上海雪榕生物科技股份有限公司
内部审计制度
（2023年10月修订）
第一章 总则第一条 为了进一步规范上海雪榕生物科技股份有限公司（以下简称“公司”）内部审计工作，提高内部审计工作质量，保护投资者合法权益，依据《中华人民共和国审计法》、《审计署关于内部审计工作的规定》、《深圳证券交易所创业板股票上市规则》（以下简称“《上市规则》”）、《深圳证券交易所上市公司自律监管指引第2号——创业板上市公司规范运作》等法律、法规、规范性文件以及《上海雪榕生物科技股份有限公司章程》（以下简称“《公司章程》”）的有关规定，结合公司的实际情况，特制定本度。
第二条 内部审计是公司组织的一项重要管理工作,同时也是其它管理系统保持诚实、有效的方法之一。内部审计机构将按照公司的要求开展审计活动。
第三条 内部审计机构的宗旨是：通过开展独立、客观的保证性与咨询性活动，运用系统化和规范化的方法，评价和改进公司风险管理、控制和治理过程的效果，其目的在于为组织增加价值和提高组织的运作效率，帮助组织实现其目标。
第二章 组织机构和人员
第四条 公司设审计部为内部审计机构，对内部控制制度的建立
上海雪榕生物科技股份有限公司 内部审计制度和实施、公司财务信息的真实性和完整性、经营活动的效率和效果等情况进行检查监督。
第五条 内部审计机构对董事会负责，向董事会报告工作。公司董事会下设审计委员会，指导和监督内部审计部门工作。
第六条 内部审计机构是公司组织的一个组成部分，独立于公司其他机构和部门发挥作用，不得置于财务部门的领导之下，或者与财务部门合署办公。内部审计机构和人员应保持独立性和客观性，不得负责被审计单位经营活动和内部控制的决策与执行。
第七条 内部审计机构人员的设置应根据组织的性质、规模、内部治理结构及相关规定，配备一定数量具有相应资格的内部审计专职人员。
第八条 内部审计负责人负责内部审计机构的工作，由审计委员会提名，董事会任免，内部审计负责人协助公司董事会下设的审计委员会工作。
第九条 内部审计人员应运用并信守公正、客观、保密、胜任的原则，有责任保证遵守职业道德和专业标准，在执行审计过程中保持应有的职业谨慎。
第十条 内部审计人员依照本制度执行审计任务，受董事会的支持与有关制度的保护，任何组织和个人不得拒绝、阻碍审计人员执行任务，不得对审计人员进行打击报复。审计人员办理审计事项时，与被审计对象、被审计事项有利害关系的人员应当回避。
第三章 职责和范围
第十一条 内部审计机构和人员的职责是：根据国家法律法规、
上海雪榕生物科技股份有限公司 内部审计制度上市公司规则、《公司章程》及制度等规定，按照《上市规则》、《中国内部审计准则》等要求，通过实施一系列审查和评价活动，向董事会、审计委员会和管理层提供分析、评价、建议、忠告和资料，帮助组织改善风险管理、控制和治理过程，为实现组织的目标服务。
第十二条 内部审计的工作范围主要包括：
（1）对本公司各内部机构、控股子公司以及具有重大影响的参股公司的内部控制制度的完整性、合理性及其实施的有效性进行检查和评估；
（2）对本公司各内部机构、控股子公司以及具有重大影响的参股公司的会计资料及其他有关经济资料，以及所反映的财务收支及有关的经济活动的合法性、合规性、真实性和完整性进行审计，包括但不限于财务报告、业绩快报、自愿披露的预测性财务信息等；
（3）协助公司建立健全反舞弊机制，确定反舞弊的重点领域、关键环节和主要内容，并在内部审计过程中合理关注和检查可能存在的舞弊行为；
（4）至少每季度向审计委员会报告一次，内容包括但不限于内部审计计划的执行情况以及内部审计工作中发现的问题。
第十三条 内部审计部门每季度至少应当对货币资金的内控制度检查一次。在检查货币资金的内控制度时，应当重点关注大额非经营性货币资金支出的授权批准手续是否健全，是否存在越权审批行为，货币资金内部控制是否存在薄弱环节。发现异常的，应当及时向审计委员会汇报。
第十四条 内部审计人员为履行职责而开展的活动尤其应包括：
重要的对外投资事项、购买和出售资产、重要的对外担保、重要的关
上海雪榕生物科技股份有限公司 内部审计制度联交易事项、募投(预算)资金的存放管理与使用情况、业绩快报、信息披露事务管理制度的建立和实施等进行审计和评价，该等事项为年度工作计划的必备内容。内部审计机构应当以业务环节为基础开展审计工作，并根据实际情况，视需要对与财务报告和信息披露事务相关的内部控制设计的合理性和实施的有效性进行评价。
