海正药业：内部控制评价管理办法（2013年3月） 公告日期 2013-03-29                                                                                           浙江海正药业股份有限公司内部控制评价管理办法



                                                    浙江海正药业股份有限公司

                                                         内部控制评价管理办法




第一章 总则 ................................................................................................................................................... 2

第二章 管理职责 ........................................................................................................................................... 2

第三章 内部控制评价原则 ........................................................................................................................... 3

第四章 内部控制评价内容和范围 ............................................................................................................... 3

第五章 内部控制评价程序和方法 ............................................................................................................... 4

第六章 年度内部控制自我评估报告的编制和审批 ................................................................................... 6

第七章 内控评价文档管理 ........................................................................................................................... 7

第九章 附件 ................................................................................................................................................... 8




                                                                                  1
                                             浙江海正药业股份有限公司内部控制评价管理办法


                                 第一章 总     则
   第一条 目的：为了合理保证公司内部控制体系的建立健全及其持续有效的执行，促
进公司内部控制目标的实现，以及满足境内外上市监管机构对公司内部控制的要求，公
司需要定期全面评价内部控制的设计和运行情况，揭示和防范风险。根据财政部《内部
控制基本规范》及其指引的有关规定，特制定本制度。
   第二条 适用范围：本制度适用范围为浙江海正药业股份有限公司。


                                 第二章 管理职责
   第三条 董事会的责任
    董事会负责内部控制的建立健全，负责审查企业内部控制，监督内部控制的有效实
施和内部控制自我评估情况，协调内部控制审计及其他相关事宜等。
    第四条 经营层的责任
    1、经营层负责领导企业内部控制的日常运行，指定适当的机构具体负责组织协调
内部控制的建立实施及日常工作。
    2、经营层负责最终确认需整改内部控制缺陷，并确定整改责任人。
    第五条 各部门的责任
    1、各部门为内部控制第一责任人，应当按照法律法规的要求建立和不断完善各自
的内部控制体系，并在日常工作中按照既定程序操作和运营；
    2、各部门负责人为各部门内控流程自我评价工作的负责人；
    3、在内部控制评价过程中，各部门应及时向审计部提供内控制度的变化信息，与
审计部共同更新内部控制制度，并定期确认内部控制制度的持续正确性；
    4、根据年度《内部控制评价工作方案》的安排，开展内控运行有效性的自我评价
测试，完成相关测试底稿并按工作计划规定的时限提交审计部汇总；
    5、协助审计部开展内控测试底稿的抽查复核工作，确认审计部发现的内控缺陷，
并提出缺陷整改方案。根据经经营层最终批准的内部控制缺陷整改汇总，按时完成内控
缺陷的整改。
    第六条 审计部的职责
    审计部是内部控制的指导者、监督者。作为公司内部控制评价的牵头部门，审计部
在整个内部控制评价中担当了较多重要的角色，具体如下：
    1、根据公司内控制度流程的变化情况，定期与相关部门共同更新内部控制制度，

                                       2
                                             浙江海正药业股份有限公司内部控制评价管理办法


确保内部控制制度的持续正确；
    2、每年至少一次组织各部门开展内控运行有效性测试：拟定公司年度内部控制评
价工作方案；收集汇总各部门内控运行有效性的自我评价测试底稿并对测试底稿进行独
立的抽样复核；
    3、汇总各部门自评测试结果、审计部抽样复核结果，以及审计部专项审计项目的
审计发现问题，根据公司的内控缺陷认定标准（详见《附件二-内部控制缺陷认定方法》），
编制内部控制缺陷整改汇总，对公司的内部控制缺陷及其成因、表现形式和影响程度进
行综合分析，提出认定意见和整改建议；
    4、对于发现的内部控制重大缺陷，有权直接向董事会及时报告；
    5、对内部控制缺陷是否得到有效整改保持持续监督，形成监督记录并编制内部控
制缺陷整改情况汇总。
    6、编制《年度内部控制自我评价报告》，报董事会审议批准。
    7、内部控制评价文件的归档管理。


                               第三章 内部控制评价原则
    第七条 全面性原则。内部控制评价工作应当包括内部控制的设计与运行，涵盖海
正药业的各类业务和事项。
    第八条 重要性原则。内部控制评价工作应当在全面评价的基础上，关注重要的业
务单位、重大业务事项和高风险领域。
    第九条 客观性原则。内部控制评价工作应当准确揭示经营管理的风险状况，如实
反映内部控制设计与运行的有效性。


                           第四章 内部控制评价内容和范围
    第十条 海正药业根据《企业内部控制基本规范》及其指引以的相关要求，对内部
控制设计与运行情况进行全面评价。
    第十一条 海正药业的内部控制制度围绕内部环境、风险评估、控制活动、信息与
沟通、内部监督等要素，确定了公司层面、流程层面以及 IT 层面的关键控制活动，内
部控制评价主要针对关键控制活动的设计完整性和执行有效性进行。
    1、内部环境评价，是内部控制评价的基础，应当以组织架构、发展战略、人力资
源、企业文化、社会责任等应用指引为依据，结合公司的内部控制制度，对内部环境的

