人福医药集团股份公司风险管理与内部控制管理制度

（2025年12月版）

第一章总则第一条为建立规范、有效的风险管理体系，促进提高风险防范能力，提高经营管理水平，根据《中华人民共和国公司法》《企业内部控制基本规范》（财会〔2008〕7号）等法律法规、规范性文件有关规定，结合人福医药集团股份公司（下称“人福医药”）实际，制定本制度。

第二条本制度适用于人福医药及下属全资、控股、实际控制及其受托管理的公司及其他所属单位。

人福医药下属境外企业在满足相关法律法规、监管要求的前提下，可结合自身经营管理实际，根据本制度制定并完善自身风险管理与内部控制管理制度。

第三条本制度所称风险是指未来的不确定性对人福医药实现经营目标的影响；风险管理是指各单位围绕总体经营目标，建立健全风险管理体系，包括风险管理策略、风险监测预警机制、风险应对措施，从而为实现风险管理总体目标提供合理保证的过程和方法；内部控制是指由各单位治理层、管理层及全体员工实施的，通过在管理环节和经营过程中构建良好的内部环境、执行基本流程，从而实现控制目标的过程。

第四条人福医药风险管理工作的总体目标是：

以保障人福医药总体战略目标为出发点，以风险管理为导向，以合规管理监督为重点，以内部控制为抓手，建立健全风险管理与内部控制体系，提升防范化解重大风险能力，合理保证实现人福医药经营管理合法合规，保证财务报告及相关信息的真实完整，提高经营效率，促进人福医药实现发展战略。

第五条除上下文另有说明外，下列词语或简称在本制度中的含义如下：

(一)人福医药：指人福医药集团股份公司。

(二)各部门：指人福医药总部各部门。

(三)下属单位：指人福医药下属全资、控股、实际控制及其受托管理的公司及其他所属单位。

(四)上级单位：指本制度具体条款所涉主体的母公司或对本制度具体条款所涉主体有管理权的单位。

(五)各单位：指人福医药及人福医药下属单位。

(六)风险管理领导机构：指各单位经理层中负责统筹领导风险管理与内部控制工作的机构或部门。

(七)风控工作机构：指各单位负责具体开展实施风险管理与内部控制工作的机构或部门。

(八)本制度：指《人福医药集团股份公司风险管理与内部控制管理制度》。

第二章工作原则与基本要素

第六条风险管理与内部控制相关工作须遵循以下原则：

(一)引导性原则。主动适应内外部环境变化，持续优化

风险管理与内部控制体系机制，确保与企业经营规模、业务范围、竞争能力和管理水平匹配。

(二)成本效益原则。充分权衡实施成本与预期效益，在风险应对策略和控制措施的选择方面以适当的成本实现有效的控制。

(三)服务业务原则。风险管理与内部控制工作突出以预防为主、监督为辅的理念，将控制措施融入生产经营活动，促使经营管理依法合规。

(四)全面性原则。覆盖全业务领域、全业务过程、全组织层级和全体员工，贯穿决策、执行、监督和反馈各环节。

(五)重要性原则。在全面控制的基础上，聚焦关键业务、改革重点领域、重要岗位、重大风险等。

(六)分级管理原则。各单位风险管理与内部控制工作在人福医药统一领导下开展，各单位（部门）对本单位（部门）的风险管理与内部控制工作负责。

第七条各单位应建立与实施有效的风险管理与内部控制，包括下列基本要素：

(一)内部环境。内部环境是各单位实施内部控制的基础，包括治理结构、机构设置及权责分配、内部审计、人力资源政策、企业文化等。

(二)风险评估。风险评估是各单位及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略的过程。

(三)控制活动。控制活动是各单位根据风险评估结果，采用相应的控制措施，将风险控制在可承受度之内的过程。

(四)信息与沟通。信息与沟通是各单位及时、准确地收集、传递与风险管理相关的信息，确保信息在各单位内外部之间进行有效沟通的过程。

(五)内部监督。内部监督是各单位对内部控制建立与实施情况进行监督检查，评价内部控制的有效，发现内部控制缺陷并加以改进的过程。

第三章管理职责

第八条各单位应建立健全风险管理与内部控制管理组织体系和工作机制，发挥党组织对风险管理与内部控制工作把方向、管大局、保落实的领导作用，清晰划分党组织与董事会、经理层的风险管理及内部控制职责，充实风险管理与内部控制人员队伍，提供必要的工作组织保障，形成领导有力、职责明确、流程清晰、规范有序的风险管理与内部控制工作机制。

第九条各单位应结合实际需要确定风险管理领导机构，统筹领导本单位风险管理与内部控制工作。

人福医药董事会是人福医药风险管理与内部控制工作的最高决策机构，对人福医药风险管理与内部控制工作的有效性负责，建立健全风险管理与内部控制体系，制定风险管理与内部控制基本制度，审议批准人福医药风险管理与内部控制工作报告及其他相关重大事项。人福医药董事会下设审计委员会，指导人福医药风险管理体系与内部控制体系建设，向董事会负责

