西藏奇正藏药股份有限公司
内部控制鉴证报告
勤信鉴字【2014】第1021号
目 录
内 容 页次
内部控制鉴证报告 1-2
附件：
西藏奇正藏药股份有限公司董事会
3-11
中勤万信会计师事务所
地址：北京西直门外大街110号中糖大厦11层
电话：（86-10）68360123
传真：（86-10）68360123-3000
邮编：100044
内部控制鉴证报告
勤信鉴字【2014】第1021号西藏奇正藏药股份有限公司全体股东：
我们接受委托，审核了后附的西藏奇正藏药股份有限公司（以下简称“贵公司”）管理层按照财政部颁发的《企业内部控制基本规范》及相关具体规范对2013年12月31日与财务报表相关的内部控制有效性作出的认定。
一、内部控制的固有局限性
内部控制具有固有局限性，存在不能防止和发现错报的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制审计结果推测未来内部控制的有效性具有一定风险。
二、对报告使用者和使用目的的限定
本报告仅供贵公司为 2013年度报告披露之目的使用，不得用于任何其他目的。
三、管理层对内部控制的责任
贵公司管理层的责任是建立健全内部控制并保持其有效性，同时按照财政部颁布的《企业内部控制基本规范》及相关具体规范对 2013年 12月 31日与财务报表相关的内部控制有效性作出认定，并对上述认定负责。
四、注册会计师的责任
我们的责任是在实施鉴证工作的基础上对内部控制有效性发表鉴证意见。
五、工作概述
我们按照《中国注册会计师其他鉴证业务准则第 3101号——历史财务信息审计或审阅以外的鉴证业务》的规定执行了鉴证业务。上述准则要求我们遵守职业道德规范，计划和实施鉴证工作，以对鉴证对象信息是否不存在重大错报获取合理保证。在鉴证过程中，我们实施了包括了解、测试和评价内部控制系统设计的合理性和执行的有效性，以及我们认为必要的其他程序。
我们相信，我们的鉴证工作为发表意见提供了合理的基础。
六、鉴证结论
我们认为，贵公司管理层按照财政部颁发的《企业内部控制基本规范》及相关具体规范的控制标准于 2013年 12月 31日在所有重大方面保持了与财务报表相关的有效的内部控制。
本结论是在受到鉴证报告中指出的固有限制条件下形成的。
中勤万信会计师事务所（特殊普通合伙） 中国注册会计师：陈明生
二○一四年四月十五日 中国注册会计师:石朝欣
西藏奇正藏药股份有限公司
2013年度内部控制评价报告
西藏奇正藏药股份有限公司全体股东：
根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称企业内部控制规范体系），结合本公司（以下简称公司）内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2013年12月31日的内部控制有效性进行了评价。
一、重要声明
按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督；经理层负责组织领导企业内部控制的日常运行。公司董事会、监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带法律责任。
公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。
二、内部控制评价结论
根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。
根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。
自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。
三、内部控制评价工作情况
（一）内部控制评价范围
公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。内部控制的评价范围包括公司本部、药品事业部、药材事业部及纳入合并报表范围的子公司，覆盖公司经营管理的主要方面。纳入评价范围的资产总额占公司合并财务报表资产总额的89.84%，营业收入合计占公司合并财务报表营业收入总额的98.47%；纳入评价范围的主要业务和事项包括了内部环境、风险评估、控制活动、信息与沟通、内部监督五个方面，其中：内部环境包括：组织架构、发展战略、人力资源、公司文化、社会责任；
风险评估包括：目标设定、风险识别分析和风险应对。公司的风险评估工作涉及到各运营层面，自公司最高管理层、各业务单元负责人至各级员工均承担着相应的风险管理职责。
