福建永福电力设计股份有限公司

内部控制评价管理办法

（2025年11月）为全面评价公司内部控制设计与运行情况，规范公司内部控制评价程序和评价报告，监督内部控制与风险管理体系的建立与实施，揭示和防范风险，促使内部控制有效运行，根据《企业内部控制基本规范》及其配套指引和《深圳证券交易所上市公司自律监管指引第2号——创业板上市公司规范运作》等法律法规、规范性文件的要求，结合公司实际情况，制定本办法。

范围本办法适用于公司、子公司的内部控制评价管理。对于具有重大影响的参股公司，可参照执行。

2术语与定义内部控制评价：是指在公司董事会领导下，由审计部具体组织实施的对内部控制设计和运行的有效性进行全面检查、形成评价结论、出具评价报告的过程。

3职责与权限

3.1

董事会职责：

负责公司内部控制的建立健全和有效实施，批准内部控制评价报告，对内部控制评价报告形成决议并对其真实性负责。

3.2董事会审计委员会职责：

a）审查公司内部控制，指导和监督公司内部控制评价工作，并向董事会汇报；

b）审核公司内部控制缺陷；

c）审议内部控制评价结果及报告，并对其发表意见；

d）督促公司经营管理层对内部控制缺陷进行整改；

e）对董事会建立与实施内部控制进行监督。

3.3审计部职责：

a）拟订内部控制评价相关管理制度；

b）组织实施内部控制评价，对内控缺陷提出认定意见，编写内部控制自我评价报

告，上报董事会审计委员会审核；

c）针对内部控制缺陷提出整改建议，跟踪并检查验收整改情况；d）与外部监管机构、审计机构就内部控制评价相关事项进行沟通协调。

3.4

各部门职责：

a）配合审计部开展本部门内部控制评价工作；b）落实本部门职责范围内的缺陷整改工作，及时整改和报送审计部复核。

3.5子公司职责：

a）组织、协调本单位年度内部控制自查工作，并配合审计部开展内部控制评价；b）组织落实本单位的内部控制缺陷整改工作。

管理活动的内容与方法

4.1评价原则实施内部控制评价至少应当遵循以下原则：

a）全面性原则。评价工作应当包括内部控制设计与运行，涵盖公司及其下属公司的各种业务和事项。

b）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。

c）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。

4.2评价内容

4.2.1公司内部控制评价具体内容围绕内部环境、风险评估、控制活动、信息与沟通和内部监督五要素进行。

4.2.2内部环境评价

包括组织架构、发展战略、人力资源、企业文化、社会责任等方面，结合公司的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价：

a）组织架构评价从机构设置的法人治理、整体控制、权责划分、相互牵制、信息传递等方面进行；

b）发展战略评价从发展战略的科学制定、有效实施和调整优化等方面进行；

c）人力资源评价企业人力资源的结构规划、开发机制、激励约束机制等方面进行；

d）企业文化评价从建设和评估两方面进行，促进诚信、道德价值观的提升，为内部控制的完善夯实人文基础；

e）社会责任评价从产品质量、职业健康、安全生产、环境保护、员工权益等方面进行。

4.2.3风险评估评价

以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合公司的内部控制制度，对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

4.2.4控制活动评价

以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合公司的内部控制制度，对企业各类业务的控制措施与流程的设计有效性和运行有效性进行认定和评价。

4.2.5信息与沟通评价

以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合公司的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性进行认定和评价。

4.2.6内部监督评价

以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合公司的内部控制制度，对内部监督的有效性，重点关注董事会审计委员会、审计部等是否在内部控制设计和运行中有效发挥作用。

4.3评价程序与方法

4.3.1内部控制评价立项

审计部每年报董事会审计委员会审批的年度审计工作计划中应包含内部控制评价工作。

审计部应当拟订内部控制评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容。

4.3.2评价工作组组成

a）审计部根据批准的年度工作计划及工作方案，组建评价工作组，具体实施内部控制评价工作。评价工作组可吸收公司内部熟悉情况的业务骨干参加。评价工作组成员应保持独立性原则，对本部门的内部控制评价工作应当实行回避制度。

b）内部控制评价项目一般由审计部自行开展，也可以委托中介机构实施内部控制评价，如遇重大调整，相关事项提交董事会审计委员会审议。

c）为公司提供内部控制审计、鉴证服务以及为公司内部控制提供咨询服务的会计师事务所等中介机构，不得同时为公司提供内部控制评价服务。

4.3.3现场检查测试

评价工作组综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析法等方法进行现场检查测试，充分收集被评价单位部门内部控制设计与运行是否有效的证据。

