北京同仁堂股份有限公司
内部控制制度
第一章 总则第一条 为加强北京同仁堂股份有限公司（以下简称公司）内部控制，促进公司规范运作，保护投资者的合法权益，根据《中华人民共和国公司法》《中华人民共和国证券法》《上市公司治理准则》《上海证券交易所股票上市规则》、上海证券交易所上市公司自律监管指引、《北京同仁堂股份有限公司章程》（以下简称《公司章程》）及其他有关法律、法规、规范性文件之规定，制定本制度。第二条 公司建立健全内部控制的目标：
建立和完善符合现代管理要求及上市公司标准的内部组织结构，建立全面有效的风险管理控制体系，合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实、准确、完整，提高经营效率和效果，促进企业实现持续、健康、稳定发展。
第三条 公司建立健全内部控制，遵循下列基本原则：
（一）全面性原则。内部控制应当贯穿决策、执行和监督全过程，覆盖公司及其所属单位的各类重要业务和事项。
（二）重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项和高风险领域。
（三）制衡性原则。内部控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。
（四）适应性原则。内部控制应当与企业经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。
（五）成本效益原则。内部控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。
第四条 公司内部控制主要内容为内部控制环境、风险评估、内部控制活动、信息与沟通、内部监督与信息披露等。第五条 公司董事会负责公司内部控制制度的制定、实施和完善，并定期对内部控制执行情况进行全面检查和效果评估。第六条 监事会负责监督内部控制制度的建立与执行，对董事会、经理层就公司内部控制体系的建立健全、有效实施与评估进行监督。对发现的重大内部控制缺陷，可责令公司进行整改。第七条 经营层负责经营环节的内部控制体系相关制度的建立和完善，负责推进内部控制制度的执行，检查公司各职能部门和单位制定、执行各专项内部控制相关制度的情况。
第八条 公司审计部负责组织内部控制自我评价工作，并向董事会审计委员会提交内部控制评价报告。
第二章 内部控制环境
第九条 内部控制环境主要包括治理结构、机构设置和权责分配、人力资源政策、企业文化等方面内容。
第十条 公司应加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。内部审计机构应当结合内部审计工作，对内部控制的有效性进行监督检查。发现内部控制缺陷应当按照内部审计工作程序进行报告，并有权直接向董事会及其审计委员会、监事会报告。
第十一条 公司应当重视人力资源建设，通过制定、实施人力资源管理等
规章制度及管理流程，确保公司内部激励机制和监督约束机制的完善。
第十二条 公司的人员应保持独立性。公司的高级管理人员在控股股东不
得担任除董事、监事以外的其他行政职务。控股股东高级管理人员兼任公司董事、监事的，应当保证有足够的时间和精力承担公司的工作。第十三条 公司的资产应当独立完整、权属清晰，不被董事、监事、高级管理人员、控股股东、实际控制人及其他关联人占用或者支配。
第十四条 公司建立健全独立的财务核算体系，能够独立作出财务决策，具有规范的财务会计制度和对分公司、子公司的财务管理制度。
第三章 风险评估
第十五条 风险评估旨在帮助公司及时识别、系统分析经营活动中与实现内部控制目标相关的内外部风险，确定相应的风险承受度，从而合理确定风险应对策略。
第十六条 公司应当根据设定的风险类别和控制目标，全面系统持续地收集内部信息和外部相关信息，结合公司实际及时进行风险评估。
第十七条 公司在识别内部风险时，应关注组织架构、业务流程、人力资源、财务状况、技术运用、环境保护等有关内部风险因素。
第十八条 公司在识别外部风险时，应关注经济环境、产业政策、法律、法规、消费者行为、科技进步、自然环境变化等有关外部风险因素。
第十九条 公司按照风险发生的可能性及其影响程度等方面，采用定性与定量相结合的方法，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。在风险分析中，可以考虑利用专业人员参与风险分析。
第二十条 公司应建立风险评估机制，对风险进行有效分析，准确识别与实现控制目标相关的内部风险和外部风险，确保风险分析结果的准确性，结合风险承受能力，权衡风险与收益，确定风险应对策略。
第二十一条 公司应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。
第二十二条 公司应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。
第四章 控制活动
第二十三条 控制活动包括：部门设置、岗位责任、业务规章、业务流程等。采取的控制措施包括：不相容职务分离、授权审批、财产保护、会计核算、财务管理、预算控制、运营分析和绩效考核等。
第二十四条 公司职能部门、下属单位，应根据实际工作内容，明确各部门工作职责，制定各项业务管理规章制度。
