公司代码：600030 公司简称：中信证券

中信证券股份有限公司2024年度内部控制评价报告

中信证券股份有限公司全体股东：

根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求（以下简称企业内部控制规范体系），结合本公司（以下简称公司）内部控制制度和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2024年12月31日（内部控制评价报告基准日）的内部控制有效性进行了评价。

一. 重要声明

按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。公司董事会、监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带法律责任。

公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结果推测未来内部控制的有效性具有一定的风险。

二. 内部控制评价结论

1. 公司于内部控制评价报告基准日，是否存在财务报告内部控制重大缺陷

□是 √否

2. 财务报告内部控制评价结论

√有效 □无效

根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日，不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。

3. 是否发现非财务报告内部控制重大缺陷

□是 √否

根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日，公司未发现非财务报告内部控制重大缺陷。

4. 自内部控制评价报告基准日至内部控制评价报告发出日之间影响内部控制有效性评价结论的因素

□适用 √不适用

自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制有效性评价结论

的因素。

5. 内部控制审计意见是否与公司对财务报告内部控制有效性的评价结论一致

√是 □否

6. 内部控制审计报告对非财务报告内部控制重大缺陷的披露是否与公司内部控制评价报告披露一致

√是 □否

三. 内部控制评价工作情况

(一). 内部控制评价范围

公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险领域。

1. 纳入评价范围的主要单位包括：中信证券股份有限公司（以下简称中信证券或公司）、中信证券（山东）有限责任公司（以下简称中信证券（山东））、中信证券华南股份有限公司（以下简称中信证券华南）、中信金石投资有限公司（以下简称中信金石）、中信证券投资有限公司（以下简称中信证券投资）、中信证券国际有限公司（以下简称中信证券国际）、中信期货有限公司（以下简称中信期货）、中信中证投资服务有限责任公司（以下简称中信证券投服）、金通证券有限责任公司（以下简称金通证券）、广证领秀投资有限公司（以下简称广证领秀）、中信证券资产管理有限公司（以下简称中信资管）以及华夏基金管理有限公司（以下简称华夏基金）。

2. 纳入评价范围的单位占比：

3. 纳入评价范围的主要业务和事项包括:

1．内部环境评价

（1）治理结构

公司根据《中华人民共和国公司法》（以下简称《公司法》）《中华人民共和国证券法》（以下简称《证券法》）《证券公司监督管理条例》《证券公司治理准则》《上市公司治理准则》等法律法规和监管规定，结合公司实际情况，建立了由股东大会、董事会、监事会和经营管理层组成的、符合现代企业制度的公司治理结构。公司《章程》明确了股东大会、董事会、监事会和经营管理层的职责权限、议事规则和工作程序等，确保了权力机构、决策机构、执行机构和监督机构之间权责分明、规范运作和有效制衡。股东大会是公司的最高权力机构。公司股东大会充分享有并有效行使《公司法》、公司《章程》赋予的权利，公司股东大会的召集时间、通知方式、召开方式、表决程序和决议内容等完全符合有关法律法规和公司《章程》的规定。董事会是公司的决策机构。公司董事会下设发展战略与ESG委员会、风险管理委员会、审计委员会、提名委员会、薪酬与考核委员会以及关联交易控制委员会等六个专门委员会，分别制定了议事规则，为充分发挥专门委员会的科学、民主决策职能提供了有效制度保障。公司董事会审计委员会、薪酬与考核委员会、关联交易控制委员会成员全部由独立非执行董事组成；提名委员会中独立非执行董事人数超过二分之一；审计委员会、薪酬与考核委员会、提名委员会以及关联交易控制委员会主席均由独立非执行董事担任。公司制定了《独立董事工作制度》，明确了独立董事的任职资格、职责权限等，对独立董事依法履行职责予以充分保障。监事会是公司的监督机构。公司监事会成员认真履行职责，列席了全部现场董事会会议并向股东大会汇报工作，对公司财务以及董事会、经营管理层履行职责的合法合规性进行了有效监督。

（2）发展战略

公司综合考虑国家重大战略、宏观经济政策、国内外市场需求变化、行业发展趋势、竞争对手状况、可利用资源水平和自身优劣势等影响因素，制定发展战略，定位准确、目标清晰、操作可行。公司依据发展战略制定并落实年度工作计划，确保了发展战略的有效实施。公司制订各业务线、各部门、各子公司2024年业务计划书，对经营指标、客户市场、行业地位制订了明确目标，并对保持竞争优势提出实施路径，确保公司可持续、健康发展。公司在资源配置、工作机制等方面对发展战略予以充分保障。公司加速推进国际化发展战略，完善国际化顶层设计，全面加强国际化战略部署，深化落实境外业务发展战略实施方案。在董事会层面，公司设立了发展战略与ESG委员会，制定了发展战略与ESG委员会专门议事规则，明确了发展战略与ESG委员会的人员构成、职责权限、会议召集及通知程序、议事和表决程序等内容。

（3）人力资源

人才是公司的宝贵财富。公司注重提升员工专业能力，激发员工敬业精神，夯实人力资源管理机制，持续打造制度化、精细化、信息化的人力资源管理，塑造一支积极向上、主动担当、与公司共同发展的人才队伍。

公司持续优化人力资源制度流程、提升人力资源专业化水平、发挥人力资源激励约束机制：2024年围绕企业经营发展，公司制定或修订了《员工惩处办法》《校园招聘管理办法》《社会招聘管理办法》《实习生管理办法》《薪酬管理办法》等管理制度；持续细化员工入职、调配、离职、职级调整等关键环节配套的实施细则，并不断促进全系统人力资源管理的一体化建设。借助信息化手段，完善了员工信息、入职审查与任职资格、劳动合同、实习生管理等信息系统，不断完善数据应用、完善合规管理、防范操作风险。

2024年公司进一步加强校企合作，积极开展与境内外高校间的各类活动，助力高校毕业生就业指导工作，通过广泛深入的院校活动，提升雇主品牌、宣传企业文化；公司积极承担社会责任，组织港澳台实习生项目，推动港澳台青年与公司青年员工的广泛交往、深度交流，促进港澳台青年加深对大陆社会经济发展情况的了解与认同。

公司持续宣传贯彻企业文化。2024年通过企业文化宣传月活动、将证券行业荣辱观纳入员工行为准则、新员工“融入计划”、优秀案例分享等多种形式，引导员工学习领会并积极践行行业与公司文化，为公司高质量发展贡献力量。

2024年公司以经营管理人才、专业技术人才、优秀青年人才、国际化人才为重点，开展了一系列有针对性的培训工作。同时，公司丰富全体员工在岗培训体系，帮助员工与企业共同成长。

2024年公司进一步统筹谋划干部管理。通过加强优秀年轻干部选拔使用、推动后备干部轮岗锻炼、增强分支机构干部配备、落实总部业务骨干轮岗分支机构等一系列举措，培养复合型优秀人才、助力公司发展战略落地生根。

（4）社会责任

中信证券以践行国家战略、服务实体经济、为社会创造更大价值为己任，以成为全球客户最为信赖的国内领先、国际一流的中国投资银行为愿景，积极履行企业社会责任，扎实开展公益工作，为解决发展不平衡不充分问题、缩小城乡区域发展差距、实现人的全面发展和全体人民共同富裕贡献自己的力量。

2024年，为践行新发展理念，响应中央定点帮扶和乡村振兴决策部署，巩固拓展结对帮扶成果，促进共同富裕，中信证券按照中信集团（以下简称集团）党委工作要求，在公司党委的坚强领导下，立足于发挥专业特长和优势，围绕“产业振兴”“教育振兴”“组织振兴”“消费帮扶”等方面，积极参与乡村振兴、公益助学、消费帮扶、金融绿色债发行等工作，各项工作扎实推进，效果明显。2024年公司积极参与云南元阳县、甘肃积石山县、河北沽源县教育帮扶和社会公益活动。

公司遵纪守法，合规经营；认真履行上市公司法定义务，持续及时披露信息，不断加强与投资者沟通交流；通过不断完善治理结构，持续加强风险管理和内部控制，努力提升经营业绩；强调以客户为中心，不断加强客户服务和提升客户满意度，并积极响应国家政策，全心全意为中小企业发展提供良好的融资和顾问等服务，积极协助中小企业拓宽融资渠道，支持民营经济持续健康发展，促进民企转型新发展模式；通过推行公平合理的薪酬制度、安排岗位和职业技能培训等，保障员工合法权益、做好员工职业发展规划；关心员工身心健康，举办各种文体比赛、设立各类体育俱乐部，丰富员工业余生活。

