华工科技:内部控制评价制度(2025年12月)

华工科技产业股份有限公司
内部控制评价制度
（2025 年 12 月）
第一章 总 则
第一条 为建立健全华工科技产业股份有限公司（以下简称“公司”）内部控制体系，规范内部控制评价程序和评价报告，揭示和防范风险，促进公司发展战略实现，制定本制度。
第二条 本制度依据有关法律、法规和《企业内部控制基本规范》《企业内部控制应用指引》等相关规定，结合公司的具体情况编制而成。
第三条 本制度所称的内部控制评价，是指公司董事会或董事会授权的权力机构，对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。具体指：结合公司自身结构及经营特点，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，全面评价公司内部控制的设计合理性及运行有效性，及时发现各层面可能存在的缺陷或不足，有针对性地督促落实整改，及时堵塞管理漏洞，按照监管要求披露内部控制自我评估报告，进一步加强和规范公司内部控制建设工作，提高公司经营管理水平和风险防范能力。
第四条 本制度适用于公司及公司下属各控股子公司。
第五条 公司实施内部控制评价包括以下原则：
（一）全面性原则：评价工作包括内部控制的设计与运行，涵盖公司及其所属子公司的各种业务和事项。
（二）重要性原则：评价工作在全面评价的基础上，着重关注公司高风险领域以及重要业务单位、重大业务事项、重要业务流程和关键控制环节。
（三）客观性原则：评价工作准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
（四）风险导向原则：评价工作应当以风险评估为基础，根据风险发生的可能性以及其对公司单个或整体控制目标的影响程度来确定需要评价的重要业务单位、重大业务事项、重要业务流程。
（五）独立性原则：内控评价机构的确定以及评价工作的组织实施应该保持
相应的独立性。
（六）成本效益原则：控制所引起的成本增加应当小于其所带来的效益的增加，评价工作应当以适当的成本实现科学有效的评价。
第二章 职责分工
第六条 公司董事会是内部控制评价工作的最高决策机构和承担最终责任者，负责内部控制的建立、健全和有效实施，其主要职责包括：
（一）审阅和批准公司内部控制评价报告；
（二）批准由管理层提交的涉及内部控制整改的重大决策、重大风险、重大事项；
（三）审议和批准按照公司章程规定由董事会批准的内部控制管理相关制度和规章。
第七条 公司审计委员会是公司内部控制评价的领导机构，其主要职责包括：
（一）审定内控评价工作计划、工作方案；
（二）审议内部控制评价报告。
第八条 管理层作为公司内部控制的建设者和实施者，按照董事会的要求组织实施内部控制评价工作，组建内控评价工作组。
公司总裁任组长，财务总监任副组长，其主要职责包括：
（一）负责为内部控制评价方案提出应重点关注的业务或事项；
（二）听取内部控制评价报告；
（三）负责对内部控制评价中发现的问题及缺陷采取有效措施积极整改；
（四）协调、排除在内控评价以及督促整改中遇到的困难。
第九条 公司成立以审计部牵头，各职能部门及子公司业务骨干组成的内控评价工作实施小组，其主要职责包括：
（一）负责拟定内控评价工作计划和方案；
（二）负责内控测试表的制定、更新和维护；
（三）负责根据各职能部门、子公司的自评情况，对可能产生重要风险的业务进行复核，形成检查底稿；
（四）负责内控评价结果的汇总，对内控缺陷的成因、表现形式和影响程度
进行综合分析，提出认定意见和整改意见，编写内部控制评价报告；
（五）负责对内控评价的一般缺陷、重要缺陷及其整改意见向管理层报告，重大缺陷及其整改方案向管理层及董事会报告；
（六）负责复核各业务部门的整改方案及具体的整改计划，督促缺陷的整改落实；
（七）负责与外部审计师沟通。
内控评价工作实施组成员可参与自身部门以外的评审工作，但在对自身部门评审时应当回避。
第十条 各业务单位（包括公司本部各部门及公司下属控股子公司）职责：
（一）负责组织本单位内控自查、测试和评价；
（二）负责对发现的缺陷提出整改方案及具体的整改计划，并报送内部控制机构复核；
（三）负责配合内控机构及外部审计师开展内控评价工作；
（四）负责内控缺陷整改建议的落实。
第三章 评价范围
第十一条 评价范围
内控评价工作所评价的范围包括公司及下属控股子公司的全部业务流程。具体以当年审定的内控评价方案为准。
第四章 内控评价的程序
第十二条 内控评价的主要流程
（一）评价准备：制定内控评价工作计划、工作方案和组建内控评价工作组。
（二）评价实施：被评价部门（公司）进行自我评价，并提交自我评价资料。内控评价工作组根据各单位自评情况进行重要业务的复核，根据被评价单位自我评价情况确定评价复核范围和重点以及开展评价复核检查工作。
（三）汇总报告：汇总内控评价结果、编制内控评价报告，以及内控评价报告的批准和对外披露。

