1、 上海复星医药（集团）股份有限公司 内部控制自我评价手册 二一五年三月 1 手册概述 1.1 编制目的及编制基础 1.1.1 编制目的 为完善上海复星医药（集团）股份有限公司（以下简称“本公司”）内部控制体系的建设，本公司特制订上海复星医药（集团）股份有限公司内部控制自我评价手册（以下简称“本手册”）。其目的是在于确保本公司及其控股子公司 /单位（以下简称“本集团”）内部控制体系的有效运行，提高内部控制与风险管理水平，促进本集团健康持续发展，提高本集团运作效果和效率，全 面提升企业管理水平和竞争能力，增加企业价值。 内部控制自我评价，是指本公司董事会或类似权力机构对内部控制的有效性进行全面评价
2、、形成评价结论、出具评价报告的过程。 本公司旨在通过本手册明确公司内部控制自我评价机构设置、工作执行、缺陷整改、评价报告等工作流程，将内部控制自我评价工作落实到本集团的各个层面，实现对内部控制体系有效性的持续监控。内部控制自我评价作为内部控制监控的重要手段之一，保证本集团内部控制设计和执行有效。 本手册所称“下属单位”，是指本公司下属全资子公司、控股子公司、分公司、事业部等。本集团参股企业等企业机构可在适用情况下参照执行。 1.1.2 编制基础 本手册依据中华人民共和国 财政部、 中华人民共和国 审计署、 中国保险监督管理委员会、中国银行业监督管理委员会、中国证券监督管理委员会（以下简称“五部
3、委）”颁布的 企业内部控制基本规范 与 企业内部控制评价指引 、上海证券交易所颁布的上海证券交易所上市公司内部控制指引、香港联合交易所有限公司（以下简称“香港联交所”）颁布的企业管治常规守 则等相关的法规及配套指引、守则，参照美国证券交易委员会推荐的 COSO 内部控制框架 等，结合本集团的具体情况编制而成。 1.2 内部控制自我评价原则与内容 1.2.1 内部控制自我评价原则 本集团实施内部控制自我评价需遵循全面性、重要性和客观性原则。其中： 全面性原则：内部控制自我评价工作包括对内部控制的设计与运行的评价，涵盖公司和下属单位的各种业务和事项。 重要性原则：内部控制自我评价工作在全面评价的基
4、础上，关注重要业务单位、重大业务事项和高风险领域。 客观性原则：内部控制自我评价工作应当客观地揭示经营管理的风险状况，如实地反映内部控制设计与运行的有效性。 1.2.2 内部控制自我评价内容 本手册所关注的内容，围绕内部环境、风 险评估、控制活动、信息与沟通和内部监督等要素，分为公司层面、业务层面以及信息技术层面，对内部控制设计与运行情况进行全面评价。其中： 本集团层面控制：主要指公司和下属单位内控体系中所包含的组织架构、发展战略、社会责任、人力资源、企业文化等控制。 业务层面控制：主要指本集团内控体系中包含的资金活动、投资管理、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业
5、务外包、财务报告、全面预算、合同管理、内部信息传递等控制。 信息技术层面：主要指本集团的信息技术内控体系，主要涉及信息系统的变更控制、访问控制 和其他一般 IT 操作控制，具体反映为信息技术应用流程。 2 内部控制自我评价机构的设置及其职责 2.1 董事会及其职责 建立、健全和有效实施内部控制，评价内部控制的有效性，形成本公司的年度内部控制评价报告，并对该报告的真实性负责是本公司董事会的责任。 本公司董事会审计委员会检查、监督内部控制自我评价工作的实施，其职责包括但不限于： （ 1）审核、确定内部控制自我评价小组（以下简称“评价小组”）； （ 2）审批年度内部控制自我评价工作方案； （ 3）听
