發(fā)文機關人力資源和社會保障部
發(fā)文日期2022年07月18日
時效性現(xiàn)行有效
發(fā)文字號LD/T05—2022
施行日期2022年08月01日
效力級別部門規(guī)范性文件
目 次
前言
1 范圍
2 規(guī)范性引用文件
3 術語和定義
4 基本原則
5 內(nèi)部控制組織
6 風險評估
7 內(nèi)部控制運行
8 內(nèi)部控制監(jiān)督檢查
附錄 A（資料性） 社會保險經(jīng)辦內(nèi)部控制自查工作流程圖
附錄 B（資料性） 社會保險經(jīng)辦內(nèi)部控制日常監(jiān)督檢查工作流程
附錄 C（資料性） 社會保險經(jīng)辦內(nèi)部控制專項監(jiān)督檢查工作流程
附錄 D（資料性） 社會保險經(jīng)辦內(nèi)部控制監(jiān)督檢查工作底稿
參考文獻
前 言
本文件按照GB/T1.1—2020《標準化工作導則 第1部分：標準化文件的結構和起草規(guī)則》的規(guī)定起草。
請注意本文件的某些內(nèi)容可能涉及專利。本文件的發(fā)布機構不承擔識別專利的責任。本文件由中華人民共和國人力資源和社會保障部社會保險事業(yè)管理中心提出。本文件由全國社會保險標準化技術委員會（SAC/TC474）歸口。本文件起草單位：人力資源和社會保障部社會保險事業(yè)管理中心、江西省社會保險管理中心、山西省社會保險局、遼寧省社會保險事業(yè)服務中心、黑龍江省社會保險事業(yè)中心、上海市社會保險事業(yè)管理中心、江蘇省社會保險基金管理中心、鄭州市社會保險中心、臺州市社會保險事業(yè)管理中心、淄博市社會保險事業(yè)中心、深圳市迪博企業(yè)風險管理技術有限公司。
本文件主要起草人：劉睦平、李石磊、湯立新、付建華、王微、孔憲江、邊瑞彪、洪艷、于占淮、王愛鳳、王濤、廖粲、張菁、周蒙、李華亮、王永超、王嫻靜、張冰靜、胡樹青、耿曉月、孫桂芳、胡為民。
社會保險經(jīng)辦內(nèi)部控制規(guī)范
1范圍
本文件提出了社會保險經(jīng)辦內(nèi)部控制的基本原則，規(guī)定了內(nèi)部控制組織、風險評估、內(nèi)部控制運行、內(nèi)部控制監(jiān)督檢查等內(nèi)容。
本文件適用于各級社會保險經(jīng)辦機構開展內(nèi)部控制工作。其他受委托開展社會保險經(jīng)辦的機構參照執(zhí)行。
2規(guī)范性引用文件
下列文件中的內(nèi)容通過文中的規(guī)范性引用而構成本文件必不可少的條款。其中，注日期的引用文件，僅該日期對應的版本適用于本文件；不注日期的引用文件，其最新版本（包括所有的修改單）適用于本文件。
GB/T18894 電子文件歸檔與電子檔案管理規(guī)范
GB/T20269 信息安全技術信息系統(tǒng)安全管理要求
GB/T20270 信息安全技術網(wǎng)絡基礎安全技術要求
GB/T20271 信息安全技術信息系統(tǒng)通用安全技術要求
GB/T31594 社會保險核心業(yè)務數(shù)據(jù)質(zhì)量規(guī)范
GB/T31599 社會保險業(yè)務檔案管理規(guī)范
GB/T32621 社會保險經(jīng)辦業(yè)務流程總則
GB/T35273 信息安全技術個人信息安全規(guī)范
3術語和定義
社會保險經(jīng)辦內(nèi)部控制 the internal control of social insurance administration
社會保險經(jīng)辦機構對單位內(nèi)部各部門、崗位和工作人員從事社會保險管理服務工作及業(yè)務進行規(guī)范、監(jiān)督和評價的行為。
4基本原則
4.1 合規(guī)性
應符合國家法律法規(guī)和社會保險政策。
4.2 全面性