公司制定年度计划，批准重大项目，如重大投资、采购、新品开发项目或IT系统开发等，都进行分析风险、制定保障方案。日常业务流程操作，亦识别风险并加以控制；
控制活动主要包括：销售、采购、生产、存货、研发、财务、人力资源、合同、无形资产与固定资产、在建工程、投资、资金管理、信息披露、种植；
信息与沟通包括：内部信息、外部信息、信息系统；
内部监督包括：内部审计、内部监督。
重点关注的高风险领域主要包括：销售与收款、采购与付款、存货管理、财务报告、研发与开发、人力资源管理、信息系统管理等业务流程和事项。
上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，不存在重大遗漏。
（二）内部控制评价工作依据及内部控制缺陷认定标准
公司依据企业内部控制规范体系及公司内部控制相关制度组织开展内部控制评价工作。
公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于本公司的内部控制缺陷具体认定标准，并与以前年度保持一致。公司确定的内部控制缺陷认定标准如下：
1．财务报告内部控制缺陷认定标准
（1）公司确定的财务报告内部控制缺陷评价的定量标准如下：
重大缺陷是一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形，也被称之为实质性缺陷。该缺陷可能或已经导致公司的财务报告出现重大错报，考虑补偿性控制
措施和实际偏差率后，该缺陷总体影响水平高于重要性水平。
重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。该缺陷可能或已经导致公司的财务报告出现重要错报，考虑补偿性控制措施和实际偏差率后，该缺陷总体影响水平低于重要性水平，但高于一般性水平。
一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。该缺陷可能或已经导致公司的财务报告出现一般错报。考虑补偿性控制措施和实际偏差率后，该缺陷总体影响水平低于一般性水平。
公司资产总额或经营收入作为计算重要性水平和一般性水平的标准，采用两个指标中的较低者。
（2）公司确定的财务报告内部控制缺陷评价的定性标准如下：
重大缺陷：发现公司董事、监事和高级管理人员存在舞弊（无论舞弊是否重大）；控制环境无效；审计委员会和内部审计机构对内部控制的监督无效；公司更正已经公布的财务报告；在审计过程中，审计师发现当期财务报告存在重大错报，而公司的内部控制在运行过程中未能首先发现该错报；已经发现的由董事会认定并报告给管理层的重大内部控制缺陷在经过合理的时间后，并未加以改正。
重要缺陷：未按照公认会计准则选择和应用相应会计政策；财务报告存在重大错报、漏报；非常规或特殊交易账务处理未建立相应控制措施且没有相应的补偿性控制；未建立反舞弊程序和控制措施；年度财务报告流程的内部控制问题。
一般缺陷：除重大缺陷、重要缺陷之外的其他缺陷。
2．非财务报告内部控制缺陷认定标准
（1）公司确定的非财务报告内部控制缺陷评价的定量标准如下：
参照财务报告内部控制缺陷评价定量认定标准。
重大缺陷是一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标的情形，也被称之为实质性缺陷。考虑补偿性控制措施和实际偏差率后，该缺陷总体影响水平高于重要性水平。
重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。考虑补偿性控制措施和实际偏差率后，该缺陷总体影响水平低于重要性水平，但高于一般性水平。
一般缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。考虑补偿性控制措施和实际偏差率后，该缺陷总体影响水平低于一般性水平。
公司资产总额或经营收入作为计算重要性水平和一般性水平的标准，采用两个指标中的较低者。
（2）公司确定的非财务报告内部控制缺陷评价的定性标准如下：
重大缺陷：重大偏离计划和预算；对“三重一大”（重大问题决策、重要干部任免、重大项目投资决策、大额资金使用）缺乏科学规范决策程序；严重违反法律、法规；负面新闻在重要媒体频现。
重要缺陷：“三重一大”事项决策未执行规范审议程序；发生违反地方性法规、行政管理规定的事项。
一般缺陷：除重大缺陷、重要缺陷之外的其他缺陷。
（三）内部控制缺陷认定及整改情况
1.财务报告内部控制缺陷认定及整改情况
根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告内部控制重大缺陷、重要缺陷。
2.非财务报告内部控制缺陷认定及整改情况
