兰州佛慈制药股份有限公司2018年度内部控制评价报告
兰州佛慈制药股份有限公司全体股东：
按照《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称“企业内部控制规范体系”），结合兰州佛慈制药股份有限公司（以下简称“公司”）内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对截止公司2018年12月31日的内部控制有效性进行了评价。
一、重要声明按照企业内部控制规范体系的规定，在企业范围内建立健全和有效实施内部控制，客观公正地评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。公司董事会、监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带法律责任。公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。
二、内部控制评价结论
根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。
三、内部控制评价工作情况
（一）内部控制评价范围
公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险
领域。纳入评价范围的主要单位包括：公司下属各部门、分公司、子公司。纳入评价范围单位资产总额占公司合并财务报表资产总额的100%，营业收入合计占合并财务报表营业收入总额的100%。纳入评价范围的主要业务和事项包括：组织架构、人力资源、社会责任、生产管理、销售业务、关联交易、募集资金、财务报告、全面预算、合同管理、内部信息传递、信息披露和信息系统等；重点关注的高风险领域主要包括资金活动、销售业务、资产管理、安全生产、关联交易、信息披露等。上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，不存在重大遗漏。具体内容如下：
1.内部环境
（1）公司治理与组织架构
根据《公司法》《证券法》等相关法律法规，建立了股东大会、董事会、监事会和经理层“三会一层”的法人治理结构，结合公司实际制定了《公司章程》《股东大会议事规则》《董事会议事规则》《监事会议事规则》《独立董事工作细则》《关联交易关联办法》《募集资金管理制度》《信息披露管理办法》《投资者管理制度》等制度，明确了决策、执行、监督等方面的职责权限，形成了科学有效的职责分工和制衡机制，在内部控制方面也建立了清晰的组织架构和职责分工，为公司的规范运作、健康稳定发展奠定了坚实的基础。
公司根据职责划分并结合公司实际情况，设立了多个部门和分公司子公司并制定了相应的岗位职责。各职能部门分工明确、各负其责，相互协作、相互牵制、相互监督。
（2）社会责任
公司按照国家相关法律法规，结合公司实际情况在安全管理、质量管理、环境保护、节能环保和员工权益保护方面修订、完善了制度，有效履行各项社会责任，打造和提升公司形象。（3）生产管理
公司严格执行GMP质量体系管理标准，制定了《生产批号管理程序》《生产指令和生产计划管理程序》《中国药品电子监管码信息管理程序》《产品包装过程管理程序》等生产过程管理程序；《生产用水监督管理程序》《生产过程复核管理程序》《生产过程中紧急情况处理管理程序》等过程控制管理程序；《药品生产清场管理程序》《工艺卫生管理程序》《生产检验过程人员健康保护管理程序》等及生产管理制度。
公司各生产岗位职责明确，人员、机器设备、原辅材料、工艺技术生产环境均处于受控状态，生产过程受药品监督部门日常监督。公司生产管理控制良好。
（4）仓储物流管理
公司严格执行GMP质量体系管理标准，公司制定了《物料接受发放管理程序》《成品入库出库标准操作程序》《药品运输标准操作程序》《药用辅料接受发放标准操作程序》《特殊物料接受发放标准操作程序》《物料初检请验管理程序》等仓储物流管理制度，通过ERP系统进行控制。公司仓储物流控制良好。
（5）销售业务
