一、前言
1 编制《内部控制手册》的背景
为规范中国石油化工股份有限公司（以下简称“股份公司”）的管理，
贯彻《中华人民共和国公司法》、《中华人民共和国证券法》、《中华人
民共和国会计法》以及其他有关法律、法规，满足国内外资本市场对
上市公司的监管要求，股份公司特制定《内部控制手册》，作为建立、
执行、评价及验证内部控制的依据。
完整的内部控制体系和完善的内部控制制度，是约束、规范
企业管理行为的准则，是减少风险的重大措施。
实施内部控
制可以及时发现和纠正各种错弊及不法行为，有利于保证资
产安全、完整，保证经营成果与财务状况真实、可靠。
其必
要性表现为：
一是建立现代企业制度，完善法人治理结构，实现经营机制
的转换，加强企业管理，提高企业经营业绩，改善企业财务
状况。
二是贯彻我国有关法律法规，遵循美国《萨班斯-奥克斯利
法案》等国内外资本市场监管需求，提高会计信息质量。
三是积极参与竞争、努力降低风险。
随着市场竞争日趋激烈和信息技
术高度发展，以及全球经济一体化的进程加速，股份公司所面临的风
险也逐渐加大。
建立健全有效的内部控制制度，是防范风险、提高经
营管理效率和效果的重要措施。
四是建立统一规范的内部控制制度，使股份公司各项规章制度成为系
统性、可操作性和包容性很强的内部管理制度，更为有效地体现股份
公司管理理念。
2 《内部控制手册》遵循的基本原则
合规性原则
合规性是指企业内部控制制度必须符合国家的法律、法规和政策；符
合股份公司上市地（上海、香港、纽约、伦敦）证券监管机构有关上
市公司的法律、法规和要求。
全面性与系统性原则
《内部控制手册》涉及股份公司经营活动的各个方面，其内部监督和
控制贯穿于经营管理活动的全过程并涉及全体员工。
股份公司的每一
个员工既是内部控制的主体，又是内部控制的客体；既要对其负责的
作业实施控制，又要受到其他人员或制度的监督与制约。
《内部控制手册》使股份公司内部各部门、各岗位形成较为系统的既
互相制约又具有纵横交错关系的统一整体，确保各部门和各岗位均能
按特定的目标相互协调地发挥作用，最终实现股份公司内部控制的总
体目标。
内部牵制及不相容原则
内部牵制是指在部门与部门、员工与员工以及各岗位之间所建立的互
相验证、互相制约的关系，属于企业内部控制制度一个重要组成部分。
其主要特征是将有关责任进行分配，使单独的一个人或一个部门对任
何一项或多项经济业务活动没有完全的处理权，必须经过不相容的其
他部门或人员的验证、核对和制约。
权责明确、奖惩结合原则
根据各部门和岗位的职能与性质，明确各部门及人员应承担的责任并
赋予相应的权限,制定操作规则和处理程序，确定追究、查处责任的
措施与奖惩办法等，使权有所属，责有所归，利有所享，避免发生越
权或互相推诿的现象。
成本效益原则
在内部控制活动中贯彻成本效益原则，就是要力争以最少的控制或最
低管理成本获取最大的经济效益。
要实行有选择的控制；要努力降低
控制成本，尽量精简机构和人员，改进控制方法和手段，提高效率。
可操作性原则
《内部控制手册》必须符合股份公司实际，无论是业务流程控制点的
设置，还是授权项目权限的确定，都要考虑实际管理工作中是否可行，
保证其可操作性。
包容性原则
《内部控制手册》是依据股份公司现行各项管理制度，为控制风险而
编制的一系列业务流程控制体系，内容涵盖投资、生产、经营、财务、
监督检查等方方面面。
《内部控制手册》力求避免与其他制度相矛盾，
尽可能包容不同企业现有的内控制度。
对确实脱离实际的其他各项管
理制度，应及时修改、完善，并以《内部控制手册》规定为准。
信息反馈原则
确定与控制工作有关的人员在信息传递中的任务与责任，规定信息的
传递程序、收集方法和时间要求等事项，建立严密的记录、报告等信
息反馈系统。
3 《内部控制手册》的适用范围
《内部控制手册》适用于总部、分公司和全资子公司（直属
研究院适用《研究院内部控制手册》）。
分公司和全资子公司
按照更严、更细、更具体的原则，结合实际制定相关实施细
则，实施细则必须符合股份公司《内部控制手册》的要求。
控股子公司应当参照股份公司《内部控制手册》，结合自身特点，按照“业务必须覆盖股份公司《内部控制手册》中对应的所有规定内容，权限比照分公司”的原则，制定内控手册，履行本公司董事会审批程序后，报股份公司内控办公室备案。
股份公司总部、分公司、全资子公司和控股子公司执行《内部控制手册》适用的业务流程，参见《内部控制手册》附则二。