根据上述非财务报告内部控制缺陷的认定标准，报告期内公司不存在非财务报告内部控制重大缺陷、重要缺陷。
3．一般缺陷及整改情况
在公司全员的共同努力下，公司内控整体运行顺畅。内控测试小组在检查过程中将发现的属于管理提升的一般缺陷形成缺陷报告，相关业务单元已提交整改计划并落实到负责岗
位、完成时限。公司存在一般控制缺陷的事项为：虽然公司已经建立了较为完善的内部控制体系，但存在部分管理制度内容不够细化，一些关键控制点涉及到的内控一般缺陷解决方案在制度中未完全体现，部分控制点未严格执行到位的情况。
针对以上内部控制存在的不足，公司管理层已采取了相应的改进措施：在规定的时间内，各有关单位已完成对相关文件的整理、完善，制度的修订细化，并加大内控的执行力度，基本完成各项整改要求。此外，公司将持续加强对内部控制执行的日常监督和专项检查，进一步加强员工风险防范意识的宣传、推广，以控制和防范内部控制风险为导向，真正发挥内部控制功效。董事会审计委员会已将该项工作作为2014年的工作重点，具体由公司审计监察部
承接。
四、公司重点内部控制运行情况
2013年公司建立了较为完善的内控管理体系，已制订了科学合理且符合公司业务特征的内部控制制度，发布了公司2013年版《内部控制手册》，覆盖了公司主要业务、流程和关键风险管理环节。
1．内控环境
发展战略：公司在董事会下设立了战略投资委员会、审计委员会、提名与薪酬考核委员会。公司制定了董事会战略投资委员会议事规程，战略投资委员会负责对公司长期发展战略规划的研究并提出具有参考价值的意见和建议。公司着力培育药品、药材、保健养生等三大相关产业板块，逐步向相关多元业务和藏药主业务协同发展的大藏药、大健康业务结构过渡。
公司立志成为具有持续自主技术创新能力和市场拓展能力的涵盖种植、研发、生产及营销一体化的现代藏药全产业链领导品牌企业。公司主营业务稳健、可持续地发展，整体业务结构战略性调整取得实质性进展。公司根据发展战略，设定了相关的经营目标，并辅以具体策略和业务流程层面的计划将公司发展战略和经营目标明确地传达到每一位员工。
组织架构：2013年公司设计了战略引领、价值驱动、客户导向的组织体系。按照“集权有道、分权有序、授权有章、用权有度”的原则进行权责匹配，将关键权力集中在总部和关键领导人手中，以加强战略规划实施的推动力量、对公司经营活动进行总体控制和统筹安排公司的核心资源。在集中关键权力的同时，有程序、有步骤地考虑放权。
人力资源：本公司严格按照《劳动法》和《劳动合同法》已建立和实施了员工招聘、转正、定薪、定级、业绩考核、培训、奖励及淘汰等人事机制，企业凝聚力强，员工队伍比较稳定。公司每年制定培训计划及预算，为业务层面、管理层面提供与其工作相关的专业培训，促使员工们胜任目前所处的工作岗位。公司制订了绩效考核制度，每季度各个部门的员工与其领导设定当期的绩效指标，绩效考核指标从高级管理层逐层落实到部门领导、各岗位员工。
在员工信念培养上建立了一套较为完善的机制，通过雇佣、定位、培训、评价、咨询、晋升、奖励、处罚等方式向员工宣导“向善利他、正道正业”的企业文化理念，借此形成公司良好的内部控制环境内控环境。
社会责任：公司在经营发展过程中十分注重履行社会责任和义务，在安全生产、产品质量、环境保护、资源节约、促进就业、员工权益保护、员工健康监护等方面积极投入。公司倡导绿色生产，重视资源节约与综合利用，建立节能型企业。公司建立了《安全生产管理制
度》、《消防安全管理制度》，对全员定期不定期地进行安全生产培训、消防安全培训、安全标准操作法培训演练，安全生产应急预案演练。2013年公司药品、药材达到国家抽查合格率和送检合格率达到100%。同时，公司积极参与社会公益活动，通过西藏文化保护与传承专项基金的实施，履行企业社会责任，切实做到经济效益与社会效益、短期利益与长远利益、自身发展与社会发展相互协调，实现企业与员工、企业与社会、企业与环境的健康和谐发展。
企业文化：公司秉承“向善利他，正道正业”的核心价值理念，形成了规范、稳健、诚实守信的经营风格。在20多年的经营实践中形成了独具特色的企业文化，培育了积极向上的企业价值观和社会责任感，形成了《奇正企业文化纲要》，明确企业管理基调，关注员工道德行为的培养。报告年度内，公司主要通过如下方式向员工推行企业文化及道德准则。新员工入职时，人力资源部组织员工学习《文化纲要》，对新员工进行企业文化、规章制度、职业道德规范等内容的入职培训；通过公司内部期刊《一叶鸣》宣贯；办公场所空间展示；定期举行文化座谈会；帮助家庭困难的职工等形式。日常运营关注高级管理人员对企业文化建设的履行情况，关注全体员工对企业核心价值观的认同感。
2．风险评估
