| 北京市东城区朝阳门北大街 8号富华大厦A座9层 | 联系电话: telephone: | +86(010)6554 2288 +86(010)6554 2288 | ||
| ShineWing certified public accountants | 9/F, Block A, Fu Hua Mansion, No.8, Chaoyangmen Beidajie, Dongcheng District, Beijing, 100027, P.R.China | 传真: facsimile: | +86(010)6554 7190 +86(010)6554 7190 | |
内部控制鉴证报告
XYZH/2019KMA30201云南旅游股份有限公司全体股东：
我们接受委托，对后附的云南旅游股份有限公司（以下简称“云南旅游公司”） 按照《企业内部控制基本规范》及相关规定对2018年12月31日与财务报告相关的内部控制有效性的自我评价报告执行了鉴证工作。
云南旅游公司管理层的责任是按照《企业内部控制基本规范》及相关规定建立健全内部控制并保持其有效性，以及保证自我评估报告真实、准确、完整地反映与财务报表相关的内部控制。我们的责任是对云南旅游公司与财务报告相关的内部控制有效性发表鉴证意见。
我们按照《中国注册会计师其他鉴证业务准则第3101号－历史财务信息审计或审阅以外的鉴证业务》的规定执行了鉴证工作，以对与财务报告相关的内部控制度有效性是否不存在重大错报获取合理保证。在执行鉴证工作的过程中，我们实施了包括了解、测试和评价内部控制设计的合理性和执行的有效性，以及我们认为必要的其他程序。我们相信，我们的鉴证工作为发表意见提供了合理的基础。
内部控制具有固有限制，存在不能防止和发现错报的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制鉴证结果推测未来内部控制有效性具有一定风险。
我们认为，云南旅游公司按照《企业内部控制基本规范》及相关规定于2018年12月31日在所有重大方面保持了与财务报告相关的有效的内部控制。
| 信永中和会计师事务所（特殊普通合伙） | 中国注册会计师： 张为 | |
| 中国注册会计师： 杨文华 | ||
| 中国 北京 | 二○一九年四月二十二日 |
云南旅游股份有限公司2018年度内部控制评价报告
云南旅游股份有限公司全体股东：
根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称企业内部控制规范体系），结合云南旅游股份有限公司（以下简称“公司”）内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2018年12月31日（内部控制评价报告基准日）的内部控制有效性进行了评价。
一、重要声明
按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。公司董事会、监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实
性、准确性和完整性承担个别及连带法律责任。
公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。
二、内部控制评价结论
根据公司财务报告内部控制重大与重要缺陷认定标准，于内部控制评价报告基准日，公司不存在财务报告内部控制重大与重要缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。
根据公司非财务报告内部控制重大与重要缺陷认定标准，于内部控制评价报告基准日，公司不存在非财务报告内部控制重大与重要缺陷。
自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。
三、内部控制评价工作情况
（一）内部控制基本情况
公司按照《公司法》、《企业内部控制基本规范》、《公司章程》等的规定，建立了科学、规范的公司治理结构和议事规则，明确了决策、执行、监督等方面的职责权限，形成了科学有效的职责分工和制衡机制。建立了人力资源管理、内部监督、资金、预算管理等相对全面的管理规定和要求，符合现代化企业管理要求。