适用的特殊业务流程，需报股份公司内控办公室批准后执行。
二、内部控制定义
内部控制是为适应国内外证券机构监管要求，提高风险管理
能力和经营管理水平，由股份公司董事会、管理层及其全体
员工实施的，为经营活动的效率和效果、财务报告的可靠性、
相关法律法规的遵循性等目标的实现而提供合理保证的过
程。
内部控制主要由内部环境、风险评估、控制活动、信息
沟通及监督检查等五个方面构成：
（1）内部环境是影响、制约内部控制建立与执行的各种内
部因素的总称，是实施内部控制的基础。
内部环境主要包括
治理结构、组织机构设置与权责分配、企业文化、人力资源
政策、内部审计机制、反舞弊机制等。
（2）风险评估是及时识别、科学分析和评估影响股份公司
目标实现的各种不确定因素并制定应对策略的过程。
风险评
估主要包括风险识别、风险衡量、风险应对和风险报告。
（3）控制活动是指根据风险评估结果、结合风险应对策略，
采用恰当的控制措施以确保内部控制目标得以实现的政策
和程序，是实施内部控制的具体方式。
控制措施的选择应当
结合企业具体业务和事项的特点与要求，主要包括职责分离
控制、授权与审批控制、预算控制、财产保护控制、分析与
报告控制、绩效考评控制、信息技术控制等。
（4）信息沟通是指及时、准确、完整地收集与股份公司经
营管理相关的各种信息，并使这些信息以适当的方式在有关
层级之间进行及时传递、有效沟通和正确应用的过程，是实
施内部控制的重要条件。
信息与沟通主要包括信息的收集机
制以及内部与外部有关方面的沟通机制等。
（5）监督检查是对内部控制的有效性进行检查评价，形成书面报告并作出相应处理的过程，是实施内部控制的重要保证。
监督检查主要包括对建立并执行内部控制的整体情况进行持续性监督检查，对内部控制的某一方面或者某些方面进行专项监督检查，以及提交相应的检查报告、提出有针对性的改进措施等。
三、股份公司内部控制现状
1 股份公司内部环境
股份公司的企业文化
股份公司持续推行和弘扬“竞争、开放、规范、诚信”的企
业文化。
努力在扩大资源、拓展市场、降本增效、严谨投资
等方面取得新的突破，将股份公司建设成为一个主业突出、
股权多元、资产优良、科技创新、管理科学、财务严谨、具
有国际竞争力的一体化能源化工公司。
员工守则
股份公司制定规范的员工守则和书面政策声明，并传达到全
体员工，做到人人遵纪守法、诚实守信。
提供职业道德操守
方面的指导和培训，使全体员工养成“守法纪、讲诚信”的
意识，在一般和特定环境下都能够做出正确的判断并采取恰
当的行动。
公司组织结构
股份公司已按现代企业制度的要求，建立了由股东大会、董
事会、监事会、总裁班子构成的公司治理结构。
并进一步致
力于内部结构紧密化，完善上、中、下游一体化产业链，优
化产业结构。
股份公司董事会授权董事长决定公司内部管理
机构、分支机构的设置。
董事会及其下设的审计委员会
股份公司章程明确规定了董事会的职权、性质、董事会议事
规则及授权。
公司提名董事会及其下设的审计委员会成员
时，充分考虑了以下因素：
成员的经验；相对于管理层的独立性；外部董事的比例；其
成员参与管理的程度；所采取措施的适宜性；对管理层提出
问题的深度和广度；成员与内部、外部审计人员之间的关系。
责任分配与授权管理
股份公司实行不相容职务、岗位分离制度。
遵循互相制约、权力分割、稽核对证等原则，关键岗位的设置体现了不相容职务分离原则，使不同岗位真正起到相互制约、相互监督的作用。
股份公司严格实行授权管理，通过颁布“中国石油化工股份
有限公司权限指引”，在采购、成本、费用支出、销售、资
金、资本支出、资产、关联交易、合并报表、重大事项、信
息、生产运行、安全环保、税务管理、合同管理15个方面，
明确从股东大会到董事会、董事长、总裁班子、总部各职能
部门与事业部到分公司各层面的授权原则与权限划分标准。
激励与约束
股份公司执行激励与约束相结合的人力资源政策，不断完善员工招聘与选拔的原则及操作程序；对员工进行企业文化和道德价值观的导向培训；对违反员工守则的一切行为，制订纪律约束与处罚措施；对业绩良好的员工，制订具有奖励和激励作用的报酬计划；根据阶段性的业绩评价结果，对员工予以指导和奖罚。
反舞弊机制
监督渠道：对外建立供应商、客户投诉热线，通过电视、报纸等媒体，公布投诉热线电话，鼓励股份公司利益相关者对股份公司内部员工的违规违纪行为、影响股份公司形象的其他行为进行举报和投诉；对内
