内部控制风险评估工作实施步骤和流程（内部控制风险评估方案）

内部控制控制的对象不是业务，也不是具体操作业务的人员，而是经济业务活动中的风险。所以，通过风险评估这项活动，分析和甄别经济业务活动中存在的风险，是内部控制建设工作的基础。风险评估活动一般包括以下步骤：

一、建立工作机制

行政事业单位经济活动具有很强的政策性、专业性和技术性，财务科单独难以完成这项工作，所以，风险评估小组应该是一个在单位领导统一领导下、由各项经济活动的关键岗位工作人员及技术专家组成的跨部门联合工作小组。单位经济业务活动风险评估工作由风险评估小组具体组织和实施，风险评估小组可以由财务科，如果也可以由办公室牵头，一把手或分管财务的领导担任组长，负责统筹、协调各业务部门积极配合风险评估工作。

风险评估是内部控制建设工作的一部分，为实现内部控制建设工作的统一领导，提高工作效率，风险评估小组的日常工作可以由内部控制工作小组承担，但不能由评价与监督小组承担，因为风险评估属于内控建设执行层面的活动。

单位对经济业务活动和权力运行的风险评估每年至少进行一次，第一次风险评估是最复杂的最重要的，在设计编写手册之前的评估要尽可能的全面、细化，形成风险数据库，按照财政部的要求，单位每年都应该开展风险评估工作，需要在第一次风险评估数据库基础上进行调整。每年度的风险评估侧重于经济活动的变化部分，如果外部环境、经济活动或者管理要求等发生重大变化，应当及时对经济活动风险进行重新评估。对于某些高风险经济活动开展不定期评估，建立专门的风险预警机制，以便有效的防范和管控风险。

二、风险识别和分析

风险识别是对单位面临的各种不确定因素进行梳理，采取问卷调查、小组讨论、专家咨询、情景分析、访谈等方法识别风险并进行必要的筛选、提炼、对比、分类。单位层面的风险识别主要从组织、机制、制度、岗位和信息系统入手；业务层面的风险识别从梳理业务流程、明确业务环节入手。

风险分析的目的是对识别的风险进行排序，确定内部控制需要重点关注和优先控制的风险点。在内部控制建设初期，单位管理基础都比较薄弱，通过风险评估识别的风险一般都有几百个甚至上千个，单位很难面面俱到的对这些风险采取同等程度的管理措施，根据管理学中的“二八原则”，决定结果的往往是关键的少数（20%），这就需要进行风险分析工作，从风险发生的可能性和风险影响程度两个维度，确定风险等级，以便能正确制定相应的风险应对策略，在内部控制建设初期阶段，一般是针对“极大级”和“重大级”风险采取重点管控措施即可。

三、风险评估实施程序

风险评估的实施过程一般包括计划、组织、实施、反馈这几个环节，风险评估最重要的成果就是出具《风险评估报告》。

1、风险评估工作由财务科牵头、风险评估小组组织实施。风险评估小组于每年年初制定《风险评估实施方案》，提交内部控制建设领导小组审议通过后执行。

2、各科室按照风险评估的方法进行风险信息收集、风险识别和科室自我评估，并提出相应的风险应对策略和管控措施的建议。

3、风险评估小组负责对风险评估过程中出现的问题进行解释与指导，确保各科室及时完成本科室的风险评估工作。风险评估小组将各科室风险评估结果的汇总整理，形成单位年度《风险评估报告（草案）》。

4、风险评估小组成员以专题会议的形式对《风险评估报告（草案）》认真分析研究，对报告草案提出正式审议意见，审议不通过的由财务科组织相关科室重新修订后再次报审，审议通过后出具《风险评估报告》，提交内部控制建设领导小组批准，作为制定内部控制管控措施的重要依据。

5、内部控制评价与监督小组定期对风险评估工作实施情况和有效性进行监督。