6、取重大内部控制缺陷的汇报，并监督其改进情况； （ 4）审议评价小组提 交的年度内部控制自我评价情况汇报，形成内部控制评价报告初稿。 2.2 内部控制自我评价小组及其职责 本公司设立内部控制自我评价小组（以下简称“评价小组”），负责内部控制工作的评价、监督和汇报工作。评价小组成员分别由公司审计部人员、各下属单位内部控制自我评价人员组成。评价小组应根据本手册对本集团内部控制进行评价和持续监督，形成有效的内部控制评价体系和持续监督体系，确保内部控制的持续有效，最终实现本集团内部控制的总体目标。 2.2.1 评价小组的要求 评价小组在进行内部控制自我评价工作时，需具备独立性、客观性和专业 胜任能力。具
7、体为： （ 1）独立性：指任何控制的评估或测试工作不得由该控制的实际操作人员进行； （ 2）客观性：指公正、诚实地执行任务的能力； （ 3）专业胜任能力：指具备相应的专业技能、知识或经验，有能力完成分派的任务。 2.2.2 评价小组的职责 评价小组的职责包括但不限于： （ 1）编制年度内部控制自我评价工作方案，报本公司董事会审计委员会审批； （ 2）设计、修改并维护本集团统一、规范的内部控制自我评价工作标准和工作底稿； （ 3）开展本集团的内部控制测试和评价，编制工作底稿，形成缺陷汇总表； （ 4）根据本集团的 缺陷整改计划，及时跟踪，监督其整改完成情况； （ 5）形成年度内部控制自我评价情况
8、汇报报告，报董事会审计委员会审议。 本公司审计部应负责组织各下属单位内部控制自我评价人员的辅导和培训，逐步使各下属单位自评人员能独立执行内部控制测试和评价工作。 在自我评价工作中，各下属单位内部控制自我评价人员应负责本单位各部门间的工作协调，并具体开展各流程的评价工作。 3 内部控制自我评价工作流程 内部控制自我评价的整体工作流程如下所示： 内 部 控 制 自 我 评 价 工 作 流 程 图公 司 及 下 属 单 位内 部 控 制 自 我 评 价 工作 小 组董 事 会 下 属 审 计 委 员会董 事 会 相 关 文 档开 始编 制 内 控 自 评工 作 方 案审 批执 行 设 计 有 效性
9、测 试内 部 控 制 自 我评 价 工 作 方 案风 险 控 制 矩 阵工 作 底 稿执 行 运 行 有 效性 测 试认 定 内 控 缺 陷运 行 有 效 性 测试 底 稿控 制 缺 陷 汇 总表内控自评方案的制定制 定 整 改 计 划 确 认确 认控 制 缺 陷 整 改计 划 书是落 实 整 改 计 划跟 踪 整 改 计 划的 执 行整 改 进 度 跟 踪表内 控 缺 陷 整 改后 续 测 试情 况 汇 报 报 告 审 议 审 议形 成 年 度 内 部控 制 评 价 报 告内 部 控 制 评 价报 告 （ 初 稿 ）结 束风 险 控 制 矩 阵及 运 行 有 效 性测 试 底 稿是 否 为
10、整 改有 难 度 的 重大 缺 陷否内 部 控 制 评 价报 告控 制 缺 陷 整 改计 划 书内部控制测试的执行内部控制缺陷的整改内部控制评价报告的出具对 外 披 露内 部 控 制 评 价报 告形 成 年 度 内 部控 制 评 价 报 告（ 初 稿 ）情 况 汇 报 报 告4 年度内部控制自我评价工作方案的 制定 4.1 内部控制自我评价工作方案编制和审批 每年由内部控制自我评价小组编制内部控制自我评价工作方案，经董事会审计委员会审批后执行。该工作方案应当根据国家法律法规要求、企业自身经营特点、发展目标及年度工作重点制定。方案应当明确年度自我评价工作的目的、范围（包括实体范围和业务流程范围）
11、、组织、标准、方法、进度安排、人员安排等。该方案应包括两方面的内容： （ 1）由本公司审计部独立开展的内部控制自我评价； （ 2）由下属企业独自开展的内部控制自我评价，其结果及相应的底稿和资料应报送本公司审计部复核，审计部可根据实 际情况抽查。 评价小组应当在每年年报发布前向本公司董事会审计委员会提交本年度的内部控制自我评价工作方案，经董事会审计委员会审批后方可实施。 4.2 内部控制自我评价工作方案变更 如当年经批准的工作方案发生变化，需由评价小组判断变化的性质，根据实际情况修正该方案；如变更内容大于年度工作方案的三分之一，需报请本公司董事会审计委员会再次审批。 5 内部控制测试的执行 5.
