中石油如何構建海外業務內控體系？（中石油如何構建海外業務內控體系）

內控體系是規范公司整體內部運作的政策、制度、程序和流程的結合體，具有實現公司目標而自行檢查、制約和調整內部業務活動的控制功能。確保數據完整性和滿足法律監管要求只是內部控制的基本作用，內控的核心效用是通過一系列政策、程序和包括內審、風險預警等結構性設置在內的系統，控制和防范風險，保障公司管理運作的順暢性、安全性和合規性，從而提高運營效率和經營效果，促進戰略目標的實現。

從近年的實踐中發現，海外項目與中國石油集團所屬境內企業在經營管理各方面存在著顯著差異，照搬境內集團內企業的內控框架及內容，會出現投入過大、內部控制過于頻繁和低效率、內控制度與實際執行“兩張皮”等弊端。

因此，在開展海外內控體系建設的進程中，必須立足海外油氣業務實際，認真分析主要影響因素，從嵌入現代企業管理元素的角度出發，研究確定適當、適度、適用的建設原則和模型，做到實用而有效。

一、海外油氣業務內控體系建設環境

經過20年的快速發展，中國石油集團目前在全球34個國家運作管理著89個油氣投資項目，在海外形成了涵蓋勘探開發、管道建設、煉油加工、市場銷售的上下游一體化產業鏈，基本建成了中亞、中東、非洲、美洲和亞太五大油氣合作區。

近年國際局勢繼續深刻復雜變化，中國石油集團海外油氣業務大部分分布在政治環境不穩定、法律法規不健全、安全風險較高的國家和地區，不少海外項目具有運營管理難度大、勘探開發風險高、邊際利潤低的特點，所處條件和面臨的環境與國內迥然不同。

1. 地緣政治局勢的復雜性

近年來，非洲大陸步入多事之秋，南、北蘇丹戰爭爆發對所在區域的作業區塊產生巨大影響；阿爾及利亞自2011年3月底開始罷工，造成一體化項目停產，至今尚未全部復工。

中東地區處于新舊政治秩序轉換階段，美國與歐盟對伊朗實施了全面的制裁，其局勢的不確定性致使公司在伊投資處于進退兩難之境地；伊拉克境內恐怖襲擊不斷，不同教派政治利益矛盾尖銳，安保形勢更加嚴峻；敘利亞內亂深不見底，戰爭拐點若隱若現，公司在敘利亞的油氣業務遭受重大挫折。

拉美、中亞地區因高油價引發民族主義情緒高漲，資源國油氣合作環境日益嚴苛，海外項目運作的經濟成本和經濟風險進一步增大，經營空間被持續擠壓。

美國“重返亞太”，使中國石油集團在亞太地區的合作經營環境趨于復雜，受油氣合作政策收緊、匯率變動等多重因素影響，合作項目的經濟利益遭到侵蝕。

2. 合同模式的多樣性

石油合同實質是以石油勘探開發生產為目的，由資源國和投資者之間簽署，界定雙方權利義務關系的法律文件，一切經營管理活動都要以石油合同的條款為基礎。目前，中國石油海外勘探開發公司（CNODC）的海外油氣項目所涉及的合同模式主要有許可證協議、產品分成、風險服務、回購、聯合經營等，幾乎涵蓋了國際油氣投資與合作領域所有的合同類型，合同模式的多樣化決定了管理模式的差異性。

采用許可證協議模式的項目公司擁有油氣產品所有權、區塊所建資產的所有權、勘探開發的作業控制權。項目公司獨立開展生產運營，受資源國政府干涉和影響最小，經營成果和管理水平對我方經濟效益和戰略目標的實現有直接影響。

采用產品分成合同模式的項目公司沒有油田資產的所有權，只有合同期內的使用權，主要負責油田日常生產作業。在這種合同模式下，我方作為承包商回收投資并獲得回報的來源為成本油和分成利潤油，項目公司經營管理水平高低直接影響我方的投資回收速度和收益。

服務合同模式和回購合同模式下的項目公司沒有油氣產品和油田資產的所有權，也沒有油田作業的管理控制權。項目公司獲得的收益為服務費用，面臨的風險主要來自合同條款能否順利執行。

