特发信息：内部控制评价管理办法

深圳市特发信息股份有限公司内部控制评价管理办法

第一章总则第一条为规范深圳市特发信息股份有限公司（以下简称公司）内部控制评价工作，根据《企业内部控制基本规范》及配套指引、《深圳证券交易所公开发行证券的公司信息披露编报规则第21号――年度内部控制评价报告的一般规定（2025年修订）》等相关规定，并结合公司的实际情况，制定本办法。

第二条本办法适用于公司本部（以下简称公司）、事业部及所属各级全资、控股和实际控制企业（以下统称经营单位）。

第三条本办法所称的内部控制评价，是指由公司董事会对内部控制的有效性进行全面评价，形成评价结论，出具评价报告的过程。

第四条企业实施内部控制评价遵循下列原则：

（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖公司的各种业务和事项。

（二）重要性原则。评价工作应当在全面评价的基础上，着眼于风险，突出重点，关注影响控制目标的高风险领域、重要业务单位、重大业务事项、关键控制环节和风险点。

（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

第二章内部控制评价的组织和职责

第五条公司董事会对内部控制评价承担最终责任，对内部控制评

价报告的真实性负责。董事会通过审计委员会来承担对内部控制评价的组织、领导、监督职责。公司内部审计机构负责内部控制评价的具体组织实施工作。

第六条公司有关机构、部门在内部控制评价中的职责和权限：

（一）董事会

1.审批内部控制评价相关管理制度；

2.审批内部控制缺陷认定标准；

3.审批内部控制评价报告；

4.审批内部控制重大缺陷及其整改意见。

（二）审计委员会

1.审议内部控制评价相关管理制度；

2.审批内部控制评价工作方案；

3.审议内部控制评价报告；

4.审议内部控制重大缺陷整改意见；

5.领导内部审计机构，推进内部控制评价工作和缺陷整改工作。

（三）经理层

1.审议内部控制缺陷认定标准；

2.审议公司年度内部控制检查报告与评价报告；

3.提交重大缺陷及整改方案报董事会审批；

4.按照董事会内控缺陷整改意见，对内部控制评价中发现的问题或报告的缺陷进行整改。

（四）内部审计机构

1.拟定内部控制评价相关管理制度；

2.拟定内部控制评价工作方案；

3.组织实施内部控制评价工作；

4.分析公司内部控制评价整体情况，编制公司内部控制评价报告。

5.对内部控制缺陷及时督促整改。

（五）各职能部门及分子公司

1.由本部门/本单位对内部控制设计和执行进行有效性测试；

2.由合规与风险管理部组织开展内部控制检查，出具年度内部控制检查报告；

3.组织落实本部门/本单位内部控制缺陷整改工作。

第三章内部控制评价的内容

第七条公司开展内部控制评价，应根据有关规定，考虑自身的经营特点、业务模式以及风险管理要求、内部控制的目标，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。

第八条公司组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合公司的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。

第九条公司组织开展风险评估机制评价，应当对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

第十条公司组织开展控制活动评价，应当对相关控制措施与流程的设计和运行情况进行认定和评价。

第十一条公司组织开展信息与沟通评价，应当对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。

第十二条公司组织开展内部监督评价，应当对内部监督机制的有效性进行认定和评价，重点关注审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

第四章内部控制评价的程序和方法

第十三条内部控制评价程序一般包括以下环节：

（一）制定内控评价工作方案；

（二）对内部控制设计和执行进行有效性测试；

（三）认定控制缺陷；

（四）汇总评价结果；

（五）编报评价报告。

第十四条以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合公司《内部控制制度》，对内部控制的有效性进行认定和评价。首先，评估相关目标实现的风险；其次，识别和确定公司充分应对这些风险的内部控制是否存在，即评价内部控制的设计应对相关目标实现风险的有效性；第三，识别和确定内部控制运行有效性的证据，评价现有的控制是否得到了有效的运行；最后，对控制缺陷进行评估，判定是否构成实质性缺陷，确定内部控制是否有效。

第五章内部控制缺陷的认定和整改第十五条内部控制缺陷认定标准包括定性标准和定量标准。定量标准即涉及金额大小，既可以根据造成直接损失绝对金额制定，也可以根据直接损失占本公司净资产及利润总额等的比例确定；定性标准，即涉及业务性质的严重程度，根据其直接或潜在负面影响的性质、范围、程度等因素确定。

第十六条公司内部控制缺陷按照性质划分为财务报告缺陷和非财务报告缺陷。缺陷标准由合规与风险管理部组织拟定、定期维护和更新，报经理层审定后提交董事会批准，作为内部控制缺陷认定评价的依据。

第十七条对于认定的重大内部控制缺陷，内控评价工作组应及时提出整改意见，经董事会审批后，各相关责任单位应制订切实可行的整改方案并按期完成整改。

第六章内部控制评价报告

第十八条内部审计机构根据年度内部控制评价结果等资料，结合内部控制评价工作底稿和内部控制缺陷认定汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。

第十九条内部控制评价报告至少应当披露下列内容：

（一）董事会对内部控制报告真实性的声明；

（二）内部控制评价工作的总体情况；

（三）内部控制评价的依据；

（四）内部控制评价的范围；

（五）内部控制评价的程序和方法；

（六）内部控制缺陷及其认定情况；

（七）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施；

（八）内部控制有效性的结论。第二十条公司以12月31日作为年度内部控制评价报告的基准日。内部控制评价报告经批准，于基准日后4个月内对外披露。

内部审计机构应关注内部控制评价报告基准日至报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。第二十一条内部控制评价的有关文件资料、工作底稿和证明材料等应当由内部审计机构妥善保管，保存时间不少于10年，年度报告应永久保存。

第七章附则

第二十二条本办法由公司董事会负责解释。

第二十三条本办法自董事会审议通过之日起生效，原《特发信息内部控制评价管理办法》同时废止。