中国西电电气股份有限公司

内部控制管理制度

第一章总则

第一条为建立健全中国西电电气股份有限公司（以下简称公司）内部控制体系，强基固本，提升管理，防范化解重大风险，推动公司高质量发展，根据《中国西电电气股份有限公司章程》，结合公司实际，制定本制度。

第二条本制度适用于公司和所属各单位内部控制管理。

第三条本制度所称内部控制，是指以风险管理为导向、合规管理监督为重点，将风险管理和合规管理要求融入公司制度、流程、职责、考核、文化等方面，由公司决策层、管理层和全体员工共同实施，贯穿企业经营活动的控制过程和管理方法。

第二章目标与原则

第四条公司内部控制的目标：树立和强化管理制度化、制度流程化、流程信息

化的内控理念，通过“强监管、严问责”和加强信息化管理，将风险管理和合规管理要求嵌入业务流程，促使公司依法合规开展各项经营活动，实现“强内控、防风险、促合规”的管控目标，形成全面、全员、全过程、全体系的风险防控机制，保障公司实现高质量发展。

第五条公司内部控制建立与实施应遵循以下原则：

（一）全面性原则。内部控制涵盖企业董事会、管理层及全体员工，贯穿决

策、执行和监督等各个环节，覆盖公司及各级企业的各类业务和管理活动的全过程。

（二）重要性原则。内部控制在兼顾全面控制的基础上应突出重点，关注高

风险领域和重要业务事项，着力防范重大风险。

（三）制衡性原则。内部控制应保证内部机构、岗位及职责权限的设置和分工，坚持不相容职务分离，确保不同机构和岗位之间的职责分离，相互制约，相互监督。

（四）适应性原则。内部控制应合理体现公司经营规模、业务范围、业务特

点和风险状况及所处的具体环境等方面要求，并适时调整和完善。

（五）成本效益原则。内部控制在保证内部控制有效性的前提下，应合理权

衡成本与效益的关系，争取以合理的成本实现更为有效的控制。

第1页共7页第三章职责与权限

第六条董事会是公司内部控制管理的最高决策机构，董事长是公司内部控制体

系监管的第一责任人，负责组织建立健全覆盖各业务领域、部门、岗位，涵盖所属各单位全面有效的内控体系。董事会职责：

（一）负责内部控制体系的建立健全和有效实施；

（二）审批公司内部控制缺陷认定标准；

（三）审批年度内部控制评价报告、重大风险评估分析报告及内部控制体系工作报告。

第七条审计委员会职责：

（一）审议公司内控缺陷认定标准；

（二）审议年度内部控制评价报告。

（三）审议年度内部控制体系工作报告。

第八条党委常委会负责前置研究内控缺陷认定标准、年度内部控制评价报告、重大风险评估分析报告及内部控制体系工作报告。

第九条总经理办公会职责：

（一）组织领导内部控制的日常运行；

（二）审议公司内控缺陷认定标准；

（三）审议年度内部控制评价报告；

（四）审议年度重大风险评估分析报告；

（五）审议年度内部控制体系工作报告。

第十条内控管理部门是内部控制的归口管理部门，职责为：

（一）制订和完善公司内部控制管理工作制度规范及内控缺陷认定标准；

（二）组织开展内部控制评价，编制年度内部控制评价报告；

（三）组织开展全面风险评估及管理；

（四）组织各职能部门和所属各单位完善内部控制体系并监督执行等。

第十一条公司各职能部门负责本业务领域的内部控制管理，按照“管业务、管内控、管风险、管合规”的要求，将内控、合规管理要求融入经营管理和制度流程中，部门主要负责人是本业务领域内部控制体系建设第一责任人。主要落实以下部门职责：

（一）负责归口业务领域内控制度、流程的建设及有效运行；

（二）负责归口业务领域的风险管理；

（三）负责归口业务领域内所属各单位内控制度、流程的评价；

第2页共7页（四）督导、检查所属各单位落实本业务条线内控要求等。

第十二条所属各单位是本单位内部控制和风险管理的责任主体和实施主体，其

主要负责人是内部控制体系建设的第一责任人。主要职责是：

（一）建立健全本单位内部控制体系，负责本单位内控制度、流程的建设、评价及有效运行；

（二）负责本单位全面风险管理工作；

（三）督导下属企业内控体系建设，开展监督评价等。

第十三条公司各级审计部门负责内控体系监督评价工作，职责：

（一）组织开展聘请、调整内部控制审计机构的工作，监督、协调外部审计

机构开展年度内部控制审计，加强内控审计监督检查；

（二）负责内部控制的设计与执行有效性的审计监督，揭示风险隐患和内控缺陷，提出优化改进建议。

第四章内部控制要素

第十四条公司内部控制的构成要素包括内部环境、风险评估、控制活动、信息

与沟通和内部监督五个部分，覆盖公司所有业务领域的各个环节。

第十五条内部环境

公司及所属各单位应根据国家有关法律法规和企业章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面职责权限，形成适当的职责分工和制衡机制，持续完善企业内部管理制度体系，依法合规开展业务。

