蓝盾信息安全技术股份有限公司
内部控制鉴证报告
大华核字[2018]002941号
大华会计师事务所(特殊普通合伙 )
Da Hua Certified PublicAccountants（Special GeneralPartnership）
蓝盾信息安全技术股份有限公司
内部控制鉴证报告
（截止 2017年12月31日）
目 录 页次一、 内部控制鉴证报告 1-2
二、 蓝盾信息安全技术股份有限公司内部控制评 1-10价报告
大华核字[2018]002941号蓝盾信息安全技术股份有限公司全体股东：
我们接受委托，鉴证了后附的蓝盾信息安全技术股份有限公司（以下简称蓝盾股份）管理层编制的《内部控制自我评价报告》涉及的 2017年 12月 31日与财务报表相关的内部控制有效性的认定。
一、管理层的责任
蓝盾股份管理层的责任是按照《企业内部控制基本规范》和相关规定建立健全内部控制并保持其有效性，以及确保《内部控制自我评价报告》真实、完整地反映蓝盾股份 2017年 12月 31日与财务报表相关的内部控制。
二、注册会计师的责任
我们的责任是对蓝盾股份截止 2017年 12月 31日与财务报表相关的内部控制的有效性发表鉴证意见。我们按照《中国注册会计师其他鉴证业务准则第 3101号—历史财务信息审计或审阅以外的鉴证业务》的规定执行了鉴证业务。该准则要求我们计划和执行鉴证工作，以对蓝盾股份在所有重大方面是否保持了与财务报表相关的有效的内部控制获取合理保证。在鉴证过程中，我们实施了包括了解、测试和评价与财务报表相关的内部控制制度设计的完整性、合理性和执行的有效性，以及我们认为必要的其他程序。我们相信，我们的鉴证工
作为发表意见提供了合理的基础。
三、内部控制的固有局限性
内部控制具有固有限制，存在由于错误或舞弊而导致错报发生和未被发现的可能性。此外，由于情况的变化可能导致内部控制变得不恰当，或降低对控制政策、程序的遵循程度，根据内部控制评价结果推测未来内部控制有效性具有一定的风险。
四、鉴证意见
我们认为，蓝盾股份按照《企业内部控制基本规范》和相关规定于 2017年 12月 31日在所有重大方面保持了与财务报表相关的有效的内部控制。
五、对报告使用者和使用目的的限定
本报告仅供蓝盾股份披露年度报告时使用，不得用作任何其他目的。由于使用不当所造成的后果，与执行本业务的注册会计师和会计师事务所无关。我们同意本报告作为蓝盾股份 2017年度报告的必备文件，随同其他材料一起报送并对外披露。
大华会计师事务所(特殊普通合伙) 中国注册会计师：张晓辉
中国·北京 中国注册会计师：熊玲
有
二〇一八年四月二十四日
蓝盾信息安全技术股份有限公司
内部控制自我评价报告
蓝盾信息安全技术股份有限公司全体股东：
根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称企业内部控制规范体系），结合蓝盾信息安全技术股份有限公司（以下简称公司）内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2017年12月31日的内部控制有效性进行了评价。
一、重要声明
按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。公司董事会、监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带法律责任。
公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。
二、内部控制评价结论
根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。
根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。
