中信建投证券股份有限公司关于山西证券股份有限公司
《2016年度内部控制自我评价报告》的核查意见
中信建投证券股份有限公司（以下简称“中信建投证券”）作为山西证券股份有限公司（以下简称“山西证券”或“公司”）非公开发行股票并上市的保荐机构，根据《证券发行上市保荐业务管理办法》、《深圳证券交易所中小企业板上市公司规范运作指引》等有关法律法规的要求，履行对山西证券的持续督导职责，对山西证券《2016年度内部控制自我评价报告》进行了核查，并出具本核查意见（以下简称“本意见”或“本核查意见”）。
一、公司内部控制的基本情况
（一）内部控制评价范围
公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。内部控制评价的范围贯彻全面性和重要性原则，包括内部控制的设计和运行，围绕内部控制环境、风险评估、控制活动、信息与沟通、内部监督对内部控制进行全面评价。
1、纳入评价范围的主要单位包括：母公司及3家控股或全资子公司----中德证券有限责任公司、龙华启富投资有限责任公司、格林大华期货有限公司，纳入评价范围的单位资产总额占公司合并报表资产总额的99%，营业收入合计占公司合并财务报表总额的99%。上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，不存在重大遗漏。
2、纳入评价范围的主要业务和事项包括:母公司包括组织架构、战略及经营管理、人力资源、财务管理、法律合规管理、风险管理、稽核审计、行政管理、柜台交易、经纪业务、资产管理、自营业务、信用交易、场外业务、财务顾问、投资咨询、信息系统管理、投行业务、公募基金业务、机构业务、衍生品经纪业务；子公司包括投资银行、直投业务、期货业务。
(1)组织架构
公司根据《公司法》、《证券法》、《证券公司治理准则（试行）》、《上
市公司治理准则》、《证券公司监督管理条例》等法律法规的规定，建立了由股东大会、董事会、监事会和经营管理层组成的公司治理结构，形成了权力机构、决策机构、监督机构和管理层之间权责明确、运作规范的相互协调和相互制衡的治理机制。股东大会是公司的最高权力机构；董事会是公司的常设决策机构，对股东大会负责；监事会是公司的内部监督机构，对公司财务以及公司董事、高级管理人员履行职责的合法合规性进行监督，对股东大会负责；经理层由董事会聘任，组织公司的日常经营管理工作。
公司董事会下设战略发展委员会、风险管理委员会、审计委员会及薪酬、考核与提名委员会等四个专门委员会，负责各自职责范围内的重大决策。战略发展委员会主要负责对公司中长期发展规划、发展战略、重大投资融资方案进行审查并提出建议等；风险管理委员会负责对公司的总体风险管理进行监督，并将风险控制在合理范围内，组织评估公司新产品、新业务中所包含的市场风险，审核相应的风险管理程序等，以确保公司能够对与公司经营活动相关联的各种风险实施有效管理；审计委员会主要负责提议聘请或更换外部审计机构、监督公司的内部审计制度及其实施、审查公司的内控制度等；薪酬、考核与提名委员会主要负责制定适合市场环境变化的绩效评价体系、具备竞争优势的薪酬方案以及与经营业绩相关联的奖惩激励措施，制定、研究公司董事及高级管理人员的选择标准和程序，对公司董事候选人及高级管理人员人选进行审查等。各专门委员会对董事会负责，向董事会报告工作。其中，审计委员会及薪酬、考核与提名委员会组成中，独立董事均占2/3，由独立董事担任主任委员，且审计委员会主任委员由会计专业的独立董事担任。
(2)战略及经营管理
公司根据《公司法》、《证券法》等相关法律法规、规范性文件和《山西证券股份有限公司章程》的规定，在董事会下设战略发展委员会，并制定《山西证券有限公司董事会战略发展委员会实施细则》；该细则明确了人员组成、职责权限、决策程序以及议事规则等事项。
战略发展委员会下设专门工作机构。专门工作机构与公司研究机构合署办公。
负责做好委员会决策的前期准备和服务工作，包括收集提供相关资料、制作相关
议题的研究报告、初审相关议题和起草委员会议案等。
(3)人力资源政策
公司建立了较为完善的人力资源管理制度，包括聘用、培训、考核、晋升、薪酬等，为公司人力资源管理和各项业务的正常开展提供了制度保障。
2016年公司在中层干部及管理岗位人选的选拔上，首次采用了线上测评、组织团队、专家访谈相结合的方式对竞聘者综合考评。
2016年更新完善了《山西证券薪酬管理实施细则》，进一步优化薪改一年后调级调档工作，匹配分支机构规模与岗位薪酬水平。
公司根据经批准的招聘计划，按照人事制度相关规定安排招聘流程。拟录用人员通过相关审批流程后办理录用手续，人力资源部门组织签订劳动合同。为持续提升公司盈利能力和可持续发展能力，组织完成总部、省内分支机构的校园、社会招聘。通过猎头公司为公司机构业务部、北京分公司推荐引进优秀人才。
公司重视员工持续教育工作，人力资源部采用现场、网络、视频等多种形式对员工进行不同层级、不同内容的业务培训。
公司重视对董事、监事和高级管理人员的任职资格管理和员工的执业资格管理，注重培养员工树立合法合规经营理念和风险控制优先意识，通过加强员工的职业道德教育和开展合规培训，防范员工道德风险和违规执业风险。
为适应公司各项创新业务的需要，实现对人力资源管理的规范化、流程化、信息化、高效化，2016年公司启动 HR系统建设，已完成相关模块的开发，目前处于试运行阶段。
