中石油如何构建海外业务内控体系？（中石油如何构建海外业务内控体系）

内控体系是规范公司整体内部运作的政策、制度、程序和流程的结合体，具有实现公司目标而自行检查、制约和调整内部业务活动的控制功能。确保数据完整性和满足法律监管要求只是内部控制的基本作用，内控的核心效用是通过一系列政策、程序和包括内审、风险预警等结构性设置在内的系统，控制和防范风险，保障公司管理运作的顺畅性、安全性和合规性，从而提高运营效率和经营效果，促进战略目标的实现。

从近年的实践中发现，海外项目与中国石油集团所属境内企业在经营管理各方面存在着显著差异，照搬境内集团内企业的内控框架及内容，会出现投入过大、内部控制过于频繁和低效率、内控制度与实际执行“两张皮”等弊端。

因此，在开展海外内控体系建设的进程中，必须立足海外油气业务实际，认真分析主要影响因素，从嵌入现代企业管理元素的角度出发，研究确定适当、适度、适用的建设原则和模型，做到实用而有效。

一、海外油气业务内控体系建设环境

经过20年的快速发展，中国石油集团目前在全球34个国家运作管理着89个油气投资项目，在海外形成了涵盖勘探开发、管道建设、炼油加工、市场销售的上下游一体化产业链，基本建成了中亚、中东、非洲、美洲和亚太五大油气合作区。

近年国际局势继续深刻复杂变化，中国石油集团海外油气业务大部分分布在政治环境不稳定、法律法规不健全、安全风险较高的国家和地区，不少海外项目具有运营管理难度大、勘探开发风险高、边际利润低的特点，所处条件和面临的环境与国内迥然不同。

1. 地缘政治局势的复杂性

近年来，非洲大陆步入多事之秋，南、北苏丹战争爆发对所在区域的作业区块产生巨大影响；阿尔及利亚自2011年3月底开始罢工，造成一体化项目停产，至今尚未全部复工。

中东地区处于新旧政治秩序转换阶段，美国与欧盟对伊朗实施了全面的制裁，其局势的不确定性致使公司在伊投资处于进退两难之境地；伊拉克境内恐怖袭击不断，不同教派政治利益矛盾尖锐，安保形势更加严峻；叙利亚内乱深不见底，战争拐点若隐若现，公司在叙利亚的油气业务遭受重大挫折。

拉美、中亚地区因高油价引发民族主义情绪高涨，资源国油气合作环境日益严苛，海外项目运作的经济成本和经济风险进一步增大，经营空间被持续挤压。

美国“重返亚太”，使中国石油集团在亚太地区的合作经营环境趋于复杂，受油气合作政策收紧、汇率变动等多重因素影响，合作项目的经济利益遭到侵蚀。

2. 合同模式的多样性

石油合同实质是以石油勘探开发生产为目的，由资源国和投资者之间签署，界定双方权利义务关系的法律文件，一切经营管理活动都要以石油合同的条款为基础。目前，中国石油海外勘探开发公司（CNODC）的海外油气项目所涉及的合同模式主要有许可证协议、产品分成、风险服务、回购、联合经营等，几乎涵盖了国际油气投资与合作领域所有的合同类型，合同模式的多样化决定了管理模式的差异性。

采用许可证协议模式的项目公司拥有油气产品所有权、区块所建资产的所有权、勘探开发的作业控制权。项目公司独立开展生产运营，受资源国政府干涉和影响最小，经营成果和管理水平对我方经济效益和战略目标的实现有直接影响。

采用产品分成合同模式的项目公司没有油田资产的所有权，只有合同期内的使用权，主要负责油田日常生产作业。在这种合同模式下，我方作为承包商回收投资并获得回报的来源为成本油和分成利润油，项目公司经营管理水平高低直接影响我方的投资回收速度和收益。

服务合同模式和回购合同模式下的项目公司没有油气产品和油田资产的所有权，也没有油田作业的管理控制权。项目公司获得的收益为服务费用，面临的风险主要来自合同条款能否顺利执行。

