国海证券股份有限公司内部控制评价办法
（经 2017年 10月 25日第七届董事会第三十六次会议审议通过）
目 录
第一章 总则
第一条 为了规范公司内部控制评价工作，提高内部控制评价质量和效率，建立健全公司内部控制体系，推动公司稳健经营和持续健康发展，根据《企业内部控制基本规范》及其应用指引、《企业内部控制评价指引》、《证券公司内部控制指引》等法规,结合公司实际，制定本办法。
第二条 本办法所称内部控制评价，是指公司董事会对内部控制的有效性进行全面评价、形成评价结论、出具评价报告的过程。
第三条 公司实施内部控制评价应当遵循下列原则：
（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖公司及所属机构的各种业务和事项。
（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域。
（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
第四条 公司认为必要时可以委托中介机构实施内部控制评价。为公司提供内部控制审计服务的会计师事务所，不得同时为公司提供内部控制评价服务。
第五条 本办法适用于全公司范围，包括总部各部门、分支机构、全资及控股子公司（以下简称“各部门及所属单位”）。
第二章 组织架构及职责
第六条 公司内部控制评价工作的组织体系包括董事会、监
事会、经营管理层、各部门及所属单位。
第七条 董事会负责内部控制的建立健全和有效实施，对内部控制评价承担最终责任,对内部控制评价报告的真实性、准确性、完整性负责。
董事会主要职责为：
（一）授权公司经营管理层组织实施内部控制评价工作；
（二）负责审定内部控制评价报告；
（三）负责督促经营管理层整改内部控制存在的缺陷；
（四）审定其他法律法规、公司章程规定或监管部门要求需提交董事会审议的事项。
董事会审计委员会负责审议内部控制评价报告，对内部控制评价工作进行指导和监督。
第八条 监事会负责对董事会建立与实施内部控制评价进行监督，督促董事会、经营管理层及时纠正内部控制缺陷，并对督促检查不力等情况承担相应责任。
第九条 经营管理层在董事会授权下，负责组织实施内部控制评价工作，负责建立健全有效的内部控制机制，及时纠正内部控制存在的缺陷和问题，并对内部控制不力及不及时纠正内部控制缺陷等承担相应责任。
第十条 公司成立由总裁任组长，合规总监和首席风险官任副组长，稽核审计部门、董事会办公室、总裁办公室、风险管理部门、法律合规部门和财务管理部门负责人为成员的内部控制评价领导小组，负责具体实施公司内部控制评价工作。内部控制评价领导小组下设办公室，办公室设在稽核审计部门。
内部控制评价领导小组主要职责为：
（一）审定公司内部控制评价方案；
（二）对各部门及所属单位自评工作底稿进行审核，并对内部控制制度设计及运行情况抽查测评；
（三）初步认定内部控制缺陷，并对内部控制评价报告进行审核；
（四）下达内部控制缺陷整改要求。
第十一条 稽核审计部门主要职责为：
（一）根据外部监管及公司风险管理要求，编制内部控制评价工作方案；
（二）组织各部门及所属单位开展内部控制自评工作，牵头实施内部控制制度设计及运行情况抽查测评；
（三）对于评价过程中发现的重大、重要缺陷，及时向内部控制评价领导小组汇报；
（四）编制内部控制评价报告；
（五）督促各部门及所属单位对内部控制缺陷进行整改；
（六）负责联系聘请会计师事务所，沟通协调内部控制审计相关事宜；
（七）其他内部控制评价领导小组交办的事项。
第十二条 公司各部门及所属单位为内部控制评价工作的自评部门，自评部门负责人为本部门内部控制评价工作的第一责任人，应当指定人员负责本部门自评工作。
自评部门的主要职责为：
（一）按要求积极配合开展内部控制自评工作，如实填写评
估底稿、提供自评证据材料；
（二）就自评发现的内部控制缺陷报分管领导确认或单位负责人确认；
（三）针对内部控制缺陷制定整改方案、落实整改、及时报送整改情况；
（四）配合会计师事务所做好内部控制审计工作。
第十三条 董事会办公室除履行第十二条规定的职责外，还负责内部控制评价相关的董事会会议的组织安排及协调，以及内部控制评价报告等信息披露工作。
第三章 评价内容
第十四条 公司根据《企业内部控制基本规范》及其应用指引、《证券公司内部控制指引》以及公司的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。