12、1 内部控制测试定义 内部控制测试，是指由评价小组综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析 等方法，收集 内部控制设计和执 行是否有效 的证据 ，以发现内部控制的缺陷，并 对内部控制的有效性进行评价 的过程。 5.2 内部控制测试对象 凡在本公司内控手册 中记录的 涵盖内部环境、风险评估、控制活动、信息与沟通、内部监督等要素的关键 内部控制活动 及依据全面性、重要性和客观性的原则确定的本集团内部控制活动，均应纳入内部控制测试的对象范围内。 内部控制活动根据其发生的时点，可分为预防型控制和检查型控制两大类，其中： （ 1）预防型控制通常用于正常业务流程的每一项交易
13、，以防止错报的发生； （ 2）检查型控制通常用于发现流程中可能发生的错报。 内部控制活 动根据其操作方式，又可分为手工控制和系统控制两大类，其中： （ 1）手工控制是通过人工操作（包括人工对系统的操作）来执行的控制活动。手工控制的有效性依赖于执行控制活动的执行人的胜任能力和尽责程度。 （ 2）系统控制是完全基于系统的操作和运行、不介入任何人工干预来执行的控制活动。系统控制的有效性依赖于有效的通用计算机控制环境。 5.3 设计有效性测试 设计有效性是指 为实现控制目标所必需的内部控制程序都存在并且设计恰当，能够为控制目标的实现提供合理保证 。 设计有效性测试可分为访谈、确定控制目标和相应控制点、
14、穿行测试等 步骤。 5.3.1 访谈 访谈的主要目的是通过与相关人员进行访谈，了解各业务流程风险相关的控制措施的状况。 在开展本集团的内部控制自我评价工作中，评价小组需制定各业务流程的访谈计划。访谈主要步骤包括： （ 1）了解相关本集团的背景资料，例如部门设置，职责分工，基础业务说明，业务政策等相关信息； （ 2）在审阅相关流程控制文档的基础上，如最近一次内控评价工作形成的相关控制文档，初步了解控制活动； （ 3）根据各个业务流程的性质和难易程度，合理规划访谈时间和访谈对象，编制访谈计划并发给被访谈人，力求提高访谈质量，降低 重复访谈次数； （ 4）根据访谈计划开展访谈，了解业务流程和控制措施
15、，形成访谈记录。 5.3.2 确定控制目标和相应的控制点 评价小组根据内控手册、访谈结果，编制本集团各业务流程的风险控制矩阵工作底稿（格式参见附件一）。该工作底稿应归集对应的控制目标和相应控制点，特别是关键控制点。 关键控制点，是指那些对于抑制风险来说是不可或缺的控制点，这些控制点一般拥有控制力度强且能覆盖其他控制点的作用；在其他控制点失效的情况下，其仍可以保证风险被控制在可接受的范围内。 关键控制点的识别与确认一般可以从以下方面考虑： （ 1）信息传递正确、及时； （ 2）各式（业务、财务、管理）单据的连续和交接； （ 3）各式交易的授权层级； （ 4）独立的复核、审核检查机制； （ 5）清
16、晰的文档记录及保管； （ 6）及时有效的业绩审阅； （ 7）信息处理控制； （ 8）实物管理控制； （ 9）必要的职权分离。 此外，对本集团战略目标的实现具有深远影响的控制点为关键控制点；如果一个控制点可以防范多个风险，可判断为关键控制点；对于反舞弊的控制点，一般认为均属于关键控制点。 通常每一条风险至少需有一个关键控制点与其对应。 5.3.3 穿行测试 5.3.3.1 穿行测试目的 验证本公司或下属单位的流程实际控制与内控手册及风险控制矩阵中所记录的控制内容是否一致，是否存在设计缺陷，各环节是否按照规定运行。 5.3.3.2 穿行测试频率 要求每年至少进行一次穿行测试。 5.3.3.3 穿行