在内部控制体系建立和完善的同时，结合公司现有内控体系与公司原有管理制度，建立了风险评估体系，在内部控制体系建设过程中，坚持风险导向原则，针对发现的问题及时整改，优化公司的内部控制，健全公司的内部控制管理。
（二）内部控制评价范围
公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。
2018年纳入评价范围的主要单位包括如下：
| 公司名称 | 公司类型 | 持股比例 |
| 云南旅游股份有限公司 | 母公司 | |
| 云南旅游汽车有限公司 | 全资子公司 | 100% |
| 云南世博旅游景区投资管理有限公司 | 全资子公司 | 100% |
| 云南世博花园酒店有限公司 | 全资子公司 | 100% |
| 江南园林有限公司 | 控股子公司 | 80% |
| 云南世博兴云房地产有限公司 | 控股子公司 | 55% |
纳入评价范围单位资产总额占公司合并财务报表资产总额的85.07%，纳入评价范围的主要业务包括景区、交通运输、酒店、房地产、园林绿化等业务；主要事项包括组织架构、发展战略、人力资源、社会责任、企业文化、风险评估、资金管理、筹资管理、投资管理、全面预算、采购业务、资产管理、销售与收款业务、工程项目、担保业务、关联交易、财务报告、全面预算、合同管理、内部信息传递、内部审计、信息系统等；重点关注的高风险领域主要包括资金管理、筹资管理、财务报告、担保业务、关联交易等。
公司纳入评价范围的业务和事项具体情况如下：
1．控制环境
（1）治理结构公司严格按照《公司法》、《证券法》和证监会有关的规定，设立了股东大会、董事会和监事会，分别作为公司的权力机构、执行机构和监督机构。公司根据权力机构、执行机构和监督机构相互独立、相互制衡、权责明确的原则，建立了规范健全的公司治理结构和议事规则，制（修）定了《公司章程》、《股东大会议事规则》、《董事会议事规则》、《监事会议事规则》、《独立董事制度》、《董事会秘书工作细则》、董事会下设各委员会工作制度、《总经理工作细则》等制度，明确决策、执行、监督等方面的职责权限，形成了科学有效的职责分工和制衡机制。
（2）组织结构公司根据《公司法》等法律法规建立了股东大会、董事会、监事会和经营层等组织管理框架体系。设立了符合公司业务规模和经营管理需要的组织结构；遵循相互监督、相互制约、协调运作的原则设置部门和岗位。
股东大会：行使公司最高权力，公司股东大会能够确保所有股东，特别是中小股东享有平等地位，确保所有股东能够充分行使自己的权利。
董事会：行使经营决策权，对公司内部控制体系的建立和监督负责，建立和完善内部控制的政策和方案，监督内部控制的执行。公司董事会由9名董事组成，其中独立董事3名。董事会秘书负责公司信息披露工作，证券部具体办理信息披露事务。
监事会：行使监督权，对公司董事、高级管理人员的行为和公司财务进行监督、检查，向股东大会负责并报告工作。公司监事会由5名监事组成，其中职工监事2名。
经营层：行使执行权，公司经营层向董事会负责，执行董事会决议，负责公司内部控制制度的具体制定和有效执行。
公司根据《公司法》、《公司章程》等的有关规定，健全和规范公司内部控制的组织架构，确保了公司股东大会、董事会、监事会、以及董事会领导下的公司管理层等机构的操作规范、运作有效，维护了投资者和公司利益。
（3）发展战略
公司董事会下设战略委员会，负责公司发展战略管理工作并严格按照法律法规及章程履行职责。公司将始终围绕“全域旅游综合服务商”定位实施经营管理和投资发展，逐步构建各业务板块战略发展、协同发展机制，优化各业务板块企业的业务战略、转型提升路径。
（4）人力资源公司董事会设立的专门工作机构董事会薪酬与考核委员会主要负责制定、审核公司董事及经理人员的薪酬方案和考核标准。薪酬与考核委员会直接对公司董事会负责。公司已建立人力资源管理制度，对公司各职能部门的职责、员工聘用、试用、任免、调岗、解职、交接、奖惩等事项等进行明确规定，确保相关人员能够胜任；制定并实施人才培养方案，以确保经理层和全体员工能够有效履行职责；2018年公司根据实际情况修订了《公司高级管理人员薪酬激励与绩效考核管理办法》。
（5）社会责任公司认真履行企业应尽的社会责任和义务，建立健全安全、质量、 环境管理体系，在保护股东利益的同时，切实诚信对待和保护其他利益相关者，促进公司与社会和谐发展。公司牢固树立“安全第一”的思想，健全了安全生产检查监督机制，持续推进安全标准化工作，不断提升应急处理能力，开展预案演练、森林火灾、交通运输隐患排查等工作，确保各项安全措施落实到位。