(4)财务管理
①资金管理
公司对客户资金和自有资金管理实施了严格分离，通过计划财务部不同岗位的人员独立管理、独立核算，进行规范的证券交易结算资金管理，有效地保护了投资者资金安全。
②职责分离
公司及其合并子公司根据不同业务流程及财务管理的要求，分别设置相关的会计核算岗位明确职责权限，确保不存在职责冲突的情况。
③会计核算
公司建立了统一的会计核算和财务管理体系，严格控制财务风险。公司实现了财务集中化管理，加强了全公司财务管理与监控，建立了科学合理的财务核算流程，完善了公司财务管理及会计系统内部控制制度，能够在公司本部实现所有会计核算主体账务的查询、统计工作。
④财务报告
公司及其合并子公司严格遵循法律法规和监管机构关于财务报告编制、会计政策和会计估计变更、披露政策及报告报送时间等方面的规定和要求，由计划财务部负责年度财务报告的编制。年度财务报告履行必要的复核和审批程序后，报送公司董事会审核。经董事会决议书面批准后，年度财务报告方可对外报送。
(5)法律合规管理
公司设立了合规总监和合规部门，对公司及员工的经营管理和执业行为的合规性进行审查、监督和检查，履行合规监督检查、审查、咨询、教育培训等合规支持和合规控制职能。通过合规管理信息系统的使用，实现了对主要合规信息的归集、分析，同时采用内网与外网隔离手段来确保合规管理信息的安全。合规部门按照《证券公司合规管理试行规定》的相关要求，将履行咨询审查、监督检查、合规文化建设、反洗钱、信息隔离、处理投诉举报、法律事务等职责情况向监管局提交公司中期合规报告和年度合规报告。
2016年依据监管规定，结合公司业务发展，修订了《合规手册》，规定了合规管理的组织体系、部门职能、运行机制、员工职业行为、主要业务操作规范及风险点等内容。
（6）风险管理
根据《证券法》、《证券公司监督管理条例》、《证券公司内部控制指引》、
《证券公司全面风险管理规范》的要求，公司建立健全了与公司自身发展战略相适应的全面风险管理体系：包括可操作的管理制度、健全的组织架构、可靠的信息技术系统、量化的风险指标体系、专业的人才队伍、有效的风险应对机制以及良好的风险管理文化。
董事会是公司风险管理的最高决策机构，董事会下设的风险管理委员会负责设计公司的风险管理体系；经理层在董事会授权范围内负责公司经营层面的全面风险管理，执行董事会制定的风险战略，组织落实风险政策，对全面风险管理架构的建立及有效实施负责；公司设立首席风险官，负责组织、协调、落实全面风险管理工作。
公司风险管理部门各司其职：
风险管理部在首席风险官的领导下推动公司全面风险管理工作，监测、评估、报告公司整体风险水平，并为公司业务决策提供风险管理建议，协助、指导和检查各业务部门的全面风险管理工作。
计划财务部负责建立、健全公司流动性风险管理体系及制度，对流动性风险实施有效识别、计量、评估、监测和报告,确保公司的流动性需求能够及时以合理成本得到满足。
董事会办公室负责建立和制定公司声誉风险管理体系及制度,负责对声誉风险进行识别、评估、监控和报告,协调公司相关部门应对声誉风险事件,最大程度地减少对公司声誉造成的负面影响。
合规管理部负责公司法律与合规风险的相关事项；负责风险管理相关的合规咨询与合规问责；协同各部处理公司因各类风险引发的法律事项。
稽核审计部门负责完成对各部门与风险管理效果挂钩的绩效考核，定期对各部门贯彻公司风险政策、落实全面风险管理工作的情况进行稽核、检查，具体负责对公司全面风险管理的有效性进行评估。
公司在各部门设置监理或风控联络人，监理或风控联络人依据公司制度开展风险管理工作，对部门业务履行一线的监督、控制工作，并定期向风险管理部报送风险管理工作报告。公司的全面风险管理覆盖了公司的各项业务、各个部门和
各级员工，并渗透到决策、执行、监督、反馈各个经营环节，贯穿于各项业务过程和各个操作环节。
（7）稽核审计
2016年公司稽核考核部根据《2016年度内部审计工作计划》开展审计工作。
审计范围覆盖了经纪业务、资产管理业务、投资管理业务、新三板业务等多条业务线及总部职能部门。按时向公司管理层和董事会审计委员会提交公司内部审计报告及审计工作计划，定期报告工作进度、工作质量及发现的重要问题（如经纪业务审计存在基础管理和执业资格管理的问题，总部职能部门和业务部门审计存在授权管理、合同管理、档案管理及风险管理等方面的问题），稽核考核部对发现的问题及时跟进整改情况；配合公司信息披露工作，完成季度及年度募集资金使用情况的核查及公司拟披露业绩快报的内部审计工作等。
（8）行政管理
公司在行政管理流程中分别对消防、安全保卫、固定资产管理、项目管理、印章管理、档案管理等内容进行了管理，建有《消防及安全保卫制度》、《实物资产管理办法》、《项目开发管理办法》、《山西证券股份有限公司档案管理办法》等制度。公司按制度履行对公司及分支机构的印章、档案的管理，通过定期盘点实物资产确保账实相符及公司资产的安全，通过招标形式完成大宗设备的采购管理等。
（9）战略及经营管理
公司从对股东、客户、员工、环境和社会公益四个方面履行其社会责任：
①股东：公司重视利润分配，立足公司长远、可持续发展，兼顾对股东的合理价值回报，并严格履行决策程序，有效保障广大投资者合法权益。
