中石化全套内部控制系统制度13原油配置、运输业务控制矩阵

11.1信息系统管理业务内部控制矩阵11.1信息系统管理业务流程①②一、业务目标1 经营目标1.1 满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力，提高核心竞争力。

1.2 达到系统建设预期目标，系统运行安全、稳定，出现系统故障时能够及时恢复，系统具有扩展性、集成性。

2 合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件。

2.2 信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。

二、业务风险1 经营风险1.1 信息化管理体系不完善，信息管理部门职责不落实，导致信息化工作受损。

1.2 信息系统建设项目不符合股份公司经营战略目标，导致盲目建设、投资低效。

①本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护，有关科技开发项目的立项和经费管理按《3.3科技开发费管理业务流程》控制。

②信息系统业务,根据其特点执行《11.1信息系统管理业务流程》,但应参见《6.1资本支出业务流程》。

1.3 信息安全规划不当，风险评估缺失，信息安全教育不足，员工安全意识薄弱，导致信息系统风险。

1.4 技术方案不合理，业务流程不规范，系统功能不健全，导致系统不能满足业务需求。

1.5 基础数据不完整、不准确、不真实，导致系统无法正常投运或计算出错。

1.6 项目监管不力，系统建设延误，导致系统不能按期投用或资金流失。

1.7 系统运行不稳定，数据失真、丢失，导致日常业务工作无法正常进行。

1.8 系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复。

1.9 系统运维不落实，功能陈旧，导致不能满足业务需求。

1.10 未经审核，变更信息技术合同标准文本中涉及的权利、义务等条款，造成损失。

2 财务风险2.1 交易不真实，未按约定付款，影响财务报告。

3 合规风险3.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害。

3.2 信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求,造成损失。

4.1原油销售业务内部控制矩阵4.1原油销售业务流程一、业务目标1 经营目标1.1 按照生产经营计划安排原油销售，保证油田分（子）公司原油全产全销，保证炼化分（子）公司生产需要，获取经营利润。

2 财务目标2.1 核算规范，确保销售收入及应收账款的真实、准确、完整。

3 合规目标3.1 原油销售符合国家法律、法规和股份公司内部规章制度。

3.2 销售合同符合合同法等国家法律、法规和股份公司内部规章制度。

二、业务风险1 经营风险1.1 原油销售超、欠计划执行，影响油田和炼化分（子）公司生产。

1.2 擅自调整价格，导致收入减少或销售不畅。

1.3 未经审核，变更销售合同示范文本和交接计量、结算协议中涉及权利、义务的条款，导致的风险。

1.4 不按规定与用户结算货款，导致坏账或货款不能及时回笼。

2 财务风险2.1 核算不规范，造成销售收入及应收账款不实。

3 合规风险3.1 原油销售不符合国家法律、法规和股份公司内部规章制度，受到处罚。

3.2 销售合同不符合合同法等国家法律、法规和股份公司内部规章制度，造成损失。

三、业务流程步骤与控制点1 编制原油销售计划1.1 生产经营管理部按照油田分(子)公司原油产量和商品量计划，结合股份公司生产经营情况，确定原油商品配置数量，落实原油销售流向，编制自有油田月度原油销售计划，按规定权限审批后，下达油田分(子)公司。

1.2 油田分(子)公司根据股份公司下达的原油销售计划，组织原油生产，向有关销售用户落实，编制月度运行计划。

1.3 由于市场变化或生产等因素的影响，油田分(子)公司或受油单位需调整原油销售计划，须提前向生产经营管理部建议，由生产经营管理部综合平衡后，提出原油销售调整计划，并经分管副主任审批后，下发给油田分(子)公司和有关受油单位。

1.4 油田分（子）公司销售部门根据股份公司批准下达原油销售计划在ERP系统中维护原油销售配置计划。

2 销售用户审核2.1 油田分(子)公司的原油销售用户由生产经营管理部统一平衡确定。

中国石油化工股份有限公司权限指引说明为适应股份公司一级法人为主的经营体制，提高运营效率，最大限度地规避风险，更好地落实分级授权制度，特制订本《权限指引》。

本《权限指引》所列权限适用于股份公司总部各部门、各分（子）公司，各单位在向下延伸制定实施细则时，须按照“更严、更细、更具体”的原则设置权限。

1 权限指引一般介绍1.1 本《权限指引》分为基本的6个层级，各分公司在施行过程中可制订本分公司向下延伸的权限级别；子公司按照“子公司形式、分公司地位”的原则，比照分公司权限执行。

