江苏银行股份有限公司
内部控制评价管理办法
第一章总则
第一条为加强江苏银行股份有限公司（以下简称“本行”）公司治理，促进各级分支机构、职能部门以及纳入本行并表管理的机构进一步建立健全内部控制体系，保证各项业务管理活动合规、稳健运行，规范和加强内部控制评价工作，根据《商业银行内部控制指引》《企业内部控制基本规范》及其配套指引等制度规定，制定本办法。
第二条本办法所称内部控制评价（以下简称“内控评价”），是指总行、分支机构及子公司采用调查、测试、分析、评估等方法，对内部控制体系建设、实施和运行结果进行全面评价，形成评价结论，出具评价报告，认定内部控制管理水平的过程。
第三条内控评价应当遵循以下原则：
（一)全面性原则。评价工作应包括内部控制的设计与运行,涵盖本行所有机构、部门和岗位的各项业务活动及管理事项。
（二)一致性原则。评价的准则、范围、程序和方法等应保持一致，以确保评价过程的准确及评价结果的客观和可比。
（三）重要性原则。评价工作应在全面评价的基础上，以风险识别和评估为基础，关注重要业务机构、重大业务
事项和高风险领域。
（四）客观性原则。评价工作应当以事实为依据，准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
第四条内控评价频率应根据业务经营需要和风险状况确定，至少每年开展一次。出现下列情况之一的，总行或相关分行还应及时进行专项评价：
（一）业务操作流程发生重大变化；
（二）发生重大风险事件；
（三）发生重大责任事故；
（四）其他有重大实质影响的事项发生。
第五条总行可根据需要委托外部中介机构实施内控评价，未经总行批准，分行不得委托中介机构实施内控评价。
第六条内控评价期间为评价年度 1月 1日至 12月 31日，内控评价报告以 12月 31日为基准日。
第七条本办法适用于本行各级机构及下设各附属机构。
第二章组织体系与职责权限
第八条董事会职责包括：审定全行内控评价管理制度及工作体系；对内控评价中识别出的重大缺陷进行最终认定；审议批准内控评价报告，对报告的真实性负责。
董事会审计委员会职责包括：对经营层提交的内控评
价报告和重大内控缺陷审议后提交董事会。
第九条内部控制与风险管理委员会作为全行内控评价工作的审议机构，职责包括：审议全行内控评价管理制度及工作体系；对内控评价中识别出的一般缺陷和重要缺陷进行最终认定，对重大缺陷审议后提请董事会最终认定；
对年度内控评价报告进行审议；审定其他内控评价工作重要事项。
第十条总行内审部牵头开展全行内控评价工作，职责包括：牵头组织建立全行内控评价体系，制定内控评价管理制度；牵头内控评价相关系统的开发建设及培训推广；
联合相关部门，制定年度内控评价方案；组织各部门建立内控评价指标体系，制定本条线的内控评价指标及评分标准；组织总行部门对分行进行初评，在初评的基础上开展复评；指导各分行开展对支行的内控评价；组织相关部门评议、认定内控评价中识别的内控缺陷；提交全行年度内控评价报告；督促相关部门牵头对内控评价中识别的内控缺陷进行整改，同时牵头开展本条线内控缺陷的整改；组织开展对总行部门的内控评价工作；牵头配合外部审计机构开展对本行的内部控制审计工作；承担系统管理、统计分析、总结、协调联络等其他内控评价日常管理工作。
第十一条总行其他部门职责包括：根据部门职责开展日常监督检查，为内控评价提供基础信息；制定本条线的内控评价指标及评分标准，并开展对分行的初评工作；提供有关信息，配合内审部完成对分行的复评工作；接受并
配合内审部完成对本部门的内控评价工作；牵头组织本条线内控缺陷的整改；参与内控评价的其他工作。
