识别、评估、风险策略和风险解决方案等设置为第二道防线；把内控和风险管理的评价作为第三道防线。公司设计的体系框架既能够满足《企业内部控制基本规范》及其应用指引的要求，也能够满足国资委《中央企业全面风险管理指引》的需要。 2、内部控制体系文件。首先把上述框架中的每个单元具体分解为若干个具体活动，并明确规范该项活动需要编制的文件，形成了文件编写总清单；其次把文件按照“一图两表”的方式进行编写，要求流程清晰且尽量能够明确地落实到每个岗位，流程的每个环节列明输入和输出，描述该项活动的主要风险点、风险类别、风险计量和相应控制措施等；最后按照体系文件模板的要求补充相关文字，形成包含流程图、各环节岗位的输入输出、岗位职责、岗位权限、操作控制要点、风险点、风险评估等级和控制措施等一系列要素在内的体系文件。 公司内控和全面风险管理体系文件清单总数约330份，除部分不需要编制“一图两表”的文件和暂时未编的文件外，截至2011年底，公司共编制了以“一图两表”形式表现的体系文件约230份，约包括340个流程。在编制文件的过程中，公司共识别出各类风险点约600个，初步形成了公司风险点库。 3、计算机应用系统开发。为保障公司内控和全面风险管理体系的运行，公司聘请了北京普信管理咨询有限公司作为内部控制和全面风险管理体系建立的咨询机构，设计开发了内部控制管理体系计算机应用系统，其功能主要是公司内部控制和风险管理的具体应用，主要包括：一是体系文件管理。即体系文件的编制、发布、更新、维护和查询等；二是内部控制管理。以内控检查、内控报告为主要内容的内部控制管理；三是风险管理。包括公司内外风险初始信息的输入、识别和评估、建议和整改等风险事件管理，以及风险点库的评估和新增等；四是内外规管理。包括与公司相关的法律、法规和行业出版物等，即体系外部法律和文件库的查询、更新和维护等；以及引入公司还未体系文件化的内部规章制度的管理；五是统计分析和基础数据维护。 4、内部控制和全面风险管理体系试运行。经过近一年的建设，公司内控和全面风险管理体系正式建成，并于 2010 年 7 月开始了试运行。通过试运行，不断探寻合理的内控管理模式，不断改进体系设计和运行机制。试运行阶段，通过对内控文件的进一步梳理，完善了相关内控流程，加大了内控培训宣传力度，在企业中形成了良好的内控氛围，为内部控制和全面风险管理体系的正式运行打下坚实基础。 三、内部控制正式运行情况 （一）内部控制和全面风险管理体系运行机制 经过为期一年的试运行，从 2011 年 7 月 1 日起，公司内控和全面风险管理体系进入正式运行阶段，其运行机制可以概括为：将内部控制和全面风险管理体系作为公司管理的工具之一，以涵盖公司经营管理全部活动的内部控制为基础，建立并逐步完善公司各项经营管理活动的流程、体系文件，并持续改进内控体系的运行；在此基础上，通过运行全面风险管理的基本流程，包括公司内外风险初始信息的收集、识别、评估和制定并实施风险解决方案，建立并逐步完善公司的内控和全面风险管理体系，合理保障公司各项既定目标的实现。 公司的内部控制和全面风险管理主要包括两大类活动： 一是内部控制活动。包括流程管理、授权管理、内外规和体系文件管理、内部控制的检查、运行、自评估和改进等和内部控制相关的各项活动； 二是全面风险管理活动。包括战略风险、法律风险、安全风险、运营风险、财务风险、市场风险和 IT 风险等七大类风险的风险初始信息收集、风险识别、分析评估、风险管理策略、风险解决方案、风险管理的检查、监督、改进和报告等风险管理活动。 当前及今后一个时期，公司将依据运行机制的要求，推进和持续完善内控和全面风险管理体系，不断提升体系运行的有效性。 （二）内部控制评价情况 1.内部控制评价机制 内部控制检查和评价是内控体系运行的重要环节，公司内控检查和评价按时间分为月度检查和年度检查。在内控检查和评价前均按要求编制详细的检查计划，在检查评价完成后形成内控检查报告，并通报内控检查的结果，跟踪整改情况。 （1）月度检查和监控。月度检查监控由内控管理部每月组织开展，主要检查内容是部室（单位）内控文件的执行情况，检查采用抽样方式，即对各部室（单位）抽取 1-2 个活动，对文件和活动的开展情况进行检查和监控。检查和监控结果予以通报，并作为各部室（单位）绩效考核评价的依据。 （2）年度检查和监控。年度检查监控是对公司内控体系运行的全面检查和监控，范围包括所有的部室（单位）。年度检查和监控每年开展两次，一次是每年度终了后，由负责进行内部控制评价的审计部组织开展年度检查和监控，检查和监控结果作为内部控制年度自我评价的重要输入和依据。 另一次在年中开展，和公司 HSEQ 内部审核相结合，安全质量部组织，审计部、内控管理部协助和参与，拓展目前 HSEQ 内部审核的范围和内容。检查和监控结果既作为 HSEQ 内审的输入，也作为内部控制年中评价的输入。 2.内部控制评价标准 目前，公司已按照财政部等五部委《企业内部控制规范》和《企业内部控制评价指引》相关要求，确定了内部控制缺陷的评价标准，将内部控制评价按其影响程度分为重大缺陷、重要缺陷和一般缺陷三类。同时，结合企业自身的行业特点、企业性质、经营管理现状、风险偏好等因素合理制定了详细的划分标准，为内部控制评价提供了可靠的评价依据。 3.内部控制自我评价报告 公司作为上海证券交易所公司治理板块成分股公司，按照证监会和交易所相关要求，于 2008 年度起开始编制内部控制自我评价报告，并经过公司年度董事会审议后予以披露。 公司内部控制和全面风险管理体系正式运行后，根据公司《内部控制和全面风险管理体系运行方案》要求，2012 年初，由审计部牵头组织开展了内部控制和风险管理运行情况年度评价工作。此次年度评价检查活动，覆盖了公司 12 个部室及单位，检查内容以各部室（单位）内部控制重点活动的年度执行情况为主，其内容涵盖了公司合同管理、车辆修理、船舶修理、润滑油采购、船舶投保、技改项目、融资情况、资产清查、污油水处理、岸基和船员培训、信息化项目、预算调整等。作为内部控制和全面风险管理体系正式运行以来的首次年