應覆蓋經(jīng)辦社會保險業(yè)務的機構、部門、崗位和人員及所有經(jīng)辦事項和經(jīng)辦環(huán)節(jié)。
4.3 系統(tǒng)性
應對所有經(jīng)辦事項、經(jīng)辦環(huán)節(jié)實行系統(tǒng)性設防，所有部門、崗位和人員相互協(xié)同、相互聯(lián)動。
4.4 制衡性
各部門、各崗位、各經(jīng)辦事項和經(jīng)辦環(huán)節(jié)應權責分明、相互銜接、相互制約。
5內(nèi)部控制組織
5.1 內(nèi)部控制管理組織體系
應建立以內(nèi)部控制工作領導小組為決策層，業(yè)務、基金財務、信息系統(tǒng)管理、數(shù)據(jù)管理、檔案管理等部門為執(zhí)行層，稽核內(nèi)控部門為組織和監(jiān)督層的內(nèi)部控制管理組織體系。
5.2 內(nèi)部控制決策層
應成立內(nèi)部控制工作領導小組，由主要負責人任組長，所有部門負責人為成員，領導小組是內(nèi)部控制的決策層，主要職責包括但不限于：
a)負責本單位社會保險經(jīng)辦內(nèi)部控制體系的建立健全和有效實施；
b)對本單位開展的內(nèi)部控制監(jiān)督檢查和內(nèi)部控制評價情況進行審議；
c)對本單位內(nèi)部控制實施情況進行監(jiān)督。
5.3 內(nèi)部控制執(zhí)行層
內(nèi)部控制執(zhí)行層包括業(yè)務、基金財務、信息系統(tǒng)管理、數(shù)據(jù)管理、檔案管理等部門，承擔內(nèi)部控制的運行職責，包括但不限于：
a)開展崗位設置，明確人員職責、培訓、考核與獎懲；
b)負責本部門所有經(jīng)辦事項、經(jīng)辦環(huán)節(jié)的內(nèi)部控制工作；
c)開展本部門風險評估工作；
d)開展本部門內(nèi)部控制自查整改工作；
e)配合內(nèi)部控制監(jiān)督檢查部門開展內(nèi)部控制評價工作；
f)配合審計、監(jiān)督等部門完成檢查和整改等相關工作。
5.4 內(nèi)部控制組織和監(jiān)督層
應設立內(nèi)部控制監(jiān)督檢查部門，配備專職內(nèi)部控制監(jiān)督檢查人員，承擔社會保險經(jīng)辦內(nèi)部控制的監(jiān)督檢查職責，包括但不限于：
a)組織制定本單位社會保險經(jīng)辦內(nèi)部控制制度；
b)組織本單位內(nèi)部控制執(zhí)行部門開展風險評估工作；
c)開展本單位內(nèi)部控制日常監(jiān)督檢查工作；
d)開展本單位、本地區(qū)內(nèi)部控制專項監(jiān)督檢查工作；
e)組織開展本單位、本地區(qū)內(nèi)部控制評價工作。
6風險評估
6.1 風險識別
6.1.1 應根據(jù)經(jīng)辦管理的內(nèi)外部環(huán)境，通過對經(jīng)辦環(huán)節(jié)以及部門和崗位進行排查，發(fā)現(xiàn)和辨識風險點，列出風險清單。
6.1.2 風險識別的方法包括但不限于：
a)流程識別法:通過對經(jīng)辦環(huán)節(jié)進行識別分析，對各種風險因素進行查找、描述和分類；
b)數(shù)據(jù)識別法:根據(jù)數(shù)據(jù)項的特點和來源對數(shù)據(jù)項之間的關聯(lián)關系進行分析，對各種風險因素進行查找、描述和分類；
c)檢查識別法:通過對經(jīng)辦環(huán)節(jié)進行檢查，對不符合內(nèi)部控制要求的各種風險因素進行查找、描述和分類。
6.2 風險分析
6.2.1 應對照風險清單，根據(jù)風險發(fā)生的可能性和影響程度，采用定性評估、定量評估等方法進行分析，結合本單位、本地區(qū)實際確定風險等級和風險評估周期，形成風險評估報告。