公司制定了《药品营销管理制度》《销售合同管理制度》《产品销售发货管理规定》《退货管理制度》等市场运行管理制度，对其岗位分工与授权批准、发货、销售发票开具、销售货款收取等都有明确规定，销售部门负责签订合同、处理订单；仓储管理部门负责审核发货单据、办理发货事宜；财务部门负责销售款项结算、监督货款收回。公司销售业务控制良好。
（6）安全生产公司非常重视生产安全，专门设立安全生产管理委员会，注重员工职业健康和环境保护，确保生产安全。公司的生产部门和分公司、子公司能够按照公司确定的安全生产目标和年度生产经营计划，根据市场需求统筹安排生产，并负责组织实施。生产人员严格执行公司的安全生产管理制度和操作规程。同时，公司定期对员工安全操作技能进行岗位培训，增强职工安全意识。公司安全生产监督管理部认真履行监督职能，深入车间、班组，责任到人，严防安全问题发生。
（7）人力资源
公司严格按照国家有关法律法规进行人力资源管理工作，实行全员劳动合同制，制定了系统的人力资源管理制度，建立了一套较为完善的绩效考核体系，保障了公司与员工双方的权益。
（8）内部审计
公司设立审计法务部，并认真执行《内部审计制度》。审计法务部直接对董事会审计委员会负责，在董事会审计委员会的指导下，独立行使审计职权，不受其他部门和个人的干涉。审计法务部负责人由董事会审计委员会提名，董事会聘任，对公司、各内部机构、控股子公司内部控制制度的建立和实施等情况进行内部审计，对其经济效益的真实性、合理性、合法性做出合理评价。
2.内部控制活动
（1）三会运作制度
公司已具有完整的业务体系和直接面向市场的独立经营的能力；制定了股东会、董事会、监事会议事规则，相关会议均形成记录，明确了决策、执行、监督等方面的职责权限，形成了科学有效的职责分工和制衡机制。报告期内，公司三会均严格按照相关制度严格有效运作。
（2）募集资金使用的控制
公司制定了《募集资金管理制度》规范募集资金管理，公司审计法务部每季度跟踪监督募集资金使用情况向董事会报告，独立董事和监事会定期就募集资金使用情况进行检查，公司募集资金专户管理，不存在存放非募集资金或用作其他用途的情况；募集资金使用情况披露情况真实、准确、完整、及时，符合规范运作要求。
（3）预算管理制度
公司本着“事前计划，事中控制，事后总结”的原则，最大限度地提高公司经济效益。依据《企业内部控制基本规范》《企业内部控制应用指引第 15号-全面预算》以及国家有关法律法规，结合公司实际制定了《预算管理办法》，明确了公司财务计划的编制原则、依据、编制范围、编制方法、程序、预算的审批、预算的执行和控制、预算的分析及考核等内容。以生产经营业务活动为出发点，通过系统、规范的方法来贯彻、监控公司战略目标和经营目标的实施进度，以便有效地组织与协调公司全部的经营活动，完成既定的目标，规范企业管理和财务管理行为。
（4）会计控制制度
公司贯彻执行国家统一的财务会计制度，加强财务管理和经济核算，按照《会计法》《企业会计准则》等有关规定，结合公司实际情况制定了《财务管理制度》《会计核算制度》《预算管理办法》《资金管理办法》等基本管理制度，并在此基础上制定了各个业务流程中财务岗的管理要求，规范了财务核算和管理流程。明确了各机构和岗位的职责权限，确保各不相容职位分离、职责分离、钱账分离、账物分离，形成相互制衡机制，保证相关控制的有效执行。子公司单独设立财务部门，配备专业财务人员，在业务上接受公司财务负责人的领导，月末合并财务报表，从而在制度上减少了舞弊和差错的产生。公司账务系统采用电算化处理，记账、复核、过账、结账、报表都有专人负责，以保证账簿记录内容完整、数字准确。公司各类账簿和报表都由电算化系统生成，并严格执行《企业会计准则》等有关要求。在现金管理
方面，公司能遵守现金管理制度，保证库存现金账款相符；在结算方面，做出了详实的操作规定，保障及时、准确结算。公司能严格对发票、收据进行管理，有明确的发票、收据管理责任人，所有票据的领用、核销都有登记和审核，从而有效杜绝不安全事故的发生。
（5）对控股子公司的内部控制
随着公司业务的快速发展，公司对子公司的管理已经成为公司内部控制的重要环节。公司按照《上市公司内部控制指引》《深圳证券交易所中小企业板上市公司规范运作指引》要求，加强对子公司各项制度的梳理和规范，在子公司实行全面预算管理，母公司对子公司日常经营活动进行监督。报告期内严格按照各项制度规定有效执行。
