太阳能：内部控制评价办法

中节能太阳能股份有限公司

内部控制评价办法

第一章 总则 第一条 为有效推动中节能太阳能股份有限公司（以下简称太阳能公司）内部控制体系建设，指导和促进全系统开展内部控制评价工作，规范内部控制评价程序和评价报告，揭示和防范风险，根据财政部等五部委下发的《企业内部控制基本规范》《企业内部控制应用指引》《企业内部控制评价指引》，国资委《关于加强中央企业内部控制体系建设与监督工作的实施意见》（国资发监督规〔2019〕101号），结合《中国节能环保集团有限公司全面风险管理制度》《中国节能环保集团有限公司合规管理制度》《中国节能环保集团有限公司内部控制评价办法》，制定本办法。

第二条 本办法适用于太阳能公司及所属各级全资、控股子公司。 第三条 本办法所称内部控制评价，是指公司系统内各单位对内部控制体系设计的合理性、运行的有效性进行全面评价、形成评价结论、出具评价报告的过程。

第四条 太阳能公司及各大区、子公司应当结合工作开展情况，对为确保公司战略、资产安全、经营合法合规等各项目标的实现所设置的内部控制进行评价。

第五条 内部控制评价应遵循下列原则：

（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖公司的各种业务和事项。 （二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。 （三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。 （四）独立性原则。评价工作实施要保持相应独立性，评价结果应当有适当的证据支持。

（五）适用性原则。评价结论应考虑各单位规模大小、业务复杂程度、风险偏好及承受能力等因素，保证评价结果的相对公平与客观。

第二章 内部控制评价的职责与分工 第六条 太阳能公司董事会审计与风险控制委员会是内部控制评价的领导机构。年度内部控制评价报告经太阳能公司审查批准后对外报出。 第七条 太阳能公司经理层负责组织实施内部控制评价,审定内部控制评价方案、审查内部控制评价报告，组织整改内控评价中发现的问题和缺陷，协调、解决整改工作中遇到的困难。 第八条 太阳能公司审计部根据授权承担公司系统内部控制评价工作的具体组织实施。根据外部监管及内部经营管理的要

求，拟订内部控制评价工作方案并按照方案组织实施，编写公司年度内部控制评价报告。对于评价中发现的重大问题，及时向经理层报告。 第九条 太阳能公司审计部根据授权承担公司系统内部控制体系的建设和完善工作，负责组织制定内部控制评价中所发现内部控制缺陷的整改方案，跟踪并督促各部门及子公司按照整改方案落实整改，并复核整改结果。 第十条 太阳能公司各部门负责实施本部门的内部控制自我评价工作，对发现的内部控制缺陷，提交审计部确认并汇总上报，经太阳能公司领导批准后，统一安排，制定整改方案，组织整改。 第十一条 各大区、子公司应逐级落实内部控制评价责任，建立日常监控机制，开展内部控制自我评价，发现、认定内部控制缺陷，制订整改计划，并对内部控制缺陷实施整改。同时，配合太阳能公司开展全系统内部控制评价工作，向上级单位编制、报送内部控制自我评价报告。董事会或类似决策机构对本单位内部控制自我评价结果的真实性负责。 第十二条 各大区、子公司可以授权内部审计部或专门机构、小组负责本单位内部控制评价的具体组织实施工作。

第十三条 太阳能公司必要时可以委托中介机构实施内部控制评价，但为本单位提供内部控制咨询服务的会计师事务所不得同时为本单位提供内部控制评价服务。

第三章 内部控制评价的内容 第十四条 太阳能公司应当根据《企业内部控制基本规范》、应用指引以及本办法，围绕与实现公司整体控制目标相关的内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，从内部控制设计有效性和执行有效性两方面进行评价。 太阳能公司应当根据《企业内部控制基本规范》、应用指引等法律法规，编制并不断优化完善《内部控制手册》，制订各项业务流程，明确风险点、控制措施等要素，作为内部控制评价的基础和依据。《内部控制手册》应当涵盖公司各类业务事项和内控五要素的主要内容。 第十五条 太阳能公司组织开展内部环境评价，应当以公司治理、组织架构、发展战略、人力资源、企业文化等为重点，依据《企业内部控制基本规范》相关规定和相应的应用指引，结合公司各项内部管理制度，对内部环境的设计及实际运行情况进行认定和评价。