6.2.2 每年應至少開展一次風險評估。外部環(huán)境、業(yè)務活動、管理要求等發(fā)生重大變化時進行重新評估。
6.3 風險應對
6.3.1 應按照信息系統(tǒng)集中層級，依據(jù)風險評估結果調(diào)整風險監(jiān)測預警規(guī)則，建立風險監(jiān)測預警模型，實行常態(tài)化風險監(jiān)測預警。
6.3.2 應根據(jù)風險評估結果，建立健全風險評估數(shù)據(jù)庫，采取積極有效措施，完善內(nèi)部控制制度。
7內(nèi)部控制運行
7.1 組織機構控制
7.1.1 應科學合理設置組織架構、工作崗位和工作職責，實行動態(tài)管理，對人崗不匹配的及時調(diào)整。
7.1.2 應建立并執(zhí)行符合內(nèi)部控制要求的組織機構控制制度，包括但不限于決策控制制度、崗位權限管理制度、輪崗制度、任職回避制度、重大問題風險報告制度、獎懲制度。
7.1.3 應做好內(nèi)部控制文化建設，開展誠信教育、合規(guī)教育、風險教育、廉政教育、警示教育等，引導工作人員樹立正確的價值觀。
7.2 業(yè)務經(jīng)辦控制
7.2.1 應建立并執(zhí)行符合內(nèi)部控制要求的業(yè)務經(jīng)辦制度，推進風險防控措施進規(guī)程，確保各業(yè)務環(huán)節(jié)獨立操作、相互銜接、相互制約。
7.2.2 業(yè)務經(jīng)辦流程應符合GB/T32621的要求。
7.2.3 應建立并執(zhí)行業(yè)務經(jīng)辦審核制度，嚴格授權管理，經(jīng)辦人員按其崗位權限開展工作。
7.2.4 應加強用戶賬戶管理，建立崗位權限管理臺賬，妥善保管，留存?zhèn)洳?。在人員輪崗、交流、長期休假、離職、退休等情況發(fā)生時，應及時調(diào)整和清理操作權限，進行賬戶凍結和注銷。
7.2.5 對關鍵信息修改、待遇調(diào)整、暫停（死亡）人員恢復正常發(fā)放、待遇補發(fā)、退費等高風險業(yè)務應嚴格實行初審、復核、審核三級管理，復核、審核人員應為正式在編人員。
7.2.6 辦理參保登記、個人賬戶管理、關系轉移接續(xù)、待遇核定、待遇支付等業(yè)務時，應對參保對象的參保、繳費、待遇狀態(tài)及待遇領取資格進行核驗。
7.2.7 辦理業(yè)務應依據(jù)充分、要件齊全、合乎邏輯，業(yè)務經(jīng)辦人員應按照相關規(guī)定及時歸集、整理、移交業(yè)務資料，歸檔資料應與業(yè)務日志保持一致。
7.2.8 紙質(zhì)檔案的建立、使用應符合GB/T31599的要求，電子文件的歸檔、使用應符合GB/T18894和GB/T31599的要求。
7.3 基金財務控制
7.3.1 應建立并執(zhí)行符合內(nèi)部控制要求的基金財務管理制度、會計操作規(guī)程及分工明確的崗位責任制、合理的職責分離制度。
7.3.2 基金財務收支審批應嚴格執(zhí)行分級授權，不得越崗代辦。資金收支的審批與具體業(yè)務辦理相分離，資金受理發(fā)放或待遇支付與審查相分離，信息數(shù)據(jù)處理與業(yè)務辦理及會計處理相分離。
7.3.3 會計與出納不得兼任，制單和審核不得兼任，出納不得兼任會計檔案保管和收入、支出、費用、債權債務賬目的登記工作。
7.3.4 應嚴格會計控制，實行社會保險基金“收支兩條線”管理，分賬核算、分別計息、?？顚Ｓ?，各險種基金不得相互擠占和調(diào)劑。
7.3.5 應建立并執(zhí)行財務與業(yè)務部門，財務與銀行、財政等部門定期對賬制度，通過社銀接口傳輸社會保險待遇發(fā)放數(shù)據(jù)。
7.3.6 應按照國家有關規(guī)定保管會計檔案，定期移交檔案管理部門。會計電算化所生成的電子數(shù)據(jù)及相應軟件資料、文件資料等應作為會計檔案進行管理。
