第一章 总则
第一条 为提高公司内部控制管理水平，促进公司合规、稳健经营，依据《保险法》、《企业内部控制基本规范》及配套指引、《保险公司内部控制基本准则》等法律法规和监管规定，结合公司实际，制定本办法。
第二条 本办法所称内部控制，指公司各层级的机构和人员依据各自的职责，采取适当措施，合理防范和有效控制经营管理中的各种风险，防止公司经营偏离发展战略和经营目标的机制和过程。
第三条 本办法所称内部控制管理指公司为实现内部控制目标而进行的内部控制计划、组织、领导、控制活动，覆盖内控建设、内控评估、缺陷整改等方面的内容。
第四条 公司内部控制管理的目标，包括：
（一）行为合规性目标。保证公司的经营管理行为遵守法律法规、监管规定、行业规范、公司内部管理制度和诚信准则；
（二）资产安全性目标。保证公司资产安全可靠，防止公司资产被非法使用、处置和侵占；
（三）信息真实性目标。保证公司财务报告、偿付能力报告等业务、财务及管理信息的真实、准确、完整；
（四）经营有效性目标。增强公司决策执行力，提高管理效率，改善经营效益；
（五）战略保障性目标。保障公司实现发展战略，促进稳健经营和可持续发展，保护股东、被保险人及其他利益相关者的合法权益。
第五条 公司内部控制管理应遵循的基本原则，包括：
（一）全面性原则。公司应建立全面、系统、规范化的内部控制体系，覆盖所有业务和事项，贯穿经营管理全过程。
（二）重要性原则。公司应在全面管理的基础上，对重要业务、重要事项和高风险领域实施重点控制。
（三）制衡性原则。公司应在组织架构、岗位设置、权责分配、业务流程等方面，通过适当的职责分离、授权和层级审批等机制，形成合理制约和有效监督的内部控制机制，确保任何人不得拥有不受内部控制约束的权力，任何人未经授权不得更改内部控制程序。
（四）有效性原则。公司应建设与其经营规模、业务范围、竞争状况和风险水平等相匹配的内部控制机制，并随着情况的变化及时加以调整，确保内部控制措施满足管理需求，风险得到有效防范。
（五）成本效益原则。公司应权衡内部控制实施成本与预期效益，以适当的成本实现有效控制。
第六条 公司内部控制管理的整体要求是有效识别风险，建立并完善内部控制管理体系，公司内部控制管理的各项要求应与公司业务经营和管理流程紧密结合。
第七条 本办法是公司内部控制管理工作的纲领性制度，与《内部控制实务手册》、《内部控制评价手册》等共同构成公司内部控制管理的制度体系。
第八条 本制度适用于寿险公司及其控股子公司。本制度所称控股子公司（以下简称“子公司”）是指寿险公司的全资子公司和持有50%以上股份或出资额的控股子公司，以及通过协议或其他安排能够对子公司股东（大）会决议产生重大影响的子公司。
第二章 基本职责
第九条 公司应建立由董事会负最终责任、管理层直接领导、业务单位负首要责任、内控管理职能部门统筹协调、审计职能部门检查监督的分工明确、路线清晰、相互协作、高效执行的内部控制组织体系。
第十条 董事会负责内部控制的建立健全和有效实施，对公司重大内控缺陷进行认定，对公司年度内部控制评价报告负责。公司内部控制组织架构设置、主要内控政策、重大内控缺陷和风险事件的处置应提交董事会讨论和审议。
董事会下设立的审计委员会负责审查公司内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调外部审计师内部控制审计及其他相关事宜。
第十一条 监事会负责监督董事会、管理层履行内部控制职责，对其疏于履行内部控制职能的行为进行质询。对董事及高管人员违反内部控制要求的行为，应予以纠正并根据规定的程序实施问责。
第十二条 公司执委会负责建立健全公司内部组织架构，完善内部控制制度，组织领导内部控制体系的运行，为内部控制提供必要的人力、财力、物力保证，确保内部控制措施得到有效设计和执行。
公司执委会下设的风险管理委员会负责对公司内控建设、内控评估、缺陷整改等日常工作进行审议和决策。
第十三条 内部控制管理部门负责公司内部控制的统筹管理，组织推动总公司各职能部门、各级机构建立并执行内部控制，实时监控、定期评估及排查、整改重要内控风险，具体包括：制定公司内部控制管理计划，组织开展内部控制建设、内部控制评估、内控风险排查、缺陷整改工作，必要情况下对公司内部相关单位进行内控检查，配合外部审计师的内控审计工作等。
