上海现代制药股份有限公司

内部控制评价办法

（2026年8月25日经九届八次董事会审议修订）

第一章总则

第一条?为进一步规范上海现代制药股份有限公司（以下简称公司）内部控

制评价工作，提高经营管理水平和风险防范能力，促进公司持续健康发展，根据《企业内部控制基本规范》（以下简称《基本规范》）《企业内部控制应用指引》（以下简称《应用指引》）《企业内部控制评价指引》和国务院国资委等相关法律、

法规、部门规章，结合公司实际情况，制定本办法。

第二条?公司及所属全资子公司、控股子公司及具有实际控制权的子公司（以下简称子公司）的内部控制评价，适用本办法。

第三条?本办法所称内部控制评价，是指公司通过自评价和监督评价等方式，对内部控制设计和运行的有效性进行全面评价、形成评价结论、出具评价报告的过程。

自评价由公司内部控制评价机构每年组织实施。监督评价由上一级企业对下一级企业组织开展，原则上每三年实现全覆盖。

第四条?公司实施内部控制评价应遵循下列原则：

（一）全面性原则，评价工作应当包括内部控制的设计与运行，涵盖公司各种业务和事项。

（二）重要性原则，评价工作应当在全面评价的基础上，以风险为导向，关

注影响控制目标的重要业务单位、重大业务事项、高风险领域、关键控制环节和风险点。

（三）客观性原则，评价工作应当准确揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

第二章内部控制评价组织

第五条?董事会是公司内部控制评价工作的决策机构，对内部控制评价报告的真实性负责。董事会审计与风险管理委员会负责监督和评估公司内部控制评价工作及评价结果。第六条?经理层是公司内部控制评价的直接责任者，负责配合内部控制评价的开展，了解公司日常内部控制风险监控结果，根据内部控制缺陷情况，制定内部控制整改方案和措施，对整改过程中出现的重大事项按照董事会授权进行决策。

第七条?公司设置内部控制评价机构（以下简称内控评价机构），一般应为

内部审计部门，负责内部控制评价的具体实施工作，包括内部控制测试、检查与评价、编制内部控制评价报告等。

第三章内部控制评价内容和范围

第八条?公司应围绕内部环境、风险评估、控制活动、信息与沟通、内部监

督等要素，确定内部控制评价的具体内容，对内部控制体系的设计与运行情况进行全面评价。

第九条?公司组织开展内部环境评价，以组织架构、发展战略、人力资源、企业文化、社会责任等《应用指引》为依据，结合公司内部控制制度，对内部环境的设计及实施运行情况进行认定和评价。

第十条?公司组织开展风险评估机制评价，应以《基本规范》中有关风险评

估的要求，以及《应用指引》中所列主要风险为依据，结合公司内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

第十一条?公司组织开展控制活动评价，应以《基本规范》和《应用指引》

的控制措施为依据，结合公司的各类管理制度、流程，对业务事项控制措施的设计和运行情况进行认定和评价。

第十二条?公司组织开展信息与沟通评价，应以内部信息传递、财务报告、信息系统等相关应用指南为依据，结合信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。

第十三条?公司组织开展内部监督评价，应以《基本规范》有关内部监督的

要求以及《应用指引》中有关日常管控的规定为依据，结合公司对业务事项进行日常监督和专项监督的控制措施，对公司内部监督机制的有效性进行认定和评价。

第十四条?内部控制评价范围原则上应覆盖所有适用的流程及内部控制标准。公司要立足实际，针对经营管理特点，分层次、有重点地开展内部控制评价。

第四章内部控制评价的程序和方法第十五条?公司内部控制评价程序一般包括：组成评价工作组、制定评价工

作方案、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。

第十六条?内控评价机构应组建内部控制评价工作组，负责具体实施内部控制评价。制定的评价工作方案中应明确纳入评价工作的范围和业务事项、时间表及人员安排等相关内容。

第十七条?内控评价机构可根据需要委托会计师事务所实施评价，但其不得同时为公司提供内部控制审计服务。

第十八条?内部控制评价工作组对被评价单位进行现场测试，综合运用个别

访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集内部控制设计和运行是否有效的证据，研究分析内部控制缺陷。