②员工：公司注重对员工利益的保障。公司与员工签订的《劳动合同》切实保障员工利益。公司建立了与核心价值观、战略目标、企业文化相匹配的薪酬体系。公司持续完善考核激励机制、人才选聘机制，不断提升考核工作的全面性、透明度，为公司人才的有效配置提供保障，增强公司对优秀人才的吸引力；并关注员工的健康与安全，提供良好的学习环境和工作氛围。
③客户：提升客户服务效率和客户服务品质，关注投资者教育；加强营业网点及业务资格建设，提升客户服务能力；公司各项业务协同发展，为企业客户提供综合金融服务。
④环境与社会公益活动：2016年六一节公司开展了“手拉手、献爱心”活动，号召全体员工及客户为僧念小学的孩子们捐赠了300余册图书。9月公司面向全体员工开展“爱心圆梦”公益活动，倡议员工为贫困山区孩子满足一个愿望。
该活动得到广大员工的积极响应，共收到664件孩子们需要的文具、工具书以及书包、实验器材、运动衣等物品。公司又出资为 330名孩子定制了价值 12210元的爱心保温杯、点亮希望手电筒。同时公司捐资 35万余元为隰县第一小学建设数字化图书馆项目，捐资 10300元用于隰县残疾学校改善教学环境及添置生活用品。
公司充分发挥中介平台优势，引导客户参与扶贫。2016年 6月，组织了中小企业创投基金、旅游、农业、电商、中介公司等 40多位投资人，赴汾西县进行创业扶贫活动，引导投资者与当地政府对接。2016年 9月与中国扶贫基金会正式签订认捐书，开始投入建设汾西县太阳山村光伏发电扶贫项目。12月 9日公司确定结对帮扶对象成为协会“一司一县”第一批公布帮扶单位，并于在临汾市统一部署下完成签约。2016年12月公司与人保汾西支公司签订了《帮扶服务协议书》，共同为汾西县建档立卡的 9625户贫困户提供的房屋保险产品，公司出资共计192500元购买了住房保险产品。
公司以此为契机，确立了助力汾西县打赢扶贫攻坚战提供服务和支持的工作目标。
公司形成了“诚信、稳健、规范、创新、高效”的经营宗旨，营造和谐宽松、风清气正的公司氛围，打造公司与客户共同发展的平台，并通过员工入职培训、后续合规培训以及员工手册对员工进行企业文化的传播。
（10）经纪业务
为建立和健全证券经纪业务内部控制，防范营运风险，保障证券经纪业务体系安全稳健运行，公司制定了与证券经纪业务流程相关的规章制度，规范业务流程，其中对相关部门职能和岗位职责、证券营业部整体管理、业务流程及操作规
范、权限管理、限制性业务管理、差错处理办法、重大或突发事件预防和处理、客户投诉处理、投资者教育、客户分类及适当性管理、客户回访、交易安全管理、佣金管理等证券经纪业务各项流程的具体内容进行了明确规定。
公司对营业部的交易、清算和财务实行集中管理，营业部实行前后台分离的控制机制，设有合规联络人，对营业部进行合规管理，由公司合规管理部负责考核。公司合规管理部、风险管理部对制度和业务流程进行事前事中的监督，稽核考核部通过对营业部负责人的强制离岗及离任审计提出整改意见及管理建议，督促被稽核单位进行整改。
（11）信用交易
公司设立信用交易管理部负责融资融券业务、约定购回式证券交易业务、股票质押式回购交易业务和转融通业务，建立了独立的融资融券业务管理系统，与自营业务、资产管理等业务相对分离、独立决策、独立运作。
公司根据信用交易业务的监管政策及公司的业务开展，适时制定了《山西证券转融通业务试点实施方案》、《股票质押式回购交易登记结算业务实施细则》、《股票质押式回购交易操作指引》、《股票质押式回购交易管理办法》、《约定购回式证券交易操作指引》、《融资融券业务操作指引》、《融资融券业务系统操作规程》等制度，确保了信用交易业务的顺利开展。
在风险管理方面，信用风险控制主要通过对客户征信和信用额度审批、以及逐日盯市和及时平仓等实现；流动性风险控制通过融资融券业务规模限制、担保物的选择、持股集中度监控等加以控制；操作风险通过各项制度与流程的建立与规范、人员的培训等进行控制。公司在信用交易业务开展过程中，按照外部监管规定和公司制度，在风险管理、制度流程的执行情况等方面运行良好。
（12）自营业务
公司秉承规范、稳健的风格从事自营业务，根据国家有关法律法规并结合自营业务特点，制定一系列与自营业务相关的管理办法和业务操作流程。
公司已制定与自营业务相关的内部规章制度，明确自营业务的组织架构、授权管理体系、投资决策和执行体系以及风险控制体系，制定投资管理、投资操作、
证券库构建及维护、风险监控和绩效评估等各项业务流程规范，建立起规范有效的自营业务内部控制体系。
公司对自营业务的风险控制体系由三个层次组成：分别是风险控制委员会、公司风险管理部、投资管理部门内部业务操作流程和操作结果的持续控制。通过对董事会确定的投资规模、风险限额的制定与调整，实现了对风险控制指标的实时、动态监控和自动预警。
（13）资产管理业务
经 2016年 4月公司第三届董事会第十二次会议审议通过，资产管理业务部门设置为四个部门，分别负责资本市场投资、类固定收益投资、资产证券化、私募新三板业务及定向投资等资产管理业务的运作和管理，具备完备的资产管理业务内部控制机制。资产管理业务制度体系主要包括投资决策、公平交易、会计核算、风险控制、合规管理、档案管理、账户管理等各项制度，以及集合计划和定向计划产品的业务操作流程、员工岗位职责等，覆盖了集合计划和定向计划的产品设计、推广、研究、投资、交易、清算、会计核算、信息披露、客户服务等环节。公司在资产管理业务方面制定有《山西证券资产管理业务管理办法》、《山西证券资产管理业务销售管理办法》、《山西证券资产管理业务风险控制操作细则》、《山西证券资产管理业务合规管理操作细则》等管理制度，对资产管理业务的业务流程和操作规范进行了明确规定。
