拓维信息：内部控制审计报告

拓维信息系统股份有限公司

二〇二三年度内部控制审计报告

致同会计师事务所（特殊普通合伙）

内部控制审计报告

致同审字（2024）第110A015113号

拓维信息系统股份有限公司全体股东：

按照《企业内部控制审计指引》及中国注册会计师执业准则的相关要求，我们审计了拓维信息系统股份有限公司（以下简称拓维信息公司）2023年12月31日的财务报告内部控制的有效性。

一、企业对内部控制的责任

按照《企业内部控制基本规范》、《企业内部控制应用指引》、《企业内部控制评价指引》的规定，建立健全和有效实施内部控制，并评价其有效性是拓维信息公司董事会的责任。

二、注册会计师的责任

我们的责任是在实施审计工作的基础上，对财务报告内部控制的有效性发表审计意见，并对注意到的非财务报告内部控制的重大缺陷进行披露。

三、内部控制的固有局限性

内部控制具有固有局限性，存在不能防止和发现错报的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制审计结果推测未来内部控制的有效性具有一定风险。

四、财务报告内部控制审计意见

我们认为，拓维信息公司于2023年12月31日按照《企业内部控制基本规范》和相关规定在所有重大方面保持了有效的财务报告内部控制。

拓维信息系统股份有限公司2023年度内部控制自我评价报告拓维信息系统股份有限公司全体股东：

根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称企业内部控制规范体系），结合拓维信息系统股份有限公司（以下简称“公司”）内部控制制度及评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2023年12月31日（内部控制评价报告基准日）的内部控制有效性进行了评价。

一、重要声明

按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。

公司董事会、监事会及董事、监事、高级管理人员保证本报告不存在任何虚假记载、误导性陈述或重大遗漏，并对报告的真实性、准确性和完整性承担个别及连带法律责任。

公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进公司实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。

二、内部控制评价结论

根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。

根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。

三、内部控制评价工作情况

（一）内部控制评价范围

公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。评价的范围主要包括母公司及其控股公司，纳入评价范围单位资产占公司合并财务报表资产总额的90%以上，营业收入合计占公司合并财务报表营业收入总额的90%以上。

纳入评价范围的主要事项包括：治理结构、组织架构、发展战略、人力资源、 资金管理、资产管理、采购管理、销售管理、内部审计、对外投资、关联交易、对外担保、财务报告管理、分子公司管理、信息披露、社会责任与企业文化等。

重点关注的高风险领域主要包括：资金管理风险、资产管理风险、采购与付款风险、销售与收款管理风险、对外投资管理风险、关联交易、对外担保、信息系统管理等风险。

上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，不存在重大遗漏。

具体纳入评价范围的主要业务和事项包括:

1、治理结构、组织架构

公司按照《公司法》、《证券法》、《上市公司治理准则》等法律法规及《公司章程》的规定，建立了以股东大会、董事会、监事会和经营管理层等“三会一层”为主体、规范运作的法人治理结构，设置了与公司经营管理和规模相适应的组织职能机构，形成了科学有效的职责分工和制衡机制，及时、有效地对待和控制经营风险及财务风险，维护投资者和公司权益，保障公司有序经营。

（1）公司建立了以股东大会为最高权力机构，董事会为决策机构，监事会为监督机构的内部治理结构，总经理领导的经营管理层负责公司的日常经营管理

工作，通过调控和监督各职能部门规范行使职权,保证公司生产经营管理工作的正常运行。

（2）公司内部控制的组织架构为：公司董事会对公司内部控制体系的建立和监督执行负责；公司监事会对董事会建立与实施内部控制进行监督；公司管理层对内部控制制度的制定和有效执行负责；公司审计部对内部控制执行情况的检查与评价负责；公司所有员工都有责任遵循内部控制的各项流程和标准。

（3）公司结合自身业务特点和内部控制要求设置了与公司战略发展相匹配的组织架构，根据业务性质设置了相应的事业部及事业群，根据职能管理设置了战略与经营管理团队（ST）及行政管理团队（AT），各级根据职责分工设立了总裁办、证券投资部、财务中心、人力资源中心、审计部、法务部、行政部、供应链管理部等管理部门，各部门的职责明确，形成了各司其职、各负其责、相互配合、相互制约的内部控制组织体系。组织机构分工明确、职能健全清晰，保证了经营活动的有序进行。

2、发展战略

公司明确制定了董事会战略委员会工作制度，董事会及其战略委员会负责公司的战略管理，对公司发展的重大战略规划和举措进行充分审议和研究论证，通过有效的战略管理合理规避战略风险并充分抓住战略机遇，确定公司发展目标，指导公司长期稳健发展。

