[董事会]海南航空：董事会关于2012年公司内部控制的自我评估报告
海南航空股份有限公司董事会 关于2012年公司内部控制的自我评估报告 海南航空股份有限公司全体股东： 海南航空股份有限公司董事会（以下简称“董事会”）对建立和维护充分的 财务报告相关内部控制制度负责。 财务报告相关内部控制的目标是保证财务报告信息真实完整和可靠、防范重 大错报风险。由于内部控制存在固有局限性，因此仅能对上述目标提供合理保证。 董事会已按照《企业内部控制基本规范》要求对财务报告相关内部控制进行 了评价，并认为其在2012年12月31日（基准日）有效。 我公司在内部控制自我评价过程中发现的与非财务报告相关的内部控制缺 陷均为一般缺陷，且部分内控缺陷已完成了整改，其余正在整改中。 我公司聘请的普华永道中天会计师事务所已对公司财务报告相关内部控制 的有效性进行了审计，出具了无保留审计意见。 海南航空股份有限公司 董事长： 二〇一三年三月十四日 公司2012年度内控自评价相关情况介绍 一、背景介绍 2008年5月22日，国家财政部、证监会、审计署、银监会、保监会联合发布 《企业内部控制基本规范》（下简称《内控规范》），并于2010年4月15日发布 企业内部控制配套指引。以上《内控规范》及其配套指引自2011年1月1日起在境 内外同时上市的公司施行。 海南航空股份有限公司（以下简称“公司”）作为中国证券监督管理委员会 A股主板上市公司之一，严格根据财政部、证监会、审计署、银监会、保监会联 合印发的《企业内部控制基本规范》（财会〔2008〕7号）和《企业内部控制配 套指引》（财会〔2010〕11号）规定、中华人民共和国财政部下发的《关于2012 年主板上市公司分类分批实施企业内部控制规范体系的通知》（财办会〔2012〕 30号）及海南省证监局《关于实施企业内部控制规范体系的通知》(海南证监发 〔2012〕7号)的要求，需从2012年1月1日起，对公司内部控制的有效性进行自我 评价，披露年度自我评估报告，并聘请会计师事务所对公司财务报告相关的内部 控制的有效性进行审计并出具审计报告。2012年是公司遵循《内控规范》的第一 年。 二、成立组织机构 在公司董事会的领导下，根据审计与风险管理委员会的具体部署，公司按照 五部委内控基本规范及配套指引的要求，结合公司颁布的内部控制手册，在全公 司范围开展了2012年度内控自评价工作。 为了确保公司内控自评价工作落实到位，加强领导责任，公司于2012年3月 组织成立了内部控制规范实施项目领导小组由公司董事长亲自挂帅，负责公司年 度内控自评价工作的组织领导。内控建设小组由公司总裁担任组长，公司副总裁 及财务总监担任副组长，由内控建设办公室为常设机构，抽调公司各相关单位业 务骨干作为组员，共计327人。同时，为提高内控建设工作质量，公司聘请北京 中鼎合源投资管理咨询有限公司为本次自评价工作提供技术支持。 董事会 审计与风险委员会 内控领导小组 内控建设小组 内控建设办公室 外部审计师 外部咨询师 各单位内控建设专员内控建设宣传工作组 内控流程及 规范框架工作组 三、内控规范体系评价范围 2012年，公司根据《内控规范》及配套指引的18项内容的要求，对公司及下 属分子公司设计业务流程进行全面梳理梳理，划定内控工作范围，确保工作质量。 纳入本年度评估范围包括海南航空股份有限公司全部13个职能部门及10个 分子公司包括： 分公司 子公司 新疆分公司 新华航空有限公司 广州分公司 长安航空有限公司 深圳分公司 山西航空有限公司 大连分公司 北京科航投资有限公司 兰州分公司 海南金鹿销售有限公司 纳入自评范围的单位的总资产占2011 年合并报表总资产的98.30%，营业收 入占报表营业收入的99.64%，涵盖了与财务报告相关的主要业务流程。 