（5）企业文化

2024年，中信证券以中国特色金融文化为根本遵循，厚植中信集团企业文化，践行证券行业文化，广泛凝结员工共识，持之以恒推进企业文化建设。修订《企业文化管理制度》，调整企业文化建设领导小组和工作小组成员，加强企业文化建设制度保障和组织保障。落实中信集团企业文化体系学习宣贯工

作，持续营造浓厚文化氛围。举办文化建设与职业道德专题培训，引导广大员工提升文化素养和职业道德水平。组织开展“守正融新 文化有信”系列活动，促进优秀文化入脑入心。组织开展“书香中信 悦读启航”系列活动，以阅读涵养文化风尚。持续开展“激扬青春 逐梦前行”系列活动，引导公司青年员工走进实体企业调研和参与公益帮扶活动，进一步加强青年员工思想教育，为实体经济高质量发展贡献青春力量。推进文化建设课题研究和案例入库，持续打造公司文化品牌。开展学雷锋志愿服务活动，对“金融系统学雷锋活动示范点”“金融系统学雷锋模范”获评单位和个人进行宣传，相关视频获中国金融思想战线网等平台报道，彰显公司社会责任担当。2．风险评估评价2024年，公司持续提升全球风险管理能力，深入推进境内外一体化风险系统建设，不断加强境内外同一业务同一客户管理，确保境内外保持基本一致的风险偏好。继续提升前瞻性风险研判能力，加强对重点业务领域的精细化、差异化、动态化管理，加大对全球资产风险排查力度，在常规风险排查外，对重点领域及重要事件开展专项风险排查，主动识别和应对潜在风险隐患，有效保障公司资产安全。

（1）风险管理组织体系

公司董事会下设的风险管理委员会、经营管理层下设的风险管理委员会及各专业委员会、相关内部控制部门与业务部门/业务线共同构成公司风险管理的主要组织架构，形成由委员会进行集体决策、内部控制部门与业务部门/业务线密切配合、相互制衡的三层次风险管理体系，从审议、决策、执行和监督等方面管理风险。

（2）风险管理制度体系

公司建立了由基本风险管理制度、专业风险管理政策和重点领域风险管理办法及具体业务风险管理细则等层次构成的制度体系。

风险管理部建立了制度流程定期评估机制，以确保各项制度符合外部监管规定和内部管理需要，持续保持制度的有效性和适用性。2024年，风险管理部组织制定或修订了《操作风险管理办法》《资产集中度风险管理办法》《压力测试管理办法》《风险事件责任认定管理办法》《新产品新业务评估管理办法》《私募金融产品管理办法》《风险计量模型管理制度》等多项制度和细则。

（3）风险管理授权与限额体系

公司建立了境内外一体化的风险管理授权与限额体系，制定了《2024年度风险偏好陈述书》《信用风险限额及授权管理办法》《市场风险限额管理办法》《交易类业务止损限额管理办法》《流动性风险管理实施细则》等制度和细则，对各类金融风险限额管理的组织架构、授权审批机制、限额调整机制、预警和触限处理机制等进行了明确规范。公司对于风险限额采用分级授权审批模式，依据规模越大、影响越广泛的风险管理事项需由越高层级的管理人员来评估的原则进行授权。各层级限额管理机构/人员负责其权限范围内限额制定、调整、分配及超限应对措施的审批决策。

（4）风险管理系统

公司继续推进风险管理系统建设和完善，研发覆盖境内外业务、满足各类风险管理需求的信息系统及工具。完善风险管理数据集市，提升风险数据的标准化程度，加强数据质量监控；推进风险计量引擎的研发和优化，保持对业务持续覆盖的同时不断提高风险计量指标的丰富性、针对性、精确性和高效性，并不断提升自研能力；大力推进境内外风险管理流程和报告的一体化系统建设，支持并响应全球风险一体化管理的贯彻落实。

（5）境内外一体化风险管理

在已建立的境内外风控一体化管理体系基础上，2024年公司持续强化全球风险管理能力建设，通过完善制度与指标体系、加强同一业务同一客户管理、强化一体化风险监控、优化风险管理系统功能等方式，不断加大一体化管控的力度和深度。

（6）声誉风险管理

公司已将声誉风险管理纳入全面风险管理体系，并建立相关制度和管理机制，以防范和识别声誉风险，主动、有效地应对和处置声誉风险事件，最大程度地减少由此对公司造成的损失和负面影响。

公司坚持预防为主的管理理念，建立常态、长效的声誉风险管理机制，注重事前评估和日常防范。通过声誉风险管理流程，发现并解决经营管理中存在的问题，消除影响公司声誉和形象的隐患。同时，在实际操作中，对声誉风险的管理和处置机制是否有效、职责是否明确及报告、决策和执行流程是否有效实施进行评估，注重职能部门的响应与协作，提高防范声誉风险和处置声誉事件的能力与效率。

（7）合规风险管理

公司高度重视合规管理工作，围绕“全面提升合规管理能力，为公司业务发展提供及时有力的法律、合规支持”这一目标，合规管理体系日趋健全完善并持续有效运行，公司合规风险管控能力不断提高。

目前，公司已建立能够满足监管要求和公司合规管理需要的合规管理组织架构。根据公司《章程》和《合规管理规定》，董事会是公司合规管理的领导机构，决定公司合规管理目标，对合规管理的有效性承担责任；高级管理人员负责落实合规管理目标，对合规运营承担责任；各部门、各分支机构和各层级子公司负责人负责落实本单位的合规管理目标，对本单位合规运营承担责任；合规总监负责公司合规管理工作，实施对公司经营管理活动合法合规性的审查、监督和检查；合规部为公司合规工作日常管理部门，在合规总监领导下，履行具体合规管理职责；各部门/业务线合规专员分别在各自职权范围内行使合规管理职责。公司建立健全了以《合规管理规定》为基本制度，以公司《员工合规守则》《合规咨询与审核制度》《合规检查与监测制度》《客户投诉举报处理制度》《合规报告制度》《合规问责和考核制度》《信息隔离墙制度》及其配套措施、反洗钱工作制度体系、合规部内部工作制度、相关部门/业务线/分支机构合规制度等为具体工作制度的合规管理制度体系，使公司的各项合规管理工作有章可循。

公司各级经营管理部门、业务线和分支机构以及全体员工在开展经营管理活动时，需按相关制度规定提交合规审核；合规部组织或者协助业务部门对制度或业务流程进行定期或不定期梳理，评价执行效果，监测、检查和评估风险情况，对违法违规隐患进行质询或调查，提出具体整改意见并督促落实；公司重视和大力开展合规宣传和合规培训工作，不断提高全体员工的合规意识；公司建立畅通的客户投诉举报信息获取机制，协助有关部门妥善处理涉及公司及员工违法违规行为或重大合规风险隐患的客户投诉举报；公司已建立完善的合规报告体系，按照监管要求向董事会、监管部门报送定期或临时合规报告；公司定期对各部门、业务线和分支机构及公司员工合规管理的有效性和执业行为的合规性进行合规考核，并将考核结果纳入公司绩效考核体系。

2024年，在合规管理制度层面，公司合规部制定或修订了《制度管理规定》《合规检查与监测实施细则》《制裁风险管理规定》《利益冲突管理办法》《不同业务之间协作利益冲突审查操作指引》《个人信息保护管理办法》《尽职免责管理规定》《反洗钱管理规定》《全球防范金融犯罪委员会议事规则》《员工兼职管理暂行规定》等多项合规管理制度。通过制度建设，合规管理工作的规范化建设得到进一步加强，合规管理制度体系得以进一步完善。在合规信息化建设方面，公司在持续完善现有系统功能的基础上，持续推进新一代反洗钱监测系统功能建设，优化反洗钱监测指标，增加反洗钱合规检查功能模块，持续提高洗钱风险防控有效性，落实法人机构层面洗钱风险统一管理工作。公司持续更新员工职务通讯行为监测系统建设，对职务通讯行为监测系统告警策略进行了优化；公司持续推进全球中央控制室系统建设；上述系统均已上线并得到有效运行。通过上述信息化建设，公司有效防范了因信息隔离、员工执业、利益冲突、反洗钱、异常交易等引发的各类风险，合规管理信息化能力得到进一步提升。

为配合公司国际化和一体化战略推进，积极落实境外子公司合规垂直化管理，构建境内外一体化的合规管理体系，公司通过明确的职责分工和系列配套专项制度，不断加强对境外合规团队的垂直管理，优化对境外子公司的管理机制，就跨境业务的发展和全球监管规则的变化快速反应。通过上述方式，公司集团化、国际化的合规管理水平得到了显著提高。

