上海汽车集团股份有限公司（简称“上汽集团”）的前身是上海汽车股份有限公司，1997年11月在上海证券交易所挂牌上市，编号600104，公司简称“上海汽车”。目前上汽集团主要业务涵盖了整车（包括自主品牌乘用车和商用车、上海大众、上海通用、上汽通用五菱、南京依维柯、上海申沃客车等）、零部件（包括发动机、变速箱、动力传动、底盘、内外饰、电子电器等的研发、生产、销售，以及汽车服务贸易业务（包括汽车金融）），成为目前国内A股市场最大的整车上市公司。2011年，上汽集团整车销量超过400万辆，继续保持国内汽车市场领先优势，并以上一年度542.57亿美元的合并销售收入，第七次入选《财富》杂志世界500强，排名第151位，比2010年上升了72位。 上汽集团审计室（简称“审计室”）是董事会下设审计委员会的常设机构，每年向董事会及审计委员会汇报工作，日常接受公司总裁的领导和管理。审计室的常规工作为：企业经营者任期及离任经济责任审计、企业经营者年度经济指标考核、管理效益专项审计、工程项目审计、内控审计等。最近几年，随着国家相关部委对上市公司内部控制管理的力度加大，审计室时刻以公司战略为指导，紧紧围绕公司的经济工作主题，重点转向组织开展内部控制自我评估，并以此为抓手，促进企业办事有章可循，切切实实地把内控手册作为日常工作的依据和规范。 一、内控手册的建立和健全 2006年6月，上海证券交易所颁布了《上市公司内部控制指引》，对各上市公司建立健全和有效实施内部控制制度，提高风险管理水平提出了指导性的要求。2008年5月，五部委联合发布了《企业内部控制基本规范》，为上市公司开展内控建设提出更明确的要求。 根据这一系列文件的规范要求，上汽集团在2007年第一季度由董事会决定按照COSO框架编制内控手册。同年5月公司组建了内控领导小组，由公司总裁出任组长、分管副总裁出任副组长，负责日常工作。组员有财务总监、总裁办、审计室、信息系统部领导参加。其中，财务总监负责内控制度的核心财务内控制度建设；总裁办负责内控制度的编制协调、日常维护和变动管理；审计室承担公司内控制度执行情况的监督检查和自我评估职能；信息系统部落实内控制度科技化工作。由总部所有部门（分支机构）派出内控协调员组成工作小组，具体实施内控制度编写、修订工作。内控领导小组确立自我建设为主，外部辅导为辅的方针，同时确定了内控手册编制的原则：（1）合法性和有效性，重点突出对公司重大决策、重大决策执行和重大风险的控制与防范，内控手册的编制以各部门（分支机构）和内控小组为主，中介机构为辅，强调从实际出发，符合业务流程的实际需要，注重可操作性；（2）适应性，适应上市公司各方面监管的要求，以及公司实体运营业务模式变化的需求。公司引入外部专业中介机构适当进行支持、辅导公司内控制度完善和内控自我评估工作。 经过6个月的努力，2007年底，上汽集团总部率先编制完成《内控手册》发布实施。鉴于公司母体由总部和3家分支机构组成：制造销售“荣威”品牌轿车的乘用车分公司、为乘用车提供技术支撑的乘用车技术中心、为商用车提供技术支撑的商用车技术中心，所以至2009年底，在对总部《内控手册》进行2次更新补充基础上，3家分支机构都先后建立了《内控手册分册》，从而形成了上汽集团1本《内控手册》，3本《内控手册分册》的完整内控体系，包含73个流程，255个子流程，1612个关键控制活动，从内部环境、风险评估、控制活动、信息与沟通和内部监督全面覆盖大型汽车企业从投资管控、采购与付款、销售与收款、筹资与投资、关联交易、整车技术开发等在内的各类业务领域。 二、搭建内控自我评估体系 上汽集团从2007年内控手册建立开始，即由审计室组织开展对母体企业（总部加分公司）每半年一次的内控自我评估，在评估的组织、方式、作用等方面都有明显成效的同时，从2010年开始探索对附属子公司的内控评价方法，并开展了实践活动，也取得了一定的成效。 1.母体企业的内控自我评估。从2007年下半年开始，上汽集团启动了第一次内部控制自我评估，审计室在董事会批准执行的《内控手册》中，选择一定的关键控制活动实施内控评价，每半年组织各业务部门开展内部控制自我评价工作，并由审计室对内部控制自我评估的实施过程及结果进行监督复查，至今共开展了10次。内部控制自我评估具体流程如下，（1）业务部门自我评估：相关职能部门对测试期间发生的业务活动执行情况和规范业务活动的内控流程是否合理进行判断，并形成自评工作底稿；（2）审计室独立测评：审计室对业务活动进行独立审计测评，审计室在部门自评的基础上，通过访谈、检查、抽样等审计方式来进行测评工作，形成审计底稿，并作出审计判断；（3）持续整改并对内部控制手册进行相应修改：审计室将审计结果与部门的测评结果进行比较，对于发现的内控缺陷与业务部门进行充分的沟通，对于缺陷的整改行动计划达成一致，最终形成最终评价依据。对设计缺陷，调整相应的内控手册；对执行缺陷，现场整改。 目前，纳入评估范围的关键控制活动也从起初2007年的110个扩展到2011年上半年的666个。通过持续评价以及积极跟踪落实缺陷整改，内控缺陷率正逐步下降，最初为24%，到2011年上半年下降至2.55%。 根据《内控手册》的要求，公司把内控缺陷按程度分为重大缺陷、重要缺陷和一般缺陷3类；按性质分为执行缺陷和设计缺陷2类。公司在开展内控自我评估和内部审计检查时，要求有关部门在发现缺陷时必须立即制定缺陷整改行动计划。凡发现执行缺陷时，要求责任部门整改行动计划应明确责任人，从现在起按制度规定严格执行，并对过去至少半年的可以纠正的行为进行纠正；凡发现设计缺陷时，考虑到整改行动涉及控制流程的修改需要时间，一般要求责任部门整改行动计划在3个月内完成，超过3个月的行动计划，则要求再上一级领导批准。所有整改行动计划都要落实时间、措施、牵头责任部门和责任人。审计室在汇总本次发现缺陷和整改行动计划，以及跟踪上次整改结果后，向公司内控领导小组、管理层和董事会（审计委员会）汇报。根据公司董事会的进一步要求，公司各级管理层将内控制度建设持续推向深入。实践证明，在发现内控缺陷时同步落实缺陷整改行动计划的方法，虽然增加了内控测评阶段的工作量和时间，但总体上，有效减少了责任部门对缺陷认定的推诿和整改时间确认的拖拉，提高了内控制度实施有效性，也使公司高层领导能及时了解缺陷发生的性质、程度，批准整改措施的内容、进度计划，确保整改计划的实施，防止重大风险的发生。
