康芝药业:内部控制管理制度(2025年修订)

康芝药业股份有限公司
内部控制管理制度
（2025 年修订）
第一章 总则
为了加强康芝药业股份有限公司（以下简称“公司”）的内部控制，提高公司经营管理水平和风险防范能力，促进公司规范运作和健康发展，保护投资者合法权益，根据《中华人民共和国公司法》《中华人民共和国证券法》《企业内部控制基本规范》《企业内部控制应用指引》《深圳证券交易所创业板股票上市规则》《深圳证券交易所上市公司自律监管指引第 2 号--创业板上市公司规范运作》等法律、法规，《公司章程》的规定，结合公司的行业及业务特点，制定本制度。
第一条 本制度适用于康芝药业股份有限公司及其下属单位的各级机构的内部控制管理。
第二条 定义：
（一） 本制度所称内部控制，是指公司董事会、审计委员会、高级管理人员及全体员工为实现第三条所列目标而提供合理保证的过程。
（二） 实施的、旨在实现控制目标的过程。
（三） 本制度所称“公司”，指康芝药业股份有限公司。
（四） 本制度所称“下属单位”，指公司的各办事处、分公司、全资子公司、控股子公司以及各类院、办、中心等从属于或受控于公司的单位。
第三条 公司通过对内部控制制度的有效实施，达到以下目标：
（一） 合规目标：确保公司的经营管理合法合规，以及公司内部规章制度的贯彻执行。
（二） 运营目标：建立良性的公司内部环境，提高经营效率和效果，促进公司实现发展战略。

（三） 资产安全目标：建立切实有效的风险管理机制，从而保证公司的经营管理和资产的安全。
（四） 报告目标：保证内部、外部的信息有效沟通，财务报告及相关信息的真实、完整。
第四条 公司内部控制应遵循以下主要原则：
（一） 全面性原则。内部控制应当覆盖公司及其下属单位的所有业务、部门和人员，渗透到决策、执行、监督、反馈等各个环节。
（二） 重要性原则。内部控制应当在全面控制的基础上，关注重要业务事项、高风险领域。
（三） 制衡性原则。公司治理结构、部门和岗位的设置应当权责分明、相互制约、相互监督。承担内部控制管理与监督检查职能的部门应当独立于公司其他部门。任何人不得拥有凌驾于内部控制之上的特殊权力。
（四） 适应性原则。内部控制应当与公司经营规模、业务范围、业务特点、风险状况以及所处具体环境等方面相适应，并随着情况的变化及时调整。
（五） 成本效益原则。内部控制应当合理权衡成本与效益的关系，以合理的成本实现有效的控制。
第五条 公司应当运用信息技术加强内部控制，建立与经营管理相适应的信息系统，促进内部控制流程与信息系统的有机结合，实现对业务和事项的自动控制，减少或消除人为操纵因素。
第六条 公司全面实行内部控制，并进行定期和不定期的监督检查，以应对公司内外环境的变化，确保内部控制制度有效运行。
第七条 公司应当建立内部控制实施的激励约束机制，将各责任单位和全体员工实施内部控制的情况纳入绩效考评体系，促进内部控制的有效实施。
第八条 公司在必要时可聘请中介机构协助建立和完善内控制度及风险管理。公司将委托从事内部控制审计的会计师事务所，根据《企业内部控制基本规范》及其配套指引和相关执业准则，对公司建立与实施内部控制的有效性进行审计，
出具审计报告。为公司内部控制提供咨询的会计师事务所，不得同时为公司提供内部控制审计服务。
第二章 内部控制的总体框架
第九条 公司建立和实施内部控制时，应当考虑以下基本要素：
（一） 内部环境。内部环境是企业实施内部控制的基础，一般包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。
（二） 风险评估。风险评估是企业及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略。
（三） 控制活动。控制活动是企业根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内。
（四） 信息与沟通。信息与沟通是企业及时、准确地收集、传递与内部控制相关的信息，确保信息在企业内部、企业与外部之间进行有效沟通。
（五） 内部监督与评价。内部监督与评价是企业对内部控制建立与实施情况进行监督检查，评价内部控制的有效性，发现内部控制缺陷，应当及时加以改进。
第十条 公司内部控制制度应至少在以下层面作出安排：
（一） 公司层面。
（二） 公司各职能部门及下属单位层面。
（三） 公司各业务环节层面。
第十一条 公司层面：公司应当按照法律、法规、规章及其配套办法、指引，建立健全内部控制制度，保证其完整性、合理性。
第十二条 公司各职能部门及下属单位层面：各部门、各单位应在符合公司总体战略目标的基础上，针对自身业务环节的特点，建立相应的内部控制制度。
第十三条 业务环节层面：内部控制涵盖公司及下属单位的经营活动中所有的业务环节，主要包括但不限于以下：