7.4信息系統(tǒng)控制
7.4.1 社會保險信息系統(tǒng)數(shù)據(jù)庫指標設計應符合GB/T31594的要求，應設計可復核、可追溯的業(yè)務操作和系統(tǒng)維護日志。
7.4.2社會保險信息系統(tǒng)應與銀行、稅務等信息系統(tǒng)實時對接。
7.4.3應將所有經(jīng)辦事項、經(jīng)辦環(huán)節(jié)納入社會保險信息系統(tǒng)管理。
7.4.4社會保險信息系統(tǒng)應對不相容崗位及初審、復核、審核不相容權限進行互斥設置。
7.4.5 社會保險經(jīng)辦人員應使用電子社?？?、數(shù)字證書或生物識別技術登錄社會保險信息系統(tǒng)，同一經(jīng)辦人員不能同時擁有兩個及以上用戶賬號。
7.4.6 應根據(jù)安全保護等級，采取身份鑒別、訪問控制、加密存儲、加密傳輸?shù)确绞椒乐瓜到y(tǒng)非授權訪問和以非正常流程運行。
7.4.7社會保險信息系統(tǒng)研發(fā)人員與系統(tǒng)維護操作人員不應兼任，系統(tǒng)維護人員不得擁有任何業(yè)務權限。系統(tǒng)管理員、安全員、操作員應實現(xiàn)“三員”分立，系統(tǒng)管理員、安全員應由地市級機構以上正式在編人員任職，嚴禁一人兼任兩個及以上崗位。
7.4.8 應加強設備與網(wǎng)絡安全管理，落實設備定期維護和巡檢制度，社會保險信息系統(tǒng)與互聯(lián)網(wǎng)實現(xiàn)物理隔離，采用適當?shù)娜哂嗉夹g消除單點故障。
7.4.9 社會保險信息系統(tǒng)的使用管理應符合GB/T20269、GB/T20270和GB/T20271的要求，并根據(jù)業(yè)務發(fā)展不斷調(diào)整、優(yōu)化系統(tǒng)功能。
7.5數(shù)據(jù)運用控制
7.5.1 應建立并執(zhí)行社會保險數(shù)據(jù)安全管理辦法，規(guī)范數(shù)據(jù)錄入、修改、傳輸、查詢、披露、保密、維護等操作。
7.5.2應建立數(shù)據(jù)共享機制，實現(xiàn)與公安、民政、司法、稅務、市場監(jiān)管、醫(yī)保等外部門間的數(shù)據(jù)共享，提升內(nèi)部數(shù)據(jù)統(tǒng)籌層次，形成數(shù)據(jù)資源池，為信息系統(tǒng)實現(xiàn)事前預警、事中阻斷、事后核查提供數(shù)據(jù)支持。
7.5.3 應強化數(shù)據(jù)比對篩查，根據(jù)數(shù)據(jù)特性、業(yè)務實際和經(jīng)辦潛在風險，分析各類違法違規(guī)行為的數(shù)據(jù)表現(xiàn)形式，設定比對篩查規(guī)則，建立健全數(shù)據(jù)比對篩查規(guī)則庫，及時發(fā)現(xiàn)各類違法違規(guī)情況。
7.5.4 應建立健全風險預警防控系統(tǒng)，開展全流程、全方位的數(shù)據(jù)分析監(jiān)控，形成疑點數(shù)據(jù)后自動推送內(nèi)部控制執(zhí)行部門，執(zhí)行部門核查處理后向內(nèi)部控制監(jiān)督檢查部門反饋處理結果。
7.5.5 應建立健全數(shù)據(jù)備份恢復制度，實行數(shù)據(jù)異地備份，并定期演練。數(shù)據(jù)應用符合GB/T35273的要求。
8內(nèi)部控制監(jiān)督檢查
8.1 內(nèi)部控制自查
8.1.1 內(nèi)部控制執(zhí)行部門應根據(jù)自身職責和權限梳理風險點，確定內(nèi)部控制自查內(nèi)容，按季對本部門履行職責的狀況進行自查，具體工作流程見附錄A，形成自查報告，送內(nèi)部控制監(jiān)督檢查部門。