第十四条 总公司各部门是其所辖业务条线内部控制设计和执行的责任单位，对所辖业务条线内部控制的整体有效性负责，具体包括：建立并持续完善所辖条线的内控制度、操作流程，明确本条线各层级、各岗位的内部控制职责，履行本部门的内部控制要求，主动或在内控管理部门的指导下进行内部控制建设、内部控制评估、内控风险排查、缺陷整改工作，监督所辖条线相关内部控制措施在各层级的落实情况，接受并配合公司相关部门的监督。
第十五条 内部审计部门对内部控制履行事后检查监督职能。内部审计部门定期组织对公司内部控制的健全性、合理性和有效性进行审计，审计范围应覆盖公司所有主要风险点。审计结果应向内部控制管理部门反馈，确保内控缺陷及时整改。
第十六条 各级机构是其所辖地域范围内的内部控制管理的责任单位，对其所辖地域范围内的内部控制整体有效性负责，具体包括贯彻落实总公司各项规章制度、流程规则，因地制宜地采取措施提高所辖机构的内部控制依据有效性，主动或在内控管理职能部门的领导下进行内部控制建设、内部控制评估、内控风险排查、缺陷整改工作，监督下辖机构内部控制措施的落实情况，接受并配合公司相关部门的监督。
分公司风险管理部门负责本分公司范围内的内部控制的统筹管理工作，分公司其它部门、各级机构应予以支持和配合。
第十七条 各子公司负责全面管理本单位范围内的内部控制建设、执行、评估、整改等工作，对本单位内部控制的整体有效性承担直接责任。各子公司应接受总公司内部控制管理部门的管理，配合总公司开展年度内控评价等相关工作，向内部控制管理部门定期或不定期报告本单位内部控制状况。
第十八条 公司建立内部控制实施的激励约束机制，将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系，促进内部控制的有效实施。
第三章 内部控制体系
第十九条 公司根据《企业内部控制基本规范》从内部环境、风险评估、控制活动、信息与沟通、内部监督五方面构建公司内部控制体系。
第一节 内部环境
第二十条 内部环境是公司建立与实施内部控制的基础，包括公司治理、组织架构、内控制度、内部审计、人力资源政策、企业文化和教育培训等方面。
第二十一条 公司根据国家有关法律法规和企业章程，建立涵盖股东大会、董事会、监事会和管理层的规范公司治理结构及相应的议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。
第二十二条 公司结合业务特点和内部控制要求设置内部机构，制定明确的制度和流程，将权利与责任落实到各责任单位。
第二十三条 总公司各部门负责编制本条线内部管理手册，总公司内控管理职能部门在各部门内部管理手册的基础上定期更新《内部控制实务手册》，使全体员工掌握内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使权限。
第二十四条 公司加强内部审计工作，保证内部审计部门的架构设置、人员配备和工作的独立性。内部审计部门负责制定合理的内部审计计划，对内部控制的有效性进行监督检查。对监督检查中发现的内部控制缺陷，内部审计部门应按照公司内部审计工作程序进行报告，并定期与内控管理部门沟通；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。
第二十五条 公司制定和实施有利于企业可持续发展的人力资源政策，并将职业道德修养和专业胜任能力作为选拔和聘用员工的重要标准，切实加强员工培训和继续教育，不断提升员工素质。人力资源政策应包括下列内容：
（一）员工的聘用、培训、辞退与离职管理。
（二）员工的薪酬、考核、晋升与奖惩管理。
（三）关键岗位员工的强制休假制度和定期岗位轮换制度。
（四）掌握公司重要商业秘密的员工离岗的限制性规定。
（五）有关人力资源管理的其他政策。
第二十六条 公司加强文化建设，建立员工行为守则，培育积极向上的价值观和社会责任感，倡导诚实守信、爱岗敬业、开拓创新和团队协作精神，强化风险意识。公司董事、监事、执委会委员及其他高级管理人员应在企业文化建设中发挥模范作用。
第二十七条 公司加强依法合规教育，增强各层级人员的依法合规意识，将依法合规贯彻落实到各项经营活动的决策、执行和监督。