并报告工作，为董事会议案、重大决策提出专业咨询意见或建议。

人福医药党委在人福医药风险管理与内部控制工作中发挥把方向、管大局、保落实的领导作用，前置研究讨论人福医药风险管理与内部控制基本制度，定期听取人福医药风险管理与内部控制工作的相关报告，研究和讨论其他风险管理与内部控制重大事项。

人福医药风险管理委员会履行人福医药风险管理、内部控制、法律管理和合规管理等日常管理职责。人福医药风险管理委员会由主任、副主任和委员构成，其中主任由人福医药总经理担任，副主任由分管风险管理部的公司领导担任，委员由人福医药其他公司领导及各部门负责人组成，在风险管理与内部控制方面的职责为：

(一)负责统筹建立人福医药风险管理与内部控制体系和工作机制，组织制定相关战略规划，批准年度工作计划。

(二)统筹人福医药风险偏好体系、全面风险管理体系、重点风险监测体系、内部控制管理体系的建设及实施。

(三)审议人福医药重大风险预警、跟踪和应对方案。

(四)听取人福医药风险管理与内部控制工作相关汇报，审议人福医药重大经营风险预测评估报告、内控体系工作报告、内控自评报告、年度工作总结报告等工作成果。

(五)日常督导和监控各单位开展风险管理与内部控制工作。

(六)审议风险管理与内部控制工作的其他重大事项。第十条各单位风控工作机构是本单位风险管理与内部控制工作牵头部门。

人福医药风险管理部是人福医药风险管理与内部控制工作牵头部门，主要职责包括：

(一)统筹制定年度工作计划，落实年度计划实施工作。

(二)统筹推动人福医药建立、维护并优化风险管理和内部控制管理体系，研究起草风险管理与内部控制工作相关规章制度。

(三)落实人福医药各项风险管理与内部控制工作任务，协同各部门及下属单位开展风险管理与内部控制具体工作，监控工作进展和质量。

(四)组织编制人福医药重大经营风险预测评估报告、内控体系工作报告、内控自评价报告、年度工作总结报告等相关报告及通报，并向人福医药风险管理委员会汇报。

(五)定期或不定期实施对下属单位风险管理与内部控制工作开展情况的检查评估，对发现的重大问题或潜在风险，组织相关部门开展沟通反馈工作。

(六)跟踪督办落实其他风险管理与内部控制具体任务。

第十一条各单位各部门负责相应职能范围内的风险管理与内部控制建设、实施及维护等工作，向本单位风控工作机构反馈风险管理与内部控制工作相关情况，配合开展风险管理与内部控制具体任务；对下属单位对应职能风险管理与内部控

制日常管理工作进行指导、审批、监控。

第十二条各单位应构筑本单位风险管理与内部控制“三道线”职责。

人福医药“三道线”如下：

(一)人福医药直接处理业务的职能部门为风险管理的第一线，是风险管理运行的执行机构，负责本部门风险管理体系建设、实施及维护，并严格按照人福医药规章制度、规定、办法和指引等内容开展相应工作，管理风险。

(二)人福医药支持业务的职能部门为风险管理的第二线，负责监控人福医药风险管理体系运行情况，协同第一线开展风险管理工作，为风险管理相关的事项提供专业知识、支持、监督并提出合理的质疑。

(三)人福医药审计、违规追责、监察职能部门为风险管理的第三线，独立对人福医药运营管理进行监督、评价和审计，对所有与实现目标相关的事项提供独立和客观的确认和建议。

第十三条人福医药管理的下属二级公司、重要境外机构（指投资金额超过1亿美元且由人福医药或下属单位负责实质经营）原则上应设立风险管理和内部控制专岗，下属单位每5个经营管理主体原则上应至少配备1名内部控制专职人员。每个经营管理主体原则上应至少配备1名风险管理与内部控制专职人员。

第四章风险管理

第十四条各单位应适时建立本单位整体风险偏好体系，根据上级单位要求拟定本单位风险偏好类和风险容忍类指标、具体限额及阈值区间，负责风险偏好的日常监控与报告，推动风险偏好管理下沉应用，上报风险偏好指标及监控情况。

人福医药风险管理部负责制定人福医药风险偏好指标、具体限额及阈值区间，经人福医药风险管理委员会审批后报上级单位审阅。人福医药相关职能部门根据风险管理部需求定期提供风险偏好指标监测相关数据，风险管理部更新汇总后上报上级单位。

第十五条各单位应参考人福医药风险分类，结合本单位实际，划分本单位风险类别及风险层级。

人福医药应根据上级单位要求每年开展重大风险评估工作，适时更新重大风险清单，厘清风险应对责任；建立重大风险防控责任台账，持续跟踪并落实风险应对计划。

第十六条各单位应参照上级单位风险预警体系，结合本单位风险特性与管理需要，建立健全本单位重点风险预警体系，将关键领域风险纳入重点风险监测范围，不断提升深化重点风险监测的广度和精度，动态跟踪风险变化趋势，及时制定并采取应对措施，根据上级单位要求报送重点风险监测预警情况。

