2012年度内部控制评价报告

天马微电子股份有限公司

2012年度内部控制评价报告

天马微电子股份有限公司全体股东：

根据《企业内部控制基本规范》（以下简称“基本规范”）、《企业内部控制评价指引》（以下简称“评价指引”）及深圳证券交易所《上市公司内部控制指引》等法律法规和规范性文件的要求，我们对本公司（以下简称“公司”）内部控制的有效性进行了自我评价。

一、董事会声明

公司董事会及全体董事保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带责任。

建立健全并有效实施内部控制是公司董事会的责任；监事会对董事会建立与实施内部控制进行监督；经营层负责组织公司内部控制的日常运行。

公司内部控制的目标是：加强公司经营管理、规范会计行为、保证资产安全，及时发现、纠正管理缺陷，防范舞弊行为，不断提高内控设计和运行的有效性，全面提升公司内控管理水平，为实现公司战略目标、价值最大化及业务的高效运行提供有效支持。由于内部控制存在固有局限性，故仅能对达到上述目标提供合理保证。

二、内部控制评价工作的总体情况

（一）优化内控组织架构

2011年公司系统搭建了内控组织架构，在董事会下专门成立风险管理委员会，全面负责风险管理及内部控制体系建设工作。在母公司层面组织建立了内控项目组，项目组具体分为四大系统，即风控系统、战略与证券系统、财务系统和运营系统。

2012年为了降低跨地域协同办公的成本及充分发挥各子公司的主观能动性，公司在母公司及各子公司层面分别组织成立专门的内控项目组，全面负责本单位的内控体系建设工作，母公司层面内控项目组在进行指导的同时不定期开展检查，确保内控工

作落到实处。同时，风险管理部作为内控建设的总体归口部门，在2011年5名专职人员的情况下进一步扩充为10名专职人员。

（二）优化内控管理制度

健全规范的内控管理制度是企业良好运行的坚实基础。制度文件的缺失不仅是管理上的漏洞，亦是内控设计缺陷。2011年，借内控体系建设契机，公司修订及新建制度143项。2012年，公司通过对内控体系进行优化提升进一步梳理完善了各项管理制度，通过广泛征求意见，反复论证，剖析公司的主要业务流程，对现有制度的适用性和有效性进行评估和诊断，进一步完善了公司的制度体系，优化了管理流程，强化了制度执行力。

2011年，公司在开展内控体系建设的过程中建立了《风险数据库》、《内控手册》和《评价手册》，以满足日常内控管理工作的需求。2012年，公司对其进一步优化完善，使内控各项工作文档和工作程序更加规范化标准化。

（三）优化内控运行机制

1、内控体系建设工作

为了积极固化2011年内控建设成果，持续优化内控体系及运行机制，公司已于2012年实现内控体系全覆盖，包含境内外子公司及托管公司。截止2012年底，公司已开展并完成了对上海中航光电子有限公司、武汉天马微电子有限公司、香港驰誉电子有限公司和美国天马（Tianma Microelectronics(U.S.A.) INC.）的内控体系建设工作。

公司通过实地调研对重点业务流程进行梳理，识别关键风险点，制定相应控制措施，并对关键控制环节进行有效性测试。公司组织各单位相关业务部门针对已识别的内控缺陷制定整改方案，并进行缺陷整改，由风险管理部检查落实整改效果，从而进一步固化内控体系建设成果。

2、内控体系评价工作

为不断完善公司内控体系，堵塞管理漏洞，从而达到保护公司资产，实现公司价值最大化的目的，公司2012年度内部控制评价工作主要分为半年度内控自查、专项

监督检查和年度综合检查评价。

半年度内控自查主要由各单位内控项目组负责具体实施，风险管理部对自查过程进行监督指导，并对工作底稿进行复核和后续跟踪。

专项监督检查主要由风险管理部组织实施。2012年公司选取存货管理、OA系统审批管理、印章管理、财务内控管理、信息系统管理、研发管理、信息披露及关联交易等作为内控专项检查的重点流程。公司旨在通过专项检查更加深入、全面、系统的识别内控缺陷，以改善公司在运营管理中的不足与缺失，进一步提升运营管理水平。公司通过现场访谈、抽查凭证、穿行测试等方法积极开展专项检查，获取关于内控设计和运行有效性的证据，识别内控缺陷。在与责任部门进行有效沟通后，风险管理部组织其制定整改措施，跟踪监督整改进度并予以全程指导。