公司设置了专门的战略与经营管理部，结合外部政策、经济、社会文化、技术环境等因素，对公司战略与投资方向进行研究和规划，并负责搭建公司战略管理体系，统筹、指导集团与各业务单元开展战略规划（SP）、年度经营规划（BP）工作。定期组织召开经营分析会议，对战略落地与经营情况进行监督、管控和指导，有效防范经营风险，支撑集团战略落地。

3、人力资源

公司建立了完善的人力资源管控体系，从组织层面、人才管理、绩效考核管理、激励管理以及岗位任职资格管理等方面构建全体员工的培训和晋升体系，充分保证各级员工有效地履行职责。公司根据发展战略和人力资源管理现状，结合生产经营实际需要，制定年度人力资源工作计划，围绕人力资源管理不断深化革新，为公司的可持续健康稳健经营保驾护航。

4、资金管理

公司通过《财务管理制度》、《资金管理制度》、《银行账户管理规定》、《银行理财产品管理办法》等规范资金使用审批权限及审批程序。严格按照上市公司资金管理规范要求和公司内部资金管理程序开展资金活动，资金由集团财务中心统一归口管理，公司资金支付按审批权限经过业务、财务双线审批，各控制环节的职责权限清晰明确，形成了完整的资金活动控制体系，有效的保障了资金安全和使用效率。

5、资产管理

公司制定了《固定资产管理制度》，以规范公司固定资产取得、维护和处理机制，维护固定资产的安全完整，合理配置和有效利用，保障固定资产使用率最大化。《固定资产管理制度》对固定资产的采购、验收、使用、维护及处置进行严格的申请和审批管理，保证固定资产采购规范、维护科学合理，保证固定资产盘点计划有效落实，完善固定资产减值评估和折旧机制，保证固定资产价值的合理性。公司采用不相容职位分离、授权审批、会计系统控制等内控手段，严格限制未经授权的人员接触和处置资产，确保各类资产安全完整。

6、采购管理

公司建立了完整的采购管理体系，制定了《拓维集团供应商管理制度》、《拓维集团项目物资采购管理制度》、《拓维集团基建装修管理制度》《拓维集团自用物资采购管理制度》，清晰描述了采购职能各岗位的工作职责及权限，确保了不相容职位分离，提高了公司采购业务的准确性和可控性；完善了供应商管理体系，通过对供应商的寻源储备、供应商的准入、供应商的绩效管理以及供应商的淘汰与优化等方面规定，有效地增加了公司优质供应商的储备，提高了采购透明度和资金使用效率。

7、销售管理

公司根据年度经营目标与财务预算对各类销售业务确立目标责任制，建立了销售活动风险控制机制，不断完善各销售业务单元的制度及流程。建立了客户管理系统数据库，根据谨慎性原则甄选优质客户。公司销售业务均需通过信息化平台进行立项评审，综合指标达到公司要求评审通过后才可实施，合同模

板由法务部进行规范审核，实施成本费用按项目预算进行匹配监控。财务中心与业务部门有效配合进行销售回款管理，定期与客户对账，及时识别预警超期应收账款，销售回款与绩效考核挂钩。通过采取有效的管控措施，确保了销售目标的实现。

8、内部审计

董事会下设审计委员会，按照《公司章程》的规定设立了内部审计机构并配备了专职审计人员，负责公司内、外部审计的沟通、监督和核查工作，确保董事会对经理层的有效监督。内部审计机构独立行使审计职权，通过日常监督、专项监督和组织内控评价，对公司内控体系的健全性、合理性、有效性进行检查和评价，保障内控体系的动态有效。

9、对外投资

公司制定了《拓维集团投资管理办法》针对各项对外投资活动的决策和执行等权限、程序作出了详细规定。公司在进行重大投资决策时，须向技术、财务、法律专家咨询，对项目的可行性、投资风险、投资回报等事宜进行专门研究和评估，监督对外投资项目的执行进展，对投资项目出现异常的情况及时汇报。投资管理内部控制制度的制定并有效执行，规范了公司的投资行为，保证了公司对外投资的安全，防范了投资风险。

10、关联交易

为规范公司的关联交易，确保公司的关联交易行为不损害公司和非关联股东的合法权益，公司制定了《关联交易制度》，对公司的关联人、关联交易、关联交易的审批权限与程序、关联交易的披露、关联交易价格的确定和管理等内容作了详细的规定，明确了关联交易的决策程序，建立了完善的防范关联企业占用公司资金的长效机制。保证了公司与关联方之间的关联交易符合公平、公开、公正的原则。

