1、XXXX有限公司 XXXX管理制度钢铁公司内控执行制度及对子公司监督管理制度编 制： 审 核： 批 准： 版 本 号: ESZAQDGF001 编 制： 审 核： 批 准： 版 本 号: 钢铁控股集团有限公司建立内部控制制度处理准则第 一 章 总则第 1 条为协助公司建立良好之公司治理制度，建立、健全并执行行之有效的公司内部控制体系，确保公司的持续健康发展，特订定本准则。第 2 条建立内部控制制度，除应遵守法令及章程之规定者外，应依本准则以及本准则所订定之内部控制制度规定办理。第 3 条内部控制制度系由经理人所设计，董事会通过，并由董事会、经理人及其他员工执行之管理过程，其目的在于促进公司之健2、全经营，以合理确保下列目标之达成：一、营运之效果及效率。二、报导具可靠性、及时性、透明性及符合相关规范。三、相关法令规章之遵循。前项第一款所称营运之效果及效率目标，包括获利、绩效及保障资产安全等目标。第一项第二款所称之报导，包括公司内部与外部财务报导及非财务报导。其中外部财务报导之目标，包括确保对外之财务报表系依照财务报告编制准则及一般公认会计原则编制，交易经适当核准等目标。第 4 条公司应以书面订定内部控制制度，含内部稽核实施细则，并经董事会通过，如有董事表示异议且有纪录或书面声明者，公司应将异议意见连同经董事会通过之内部控制制度送各监事；修正时，亦同。公司设置审计委员会者，订定或修正内部控3、制制度，应经审计委员会同意，并提董事会决议。前项如未经审计委员会同意者，得由全体董事三分之二以上同意行之，并应于董事会议事录载明审计委员会之决议。 第 二 章 内部控制制度之设计及执行第 5 条公司之内部控制制度，应订定明确之内部组织结构、呈报体系，及适当权限与责任，并载明经理人之设置、职称、委任与解任、职权范围及薪资报酬政策与制度等事项。公司应考虑公司及其子公司整体之营运活动，设计并确实执行其内部控制制度，且应随时检讨，以因应公司内外在环境之变迁，俾确保该制度之设计及执行持续有效。前项所称子公司，应依财务报告编制准则之规定认定之。第 6 条公司之内部控制制度应包括下列组成要素：一、控制环境：4、系公司设计及执行内部控制制度之基础。控制环境包括公司之诚信与道德价值、董事会及监事会治理监督责任、组织结构、权责分派、人力资源政策、绩效衡量及奖惩等。董事会与经理人应建立内部行为准则，包括订定董事行为准则、员工行为准则等事项。二、风险评估：风险评估之先决条件为确立各项目标，并与公司不同层级单位相链接，同时需考虑公司目标之适合性。管理阶层应考虑公司外部环境与商业模式改变之影响，以及可能发生之舞弊情事。其评估结果，可协助公司及时设计、修正及执行必要之控制作业。三、控制作业：系指公司依据风险评估结果，采用适当政策与程序之行动，将风险控制在可承受范围之内。控制作业之执行应包括公司所有层级、业务流程内之5、各个阶段、所有科技环境等范围及对子公司之监督与管理。四、信息与沟通：系指公司搜集、产生及使用来自内部与外部之攸关、具质量之信息，以支持内部控制其他组成要素之持续运作，并确保信息在公司内部，及公司与外部之间皆能进行有效沟通。内部控制制度须具备产生规划、执行、监督等所需信息及提供信息需求者适时取得资讯之机制。五、监督作业：系指公司进行持续性评估、个别评估或两者并行，以确定内部控制制度之各组成要素是否已经存在及持续运作。持续性评估系指不同层级营运过程中之例行评估；个别评估系由内部稽核人员、监事会或董事会等其他人员进行评估。对于所发现之内部控制制度缺失，应向适当层级之管理阶层、董事会及监事会沟通，并及6、时改善。