1.2 本《权限指引》中的权限为该项业务的决定权、审批权、最终处置权，不包括过程中的建议权、拟议权。

表中的“预算”（“计划”）包括初始预算（计划）及追加、调整预算（计划）。

1.3 本表中的权限项目按照业务流程编号的顺序依次排列，并将其中最重要控制点上的最终决策权限一一对应，单列而成。

“○”表示该业务在该权限层级上不允许分解、设置的权限；“－”表示该业务在该权限层级上总部不统一设置权限，由各单位在延伸制定本单位的《权限指引》时自行补充的部分;空格部分表示本栏的业务类型为标题栏，或为不牵涉审批权限、设置权限无实际意义的部分。

本表中部分权限项目暂未编写相关流程或现有流程中暂未体现，如第7.7、7.8项。

2 权限指引内容2.1 《权限指引》以矩阵式表格描述，由横向、纵向两个指标体系构成。

2.1.1 横向为六层两级权限系列。

六层是指自股东大会、董事会、总裁办公会、事业部/职能部门主任、分公司经理/经理班子，直至分公司处室负责人/业务经理等六个层次；两级是指董事会再对董事长的授权，总裁再对高级副总裁/财务总监/分管副总裁的授权，事业部/职能部门主任对副主任的授权，分公司经理对副经理/总会计师的授权。

权限设置体现了公司权力从股东大会到董事会、到总裁，再按各职能部门（事业部）的职责范围及各分公司的经营范围层层分解、下放的管理原则。

本表横向左端为业务的执行部门，右端为该业务的会签部门或复核岗位，体现了不相容职责分开和独立监控的要求。

11。

1信息系统管理业务内部控制矩阵11.1信息系统管理业务流程①②一、业务目标1 经营目标1.1 满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力，提高核心竞争力。

1。

2 达到系统建设预期目标，系统运行安全、稳定,出现系统故障时能够及时恢复，系统具有扩展性、集成性.2 合规目标2。

1 遵守保护知识产权的有关法律法规，使用合法软件。

2。

2 信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。

二、业务风险1 经营风险1.1 信息化管理体系不完善,信息管理部门职责不落实，导致信息化工作受损。

1.2 信息系统建设项目不符合股份公司经营战略目标,导致盲目建设、投资低效。

①本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护，有关科技开发项目的立项和经费管理按《3。

3科技开发费管理业务流程》控制。

②信息系统业务，根据其特点执行《11.1信息系统管理业务流程》，但应参见《6.1资本支出业务流程》。

1.3 信息安全规划不当，风险评估缺失，信息安全教育不足，员工安全意识薄弱,导致信息系统风险。

1.4 技术方案不合理，业务流程不规范，系统功能不健全，导致系统不能满足业务需求。

1.5 基础数据不完整、不准确、不真实,导致系统无法正常投运或计算出错.1。

6 项目监管不力，系统建设延误，导致系统不能按期投用或资金流失。

1。

7 系统运行不稳定,数据失真、丢失,导致日常业务工作无法正常进行。

1。

8 系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复。

1.9 系统运维不落实,功能陈旧，导致不能满足业务需求。

1.10 未经审核,变更信息技术合同标准文本中涉及的权利、义务等条款,造成损失。

2 财务风险2.1 交易不真实,未按约定付款，影响财务报告.3 合规风险3。

1 侵犯知识产权,导致诉讼及股份公司声誉受到损害。

3.2 信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求，造成损失。

12.1生产调度运行业务内部控制矩阵12.1生产调度运行业务流程一、业务目标1 经营目标1.1 按照生产经营计划组织生产活动，及时协调解决生产过程中出现的各种问题和矛盾，保证生产经营活动安全、稳定、长周期和按计划运行。

1.2 优化生产运行，提升各项技术经济指标水平，降低生产成本。

2 合规目标2.1 生产经营活动符合国家有关法律、法规和股份公司内部规章制度。

二、业务风险1 经营风险1.1 生产组织或紧急状态的指挥失当，造成生产装置、油井发生重大事故或非计划停工、停井或出现产品出厂质量事故、环境污染事故。

原辅料供应、产品出厂等环节出现问题导致生产装置被迫停工等。

1.2 日常运行管理不严、协调不当，造成生产运行结果偏离股份公司下达的生产经营计划。

1.3 生产方案不合理，造成技术经济指标不达标。

2 合规风险2.1 生产经营活动违反国家有关法律、法规，导致政府管理部门的处罚；违反股份公司内部规章制度，造成经济损失。

三、业务流程步骤与控制点1 制定月度生产经营计划1.1 根据股份公司年度、季度生产经营计划和总裁班子对当期生产经营的指示精神，生产经营管理部对月度生产经营计划提出具体要求，各事业部在与分（子）公司生产管理部门或计划部门进行广泛沟通、充分了解和掌握分（子）公司真实生产经营状况的基础上，结合分（子）公司上报的月度生产经营计划建议，提出月度生产建议计划，报生产经营管理部进行综合平衡后，编制出股份公司月度生产经营计划，经总裁审定批准后，下达各事业部。