                                         3
                                              浙江海正药业股份有限公司内部控制评价管理办法


设计及实施运行情况进行认定和评价。重点关注：治理结构是否形同虚设；发展战略是
否可行；机构设置是否重叠；权责分配是否明晰；不相容岗位是否分离；人力资源政策
和激励约束机制是否科学合理；企业文化是否促进员工勤勉尽责；社会责任是否有效履
行等。
       2、风险评估机制评价，应当以基本规范有关风险评估的要求，以及各项应用指引
中所列主要风险为依据，结合公司的内部控制制度，对日常经营管理过程中的风险识别、
风险分析、应对策略等风险管理效果进行评价。
       3、控制活动评价，应当以基本规范和各项应用指引中的控制措施为依据，结合公
司的内部控制制度，对相关控制措施的设计和运行情况进行认定和评价。
       4、信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引
为依据，结合公司的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的
健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有
效性等进行认定和评价。
       5、内部监督评价，应当以基本规范中有关内部监督的要求，以及各项应用指引中
有关日常管控的规定为依据，结合公司的内部控制制度，对内部监督机制的有效性进行
认定和评价，重点关注董事会、审计部等是否在内部控制设计和运行中有效发挥监督作
用。
       第十二条 海正药业内部控制制度已根据基本规范和应用指引的要求，结合海正药
业的实际，识别出主要风险点和关键控制活动，并针对关键控制活动设计了测试模板。
海正药业执行内部控制评价工作应当完成内控评价要求的所有测试模板，形成内控测试
底稿，详细记录评价测试的内容、测试方法、有关证据资料以及测试结果等。
       第十三条 对于在测试年度内肯定会发生变化并且有清晰变更计划的控制活动，在
该控制活动发生变化前可不纳入内控测试范围。在新的控制活动开始实施后，新的控制
活动纳入测试范围。


                            第五章 内部控制评价程序和方法
       第十四条 年度内部控制评价准备阶段（每年 9-10 月份）
       1、审计部拟定公司《年度内部控制评价工作方案》，明确评价范围、内控流程分工
以及工作时间表。《年度内部控制评价工作方案》经公司总裁办公会审议，报董事会审
批后实施。年度内部控制评价测试工作分两个阶段进行：各部门的内控自我评价测试阶

                                          4
                                           浙江海正药业股份有限公司内部控制评价管理办法


段，以及审计部的独立评价测试阶段。
    2、《年度内部控制评价工作方案》对内部控制制度更新工作进行了流程分工及时间
安排，各部门根据公司相关制度流程的变化情况，对所负责的内控手册流程进行全面复
核及更新。各部门负责更新内部控制制度；审计部对更新后的内部控制制度进行检查，
以确保修订后的控制活动能够合理保证相应控制目标的实现。
    第十五条 各部门年度内控自我评价测试执行阶段（每年 11 月份）
    1、年度内控自我评价测试工作由各部门按照《年度内部控制评价工作方案》中的
分工和时间计划自行完成。各部门测试人员根据测试底稿模板选定的检查方法进行内控
自评测试，通过抽取一定的样本量，检查其是否符合测试底稿中的测试属性要求，以证
明内部控制活动是否按照内控流程描述得到有效执行，并如实填写测试底稿，为研究分
析内部控制缺陷提供依据。具体内控测试方法参见《附件一：内控测试方法指引》。
    2、各部门测试人员完成测试底稿后，以部门为单位填写内控测试结果汇总表。总
部各部门的汇总表和测试底稿经部门负责人审核后提交审计部。
    第十六条 审计部的独立评价测试阶段（每年 12 月份）
    1、审计部组织成立内控独立评价小组，对公司全部内控测试底稿进行独立抽样测
试。独立抽样测试的记录和结果写在同一张测试底稿中，并在说明栏标注“独立抽样”
的字样，以示区别。
    2、内控独立评价小组在独立抽样测试的过程中，同时对各部门提交的内控测试结
果汇总表及内控测试底稿进行审核，包括测试底稿填写的规范性、内控测试结果汇总表
的准确性、完整性等内容。
    3、若独立抽样测试结果与各部门自评测试结果不一致，独立评价小组成员须与相
关流程负责人或部门进行充分的沟通，确认缺陷事实后，修改测试底稿和相应内控测试
结果汇总表。
    4、董事会和经营层可以根据企业各项风险的重要性、内部控制的重要性和日常监
控的有效性，对独立评价的范围和频度进行合理的调整。
    第十七条 内控缺陷的汇总和认定（每年 12 月份）
    1、审计部根据独立评价测试后的结果，同时结合审计部专项审计项目发现的内部
控制缺陷及其持续改进情况、结合其它从内部和外部渠道报告的缺陷，考虑它们对内部
控制的影响，编制公司的内控缺陷认定及整改建议汇总，对海正药业的内部控制缺陷及
其成因、表现形式和影响程度进行综合分析，提出认定意见和整改建议。