（6）企业文化公司历来重视企业文化建设，通过宣传和强化企业文化理念，公司得以提高人员素质、团队精神和工作效率，全面打造和提升企业核心竞争力。公司注重对员工的职业健康培训，通过制定员工劳动安全和权利保障制度，为员工提供良好的工作环境。同时还建立了员工健康档案，以保护公司员工身体健康。
2．风险评估公司根据华侨城集团《关于开展华侨城集团有限公司2019 年全面风险管理工作有关事项的通知》侨城集字〔2018〕395 号，结合企业实际情况对公司2018年风险进行评估并对2019年度企业经营风险进行预判，提高防控能力，着力防范和化解重大风险。
3．控制活动
（1）资金营运管理
公司已建立《财务管理制度》、《重要财务决策规则》、《资金管理办法》、《公司差旅费管理办法》（修订）等相关制度，并对货币资金的收支和保管业务建立严格的授权批准程序，办理货币资金业务的不相容岗位已作分离，相关机构和人员存在相互制约关系。报告期内，公司对
资金营运管理的内部控制严格、充分、有效，未有违反《内部控制指引》及有关规定的情形发生。
（2）筹资管理公司已形成了筹资业务的管理制度，能合理地确定筹资规模和筹资结构，选择恰当的筹资方式，严格地控制财务风险，以降低资金成本。公司筹措的资金没有背离原计划使用的情况。
（3）募集资金管理
公司严格按照《公司章程》及《募集资金管理制度》的相关规定对公司募集资金进行使用和管理，公司定期全面核查募集资金投资项目的进展情况，并在年度报告中进行了披露。报告期内，公司没有违反《深圳证券交易所中小板上市公司规范运作指引》和《募集资金管理制度》的情形发生。
（4）投资管理
为严格控制投资风险，公司建立了较科学的对外投资决策程序，实行重大投资决策的责任制度，对投资项目的立项、评估、决策、实施、管理、收益等环节的管理较强。报告期内，公司没有偏离投资政策和程序的行为。
（5）采购管理
公司制定了《采购管理办法》等方面的主要控制制度，合理设置采购和付款的业务部门和岗位，明确职责和权限，加强对物资计划的编制与审批、供应商的选择、采购方式的选择、采购价格的确定、采购合同的签订、验收、付款等环节的控制，堵塞采购环节的漏洞，减少采购风险，确保物资采购满足生产经营需要。
（6）资产管理
实物资产管理：公司已建立了实物资产管理的岗位责任制度，能对实物资产的验收入库、领用发出、保管及处置等关键环节进行控制，采取了职责分工、实物定期盘点、财产记录、账实核对、财产保险等措施，能够较有效地防止各种实物资产的被盗、偷拿、毁损和重大流失。
固定资产管理：公司已建立了较科学的固定资产管理模式。固定资产实行“统一管理、统一调度、分级使用、分级核算”的办法。
（7）销售与资产出租资产管理
公司已制定了比较可行的销售政策，已对定价原则、信用标准和条件、收款方式及涉及销
售业务的机构和人员的职责权限等相关内容作了明确规定。公司实行催款回笼责任制，加强对应收账款的管理力度，公司和下属企业一律将收款责任落实分解到相关部门，并将应收账款回收率列作绩效考核主要指标之一。
（8）工程项目管理
公司制定《工程建设管理办法》、《效能监察实施办法》，规范了工程项目咨询、勘察、设计、施工、安装、监理等招投标及工程项目的前期准备阶段、实施阶段、工程竣工验收阶段、资料移交、归档等工作流程， 合理设置了相关部门和岗位的职责权限,做到可行性研究与决策、预算编制与审核、竣工决算等不相容职务相互分离，确保工程项目的质量、进度和资金安全。
（9）担保业务
公司建立健全了《对外担保管理办法》，明确规定了对外担保的基本原则、对外担保对象的审查程序、对外担保的审批程序、对外担保的管理程序、对外担保的信息披露等。报告期内，公司对外担保的内部控制严格、充分、有效，未有违反《内部控制指引》的情形发生。
（10）关联交易管理
公司严格按照深交所《股票上市规则》、《内部控制指引》、《公司章程》、《关联交易决策制度》等有关文件规定，对关联交易行为进行全方位管理和控制，明确划分公司股东大会、董事会对关联交易事项的审批权限，规定关联交易事项的审议程序和回避表决要求。对公司关联交易的决策程序、信息披露原则等作了明确规定。报告期内，公司对关联交易的内部控制严格、充分、有效，未有违反有关规定的情形发生，有效保护了公司及中小股东的利益。
（11）财务报告
