云南白药集团股份有限公司合规管理办法（试行）
（经第十届董事会2024年第四次会议审议通过）
第一章 总则第一条 为推动云南白药集团股份有限公司（以下简称“公司”）合规管理，有效防控合规风险，促进公司依法合规经营，根据《中华人民共和国公司法》《中华人民共和国企业国有资产法》和《企业国有资产监督管理暂行条例》，以及《上市公司治理准则》和《公司章程》等规定，参照《中央企业合规管理办法》《云南省省属企业合规管理指引（试行）》等，结合公司实际情况，制定《云南白药集团股份有限公司合规管理办法》（以下简称“本办法”）。第二条 本办法适用于公司本部，以及公司的控股子公司和所控制的下属企业及机构（以下简称“各业务单位和职能部门”）的合规管理工作。公司建立统一管理、分级负责的合规管理体制。各业务单位和职能部门负责落实各自的合规管理工作，可根据合规管理工作的实际需要，按照本办法制定本单位和本部门的合规管理制度，报公司合规管理牵头部门备案后实施。各业务单位和职能部门的合规管理工作接受公司董事会、经营层和合规管理牵头部门的统一领导、监督和业务指导。第三条 本办法所称合规，是指公司经营管理行为和员工履职行为符合国家法律法规、监管规定、行业准则和国际条约、规则，以及
公司章程、内部规章制度等要求。
本办法所称合规风险，是指公司及其员工在经营管理过程中因违规行为引发法律责任、造成公司经济或者声誉损失以及其他负面影响的可能性。本办法所称合规管理，是指公司以经营管理行为和员工履职行为为对象，开展的包括建立合规管理制度、完善运行机制、培育合规文化、强化监督问责等有组织、有计划的管理活动。
第二章 目标、原则与依据
第四条 公司实施合规管理的总体目标是有效防控合规风险，反对各种类型的商业贿赂和利益输送，强化公司法治建设，提升公司依法合规经营管理水平，保障公司基业长青。
第五条 公司合规管理工作，坚持以下原则：
（一） 坚持党的领导。充分发挥党委(党组)的领导作用，落实全面依法治国战略部署有关要求，把党的领导贯穿合规管理全过程。
（二） 坚持全面覆盖。将合规要求嵌入经营管理各领域各环节，贯穿决策、执行、监督全过程，落实到各业务单位、职能部门和全体员工，实现多方联动、上下贯通。
（三） 坚持权责清晰。按照“管业务必须管合规”的要求，对业务单位及职能部门、合规管理牵头部门的合规职责进行明确界定，严格落实员工合规责任，对违规行为严肃问责。
（四） 坚持务实高效。建立健全符合企业实际的合规管理体系，
突出对重点领域、关键环节和重要人员的管理，充分利用大数据等信息化手段，切实提高合规管理效能。
第六条 公司各下属业务单位及职能部门除遵守公司及各自合规管理制度外，还应不断梳理所涉及的法律法规、监管规定、行业准则、国际规则及内部规章制度等的新要求，作为开展合规管理工作的依据。第七条 公司根据实际情况，在机构、人员、经费、技术、系统等方面为合规管理工作提供必要条件，保障相关合规管理工作有序开展。
第三章 合规管理组织及其职责
第八条 公司党委发挥把方向、管大局、促落实的领导作用，推动合规要求在公司得到严格遵循和落实，不断提升公司合规经营管理水平。
公司党委工作机构在党委领导下，按照有关规定履行相应职责，推动相关党内法规制度有效贯彻落实。
第九条 董事会合规管理职责主要包括：
（一） 批准公司合规体系建设方案、合规管理规划、基本制度和合规管理年度报告；
（二） 推动完善合规管理体系，合理配置合规管理工作所需的相关资源；
（三） 决定合规管理牵头部门的设置和职能；
（四） 研究决定合规管理有关重大事项；
（五） 按照权限决定有关违规人员的处理事项；
（六） 公司章程规定的其他合规管理职责。
第十条 监事会合规管理职责主要包括：
（一） 监督董事会的决策与流程是否合规；
（二） 监督董事和高级管理人员合规管理职责履行情况；
（三） 对引发重大合规风险负有主要责任的董事、高级管理人员提出罢免建议；
（四） 公司章程规定的其他合规职责。
第十一条 经营层的合规管理职责主要包括：
