1. 目 的
为了建立健全公司内部控制体系，促进公司全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，根据财政部、证监会、审计署、银监会、保监会颁布的《企业内部控制基本规范》、《企业内部控制评价指引》，结合公司实际情况，制定本制度。
2. 适应范围
适用于公司所属全资和控股子公司。
3. 3.1
术语与定义
内部控制评价：本制度所述的内部控制评价是指公司董事会对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。内部控制评价与内部控制的建立和实施，构成有机循环。
3.2 3.3 3.4 3.5 3.6 4. 4.1
公司：本制度所述的公司是指股份有限公司。
子公司：本制度所述的子公司是指公司所属全资和控股子公司。 审计委员会：本制度所述的审计委员会是指公司董事会审计委员会。 审计办：本制度所述的审计办是指公司董事会审计委员会办公室。 评价工作组：本制度所述的评价工作组是指公司内部控制评价工作组。 职 责 公司董事会
1） 负责审议和批准公司内部控制评价报告；
2） 负责认定公司内部控制重大缺陷，审批内部控制重大缺陷的整改方案； 3） 负责审议和批准本制度。
4.2 审计委员会
1） 负责审定内部控制评价工作方案；
2） 负责认定公司内部控制重要缺陷、一般缺陷，审批内部控制重要缺陷、一般
缺陷的整改方案；
3） 负责审议内部控制重大缺陷及其整改方案； 4） 负责审议内部控制评价报告；
5） 对相关单位和个人反映的内部控制评价结论的客观性、公正性的质疑、举报、
投诉进行调查核实。
4.3 公司监事会
1） 负责对董事会建立与实施内部控制的情况进行监督；
第 1 页 共 13 页
2） 听取内部控制评价报告；
3） 听取内部控制重大缺陷及其整改方案。
4.4
公司经理层
1） 负责为内部控制评价工作方案提出应重点关注的业务或事项； 2） 听取内部控制评价报告；
3） 负责对内部控制评价中发现的问题及缺陷采取有效措施积极整改； 4） 负责协调、排除在内部控制评价以及督促整改中遇到的困难。
4.5
审计办
1） 负责起草本制度及提出修订草案；
2） 负责牵头、协调、组织成立公司内部控制评价工作组； 3） 负责指导公司内部控制评价工作组开展内部控制评价工作； 4） 负责草拟内部控制评价工作方案、评价报告；
5） 负责向董事会、审计委员会、监事会或经理层报告发现的重大缺陷、重要缺
陷和一般缺陷；
6） 草拟公司内部控制评价报告；
7） 根据评价和整改情况拟订内部控制考核方案。
4.6
公司内部控制评价工作组
1） 负责制定、更新和维护内部控制文档及测试表模板，并将内部控制文档及测
试表模板下发评价范围内相关部门、子公司使用；
2） 负责指导公司各部门及所属子公司开展内部控制自我评价工作；
3） 负责根据公司各部门、子公司的自评情况，对可能产生重要风险的业务事项
进行复核检查，形成检查工作底稿；
4） 负责内部控制评价结果的汇总，对内部控制缺陷进行综合分析，拟订认定意
见和整改方案；
5） 负责跟踪缺陷整改的落实情况。
4.7
公司各部门负责人
1） 负责组织本部门的内部控制自查、测试和评价工作； 2） 负责向审计办上报本部门的兼职评价员及变动情况；
3） 负责及时更新内部控制文档及测试表，并上报评价工作组复核；
4） 对自评发现的设计和运行缺陷提出整改方案，经部门负责人审核、公司分管
领导审定后报送给评价工作组复核；
第 2 页 共 13 页
5） 负责配合评价工作组针对重要业务进行复核检查； 6） 负责本部门内部控制缺陷整改建议的落实。
4.8
公司所属子公司负责人
1） 负责逐级落实内部控制评价责任，建立日常监控机制； 2） 负责开展内部控制自查、测试和定期检查评价；
3） 负责组建子公司内部控制评价组，由其对子公司各部门的内部控制自查、自
测、自评情况进行复核检查，形成检查工作底稿；
4） 负责向审计办上报子公司的兼职内部控制评价人员及变动情况； 5） 负责及时更新内部控制文档及测试表，并上报评价工作组复核检查； 6） 对自评发现问题并认定内部控制存在缺陷，负责拟订整改方案，经子公司负
责人审核、公司分管领导审定后报送给评价工作组复核； 7） 负责子公司内部控制缺陷整改建议的落实； 8） 负责配合评价工作组针对重要业务进行复核检查； 9） 负责编制子公司内部控制评价报告；
10） 对子公司的内部控制的执行和整改情况进行考核。
5. 5.1 5.1.1
管理规定
内部控制评价管理要求
董事会是内部控制评价工作的最高决策机构和承担最终责任者，负责内部控制的建立健全和有效实施。
审计委员会负责内部控制评价的领导、监督工作。 经理层负责领导公司内部控制的日常运行。
评价工作组在审计办组织下，具体承担内部控制检查评价任务。
公司各部门负责人、所属子公司负责人为各部门、子公司内部控制自我评价工作的负责人，并对其真实性、全面性负责。
5.1.2