内部控制评价应重点关注外部监管重点、创新业务、跨部门合作业务、其他高风险业务和事项，以及资产、收入对公司有重大影响的业务。
第十五条 公司组织开展内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合公司的内部控制制度，对公司治理结构、机构设置及权责分配、内部审计、人力资源政策、合规风控文化等内部环境的设计及实际运行情况进行认定和评价。
第十六条 公司组织开展风险评估机制评价，应当以《企业
内部控制基本规范》和《全面风险管理规范》等有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合公司的内部控制制度，对公司日常经营管理中的风险识别、风险监测、风险分析、应对策略等进行认定和评价。
第十七条 公司组织开展控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合《证券公司内部控制指引》以及公司的内部控制制度，对公司各项业务及管理活动中相关控制措施的设计和运行情况进行认定和评价。
第十八条 公司组织开展信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合公司的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。
第十九条 公司组织开展内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合公司的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、董事会审计委员会、稽核审计部门等是否在内部控制设计和运行中有效发挥监督作用。
第四章 评价程序
第二十条 公司内部控制评价每年开展一次。
第二十一条 内部控制评价程序一般包括：制定评价工作方案、编制工作底稿、组织自评、实施抽查测评、汇总评价结果、认定控制缺陷、编制评价报告等环节。
第二十二条 稽核审计部门以风险为导向，根据风险发生的可能性和对公司实现内部控制目标影响的程度，拟订内部控制评价工作方案，明确评价范围、评价内容、评价方法、人员组成和进度安排等内容，报分管领导和内部控制领导小组副组长、组长批准后实施。
第二十三条 公司各部门及所属单位应按照内部控制评价工作方案要求，指定专人对本部门或单位的内部控制活动进行自评，填写自评工作底稿。总部部门、分支机构的自评工作底稿经分管领导确认后，以 OA流程形式报内部控制领导小组审核。全资子公司和控股子公司的自评工作底稿和书面报告经单位负责人签字和盖章后，报内部控制领导小组审核。
第二十四条 内部控制领导小组在各部门及所属单位内部控制自评的基础上，对自评结果进行汇总整理，并对关键的、高风险的内部控制活动进行抽查测评。
第二十五条 内部控制领导小组在对自评结果进行抽查测评时，被抽查部门或单位应指定专人协助和配合工作，确保内部控制领导小组获取充分的审计证据。
第二十六条 内部控制领导小组在开展抽查测评工作时，应综合运用访谈、穿行测试、实地查验、抽样和比较分析等方法，充分收集内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷，形成评
价结论。
第二十七条 稽核审计部门根据自评结果和抽查测评结果，形成公司内部控制评价报告。
第二十八条 内部控制评价工作应当形成工作底稿，详细记录执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。
评价工作底稿应当设计合理、证据充分、简便易行、便于操作。
第二十九条 内部控制评价过程中形成的有关文件、工作底稿、证明材料、评价报告等资料由稽核审计部门按照稽核审计工作办法的相关规定进行归档保管。
自评底稿及相关资料由自评部门按照公司档案管理办法自行保管。
第五章 缺陷的认定和整改
第三十条 公司分别从定性标准和定量标准对内部控制缺陷进行认定。定量标准根据造成直接损失绝对金额确定，或根据直接损失占本公司资产总额、销售收入及利润等的比率确定；定性标准根据其直接或潜在负面影响的性质、影响的范围、影响的程度等因素确定。
第三十一条 内部控制缺陷按缺陷成因或来源可分为设计缺陷和运行缺陷两类。
设计缺陷是指公司缺少为实现控制目标所必需的控制，或现存控制设计不适当，即使正常运行也难以实现控制目标。
运行缺陷是指设计有效（合理且适当）的内部控制由于运行
