1、小型行政事业单位内部控制管理手册（模板）0小型行政事业单位小型行政事业单位（模板）内部控制管理手册序 言为了提高XX（以下简称“XX”）经济活动管理水平，促进XX 建立健全内部控制体系，依据中华人民共和国会计法以及财政部发布的行政单位财务规则、事业单位财务规则、行政事业单位内部控制规范（试行）等法律法规和有关规定，参考上海市行政单位内部控制操作指引（试行），特制定XX内部控制手册（以下简称“内部控制手册”或“手册”）。内控手册作为XX 行政事业单位内部控制建设与实施的有效管理工具，具有以下几个方面的意义：1、通过建立适合本单位实际情况的内部控制体系，梳理各类经济活动的业务流程、明确业务环节、系
2、统分析经济活动风险、确定风险点、选择风险应对策略等措施，充分利用内部控制“使其不能腐”的作用机理，使内控手册成为预防贪污腐败的有效手段。2、通过对事前、事中、事后的全程控制，确保各级干部职工遵守有关法律法规，增强法制观念和道德意识，使内控手册成为保护干部职工的有效工具。3、通过内部控制建设，重新审视和梳理现行的各项管理制度，进一步创新管理机制，强化、优化管理措施，提高及时发现和有效处置风险的能力，破解存在的内部监管薄弱问题，全面提升内部管理水平。4、通过学习、培训内部控制风险管理工作，培育和塑造良好的内部控制风险管理文化，树立正确的内部控制风险管理理念，增强职工内部控制风险管理意识，将内部控制
3、风险管理意识转化为职工的共同认识和自觉行动，促进单位建立系统、规范、高效的内部控制风险管理机制。1小型行政事业单位内部控制管理手册（模板）目 录目 录序 言1第一章 总 则3第一节 编制目的及意义.3第二节 编制依据及原则.4第三节 编制思路及适用范围.4第四节 使用说明.5第五节 局限性.5第六节 相关定义与术语.6第二章 风险评估与控制9第一节 风险评估.9第二节 风险控制.17第三章 单位层面控制 18第一节 组织架构与归口管理.18第二节 授权体系与三重一大.21第三节 职责分工与不相容职务分离.23第四节 岗位能力胜任与岗位培训.24第五节 财务体系与会计控制.25第六节 信息系统建
4、设与维护.26第四章 业务层面控制 281第一节 预算管理.28第二节 收支管理.44第三节 采购管理.58第四节 资产管理.76第五节 合同管理.101第五章 内部控制评价与监督113第一节 内部控制评价.113第二节 内部审计.1232小型行政事业单位内部控制管理手册（模板）第第一章一章 总 则 总 则第一节 第一节 编制目的及意义编制目的及意义依据财政部行政事业单位内部控制规范（试行）等有关规定，内部控制，是指单位为实现控制目标，通过制定制度、实施措施和执行程序，对经济活动的风险进行防范和管控。完整的内部控制体系和完善的内部控制制度是约束、规范单位管理行为的准则，是减少风险的重大措施。内
5、部控制手册是构建单位内部控制体系并保障其运行的基本制度和实施规范，是作为单位建立、执行、评价及验证内部控制的依据。内部控制手册的编制具有以下几个目标与意义：1.1.合理保证单位经济活动合法合规。合理保证单位经济活动合法合规。通过制定制度、实施措施和执行程序，合理保证单位的经济活动在法律法规允许的范围内进行，符合有关预算管理、收支管理、采购管理、资产管理、合同管理等方面的法律法规和相关规定，避免违法违规行为的发生。2.2.合理保证单位资产安全和使用有效。合理保证单位资产安全和使用有效。资产是单位正常运转的物资基础和财力保障，资产部安全、使用效率低下都将对单位各项工作的正常开展产生不利影响。所以，
6、合理保证单位资产安全和使用有效是内部控制的重要目标。3.3.合理保证单位财务信息真实完整。合理保证单位财务信息真实完整。按照国家规定编制和提供真实完整的财务信息是单位的法定义务，是提升内部管理水平的有效手段。所以，合理保证单位财务信息真实完整也是内部控制的重要目标。4.4.有效防范舞弊和预防腐败。有效防范舞弊和预防腐败。科学运用内部控制的原理和方法，将制衡机制嵌入到单位内部管理制度建设之中，强化内部监督，通过建立和实施严密的内部控制起到“关口前移”的效果，实现有效防范舞弊和预防腐败的目标。3小型行政事业单位内部控制管理手册（模板）5.5.提高公共服务的效率和效果。提高公共服务的效率和效果。提高