（四）反馈跟踪：确定内控整改建议和跟踪整改落实情况。
第十三条 内控评价的频率
（一）年度评价：一年开展一次，分为两个阶段。第一阶段：评价准备以及被评价部门（公司）自我评价，原则上定于每年三季度开展；第二阶段：内控评价工作组复评以及汇总报告、反馈跟踪，原则上定于每年十月起开展。具体工作时间以当年通过的内控评价工作计划为准。
（二）专项评价：根据企业经营管理需要，按照专项评价工作方案要求开展。
第五章 内控评价准备阶段
第十四条 内控评价工作组编制内控评价工作计划、内控评价工作方案，内控评价工作计划、工作方案，应根据国家法律、法规以及上市公司监管要求、公司战略、经营目标、年度工作重点及风险评估结果而制定。
第十五条 内控评价工作计划是对内控评价工作的整体把握，应当确定评价工作的总体目标、评价工作的基本原则、评价范围及内容、工作进度安排，确定内部控制缺陷的评价标准。
第十六条 内控评价工作方案是内控评价工作计划的具体实施办法，应当明确评价目的、评价项目组分工、评价实施具体步骤、内控测试表样式、工作注意事项等。
第六章 内控评价实施阶段
第十七条 根据审批后的内控评价工作计划和工作方案，内控评价工作组应当在实施内部控制评价工作前向被评价部门（公司）送达通知书。被评价部门（公司）接到通知书后，应当积极做好部门（公司）的自评工作。
第十八条 被评价部门（公司）应在部门（公司）内确定内控评价负责人以推进本部门（公司）的自我评价工作。部门（公司）内控评价负责人必须对部门（公司）内部控制整体运行情况非常了解，建议由部门经理、子公司分管负责人或核心业务骨干担当。内控评价负责人确定后报内控评价工作组备案。若拟更改内控评价负责人，各部门、子公司应正式向评价工作组提出申请，经评价工作组
同意后实施。
第十九条 对公司、子公司内部控制有效性的评价，应至少涉及以下方面：
（一）内部控制是否在风险评估的基础上涵盖了公司层面的风险和所有业务流程层面的风险；
（二）内部控制设计的方法是否适当；
（三）内部控制设计和运行是否有效，业务流程、岗位设置、人员匹配、职责分工和审批授权是否合理；
（四）是否开展内部控制自我评估工作并上报自我评估结果；
（五）是否建立有利于促进内部控制各项政策措施落实和问题整改的机制；
（六）在评价期间是否出现过重大风险事故等。
第二十条 被评价部门、子公司开展内控自评测试
在开展现场检查测试前，内控评价工作组应编制自评内控测试表。自评内控测试表的编制应基于《内部控制手册》及风险控制矩阵的相关内容。编制完成后，内控评价工作组需将自评内控测试表，提前分发给被评价部门、子公司进行内控自评。同时，内控评价工作组还应将内控评价复核测试所需的资料汇总成资料需求清单，分发给被评价部门、子公司提前准备。
第二十一条 涉及评价的部门（公司）应根据《内部控制手册》及风险控制矩阵，结合自身战略目标、组织架构、业务流程、岗位设计、职责分工、最近一年内部监督（包括内部控制评价）发现问题的整改情况等方面，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行全面评价，积极寻找内控缺陷。对发现的缺陷提出整改措施，报本部门（公司）负责人审核后将自评内控测试表及内控缺陷汇总情况上报内控评价工作组。
第二十二条 内控评价工作组根据各单位自评情况进一步确定补充复核的评价业务、控制重点和抽样数量，并结合评价工作组成员的专业背景进行合理分工。检查重点和分工情况可以根据需要进行适当调整。
第二十三条 内控评价工作组开展复核测试
（一）内控复核测试
内控评价工作组根据风险评估结果以及各职能部门、子公司内控自评情况，确定评价重点领域，有针对性地开展内控复核测试工作。采用恰当的测试方法，对其经营活动及内部控制的设计和运行的有效性进行测试。

（二）测试方法
内部控制检查监督可采用的测试方法主要包括：个别访谈法、调查问卷法、专题讨论法、穿行测试法、实地查验法、标杆法、抽样法和比较分析法等。
（三）内控评价工作组成员应对测试程序的执行过程、评价的证据进行收集记录。对于测试获取的样本，需要进行复印、归档，以便审核人员可以有效地复查。
第二十四条 实施阶段的其他注意事项
（一）内控评价工作组成员应对检查过程中获取的内部资料及信息保密。
（二）内控评价工作组应当通过评估和测试获取与内部控制有效性相关的证据，并合理保证证据的充分性和适当性。
（三）各职能部门、子公司负责人对本部门（公司）内控自评及所提供材料的真实性、全面性负责，内控评价工作组在此基础上开展评价复核测试工作。
第七章 内控缺陷认定和评价报告阶段
第二十五条 内部控制缺陷分为设计缺陷和运行缺陷。
（一）设计缺陷是指缺少为实现控制目标所必需的控制，或现存控制设计不适当、即使正常运行也难以实现控制目标。
（二）运行缺陷是指现存设计完好的控制没有按设计意图运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制。
第二十六条 对内部控制评价过程中发现的问题，应当从定量和定性等方面进行衡量，判断是否构成内部控制缺陷。存在下列情况之一，应当认定内部控制存在设计或运行缺陷：
（一）未实现规定的控制目标。
（二）未执行规定的控制活动。
（三）突破规定的权限。
（四）不能及时提供控制运行有效的相关证据。
第二十七条 根据内部控制缺陷影响整体控制目标实现的严重程度，将内部控制缺陷分为一般缺陷、重要缺陷和重大缺陷。
重大缺陷，是指一个或多个控制缺陷的组合，可能严重影响整体内部控制的
有效性，进而导致企业无法及时防范或发现严重偏离整体控制目标的情形。
重要缺陷，是指一个或多个控制缺陷的组合，其严重程度低于重大缺陷，但导致企业无法及时防范或发现偏离整体控制目标的严重程度依然重大，须引起管理层关注。
一般缺陷，是指除重大缺陷、重要缺陷之外的其他控制缺陷。
判断和认定内部控制缺陷是否构成重大缺陷，还应当考虑下列因素：
（一）影响整体控制目标实现的多个一般缺陷的组合是否构成重大缺陷。
（二