金石亚药：2022年度内部控制自我评价报告

四川金石亚洲医药股份有限公司2022年度内部控制自我评价报告

四川金石亚洲医药股份有限公司全体股东：

根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称“企业内部控制规范体系”），结合本公司内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2021年12月31日（内部控制评价报告基准日）的内部控制有效性进行了评价。

一、重要声明

按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。公司董事会、监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带法律责任。

公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。

二、内部控制评价结论

根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。

根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。

三、内部控制评价工作情况

（一）内部控制评价范围

公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。纳入评价范围的主要单位包括母公司和18个子公司。18个子公司为：

注：2021年2月7日，杭州创新中药标准化研究所有限公司更名为浙江金石亚药医药科技有限公司。

纳入评价范围单位资产总额占公司合并财务报表资产总额的100.00%，营业收入合计占公司合并财务报表营业收入总额的100.00%。纳入评价范围的主要业务和事项包括：公司的组织架构、人力资源、子公司管理、资金活动、投资业务、担保业务、关联交易、信息披露、主营业务、财务管理、质量管理等内容。

上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，不存在重大遗漏。

（二）公司建立内部控制遵循的原则和思考

1、公司建立内部控制遵循的基本原则

公司为提高经营管理水平和风险防范能力、实现健康可持续发展，结合财政部、证监会、审计署、银监会、保监会联合发布的《企业内部控制基本规范》及《企业内部控制配套指引》建立内部控制体系，遵循以下原则：

（1）全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖企业及其所属单位的各种业务和事项。建立行之有效的风险控制系统，强化风险管理，保证公司各项经营活动的正常有序运行；

（2）重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。

（3）制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。

（4）适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。

（5）成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。

2、公司内部控制思考

企业要实现其战略、业务和组织发展目标，就需要抓住机遇、追求增长、承担风险、并合理管理这些风险。结合内部控制的五项原则，公司期望通过自身内部控制体系的建立实现以下几个目标：

（1）风险与收益的平衡：与各组织、各部门脱离的内控是不存在的，内控人员既要保证独立性，又要成为管理层和各部门的合作伙伴，角色并非对立，而是在创造企业价值的活动和保护企业价值的活动之间，与其共同找到风险与效率平衡的业务开展方式。

（2）创新的推动：利用内部控制工作本身要求的评价、完善机制，成为企业持续创新机制、战略调整和自我提升的活力源泉，促进企业战略目标的达成。

（3）资源的整合：利用内部控制工作跨部门的特征，整合风险和控制，优化流程和提高效率，帮助企业整合资源、信息和管理活动以满足持续健康增长的要求。

（4）系统的监督：作为企业决策、执行和监督的三权分立体系中监督权的核心，推动相关业务部门对关键控制点的设计和运行有效性进行自我评估，确保各种监督手段的落地和持续更新。

（三）内部控制评价工作依据及内部控制缺陷认定标准

公司依据企业内部控制规范体系组织开展内部控制评价工作。

公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于本公司的内部控制缺陷具体认定标准。与以前年度相比,对定量标准进行了修正。公司确定的内部控制缺陷认定标准如下：

1、财务报告内部控制缺陷认定标准

（1）公司确定的财务报告内部控制缺陷评价的定性标准如下：

具有下列特征的缺陷为重大缺陷：A、审计委员会和审计部门对公司财务报告的内部控制监督无效；B、公司董事、监事和高级管理人员舞弊；C、外部审计师发现当期财务报表存在重大错报，而内部控制运行过程中未能发现该错报；D、其他可能导致公司严重偏离控制目标的缺陷。

具有下列特征的缺陷为重要缺陷：A、未依照公认会计准则选择和应用会计政策；B、未建立反舞弊程序和控制措施；C、对于非常规或特殊交易的账务处理没有建立相应的控制程序；D、对于期末的财务报告过程的控制存在一项或多项缺陷，虽未达到重大缺陷标准，但影响财务报告达到合理、准确的目标。

除上述重大缺陷、重要缺陷之外的其他控制缺陷，则认定为一般缺陷。

（2）公司确定的财务报告内部控制缺陷评价的定量标准如下：

财务报告指标区分为潜在的资产错报金额和利润错报金额，利润错报金额可以涵盖收入错报、费用错报等。

2、非财务报告内部控制缺陷认定标准

（1）公司确定的非财务报告内部控制缺陷评价的定性标准如下：

非财务报告内部控制缺陷定性标准，主要以缺陷对业务流程有效性的影响程度、发生的可能性作出判定。具有下列特征的缺陷为重大缺陷：A、公司决策程序导致重大失误；B、重要业务缺乏制度控制或制度系统性失效；C、缺陷发生的可能性高，且会严重降低工作效率（效果）或严重偏离预期目标。