自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论的因素。
三、内部控制评价工作情况
（一）内部控制评价范围
公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。纳入评价范围的主要单位包括公司及下属七家子公司：七家子公司具体为：蓝盾信息安全技术
内部控制自我评价报告第1页
有限公司、广东蓝盾乐庚信息技术有限公司、成都蓝盾网信科技有限公司、西咸新区蓝盾信息安全技术有限公司、广州华炜科技有限公司、中经汇通电子商务有限公司、深圳市蓝盾满泰科技发展有限公司，纳入评价范围单位资产总额占公司合并财务报表资产总额的97.61%,，营业收入合计占公司合并财务报表营业收入总额的98.08%。
纳入评价范围的主要业务和事项包括：公司治理结构、组织架构、内部审计机制、人力资源、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、财务报告、合同管理、信息披露等多项流程和事项。重点关注的高风险领域主要包括：财务管理、募集资金管理。
上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，不存在重大遗漏。
（二）内部控制评价工作依据及内部控制缺陷认定标准
公司依据企业内部控制规范体系及《中华人民共和国公司法》（以下简称“公司法”）、《中华人民共和国证券法》（以下简称“证券法”）、《企业内部控制基本规范》及《深圳证券交易所创业板上市公司规范运作指引（2015年修订）》等法律法规的要求组织开展内部控制评价工作。
公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于公司的内部控制缺陷具体认定标准，并与以前年度保持一致。公司确定的内部控制缺陷认定标准如下：
1、财务报告内部控制缺陷认定标准
财务报告内部控制缺陷的认定标准：财务报告内部控制缺陷主要是指不能合理保证财务报告可靠性的内部控制设计和运行缺陷。财务报告内部控制缺陷重要程度主要取决于定量和定性两个方面的因素，具体如下：
类别 重大缺陷 重要缺陷 一般缺陷
合并会计报表利润总额的
利润总额潜在错错报≥合并会计报表利 错报＜合并会计报表利润3%≤错报＜合并会计报表
报的金额润总额的5% 总额的3%
利润总额的5%
定量指标
合并会计报表资产总额的
资产总额潜在错错报≥合并会计报表资 错报＜合并会计报表资产0.5%≤错报＜合并会计报
报的金额产总额的1% 总额的0.5%
表资产总额的1%
内部控制自我评价报告第2页
类别 重大缺陷 重要缺陷 一般缺陷
合并会计报表主营业务收
错报≥合并会计报表主
经营收入潜在错 入或营业收入的1%≤错报错报＜合并会计报表主营营业务收入或营业收入
报的金额 ＜合并会计报表主营业务业务收入或营业收入的1%的2%
收入或营业收入的2%
严重违反法律、法规、
规章、政府政策、其他违反法律、法规、规章、政违反法律、法规、规章政府规范性文件等，导致中府政策、其他规范性文件政策、其他规范性文件等，法律法规央政府或监管机构的调等，导致地方政府或监管机导致地方政府或监管机构查，并被限令行业退出、构的调查，并责令停业整顿的调查，并被处以罚款或罚吊销营业执照、强制关等。 金。
定性指标 闭等。
战略与运营目标或关键
战略与运营目标或关键业业绩指标的执行不合战略与运营目标或关键业
绩的执行存在较小范围的理，严重偏离且存在方绩指标执行不合理，严重偏
战略与运营目标 不合理，目标偏离，对战略向性错误，对战略与运离，对战略与运营目标的实
与运营目标的实现影响轻营目标的实现产生严重现产生明显的消极作用。
微。
负面作用。