（6）重大投资的内部控制
公司重视规范投资行为，根据有关法律、行政法规、部门规章有关规定，在《公司章程》中明确了股东大会、董事会关于投资事项的审批权限。根据《公司法》《公司章程》等有关法律法规和相关规定，进一步明确了重大投资决策授权和审批程序。报告期内，公司的重大投资项目严格履行了合法的审批程序，对投资项目实施过程进行监督，严格按国家相关规定，对建设项目实行招投标，报告期内未有违反深圳证券交易所《内部控制指引》有关规定的情形发生。
（7）信息披露管理制度
公司制定了《信息披露管理办法》，按照法律法规、证券监管部门及上述本公司制度的要求由董事会秘书归口管理统一进行对外信息披露与沟通，包括对外接待、网上业绩说明等。报告期内，公司严格执行各项制度，保障了公司全体投资者能够及时全面地了解公司相关业务的进展情况。
①年报信息披露重大差错责任追究的内部控制
公司制定了《年报信息披露重大差错责任追究制度》，对年报信息披露重大差错的责任追究、追究责任的形式及种类等方面作了详细规定。该制度的建立，完善了公司对年报信息披露工作中有关人员不履行或者未正确履行职责、义务或者其他个人原因而导致年报披露信息出现重大差错，对公司造成重大经济损失或造成不良社会影响时的追究与处理制度。该制度自颁布实施以来，得到认真有效执行，未出现任何重大差错，起到预防、规避效果。
② 重大信息的内部控制
为规范公司的重大信息内部保密工作，确保信息披露的公平性，保护股东和其他利益相关者的合法权益，根据《公司法》《证券法》《深圳证券交易所股票上市规则》等有关法律、法规、规范性文件和公司章程的有关规定，制定了《重大信息内部报告制度》《内幕信息知情人管理制度》。公司重大信息尚未公布前，内部人员对其知悉的重大信息负有保密义务，不得擅自以任何形式对外泄露、报道、传送公司的有关信息。
（8）关联交易管理
公司根据《公司法》等有关法律法规的规定，制定了《关联交易管理办法》，对关联交易的认定、定价、审批权限和决策程序，以及关联交易披露等事项进行了明确规定。公司致力于规范关联交易，确保关联交易定价公允，审批及决策程序合规完整，并积极充分发挥独立董事的监督作用，及时履行信息披露义务，有效地维护了每一位股东的合法利益。
（9）信息系统与沟通
公司高度重视信息传递与沟通工作，分别建立了对内、对外的信息沟通制度体系和工作机制，并积极开展信息化建设，推进公司信息化管理的不断升级。公司建立了财务报告相关的信息系统，包括交易的生成、记录、处理；电子信息系统开发与维护；数据输入与输出；文件储存与保管；对外信息的披露等；公司信息处理部门与使用部门权责得到较好地划分，程序及资料的存取、数据处理、系统开发及程序修改得到较好地控制，档案、设备、信息的安全得到较好地控制。公司建立了有效沟通渠道和机制，使管理层能够及时获取员工的职责履行情况，并与客户、供应商、监管部门和其他外部单位保持及时有效沟通，使管理层面对各种变化能够及时采取适当的进一步行动。
（10）内部监督
公司对内部控制制度执行定期和不定期的检查，主要包括：公司董事会检查、监事会检查、审计委员会检查、审计法务部检查。公司董事会审计委员会负责监督内部控制的建立健全和有效实施，并对内部控制自我评价情况进行审议监督。审计委员会定期听取内部审计工作报告，及时掌握公司可能存在的内部控制风险，督促重大问题的整改，并积极沟通外部审计，对重点领域提出监督要求。
公司监事会为保障公司持续健康发展和维护股东的合法权益，对公司财务状况、内部控制以及公司董事、高级管理人员履职情况进行有效监督。
公司审计法务部全面负责公司内部审计工作，对重点领域实施内部专项审计，以规范公司经营行为，控制经营风险，提高经济效益，防范各种违纪违规行为，维护公司合法权益和股东利益。同时，审计法务部组织开展内部控制自我评价工作，对监督过程中发现的内部控制缺陷及不足，及时开展跟踪整改，进一步完善内部控制制度。
（二）内部控制评价工作依据及内部控制缺陷认定标准
公司依据企业内部控制规范体系及《企业内部控制基本规范》等相关规定，结合公司的实际情况组织开展内部控制评价工作。