17、测试样本选取原则 （ 1）样本必须能够代表该流程（或子流程）的典型业务及操作过程； （ 2）样本需要尽可能覆盖该流程（或子流程）的所有控制点； （ 3）对于上述样本确实无法覆盖的控制点，可以单独选取额外样本进行测试。 5.3.3.4 穿行测试样本数量 在各个业务流程（或子流程）中，通过选取一个 样本，来对其是否有效地贯穿整个流程、覆盖主要关键控制点进行测试。 5.3.3.5 穿行测试的记录 （ 1）在风险控制矩阵中记录样本穿行测试的过程及结果； （ 2）如测试过程中发现样本出现异常的控制点，应详细描述该异常特征； （ 3）测试结果的记录必须忠实于实际测试情况，不得人为改变记录描述； （ 4）对
18、于穿行测试过程中取得的所有样本资料，均需保留纸质或者电子文档作为证据，并编号。 5.3.4 设计有效性测试结果 设计有效性测试的结果，可分为三种类型：有效、部分有效、无效。 5.4 运行有效性测试 运行有效性是指 在内部控制 设计有效 的 前提下，内部控制能够按照设计的控制程序正确地执行，从而为控制目标的实现提供合理保证。 5.4.1 运行有效性测试的频率 本公司或下属单位应开展内部控制运行有效性的测试，包括：每年对部分控制流程进行测试，且至少每三年完成一次对所有控制流程的测试。 本公司或下属单位应 避免将所有测试集中于某一 年度。 对于一些重要、风险较大、当年发生重大变更的流程，应当根据重要
19、性水平适当增加测试次数。 5.4.2 运行有效性测试样本数量 根据控制活动发生的频率，运行有效性测试样本数量及结论的确定方式见下表： 控制类型 发生频 率 初始样本 数量 异常样本 数量 补充样本 数量 新异常样 本数量 测试结论 每年发生一次 1 控制有效 1 控制无效 每半年发生一次 1 控制有效 1 控制无效 每季度发生一次 2 控制有效 1 控制无效 每月发生一次 2 控制有效 手工控制 1 控制无效 每周发生一次 5 控制有效 1 3 控制有效 1 控制无效 2 控制无效 常规业务 25 控制有效 1 15 控制有效 1 控制无效 2 控制无效 系统控制 1 （备注 2） 控制有效
20、1 控制无效 备注 1：对于频率不确定的控制活动，可按次数折合成“发生频率”，参照“发生频率”选择适用样本。 备注 2：系统控制的样本数量为 1 个，除此以外，均需参照手工控制要求选取样本。 5.4.3 运行有效性测试方法 共有四种测试方法可供选择： （ 1）询问（可选）： 询问控制执行人是否了解其控 制目的及执行方法； 询问是否在日常工作中实际实施控制，且具体如何操作； 重点关注操作有哪些证据及相关文档如何保管等。 （ 2）观察（可选）： 观察员工执行控制步骤； 记录观察过程和结果； 根据观察结果，确定需要的其他测试。 （ 3）审阅、检查控制执行证据（必选）： 获得控制执行相关证据，如文档记