（8）法律风险管理

2024年，公司法律部围绕主责，专注于防范和化解公司法律风险。处理公司诉讼仲裁纠纷案件，参与公司风险项目处置；为公司重要项目、重大决策提供法律支持和法律保障，提出有利于公司改进经营管理工作的建议；参与公司金融产品风险评估；开展知识产权管理；统一管理律所选聘和服务工作；接待国家有权机关的调查取证等执法工作；组织实施法治宣传教育工作，不断提高全体员工的法律意识，为公司持续提高依法经营管理水平、实现战略发展目标提供法律保障。

在组织体系方面，法律部内部分工明确，成立专门的案件管理组，诉讼事务直接向法律部行政负责人汇报，并根据公司不同业务条线设置对应的二级案件职能小组。指定专人负责知识产权管理、律所选聘、协助有权机关调查取证、普法等工作，并对相关工作进行绩效考核，确保责任到人、奖惩到位。

在制度和流程控制方面，法律部修订了《协助国家有权机关查询、冻结、扣划的管理规定》，明确各部门的职责与分工，并对办理事项的流程进行严格控制；修订了《商标管理办法》，对公司自有商标的注册、续展、变更、许可，中信集团商标的使用申请预审批，以及商标使用与保护等工作流程及管理进行进一步优化；修订了《法律部档案管理办法》，进一步规范法律部的档案管理工作，有效保管和利用档案，确保档案的完整性及保密性，实现档案管理的规范化、制度化、信息化；修订了《案件管理办法》，促进公司及下属单位依法经营和依法管理，加强案件协调、处理工作，规范案件处理程序，防范法律风险，有效维护公司合法权益。根据现行有效制度规定，业务部门、分支机构在案件发生后二十四小时内向法律部报告，并在案件管理系统中填报案件信息，每月以书面方式向公司管理层报告案件进展；在案件处理过程中，起草诉讼文书，参与案件庭审，提出有利于公司的诉讼主张，加强与司法机关工作联系，推动执行案件尽快回款或避免损失；要求留存协助有权机关查询、冻结、扣划业务档案，保证过

程留痕；要求公司各部门严格规范商标和标识的使用；在研究报告的著作权归属、信息系统开发等方面，要求约定公司享有相关著作权。法律部通过上述方式加强法律风险的管控。

（9）廉洁从业风险管理

公司建立了《廉洁从业规定》，明确廉洁从业领导小组、廉洁从业工作小组的职责安排；明确了各业务条线及部门成员的廉洁从业要求，将廉洁从业情况纳入绩效考核体系，每年开展员工廉洁培训和教育，确保员工熟悉廉洁从业的相关规定，提高廉洁意识。在日常宣传方面，公司通过内网及企业微信公众号及时宣传廉洁从业和反腐倡廉的相关政策、规范，并发布行业内有代表性的违规违纪违法案例，开展警示教育，做到日常监督提醒，同时在重点节假日及时向员工传达廉洁从业、纠正“四风”等有关要求。在培训方面，公司在新员工入职培训、合规专员培训和全员合规培训中均加入了“廉洁从业培训”的相关主题，并根据受众的不同制作不同的培训课件，培训主要采取线上方式，通过公司E-learning平台进行。

在选人用人方面，对拟提拔人选和拟评优评先人选出具廉洁意见，防止“带病提拔”；对新任领导干部进行任前谈话，讲清纪律要求。

3．控制活动评价

本次内部控制评价工作，在确保覆盖主要核心业务流程的基础上，重点围绕监管检查的关注重点，以及同业机构发生违规、遭受监管处罚的领域进行。

（1）财富管理业务

公司针对财富管理业务的风险特点，在组织架构、业务与综合运营管理、营销管理、客户服务和母公司账户规范方面建立了完善的内部控制机制。

①组织架构

公司建立健全了“三位一体”的财富管理业务内部控制体系且有效运行。公司财富管理委员会作为财富管理业务直接管理机构，在分公司、证券营业部（以下简称营业部）的大力配合下，重点对业务风险进行控制；公司合规部、法律部和风险管理部及时发现、揭示业务风险点，有效监测并督促后续整改；公司稽核审计部重点对制度和业务流程执行的有效性进行事后审计，对审计中发现的问题提出审计整改意见，督促被审计单位进行整改。

公司对分公司和营业部的交易、清算和财务实行集中管理，对分支机构财务岗、信息技术岗、合规专岗实行垂直管理。

②业务与综合运营管理

公司建立了统一的业务操作规程和授权管理制度，明确了营业部后台管理类、账户类、资金股份类、交易类、客户服务与交易行为管理、金融产品代销等各类业务操作流程。

③营销管理

公司建立了统一的营销人员序列，制定了相应的营销管理制度，从人员聘用、岗前培训、执业资格管理、执业行为管理、薪酬与考核、风险监控等方面防范营销人员执业不规范的风险。

④客户服务

公司建立了统一的客户管理和客户服务制度，制定了客户适当性管理、客户交易安全监控、客户回访和投诉举报处理等一系列制度。财富管理委员会持续推动优化和完善客户分级分类服务，制定了面向客户的全业务、全客户、全资产周期的分级分类服务框架；持续进行账户实名使用核查、账户信息治理，保护客户交易安全；回访话术流程和投诉举报处理规范化，妥善处理客户投诉举报，维护投资者权益。

⑤母公司账户规范情况

2024年，公司继续加强账户日常管理，落实中国结算的账户实名制管理要求，继续跟踪开展产品证券账户一码通信息补录、份额持有人数据报送及产品净值报送、中国结算证券账户核查、职业类别规范等工作；对公司各分支机构进行专门培训，通过技术手段完善开户流程控制，杜绝不规范账户的开立。

（2）融资融券业务

公司针对融资融券业务的风险特点，在组织体系、决策授权、制度和流程、风险管理等方面建立了完善的内部控制机制。

①组织架构和决策授权

公司对融资融券业务实行集中统一管理，并实行业务部门与中后台部门相互分离、相互制约的组织架构。

②制度和流程

公司根据监管要求建立了完善的覆盖客户授信、客户信用账户管理、担保物管理、逐日盯市及强制

平仓管理、客户回访、客户投诉受理及处理等各环节的制度和流程，包括《融资融券业务管理办法》《融资融券业务投资者适当性管理细则》《融资融券业务授信管理细则》《融资融券业务标的证券和担保物管理细则》《融资融券业务风险监控与强制平仓操作细则》《转融通业务制度汇编》等多项制度和细则，强化了投资者适当性管理的相关要求，严格执行融资融券业务（含科创板和创业板）投资者适当性管理的制度。2024年，公司持续对融资融券业务制度体系进行更新和完善，细化各类操作规范，根据最新适当性要求、全面注册制规定、公司章程修订、融资融券担保物集中度管理要求、融券新规以及业务实际处理情况，共修订部门制度22项，明确适当性管理内容，建立健全融券券源分配机制及准入制度，按照穿透原则核查投资者情况，并对投资者融券行为加强管理。同时，公司多次进行风险自查，化解业务规模扩大带来的隐藏风险，具体采取了日常盯市管理、多情景压力测试、存量业务风险排查、上市公司资质及股票流动性的综合评估等风险管理举措确保业务流各环节的风控机制完备。同时，部门正在加强业务舆情的自动化管理与数据化监测，应用科技平台手段加强业务风险的统一监控与保障。

③风险管理

公司主要通过对客户信用额度审批、逐日盯市和及时平仓等方式，实现信用风险控制；通过融资融券业务规模限制、与净资本的比例限额、担保物的选择、持股集中度监控等方式，对流动性风险加以控制；通过建立各项制度与流程、人员培训等方式，进行操作风险控制。

（3）股票质押业务

公司针对股票质押回购业务特征，制定了全面的业务管理制度，组建了较为完备的组织架构，从客户准入管理、交易对手信用风险管理、质押股票管理、业务市场风险管理、业务操作风险管理、业务信息系统建设和监管数据报送等多个方面建立了较为完善的业务标准和详细的业务操作流程，确保业务开展合法合规，形成了健全的内部控制机制。2024年，公司修订了《股票质押式回购交易业务交易执行细则(证券金融业务线)》，新发布了《股票质押式回购交易业务违约金管理细则》等制度文件，持续保障业务的创新与发展。同时，股票质押业务采用日常盯市管理、多情景压力测试、存量业务风险排查、上市公司资质及股票流动性的综合评估等业务风险管理举措，并同步加强业务舆情的自动化管理与数据化监测，确保股票质押回购业务的健康、有序发展。

