河南中原高速公路股份有限公司
内部控制评价制度
第一章 总则第一条 为规范河南中原高速公路股份有限公司（以下简称“公司”）内部控制评价工作，及时发现公司内部控制缺陷，提出和实施改进方案，确保内部控制有效运行，根据《企业内部控制基本规范》《企业内部控制评价指引》《上海证券交易所上市公司自律监管指引第1号-规范运作》等国家有关行政法规、规范性文件和《河南中原高速公路股份有限公司章程》等相关规定，结合公司实际，制定本制度。
第二条 本制度所称内部控制评价，是指由公司董事会对公司内部控制有效性进行全面评价、形成评价结论、出具评价报告的过程。
内部控制有效性是指公司建立与实施内部控制能够为控制目标的实现提供合理的保证。
第三条 公司实施内部控制评价，应当遵循下列原则：
（一）全面性原则。评价工作应当包括内部控制的设计与运行，并涵盖公司及其所属单位的各种业务和事项。
（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。在制订和实施评价工作方案、分配评价资源的过程之中，应当坚持风
险导向的原则，着重关注那些影响内部控制目标实现的高风险领域和风险点；坚持重点突出的思路，着重关注那些重要的业务事项和关键的控制环节，以及重要业务单位。
（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
（四）及时性原则。评价工作应当在规定的时间内做出评价结论，并在整改期内及时整改缺陷，评价结论应当基于评价报告基准日及时反映内部控制的重大变化。
（五）一致性原则。评价工作组织、评价程序、评价方法、缺陷认定标准等一经确定，应当在不同的评价期间保持相对一致，保证评价结果的可比性。
（六）独立性原则。内部控制评价机构的确定及评价工作的组织实施应当保持相应的独立性。
（七）成本效益原则。内部控制评价应当以适当的成本实现科学有效的评价。
第四条 公司董事会及其审计委员会负责领导本公司的内部控制评价工作，董事会对内部控制评价报告的真实性、完整性、准确性负责。
第五条 公司监事会对董事会实施内部控制评价进行监督。
第六条 公司审计监督部负责组织和具体实施内部控制评价工作。
第七条 公司内部控制评价，包括年度评价和专项评价。年度评价是指公司根据内部控制目标，对公司会计年度建立与实施内部控制的有效性进行的评价；专项评价是指公司在特定时点对特定范围的内部控制的有效性进行的评价。
第二章 内部控制评价内容与范围第八条 公司内部控制评价主要围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等内部控制要素确定具体评价内容，包括但不限于：内部环境的设计及实际运行情况，日常经营活动中的风险识别、分析、应对策略，各项控制措施设计及运行情况，信息收集、处理和传递的及时性，反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，内部监督的有效性等。
第九条 实施内部控制评价，包括对内部控制设计有效性和运行有效性的评价。
内部控制设计有效性是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行有效性是指现有内部控制按照规定程序得到了正确执行。
第十条 审计监督部对内部控制的有效性进行评价时，应涉及下列内容：
（一）内部控制是否在风险评估的基础上涵盖了公司层面的风险和所有重要的业务流程层面的风险；
（二）内部控制设计的方法是否适当，内部控制建设的
时间进度安排是否科学、阶段性工作要求是否合理；
（三）内部控制设计和运行的组织是否有效，人员配备、职责分工和授权是否合理；
（四）是否开展内部控制自查并上报有关自查报告；
（五）是否建立有利于促进内部控制各项政策措施落实和问题整改的机制；
（六）在评价期间是否出现过重大风险事故等。
第十一条 内部控制评价应当遵循风险导向、自上而下的原则来确定评价范围，包括需要评价的分、子公司、重要业务单元、重点业务领域或流程环节。
第十二条 内部控制评价工作应当形成工作底稿，详细记录公司执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。工作底稿应当设计合理、证据充分、简便易行、便于操作。