公司财务报告以真实的交易事项和完整、准确的账簿记录等资料为依据。并结合实际，明确了公司会计政策的依据是执行《企业会计准则》、及国家相关的法律、行政法规；规范了财务报告的内容、报送方式、报送时间、报告管理及各环节的职责分工和岗位分离, 确保了财务报告的真实完整。
（12）全面预算管理
本公司已制定全面预算管理制度，明确预算的编制、审批、执行、分析与考核等各部门、各环节的职责任务、工作程序和具体要求。公司预算编制完成并经批准后，各业务部门严格执行。公司对预算执行情况进行定期分析与检查制度，及时发现和纠正预算执行过程中存在的问
题。
（13）法务和合同管理
为防控法律风险，公司制定了《合同事务管理办法》，明确了合同归口管理部门及合同的拟定、审批、执行、变更和解除、纠纷处理、监督检查等环节的程序和要求，定期开展检查和评价合同管理中存在的问题，促进合同有效履行，切实维护企业合法权益。
（14）绩效考评
公司建立了完整的绩效考核管理体系，制定了《公司高级管理人员薪酬与绩效考核管理办法》、《公司所属二级企业负责人年度经营业绩考核办法》，坚持透明公开、规范考核的原则，通过分解经营指标、签订目标责任书、召开经济运营分析会、现场调研等方式，不断加强对所属企业年度经营业绩指标的管控，做到绩效考核结果与企业负责人薪酬激励、职工奖惩的运用和挂钩。
（15）突发事件应急机制
公司建立了突发事件应急处理机制，对可能发生的突发事件，制定了应急预案，明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。
公司针对可能发生的安全事故，不但制定了安全事故综合应急预案，还针对各业务板块较易发生的安全事故，分别制定了世博片区森林火灾应急处置预案、世博园区旅游安全事故应急处置预案、重特大交通事故处理预案、酒店消防安全疏散预案等专项应急预案。
（16）对子公司管理
公司制定了《控股子公司管理制度》、《公司所属二级企业负责人薪酬管理办法（试行）》、《公司所属二级企业负责人年度经营业绩考核办法》通过向全资及控股子公司委派董事、监事及重要高级管理人员加强对其的管理，公司依照经营管理战略，并结合各控股子公司的经营、管理特点，督促其制定了年度经营管理目标，进一步建立健全控股子公司绩效考核制度。报告期内，公司对子公司管理内部控制严格、充分、有效，未有违反《内部控制指引》的情形发生。
4．信息与沟通
（1）内部信息传递
公司建立了覆盖各部门及控股子公司的计算机信息网络，建立并使用了 OA 协同办公系统，在公文收发、工作流程管理、信息传递等方面开展了信息化应用，有效加快了信息沟通、共享，
及时有效地反映了公司生产经营业绩，促进生产经营信息在公司内部各管理层之间的有效沟通和充分利用。
（2）信息披露及控制
公司制定了《信息披露事务管理制度》、《公司债务融资工具信息披露管理制度》对公司信息披露内容、程序、责任人的职责、记录与保管、披露信息的保密、信息沟通等加以明确与规范。确保信息披露责任人知悉公司各类信息并及时、准确、完整、公平地对外披露。公司对信息披露的内部控制严格、充分、有效，未有违反《内部控制指引》及有关规定的情形发生。
（3）信息系统
公司在电子信息系统开发、运行、维护、网络的使用、数据资料的安全、文件的储存保管、信息使用等方面进行了规范。并利用防火墙等设备，有效防止了外部的非法访问，确保了各应用系统正常、安全、受控、有效运行，提高了工作和决策效率。
5．内部监督
公司制定了《董事会审计委员会实施细则》、《内部审计制度》等相关制度，明确了内部审计和监督的权限和程序，完善了公司内部控制制度的实施。公司董事会下设审计委员会，监督和审议公司定期报告、内部控制报告等重大事项，并向董事会报告工作。董事会审计委员会下设独立的内部审计部门并独立开展审计工作。全面负责内部审计及内部检查工作对公司的内部控制制度的建立和实施、公司经营情况、财务情况进行审计和监督，独立行使审计监督职权。
2018年公司审计部严格按照《内部审计制度》，有效发挥监督作用，保证了公司规范、高效、稳健经营。
（三）内部控制评价工作依据及缺陷认定标准
1．内部控制评价工作依据
公司依据企业内部控制规范体系及《深圳证券交易所中小企业板上市公司规范运作指引》、《深圳证券交易所股票上市规则》及公司《内部控制评价手册》、《内部审计制度》等相关法律、法规和内部规章制度的要求，组织开展内部控制评价工作。通过组织相关单位（部门）对内控设计与运行情况进行自评，汇总内部控制评价工作底稿，撰写内部控制评价报告。