四、自评价测试方法 ㈠ 自评价依据及记录方法 1. 公司层面。公司结合《内控规范》的相关指引和要求，设计公司层面内 控调查问卷，对相关部门、审计委员会和高级管理层进行访谈，并依据问卷内容 进行评估，同时进行穿行测试，评估公司层面内部控制的有效性。 2. 业务层面。以流程图的形式如实记录每个子流程的交易发起、授权、处 理和报告环节。并使用风险控制文档，详细记录包括过程、政策、方法、操作守 则、业务流程过程和业务负责人等业务内容。同时通过审阅现行的管理制度、对 比国家相关法律法规、询问有关业务负责人控制执行情况、进行穿行测试等方式， 以识别业务流程层面的主要风险控制点，评估内部控制设计上的有效性。 ㈡ 测试方法 年度内分上、下半年对内控的设计及执行的有效性进行两次测试。 由测试人员根据《内控规范》及指引的要求抽取相关样本，采用个别访谈、 实地查验、穿行测试、重新执行、比较分析、专题讨论等测试方法验证相关公司 内控体系设计及执行的有效性。 抽样基准及可容许测试失效样品数量：（详见下表） 控制方式 控制频率 样本量 自动 不适用 1 半自动 人工 每日数次 25—60 半自动 人工 每日一次 20—40 半自动 人工 每周一次 5—15 半自动 人工 每月一次 2—5 半自动 人工 每季一次 2 半自动 人工 每年一次 1 无法明确确定频率 注 注：无法明确确定频率的控制--如果控制是不定期发生的，或者是根据业务 的具体情况随时可能发生的，或者是针对多个对象同时发生的，那么需要确定该 控制在一个会计年度内大约发生多少的次数（必要的话可以进行推断）。在确定 该控制在一个会计年度内大约发生多少的次数后，可使用下表确定相应的样本 量： 发生次数 折合频率 样本量 >200 每日数次 25—60 50—200 每日一次 20—40 15—50 每周一次 5—15 <15 每月一次 2—5 ㈢ 缺陷认定依据 在评估内控缺陷时，公司对缺陷进行定量和定性分析，根据缺陷严重程度， 分为一般缺陷、重要缺陷和重大缺陷。其中： 定性标准：指涉及业务性质的严重程度，根据其直接或潜在负面影响的性质、 影响的范围等因素确定。 定量标准：指涉及金额大小，既可以根据造成直接财产损失绝对金额制定， 也可以根据其直接损失占本企业资产、销售收入及利润等的比率确定。 公司根据规范要求，结合公司实际，制定了内控缺陷等级认定标准。将公司 2012年度按国际财务报告准则编制的合并财务报表经营收入总额的0.5%和总资 产值的0.5%确定为财务报表层面的量化基准，根据缺陷潜在影响金额占财务报表 层面量化基准的百分比，作为确定一般缺陷、重要缺陷和重大缺陷的标准。详见 下表： 一般缺陷 所有潜在影响金额小于财务报表层面量化基准20%的被视为一 般缺陷。 重要缺陷 所有潜在影响金额大于财务报表层面量化基准20%，小于100% 的被视为重要缺陷。 重大缺陷 所有潜在影响金额大于等于财务报表层面量化基准100%的被视 为重大缺陷。 五、具体实施 公司2012年度内控评估主要工作： 对本年度公司层面内部控制框架和业务流程层面的内部控制的设计及执行 情况进行记录和测试，对其设计和操作的有效性进行评估，以及对发现的内部控 制缺陷进行整改。 ㈠ 工作目标 1. 建立和完善符合实际企业制度所需要的内部组织结构，形成科学决策、 执行和监督机制，逐步实现权责明确、和超前的科学管理。 2. 通过对内部控制的检查，达到相互联系相互制约的目的，防止和纠正违 纪行为。