联合经营模式下的项目公司，其经营管理决策必须通过公司股东会、董事会等法人治理机构来决定，能否进行内控体系建设取决于我方在项目公司中的股权比例。在这样的项目公司中，往往所在国国家石油公司的股权比例较高，我方进行内部控制体系建设的难度较大。

3. 权益比例大小的差异性

我方在海外项目中的权益比例高低和作业控制权的大小，决定着对项目公司实质控制力的大小。在执行的海外项目中，我方的作业权益大小不尽相同，最高达到100%，最低则不超过10%，差异性较大。

4. 项目发展阶段的差异性

海外众多项目发展阶段不尽相同，业务类型也不一样。

一是处在生产开发阶段和勘探转开发阶段的油气项目，以及处在正常运营阶段的炼化和管道项目，项目已经进入较为稳定的发展阶段；

二是处在风险勘探阶段和产能建设阶段的油气勘探开发项目；

三是处在建设阶段的炼化项目；

四是处于勘探无发现的拟优化退出项目。

5. 行权管理的多元性

海外项目实体通常是多方组成的联合作业公司。在对海外项目的管理上，主要是发挥项目公司股东会、董事会、联管会、联合作业委员会等机构的决策职能。公司通过派遣管理和技术人员参会，将中方的管理思想和管理意图贯彻到海外项目的生产经营管理工作中，达到行使出资人权利的目的。这与国内油气田企业我方独大的管理格局截然不同，情况更为复杂更具挑战性。

另外，合同剩余期限、油气作业当量、投资规模、中方人员数量等因素对项目公司内部控制建设目标和模型的确定也都具有较大影响。

二、海外油气业务内控体系建设模式

内控建设作为一项长期系统性工程，并非一蹴而就，其中大量变化因素使这个过程变得较为艰难。因此，在海外内部控制建设的过程中，应该以差异化的内部控制建设理念来推动海外内部控制建设的有序进行，提高海外内控体系建设的效率，逐步完善内控机制，直至形成全面覆盖、有效防控、健康运行的运营管理机制。

2010年，中国石油海外勘探开发公司在深入分析海外项目内控建设主要影响因素的基础上，全面衡量每个海外项目的内外部环境，系统完成了海外差异化内部控制建设模型的研究工作，确立了“有效性、差异化、全覆盖”的海外内部控制建设基本思路，并建立了三种差异化海外内部控制建设模型。

有效性是指海外项目应关注自身重要业务事项和高风险领域，对内控体系应涵盖的业务流程进行差异化选择，把对生产经营影响权重较高的关键因素作为建设重点，以保证内部控制的针对性和有效性。

差异化是指体系模型建设从初级到高级分为三种，即制度与流程建设、重要管理模块建设、内部控制体系建设。三者之间是从简单到复杂、从局部到整体不断整合的关系。海外项目要根据实际情况，采用适用的内控体系建设模型。

全覆盖是指所有项目均纳入内控管理范围，进行内控建设和内控测试检查。

1. 制度与流程建设模式

制度与流程作为内部控制体系的核心要素，是内部控制措施在实行过程中最为关键的表现形式，也可以说是一个事物的两个侧面，彼此具有密切的联系，但无法相互取代。各项目发展不同阶段具有各自的特点，在具体的操作实践中，要结合实际情况来采用相应的制度管理、流程梳理和后期完善工作。

海外项目公司的内控建设的制度主要涉及财务、采购、经营计划、人力资源及主营业务（勘探、工程建设、钻井等）五个方面。海外内控建设必须不断优化、完善制度体系，通过制度建设，对公司各职能部门、各岗位职责进行再分配；对各角色接口关系进行再明确，规范内部管理，从而增强企业的核心竞争能力。

流程是企业运作的基础，企业所有的业务都需要流程来驱动。业务流程作为内控关键控制因素，项目公司需要书面化流程、实施流程，确定责任人并根据自身业务开展过程中的内外部环境和具体内容来落实、梳理及评估，做到流程顺畅、易操作，环环相扣，通过简捷、快速、高效的管理线条把风险的核心控制点恰当地植入业务流程中，降低风险发生的机率，提高项目公司运行的时效性。

