厦门钨业:厦门钨业《内部控制评价办法》

内部受控文件
厦门钨业股份有限公司
制度文件编号：XTC XX X XXX - XXXX
厦门钨业
内部控制评价办法
版本：2.0
2025-03-21
厦门钨业股份有限公司
审计部
(版权所有，翻版必究)
Copyright XIAMEN TUNGSTEN CO., LTDAll Rights Reserved
目 录

1 目的......1
2 适用范围 ......1
3 定义......1
4 职责分工 ......1
4.1 董事会 ......1
4.2 董事会审计委员会 ......1
4.3 审计部 ......1
4.4 被审计单位 ......2
5 内部控制评价的原则......2
6 内部控制评价范围和内容 ......2
6.1 评价范围 ......2
6.2 评价内容 ......2
7 内部控制评价的程序......3
7.1 内部控制评价流程图 ......3
7.2 制定评价工作方案 ......4
7.3 组成评价工作组 ......5
7.4 实施现场测试 ......5
7.5 完成评价底稿 ......8
7.6 认定控制缺陷 ......8
7.7 汇总评价结果 ......10
7.8 反馈评价结果 ......10
8 内部控制缺陷的整改......10
9 内部控制评价报告......11
10 通则 ......12
《厦门钨业内部控制评价制度》版本：2.0 页码：1
1 目的
为促进厦门钨业股份有限公司（以下简称“厦门钨业”或“公司”）全面评价内部控制的设计与运行情况，规范内部控制评价程序和评价报告，揭示和防范风险，根据有关法律法规和《企业内部控制基本规范》（财会〔2008〕7 号）、《企业内部控制评价指引》制定本办法。
2 适用范围
本办法适用于公司、分公司、全资子公司、控股子公司（以下统称“被审计单位”）。3 定义
内部控制评价是对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程，内部控制有效性包括内部控制设计的有效性和内部控制运行的有效性。
4 职责分工
4.1 董事会
4.1.1 审议批准公司内部控制评价报告，并对内部控制评价报告的真实性负责。
4.1.2 审议批准《厦门钨业内部控制评价办法》。
4.2 董事会审计委员会
4.2.1 审议《厦门钨业内部控制评价办法》。
4.2.2 审议批准公司内部控制评价方案。
4.2.3 督促实施公司内部控制评价计划。
4.2.4 审议公司内部控制评价报告，向董事会提交年度内部控制评价报告审议稿。
4.3 审计部
公司授权审计部负责内部控制评价的具体组织实施工作，具体职责如下：
4.3.1 负责开展内部控制测试和评价，编制工作底稿，形成缺陷汇总表。
4.3.2 向董事会审计委员会报告内控评价方案及内部控制评价报告。
4.3.3 及时向董事会审计委员会报告发现内部控制存在的重大缺陷或者重大风险。

《厦门钨业内部控制评价制度》版本：2.0 页码：2
4.3.4 督促相关责任部门制定内控缺陷整改方案，并监督落实整改。
4.4 被审计单位
4.4.1 提供可靠信息资料，配合内控评价小组进行内部控制评价工作，并与内部控制评
价小组沟通，对现场测试结论达成一致意见。
4.4.2 开展内部控制缺陷整改工作，并及时将整改结果报送审计部。
5 内部控制评价的原则
实施内部控制评价遵循下列原则：
（1）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖被审计单位的各种业务和事项。
（2）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。
（3）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
6 内部控制评价范围和内容
审计部每年应结合各单位业务情况和管理需要，确定评价范围和检查重点，确保内部控制评价覆盖范围的合理性、全面性，并重点关注高风险领域。
6.1 评价范围
内部控制评价范围包括公司、资产或营业收入占合并资产或营业收入总比例较高的子公司。纳入评价范围单位的资产总额占公司合并财务报表资产总额的比例不低于 80%，营业收入合计占公司合并财务报表营业收入总额的比例不低于 80%。
6.2 评价内容
内部控制评价应当根据财政部等五部委联合发布的《企业内部控制基本规范》和《企业内部控制评价指引》，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，结合《厦门钨业内部控制基本规范》的内部控制体系，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。

（1）公司组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合被审计单位内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。
（2）公司组织开展风险评估机制评价，应当以《企业内部控制基本规范》组织开展有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合厦门钨业《全面风险管理制度》以及其他内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。
（3）公司组织开展控制活动评价，应当以《企业内部控制基本规范》和应用指引的各项控制措施为依据，结合厦门钨业的内部控制制度，对投资活动、采购业务、研究开发、生产制造、销售业务等业务控制措施的设计和运行情况进行认定和评价。
（4）公司组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，对信息收集、处理和传递的及时性、财务报告的真实性、信息系统及数据的安全性、反舞弊机制的健全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。
（5）公司组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，结合内部控制制度，对内部监督机制的有效性进行认定和评价。
7 内部控制评价程序
公司内部控制评价应当按照本办法规定的程序，有序开展工作。内部控制评价程序一般包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编制评价报告等环节。
7.1 内部控制评价流程图