第二节 风险评估
第二十八条 风险评估是指各风险责任单位对影响公司各类目标实现的事项或因素予以识别、鉴定风险的性质并查找出风险原因，对影响目标实现的事项或因素进行评估并制定风险应对策略的过程。
第二十九条 各级单位根据其工作职责，全面、系统、持续地收集其职能相关的风险信息，及时进行风险识别和风险分析，调整并落实风险应对策略。
第三十条 开展风险评估，应准确识别与实现控制目标相关的内部风险和外部风险，并结合全面风险管理要求确定相应的风险承受度。
第三十一条 识别内部风险应关注下列因素：
（一）董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素；
（二）组织机构、经营方式、资产管理、业务流程等管理因素；
（三）研究开发、技术投入、信息技术运用等自主创新因素；
（四）财务状况、经营成果、现金流量等财务因素；
（五）营运安全、员工健康、环境保护等安全环保因素；
（六）其他有关内部风险因素。
第三十二条 识别外部风险应关注下列因素：
（一）经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；
（二）法律法规、监管要求等法律因素；
（三）安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；
（四）技术进步、工艺改进等科学技术因素；
（五）自然灾害、环境状况等自然环境因素；
（六）其他有关外部风险因素。
第三十三条 开展风险评估，可采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度等维度，对识别的风险进行分析和排序，确定关注重点和优先控制的风险，确定风险应对策略。可采用的风险应对策略包括风险规避、风险降低、风险分担和风险承受等。
第三十四条 公司提倡运用信息技术手段，加强对重点风险的监测工作，包括但不限于重点风险指标监测、可疑业务监测等，内控管理、风险管理部门应做好组织落实工作，信息技术等相关部门应予以必要的资源支持。
第三节 控制活动
第三十五条 控制活动指将风险控制在可承受度之内、确保公司内部控制目标得以实现的方法和手段，是实施内部控制的具体方式，是落实预防为主内控理念的主要抓手。各级单位需高度重视控制活动，在经营管理的各重要环节梳理关键风险点，合理设计和执行控制活动，对本单位职责范围内的业务和事项实施有效控制。
第三十六条 根据控制活动的作用划分，控制活动可分为预防性控制和检查性控制。预防性控制是指为防止错误和非法行为的发生，或尽量减少其发生机会所进行的控制。检查性控制是指为及时查明已发生的错误和非法行为，或增强发现错误和非法行为机会的能力进行的控制。
第三十七条 根据控制活动的手段划分，控制活动可分为人工控制和自动控制。人工控制是以人工方式执行的控制，人工控制可以使用来自计算机系统生成的信息。自动控制是由信息系统自动执行的控制，一般与业务或其他财务数据的生成、记录、处理和报告等流程相关，用于实现重大业务流程的相关控制目标。
第三十八条 根据控制活动的性质划分，控制活动可分为不相容岗位分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。
第三十九条 不相容岗位分离控制要求全面系统地分析、梳理业务流程中所涉及的不相容岗位，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。
公司应开展关键岗位管理工作，明确关键岗位的行为准则、不相容岗位分离控制要求、轮岗、竞业限制等方面的管控要求。
第四十条 授权审批控制要求根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。公司各级管理人员应在授权范围内行使职权和承担责任。公司对于重大的业务和事项，应实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。
公司应编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。常规授权是指公司在日常经营管理活动中按照既定的职责和程序进行的授权。特别授权是指公司在特殊情况、特定条件下进行的授权。