第十六条风险评估

公司及所属各单位应根据设定的控制目标收集相关信息，及时进行风险评估，识别与实现内部控制目标相关的内外部风险，分析风险发生的可能性及其影响程度，结合风险承受度，权衡风险与收益，确定风险应对策略。

第十七条控制活动

公司及所属各单位应结合风险评估结果，采取相应内部控制措施，将内部控制要求和风险应对措施融入各类业务和管理活动中，确保将风险控制在可承受范围内。

第十八条信息与沟通

公司及所属各单位应建立信息与沟通机制，明确各类信息的收集、处理和传递程序，确保与公司运营、报告、合规等目标相关的信息，在公司各层面及相关外部主体之间进行及时传递、有效沟通和正确使用。信息沟通过程中发现的问题，应当及时报告并加以解决。

第3页共7页第十九条内部评价监督

按照分层负责原则，公司及所属各单位结合企业实际，围绕重大风险防控目标，对内部控制设计及执行的有效性进行评价，识别内部控制设计及执行缺陷，形成评价结论，出具评价报告。

公司及所属各单位审计部门对内部控制的有效性进行审计，促进提升内控体系有效性。对审计检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对发现的内部控制重大缺陷，有权直接向董事会及其审计委员会报告。

第五章内部控制管理

第二十条围绕内部控制五要素要求，公司及所属各单位主要通过内控制度建设

与执行、风险管理和内控监督评价等方式实现内部控制管理。

第二十一条内控制度建设与执行

各部门及所属各单位应梳理各项业务及管理活动，识别、评估经营管理活动中的关键风险点，综合运用各类内部控制措施，将相关内部控制要求及风险应对措施融入各项管理与业务制度、流程的设计中，建立健全制度流程体系并有效执行。内部控制建设与实施相关内容及要求详见内部控制实施规范相关制度。

第二十二条风险管理

各部门及所属各单位应及时主动识别内外部环境变化带来的风险因素，分析、评估、应对经营管理活动中影响内部控制目标实现的各项风险，建立、实施并不断完善内控机制。风险管理部门每年组织开展全面风险评估，分析研判并防范化解重要重大风险。全面风险管理相关内容及要求详见全面风险管理办法相关制度。

第二十三条内控评价

（一）公司每年组织各部门及所属各单位全面开展内部控制评价，从内部控制设计有效性和执行有效性两个维度，查找制度流程存在的内部控制缺陷（重大/重要/一般），制定并落实缺陷整改措施，编制年度内部控制评价报告，经党委常委会前置研究、总经理办公会审议、审计委员会审议、董事会批准后，对外公告披露。内部控制评价相关内容及要求详见内部控制评价实施细则相关制度。所属各单位按年度编制内控体系工作报告，履行审议程序后报送公司内控管理部门。

（二）公司重大缺陷、重要缺陷和一般缺陷的具体认定标准，经党委常委会

前置研究、总经理办公会审议、审计委员会审议、董事会审批通过后执行。

（三）公司每年聘请外部审计机构对公司内部控制有效性进行审计，发表审计意见，出具内部控制审计报告，对外公告披露。

第六章关键环节内控要求

第4页共7页第二十四条加强重点领域日常管控。

（一）公司及所属各单位应聚焦关键业务、改革重点领域、国有资本运营重

要环节以及境外国有资产监管，定期梳理分析相关内控体系执行情况，认真查找制度缺失或流程缺陷，及时研究制定改进措施，确保体系完整、全面控制、执行有效。

（二）公司及所属各单位应在投资并购、改革改制重组等重大经营事项决策

前开展专项风险评估，并将风险评估报告作为重大经营事项决策的必备支撑材料，对超出企业风险承受能力或风险应对措施不到位的决策事项不得决策。

第二十五条加强重要岗位授权管理和权力制衡。

（一）公司及所属各单位应深化内控体系管控与各项业务工作的有机结合，保障各项经营业务规范有序开展。按照不相容职务分离控制、授权审批控制等内控体系管控要求，严格规范重要岗位和关键人员在授权、审批、执行、报告等方面的权责，实现可行性研究与决策审批、决策审批与执行、执行与监督检查等岗位职责的分离。

