内部控制评价办法贵州三力制药股份有限公司
内部控制评价办法
第一章总则第一条为规范贵州三力制药股份有限公司（以下简称“公司”）内部控制评价工作，提高评价工作效率，健全内部控制体系，加强风险管理，根据《企业内部控制基本规范》《公司内部控制评价指引》等有关法律法规，特制定本办法。第二条本办法所称内部控制评价，是指公司董事会遵循公司内部控制评价指引的要求，对内部控制的健全性、合理性和有效性进行测试、评价、形成评价结论、出具内部控制评价报告的过程。
第三条本办法对公司内部控制评价的原则、范围、目标、组织、工作程序和方法、评价标准、评价报告编写、内部评价报告披露、档案管理等进行规范，从而指导公司开展内部评价工作。
第四条适用范围：公司本部及各部门、公司合并报表范围内的全资或控股子公司以及其他经公司确认纳入评价范围的单位（以下简称“各公司”）。
第二章内部控制评价原则
第五条公司实施内部评价工作应遵循以下原则
（一）全面性原则。评价范围应覆盖公司内部控制的设计与运行，覆盖公司及各单位的各类业务和事项。
（二）重要性原则。评价工作应在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。
（三）客观性原则。评价工作应获得风险相关信息，恰当地揭示风险状况，如实反映内部控制设计与运行的有效性。
（四）风险导向原则。坚持风险导向，关注公司以往风险事件、内外部审计、巡视巡察、专项检查中发现的问题及整改情况，通过内部控制评价，推动公司举一反三，堵塞漏洞，防范风险。
第六条公司根据本办法的原则、内容、程序、方法和报告形式，明确相关机构或岗位的职责权限，落实责任制，按照规定的办法、程序和要求，有序开展内部控制评价工作。公司董事会对内部控制评价报告的真实性负责。
第三章内部控制评价的内容
第七条公司董事会根据国家颁发的《企业内部控制基本规范》、应用指引以及公司的《内部控制制度》，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。
内部控制评价办法第八条公司组织开展内部环境评价，应当以组织架构、发展战略、人力资源、公司文化、社会责任等应用指引为依据，结合公司的《内部控制制度》，对内部环境的设计及实际运行情况进行认定和评价。
第九条公司组织开展风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合公司的《内部控制制度》，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。
第十条公司组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合公司的《内部控制制度》，对相关控制措施的设计和运行情况进行认定和评价。
第十一条公司组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合公司的《内部控制制度》，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。
第十二条公司组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合公司的《内部控制制度》和《内部审计制度》，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。
第十三条内部控制评价工作应当形成工作底稿，详细记录公司执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。评价工作底稿应当设计合理、证据充分、简便易行、便于操作。
第四章内部控制评价的程序
第十四条公司审计合规部应当按照内部控制评价办法规定的程序，有序开展内部控制评价工作。内部控制评价程序一般包括：
（一）制定评价工作方案；
（二）组成评价工作组；
（三）实施现场测试；
（四）认定控制缺陷；
（五）汇总评价结果；
（六）编报评价报告等环节。
第十五条公司审计合规部拟定年度评价工作计划，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报经董事会或其授权机构审批后实施。
第十六条审计合规部根据经批准的评价方案，组成内部控制评价工作组，具体实施内部控制评价工作。评价小组实施评价前需对被评价部门或单位基本情况进行了解，根据掌握的情况进一步确定评价范围、检查重点和抽样数量。评价工作组应当吸收公司内部相关机构熟悉情况的业务骨干参加。评价工作组成员对本部门的内部控制评价工作应当实行回避制度。
内部控制评价办法第十七条公司可以委托中介机构实施内部控制评价。为公司提供内部控制审计服务的会计师事务所，不得同时为同一公司提供内部控制评价服务。委托第三方机构协助实施内部控制评价，内部控制评价工作归口管理部门依然对内部控制缺陷及其成因、表现形式和影响程度的认定结果真实性、客观性和准确性承担责任。
第十八条内部控制评价工作组对被评价单位或部门进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。
第十九条内部控制评价工作底稿，应详细记录内部控制评价工作的内容，包括评价要素、主要风险点、采取的控制措施、抽取的样本清单、样本占比等有关证据资料以及评价结果等。评价工作组应将评价结果及现场评价报告向被评价部门或单位进行通报，由被评价部门或单位相关责任人签字确认。
第五章内部控制缺陷的认定
第二十条内部控制缺陷包括设计缺陷和运行缺陷。公司对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评价，由内部控制评价部门进行综合分析后提出认定意见，按照规定的权限和程序进行审核后予以最终认定。
