中冶美利云产业投资股份有限公司

内部控制管理办法

第一章 总则

第一条 为切实加强和规范中冶美利云产业投资股份

有限公司（以下简称“美利云”或“公司”）内部控制，充分发挥内部控制体系强基固本作用，提高防范化解重大风险的能力，推动公司高质量发展，根据《关于加强中央企业内部控制体系建设与监督工作的实施意见》《企业内部控制基本规范》及配套指引等有关规定，结合公司实际，制定本办法。

第二条 美利云本部及所出资企业、实际控制企业适用于本办法。所出资企业是指美利云全资子公司和控股公司。

实际控制企业是指公司不直接持有股权，但通过投资关系、协议或者其他安排，能够实际支配其行为的公司。

第三条 本办法所称内部控制（以下简称“内控”），是指由公司各治理主体和全体员工实施的、旨在合理保证公司实现控制目标的过程。

第四条 美利云树立和强化管理制度化、制度流程化、流程信息化的内控理念，建立健全以风险管理为导向、合规管理为重点，严格、规范、全面、有效的内控体系，实现“强内控、防风险、促合规”。具体目标为：

（一）战略目标。确保经营管理各项活动始终围绕公司

的功能定位展开，加快实现高质量发展。

（二）经营目标。保障公司盈利目标的实现，提升公司价值创造能力。

（三）报告目标。确保公司内外部报告的及时性、全面

性、真实性，满足内部管理及外部监管要求。

（四）合规目标。确保公司各项经营管理活动的开展符

合有关法律法规、监管规则和规章制度规定。

（五）资产安全目标。确保公司拥有或控制的资产的安全，保护国有资本不流失。

第五条 建立实施内控体系，应当遵循以下原则：

（一）全面性原则。内控贯穿决策、执行和监督全过程，覆盖公司所有部门和岗位，覆盖所有领域和各管理层级。

（二）重要性原则。内控在全面控制的基础上，关注公

司重点领域、关键环节和高风险事项。

（三）制衡性原则。内控在治理结构、机构与岗位设置、权责分配、业务流程等方面形成相互制约、相互监督的工作机制，同时兼顾运营效率。

（四）适应性原则。内控与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着实际情况的变化及时进行调整。

（五）成本效益原则。内控权衡实施成本与预期效益，以适当的成本实现有效控制。

第六条 内控工作以内部的确定性应对外部的不确定性，是全面风险管理的重要组成部分。

公司推动内控体系与全面风险管理、法治建设、合规管

理等各类管理体系的深度融合，建立健全领导有力、职责明确、流程清晰、规范有序的内控工作机制。

第二章 组织架构与职责分工

第七条 公司应当持续强化组织领导体系建设，建立健

全党委（党组织）全面领导、主要领导亲自负责、董事会（或类似决策机构）全链条内控监管、内控归口管理部门推动、各职能部门协同配合的内控体制。

第八条 公司党委书记、董事长是内控体系监管工作第

一责任人，负责组织领导建立健全覆盖各业务领域、部门、岗位，涵盖各级所出资企业全面有效的内控体系。

第九条 坚持和加强党对内控体系建设的全面领导，清

晰划分党委与董事会、经理层的内控及风险管理职责，规范党委前置研究程序。

建立健全党委发挥内控领导作用的运行机制，统筹研究内控体系优化调整方案和任务目标，推动解决体制性壁垒和机制性梗阻，以“看得清”兜底“管得住”。党委应当定期听取和审议企业内控及风险管理工作，以及重大内控缺陷和风险隐患排查问责情况。

第十条 切实履行董事会全链条内控监管职责，落实董

事会及风险管理委员会监督管理责任。按照“授权不免责”原则，优化董事会授权体系和细化控制措施，及时调整或收回授权。

董事会应当定期听取和审议内控职能部门工作情况报告。对重大决策出现偏差或执行效果不佳的经营投资事项，应当及时组织开展内控体系有效性监督评价。在组织全面评估企业内控缺陷的基础上，严格遵循穿透原则，加快推进穿透式监管体系建设。