（4）自营业务

公司针对自营业务的风险特点，在风险管理、自有资金交易账户管理、异常交易监测以及业务创新等方面建立了完善的内部控制机制。

①风险管理

公司设置了公司、部门、策略层面的三重限额体系，实现了风险控制指标的动态监控和预警。

②自有资金交易账户管理

公司严格规范自有资金交易账户的维护和使用，从风控、额度、合规（交易属性）、财务等方面加强自有资金交易账户开、销户的管理和审核，控制和防范自有资金交易的运营风险。同时，对于涉及交易所股票、股票期权、ETF、REITs、信用债、利率债和可转债的程序化交易的账户，公司严格按照交易所要求，对相关程序化交易进行报备。此外，根据监管要求，就公司场外期权交易专用对冲账户向交易所进行了专项报备，并强化交易标的白名单的监测和管理。

③异常交易监测

公司异常交易监测系统将所有自营账户纳入监测范围，分别就虚假申报、拉抬打压、维持涨（跌）幅限制价格、自买自卖或者互为对手方交易、严重异常波动股票申报速率异常等数十种异常交易类型进行监测预警和前端控制。

公司为加强债券交易风险监测监控，通过设置多个监测监控模块，将债券交易监测监控纳入公司异常交易系统，以防范利益输送、冲突和风险传导。

④业务创新

在每项新产品新业务开展前，相关条线或部门根据公司《新产品新业务评估管理办法》提交内控和支持部门进行评估，确保创新业务模式和开展合法合规，论证风险类型和缓释方案，明确新业务相关数据与清算、财务、风险管理等中后台系统的对接方式，确定估值定价与风险计量模型以及所必须遵守的风险限额，并最终提交公司产品委员会审批。

⑤制度与流程优化

为规范自营交易行为，权益投资部制定或修订的业务管理制度主要包括《权益投资部投资决策委员会制度》《权益类投资业务操作规程》《权益投资部股票池管理办法》等；另类投资业务线制定或修订的

主要制度包括《另类投资业务线投资决策会管理细则》《另类投资业务线基本面组投资管理细则》《另类投资业务线策略研发与上线操作规程》等；固定收益部主要制定或修订了《固定收益部债券投资交易业务管理实施细则》《固定收益部收益互换业务实施细则》《外汇交易管理制度》《固定收益部公开募集基础设施证券投资基金投资交易业务管理办法》《固定收益部资产证券化产品投资管理办法》等多个公司或部门级别业务制度。

（5）场外金融衍生品业务

公司针对场外金融衍生品业务特征，制定了全面的业务管理制度，组建了较为完备的组织架构，从客户适当性管理、交易对手信用风险管理、业务市场风险管理、业务操作风险管理、业务信息系统建设和监管数据报送等多个方面建立了较为完善的业务标准和详细的业务操作流程。公司不断推进业务发展，并结合外部监管规则持续完善内控机制。

①完善制度与管理流程

一是制度制定、修订。公司制定了场外衍生品业务的全套管理制度，包括但不限于《收益互换业务管理办法》《跨境收益互换业务管理办法》《场外期权业务管理办法》等，各衍生品业务部门制定了部门层级的衍生品业务管理细则，确保场外衍生品业务有据可循，依法合规经营。

二是客户准入尽职调查及反洗钱审查的优化。在结合业务发展需要和内部制度修订的基础上，公司制定了《场外衍生品业务客户尽职调查实施细则》及其配套文件，进一步强化客户准入尽职调查工作。

三是异常交易管理。公司依托异常交易监测系统监控自营账户（包括衍生品对冲账户）的交易行为，避免对二级市场造成冲击；同时通过可疑交易监测模型加强了对交易对手方利用场外期权交易从事内幕交易、操纵市场等违法违规行为的监测监控。

四是加强标的管理。根据最新协会自律规则等监管要求的挂钩标的范围开展场外衍生品业务，建立白名单控制机制。

五是加强合规审查。对场外期权产品设计等业务流程加强合规审核和管理，关注客户交易目的，并严格按照监管要求明确行权价、期权费、保证金收取、产品期限等要素。

六是数据报备。在修订内部制度的基础上，公司采取一系列措施提高报送效率，确保数据报送及时、准确、完整、规范。

②信息系统建设

在业务前端，股权衍生品业务线对客户准入、定期回访管理系统进行了优化升级。在内控管理方面，股权衍生品业务线完成了客户费率变更自动化流程的开发上线，有效降低了操作风险。

③风险管理

根据场外金融衍生品业务的快速发展，公司制定了有针对性的风险限额体系，以保证对业务风险的有效管控，并在现有的《股权衍生品业务线市场风险管理办法》《固定收益部市场风险管理办法》《股权衍生品业务线场外期权业务市场风险管理指引》《场外衍生品信用风险管理指引》等制度体系下，严格执行操作，确保业务风险可测、可控。

（6）上市证券做市交易业务

公司2022年获批上市证券做市交易业务资格并试点开展科创板做市业务后，建立了《科创板股票做市交易业务风险控制制度》《科创板股票做市交易业务管理办法》《科创板股票做市交易业务内部管理制度》《科创板股票做市交易业务应急预案》等相关制度，同时加强信息技术安全管理，保障科创板做市交易业务信息系统安全稳定运行，确保该项业务的顺利开展。2023年2月，经北交所同意，公司开通北交所做市交易业务权限并开展北交所做市交易业务，权益投资部制定了《北京证券交易所股票做市交易业务内部管理办法》《北京证券交易所股票做市交易业务风险控制制度》《北京证券交易所股票做市交易业务应急预案》《北京证券交易所股票做市业务交易室管理细则》等相关制度，同时加强信息技术安全管理，保障北交所做市交易业务信息系统安全稳定运行，确保该项业务的顺利开展。2023年2月，经上交所、深交所同意，公司开通交易所债券做市业务权限并开展交易所做市业务，固定收益部制定了《交易所债券做市业务管理细则》《交易所债券做市业务风险控制细则》等相关制度，同时加强信息技术安全管理，保障交易所债券做市交易业务信息系统安全稳定运行，确保该项业务的顺利开展。

（7）投资银行业务

公司针对投资银行业务（以下简称投行业务）的风险特征，在组织架构、制度建设、保荐代表人管理、质量控制、内核、发行方案设计、发行定价和后续管理等方面建立了完善的内部控制机制。

①组织架构

自《证券公司投资银行类业务内部控制指引》（以下简称《内控指引》）发布以来，公司全面落实《内控指引》的要求，积极调整内控组织架构。基于客户全产品覆盖与专业化分工的理念，公司通过一体化

管理架构，为客户提供境内外综合投资银行服务。

公司投资银行管理委员会设置质量控制组，根据产品类型配置不同的质量审核人员，对投行业务实施动态跟踪和管理，履行对投资银行类项目质量把关和事中风险管理等职责。

公司内核部承担投资银行类业务的内部审核工作，内核部完全独立于投行业务部门，保证了内核工作的独立性和公正性；合规部负责信息隔离墙管理、投行业务利益冲突审查、投行业务独立性管理与审查、网下禁配对象核查、投行业务反洗钱、未公开信息知情人管理、投行业务合同审核等工作；风险管理部负责对投行业务运行中的操作风险进行监控、对风险损失事件进行调查追踪、通过整改措施和流程优化缓释风险，对债权类品种进行信用风险评估、产品风险审核、对包销持仓进行监控，在后续管理阶段进行风险监测、重大风险关注池管理与维护、风险排查及参与应急处置等。

总体上，公司针对投行类业务形成了以项目组、业务部门为第一道防线，质量控制组为第二道防线，内核部、合规部、风险管理部等部门为第三道防线的“三道防线”内部控制架构体系，明确了各内部控制职能部门的职责范围，通过强调项目组加强一线执业和管理，质量控制组实施全过程管控，内核部严把公司层面出口管理，合规风控加强外部监督等措施，督促各方勤勉履职、归位尽责。