（一） 根据董事会决定，建立健全合规管理组织架构；
（二） 批准合规管理具体制度规定；
（三） 研究制订合规体系建设方案，经董事会批准后组织实施；
（四） 对合规管理牵头部门进行管理；
（五） 批准合规管理计划，采取措施确保合规制度得到有效执行；
（六） 根据公司审核流程，由业务部门制定和提出具体流程，经集团办公会审议批准，完善合规管理流程，确保合规要求融入业务领域；
（七） 及时制止并纠正不合规的经营行为，按照相关权限由业务部门对违规人员提出具体处理意见；
（八） 公司章程或经董事会授权的其他合规管理职责。
第十二条 法务与合规部作为公司合规管理牵头部门，负责日常合规管理工作。主要职责包括：
（一） 执行建立健全公司合规体系具体工作，研究起草合规管理计划、基本制度和管理办法等规定；
（二） 持续关注法律法规等规则变化，指导各部门开展合规风险识别和预警，参与公司重大事项合规审查和风险应对；
（三） 组织开展合规检查与评价考核，对制度、流程、合规遵从情况进行评价，督促违规整改和持续改进；
（四） 推动公司下属业务单位和职能部门开展并完善合规管理，指导公司下属业务单位和职能部门开展合规风险评估、分析，提出风险防控整改意见，对下属业务单位的合规工作进行评价；
（五） 受理职责范围内的违规举报，组织或参与对违规事件的调查，并提出处理建议；
（六） 组织开展合规培训及宣传，提高员工合规意识和合规水平，推进合规管理信息化建设；
（七） 完成董事会、经营层主要领导和合规管理负责人交办的其他合规管理工作。
第十三条 公司的各业务单位或职能部门负责人作为本单位或本部门的合规第一责任人承担合规管理的主体责任，按照“管业务必须管合规”的要求，带领所在单位或部门履行合规管理“第一道防线”职责，包括但不限于以下：
（一） 建立健全本业务单位、职能部门合规管理的组织人员、具体制度和工作流程，将集团合规管理要求嵌入其中，开展业务单位、职能部门合规风险识别评估，编制风险清单和应对预案。
（二） 定期梳理本单位或本部门重点岗位合规风险，将合规要求纳入岗位职责。
（三） 负责本部门经营管理行为的合规审查。
（四） 及时报告合规风险，组织或者配合开展应对处置监督。
（五） 组织或者配合开展违规问题调查和整改。
第十四条 公司合规管理牵头部门和其他职能部门之间建立协同运作机制，并指导各业务单位和职能部门设置合规管理人员，建立条线管理，协调工作步骤，共同履行合规管理“第二道防线”职责，计划、组织和实施合规管理的各项专门活动。
第十五条 公司审计和纪检监察机构、巡视巡察、监督追责等相关部门依据有关规定，在职权范围内对合规要求落实情况进行监督，共同履行合规管理“第三道防线”职责，对违规行为进行调查，按照规定开展责任追究。
第十六条 公司根据实际情况，在合规管理牵头部门内配备与经营规模、业务范围、风险水平相适应的专职合规管理人员（企业合规师），加强业务培训，提升专业化水平。
第十七条 公司根据实际情况，在各业务单位及职能部门内设置专职或兼职的合规管理人员，并由本单位或部门负责人担任本单位或部门的合规管理责任人，完成本单位或部门的合规管理工作，接受合规管理牵头部门的业务指导和培训。
第十八条 各业务单位及职能部门应当把加强合规管理作为主要负责人履行职责的重要内容，建立全员合规责任制，明确管理人员
和各岗位员工的合规责任并监督落实，向合规管理牵头部门报告本单位和部门的合规管理情况。
第四章 合规管理重点和制度第十九条 公司根据适用范围、效力层级等，构建分级分类的合规管理制度体系。各业务单位和职能部门制定的经营管理制度应包含相关合规管理要求。第二十条 本合规管理办法，作为合规管理的基本制度。根据本办法拟定的具体合规制度报经营层/集团办公会审核通过后，在全公司范围内组织实施。第二十一条 公司根据实际情况，针对合同管理、市场交易、采购管理、知识产权、劳动用工和干部管理、安全环保、财务税收、数据保护、工程建设、投资融资、资本运作等领域，以及其他合规风险较高的业务事项，制定合规管理的具体制度。