具有下列特征的缺陷为重要缺陷：A、公司决策程序导致一般性失误；B、重要业务制度或系统存在缺陷；C、缺陷发生的可能性较高，且会显著降低工作效率（效果）或显著偏离预期目标。

具有下列特征的缺陷为一般缺陷：A、公司决策程序效率不高；B、一般业务制度或系统存在缺陷；C、缺陷发生的可能性较小，且会降低工作效率（效果）或偏离预期目标。

（2）公司确定的非财务报告内部控制缺陷评价的定量标准如下：

非财务报告指标为潜在的直接财产损失金额。

（四）公司内部控制的整体情况

从促进企业可持续发展出发，公司将内部控制作为一项常规性和系统性工作，贯穿于企业管理的方方面面。同时，应当按照重要性原则，关注重要业务事项和高风险领域，抓住关键风险控制点。

内部控制人人有责，这是一个文化与意识建设的过程，也是从上到下、全员参与、自主评价的体系。提高企业人员对组织目标以及内部控制在实现这些目标中所起到的作用的认识，激励他们认真设计和执行并不断改进自身的控制程序，才能确保内控工作切实开展起来。

1、公司内部控制环境

公司控制环境的好坏直接决定着内部控制制度能否顺利实施及实施的效果。公司本着规范运作的基本理念，积极努力地营造良好的控制环境，主要体

现在以下几个方面：

①对诚信和道德价值观念的沟通与落实

诚信和道德价值观念是控制环境的重要组成部分，影响到公司重要业务流程的设计和运行。公司一贯重视这方面氛围的营造和保持，建立了员工招聘评估流程、新员工入职培训流程和《员工手册》等一系列的内部行为规范，并在日常经营中强调高级管理人员的模范带头作用，自上而下形成良好的价值观念。

②对胜任能力的重视

公司管理层高度重视特定工作岗位所需的胜任能力，对特定工作岗位的专业水平和能力都有明确要求。公司根据《劳动合同法》及有关法律法规，结合公司实际情况，制定了有利于公司可持续发展的人力资源政策，包括聘用、培训、轮岗、考核、奖惩、晋升和淘汰等方面，明确了各职能岗位的任职条件和工作要求，确保了选聘人员能够胜任岗位职责要求。

③治理结构规范

董事会严格按照《公司章程》及相关制度，在规定的职责范围内行使经营决策权，并负责公司内部控制体系的建立和监督，包括建立和完善内部控制的政策和方案，监督内部控制的执行，对公司内部控制制度的制定和有效执行负责。公司经营管理层负责内部控制制度的制定和有效执行，通过指挥、协调、管理、监督各职能部门、全资及控股子公司行使经营管理权力，保证公司的正常经营运转。

公司已形成股东大会、董事会、监事会与管理层之间权责分明、各司其职、协调运作、制衡有力的法人治理结构，依法行使各自的决策权、执行权和监督权。

④管理层的理念和经营风格

公司管理层之间权力分配合理，董事会能够对管理层的行为作出有效监督，以使其能够恰当地履行职责。公司管理层具有适当的胜任能力且保持稳定，确保其能正确地履行职责及保持管理理念及经营风格的延续性。在对待风险的问题上，公司管理层保持高度重视及警觉，对会计记录和财务报告具有负责任的态度，对于重大的内部控制事项要求整改建议和措施落实到位。

⑤组织结构

公司严格按照《公司法》、中国证监会的有关法规等法律、法规及《公司章程》的规定和要求建立了股东大会、董事会、监事会及在董事会领导下的管理层

为架构的决策、监督、管理体系，并有效运行。2020年公司进行了架构梳理和重建，以实现组织资源协同效应最大化，2021年四中心四部门的协同整合、高效运转为现有主营业务的发展和创新提供更直接的平台和资源，充分调动现有管理团队成员的能动性和使命感，吸纳、融合各职能人才组成上市公司总部经营管理层，有利于统一高效的战略和决策制定，减少沟通层级，提高组织执行力，为上市公司稳健、高质量、可持续发展提供必要的组织保障。