除上述定量定性指标外，另外明确了通常表明财务报告内部控制可能存在重大缺陷的迹象：
（1）董事、监事和高级管理人员舞弊；
（2）企业更正已公布的财务报告；
（3）注册会计师发现当期财务报告存在重大错报，而内部控制在运行过程中未能发现该错报；
（4）企业审计委员会和内部审计机构对内部控制的监督无效。
2、非财务报告内部控制缺陷认定标准
非财务报告内部控制缺陷主要是指不能合理保证公司财务报告可靠性目标之外的其他目标，如企业战略、合规、运营、资产安全等目标实现的内部控制设计和运行缺陷。非财务报告内部控制缺陷重要程度主要取决于定量和定性两个方面的因素，具体如下：
类别 重大缺陷 重要缺陷 一般缺陷
合并会计报表利润总额
利润总额潜在错错报≥合并会计报表利润总 错报＜合并会计报表定量指标 的5%≤错报＜合并会
报的金额 额的8% 利润总额的5%
计报表利润总额的8%
内部控制自我评价报告第3页
类别 重大缺陷 重要缺陷 一般缺陷
合并会计报表资产总额
资产总额潜在错错报≥合并会计报表资产总 错报＜合并会计报表的1%≤错报＜合并会
报的金额额的1.5% 资产总额的1%
计报表资产总额的1.5%
合并会计报表主营业
务收入或营业收入的错报＜合并会计报表经营收入潜在错错报≥合并会计报表主营业
2%≤错报＜合并会计主营业务收入或营业报的金额务收入或营业收入的3%
报表主营业务收入或营收入的2%
业收入的3%
违反法律、法规、规严重违反法律、法规、规章、违反法律、法规、规章、
章政府政策、其他规政府政策、其他规范性文件政府政策、其他规范性
范性文件等，导致地法律法规 等，导致中央政府或监管机构文件等，导致地方政府
方政府或监管机构的的调查，并被限令行业退出、或监管机构的调查，并
调查，并被处以罚款吊销营业执照、强制关闭等。责令停业整顿等。
或罚金。
定性指标
战略与运营目标或关战略与运营目标或关键业绩战略与运营目标或关
键业绩的执行存在较指标的执行不合理，严重偏离键业绩指标执行不合
战略与运营目 小范围的不合理，目且存在方向性错误，对战略与理，严重偏离，对战略
标 标偏离，对战略与运运营目标的实现产生严重负与运营目标的实现产生
营目标的实现影响轻面作用。 明显的消极作用。
微。
除上述定量定性指标外，另外明确了通常表明非财务报告内部控制可能存在重大缺陷的迹象：
（1）企业缺乏民主决策程序，如缺乏“三重一大”决策程序；
（2）企业决策程序不科学，如决策失误，导致并购不成功；
（3）违反国家法律、法规及公司章程；
（4）管理人员或技术人员纷纷流失；
（5）媒体负面新闻频现；
（6）内部控制评价的结果特别是重大或重要缺陷未得到整改；
（7）信息披露内部控制失效，导致公司被监管部门公开警示、谴责或处罚。
（三）内部控制评价具体内容
1、内部环境
（1）治理结构
公司根据《公司法》、《证券法》、《上市公司治理准则》以及中国证券监督管理委员会有
内部控制自我评价报告第4页
关规定的要求，建立了股东大会、董事会、监事会以及在董事会领导下的经理层，并建立了独立董事制度，聘任了三位独立董事，及成立了战略委员会、审计委员会、提名委员会、薪酬与考核委员会四个专门委员会，形成了公司法人治理机构的基本框架，并明确了股东大会和股东、董事会和董事、监事会和监事、经理层和高级管理人员在内部控制中的职责。
公司制订了《公司章程》、《股东大会议事规则》、《董事会议事规则》、《战略委员会工作细则》、《审计委员会工作细则》、《提名委员会工作细则》、《薪酬与考核委员会工作细则》、《监事会议事规则》、《董事会秘书工作细则》等制度，明确了股东大会、董事会、监事会和经理层的职权范围、议事规则和决策机制。