                                       5
                                              浙江海正药业股份有限公司内部控制评价管理办法


       2、内部控制缺陷包括设计缺陷和运行缺陷，并按其影响程度分为重大缺陷、重要
缺陷和一般缺陷。重大缺陷、重要缺陷和一般缺陷的具体认定标准参见《附件二：内部
控制缺陷认定方法》。
       3、审计部编制的内控缺陷认定及整改建议汇总初稿须再次与相关流程负责人或部
门进行充分沟通，以确认缺陷事实、整改建议的可行性、整改建议能否满足内部控制的
要求、并落实整改责任人和整改完成时间。
       4、审计部将沟通后的内控缺陷认定及整改建议汇总提交总裁审批。
       第十八条 内部控制缺陷整改情况跟踪（次年 1 月份）
       1、内控缺陷认定及整改建议汇总经总裁审批后，，审计部向公司内部各相关责任单
位发放，各责任单位应当及时采取应对策略落实整改。对于认定的重大缺陷，应当立即
采取措施将风险控制在可承受范围之内，并追究有关部门或相关人员的责任。
       2、审计部对内部控制缺陷是否得到有效整改保持持续监督，监督可以使用访谈、
查阅或抽查的方式进行，并形成监督记录的工作底稿。
       3、审计部根据内控缺陷整改情况的监督记录，编制内部控制缺陷整改情况汇总，
以作为编制《年度内部控制自我评价报告》的支持。


                     第六章 年度内部控制自我评估报告的编制和审批
       第十九条 每年 12 月 31 日作为《年度内部控制自我评价报告》的基准日。审计部
根据内控测试工作底稿、内控缺陷认定及整改建议汇总、内部控制缺陷整改情况汇总以
及审计部本年度的专项审计报告等资料，编制海正药业上年度的内部控制自我评价报
告。
       第二十条 年度内部控制评价报告应当分别内部环境、风险评估、控制活动、信息
与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情
况、内部控制有效性的结论等相关内容作出披露。年度内部控制评价报告至少应当披露
下列内容：
       1、董事会对内部控制报告真实性的声明
       2、内部控制评价工作的总体情况
       3、内部控制评价的依据
       4、内部控制评价的范围
       5、内部控制评价的程序和方法

                                          6
                                             浙江海正药业股份有限公司内部控制评价管理办法


    6、内部控制缺陷及其认定情况
    7、内部控制缺陷的整改情况或拟采取的整改措施
    8、内部控制有效性的结论
    第二十一条 审计部应当关注自内部控制评价报告基准日至内部控制评价报告发出
日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行
相应调整。
    第二十二条 《年度内部控制自我评价报告》经总裁办公会审议后，提交董事会审
议批准。
    第二十三条 董事会作为公司内控制度之完整合理、实施有效之责任主体，应对公
司披露内控自我评价报告进行决议。


                              第七章 内控评价文档管理
    第二十四条 所有内部控制评价工作，都应形成工作底稿。工作底稿按内部控制要
素分类整理，方便相互索引。
    第二十五条   个别访谈法要形成访谈纪要，与被评价主体治理层、高管层形成的访
谈纪要需得到对方签字确认。
    第二十六条   对调查问卷应进行统计分析，并形成书面的分析报告。调查问卷分析
报告和调查问卷原件都应作为评价工作底稿。
    第二十七条   穿行测试应记录流程中每个关键控制点的运行状况，并得出控制是否
执行的结论。
    第二十八条   进行抽样时，对每个样本的相关情况都应做出详细记录。在记录量过
大的情况下，也可用样本文档复印件代替对样本情况的详细记录，但应在复印件上注明
相关控制的情况，并形成抽样情况汇总表。
    第二十九条   对实地或文档进行查验查看时，应记录查验的过程和结果，可以书面
记录，也可以复印、拍照、摄像等。
    第三十条   比较分析法应形成分析报告，分析报告中至少包括分析目的、分析方法、
分析数据来源、分析过程、分析结论等。
    第三十一条   专题分析应形成专题分析报告，专题分析报告至少应包括专题分析的
目的、参加分析的人员及主要观点、讨论过程、最后的结论，分析报告应得到参加分析
人员的签字认可。

                                         7
                                               浙江海正药业股份有限公司内部控制评价管理办法


    第三十二条   重新执行应由两人同时记录执行过程和结果，并相互核对，得出一个
评价结论。
    第三十三条   审计部负责内部控制评价文档的归档管理，对内部控制评价的有关文
件资料、工作底稿和证明材料等的电子文档及纸质文档进行妥善保管。