由各事业部下达分（子）公司执行。

1.2 分（子）公司生产或计划部门根据下达的月度生产经营计划，结合本单位实际情况，制定月度生产运行计划，经分（子）公司分管副经理审批后执行。

1.3 由于市场或实际生产情况发生了变化，股份公司需要调整月度生产经营计划时，在征求分（子）公司和主管事业部意见的基础上，生产经营管理部提出月度生产经营计划调整建议，经总裁审批后下达各事业部。

11.1信息系统管理业务内部控制矩阵11。

1信息系统管理业务流程①②一、业务目标1 经营目标1。

1 满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力，提高核心竞争力.1.2 达到系统建设预期目标，系统运行安全、稳定，出现系统故障时能够及时恢复，系统具有扩展性、集成性。

2 合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件.2。

2 信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。

二、业务风险1 经营风险1.1 信息化管理体系不完善，信息管理部门职责不落实,导致信息化工作受损。

1.2 信息系统建设项目不符合股份公司经营战略目标,导致盲目建设、投资低效。

①本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护，有关科技开发项目的立项和经费管理按《3.3科技开发费管理业务流程》控制。

②信息系统业务，根据其特点执行《11。

1信息系统管理业务流程》，但应参见《6。

1资本支出业务流程》。

1。

3 信息安全规划不当，风险评估缺失，信息安全教育不足,员工安全意识薄弱,导致信息系统风险.1。

4 技术方案不合理，业务流程不规范，系统功能不健全,导致系统不能满足业务需求。

1。

5 基础数据不完整、不准确、不真实，导致系统无法正常投运或计算出错。

1.6 项目监管不力，系统建设延误，导致系统不能按期投用或资金流失.1。

7 系统运行不稳定，数据失真、丢失，导致日常业务工作无法正常进行。

1。

8 系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复.1.9 系统运维不落实，功能陈旧，导致不能满足业务需求。

1.10 未经审核，变更信息技术合同标准文本中涉及的权利、义务等条款，造成损失。

2 财务风险2。

1 交易不真实,未按约定付款，影响财务报告。

3 合规风险3。

1 侵犯知识产权,导致诉讼及股份公司声誉受到损害。

3.2 信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求，造成损失。

一、前言1 编制《内部控制手册》的背景为规范中国石油化工股份有限公司（以下简称“股份公司”）的管理，贯彻《中华人民共和国公司法》、《中华人民共和国证券法》、《中华人民共和国会计法》以及其他有关法律、法规，满足国内外资本市场对上市公司的监管要求，股份公司特制定《内部控制手册》，作为建立、执行、评价及验证内部控制的依据。

完整的内部控制体系和完善的内部控制制度，是约束、规范企业管理行为的准则，是减少风险的重大措施。

实施内部控制可以及时发现和纠正各种错弊及不法行为，有利于保证资产安全、完整，保证经营成果与财务状况真实、可靠。

其必要性表现为：一是建立现代企业制度，完善法人治理结构，实现经营机制的转换，加强企业管理，提高企业经营业绩，改善企业财务状况。

二是贯彻我国有关法律法规，遵循美国《萨班斯-奥克斯利法案》等国内外资本市场监管需求，提高会计信息质量。

三是积极参与竞争、努力降低风险。

随着市场竞争日趋激烈和信息技术高度发展，以及全球经济一体化的进程加速，股份公司所面临的风险也逐渐加大。

建立健全有效的内部控制制度，是防范风险、提高经营管理效率和效果的重要措施。

四是建立统一规范的内部控制制度，使股份公司各项规章制度成为系统性、可操作性和包容性很强的内部管理制度，更为有效地体现股份公司管理理念。

2 《内部控制手册》遵循的基本原则2.1 合规性原则合规性是指企业内部控制制度必须符合国家的法律、法规和政策；符合股份公司上市地（上海、香港、纽约、伦敦）证券监管机构有关上市公司的法律、法规和要求。