第十二条各分行及子公司作为总行对分行及子公司内控评价的对象，职责包括：支持、配合总行的内控评价工作，接受评价人员的询问，协助评价人员进行查证，及时提供真实、完整的文件和资料；针对总行认定的内控缺陷，及时落实整改，强化内控管理。
各分行作为分行对支行内控评价的实施主体、子公司作为对本公司下设机构内控评价的实施主体，应参照本办法出台实施细则，明确组织体系及职责分工，细化工作程序及方法，做好对下级机构的内控评价工作，并在规定时间内向总行报送评价结果。
第三章评价内容
第十三条内控评价内容围绕内部环境、风险评估、控制活动、信息沟通、内部监督五要素，结合对主要业务关键控制点的管理要求确定。
第十四条内部环境要素一般包括职业操守及道德价值观、管理理念与经营风格、组织结构、员工的胜任能力、责任分配与授权、人力资源政策与执行等子要素。重点评价下列内容：
（一）公司治理程序的健全性和有效性；
（二）组织结构和职责划分的合理性；
（三）企业文化对内控及合规意识的重视程度；
（四）经营管理活动的复杂性；
（五）管理权限设置的合理性；
（六）管理行为守则的健全性和有效性；
（七）管理层对逾越既定控制程序的态度；
（八）被审计单位各层级人员的知识与技能；
（九）重要岗位人员的权责相称程度及其胜任能力；
（十）员工聘用程序及培训制度；
（十一）员工绩效考核与激励机制。
第十五条风险评估要素一般包括设定目标、管理风险、应变能力等子要素。重点评价下列内容：
（一）可能引发风险的内外部因素；
（二）风险发生的可能性和预计带来的后果；
（三）对抗风险的能力；
（四）风险管理的具体政策、措施、方法及效果。
第十六条控制活动要素一般包括授权与审批、职责分工、会计记录控制、实物控制、独立检查等控制类型，每一控制类型都包括政策和程序等子要素。重点评价下列内容：
（一）控制措施建立的适当性；
（二）控制措施化解已识别风险的程度；
（三）控制措施对实现控制目标的作用；
（四）控制措施执行的有效性。
第十七条信息沟通要素一般包括信息获取、信息处理、信息传递、信息系统等子要素。重点评价下列内容：
（一）获取各类经营管理信息的能力；
（二）信息处理的及时性和适当性；
（三）信息传递渠道的便捷与畅通程度；
（四）管理信息系统的安全可靠性。
第十八条内部监督要素一般包括持续监督、个别评估、缺陷报告等子要素。重点评价下列内容：
（一）定期评估内部控制缺陷的情况；
（二）获取和报告内部控制缺陷的机制；
（三）内部控制缺陷报告的客观公正性和规范性；
（四）针对内部控制缺陷报告采取后续行动的适当性和有效性；
（五）纠正内部控制缺陷的政策和程序的合理性。
第四章评价程序
第十九条内控评价程序包括评价准备、过程评价、结果评价、校正评价、缺陷识别及认定、等级认定、开展总行部门内控评价、编制评价报告、影响因素调整、缺陷整改等步骤。在初评和复评的过程中同步进行内控缺陷的识别与认定。
第二十条评价准备。总行内审部根据整体控制目标和风险评估结果，制定本年度的内控评价工作方案，明确评价目的、组织形式、评价思路、进度安排、补充现场测试的重点业务领域及抽样要求等。
第二十一条过程评价。过程评价是对内控五要素项下
各条线涉及的流程控制状况进行的评价，具体分为初评和复评。
过程评价初评由总行各部门负责开展，具体分为过程控制评价和检查发现评价。过程控制评价是由各部门以非现场方式收集数据信息，对本条线部分关键内控评价指标评分的过程；检查发现评价是由各部门依据本条线日常现场检查发现的问题情况，在过程控制评价的基础上进一步评分的过程。