                                   第八章 附     件
    附件一：内控测试方法指引
    附件二：内部控制缺陷认定方法




                                        8
                                              浙江海正药业股份有限公司内部控制评价管理办法



附件一：内控测试方法指引
1   测试方法
       内部控制评价的方法一般包括：个别访谈法、调查问卷法、穿行测试法、抽样
       法、实地查验法、文档（凭证、记录）查看法、比较分析法、专题讨论法、重
       新执行法等。对于同一控制环节可以使用一种或多种评价方法。
       个别访谈法主要用于了解公司内部控制的现状，在企业层面评价及业务层面评
       价的了解阶段经常使用。访谈前应根据内部控制评价需求形成访谈提纲，撰写
       访谈纪要，记录访谈的内容。个别访谈法所获取的证据一般不单独作为形成评
       价结论的依据，必须和其他评价方法所获取的证据结合使用。
       调查问卷法主要用于企业整体层面评价。调查问卷应尽量扩大对象范围，包括
       企业各个层级员工，应注意事先保密性，题目尽量简单易答（如答案只需为“是”、
       “否”、“有”、“没有”等等）。
       穿行测试法是指在内部控制流程中任意选取一笔交易作为样本，追踪该交易从
       最初起源直到最终在财务报表或其他经营管理报告中反映出来的过程，即该流
       程从起点到终点的全过程，以此了解控制措施设计的合理性、有效性，并识别
       出关键控制点。一般用于确定内部控制设计是否执行。
       抽样法分为随机抽样和其他抽样。随机抽样是指按随机原则从样本库中抽取一
       定数量的样本；其他抽样是指人工任意选取或按某一特定标准从样本库中抽取
       一定数量的样本。对于发生频率较高的控制，一般使用抽样法（抽查样本量参
       考标准见附件一）。
       实地查验法主要针对业务层面控制，它通过使用统一的测试工作表，与实际的
       业务、财务单证进行核对的方法进行控制测试。如实地盘点某种存货，实地观
       察某项具体操作过程等。
       文档（凭证、记录）查看法是对完成控制所必需的或控制所形成的文档（凭证、
       记录）进行查看，以验证控制是否设计或执行的方法。如验证某项控制是否设
       计，可查看相关制度和流程图；验证某项控制是否执行，可查看控制所形成的
       凭证或记录等。
       比较分析法是指通过数据分析，识别评价关注点的方法。数据分析可以与历史
       数据、行业（公司）标准数据或行业最优数据等进行比较。如不同年度固定资
       产折旧计提比较，可以评价折旧会计估计使用的一致性等。

                                          9
                                            浙江海正药业股份有限公司内部控制评价管理办法


       专题讨论法主要是集合有关专业人员就内部控制执行情况或控制问题进行分
       析，既可以是控制评价的手段，也是形成缺陷整改方案的途径。专题讨论法一
       般用于比较复杂的控制活动或对补偿性措施的有效性的认定。
       重新执行法是进行内部控制测试时，对某一控制活动重新执行一遍，以评价控
       制是否有效的方法。重新执行法一般适用于对自动控制的测试


2   抽样规则
    2.1 样本应能够贯穿业务流程全过程，应该侧重于财务信息及运营信息相关的资料，
应尽量自财务部门及各相关业务部门取得。如采购设备入账的审核，应取得入账凭证、
发票、验收报告、采购合同，试运行报告等，如自财务部门只取得入账凭证、发票，则
应自相应的业务部门取得验收报告、采购合同、试运行报告等，且保证上述各相关文件
中描述的业务为同一笔业务。
    2.2 样本的选择需要考虑交易的同质性：
       由于测试是针对每个控制活动的控制属性进行的，而每个控制活动在每家公司
       可能由于业务类型、审批程序等的差异而延伸出多个控制活动。针对同一个控
       制活动，如果控制流程不同（如执行控制的人员不同、控制方式不同），应该视
       为不同的控制分别确定样本总体。为保证测试样本完整的覆盖面，抽取样本时
       应该在不同的样本总体内分别选择不同的样本。
       如果公司存在多个控制活动，且他们是基本相同的，如执行控制的人员相同、
       控制方式相同，此时可以把这多个控制活动作为一个总体进行抽样；如果多个
       控制活动是不同的，则应将各个控制活动分别作为总体进行抽样。
    2.3 在样本量足够的情况下，在测试中应尽量抽取全部样本量。如果由于控制活动
执行的时间有限或控制活动发生频率极低甚至在测试期间内未发生，无法抽取足够的样
本，那么就在测试结果评价栏中进行说明之后可在后续的测试工作中补全样本。
    2.4 如果控制活动是从测试年度年中的某个时候开始执行的，样本要从该控制活动
开始执行之日抽取。
    2.5 如果控制活动存在缺陷并根据管理层要求进行了整改，则样本应从整改完成日
后开始抽取。
    2.6 为了避免抽样风险，在不存在特殊情况时，测试者应在测试期间内相对均匀地
选择样本。

