昆明制药集团股份有限公司

昆明制药集团股份有限公司内部控制及全面风险管理办法第一章总则第一条目的为加强和规范企业内部控制及全面风险管理，推动和指导公司各责任中心、职能部门及子公司建立健全和有效实施内部控制制度及全面风险管理，提高公司风险管理水平和风险防范能力，增强企业竞争力，促进公司持续、稳步、健康发展，保护投资者的合法权益，依据财政部审计署中国保险监督管理委员会中国银行业监督管理委员会中国证券监督管理委员会财会[2008]7号《企业内部控制基本规范》、华立集团股份有限公司全面风险管理办法（HOLLEY-CX02-2008-09094Z）《关于发布〈华立集团股份有限公司全面风险管理办法〉的通知》等规定，结合公司实际，制订本办法。第二条适用范围本办法适用于公司各责任中心、职能部门及各控、参股公司。第三条本办法所称内部控制是指公司为了保证公司战略目标的实现，而对公司战略制定和经营活动中存在的风险予以管理的相关制度安排。是由公司董事会、监事会、管理层和全体员工实施的、旨在实现控制目标的过程。具体包括围绕风险管理策略目标，针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护、企业文化等各项业务管理及其重要业务流程，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。第四条本办法所称风险是指公司未来发展过程中，各种不确定性对公司实现其战略及经营目标的影响。企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等；也可以能否为企业带来盈利等机会为标志，将风险分为纯粹风险(只有带来损失一种可能性)和机会风险(带来损失和盈利的可能性并存)。第五条本办法所称全面风险管理是指公司围绕战略目标及总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。公司通过良好的法人治理和内部控制实施全面风险管理。公司股东大会、董事会、管理层应依据公司章程的授权行使职权、承担责任。公司的内部控制由公司董事会、监事会、管理层和全体员工实施,旨在实现合理保证公司经营管理合法合规、资产安全与减少损失、财务报告及相关信息真实完整与可靠性，提高经营效率和效果的风险管理目标。第六条公司内部控制及全面风险管理基本流程主要包括以下几项工作：（一）内部控制及风险管理策略的制定与实施（二）内部控制及风险管理制度的制定与实施（三）风险评估（四）风险控制（五）风险的监督、评价与考核（六）风险的预警（七）突发风险与危机的处理（八）责任追究第二章内部控制及风险管理的目标、原则与框架第七条公司内部控制及全面风险管理的总体目标：（一）保证公司经营管理合法合规及公司内部规章制度的贯彻执行；（二）保证公司各项资产的安全性，避免风险失控导致公司资产、资金损失；（三）保证将风险控制在与总体目标相适应并可承受的范围内；（四）保证内外部，尤其是公司各职能机构之间、公司与股东之间、公司与子公司之间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告；(五)保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性，促进公司实现发展战略。（六）确保公司建立针对各项重大风险发生后的危机处理计划，保护公司不因灾害性风险或人为失误而遭受重大损失；（七）形成良好的风险管理文化，使全体员工强化风险管理意识。第八条公司建立和实施内部控制及全面风险管理，应当遵循健全、重要、制衡、独立、适应、成本效益的原则，确保内部控制及全面风险管理的有效性。（一）健全性：内部控制及风险管理应当做到事前、事中、事后控制相统一；覆盖公司的所有业务、部门和人员，渗透到决策、执行、监督、反馈等各个环节，确保不存在风险管理的空白或漏洞。（二）重要性：内部控制及风险管理应当在全面控制的基础上，关注重要业务事项和高风险领域。