公司组织结构如下：

⑥ 职权与责任的分配

匹配新的组织架构，逐步优化和完善内部职能机构，明确各机构的职责权限，避免职能交叉、缺失或权责过于集中，形成各司其职、各负其责，相互协调、相互制约的工作机制。为对授权使用情况进行有效控制及对公司的活动实行监督，公司建立了年度经营计划和预算控制程序，以确保各项经营活动均在可控范围之内。财务部门通过各种措施较合理地保证业务活动按照适当的授权进行；较合理地保证交易和事项能以正确的金额、在恰当的会计期间及时地记录于适当的账户，使财务报表的编制符合企业会计准则的相关要求。

2、公司风险评估措施

经营环境是变化的，企业在不同的发展阶段基于调整的战略目标，所要面对的风险是不确定的，要保证相对稳定的内部控制来管理不确定的风险，是一个矛盾且挑战的问题。所以公司需要建立有效的风险评估机制，并结合风险评估结果，通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，运用相应的控制措施将风险控制在可承受度之内。公司采取的控制措施包括但不限于：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、经营计划和运营分析控制、目标任务书和绩效考评控制等。

3、公司重要控制活动

公司主要经营活动都有必要的控制程序和流程。管理层在预算、利润等财务角度以及重要经营举措和计划等非财务角度都有清晰的目标，公司内部对这些目标都有良好的沟通并加以积极贯彻。

①财务相关重要控制活动

公司财务部按照《公司法》、《会计法》和《企业会计准则》等法律法规及其补充规定，制定了相关财务管理制度，并明确了会计凭证、会计账簿和财务报告的处理程序，以保证：

（1）业务活动按照适当的授权进行；

（2）交易和事项能以正确的金额，在恰当的会计期间，较及时地记录于适当的账户，使财务报表的编制符合《企业会计准则》的相关要求；

（3）对资产的记录和记录的接触、处理均经过适当的授权；

（4）账面资产与实存资产定期核对；

（5）实行会计人员岗位责任制，聘用适当的会计人员，使其能够完成分配的任务。这些任务包括：

?记录所有有效的经济业务；?适时地对经济业务的细节进行充分记录；?经济业务的价值用货币进行正确的反映；?经济业务记录和反映在正确的会计期间；?财务报表及其相关说明能够恰当反映公司的财务状况、经营成果和现金流量情况。

财务部建立的相关控制程序，主要包括：交易授权控制、责任分工控制、凭证与记录控制、资产接触与记录使用控制、信息系统控制等。

（1）交易授权控制：根据重要性原则，明确了授权批准的范围、权限、程序、责任等相关内容，公司内部的各级管理层必须在授权范围内行使相应的职权，经办人员也必须在授权范围内办理经济业务。公司在交易授权上区分交易的不同性质采用两种层次的授权，即一般授权和特别授权。对一般性质的交易如购销业务、费用报销等业务采用各职能部门和分管领导审批制度；对于非常规性交易，如收购、兼并、投资、增发股票等重大交易需经董事会或股东大会审批。

（2）责任分工控制：合理设置分工，科学划分职责权限，贯彻不相容职务相分离及每一个人工作能自动检查另一个人或更多人工作的原则，形成相互制衡机制。不相容的职务主要包括：授权批准与业务经办、业务经办与会计记录、会计记录与财产保管、业务经办与业务稽核、授权批准与监督检查等。

（3）凭证与记录控制：合理制定了凭证流转程序，经营人员在执行交易时能及时编制有关凭证，编妥的凭证及早送交会计部门以便记录，已登账凭证依序归档。各种交易必须作相关记录，并且将记录同相应的分录独立比较。

（4）资产接触与记录使用控制：公司严格限制未经授权的人员对财产的直接接触，防止各种实物资产被盗、毁损和流失。采取定期盘点、财产记录、账实核对、财产保险等措施，以使各种财产安全完整。

（5）独立稽查控制：对货币资金、有价证券、凭证和账簿记录、物资采购付款、工程建设项目等账实相符的真实性、准确性、手续的完备程度进行审查。

（6）财务报告控制：为了规范财务报告，保证财务信息的真实、完整、合法，公司明确了财务报告的编制与报送、重大财务事项的判断和处理、财务分析和对外披露等流程。公司的年度财务报告编制方案、确定重大事项的会计处理、清查资产核实债务、结账、编制个别财务报告、编制合并财务报告、财务报告对外提供前的审核和审计等阶段，确保平稳有序地进行，以实现财务报告信息的真实性、有效性。