第二十五条 公司职能部门、下属单位，应根据实际工作需要对业务流程所涉及的不相容职务，实施相应分离措施，形成各司其职、各负其责、相互制约的工作机制。
第二十六条 公司建立授权管理，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。公司各级管理人员应当在授权范围内行使职权和承担责任。公司对于重大的业务和事项，应当实行集体决策审批。
第二十七条 公司内部控制体系相关制度应当涵盖经营活动的所有环节，包括销货及收款、采购及付款、存货管理、固定资产管理、货币资金管理、担保与融资、投资管理、研发管理、人力资源管理等环节。
除涵盖经营活动各个环节外，公司内部控制体系相关制度还应当包括各方面专项管理制度，包括印章使用管理、票据领用管理、预算管理、资产管理、信息系统管理与信息披露管理制度等。
第二十八条 公司执行企业会计准则，制定财务管理制度和办法，明确财务机构和会计人员岗位职责，强化公司会计工作行为规范，提高会计工作质量。针对经营风险建立严密的会计控制系统，确保公司的健康经营运作。
第二十九条 公司建立和实施绩效考评制度，对职能部门及员工的工作
进行定期考核和客观评价，将考评结果作为实施奖惩机制的依据。
第五章 信息与沟通第三十条 信息与沟通控制分为内部信息沟通控制和公开信息披露控制。第三十一条 公司建立内部信息与反馈机制，制定内部信息传递制度以及重大信息内部报告制度，促进内部信息沟通，提高工作效率，增强管理透明度，降低经营风险。第三十二条 公司制定信息化管理制度，建立智能办公系统，充分利用公司电子信箱、网络、内部刊物，搭建企业内部信息沟通平台。第三十三条 公司加强对信息系统开发与维护、数据输入与输出、文件储存与保管、网络安全等方面的控制，保证信息系统安全稳定运行。
第三十四条 公司制定信息披露管理办法，明确信息披露的原则、内容、程序、责任、保密等内容，切实保护公司、股东、债权人及其他利益相关者的合法权益，提高信息披露质量，确保对外信息披露及时、准确、完整。
第六章 内部监督及信息披露
第三十五条 监督是对内部控制体系设计及运行情况进行监督检查，评估其有效性，发现内部控制缺陷并及时加以改进的一个过程。内部监督分为日常监督和专项监督。
第三十六条 公司设审计部，对内部控制制度的建立和实施、财务信息的真实性和完整性等情况进行检查监督。
审计部应当保持独立性，对董事会审计委员会负责，向审计委员会报告工作。
第三十七条 除法律、法规另有规定外，董事会审计委员会应当督导内部审计部门对下列事项进行检查，出具检查报告并提交审计委员会。检查发现
公司存在违法违规、运作不规范等情形的，应当及时向上海证券交易所报告：
（一）公司募集资金使用、提供担保、关联交易、证券投资与衍生品交易、提供财务资助、购买或者出售资产、对外投资等重大事件的实施情况；
（二）公司大额资金往来以及与董事、监事、高级管理人员、控股股东、实际控制人及其关联人资金往来情况。
审计委员会应当根据内部审计部门提交的内部审计报告及相关资料，对公司内部控制有效性出具书面的评估意见，并向董事会报告。董事会或者审计委员会认为公司内部控制存在重大缺陷或者重大风险的，或者保荐人、会计师事务所指出公司内部控制有效性存在重大缺陷的，董事会应当及时向上海证券交易所报告并予以披露。公司应当在公告中披露内部控制存在的重大缺陷或者重大风险、已经或者可能导致的后果，以及已采取或者拟采取的措施。
第三十八条 公司董事会或者其审计委员会应当根据内部审计部门出具的评价报告及相关资料，出具年度内部控制自我评价报告。内部控制评价报告应当包括下列内容：
（一）董事会对内部控制评价报告真实性的声明；
（二）内部控制评价工作的总体情况；
（三）内部控制评价的依据、范围、程序和方法；
（四）内部控制存在的缺陷及其认定情况；
（五）对上一年度内部控制缺陷的整改情况；
（六）对本年度内部控制缺陷拟采取的整改措施；
（七）内部控制有效性的结论。
会计师事务所应当参照主管部门相关规定对公司内部控制评价报告进行核实评价。
第三十九条 董事会或者审计委员会应当根据公司内部审计工作报告及相关信息，评价公司内部控制的建立和实施情况，形成内部控制评价报告。董事会应当在审议年度报告等事项的同时，对公司内部控制评价报告形成决议。
公司应当在披露年度报告的同时，披露年度内部控制评价报告，并同时披露会计师事务所出具的内部控制审计报告。
第四十条 如会计师事务所对公司内部控制有效性出具非标准审计报告，或者指出公司非财务报告内部控制存在重大缺陷的，公司董事会、监事会应当针对所涉及事项作出专项说明，专项说明至少应当包括下列内容：
（一）所涉及事项的基本情况；
（二）该事项对公司内部控制有效性的影响程度；
（三）公司董事会、监事会对该事项的意见；
（四）消除该事项及其影响的具体措施。
第七章 附则
第四十一条 本制度未尽事宜，按国家有关法律、法规、部门规章、规范性文件及《公司章程》的规定执行。本制度的规定如与国家日后颁布或修订的法律、法规、部门规章、规范性文件或经合法程序修订后的《公司章程》的规定不一致，按后者的规定执行，公司及时修改本制度。
第四十二条 本制度由公司董事会负责解释。
第四十三条 本制度自公司董事会决议通过之日起生效。
北京同仁堂股份有限公司
二零二三年六月