在业务管理方面，设立有资产管理业务委员会，负责对资管产品的设立、运作进行审批并规范；在投资监控方面，公司合规管理部、风险管理部负责对资管业务的事前事中控制，资产管理部门内部通过岗位设置、合规专人的全程风险监测实现了对资产管理业务的监控和管理。
（14）中小企业融资业务
公司设立中小企业融资业务部对新三板推荐挂牌、质量控制、以及挂牌后的定增、并购及督导等业务进行管理，根据相关规章制度、操作流程及作业指导书进行规范操作。
中小企业融资业务部根据监管部门规定制定了《山西证券股份有限公司推荐
业务管理办法》、《山西证券股份有限公司推荐业务尽职调查实施办法》、《山西证券股份有限公司推荐业务工作底稿实施办法》、《山西证券股份有限公司推荐业务内核委员会工作条例》等制度。
中小企业融资业务的风险监控由质控督导部质量控制岗、立项评审人员、内核委员会和公司风险控制部门共同完成。针对各项业务的风险特点，部门从制度、项目开发与立项，项目审核与申报和项目档案管理等方面建立了较为完善的内部控制机制：项目人员将立项申请材料提交立项委员会进行审核；内核委员会负责对中小企业融资业务所涉及的各个项目主体进行质量评价，对各项业务所涉及的材料进行核查，审议项目组是否对拟推荐挂牌项目进行了尽职调查等；质量控制岗在新三板推荐挂牌项目的立项、尽职调查、内核、项目申报及持续督导等阶段，以及定增及重组等财务顾问项目的立项环节及对挂牌公司发生重大事项时进行现场检查、项目档案的管理等方面均履行了审核审查职责。
（15）投资咨询
公司建立了证券研究咨询业务管理体系，制定了《研究产品内核及发布管理细则》、《研究所内部考核细则》、《信息隔离墙及防范利益冲突管理办法》、《证券研究业务管理办法》等一系列规章制度，随着研究制度的完善，保障了公司研究业务合规有序开展，研究水平和服务水平进一步得到提高；建立了有效的信息隔离机制，能够有效防范虚假信息传播、误导投资者、无投资咨询执业资格执业、利益冲突等风险事件的发生。
公司对研究咨询业务的控制活动包括对研究人员进行资格管理和研究报告
的提交及发送进行管理等，合规管理部利用合规信息系统对研究报告和咨询信息发布进行隔离墙管理和监控。
（16）柜台交易业务
公司柜台交易业务部对进入柜台交易市场的产品实施严格的管理，制定了《柜台交易业务管理办法（试行）》、《柜台交易业务产品管理实施细则》、《柜台交易业务投资者适当性管理实施细则》、《柜台交易产品账户管理细则》等规章制度，公司对进入柜台交易市场的产品实施严格的准入管理，对上柜产品的申
请与退出、信息披露情况进行管理，保障了柜台交易业务的顺利实施。
（17）公募基金业务
公司在公募基金业务方面制定了《公募基金投资管理办法》、《公募基金管理业务投资操作》和《公募基金管理业务风险控制管理办法》等制度，按照“董事会-总经理办公会-公募基金管理业务决策委员会-公募基金部门”四个层级的公募基金管理业务决策与授权体系，对公募基金管理业务进行分级授权、分级管理。
2016年公募基金部新发行基金产品 3只，分别为保本混合型、债券型、灵活配置混合型。
公司根据公募基金管理业务特点建立并逐步完善了内部控制体系，合规管理部、风险管理部、稽核考核部，分别开展合规管理、风险控制、监察稽核等工作，通过定期或不定期检查内部控制制度的执行情况，确保公募基金管理业务合规运行。通过对公募基金管理业务的检查与分析，内部控制的设计是合理的，执行是有效的，能够适应业务管理的要求和业务发展的需要，能够对各业务流程的健康运行及国家有关法律法规和单位内部规章制度的贯彻执行提供保证。
（18）机构业务
公司在机构业务方面制定了《私募基金综合托管业务管理办法》、《基金运营外包服务管理办法》和《私募基金综合托管业务估值核算实施细则》等制度，机构业务部负责基金托管和外包管理，并且作为公司资源与外部客户需求的连接载体，通过业务协同会议等形式，在股权质押业务、两融收益权的转让及银行合证等业务方面，实现了公司内部业务与外部资源的对接。
风险管理部和机构业务部分别利用投资监督系统和业务系统，对私募基金综合托管业务实施实时监控和跟踪监控，并就监控中的预警事项进行处理并按公司规定程序履行相应的报告义务。风险管理部监控专人如发现风险预警事项,通过与机构业务部专人电话沟通、平台批注信息、下发风险提示书、风控警示书等方式要求机构业务部对风险预警事项进行核实并及时反馈风险管理部；机构业务部指定专人逐日监督、监控私募基金综合托管业务情况，发现异常及时核实情况、查明原因，及时向风险管理部报告。
（19）衍生品经纪业务
公司在衍生品经纪业务方面制定了《中间介绍业务管理办法》、《中间介绍业务联合实施办法》、《股票期权经纪业务管理办法》等制度，衍生品经纪业务部负责个股期权、量化交易及期货中间介绍业务的整合和管理，遵循以客户为中心，以客户需求为导向的工作思路，持续跟进深交所股票期权业务的现场验收等工作，平稳推进上交所股票期权业务及 IB业务，积极开发推广程序化交易新策略，为投资者提供优质的衍生品服务。