7、公共服务的效率和效果是单位业务活动的总体目标，同时也是单位内部控制的最高目标。第二节 编制依据第二节 编制依据及原则及原则本内部控制手册依据中华人民共和国会计法、中华人民共和国预算法、行政单位财务规则（财政部令第 71 号）、事业单位财务规则（财政部令第 68 号）、财政部下发的行政事业单位内部控制规范（试行）和上海市财政局关于印发的通知（沪财会2013按照 52 号）等法律法规和有关规定的要求，参考上海市行政单位内部控制操作指引（试行）进行制定。实施内部控制规范，应该遵循以下原则：1.1.全面性原则：全面性原则：内部控制应当贯穿单位经济活动的决策、执行和监督全过程，实现对经济活动的全面控制。
8、2.2.重要性原则：重要性原则：在全面控制的基础上，内部控制应当关注单位重要经济活动和经济活动的重大风险。3.3.制衡性原则：制衡性原则：内部控制应当在单位内部的处室管理、职责分工、业务流程等方面形成相互制约和相互监督。4.4.适用性原则：适用性原则：内部控制应当符合国家有关规定和单位的实际情况，并随着外部环境的变化、单位经济活动的调整和管理要求的提高，不断修订和完善。4小型行政事业单位内部控制管理手册（模板）第三节 第三节 编制思路及编制思路及适用范围适用范围本内部控制手册从风险评估与控制、单位层面控制、业务层面控制、内部控制评价与监督四个方面，阐明风险评估的步骤与重点、单位及业务管理活动的
9、各项控制要点、以及针对内部控制设计及运行情况的评价与监督，明确了建立和运行内部控制与风险管理统一执行的制度、标准和规范。本内部控制手册适用于XX行政事业单位及下属行政事业单位。第四节 使用说明第四节 使用说明本内部控制手册作为单位构建内部控制体系并保障其运行的基本制度和实施规范，是单位建立健全内部控制体系的核心。1.1.内部控制手册的设计：内部控制手册的设计：手册中的各项内容由内部控制主管处室主导，各处室配合，以及在中介机构的专业指导下共同进行设计、编写，经过单位相关领导充分讨论后，由单位负责人批准签发后生效。未经单位统一批准，任何处室不得擅自发布、修改内控手册内容。2.2.内部控制手册的发放
10、：内部控制手册的发放：内部控制主管处室确定发放范围；需向外单位提供本手册时，须经内部控制主管处室批准同意。3.3.内部控制手册的执行：内部控制手册的执行：各处室须认真组织学习，并在各项业务活动中严格执行手册中的相关要求，完善各项控制措施。各处室对内部控制的有效性负责，并对控制失效造成的重大损失承担责任。4.4.内部控制手册的监督：内部控制手册的监督：单位定期根据手册内容，对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，并督促加以改进。5小型行政事业单位内部控制管理手册（模板）5.5.内部控制手册的更新：内部控制手册的更新：内部控制手册生效后，内部控制主管处室根据国
11、家内部控制的相关规定和要求、内外部环境变化、组织结构变更、内控管理中出现的新问题以及各处室反馈的意见及建议等组织修订，执行全面的定期复核更新制度，由单位相关领导和相关处室讨论后，按程序批准发布执行。各处室对内部控制手册日常使用过程中发现的问题，须书面记录并及时反馈给内部控制主管处室。第五节 第五节 局限性局限性内部控制及风险管理存在其固有的、不可避免的局限性，只能为单位的控制目标实现提供合理而非绝对保证。一般而言，内部控制与风险管理的局限性主要表现为：1.1.手册中明确的控制措施是基于单位现有的风险评估结果而制定的可用控制措施，然而由于单位的风险及其评估结果可能发生变化，因此内部控制手册中的控
12、制措施的重要性及其有效性也可能发生改变。2.2.手册中的控制活动可能因人员简单操作差错、人员串通舞弊、管理当局凌驾于内控体系之上以及控制成本效益限制等情况失效，从而无法为单位内部控制有效性以及风险控制提供合理保证。3.3.手册中的控制措施的实施依赖于单位职工对措施本身的理解，行使内部控制职能的人员素质不适应岗位要求，或对内部控制措施理解出现偏差等情况也会影响风险管理与内部控制功能的正常发挥。第六节 第六节 相关定义与术语相关定义与术语1.1.内部控制：内部控制：指单位为实现控制目标，通过制定制度、实施措施和执行程序，6小型行政事业单位内部控制管理手册（模板）对经济活动的风险进行防范和管控。2.