第三章 内部控制评价程序、方法
第十三条 公司内控自我评价应当以日常监督、专项监督、年度综合自我评价三种方式分别展开。年度综合自我评价应按照制定评价工作方案、组成评价工作组、实施现场检查测试、认定控制缺陷、提出整改意见、落实整改完成情况、汇总评价结果、编报评价报告等程序开展。
第十四条 开展评价工作前，审计监督部应根据公司整体控制目标，制定内部控制评价工作方案，明确评价目的、
范围、组织、标准、方法、进度安排等内容，报董事会审计委员会审批。
第十五条 内部控制评价工作方案审批通过后，审计监督部应组织成立评价工作组具体实施内部控制评价工作，必要时可以委托中介机构实施内部控制评价。为公司提供内部控制审计服务的会计师事务所，不得同时为公司提供内部控制评价服务。
第十六条 评价工作组应根据评价工作方案对被评价单位进行现场测试，以充分收集被评价单位内部控制设计和运行是否有效的证据，测试的方法包括但不限于：
（一）个别访谈法。是指根据检查评价需要，对被检查单位员工进行单独访谈，以获取有关信息。
（二）调查问卷法。是指设置问卷调查表，分别对不同层次的员工进行问卷调查，根据调查结果对相关项目作出评价。
（三）比较分析法。是指通过分析、比较数据间的关系、趋势或比率来取得评价证据的方法。
（四）标杆法。是指通过与组织内外部相同或相似经营活动的最佳实务进行比较而对控制设计有效性评价的方法。
（五）穿行测试法。是指通过抽取一份全过程的文件，来了解整个业务流程执行情况的评价方法。
（六）抽样法。是指针对具体的内部控制业务流程，按
照业务发生频率及固有风险的高低，从确定的抽样总体中抽取一定比例的业务样本，对业务样本的符合性进行判断，进而对业务流程控制运行的有效性作出评价。
（七）实地查验法。是指对财产进行盘点、清查，以及对存货出、入库等控制环节进行现场查验。
（八）重新执行法。是指通过对某一控制活动全过程的重新执行来评价执行情况的方法。
（九）专题讨论会法。是指通过召集与业务流程相关的管理人员就业务流程的特定项目或具体问题进行讨论及评价的一种方法。
第十七条 根据现场测试情况，评价工作组应如实填写内控评价测试工作底稿，研究分析内部缺陷。
第十八条 审计监督部根据评价工作组成果，对被评价单位内部控制的设计与运行有效性进行初步判断，并充分评估可能导致内部控制失效的风险。
对内部控制设计和运行有效性进行判断时应考虑下列因素：
（一）是否针对风险设置了合理的细化控制目标；
（二）是否针对细化控制目标设置了对应的控制活动；
（三）相关控制活动是如何运行的；
（四）相关控制活动是否得到了持续有效的运行；
（五）实施相关控制活动的人员是否具备必要的授权
和专业胜任能力。
评估导致内部控制失效的风险时应考虑下列因素：
（一）控制活动的类型。一般包括人工控制和自动控制、预防性控制和发现性控制等。
（二）控制活动的复杂性。通常与企业组织结构、市场环境、经营规模、人员素质等相关。
（三）管理层凌驾内部控制的风险。
（四）实施控制活动所需要的职业判断的程度。
（五）控制活动所针对风险事项的性质及其重要性。
（六）一项控制活动对其他控制活动有效性的依赖程度。
第四章 内部控制缺陷的认定
第十九条 在内部控制评价中，应对内部控制缺陷进行分类分析。内部控制缺陷一般可分为设计缺陷和运行缺陷:
（一）设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当、即使正常运行也难以实现控制目标。
（二）运行缺陷是指设计有效（合理且适当）的内部控制由于运行不当（包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当，没有得到一贯有效运行等）而形成的内部控制缺陷。
第二十条 根据内部控制缺陷影响整体控制目标实现的
严重程度，将内部控制缺陷分为重大缺陷、重要缺陷和一般缺陷:
（一）重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。
（二）重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。
（三）一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。