8.1.2 內(nèi)部控制執(zhí)行部門對自查發(fā)現(xiàn)的問題應及時整改，并向內(nèi)部控制監(jiān)督檢查部門反饋整改報告及相關佐證材料。
8.1.3內(nèi)部控制監(jiān)督檢查部門跟蹤核實整改情況，報本單位內(nèi)部控制工作領導小組。內(nèi)部控制工作領導小組發(fā)現(xiàn)屬制度缺陷的，組織相關部門完善制度；屬違規(guī)經(jīng)辦的，按照相關規(guī)定追責問責。整改到位后整理資料歸檔。
8.2 內(nèi)部控制日常及專項監(jiān)督檢查
8.2.1 內(nèi)部控制監(jiān)督檢查部門應根據(jù)自身職責和權限對本單位、本地區(qū)的內(nèi)部控制建設和執(zhí)行情況進行日常監(jiān)督檢查和專項監(jiān)督檢查。
8.2.2 內(nèi)部控制日常及專項監(jiān)督檢查應由2名及以上工作人員開展，檢查人員應對監(jiān)督檢查工作獲取的信息保密。根據(jù)工作需要，社會保險經(jīng)辦機構可聘請第三方專業(yè)機構協(xié)助開展內(nèi)部控制監(jiān)督檢查工作。
8.2.3 應重點關注串通舞弊、濫用職權、環(huán)境變化等因素形成的內(nèi)部控制局限性所帶來的風險。
8.2.4 可運用詢問、查閱、觀察和業(yè)務測試、抽樣統(tǒng)計、邏輯校驗、數(shù)據(jù)分析、系統(tǒng)監(jiān)控等方法，重點采取數(shù)據(jù)稽核形式開展監(jiān)督檢查，與檢查事項相關的問題可延伸調(diào)查。獲取的佐證材料，應注明來源和獲取時間，并要求被監(jiān)督檢查對象簽字或蓋章確認，拒絕簽字或蓋章的，檢查人員應注明原因。8.2.5 內(nèi)部控制監(jiān)督檢查部門應確定風險點，搜集相關資料，組織開展內(nèi)部控制日常監(jiān)督檢查，具體工作流程參見附錄B；制定內(nèi)部控制專項監(jiān)督檢查方案，提前通知內(nèi)部控制專項監(jiān)督檢查對象（特殊情況可不通知），開展內(nèi)部控制專項監(jiān)督檢查，具體工作流程參見附錄C。填寫《社會保險經(jīng)辦內(nèi)部控制監(jiān)督檢查工作底稿》（格式見附錄D），形成相應的監(jiān)督檢查報告，報內(nèi)部控制工作領導小組并送被監(jiān)督檢查對象。
8.2.6 內(nèi)部控制監(jiān)督檢查部門應督促被監(jiān)督檢查對象對發(fā)現(xiàn)的問題限期整改，被監(jiān)督檢查對象應及時反饋整改報告及相關佐證材料。
8.2.7內(nèi)部控制監(jiān)督檢查部門應跟蹤核實整改情況，報內(nèi)部控制工作領導小組。內(nèi)部控制工作領導小組發(fā)現(xiàn)屬制度缺陷的，組織相關部門完善制度；屬違規(guī)經(jīng)辦的，按照相關規(guī)定追責問責。整改到位后整理資料歸檔。
8.3 內(nèi)部控制評價
8.3.1 內(nèi)部控制監(jiān)督檢查部門應組織內(nèi)部控制執(zhí)行部門組成內(nèi)部控制評價工作組，按年度對內(nèi)部控制制度的健全性、內(nèi)部控制機制設計的合理性、內(nèi)部控制運行的有效性進行評價。
8.3.2 內(nèi)部控制評價工作組應由熟悉經(jīng)辦機構內(nèi)部控制運行情況的工作人員組成，工作組成員對本部門的內(nèi)部控制評價工作應予回避。
8.3.3 內(nèi)部控制評價內(nèi)容包括但不限于：
a)內(nèi)部控制環(huán)境。內(nèi)部控制環(huán)境是否有利于內(nèi)部控制制度建設，單位領導層對內(nèi)部控制制度建設的重視程度，是否建立有利于風險控制的組織架構，是否具有合規(guī)的單位管理文化等；