第十九条?内部控制评价工作应当形成工作底稿，详细记录执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

第五章内部控制缺陷的认定

第二十条?内部控制缺陷的分类从环节上分为设计缺陷和运行缺陷，从影响

程度上分为重大缺陷、重要缺陷、一般缺陷，从表现形式分为财务报告内部控制缺陷和非财务报告内部控制缺陷。

第二十一条?公司可根据实际情况，从定性和定量两方面确定内部控制缺陷的认定标准。

第二十二条?内控评价机构汇总初步认定的内部控制缺陷和等级，结合日常

监督和专项监督发现的内部控制缺陷与持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核。对不存在重大缺陷的情况，出具内部控制有效的结论；对存在重大缺陷的情形，不得作出内部控制有效的结论。

第二十三条?公司内部控制缺陷认定标准提交董事会认定通过。认定标准一经确定，必须在不同评价期间保持一致，不得随意变更，并作为内部控制缺陷认定评价的参考依据。

第二十四条公司对内部控制缺陷的认定以日常监督和专项监督为基础，由

公司内控评价机构进行综合分析后提出认定意见，报请董事会审计与风险管理委员会审核后，由董事会予以最终认定。第六章内部控制评价报告及整改

第二十五条?内部控制评价报告应当分别就内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容做出描述。

第二十六条?内部控制评价报告至少应当包括下列内容：

（一）董事会对内部控制评价报告真实性的声明；

（二）内部控制评价工作的总体情况；

（三）内部控制评价的依据、范围、程序和方法；

（四）内部控制存在的缺陷及其认定情况；

（五）对上一年度内部控制缺陷的整改情况；

（六）对本年度内部控制缺陷拟采取的整改措施；

（七）内部控制有效性的结论。

第二十七条?公司内部控制评价报告、工作底稿及相关资料根据公司档案管理办法进行妥善保存。

第二十八条?对内部控制评价发现的缺陷，公司内部控制管理部门牵头组织

整改、监督整改过程及结果，相关业务部门承担具体整改责任。

第二十九条?公司董事会、董事会审计与风险管理委员会应当根据内控评价

机构出具的评价报告及相关材料，评价公司内部控制的建立和实施情况，审议形成年度内部控制评价报告。

董事会应当对公司内部控制评价报告形成决议。公司应当在披露年度报告的同时，对外公开披露年度内部控制评价报告。

第七章附则

第三十条?在内部控制评价中发现的涉及违规经营投资责任追究问题线索的，按照公司有关规定执行。

第三十一条?本办法由公司董事会负责解释及修订，自董事会审议通过之日起生效。

附件：1．内部控制评价方法和抽样规则

2．内部控制缺陷认定标准附件1：

内部控制评价方法和抽样规则

一、内部控制评价方法

内部控制评价方法主要包括个别访谈法、调查问卷法、资料查阅法、专题讨

论法、穿行测试法、抽样测试法、比较分析法、实地查验法和重新执行法，分别应用于内部控制设计有效性评价和运行有效性评价。公司可根据评价内容和范围的不同，选择一种或多种评价方法进行综合评价，确保获取充分、相关、可靠的证据作为支持。