11、对外担保

公司对外担保的内部控制制度遵循合法、审慎、互利、安全的原则，严格控制担保风险。公司制订了《对外担保管理制度》，明确规定了对外担保的审查、审批、管理和信息披露程序。对外担保实行统一管理，未经公司董事会或

股东大会批准，任何人不得以公司名义签署对外担保协议、合同或其他类似的法律文件等，规避和降低了经营风险，确保公司担保活动的安全、完整、有效。

12、财务报告管理

公司建立了独立的会计核算体系，严格遵照《企业会计准则》等制度规定，根据准确完整的会计账簿记录和其他有关资料编制财务报表及附注，严格控制财务报告的使用，公司年度财务报告经注册会计师审计后出具审计报告，在董事会审议后及时向公众披露。公司董事会和管理层高度重视公司的财务管理体系和会计信息质量，建立了权责分明的以岗位责任制为基础的财务管理体系和财务运行机制。通过集团化财务核算信息化系统，制定了完善的会计核算体系及凭证与记录的控制程序，信息资源共享，互相牵制，实现了财务核算、业务协同处理的财务集中管控，有效地控制和降低财务风险。

13、分子公司管理

公司依照《拓维信息子公司管理制度》、《拓维集团子公司财务管理制度》明确了全资及控股子公司经济活动管理权限和审批流程，建立了有效的子公司控制机制，将子公司财务管理、投资管理、人事、商务采购、内部审计、信息披露等方面工作纳入集团统一的管理体系。定期取得各子公司的月度、季度、半年度及年度财务报告，定期召开子公司经营分析会议，确保控股子公司规范、高效运作。

14、信息披露

公司制定了《信息披露管理制度》、《重大信息内部报告制度》、《敏感信息排查、归集、保密及披露制度》等制度，制度中明确了信息披露的基本原则、负责机构、信息披露的内容、信息披露的程序、记录和保管等；明确了投资者关系如何进行等。公司通过投资者关系平台、电话、访谈等形式与投资者、业务往来单位以及相关监管部门等进行沟通，严格执行相关制度要求进行信息披露工作，信息披露真实、准确、及时、完整，未出现信息泄密事件，保护了广大投资者的利益。

公司对外披露的所有信息均经董事会批准，依法披露所有可能对公司股票价格或投资者决策产生重大影响的信息，确保信息披露内容没有虚假、严重误

导性陈述或重大遗漏，披露信息公平、公正，进一步加强了与投资者之间的互动交流。

15、社会责任与企业文化

公司一直注重企业社会价值的实现，积极承担社会责任，致力成为有社会责任感的最佳雇主企业，打造可信赖、有温度的拓维品牌。多年来，公司坚持不懈地推进红领巾计划、小树苗计划、亲子公益跑、教育阳光工程等多项社会公益与慈善项目，坚守“向上向善、利益人心”的使命，以自身发展影响和带动地方经济的振兴。公司通过近二十年发展的沉淀和积累，秉承“拓新思维，创造未来”的企业理念，诚实守信、合法经营，在不断地自我创新与追求卓越中快速发展。 公司已形成了一套包括企业行为规范、企业员工观、企业合作观、企业核心价值观在内的独特的企业文化系统，制定了“客户第一、拥抱变化、诚信正直、团结合作、积极敬业、追求卓越”的企业核心价值观。公司将企业文化建设作为提高核心竞争能力、凝聚团队、支撑企业长远发展的重要手段。

（二）内部控制评价工作依据及内部控制缺陷认定标准

公司依据企业内部控制规范体系，深圳证券交易所颁布的《上市公司规范运作指引》等法律法规的要求，结合公司内控体系规范管理制度的规定组织开展内部控制评价工作。

公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于公司的内部控制缺陷具体认定标准，并与以前年度保持一致。

1、财务报告内部控制缺陷认定标准 ：财务报告内部控制缺陷是指不能及时防止或发现并纠正财务报告错报的内部控制缺陷。公司将财务报告内部控制的缺陷划分为重大缺陷、重要缺陷和一般缺陷。

定量标准：内部控制缺陷可能导致或导致的损失与利润表相关的，以营业收入指标衡量；内部控制缺陷可能导致或导致的损失与资产管理相关的，以资产总额指标衡量。内部控制缺陷可能导致或导致的损失与投资收益相关的，以股东权益总额指标衡量。