保证国家法律、公司内部规章制度及公司经营方针的贯彻落实。 3. 建立健全全面预算制度，使公司全部部门、人员形成一系列的预算控制 体系。 4. 保证公司所有被授权业务活动，均按授权权限进行，促使公司的经营管 理活动有理、有序、协调发展。 5. 保证对公司资产的变化，及时记录、跟踪，防止资产毁损、浪费、盗窃 并降低减值损失，确保公司资产的安全、完整。 6. 保证公司全部经济事项和数据真实、完整地反映，反映的会计报告符合 《会计法》、《企业会计准则》等一系列有关规定。 7. 严格按照公司《财产盘点管理制度》按时盘点、账面资产和实物资产核 对相符，对出现的错误和误差，查找原因，及时纠正，防止舞弊。 ㈡ 评估范围 公司内控自评价现场测试单位包括总部13个职能部门、5个分公司、5个子公 司，共计23个单位。 ㈢ 工作阶段 2012年内控评估工作分为六个阶段，分别是计划、记录、测试、整改、报告 和外审独立审计阶段。 第一阶段：计划阶段 2012年4月，公司内控建设办公室根据年度内控工作重点，制定了详细的实 施工作方案。 4月12日，公司召开2012年度内部控制工作动员大会视频会议。公司领导、 公司内控建设小组成员、各单位第一负责人及内控专员共计342人参加会议。会 议重点介绍了2012年度内控工作内容和年度工作安排，并邀请到海南省证监局领 导就《企业内部控制规范》做专题讲话。会后，对各单位内控专员进行相关培训。 第二阶段：记录阶段 2012年5月至7月，对公司层面内部控制框架以及业务流程层面的内部控制进 行访谈，并更新内控描述，从内部控制的设计上评估其有效性。具体工作包括： 公司层面：以公司层面内部控制框架为基础，实地走访公司内控规范体系设 计范围内各相关部门，了解各单位实际内部控制活动，并更新内控规范体系整体 框架，由各部门自行更新相关内容。公司内控人员根据反馈结果，结合以往的工 作经验，有针对性地选取关键控制点进行穿行测试。 业务流程层面：公司按照计划，对纳入评价范围的单位合计1568个末级业务 流程组成的评估范围开展记录和设计有效性评估工作。对相关流程负责人进行访 谈，记录每个重要子流程的交易发起、授权、记录、处理和报告等环节，形成记 录文件。 记录文件包括流程图和风险与内部控制矩阵。流程图对业务流程进行详细描 述，包括描述业务流程控制点的执行人，主要活动和行为，控制活动的对象，控 制活动产生的结果等要素；风险与内部控制矩阵则对业务流程中的风险控制点进 行分析，以进一步确认控制活动是否能有效控制风险；如果未能有效控制，则指 出存在的内部控制缺陷并提出整改建议。同时，收集与内部控制措施有关的穿行 测试文件，以进一步证实内部控制措施的设计有效性。 根据境内外最新的法律法规及监管地的要求，公司聘请专业咨询公司对2012 年度评估范围内单位的全部风险控制点进行梳理，并按照重要性将风险控制点分 为高、中、低三种类别，以决定下一阶段内部控制执行有效性测试的工作范围。 第三阶段：测试阶段 制定标准测试程序、测试方法、抽样原则、样本数量等工作标准；选定关键 的风险控制点作为测试点；通过观察、访谈、检查、询证、系统查询等方法对测 试点进行测试，按照样本数量要求收集测试文件，在内部控制管理信息系统内填 写测试工作底稿，对内部控制的操作有效性进行评估。公司内控人员审核测试文 件，检查测试的正确性及完整性。 在2012年度开展的两次测试中，公司对业务流程层面的2663个测试点进行了 测试。 第四阶段：整改阶段 公司对内部控制缺陷进行分类并提出整改建议后，及时与被评估单位和部门 沟通，明确内部控制缺陷的关键环节，由责任单位制定切实可行的整改方案和措 施并进行整改，公司内控人员跟进整改进展情况及效果。