                                       10
                                                          浙江海正药业股份有限公司内部控制评价管理办法




3   手工控制的样本量
    3.1 样本量的多少通常情况下需要考虑控制活动的执行频率。
    3.2 测试固定频率手工控制活动的抽样数量如所示：
    3.3 对于那些发生频率不固定的控制活动，每轮测试中，要根据年初到测试执行日
的业务量估算该控制活动全年预计发生的数量并据此确定样本量，抽样原则如
所示：
            第一次测试的样本期间如定为 1-6 月，则可按照 1-6 月已经发生的次数，估算全
            年发生的次数。例如：某个控制活动在 2012 年前 6 个月共发生了 3 次，那么测
            试者就可以暂估全年的发生次数为 6 次，并据此判断全年样本量为 1 个。
            样本的估算过程需在测试模板的“测试说明”中说明估算方法。对非固定频率样
            本计算的说明应清晰，能够充分体现预估全年样本总体合理的依据。示例：根
            据对 XX 部门 XX 岗位的访谈，我们检查了 XX 业务活动在 2012 年 5－6 月份
            的全部样本编号为 001 号至 022 号，因此预估全年样本约为 22*12/2=132 份。
            根据非固定执行频率控制活动样本量的规定，全年应抽取样本量为 15 个。
         手工控制活动样本量
                                                     抽取的样本量
                                         至          （考虑与控制               企业整改后的
                            全年   少抽       相关的风险水平时                    测试样本
       控       发生    控制发生   查的              的抽样）
制性质          频率    的总次数   样本                                                         所
                                                                               整改后
                         （次）     量                                                       需
                                                     低         中     高 至目前的运
                                   （个）                                                       样
                                                                            行期间
                                                                                            本量
       人          1
                             1           1           1          1      1       2 季度             1
工控制         次/年
       人          1
                             4           2           2          3      4       2 季度             2
工控制        次/季度
       人          1
                             12          2           2          4      6       2 个月             2
工控制         次/月

                                                11
                                                       浙江海正药业股份有限公司内部控制评价管理办法


       人         1                                          1       1        5 个星
                            52            5        5                                         2
工控制        次/周                                      0       5           期
       人         1                       2        2         3       4
                            250                                               20 天          10
工控制        次/日                   0       0          0       0
                                                                             运行次
       人         每                      2        2         4       6 数超过 25
                           >250                                                              25
工控制        日数次                  5       5          5       0       次，运行时间
                                                                          超过 15 天
                 按
       人                  合理估计 3-6 个月内控制发生的频率并选取相应的样本量；
             需不定
工控制                 也可以按照全面发生的总次数，选择对应的抽查样本量
             期发生
       系统自动控制（应用
                                  测试 1 个样本量
程序）
       注：控制点类型为职责分工的，样本量为 1 个


4   自动控制的样本量
       由于自动控制是由系统自动完成的，因此自动控制活动的样本量远远低于手工控
制。


             自动控制活动的样本量
                           控制类型                     样本量
                             自动                         1个


5   何时可以停止抽样
       为了提高测试工作效率，当每个控制活动的控制属性的所有测试属性都出现过一次
未达标时，测试者可以停止抽样，并要求管理层进行整改。
6   特殊事项的考虑
       如果在测试过程中，或者执行访谈等程序中，发现异常情况或者对于其他原因的考
虑，可以考虑追加对于每月、某人的测试样本，上述表格只是在一般情况下的原则规定。
       非财务报告控制点的抽样数量一般为三个，少于三个则整体抽样。



                                              12
                                      浙江海正药业股份有限公司内部控制评价管理办法



附件二： 内部控制缺陷认定方法
1   内部控制缺陷的定义
    如果内部控制在设计上或运行中，无法让管理层和员工在正常执行所分配的
工作时及时地预防或发现控制目标的偏离情况，则为内部控制缺陷。


2   内部控制缺陷的分类

     2.1 按照内部控制缺陷的成因或来源，内部控制缺陷可分为设计缺陷和运行
缺陷两类：
    2.1.1 设计缺陷：缺少为实现控制目标所必需的控制，或者现有控制设计不
适当，即使正常运行也难以实现控制目标。
    2.1.2 运行缺陷：设计合理且适当的内部控制由于运行不当，包括未按设计
的方式或意图运行、运行的时间或频率不当、没有得到一贯有效运行、执行人员
缺乏必要授权或专业胜任能力等，无法有效实现控制目标。