公司董事会根据企业内部控制规范体系对重大缺陷、 重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制， 研究确定了适用于本公司的内部控制缺陷具体认定标准，并与以前年度保持一致。公司确定的内部控制缺陷认定标准如下：
1.财务报告内部控制缺陷认定标准
（1）财务报告内部控制缺陷认定的定量标准如下:
A.利润总额潜在错报：
①一般缺陷：错报<利润总额的5%；
②重要缺陷：利润总额的5%≤错报<利润总额的10%；
③重大缺陷：错报≥利润总额的10%。
B.资产总额潜在错报：
①一般缺陷：错报<资产总额的0.5%；
②重要缺陷：资产总额的0.5%≤错报<资产总额的5%；
③重大缺陷：错报≥资产总额的5%。
C.经营收入潜在错报：
①一般缺陷：错报<经营收入的0.5%；
②重要缺陷：经营收入的0.5%≤错报<资产总额的5%；
③重大缺陷：错报≥经营收入的5%。
D.所有者权益潜在错报：
①一般缺陷：错报<所有者权益的5%；
②重要缺陷：所有者权益的5%≤错报<所有者权益的10%；
③重大缺陷：错报≥所有者权益的10%。
（2）财务报告内部控制缺陷认定的定性标准如下:
A.重大缺陷①董事、监事和高级管理人员舞弊并给公司造成损失；②对已经公告的财务报告出现的重大差错进行错报更正；③当期财务报告存在重大错报，而内部控制在运行过程中未能发现该错报；④审计委员会以及内部审计部门对财务报告内部控制监督无效；
⑤会计师事务所对财务报告出具无法表示意见或否定意见；⑥会计师事务所出具内部控制无法表示意见的鉴证报告。
B.重要缺陷
①董事、监事和高级管理人员舞弊，但未给公司造成损失；②未依照公认会计准则选择和应用会计政策；③未建立反舞弊程序和控制措施；④对于非常规或特殊交易的账务处理没有建立相应的控制机制或没有实施；⑤对于期末财务报告过程的控制存在一项或多项缺陷且不能合理保证编制的财务报表达到真实、准确的目标。
C.一般缺陷
①公司决策程序效率不高；②公司人员违反内部规章，但未形成损失；③公司一般岗位业务人员流失严重；④媒体出现负面新闻，但影响不大，未造成股价异动；⑤公司一般业务制度或系统存在缺陷；⑥公司一般缺陷未得到整改；⑦公司存在除上述之外的其他缺陷。
2.非财务报告内部控制缺陷认定标准
（1）非财务报告内部控制缺陷认定的定量标准如下:
直接财产损失金额：
A.一般缺陷：损失<利润总额的5%；
B.重要缺陷：利润总额的5% ≤损失＜利润总额的10%；
C.重大缺陷：损失≥利润总额的10%。
（2）非财务报告内部控制缺陷认定的定性标准如下：
A.重大缺陷①公司缺乏民主决策程序；②公司决策程序不当导致重大失误；③公司违反国家法律法规并受到重大处罚；④公司董事、监事、高级管理人员及主要技术人发生非正常重大变化；⑤媒体频现恶性负面新闻，涉及面广且负面影响一直未能消除，或者负面新闻虽然只波及局部区域但已对股票价格造成异动；⑥公司重要业务缺乏制度控制或制度体系失效；⑦公司内部控制重大或重要缺陷未得到整改；⑧公司遭受证监会行政处罚或证券交易所公开谴责。B.重要缺陷①公司民主决策程序存在但不够完善；②公司决策程序不当导致出现一般失误；③公司重要业务制度或系统存在缺陷；④公司违反国家法律法规并受到较大处罚；⑤公司关键岗位业务人员流失严重；⑥媒体出现负面新闻，波及局部区域，影响较大但未造成股价异动；⑦公司遭受证券交易所通报批评；⑧公司内部控制重要或一般缺陷未得到整改。C.一般缺陷①公司决策程序效率不高；②公司人员违反内部规章，但未形成损失；③公司一般岗位业务人员流失严重；④媒体出现负面新闻，但影响不大，未造成股价异动；⑤公司一般业务制度或系统存在缺陷；⑥公司一般缺陷未得到整改；⑦公司存在除上述之外的其他缺陷。
（三）内部控制缺陷认定及整改情况
1.财务报告内部控制缺陷认定及整改情况根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告内
部控制重大缺陷及重要缺陷。
2.非财务报告内部控制缺陷认定情况根据上述非财务报告内部控制缺陷的认定标准，报告期内未发现公司非财务报告内部控制重大缺陷及重要缺陷。
四、其他内部控制相关重大事项说明
公司无其他内部控制相关重大事项说明。
兰州佛慈制药股份有限公司董事会
2019年3月22日