21、录或报告； 审阅相关证据，查看是否留有控制执行的痕迹； 评价控制执行是否有效、符合规定。 （ 4）重新执行（可选）： 测试人重新执行控制操作以验证控制执行是否有效。 5.4.4 运行有效性测试记录 评价小组在运行有效性测试过 程中，应根据所获取的证据，编制各业务流程的运行有效性测试底稿（格式参见附件二），对测试过程、测试结果及结论进行书面记录。 如发现异常样本，需要在底稿中简要描述造成样本异常的原因，取得相应的纸质或者电子文档作为证据，并编号。 5.4.5 运行有效性测试结果 根据测试结果，形成测试结论，运行有效性测试的结果分为两种：有效和无效。 5.5 内部控制缺陷的认定 根据内部控制测试的
22、结果，评价小组应判断内部控制的结果，当设计有效性反映为“无效”或“部分有效”，或运行有效性反映为“无效”时，应认定为存在内部控制缺陷。 5.5.1 内部控制缺陷的分类 与内部控制的设计有效性和运行有效性相应，内部控制缺陷分为设计缺陷和运行缺陷。 （ 1）设计缺陷：是指缺少为实现控制目标所必需的控制，或公司现有控制措施设计不恰当，即使正常运行也难以完全实现控制目标。 （ 2）运行缺陷：是指在内部控制设计有效的前提下，没有按设计意图持续有效运行，或执行者没有获得必要授权或缺乏胜任能力以有效地实施控制，导致控制目标不能完全实现。 5.5.2 内部控制缺陷重要性程度的认定 评价小组应根据定性和定量的标
23、准判断内部控制缺陷的影响程度，并与相关单位进行及时沟通，提 出改进建议，形成控制缺陷汇总表（格式参见附件三）。 对于财务报告内部控制缺陷，采用定量及定性的标准来对内部控制缺陷进行认定。对于非财务报告内部控制缺陷，同样采用定量及定性的标准来对内部控制缺陷进行认定。 5.5.2.1 财务报告内部控制缺陷的认定标准： 定量标准：评价小组借鉴本集团财务报表重要性水平来确定财务报告内部控制缺陷的定量认定标准。 如果一项内部控制缺陷单独或连同其他缺陷具备合理可能性导致不能及时防止或发现并纠正财务报表中的重大错报，就将该缺陷认定为重大缺陷； 如果一项内部控制缺陷单独或连同其他缺 陷具备合理可能性导致不能及时
24、防止或发现并纠正财务报表中虽然未达到和超过重要性水平、但仍应引起本公司董事会和管理层重视的错报，就将该缺陷认定为重要缺陷； 不构成重大缺陷和重要缺陷的内部控制缺陷应认定为一般缺陷。 具体重要性程度的定量标准见下表： 重要性程度 潜在错报占资产总额比例 潜在错报占利润总额比例 一般缺陷 资产总额的 0.3%错报 利润总额的 3.5%错报 重要缺陷 资产总额的 0.5%错报资产总额的 0.3% 利润总额的 5%错报利润总额的3.5% 重大缺陷 错报资产总额的 0.5% 错报 利润总额的 5% 定性标准：评价小组根据以下特征的缺陷来确定财务报告内部控制缺陷的定性认定标准。 如果具有以下一项或多项特征
25、的缺陷，则认定为重大缺陷： （ 1）本公司董事、监事、高级管理人员存在重大舞弊事项； （ 2）已经发现并报告给本公司董事会和管理层的重大内部控制缺陷在经过合理的时间后，并未加以改正； （ 3）本公司年审注册会计师发现当期财务报表存在重大错报，而内部控制在运营过程中未能发现该错报； （ 4）因重大会计差错更正已公布的财报； （ 5）其他可能影响报表使用者正确判断的重大缺陷。 5.5.2.2 非财务 报告内部控制缺陷的认定标准 定量标准：评价小组根据造成的直接财产损失占本集团合并报表反应的资产总额及利润总额的比率来确定非财务报告内部控制缺陷的定量认定标准。 具体重要性程度的定量标准见下表： 重要性
