徐工机械：内部控制评价管理制度

徐工集团工程机械股份有限公司内部控制评价管理制度（2 013 年 1 月修订）本制度经公司第六届董事会第三十八次会议（临时）审议通过第一章总则第一条为规范公司内部控制评价工作，及时发现公司内部控制缺陷，提出和实施改进方案，确保内部控制有效运行，依据公司法、证券法、企业内部控制基本规范、深圳证券交易所股票上市规则等法律法规及规范性文件的规定，并结合本公司的实际情况，制定本制度。第二条本制度所称内部控制评价，是指由公司董事会和管理层实施的，对公司内部控制有效性进行全面评价，形成评价结论，出具评价报告的过程。内部控制有效性是指公司建立与实施内部控制能够为控制目标的实现提供合理的保证程度, 包括内部控制设计的有效性和内部控制运行的有效性。第三条公司实施内部控制评价，至少应当关注下列业务风险：（一）公司组织架构不合理，内部控制评价人员未能保持适当的独立性、客观性，可能影响内部控制评价工作的有效性。（二）内部控制评价程序、方法不够科学或不符合公司内部规章制度的要求，可能影响内部控制评价结果的正确性。（三）内部控制评价人员不够尽职尽责，未能履行监督职能，未能发现公司存在的舞弊等影响企业健康发展的不良现象。（四）内部控制评价人员的业务技能和评价质量达不到专业要求，可能导致不恰当的判断。第四条公司实施内部控制评价至少应遵循下列原则：（一）风险导向原则。内部控制评价应当以风险评估为基础，根据风险发生的可能性和对企业单个或整体控制目标造成的影响程度来确定需要评价的重点业务单元、重要业务领域或流程环节。（二）一致性原则。内部控制评价应当采用统一可比的评价方法和标准，保证评价结果的可比性。（三）公允性原则。内部控制评价应当以事实为依据，评价结果应当有适当的证据支持。（四）独立性原则。内部控制评价机构的确定及评价工作的组织实施应当保持相应的独立性。（五）成本效益原则。内部控制评价应当以适当的成本实现科学有效的评价。第五条内部控制评价的职责（一）董事会和高级管理层负责公司内部控制的设计、运行和评价工作。（二）董事会审计委员会对内部控制评价工作进行指导，并审阅公司审计部门提交的内部控制评价报告。（三）监事会对董事会实施内部控制评价进行监督。（四）公司内部控制日常管理办公室代表经营层对公司内部控制进行日常评价。（五）公司审计部门代表董事会对公司内部控制进行审计监督和评价。（六）公司下属各分子公司负责评价本单位的风险和控制。第六条评价依据和标准国家有关法律法规、企业内部控制基本规范、企业内部控制评价指引、深圳证券交易所主板上市公司规范运作指引、公司及下属各分、子公司制度、流程等相关文件。第二章内部控制评价的内容第七条公司应当根据本管理办法，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素进行，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。第八条评价范围为公司及下属各分、子公司所有营运环节及贯穿于经营活动各环节之中的各项管理制度。第九条公司实施内部控制评价，包括对内部控制设计有效性和运行有效性的评价。内部控制设计有效性是指为实现控制目标所必需的内部控制要素都存在并且设计恰当；内部控制运行有效性是指现有内部控制按照规定程序得到了正确执行。第十条下列内容：公司对被评价单位内部控制的有效性进行评价，应当至少涉及（一）被评价单位内部控制是否在风险评估的基础上涵盖了公司层面的风险和所有重要的业务流程层面的风险。（二）被评价单位内部控制设计的方法是否适当、覆盖是否全面，内部控制建设的时间进度安排是否科学、阶段性工作要求是否合理。（三）被评价单位内部控制设计和运行的组织是否有效，人员配备、职责分工和授权是否合理。（四）被评价单位是否开展内部控制自查并上报有关自查报告。（五）被评价单位是否建立有利于促进内部控制各项政策措施落实和问题整改的机制。（六）被评价单位在评价期间是否出现过重大风险事故等。（七）内部控制具体评价内容应该建立在内部核心指标体系的基础上展开，每一个指标需要逐级细化，具体参考附件 1。第三章内部控制评价的组织和实施第十一条内部控制评价按照“统一领导，分级管理 ”的原则进行，即公司董事会负责领导、公司审计部门和公司内部控制日常管理办公室负责具体组织和实施、公司下属各分子公司负责本单位的内部控制评价工作。第十二条内部控制评价工作应形成工作底稿，详细记录公司执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等，工作底稿通过一系列评价表格来实现，对每个要素核心指标进行分解、评价，并最终汇总出评价结果。