西部证券股份有限公司内部控制评价工作管理办法
第一章 总则第一条 为了规范西部证券股份有限公司(以下简称“公司”)内部控制评价工作，及时发现内部控制风险和缺陷, 提出和实施改进方案，保证内部控制活动的有效运行，建立健全公司内部控制制度，根据《企业内部控制基本规范》《证券公司内部控制指引》《企业内部控制评价指引》《深圳证券交易所上市公司规范运作指引》《公开发行证券的公司信息披露编报规则第21号—年度内部控制评价报告的一般规定》等法律法规、准则规定，结合公司实际情况制定本办法。
第二条 本办法所称内部控制评价，是指由公司董事会领导，内部控制评价委员会组织实施的，对公司内部控制有效性进行全面评价，形成评价结论，出具评价报告的过程。
公司董事会对内部控制评价报告的真实性、准确性、完整性负责。
第三条 公司实施内部控制评价应当遵循下列原则：
（一）全面性原则。评价工作应当包括内部控制的设计与运行，涵盖公司及所属机构的各种业务和事项；
（二）重要性原则。评价工作应当在全面评价的基础上，关注重要业务单位、重大业务事项和高风险领域；
（三）客观性原则。评价工作应当准确地揭示经营管理的风险状况，如实反映内部控制设计与运行的有效性。
第四条 公司内部控制评价包括年度评价和专项评价。年度评价是指对公司某一年度建立与实施内部控制的有效性进行的评价；专项评价是指公司在特定时点对特定范围的内部控制的有效性进行的评价。
第五条 本办法仅规范年度内部控制评价工作。专项内部控制评价工作另行制度约定。
第二章 评价工作机构和程序
第六条 经董事会或其授权机构批准，公司成立内部控制评价委员会，全面负责组织、实施公司内部控制评价工作。内控评价委员会共由5名常设委员组成，其中设主席1名。
内控评价委员会下设内部控制评价工作小组，负责具体实施内部控制评价工作。工作小组设组长1名，小组成员由稽核部、合规管理部、风险管理部、法律事务部和证券事务部指定人员组成。牵头部门依据《西部证券股份有限公司内部控制评价委员会工作规则》确定。
公司可以委托中介机构实施内部控制评价。为公司提供内部控制审计服务的会计师事务所，不得同时为公司提供内部控制评价服务。
第七条 公司内部控制评价工作小组负责组织实施评价工作，拟定评价工作方案，明确评价范围、工作任务、人员组织、进度安排和费用预算等相关内容，报内部控制评价委员会审批后实施。
第八条 公司各职能管理部门、业务部门、分支机构和控股子公司应按照评价工作方案要求，对其管辖范围的内部控制活动进行自
评，形成自评工作底稿，完成自评报告。自评工作底稿和报告经本部门或本机构负责人签字确认后，提交公司内部控制评价工作小组。
公司各职能管理部门、业务部门、分支机构和控股子公司应根据经批准的评价方案，组成内部控制自评工作组，具体实施内部控制评价工作。自评工作组应当由熟悉本部门或本机构内部控制活动的业务骨干组成，自评部门或机构的合规人员应是自评工作组成员。
各部门或机构在开展内控自评工作时应遵循客观性原则，如实反映本部门或机构的内部控制状况，对于刻意隐瞒内部控制缺陷导致公司发生信息披露错报、虚报或其他损失的，公司应追究当事人的责任。
第九条 公司内部控制评价工作小组应在各职能管理部门、业务部门、分支机构和控股子公司自评的基础上，对自评结果进行汇总整理，并对关键的和高风险的内部控制活动进行抽查测试。
内部控制评价工作小组在对自评结果进行抽查测试时，应综合运用个别访谈、调查问卷、专题讨论、穿行测试、实地查验、抽样和比较分析等方法，充分收集内部控制设计和运行是否有效的证据，按照评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。
工作小组成员应当回避所在部门的抽查测试工作。
公司各职能管理部门、业务部门、分支机构和控股子公司应指定专人协助和配合评价工作小组的工作。
第十条 内部控制评价工作小组应根据各职能管理部门、业务部门、分支机构和控股子公司的自评结果和抽查测试的结果，形成公司内部控制评价报告。
内部控制评价报告报公司内部控制评价委员会审议后，履行董事会审议程序。
第十一条 内部控制评价工作应当形成工作底稿，详细记录执行评价工作的内容，包括评价要素、主要风险点、采取的控制措施、有关证据资料以及认定结果等。
评价工作底稿应当设计合理、证据充分、简便易行、便于操作。
内部控制评价过程中形成的有关文件、工作底稿、证明材料、评价报告等资料由稽核部比照审计档案进行保管。
第三章 内部控制评价内容
第十二条 公司内部控制评价委员会应根据《企业内部控制基本规范》及其应用指引、《证券公司内部控制指引》和公司的内部控制制度，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，确定内部控制评价的具体内容，对内部控制设计与运行情况进行全面评价。
第十三条 对内部环境评价，应当以组织架构、发展战略、人力资源、企业文化、社会责任等应用指引为依据，结合公司的内部控制制度，对内部环境的设计及实际运行情况进行认定和评价。
第十四条 对风险评估机制评价，应当以《企业内部控制基本规范》有关风险评估的要求，以及各项应用指引中所列主要风险为依据，结合公司的内部控制制度，对风险评估机制的运行情况进行评价，包括对日常经营管理过程中的风险识别、风险分析、应对策略等风险控