②制度建设

2024年，公司根据外部规则变化、业务创新和管理需要，制定或修订了部分投行业务管理制度，包括但不限于《投资银行管理委员会项目开发和立项管理办法》《全国中小企业股份转让系统投行类业务立项管理办法》《投资银行管理委员会辅导工作管理办法》《资产证券化业务报价约束管理办法》《投资银行业务外聘中介机构实施细则》《全球投资银行管理委员会客户管理办法》《保荐业务及保荐代表人管理办法》《全球投资银行管理委员会绩效考核管理办法》《投行业务执业质量评价办法》《全球投资银行管理委员会存量股份配售业务规范》《银行间债券市场非金融企业债务融资工具存续期管理工作指引》《银行间债券市场非金融企业债务融资工具应急管理指引》《非金融企业债务融资工具存续期信用风险管理办法》《公司债券（含企业债券）存续期信用风险管理办法》《资产支持专项计划风险处置指引》《资产支持专项计划跨部门协同制度》《资产支持专项计划合格投资操作指引》《资产支持证券存续期信用风险管理办法》《投资银行业务后续管理阶段项目风险管理排查工作办法》《权益类及并购重组类投资银行项目风险事项管理办法》等。

③保荐代表人管理

为加强保荐代表人管理，公司制定了《保荐业务及保荐代表人管理办法》《投资银行管理委员会股权承销与保荐项目尽职调查工作管理办法》《投资银行管理委员会项目工作底稿管理办法》等制度，要求保荐代表人对所保荐的项目进行充分的尽职调查，全面参与各个阶段的业务活动，并按照监管要求建立完整的保荐工作日志，详细记录项目实施过程，以确保项目不存在虚假记载、误导性陈述或者重大遗漏，并建立完备的项目工作底稿。质量控制组对保荐代表人的履职情况进行全程监督。

④质量控制

质量控制组根据《投资银行管理委员会项目管理办法》《投资银行管理委员会质量控制工作管理办法》等制度规定，对项目运作全过程进行质量核查及风险控制的动态跟踪，涵盖了立项管理、项目过程监控、申报文件审核、技术专家支持、经验总结和积累等一系列完整流程。投行业务设立立项委员会，负责审核各业务线提交的立项申请是否符合相关条件，并以投票的方式决定项目是否立项，核定项目组负责人及项目组成员，核定项目初步预算，审核因各种原因而终止的项目等工作，在公司层面对投行项目进行评估和甄别。

⑤内核

内核主要通过公司层面审核的形式对投资银行类项目进行出口管理和终端风险控制，履行以公司名义对外提交、报送、出具或披露材料和文件的最终审批决策职责。公司设立内核部作为常设内核机构，设立投资银行类业务内核委员会作为非常设内核机构。公司内核委员会委员由公司内核部、合规部、风险管理部、质量控制部门人员，以及外部专业人士组成。内核委员根据各自职责独立发表意见。

⑥发行方案设计和发行定价

在项目的发行方案设计和发行定价环节，公司建立了严密的风险控制体系。针对权益类发行项目和债券类发行项目，股票资本市场部和债务资本市场部在充分了解和评估监管口径、市场环境、投资者需求的前提下制定发行方案；对于承销方式为余额包销的权益类发行项目和债券类发行项目，股票资本市场部和债务融资市场部根据《资本承诺委员会管理办法》《资本承诺委员会（国际）实施细则》的内部制度要求报资本承诺委员会事前审批；根据《全球权益类证券发行承销业务规范》《A股IPO网下自主配售管理办法》《公司债券簿记发行管理规定》等对项目进行定价和配售，权益类发行项目配售结果经资本承诺委员会审批后生效执行；权益类发行项目和债券类发行项目产生的包销证券根据《包销证券处

置实施细则》进行处置。通过上述措施，有效控制发行项目的发行及包销风险。

⑦项目后续管理与风险管理

对于项目后续管理环节（包括持续督导、受托管理、存续期管理），公司制定了《投资银行管理委员会股权和并购项目持续督导工作管理办法》《投资银行管理委员会全国中小企业股份转让系统挂牌公司持续督导工作管理办法》《公司债券受托管理业务操作规则》《公司债券风险事件应急管理工作指引》《银行间债券市场非金融企业债务融资工具存续期管理工作指引》《非金融企业债务融资工具存续期信用风险管理办法》《非金融企业债务融资工具应急管理指引》《公司债券（含企业债券）存续期信用风险管理办法》《金融债券项目存续期工作管理办法》《资产支持证券存续期信用风险管理办法》《资产支持专项计划风险处置指引》《资产支持专项计划跨部门协同制度》《资产支持专项计划合格投资操作指引》《资产支持证券存续期信用风险管理办法》《权益类及并购重组类投资银行项目风险事项管理办法》等制度文件，项目组成员按照前述制度规定督导发行人履行规范运作、信守承诺、信息披露等义务，及时汇报及披露企业的重大事项，编制后续管理环节相关报告。

（8）资产管理业务

针对资产管理部现行业务的特征和风险特点，在研究、投资决策和交易执行、产品/组合设立、投资交易监控、营销与客户服务、人员行为管理等方面建立了完善的内部控制机制。

①投资决策、交易执行及研究

资产管理部内部实行投资决策与交易执行相分离的机制，分别由不同的团队负责，资产管理部设有投资决策委员会。资管账户层面设置投资经理（投资主办人），投资经理负责资产配置方案的实施及投资决策工作，投资指令通过合规性审查后传送至交易大组，由交易大组完成交易执行，交易室设立特别门禁。研究大组进行宏观策略、行业及投资证券标的研究，为投资决策提供支持。

为适应业务投资运作，资产管理部修订了《资产管理业务可转（交）债业务管理办法》《资产管理部股指期货、国债期货投资运作管理制度》等投资制度，完善了可转（交）债的出入库管理与投资决策小组工作流程，规范了股指期货、国债期货投资决策、交易、风控等全流程事项，确保投资及交易流程规范高效。

②产品/组合设立

对于养老金产品，拟新设立养老金产品的，由资产管理部养老金管理大组发起产品立项，并形成养老金产品设计方案。养老金管理大组将合同等法律文件报相关部门会签审核通过后定稿，并在规定时限内向人力资源和社会保障部申请备案，备案通过后即发行养老金产品；对于企业年金、职业年金、社保基金及基本养老基金，养老金管理大组在组合中标或确定增选投资管理人之后，发起组合立项，履行投资者适当性管理、客户身份识别与反洗钱调查等工作后，资产管理部养老金管理大组编制投资管理合同等法律文件，经公司相关部门会签审核通过后定稿，确保相关法律文件符合法律法规、监管要求及业务实际。

③投资交易监控

资产管理部风险管理组对投资交易情况进行监控。投资管理合同签订后，风险管理组根据法律文件制作风控指引书，并据此设置包括杠杆比例在内的合规和风控指标；资产管理部风险管理组运用信息系统进行事前、事中、事后监控，发现异常情况时向有关岗位发送风险揭示报告，并定期形成资产管理部风控报告。此外，资产管理部还建立了公平交易制度，保证部门内所有账户的投资及交易得到公平对待。同时，资产管理部按照监管规定，对账户从事的关联交易进行系统监控，并根据监控结果，提醒相关岗位做好有关工作。

④营销与客户服务

资产管理部高度重视营销以及客户服务工作，在投资者适当性管理、客户身份识别与反洗钱、投资者教育、营销管理、客户投诉处理、合同会签管理以及档案管理等各个方面，均建立了完善的管理机制，不断提升客户服务质量，关注客户需求及意见反馈。同时要求养老金管理大组在营销活动中向客户提供的材料不得存在内幕信息、未公开信息、公司及部门规定的不得对外提供的其他涉密信息等。资产管理部开发了CRM客户管理系统，集中统一管理客户信息，有效地提升了客户服务水平。

⑤人员行为管理

结合业务特点和实际情况，资产管理部全面规范投资、交易、研究等活动，要求从业人员对可能接触到的内幕信息进行识别、报告、处理和检查，重点防范利用内幕信息进行投资决策和交易活动的行为；关注从业人员的投资申报，持续优化制度机制，通过系统实现申报留痕及核查；投资、研究、交易人员均需签署保密承诺书，办公固定电话均设置为录音电话备查；定期检查从业人员资格。

（9）研究业务

2024年，研究部修订了《研究业务合规管理制度》《安排研究员跨墙参与首次公开发行项目相关工作规范》《研究部质量控制与审核委员会管理办法》《研究对象覆盖管理制度》《委托课题管理制度》《研究部业务国际化管理实施方案》等相关制度文件，进一步完善内控制度建设。

①研究报告的生产环节

研究业务拥有400人左右的研究团队，主要分布于北京、上海、深圳等地，统一遵循国际通行的证券研究方法，以基本面分析为基础，强调财务模型和估值模型等数量化分析手段，注重实地调研并取得一手资料，研究覆盖了国民经济所涉及到的几乎所有领域；面对复杂多变和竞争激烈的市场环境，研究业务加快了国际化进程，在保持本土优势的同时，努力将这一优势拓展到海外市场，持续推进与中信里昂证券的业务交流、跨境发布报告等工作。