b)風險評估效果。是否定期開展經(jīng)辦風險評估活動，風險評估工作是否得到領導層和內(nèi)部控制執(zhí)行層的重視，經(jīng)辦風險點是否被列入單位風險清單，重大經(jīng)辦風險是否被及時發(fā)現(xiàn)并準確評估，是否制定恰當?shù)娘L險應對策略和防控措施等；
c)控制活動運行。是否制定了科學合理的內(nèi)部控制工作機制，是否建立了完善的業(yè)務操作規(guī)程和崗位責任制，是否開發(fā)并使用功能完備的業(yè)務經(jīng)辦系統(tǒng)，內(nèi)部控制要求和措施是否在社會保險業(yè)務經(jīng)辦規(guī)程中明確，并嵌入業(yè)務經(jīng)辦信息系統(tǒng)等；
d)信息與溝通。是否建立健全內(nèi)部控制信息收集和溝通渠道和平臺，形成內(nèi)部控制信息報告、處理、反饋良性互動；業(yè)務數(shù)據(jù)的共享性和透明性，財務、統(tǒng)計報告的真實性和及時性，財務、業(yè)務、統(tǒng)計信息的一致性；信息系統(tǒng)的安全性以及信息系統(tǒng)對實施內(nèi)部控制活動發(fā)揮的作用等；
e)內(nèi)部控制監(jiān)督檢查。內(nèi)部控制監(jiān)督檢查部門建設情況，內(nèi)部控制監(jiān)督檢查活動開展情況，是否及時處理社會保險基金要情案件等。
8.3.4 內(nèi)部控制評價程序一般包括：制定評價工作方案、實施現(xiàn)場測試、認定內(nèi)部控制缺陷、編報內(nèi)部控制評價報告。
8.3.5 內(nèi)部控制評價工作組應制定評價工作方案。明確評價范圍、工作任務、人員組織、進度安排以及經(jīng)費保障等相關內(nèi)容，報內(nèi)部控制工作領導小組審批后實施。
8.3.6 內(nèi)部控制評價工作組可運用個別訪談、調(diào)查問卷、專題討論、穿行測試、實地查驗、抽樣和比較分析等方法對被評價對象進行現(xiàn)場測試，充分收集被評價對象內(nèi)部控制設計和運行是否有效的證據(jù)，評價分析內(nèi)部控制缺陷。
8.3.7 內(nèi)部控制缺陷包括設計缺陷和運行缺陷，工作組應以現(xiàn)場測試結果為基礎，結合自查和監(jiān)督檢查情況，按照內(nèi)部控制缺陷的影響程度進行認定，并按其影響程度分:
a)重大缺陷。一個或多個控制缺陷的組合，可能導致社會保險經(jīng)辦工作嚴重偏離控制目標，后果不能接受；
b)重要缺陷。一個或多個控制缺陷的組合，可能導致社會保險經(jīng)辦工作明顯偏離控制目標，后果難以接受；
c)一般缺陷。除重大缺陷、重要缺陷之外的其他缺陷，后果在可接受范圍內(nèi)。
8.3.8 內(nèi)部控制評價工作組應匯總評價結果，編制內(nèi)部控制評價報告，經(jīng)本單位內(nèi)部控制工作領導小組批準后，按規(guī)定報送上級單位及相關部門。
8.3.9 社會保險經(jīng)辦機構應以自然年度作為內(nèi)部控制評價周期，以每年的12月31日作為年度內(nèi)部控制評價報告的基準日。內(nèi)部控制評價報告應于基準日后4個月內(nèi)報出。
8.3.10 應建立內(nèi)部控制問題整改機制，明確整改責任部門，規(guī)范整改工作流程，確保整改措施落實到位。
8.4 結果運用
內(nèi)部控制評價結果可與被評價部門的績效考評等掛鉤，并作為被評價部門領導班子考評的依據(jù)。
附錄A（資料性）社會保險經(jīng)辦內(nèi)部控制自查工作流程圖
附錄B（資料性）社會保險經(jīng)辦內(nèi)部控制日常監(jiān)督檢查工作流程
附錄C（資料性）社會保險經(jīng)辦內(nèi)部控制專項監(jiān)督檢查工作流程
附錄D（資料性）社會保險經(jīng)辦內(nèi)部控制監(jiān)督檢查工作底稿