（三）制衡性与独立性：公司治理结构、部门和岗位的设置应当权责分明、相互制约、相互监督，一线业务运作与二线管理支持适当分离；承担内部控制及风险管理监督检查职能的部门应当独立于公司其他部门。（四）适应性：内部控制及风险管理应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。（五）成本效益性：内部控制及风险管理应当权衡实施成本与预期效益，以合理的成本实现有效控制及风险管理目标。第九条公司内控制度及全面风险管理应按照全面、完整的原则，从以下层面作出安排：（一）公司层面；（二）公司下属各责任中心、职能部门及子公司层面；（三）公司各业务环节层面。第十条公司内部控制及全面风险管理由上述总体目标和五项相互关联的要素组成，公司建立和实施内部控制及全面风险管理时，应考虑以下基本要素：（一）内控环境，指公司的组织文化以及其他影响员工风险意识的综合因素，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。（二）风险评估，是公司及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略或管理风险的方法。（三）控制活动，是公司根据风险评估结果，采取相应的控制措施，即为确保风险管理策略有效执行而制定的制度和程序，包括但不限于核准、授权、验证、调整、复核、定期盘点、记录核对、职能分工、资产保全、绩效考核等，将风险控制在可承受度之内。（四）信息沟通，是公司及时、准确地收集、传递与内部控制及全面风险管理相关的信息，确保信息在公司内部、公司与外部之间进行有效沟通。（五）内部监督，是公司对内部控制及全面风险管理建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷应当及时加以改进。第十一条公司应当按照法律、法规、规章极其配套办法建立健全内部控制制度（以下简称内控制度），保证内控制度的完整性、合理性。第十二条公司下属各责任中心、职能部门及子公司，应在符合公司总体战略目标的基础上，针对各单位、业务环节的特点，建立相应的内控制度及全面风险管理。第十三条公司内部控制及全面风险管理通常应涵盖经营活动中所有业务环节，包括但不限于：（一）生产环节：包括拟定生产计划、开出用料清单、储存原料、投入生产、计算存货生产成本、计算销货成本、质量控制等。（二）采购及付款环节：包括采购申请、处理采购单、验收货物、填写验收报告或处理退货、记录应付账款、核准付款等。（三）销货及收款环节：包括订单处理、信用管理、运送货物、开出销货发票、确认收入及应收账款等。（四）固定资产管理环节：包括固定资产的自建、购置、处置、维护、保管与记录等。（五）货币资金管理环节：包括货币资金的入账、划出、记录、报告、出纳人员和财务人员的授权等。（六）关联交易环节：包括关联方的界定，关联交易的定价、授权、执行、报告和记录等。(七)担保与融资环节：包括借款、担保、承兑、租赁、发行新股、发行债券等的授权、执行与记录等。（八）投资环节：包括投资有价证券、股权、不动产、经营性资产、金融衍生品及其他长、短期投资、委托理财、募集资金使用的决策、执行、保管与记录等。（九）研发环节：包括基础研究、产品设计、技术开发、产品测试、报批、研发记录及文件保管等。（十）人事管理环节：包括雇用、签订聘用合同、培训、请假、加班、离岗、辞退、退休、计时、计算薪金、计算个人所得税及各项代扣款、薪资记录、薪资支付、考勤及考核等。（十一）媒体管理环节：包括对产品市场推广，资本市场信息披露，新闻采访，内部媒体（内部网站、刊物、板报）等任何形式的关于公司的媒体报道进行事先引导、事后跟踪控制等。第十四条公司内控制度及全面风险管理除涵盖对经营活动各环节的控制及风险管理外，还包括贯穿于经营活动各环节之中的各项管理制度，包括但不限于：印章使用管理、票据领用管理、预算管理、资产管理、质量管理、担保管理、职务授权及代理制度、定期沟通制度、信息披露管理制度及对子公司的管理制度等。