设立员工投诉信箱，方便每一位员工对发现的违反股份公司内控制度
的行为及其他违法违纪行为进行举报和投诉。
通过建立全方位内外部
监督渠道，促进法律法规及股份公司内部规章制度的有效遵循。
监察工作机制：监察部门为内外部监察的归口管理部门，负
责制定内外部监察处理工作程序和处理标准，明确各类内外
部监督的相关责任部门。
监察部门定期对各类举报、投诉进
行收集和分类，下达《监察建议书》，责成相关责任部门限
期落实或处理。
各相关责任部门在接到《监察建议书》后，
按照规定程序进行调查、落实，提出落实结果及处理意见，
在规定时间内向监察部门反馈。
监察部门按规定程序审批
后，最终下达处理意见或整改意见。
监察惩处标准：监察部门按照有关规定，制定内外部监察惩
处标准。
对存有各类内部不规（法）行为的员工，分别给予
通报批评、扣发奖金、降级（撤职）、解除劳动合同及移交
司法机关等处理；对存有各类不规（法）行为的外部商户，
实行“黑名单”制，分别给予警告、禁止交易往来、取消资
源网络成员资格，直至移交司法机关等处理。
2 内部风险评价机制
可能导致股份公司未能实现预期战略目标的重大风险包括：
国内及国际同行的竞争，政府行业监管政策变动，国际原油
价格波动，石油和石化市场周期性变化，营运风险，资产管
理风险和自然灾害的威胁。
股份公司建立了适当的内部风险评价机制。
总部各职能部门、各事业
部和各分公司针对内部控制业务流程，配备专门部门或负责人定期分
析及记录潜在风险的变化。
在经过适当监督授权后，预先或及时调整
内部控制程序或实施细则，及时通知受其影响者，正确处理新增或过
去未加控制的风险。
3 全面预算管理，严格预算控制
股份公司推行以市场为导向，以公司发展战略为目标，全面综合业务
流、资金流、信息流和人力资源，集规划、激励、考评为一体的全面
预算管理制度。
严格预算控制，落实股份公司发展战略，预见并避免
经营中潜在的困难和风险，科学、合理地利用资源，及时、有效地调
整和控制经营活动。
全面预算包括经营预算、投资预算和财务预算。
每年根据“量入为出、
控制总量，集中决策、调整结构，优化项目、增加回报”的方针，按
照经营预算、投资预算、财务预算的程序，采用自上而下、自下而上、
上下结合的方式科学合理地编制年度预算。
年度预算经董事会批准
后，由股份公司职能部门、事业部分解落实。
股份公司预算管理委员会是全面组织股份公司中长期规划、年度和月
度等日常预算管理的领导机构，是股份公司董事会下设机构。
依据国
家有关财经法规和股份公司章程等，在董事会授权下履行包括：拟订
中长期发展规划、年度和月度预算的原则和主要目标；审议财务预算
方案和财务预算调整方案，并报董事会；确定和调整相关部门在实施
全面预算管理过程中的分工、职责；调配各类资源，在股份公司内部
（包括所属企业）推动全面预算管理工作的开展；协调解决预算编制
和执行中的重大问题；组织审计、考核预算执行情况的原则和方法；
负责预算管理信息化建设的总体目标规划等职责。
预算管理委员会下
设预算管理办公室，负责具体预算管理业务的开展和落实。
分（子）公司应按照上述总体要求建立、健全预算管理委员会的组织
和人员，制定和完善预算管理工作的相关制度和工作流程。
4 信息管理与信息披露
股份公司信息资源实行归口管理。
生产经营信息归口生产经
营管理部，投资信息归口发展计划部，财务信息归口财务部，
科技信息归口科技开发部，各职能部门负责本部门的信息资
源管理工作。
股份公司信息系统管理部负责信息系统管理。
通过信息集
中、信息整合等手段，将有关内部信息全部纳入股份公司统
一信息平台，逐步达到标准统一、数据一致、时效良好，奠
定良好的信息共享基础，经系统授权后实现信息内部共享。
股份公司对外信息披露由董事会秘书局在遵守信息披露纪
律的前提下，负责统一审核、提供，审慎负责地对投资者进
行信息披露，提高公司透明度。
通过公告、路演、电话会议、
单对单会谈和股份公司网页等多种方式和途径向境内外投
资者真实、准确、完整、及时地介绍股份公司情况，以审慎
负责的态度编制和签署年报，强化与投资者的沟通，进一步
提高股份公司透明度。
5 监督
股份公司监督活动由持续监督、个别评价所组成，确保股份
公司内部控制能持续有效的运作。
持续监督活动贯穿整个生产经营过程，包括例行管理和监督
活动，以及全体员工为履行其职务所采取的行动。
股份公司
的持续监督活动包括:在内部控制系统功能持续而正常地发