第二十一条 公司在确定内部控制缺陷的认定标准时，应当充分考虑内部控制缺陷的重要性及其影响程度。按照内部控制缺陷对财务报告目标和其他内部控制目标实现影响的具体表现形式，区分财务报告内部控制缺陷和非财务报告内部控制缺陷。财务报告内部控制缺陷认定标准直接取决于该内部控制缺陷的存在可能导致的财务报告错报的影响程度，非财务报告内部控制缺陷认定取决于对除财务报告目标之外的其他目标实现的影响程度。公司对财务报告内部控制缺陷认定与非财务报告内部控制缺陷认定均制定了定量标准与定性标准，具体认定标准如下：
（一）财务报告内控缺陷定量标准
如果该缺陷单独或连同其他缺陷可能导致利润总额潜在错报小于利润总额的5%或资产总额潜在错报小于资产总
额的0.3%，则认定为一般缺陷；如果利润总额潜在错报大于等于利润总额的5%、小于10%或资产总额潜在错报大于等于资产总额的0.3%、小于0.5%，则认定为重要缺陷；如果利润总额潜在错报大于等于利润总额的10%或资产总额潜在错报大于等于资产总额的0.5%，则认定为重大缺陷。
（二）财务报告内控缺陷定性标准
发生以下任一情形通常被认定为重大缺陷：发现管理层存在的任何程度的舞弊；影响收益趋势的缺陷；影响关联交易总额超过股东大会批准的关联交易额度的缺陷；外部审计发现的重大错报不是由公司首先发现的；审计委员会和内部审计机构对内部控制的监督无效。
（三）非财务报告内控缺陷定量标准
如果该缺陷单独或连同其他缺陷可能导致的资产损失金额大于10万元但小于3000万元，则认定为一般缺陷；如果产生资产损失金额大于3000万元（含3000万元）但小于5000万元，则认定为重要缺陷；如果大于5000万元（含5000万元），则认定为重大缺陷。
（四）非财务报告内控缺陷定性标准
如果公司受到省级（含省级）以下政府部门处罚但未对本公司定期报告披露造成负面影响，认定为一般缺陷；如果受到国家政府部门处罚但未对本公司定期报告披露造成负面影响，认定为重要缺陷；如果受到国家政府部门处罚，已
经对外正式披露并对本公司定期报告披露造成负面影响，缺乏决策程序或决策程序不科学导致重大失误，重要业务缺乏制度控制或制度系统性失败，或者内部控制评价确认的重大或重要缺陷未得到整改，则认定为重大缺陷。
第二十二条 公司可以根据被评估的整体控制目标的不同和风险承受能力的变化，适当调整内部控制缺陷认定标准，但必须报董事会批准，并对外进行披露。
第二十三条 审计监督部负责汇总内部控制评价缺陷清单，编制内部控制缺陷认定表，结合日常监督及专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，依据内控缺陷的严重程度向审计委员会、董事会报告，并通报管理层。重大缺陷由董事会予以最终认定，对于认定的重大缺陷，应当及时采取应对措施，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。
第五章 评价报告
第二十四条 审计监督部依据内部控制缺陷认定结果编制年度内部控制评价报告初稿，报审计委员会审议；审议通过后提交董事会、监事会审议。内部控制评价报告应当分别对内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。
内部控制评价报告一般应当包括下列内容：
（一）董事会对内部控制报告真实性的重要声明；
（二）内部控制评价结论；
（三）内部控制评价工作情况，包括内部控制评价范围、内部控制评价工作依据、内部控制缺陷认定标准、内部控制缺陷认定及整改情况等；
（四）其他内部控制相关重大事项说明。
第二十五条 内部控制评价报告应当报经董事会批准后对外披露。
公司以12月31日作为年度内部控制评价报告的基准日，内部控制评价报告应于基准日后4个月内报出，并与内部控制审计报告同时对外披露或报送。
审计监督部应当关注在报告基准日至报告发出日之间是否发生影响内部控制目标有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。
第六章 附则
第二十六条 本制度由公司审计监督部负责解释。
第二十七条 本制度自发布之日起执行，原《河南中原高速公路股份有限公司内部控制评价制度》（豫高股审[2013]258号）同时废止。