过程评价复评是由总行内审部对过程评价初评结果进行复核及汇总，并在此基础上依据日常审计及外部检查发现问题情况进一步评分的过程。在过程评价复评中，内审部可根据需要补充开展内控评价专项检查作为补充评价依据。
第二十二条结果评价。结果评价是根据各业务领域的关键风险指标水平对内部控制结果进行的评价，具体分为初评和复评。
结果评价初评是由评价指标涉及的总行部门以非现场方式收集数据信息，对本条线的结果类关键风险指标进行评分的过程。
结果评价复评是由总行内审部对结果评价初评结果进行复核及汇总的过程。
第二十三条校正评价。校正评价是为全面、客观地反映被评价机构内部控制的真实情况，在过程评价和结果评价的基础上，根据重要控制风险事项对评价结果进行调整
的过程。校正评价由总行内审部负责开展。
第二十四条缺陷识别及认定。在初评及复评工作中发现的问题，按照内部控制缺陷认定标准（详见附件），由总行内审部协同相关部门从财务报告内部控制缺陷和非财务报告内部控制缺陷等方面进行初步识别，并根据缺陷严重程度划分为一般缺陷、重要缺陷和重大缺陷。
第二十五条等级认定。内部控制等级从高到低分为一级、二级、三级、四级和五级，每一级中根据分数高低分为二档。一级一档为最高，五级二档为最低。具体标准如下：
（一）一级。定性标准：强健级。有健全的内部控制，在各个环节均能认真执行内控措施，能有效地发现、管理和控制风险，业务记录真实、准确、及时、完整。
（二）二级。定性标准：满意级。内部控制基本健全，重要的内控措施能够发挥作用，以往提出的改进建议已被管理层采纳，业务记录差错少或仅有一般差错，这种缺陷在正常的业务过程中能够得到纠正，对安全稳健经营没有重大影响。
（三）三级。定性标准：关注级。建立了大部分的内部控制，内部控制在某些重要的方面，特别是在不遵循书面政策和程序，以及业务程序没有受到连续的控制等方面存在缺陷，业务记录错误多，存在少量重大风险，如果管理层不采取纠正措施，因内部控制缺陷导致的风险可能会对稳健经营带来严重影响。
（四）四级。定性标准：薄弱级。缺乏重要的内部控制或重要的内部控制无效，内部控制存在严重缺陷，不能有效防范和控制重大风险，业务经营安全性差，存在一些重大风险，如果不及时纠正，可能会导致管理失控、管理信息系统失真或经营损失，可能会对机构的安全稳健经营产生严重影响。
（五）五级。定性标准：失控级。内部控制严重缺失或明显无效，存在严重的管理漏洞，业务记录可信度极低，面临严重的经营风险，内部控制缺陷涉及面广，如果不采取紧急有效的措施，会危及机构的安全与稳健经营。
第二十六条开展总行部门内控评价。在对分行的内控评价工作结束后，总行内审部应组织开展对总行各部门的内控评价工作。主要分为自评和复评两个阶段。
自评工作由总行各部门开展。总行各部门根据本部门内部控制建设情况，提供年度内部控制自评价材料，主要包括本部门内部控制体系建设与内控管理成效、条线自查自纠成果、内部控制不足、内控管理改进计划等。
复评工作由总行内审部开展。复评依据为各部门内部控制自评价材料、对分行内部控制评价中发现的各条线内部控制缺陷、内外部检查发现问题、员工违规事项、部门积分事项、被总行通报的内控缺陷事项、监管处罚事项以及其他重要内部控制风险事项等。
第二十七条编制评价报告。总行内审部应根据对各分行、子公司及总行各部门的评价结果，综合研判集团内部
控制有效性，编制集团年度内部控制评价报告。
第二十八条影响因素调整。各机构应关注自内控评价报告基准日至内控评价报告发出日是否发生影响内部控制有效性的因素，并及时、客观、准确上报总行。总行内审部应根据其性质和影响程度对评价结论进行相应调整。