26、程度 直接财产损失占资产总额比例 直接财产损失占利润总额比例 一般缺陷 资产总额的 0.3%直接财产损失 利润总额的 3.5%直接财产损失 重要缺陷 资产总额的 0.5%直接财产损失资产总额的 0.3% 利润总额的 5%直接财产损失利润总额的 3.5% 重大缺陷 直接财产损失资产总额的 0.5% 直接财产 损失利润总额的 5% 定性标准：评价小组根据以下特征的缺陷来确定非财务报告内部控制缺陷的定性认定标准。 如果具有以下一项或多项特征的缺陷，则认定为重大缺陷： （ 1）严重违反法律、法规； （ 2）制度体系整体缺失，已经或是可能造成本集团控制失效； （ 3）高级管理人员或关键岗位人员流失严重，
27、影响本公司正常经营活动； （ 4）本公司董事会审计委员会和内部审计机构对内部控制的监督无效。 5.6 质量控制复核 评价小组应落实专人复核所编制的工作底稿，各下属单位自评人员编制的工作底稿原则上应上报本公司审计部复核。工作底稿 的复核应包括对内部控制是否存在缺陷及其影响程度进行全面复核，特别对可能被认定为重大或重要的缺陷，需在与被评价单位充分沟通后，作出适当的判断和结论。 本公司审计部负责人应当客观地评价评价小组作出的重大或重要的判断以及得出的结论，并根据需要复核与之相关的工作底稿，评价得出结论的恰当性。 6 内部控制缺陷的整改 6.1 内部控制缺陷整改计划 评价小组根据控制缺陷汇总表的内容及
28、整改建议，完成控制缺陷整改计划书中“评价小组填写”部分（格式参见附件四），并发送给本公司或下属单位。本公司或下属单位根据整改建议，制定具 体的整改计划，包括落实整改责任人、整改期限等，完成控制缺陷整改计划书中“本公司或下属单位填写”部分，并反馈至评价小组。评价小组对控制缺陷整改计划书的内容进行确认；对于整改有难度的重大缺陷，应及时向本公司董事会审计委员会汇报。 6.2 内部控制缺陷整改计划实施 本公司或下属单位应根据控制缺陷整改计划书，在整改期限内落实整改并及时向评价小组报送整改情况报告。 6.3 内部控制缺陷整改监督 评价小组有责任督促本公司或下属单位进行整改，不定期追踪整改的执行情况。评价
29、小组应对整改结果进行核查和确认，并将整改进 度和整改状态反映在整改进度跟踪表（格式参见附件五）内。 6.4 内部控制缺陷整改的后续测试 评价小组应在适当的时候，对本公司或下属单位的内部控制缺陷整改情况进行后续测试。 6.4.1 设计缺陷整改的后续测试 对于设计缺陷整改的后续测试，需要复核整改后的内部控制设计是否 能够 合理保证 控制目标的实现 ，并测试整改后的控制运行是否有效。 6.4.2 运行缺陷整改的后续测试 对于内部控制运行缺陷整改的后续测试，需要获取适量样本并检查是否按照 设计的内部控制程序正确地执行。 整改后内部控制运行有效的最短运行期间或最少测试次数参 见下表： 控制运行频率 整改
30、后控制运行有效的最短运行期间或最少测试次数 最少测试数量 每季度发生一次 2 个季度 2 每月发生一次 2 个月 2 每周发生一次 5 周 5 常规业务 25 次（分布于涵盖多天的期间，通常不少于 15 天） 25 备注 1：测试结论参见“ 5.4.2 运行有效性测试样本数量”。 本公司或下属单位应保证重大控制缺陷的整改在内部控制评价报告基准日前有足够的运行有效期，并承担相应的责任。如果整改后的新控制活动尚未运行足够长的时间，评价小组应当将其视为内部控制在基准日存在重大缺陷。 7 年度 内部控制评价报告的出具 7.1 年度内部控制评价报告的编制 评价小组应当根据年度内部控制评价结果，结合内部控