（7）统一的财务信息系统控制：所有内部控制评价范围内的公司都通过用友NC系统进行财务账务和报表等信息的输入与输出，近三年公司在系统的开发与维护等方面做了较多的工作和投入。

（8）预算编制、执行与考核控制：公司全面加强预算工作的组织与管理，由财务管理部明确预算管理和工作协调机制，并明确各方预算管理职责。公司定期对预算执行情况进行跟进，对执行结果进行差异分析并说明原因，指导经营管理实践。重要预算指标的完成情况纳入管理层的目标责任书，并进行定期的自评和考评。

②业务相关重要控制活动

（1）公司非常重视履行社会责任，切实做到经济效益与社会效益、短期利益与长远利益、自身发展与社会发展相互协调，实现企业与员工、企业与社会、企业与环境的健康和谐发展。

（2）高度重视安全生产：各生产型公司根据国家有关安全生产的规定，结合本各公司实际情况，建立了严格的安全生产管理体系、操作规范等，强化安全生产责任追究制度，切实做到安全生产。总部生产中心建立安全监督、审查和指导的工作机制，确保各项安全措施落实到位。贯彻预防为主的原则，采用培训、安全评比、内部审计等多种形式增强员工安全意识，避免安全事故。

（3）产品质量是企业生命线：根据国家和行业相关产品质量的要求，规范生产流程，建立严格的产品质量控制和检验制度，严把质量关。各生产公司严格按照GMP制定生产流程，并匹配独立的质量管理部门和专业人员进行现场监控和质量检验，通过培训、产品再注册及质量标准升级等工作，确保产品质量和工艺的稳定性。总部生产中心负责对各公司质量保证体系进行监督与指导，并定期进行内部审计。各销售公司建立了产品投诉与售后服务流程，切实提高产品质量和服务水平，努力为社会提供优质安全健康的产品和服务，最大限度地满足消费者的需求，对社会和公众负责，接受社会监督，承担社会责任。

（4）关注加强合同管理、印章管理、知识产权管理、法律纠纷管理等，定期进行内部相关人员的培训与交流，检查和评价各项管理中的薄弱环节，采取相应控制措施，切实维护企业的合法权益。对于影响重大、涉及较高专业技术或法律关系复杂的事项，组织法律、技术、财会等专业人员参与，必要时亦会聘请外部专家参与相关工作。若发生法律风险事件，明确内部沟通渠道，确保及时报告和处理。

（5）公司的医药业务板块和新材料机械技术板块都非常重视自主创新和研

发工作，科学、规范、风险可控的研发项目管理工作是实现战略目标和企业发展的重要一环。公司内部由归口部门统一管理各业务板块的研发项目。研发立项申请需要开展可行性研究，结合本公司产业链、自身优势进行选题，并对所选项目的市场需求分析、投入产出分析、主要研究内容、研究思路、拟采用的研究方案和风险预计等有关问题做出充分论证。并组织内部相关部门和管理层进行项目立项决策。项目过程管理高效、可控，由项目负责人全面负责项目计划的实施、经费合理使用，并对阶段性进展进行总结和汇报。加强对研发成果和知识产权的保护和保密机制。

（6）采购管理：公司严格执行对于供应商的比价、信用管理和选择等审批程序，对于重大采购项目实行招投标，对于采购流程可能涉及到的固定资产等调研与选型、预申请审批、合同审批、采购实施与付款、验收与交付、档案管理等环节明确了流程和审批权限。在医药业务板块，对于重要的供应商定期进行GMP审计，并要求其限期内进行问题整改，否则终止合作。在新材料机械技术板块，对于重要供应商进行实地拜访，确保采购物资的质量和价格合理性。现有相关控制活动覆盖了采购业务的主要环节，与公司的规模和业务发展相匹配，有效降低了采购成本，避免了采购舞弊现象的滋生，增强企业的市场应变能力和竞争能力。