第十六条 太阳能公司组织开展风险评估机制评价，应当依照《企业内部控制基本规范》有关风险评估的规定，以及各项应用指引中所列主要风险，结合太阳能公司有关风险管理制度，对公司经营管理过程中的风险识别、风险分析、风险应对策略等进行认定和评价。

太阳能公司应当以《中央企业合规管理指引（试行）》有关

合规管理的要求，结合公司有关合规管理制度，对公司经营管理过程中合规体系建设、合规管理运行、合规管理保障措施等进行认定和评价。 第十七条 太阳能公司组织开展控制活动评价，应当以《企业内部控制基本规范》和资金活动、采购业务、资产管理等各项应用指引中的控制措施为依据，结合公司内部控制相关要求，针对本单位业务特点，对相关控制措施的设计和运行情况进行认定和评价。 第十八条 太阳能公司组织开展信息与沟通评价，应当以《企业内部控制基本规范》相关规定和内部信息传递、财务报告、信息系统等相关应用指引为依据，结合公司内部管理制度和工作需求，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。

第十九条 太阳能公司组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，结合公司有关内部监督制度规定，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计与风险控制委员会、内部审计机构等是否在内部控制设计和运行过程中有效发挥监督作用。

第四章 内部控制评价的程序与方法 第二十条 内部控制评价程序一般包括：制定评价工作方案、

组成评价工作组、实施现场测试、认定内控缺陷、工作复核与沟通、汇总评价结果、编报评价报告等环节。 第二十一条 太阳能公司内部控制评价分为内部控制自我评价、内控结果复核、内控监督评价工作。审计部负责组织实施太阳能公司相关工作。 第二十二条 太阳能公司审计部负责组织全系统开展内部控制自我评价及内控结果复核工作。各大区、子公司内部控制评价部门按照授权，负责组织实施本单位的内部控制自我评价。 第二十三条 太阳能公司审计部负责制订系统整体的内部控制评价工作方案，各大区、子公司内部控制评价部门应当按照太阳能公司统一部署，并结合各单位实际情况，制订本单位的内部控制评价工作方案，明确评价范围、评价重点、人员组织、工作分工、进度安排等相关内容，报公司领导批准后实施。 各大区、子公司制订的内部控制评价工作方案应报太阳能公司审计部备案。 第二十四条 太阳能公司审计部及各大区、子公司内部控制评价部门根据经批准的评价工作方案，组成内部控制评价工作组，具体实施内部控制评价工作。各评价工作组应当由公司各部门熟悉公司情况、业务能力强、参与内部控制工作的负责人或业务骨干参加。工作组成员对本部门或单位的内部控制评价工作应当实行回避制度。 第二十五条 内部控制评价工作组根据内部控制评价工作方

案组织实施评价工作，通过适当的方法收集、分析相关信息，对被评价单位进行现场测试。从梳理制度及业务流程入手，综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，获取充分、可靠的证据对内部控制设计和运行的有效性进行评价，并做出书面记录。 第二十六条 根据现场测试获取的证据，内部控制评价工作组对内部控制缺陷进行初步认定，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对缺陷及其成因、表现形式和影响程度进行综合分析，根据缺陷认定标准，提出认定意见，编制内部控制缺陷汇总表。 第二十七条 内部控制评价工作应当形成工作底稿，详细记录公司执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

评价工作底稿应当设计合理、证据充分、简便易行、便于操作。所编制或填写的工作底稿应当内容完整、格式规范、标识一致、记录清晰、结论明确。 第二十八条 内部控制评价工作组负责人应当对评价工作底稿进行严格复核，对所认定的评价结果签字确认。 第二十九条 太阳能公司各部门应针对部门职责范围内的控制活动认真开展自我评价，评价范围需涵盖部门职责范围内所有重要业务流程层面的风险。通过认真评价和分析，初步认定内部控制缺陷，编制部门内部控制评价报告，经部门负责人签字，提

交太阳能公司内部控制评价工作组。 第三十条 各大区、子公司应按照本办法规定的程序和方法，认真、有序开展内部控制自我评价工作，编制本单位内部控制评价报告，按照审批流程，最后经单位负责人确认，提交太阳能公司内部控制评价工作组。 第三十一条 太阳能公司内部控制评价工作组可以采取集中会审等适当形式，对各单位报送的内部控制评价工作结果进行全面复核审查。审计部可根据工作方案开展各大区、子公司现场监督评价工作。