公司于设计及执行，或自行评估，或会计师受托项目审查公司内部控制制度时，应综合考虑前项所列各组成要素，其判断项目依实际需要得自行增列必要之项目。第 7 条公司之内部控制制度应涵盖所有营运活动，遵循所属产业法令，并应依企业所属产业特性以营运循环类型区分，订定对下列循环之控制作业：一、销售及收款循环：包括订单处理、授信管理、运送货品或提供劳务、开立销货发票、开出账单、记录收入及应收帐款、销货折让及销货退回、客诉、产品销毁、执行与记录票据收受及现金收入等之政策及程序。二、采购及付款循环：包括供货商管理、代工厂商管理、请购、比议价、发包、进货或采购原料、物料、资产和劳务、处理采购单、经收货品、检7、验质量、填写验收报告书或处理退货、记录供货商负债、核准付款、进货折让、执行与记录票据交付及现金付款等之政策及程序。三、生产循环：包括环境安全管理、职业安全卫生管理、拟订生产计划、开立用料清单、储存材料、领料、投入生产、制程安全控管、制成品质量管理、下脚及废弃物管理、产品成分标示、计算存货生产成本、计算销货成本等之政策及程序。四、薪工循环：包括雇用、职务轮调、请假、排班、加班、辞退、训练、退休、决定薪资率、计时、计算薪津总额、计算薪资税及各项代扣款、设置薪资纪录、支付薪资、考勤及考核等之政策及程序。五、融资循环：包括借款、保证、承兑、租赁、发行公司债及其他有价证券等资金融通事项之授权、执行与记录8、等之政策及程序。六、不动产、厂房及设备循环：包括不动产、厂房及设备之取得、处分、维护、保管与记录等之政策及程序。七、投资循环：包括有价证券、投资性不动产、衍生性商品及其他投资之决策、买卖、保管与记录等之政策及程序。八、研发循环：包括对基础研究、产品设计、技术研发、产品试作与测试 、研发记录与文件保管、知识产权之取得、维护及运用等之政策及程序。公司得视企业所属产业特性，依实际营运活动自行调整必要之控制作业。第 8 条公司之内部控制制度，除包括前条对各种营运循环类型之控制作业外，尚应包括对下列作业之控制：一、印鉴使用之管理。二、票据领用之管理。三、预算之管理。四、财产之管理。五、背书保证之管理。六9、负债承诺及或有事项之管理。七、职务授权及代理人制度之执行。八、资金贷与他人之管理。九、财务及非财务信息之管理。十、关系人交易之管理。十一、财务报表编制流程之管理，包括适用国际财务报导准则之管理、会计专业判断程序、会计政策与估计变动之流程等。十二、对子公司之监督与管理。十三、董事会议事运作之管理。十四、个人资料保护之管理。公开发行公司设置审计委员会者，其内部控制制度，应包括审计委员会议事运作之管理。第 9 条公司使用计算机化信息系统处理者，其内部控制制度除信息部门与使用者部门应明确划分权责外，至少应包括下列控制作业：一、信息处理部门之功能及职责划分。二、系统开发及程序修改之控制。三、编制系统文10、书之控制。四、程序及数据之访问控制。五、数据输出入之控制。六、数据处理之控制。七、档案及设备之安全控制。八、硬件及系统软件之购置、使用及维护之控制。九、系统复原计划制度及测试程序之控制。十、资通安全检查之控制。十一、公开信息申报相关作业之控制。 第 三 章 内部控制制度之评估第 一 节 内部稽核第 10 条公司应实施内部稽核，其目的在于协助董事会及经理人检查及覆核内部控制制度之缺失及衡量营运之效果及效率，并适时提供改进建议，以确保内部控制制度得以持续有效实施及作为检讨修正内部控制制度之依据。