13、2.风险：风险：指未来的不确定性对单位实现其运营目标的影响。（1）影响是指与预期结果的偏离（积极或消极）。（2）目标可以有不同的方面，例如：财务、健康和安全、以及环境目标。目标同时可以适用于不同的层面，例如，战略、组织和过程。（3）风险经常被标注为潜在的事件、后果或者两者的结合、以及他们对期望达成目标的影响。（4）风险经常被解释为一个事件及其后果的结合，或一个状态的变化以及相关的发生可能性。3.3.风险源：风险源：指任何单独或联合的、具有内在潜力引起风险的事件。4.4.事件：事件：指发生或改变一系列情况的事物（一个特定时期内，在一个特定地点所发生的事态）。通常，事件有如下几种解读：（1）一般来
14、说，事件的特性、可能性和后果不能完全可知。（2）事件可以是一个或多个事件，也可以有多个原因造成。（3）与事件相关的可能影响是可以确定的。（4）事件可以由一个或多个未发生的情况组成。（5）有后果的事件有时被称为“事故”。（6）一个未发生损失的事件也可称为“隐患”。5.5.风险类别：风险类别：是由属性相同的多个风险源或事件组成。风险类别反映了在进行风险分析时应该考虑的主要方向。进行风险分析时，通常以风险类别为起点来辨识每一个风险类别内的风险源或事件。随着时间和内外环境的变7小型行政事业单位内部控制管理手册（模板）动，单位通常面临着上千个动态的风险源或事件。但是这上千个动态的风险源或事件，通常可以归
15、纳成几十个常态的风险类别。6.6.风险识别：风险识别：指查找单位各业务单元、各项重要经济活动及其重要业务流程中有无风险，有哪些风险。7.7.风险分析：风险分析：指对辨识出的风险及其特征进行明确的定义描述，分析和描述风险发生可能性的高低、风险发生的条件。8.8.风险评价：风险评价：指评估风险对单位实现目标的影响程度、风险的价值等。9.9.风险承受度：风险承受度：指单位能够承担的风险限度，包括单位层面风险承受能力和业务层面的可接受风险水平。10.10.风险规避：风险规避：指单位对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。11.11.风险降低：风险降低：指单
16、位在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。12.12.风险转移：风险转移：指单位准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。13.13.风险承受：风险承受：指单位对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。14.14.控制措施：控制措施：包括不相容岗位分离控制、内部授权审批控制、归口管理、预算控制、财产保护控制、会计控制、单据控制、信息内部公开等。15.15.控制痕迹：控制痕迹：控制痕迹即为“相关文档”，是指采取控制措施所留下的证据，可以
17、是纸质书面文件、业务流转表单、会议纪要、电子文档记录等。8小型行政事业单位内部控制管理手册（模板）第二章 第二章 风险风险评估评估与控制与控制第一节 风险评估第一节 风险评估1.1.综述综述风险评估是单位及时识别、系统分析经营活动中与实现管理目标相关的风险，合理确定风险应对策略的过程，是风险管理的基础与核心。在风险评估中，既要识别和分析对实现目标具有阻碍作用的风险，也要发现对实现目标具有积极影响的机遇。风险评估的基本流程包括风险初始信息收集、风险的识别、分析与评价、风险管理策略与选择等。单位在日常经营中充分、连续搜集风险管理信息，根据自身业务特点，选用具备可兼容性的风险分析技术，对风险管理信息