年度综合检查评价由公司董事会授权内控工作领导小组负责。内控工作领导小组成员包括董事长、审核委员会主席、总经理、分管主要业务的公司高管及专业人士。公司抽调各部门骨干员工组成内控评价组，具体负责实施年度综合评价工作。

内控评价组制定年度综合评价工作方案，根据内部控制评价范围编制评价工作具体实施步骤和评价办法，按照“统一领导，交叉评价”的原则，围绕内部环境、风险评估、控制活动、信息与沟通、内部监督等要素，对公司内部控制设计与运行情况进行全面评价。

在评价过程中，内控评价组及时向内控工作领导小组汇报评价工作的进展情况。风险管理部整理分析内控评价组对各单位的评价结果，结合后续跟踪整改情况，形成内部控制评价报告，经内控工作领导小组审核后报送风险管理委员会审核并提交审核委员会审议，由董事会最终审定后对外披露。

公司聘请普华永道中天会计师事务所对公司内部控制有效性进行独立审计。

三、内部控制评价的依据

本评价报告旨在根据中华人民共和国财政部等五部委联合发布的《企业内部控制基本规范》及《企业内部控制评价指引》的要求，结合公司《内控手册》和《评价手册》，在内部控制日常监督和专项监督的基础上，对公司截至2012年12月31日内部

控制的设计与运行的有效性进行评价。

四、内部控制评价的范围

纳入本次内部控制评价范围的单位包括：母公司、子公司上海天马微电子有限公司和成都天马微电子有限公司。

纳入评价范围的业务和事项包括：

（一）内部环境

公司根据《企业内部控制基本规范》及《企业内部控制应用指引》中关于内部环境的要求，对发展战略、公司治理、社会责任、企业文化、人力资源等内部环境要素进行认定和评价。

在本年度评价过程中，公司对社会责任进行了重点关注。公司为进一步履行对安全生产、产品质量（含服务）、环境保护、资源节约、员工、股东、政府、社区、供应商、客户等方面承担相应的社会责任与义务，在2012年度初步建立了企业社会责任（简称CSR）体系，具体分为CSR组织管理、CSR风险管理、CSR培训管理、CSR报告管理以及CSR持续推进五个方面，全面推进以人为本，绿色运营，促进经济、社会、环境的和谐与可持续发展的战略。

（二）风险评估

公司根据《企业内部控制基本规范》中有关风险评估的要求建立了常态化的风险评估机制，其中主要包括三个步骤：风险识别、风险分析和风险应对。风险评估过程包括识别与财务报告相关的经营风险和其他经营管理风险，以及针对这些风险制定相应的控制措施。风险管理部每年末针对公司主要业务流程及重大事项组织开展风险识别，并对风险发生可能性和风险发生后的影响程度进行分析以确定应对风险的策略与方法，然后将评估结果进行分解，逐项落实至相关责任部门的战略规划及BSC指标中，以确保各项风险均能被有效控制，使其可能造成的负面影响降低至公司可承受范围内。

（三）控制活动

公司以《企业内部控制基本规范》及《企业内部控制应用指引》中关于全面预算、资金管理、投融资管理、抵押担保、关联交易、财务报告、销售管理、采购管理、研发与知识管理、生产管理、资产管理、行政管理、法律事务管理、物流管理、危机预防与处理等内容为依据，对公司控制活动的有效性进行认定与评价。

在本年度内控评价过程中，公司重点关注了关联交易、研发与知识管理、财务报告管理等流程的内部控制情况：

1、关联交易

公司制定了《关联交易管理制度》，对关联方界定、关联交易的授权审批、关联交易事项回避、独立董事对重大关联交易的审核以及关联交易的报告与披露等进行了明确的规范及约束。通过采用访谈、文档检查、系统查询等方法确认关联价格是否公允，公司的关联交易管理在执行过程中是否符合相关监管部门的要求。

2、研发与知识管理

公司制定了《通用版项目管理程序》、《项目评估程序》、《新产品开发程序》、《新产品试制程序》等与研发相关的管理制度，对整个研发过程和工艺设计过程提供了实际操作上的依据，并为后期生产制造的过程控制建立了参考标准。通过运用访谈、抽样、穿行测试、统计分析等方法对研发管理中的评估与立项、项目开展、项目成果验收及转化、项目成果保护等方面的内部控制有效性进行评价。

3、财务报告管理

公司在严格执行会计法律法规和企业会计准则规定的同时制定了《财务报告管理制度》、《会计核算管理制度》，明确了结账流程、会计凭证、会计报告的处理程序等内容。通过运用访谈、实地盘点、抽样、穿行测试等方法确认公司财务管理的职责分工、权限范围、会计核算工作是否规范，并对公司会计政策制定与遵循、会计处理、报告披露、财务报告的分析利用、税务管理、会计资料档案管理等内控措施进行评价。