第十五条 内部审计通常应当涵盖公司经营活动中与财务报告和信息披露事务相关的所有业务环节，包括但不限于：销货及收款、采购及付款、存货管理、固定资产管理、资金管理、投资与融资管理、人力资源管理、信息系统管理和信息披露事务管理等。
第十六条 内部审计机构在制定年度审计范围计划时，应在征求董事会、审计委员会和高级管理人员的意见后，根据重要性原则、风险大小、管理需要及审计资源的基础上突出审计的重点和确定先后次序。内审工作的工作程序一般分三个阶段：准备阶段、实施阶段、报告阶段。第十七条内部审计部门应当按照有关规定实施适当的审查程序，评价公司内部控制的有效性，并至少每年向董事会提交一次内部控制评价报告。
评价报告应当说明审查和评价内部控制的目的、范围、审查结论及对改善内部控制的建议。
内部控制审查和评价范围应当包括与财务报告和信息披露事务相关的内部控制制度的建立和实施情况。
内部审计机构应当将大额非经营性资金往来、对外投资、购买和出售资产、对外担保、关联交易、募集资金使用、信息披露事务等事项相关内部控制制度的完整性、合理性及其实施的有效性作为检查和
上海雪榕生物科技股份有限公司 内部审计制度评估的重点。
内部审计机构对审查过程中发现的内部控制缺陷，应当督促相关责任部门制定整改措施和整改时间，并进行内部控制的后续审查，监督整改措施的落实情况。内部审计机构应当适时安排内部控制的后续审查工作，并将其纳入年度内部审计工作计划。内部审计机构在审查过程中如发现内部控制存在重大缺陷或重大风险，应当及时向董事会报告。董事会认为公司内部控制存在重大缺陷或重大风险的，董事会应当及时向交易所报告并予以披露。公司应当在公告中披露内部控制存在的重大缺陷或重大风险、已经或可能导致的后果，以及已采取或拟采取的措施。
第十八条 内部审计负责人应于每个会计年度前两个月负责向审计委员会提交年度预算、计划工作日程表及人力资源计划，以供审批。年度预算和计划工作日程表的重大变动须经过批准。
第十九条 内部审计机构应当在每个会计年度结束后两个月内向审计委员会提出年度内部审计工作报告。
第四章 权限
第二十条 为确保内部审计机构全面履行职责，公司董事会授予其必需的权限如下：
（1）在批准的制度范围内，内部审计机构有权审计所有的工作，有权接触所有记录、人员和与实施审计工作有关的部门，有权向被审计对象进行调查并索取证明材料。
（2）在审计过程中有权与董事会、审计委员会、管理层或其他
上海雪榕生物科技股份有限公司 内部审计制度机构部门等交换意见，进行沟通。有权参加公司财会、业务及经营决策管理的有关会议，有权出席、参加由公司管理层或董事会举行的与内部审计机构职责有关的会议，有权召开与审计事项相关的会议。
（3）有权根据管理层的要求，灵活安排审计项目的范围、深度和时间，对发现的重大风险，有权向高级管理人员、审计委员会和董事会报告。
（4）内部审计活动在确定内部审计范围、实施审计及报告审计结果时应不受干扰，以保证机构及人员的独立性。
（5）经批准，内部审计机构可根据需要，聘请外部专家。聘请外部专家是为了获取充分、可靠的审计证据，补充内部审计力量的不足，保证审计工作的整体质量。
（6）内部审计机构有权与外部审计进行协调，以利于确保充分的审计范围，减少重复审计，降低审计成本，维护公司利益。内部审计机构可根据公司要求对外部审计工作过程及结果的质量进行评价。
（7）内部审计机构履行职责所必需的经费，应当列入财务预算，由本公司予以保证。
第五章 审计报告
第二十一条 审计报告是向被审计者和公司有关部门反映审计结果的有关文件。
（1）内部审计负责人在机构内应向能使内部审计活动实现其职责的阶层报告，内部审计负责人的报告对象为审计委员会。
（2）内部审计机构在提交审计报告之前，应核对事实,征求被审计单位、组织、适当管理层的意见，以便包含不同的资料或观点。
（3）内部审计机构做出的审计结论和处理意见，经批准后，被审计单位和个人必须执行，并在规定期限内将整改情况以书面形式报告审计部门，归档备案。
（4）内部审计机构对被审计单位审计中发现的问题所采取的纠正措施及其效果，实施后续审计。
第六章 内部审计工作程序