人福医药应按上级单位要求定期更新重点风险监测预警情况后上报，对各单位重点风险监测及应对情况适时给予督导反馈。

第十七条各单位应按照统筹及分级管理原则，结合本单位实际，根据上级单位经营风险事件管理要求和运行机制，制定本单位经营风险事件管理规章制度。经营风险事件发生后，相应单位应立即履行报告程序，综合判断预计损失，明确责任部门/责任人和风险化解目标，制定风险事件应对方案，根据上级单位要求报送重点风险监测预警情况。

人福医药应定期跟踪监测风险事件变化及应对方案实施情况，按要求及时上报上级单位。

第五章内部控制

第十八条各单位应树立管理制度化、制度流程化、流程信息化的内部控制理念，建立健全内部控制制度，规范业务流程和权限。原则上各单位应每年更新维护权限清单，加强对重要岗位的管控，提升内部控制信息化水平，推动财务、合同、业务、采购等重要领域流程信息化率不断提升，强化内部控制体系刚性约束。

第十九条各单位应当加大内部控制监督力度，通过内部控制自我评价、监督检查、日常监督等方式形成对核心经营业务事前、事中、事后全过程的持续监督，不断健全完善内部控制体系。每年应聚焦重要领域、关键环节及重要岗位，对内部控制体系有效性进行自我评价，加大对业务全流程穿行测试力度，建立差异化的评价抽样规则。各单位应将重大风险事件、重大内控缺陷等纳入自我评价、监督检查范围，对所涉及的业务管理全过程进行独立评价。人福医药应按照“一级覆盖一级”

的原则，对下属单位进行内部控制监督检查，定期形成被检查单位内部控制画像。

第二十条各单位应当严格落实内部控制缺陷整改，深入分析缺陷产生原因，明确整改方案、主体责任和完成时限，逐项落实整改。

各单位应对内部控制缺陷进行集中管理，定期跟踪整改情况并实行“销号”制度，按要求组织开展内部控制整改“回头看”，对内部控制缺陷整改情况进行复核。

第二十一条各单位应当逐步建立“横向到边、纵向到底”的内部控制专项整治机制，横向加大对薄弱环节的专项整治，全面排查和整治重点领域存在的突出问题和短板弱项；纵向紧盯对薄弱单位的专项整治，由上级单位实行挂牌整改督办，综合采取季度复查内部控制整改情况、对缺陷高发业务领域实施提级审批管理、每年对其开展内部控制监督检查等管控措施，有针对性地改进短板弱项，提升内部控制治理成效。

第六章日常工作保障

第二十二条每年年初，各单位应结合实际需要及上级单位具体要求编写本年度风险管理与内部控制工作计划，根据上级单位要求报送。

人福医药风险管理部按照上级单位工作计划，结合各单位风险管理与内部控制工作计划，制定符合自身实际的年度工作计划，经内部审批后上报上级单位审阅。

第二十三条各单位应履行风险管理与内部控制工作定期

报告机制。根据上级单位要求报送风险管理与内部控制相关材料及报告。

人福医药风险管理部根据上级单位要求，定期向上级单位报送风险管理与内部控制相关材料及报告。人福医药涉及报其董事会审议的报告，应按照相关制度规定履行前置研究讨论程序。

第二十四条人福医药定期或不定期对各单位风险管理与内部控制的组织及制度建设、风险管理与内部控制体系运行、风险应对化解、日常风险管理与内部控制工作质量等方面开展沟通反馈，对其开展风险管理与内部控制工作及其工作效果进行评价。

第二十五条人福医药持续监控各单位风险管控情况。对存在风险管理与内部控制工作不到位，经营发展存在苗头性、倾向性问题或较大风险隐患，发生重大经营风险事件、内部控制突出问题或重大缺陷等情形的，可采取通报、约谈等方式进行风险提示与警示。

第七章考核与追责

第二十六条人福医药定期或不定期对各单位风控与内控工作体系建设、运行及维护等情况进行综合评估，评估结果视情况纳入各单位风险管理与内部控制工作考核范围。

第二十七条各单位应当建立重大内部控制缺陷倒查问责机制，对内外部监督检查或评价发现的重大内部控制缺陷，未达到追究违规经营投资责任程度的，按照管理层级和干部管

理权限，组织倒查内部控制深层次原因，认定责任，给予批评教育、书面检查、约谈、通报等内部控制问责处理。

第二十八条对各单位存在重大风险隐患、内控缺陷和合规管理等问题失察，或虽发现但没有及时报告、处理，造成本单位重大资产损失或其他严重不良后果的，应视情节向相关部门或单位追究责任；对下属单位未按规定履行风险管理与内控体系建设职责、未执行或执行不力，以及瞒报、漏报、谎报或迟报重大风险及内控缺陷事件的，坚决追责，层层落实监督责任。

第八章附则

第二十九条本制度由人福医药风险管理部负责解释、修订。

第三十条本制度自发布之日起施行。