风险管理部和衍生品经纪业务部分别利用监控系统和业务系统，对股票期权经纪业务实施实时监控和跟踪监控，并就监控中的预警事项进行处理。风险管理部监控专人通过集中监控系统（内控平台）实施监控，在集中监控系统中设置各项监控指标（如持仓比例、买入额度、实时风险值、保证金比例等），实时监控各项风险指标，以管理股权风险；衍生品经纪业务部每月将业务运行中发现的风险隐患、监控中发现的风险事项等形成“合规风控报告”，以OA流程形式向风险控制部进行报送。
（20）固定收益业务
公司固定收益部于 2015年 11月正式成立，2016年 3月开始第一笔债券交易业务，目前该部基本完善了固定收益业务的整套操作流程和制度，制定有《固定收益业务管理办法》、《固定收益债券交易管理细则》、《固定收益自营业务操作细则》、《固定收益投资顾问业务管理细则》和《固定收益业务国债期货交易管理细则》，在年初董事会核定的投资规模之内开展固定收益自营业务、投顾业务和中间业务，涉及的投资品种包括债券现货、国债期货、可转债等固定收益类产品。部门自成立以来，同业业务发展迅速，投资收益稳定增长，投顾业务良好起步，整体发展势头良好。
公司建立了董事会下设的风险管理委员会、总裁办公会下设的风险管理执行委员会及首席风险官、风险管理部门、固定收益部及其监理和风险联络人的固定收益业务风险分级控制体系，对固定收益业务进行全面的风险评估、监控与控制。
合规管理部、风险管理部和稽核考核部对固定收益业务合规审查、风险监控和业务稽核的范围应涵盖固定收益业务开展的全过程，覆盖事前、事中、事后的各个
环节。
（21）信息系统管理
公司针对信息技术的安全管理和运行维护，建立了相应的规章制度和控制程序。其中包括以下制度和流程：信息系统安全管理制度、信息系统变更管理流程、信息系统日常操作规范、信息系统应急方案、数据库管理流程、信息系统技术事故应急管理流程、信息中心机房管理流程以及信息中心机房数据备份管理流程等。
信息技术部门制定并实施了信息系统变更管理流程、信息系统安全管理制度、数据库管理流程以及机房管理流程等，这些制度及流程规范了操作系统以及数据库配置需要符合安全配置原则。
信息技术部门制定并实施了信息中心机房数据备份管理办法，该办法包括了主要应用系统的备份策略以及备份实施细则，适当考虑了各系统的数据完整性和可用性。同时，信息技术部门对各系统制定了详细的应急演练测试方案，根据方案，完成了应急演练，并做好相关记录。
公司建立了“办公自动化”平台，业务部门能通过平台提交信息系统需求和运行故障提示。
2016年信息技术部吸取了“11.2”事件的教训，一方面加强内部管理，另一方面积极进行信息系统的优化，先后实施了以下措施：优化上海灾备中心信息系统及操作流程，达到 5分钟内完成系统切换；国贸中心重建 UPS系统并上线；
新建阿里云行情中心、上证信息交易中心并投入运行；高起点建设同城数据中心；
优化系统备份措施，提升备机可用性；，实现公司信息系统多中心部署模式，核心系统可在三中心间运行，周边交易系统可在5中心间运行等。这些举措可大大分散数据中心的集中风险，任何一个数据中心的故障，不会造成公司整体的信息系统故障。
（22）子公司内控管理
①中德证券子公司
公司投资银行业务主要由公司股权占66.7%的控股子公司中德证券有限责
任公司(以下简称“中德证券”)开展。中德证券根据国家相关法律法规和投资银行业务的具体情况，建立了适合业务特点和管理要求的投资银行业务内部控制体系。
中德证券制订了《业务规程制度》，该制度针对不同的产品和市场对业务操作流程进行规范和描述，对业务操作流程中相关部门或委员会的职责分工进行说明，描述了业务操作流程的内部控制程序，涵盖了承接立项环节、尽职调查环节、辅导环节、文件制作归档环节、内部审核环节、发行上市环节、保荐回访环节等各项业务环节。通过制定《信息隔离墙管理制度及流程》，对各部门在业务及人员的隔离、信息隔离及风险控制等方面做出明确规定。
中德证券设有五个部门负责内控管理，分别是合规部、风险管理部、内审部、业务管理与质量控制部及法律部。2016年，中德证券合规部根据上年度合规管理评估结果，对有待改进的方面进一步强化，明确责任部门，设定整改时限，提升了内控精细化管理程度，起到了防控风险的良好成效；风险管理部按照国际最佳实践标准持续完善公司风险管理工作，及时识别、确认公司在实现经营目标过程中的市场、流动性、信用和操作等风险，并通过合理的制度安排和风险度量方法对经营环境持续变化所产生的风险及其承受能力进行适时监督、计量、评估和管理；内审部针对审计发现事项，进行月度跟进和向管理层汇报进展情况，提高了公司相关部门和员工的内控意识，推动了公司内控水平的提高；业务管理与质量控制部质量控制岗在项目的立项、尽职调查、项目申报及持续督导等阶段均履行了审核审查职责；法律部在法律风险识别，合同审核和签署等方面为中德证券投行业务履行了法律审查职责。
②龙华启富子公司
公司的全资子公司龙华启富投资有限责任公司（以下简称龙华启富），负责开展直接投资业务，该公司制定了直投投资决策机制：投资决策委员会-总经理-立项会三层决策机制，建立和健全了《龙华启富投资有限责任公司直接投资业务管理制度》、《投资决策委员会工作条例》、《龙华启富投资有限责任公司风险管理制度》、《投资后管理制度》等内部控制制度。