第 11 条公司应设置隶属于董事会之内部稽核单位，并依公司规模、业务情况、管理需要及其他有关法令之规定，11、配置适任及适当人数之专任内部稽核人员，并应设置职务代理人，其代理执行稽核业务应依本准则规定办理。公司内部稽核主管之任免，应经董事会通过。公司设置审计委员会者，内部稽核主管之任免，应经审计委员会同意，并提董事会决议，并准用第四条第四项规定。公开发行公司内部稽核主管有异动者，公司应于事实发生日之即日起算二日内将异动原因及异动内容，以因特网信息系统申报备查。前项所称事实发生日，系指董事会决议日或其他足资确定稽核主管任免之日等日期孰前者。第一项所称适任之专任内部稽核人员应具备条件，另定之。第 12 条公司之内部稽核实施细则至少应包括下列项目：一、内部稽核单位之目的、职权及责任。二、对内部控制制度进行评12、估，以衡量现行政策、程序之有效性及遵循程度与其对各项营运活动之影响。三、厘定稽核项目、时间、程序及方法。第 13 条公司内部稽核单位应依风险评估结果拟订年度稽核计划，包括每月应稽核之项目，年度稽核计划并应确实执行，据以评估公司之内部控制制度，并检附工作底稿及相关资料等作成稽核报告。公开发行公司至少应将下列事项列为每年年度稽核计划之稽核项目：一、法令规章遵循事项。二、取得或处分资产、从事衍生性商品交易、资金贷与他人、为他人背书或提供保证之管理及关系人交易之管理等重大财务业务行为之控制作业。三、对子公司之监督与管理。四、董事会议事运作之管理。五、财务报表编制流程之管理，包括适用国际财务报导准则之管13、理、会计专业判断程序、会计政策与估计变动之流程等。六、资通安全检查。七、销售及收款循环、采购及付款循环等重要营运循环。公开发行公司设置审计委员会者，其年度稽核计划，应包括审计委员会议事运作之管理。公司年度稽核计划应经董事会通过；修正时，亦同。公司已设立独立董事者，依前项规定将年度稽核计划提报董事会讨论时，应充分考虑各独立董事之意见，并将其意见列入董事会纪录。第一项之稽核报告、工作底稿及相关资料应至少保存五年。第 14 条公司内部稽核人员应与受查单位就年度稽核项目查核结果充分沟通，对于评估所发现之内部控制制度缺失及异常事项，应据实揭露于稽核报告，并于该报告陈核后加以追踪，至少按季作成追踪报告至改14、善为止，以确定相关单位业已及时采取适当之改善措施。公司应就前项所发现之内部控制制度缺失、异常事项及改善情形，列为各部门绩效考核之重要项目。第一项内部控制制度缺失及异常事项改善情形，应包括内部稽核作业所发现、内部控制制度声明书所列、自行评估及会计师项目审查所发现之各项缺失。第 15 条公司应于稽核报告及追踪报告陈核后，于稽核项目完成之次月底前交付各监事查阅。公司内部稽核人员如发现重大违规情事或公司有受重大损害之虞时，应立即作成报告陈核，并通知各监事。第 16 条公司内部稽核人员应秉持超然独立之精神，以客观公正之立场，确实执行其职务，并尽专业上应有之注意，除定期向各监事报告稽核业务外，稽核主管并应15、列席董事会报告。内部稽核人员执行业务应本诚实信用原则，并不得有下列情事：一、明知公司之营运活动、报导及相关法令规章遵循情况有直接损害利害关系人之情事，而予以隐饰或作不实、不当之揭露。二、因职务上之废弛，致损及公司或利害关系人之权益等情事。三、逾越稽核职权范围以外之行为或有其他不正当情事，意图为自己或第三人之利益，违背其职务之行为或侵占公司资产。四、对于以前曾服务之部门，于一年内进行稽核作业。五、与自身有利害关系或利益冲突案件未予回避。六、未配合办理查核事项或提供相关数据。七、直接或间接提供、承诺、要求或收受不合理礼物、款待或其他任何形式之不正当利益。