新疆百花村医药集团股份有限公司
内部控制制度第一章总则第一条新疆百花村医药集团股份有限公司（以下简称“公司”）为强化公司内部管理，提高经营效率和风险管理水平，切实维护股东合法权益，依据《中华人民共和国公司法》《中华人民共和国证券法》《上市公司治理准则》《上海证券交易所上市公司自律监管指引第1号——规范运作》等法律、法规、规章及规范性文件及《公司章程》的有关规定，结合本公司实际，特制定本制度。
第二条本制度的制定坚持架构清晰、控制有效、系统完整、切实可行的原则。
第三条公司内部控制的目的
（一）确保国家有关法律、法规和公司内部规章制度的贯彻执行；
（二）提高公司运营效率及效果，增强公司风险控制能力；
（三）保障公司资产的安全、完整；
（四）确保公司信息披露的真实、准确、完整和公平。
第四条公司董事会对公司内部控制的建立、完善和有效运行负责，并定期对公司内控情况进行全面检查和效果评估。
公司审计委员会负责监督公司内部控制制度的执行，对发现的内部控制缺陷，可责令公司整改。
公司经营层负责经营环节内部控制制度体系的建立、完善，全面推进公司内部控制制度的执行。
第五条公司内部控制应考虑以下要素：
（一）目标设定：根据公司经营业务的发展及行业特点设定公司战略目标。
（二）内部环境：影响公司内部控制制度制定、运行及效果的各种综合因素，包括公司企业文化、风险理念、道德规范、组织结构、人事管理等。
（三）风险确认：对影响公司目标实现的内部和外部风险进行识别确认。
（四）风险评估：对影响公司目标实现的内部和外部风险发生的可能性和影响进行分析判断。
（五）风险对策：根据公司风险承受能力，采取规避、降低、分担或接受的风险应对方式，制定相应的风险控制措施。
（六）控制活动：为确保风险对策有效执行而制定的制度和程序，包括核准、授权、验证、调整、复核、定期盘点、记录核对、职能分工、资产保全、绩效考核等。
（七）信息沟通：识别收集公司内部和外部的相关信息，及时向相关人员有效传递。
（八）检查监督：对公司内部控制的运行情况进行检查、评价、反馈。
第六条公司内部控制主要包括内部环境控制、经营环节控制、专项风险控制、内部控制的检查监督、内部控制的信息披露等内容。
第七条公司坚持以内部预防和监控为主，明确预防重点，完善预防机制，重视监控过程，采取教育、行政、经济、法律等多种手段相结合，落实监管责任，最终达到强化内部管理、实施有效监控的目的。
第二章内部环境控制
第八条内部环境控制包括授权控制和员工素质控制。
第九条公司建立合理的组织架构，确保各项工作责权到位，有序进行。
（一）股东会享有法律法规和公司章程规定的合法权利，依法行使公司筹资、投资、担保、利润分配等重大事项的表决权；
（二）董事会对股东会负责，依法行使企业的经营决策权；
（三）经理层负责组织实施股东会、董事会决议事项，主持公司的生产经营管理工作；
（四）公司根据发展要求和内部控制需要设置职能管理部门及子（分）公司。公司对所属企业进行计划目标管理和监控管理，下属企业负责具体经营管理工作。
（五）公司董事、高级管理人员应当在企业文化建设中发挥主导作用。公司员工应当按照《员工手册》规范言行，认真履行岗位职责。
第十条依据公司章程建立逐级授权制度，各级授权要适当，职责要分明，并对授权实行动态管理，建立有效的评价和反馈机制，对已不适用的授权应及时修改或取消授权。
（一）公司制定《章程》，以维护公司、股东、职工和债权人的合法权益，规范公司的组织和行为。
（二）公司制定《股东会议事规则》，明确股东会的职权，并对股东会的召开条件、召开程序、会议通知与提案、会议决议与公告、股东资格认定等作出规定，以规范股东会的运作程序，提高议事效率，最大限度地维护股东的合法权益。
（三）公司制定《董事会议事规则》，明确董事会的职权、组成、召集、议事程序、决议公告等，以确保董事会的工作效率和科学决策，提高议事效率，更好地发挥董事会决策作用。
（四）公司制定《董事会各专门委员会实施细则》，明确董事会战略与ESG委员会、提名委员会、审计委员会、薪酬与考核委员会的人员组成、职责权限、决策程序、议事规则等，确保公司的规范运作。
（五）公司制定《总经理工作细则》，明确总经理的任职资格与任免程序、总经理职权，总经理办公会议制度，向董事会的报告制度，以及考核与奖惩的具体规定等，以规范公司的经营管理活动。
（六）公司各职能管理部门的岗位设置与人员编制应符合实际，并做到定岗科学合理，定员精干高效。
第三章经营环节控制
第十一条公司的内部控制活动应涵盖公司所有经营环节，包括但不限于销货及收款、采购及付款、存货管理、固定资产管理、货币资金管理、担保与融资管理、投资管理、研发管理、人力资源管理等环节。