第三十二条 太阳能公司内部控制评价工作组根据复核检查结果，结合各单位自我评价情况，客观评价太阳能公司系统整体内部控制状况，编制公司年度内部控制评价报告。

第五章 内部控制缺陷的认定与整改 第三十三条 内部控制缺陷包括设计缺陷和执行缺陷，按其影响程度分为重大缺陷、重要缺陷和一般缺陷。 设计缺陷，是指内部控制设计不科学、不适当，即使正常运行也难以实现控制目标。 执行缺陷，是指内部控制设计比较科学、适当，但在实际执行过程中没有严格按照设计意图执行，导致内部控制运行与设计相脱节，未能有效实施控制、实现控制目标。 重大缺陷，是指一个或多个控制缺陷的组合，可能导致公司

严重偏离控制目标。 重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致公司偏离控制目标。一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。 第三十四条 太阳能公司层面重大缺陷、重要缺陷和一般缺陷认定标准由太阳能公司统一组织制定；各大区、子公司依照行业特点、自身规模、风险偏好等制定符合自身实际的重大缺陷、重要缺陷、一般缺陷的认定标准，报太阳能公司备案。 第三十五条 公司对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评价，由审计部进行综合分析后提出认定意见，并以适当的形式向董事会、监事会及经理层报告。 第三十六条 对于认定的内部控制缺陷，由审计部组织责任部门、单位制订包括整改责任人、目标、内容、步骤、措施和期限在内的整改方案，及时进行整改。 对于认定的重大缺陷，应当及时采取应对策略，切实将风险控制在可承受度之内。 第三十七条 太阳能公司及各大区、子公司应当建立内部控制缺陷整改机制，明确各管理层级对缺陷整改的职责分工。 审计部负责组织责任单位实施整改，汇总和编制内部控制缺陷表，并在开展年度评价时，对上一年度的内部控制缺陷整改结果进行复核确认。

第三十八条 太阳能公司及各大区、子公司应当建立内部控制责任追究机制。对已认定的重大缺陷，审计部应当进行责任落实，并根据缺陷所造成损失的轻重和影响程度，追究有关部门或相关人员的责任。

第六章 内部控制评价报告 第三十九条 太阳能公司应当根据内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。 第四十条 内部控制评价报告应当分别对内部环境、风险评估、控制活动、信息与沟通、内部监督等要素进行总结，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等内容作出披露。第四十一条 内部控制评价报告至少应包括下列内容：

（一）内部控制评价工作的总体情况。

（二）内部控制评价的范围和依据。

（三）内部控制评价的程序和方法。

（四）内部控制缺陷及其认定情况。

（五）内部控制缺陷的整改情况及重大缺陷拟采取的整改措施。

（六）内部控制有效性的结论。

太阳能公司各部门内部控制自我评价报告可适当简化，各大

区、子公司具体内容通过报告模板进行反馈。 第四十二条 内部控制评价报告应当根据对外披露和报送对象履行相应的审批程序。 第四十三条 内部控制评价报告按照编制主体、报送对象和时间，分为对内报告和对外报告。 对内报告的编制主体为太阳能公司，可以定期不定期编制，内容应以符合董事会、经理层管理需要为主。 对外报告的编制主体为太阳能公司，一般为年度报告，编制基准日为12月31日，编制内容、格式既要满足公司管理需要，更要符合外部监管和披露要求。 第四十四条 太阳能公司编制的对外内部控制评价报告，应严格按规定时间和要求对外披露，并报送有关监管部门。报告基准日至报告日之间发生影响内部控制有效性的因素，应根据其性质和影响程度对评价结论进行相应调整。 各大区、子公司编制的年度内部控制自我评价报告，根据本年度方案和通知，在规定时间内提交太阳能公司审计部。 第四十五条 太阳能公司内部控制自我评价，须同时经外部审计机构审计，出具《内部控制评价鉴证报告》，同时公开披露《内部控制自我评价报告》。

第四十六条 内部控制评价的有关文件资料、工作底稿和证明材料等应当妥善保管。

第七章 附则 第四十七条 本办法为太阳能公司内部控制评价工作的基本规范，具体实施细则和操作规程另行制定。 第四十八条 各大区、子公司可根据本办法，结合自身实际情况，制定相应的实施细则。第四十九 本办法由太阳能公司审计部负责解释。 第五十条 本实施细则自公司第十一届董事会第十次会议审议通过后生效实施。原《中节能太阳能股份有限公司内部审计管理办法》(太阳能〔2016〕224号)同时废止。