SDIC Intelligence Information Technology Co., Ltd. — Audit Report / Information 2015

Apr 24, 2016

==> picture [175 x 52] intentionally omitted <==

厦门市美亚柏科信息股份有限公司 内部控制鉴证报告

致同会计师事务所（特殊普通合伙）

==> picture [596 x 43] intentionally omitted <==

目 录

内部控制鉴证报告

2015 年度内部控制有效性自我评价报告

==> picture [596 x 43] intentionally omitted <==

1-14

致同会计师事务所（特殊普通合伙） 中国北京朝阳区建国门外大街 22 号 赛特广场 5 层邮编 100004 电话 +86 10 8566 5588 传真 +86 10 8566 5120 www.grantthornton.cn

内部控制鉴证报告

致同专字（ 2016 ）第 350ZA0168 号

厦门市美亚柏科信息股份有限公司全体股东：

我们接受委托，鉴证了厦门市美亚柏科信息股份有限公司（以下简称美亚柏科公 司）董事会对 2015 年 12 月 31 日与财务报表相关的内部控制有效性的认定。美亚柏科 公司董事会的责任是按照《企业内部控制基本规范》建立健全内部控制并保持其有效 性，并确保后附的美亚柏科公司《 2015 年度内部控制自我评价报告》真实、完整地反 映美亚柏科公司 2015 年 12 月 31 日与财务报表相关的内部控制。我们的责任是对美亚 柏科公司 2015 年 12 月 31 日与财务报表相关的内部控制有效性发表意见。

我们按照《中国注册会计师其他鉴证业务准则第 3101 号 —— 历史财务信息审计或 审阅以外的鉴证业务》的规定执行了鉴证工作。在鉴证过程中，我们实施了包括了解、 测试和评价与财务报表相关的内部控制设计的合理性和执行的有效性，以及我们认为 必要的其他程序。我们相信，我们的鉴证为发表意见提供了合理的基础。

内部控制具有固有局限性，存在由于错误或舞弊而导致错报发生且未被发现的可 能性。此外，由于情况的变化可能导致内部控制变得不恰当，或降低对控制政策和程 序遵循的程度，根据内部控制鉴证结果推测未来内部控制的有效性具有一定风险。

我们认为，美亚柏科公司于 2015 年 12 月 31 日在所有重大方面有效地保持了按照 《企业内部控制基本规范》建立的与财务报表相关的内部控制。

本鉴证报告仅供 美亚柏科公司披露年度报告时使用，不得用作任何其他用途。

致同会计师事务所 中国注册会计师 （特殊普通合伙） 中国注册会计师

中国·北京 二Ｏ一六年 四月二十二日

==> picture [596 x 43] intentionally omitted <==

厦门市美亚柏科信息股份有限公司

2015年度内部控制有效性自我评价报告

根据《企业内部控制基本规范》及其配套指引的规定和其他内部控制监管要求 （以下简称企业内部控制规范体系），结合本公司（以下简称公司）内部控制制度 和评价办法，在内部控制日常监督和专项监督的基础上，我们对公司2015年12月31 日（内部控制评价报告基准日）的内部控制有效性进行了评价。 一、重要声明

按照企业内部控制规范体系的规定，建立健全和有效实施内部控制，评价其有效 性，并如实披露内部控制评价报告是公司董事会的责任。监事会对董事会建立和实 施内部控制进行监督。经理层负责组织领导企业内部控制的日常运行。公司董事会、 监事会及董事、监事、高级管理人员保证本报告内容不存在任何虚假记载、误导性 陈述或重大遗漏，并对报告内容的真实性、准确性和完整性承担个别及连带法律责 任。

公司内部控制的目标是合理保证经营管理合法合规、资产安全、财务报告及相关 信息真实完整，提高经营效率和效果，促进实现发展战略。由于内部控制存在的固 有局限性，故仅能为实现上述目标提供合理保证。此外，由于情况的变化可能导致 内部控制变得不恰当，或对控制政策和程序遵循的程度降低，根据内部控制评价结 果推测未来内部控制的有效性具有一定的风险。

二、内部控制评价结论

==> picture [596 x 43] intentionally omitted <==

1

根据公司财务报告内部控制重大缺陷的认定情况，于内部控制评价报告基准日， 不存在财务报告内部控制重大缺陷，董事会认为，公司已按照企业内部控制规范体 系和相关规定的要求在所有重大方面保持了有效的财务报告内部控制。