第二十九条缺陷整改。在内控评价工作结束后，总行内审部应根据最终认定的内控缺陷情况下发缺陷整改通知。被评价机构应按照整改要求，制定缺陷整改计划，明确整改措施、整改完成时间、整改责任人等，并在整改工作结束后向总行报送整改报告。
第五章评价标准及方法
第三十条评价标准以评价指标的形式体现，应客观反映被评价机构内部控制水平及其运行有效性。
第三十一条评价指标体系分为过程评价指标、结果评价指标和校正评价指标。计分标准为：
内控评价分值＝过程评价指标分值×权重＋结果评价指标分值×权重±校正评价指标分值。
第三十二条过程评价指标是对管理流程和业务流程两个层面的固有风险及控制活动进行评价的指标，重点关注为实现内部控制目标而采取的过程动作。具体分为过程控制指标和检查发现指标两类。计分标准为：
过程评价指标分值=过程控制指标分值-检查发现指标分值。
第三十三条过程控制指标是指通过日常监测或非现场经营数据分析即可直接评价的内部控制过程指标。
过程控制指标的评价内容、计分方式及分值权重由各部门协同内审部共同研究确定。
第三十四条检查发现指标是指需要通过现场审计及检查等方式获取评价依据的指标。该指标可引用评价年度内已实施的内外部审计及检查结果，并可根据需要补充开展内控专项检查。检查发现指标以问题词条体系为基础，通过对内外部审计、检查发现问题开展定量和定性分析后评分。
第三十五条结果评价指标是指通过日常监测或非现场经营数据分析即可直接评价的内部控制结果指标。结果评价指标可涵盖资产管理质量、经营效益情况等内容。
结果评价指标的评价内容、计分方式及分值权重由各部门协同内审部共同研究确定。
第三十六条校正评价指标是指将评价期间内的重要控制风险事项和内部控制突出事项折算为直接减分项或加分项，在过程评价及结果评价的基础上进行直接校正的指标。校正评价指标可涵盖外部监管评级、重大风险事项等内容。校正评价指标由内审部牵头制定。
第六章质量控制机制
第三十七条年度内控评价工作应以本制度为依据，制定年度评价工作方案，正式发文后实施。
第三十八条内控评价工作过程中应建立部门会商机制，评价指标及权重的确定、内部控制缺陷的初步识别均应由相关部门共同会商决定。
第三十九条内控评价过程中应形成工作底稿，记录内控评价工作信息。
第四十条内部控制评价工作组应建立评价质量交叉复核制度。各部门应对评价工作底稿进行严格审核，由部门主要负责人对评价结果签字确认后，提交至内审部。
第四十一条内审部应编制内控缺陷认定汇总表，对内控缺陷及其成因、表现形式和影响程度进行综合分析和全面复核。
第四十二条内控评价的有关文件资料、工作底稿和证明材料等应当形成档案，妥善保管，具体要求参照审计档案管理制度执行。
第七章评价结果运用
第四十三条内控评价结果可与被评价机构或部门的绩效考评和授权等挂钩，并作为其领导班子考评的重要依据。
第四十四条总、分行对所辖分支机构领导干部开展任期（离任）经济责任审计时，可利用内控评价的结果。
第四十五条根据内控评价结果，各单位可针对被评价机构或部门的内控缺陷及可能引发的风险进行提示和警告，要求其限期整改并落实问责。
第八章罚则
第四十六条对未落实本办法有关规定的相关部门（机构）、人员，视情节和影响按照《江苏银行员工违规失职行为追究办法》、《江苏银行内控违规积分管理办法》等制度进行处理。
第九章附则
第四十七条本办法由总行负责解释。
第四十八条各分行及子公司可根据本办法有关规定制订实施细则，报总行备案。
第四十九条本办法自发文之日起施行。原《江苏银行内部控制审计评价办法（2013修订）》（苏银发〔2013〕 331号）废止，其它文件中相关规定与本办法相抵触的，以本办法为准。