（一）设计有效性评价方法设计有效性评价是指评价企业设计的内部控制措施是否能实现内部控制目标，可以通过个别访谈、调查问卷、查阅资料、专题讨论和穿行测试等方法实现。

1.个别访谈法，通过口头或书面方式对相关人员提出问题，根据被访谈人的

回答确定控制是否存在，了解被访谈人对控制的理解。个别访谈原则上应以设计或运行该控制的人员作为对象。

2.调查问卷法，针对重要单位、业务流程或控制要素设计调查问卷，分别对

不同层次管理者和员工下发问卷，根据问卷反馈结果对内部控制设计和了解程度做出评价。

3.资料查阅法，获取公司相关制度、会议资料、管理报告、外部行业研究、业务台账、法律纠纷案件等文档，查阅相关内容并进行汇总分析。

4.专题讨论法，组织不同层级人员就内部控制的重点业务流程和管控要求进

行专题讨论，了解公司不同层级对同一内部控制问题的理解。

5.穿行测试法，通过抽取一套贯穿流程全过程的业务记录文档样本，并追踪

该样本从起点到终点，来了解整个业务流程设计与运行的情况。

（二）运行有效性评价方法

运行有效性评价是指对企业设计的内部控制措施是否有效运行进行评价，可以通过抽样测试、比较分析、实地查验和重新执行等方法实现。

1.抽样测试法，针对公司内部控制业务流程，按业务或交易涉及控制的发生

频率和控制方式，在测试期间内抽取总体样本中一定比例的业务或交易样本，对其是否符合内部控制设计要求进行判断，进而评价业务流程控制措施运行的有效性。

2.比较分析法，通过分析比较数据间的关系、趋势或比率来取得评价证据。

3.实地查验法，对公司财产进行实地盘点、清查，对存货出入库等控制环节进行现场查验。

4.重新执行法，以人工或计算机辅助技术，重新独立执行某业务环节中的内部控制程序。

二、内部控制评价抽样规则抽样规则应根据控制方式和发生频率的不同分别制定。控制方式分为手工控制、自动控制、包含自动化成分的手工控制，其中手工控制和包含自动化成分的手工控制又可分为固定发生频率和非固定发生频率两大类，总样本量计算规则如下：

（一）固定发生频率内部控制措施的运行方式为手工控制或包含自动化成分的手工控制且发生

频率固定，测试期间内应抽取的最小样本量可参照下表：

控制运行频率控制运行总次数最小样本量

每年/每半年1次1个每季度4次2个每月12次4个每周52次10个每日250次20个每日多次大于250次25个

（二）非固定发生频率内部控制措施的运行方式为手工控制或包含自动化成分的手工控制且发生

频率非固定，应根据年初到测试执行日的业务量估算控制措施全年预计发生的数量，测试期间内应抽取最小样本量区间可参照下表：

预计全年发生交易样本量

1次1个

2-4次2个

5-12次2-5个预计全年发生交易样本量

13-52次5-15个

52-250次20-40个

大于250次25-60个

（三）自动控制

内部控制措施的运行方式为自动控制，测试期间内应抽取的最小样本量可参照下表：

控制类型年度样本总量

自动控制1个附件2：

内部控制缺陷认定标准

一、内部控制缺陷按成因分为设计缺陷和运行缺陷

（一）设计缺陷，是指缺少为实现控制目标所必需的控制，或现有控制设计不适当，即使正常运行也难以实现控制目标。

（二）运行缺陷，是指设计有效、合理且适当的内部控制由于执行不当而形

成的内部控制缺陷，包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效执行等。

二、内部控制缺陷按影响程度分为重大缺陷、重要缺陷和一般缺陷

重大缺陷，指一个或多个控制缺陷的组合，可能导致被测试主体严重偏离控制目标。

重要缺陷，指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致被测试主体偏离控制目标。

一般缺陷，指除重大缺陷、重要缺陷之外的其他缺陷。

三、内部控制缺陷按表现形式分为财务报告内部控制缺陷和非财务报告内部控制缺陷

可从定性和定量两方面考虑，分别制定缺陷认定标准。

（一）财务报告内部控制缺陷认定标准

1．定性标准

重大缺陷，指单独缺陷或连同其他缺陷导致不能及时防止或发现并纠正财务报告中的重大错报。出现下列情形的认定为重大缺陷：*董事和高层管理人员滥用职权，发生贪污、受贿、挪用公款等舞弊行为；*公司因发现以前年度存在重大会计差错，更正已上报或披露的财务报告；*公司董事会审计与风险管理委员会和内部审计机构对内部控制监督无效；*外部审计师发现当期财务报告存在重大错报，且内部控制运行未能发现该错报。

重要缺陷，指单独缺陷或连同其他缺陷导致不能及时防止或发现并纠正财务报告中虽然未达到和超过重要性水平，仍应引起经理层重视的错报。出现下列情形的认定为重要缺陷：*会计机构负责人缺乏必要的任职资格和胜任能力；*财

会岗位职责不清晰，关键的不相容岗位未有效分离；*公司财务人员或相关业务人员权责不清，岗位混乱，涉嫌经济、职务犯罪，被纪检监察部门留置，或移送司法机关；*未经授权进行担保、投资有价证券和处置产权/股权造成经济损失；

*违规泄露财务报告、并购、投资等重大信息，导致公司股价严重波动或公司形象出现严重负面影响；*因执行政策偏差、核算错误等，受到处罚或公司形象出现严重负面影响。*销毁、藏匿、随意更改发票/支票等重要原始凭证，造成经济损失；*现金收入不入账、公款私存或违反规定设立“小金库”。