公司董事会下设战略、审计、提名、薪酬与考核四个委员会，并明确了四个委员会的职责权限、决策程序、议事规则。其中战略委员会负责对公司长期发展战略和重大投资决策进行研究并提出建议，对提高公司发展规划水平，健全投资决策程序等做出贡献。审计委员会主要负责公司内、外部审计的沟通、监督和核查工作，确保董事会对经营层的有效监督。提名委员会负责对公司董事和总裁人选、选择标准和程序进行选择并提出建议，同时对高级管理人员的人选进行审查并提出建议，优化董事会的组成。薪酬与考核委员会负责制定公司董事及高级管理人员的考核标准并进行考核，并负责制定、审查公司董事及高级管理人员的薪酬政策与方案。
公司监事会对股东大会负责并报告工作，对公司财务以及公司董事、总裁、财务负责人和董事会秘书等高级管理人员履行职责的合法性进行监督，维护公司及股东的合法权益。公司监事会为切实履行监督职能，列席了每一次董事会会议，并对属于监事会职责范围的事项作深入的讨论、发表意见，并做出决议。监事会能发挥监督效能，确保公司的财务活动符合法律法规的要求，督促公司董事、高级管理人员切实履行诚信、勤勉的义务。
（2）组织结构
公司已按照国家法律、法规的规定以及监管部门的要求，设立了符合公司业务规模和经营管理需要的组织结构；遵循相互监督、相互制约、协调运作的原则设置部门和岗位。各职能部门之间的职责明确，有效地保证了公司内部控制制度的落实和实施。
公司对组织结构继续进行了持续优化，根据战略发展目标对公司组织管理结构进行相应的调整，使之与业务相适应。
（3）内部审计机制
内部审计部依据公司《内部审计制度》和年度内部审计工作计划开展内控审计工作，对公司及下属子公司所有经营管理、财务状况、内控执行等情况进行内部审计，对其经济效益的真实性、合理性、合法性做出合理评价，并对公司内部管理体系以及各部门内部控制制度的情况进行监督检查；及时向审计委员会提交工作计划并汇报审计工作报告，就审计过程中
内部控制自我评价报告第5页
发现的问题进行督促整改。
公司审计部门直接对董事会审计委员会负责，在审计委员会的指导下，独立行使审计职权，不受其他部门和个人的干涉。
（4）人力资源政策
公司建立并实施了科学的员工聘用、调配、培训、薪酬管理、考核与评价等人力资源政策；公司注重对员工素质的培养，并根据实际工作的需要，针对不同岗位展开多种形式的后续培训教育，使员工们能胜任其工作岗位。公司实行全员劳动合同制，依法与公司员工签订劳动合同，明确劳工关系；与公司核心技术人员签订保密协议，防止公司商业机密泄露；依法为员工参加社会养老保险、医疗保险、失业保险及住房公积金等，保障员工依法享受社会保障待遇；建立和完善人力资源激励和约束机制，设置科学的业绩考核指标体系，对各级管理人员和全体员工进行考核与评价，切实做到薪酬安排与员工贡献相协调，体现效率优先，兼顾公平，将员工塑造成为职业化的优秀人才，坚持企业与员工共同成长、共同发展。
（5）企业文化
企业文化是公司整体的一种核心精神，对外能够传达公司服务理念、对内提升公司员工的归属感与凝聚力。企业文化建设是推动公司快速发展的必要工作，通过树立员工核心价值观，塑造企业形象，提高公司的整体素质和综合实力，增强公司内部凝聚力，降低员工流失率和管理成本，能够促进公司持续、快速、健康地发展。
公司加大企业文化建设重视程度，统一愿景、使命、价值观，利用内部信息系统、宣传栏、体育活动等为员工创造更有活力的企业氛围；不定期组织员工开展培训，倡导诚实守信、爱岗敬业、开拓创新和团队协作情神。
2、风险评估
公司根据战略目标及发展思路，结合行业特点，建立了系统、有效的风险评估体系：根据设定的控制目标，全面系统地收集相关信息，准确识别内部风险和外部风险，及时进行风险评估，做到风险可控。同时，公司建立了突发事件应急机制，制定了应急预案，明确各类重大突发事件的监测、报告、处理的程序和时限，建立了督察制度和责任追究制度。