第二十一条公司在日常监督、专项监督和年度评价工作中，应当充分发挥内部控制评价工作组的作用。内部控制评价工作组应当根据现场测试获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。
第二十二条按照定性与定量相结合原则，确定公司内部控制缺陷认定标准如下：
（一）财务报告相关的内部控制缺陷认定标准从定性角度认定标准如下：
1.重大缺陷：是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致公司无法及时防范或发现严重偏离整体控制目标的情形。
（1）注册会计师发现董事、监事和高级管理人员舞弊。
（2）公司因发现以前年度存在重大会计差错，更正已披露的年度财务报告。
（3）注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未能发现该错报。
（4）公司审计委员会和内部审计机构对内部控制的监督无效。
2.重要缺陷：是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致公司无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起公司管理层关注。
3．一般缺陷：是指除重大缺陷、重要缺陷之外的其他控制缺陷。
从定量角度认定标准如下：
公司内部控制缺陷定量标准以其对财务报表的影响程度来确定，即以该数额占公司整体重要性水平的比重判定内部控制缺陷类型。公司采用内部控制缺陷对净资产的影响程度作为判定内部控制缺陷的定量标准。
内部控制评价办法重大缺陷：错报≥合并营业收入的2%重要缺陷：合并营业收入的1%≤错报＜合并营业收入的2%一般缺陷：错报＜合并营业收入的1%
（二）非财务报告相关的内部控制缺陷认定标准：
从定性角度认定标准如下：
1.重大缺陷：是指一个或多个一般缺陷的组合，可能严重影响内部整体控制的有效性，进而导致公司无法及时防范或发现严重偏离整体控制目标的情形。
（1）公司缺乏民主决策程序，严重影响公司生产经营；
（2）公司决策违反规定程序，造成重大损失；
（3）公司违反国家法律法规并受到严重处罚；
（4）公司中高级管理人员和高级技术人员流失严重影响公司生产经营；
（5）公司重要业务缺乏制度控制或制度体系失效，给公司生产经营造成重大影响；
（6）公司内部控制重大或重要缺陷未得到整改；
（7）信息披露内部控制失效，导致公司被监管部门公开处罚。
2．重要缺陷：是指一个或多个一般缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起公司管理层关注。
3．一般缺陷：是指除重大缺陷、重要缺陷之外的其他控制缺陷。
从定量角度认定标准如下：
公司内部控制缺陷定量标准以其对财务报表的影响程度来确定，即以该数额占公司整体重要性水平的比重判定内部控制缺陷类型。公司采用根据该内部缺陷导致的直接财产损失金额，确定内部控制缺陷的定量标准。
重大缺陷：损失≥合并资产总额的2%；
重要缺陷：合并资产总额的1%≤损失＜合并资产总额的2%；
一般缺陷：损失＜合并资产总额的1%。
第二十三条内部控制评价部门应以日常监督和专项监督为基础，结合年度内部控制评价工作，对存在的内部控制缺陷进行初步认定，按缺陷认定标准，对其影响程度按重大缺陷、重要缺陷和一般缺陷进行划分。重大缺陷由董事会或类似权力机构予以最终认定。对于认定的重大缺陷，公司及所属子公司应及时采取应对策略，切实控制风险，并追究有关部门或相关人员的责任。
第六章内部控制评价报告
第二十四条公司根据《企业内部控制基本规范》、应用指引和本指引，设计内部控制评价报告的种类、格式和内容，明确内部控制评价报告编制程序和要求，按照规定的权限报经
内部控制评价办法批准后对外报出。第二十五条内部控制评价报告分为内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。
第二十六条内部控制评价报告至少应当披露下列内容：
（一）董事会对内部控制报告真实性的声明；
（二）内部控制评价工作的总体情况；
（三）内部控制评价的依据；
（四）内部控制评价的范围；
（五）内部控制评价的程序和方法；
（六）内部控制缺陷及其认定情况；
（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施；
（八）内部控制有效性的结论。第二十七条审计合规部根据年度内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。对于认定的内部控制缺陷，审计合规部应当结合董事会和审核委员会要求，提出整改建议，要求责任单位及时整改，并跟踪其整改落实情况；已经造成损失或负面影响的，公司应当追究相关人员的责任。
第二十八条公司审计合规部应根据经营业务调整、经营环境变化、业务发展状况、实际风险水平等进行专项内控评价，根据控制缺陷及时调整控制措施。
第二十九条内部控制评价报告应当报经董事会或类似权力机构批准后对外披露或报送相关部门。审计合规部应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。
第三十条公司以12月31日作为年度内部控制评价报告的基准日。内部控制自我评价报告应于基准日后4个月内与内部控制审计报告同时报出。
第三十一条内部控制评价工作的档案管理按照公司《内部审计制度》的有关要求进行管理。
第七章附则
第三十二条本办法由公司审计合规部负责解释与修订。
第三十三条本办法经公司董事会审议通过后正式生效。
贵州三力制药股份有限公司
2025年4月