制机制进行认定和评价。
第十五条 对控制活动评价，应当以《企业内部控制基本规范》和各项应用指引中的控制措施为依据，结合《证券公司内部控制指引》以及公司内外部制度规定，对相关控制措施的设计和运行情况进行认定和评价。
第十六条 对信息与沟通评价，应当以内部信息传递、财务报告、信息系统等相关应用指引为依据，结合公司的内部控制制度，对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。
第十七条 对内部监督评价，应当以《企业内部控制基本规范》有关内部监督的要求，以及各项应用指引中有关日常管控的规定为依据，结合公司的内部控制制度，对内部监督机制的有效性进行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。
第四章 内部控制缺陷认定
第十八条 内部控制缺陷包括设计缺陷和运行缺陷。公司对内部控制缺陷的认定，应当以日常监督和专项监督为基础，结合年度内部控制评价，由内部控制评价工作小组进行综合分析后提出认定意见。
第十九条 内部控制评价工作小组在评价工作中，应当充分发挥各部门或机构自评工作组的作用。各部门或机构的自评工作组应当根
据自评过程中获取的证据，对内部控制缺陷进行初步认定，并按其影响程度分为重大缺陷、重要缺陷和一般缺陷。
重大缺陷：是指一个或多个控制缺陷的组合，可能导致企业严重偏离控制目标。
重要缺陷：是指一个或多个控制缺陷的组合，其严重程度和经济后果低于重大缺陷，但仍有可能导致企业偏离控制目标。
一般缺陷：是指除重大缺陷、重要缺陷之外的其他缺陷。
第二十条 各部门或机构的自评工作组应当建立评价质量交叉复核制度，自评工作组负责人应当对自评工作底稿进行严格审核，并对所认定的评价结果签字确认后，提交本部门或本机构负责人确认。
第二十一条 公司内部控制评价工作小组应当编制内部控制缺陷认定汇总表，结合日常监督和专项监督发现的内部控制缺陷及其持续改进情况，对内部控制缺陷及其成因、表现形式和影响程度进行综合分析和全面复核，提出认定意见，报内部控制评价委员会审核后予以认定。重大缺陷报董事会予以最终认定。
第五章 内部控制缺陷整改
第二十二条 公司对于认定的内部控制缺陷，经营管理层应当及时采取应对措施，制定整改方案，明确整改的时间，切实将风险控制在可承受程度之内。
第二十三条 与内部控制缺陷相关的部门为整改工作的直接责任人，负责制定具体的整改方案，落实整改工作，并在整改工作完成后
向经营管理层报送整改结果的情况说明。
第二十四条 对于经董事会认定的重大缺陷，由内部控制评价委员会负责监督和确认控制缺陷的整改情况。
其他控制缺陷，由整改部门分管领导负责监督和确认控制缺陷的整改情况。
第二十五条 公司各职能管理部门、业务部门、分支机构和控股子公司的合规人员，应当对内部控制缺陷整改后的运行情况进行持续监督。
第二十六条 公司应当将内部控制评价结果作为各职能管理部门、业务部门、分支机构和控股子公司的重要考核指标。对违反内部控制制度和影响内部控制制度执行的，应追究相关责任人的责任。对内部监督中发现的重大缺陷，追究相关责任单位或者责任人的责任。
第六章 内部控制评价报告
第二十七条 内部控制评价报告应当分别就内控环境、风险评估、控制活动、信息与沟通、内部监督等要素进行设计，对内部控制评价过程、内部控制缺陷认定及整改情况、内部控制有效性的结论等相关内容作出披露。
第二十八条 内部控制评价报告至少应当披露下列内容：
（一）重要声明；
（二）内部控制评价结论；
（三）内部控制评价工作的总体情况；
（四）内部控制评价的范围；
（五）内部控制评价工作依据、程序、方法及内部控制缺陷认定标准；
（六）内部控制缺陷认定及整改情况；
（七）其他内部控制相关重大事项说明。
第二十九条 公司内部控制评价工作小组应当根据年度内部控制评价结果，结合内部控制评价工作底稿和内部控制缺陷汇总表等资料，按照规定的程序和要求，及时编制内部控制评价报告。
第三十条 内部控制评价报告经内部控制评价委员会审议后，提交审计委员会及董事会审议，董事会应在审议年度报告的同时，对内部控制评价报告形成决议，审议批准后对外披露或报送相关部门。监事会和独立董事应当对内部控制评价报告发表意见。
公司内部控制评价委员会应当关注自内部控制评价报告基准日至内部控制评价报告发出日之间是否发生影响内部控制有效性的因素，并根据其性质和影响程度对评价结论进行相应调整。
第三十一条 公司以12月31日作为年度内部控制评价报告的基准日。内部控制评价报告应与年度报告一并对外披露。
第七章 附则
第三十二条 本办法未尽事宜，按有关法律、法规及准则规定执行。
第三十三条 本办法属于基本管理制度，由董事会负责制定、解
释和修订，对本规则执行过程中的具体事项，由稽核部负责说明。
第三十四条 本办法自董事会下发之日起施行。原《西部证券股份有限公司内部控制评价工作暂行办法》（西证董字[2016]34号）废止。
附录
一、相关流程
无
二、相关文件
1.企业内部控制基本规范
2.证券公司内部控制指引
3.企业内部控制评价指引
4.深圳证券交易所上市公司规范运作指引
5.公开发行证券的公司信息披露编报规则第21号—年度内部控制评价报告的一般规定
6.西部证券股份有限公司内部控制评价委员会工作规则
三、相关记录
1.内部控制缺陷认定汇总表