近年来，相关国资监管政策不断迭代，“内控评价”升级为“风控合规综合评价”，“内控自评价”升级“内控自评价+监督评价”成为新重点。今年2月《关于做好2023年中央企业内部控制体系建设与监督工作有关事项的通知》（国资厅监督[2023]8号）（以下简称“8号文”），对内控评价提出更高要求，中央企业需开展新三年监督评价规划。

图1-内控评价新要求

一、国有企业内控评价常见挑战

2019-2022年，中央企业和部分地方国企积极探索开展第一个三年的监督评价全覆盖，积累了许多宝贵经验，同时也存在若干亟待解决的问题与挑战:

挑战一：内控缺陷同质化程度较高，部分典型管理痛点未能彻底根治

挑战二：适用于多元业务的动态评价标准及评价模型尚待深化设计

挑战三：对新业态、新模式及新并购企业的评价覆盖存在一定的滞后性

挑战四：内控评价结果应用有待加强，尚需进一步溯源管理发挥赋能价值

二、一流风控合规综合评价框架及其实施建议

以体系融合思想为引领，整合风险管理评价、合规管理评价和内部控制评价内容，将传统内控评价的“能”和“行”两维度扩展至“知”、“能”、“行”、“效”四个维度内在统一的综合评价，前端多维度输入建立评价基准，后端丰富成果应用实现管理优化，真正实现“以评促建”价值。

图2：一流风控合规综合评价框架

（一）设计理念：从“内控评价”到“风险、合规、内控综合评价”

传统内控评价可升级为纳入风险监督、合规检查的“综合评价”：

·         扩充标准：在运用内控基本规范作为评价标准的基础上，纳入年度制定的风险控制措施、法律法规要求及其内化后的内控管理规定、国资监管要求等。

·         动态迭代：每年根据风险演变、法律法规变动、制度修订动态更新对下属公司监督评价的标准库。

·         一果多用：提前规划风险管理、合规管理、内控工作报告内容，通过开展一次综合评价，输出满足不同监管场景的报告内容。

(二）  评价方法：从“设计和执行有效性”评价到“知能行效”全面评价

传统内控评价的方法主要聚焦“能”（管理设计）和“行”（管理执行）的“对差”分析，综合评价加入“知”-“效”环节进行升级：

·         “知”是风险导向。尤其是针对新业态子企业，可评价是否对风险有系统辨识及认知，评价时避免“一刀切”，关注子企业对风险高发易发的“微循环”业务环节是否自发形成明确管控思路和制度安排。

·         “效”是管理问效。内控应服务于经营结果，企业认为内控价值难以显性化，关键也是未能将“效”的文章做好。“效”可体现为一系列的定性定量、又以定量为主的指标评测结果，借助指标的横比（跨企业比较）和纵比（历史数据比较），说明管理取得的实际效果。

“知能行效”四个要素内在统一，既是内控过程和结果的互相兼顾，也是管理理念到执行反馈的闭环迭代。

（三）评价范围：从“覆盖子公司”到“覆盖高风险业务+覆盖子公司”

过往三年的监督评价，大多数集团的做法是每年选择一部分的下属企业作为评价对象，应8号文要求，新三年监督评价的内容将面临新一轮重构，监督评价覆盖范围应“横”+“纵”结合，从仅每年纵向覆盖部分子公司，到横向划线覆盖全集团重大风险事项，建立重大事项统一评价标准。

（四）评价应用：从“跟踪整改”到“压实责任+管理提升”

“重评价过程，轻评价应用”是制约内控评价价值的重要根因，建议企业可从以下四个方面入手改善：

·         建立缺陷销号机制，重大缺陷整改完毕应提供相关证据，经总部核查符合标准后予以销号。

·         建立量化评定机制，对检查点赋值，实现对各子企业内控评价情况的量化评分，直观反映比对各公司内控管理水平。

·         挂钩绩效考核机制，将评审结果作为董事会三年任期考核评价依据，将内控评价结果纳入对子企业的组织绩效考核，将自评价与监督评价发现缺陷拉通纳入考核。

·         管理提升行动，加强结果的分析研究，总结管理痛点、堵点、短板及普遍性、系统性问题，注重标本兼治，从总部管控角度提出整改建议。

（五）评价信息化：从“人防人控”到“技防技控”

内控评价信息化起步阶段企业可考虑优先上线两个“小而美”系统模块：

·         内控评价工作系统模块，支持在线化资料收发、缺陷归集上报、报告提交等基本功能，提升内控评价工作效率及规范性。

·          内控整改跟踪子模块，一方面通过仪表盘公开各子公司内控缺陷水平及整改进度，营造出“比学赶帮超”的文化氛围，另一方面在线实现内嵌缺陷整改关闭流程，子企业线上提交整改证据，总部基于整改“见人见事见制度”原则经过适当审批，确认核销内控缺陷整改项，进一步压实了整改工作。