4.3.4工作底稿

内部控制评价工作应当形成工作底稿（含测试工作底稿）。工作底稿详细记录评价工作组执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。

4.3.5质量控制

评价工作组对评价实施质量进行交叉复核，评价工作组负责人对评价工作底稿严格审核，并对所认定的评价结果签字确认后，提交审计部负责人最终确定。

4.4内部控制缺陷的分类与认定

4.4.1内部控制缺陷分类

4.4.1.1按其成因分为设计缺陷和运行缺陷。

4.4.1.2按其表现形式分为财务报告内控缺陷和非财务报告内控缺陷。

4.4.1.3按其影响程度分为重大缺陷、重要缺陷和一般缺陷。其中：

a）重大缺陷，是指一个缺陷或多个控制缺陷的组合，可能导致公司严重偏离控制目标；

b）重要缺陷，是指一个缺陷或多个缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致公司偏离控制目标。多个“重要缺陷”共同作用有可能形成一个“重大缺陷”；

c）一般缺陷，是指除重大缺陷和重要缺陷以外的其他缺陷。

4.4.2内部控制缺陷认定标准

4.4.2.1财务报告内控缺陷认定标准和非财务报告内控缺陷认定标准。

4.4.2.1.1定量标准和定性标准。按以下原则划分：

a）定量标准：

）对于财务报告相关的内控缺陷，以公司合并资产总额、营业收入、利润总额作为重要性水平判断标准，通过对公司年度财务报表潜在错报或披露事项错报程度进行判

定；2）对于非财务报告相关的内控缺陷，以公司合并资产总额作为重要性水平判断标准，通过对公司年度财务报表潜在错报或披露事项错报程度进行判定。b）定性标准：

以假设不采取任何措施该缺陷导致偏离控制目标程度作为判断标准。

4.4.2.1.2非财务报告内部控制缺陷认定标准一经确定，必须在不同评价期间保持一致，不得随意变更。

4.4.3公司财务报告及非财务报告内部控制缺陷重要性评定标准见附录B（资料性附录）。

4.4.4公司对内部控制缺陷的认定应当以日常监督和专项监督为基础，由审计部编制内部控制缺陷认定汇总表，对内部控制缺陷及其影响程度进行综合分析和全面复核，提出认定意见，报请董事会审计委员会审核。

4.4.5重大缺陷的最终认定以及对相关部门的问责由董事会或其授权机构负责。

4.5内部控制缺陷的报告与整改

4.5.1内部控制缺陷报告应当采取书面形式，可以单独报告，也可以作为内部控制评价报告的一个重要组成部分。

4.5.2内部控制缺陷的报告途径有：

a）内部控制的一般缺陷、重要缺陷应定期（至少每年一次）报告，重大缺陷应立即报告；

b）对于重大缺陷和重要缺陷及整改方案，应向董事会审计委员会报告，并经其审定；

c）对于一般缺陷，提请公司经营管理层注意，并视情况考虑是否需要向董事会审计委员会报告。

4.5.3公司对于认定的内部控制缺陷，应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关机构或相关人员的责任。

4.5.4审计部应当就发现的内部控制缺陷提出整改建议，报董事会审计委员会审核批准。整改建议获批后，审计部应当发出“整改通知书”（见《内部审计实施管理办法》），相关责任部门应制定切实可行的整改方案，包括整改目标、内容、步骤、措施、方法和期限。整改期限超过一年的，整改目标应明确近期和远期目标以及相应的整改工作内容。

4.5.5存在整改事项的单位或业务流程部门，自接到整改通知书之日起15个工作日

内，应按照整改通知书要求，以书面形式将整改责任人、整改期限、整改措施、整改情况上报审计部。

4.6内部控制自我评价报告

4.6.1内部控制自我评价报告是内部控制评价的最终体现。审计部根据年度内部控制评价结果等资料，结合内部控制评价工作底稿和内部控制缺陷认定汇总表等资料，按照规定的程序和要求，及时编制内部控制自我评价报告。