31、制评价工作底稿和内部控制缺陷汇总及整改等资料，出具内部控制评价报告（初稿），报本公司董事会审计委员会审议。 评价小组还应当关注评价基准日至评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。 7.2 年度内部控制评价报告的内容 年度内部控制评价报告（初稿）应符合企业内部控制评价指引及上海证券交易所的相关要求，至少应当包括以下内容： （ 1）内部控制评 价工作的总体情况； （ 2）内部控制缺陷中重大缺陷的认定、整改措施及整改完成情况； （ 3）内部控制是否有效的结论。 7.3 年度内部控制评价报告的出具和对外披露 本公司董事会 应按照企业内部控制评价
32、指引的要求 ，审议内部控制评价 报告 （初稿），经同意后最终形成内部控制评价报告。本公司董事会应将年度财务报告与内部控制评价报告同时公布，并披露会计师事务所对内部控制审计的独立审计意见。 8 资料和档案的管理 内部控制自我评价工作形成的底稿及报告，包括电子文档及纸质文档，均应纳入档案管理范围。各类文档应统一按照本公司档 案管理制度和办法及时进行保管和归档。 上海复星医药（集团）股份有限公司 二零一五年 三 月 二十四 日 附件一：风险控制矩阵工作底稿 内控手册 实际情况 评价结论 评价发现缺陷 子流程 控制活动编号 控制活动 控制点编号 控制活动及关键控制点描述 实际控制所属部门及岗位 控制类
33、别（手工 /系统控制） 实际控制频率 预防性 /检查性控 制 穿行测试索引及文件名 设计有效性（穿行）测试结果描述 测试底稿编号 运行有效性测试结果描述 控制缺陷种类（设计缺陷 /运行缺陷） 缺陷分类（重大 /重要 /一般） 附件二：运行有效性测试底稿 控制点编号 控制活动及关键控制点描 述 控制类别（手工 /系统控制） 控制频率 控制生效日期 测试样本 样本数量（ X 月X 日） 样本数量（ X 月X 日） 样本数量（ X 月X 日） 测试程序： A1: A2: 测试记录： 测试样本明细 测试结果 序号 A1 A2 A3 A4 A5 A6 A7 A8 注释 第 X 轮测试 1 2 3 附件三
34、：控制缺陷汇总表 序号 业务流程 控制活动及关键控制点描述 缺陷描述 控制缺陷种类（设计缺陷 /运行缺陷） 缺陷分类（重大 /重要 /一般） 评价建议 建议整改完成时间 附件四：控制缺陷整改计划书 XX 公司： 在本次内部控制评价小组对内控进行测试时，我们发现贵公司存在以下内部控制缺陷，并提出初步整改建议，望贵公司尽快落实整改措施，达到有效内控的要求，评价小组将择日对整改情况进行后续跟踪测试。 评价小组填写 公司或下属单位填写 序号 业务流 程 控制活动及关键控制点描述 缺陷描述 控制缺陷种类（设计缺陷/运行缺陷） 缺陷分类（重大 /重要 /一般） 评价建议 建议整改完成时间 具体整改计划 整改责任人 整改期限 附件五：整改进度跟踪表 评价小组填写 公司或下属单位 填写 评价小组整改监督 序号 业务流程 控制活动及关键控制点描述 缺陷描述 控制缺陷种类（设计缺陷 /运行缺陷） 缺陷分类（重大/重要 /一般） 评价建议 建议整改完成时间 具体整改计划 整改责任人 整改期限 是否已经整改（已完成整改 /整改中） 情况说明 备注