第二十二条 内部审计工作程序
（一）内部审计机构制定年度审计计划、目标、工作方案、人力资料计划和财务预算，经批准组织实施。内部审计机构在审计过程中，应充分考虑重要性与审计风险。同时，内部审计机构应使制定的目标、计划、工作方案满足防范风险及管理的需要。
（二）内部审计机构依据批准的内部审计计划、工作方案及实施授权等，做出合理安排，制定详细的审计实施时间表。按时间表逐一书面向被审计对象发出通知，说明审计内容、种类、方式、时间，并做好必要的审计准备工作。
（三）实施审计。审计人员可采取审查凭证、帐表、文件、资料、
检查现金、实物、向有关单位和人员调查取证等措施，深入调查了解被审单位情况，对其经营活动及内部控制的真实性、合法性和有效性等方面进行测试。内部审计人员可以运用座谈、检查、抽样和分析性程序等审计方法，获取充分、相关、可靠的审计证据，以支持审计结论和审计建议，并将收集和评价的审计证据及形成的审计结论和审计建议，记录于审计工作底稿。
（四）提出审计报告，做出审计结论及审计处理意见。
（五）同被审计对象交换意见。
（六）提交审计报告。
（七）下达审查处理决定。
（八）被审计对象、个人在接到审查处理决定15日内，向公司提出书面复审申请，经批准组织复议。复议期间，原审计结论和决定必须照常执行。
（九）进行后续审计，以确保审计报告所提出的审计结论和建议得到有效实施。
（十）重大事项审计报告报股东大会备案。
第七章 内部审计档案管理第二十三条 内部审计人员获取的审计证据应当具备充分性、相关性和可靠性。内部审计人员应当将获取审计证据的名称、来源、内容、时间等信息清晰、完整的记录在工作底稿中。第二十四条 内部审计人员在审计工作中应当按照有关规定编制与复核审计工作底稿，并在审计项目完成后，及时对审计工作底稿进行分类整理并归档。审计项目结束后，应将有关资料整理装订，立卷归档。第二十五条内部审计机构应当建立工作底稿保密制度，并依据有关法律、法规的规定，建立相应的档案管理制度，明确内部审计工作报告、工作底稿及相关资料的保存时间。
第八章 责任与处罚第二十六条 内部审计机构在审计过程中，发现被审计单位的资料有严重不实或者其他违法违纪问题时，应当责令其自行纠正；需要追究有关人员责任的，应当建议有关单位依法予以处理。第二十七条 被审计单位违反本制度规定，拒绝提供与审计事项有关的文件、资料及证明材料的，或者提供虚假资料、阻碍检查的，内部审计机构应当责令其限期改正；情节严重的，报请董事会依照有关规定对有关单位和责任人予以处理。第二十八条 被审计单位无正当理由拒不执行审计结论的，内部审计部门应当责令其限期改正；拒不改正的，报请董事会依照有关规定对有关单位和责任人予以处理。
第二十九条 对被审计单位违反财经法规、造成严重损失浪费行为负有直接责任的主管人员和其他直接责任人员，构成犯罪的，依法追究刑事责任；不构成犯罪的，依照有关规定予以处理。
第三十条 内部审计人员滥用职权、徇私舞弊、玩忽职守、泄漏秘密，构成犯罪的，依法追究刑事责任；不构成犯罪的，依照有关规定予以处理。
第九章 监督
第三十一条 内部审计工作应该得到恰当的监督以确保审计目的得以实现，审计质量得到保证，审计人员得到发展。
第三十二条 审计监督包括内部评价和外部评价。
（1）内部评价，由内部审计机构、审计委员会等掌握审计知识的人员定期开展，评价工作的方法应该与其他评价业务的方法一致。
（2）外部评价，应至少每五年开展一次，由合格的、机构外部的独立评价员或评价小组来进行质量保证检查。
（3）由机构其他部门(如人事、法律或财务部门)的人员开展的评价，不是独立的外部评价，尽管这些部门在机构上独立于内部审计部门，但这些评价人员可能会引发实际的或表面的利益冲突。内部审计负责人应把外部评价结果报告给董事会。
第十章 附则
第三十三条 本制度所称“以上”含本数，“超过”不含本数。
第三十四条 本制度未尽事宜，依照国家有关法律、法规、规范性文件以及《公司章程》的有关规定执行。本制度与有关法律、法规、规范性文件以及《公司章程》的有关规定不一致的，以有关法律、法规、规范性文件以及《公司章程》的规定为准。
第三十五条 本制度由公司董事会负责解释。
第三十六条 本制度自董事会批准之后生效并实施。
上海雪榕生物科技股份有限公司
董事会2023年10月