第十三条公司内部控制评价，一般包括年度评价和日常评价。年度评价是指公司根据内部控制目标，对公司某一年度建立与实施内部控制的有效性进行的评价；日常评价是指公司在特定时点对特定范围的内部控制的有效性进行的评价。年度评价为定期评价，在每年年度结束后至年度报告提交董事会审议之前，应完成定期检查并将内部控制评价报告提交董事会审计委员会审阅；日常评价一般为不定期评价，根据需要视具体情况而定，不受检查时间和检查次数的限制。第十四条公司管理层和各部门及各分子公司应负责组织相关人员按检查评价部门的要求，积极配合并及时提供所需的原始凭证、报表、操作规程和书面报告等文件资料。第四章内部控制评价的程序和方法第十五条公司内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。第十六条年度检查评价的程序（一）公司审计部门会同公司内部控制日常管理办公室制订工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容。（二）内部控制评价工作组组织公司各相关部门、各分子公司按工作方案进行自查，编写自查评价报告。（三）公司各相关部门、各分子公司将自查评价报告上报公司内部控制评价工作组。（四）公司内部控制评价工作组通过实施现场检查对各相关部门、各分子公司自查评价报告进行审核确认和再评价。（五）公司审计部门会同公司内部控制日常管理办公室对再评价结果进行汇总分析，编写公司年度内部控制评价报告，并由公司审计部门上报公司董事会审计委员会审阅。（六）公司董事会审计委员会审议内部控制评价报告，并对存在的缺陷和问题，以及提出的意见和措施予以研究并形成决议。（七）公司审计部门将审计委员会审议后的内部控制评价报告提交公司董事会审议并形成决议。公司监事会和独立董事亦应对此报告发表意见。（八）公司董事会在年度报告披露的同时，按规定披露年度内部控制评价报告，并披露会计师事务所对年度内部控制评价报告的核实评价意见。（九）公司审计部门对于检查中发现的内部控制缺陷及实施中存在的问题，应在向董事会报告后进行追踪，以确定相关单位及时采取适当的改进措施。第十七条除定期检查评价外，公司内部控制日常管理办公室应不定期组织开展内部控制检查评价, 促进各单位内部控制的持续改善。同时，公司审计部门亦应代表董事会对公司内部控制的建立与执行情况进行不定期检查评价, 以规范管理，控制和防范风险。第十八条检查评价部门开展内部控制检查评价工作时，应当对被评价单位进行现场测试，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集被评价单位内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。第十九条公司应当通过评估和测试获取与内部控制有效性相关的证据，并合理保证证据的充分性和适当性。证据的充分性是指获取证据的数量应当能合理保证相关控制的有效；证据的适当性是指获取的证据应当与相关控制的设计与运行有关，并能可靠地反映控制的实际运行状况。第二十条内部控制评价人员应当及时记录开展内部控制评价工作的方法和程序，并以适当形式妥善保存相关证据。第五章内部控制缺陷的认定第二十一条内部控制缺陷包括设计缺陷和运行缺陷。公司对内部控制缺陷的认定，按照规定的权限和程序进行。（一）以下任何一种情况出现，都意味着内部控制存在设计上的缺陷：针对某一控制目标，缺失必要的控制点；已有的内部控制设计不当，以致即使正确地按设计的要求执行了控制程序，也不能始终实现控制目标。（二）以下任何一种情况出现，都意味着内部控制存在执行上的缺陷：设计恰当的内部控制未按照设计的要求正确执行；控制执行人没有取得必要的授权或缺乏必要的胜任能力。第二十二条内部控制缺陷的类型和认定（一）内部控制缺陷按其影响程度分为重大缺陷、重要缺陷和一般缺陷；缺陷认定标准应随着企业内控水平的提高进行适当的修订。重大缺陷，是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标；重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标；一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。（二）缺陷按照控制目标的不同分为财务报告内部控制缺陷和非财务报告内部控制缺陷。财务报告内部控制是指针对财务报告目标而设计和实施的内部控制，财务报告内部控制的缺陷主要是指不能合理保证财务报告可靠性、完整性、合理性的内部控制设计和运行缺陷。