聯合經營模式下的項目公司，其經營管理決策必須通過公司股東會、董事會等法人治理機構來決定，能否進行內控體系建設取決于我方在項目公司中的股權比例。在這樣的項目公司中，往往所在國國家石油公司的股權比例較高，我方進行內部控制體系建設的難度較大。

3. 權益比例大小的差異性

我方在海外項目中的權益比例高低和作業控制權的大小，決定著對項目公司實質控制力的大小。在執行的海外項目中，我方的作業權益大小不盡相同，最高達到100%，最低則不超過10%，差異性較大。

4. 項目發展階段的差異性

海外眾多項目發展階段不盡相同，業務類型也不一樣。

一是處在生產開發階段和勘探轉開發階段的油氣項目，以及處在正常運營階段的煉化和管道項目，項目已經進入較為穩定的發展階段；

二是處在風險勘探階段和產能建設階段的油氣勘探開發項目；

三是處在建設階段的煉化項目；

四是處于勘探無發現的擬優化退出項目。

5. 行權管理的多元性

海外項目實體通常是多方組成的聯合作業公司。在對海外項目的管理上，主要是發揮項目公司股東會、董事會、聯管會、聯合作業委員會等機構的決策職能。公司通過派遣管理和技術人員參會，將中方的管理思想和管理意圖貫徹到海外項目的生產經營管理工作中，達到行使出資人權利的目的。這與國內油氣田企業我方獨大的管理格局截然不同，情況更為復雜更具挑戰性。

另外，合同剩余期限、油氣作業當量、投資規模、中方人員數量等因素對項目公司內部控制建設目標和模型的確定也都具有較大影響。

二、海外油氣業務內控體系建設模式

內控建設作為一項長期系統性工程，并非一蹴而就，其中大量變化因素使這個過程變得較為艱難。因此，在海外內部控制建設的過程中，應該以差異化的內部控制建設理念來推動海外內部控制建設的有序進行，提高海外內控體系建設的效率，逐步完善內控機制，直至形成全面覆蓋、有效防控、健康運行的運營管理機制。

2010年，中國石油海外勘探開發公司在深入分析海外項目內控建設主要影響因素的基礎上，全面衡量每個海外項目的內外部環境，系統完成了海外差異化內部控制建設模型的研究工作，確立了“有效性、差異化、全覆蓋”的海外內部控制建設基本思路，并建立了三種差異化海外內部控制建設模型。

有效性是指海外項目應關注自身重要業務事項和高風險領域，對內控體系應涵蓋的業務流程進行差異化選擇，把對生產經營影響權重較高的關鍵因素作為建設重點，以保證內部控制的針對性和有效性。

差異化是指體系模型建設從初級到高級分為三種，即制度與流程建設、重要管理模塊建設、內部控制體系建設。三者之間是從簡單到復雜、從局部到整體不斷整合的關系。海外項目要根據實際情況，采用適用的內控體系建設模型。

全覆蓋是指所有項目均納入內控管理范圍，進行內控建設和內控測試檢查。

1. 制度與流程建設模式

制度與流程作為內部控制體系的核心要素，是內部控制措施在實行過程中最為關鍵的表現形式，也可以說是一個事物的兩個側面，彼此具有密切的聯系，但無法相互取代。各項目發展不同階段具有各自的特點，在具體的操作實踐中，要結合實際情況來采用相應的制度管理、流程梳理和后期完善工作。

海外項目公司的內控建設的制度主要涉及財務、采購、經營計劃、人力資源及主營業務（勘探、工程建設、鉆井等）五個方面。海外內控建設必須不斷優化、完善制度體系，通過制度建設，對公司各職能部門、各崗位職責進行再分配；對各角色接口關系進行再明確，規范內部管理，從而增強企業的核心競爭能力。

流程是企業運作的基礎，企業所有的業務都需要流程來驅動。業務流程作為內控關鍵控制因素，項目公司需要書面化流程、實施流程，確定責任人并根據自身業務開展過程中的內外部環境和具體內容來落實、梳理及評估，做到流程順暢、易操作，環環相扣，通過簡捷、快速、高效的管理線條把風險的核心控制點恰當地植入業務流程中，降低風險發生的機率，提高項目公司運行的時效性。