     2.2 按照影响内部控制目标实现的严重程度，内部控制缺陷分为重大缺陷、
重要缺陷和一般缺陷：
    2.2.1 重大缺陷：指一个或多个控制缺陷的组合，可能导致企业严重偏离控
制目标。当存在任何一个或多个内部控制重大缺陷时，应当在内部控制评价报告
中作出内部控制无效的结论。
    2.2.2 重要缺陷：指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，
但仍有可能导致企业偏离控制目标。重要缺陷的严重程度低于重大缺陷，不会严
重危及内部控制的整体有效性，但也应当引起董事会和经营层的充分关注。
    2.2.3 一般缺陷：指除重大缺陷和重要缺陷意外的其他控制缺陷。
    2.2.4 一般缺陷、重要缺陷、重大缺陷并非相互独立、互不影响。多个“一般
缺陷”共同作用，有可能形成一个“重要缺陷”；多个“重要缺陷”共同作用，有可
能形成一个“重大缺陷”；当存在任何一个内部控制重大缺陷时，公司的内部控制
评价则为无效。

     2.3 按照具体影响内部控制目标的表现形式，内部控制缺陷可分为财务报告
缺陷和非财务报告缺陷：


                                     13
                                         浙江海正药业股份有限公司内部控制评价管理办法



     2.3.1 财务报告内控缺陷：指不能合理保证财务报告目标（包括资产安全目
标及相应的合规性目标）实现的内部控制设计及运行缺陷，也即不能合理保证财
务报告可靠性，不能及时防止或发现并纠正财务报表错报的内部控制缺陷。财务
报告缺陷直接影响财务报告的可靠性。
     2.3.2 非财务报告内控缺陷：指不能合理保证除财务报告目标外的其他内部
控制目标（包括战略目标、经营目标、合规目标）实现的内部控制设计及运行缺
陷。
3    内部控制缺陷认定标准
     内部控制缺陷的重要性和影响程度是相对于内部控制目标而言的，因此以下
区分财务报告内控缺陷和非财务报告内控缺陷分别确定内控缺陷的认定标准。
       3.1 财务报告内控缺陷的认定标准
       3.1.1 定量标准
       3.1.1.1 符合下列条件之一的，可以认定为重大缺陷：

            项目                                缺陷影响
     利润总额潜在错
                            错报≥利润总额 5%或 1 亿元
报
     资产总额潜在错
                            错报≥资产总额 1%或 5 亿元
报
     经营收入潜在错
                            错报≥经营收入总额 1%或 1.5 亿元
报
     所有者权益潜在
                            错报≥所有者权益总额 1%或 2 亿元
错报
     直接财产损失           1000 万元及以上

       3.1.1.2 符合下列条件之一的，可以认定为重要缺陷：

           项目                                   缺陷影响
     利润总额潜在
                          利润总额 3%或 0.6 亿元≤错报＜利润总额 5%或 1 亿元
错报
     资产总额潜在
                          资产总额 0.5%或 2.5 亿元≤错报＜资产总额 1%或 5 亿元
错报



                                        14
                                          浙江海正药业股份有限公司内部控制评价管理办法



           项目                                    缺陷影响
     经营收入潜在           经营收入 0.5%或 0.75 亿元≤错报＜经营收入总额 1%或
错报                    1.5 亿元
     所有者权益潜           所有者权益总额 0.5%或 1 亿元≤错报＜所有者权益总额
在错报                  1%或 2 亿元
     直接财产损失           500 万元（含 500 万元）～1000 万元

       3.1.1.3 符合下列条件之一的，可以认定为一般缺陷：

            项目                                  缺陷影响
     利润总额潜在错
                              错报＜利润总额 3%或 0.6 亿元
报
     资产总额潜在错
                              错报＜资产总额 0.5%或 2.5 亿元
报
     经营收入潜在错
                              错报＜经营收入 0.5%或 0.75 亿元
报
     所有者权益潜在
                              错报＜所有者权益总额 0.5%或 1 亿元
错报
     直接财产损失             10 万元（含 10 万元）～500 万元

       3.1.2 定性标准
          公司规定，涉及以下领域的内控缺陷至少应认定为“重要缺陷”：
          反舞弊程序和控制
          对非常规或非系统性交易的内部控制
          对照公认会计准则选择和应用会计政策的内部控制
          对期末财务报告流程的内部控制
          如果存在包括但不限于下列问题的，考虑是否存在财务报告内部控制重
     大缺陷：
          董事、监事和高级管理人员舞弊；
          主要财务人员任职资格或胜任能力明显不足；
          企业更正已公布或已上报的财务报告；
          注册会计师发现当期财务报告存在重大错报，而内部控制在运行过程中