（四）信息与沟通

公司以《企业内部控制基本规范》及《企业内部控制应用指引》中关于内部信息沟通、信息系统管理等内容为依据，对公司信息与沟通机制的设计和运行有效性进行

认定和评价。

在本年度内控评价过程中，公司重点关注了信息系统管理。公司发布了《IT资源管理程序》、《IT信息安全管理规定》等管理制度以规范日常及特定的信息管理工作，通过对OA系统/ERP系统授权审批权限的全面检查、对电脑使用及电子文档传输情况的抽样检查等评价措施，确保信息系统管理的内部控制设计和运行有效性。

（五）内部监督

公司根据《企业内部控制基本规范》中有关内部监督的要求，对公司日常监督和专项监督机制的有效性进行认定和评价。

在履行内部监督职能的过程中，公司监事会、董事会审核委员会、审计监察部和风险管理部作为对公司经营行为进行监督的专门机构，通过日常监督和专项监督对公司内部控制体系的建立与实施情况进行监督检查。

上述业务和事项的内部控制已充分考虑《企业内部控制基本规范》及《企业内部控制评价指引》的要求，涵盖了公司当前经营管理的主要方面，不存在重大遗漏。

五、内部控制评价的程序和方法

公司内部控制评价工作严格遵循基本规范及评价指引的要求，在分析经营管理过程中的高风险领域和重要业务事项后，制定科学合理的评价工作方案，确定检查评价方法，并严格执行。

公司内部控制评价程序主要包括：

（一）评价准备阶段

1、评价培训与宣导

在实施评价前，风险管理部负责组织培训内控评价组人员，培训内容包括各业务流程需重点关注的问题、评价工作流程、评价方法、工作底稿填写要求、缺陷认定标准、评价人员的权利与责任等内容，确保评价组每一位成员都能有效完成内控评价任务。

2、评价动员与单位配合

内控评价组对内部控制评价的目的、意义等向被评价单位宣讲和动员，对评价工作进行安排和部署。

被评价单位向内控评价组提供办公场所及必要的办公设备，安排相关人员配合现场测试工作，根据评价组要求提供各项证据资料。

（二）评价实施阶段

1、开展现场评价测试

内控评价组根据人员分工，按照公司《评价手册》的规定，认真执行测试程序，填写评价工作底稿、记录相关测试结果，对发现的内部控制缺陷进行初步认定。评价工作底稿由评价组组长进行二级复核。

2、认定控制缺陷和通报评价结果

内控评价组针对初步认定的内控缺陷与相关责任人员进行沟通确认，形成现场评价初步结果。然后就现场评价初步结果与被评价单位交换意见，向被评价单位通报，由被评价单位负责人反馈意见后，提交内控工作领导小组审阅。

（三）跟踪整改阶段

对于认定的内部控制缺陷，内控评价组提出整改建议，被评价单位及时制定整改方案，并认真落实整改。相关责任人员在现场评价测试结束后一个月内向风险管理部反馈整改情况与结果。风险管理部负责对各单位的整改情况进行跟踪和监督。

（四）报告阶段

风险管理部汇总整理分析内控评价组对各单位的评价结果，结合后续跟踪整改情况，形成内部控制评价报告，经内控工作领导小组审核后报送风险管理委员会审核并提交审核委员会审议，最终由董事会审定后对外披露。

评价过程中，公司综合运用了个别访谈、问卷调查、专题讨论、抽样检查、穿行测试、实地查验和比较分析等方法，充分收集公司内部控制设计和运行是否有效的证据，根据评价的具体内容，如实填写评价工作底稿，研究分析内部控制缺陷。公司内

部控制评价方法适当，获取的评价证据充分有效。

六、内部控制缺陷及其认定

公司董事会根据基本规范、评价指引对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，研究确定了适用本公司的内部控制缺陷具体认定标准，包括定性标准和定量标准，并与以前年度保持了一致：