第十二条公司职能管理部门和下属企业职能管理部门根据实际工作内容，明确各自工作职责，制定各项业务管理规章制度，并根据业务操作流程，针对各个风险点制定必要的控制程序。
第十三条业务操作流程的主要内容包括：制定依据、决策人和主办单位、工作内容、工作完成要求、工作成果或质量记录、责任人、协办人等。
第十四条公司制定《投资管理制度》、《合同管理办法》、《印章管理办法》等，规范公司投资行为和决策程序,促进公司投资决策的科学化和民主化，确保投资安全。加强对投资项目的有效管理，提高项目开发管理水平，促进项目管理的科学化、程序化、制度化运作。
第十五条公司制定《信息披露事务管理办法》、《关联交易实施细则》、《募集资金管理制度》、《独立董事工作细则》、《投资者关系管理制度》、《重大信息内部报告制度》、《公文处理程序及规定》，明确公司的信息披露内容、关联交易程序、募集资金使用规定、独立董事工作规定、投资者关系管理、内部信息报告和传递等，确保公司的规范运作。
第十六条公司制定《财务管理办法》，包括会计核算控制和财务管理控制。明确财务机构和会计人员的岗位责任管理、会计档案管理、会计电算化管理、会计核算管理、内部会计控制管理、资产管理、资产减值准备计提及损失处理管理、资产损失处理管理、资金管理、银行保函管理、成本费用管理、收入管理、利润及利润分配管理、财务会计报告管理、发票及收据管理、对外担保管理、企业效绩评价等，建立严格的成本控制制度、业绩考核制度、财务收支审批制度、费用报销制度、会计档案保管和财务交接制度等，确保公司会计工作行为规范，有效提高会计工作质量。
第十七条公司制定《财务会计管理内控制度》，明确财务预算控制、货币资金使用控制、商品销售控制、债权债务管理控制、成本费用控制、投资控制，以及监督检查等，针对各风险控制点建立严密的会计控制系统，加强经济业务过程的控制，预防各种弊端，严把公司财经纪律关，充分发挥财务管理在公司经营管理中的核心作用，确保公司健康运营。
第十八条公司制定《法律事务管理制度》，明确规范合同管理、合同纠纷处理、案件诉讼、重大事项跟踪、责任追究等，促进公司依法经营管理，保障和维护自身合法权益。
第十九条公司制定《人力资源管理制度》、《绩效考核管理办法》、《员工培训管理办法》、《员工薪酬管理办法》、《员工假期管理办法》等规章制度，明确公司的机构设置、职务任免、员工调配、考核与奖惩、员工培训、职称评聘、薪酬与假期、保险与福利等内容，有效加强员工素质控制，确保企业内部激励机制和监督约束机制的完善。
第二十条公司制定《内部审计制度》《<内部审计制度>实施细则》等，明确审计范围、程序、职责、权限、处罚、责任追究等，加强全过程的审计监督，强化和改善经营管理，以达到维护企业合法权益，加强廉政建设，提高经济效益的目的。
第四章专项风险控制第二十一条公司制定《子公司管理制度》《经营目标管理办法》等，加强对所属企业进行计划目标管理和监控管理。
第二十二条公司制定《突发事件应急处理制度》，以控制突发事件给公司带来的风险，减少损失，保护公司以及投资者的利益。第二十三条如发生控股股东、实际控制人及关联股东利用其控股地位侵占公司资产的情况，公司董事会应立即以公司名义向人民法院申请司法冻结其所侵占的公司资产及其持有的股份。凡控股股东及关联股东不能清偿的，通过变现控股股东及关联股东股份偿还侵占资产。
第二十四条公司董事、高级管理人员有义务维护公司资金不被大股东及关联股东占用。若发生董事、高级管理人员协助、纵容控股股东及其附属企业侵占公司资产时，公司董事会应视情节轻重对直接责任人给予处分，对负有严重责任的董事提请股东会予以罢免。
第五章内部控制的检查监督
第二十五条董事会审计委员会通过审计部负责检查监督内部控制制度执行情况、评价内部控制有效性、提出完善内部控制及纠正错弊建议等工作。
第二十六条公司董事会授权审计部负责公司内部控制运行情况的日常检查监督工作，公司各部门及所属子（分）公司对检查监督工作应认真履行配合义务。
第二十七条公司审计部应对公司内控制度的落实情况进行定期和不定期的检查，并在年度和半年度结束后的一个月内，向董事会审计委员会提交上年度和半年度内部控制检查监督工作报告，并由审计委员会编制内部控制自我评估报告草案报董事会审议。
第二十八条公司审计部负责拟定公司年度内部控制审计计划报审计委员会确认后，据此检查、评估公司的内部控制运行情况，并编制工作底稿、收集相关资料，出具内部控制检查监督工作报告。内部审计人员对报告中反映的问题提出建议后加以追踪，并定期撰写落实情况报告，对相关部门的整改措施进行评估。上述工作底稿、内部控制检查监督工作报告、整改落实报告及其他相关资料等至少应保存十年。公司审计部至少每季度向审计委员会报告一次，内容包括但不限于内部审计计划的执行情况以及内部审计工作中发现的问题。