龙华启富及下属子公司严格执行直接投资相关内控制度，遵守投资决策程序，
形成了涵盖初步尽职调查、项目立项、详细尽职调查、业务支持部风险审核、投资决策委员会审查、投后项目的跟踪管理、项目的退出及程序等业务环节的制度流程，公司各项直投业务均在风险可控的前提下顺利运行。
③格林大华期货子公司
公司全资子公司-格林大华期货有限公司（以下简称格林大华），专门从事期货业务，制定有较为完备的《格林大华期货有限公司财务管理制度》、《格林大华期货有限公司人力资源管理制度》、《格林大华期货有限公司 IB业务管理办法》、《格林大华期货有限公司 IB业务合规管理办法》、《格林大华期货有限公司交易管理制度》等管理制度。
格林大华建有完善的法人治理结构和“风险全面防控、管理同步监督、经营逐级控制”的风险管理运行机制，保障了期货业务正常有序地开展。
格林大华的风险管理架构是：董事会是格林大华风险管理的最高决策机构，对格林大华经营行为的合规性和风险管理结果承担最终责任；下设首席风险官，负责对格林大华经营管理行为的合法、合规和风险管理状况进行监督检查；同时设有首席风险官主管的合规风控与稽核部，负责督导和协助经营层管理合规风险，对格林大华及员工的经营管理和执业行为的合规性进行审查、监督和检查；其他各部门履行风险管理的监督、管理职责，制定有严格、完善的内部管理办法和严密、标准的业务操作和服务流程，并通过在业务操作系统固化内部控制和风险管理阀值，实现对本部门和业务一线的风险管理，有效防范操作风险的发生。
3.重点关注的高风险领域：我们在内部控制评价过程中重点关注的高风险领域有母公司的经纪业务、柜台交易、信用交易、资产管理业务、新三板业务、投资咨询、自营业务、公募基金业务、机构业务、衍生品经纪业务、固定收益业务及信息系统管理，以及子公司的投资银行、直投业务、期货业务等领域。
（二）内部控制评价工作依据及内部控制缺陷认定标准
公司依据《企业内部控制基本规范》及其配套指引、《证券公司内部控制指引》、《上市公司内部控制指引》的规定组织开展内部控制评价工作。
公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的
认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于本公司的内部控制缺陷具体认定标准。为了适应市场监管环境的需要，同时使相应的缺陷认定标准更加合理、清晰，经公司董事会审议通过，公司对缺陷认定标准进行了部分修订。
重大缺陷指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。
重要缺陷指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。一般缺陷指除重大缺陷、重要缺陷之外的其他缺陷。
公司确定的内部控制缺陷认定标准具体如下：
1.财务报告内部控制缺陷认定标准
（1）定量标准是：
①重大缺陷：错报金额达到年末净资产的5%(含)以上。
②重要缺陷：错报金额达到年末净资产的3%-5%(不含)。
③一般缺陷：错报金额小于年末净资产的3%(含)。
（2）定性标准是：
①重大缺陷：
a、董事、监事和高级管理人员发生与财务报表相关的舞弊行为；
b、由于舞弊或错误造成重大错报，企业更正已公布的财务报告；
c、注册会计师发现当期财务报告存在重大错报，而内部控制在运行过程中未能发现该错报；
d、企业对内部控制的监督无效。
②重要缺陷：
a、未依照公认会计准则选择和应用会计政策的内部控制问题；
b、对于非常规或特殊交易的账务处理未建立相应的控制措施；
c、期末财务报告过程的控制存在一项或多项缺陷不能合理保证编制的财务报表达到真实、准确的目标。
③一般缺陷：除重大缺陷、重要缺陷之外的其他控制缺陷。
2.非财务报告内部控制缺陷认定标准
（1）定量标准是：
①重大缺陷：因内控缺陷造成的损失占净资产的比例达到2%(含)以上。
②重要缺陷：因内控缺陷造成的损失占净资产的比例为1%-2%(不含)。
③一般缺陷：因内控缺陷造成的损失占净资产的比例小于1%(含)。
（2）定性标准是：
①重大缺陷：
a、公司重大决策缺乏决策程序或程序违规且造成重大损失；
b、已经发现并报告给管理层的重大或重要缺陷在合理的时间后未加以改正；
c、公司被监管部门撤销相关业务许可；
d、重要业务长期缺乏制度控制或制度系统性严重失效；
②重要缺陷：
a、重要决策程序出现程序失误且造成较大损失；
b、公司人员已经或者涉嫌舞弊并给公司造成重大损失；
c、公司被监管部门暂停相关业务许可。
③一般缺陷：一般缺陷是指除重大缺陷、重要缺陷之外的其他非财务内部控制缺陷。
（三）内部控制缺陷认定及整改情况
1.财务报告内部控制缺陷认定及整改情况
根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告
内部控制重要缺陷和重大缺陷。
2.非财务报告内部控制缺陷认定及整改情况
根据上述非财务报告内部控制缺陷的认定标准，报告期内公司不存在非财务报告内部控制重要缺陷和重大缺陷。
存在的一般缺陷情况如下：
监管背景