（一） 组织架构环节：包括股东会、董事会、审计委员会、经理层和公司内部各层级机构设置、职责权限、人员编制、工作程序的建立、评估、修订等。【组织架构环节主要包括：公司治理结构的建立，明确股东会、董事会、审计委员会、经理层的职责权限、任职要求、议事规则和工作程序；公司内部各级执行机构（如各职能部门、分支结构和子公司）的设置、职责权限、人员编制、工作程序的科学界定；以及对整个组织架构有效性的评估、优化和动态调整】。
（二） 发展战略环节：包括发展战略的分析、制订、实施与调整。
（三） 人力资源环节：包括人力资源的规划、引进、开发、使用、退出等。
（四） 社会责任环节：包括安全生产、产品质量、环境保护与节约资源、促进就业与员工权益保护等。
（五） 公司文化环节：包括公司文化的建设、评估与改进等。
（六） 资金活动环节：包括筹资、投资、资金运营等。
（七） 采购业务环节：包括计划、申购、审批、采购、验收、付款、后评估等。
（八） 资产管理环节：包括固定资产、仓储存货及无形资产等。
（九） 销售业务环节：包括市场与客户开发、信用管理、业务谈判、订单处理、发货与退货处理、开票与收款、记账等。
（十） 品牌管理环节：包括品牌的研究、策划、实施、维护等。
（十一） 研究与开发环节：包括立项申请、可行性研究、项目评审与审批、基础研究、产品设计、技术开发、产品测试和验收、成果保护、转化和应用、研发记录及文件保管等。
（十二） 工程项目环节：包括项目的立项、可行性研究、概算、招标、造价、建设与监理、价款支付、验收、决算、后评估等。
（十三） 担保业务环节：包括调查、评估、审批、执行与监控等。
（十四） 业务外包环节（不涉及工程项目外包）：包括对承包方的选择、
（十五） 财务报告环节：包括财务报告的编制、对外提供与分析利用等。
（十六） 全面预算环节：包括预算的编制、执行与考核等。
（十七） 合同管理环节：包括合同的谈判、审批、订立、履行、变更与解除、保密与评估。
（十八） 内部信息传递环节：包括内部报告的内容设计、及时形成、传递范围和方式与时效、密级分类与使用安全等。
（十九） 信息系统环节：包括信息系统的规划、开发、运行与维护、安全管理。
（二十） 行业监管符合性环节：药品食品等行业的采购、生产、设备、质量、物资、销售等部门的工作除了应符合公司的通用管理制度的要求之外，还应按照行业的 GMP/GSP 要求进行管理。
第十四条 公司内部控制除了涵盖经营管理中的主要环节之外，还贯穿于各环节的管理制度之中，包括但不限于：印章使用管理制度、票据领用管理制度、预算管理制度、资产管理制度、质量管理制度、担保管理制度、信息披露管理制度、品牌管理制度及对下属单位的管理制度等。
第三章 内部环境
第十五条 公司须根据国家有关法律法规和公司章程，建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成科学有效的职责分工和制衡机制。
（一） 公司股东会是公司最高权力机构，依法行使公司经营方针、筹资、投资、利润分配等重大事项的表决权。
（二） 公司董事会对股东会负责，依法行使公司的经营决策权。
（三） 公司在董事会中设置审计委员会，行使《公司法》规定的监事会的
（四） 公司经理层负责组织实施股东会、董事会决议事项，主持公司的经营管理工作。
（五） 公司根据实际经营需要，结合内部控制的要求设置内部机构、投资并管理子公司、控股公司。公司对子公司、控股公司实施预算管理和监控管理，子公司、控股公司负责各自的具体经营管理工作。
第十六条 公司董事会负责内部控制的建立健全和有效实施。审计委员会对董事会建立与实施内部控制进行监督。经理层负责公司内部控制的日常运行。
第十七条 公司总裁负责依照董事会的精神对内部控制进行战略规划和管理。公司设立审计监察部，由总裁授权该部门负责内部控制的日常管理工作。
第十八条 公司审计监察部独立于公司及各下属单位、各职能部门，专职负责公司内部控制体系的建设、运行，对公司内部控制情况进行全面检查和效果评估，在此基础上对内部控制体系进行维护、完善。
第十九条 公司各职能部门内部控制的日常执行，由本部门最高领导负责按照公司审计监察部的要求，建立本部门的符合内部控制要求的管理制度、岗位职责和业务操作流程，并落实到日常工作中。
第二十条 公司应加强对子公司、控股公司等下属单位的内部控制管理。
（一） 公司审计监察部应指导各下属单位按照母公司的内部控制总体精神，建立符合本单位实际情况的内部控制制度，并对其内部控制情况进行全面检查和效果评估。
（二） 各下属单位内部控制的日常执行，由本单位总经理负责组织建立符合内部控制要求的管理制度、岗位职责和业务操作流程，并落实到日常工作中。
（三） 公司的董事会办公室、财务总部、人力资源总部、品牌管理部等职能部门，应作为公司授权机构，同时承担对子公司、控股公司的法人治理、股东会决策、董事会风险管理、投资决策风险、财务运营风险、资产与资金的安全管理、人力资源风险、品牌传播等方面的内部控制职能。
（四） 公司通过公司委派到各子公司的董事及推荐到各子公司的管理人员，
按照岗位职责具体介入子公司的业务、事务的内部控制管理，并按要求及时向公司汇报。
（五） 公司应比照上述要求，对分公司和具有重大影响的参股公司的内控制度管理作出相应安排。
第二十一条 公司在董事会下设立审计委员会。审计委员会负责审查公司内部控制，监督内部控制的有效实施和内部控制评价情况，协调内部控制审计及其他相关事宜等。审计委员会负责人应当具备相应的独立性、良好的职业操守和专业胜任能力。
第二十二条 公司应当编制内部管理手册，使全体员工掌握内部机构设置、岗位职责、业务流程等情况，明确权责分配，正确行使职权。
第二十三条 公司应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。内部审计机构应当结合内部审计工作，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照公司内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会报告。
第二十四条 公司及各下属单位的各级职能部门应对审计监察部进行的内部控制相关工作提供全方位的必要配合。
第二十五条 公司制定和实施有利于公司可持续发展的人力资源政策。人力资源政策包括下列内容：
（一） 员工的聘用、培训