②研究报告的审核环节

研究员撰写完成的研究报告需通过产品组的质量审核和合规组的合规审核。对于重要的报告（如首次评级报告、评级或盈利预测发生较大变化的报告）则需通过特别委员审核和财务专家的财务模型审核。对于调研报告则需要提交调研工作底稿备查。

③研究报告的发布环节

研究报告的对外发布由研究部产品组负责，在研究报告审核通过后产品组通过专门的研报管理系统，按照同一个邮件群组向公司内部部门、员工和外部客户同时发送，并向研报浏览WEB平台同步推送。

④研究报告的服务环节

研究报告对外发布后，研究员可为基金公司、保险公司等机构投资者提供上门路演或其他相关的研究咨询服务，并留存相关的客户服务记录。

⑤研究报告的留痕管理

对外发布证券研究报告时，产品组对研究报告发布的时间、方式、内容、对象和审阅过程实行留痕管理。研究员将研究报告所依据的财务估值模型、调研纪要等原始信息资料进行保存以备查证。

⑥研究员对外交流管理

研究员在就宏观经济、行业状况、证券市场变动情况等业务问题接受媒体采访前，需事先通过内部的审批程序。合规组对研究员参加媒体采访之前提交的信息进行记录并妥善保管备查。合规组按照监管部门的相关要求报备参与媒体节目的情况。

⑦微信管理

为进一步加强研究业务管理、强化内部风险控制、规范微信使用行为，研究部制定了《研究部业务相关微信管理暂行办法》，将研究员发布业务相关微信行为纳入研究部统一管理。

⑧研究员跨墙行为管理

对于研究员跨墙为投行等部门提供服务的，需遵守《信息隔离墙制度》《安排研究员跨墙参与首次公开发行项目相关工作规范》等制度规定。研究员跨墙前办理审批手续，对跨墙期间所获取的未公开信息持续履行保密义务；跨墙期间接受相关部门的监控，并履行相应的执业回避要求；研究员跨墙撰写的IPO投资价值研究报告，需履行研究部的质量审核与合规审核程序。

⑨专家服务管理

为规范通过外部专家为客户提供的以电话访谈、电话会议为主要形式的证券投资咨询服务以外的咨询服务，制定了《专家服务管理办法》，明确了专家来源，制定了专家身份核实等机制。

（10）资金运营管理

根据公司对部门的定位要求，库务部负责公司资金的集中管理与调配，承担资产负债管理职能，并开展流动性储备池投资，引导资金的合理流向。公司坚持资金的统一管理和运作，公司经营管理委员会和资产负债管理委员会负责对自有资金一级配置进行决策，在资产负债管理委员会审议并经经营管理委员会授权审批的额度内，公司权益投资部、股权衍生品业务线、固定收益部、证券金融业务线、库务部等部门对自有资金进行二级配置。

在资金的日常运作管理方面，公司建立健全了资金及头寸管理系统，各部门如有大额资金需求，需提前向库务部预约并通过该系统发起付款申请并通过库务部审核，保证了公司资金的合理运用，激励业务部门提高资金头寸申报的准确度。库务部在交易系统中开发了资金报表，动态跟踪每日公司资金头寸情况；严格依据公司《流动性管理办法》和相关制度规程，执行流动性管理操作，确保流动性安全。对于境外流动性管理，库务部制定了《境外流动性管理账户管理办法》及《流动性管理账户风险管理指引》，对管理账户流动性风险、利率风险、信用风险、汇率风险、操作风险及交易对手风险等进行内部控制。对于公司外汇敞口风险，库务部制定并发布了《外汇敞口管理办法（暂行）》，对公司整体外汇敞口进行

统一管理。

（11）大宗商品业务

公司作为首批开展大宗商品业务的证券公司之一，自2019年对部门业务进行调整后，主要聚焦于商品衍生品业务，针对境内外企业和机构投资者客户，提供商品配置、套期保值、风险管理等服务。根据大宗商品业务的风险特点，公司在制度建设、风险管理和系统建设等方面建立并进一步完善了内部控制机制，确保业务行为合法合规、风险可控。大宗商品业务线针对各项业务建立了管理办法与操作流程，并针对外规的变动及时更新，对衍生品业务流程进行全面规范；在重要的风险控制环节如授信管理、交易、清算等方面通过人工与系统两方面设置了严格的内部控制措施。

①制度建设

2024年，公司制定或修订了《黄金标准仓单仓库管理规程》《固定收益部大宗商品收益互换业务实施细则》《固定收益部大宗商品场外期权业务实施细则》《固定收益部大宗商品自营交易业务管理办法及操作规程》《固定收益部大宗商品做市业务实施细则》等一系列业务制度，通过对客户准入、交易风险控制、清算管理等各个业务环节全面把控，强化对收益互换、场外期权、商品做市、黄金现货仓单等业务的内部控制管理。

②风险管理

在风险管理方面，公司大宗商品业务线不断完善风险管理与内控流程，涉及新业务审批、业务规模审批、业务合同审批、客户授信管理、参数复核、交易流程控制、风险监控、产品估值、清算交割、系统支持、信息报送等领域。

（12）托管业务

针对托管业务的特征和风险特点，公司在组织架构、业务流程、制度建设、风险管理和系统管理等方面建立了完善的内部控制机制。

①组织架构

公司设立一级部门托管部，负责公司资产托管业务的承揽、业务推广及营销策划、业务组织实施等工作，同时根据相关监管规则及基金合同的约定，对托管的基金履行安全保管基金财产、办理清算交割、复核审查资产净值、开展投资监督、召集基金份额持有人大会等职责。

②业务流程

托管业务流程包括：托管项目论证及准备、托管资产保管、资金清算、会计核算和估值、投资监督、信息披露、业务保障、销售业务论证及准备以及业务支持与检查等环节。

③制度建设

公司托管部建立了一系列关于托管业务的制度和流程，包括但不限于《托管部内部机构设置与岗位职责规定》《托管部基金从业人员管理办法》《证券投资基金托管业务管理办法》《托管业务资产保管管理办法》《证券投资基金托管业务会计核算业务管理办法》《托管业务投资监督管理办法》《证券投资基金托管业务内部控制和风险管理办法》等，对资产托管业务的流程、岗位职责、风险控制措施进行全面规范。2024年，托管部新制定了《托管业务金融工具估值管理办法》《托管产品金融工具减值管理办法》《跨境产品托管业务尽职调查管理办法》《跨境产品托管运营管理办法》《托管部对外数据报送管理办法》，以完善金融产品估值体系、规范跨境产品业务运营以及对外数据报送要求。同时，托管部根据外规要求和业务开展情况，对《托管部保密工作管理办法》《托管业务清算管理办法》《上海清算所代理清算业务自有资金垫资管理办法》《资产托管业务客户投诉和纠纷处理操作规程》等制度进行了修订。

④风险管理

托管业务建立了三级内控风险防范体系，有效防范托管业务风险。一级风险防范是在公司层面设立的风险管理委员会向公司经营管理委员会汇报，并在授权范围内，负责托管业务的整体风险监管框架和管控工作，对涉及风险管理的重要事项及相关制度进行决策和审批；二级风险防范是公司中后台部门各司其职并协调配合，构成对托管业务全方位的各类风险管理和后台支持体系；三级风险防范是托管部设立风险管理组，负责部门内部风险预防和控制。

⑤系统管理

托管部信息系统建设和运维由托管部总体负责，信息技术中心协助保障。托管业务专用网络与公司其他业务网络实现强逻辑隔离，除网络安全管理、系统运行监控、资讯共享、补丁升级、病毒防护、通讯链路共享等必须的防火墙跨墙访问以外，均实现与其他业务网络的有效隔离；系统软件由系统维护岗专人进行维护、调试和保管，有关操作手册、光盘资料按照要求登记保管；要求使用人员严格按照操作规程进行操作，个人密码要定期更换。托管部业务数据保持独立，其备份、使用、传输、销毁和归集等均独立于公司其他业务数据。

