1、“.....描述了监督的概念及要素，并从持续监督评估和缺陷报告三个方面对内控关 注要点及相应措施进行了阐述，并汇编了相关管理制度及规范。 使用要求 本手册是公司重要文件，属公司机密。各单位应按相关要求正确使用，未经允许，不得复印，不 得对外泄露。在使用过程中遇到疑难问题，及时向内部控制部咨询。 管理与维护 内部控制部对手册进行规范管理，以保证其有效完整统和适用。 编写与发布 手册由内部控制部组织编写，内控体系建设委员会审定，股份公司行文发布。 发放 手册须按发放范围统发放。发放范围由内部控制部提出，经管理层批准执行。般包括总裁 副总裁机关职能部门专业分公司地区公司及其下属单位等。 手册包括纸质版和电子版两种。电子版的配发范围为业务流程管理信息系统的覆盖范围纸质 版的配发范围为公司所属单位及特殊使用者。 维护 手册的维护是项长期性经常性的重要工作......”。

2、“.....积极参与，大力配合。 手册的修订维护由内部控制部负责。每年，内部控制部将根据国内和上市地新出台的相关法律 法规的要求内外部审计对公司内部控制的评价公司内控管理中出现的新问题以及地区公司反馈的意见 及建议等，对手册进行修订，经总裁批准执行。 各地区公司应指定专职管理部门负责本单位手册的日常管理和维护。对手册日常使用过程中 发现的问题，应认真记录并及时反馈给内部控制部。 内部控制部应及时掌握手册的执行情况，并采取有效措施确保内部控制管理体系的有效运行。 关键术语和定义 是自愿性的私人组织，致力于通过强化商业道德建立完善有效的内部控制和法人治理结构以 提高财务报告的质量。年，由美国注册会计师协会会计协会财务经理协会 内部审计师协会管理会计师协会联合创建了反虚假财务报告委员会。该委员会旨在探讨 财务报告中舞弊产生的原因，并寻求解决措施。两年后，该委员会提出了很多有价值的建议......”。

3、“.....其赞助机构成立了委员会，专门研究内部控制问题。 框架 内部控制整体框架 反虚假财务报告委员会于年签署了报告，号召研究并制定个统的内部控制框架。年 月，委员会提出了报告内部控制整体框架年进行了增补，即内部控制框架。 内部控制框架被广泛地选择作为构建和完善内部控制体系的标准，是因为虽然内部控制框 架并非唯的内部控制框架，但却是美国证券交易委员会唯推荐使用的内部控制框架，萨班斯奥克 斯利法案第条款的最终细则也明确表明内部控制框架可以作为评估公司内部控制的标准。 管理考核和激励监督等方面的政策。 员工胜任能力健全全员职业培训和技能考核机制，持续提高员工的综合素质和工作能力。 反舞弊机制制定反舞弊相关制度，建立反舞弊机制。持续开展舞弊风险评估，建立舞弊风险数 据库。制定反舞弊控制措施，持续开展舞弊调查并进行违规处理。监督反舞弊机制运行效果并逐步予以完 善......”。

4、“.....风险评估是识别及分析影响公司目标实现的因素 的过程，是风险管理的基础。在风险评估中，既要识别和分析对实现目标具有阻碍作用的风险，也要发现 对实现目标具有积极影响的机遇。 公司制定完善的风险评估规范，明确风险评估的程序和方法，规范公司风险评估工作。公司风险评估 工作由内控部门组织有关职能部门和业务单位实施。 风险评估范围 公司针对战略目标经营目标报告目标合规性目标，分别确认风险评估的范围。 风险评估的基本程序 信息收集。围绕公司战略目标和相关目标以及风险管理要求，相关职能部门业务单位和内控 管理部门广泛持续收集与公司风险及风险管理相关的内部外部各种信息，包括收集历史数据和未来信 息，关注宏观经济与经营环境竞争对手新技术与新产品海外经营公司重组业务整合会计政策 信息系统资本运作等方面已经发生和将要发生的变化情况。公司对收集的数据信息和变化情况进行必 要的筛选提炼对比分类组合......”。