2．内部控制缺陷认定标准
公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定要求，结
合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于公司的内部控制缺陷具体认定标准，并与以前年度保持一致。公司确定的内部控制缺陷认定标准如下：
（1）财务报告内部控制缺陷认定标准
财务报告内部控制缺陷：指不能合理保证财务报告可靠性的内部控制设计和运行缺陷，即不能及时防止或发现并纠正财务报告错报的内部控制缺陷。
| 内控缺陷严重程度评估标准 | 定量判断 | 定性判断 |
| 重大缺陷 | ?资产总额：≥ 3% ?经营收入总额：≥ 3% ?所有者权益≥ 0.2% ?利润总额：≥ 3% | 1）发现公司董事、监事和高级管理人员存在的任何程度的舞弊； 2）公司对已经公告的财务报告出现的重大差错进行错报更正； 3）控制环境无效； 4）审计委员会和内部审计机构对内部控制的监督无效； 5）影响收益趋势的缺陷； 6）影响关联交易总额超过股东批准的关联交易额度的缺陷； 7）当期财务报告存在重大错报，而内部控制在运行过程中未能发现该错报； 8）其他可能影响报表使用者正确判断的缺陷。 |
| 内控缺陷严重程度评估标准 | 定量判断 | 定性判断 |
| 重要缺陷 | ?资产总额：≥ 1% 且＜3% ?经营收入总额：≥ 1% 且＜3% ?所有者权益≥ 0.1% 且<0.2% ?利润总额：≥ 1% 且<3% | 1）未依照公认会计准则选择和运用会计政策； 2）未建立反舞弊程序和控制措施； 3）对于非常规或特殊交易的账务处理没有建立相应的控制机制或没有实施且没有相应的补偿性控制； 4）对于期末财务报告过程的控制存在一项或多项缺陷且不能合理保证编制的财务报表达到真实、准确的目标。 |
| 一般缺陷 | ?资产总额：＜1% ?经营收入总额：＜1% ?所有者权益＜0.1% ?利润总额：＜1% | 1）可能有财务信息错报，但只对信息准确性有轻微影响，不会影响使用者的判断； 2）外部审计中非重要的发现。 |
（2）非财务报告内部控制缺陷认定标准
非财务报告内部控制缺陷：指不能合理保证实现除财务报告目标之外的其他目标的内部控制设计和运行缺陷，这些目标包括战略目标、经营目标、合规目标等。
| 内控缺陷严重程度评估标准 | 定量判断 | 定性判断 |
| 重大缺陷 | ?非财务报告控制缺陷造成公司直接财产损失金额在300万元以上的 ?已经对外正式披露并对本公司定期报告披露造成负面影响 | 1）公司决策程序导致重大失误； 2）公司违反国家法律法规并受到200万元以上的罚款； 3）媒体频现负面新闻，涉及面广且负面影响一直未能消除； 4）公司重要业务缺乏 制度控制或制度体系失效； 5）公司内部重大缺陷或重要缺陷未得到整改； |
| 内控缺陷严重程度评估标准 | 定量判断 | 定性判断 |
| 6）公司遭受证监会处罚或证券交易所警告。 | ||
| 重要缺陷 | ?非财务报告控制缺陷造成公司直接财产损失金额在100万元（含）以上、300万以下的 ?受到国家政府部门处罚但未对本公司定期报告披露造成负面影响 | 1）公司决策程序导致出现一般错误； 2）公司违反企业内部规章，形成损失； 3）公司关键岗位业务人员流失严重； 4）公司重要业务制度或系统存在缺陷； 5）公司内部重要或一般缺陷未得到整改； |
| 一般缺陷 | ?非财务报告控制缺陷造成公司直接财产损失金额在10万元（含）以上、100万元以下的 ?受到省级（含省级）以下政府部门处罚但未对本公司定期报告披露造成负面影响 | 指除重大缺陷、重要缺陷之外的其他缺陷。 |
3.内部控制缺陷认定及整改情况
（1）财务报告内部控制缺陷认定及整改情况
根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告内部控制重大
与重要缺陷，也不存在上年度末未完成整改的财务报告内部控制重大与重要缺陷。
（2）非财务报告内部控制缺陷认定及整改情况
根据上述非财务报告内部控制缺陷的认定标准，报告期内公司不存在非财务报告内部控制重大与重要缺陷，也不存在上年度末未完成整改的非财务报告内部控制重大与重要缺陷。
四、公司其他内部控制相关重大事项说明
无
云南旅游股份有限公司
二Ｏ一九年四月二十二日