海外項目內控體系的建設和運行，主要是以流程為主線對規章制度進行梳理與優化，旨在使制度建設落到支撐流程運行的實處，對制度起到固化與支撐作用，促進制度規范化。憑借制度建設和流程梳理，許多海外項目實現了從業務管理的初級階段向等級較高、業務內容較為豐富的發展性業務模式轉變。內部控制執行從雜亂無章到逐漸轉變為有序規范，為海外公司內部控制體系的不斷補充和改善初步奠定了基礎。

制度與流程建設模型所適用的對象為收購時間較短、管理體系尚未完善、處于起步階段的海外項目。

2. 重要管理模塊建設模式

重要業務模塊化管理不但可以降低體系化建設的成本支出，而且更具針對性，重點關注項目公司在特定發展時期運營管理的最重要環節。CNODC以“風險導向、業務驅動”為原則，以流程管控和風險控制為目的，針對海外業務開展過程中的實際需求和關鍵領域，進行了潛在風險測評和甄別，進而對規章制度、內部控制措施進行補充和完善，建立相關管理模型供海外項目參考比照。

海外項目依照給出的模型，對公司運營現狀進行總結和梳理，查找存在的差距；同時組織開展風險評估工作，識別自身業務管理領域的重要風險，形成包括管理制度、流程圖、關鍵控制文檔和控制實施證據在內的內控管理模塊。

重要管理模塊建設模式的特點包括：建設范圍僅涵蓋重點業務管理領域，適用于項目公司現階段業務；建設工作可根據海外油氣業務管理實際需求逐步擴展深入，重要管理模塊建設是一個持續建設過程，隨著建設范圍的逐漸擴展和成熟，最終發展為內部控制的體系化建設。

重要管理模塊建設模式適用對象為重要業務單元存在潛在風險、管理體系相對健全且處于發展階段的海外項目。

3. 體系化建設模式

體系化建設以COSO內部控制框架/COSO企業風險管理整體框架要素和中國石油集團內部控制框架為基礎，以“實用、簡捷、有效、易操作”為原則，以管理制度為基礎，通過梳理業務流程、權責、表單、評估風險、設計控制措施等，完善控制環境、風險評估、控制活動、信息與溝通、監督五方面內容，形成較為完善的五要素內控體系，并以內控管理手冊形式予以規范固化。

體系化建設模式適用的對象為規模大、收益高、業務鏈條復雜、管理體系趨于健全且處于成熟階段的海外項目。

體系化建設模式結合項目公司業務管理實際需求，從公司、業務活動和信息系統三個層面開展內部控制體系建設。

（1）公司層面的控制建設

公司層面內部控制包括董事會、監事會、經理層之間明確的權限劃分和職責定位，是公司治理機制的具體化和公司治理機制的重要內容，是確保管理層在公司內部各個領域獲得適當、有效控制的重要機制，主要包括公司層面的風險評估和控制建設。

在進行公司層面控制建設的過程中，控制措施至關重要。項目公司應根據管理現狀和外部環境要求，對中國石油集團內控體系框架確定的公司層面的內控關注點進行差異化選擇，結合項目公司的組織結構及職責、規章制度等，對控制措施進行設計；對已設計完成的控制措施，要補充完善所涉及的管理制度；還要根據集團公司的管理要求和業務需求，對控制措施及時進行更新和完善，以達到統一性、有效性。

應當指出，法人治理機制的健全和規范化管理是公司層面控制建設完善的重要保障。

（2）業務活動層面的控制建設

業務活動層面控制是指綜合運用各種控制手段和方法，針對具體業務和事項的控制。主要內容是，以公司層面控制政策為導向，規范業務流程，制定業務活動層面風險控制措施，并通過以下步驟完成。

1）確定業務流程架構。這是對公司全部業務流程分類和分級的結構化反映，包括流程總圖、流程目錄和流程定義。

2）進行業務流程描述。按照業務流程架構，遵循業務運行實際，結合風險控制要求，描述業務工作步驟，實現業務管理程序化的過程，包括業務流程梳理和描述兩部分內容。

3）風險控制分析。包括風險評估、風險數據庫的建立、風險控制文檔的編制等。

4）關鍵控制的確認。這是在全面進行風險控制分析的基礎上，為了強化控制活動，突出控制重點，簡化評估測試而開展的一項重要工作。關鍵控制也是通過外部審計的必審內容。

（3）信息系統層面的控制建設

信息系統層面控制包括兩方面內容。

1）信息系統總體控制（GCC）。指對企業在信息技術的開發、實施、運行、維護及管理等方面的控制，它可以更好地保護企業的信息資產，提高信息系統對業務的支撐力度，增強企業信息系統的運行效力。包括控制環境、信息安全、項目建設管理、系統變更管理、信息系統日常運作、最終用戶操作等。