第四十一条 会计系统控制要求严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。公司应依法设置会计管理部门，设置总会计师，配备会计从业人员。从事会计工作的人员，必须取得国家法律规定的资格证书。
第四十二条 财产保护控制要求建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。公司应严格限制未经授权的人员接触和处置财产。
第四十三条 预算控制要求实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。
第四十四条 运营分析控制要求建立运营情况分析机制，综合运用销售、运营、财务、资金运用、精算、信息技术、风险控制等方面的信息，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。
第四十五条 绩效考评控制要求建立和实施绩效考评制度，科学设置考核指标体系，对公司内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。
第四节 信息与沟通
第四十六条 信息与沟通是指收集、传递、整理与内部控制相关信息，并使这些信息以适当的方式在公司有关单位和层级之间及时传递、有效沟通和正确应用的具体活动过程，是内部控制有效运行的重要保证。
第四十七条 公司建立信息与沟通机制，明确内部控制相关信息的收集、处理和传递程序，对收集的各种内外部信息进行合理筛选、核对、整合，确保信息及时、有效沟通。
第四十八条 公司应提高信息透明度，在合法合规、保护公司商业机密和客户信息的前提下，促进内部控制相关信息在公司内部各管理层级、责任单位、业务环节之间的有效沟通，及时解决信息与沟通过程中发现的问题。重要内控信息应及时传递给公司董事、监事和高级管理人员。
第四十九条 在外部沟通方面，公司根据中国证监会、中国保监会、上海证券交易所、香港联合交易所相关监管规则及公司信息披露相关规定，与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面进行合理的沟通和反馈。
第五十条 公司提倡利用信息技术促进信息的集成与共享，充分发挥信息技术在信息与沟通中的作用；同时，加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。
第五十一条 公司建立反舞弊机制，坚持惩防并举、重在预防的原则，明确反舞弊工作的重点领域、关键环节和有关机构在反舞弊工作中的职责权限，规范舞弊案件的举报、调查、处理、报告和补救程序。
第五十二条 对于以下情形，应加强反舞弊调查：
（一）未经授权或者采取其他不法方式侵占、挪用公司资产，牟取不当利益。
（二）在财务会计报告和信息披露等方面存在的虚假记载、误导性陈述或者重大遗漏等。
（三）董事、监事、高级管理人员滥用职权。
（四）相关机构或人员串通舞弊。
第五十三条 公司建立举报投诉制度和举报人保护制度，设置举报专线，明确举报投诉处理程序、办理时限和办结要求，确保举报、投诉成为企业有效掌握信息的重要途径。举报投诉制度和举报人保护制度应及时传达至全体员工。
第五节 内部监督
第五十四条 内部监督是通过内控评估、内部审计、纪检监察、巡视及其他检查手段对内部控制情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷并及时加以改进的机制。
第五十五条 内部监督包括日常监督和专项监督。日常监督是指公司对建立与实施内部控制的情况进行常规、持续的监督检查；专项监督是指在发展战略、组织结构、经营活动、业务流程、关键岗位员工等发生较大调整或变化的情况下，对内部控制的一个或多个领域进行有针对性的监督检查。专项监督的范围和频率应根据风险评估结果以及日常监督的有效性等予以确定。
第五十六条 公司定期对内部控制的有效性进行评估，通过持续性监督检查和专项监督检查，及时发现和制止重要风险领域的内控失效和缺陷。
第五十七条 公司制定内部控制缺陷认定标准，对监督过程中发现的内部控制缺陷，应分析缺陷的性质和产生的原因，提出整改方案，采取适当的形式及时向董事会、监事会或者经理层报告。