2.2 全面性与系统性原则《内部控制手册》涉及股份公司经营活动的各个方面，其内部监督和控制贯穿于经营管理活动的全过程并涉及全体员工。

股份公司的每一个员工既是内部控制的主体，又是内部控制的客体；既要对其负责的作业实施控制，又要受到其他人员或制度的监督与制约。

《内部控制手册》使股份公司内部各部门、各岗位形成较为系统的既互相制约又具有纵横交错关系的统一整体，确保各部门和各岗位均能按特定的目标相互协调地发挥作用，最终实现股份公司内部控制的总体目标。

进口原油代理业务内部控制矩阵引言进口原油代理业务是一个涉及复杂业务流程和大量资金交易的行业。

为了确保企业在这一业务领域的合规性和风险管理，内部控制的建立是至关重要的。

一个完善的内部控制矩阵可以帮助公司识别和评估风险，并设置相应控制措施，保障业务的顺利开展和可持续发展。

本文将介绍一种针对进口原油代理业务的内部控制矩阵，旨在帮助企业建立有效的内部控制体系。

控制目标在制定内部控制矩阵之前，我们需要明确控制目标。

进口原油代理业务的内部控制目标应包括但不限于以下几个方面：1.合规性：确保业务活动遵守相关法律法规、行业准则，并遵守内部规章制度。

2.风险管理：识别、评估并有效控制与业务活动相关的各类风险。

3.资产保护：确保企业的资产得到妥善保护，防止资产的损失、盗窃和滥用。

4.业务连续性：确保业务的可持续开展，防止由于内部或外部因素造成的业务中断或停顿。

内部控制矩阵基于上述控制目标，我们可以设计一个内部控制矩阵，以明确各类控制活动和责任单位。

以下是一个针对进口原油代理业务的内部控制矩阵的示例：控制活动责任单位详细说明合规性审查法律事务部门定期对业务活动进行法律风险评估和合规性审查供应商筛选和评估采购部门建立供应商评估体系，对供应商进行筛选和评估，确保其符合公司要求合同管理合同管理部门建立合同管理流程，确保合同的合法性和履行情况风险评估和控制风险管理部门对进口原油代理业务相关风险进行评估，并制定相应的控制措施资金管理财务部门管理进口原油代理业务的收支、结算和资金流动业务数据管理数据管理部门建立规范的数据管理流程，确保业务数据的准确性和可靠性内部审计内部审计部门定期对进口原油代理业务进行内部审计，发现问题并提出改进意见信息安全管理信息安全部建立信息安全管理制度，确保业务数据门和信息的安全员工培训和认知人力资源部门提供相关培训和教育，确保员工了解和遵守内部控制制度业务恢复计划和应急响应业务恢复与应急部门制定业务恢复计划和应急响应措施，应对突发事件和灾害结论通过建立上述内部控制矩阵，企业可以明确各类控制活动和责任单位，确保进口原油代理业务的合规性、风险管理、资产保护和业务连续性。

11.1信息系统管理业务内部控制矩阵会计报表认定1存在和发生/真实性；2完整性；3权利与义务；4估价或分摊；5表达和披露；6准确性业务目标业务风险控制点适用单位不相容岗位控制点分值控制点相关资料相关制度索引123456会计报表项目1. IT 整体层面管理1.1经营风险：信息化管理体系不完善，信息化领导小组或ERP 指导委员会设置不健全，信息管理部门职责不落实，导致信息化工作受损。

1.1股份公司建立完善的信息化管理体系，设立ERP 指导委员会，设立信息系统管理部负责股份公司信息化归口管理工作；各分（子）公司设立信息化领导小组或ERP 指导委员会，定期召开会议，听取、总结和指导本单位信息化工作，设立信息管理部门负责本单位信息化管理工作，对信息系统和信息资源行使管理职责。

总部分（子）公司6ERP 指导委员会或信息化领导小组成立文件；会议纪要信息管理部门职责文件1.10.51.12.2经营风险：信息化建设中长期规划不符合股份公司经营战略目标，导致盲目建设、投资低效。

1.2根据股份公司发展战略目标和核心业务，结合信息技术发展和股份公司实际，信息系统管理部负责组织编制股份公司信息化建设中长期规划，在充分征求职能部门、事业部和分（子）公司意见后，组织专家组评审，并根据专家意见负责组织修改，经信息系统管理部主任审核，按规定权限审批后，纳入股份公司中长期发展规划。