2）信息系統應用控制。包括應用軟件中的電算化以及用以控制各類交易處理的手工操作程序。這些控制結合在一起，可以保證系統中的財務和其他信息的安全性、完整性、準確性和有效性。包括財務管理軟件、人事管理軟件、物資管理軟件、銷售管理軟件等所涵蓋的控制。

CNODC信息系統層面的管理制度涉及日常的運行維護、用戶操作體驗、可能出現的變動管理、相關項目工程的建設管理、安全管理以及管控環境六個方面，這些管理規范的實行是在對公司所有信息資料進行充分調查研究的基礎上進行的。

至于已經被劃歸到體系建設區域內的相關系統，則從應用控制層面入手；公司的各類財務報表須進行細致歸類，做出綜合表單后進行規范化管理。

三、尼日爾津德爾煉廠內控體系建設案例

津德爾煉油有限公司（SORAZ）是中國石油與尼日爾政府按照6:4股比合資興建的股份制現代化煉油企業，2008年10月28日奠基，2011年11月28日正式投產運營。年設計原油加工能力100萬噸，主要產品有汽油、柴油和液化氣等，大部分產品出口至尼日利亞、布基納法索和馬里等周邊國家。

作為現代化的煉油企業，公司已經成為尼日爾國家支柱型企業，每年為尼日爾上繳稅賦超過1億美元，為尼日爾經濟發展提供了強大的動力和保障。

1. 內控建設的目標

津德爾煉廠內控建設工作采用COSO框架，根據合資協議、津德爾煉廠管理現狀，以預算管理、法律事務、HSE管理、工程管理、設備檢維修管理、產品生產、產品銷售、人力資源管理、財務管理、采購管理、庫存管理、合同與糾紛管理及行政管理13個重要模塊為切入點，開展內部控制建設工作（見表），編制完成中、英、法三種語言的《內部控制管理手冊》。

明晰公司董事會、管理層與各部門或崗位在業務執行過程中的權力和責任，優化業務流程與管理表單，使得經營活動標準化、流程化、表單化。

2. 公司層面建設

公司層面建設以風險管理為核心，考慮自身管理模式以及尼日爾當地政治經濟、社會環境等因素，進行了差異化選擇，具體實施內容如下。

1）建立健全項目公司內部控制管理組織體系。公司成立了內部控制管理委員會，作為內控管理的決策機構。

2）進行控制措施設計。針對適用的風險主題，結合公司的組織結構及職責、規章制度等要求，對控制措施進行設計。

3）完善公司授權審批機制，編制權限指引表。由于津德爾煉廠為獨立法人實體，故其授權審批機制按照公司章程規定的治理機制及其權限進行權限描述，體現聯合公司的管理特色。

3. 業務活動層面建設

業務層面控制建設的主要內容是針對業務活動層面風險，以公司層面控制政策為導向，規范業務流程，制定業務活動層面風險控制措施，業務層面控制建設主要內容如下。

（1）確定業務流程架構

以中國石油集團內部控制框架的統一業務流程目錄為基礎，結合公司業務實際，確定業務流程描述范圍，主要涵蓋如下流程。

1）現狀梳理：對合同約定上述13個重要模塊所涉及的部門負責人及相關人員進行訪談，梳理流程管理現狀，繪制完成了所有流程現狀圖并與各部門簽字確認。

2）流程優化：針對流程現狀圖，進行風險識別工作，設置相應的補充控制措施，完善、優化業務流程，完成了業務流程圖的編制工作，形成風險控制矩陣。

3）信息系統評估：與財務部就公司使用ERP系統的權限管理、系統后臺配置等進行評估和設計；與行政部IT管理崗位就信息系統總體控制情況進行評估和設計，初步形成信息與溝通要素。