除此以外，不能合理保证实现资产安全、经营效率效益、合法合规等其他目标的控制活动缺陷为非财务报告内部控制缺陷。（三）财务报告内部控制缺陷的评定 1、定量标准：（1 ）重大财务报告相关内控缺陷：该等缺陷可能导致的潜在错报金额占本企业资产总额 0.25%、销售收入 0.5%或税前利润 5%及以上，为重大缺陷。（2 ）重要财务报告相关内控缺陷：该等缺陷可能导致的潜在错报金额占本企业资产总额 0.125%、销售收入 0.25%或税前利润 2.5%及以上但小于重大财务报告相关内控缺陷定量标准的，为重要缺陷。（3 ）一般财务报告相关内控缺陷：低于上述重要性水平的其他潜在错报金额。2、定性标准：（1 ）如果发现的缺陷符合以下任何一条，应当认定为财务报告内部控制重大缺陷：该缺陷涉及高级管理人员任何舞弊；该缺陷表明未设立内部监督机构或内部监督机构未履行基本职能；当期财务报告存在依据定量标准认定的重大错报，控制活动未能识别该错报，或需要更正已公布的财务报告。（2 ）如果发现的缺陷符合以下任何一条，应当认定为财务报告内部控制重要缺陷：当期财务报告存在依据定量标准认定的重要错报，控制活动未能识别该错报，或需要更正已公布的财务报告；虽然未达到和超过该重要性水平，但从性质上看，仍应引起董事会和管理层重视的错报。（3 ）除上述两种情况规定的缺陷外的其他财务报告内部控制缺陷应当认定为一般缺陷。（四）非财务报告内部控制缺陷的认定 1、定量标准：（1 ）重大缺陷：该等缺陷可能导致的直接损失占本企业资产总额 0.25%、销售收入 0.5%或税前利润 5 %及以上，则为重大缺陷。（2 ）重要缺陷：该等缺陷可能导致的直接损失占本企业资产总额 0.125%、销售收入 0.25%或税前利润 2.5%及以上但小于重大缺陷定量标准的，则为重要缺陷。（3 ）一般缺陷：小于上述缺陷的，为一般缺陷。 2、定性标准：（1 ）如果发现的缺陷符合以下任何一条，应当认定为非财务报告内部控制重大缺陷：缺乏民主决策程序，如缺乏重大问题决策、重要岗位人员聘任与解聘决策、重大项目投资决策、大额资金使用（三重一大）决策程序；决策程序不科学，如重大决策失误，给公司造成定量标准认定的重大损失；严重违犯国家法律、法规；关键管理人员或重要人才大量流失；媒体负面新闻频现；内部控制评价的重大缺陷未得到整改；重要业务缺乏制度控制或制度系统性失效，给公司造成定量标准认定的重大损失。（2 ）如果发现的缺陷符合以下任何一条，应当认定为非财务报告内部控制重要缺陷：公司因管理失误发生依据第二十二条认定的重要财产损失，控制活动未能防范该失误；财产损失虽然未达到和超过该重要性水平、但从性质上看，仍应引起董事会和管理层重视。（3 ）除上述规定的缺陷外的其他非财务报告内部控制缺陷应当认定为一般缺陷。第二十三条公司内部控制评价部门应当编制内部控制缺陷认定表（附件 2），结合日常监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，并以适当的形式向董事会、监事会或者经理层报告。重大缺陷应当由董事会予以最终认定。公司对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。公司应当就发现的内部控制缺陷提出整改建议（附件 3），并报董事会（审计委员会）批准。获批后，应制订切实可行的整改方案，包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容。在整改工作中遇到协调困难甚至阻碍的，内部控制机构有权直接向董事会（审计委员会）报告，董事会（审计委员会）应给予足够的支持和帮助。第六章内部控制评价报告第二十四条内部控制评价报告应当分别内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。第二十五条附件 4）：内部控制评价报告一般至少应当包括下列内容（格式详见（一）董事会声明。（二）内部控制评价工作的总体情况。（三）内部控制评价的依据。（四）内部控制评价的范围。（五）内部控制评价的程序和方法。（六）内部控制缺陷及其认定情况。（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。（八）内部控制有效性的结论。第二十六条送相关部门。内部控制评价报告应当报经董事会批准后对外披露或报公司内部控制评价部门应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。第二十七条公司应当以 12 月 31 日作为年度内部控制评价报告的基准日。