                                         15
                                         浙江海正药业股份有限公司内部控制评价管理办法



   未能发现该错报；
   企业审计委员会和内部审计机构对内部控制的监督无效。

3.2 非财务报告内控缺陷的认定标准
     缺陷
                    直接财产损失金额                            重大负面影响
   类型
    一 般         小于人民币 500 万              受到省级以下政府部门处罚，但未对
                                             或
缺陷         元                              公司定期报告披露造成负面影响。

                  人民币 500 万元（含
    重 要
             500 万元）-人民币 1000          或   主要媒体上当年出现过负面新闻。
缺陷
             万元
    重 大         人民币 1000 万元及              主要媒体负面新闻一年出现两次以
                                             或
缺陷         以上                            上。

       如果存在包括但不限于下列问题的，考虑是否存在非财务报告内部控制
重大缺陷：
   企业缺乏民主决策程序，如缺乏“三重一大”决策程序；
   企业决策程序不科学，如决策失误导致并购不成功、损失很大；
   违犯国家法律、法规，如环境污染、不按规定进行信息上报或披露等；
   管理人员或技术人员纷纷流失；
   主要媒体负面新闻一年出现两次以上；
   上年评出的重大或重要缺陷未得到整改；
   燃料、物资、薪酬、固定资产重要业务等缺乏制度控制或制度系统性失
   效；
   主要业务管理或操作人员明显不胜任。
       如果存在包括但不限于下列问题的，考虑是否存在内部控制重要缺陷：
   中层管理人员舞弊；
   主要媒体上当年出现过负面新闻；
   上年评出的一般缺陷未得到整改，也没有合理解释；
   有的管理人员或操作人员胜任能力不够。
       如果存在包括但不限于下列问题的，考虑是否存在内部控制一般缺陷：
   一般员工舞弊；


                                        16
                                         浙江海正药业股份有限公司内部控制评价管理办法



        上年评出的一般缺陷未得到整改；
        受到省级（含省级）以下政府部门处罚但未对公司定期报告披露造成负
        面影响
4   内部控制缺陷认定步骤

     4.1 流程层面单一缺陷认定步骤
    4.1.1 分别针对财务报表缺陷和非财务报表缺陷，考虑 3.1.2 和 3.2 中的缺陷
定性标准。若缺陷性质属于定性标准中提及的情形，则可直接将内控缺陷认定为
“重要缺陷”或“重大缺陷”。
    4.1.2 财务报表内控缺陷认定的定量方法
    4.1.2.1 确定受缺陷影响的会计科目和披露事项
        会计科目和披露事项的类别应依据公司对外披露的财务报告确定
        会出现某个缺陷影响多个会计科目和披露事项的情况
    4.1.2.2 判断财务报表错报发生的可能性
    对错报发生的可能性的评估是根据错报未被防止或发现的潜在可能性来判
定的，而不是根据错报是否已经发生。仅具微小发生可能性的缺陷不能构成重要
缺陷或重大缺陷，因此不需要对其潜在错报的重大程度进行评估。
    4.1.2.3 计算潜在影响金额
        确定不合格样本量和测试的总样本量
        采用 95％的置信水平，采用统计方法确定“上限偏差率”（可通过查询统
        计表的方式实现）
        根据财务信息确定“总体影响水平”，总体影响水平是对控制缺陷造成的
        错报的最坏估计，即假定一项控制 100%失效，并且当控制失效时，会导
        致 100%的错误发生。 总体影响水平的金额可参考控制缺陷影响到的评
        估期内财务报表金额或科目/交易发生额。
        根据“上限偏差率”和“总体影响水平”确定“调整后影响水平”，“调整后影
        响水平”等于“总体影响水平”乘以“上限偏差率”。
        调整后影响水平认同下述理念：如果一个控制被认定为无效，并非每次
        交易都必然导致错报，并假定：一个“平均交易金额”的错误会以“上限偏
        差率”的可能性出现 。


                                        17
                                         浙江海正药业股份有限公司内部控制评价管理办法



    4.1.2.4 根据错报发生的可能性和潜在影响金额，判断财务报表内控缺陷的
严重程度。（参考 3.1.1 表格）
    4.1.3 根据直接财产损失金额，或对公司负面影响的程度，判断非财务报表
内控缺陷的严重程度。（参考 3.2 表格）

    4.2 公司层面缺陷评估
    4.2.1 公司层面控制包括：内部环境、风险评估、控制活动、信息与沟通、
内部监督，公司层面控制缺陷通常不会直接导致错报，但会增加流程层面错报的
可能性；量化的方法通常对于评估这些缺陷没有帮助，缺陷的评估应基于这些缺
陷导致错报的可能性。
    4.2.2 在判断公司层面控制缺陷时，需考虑的因素包括：
       控制缺陷在公司中的普遍性
       控制缺陷对公司层面控制各组成要素的相对重要性
       产生错误风险增加的迹象（根据以往错报记录）
       舞弊的可能性（包括管理层越权的风险）
       控制运行有效性方面已发现的例外情况的原因和频率
       缺陷可能导致的未来后果