（二）公司及所属各单位应不断优化完善管理要求，重点强化采购、销售、投资管理、资金管理和工程项目、产权（资产）交易流转等业务领域各岗位的职

责权限和审批程序，形成相互衔接、相互制衡、相互监督的内控体系工作机制。

第二十六条健全重大风险防控机制。

（一）公司及所属各单位应积极采取措施，强化企业防范化解重大风险全过程管控，加强经济运行动态、大宗商品价格以及资本市场指标变化监测，提高对经营环境变化、发展趋势的预判能力。

（二）公司及所属各单位应结合内控体系监督评价工作中发现的经营管理

缺陷和问题，有针对性地制定风险应对措施，防止风险由“点”扩“面”，避免发生系统性、颠覆性的重大经营风险。

第二十七条提升内控体系信息化水平。

（一）公司及所属各单位内控体系建设部门应与业务部门、审计部门、信息

化建设部门协同配合，推动各类集团管控信息系统的集成应用，逐步实现内控体系与业务信息系统互联互通、有机融合。

（二）公司及所属各单位应梳理和规范业务系统的审批流程及各层级管理

人员权限设置，结合企业实际，将内控体系管控措施嵌入各类信息系统，促使经营管理决策和执行活动可控制、可追溯、可检查，减少人为违规操纵因素。

第二十八条健全内控评价和监督体系。

（一）全面实施企业自评。按照分层分工原则，公司每年组织各部门及所属

第5页共7页各单位以规范流程、消除盲区、有效运行为重点，对内控体系的有效性进行全面自评，揭示经营管理中存在的内控缺陷、风险和合规问题，形成自评报告，并报请董事会批准，未设董事会的企业按照本单位的《章程》规定履行审批程序。

（二）落实分级监督评价。在全面自评的基础上，围绕重点业务、关键环节

和重要岗位，公司组织对所属企业内控体系有效性进行监督评价。并将海外资产纳入监督评价范围，重点对海外项目的重大决策、重大项目安排、大额资金运作以及境外子企业公司治理等进行监督评价。

（三）强化外部审计监督。公司可结合自身实际情况，委托外部审计机构对

部分子企业内控体系有效性开展专项审计，出具内控体系审计报告。对内控体系监管不到位、风险事件和合规问题频发的企业，必须聘请具有相应资质的社会中介机构进行审计评价，切实提升内控体系管控水平。

（四）充分运用内控评价和监督结果。所属各单位加大整改工作力度，明确

整改责任部门、责任人和完成时限，按要求编制年度内控体系工作报告并报送上级单位，同时抄送本单位纪委、组织人事部门等。公司及所属各单位应建立健全与内控体系监督评价结果挂钩的考核机制，加大评价结果在薪酬考核和干部管理等工作中的运用力度，强化警示作用。

第七章内控工作监督评价

第二十九条公司及所属各单位应结合管理要求对企业内部控制及风险管理工

作开展情况等进行检查评价，可与其他内控评价工作一并开展。

第三十条内控工作监督评价涵盖内部控制及风险管理的全过程，覆盖各类业务

和管理活动，评价在全面基础上突出重点，聚焦关键领域和重要事项，评价应以工作实效为主要依据，客观反映内控体系的实际运行效果。

第三十一条公司及所属各单位的内控工作监督评价结果可用于公司及所属各

单位内控和风险管理工作年度评级、年度绩效考核、内控缺陷整改及重大风险应

对措施的制定、违规行为责任追究等方面。

第三十二条公司及所属各单位针对评价结果反馈的问题，制定并落实整改措施。

对评价中发现的重大内控缺陷或重大经营风险事件，应按规定及时报告并采取应对措施。

第八章责任追究

第三十三条出现以下情况给企业造成资产损失或严重不良影响的，按照公司责

任追究等相关制度或要求追究有关单位及个人的责任：

第6页共7页（一）未按规定开展内部控制体系建设及监督工作，导致内部控制及制度流程存在重大缺陷的；

（二）内部控制未执行或执行不力，存在内部控制重大缺陷的；

（三）对存在重大风险隐患、内控缺陷和合规管理等问题失察，或虽发现但

没有及时报告、处理，瞒报、漏报、谎报或迟报重大风险及内控缺陷事件的。

第九章附则

第三十四条本制度自发布之日起实施。原《内控工作监督评价细则》同时废止。

第三十五条本制度由内控管理部门负责解释。

第三十六条所属各单位应根据本制度制定相应的管理制度。