对于完成整改的内部控 制设计缺陷，公司重新进行了记录和测试，并修改相应的流程图、风险与内部控 制矩阵；对于完成整改的内部控制执行缺陷，公司进行重新进行测试，以确认整 改实效。 第五阶段：报告阶段 根据记录、测试和整改的情况，从2013年1月起，公司对内控自评价所有资 料进行汇总整理，对全年内控评估工作进行总结，同时按照监管机构的要求编制 内部控制评估报告。 第六阶段：外审独立审计阶段 根据中国《内控规范》的要求，公司2012年的内部控制情况需要通过外部审 计师的独立审计，因此外部审计师分别于2012年5月、11月及2013年2月，对公司 2012年内部控制的有效性进行了独立测试。 六、借助中介机构情况 2012年，公司根据工作需要，聘请了北京中鼎合源投资管理咨询有限公司提 供内控评估工作技术支援，协助公司开展以下几项工作。 ㈠ 记录阶段 1. 风险梳理 根据境内外最新的法律法规及监管地的要求，由中鼎合源协助公司对内控评 估范围内的业务单位的风险控制点进行全面梳理，并将其划分为高、中、低三种 类别；按照重要性原则在三类风险控制点中选择关键控制点，以确定下一阶段内 部控制执行有效性测试的工作范围。 2. 公司层面内部控制穿行测试 协助内控建设小组对公司层面内部控制进行一次穿行测试，验证公司层面内 部控制描述的真实性和完整性，并识别、汇总公司层面内部控制设计和运行上的 不足之处，提出改善建议。 ㈡ 测试阶段 协助公司根据风险控制点的梳理结果，对全部单位业务流程层面的关键控制 点进行两次（上、下半年）执行有效性测试，以识别汇总业务流程层面内部控制 运行上的不足之处，提出专业改善建议。 七、年度内控评估工作成果 ㈠ 《海南航空内控规范体系工作方案》 在计划阶段，公司对当年内控评估工作进行整体规划和部署，制定年度内控 评估实施方案。从项目时间安排、项目评估方法、项目管理等方面对项目进行具 体计划和安排，为项目的有效开展和顺利实施奠定基础。 ㈡ 业务流程图及描述 在记录阶段，公司按照访谈内容及项目要求编制业务流程图，并根据业务流 程的变化及时更新，形成内部控制评估的基础，即业务流程层面的流程图及其风 险控制文档。 2012年内控记录阶段，公司共梳理业务循环32个，末级业务流程1568个，识 别风险点并编制风险控制文档2663个，并针对上述流程图及风险控制文档进行穿 行测试，以验证描述的真实性。 2012年内控记录阶段，参与访谈的公司内部人员359人，涉及总部13个职能 部门及下属10个分子公司，共访谈约1600人次。 ㈢ 风险及内部控制矩阵 通过业务流程图了解流程层面的内部控制措施后，公司将流程中的风险和相 应的控制活动进行总结和归纳，形成风险及内控矩阵涉及业务流程层面的风险控 制点2663个。通过对风险及内控矩阵进行评估，判断现有的控制措施是否可以有 效地控制相应的风险。 ㈣ 测试底稿和样本 在内控测试阶段，公司针对梳理出的2663个测试点进行测试。根据测试规则 和要求，对每一个测试点的测试工作底稿都进行了审核，并检查测试文件，保证 其按照标准的测试样本数量和测试要求收集检查。 ㈤ 缺陷汇总及跟踪整改情况表 通过评价，本次测试过程中未发现重大及重要缺陷。公司内控建设小组针对 全部一般缺陷提出了具体的整改建议，各职能部门与业务单位制定了具体的整改 措施并积极落实。公司指定专人定期跟踪整改完成情况。经评估，截至报告日， 公司2012年度部分内控缺陷已经完成了整改，其余内控缺陷正在整改中。 海南航空股份有限公司 董事会 二○一三年三月十四日 中财网
 |