《厦门钨业内部控制评价制度》版本：2.0 页码：4
7.2 制定评价工作方案

《厦门钨业内部控制评价制度》版本：2.0 页码：5
7.2.1 审计部应当根据国家法律法规要求、企业自身经营特点、发展目标及管理要求，
制定科学合理的内控评价工作方案，经董事会审计委员会批准后实施。
7.2.2 评价工作方案应当明确评价范围、工作任务、人员组织、进度安排和费用预算等
相关内容。
7.2.3 内部控制评价应当根据《企业内部控制基本规范》，以风险为导向，在风险评估
的基础上，分析被审计单位业务流程和管理需要，梳理各业务循环的风险和关
键控制点，明确各单位的评价重点和审计方法，并相应完善审计底稿的模板。
7.3 组成评价工作组
7.3.1 审计部根据评价工作方案，挑选具备独立性、业务胜任能力和职业道德素养的评
价人员组成评价工作组，明确评价人员的工作职责和分工。评价工作组具体实
施内部控制评价工作。
7.3.2 评价工作组应当吸收公司内部熟悉情况的业务骨干参加，但评价工作组成员对其
所在部门的内部控制评价工作应当实行回避。
7.3.3 公司可以委托中介机构实施内部控制评价。为企业提供内部控制审计服务的会计
师事务所，不得同时为同一企业提供内部控制评价服务。提供内部控制评价服务
的中介机构按照《厦门钨业总部服务类采购管理规定》进行选聘。
7.4 实施现场测试
7.4.1 评价工作组按照人员分工，综合运用个别访谈、调查问卷、专题讨论、穿行测试、
实地查验、抽样和比较分析等方法对内部控制设计与运行的有效性进行现场检查
测试，按要求编制工作底稿、记录相关测试结果，并对发现的内部控制缺陷进行
初步认定。
7.4.2 测试样本选取规则
（1）样本应尽量贯穿业务流程全过程。样本可从财务部门或业务主责部门获取。
（2）样本的选择需考虑交易的同质性。由于内控测试是针对每个控制事项进行的，而每个控制事项可能对应多个业务类型或审批程序等控制手段。为保证测试样本覆盖面完整，在抽取样本时应当根据业务类型的不同而选择相应的样本，针对不同的情况进行
《厦门钨业内部控制评价制度》版本：2.0 页码：6
独立抽样。
（3）测试要保证测试期间样本的有效性。测试样本抽取的期间应包括年初至测试时点的期间。如果这一测试期间暂无样本（如发生频率为每年一次的控制活动），且控制活动未发生改变，则可抽取以前年度的样本，用以评估测试期间该控制活动执行的有效性。如果控制活动发生改变，则需要在年末或者来年年初进行补充测试。为了避免抽样风险，测试者应在测试期间内相对均匀地选择样本。
（4）测试人员在抽取样本时应独立选择样本。
7.4.3 测试结果的评价
测试结果的评价共分为四种：控制有效、控制无效、样本量不足和未发生交易。
（1）控制有效：对于某个控制事项，当抽取的样本达到规定的样本量时，样本全部满足要求，此控制事项被认为得到有效执行，测试结果为“控制有效”；若初始样本量达到 20 个以上的控制事项，出现不超过 1 个的异常样本，可扩充样本量，抽取新的测试样本，新样本全部满足要求，测试结果仍可评价为“控制有效”。
（2）控制无效：对于某个控制事项，抽取样本达到规定样本量时，若出现 2 个及以上样本不满足控制要求时，测试结果评价为“控制无效”；若初始样本量达到 20 个以上的控制事项出现了 1 个异常样本，扩充测试样本量后仍存在异常样本，测试结果仍评价为“控制无效”。
（3）样本量不足：已抽取的样本全部满足要求，只是由于整改或者流程调整导致无法满足要求的样本数量的情形。
（4）未发生交易：控制事项所涉及的业务在测试期间尚未发生的情形，需同时在
测试结果备注中说明“经询问 XX 部门 XX 该业务在 X-X 月份未发生”。
7.4.4 设计有效性测试方法
为验证内部控制设计是否有效，要求每年至少进行一次穿行测试。穿行测试样本选取原则 ：
（1）样本必须能够代表该流程（或子流程）的典型业务及操作过程；
（