（7）销售管理：公司医药业务板块，严格执行GSP管控要求，对销售业务的主要环节进行规范与控制明确了各岗位职责、权限，确保了不相容职位相分离，相应内容涵盖了销售目标和政策的制定、客户开发与首营的审核、合同管理、价格管理、发货和退货管理、验收管理、收款等相关事项。现有相关控制活动覆盖了销售业务的主要环节，与公司的销售实际情况相匹配，提高了销售工作的效率。同时公司财务人员对应收账款定期进行核对，相关销售人员及时进行催收，有利于加速资金的回笼，减少坏账损失的发生，促进公司销售业务稳定增长。

（8）对外投资、对外担保、关联交易等管理：公司严格控制对外投资、关联交易以及对外担保行为，明确对外投资、对外担保以及关联交易的原则、标准、条件、责任以及审批程序等相关程序，建立了科学决策和对外信息披露机制，防范潜在风险，避免和减少可能发生的损失。

4、信息系统与内部信息传递

公司建立了统一的财务信息系统，信息系统人员（包括财务会计人员）恪尽

职守、勤勉工作，能够有效地履行赋予的职责。公司管理层也提供了适当的人力、财力以保障整个信息系统的正常、有效运行。

5、内部监督控制活动

公司董事会成立了专门的审计委员会，对公司内部控制制度执行情况、各项经营业务控制情况、对外投资、对外担保控制情况不定期的进行检查，确保董事会对经理层的有效监督。监事会负责对董事及其他高管人员的履职情况及公司依法运作情况进行监督，对股东大会负责，严格认真地履行了内部监督职能，从而保证了公司内部控制制度的有效执行。公司管理层高度重视内部控制的各职能部门和监管机构的报告及建议，并采取各种措施及时纠正控制运行中产生的偏差。公司通过厘清角色和职责来强化对风险管理和控制的理解。其基本前提是，对于有效的风险管理和控制而言，在董事会及高级管理层的监督和指导下，在组织内建立相互分离的群体（或防线）是必需的。明确内部控制的三道防线：

（1）第一道防线：业务和流程的责任人

第一道防线直接对风险和控制负责并管理，设计和执行控制活动以应对风险。业务活动所产生、管理或承担的风险会阻碍或促进组织目标的实现。其运营及管理职能贯穿在整个组织中，因此一线执行及经理人员对风险的评估、控制活动的实施、以及相关方信息沟通负有重要的责任。

（2）第二道防线：制度、流程、系统等

第一道防线是人，在其基础上第二道防线要尽量通过规范化的制度、流程和信息系统等增强企业管理的稳定性、可持续性和全面风险管理，以帮助经营管理层确保风险和控制被有效管理。其规范运作职能体现在从管理体制、机制及落实各级权利责任等方面，形成内部控制的长效机制，使其真正为经营管理服务。

（3）第三道防线：管理层和内控、审计等

第三道防线独立于第一道防线，以保持其客观性和在组织中的独立性。通过采用系统、规范的方法评估和改善风险管理、控制和治理流程的有效性，帮助组织实现其目标。其内部监督与管理职能体现在负责持续的监控风险，针对风险管理和内部控制的效率和效果进行独立、客观地评估，建立起整个企业范围内对风险和控制的统一认识。

（五）公司内部控制重点工作规划

公司现有内部控制制度基本能够适应公司管理的要求，能够为编制真实、完整、公允的财务报表提供合理保证，能够为公司各项业务活动的健康运行及国家有关法律、法规和公司内部规章制度的贯彻执行提供保证，能够保护公司资产的安全、完整。同时结合公司三道防线的设置，本公司拟采取以下措施进一步提高内部控制的管理：

（1）立足管理现状，全面梳理各项管理制度和管理体系，从管理体制、机制以及落实各级权利责任等方面，将内部控制的要求融入各项管理体系中，形成内部控制的长效机制，使内部控制真正为经营管理服务；

（2）从总体目标出发，通过培训教育提高企业经营管理人员对内部控制的理解和认识，将内部控制的要求纳入企业文化和绩效考核体系以加强执行；

（3）进一步完善公司的财务制度建设，公司的会计核算制度及财务管理制度将根据会计制度的变化及企业的实际情况及时进行更新修订或制定补充规定；

（4）公司将进一步完善内部信息共享和决策制定的平台建设，逐步完善各个职能部门和子公司之间的信息沟通渠道和决策制定机制，提高公司管理和经营的效率；

（5）公司将逐步完善年度经营计划和预算工作流程的建立和执行，提高各项预算的全面性、准确度和对经营活动的指导性。

四川金石亚洲医药股份有限公司

董 事 会

二〇二三年四月二十三日