缺陷定义认定标准

定量标准定性标准

重大指一个或多个

控制缺陷的组

合，可能导致企

业严重偏离控

制目标。

财务报表的错报金额落在如下区

间：

1）错报金额≥资产总额的5%；

2）错报金额≥净资产总额的5%；

3）错报金额≥营业收入总额的5%；

4）错报金额≥净利润总额的5%。

1）缺乏民主决策程序；

2）决策程序导致重大失误；

3）违反国家法律法规并受到处罚；

4）中高级管理人员和高级技术人员

严重流失；

5）媒体频现负面新闻，波及面广；

6）重要业务缺乏制度控制或制度系

统失效；

7）内部控制重大缺陷未得到整改。

重要指一个或多个

控制缺陷的组

合，其严重程度

和经济后果低

于重大缺陷，但

仍有可能导致

企业偏离控制

目标。

财务报表的错报金额落在如下区

间：

1）资产总额的3%≤错报金额＜资产

总额的5%；

2）净资产总额的3%≤错报金额＜净

资产总额的5%；

3）营业收入总额的3%≤错报金额＜

营业收入总额的5%；

4）净利润总额的3%≤错报金额＜净

利润总额的5%。

1）民主决策程序存在但不够完善；

2）决策程序导致出现一般失误；

3）违反企业内部规章，形成损失；

4）关键岗位业务人员流失严重；

5）媒体出现负面新闻，波及局部区

域；

6）重要业务制度或系统存在缺陷；

7）内部控制重要缺陷未得到整改。

一般除重大缺陷、重

要缺陷之外的

其他控制缺陷。

财务报表的错报金额落在如下区

间：

1）错报金额＜资产总额的3%；

2）错报金额＜净资产总额的3%；

3）错报金额＜营业收入总额的3%；

4）错报金额＜净利润总额的3%。

1）决策程序效率不高；

2）违反内部规章，但未形成损失；

3）一般岗位业务人员流失严重；

4）媒体出现负面新闻，但影响不大；

5）一般业务制度或系统存在缺陷；

6）内部控制一般缺陷未得到整改；

7）存在的其他缺陷。

根据上述认定标准，结合日常监督和专项监督情况，我们未发现报告期内存在重大缺陷和重要缺陷。

七、内部控制缺陷的整改情况

针对报告期内发现的内部控制缺陷（一般缺陷），公司采取了相应的整改措施，具体包括：

（一）信息系统运行、维护及安全管理

进一步完善信息系统安全管理制度，并逐步在母公司及各子公司实施桌面虚拟化，由信息技术管理部统一安装软件，有效控制非授权软件的使用，定期导出系统用户和权限，由业务部门主管进行复核，确保信息系统的运行、维护及安全管理较以往更规范有效。

（二）关联交易

进一步加强关联交易各环节业务经办人和财务人员的培训，同时明确公司各层级发送资料文件时需加密处理且必须对接收信息进行反馈，公司每月定期开展关联交易会议，保持信息同步，保证内部控制执行的有效性。

（三）OA系统审批

在系统设置层面，完善现有的OA变更及开发流程；在执行层面，由信息技术管理部对各流程负责人及接口人进行OA系统审批流程的培训宣导并辅导其进行开发文档的补充及更新，确保OA系统审批流程与制度文件的规定相符。

（四）印章管理

完善公司各类印章的信息登记，进一步规范用印审批程序，统一印章使用及销毁的申请审批格式，加强对重要部门印章使用及保管过程中的监督，确保用印审批、移交及销毁流程中涉及的内控措施得以有效运行。

（五）研发与知识管理

针对与研发管理相关的17项管理制度进行修改完善，使管理文件审批流程与OA 审批流程相符；进一步完善项目预算的管理，通过建立项目清单分析项目状态，每月跟踪所有项目进度，确保项目终止原因得到快速有效的传递。

公司对上述存在一般缺陷的方面在报告期内均已落实相关部门进行整改。对于整改完成的一般缺陷，公司有足够的测试样本显示，与上述内控缺陷相关的内部控制设

计且运行有效。

八、内部控制有效性的结论

公司已经根据基本规范、评价指引及其他法律法规的要求，对公司截至2012年12月31日的内部控制设计与运行的有效性进行了自我评价。

报告期内，公司对纳入评价范围的业务与事项均已建立了内部控制，并得以有效执行，达到了公司内部控制的目标，不存在重大缺陷。

自内部控制评价报告基准日至内部控制评价报告发出日之间，公司未发生对评价结论产生实质性影响的内部控制的重大变化。

随着公司经营规模、业务范围，竞争状况和风险水平的变化，公司将对内控体系实时加以调整，不断优化内部控制设计，强化监督内部控制运行的有效性，持续改进内部控制评价体系，充分发挥内控评价工作机制的效果，以适应内外部环境的变化，促进公司健康、可持续发展。

天马微电子股份有限公司董事会

二〇一三年二月二十八日