2016年称为资本市场的“最严监管年”，监管风暴触及资本市场各个层面，券商被监管部门处罚的数量也空前扩张，其中证监会及派出机构对券商及从业人员作出处罚或采取监管措施共计69次，受罚券商共计41家，其中受罚2次以上的券商14家；股转公司对券商采取自律监管措施共计62次；上交所对从业人员个人予以监管关注3次。处罚原因主要涉及投行业务违规、持续督导挂牌企业的信披违规、为不合格投资者开立账户及尽职调查不彻底等问题，其中山西证券因未正确上报投资者开户情况而受到股转公司自律监管措施处罚，中德证券子公司也因提供财务顾问服务的企业信息披露出现重大遗漏受到证监会行政处罚。
缺陷具体情况
Ａ、公司受到股转公司自律监管措施处罚的情况
a、缺陷性质及影响
2016年8月22日，全国股转公司向公司下发了《关于对山西证券股份有限公司采取出具警示函、责令改正自律监管措施的决定》(股转系统发【2016】234号)文件。
经调查，公司受到股转公司自律监管措施的原因是：执行“全国中小企业股份转让系统投资者适当性管理制度自查”过程中未能准确把握合格投资者（个人）标准，未严格按照统一标准进行核查，漏报情况严重。截止 2016年 4月 25日，公司自查后上报的违规开通权限个人投资者的漏报比例达47.54%，共33家营业部上报的自查材料存在漏报情况。
b、缺陷整改情况
①统一标准，细化流程。
事件发生后，公司及时组织自查小组，认真研究了合格投资者全国股转系统权限适当性管理标准，多次与全国股转公司进行核实确认，最终明确统一的执行标准。同时积极与公司技术部门及软件开发商沟通系统支持，在恒生柜台系统开户规范信息一栏中增设账户标识，并实施“营业部自查报备—总部客服中心复核”两级核查机制，在公司OA系统中设置了股转自查报备流程，对自查发现的问题及时与营业部沟通处理，并在 OA流程中留痕存档。
②业务培训、加强沟通。
自查方案确定后，公司客服中心及时组织营业部自查小组成员参加视频培训，重点讲解投资者适当性管理的相关政策、制度以及通知中有关自查规范标准、自查要点、报备流程等内容，并要求各分支机构分工落实，责任到人。
③逐户核查、及时整改。
各分支机构对所有开通股转权限的客户进行逐户核查，发现问题及时联系客户进行整改，对于整改不合格的账户采取注销权限或限制买入等措施。核查整改完成的客户资料和底稿打包通过公司OA流程的形式报备总部专人核查，核查通过统一留痕存档。客户服务中心安排专人对工作进度及营业部报送情况进行督导，并汇总自查结果。
截止 2016年 8月 26日，前期违规开通权限的 99户不受限个人账户，已全部整改完毕。整改结束后，经公司党委会研究决定，公司对相关责任部门和责任人做出了通报批评和相应的经济处罚。
B、中德证券子公司受到证监会行政处罚决定的情况
a、缺陷性质及影响
2016年 9月 26日，中德证券子公司（以下简称“中德证券”）收到证监会《行政处罚决定书》（【2016】112号），认定中德证券在为沈机集团和紫光卓远股权转让提供财务顾问过程中，未通过核查发现该协议文本中的新增条款，未发现紫光卓远披露的《详式权益变动报告书》信息披露存在重大遗漏，出具的
财务顾问核查意见存在重大遗漏。由此，决定责令公司改正，没收业务收入 300万元，并处以300万元罚款；对财务顾问主办人李庆中、王鑫给予警告，并分别处以5万元罚款。此事件给公司造成了声誉影响和经济损失。
中德证券在收到处罚决定后，相应罚款已在规定期限内上交至证监会罚款指定账户。
b、缺陷整改情况
事件发生后，中德证券落实了一系列后续整改措施，包括：①强化项目执行工作，落实项目组全体成员尤其是签字人员的责任，勤勉尽责做好项目执行。
②强化投行项目的质量控制和内控体系完善工作。③深刻吸取教训，针对本次项目质量出现问题的重点环节，予以重点把关，强调项目执行人员的尽调工作必须以取得法律文件或资料的正本为基础，杜绝信息披露存在重大遗漏事件的再次发生。④开展一系列员工培训工作，提升员工培训的广度、深度和针对性，切实提升员工的职业操守和执业素养。⑤中德证券已完成合规问责程序，对相关人员的责任进行调查核实，在查明事实、分清责任的基础上，严肃追求相关责任人员的责任，予以相应的内部行政处罚和经济处罚。
报告期内，公司对纳入评价范围的业务与事项均已建立了内部控制，并得以有效执行，达到了公司内部控制的整体目标。前述一般缺陷可能导致的风险均在可控范围内，未对公司的经营管理活动质量和财务目标的实现造成重大影响，且已认真落实整改。自内部控制评价报告基准日至内部控制评价报告发出日之间没有发生对评价结论产生实质性影响的内部控制的重大变化。
三、2016年风险控制指标动态监控系统有效性评估情况
根据中国证券业协会 2016年 12月 30日下发的《证券公司风险控制指标动态监控系统指引（修订稿）》的要求，对公司 2016年度风控指标动态监控系统做出评价：
（一）评价情况
1、组织与制度保障
公司制定了《山西证券股份有限公司风险控制指标管理办法（修订稿）》，建立健全风险监控工作的组织体系，指定公司合规总监（首席风险官）分管动态监控系统的建设与运行，指定风险控制部负责动态监控系统的运行管理，指定信息技术部负责系统维护等工作；明确了相关部门的职责、操作流程、报告要求；
实行岗位分离制，达到有效的监督制约；在制度中明确人工维护数据的录入部门、录入依据、录入口径、复核流程；执行对不同风险信息分级预警、跟踪制度、报告制度；于每季度进行监控系统有效性的风险评估，并对发现的问题进行及时处理。