（一） 合同管理。重视合同管理与合规审查，特别关注执行条件不对等的商业合同。落实合同承办部门主体合规责任，落实合同签订主体的适格性、合同审批的合规性，建立健全合同执行评价制度，树立审慎签约、诚信履约的合规文化。
（二） 市场交易。完善交易管理制度，严格履行决策审批程序，建立健全自律诚信体系，规范交易活动中涉及的反商业贿赂、反利益输送、反垄断、反不正当竞争等问题，包括但不限于加强对供应商及合作伙伴的监督，将反商业贿赂、反利益输送、反垄断、反不正当竞
争纳入合同条款，明确交易方有关岗位的合规职责，加强业务流程的规范设计，防范所引发的相应风险。
（三） 采购管理。健全采购制度，强化制度执行，遵循公开、公平、公正和诚实信用原则，规范采购业务，按规定开展招投标工作，提高采购效率和质量，防范廉洁风险，同时加强供应商管理。
（四） 知识产权。匹配公司战略发展要求，及时申请注册知识产权成果，规范实施许可和转让，关注IP项目投产研，加强对商业秘密和商标、专利、著作权等知识产权的保护，依法规范使用他人知识产权，防止侵权行为。
（五） 劳动用工和干部管理。严格遵守劳动法律法规，完善劳动合同管理和招聘、干部任用和辞退与薪酬管理制度，规范劳动合同签订、履行、变更和解除，切实维护劳动者合法权益。
（六） 安全环保。严格执行国家安全生产、环境保护法律法规，完善公司生产规范和安全环保制度，加强监督检查，及时发现并整改违规问题。
（七） 财务税收。健全完善内部控制体系，严格执行财务事项操作和审批流程，严守财经纪律，强化依法纳税意识，严格遵守税收法律政策。
（八） 数据保护。强化信息安全保护的有效性与执行性，采取全面可行的保护措施，防止重大商业信息与内幕信息泄露。严格遵守个人信息保护法律，维护数据安全、网络安全，定期对公司处理个人信息遵守法律、行政法规的情况进行合规审计。
（九） 工程建设。健全工程建设项目管理体系，加强制度建设，强化对项目管理的全过程控制，规范协议的履行，保障建设项目在依法合规的基础上实施。
（十） 投资融资。建立健全事前、事中、事后管理工作体系和违规投资行为防控体系，加强对投融资领域的合规监管，重视可行性论证、尽职调查和投后管理，强化违规投资和其他渎职责任追究，保障投资决策的合法性，有效防范投资流程方面的风险。
（十一） 资本运作。严格遵守证券监管相关法律法规，规范所持上市公司股权变动行为，依法依规做好上述事项的信息披露工作，保证披露信息的真实、准确、完整、及时。
第二十二条 公司根据法律法规、监管政策等变化情况，及时将外部合规要求转化为内部制度规定，不断修订、完善现有规章制度，并对规章制度的执行及落实情况进行检查。
第五章 境外合规管理
第二十三条 公司及公司下属各业务单位和职能部门在境外开展投资经营活动应当遵守本章规定；本章没有规定的，适用本办法其他规定。
第二十四条 公司在境外从事投资经营活动，应当做好以下几方面的合规管理工作：
（一） 深入研究有关国家或者地区的法律法规、监管规定、行业准则和相关国际规则，全面了解禁止性规定，明确投资经营行为的
红线，底线。
（二） 建立健全合规经营制度体系和管理流程，全面开展项目的合规论证和尽职调查，依法加强对境外机构的管控，规范经营管理行为。
（三） 定期排查投资经营业务的风险状况，重点关注重大决策、重大合同、大额资金运用和设立境外子公司及其公司治理等方面存在的合规风险,妥善处理、及时报告，防止扩大蔓延。
第二十五条 公司开展对外贸易、境外投资、境外运营等境外投资经营活动，应当遵守国际规则、我国监管要求和所在国家或者地区的法律法规等规定，确保经营活动合规，严格防控“走出去”的合规风险。
（一） 开展对外贸易活动，应当遵守所渉及国家或者地区和有关国际组织在贸易管制、禁止交易等方面的法律法规，特别关注针对中资企业或者可能对中资企业产生影响的贸易管制、贸易救济调查，包括反倾销、反补贴、保障措施等问题。