18、进行辨识、计量、评估、分析，采用适当的风险控制技术方法，并形成相关记录，为应对风险提供相应控制策略依据。风险评估由内部控制主管处室负责计划、组织和安排具体工作；组织财会、资产管理、采购、基本建设、内部审计、纪检监察等处室或岗位工作人员成立风险评估小组，进行风险评估工作。评估人员在梳理各类经济活动的业务流程、明确业务环节的基础上，系统分析经济活动风险，确定风险点，并据此选择控制方法和应对措施。单位对内部经济活动的风险评估至少每年进行一次，在全面、系统、准确分析单位各经济业务活动风险的基础上，绘制各业务事项的流程图，确定经济活动的风险点，剖析风险存在的原因，以及导致风险发生的可能性，以确保新的风险
19、得到及时有效的控制。同时，对预算、收支等高风险经济活动业务，开展不定期评估，建立风险预警系统，有效地防范和管控风险。9小型行政事业单位内部控制管理手册（模板）2.2.风险类别风险类别风险类别反映了单位在进行风险分析时考虑的主要方向，根据单位的实际情况，单位应对的常见风险分为以下几类：（1 1）规划风险：因单位在规划决策的制订和实施上出现错误，或因未能随环境的改变而做出适当的调整，从而导致单位损失。（2 2）监管风险：指因管理和制度上的原因，造成对单位各项活动的监督不到位，可能存在营私舞弊和腐败等方面的风险。（3 3）业务管理风险：单位在业务管理过程中，由于外部环境的复杂性和变动性以及主体对环境
20、的认知能力和适应能力的有限性，而导致的业务管理失败或使业务管理活动达不到预期的目标的可能性及其损失。（4 4）财务风险：因单位财务结构不合理、资金使用不当，导致单位可能丧失偿债能力（丧失资金支付能力）而导致陷入财务困境的风险。（5 5）法律风险：单位在经营过程中违反法律法规，签订合同的内容在法律上有缺陷或不完善而发生法律纠纷甚至无法履约，以及法律的不完善或修订产生的不确定性等面临的风险。单位根据各风险类别的情况与性质，对以上风险进行了进一步的细分，如下表所示：表：常见风险类别细分表（示例）表：常见风险类别细分表（示例）风险类风险类别别细分风险细分风险细分风险释义细分风险释义规划风规划风险险发展
21、规划风险发展规划风险发展规划风险是指单位在规划决策、开发、制定、实施、控制、信息掌握、应对管理变化等活动中的失误，影响单位实施发展规划和实现规划发展目标的不确定性。单位文化风险单位文化风险单位文化风险是指单位文化管理不合理，导致单位文10小型行政事业单位内部控制管理手册（模板）表：常见风险类别细分表（示例）表：常见风险类别细分表（示例）风险类风险类别别细分风险细分风险细分风险释义细分风险释义化缺失或单位理念不统一，职工对单位缺乏认同感和归属感的不确定性。单位形象风险单位形象风险单位形象风险是指负面的公众观点，影响单位在社会的声誉和单位形象、导致单位收益、竞争能力及遭受监管部门问责处罚的不确定性
22、。监管风监管风险险制度建设风险制度建设风险制度建设风险是指未建立健全规范的管理制度，导致管理监督机制不完善，影响单位运营的效率与效果。职责设置风险职责设置风险职责设置风险是指未设立必要的审核监督处室或岗位，或审核监督职责设置不合理，导致经营业务中的活动缺少合理的审核、监督。不相容职责风险不相容职责风险不相容职责风险是指不相容职责由一个人担任，可能导致发生操作错误和舞弊行为。授权管理风险授权管理风险授权管理风险是指未建立规范的授权体系，导致岗位职责权限不清，业务活动越权审批或审核审批不到位，影响单位运营的效率与效果。腐败与舞弊风险腐败与舞弊风险腐败与舞弊风险是指单位领导或职工以不诚实、欺骗、不法
23、行为等谋取私利的不确定性，导致单位的财产、形象和声誉受到损害的风险。业务管业务管理风险理风险组织架构风险组织架构风险组织架构风险是指组织架构的设置不合理，没有及时根据发展战略进行调整，影响单位日常经营和效率的不确定性。资产管理风险资产管理风险资产管理风险是指单位对各类物资缺少合理有效的管理，包括物资的出入库领用、定期盘点和处置等，导致单位遭受损失的不确定性。流程管理风险流程管理风险流程管理风险是指由于操作不当、未按流程执行或者操作流程本身存在缺陷，导致管理混乱，运营效率低下，致使单位遭受损失的不确定性。信息系统安全风信息系统安全风险险信息系统安全风险是指信息系统在规划、研发、建设、运行、维护、