海外项目内控体系的建设和运行，主要是以流程为主线对规章制度进行梳理与优化，旨在使制度建设落到支撑流程运行的实处，对制度起到固化与支撑作用，促进制度规范化。凭借制度建设和流程梳理，许多海外项目实现了从业务管理的初级阶段向等级较高、业务内容较为丰富的发展性业务模式转变。内部控制执行从杂乱无章到逐渐转变为有序规范，为海外公司内部控制体系的不断补充和改善初步奠定了基础。

制度与流程建设模型所适用的对象为收购时间较短、管理体系尚未完善、处于起步阶段的海外项目。

2. 重要管理模块建设模式

重要业务模块化管理不但可以降低体系化建设的成本支出，而且更具针对性，重点关注项目公司在特定发展时期运营管理的最重要环节。CNODC以“风险导向、业务驱动”为原则，以流程管控和风险控制为目的，针对海外业务开展过程中的实际需求和关键领域，进行了潜在风险测评和甄别，进而对规章制度、内部控制措施进行补充和完善，建立相关管理模型供海外项目参考比照。

海外项目依照给出的模型，对公司运营现状进行总结和梳理，查找存在的差距；同时组织开展风险评估工作，识别自身业务管理领域的重要风险，形成包括管理制度、流程图、关键控制文档和控制实施证据在内的内控管理模块。

重要管理模块建设模式的特点包括：建设范围仅涵盖重点业务管理领域，适用于项目公司现阶段业务；建设工作可根据海外油气业务管理实际需求逐步扩展深入，重要管理模块建设是一个持续建设过程，随着建设范围的逐渐扩展和成熟，最终发展为内部控制的体系化建设。

重要管理模块建设模式适用对象为重要业务单元存在潜在风险、管理体系相对健全且处于发展阶段的海外项目。

3. 体系化建设模式

体系化建设以COSO内部控制框架/COSO企业风险管理整体框架要素和中国石油集团内部控制框架为基础，以“实用、简捷、有效、易操作”为原则，以管理制度为基础，通过梳理业务流程、权责、表单、评估风险、设计控制措施等，完善控制环境、风险评估、控制活动、信息与沟通、监督五方面内容，形成较为完善的五要素内控体系，并以内控管理手册形式予以规范固化。

体系化建设模式适用的对象为规模大、收益高、业务链条复杂、管理体系趋于健全且处于成熟阶段的海外项目。

体系化建设模式结合项目公司业务管理实际需求，从公司、业务活动和信息系统三个层面开展内部控制体系建设。

（1）公司层面的控制建设

公司层面内部控制包括董事会、监事会、经理层之间明确的权限划分和职责定位，是公司治理机制的具体化和公司治理机制的重要内容，是确保管理层在公司内部各个领域获得适当、有效控制的重要机制，主要包括公司层面的风险评估和控制建设。

在进行公司层面控制建设的过程中，控制措施至关重要。项目公司应根据管理现状和外部环境要求，对中国石油集团内控体系框架确定的公司层面的内控关注点进行差异化选择，结合项目公司的组织结构及职责、规章制度等，对控制措施进行设计；对已设计完成的控制措施，要补充完善所涉及的管理制度；还要根据集团公司的管理要求和业务需求，对控制措施及时进行更新和完善，以达到统一性、有效性。

应当指出，法人治理机制的健全和规范化管理是公司层面控制建设完善的重要保障。

（2）业务活动层面的控制建设

业务活动层面控制是指综合运用各种控制手段和方法，针对具体业务和事项的控制。主要内容是，以公司层面控制政策为导向，规范业务流程，制定业务活动层面风险控制措施，并通过以下步骤完成。

1）确定业务流程架构。这是对公司全部业务流程分类和分级的结构化反映，包括流程总图、流程目录和流程定义。

2）进行业务流程描述。按照业务流程架构，遵循业务运行实际，结合风险控制要求，描述业务工作步骤，实现业务管理程序化的过程，包括业务流程梳理和描述两部分内容。

3）风险控制分析。包括风险评估、风险数据库的建立、风险控制文档的编制等。

4）关键控制的确认。这是在全面进行风险控制分析的基础上，为了强化控制活动，突出控制重点，简化评估测试而开展的一项重要工作。关键控制也是通过外部审计的必审内容。

（3）信息系统层面的控制建设

信息系统层面控制包括两方面内容。

1）信息系统总体控制（GCC）。指对企业在信息技术的开发、实施、运行、维护及管理等方面的控制，它可以更好地保护企业的信息资产，提高信息系统对业务的支撑力度，增强企业信息系统的运行效力。包括控制环境、信息安全、项目建设管理、系统变更管理、信息系统日常运作、最终用户操作等。