（二） 开展境外投资活动，应当遵守我国法律法规和监管要求，同时遵守业务所涉及国家或者地区有关外资准入、贸易管制、国家安全审查、行业监管、反垄断申报等方面的法律法规和监管要求，防范和应对境外投资风险，确保境外投资全流程合规。
（三） 开展境外运营活动，应当遵守我国法律法规和监管要求，同时遵守境外机构运营管理渉及国家或者地区的相关法律法规，如劳工权利保护、环境保护、反腐败、反贿赂、数据保护、贸易管制等方
面的监管要求，确保运营管理始终合规。
第六章 合规管理运行机制第二十六条 公司建立合规风险评估、合规风险预警等事前预防机制，合规审查、合规检查、举报与调查、合规报告等事中控制机制，以及合规风险处置、违规整改与追责、合规有效性评价等事后应对机制，形成合规风险的闭环管理。第二十七条 公司结合实际建立健全合规管理与法务管理、内部控制、风险管理、审计等协同运作机制，加强统筹协调，避免交叉重复，提高管理效能。
第二十八条 公司根据实际情况，推动合规管理数字化建设，结合实际将合规管理制度、合规风险、典型案例、合规培训、违规行为记录等进行数字化管理。
第二十九条 公司的流程建设和数字化建设应体现合规管理要求，有助于识别合规风险和核查合规事项，强化公司运营的规范性和风险防控能力。相关业务单位、职能部门应积极配合合规管理部门，在关键业务流程和数字化节点中设置合规保障机制，确保合规要求融入日常运营，有效预防和减少合规风险的发生。
第三十条 公司根据实际情况，应当抓好以下重点环节的合规管理：
（一） 制度制定环节。严格依照规定的权限与程序制定公司章程、规章制度和其他重要文件，强化对公司章程、规章制度、改革方案、战略发展规划等文件的合规审查，确保符合法律法规、监管规定等的
要求。
（二） 经营决策环节。严格落实“三重一大”决策制度，完善决策管理办法，细化各层级决策事项和权限，依照规定的权限和程序进行决策，加强决策事项的合规审查把关，确保决策依法合规。
（三） 生产运营环节。严格遵守法律法规、监管规定、规章制度等要求，加强对重点流程的监督工作，确保生产经营过程合法合规开展。
（四） 其他需要重点关注的环节。
第三十一条 公司根据实际情况，应当抓好以下重点人员的合规管理：
（一） 管理人员。促进管理人员切实提高合规意识和能力，带头依法依规开展经营管理活动，认真履行合规管理职责，强化对管理人员的考核、监督和问责。
（二） 高风险岗位人员。聚焦重点领域和关键环节，根据合规风险评估情况明确界定高风险岗位，有针对性地加大高风险岗位人员的培训力度，使其掌握并严格遵守业务涉及的各项规定，并加强监督检查和违规责任追究。
（三） 境外员工。将合规培训作为境外员工任职、上岗的前提条件，促进其提高合规意识，确保遵守我国和所在国家或者地区的法律法规等相关规定。
（四） 其他需要重点关注的人员。
第一节 事前预防
第三十二条 以公司全面风险控制机制为基础，建立完善合规风险识别评估机制，全面梳理经营管理活动中的合规风险，建立并定期更新合规风险数据库。
第三十三条 公司定期对合规风险发生的原因、可能性、影响程度、潜在后果等进行分析，对典型性、普遍性或者可能产生严重后果的风险，及时向相关部门发出预警。
第二节 事中控制
第三十四条 公司将合规审查作为经营管理流程的必经程序，建立合规审查机制。业务单位及职能部门依据其职责权限，对于决策事项进行合规自查，并提出自查意见；合规管理牵头部门依据其职责权限，对公司重大事项进行合规审查和风险应对。
公司重大决策事项的合规审查意见，由合规管理牵头部门签署，对决策事项的合规性提出明确意见。必要时，形成专门的合规审查报告。
第三十五条 公司建立合规检查机制，对各业务单位及职能部门遵循法律法规及规章制度的情况、合规管理机制实际运行的有效性、违规事件的整改情况等进行定期或不定期检查。
合规检查，可与公司其他管理检查、内部审计等工作结合进行。对于合规检查中发现的问题，被检查对象应当进行整改。
第三十六条 公司设立违规举报平台，公布举报邮箱、信箱及电话，相关部门按照职责权限受理违规举报，并就举报问题进行调查和处理，对造成资产损失或者严重不良后果的，移交责任追究部门；对