信息系统管理部5股份公司信息化建设中长期规划1.10.51.3教育和培训1.1经营风险：信息化培训缺乏，导致信息系统效能低下、信息化管理水平不高、信息化技能缺失。

1.3.1各级信息管理部门负责编制年度信息化培训计划，经部门负责人审批后，纳入人事部门年度培训计划,并组织落实。

信息系统管理部分（子）公司2年度培训计划 1.10.51.1经营风险：信息安全教育不足，导致员工信息安全意识薄弱。

1.3.2各级信息管理部门配合人事部门开展全员信息安全教育和培训，并在信息门户或内部网站发布安全教育培训材料。

11。

1信息系统管理业务内部控制矩阵11.1信息系统管理业务流程①②一、业务目标1 经营目标1。

1 满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力,提高核心竞争力。

1.2 达到系统建设预期目标，系统运行安全、稳定，出现系统故障时能够及时恢复，系统具有扩展性、集成性。

2 合规目标2。

1 遵守保护知识产权的有关法律法规，使用合法软件。

2。

2 信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。

二、业务风险1 经营风险1。

1 信息化管理体系不完善,信息管理部门职责不落实,导致信息化工作受损。

1.2 信息系统建设项目不符合股份公司经营战略目标，导致盲目建设、投资低效。

①本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护,有关科技开发项目的立项和经费管理按《3。

3科技开发费管理业务流程》控制。

②信息系统业务，根据其特点执行《11.1信息系统管理业务流程》,但应参见《6。

1资本支出业务流程》。

1。

3 信息安全规划不当，风险评估缺失，信息安全教育不足,员工安全意识薄弱，导致信息系统风险。

1。

4 技术方案不合理，业务流程不规范,系统功能不健全，导致系统不能满足业务需求。

1.5 基础数据不完整、不准确、不真实，导致系统无法正常投运或计算出错。

1。

6 项目监管不力,系统建设延误，导致系统不能按期投用或资金流失.1.7 系统运行不稳定,数据失真、丢失，导致日常业务工作无法正常进行。

1。

8 系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复。

1.9 系统运维不落实，功能陈旧，导致不能满足业务需求。

1.10 未经审核,变更信息技术合同标准文本中涉及的权利、义务等条款,造成损失.2 财务风险2.1 交易不真实，未按约定付款，影响财务报告。

3 合规风险3.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害.3.2 信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求,造成损失。

10.1石油保值业务内部控制矩阵10.1石油保值业务流程一、业务目标1 经营目标1.1 利用境内外石油期货及纸货等套期保值工具，规避实货价格波动风险。

1.2 保证境内外石油保值业务资金的安全。

2 财务目标2.1 保证境内外石油保值业务损益的计算与匹配、保值资金收支核算的真实、准确、完整。

3 合规目标3.1 保值业务符合国家有关管理部门关于国有企业境内外期货套期保值业务监管及相关外汇管理的规定和股份公司内部规章制度。

3.2 期（纸）货交易合同的订立及执行符合国际法规和国际惯例。

二、业务风险1 经营风险1.1 未经授权或超越授权范围进行交易，瞒报或不报交易结果，导致交易损失。

1.2 委托未经批准的期货经纪公司或纸货交易对手进行交易，发生损失。

1.3 未严格按照套期保值方案交易，导致实货保值效果不能达到预期甚至形成损失。

1.4 未按照规定进行持仓预警报告及按照交易止损机制交易，引致敞口风险的增加甚至发生损失。

1.5 交易指令未能准确、及时、有序地记录和传递，导致丧失交易机会或发生交易损失。

1.6 未按照风险分散原则交易，导致交易风险增加甚至发生损失。

1.7 未按照规定程序进行期货保证金及纸货清算资金的收支，发生资金损失。

2 财务风险2.1 套期保值匹配错误，导致实货及运输成本失真。

2.2 未能真实、准确、及时、完整地进行保值业务及资金收支的会计核算，导致财务信息失真。

3 合规风险3.1 保值业务不符合股份公司内部规章制度的要求，造成损失。

3.2 未按照国家规定开展境内外期货套期保值业务，受到处罚。

3.3 期（纸）货交易不符合国际法规和国际惯例，造成损失。

三、业务流程步骤与控制点1 制定套期保值方案1.1 根据股份公司年度资源配置计划及成品油(含燃料油)进出口计划，中国国际石油化工联合有限责任公司（简称联合石化）拟定年度原(料)油、成品油套期保值计划，按规定权限审批后下达。