第十五条因公司使用计算机信息系统，因此综合管理部信息办和董事会办公室应建立和完善信息管理的内控制度。信息管理的内控制度至少应涵盖下列内容：（一）信息处理部门与使用部门权责的划分；（二）信息处理部门的功能及职责划分；（三）系统开发及程序修改的控制；（四）程序及资料的存取、数据处理的控制；（五）档案、设备、信息的安全控制；（六）在《公司章程》规定的信息披露媒体、上海证券交易所网站或公司网站上进行公开信息披露活动的控制。第十六条公司财务运营部应根据国家财政主管部门的有关规定，建立和完善内部会计控制规范。第十七条公司聘请会计师事务所和律师事务所等中介机构协助建立和完善内控制度及风险管理。公司将委托从事内部控制审计的会计师事务所，根据《企业内部控制基本规范》极其配套办法和相关执业准则，对公司建立与实施内部控制的有效性进行审计，出具审计报告。第十八条公司内部控制及风险管理的信息披露按照国家相关法律、法规及《企业内部控制基本规范》的规定执行。第三章内部控制及风险管理的组织体系与职责分工第十九条公司内部控制及全面风险管理的组织体系由公司董事会、监事会、管理层、审计及法务部、各责任中心、各部门及各子公司内设的有内部控制及风险管理职能的部门或岗位构成。董事会、管理层应重视公司内部控制及风险管理的组织机构的配置（职能、人员），通过该配置实现内部控制及风险管理各层次、各系统的具体工作。第二十条董事会审计与风险控制委员会代表公司董事会全面负责公司的内部控制及风险管理，建立健全公司风险防范、监控体系，负责推进公司内部控制及风险管理制度建设，督促公司管理层对公司各业务风险的日常管理，对公司经营管理活动中的各类风险实施有效的事前评估和过程监控。董事会审计与风险控制委员会还负责审查公司内部控制，监督内部控制的有效实施和内部控制自我评价情况，协调内部控制审计及其他相关事宜。第二十一条管理层负责领导公司内部控制及风险管理的日常运行，按照董事会的要求和自身的管理职责建立健全公司业务与管理流程的风险防范、内部监控体系，管理公司各职能部门、各责任单元、控参股公司的日常风险，有效化解和降低公司整体的运营风险。公司总裁是管理层负责前述风险管理事项的代表和第一责任人。第二十二条监事会对董事会、管理层建立健全公司风险防范、监控体系的工作进度与效果进行监督，对董事、高级管理人员违反风险管理制度、风险管理职责而给公司造成重大损失的行为给予查处。公司监事会主席是监事会负责前述风险工作监督事项的代表和第一责任人。第二十三条审计及法务部独立于公司各责任中心、各控参股公司、各部门,负责协助公司识别和评价重大风险问题，帮助公司改进风险管理与控制系统；通过评价控制的效率与效果、促进其持续改善等工作，帮助公司维持有效的控制系统；评价公司治理过程并提出改进公司治理的恰当建议，履行检查与评价、咨询与服务的职能；对子公司实施内部控制与风险管理的综合评价和专项内审。第二十四条公司各责任中心、各职能部门负责人为本部门所涉风险控制事项的第一责任人，履行本部门的风险控制职能，执行具体的风险管理制度，建立部门内权责明确、相互制衡的岗位职责和部门内全面、合理的风险控制制度，并针对本部门业务的主要风险环节制定业务操作流程。第二十五条公司各子公司董事长、总经理以及财务负责人，为所在子公司所涉风险控制事项的共同的第一责任人，履行所在子公司的风险控制职能，建立健全子公司风险防范、监控体系，制定、执行具体的风险管理制度。子公司的业务风险日常管理由子公司总经理负责并承担责任；子公司总经理应针对子公司各部门业务的主要风险环节领导制定业务操作流程。各子公司董事长、总经理以及财务负责人，应按照子公司股东会、董事会授予的权限决定子公司的风险决策事项。第二十六条公司加强对各子公司的风险管理。公司通过董事会审计与风险控制委员会把子公司纳入公司的整体风险管理建设与风险监督、评价体系。公司的董事会办公室、财务运营部、人力资源部等相关部门除承担本部门内部的风险控制职能外，对子公司的投资决策风险、财务运营风险、资产与资