根据公司非财务报告内部控制重大缺陷认定情况，于内部控制评价报告基准日， 公司未发现非财务报告内部控制重大缺陷。

自内部控制评价报告基准日至内部控制评价报告发出日之间未发生影响内部控制 有效性评价结论的因素。

三、内部控制评价工作情况

（一）内部控制评价范围

公司按照风险导向原则确定纳入评价范围的主要单位、业务和事项以及高风险 领域。纳入评价范围的主要单位包括：母公司及纳入合并报表范围的子公司，纳入 评价范围单位资产总额占公司合并财务报表资产总额的100%，营业收入合计占公 司合并财务报表营业收入总额的100%。纳入评价范围的主要业务和事项包括: 组织 架构、人力资源、社会责任、营运资金活动、采购业务、资产管理、销售业务、研 究开发、财务报告、对分公司子公司的控制、关联交易、工程项目、投资、股价敏 感性信息披露控制、全面预算、合同管理、档案与印鉴、内部信息传递、信息系统。 重点关注的高风险领域主要包括资金管理、采购业务、销售业务、研究开发、工程 项目等。

1 、组织架构

（ 1 ）治理结构

公司按照《公司法》、《证券法》、《上市公司章程指引》等国家有关法律、 法规的规定，结合公司实际情况，制定了《公司章程》，设立了股东大会、董事会、

==> picture [596 x 43] intentionally omitted <==

2

监事会及董事会各专业委员会的法人治理结构和议事规则，明确了决策、执行、监 督等方面的职责权限，形成了科学有效的职责分工和制衡机制。

公司董事会对公司内部控制体系的建立和监督执行负责。

公司监事会对董事会建立与实施内部控制的行为进行监督。

公司管理层负责执行董事会制订的内部控制制度。

（ 2 ）组织架构

根据自身的实际情况和行业特点，公司已建立了相对稳定的组织机构框架，明 确规定了各部门的职责及组织内各层级的审批权限，形成了各司其职、互相配合、 互相制约和监督的管理体系，并根据公司业务变化情况及内部控制的需要，不断对 组织结构进行优化，逐步完善了与管理职能及业务规模相适应的组织机构。截止报 告日，公司组织结构图如下：

==> picture [474 x 166] intentionally omitted <==

2 、人力资源

公司坚持实施有利于公司可持续发展、具有核心竞争力的人力资源政策。逐步 建立及健全相对完善的人事管理制度。截止报告日，公司已制定了《培训管理制 度》、《职务体系管理制度》、《新员工导师制度》、《人才推荐奖励办法》、 《薪酬管理制度》、《招聘管理办法》等各项制度。

==> picture [596 x 43] intentionally omitted <==

3

为提高公司整体管理效率，建立与关键成功因素具有密切联系的关键绩效指标 体系，公司设定了目标责任书考评机制，对各部门及分公司业绩、流程规范执行及 其他内部管理指标进行年度考核。

根据实际工作的需要，公司定期、不定期展开多种形式的培训教育，并建立了 科学的晋升机制，致力于持续提升员工的专业技能，培养良好的职业道德和敬业精 神，激发员工创新意识，从而促进公司的长远发展。

在员工福利方面，公司为员工购买了五险二金及补充商业保险，提供了班车， 交通费补贴，点心饮料，免费加班餐，弹性工作等等福利，大大提高了员工的满意 度和归属感。

3 、社会责任

公司是国内电子数据取证行业龙头企业，网络空间安全与大数据信息化专家， 主要围绕执法部门打击犯罪及政府网络空间社会治理提供产品和服务。公司一直重 视并切实履行社会责任，逐步建立和健全了社会责任管理体系。2015年度公司持续 履行企业社会责任和社会公益方面的责任和义务。主要表现在以下方面：

（1）严格执行《安全保密管理制度》，保障用户信息安全：作为信息安全行 业的龙头企业，保护用户信息安全是公司义不容辞的责任和义务，公司非常重视安 全保密工作，已建立了严格的安全保密管理体系，制定了《安全保密管理制度》， 定期对员工进行安全保密培训及考试，执行上岗签署保密承诺、在岗保密行为记录 及审计、离岗脱密期管理，将安全保密责任落实到人。

（2）完善《质量手册》，严把质量关：公司将客户作为企业存在的最大价值， 把客户满意作为衡量各项工作的准绳，严把产品质量关，重视与客户的共赢关系。 公司已根据ISO 9001：2008、国家法律法规的要求及公司的实际情况制定并完善了

==> picture [596 x 43] intentionally omitted <==

4

《质量手册》，建立质量管理体系，从管理职责、资源管理、产品实现、测量分析 和改进四个维度保证公司能持续有效地运行及向客户提供满意的产品。为了提高管 理水平并与国际环境管理体系接轨，公司依据ISO 14001:2004环境管理体系的要求， 结合公司的实际情况，建立了环境管理体系，并于2012年通过了环境管理体系认证。