（13）财务管理以及财务报告编制管理

2024年，公司制定和修订了涉及费用管理、采购管理、会计档案管理等多项制度办法，夯实了财务管理的制度基础，进一步规范了计划财务部的日常财务管理流程、会计核算流程以及财务报告编制操作流程，确保各个财务岗位分工合理、职责明确，确保各个业务流程以及财务报告编制环节授权审批制度完整、健全。同时，计划财务部充分利用数字化系统工具构建了稳定、可靠的财务核算信息系统，在确保会计工作质量的同时，有效提高工作效率，改善财务信息质量，从技术手段上，确保会计信息审核制度等一系列内部监督检查流程、制度能够有效运行。

①会计核算流程管理

计划财务部对于会计核算的管理控制坚持从源头抓起，会计人员依据公司有关制度的规定全面审核会计原始凭证的准确性和完整性，确保会计原始凭证内容详实、要素齐全、审批单据具备完整的、有效的有关各方和责任人员的签字或者盖章，对不符合规定的原始凭证不予受理；确保以合法有效的会计凭证要素为起点，并按照《企业会计准则》以及公司相关会计核算办法及时准确地完成会计核算工作。同时，依托财务信息系统的权限管理制度，计划财务部建立了严格的财务人员授权审批流程，财务人员按照各自的职责和权限进行相应的财务系统操作，以确保原始凭证以及记账凭证均经过适当的授权审批，保证会计核算的准确性、完整性。

②财务报告编制管理

公司建立了完整的、有效的财务报告编制流程和制度，在财务报表编制工作开始前，计划财务部预先制定了完整的、全面的合并财务报表编制方案以及工作计划，报请财务负责人审批后逐级下达至所有下属会计核算主体，以明确合并财务报表的合并范围、合并范围内子公司提交相关财务信息及其他会计资料的时间、形式等各项内容，确保财务报表编制工作及时有序开展。

计划财务部负责按照《企业会计准则》以及相关法律法规的要求完成财务报告的编制工作。在编制财务报告前，计划财务部协同相关部门完成资产清查、减值测试和债权债务核实等各项前期工作，确保账实相符。子公司报送的财务信息以及会计资料在确保会计信息和财务数据准确性后报送总部。

计划财务部相关责任岗位人员编制完成财务报表及其附注等财务信息后，必须经过会计机构负责人及公司相关高级管理人员的审批通过后方可按照公司的有关规定、流程和制度对外报送。

③财务信息系统管理

计划财务部充分利用数字化系统工具提高工作效率和工作质量，减少核算差错和人为调整因素，信息技术中心设置财务技术支持岗，计划财务部设置数字化建设组。

计划财务部在财务信息系统内按照不同的岗位职责类别分别为不同岗位的财务人员设置了不同的操作权限，由信息技术中心财务技术支持岗根据财务部门领导的审批在财务信息系统中设置与变更财务人员的权限，进一步保证不相容岗位职责的分离，确保财务会计信息存储安全、管理到位、使用恰当，防止对财务数据的非法修改和删除。

信息技术中心运维组、服务组、安全组的同事负责财务信息系统的日常管理与维护，包括硬件的日常维护、服务器数据备份、系统病毒检测等工作，以保证财务信息系统的正常运行及相关财务数据的及时输入、输出以及保存。计划财务部数字化建设组配合信息技术中心完成每年财务信息系统灾备演练。

④固定资产管理

公司制定了完善的固定资产管理制度，明确了固定资产的实物管理部门和价值管理部门以及各自相应的职责，清晰界定了固定资产的确认、分类、计量的标准，并对固定资产的购置、验收、维护、报废等控制流程进行了明确的规定。公司通过定期盘点确保账实相符及公司资产的安全。

（14）清算管理

清算部以职能化的组织架构为依托，规范各项制度与流程，建立业务管理集中监控平台，推进信息化运营基础建设，加强业务连续性运营能力，通过一体化的运营管理体系，持续加强风险内部控制，确保公司各项业务清算运营安全稳健。

①制度与流程管理

清算运营各项制度全面覆盖现行工作，各职能组及岗位职责明确，做到相关制度、运营规程覆盖全面、执行合理。持续构建产品化、生命周期化流程体系，形成全生命周期的、跨部门岗位的综合业务流程。积极跟进各项金融基础设施改革创新，及时新增修订相关制度流程，实现制度流程规范化管理。2024年新增、修订《证券账户业务管理细则》《会籍业务管理规程》《清算部结算资金管理细则》等制度。

②集中监控管理

持续深化集中监控平台建设，搭建运营流程监控、自动化作业监控、结算指令监控、清算过程监控等多维一体的监控体系，保证事前操作提醒、事中进程跟踪、事后监督检查的全生命周期覆盖，实现了

跨业务主体、跨地区运营团队的实时集中监控。2024年持续优化监控规则，不断推进监控平台自动化水平，并运用创新方式丰富监控手段。

③风险控制与自查

持续落实“强化管理、夯实基础”各项工作，深挖可能存在的风险隐患，风险管控坚持正向夯实与反向排查相结合，做实各项运营基础工作，落实定期自检自查的风险防控长效机制，着力防范和化解清算运营风险。2024年完成年度例行的重要系统参数、重要系统权限、安全证书（UKEY）、重要空白凭证等关键风险点的定期自查自纠工作，从各维度保障内控有效性。

④信息化管理

通过不断地巩固夯实信息化运营的基础建设，持续加强流程与系统自动化水平、推进系统间直连直通及与流程的关联，将业务流程与系统操作高度融合，注重产品、交易全生命周期运营的系统整体落地，实现自动化全周期覆盖，有效控制操作风险。2024年推进一体化运营平台结算管理功能上线，完成投资交易系统、法人结算系统、数据报送系统清算优化工作。

⑤业务连续性管理

落实一体化运营方案，深化总部管理、多地运营团队互备协同的运营机制。在保障业务连续性方面，通过制度、流程、监控统一标准、统一管理，清算运营工作实现异地互备。同时通过制定业务应急预案、完成业务连续性计划演练，有效化解局部应急状态带来的运营风险，具备极端场景下的业务运营安全保障能力。

（15）关联交易管理

公司已建立较为完善的关联交易管理内部控制机制，公司《章程》对关联交易决策权限及程序、关联股东和关联董事在关联交易表决中的回避制度等作出了规范。公司董事会下设了关联交易控制委员会，履行公司与关联人进行关联交易的管理职责，对重大关联交易事项进行审核，形成书面意见，提交董事会审议，并报告监事会。此外，为加强公司关联交易管理、规范关联交易行为、明确管理职责和分工，公司制定了《关联交易管理办法》，对关联交易的决策权限与程序作出了具体明确的规定。公司对于日常且有利于公司发展的关联交易，采取科学高效的审批流程和决策机制，能够严格按照国家有关法律、法规、规范性文件的要求，履行决策程序，确保交易价格公允，并进行充分及时的披露。

（16）信息技术管理

公司持续加强信息技术工作的管理，通过完善公司信息技术治理结构，提高公司信息技术治理水平，保障信息系统安全、可靠、高效运行，提升信息技术能力，进而转化为公司的核心竞争力。

公司在运用信息技术过程中，制定了有关信息技术决策权分配和责任承担的框架，主要包括在信息技术战略、信息技术原则、信息技术治理目标、信息技术组织架构、信息技术技术架构、信息技术应用、信息技术资金投入保障、信息技术人力资源、信息技术安全和风险控制等方面。制定了完善的信息技术制度体系及有效的工作机制和操作流程，形成了完善的信息技术内部控制机制。针对信息技术管理面临的主要风险，从事前、事中和事后整个生命周期建立了完善的防范管控和处置机制，采取有效措施最大程度减少风险事件的发生，降低风险事件造成的损失。

通过建立多层次的运维服务体系，完成一体化智能运维平台的建设，建立集中监控团队，通过ISO20000体系认证和提升信息系统自动化运维程度等措施，有效提高信息系统运行保障能力，保证信息系统安全可靠高效运行。丰富和完善各项IT服务流程，提高系统运维体系的完善和标准化，完善信息系统应急预案并组织应急演练工作。2024年度未发生信息系统安全事件。

公司持续提升网络安全体系化、实战化、常态化能力，提升业务开发运维一体化网络安全运营管理水平，保障公司信息系统安全稳定运行、保障公司重要数据安全、维护客户信任与品牌声誉，助力公司数字化转型目标实现；提升网络安全运营能力，增强网络安全纵深防御能力；数据安全保护能力持续提升，数据流动更便捷，使用更安全；开发安全管控能力进一步增强，架构安全、开源组件安全和应用安全能力大幅提升。

公司按照证监会《证券基金经营机构信息技术管理办法》要求，聘请了外审机构对近三年公司信息技术管理工作进行了全面审计，审计内容包括信息技术治理、信息技术合规与风险管理、信息系统安全管理、信息系统运维管理、信息系统建设全周期管理、数据治理、应急管理、信息技术服务机构管理和监督管理等。

