從2003年初開始，中國石化以遵循美國頒布的《薩班斯—— —奧克斯利法案》為契機，開展了一系列內部控制的制度設計和體系建設，取得顯著成效，對內促進完善公司治理、規范企業管理、防范市場風險，對外加強外部監管、樹立企業形象、提振市場信心，對推動公司持續、穩定、健康發展發揮了重要作用。
經驗:注重頂層設計，建立健全“三個體系”
為適應公司新的組織架構和管理模式，有效建設以風險為導向的全方位內部控制體系，中國石化建立了公司總部上市和非上市部分、公司總部和所屬企業內部控制一體化管理模式。
在公司總部層面，2010年3月，中國石化將內部控制、風險管理職能調整到中國石化企業改革管理部，內控專職管理人員從集團公司財務部、股份公司財務部整體劃轉，實現了上市、非上市內部控制一體化管理。在所屬企業層面，相應成立內部控制領導小組，整合上市、非上市內控管理職能，實現內控一體化管理。
為進一步增強內部控制制度的針對性和可操作性，中國石化根據內部管理和外部監管的新要求新情況以及內部控制實際運行和監督檢查中發現的各類問題，對《內部控制手冊》進行動態更新。所屬企業也結合實際，按照“更嚴、更細、更具體”的原則制定相應的實施細則，構建了中國石化集團公司和所屬企業兩級內部控制制度體系。此外，中國石化通過三個階段的調整和完善，逐步建立了以合規性和有效性原則為基礎、與企業的日常管理相結合、兼顧結果與過程的內部控制監督評價體系。
特色：立足全局發展，深入推進“四個結合”
內部控制與業務流程相結合。
中國石化在全面梳理各項業務和重大事項、認真分析關鍵環節存在的各種內外風險的基礎上，結合石化生產經營的特點，采用編制業務流程及控制矩陣的方式進行系統控制。同時統一制定《權限指引》，根據不同層次、不同級別的職責范圍和管理要求，合理分配權限和責任，對授權進行系統管理；強調全員、全過程控制，打破公司內部條條塊塊的管理界限。
內部控制與風險管理相結合。
中國石化收集整理公司內外部各類風險信息并借鑒國內外石化行業的最佳實踐，匯總形成了中國石化風險清單。在清單中，將風險分為戰略風險、財務風險、市場風險、運營風險和合規風險五大類一級風險，并向下延伸、細分，形成65個二級風險、453個三級風險，對已識別風險通過調查問卷、訪談、專項會議等形式進行了較為科學的風險評估，確定了各類風險差異化的容忍程度。
同時，初步設計了中國石化風險庫模板和風險評估標準，自覺地將風險控制在可承受范圍之內。
內部控制與信息系統相結合。
按照信息系統應用指引的要求，結 合國際上公認的信息系統控制標準（COBIT框架），進一步梳理和優化了公司信息系統的整體控制、一般控制和應用控制。特別在加強應用控制方面，針對ERP系統、資金集中管理系統、會計集中核算系統、加油卡系統等應用系統，從系統業務流程出發，對其控制功能在實際應用中的風險重新梳理，并加以識別、分析和記錄。根據系統控制的特點，從系統權限、職責分離、配置、業務操作等方面，完善系統狀態下的控制要求，建立控制措施與系統業務流程的映射關系，使之更加明確、具體，更容易為系統操作和管理人員所遵循。
內部控制與企業實際相結合。
中國石化始終堅持依靠自身力量，自主設計符合中國石化生產經營特點的內部控制制度。以公司章程和現行的各項規章制度為基礎，追根溯源、抽絲剝繭，全面總結提煉石化系統管理經驗，使內部控制制度盡可能地包容現行的各項規章制度，力求通過內部控制制度，傳承石化優良傳統和管理經驗，實現與國際先進管理方法的融合。依靠自身力量設計的內部控制制度，符合中國石化生產經營的現狀，可以與各項專業制度有機融合，被員工廣泛認可。