内部控制评价报告应于基准日后 4 个月内报出。第二十八条公司及各分子公司内部控制评价报告、工作底稿及相关资料，保存时间不少于十年。第七章内部控制评价的监督及奖惩措施第二十九条公司所有内部控制评价活动都由董事会审计委员会统一负责监督，如相关单位对检查评价的过程或结果的公正性存在质疑，可以向该委员会反映。第三十条公司管理层和董事会应当根据评价结论对相关单位、部门或人员实施适当的奖励和惩戒。第八章附则第三十一条第三十二条本制度由董事会负责制定、修改、解释。本制度自董事会审议通过之日起实施。附件 1：内部控制评价核心指标核心指标参考标准一、内部环境（一）组织机构董事会、监事会、经理层的相互制衡董事会及各专门委员会、监事会和经理层的职责权限、任职资格和议事规则是否明确并严格履行董事会、监事会、经理层致力于内部控制建设和执行1.是否科学界定了董事会、监事会、经理层在建立与实施内部控制的职责分工2.董事会是否采取必要的措施促进和推动企业内部控制工作，按照职责分工提出内部控制评价意见，定期听取内部控制报告，督促内部控制整改，修订内部控制制度组织架构设臵科学、精简、高效、透明、权责匹配、相互制衡1.组织机构设臵是否与企业业务特点相一致，能够控制各项业务关键控制环节，各司其职、各尽其责，不存在冗余的部门或多余的控制2.是否明确了权责分配、制定了权限指引并保持权责行使的透明组织架构适应性是否定期梳理、评估企业治理结构和内部机构设臵，发现问题及时采取措施加以优化调整，是否定期听取董事、监事、高级管理人员和其他员工的意见，按照规定的权限和程序进行决策审批组织架构对于公司的控制力是否通过合法有效的形式履行出资人职责、维护出资人权益，特别关注异地、境外子公司的发展战略、年度财务预决算、重大投融资、重大担保、大额资金使用、主要资产处臵、重要人事任免、内部控制体系建设等重要事项（二）发展战略发展战略科学合理，既不激进，且实施到位1.企业是否综合考虑宏观经济政策、国内外市场需求变化、技术发展趋势、行业及竞争对手状况、可利用资源水平和自身优势与劣势等影响因素制定科学合理的发展战略2.是否根据发展目标制定战略规划，确定不同发展阶段的具体目标、工作任务和实施路径3.是否设立战略委员会或指定相关机构负责发展战略管理工作，是否明确战略委员会的职责和议事规则并按规定履行职责4.是否对发展战略进行可行性研究和科学论证，并报董事会和股东( 大) 会审议批准发展战略有效实施 1.是否制定年度工作计划，编制全面预算，确保发展战略的有效实施2.是否采取有效方式将发展战略及其分解落实情况传递到内部各管理层级和全体员工发展战略科学调整是否及时监控发展战略实施情况，并根据环境变化及风险评估等情况及时对发展战略做出调整（三）人力资源政策人力资源结构合理、能够满足企业需要1.人力资源政策是否有利于企业可持续发展和内部控制的有效执行2.是否明确各岗位职责权限、任职条件和工作要求，选拔是否公开、公平、公正，是否因事设岗、以岗选人人力资源开发机制健全有效1.是否制定并实施关于员工聘用、培训、辞退与辞职、薪酬、考核、健康与安全、晋升与奖惩等方面的管理制度2.是否建立员工培训长效机制，培训是否能满足职工和业务岗位需要，是否存在员工知识老化人力资源激励约束机制健全有效1.是否设臵科学的业绩考核指标体系，并严格考核评价，以此作为确定员工薪酬、职级调整和解除劳动合同等的重要依据2.是否存在人才流失现象3.是否对关键岗位员工有强制休假制度或定期轮岗制度等方面的安排4.是否对掌握国家秘密或重要商业秘密的员工离岗有限制性的规定5.是否将有效执行内部控制纳入企业绩效考评体系（四）社会责任安全生产体系、机制健全有效1.是否建立严格的安全生产管理体系、操作规范和应急预案，切实做到安全生产2.是否落实安全生产责任，对安全生产的投入，包括人力、物力等，是否能保证及时发现、排除生产安全隐患3.发生生产安全事故，是否妥善处理，排除故障，减轻损失，追究责任。是否有迟报、谎报、瞒报重大生产安全事故现象产品质量体系健全有效是否建全质量管理体系，健全产品质量控制和检验制度并严格执行，是否有良好的售后服务，能够妥善处理消费者提出的投诉和建议，建立完善的客户服务体系、计量管理体系切实履行环境保护和资源节约责任1.是否制定环境保护与资源节约制度，采取措施促进环境保护、生态建设和资源节约并实现节能减排目标2.是否实施清洁生产，合理开发利用不可再生资源促进就业和保护员工权益1.是否依法保护员工的合法权益，保持工作岗位相对稳定，积极促进充分就业，是否建立高级管理人员与员工薪酬的正常增长机制2.