一般缺陷，指不构成重大缺陷或重要缺陷的其他缺陷。出现下列情形的认定为一般缺陷：*固定资产和存货未按制度规定清查和盘点，差异处置未经恰当审批或未提出处理意见；*未按制度规定与外部往来单位对账，对账差异未及时处理或未提出处理措施，以及内部往来及关联方交易出现差异，未及时处理或未提出处理措施；*未按规定编制银行存款余额调节表，或调节表差异未及时处理；

*重要原始凭证如出/入库单、开出发票/支票等不连号或未经审批取消原始凭证；

*款项支付所需印章（财务专用章和法人印鉴）未分离保管；网上银行账户管理中，网银制单和复核权限、密码及 U盾（密码器）未分离保管；* 会计凭证未按规定装订、保管和归档，或会计凭证丢失；*财务信息系统的用户管理或密码管理未按要求执行，或财务信息系统的用户权限设置不符合不相容岗位分离的要求；*其他。

2．定量标准

重大缺陷，财务报告错漏占公司合并税前利润5%以上（含5%），占资产总额比例大于1%（含1%）。

重要缺陷，财务报告错漏占公司合并税前利润2%-5%（含2%，不含5%），占资产总额比例在0.5%-1%（含0.5%，不含1%）。

一般缺陷，财务报告错漏占公司合并税前利润小于2%，占资产总额比例小于0.5%。

以上各项参考指标之间为“或”的关系。只要有一项指标的潜在错报达到重大缺陷的认定标准，则该项缺陷应被认定为重大缺陷。税前利润小于100万元，利润指标不参与定量标准认定。

（二）非财务报告内部控制缺陷认定标准

1．定性标准

重大缺陷，出现以下情形并造成重大影响的，认定为重大缺陷：*造成重大资产损失风险；*被司法机关或监管机构立案调查，主要资产被查封、扣押、冻结或企业面临重大刑事处罚、重大行政处罚等，对公司正常生产经营造成重大影响；*受到境外国家、地区或国际组织制裁等，企业国际化战略或国际形象产生重大负面影响；*被境内或境外媒体网络刊载，造成重大负面舆情影响；*导致公司生产经营条件和市场环境发生特别重大变化，影响公司可持续发展；*其他对公司影响重大的情形。

重要缺陷，出现以下情形并造成较大影响的，认定为重要缺陷：*未落实“三重一大”政策要求，缺乏民主决策程序；*未开展风险评估，内部控制设计未覆盖重要业务和关键风险领域，不能实现控制目标；*未建立信息搜集机制和信息管理制度，内部信息沟通存在严重障碍。对外信息披露未经授权。信息内容不真实，遭受外部监管机构处罚；*关键岗位人员或普通员工流失严重；*公司关键岗位员工发生较严重舞弊；*未建立举报投诉和举报人保护制度，或举报信息渠道无效；*违反国家法律法规和监管机构监管要求，存在一定法律风险和监管风险；*全资、控股子公司未按照法律法规建立恰当的治理结构和管理制度，决策层、经理层职责不清，未建立内部控制制度，管理散乱；*委派至公司所属企业的代表未按规定履行职责，造成公司利益受损；*违反国家法律或内部规定程序，出现安全生产责任事故，在国家级新闻媒体频繁报道，造成公司经济损失和声誉受损，以及迟报、谎报、瞒报安全生产事故；*媒体负面新闻出现，不良影响较重。

一般缺陷，不构成重大缺陷或重要缺陷的其他缺陷：*经理层成员在经营管理中职责权限不清、交叉任职或内部控制建立和实施中分工不当；*企业负责人

未履行内部控制职责，长期（一年）未听取内部控制工作汇报；*投资、研发及工程项目无计划/预算或超计划/预算，项目立项、变更、撤销未事先获得批准；

*人力资源岗位职责不清晰，管理混乱，普通员工流失较严重；*公司员工发生较轻微舞弊；*资产购置、验收、使用、日常管理、报废处置、账务处理等职责不清晰，不相容岗位未实现分离，管理混乱；*采购业务的计划、采购、验收、财务、合同管理等职责不清，缺乏相互监督制衡，管理混乱；*未按规定审批或未经授权签署合同；*未按规定开立或使用银行账户；*违反内部规定程序，发生安全生产故障，造成轻微损失和影响；*在一定区域内出现媒体负面新闻，不良影响较轻微；*其他。

2．定量标准

重大缺陷，造成资产损失5000万元（含）以上。

重要缺陷，造成资产损失500万元（含）以上，5000万元以下。

一般缺陷，造成资产损失小于500万元。