公司确定的财务报告内部控制缺陷评价定量标准如下：

定性标准：当存在以下一个或多个控制缺陷的组合，可能导致公司严重偏离控制目标，应被认定为重大缺陷，包括但不限于以下情形：

①与财务报告相关控制环境无效；

②董事、监事和高级管理人员与财务报告相关舞弊行为；

③公司更正已公布的财务报告

④当期财务报告存在重大错报，公司在运行过程中未能发现该错报；

⑤公司审计委员会和审计部门对内部控制的监督无效

其他情形按影响程度分别确定为重要缺陷或一般缺陷。

2、非财务报告内部控制缺陷认定标准，非财务报告内部控制是指针对除财务报告目标之外的其他目标的内部控制，一般包括战略目标、资产安全、经营目标、合规目标等。

定量标准：公司非财务报告内部控制缺陷定量标准主要根据控制缺陷可能造成直接经济损失的金额，参照财务报告内部控制缺陷的定量标准执行。

定性标准：公司非财务报告缺陷的定性标准主要依据缺陷涉及业务性质的严重程度、直接或潜在负面影响的性质、影响的范围等因素来确定。具有以下特征的缺陷，可考虑认定为非财务报告重大缺陷：

①公司决策程序失衡导致重大失误；

②违反国家法律、法规，受到相关部门和监管机构的处罚；

③管理人员或关键技术人才流失严重；

④媒体负面新闻频繁，波及面广；

⑤公司重要业务缺乏制度控制或制度体系失效；

⑥内部控制重大或重要缺陷未得到整改。

（三）内部控制缺陷认定及整改情况

1、财务报告内部控制缺陷认定及整改情况：根据上述财务报告内部控制缺陷的认定标准，报告期内未发现公司财务报告内部控制重大缺陷。

2、非财务报告内部控制缺陷认定及整改情况：根据上述非财务报告内部控制缺陷的认定标准，报告期内未发现公司非财务报告内部控制重大缺陷。

四、其他内部控制相关重大事项说明

报告期内，公司于 2023 年 7 月 13 日收到中国证券监督管理委员会湖南证监局（以下简称“湖南证监局”）下发的《关于对拓维信息系统股份有限公司采取责令改正措施的决定》[2023]30 号。

2023 年，湖南证监局对公司进行现场检查，发现公司存在如下问题：

（一）未按规定披露 3.56 亿元对外担保事项；

（二）在 2016-2021 年未及时调整长期股权投资当期损益变动共计 605.89 万；

（三）在 2021 年未及时计提坏账准备 64.22 万元。

针对问题（一），经公司全面自查，已于 2023 年 7 月 14 日对海云天科技名下大鹏地产涉及的对外担保事项进行了补充披露，详见《关于补充披露子公司违规对外担保的公告》（公告编号：2023-038）。公司对因违反规定从而给公司造成损失的相关责任人进行了严肃问责，游忠惠、刘彦在公司的强烈要求下已于 2020年 9 月辞去拓维信息董事及高级管理人员职务，海云天科技已于 2023年4月免去游忠惠、刘彦的董事长和董事职务，并保留对海云天控股、刘彦、游忠惠等进行诉讼追偿及追究其相应法律责任的权利。公司要求相关责任人员切实加强学习法律法规和公司治理相关的规章制度，提高相关人员对法律法规和信息披露的理解。公司进一步完善重大信息报告制度与流程，强化担保信息披露管理，完善工作规范。各分子公司需严格执行上市公司《重大信息内部报告制度》，强化信息沟通渠道以及反馈处理流程，密切关注、跟踪日常事务中的重大事项，确保对外担保等事项发生时真实、准确、完整、及时、公平地履行信息披露义务。

针对问题（二），公司已设置专门的投资负责人，密切关注被投资单位的经营发展情况，执行定期的沟通机制。并根据《企业会计准则第 28 号—会计政策、会计估计变更和差错更正》《公开发行证券的公司信息披露编报规则第 19号—财务信息的更正及相关披露》等有关规定，于 2023 年 7 月 22 日对公司前期会计差错进行更正并追溯调整相关年度的财务数据，详见《关于前期会计差错更正及追溯调整的公告》（公告编号：2023-043）。

针对问题（三），公司按照《企业会计准则第 22 号—金融工具确认和计量》的要求，对相关的应收款项于减值迹象发生的当年全额计提减值准备，公司根据《企业会计准则第 28 号—会计政策、会计估计变更和差错更正》《公开发行证券的公司信息披露编报规则第 19 号—财务信息的更正及相关披露》等有关规定，于 2023 年 7 月 22 日对公司前期会计差错进行更正并追溯调整相关年度的财务数据，详见《关于前期会计差错更正及追溯调整的公告》（公告编号：2023-043）。

公司无其他可能对投资者理解内部控制自我评价报告、评价内部控制情况产生重大影响的其他内部控制信息。

公司将继续完善内部控制制度，规范内部控制制度执行，强化内部控制监督检查，防范经营风险，稳步提升经营能力，促进公司健康、可持续发展。

拓维信息系统股份有限公司

2024年4月25日