是否实现按劳分配、同工同酬、建立科学的员工薪酬制度和激励机制3.是否及时办理员工社会保险，足额缴纳社会保险费4.是否维护员工健康，落实休息休假制度5.是否积极开展员工职业教育培训，创造平等发展机会（五）企业文化企业文化具有凝聚力和竞争力，促进企业可持续发展1.是否采取切实有效的措施，积极培育具有自身特色的企业文化，打造以主业为核心的企业品牌，促进企业长远发展2. 企业董事、监事、经理及其他高级管理人员是否在文化建设和履行社会责任中起到表率作用，是否促进文化建设在内部各层级的有效沟通3.是否做到文化建设与发展战略的有机结合，使员工自身价值在企业发展中得到充分体现4.是否重视并购重组后的企业文化建设，平等对待被并购方的员工，促进并购双方的文化融合企业文化评估具有客观性、实效性1.是否建立企业文化评估制度，重点对董事、监事、经理和其他高级管理人员在企业文化建设中的责任履行情况、全体员工对企业核心价值观的认同感、企业经营管理行为与企业文化的一致性、企业品牌的社会影响力、参与企业并购重组各方文化的融合度，以及员工对企业未来发展的信心做出评估2.是否针对评估结果是否巩固和发扬文化建设成果，进而研究影响企业文化建设的不利因素，分析深层次的原因，及时采取措施加以改进二、风险评估目标设定 1.企业层面，是否有明确的目标、目标是否具有广泛的认识基础、企业战略是否与企业目标相匹配2.业务层面，各业务层面目标是否与企业目标一致、各业务层面目标是否衔接一致、各业务层面目标是否具有操作指导性3.是否结合企业的风险偏好，确定相应的风险承受度风险识别 1.目标是否层层分解并确立关键业务或事项2.是否持续性的收集相关信息，内外部风险识别机制是否健全，是否识别影响公司目标实现的风险3.是否根据关键业务或事项分析关键成功因素4.是否识别影响公司目标实现的风险风险分析 1.风险分析技术方法的适用性2.结合风险发生可能性和影响程度标准划分风险等级的准确性3.风险发生后负面影响判断的准确性风险应对 1.风险应对策略与公司战略、企业文化的一致性2.风险承受度与风险应对策略的匹配程度三、控制活动（一）控制活动的设计控制措施足以覆盖企业重要风险，不存在控制缺失、控制过度1.是否针对企业内部环境设立了相应的控制措施2.各项控制措施的设计是否与风险应对策略相适应3.各项主要业务控制措施是否完整、恰当4.是否针对非常规性、非系统性业务事项制定相应的控制措施，并定期对其执行情况进行检查分析5.是否建立重大风险预警机制和突发事件应急处理机制，相关应急预案的处臵程序和处理结果是否有效（二）控制活动的运行控制活动运行符合控制措施规定针对各类业务事项的主要风险和关键环节所制定的各类控制方法和控制措施是否得以有效实施四、信息与沟通信息收集处理和传递及时、准确、适用是否有透明高效的信息收集、处理、传递程序，合理筛选、核对、整合与经营管理和内部控制相关信息反舞弊机制健全 1.是否建立健全并有效实施反舞弊机制2.举报投诉制度和举报人保护制度是否及时、准确传达至企业全体员工3.对舞弊事件和举报所涉及的问题是否及时、妥善地作出处理沟通顺畅 1.信息在企业内部各层级之间、企业与外部有关方面之间的沟通是否有效2.董事会、监事会和经理层是否能够及时掌握经营管理和内部控制的重要信息并进行应对3.员工诉求是否有顺畅的反映渠道利用信息化程度 1.企业是否建立与经营管理相适应的信息系统，利用信息技术提高对业务事项的自动控制水平2.在信息系统的开发过程中，是否对信息技术风险进行识别、评估和防范3.信息系统的一般控制是否涵盖信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全、硬件设备、操作人员等方面，确保信息系统安全稳定运行4.信息系统的应用控制是否紧密结合业务事项进行，利用信息技术固化流程、提高效率、减少或消除人为操纵因素5.信息系统是否建立并保持相关信息交流与沟通的记录五、内部监督内部监督能够覆盖并监控企业日常业1.管理层是否定期与内部控制机构沟通评价结果，并积极整改2.是否落实职能部门和所属单位在日常监督中的责任，及时识别环境和业务变化务活动 3.日常监督的内容是否为经过分析确认的关键控制并有效控制，是否按重要程度将发现问题如实反馈给内部控制机构，是否积极采取整改措施4.日常监督用以证明内部控制有效性的信息是否适当和充分，监督人员是否具有胜任能力和客观性5.内部审计的独立性是否得以保障，审计委员会和内部审计机构是否独立、充分地履行监督职责，审计监督与内部控制沟通是否顺畅6.是否开展了必要的专项监督7.内部控制机构是否追踪重大风险和重要业务，是否制定内部控制自我评价办法和考