不当（包括由不恰当的人执行、未按设计的方式运行、运行的时间或频率不当、没有得到一贯有效运行等）而形成的内部控制缺陷。
第三十二条 内部控制缺陷按影响公司内部控制目标实现的影响程度分为重大缺陷、重要缺陷和一般缺陷。
重大缺陷，是指一个或多个控制缺陷的组合，可能导致公司严重偏离控制目标。
重要缺陷，是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致公司偏离控制目标。
一般缺陷，是指除重大缺陷，重要缺陷之外的其他缺陷。
重大缺陷和重要缺陷的具体认定标准，由公司董事会审定，并结合公司规模、行业特征、风险偏好和风险承受度等因素进行调整。
第三十三条 内部控制缺陷按照具体影响内部控制目标的具体表现形式可分为财务报告内部控制缺陷和非财务报告内部控制缺陷。
财务报告内部控制缺陷主要是指不能合理保证财务报告可靠性的内部控制设计和运行缺陷。
非财务报告内部控制缺陷是指不能合理保证公司非财务报告目标（战略目标、资产安全、经营目标、合规目标）实现的内部控制设计和运行缺陷。
第三十四条 内部控制领导小组根据抽查测评获取的证据，汇总内部控制缺陷，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影
响程度进行综合分析和全面复核，对内部控制缺陷进行初步认定，向经营管理层、董事会、监事会报告。
第三十五条 对于认定的重大缺陷，公司应当及时采取整改措施，切实将风险控制在可承受度之内，并追究有关部门或相关人员的责任。
第三十六条 内部控制领导小组就认定的内部控制缺陷提出整改要求，报公司批准后下发相应的责任部门或单位。重大缺陷整改报董事会予以最终认定。
第三十七条 内部控制缺陷责任部门或单位制定具体整改方案，积极落实整改。整改方案应当明确整改措施、责任人、计划完成时间等。在整改完成后，相关责任部门或单位将整改完成情况报备稽核审计部门。
第三十八条 稽核审计部门督促相关责任部门或单位实施内部控制缺陷整改，对整改情况进行跟踪检查，评价整改效果，并将整改落实情况向公司经营管理层报告，如涉及重大缺陷整改的，需向董事会报告。
第六章 评价报告
第三十九条 稽核审计部门根据年度内部控制评价结果、内部控制缺陷认定结果、各责任单位编制的内部控制缺陷整改方案及整改落实情况等相关资料，按照监管机构规定的格式和要求，编制公司内部控制评价报告，经分管领导和内部控制评价领导小组副组长、组长核准后，逐级报公司办公会、董事会审计委员会、董事会批准。
第四十条 公司内部控制评价报告内容主要包括：
（一）标题；
（二）收件人；
（三）引言段；
（四）重要声明；
（五）内部控制评价结论；
（六）内部控制评价工作情况；
（七）其他内部控制相关重大事项说明（如适用）。
第四十一条 若会计师事务所对公司出具了非标准内部控制审计报告或者指出公司非财务报告内部控制存在重大缺陷的，或者出具的内部控制审计报告与公司自我评价报告意见不一致的，稽核审计部门应当与会计师事务所沟通，了解原因，拟订相关书面专项说明，报董事会、监事会批准后予以披露。
第四十二条 内部控制评价报告经董事会批准后，由董事会办公室及时进行信息披露。
第四十三条 公司以12月31日作为年度内部控制评价报告
的基准日，内部控制评价报告应于基准日后 4个月内报出。
第四十四条 公司需关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。
第七章 罚则
第四十五条 违反本制度的行为包括但不限于：
（一）刻意隐瞒内部控制缺陷的；
（二）不配合自评工作，影响内部控制评价进度的；
（三）工作不认真、敷衍塞责，影响内部控制评价工作质
量的；
（四）虚假填写自评底稿的；
（五）未按时出具内部控制评价报告的；
（六）对档案保管不力造成档案丢失的；
（七）对认定的内部控制缺陷拒不整改，或不按照整改要求履行整改的；
（八）违反本办法的其他情形。
第四十六条 对第四十五条的违规行为，视情节轻重，公司扣减相关责任人员的年度考核分值，具体按照公司考核管理办法执行。
第四十七条 因违反本制度规定需问责处理的，具体按照《公司员工违规失职问责处理办法》执行。
第八章 附则
第四十八条本制度依据的相关法律法规及规范性文件发生调整变化的，从其规定。
第四十九条本制度由董事会负责制定和修订。对本办法实施过程中的具体事项，由公司稽核审计部门负责解释。
第五十条 本制度自董事会批准之日起执行。