（3）规范运作、稳健经营：围绕公司战略方向和2015年度经营计划积极开展 产品研发和市场推广，实现公司收入、利润稳定增长；公司规范运作、信息披露、 股东回报等各项工作获得监管部门及广大投资者认可，荣获国家工业和信息化部 “知识产权运用标杆企业”、第四届“世界知识产权组织版权金奖（中国）”保护奖、 2015年度中国上市公司市值管理绩效百佳企业、海西最具人气上市公司等多项殊荣， 公司董事长滕达荣登“2015福布斯中国上市公司最佳CEO”榜单第32位。

（4）引领行业技术发展，促进国际交流合作：美亚柏科信息安全学院以“教学 相长、用心传承”为办学宗旨，依托美亚柏科产业资源和技术优势，不断完善多层 次、多学科的课程体系，为各类政法机关、高校、企事业单位提供电子数据取证、 网络信息安全等各类行业技术培训，累计已培养50000余名专业人才；并已承办孟 - 加拉国网警培训班、中国 东盟十国计算机取证峰会、中亚打击网络犯罪培训班等 30余场外警培训和技术交流会，为促进国际技术交流与合作作出积极贡献。

（5）美亚柏科爱心基金持续履行社会公益责任：美亚柏科爱心基金由公司和 员工共同捐赠，自2010年设立以来，爱心基金秉承弘扬公益文化，积极履行社会责 任的精神，在重大自然灾害救援、关爱社会弱势群体、资助山区贫困儿童和农民工 子女、关怀工作在社会治安维稳一线、因公残疾、因公殉职或遭遇天灾人祸的人民 干警、帮扶困难员工解决燃眉之急方面发挥了积极作用。

==> picture [596 x 43] intentionally omitted <==

5

（6）公司积极响应政府号召，鼓励大众创业、万众创新：制定了《内部创业 管理办法》，设立了内、外部创业平台、投资平台为员工创业和参与创业投资提供 支持，公司已有项目通过内部创业平台成功孵化。此外，由美亚柏科高管及刘祥南 老师的学生、家属共同发起设立了厦门大学刘祥南创新创业基金，该基金每年将拿 出部分收益用于厦门大学学生尤其是在网络空间安全、大数据方面表现突出的厦大 学生创新、创业方面的奖励和资助，旨在鼓励学生发挥自己的兴趣和专长进行技术 创新研究和创业，促进高校人才培养和项目成果转化。

4 、营运资金活动

为防范和控制资金风险，保证资金安全，提高资金使用效率，公司建立了《公 司货币资金管理制度》、《预算管理制度》、《对外投资管理制度》、《费用报销 管理办法》、《个人借款管理办法》等制度，对投资、筹资、营运等环节的职责权 限、岗位分离、授权审批程序、现金收支与盘点监管、票据管理及检查、付款报销 等进行了规范。内审中心会定期检查资金活动情况，如进行盘点及例行审计，确保 资金安全和有效运行。

公司已制定了《募集资金管理制度》，根据该制度的规定并结合公司实际经营 需要，对募集资金实行专户存储，对募集资金的使用、投向、管理及监督等内容作 了详细的规定并进行严格的规范管理，实行专项审批，以保证专款专用。报告期内， 公司严格执行了募集资金专户存储制度，募集资金不存在被控股股东、实际控制人 占用、委托理财等情形。公司内部审计部门每季度对募集资金的存放和使用进行核 查，截止到2015年12月31日，未发现任何违规现象。

5 、采购业务

==> picture [596 x 43] intentionally omitted <==

6

鉴于采购既是企业“实物流”的重要组成部分，又与“资金流”密切关联，公 司已制定了《采购管理制度》、《供应商考核与评审制度》、《呆滞料与滞成品管 理制度》、《仓储管理办法》等规范，对物料申购、供应商选择评定、采购计划、 采购订单、实施采购、物料验收入库、领用、退货处理、仓储等环节做出了明确规 定。

本报告期内，采购与付款所涉及的部门及人员均能按照以上制度规定进行业务 处理，控制措施能被有效地执行。

6 、资产管理

为保证资产安全，提高资产管理性能，进一步优化资产管理流程，公司修订了 《固定资产管理制度》、《知识产权管理办法》、《服务器使用管理办法》等制度， 对资产的管理措施及管理部门、购置登记及保管盘点、维修和处置等管理环节作出 了规范。同时财务中心、行政部每年两次对固定资产进行了全面盘点，以确保资产 安全完整、账实相符。

7 、销售业务

为实现销售与生产、资产、资金等方面管理的衔接，有效防范经营风险，公司 制订了《销售手册》，设置专门的技术支持中心处理客户反馈信息，对销售区域、 订单审批、绩效考核、投标、产品试用和外借、客户服务等进行了规范。

8 、研究开发

为提高产品研发的效益与水平，提高产品研发的有效性和专业性，公司一院、 三院已制定CMMI研发裁剪流程、二院制定了《NPI流程实施细则》，对产品研发 的组织管理、过程管理进行了规范。