公司定期召开各职能部门行政例会，及时向管理层汇报当期的经营情况、销售采购等数据信息；管理层每月不定期召开会议，对公司的生产经营、研发情况、销售情况、市场环境等方面进行汇总分析；公司每年召开年度考核分析会议，对各项数据进行深入分析，总结上年的经验和教训，并制定下一年生产经营的方针、政策、目标。公司管理层努力在竞争日益激烈的市场环境下，不断进行管理创新、技术创新，最大限度地降低了风险。
3、控制活动
公司形成了授权管理控制、财务系统控制、内部审计控制等在内的一系列控制程序，并
内部控制自我评价报告第6页
逐步完善，有效地实现了公司内部控制的目标。
（1）授权管理控制
公司按交易金额的大小及交易性质不同，根据《公司章程》及其他各项制度规定，采取不同的交易授权。对于经常发生的销售业务、采购业务等日常正常业务的成本费用支出、合同签署等采用逐级授权审批制度；对非经常性业务交易，如对外投资、收购重组、担保、关联交易等重大事项，按不同的交易额根据公司相关审批管理权限制度的规定进行审批。
（2）不相容职务分离控制
公司对各个部门、业务流程制定了一系列较为详尽的岗位职责分工制度，各项交易业务的授权审批与具体经办人员分离。
（3）财务系统控制
公司建立了独立的财务部门，会计人员接受过必要的专业培训，重要岗位人员具有专业技术证书。母、子公司财务独立，子公司执行的会计政策同母公司一致。
公司已经按照《公司法》、《中华人民共和国会计法》、《企业会计准则》等法律法规及其补充规定的要求制定了适合公司的会计制度和财务管理制度，并明确制订了会计凭证、会计账簿和财务报告的处理程序，以期达到以下目的：
①业务活动按照适当的授权进行；
②交易和事项能以正确的金额，在恰当的会计期间及时准确地记录于恰当的账户，使得会计报表的编制符合《企业会计准则》和相关要求；
③对资产和记录的接触、处理均经过适当的授权；
④账面资产与实存资产定期核对相符。
4、信息沟通
公司建立的各项管理制度的内容已涵盖了内外部信息沟通、处理及反馈的程序，在各项制度里面规定了专门部门负责公司信息、文书的搜集及处理，保证了信息及文书得到系统和统一的管理，同时保证业务信息和重要的风险信息的安全和保密。已颁布的制度流程基本上能够保证公司及时、真实和完整的传达内外部信息给管理层以及与外界保持联系。本报告期内，各部门独立处理内外部信息，并由专门部门统一管理并保存书面资料，各项控制措施能够得到有效地执行。
为进一步加强对外信息的沟通，公司还建立了《重大信息内部报告制度》，对重大信息的范围、报告程序等都做出了详细的规定，保证公司及时、准确、全面、完整地披露信息。
5、内部监督
公司建立了《内部审计制度》，明确了内部审计部门应依照国家法律、法规和政策以及公司的规章制度，遵循客观性、政策性和预防为主的原则，对公司及控股、参股公司的经营
内部控制自我评价报告第7页
活动和内部控制进行独立的审计监督等职责，设立了在董事会的直接领导下的审计委员会，主要负责公司内、外部审计的沟通、监督和核查工作。
6、主要内部控制程序
（1）筹资与投资
公司制定的《对外投资管理制度》、《融资管理制度》、《对外担保管理制度》，对筹资与投资循环所涉及的主要业务活动如审批权限、组织管理机构、投资的决策程序、投资的转让与收回、对外投资的人事管理、对外投资的财务管理及审计等进行了明确规定。
公司针对筹资业务所设置的具体流程控制保证公司所有的筹资活动均经过恰当的授权和审批，确保了正常的资金周转、降低资金成本、减少筹资风险。
公司针对投资业务所设置的流程控制确保公司能够建立行之有效的投资决策与运行机制，提高资金运作效率，保障公司对外投资的保值、增值。本报告期内，各环节的控制措施能被有效地执行。
（2）研究开发
为加强新产品及工艺技术成果的管理，组织好技术成果的鉴定、推广、申报、奖励等，公司组建了研发中心，建立了《研发项目管理制度》、《产品研发流程》、《信息安全管理规范》等制度。《研发项目管理制度》对产品开发的控制及管理、进度的划分及控制、文档及代码的提交和控制、备份及保密机制等做出了规定。《产品研发流程》对产品开发的研发准备、需求分析、分析与设计、实现、系统测试、发布、维护等各阶段进行了详细的规定，把产品研发项目的诸多关键环节进行了流程化、标准化处理，建立起一套完善、实用、高效的产品研发体系，确保产品获得最终的成功。