八、其他违反法令规定不得为之行为。第 17 16、条公开发行公司内部稽核人员应持续进修并参加认定机构所举办之内部稽核讲习，以提升稽核质量及能力。前项内部稽核讲习之内容，应包括各项专业课程、计算机稽核及法律常识等。第一项进修时数之规定，另定之。第 18 条公司应将内部稽核人员之姓名、年龄、学历、经历、服务年资及所受训练等数据依规定格式，于每年一月底前以因特网信息系统申报备查。第 19 条公司应于每会计年度终了前将次一年度稽核计划及每会计年度终了后二个月内将上一年度之年度稽核计划执行情形，依规定格式以网际网路信息系统申报备查。第 20 条公司应于每会计年度终了后五个月内将上一年度内部稽核所见内部控制制度缺失及异常事项改善情形，依规定格式以因特网信17、息系统申报备查。第 二 节 自行评估及内部控制制度声明书第 21 条公司自行评估内部控制制度之目的，在落实公司自我监督的机制、及时因应环境的改变，以调整内部控制制度之设计及执行，并提升内部稽核部门的稽核质量及效率；其自行评估之范围，应涵盖公司各类内部控制制度之设计及执行。公司执行前项评估，应于内部控制制度订定自行评估作业之程序及方法。公司应注意相关法令规章遵循事项并依风险评估结果，决定前项自行评估作业程序及方法，并至少包含下列项目：一、确定应进行测试之控制作业。二、确认应纳入自行评估之营运单位。三、评估各项控制作业设计之有效性。四、评估各项控制作业执行之有效性。第 22 条公司自行评估内部控制18、制度，应先督促其内部各单位及子公司每年至少办理自行评估一次，再由内部稽核单位复核各单位及子公司之自行评估报告，并同稽核单位所发现之内部控制缺失及异常事项改善情形，以作为董事会及总经理评估整体内部控制制度有效性及出具内部控制制度声明书之主要依据。前项自行评估应作成工作底稿，并同自行评估报告及相关数据至少保存五年。第 23 条公司自行评估内部控制制度之结果，以公司之内部控制制度是否能合理确保下列事项，分为有效之内部控制制度或有重大缺失之内部控制制度：一、董事会及总经理了解营运之效果及效率目标达成程度。二、报导系属可靠、及时、透明及符合相关规范。三、已遵循相关法令规章。第 24 条公司应每年自行评估19、内部控制制度设计及执行的有效性，并依规定格式作成内部控制制度声明书，除另有规定者外，应于每会计年度终了后三个月内办理公告申报。公司设置审计委员会者，前项内部控制制度设计及执行之有效性，应经审计委员会同意，并准用第四条第四项规定。第一项内部控制制度声明书应先经董事会通过；修正时，亦同。第一项内部控制制度声明书应依规定刊登于年报、股票公开发行说明书及公开说明书。第 四 章 对子公司之监督与管理第 25 条公开发行公司应于内部控制制度中，订定对子公司必要之控制作业，并考量该子公司所在地政府法令之规定及实际营运之性质，督促其子公司建立内部控制制度。第 26 条公开发行公司对其子公司经营管理之监督与管理20、，至少应包括下列控制作业：一、公司与各子公司间应建立适当的组织控制架构，包括子公司董事、监事及重要经理人之选任、指派权责之方式及薪资报酬政策与制度等事项。二、公司应规划其与子公司间整体之经营策略、风险管理政策与指导原则，俾供各子公司据以拟定相关业务之经营计划、风险管理之政策及程序。三、公司应订定其与各子公司间，包括业务区隔、订单接洽、备料方式、存货配置、应收应付帐款之条件、帐务处理等之政策及程序。