第十一条 经理层负责推动内控体系的有效运行。经理

层人员按照分工，负责所分管领域内控管理办法的落实和内控体系运行的推动与监督。

第十二条 公司应当建立健全各部门共同参与的跨部门

联动内控工作机制，明确分工，落实责任，共同推进。

第十三条 各部门是其职责领域内控工作的责任主体，承担内控体系有效运行责任，主要履行以下职责：

（一）将本部门职责领域相关法律法规及外部监管要

求转化为内部规章制度，制定相关制度或操作指引；

（二）明确本部门及部门内部岗位职责，制定和优化部

门职责相关的管理流程，贯彻落实职责领域关键环节和重大风险的应对要求；

（三）加强对职责领域内控体系执行有效性的监督检查，强化办法执行和流程管控刚性约束；

（四）参与和配合公司内部控制评价和其他工作。

第十四条 公司应当明确有关职能部门或机构统筹内控

体系工作职责，切实发挥统筹推动、组织协调、督促落实的作用。进一步充实内控部门力量，配备必要人员，提供必要的工作组织保障。

风险合规部门是公司内部控制体系建设、日常运行组织

和协调的归口管理部门，主要履行以下职责：

（一）起草公司内部控制管理办法，组织编制和修订公司内控手册；

（二）组织开展公司制度体系建设，持续完善公司内控体系；

（三）对公司规章制度、重大决策事项和重要合同进行合规审核并提出相关意见；

（四）参与公司内部控制建设与执行情况的评价，支持各部门开展管理流程优化等内控工作；

（五）其它内控管理的相关职责。

第十五条 审计部门是内部控制监督与评价归口管理部门，开展内控体系监督检查，揭示风险隐患和内控缺陷，同纪检等部门及会计师事务所等外部机构共同加强内控有效性监督，发挥查错纠弊作用。主要履行以下职责：

（一）起草内控评价办法，组织建立健全公司内控评价

工作机制，组织实施内控评价工作；

（二）组织实施内控审计和监督检查工作，跟踪所属企业内部控制缺陷整改情况；

（三）督促所属企业开展内控体系有效性全面自评，并定期对所属企业开展内控监督评价；

（四）其它由审计部门履行的内控管理监督职责。

第三章 内控体系建设与实施

第十六条 公司应当根据国家法律法规和国资监管要求，围绕内部环境、风险评估、控制活动、信息与沟通、内部监

督等五项基本要素，建立健全内控体系。

（一）内部环境。内部环境是内控实施的基础，包括公

司治理、组织机构建设、制度建设、战略规划管理、人力资

源、社会责任、企业文化、合规管理等要素。

（二）风险评估。风险评估是内控实施的导向，是企业

及时识别、系统分析经营活动中与实现内控目标相关的风险并合理确定风险应对策略的过程。

（三）控制活动。控制活动是内控实施的主体，是企业

根据风险评估结果采用相应的控制措施，将风险控制在可承受度之内的过程。

（四）信息与沟通。信息与沟通是内控实施的工具，企

业通过及时、准确地收集、传递与内控相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。

（五）内部监督。内部监督是内控实施的保障，企业通

过对内控体系建设与实施情况进行持续性或专项监督检查，评价内控的有效性，发现内控缺陷，提出针对性的改进措施并及时加以改进。

第十七条 公司应当建立健全重大风险防控机制，积极

采取措施强化企业防范化解重大风险全过程管控，加强经济运行动态、大宗商品价格以及资本市场指标变化监测，提高对经营环境变化、发展趋势的预判能力，同时结合内控体系监督评价工作中发现的经营管理缺陷和问题，综合评估企业内外部风险水平，有针对性地制定风险应对方案，并根据原有风险的变化情况及应对方案的执行效果，有效做好企业间风险隔离，防止风险由“点”扩“面”，避免发生系统性、颠覆性重大经营风险。

第十八条 公司应当在识别重要领域和关键环节的风险

要素基础上，针对不同情况合理运用不同的控制措施，通过人工控制与自动控制、预防性控制与发现性控制相结合的方法，将风险控制在可承受的范围之内，保障各项工作规范有序开展。