24、监控及退出过程中由于系统设计的漏洞、技术管理的疏忽、病毒黑客的恶意攻击等导致操作中断、通信故障、技术诈骗、机密泄露，造成损失的不确定性。预算管理风险预算管理风险预算管理风险是指单位在预算管理程序、管理机制或管理环节中出现纰漏，导致预算实施效果偏离既定目标、预算管理失效等的不确定性。采购管理风险采购管理风险采购管理风险是指在采购管理活动中存在的由于采购管理处室失职或供应商遴选流程不合理，造成供应的产品/服务不能满足单位要求，从而导致单位遭受损失的不确定性。11小型行政事业单位内部控制管理手册（模板）表：常见风险类别细分表（示例）表：常见风险类别细分表（示例）风险类风险类别别细分风险细分风险细分风
25、险释义细分风险释义财务风财务风险险收支管理风险收支管理风险收支管理风险是指收支制度不健全，不相容职责未分离，收支管理不规范，收支核算不及时、不准确等因素导致贪污腐败、资金损失的不确定性。财务核算风险财务核算风险财务核算是指运用会计核算、统计核算、业务核算等技术方法，对单位经营活动中，实际形成的资金、成本、收入、费用等数据，进行记录、汇总、分配计算，反映单位财务状况和经营成果。财务核算风险是指在财务核算过程中的不确定性，导致单位财务报表数据不准确或列报不符合规定。资金管理风险资金管理风险单位资金管理活动包括对资金的筹集、分配、运用、收回、核算、监控、成本管理、现金流管理等活动，以确保资金有效使用
26、和满足需求。资金管理风险是指资金管理中的失误，影响单位资金管理效率和效果的不确定性。财务信息失真风财务信息失真风险险财务信息失真风险是指因财务信息获取手段不规范、来源不可信或人为因素，而导致单位财务信息质量不真实、不完整的风险。法律风法律风险险劳动关系风险劳动关系风险劳动关系风险是指在管理单位与职工相关的事务（包括工资报酬、保险、福利、沟通、解决人员投诉、处理和解决劳动纠纷）的活动中存在的不确定性，影响单位与职工关系的风险。合同管理风险合同管理风险合同风险是指因在合同订立、条款评审、变更等过程中的管理失误，而使单位遭受损失的不确定性。诉讼纠纷风险诉讼纠纷风险诉讼纠纷风险是指单位及其诉讼代理人在
27、诉讼过程中遇到的与争议事实无关（如诉讼程序不当），但导致单位合法权益无法实现的不确定性。法律事务风险法律事务风险法律事务风险是指法律事务管理中出现失误，影响单位合法权益的不确定性。3.3.评估方法评估方法单位采用定性和定量相结合的方法，以风险发生频率及可能损失为维度，对风险进行评估。其中，风险频率及对应分值如下表所示：12小型行政事业单位内部控制管理手册（模板）表：风险频率及分值表（参考）表：风险频率及分值表（参考）分值分值频率频率定义定义定性定性定量定量适用于日常运适用于日常运营中风险发生营中风险发生的频率的频率适用于重大灾难事故适用于重大灾难事故适用于可以通过历史数据统计适用于可以通过历史
28、数据统计出一定时期内风险发生概率的出一定时期内风险发生概率的风险风险5很高常会发生/非常可能今后 1 年内至少发生 1 次每年发生概率为 90%以上4高较多情况下发生/很可能今后 1 年内可能发生 1 次每年发生概率为 70%-90%3一般某些情况下发生/可能今后 25 年内可能发生1 次每年发生概率为 30%-70%2低极少情况下才发生/不太可能今后 510年内可能发生1 次每年发生概率为 10%-30%1很低一般情况下不会发生/极不可能今后 10年内发生的可能少于 1 次每年发生概率 10%以下风险损失是指由于一个或多个意外事件的发生，在某一特定条件和特定单位内外产生的多种损失的综合。风险