1.2 联合石化根据经审批的年度套期保值计划和期（纸）货市场情况，制定套期保值短期实施方案，按规定权限审批后组织实施。

11.1信息系统管理业务内部控制矩阵11.1信息系统管理业务流程①②一、业务目标1 经营目标1.1 满足生产经营管理业务需求，提高管理水平、技术水平和市场应变能力，提高核心竞争力。

1.2 达到系统建设预期目标，系统运行安全、稳定，出现系统故障时能够及时恢复，系统具有扩展性、集成性。

2 合规目标2.1 遵守保护知识产权的有关法律法规，使用合法软件。

2.2 信息技术控制符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求。

二、业务风险1 经营风险1.1 信息化管理体系不完善，信息管理部门职责不落实，导致信息化工作受损。

1.2 信息系统建设项目不符合股份公司经营战略目标，导致盲目建设、投资低效。

①本流程适用于列入股份公司固定资产投资和科技开发项目计划的信息系统建设、运行和维护，有关科技开发项目的立项和经费管理按《3.3科技开发费管理业务流程》控制。

②信息系统业务,根据其特点执行《11.1信息系统管理业务流程》,但应参见《6.1资本支出业务流程》。

1.3 信息安全规划不当，风险评估缺失，信息安全教育不足，员工安全意识薄弱，导致信息系统风险。

1.4 技术方案不合理，业务流程不规范，系统功能不健全，导致系统不能满足业务需求。

1.5 基础数据不完整、不准确、不真实，导致系统无法正常投运或计算出错。

1.6 项目监管不力，系统建设延误，导致系统不能按期投用或资金流失。

1.7 系统运行不稳定，数据失真、丢失，导致日常业务工作无法正常进行。

1.8 系统存在网络故障、病毒侵袭等安全问题，导致非法入侵及泄密等，或系统灾难无法及时恢复。

1.9 系统运维不落实，功能陈旧，导致不能满足业务需求。

1.10 未经审核，变更信息技术合同标准文本中涉及的权利、义务等条款，造成损失。

2 财务风险2.1 交易不真实，未按约定付款，影响财务报告。

3 合规风险3.1 侵犯知识产权，导致诉讼及股份公司声誉受到损害。

3.2 信息技术控制不符合国家法律、法规、股份公司内部规章制度及上市地证券监管机构有关要求,造成损失。

13.1安全环保管理业务内部控制矩阵13.1安全环保业务流程一、业务目标1 经营目标1.1 全面贯彻落实“安全第一、预防为主、全员动手、综合治理，改善环境、保护健康、科学管理、持续发展”方针，最大限度地不发生事故，不损害人身健康，不破坏环境，促进股份公司全面、协调、可持续发展。

1.2 落实安全环保责任制，深化HSE管理，加强员工安全教育与培训，强化“以人为本”，关心爱护员工安全与健康，预防职业病危害，提高员工自我保护能力，提升安全环保管理水平和业绩。

1.3 增加安全环保成本必要投入，有效治理安全环保隐患，严格新、改、扩建项目“三同时”监督管理，从源头上消除隐患和减少污染物产生量，实现本质安全和稳定达标排放；提高环境保护意识，全面推行清洁生产，积极开展“三废”综合利用工作，落实节水减排措施，创建环境友好型、节水型企业。

1.4 严格安保基金管理和使用，提高安保基金防范风险的能力，增强投资者对财产安全的信心。

1.5 保证安全、环保隐患治理资金投入及时、规范、有效。

2 财务目标2.1 保证安保基金核算规范，财务信息真实、准确、完整。

3 合规目标3.1 生产经营活动符合国家、地方有关法律、法规和股份公司内部规章制度。

二、业务风险1 经营风险1.1 安全环保责任制不落实、安全环保考核流于形式；安全环保教育培训不到位，员工安全环保意识淡薄；“三违”行为等导致重特大事故发生，酿成重大人员伤亡和财产损失，引发严重环境污染和生态破坏事故，造成不良社会影响。

1.2 安全环保投入不到位，新、改、扩建项目“三同时”监督管理不到位、不及时，产生新的安全环保隐患。

1.3 安全环保隐患治理项目不落实，分级管理不明确，配套资金不到位，导致安全环保隐患治理不及时，威胁员工人身安全和国家财产安全。

1.4 外排污染物不达标，污染环境、破坏生态；“三废”综合利用率低，外排污染物量大，加大生产成本，影响企业正常生产经营和可持续发展。

1.5 职业卫生防护措施不落实，可能导致职业病发生。