4）風險評估：基于石油合同條款要求，結合2012年內控評價測試報告、審計報告等，搭建風險框架圖，并結合流程現狀梳理結果，形成風險數據庫。

5）內控手冊編制：包括控制環境、風險評估、控制活動、信息與溝通、監督COSO五要素。

（2）業務流程描述

通過走訪相關工作人員，了解業務實際運行狀況，結合公司相關管理制度進行分析，使用VISIO進行流程描述，包括：業務流程名稱編碼和起止點、工作步驟、業務風險點、控制要求、工作界面以及對應的組織機構、崗位和記錄表單等。完成120個末級流程的建模工作。

（3）風險控制分析

1）建立業務層面風險數據庫。以中國石油集團業務活動層面的《財務報告風險數據庫》和《經營風險數據庫》為基礎，結合公司業務經營現狀進行風險分析，選取適用風險形成風險數據庫，共包含210項相關風險，其中134項為重要風險。

2）編制風險控制文檔。參考公司現有的管理制度，對已識別風險進行控制措施設計，控制措施包括執行控制負責人、控制時間、控制頻率、控制具體內容、控制實施證據五大要素。對現有制度不足以控制潛在風險或不符合實際之處進行修訂完善。

3）進行風險建模。將已識別風險和設計的控制措施進行風險建模。

（4）關鍵控制確認及應用

關鍵控制是內控體系框架的重要內容，也是通過外部審計的必審內容，關鍵控制管理文件設計不到位和執行不嚴格，將直接影響內控體系的有效性。公司在進行內控體系建設時，盡量滿足中國石油集團的關鍵控制文件（包括業務流程圖、關鍵控制文檔等）要求，但根據聯合公司自身特點進行了適當調整：控制措施的執行部門及崗位，按公司機構崗位設置情況進行調整；審批權限方面遵循公司授權審批機制；對于不適用的關鍵控制點，在能夠滿足控制潛在風險的前提下予以刪除，共確認關鍵控制點154個。

4. 信息系統層面建設

1）推行、實施中國石油集團《信息系統總體控制規范》并形成公司的《信息系統總體控制矩陣》，對包括信息系統的控制環境、信息安全、項目建設管理、系統變更管理、信息系統日常運作五方面的內控關注點及控制措施進行規范。

2）在進行應用系統調研的基礎上，對生成財務報告有影響的系統，根據其對業務操作的影響狀況，識別系統風險，設計系統自動控制措施。

四、海外油氣業務內控體系實施效果

從2009年開始，中國石油海外勘探開發公司在進行海外內控體系建設實踐的同時，全面剖析海外油氣業務發展的現狀和內外部環境，對比分析海外內控管理與境內企業、國際石油公司的差異，運用三種差異化模型，通過實地調研、項目對接等方式，對所有海外項目體系建設影響因素進行綜合排序和優化組合，制定體系建設總體規劃并分年度穩步實施。

2006－2009年，海外完成了3個項目的內控體系建設；2010-2013年，以重大投資項目、上下游一體化項目和煉化戰略項目為關注點，運用3種差異化內控體系建設模型，累計啟動了16個項目的體系建設，數量是2010年以前總和的5倍，海外內控體系建設的實踐能力穩步提升，內控體系建設速度和質量不斷提高，走上了良性發展的軌道（見表）。

通過幾年實踐，中國石油海外勘探開發公司基本形成了以通用模塊為主，個性化模塊為輔的內控體系建設模型。通用模塊包括財務管理、采辦管理、經營計劃管理、人力資源管理等模塊。個性化模塊主要根據各項目公司的主營業務模式確定，涵蓋勘探管理、開發管理、工程建設管理、生產作業管理等。

中國石油海外勘探開發公司海外差異化內控建設基本思路得到了中國石油集團公司內控與風險管理部門的高度認同，已寫進集團公司對海外內控工作要點。

截至2013年底，中國石油海外勘探開發公司共有20個海外項目的內控體系建設全面完成，兩個項目的內控體系建設進展順利，以公司本部為中心，涵蓋主要油氣合作區域與重點項目的內部控制體系網絡初步建成，并持續有效地運行。

公司通過差異化的海外內控體系的建設和實施，梳理完善管理制度和流程，規范設計風險控制措施，實現了保障發展速度、提高運營效益與有效防控風險的均衡統一。（來源：石油觀察網）

【免責聲明】本文僅代表作者本人觀點，與金銀島無關。金銀島網站對文中陳述、觀點判斷保持中立，不對所包含內容的準確性、可靠性或完整性提供任何明示或暗示的保證。請讀者僅作參考，并請自行承擔全部責任。