2）信息系统应用控制。包括应用软件中的电算化以及用以控制各类交易处理的手工操作程序。这些控制结合在一起，可以保证系统中的财务和其他信息的安全性、完整性、准确性和有效性。包括财务管理软件、人事管理软件、物资管理软件、销售管理软件等所涵盖的控制。

CNODC信息系统层面的管理制度涉及日常的运行维护、用户操作体验、可能出现的变动管理、相关项目工程的建设管理、安全管理以及管控环境六个方面，这些管理规范的实行是在对公司所有信息资料进行充分调查研究的基础上进行的。

至于已经被划归到体系建设区域内的相关系统，则从应用控制层面入手；公司的各类财务报表须进行细致归类，做出综合表单后进行规范化管理。

三、尼日尔津德尔炼厂内控体系建设案例

津德尔炼油有限公司（SORAZ）是中国石油与尼日尔政府按照6:4股比合资兴建的股份制现代化炼油企业，2008年10月28日奠基，2011年11月28日正式投产运营。年设计原油加工能力100万吨，主要产品有汽油、柴油和液化气等，大部分产品出口至尼日利亚、布基纳法索和马里等周边国家。

作为现代化的炼油企业，公司已经成为尼日尔国家支柱型企业，每年为尼日尔上缴税赋超过1亿美元，为尼日尔经济发展提供了强大的动力和保障。

1. 内控建设的目标

津德尔炼厂内控建设工作采用COSO框架，根据合资协议、津德尔炼厂管理现状，以预算管理、法律事务、HSE管理、工程管理、设备检维修管理、产品生产、产品销售、人力资源管理、财务管理、采购管理、库存管理、合同与纠纷管理及行政管理13个重要模块为切入点，开展内部控制建设工作（见表），编制完成中、英、法三种语言的《内部控制管理手册》。

明晰公司董事会、管理层与各部门或岗位在业务执行过程中的权力和责任，优化业务流程与管理表单，使得经营活动标准化、流程化、表单化。

2. 公司层面建设

公司层面建设以风险管理为核心，考虑自身管理模式以及尼日尔当地政治经济、社会环境等因素，进行了差异化选择，具体实施内容如下。

1）建立健全项目公司内部控制管理组织体系。公司成立了内部控制管理委员会，作为内控管理的决策机构。

2）进行控制措施设计。针对适用的风险主题，结合公司的组织结构及职责、规章制度等要求，对控制措施进行设计。

3）完善公司授权审批机制，编制权限指引表。由于津德尔炼厂为独立法人实体，故其授权审批机制按照公司章程规定的治理机制及其权限进行权限描述，体现联合公司的管理特色。

3. 业务活动层面建设

业务层面控制建设的主要内容是针对业务活动层面风险，以公司层面控制政策为导向，规范业务流程，制定业务活动层面风险控制措施，业务层面控制建设主要内容如下。

（1）确定业务流程架构

以中国石油集团内部控制框架的统一业务流程目录为基础，结合公司业务实际，确定业务流程描述范围，主要涵盖如下流程。

1）现状梳理：对合同约定上述13个重要模块所涉及的部门负责人及相关人员进行访谈，梳理流程管理现状，绘制完成了所有流程现状图并与各部门签字确认。

2）流程优化：针对流程现状图，进行风险识别工作，设置相应的补充控制措施，完善、优化业务流程，完成了业务流程图的编制工作，形成风险控制矩阵。

3）信息系统评估：与财务部就公司使用ERP系统的权限管理、系统后台配置等进行评估和设计；与行政部IT管理岗位就信息系统总体控制情况进行评估和设计，初步形成信息与沟通要素。