公司致力于建立风险评估、风险应对、风险监控预警、内控检查评价与改进为一体的内控与风险管理运行机制。根据内部控制基本规范和相关配套指引，结合生产经营状况，对公司业务流程中可能存在的风险进行梳理，通过访谈等形式收集，全面分析和评估生产经营中可能遇到的风险，对风险成因进行分析研讨，形成风险清单，并制定可行的控制策略。
3．控制活动
（1）销售管理
通过建立公司销售计划及政策的制定、销售订单及合同签署及归档、价格体系的审批和维护、质量管理、应收账款管理等业务领域的内部控制，保证销售交易的真实、有效、完整，并有助于加强销售交易的操作规范。
（2）采购管理
通过建立公司采购预算及计划的制定、供应商管理、合同签订、订单管理、应付账款管理等业务领域的内部控制，保证采购交易的真实、有效、完整，并有助于加强采购交易的操作规范。
（3）生产管理
以生产计划为起点，至生产成本核算为终点，总体控制目标为确保生产进度、工序及质量满足生产需要，生产成本核算的准确、真实和完整。
（4）存货管理
以存货入库为起点，至存货出库为终点，总体控制目标为确保物料接收、过程管理、质量检验、库存管理及产品出库等业务的准确、真实和完整，保证货物运输的准确性、真实性和完整性。
（5）固定资产及无形资产管理
从固定资产及无形资产的增加为起点，至转移、处置为终点，总体控制目标为保证固定资产及无形资产的变动得到适当的审核和授权，确保资产的安全性和完整性。
（6）在建工程
建立公司在建工程项目自开发立项至付款阶段的内部控制，保证在建工程项目建设管控的有效运行，保证公司的投资决策的达成，投资收益的回报得到有效的保障。
（7）研究与开发
建立公司在自研发预算制定至研发档案管理的内部控制，保证研究开发项目的合理开
展，保证公司研发投资收益的回报得到有效的保障。
（8）投资与并购
建立公司投资及并购管理的内部控制，保证企业投资符合总体投资战略，并进行合理的需求定位及充分的可行性分析，投资项目的状态被有效的监督及报告。
（9）资金管理
建立公司资金管理的内部控制，保证企业对银行账户、网银权限、票据、电汇、现金的管理安全规范，防止管理漏洞，避免资金损失。
（10）财务报告
从会计政策制定至财务报告编制的内部控制，保证股份公司财务管理活动各环节的有效运行，保证公司财务管理活动对业务运转的有利支持。
（11）合同管理
建立公司从制式合同模板编制至合同签订及保管的内部控制，保证合同生成各环节的有效运行，避免公司的法律权利和经济利益受到损害。
（12）人力资源
通过建立公司人力资源管理部门从人力规划至工资计算发放的内部控制，保证人力资源
相关的管控有效运行。
（13）信息披露
建立公司信息披露的内部控制，以确保对外信息披露的准确性、真实性及完整性。
4．信息沟通
公司通过财务会计资料、经营管理资料、调研报告、专项信息、内部刊物、办公网络等渠道，获取内部信息；通过行业协会组织、社会中介机构、业务往来单位、市场调查、来信来访、网络媒体以及有关监管部门等渠道，获取外部信息。
公司建立了明确的信息沟通机制，确保内部控制相关信息在企业内部各管理级次、责任中心、业务环节之间，以及企业与外部投资者、债权人、客户、供应商、中介机构和监管部门等有关方面之间进行沟通和反馈，促进内部控制有效运行；同时重要信息应当及时传递给董事会、监事会和经理层。
公司利用信息技术促进信息的集成与共享，加强对信息系统开发与维护、访问与变更、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行，为信息的沟通提供更为安全便捷的途径。
5．内部监督
审计部在审计委员会的领导下开展工作，接受审计委员会的指导和监督，定期向审计委员会汇报工作；审计部采用日常监督与专项监督相结合的方法，根据风险等级和日常监督的主要问题领域进行独立检查，采用抽样审核的内部控制测试方法验证流程控制的有效性。
在内部控制监督检查中，审计部及时就发现的内部控制重大缺陷向董事会、高级管理层报告（如有）。对检查过程中发现的属管理提升方面的一般缺陷督促相关部门分析成因、制定整改计划、督促整改、实施审计后续跟进，检查整改效果，使公司内部控制得以持续改进和完善。
五、其他内部控制相关重大事项说明
报告期间公司无其他需要说明的与内部控制相关的重大事项。
内部控制是一个动态运行且不断完善的过程。内控的建设与健全应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。2014年，公司将继续按照董事会的部署，落实内部控制发展规划，健全内部控制长效机制，建立健全关键内部控制制度，促进公司健康、持续发展。
(此页无正文）
董事长：雷菊芳
西藏奇正藏药股份有限公司
二○一四年四月十五日