从满足不同内部控制监管要求出发，基于多年的内部控制的研究和行业积累，为上市公司、国有企业、大中型企业的内部控制过程提供专业的咨询服务。通过评估企业公司层面和流程层面的内部控制和风险管理，识别管控无效、管控不足和管控冗余的环节，梳理现有流程和对应制度，为企业搭建和优化基于风险管理的内部控制体系。

风险与内控体系建设工作思路由三部分组成，分别为准备及启动阶段、体系建立阶段和运行与改进阶段。

1、准备及启动阶段

建立内控体系组织体系;编写内部控制实施方案;召开内部控制体系建设动员会。

2、体系建立阶段

梳理各项业务流程;开展规范对标，编制缺陷清单;建立风险数据库，绘制风险地图;将风险数据库与流程(或制度)清单进行匹配;制定或优化业务流程图;编制风险控制矩阵;制定或修订相关管理制度，编制业务工作权限指引表;编制内部控制手册;编制内部控制自评价报告、全面风险管理报告。

3、运行与改进阶段

持续开展内控检查与评价，对发现的缺陷持续改进，更新内部控制手册、制度与流程;逐步实现内部控制信息化。

风险与内控体系建设具体实施过程

1、梳理业务流程，搭建流程框架体系搭建流程框架的首要因素就是识别流程，美国哈默博士提出的定义为：流程是一组能够为客户创造价值的相关联的活动过程。流程的分类可以根据不同的原则进行，美国生产力质量协会(APQC)提出流程分类框架，将流程分为运营流程与管理和支持流程两类。

梳理流程的一般步骤：

1)对各部门主管和骨干、流程专管人员进行流程概念培训;

2)各部门组织，识别部门负债或参与的流程;

3)各部门主管确认，提交流程专管人员;

4)流程专管人员整合清理;

5)合理划分出流程清单的章、节、流程名和编号;

6)形成流程清单。

2、开展规范对标，编制缺陷清单按照梳理的各项业务活动，清理现有管理制度中的控制措施，逐一核对《企业内部控制基本规范》及其配套指引、《中央企业全面风险管理指引》以及上级单位的相关管理要求，编制对标缺陷清单。

3、建立风险数据库，绘制风险地图结合缺陷清单，分析查找各项业务活动存在的主要风险，按照风险发生的可能性和影响程度对风险进行评估，编制风险数据库。根据风险发生的可能性和影响程度，绘制风险地图，并对全院各类风险按照风险等级进行排序。 评估影响程度时，将从影响日常运营、影响企业声誉、造成财务报告的错误、引起经济责任、发生违规等多个角度综合考虑，将影响分为“极轻微”至“灾难性的”五级，分别对应1至5分的数值。评估发生可能性时，综合运用损失发生次数、发生概率等方法，将风险发生可能性分为“极低”到“极高”五个等级，分别对应1至5分的数值。风险 等级= = 影响程度* *

4、将风险数据库与流程清单进行匹配将流程清单与风险数据库进行匹配，以便明确某个风险体现在哪个流程中，某个流程中有哪些风险。这个匹配首先在风险类别层面进行，为下一步全面识别具体风险点与流程中的控制点的匹配打下基础。

5、制定或优化业务流程结合风险和控制措施，制定或者优化业务流程图，降低或避免风险。

6、制定风险控制矩阵根据风险数据库，基于业务流程图确定业务活动的关键控制点，制定关键控制点的具体控制措施，建立风险控制矩阵(包括企业级、项目级、流程级)

7、制定或修订相关管理制度，编制权限指引表编制内部控制与风险管理相关管理制度，如内控管理办法，内控评价管理办法、内控监督管理办法，全面风险管理办法等。基于业务流程图编制业务活动权限指引表，明确各项业务参与者的工作分工和执行权限，进一步明确内控与风险工作权责分配关系。

8、编制内部控制手册制定公司内部控制手册，包括内部环境手册、风险评估手册、控制活动手册、信息与沟通手册和内部监督手册，作为内部控制体系建设、运行、维护、评价的依据，确保全公司从思想和行为上对内部控制体系保持高度统一。

9、开展内部控制与风险管理监督检查与评价监督检查 与评价 包括内部环境、风险评估、控制活动、信息与沟通、内部监督等五大方面。监督检查方式包括审计、监察、内审/ / 外审、管理评审等方式。

编制 《 内部控制自评价报告 》 ，报告的主要内容：

——内部控制报告真实性的声明，评价工作的总体情况，评价依据，评价的范围，评价的程序和方法，内部控制缺陷及其认定，、整改情况，内部控制有效性的结论。

编制 《 全面风险管理 报告 》 ，报告的主要内容：

——年度企业内部控制管理工作回顾，年度企业风险评估情况，年度内部控制管理工作安排，有关意见和建议 结语：做好全面风险管理是现今时代背景下的重要工作内容，也是应对未来挑战的有力保障。