（3）关联交易
公司建立了《关联交易管理制度》，在关联方关系、关联交易的内容、关联交易的审议程序和披露等进行了明确规定，确保了关联交易在“公平、公正、公开、等价有偿及不偏离市场独立第三方的价格或收费标准”的条件下进行，保证公司与各关联人所发生的关联交易的合法性、公允性、合理性；关联方的识别程序、关联交易发生前的审查决策程序以及关联股东回避表决制度等控制措施在本报告期内均得到有效地执行。
（4）资产接触与记录使用控制方法
公司限制未经授权人员对财产的直接接触，采取定期盘点、财产记录、账实核对、财产保险措施，以使各种财产安全完整。公司建立了一系列资产保管制度、会计档案保管制度，并配备了必要的设备和专职人员，从而使资产的安全、记录的完整得到了根本保证。
（5）募集资金使用的内部控制
为规范公司募集资金的管理，提高募集资金使用效率，公司根据《公司法》、《证券法》、
内部控制自我评价报告第8页
《首次公开发行股票并在创业板上市管理暂行办法》、《上市公司证券发行管理办法》及深圳证券交易所的有关规定制定了《募集资金管理制度》，对募集资金的存放、使用和监督作了详细有效的规定，实行专项审批，以保证专款专用。
（6）信息披露制度
公司已制定了《信息披露管理制度》、《年度报告信息披露重大差错责任追究管理制度》、《重大信息内部报告制度》和《内幕信息知情人登记与外部报送管理制度》等制度，明确了公司重大内部信息的报告、传递责任，明确规定了公司信息披露义务人，信息披露的内容，内幕信息未公开前相关知情人的保密责任，重大信息报送的相关程序，年度报告差错的追究制度等事项。
（7）对子公司的控制
公司依据《公司法》和《深圳证券交易所创业板股票上市规则》等有关规定制定了《子公司管理制度》，通过委派子公司的董事、监事及高级管理人员等加强对子公司的管理。公司依据上市公司规范运作的要求对子公司的重大事项进行管理，并要求子公司第一时间报送重大事项材料。各子公司的重大经营及投资决策等，按照规定在第一时间报送本公司，并定期提交财务报告。同时公司定期或不定期实施对子公司的审计监督，充分发挥内部审计部的作用。
（四）内部控制缺陷认定及整改情况
1.财务报告内部控制缺陷认定及整改情况
根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告内部控制重大缺陷和重要缺陷。
2、非财务报告内部控制缺陷认定及整改情况
根据上述非财务报告内部控制缺陷的认定标准，报告期内未发现公司非财务报告内部控制重大缺陷、重要缺陷。
四、内部控制有效性结论
公司认为，通过对内部控制系统的检查和评价，公司具有较好的内部控制环境，对公司的风险进行了系统的辨识、评价和应对，具有健全和完善的内部控制制度和规范的业务流程，具有较强的信息传递和沟通能力以及内部监督力度，公司内部控制制度得到了有效执行，达到了公司内部控制的目标，内部控制不存在重大缺陷。
综上所述，公司董事会认为，公司针对所有重大事项建立了健全、合理的内部控制制度，并按照《企业内部控制基本规范》及相关规定于 2017年 12月 31日在所有重大方面保持了与财务报表相关的有效的内部控制。同时，公司正处在高速发展期，业务规模的不断扩大也
内部控制自我评价报告第9页
对内部控制提出了新的要求。公司将进一步改进和提高内部控制体系的合理性和有效性，进一步完善公司内部控制各项制度，不断提高公司的治理水平，为公司发展战略及经营目标的实现提供合理保障。
蓝盾信息安全技术股份有限公司
董事会
2018年4月24日
内部控制自我评价报告第10页