（17）子公司内部控制

纳入评价范围的中信证券（山东）、中信证券华南、中信金石、中信证券投资、中信证券国际、中信期货、中信证券投服、金通证券、广证领秀、中信资管十家全资子公司以及华夏基金一家控股子公司均建立了较为完善的法人治理结构和内部控制体系，制定了完备的业务管理制度和流程。报告期内，上

述子公司未发现公司内部控制存在设计和执行方面的重大缺陷和重要缺陷；一般缺陷可能导致的风险均在可控范围内，未对公司的经营管理活动质量和财务目标的实现造成重大影响。

4．信息与沟通的评价

（1）内部信息与沟通

公司与各部门、业务线以及子公司之间建立了明确的管理和汇报机制。在合规的前提下，各部门、业务线以及子公司之间分别建立了完善的沟通和反馈机制，以保证内部信息及时、有效、准确地传递。公司制定了《合规报告制度》，明确定期和临时合规报告的报送流程、报送范围和主体责任，以保证与合规风险相关的信息能够有效传递。为配合财务报告的编制，公司制定了《财务管理制度》，对财务报告的编制及披露工作加以规范，明确财务报告的审批层级。公司制定了《重大事项报告管理办法》，明确重大事项的报送范围、审批流程等内容，力求及时发现和防范可能发生的重大风险，保证公司经营管理活动及各项工作的顺利开展。公司制定了《合同管理办法》，明确因签订、履行合同产生纠纷的，主办单位应将具体情况书面报公司领导、有关业务主管部门、法律部和合规部；决定采取诉讼方式解决的，应当按照公司《案件管理办法》《外聘律师事务所管理办法》规定处理。公司制定了各类风险的定期报告机制，根据不同风控指标报送各类定期报告。

公司已建立内部办公自动化系统（OA系统），有效地将授权控制和流程状态跟踪等功能固化至系统之中，在加强内部沟通效率的同时，实现了工作留痕。此外，公司还通过电子邮件和内网平台等多种渠道传递内部信息，有效地加强了内部交流。同时，公司已建立反舞弊举报机制，并制定公司《员工合规守则》和《客户投诉举报制度》，前者对公司内部违规事项的举报加以规定，后者对公司客户发现公司及员工违法违规行为和合规风险隐患的举报进行了规定。

（2）信息披露

公司已制定《信息披露事务管理制度》，制度明确规定董事会对信息披露的实施责任和监事会对信息披露情况的监督责任，并具体规定信息披露的原则、范围、内容、基本标准及披露流程，同时还明确了公司各单位在信息披露工作上的主体责任，有效提高了信息披露事务管理水平和信息披露质量，保护了公司、股东、客户、债权人及其他利益相关人的合法权益，保证了信息披露的及时性、准确性和完整性。

为加强公司内幕信息管理，保护广大投资者的合法权益，公司还制定了《内幕信息知情人登记制度》，规定内幕信息、内幕信息知情人的范围、内幕信息知情人登记备案流程和内幕信息保密管理等内容。

（3）信息系统

2024年度，公司信息技术中心持续加强信息化建设，新增4项信息技术管理制度，并对现行的7项制度进行了修订，实现流程及业务标准的精细化管理；不断完善信息系统基础平台和企业管理平台，保障了公司网络层面、服务器层面、数据库层面、终端管理方面、风险管理方面、安全监控方面、数据管理方面、供应商管理方面的运营和信息安全管理。信息技术中心持续与业务部门和风控合规部门密切协作，不断提高风险防范和处理的能力与效率。

5．内部监督评价

公司建立健全了董事会审计委员会、监事会、内部控制部门等组成的全方位多层次内部监督体系。董事会审计委员会协助董事会独立地审查公司财务状况、内部监控制度的执行情况及效果，对公司内部审计工作结果进行审查和监督。

监事会负责对公司董事、监事、高级管理人员以及公司经营管理情况、财务状况进行监督，向股东大会负责并报告工作。同时，公司稽核审计部、合规部、风险管理部、法律部等内部控制部门分工协作，对各项业务的内部控制情况进行定期和不定期的监督检查。

为加强和规范企业内部控制，提高企业经营管理水平和风险防范能力，促进企业可持续发展，维护社会主义市场经济秩序和社会公众利益，公司经营管理层高度重视董事会、内部控制各职能部门的意见和建议，对于发现的问题采取各种措施及时纠正，最大限度避免业务差错的发生，有效地提高业务规范化程度，提高公司内部控制管理水平。

4. 重点关注的高风险领域主要包括：

财富管理、融资融券、股票质押、自营、场外金融衍生品、上市证券做市交易、投资银行、资产管理、研究、资金运营管理、大宗商品、托管、财务管理以及财务报告编制、清算、关联交易、信息技术、子公司内部控制管理。

5. 上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的主要方面，是否存

在重大遗漏

□是 √否

6. 是否存在法定豁免

□是 √否

7. 其他说明事项

无

(二). 内部控制评价工作依据及内部控制缺陷认定标准

公司依据企业内部控制规范体系及其他相关法律法规的要求，组织开展内部控制评价工作。

1. 内部控制缺陷具体认定标准是否与以前年度存在调整

□是 √否

公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内部控制和非财务报告内部控制，研究确定了适用于本公司的内部控制缺陷具体认定标准，并与以前年度保持一致。

2. 财务报告内部控制缺陷认定标准

公司确定的财务报告内部控制缺陷评价的定量标准如下：

说明:

无

公司确定的财务报告内部控制缺陷评价的定性标准如下：

说明：

无

3. 非财务报告内部控制缺陷认定标准

公司确定的非财务报告内部控制缺陷评价的定量标准如下：

说明：

无公司确定的非财务报告内部控制缺陷评价的定性标准如下：

说明：

无

(三). 内部控制缺陷认定及整改情况

1. 财务报告内部控制缺陷认定及整改情况

1.1. 重大缺陷

报告期内公司是否存在财务报告内部控制重大缺陷

□是 √否

1.2. 重要缺陷

报告期内公司是否存在财务报告内部控制重要缺陷

□是 √否

1.3. 一般缺陷

无

1.4. 经过上述整改，于内部控制评价报告基准日，公司是否存在未完成整改的财务报告内部控制重大

缺陷

□是 √否

1.5. 经过上述整改，于内部控制评价报告基准日，公司是否存在未完成整改的财务报告内部控制重要

缺陷

□是 √否

2. 非财务报告内部控制缺陷认定及整改情况

2.1. 重大缺陷

报告期内公司是否发现非财务报告内部控制重大缺陷

□是 √否

2.2. 重要缺陷

报告期内公司是否发现非财务报告内部控制重要缺陷

□是 √否

2.3. 一般缺陷

一般性缺陷，是指除重大缺陷、重要缺陷之外的其他缺陷。根据上述认定标准，结合监管部门检查、日常监督和专项监督情况，报告期内，个别业务部门在展业过程中存在一般性缺陷。公司对此高度重视，深刻总结反思，汲取教训，并严格按照相关监管规则和内部控制的要求，通过查找问题成因、优化与完善公司相关规章制度和流程、进一步加强合规宣传与培训等措施，已及时完成整改。报告期内，公司对纳入评价范围的业务与事项均已建立了内部控制，并得以有效执行，达到了公司内部控制的整体目标。前述一般缺陷可能导致的风险均在可控范围内，未对公司的经营管理活动质量和财务目标的实现造成重大影响，且已认真落实整改。从内部控制评价报告基准日到内部控制评价报告发出日之间，没有发生对评价结论产生实质性影响的内部控制重大变化。

2.4. 经过上述整改，于内部控制评价报告基准日，公司是否发现未完成整改的非财务报告内部控制重

大缺陷

□是 √否

2.5. 经过上述整改，于内部控制评价报告基准日，公司是否发现未完成整改的非财务报告内部控制重

要缺陷

□是 √否

四. 其他内部控制相关重大事项说明

1. 上一年度内部控制缺陷整改情况

□适用 √不适用

2. 本年度内部控制运行情况及下一年度改进方向

□适用 √不适用

3. 其他重大事项说明

□适用 √不适用

我们注意到，内部控制应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。未来期间，公司将继续完善内部控制制度，规范内部控制制度执行，强化内部控制监督检查，促进公司健康、可持续发展。

董事长（已经董事会授权）：张佑君

中信证券股份有限公司

2025年3月26日