    4.3 信息系统缺陷评估
    4.3.1 对信息系统总体控制缺陷的评估应参照其对应用控制的影响，信息系
统总体控制缺陷并不直接导致错报，错报大多来源于无效的应用系统控制。
    4.3.2 在不考虑定性因素的影响下：
       如果应用系统层面没有缺陷，则信息系统总体控制缺陷可以认为仅是一
       般缺陷。
       如果应用系统层面的控制缺陷与信息系统总体控制中的缺陷有关或由它
       所引起，则信息系统总体控制缺陷应与应用系统控制中的缺陷结合起来
       评估，并且通常与应用系统控制缺陷的分类一致。
    4.3.3 以下三种情况导致信息系统总体控制缺陷演变为重大缺陷
       与信息系统总体控制缺陷有关，或是由它所引起的应用系统控制缺陷被
       确认为重大缺陷
       一项信息系统总体控制缺陷由于其广泛性和重要性而导致得出公司控制

                                        18
                                  浙江海正药业股份有限公司内部控制评价管理办法



   环境存在重大缺陷的结论
   原来被确认为重要缺陷的信息系统总体控制缺陷在经过一段合理时间后
   仍然没有得到整改。

4.4 控制缺陷总体评估
   由于与特定科目或披露事项相关的多个控制缺陷增加了错报的可能性，
   所以评估缺陷时应该根据重要会计科目、披露事项以及内控组成五要素
   对缺陷进行汇总，以此确定汇总后的缺陷是否构成重要缺陷或重大缺陷。
   一般内部控制缺陷、重要缺陷、重大缺陷并非相互独立、互不影响。多
   个“一般缺陷”共同作用，有可能形成一个“重要缺陷”；多个“重要缺陷”
   共同作用，有可能形成一个“重大缺陷”；一旦有“重大缺陷”出现，公司
   的内部控制评价则为失效。
   4.5 关于评价期内存在内部控制设计修订时的评价标准
   内部控制设计前期存在缺陷，修改后无缺陷并对前期缺陷影响作出补救
   规定的，执行时间或次数占评价期的四分之一以上的，可以认定为设计
   无缺陷；
   内部控制设计前期无缺陷，修改后存在缺陷并且开始执行的，认为设计
   有缺陷。
   4.6 关于评价期内非财务报告内部控制执行方面的评价标准
   评价期内只发生过一次相关业务的，根据控制情况直接得出评价结论；
   评价期内发生多次相关业务，按照抽查样本量参考标准抽出的样本全部
   没有缺陷时，认定为无缺陷；
   评价期内发生多次相关业务，按照抽查样本量参考标准抽出的样本有的
   存在缺陷时，按照整改期间样本量标准在相应的整改期内按标准抽出样
   本，当：
       1．整改期间样本全部无缺陷且前期缺陷影响已消除时，可以认定为
   无缺陷；
       2．整改期间样本全部无缺陷，但前期缺陷影响未消除时，前期缺陷
   影响除重大或特别重大外，一般认定为一般缺陷。前期缺陷影响重大的，
   认定为重要缺陷；前期缺陷影响特别重大的，还应认定为重大缺陷。


                                 19
                                 浙江海正药业股份有限公司内部控制评价管理办法



       3．整改期间样本有的存在缺陷，但前期缺陷影响已消除时，以整改
   期样本中存在的缺陷程度最大的情形作为该控制的缺陷认定标准；
       4．整改期间样本有的存在缺陷且前期缺陷影响未消除时，以所有样
   本中存在的程度最大的情形作为该控制的缺陷认定标准。
   4.7 关于评价期内财务报告内部控制执行方面的评价标准
   评价期内只发生过一次相关业务的，根据控制情况直接得出评价结论，
   填写无错报或错报的金额及方向；
   评价期内发生多次相关业务，按照抽查样本量参考标准抽出的样本全部
   没有错报时，认定为无错报；
   评价期内发生多次相关业务，按照抽查样本量参考标准抽出的样本存在
   错报时，按照整改期间样本量标准在相应的整改期内抽出样本，当：
       1．整改期间样本全部无错报且前期错报影响已消除时，可以认定为
   无错报；
       2．整改期间样本全部无错报，但前期错报影响未消除时，记录前期
   推断总体可能错报的金额和方向；
       3．整改期间样本存在错报，但前期错报影响已消除时，记录整改期
   间推断总体可能错报的金额和方向；
       4．整改期间样本存在错报且前期错报影响未消除时，记录整个评价
   期推断总体可能错报的金额和方向。在确定推断总体错报的金额或方向
   时，相反方面的样本错报金额不能抵销，应分别记录。在样本错报的方
   向没有规律且随机出现时，应将推断总体全部记录为错报，方向是虚增、
   虚减两个方向。




                                20