涉嫌违纪违法的，按照规定移交纪检监察等相关部门或者机构。公司全体员工都有对不合规行为进行举报的权利和义务。公司对举报人的身份和举报事项严格保密，对举报属实的举报人可以给予适当奖励。任何单位和个人不得以任何形式对举报人进行打击报复。第三十七条 公司建立健全合规报告机制。合规报告分年度合规报告和重大合规风险事件报告。
年度合规报告是指各业务单位及职能部门将年度合规风险发生情况、合规遵守执行情况等定期报送至合规管理牵头部门，合规管理牵头部门再整理报送至董事会审议。重大合规风险事件报告是指在发生或可能发生重大合规风险事件之时，各相关业务单位或职能部门应当立即将全部情况报告给合规管理牵头部门，由合规管理牵头部门按规定再上报至相关领导。
第三节 事后应对
第三十八条 发生合规风险的，相关业务单位及职能部门应当及时采取应对措施，并按照有关规定向合规管理牵头部门报告。因违规行为引发重大法律纠纷案件、重大行政处罚、刑事案件，或者被国际组织制裁等重大合规风险事件，造成或者可能造成公司重大资产损失或者严重不良影响的，应当由合规管理负责人牵头，合规管理牵头部门统筹协调，相关部门协同配合，及时采取措施妥善应对。
第三十九条 公司建立违规问题整改机制，通过深究违规问题的形成原因，举一反三，健全相关的规章制度、优化相关的业务流程，堵塞管理漏洞，提升合规经营管理水平。
第四十条 公司完善违规行为追责问责机制，明确责任范围，细化问责标准，针对问题和线索及时开展调查，按照有关规定严肃追究违规人员责任。
第四十一条 公司建立健全合规管理体系有效性评价机制，针对重点业务的合规管理情况适时开展专项评价，强化评价结果运用。
第七章 合规文化建设
第四十二条 公司将合规文化视为企业文化的重要组成部分，通过编制合规手册、签订合规承诺等形式，加强合规宣传教育，强化全员守法诚信、合规经营意识，培育具有企业特色的合规文化。
第四十三条 合规手册作为公司合规遵循的模范指引，规定员工在业务活动中应遵守的合规要求。所有员工应严格遵循手册内容，确保公司运营符合法律法规和道德标准，共同维护公司的声誉和稳健发展。
第四十四条 公司建立常态化合规培训机制，制定合规培训计划，对管理人员、重点岗位人员和新入职人员等进行合规培训。
第四十五条 公司全体员工应当自觉践行合规理念，遵守合规要求，接受合规培训，主动识别、控制其履职行为的合规风险，对自身行为的合规性负责。
第八章 评价、考核与问责
第四十六条 公司应将合规管理工作应纳入各业务单位及职能部
门的综合评价及考核，并将结果作为薪酬发放、干部任用、评先选优等工作的重要依据。
合规管理牵头部门对各业务单位及职能部门贯彻落实合规管理制度、开展合规管理工作开展年度评价，并将评价结果反馈公司考核管理部门。公司对在合规管理中作出重要成绩、有效防范重大合规风险或对挽回公司重大损失作出突出贡献的单位和个人，予以表彰和奖励；第四十七条 公司严肃处理违法、违规、违纪行为。发生下列情形的，对相关业务单位和职能部门实施责任追究：
（一） 未执行公司合规管理各项要求或落实不到位，造成严重不良影响或经济损失的；
（二） 发生重大违规事件，未能及时、如实报告，或者隐瞒、歪曲、捏造事实，造成公司经济损失或公司资产流失的；
（三） 泄露、扩散合规工作秘密造成严重后果的；
（四） 拒不配合或干扰、抵制合规检查、违规事件调查工作，造成严重不良影响的；
（五） 未按照要求对重大违规行为进行整改或整改不到位的。
第四十八条 合规管理人员在合规管理工作中玩忽职守，未尽职责，导致严重后果或重大经济损失的，公司按照相关规定进行严肃处理和处罚。
第四十九条 合规管理工作中发现公司任何员工涉嫌违纪或职务违法的，各业务单位和职能部门、合规管理牵头部门、审计部门应尽
快保存证据，经批准后移送公司纪检监察部门处理；涉嫌犯罪的，移送司法机关查处。
第九章 附则第五十条 本办法提交集团办公会审核通过后，报董事会审议通过施行，修订时亦然。
第五十一条 本办法由合规管理牵头部门负责解释。