29、发生损失从经济（损失）、法规、运营、声誉、安全以及环境等角度基于目前单位的规模、风险偏好和承受能力等进行综合判断而得出。单位针对风险损失制定的评估要素及标准如下所示：表：风险发生损失评估表（示例）表：风险发生损失评估表（示例）分值分值后果后果经济（损经济（损失）失）法规法规运营运营声誉声誉安全安全环境环境5灾难性1,000,000元以上法务案件预计损 失 达 到1,000,000 元以上重大影响负面消息造成单位声誉灾难性受损引起群体性人员或公民死亡无法弥补的灾难性环境损害；激起公众的愤怒潜在的大规模的公众法律投诉4重大10,000 元至1,000,000元法务案件预计损 失 达 到10,000
30、 元 以上严重影响负面消息造成单位声誉重大受损引起多位职工或公民死亡造成主要环境损害；需要相当长的时间来恢复大规模的公众投诉；应13小型行政事业单位内部控制管理手册（模板）表：风险发生损失评估表（示例）表：风险发生损失评估表（示例）分值分值后果后果经济（损经济（损失）失）法规法规运营运营声誉声誉安全安全环境环境执行重大的补救措施3重要2,000 元 至10,000 元法务案件预计损 失 达 到2,000 元以上中度影响负面消息造成单位声誉中等受损导致一位人员或公民死亡，多位人员或公民严重伤残对环境造成中等影响；需一定时间才能恢复；出现个别投诉事件；应执行一定程度的补救措施2中等100 元至2,
31、000 元法务案件预计损失达到 100元以上一般影响负面消息造成单位声誉轻微受损导致多位人员或公民中等伤残，大部分丧失劳动能力对环境或社会造成一定的影响；应通知政府有关部门1轻微100 元以下无轻度影响负面消息未使单位声誉受损导致多位人员或公民轻微伤残对环境或社会造成短暂的影响；可不采取行动单位针对所涉及的风险，依据单位管理层的风险偏好、风险承受度从风险级别上划分为重大级、重要级、普通级三种。（1）重大级风险：指一个或多个控制风险（缺陷）的组合，可能导致单位严重偏离控制目标。重大风险的风险源，是不可容忍的风险，必须立刻采取处理措施；（2）重要级风险：指一个或多个控制风险（缺陷）的组合，其严重程
32、度和经济后果低于重大风险，但仍有可能导致单位偏离控制目标。重要风险的风险源，应明确管理责任人，考虑处理措施并定期监控；（3）普通级风险：指除重大风险、重要风险之外的其他风险。普通风险是可以接受的风险，但必须定期重新评估，或在有相关的风险事件发生时重新评估。14小型行政事业单位内部控制管理手册（模板）单位根据风险频率和风险损失进行组合计算，判断得出各项风险的风险等级。风险等级计算标准如下：风险等级判断标准（风险等级判断标准（1/21/2）风险等级风险频率分值 x风险损失分值1-89-1617-25风险级别普通级普通级普通级重要级重要级重要级重大级重大级重大级风险等级判断标准（风险等级判断标准（2
33、/22/2）重大级17风险等级25，或风险损失=5重要级9风险等级16，或风险损失=4普通级1风险等级8，或风险损失415小型行政事业单位内部控制管理手册（模板）其中：（1）重大级风险属于管理优先级为高（损失与频率相乘在16分以上，同时在不考虑风险频率的情况下风险后果指标分值在5分）的风险，需要重点关注，优先调配资源以进行管理，以把风险排序降低。（2）重要级风险属于管理优先级为中（损失与频率相乘在9至16 分，同时在不考虑风险频率的情况下风险损失指标分值在4分）的风险。需关注风险趋势变化，适当地调整资源以进行管理，以有效的成本代价降低风险排序。（3）普通级风险属于管理优先级为低（损失与频率相乘在9分以下）的风险。需维持现有管理水平，可适当地把资源调配，用以管理其它风险。4.4.评估步骤评估步骤（1 1）风险初始信息收集风险初始信息收集内部控制主管处室负责对单位内、外部环境的相关信息进行系统