2、运行维护及升级完善
（1）系统相对安全、稳定地运行，未出现系统故障
对动态监控系统用户实行不同岗位、不同权限的授权管理办法，用户权限的设置、变动以及密码的修改应有严格的控制措施并保留完整的记录；系统在设计初期，对各种报表、计算表及其项目的调整预留空间，以便能够做到根据监管部门发布的最新规定及时调整更新。公司通过专线连接，为监管部门开放系统接口，设置监管专用账户，使监管部门能及时动态了解我公司净资本变化情况。
（2）数据采集及报表生成
2016年 10月份，风险控制指标动态监控系统由 V3.0升级到V4.0，按照监管要求，风险控制指标监管报表格式有所变动。监控系统可自动采集财务数据、交易数据、清算数据、资讯数据等相关数据，系统开启留痕功能，每日形成系统日志，并完整；对于不能够自动采集的数据，由业务部门负责手工录入。
系统能够对净资本等风控指标进行动态测算且每日形成相关报表；能够根据系统中预设的风险监控阀值分级预警，自动显示风险监控指标的变化。
3、指标预警与风险报告
按照修订后的《证券公司风险控制指标管理办法》和修订后的《山西证券股份有限公司风险控制指标管理办法》，风险控制指标动态监控系统将预警标准分为三级，即监管标准、监管预警标准和公司预警标准，并按照规定设置了相应阀值，在风险控制指标达到报告要求时，及时履行报告程序，分别向中国证监会、
山西证监局和公司领导层报告。
4、问题与建议
系统基本能实现自动取数，对于系统无法自动分解或不能自动取数的部分设置为手工录入，并增加复核环节。虽存在一定瑕疵，但不影响系统的正常运行和风险控制指标的动态监控。
（二）综合评价结论
风险控制指标动态监控系统能基本覆盖影响净资本及其他风险控制指标的业务活动环节，动态计算净资本等各项风险控制指标，及时反映有关业务和市场变化对公司风险控制指标的影响；能够根据各项业务特点实施实时监控，按照预先设定的阀值和监控标准对净资本等风险控制指标进行自动预警；能够生成净资本等风险控制指标动态监控报表。并且风险控制部会同计划财务部和信息技术部每季度评估一次动态监控系统的有效性，根据市场、业务发展、技术、监管环境的变化适时调整和完善，确保系统运行正常、数据准确、完整。
四、其他内部控制相关重大事项说明
根据相关法规要求，公司聘请了毕马威华振会计师事务所（特殊普通合伙）对公司财务报告内部控制有效性进行了独立审计，并于2017年4月21日出具了无保留意见的《山西证券股份有限公司 2016年 12月 31日内部控制审计报告》（毕马威华振审字第1701992号），认为公司于2016年12月31日按照《企业内部控制基本规范》和相关规定在所有重大方面保持了有效的财务报告内部控制。
五、公司对内部控制情况的自我评价
根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。
根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。
自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。
六、独立董事关于《公司2016年度内部控制评价报告》的独立意见
根据《公司法》、《证券法》及《深交所中小企业板上市公司规范运作指引》等法律法规、规范性文件的规定，作为山西证券股份有限公司（以下简称“公司”）的独立董事，我们本着实事求是的原则以及对公司和全体股东负责的态度，对公司内部控制管理体系及执行情况进行了解、监督，现发表独立意见如下：
（1）公司内部控制符合《公司法》、《证券法》、《深圳证券交易所中小企业板规范运作指引》等相关法律法规、规范性文件的要求，具备健全的内部控制体系，在公司业务、会计系统、内部审计、信息系统等方面有效控制。公司日常经营管理认真贯彻落实各项内部控制制度，在财务管理、关联交易、信息披露等方面内部控制严格、充分、有效。
（2）《公司2016年度内部控制评价报告》的形式、内容均符合有关法律法规、规章制度的要求，全面、客观、真实的反映了公司内部控制情况。作为公司独立董事，同意《公司2016年度内部控制评价报告》。
七、保荐机构的核查工作和核查意见
（一）保荐机构的核查工作
在 2016年持续督导期间，保荐代表人主要通过查阅公司主要业务和管理制度、内控制度；询问募集资金使用情况；查阅主要的信息披露文件；与董事、监事、高级管理人员、会计师、律师等通过面谈、电话等方式持续沟通；核查募集资金存放和使用情况；了解内部审计工作情况等多种方式，从内部控制的环境、内部控制制度的建立和实施、内部控制的监督等多方面对公司内部控制的合规性和有效性进行了核查。
（二）保荐机构的核查意见
通过对山西证券 2016年度内部控制制度的建立和实施情况的核查，保荐机构认为：山西证券现有的内部控制制度符合有关法规和证券监管部门的要求，在所有重大方面保持了与企业业务及管理相关的有效的内部控制；公司的《2016年度内部控制自我评价报告》真实、客观地反映了其内部控制制度的建设及运行情况。
（本页无正文，为《中信建投证券股份有限公司关于山西证券股份有限公司<2016年度内部控制自我评价报告>的核查意见》之签署页）
保荐代表人： ________________
王建设 王作维
中信建投证券股份有限公司年 月 日