公司各部门、子公司负责人对本部门、子公司在内部控制评价过程中所提供资料的真实性、完整性负责。
5.1.3 5.2
评价人员应当保持应有的职业谨慎，合理关注组织内部可能发生的舞弊行为。 内部控制评价原则
1） 全面性原则。评价工作应当包括内部控制的设计与运行，涵盖公司及其所属
子公司的各种业务和事项。
2） 重要性原则。评价工作应当在全面评价的基础上，着眼于风险，突出重点，
第 3 页 共 13 页
关注影响控制目标的高风险领域、重要业务单位、重大业务事项、关键控制环节和风险点。
3） 客观性原则。评价工作应当准确揭示经营管理的风险状况，如实反映内部控
制设计与运行的有效性。
4） 独立性原则。内部控制评价机构的确定以及评价工作的组织实施应该保持相
应的独立性。
5） 成本效益原则。在内部控制评价过程中，应当权衡实施成本与预期效益，以
适当的成本实现有效的控制。
6） 适应性原则。依据公司经营规模、业务范围、业务特点、风险状况以及所处
具体环境等方面的要求，并随着公司外部环境的变化、经营业务的调整、管理要求的提高等情况变化不断改进内部控制评价工作。
5.3 5.3.1
内部控制评价的内容和方法
内部控制评价工作主要依据公司内部控制制度和工作程序，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，对内部控制设计和运行情况进行全面评价。
1） 组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、
社会责任等应用指引为依据，结合公司的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。内部环境评价需重点关注的内容包括治理结构、机构设置及权责分配、人力资源、企业文化、社会责任等。 2） 组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评
估的要求，以及各项应用指引中所列主要风险为依据，结合公司的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。风险评估评价需重点关注的内容包括目标设定、风险信息收集、风险识别、风险分析、风险应对等设计与运行情况。
3） 组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引
中的控制措施为依据，结合公司的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。控制活动评价需重点关注的内容包括各项业务处理程序的授权批准、职责分工、实物控制、凭证与记录控制、独立检查程序等控制措施的设计与运行情况。
4） 组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相
关应用指引为依据，结合公司的内部控制制度，对信息收集、处理和传递的
第 4 页 共 13 页
及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。
5） 组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的
要求，以及各项应用指引中有关日常管控的规定为依据，结合本公司的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。
5.3.2
评价人员可综合运用个别访谈法、调查问卷法、专题讨论法、穿行测试法、实地查验法、标杆法、抽样法、重新执行法和比较分析法等评价方法，充分收集被评价单位内部控制设计和运行是否有效的证据。
5.3.3
评价人员应当根据通过评估和测试获取与内部控制有效性相关的证据，并合理保证证据的充分性和适当性。
证据的充分性是指获取证据的数量应当能合理保证相关控制的有效；证据的适当性是指获取的证据应当与相关控制的设计与运行有关，并能可靠地反映控制的实际运行状况。
5.3.4
内部控制评价工作应当形成工作底稿，详细记录公司执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。
评价工作底稿应当进行交叉复核。评价工作组负责人应当对评价工作底稿进行严格审核，并对所认定的评价结果签字确认。
5.4 5.4.1
内部控制评价程序 内部控制评价程序包括： 1） 制定评价工作方案； 2） 组成评价工作组；
3） 实施现场测试，包括执行风险评估、厘定项目范围、更新内部控制文档记录、
评价设计有效性、内部控制测试、评价执行有效性等； 4） 认定控制缺陷； 5） 汇总评价结果； 6） 编报评价报告。
5.4.2
制定评价工作方案
1） 每年年初，审计办拟订评价工作方案，明确评价范围、工作任务、人员组织、
进度安排等相关内容，经公司分管领导审核后，报审计委员会批准后实施。
第 5 页 共 13 页
公司管理制度之内部控制评价制度