第二十九条公司根据实际情况制定《<内部审计制度>实施细则》，该细则包括以下内容：
（一）对内部控制制度设计的完整性、科学性进行检查、评估的程序和方法；
（二）对内部控制制度执行情况的有效性进行检查、评估的程序和方法；
（三）对检查、评估发现的内部控制缺陷及异常情况的处理程序和方法。
第三十条公司针对环境控制、风险评估、控制活动、信息及沟通、监督等内容制定具体的评估项目，由审计部定期对公司内部控制工作进行评估，协助董事会及经理层及时了解内部控制的有效性，及时应对内、外环境的变化，确保内部控制的设计及执行持续有效。
第三十一条公司对内部控制进行评估的内容包括：
（一）控制环境——指影响内部控制效果的各种综合因素。控制环境是其他控制要素发挥作用的基础，直接影响到内部控制的贯彻执行及内部控制目标的实现。主要包括：董事会的结构；经理层的职业道德、诚信及能力；经理层的经营管理风格；聘用、培训、管理员工及划分员工权责的方式；信息沟通体系等。
（二）风险评估——指公司对可能导致内部控制目标无法实现的内、外部因素进行评估，以确认这些因素的影响程度及发生的可能性，其评估结果可协助公司制定必要的内部控制制度。
（三）控制活动——指协助经理层确保其指令已被执行的政策或程序，主要包括核准、验证、调节、复核、定期盘点、记录核对、职能分工、保障资产安全及与计划、预算、与前期效果的比较等内容。
（四）信息及沟通——通过内部控制产生规划、监督等所需的信息，并使信息需求者能适时取得相关信息，主要包括与内部控制目标有关的财务及非财务信息在公司内部的传递及向外传递。
（五）监督——指对内部控制的效果进行评估的过程，包括评估控制环境是否良好，风险评估是否及时、准确，内部控制活动是否适当、确实，信息及沟通系统是否良好顺畅等。监督可分为持续性监督及专项监督，持续性监督是经营过程中的例行监督，包括经理层的日常管理与监督，员工履行其职务时所采取的监督等；专项监督是由公司内部相关人员或外部相关机构就某一特定目标进行的监督。
第三十二条公司内部审计部门提交的内部控制检查监督报告至少应包括对上述五个方面内容的评价及对公司内部控制总体效果的结论性意见。第三十三条公司内部控制效果的结论性意见分为有效的内部控制或有重大缺陷的内部控制。所谓有重大缺陷的内部控制，是指上述五个方面内容中任一方面存在缺陷，且此种缺陷将导致内部控制目标无法实现。
第六章内部控制的信息披露
第三十四条公司审计部在对内控运行情况进行检查监督过程中，如发现公司出现重大异常情况，可能或已经遭受重大损失时，应及时向审计委员会报告。公司董事会应采取有效的解决措施，必要时报上海证券交易所并公告。
第三十五条公司董事会审计委员会根据审计部提交的内部控制检查监督工作报告及相关信息，评价公司内部控制的建立和实施情况，形成内部控制自我评估报告，在审议年度财务报告等事项的同时，对公司内部控制自我评估报告形成决议。
第三十六条公司董事会应在年度报告披露的同时，披露年度内部控制自我评估报告，并披露会计师事务所对内部控制自我评估报告的核实评价意见。
第三十七条公司内部控制自我评估报告至少应包括如下内容：
（一）董事会对内部控制评价报告真实性的声明；
（二）内部控制评价工作的总体情况；
（三）内部控制评价的依据、范围、程序和方法；
（四）内部控制存在的缺陷及其认定情况；
（五）对上一年度内部控制缺陷的整改情况；
（六）对本年度内部控制缺陷拟采取的整改措施；
（七）内部控制有效性的结论。
第三十八条会计师事务所在对公司进行年度审计时，应参照有关主管部门的规定，就公司内部控制自我评估报告出具核实评价意见。
第三十九条如会计师事务所对公司内部控制有效性表示异议的，公司董事会应针对该审核意见涉及事项做出专项说明，专项说明至少应包括以下内容：
（一）所涉及事项的基本情况；
（二）该事项对公司内部控制有效性的影响程度；
（三）公司董事会及其审计委员会对该事项的意见以及所依据的材料；
（四）消除该事项及其影响的具体措施。
第七章附则第四十条公司将内部控制制度的健全完备和有效执行情况作为绩效考核的重要指标，对违反内部控制制度和影响内部控制制度执行的有关责任人将予以查处。
第四十一条公司针对环境、时间、经营情况的变化及内部审计部门、会计师事务所等机构所发现的内部控制缺陷，不断调整修正本制度。
第四十二条本制度由公司董事会负责解释。
第四十三条本制度自公司董事会审议通过之日起执行。
新疆百花村医药集团股份有限公司董事会
2025年8月20日