4）风险评估：基于石油合同条款要求，结合2012年内控评价测试报告、审计报告等，搭建风险框架图，并结合流程现状梳理结果，形成风险数据库。

5）内控手册编制：包括控制环境、风险评估、控制活动、信息与沟通、监督COSO五要素。

（2）业务流程描述

通过走访相关工作人员，了解业务实际运行状况，结合公司相关管理制度进行分析，使用VISIO进行流程描述，包括：业务流程名称编码和起止点、工作步骤、业务风险点、控制要求、工作界面以及对应的组织机构、岗位和记录表单等。完成120个末级流程的建模工作。

（3）风险控制分析

1）建立业务层面风险数据库。以中国石油集团业务活动层面的《财务报告风险数据库》和《经营风险数据库》为基础，结合公司业务经营现状进行风险分析，选取适用风险形成风险数据库，共包含210项相关风险，其中134项为重要风险。

2）编制风险控制文档。参考公司现有的管理制度，对已识别风险进行控制措施设计，控制措施包括执行控制负责人、控制时间、控制频率、控制具体内容、控制实施证据五大要素。对现有制度不足以控制潜在风险或不符合实际之处进行修订完善。

3）进行风险建模。将已识别风险和设计的控制措施进行风险建模。

（4）关键控制确认及应用

关键控制是内控体系框架的重要内容，也是通过外部审计的必审内容，关键控制管理文件设计不到位和执行不严格，将直接影响内控体系的有效性。公司在进行内控体系建设时，尽量满足中国石油集团的关键控制文件（包括业务流程图、关键控制文档等）要求，但根据联合公司自身特点进行了适当调整：控制措施的执行部门及岗位，按公司机构岗位设置情况进行调整；审批权限方面遵循公司授权审批机制；对于不适用的关键控制点，在能够满足控制潜在风险的前提下予以删除，共确认关键控制点154个。

4. 信息系统层面建设

1）推行、实施中国石油集团《信息系统总体控制规范》并形成公司的《信息系统总体控制矩阵》，对包括信息系统的控制环境、信息安全、项目建设管理、系统变更管理、信息系统日常运作五方面的内控关注点及控制措施进行规范。

2）在进行应用系统调研的基础上，对生成财务报告有影响的系统，根据其对业务操作的影响状况，识别系统风险，设计系统自动控制措施。

四、海外油气业务内控体系实施效果

从2009年开始，中国石油海外勘探开发公司在进行海外内控体系建设实践的同时，全面剖析海外油气业务发展的现状和内外部环境，对比分析海外内控管理与境内企业、国际石油公司的差异，运用三种差异化模型，通过实地调研、项目对接等方式，对所有海外项目体系建设影响因素进行综合排序和优化组合，制定体系建设总体规划并分年度稳步实施。

2006－2009年，海外完成了3个项目的内控体系建设；2010-2013年，以重大投资项目、上下游一体化项目和炼化战略项目为关注点，运用3种差异化内控体系建设模型，累计启动了16个项目的体系建设，数量是2010年以前总和的5倍，海外内控体系建设的实践能力稳步提升，内控体系建设速度和质量不断提高，走上了良性发展的轨道（见表）。

通过几年实践，中国石油海外勘探开发公司基本形成了以通用模块为主，个性化模块为辅的内控体系建设模型。通用模块包括财务管理、采办管理、经营计划管理、人力资源管理等模块。个性化模块主要根据各项目公司的主营业务模式确定，涵盖勘探管理、开发管理、工程建设管理、生产作业管理等。

中国石油海外勘探开发公司海外差异化内控建设基本思路得到了中国石油集团公司内控与风险管理部门的高度认同，已写进集团公司对海外内控工作要点。

截至2013年底，中国石油海外勘探开发公司共有20个海外项目的内控体系建设全面完成，两个项目的内控体系建设进展顺利，以公司本部为中心，涵盖主要油气合作区域与重点项目的内部控制体系网络初步建成，并持续有效地运行。

公司通过差异化的海外内控体系的建设和实施，梳理完善管理制度和流程，规范设计风险控制措施，实现了保障发展速度、提高运营效益与有效防控风险的均衡统一。（来源：石油观察网）

【免责声明】本文仅代表作者本人观点，与金银岛无关。金银岛网站对文中陈述、观点判断保持中立，不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考，并请自行承担全部责任。