5、“.....以便进行风险 评估。 风险识别。风险识别是指查找公司各项重要经营管理活动及其重要业务流程中存在的影响目标 实现的风险和机遇的过程。公司分别从公司层面业务活动层面，动态识别影响公司战略目标及相关目标 实现的内部和外部的各种不确定性因素。带负面影响的因素代表风险，需要对其分析和应对带积极影 响的因素代表机遇，在制定目标和政策实施过程中对其加以考虑并把握。 公司层面风险识别。公司从战略发展的角度，识别公司层面面临的所有重大的不利因素和有利因 素，从而识别风险，发现机遇。这些因素来自外部和内部两个方面，外部因素主要包括政治因素经济因 素社会因素自然环境因素等内部因素主要包括基础设施因素员工因素流程因素和技术因素等。 业务活动层面风险识别。公司制定业务流程描述规范，建立流程目录并用流程图对所有业务进行 直观描述。在业务流程描述的基础上，以业务流程步骤为主线......”。

6、“..... 风险评价。风险评价是评估风险对公司实现目标的影响程度和风险发生可能性的过程。公司针 对固有风险和残存风险，运用定性和定量的方法，对公司层面和业务活动层面风险发生的可能性和影响程 度进行分析评价，并按照风险排序标准和方法，确定风险重要性水平，识别公司重大风险，确定风险管 理的优先顺序。 风险反应。风险反应是公司针对风险发生的原因风险重要性水平，考虑风险之间的关系并把 握机遇，运用风险组合观，选择风险反应方案的过程。风险反应方案包括回避风险减少风险分担风险 接受风险。 风险数据库 公司按照规定的程序和方法，开展公司层面风险和业务活动层面风险评估后，结合风险因素重要性 水平和风险反应方案，编制与维护公司层面风险数据库和业务活动层面风险数据库。 控制活动 控制活动是确保管理层关于风险应对方案得以贯彻执行的政策和程序。控制活动存在于公司所有级别 的分支机构和职能部门......”。

7、“..... 公司应根据风险管理策略，针对各类风险或每项重大风险制定相关的规章制度控制政策和控制措 施，确保风险控制在风险承受度的范围内。 公司针对风险建立的规章制度控制政策和控制措施，要满足合规的要求，坚持经营战略与风险策略 致风险控制与运营效率及效果相平衡的原则，针对重大风险所涉及的各管理及业务流程，制定涵盖各 个环节的全流程控制措施对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措 施。 公司应当按照各有关部门和业务单位的职责分工，组织实施控制措施。 针对公司层面风险，按照风险反应方案，建立相应的公司层面风险控制政策，制定公司统的规 章制度，统驭业务活动层面控制。 针对业务活动层面风险，以公司层面控制政策为导向，规范业务流程，制定业务活动层面风险控 制措施。 控制现状描述与分析。制定风险控制文档编制规范和模板......”。

8、“.....编 制风险控制文档，对控制的合理性完整性进行分析。 规范统业务流程。根据风险控制分析结果，补充完善相关控制，规范统流程步骤 控制规范和记录表单，建立规范统的业务流程。 建立关键控制。建立完善的关键控制确认方法，确定所有业务流程的关键控制并建立关键控制 管理文件。 强化自动控制。通过实施信息系统自动控制，固化流程操作程序，提高控制执行效率和效果。 财务会计报告流程。建立健全财务会计报告流程，完善财务会计报告相关制度。 建立并实施经营管理活动分析评价制度。各级管理层开展经营管理活动分析，对经营管理情况实 施审核和监督。 信息与沟通 信息与沟通是公司经营管理所需的信息被识别获得并以定形式及时地传递，以便员工履行职责。 信息不仅包括内部产生的信息，还包括与公司经营决策和对外报告相关的外部信息。畅通的沟通渠道和机 制使公司的员工能及时取得他们在执行管理和控制公司经营过程中所需的信息......”。

9、“.....为公司风险管理提供足够的信息资源和顺畅的沟通渠道。 信息资源收集。 公司持续不断地识别收集整理与归纳来自内部与外部经营与管理的各种信息。针对不同的信息 来源和信息类型，明确各种信息的收集人员收集方式传递程序报告途径和加工与处理要求，确保经 营管理各种信息资源得到及时准确完整收集。 信息沟通渠道。公司建立横向和纵向相互通畅贯穿整个公司的信息沟通渠道，确保公司目标 风险策略风险现状控制措施员工职责经营状况市场变化等各种信息在公司内部得到有效的传达。 公司建立适当的渠道，与公司的相关方如供应商客户律师股东监管机构外部审计师，就相 关信息进行必要的外部沟通。 信息披露。公司制定完善的信息披露管理制度，明确重大事项的判定标准和报告程序，确定披露 事项的收集汇总和披露程序，符合资本市场监管要求。 信息系统 公司将信息技术应用于风险管理各项工作......”。