第五十八条 根据形成原因，内部控制缺陷分为设计缺陷和执行缺陷。
设计缺陷是指缺少为实现控制目标所必需的控制措施，或现存控制设计不适当，即使正常运行也难以实现控制目标。
执行缺陷是指设计有效的控制措施由于执行不当而形成的缺陷，包括合理恰当的内部控制由不恰当的人执行、未按设计的方式执行、运行的时间或频率不当、没有得到一贯有效执行等。
第五十九条 根据严重程度，内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷。对于重大以及重要缺陷，相关部门要及时向执委会风险管理委员会、董事会审计委员会汇报。
重大缺陷是指一个或多个控制缺陷的组合，可能导致公司严重偏离控制目标。其中财务报告内部控制重大缺陷是指，可能导致不能及时防止或发现并纠正财务报告实质性错报、或导致潜在错报金额大于重要性水平的一个或多个内部控制缺陷的组合。
重要缺陷是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，不会严重危及内部控制的整体有效性，但仍有可能导致公司偏离控制目标，需引起董事会和管理层的充分关注。
一般缺陷是指内部控制中存在的、除重大缺陷和重要缺陷之外的其它缺陷。
第六十条 公司根据中国证监会、中国保监会、上海证券交易所、香港联合交易所的相关规定以及公司自身经营的相关要求，确定内部控制自我评价的方式、范围、程序和频率，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。
第六十一条 公司制定内部问责机制，对内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。
第四章 内部控制管理机制
第六十二条 公司内控管理职能部门应在每年年初根据公司战略及年度内部控制目标编制公司年度内部控制工作计划。年度内部控制工作的内容应包括内部控制建设、内部控制评价、缺陷整改等内容。
第六十三条 内部控制建设包括但不限于重点领域的内部控制建设和内控管理制度建设。
第六十四条 重点领域的内部控制建设指的是对风险评估结果为高风险的业务、工作事项、作业环节或岗位等领域开展的专项内控建设，包括建立健全管理制度、优化业务流程、完善系统功能、强化执行和监督等。
原则上，重点领域的内部控制建设由总公司责任部门牵头落实，其它相关单位配合；特殊情况下，经董事会、监事会、公司首席执行官或公司首席风险官委派，可由内控管理职能部门牵头落实。
第六十五条 内控管理制度建设是构建并持续优化公司内部控制制度体系。内部控制制度体系以本政策为纲领，以《内部控制实务手册》、《内部控制评价手册》为核心制度，以其他专项内控管理制度为补充。内控管理制度建设由公司内控管理职能部门统筹负责。
第六十六条 《内部控制实务手册》是公司各业务条线内控管理要求的集中体现。为确保时效性，《内部控制实务手册》至少每两年更新一次，由内控管理职能部门组织总公司各部门具体执行。
第六十七条 内部控制自我评价是公司所有部门、业务条线充分暴露问题，分析原因，对问题进行整改，促进控制措施改进的过程。
公司每年至少开展一次内部控制自我评价工作，内部控制自我评价工作应涵盖公司所有部门及业务条线，同时重点关注重点业务、重大事项以及高风险领域。
内部控制自我评价工作由公司内控管理职能部门组织开展，评价范围的各单位需根据评价工作方案及《内部控制评价手册》积极组织开展辖内自评工作，认真复核评价成果，对评价发现的内控缺陷进行评级，客观撰写本单位内控自我评估报告。
第六十八条 缺陷整改是防范风险、持续提升内控管理水平的有效手段。各级单位均应主动开展缺陷整改工作，明确整改责任和整改期限、制定整改计划，切实解决各类内外部检查发现的问题。
公司内控管理职能部门负责对各级单位缺陷整改工作的有效性进行监督和评价。缺陷整改结果经公司执委会风险管理委员会审议后纳入相关单位和人员的考核。
第六十九条 各级单位应妥善保存内部控制建立、实施、评价、整改过程中的相关记录或者资料，确保内部控制相关工作的可验证、可追溯、可检查。
第五章 附则
第七十条 本办法由公司内部控制管理部门负责解释。
第七十一条 本办法自发布之日起执行。
联系客服