挥作用的前提下，管理层在履行其日常管理活动时所获取的
信息，与其所得到的报告（如生产经营报告、财务报告等）
有较大偏离时，可对报告提出质疑；同时，通过与股份公司
外界的沟通，也可以验证内部信息的正确性，并及时发现问
题。
股份公司积极推行例外评价（即个别评价）以直接监视控制系统的有效性，并可评价持续性监督程序。
评价的范围和频率，视风险的大小及控制的重要性而定。
四、《内部控制手册》结构
《内部控制手册》包括总则、业务流程、内部控制矩阵、权限指引、
检查评价与考核办法、附则六个部分。
1 总则是对内控制度的概述。
2 业务流程是各项业务的具体控制程序和措施。
现有55个业务流程，内容
涵盖采购、成本、费用支出、销售、资金、资本支出、资产、关联交易、
合并报表、重大事项、信息、生产运行、安全环保、税务管理、合同管
理等15大类。
业务流程的格式如下：
业务目标
业务目标包括经营目标、财务目标和合规目标。
经营目标是指与企业
有效使用资源相关的目标。
财务目标是指与企业编制可信赖的财务报
告有关的目标。
合规目标是指与企业遵循法律法规相关的目标。
业务风险
业务风险包括经营风险、财务风险和合规风险。
经营风险是指可能会
导致经济效益流失或资源丧失的风险。
财务风险是指可能会造成财务
信息失真的风险。
合规风险是指可能会导致监管部门处罚的风险。
业务流程步骤与控制点
内部控制业务流程将企业的经营与财务活动分解成各个业务流程步
骤。
每一个业务流程步骤由一个或多个控制点构成。
控制点内容包括
该业务涉及的单位及其岗位职责、本步骤工作过程描述、上一步骤和
本步骤控制结果等。
相关制度目录
相关制度目录是指涉及具体流程的外部法规、总部或各部门相关的重
要内部管理制度。
3 内部控制矩阵包括财务报告计划矩阵和业务控制矩阵。
计划矩阵旨在将
会计报表项目和事项与业务流程建立联系，以确保内控制度可以合理保
证对外披露的会计报表真实可靠。
业务控制矩阵针对每一控制点，明确
其业务目标、业务风险、适用单位、不相容岗位、控制点分值、相关资
料、相关制度索引、会计报表认定、会计报表项目。
4 《权限指引》针对各业务流程中关键环节，明确股东大会、董事会、总
裁班子、职能部门/事业部主任、分公司经理/经理班子、处室负责人/
业务经理等层级的管理、决策权限。
5 检查评价与考核办法
股份公司每年统一组织内部控制执行情况的综合检查。
依据股份公司
《内部控制手册》和《内部控制检查评价与考核办法》，对各单位内
部控制有效性进行评价。
内控办公室根据年度综合检查评价总体情况，拟订考核方案，报内控领
导小组审定；人事部根据考核结果对各单位进行兑现。
6 附则包括业务流程责任部门及联系人、业务流程适用单位、内控手册配
套规章制度目录及索引、员工守则等。
五、股份公司内部控制组织机构
股份公司设立内部控制领导小组（简称“内控领导小组”），
组长由总裁担任，设副组长若干人，组成成员包括：财务部、
审计部、监察部、法律事务部、信息系统管理部、各事业部
及相关职能部门主要领导。
内部控制领导小组是股份公司内
部控制的领导机构，经董事会授权，审批《内部控制手册》
年度中间的临时修改；审核股份公司年度内部控制评价报
告；对内部控制检查中发现的问题作出处理和整改决定，重
大问题报董事会审批；负责审议每年更新的《内部控制手
册》，呈报董事会审批。
内部控制领导小组下设专职办公室（简称“内控办公室”），
作为股份公司内部控制工作日常管理机构。
具体负责组织内
部控制执行情况监督检查，内部控制评价，《内部控制手册》
更新及培训等工作。
分公司、全资子公司和控股子公司应成立内部控制领导小
组，主要领导担任组长；下设办公室，作为常设的内部控制
工作机构。
具体负责本单位的内部控制监督检查，实施细则
和内控手册的更新及培训等工作。
内部控制办公室可以单独
设立，也可以设在财务、企管部门，但为了保证审计、监察
的独立性，不能设在审计和监察部门。
六、《内部控制手册》生效、更新
股份公司将随着外部环境、内部组织架构及管理要求的改变
适时更新《内部控制手册》。
一般每年更新一次，更新资料
主要来源于各分（子）公司、总部各职能部门的建议，以及
内部控制检查单位和外部检查单位对内部控制的评价。
更新
后的《内部控制手册》经董事会审批后正式生效，并由内控
办公室下发到各部门和分公司，并通知各子公司。
更新后的
电子版本将载于股份公司内部网络。