内控措施包括但不限于不相容职务分离、授权与审批、

预算管理、内部审计、财产保护、财务审核、合规审查、运

营分析、督查督办、绩效考核评价、违规经营投资责任追究等措施。

第十九条 公司应当全面系统地分析、梳理业务流程中

所涉及的不相容职务，结合岗位人员实际情况，以实施相应的分离措施为主，以替代性措施为辅，形成各司其职、各负其责、相互制约的工作机制。

不相容职务分离一般包括可行性研究与决策审批、决策

审批与执行、执行与监督检查、资金管控与资金运用等岗位职责的分离。

第二十条 公司应当建立完善授权体系，明确各岗位办

理业务和事项的权限范围、审批程序和相应责任，规范内部权力运行和责任落实。

第二十一条 公司应当编制常规授权的权限指引，明确

岗位职责，严格规范重要岗位和关键人员在授权、审批、执行、报告等方面的权责。在特殊情况、特定条件下进行的授权，应当严格履行授权审批流程。

重点强化采购、销售、投资管理、资金管理和工程项目、产权（资产）交易流转等业务领域各岗位的职责权限和审批程序，形成相互衔接、相互制衡、相互监督的内控体系工作机制。

第二十二条 美利云对所出资企业实施分类管控，统筹

考虑所出资企业的功能定位、治理能力、管理水平等因素，按照“一企一策”原则开展授权。

美利云通过健全制度流程，严格监督问责，确保授权、行权规范有序。建立动态调整机制，根据实际情况调整授权放权事项。

第二十三条 公司应当实施内部信息传递管理，通过定

期报告、不定期报告等方式，及时、准确收集、传递各项经营管理信息，促进公司经营管理信息在各管理层级之间有效传递。

第二十四条 公司应当加强重点领域信息化建设力度，借助数字手段实现实时监测、自动预警等功能，推动内控体系管控措施嵌入业务信息系统，推进内控体系与业务信息系统互联互通、有机融合，促使各项经营管理决策和执行活动可控制、可追溯、可检查，减少人为违规操纵因素。

美利云应当结合国资监管信息化建设要求，加强内控信息化建设力度，进一步提升穿透式监管能力。推动企业“三重一大”、投资和项目管理、财务和资产物资采购、全面风

险管理、人力资源等信息系统的集成应用。鼓励管控能力和信息化基础较好的企业逐步探索利用大数据、云计算、人工

智能等技术，实现内控体系实时监测、自动预警、监督评价等在线监管功能进一步提升信息化和智能化水平。

第二十五条 公司应当采取措施确保各部门和员工在日

常经营和履行职责的过程中对内部控制情况进行常规、持续

的监督检查，以实现对内部控制实施动态的持续性监控和控制执行部门的自我改善。

第二十六条 公司应当聚焦改革重点领域、关键业务、企业运营重要环节以及境外国有资产监管，定期梳理分析内控体系执行情况，查找办法缺失或流程缺陷，研究制定改进措施，持续优化完善内控体系。

美利云每年以规范流程、消除盲区、有效运行为重点，对内控体系的有效性进行一次全面自评，客观、真实、准确揭示经营管理中存在的内控缺陷、风险和合规问题。上级单位在各所出资企业全面自评基础上，按照每 3 年覆盖全部子公司的要求，组织开展内控监督评价。

第二十七条 公司应当强化对企业重大风险隐患和内控

缺陷整改工作跟踪检查力度，将被评价单位内控缺陷整改落实情况纳入每年内控监督评价范围。

美利云加大督促整改工作力度，明确整改责任部门、责任人和完成时限，对整改效果进行检查评价。

第四章 工作保障措施

第二十八条 公司应当及时将法律法规等外部监管要求

转化为内部规章制度，结合实际持续开展制度“立改废释”工作，明确重要业务领域和关键环节的内控要求、风险应对措施及违规经营投资责任追究规定，增强制度刚性约束。

加大制度执行监督检查力度，确保相关制度规定覆盖至基层单位，杜绝基层单位出现管理制度空白。

第二十九条 公司应当遵循风险导向的原则，将流程作

为内控工作抓手，梳理重要的业务流程，把控关键控制环节，并嵌入管控要求，汇总形成本企业内控手册。

第三十条 公司应当强化内控工作团队建设，优化人才

培养机制，定期对各部门相关专职岗位和兼职岗位的人员进行培训，提升其专业能力和职业素养。

第三十一条 公司应当将内控管理文化纳入企业文化建设体系，广泛、持久培育以风险合规意识为核心的内控管理文化，增强员工的风险责任感，形成共同价值取向，以保障内部控制各项目标的实现。

第三十二条 美利云建立健全企业业绩考核与内控体系

监督评价结果挂钩的考核机制。对内控制度不健全、内控体系执行不力、瞒报漏报谎报自评结果、整改落实不到位的单

位或个人，应当按照违规经营投资责任追究办法追究相应责任。

第五章 附 则

第三十三条 本办法由美利云风险合规部门负责解释。

第三十四条 本办法自公司董事会审议通过之日起生效。