4.6.2内部控制自我评价报告至少应当包括以下内容：

a）董事会对内部控制报告真实性的声明；b）内部控制评价工作的总体情况；c）内部控制评价的依据、范围、程序和方法；d）内部控制存在的缺陷及其认定情况（如适用）；e）对本年度内部控制缺陷拟采取的整改措施（如适用）；f）对上一年度内部控制缺陷的整改情况（如适用）；g）内部控制有效性的结论。

4.6.3审计部至少每年向董事会审计委员会提交一次内部控制自我评价报告。年度内部控制自我评价报告需报经董事会批准后对外披露。

4.6.4公司以

月

日作为年度内部控制自我评价报告的基准日。内部控制自我评价报告应于基准日后

个月内报出。审计部需关注自内部控制自我评价报告基准日至内部控制自我评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。

4.7

资料保管内部控制评价管理的有关文件资料、工作底稿和证明材料等保存时间不少于十年，年度内部控制自我评价报告应永久保存。内部控制评价资料于内部控制自我评价报告报出后次年第一季度移交档案管理部门保管。

5检查与考核参照《内部审计实施管理办法》相关规定执行。

附则

6.1除非有特别规定，本办法所称“不少于”含本数，“超过”不含本数。

6.2

本办法由公司董事会负责解释。

6.3本办法自公司董事会审议通过之日起生效，修改时亦同。

附录A（规范性附录）内部控制评价流程图

备注：重大缺陷由董事会或其授权机构最终认定。

附录B（资料性附录）财务报告和非财务报告内部控制缺陷重要性评定标准

财务报告内部控制缺陷重要性认定标准

1.1公司确定的财务报告内部控制缺陷评价的定量标准如下：

1.2公司确定的财务报告内部控制缺陷评价的定性标准如下：

a）财务报告内部控制重大缺陷包括：

1）控制环境无效，董事会审计委员会及内部审计部门对内控的监督无效；2）董事和高级管理人员舞弊，或员工存在串通舞弊的情形并给公司造成损失或不利影响；

3）公司更正已公布的财务报告，注册会计师发现当期财务报告存在重大错报而内控在运行过程中未能发现；

）沟通后的重大缺陷没有在合理的期限得到纠正。

b）财务报告内部控制重要缺陷包括：

1）未依照公认会计准则选择和应用会计政策；

）未建立反舞弊程序和控制措施；

3）期末财务报告流程的内控问题，对于期末财务报告过程的控制存在一项或多项缺陷且不能合理保证编制的财务报表达到真实、准确的目标；

4）对于非常规或特殊交易的账务处理没有建立相应的控制机制或没有实施相应的补偿性控制。

c）财务报告内部控制一般缺陷包括：

其他不属于重大缺陷、重要缺陷判断标准范畴的缺陷。

2非财务报告内部控制缺陷重要性评定标准

2.1公司确定的非财务报告内部控制缺陷评价的定量标准如下：

2.2

公司确定的非财务报告内部控制缺陷评价的定性标准如下：

a）非财务报告内部控制重大缺陷包括：

1）项目违规操作，出现重大质量事故，造成重大经济损失或由本公司承担主要直接责任的重大人员伤亡事故；

2）公司经营活动严重违反国家法律法规，并受到刑事处罚；

）重要业务缺乏制度、流程控制或系统失效，且缺乏有效的补偿性控制；

4）内部控制重大缺陷未得到整改；

）中高级管理人员和核心技术人员流失严重，对公司经营造成重大影响；

6）其他可能对公司产生重大负面影响的情形。

b）非财务报告内部控制重要缺陷包括：

1）项目违规操作，出现一般质量事故，造成较大经济损失或由本公司承担主要直接责任的人员伤亡事故；

2）公司经营活动违反国家法律法规，并受到监管部门的重大行政处罚；

3）重要业务的制度、流程控制或系统存在缺陷；

）内部控制重要缺陷未得到整改；

5）关键岗位业务人员流失严重，对公司经营造成重要影响；

6）其他可能对公司产生较大负面影响的情形。

c）非财务报告内部控制一般缺陷包括：

除上述重大缺陷、重要缺陷之外的其他控制缺陷。