四、公司应订定其监督与管理各子公司重大财务、业务事项，包括事业计画及预算、重大设备投资及转投资、举借债务、资金贷与他人、背书保证、债务承诺、有价证券及衍生性金融商品之投资、重要合同、重大财产变动及适用21、国际财务报导准则、专业判断、重要会计政策与估计变动之流程管理等之政策及程序。第 27 条公司对其子公司财务、业务信息之监督与管理，至少应包括下列控制作业：一、公司应督导各子公司建立独立的财务及业务信息系统。二、公司与各子公司间应建立有效之财务及业务沟通系统，子公司除前条所列之重大财务、业务事项应于事实发生前陈报公司外，依相关规定应为公告或申报之其他足以影响公司权益及证券价格之重大事项亦应于事实发生时立即向公司报告。三、公司应至少按季取得各子公司月结之管理报告，包括营运报告、产销量月报表、资产负债月报表、损益月报表、现金流量月报表、应收帐款帐龄分析表及逾期帐款明细表、存货库龄分析表、资金贷与他人22、及背书保证月报表等，进行分析检讨。四、公司应配合法令规定之应公告或申报事项及其时限，及时安排各子公司提供必要之财务、业务信息，或委托会计师进行查核或核阅各子公司之财务报告。前项第三款有关公司应取得各子公司月结之管理报告，进行分析检讨；其应遵行事项，另定之。第 28 条公司对其子公司稽核管理之监督与管理，至少应包括下列控制作业：一、公司应视各子公司之业务性质、营运规模及员工人数，指导其设置内部稽核单位及订定内部控制制度自行评估作业之程序及方法，并监督其执行。二、公司内部稽核实施细则应将各子公司纳入内部稽核范围，定期或不定期执行稽核作业；稽核报告之发现及建议于陈核后，应通知各受查之子公司改善，并定23、期作成追踪报告，以确定其已及时采取适当之改善措施。三、子公司应将项目稽核计划、年度稽核计划及实际执行情形，发现之内部控制制度缺失及异常事项改善情形等尽速向公司提出报告。四、公司内部稽核单位应复核各子公司所陈报之稽核报告或自行评估报告，并追踪其内部控制制度缺失及异常事项改善情形。第 五 章 附则第 29 条公司应于内部控制制度中订定经理人及相关人员违反本准则或公司所订内部控制制度规定时之处罚。公司应随时检查内部稽核人员有无违反第十一条第一项有关适任与专任规定及第十六条第二项规定之情事，如有违反者，公司应于发现之日起一个月内调整其职务。公司于依第十八条规定申报内部稽核人员之基本资料时，应检查内部稽24、核人员是否符合第十七条第一项规定，如违反该项规定，应于一个月内改善，若逾期未予改善，公司应立即调整其职务。第 30 条公司有下列情事之一者，得限期改善，必要时并得委托会计师项目审查公司之内部控制制度，并取具审查报告备查：一、未订书面内部控制制度。二、未配置适任或适当人数之专任内部稽核人员。三、未依期限申报或未确实执行年度稽核计划。四、未依期限申报年度稽核计划实际执行情形。五、未依期限申报稽核所见内部控制缺失及异常事项之改善情形。六、未依规定自行评估内部控制制度，或未作成内部控制制度声明书。七、未依会计师出具之内部控制建议书改善内部控制缺失事项而情节重大。八、外部财务报导不实或违反法令规章情节重大。九、发生重大舞弊或有舞弊之嫌。十、其他有应项目审查之必要。第 31 条公司宜订定适当之风险管理政策与程序，建立有效风险管理机制，以评估及监督其风险承担能力、已承受风险现况、决定风险因应策略及风险管理程序遵循情形。第 32 条公司设置审计委员会者，本准则第四条第一项、第六条第一项第一款、第五款、第十五条第一项、第二项、第十六条第一项及第二十六条第一项第一款对于监事之规定，于审计委员会准用之。第 33 条本准则规定格式，另定之。第 34 条本准则经董事会通过后实施，修正时同。- 12 -