9 、财务报告

==> picture [596 x 43] intentionally omitted <==

7

公司制定了《子公司财务管理制度》、《会计核算管理制度》、《财务报告编 制制度》等制度，规范会计核算、财务报告的编制、审核、报送与披露工作，确保 完整、准确、及时地提供给财务报告使用者。

公司财务中心负责年度财务报告编制、收集并汇总有关会计信息，编制年度、 半年度、季度、月度财务报告，负责对分、子公司的财务监管，保证报送数据的真 实性、完整性。

10 、对子公司、分公司的控制

公司根据相关内部控制制度的相关规定，对控制子公司实行管理，职能部门对 应子公司的对口部门进行指导、监督及支持。

同时，公司已制定了《子公司财务管理制度》、《控股子公司管理制度》、 《公司对外投资管理制度》，并通过股东会及委派董事、监事、高级管理人员对控 股子公司实行控制管理，将财务、重大投资、人事及信息披露等方面工作纳入统一 的管理体系并制定统一的管理制度。公司定期取得各控股子公司的月度、季度、半 年度及年度财务报告。重点关注控股子公司涉及重大合同、重大资本支出和重大损 失等重大经济活动的合法合规性及效益性，以提高公司整体运作效率和抵抗风险能 力。目前，公司控股子公司控制结构及持股比例：

子公司名称	在被投资单位持股比例(%)
厦门市美亚柏科信息安全研究所有限公司	100.00
珠海市新德汇信息技术有限公司	100.00
江苏税软软件科技有限公司	100.00
厦门安胜网络科技有限公司	75.00
厦门美亚中敏电子科技有限公司	67.73
北京美亚宏数科技有限责任公司	55.00
香港鼎永泰克科技有限公司	51.00
武汉大千信息技术有限公司	51.00

==> picture [596 x 43] intentionally omitted <==

8

而对分公司的控制，则是依据《公司对外投资管理制度》及公司相关内部控制 制度的相关规定，实行管理。

11 、关联交易

公司制定了《关联交易管理制度》，规范关联方的界定、关联事项的审批权限、 审议程序和回避表决的要求、关联交易披露等事项。公司在处理关联交易时，严格 遵循公平、公开、公正的原则，交易定价公允，充分维护公司和中小股东的合法权 益。

12 、工程项目

为有效规范公司办公装修工程的管理，保证工程质量，公司目前已制定了《内 装管理规定》，该规定对装修立项与审批、施工管理、工程变更、工程验收、价款 支付等流程进行了规范。

13 、投资

为进一步规范公司的对外投资行为，有效保障投资资金运营的安全性和收益性， 公司制定了《对外投资管理制度》。同时设立了专职的投资中心，专门负责公司投 资事宜。

14 、股价敏感性信息披露控制

公司已建立《信息披露管理制度》、《投资者关系管理制度》、《内幕信息知 情人登记管理制度》等，对公司公开信息披露和重大内部信息沟通进行全过程有效 的控制。明确公司重大信息的范围和内容，制定了公司各部门沟通的方式、内容和 时限等相应的控制程序。公司实施信息披露责任制，将信息披露的责任明确到人 （公司董事会秘书是公司信息披露工作的直接责任人，负责处理公司信息披露事务，

==> picture [596 x 43] intentionally omitted <==

9

证券部是负责公司信息披露工作的日常办事机构）。确保信息披露责任人知悉公司 各类信息并及时、准确、完整、公平地对外披露。

15 、全面预算

为充分发挥公司全面预算的计划、协调、控制、激励、评价等综合管理功能， 使全面预算成为整合和优化配置企业资源、提升企业运行效率的一种经营预测、分 析、评价工具，公司在优化管理流程，强化管理措施的同时，已制定了《预算管理 制度》，对预算管理关系及职责权限、预算内容、审批程序等进一步作出了具体规 定，对有效保证各项资源的分配与使用、减少预算盲目性、增加预算合理性起到了 积极作用。

16 、合同管理

为规范合同管理，强化交易秩序，公司进一步完善了合同管理制度以及相应的 管理流程，同时设立了专职的法务人员，负责对公司所有合同进行审核与过滤，此 举对防范与控制合同风险、切实维护公司的合法权益起了一定的促进作用。 17 、档案与印鉴

为规范公司档案管理，有效的保护和利用公司档案，增强公司档案的实用性和 有效性，避免重要档案资料的流失，公司已制定了《档案管理制度》。

同时，为规范公司印章刻制、管理、使用、销毁，维护企业形象和合法权益， 实现印章管理的制度化和规范化，公司已制定了《印章管理办法》。

18 、内部信息传递

公司建立了信息与沟通制度，明确内部控制相关信息的收集、处理和传递程序、 传递范围，做好对信息的合理筛选、核对、分析、整合，确保信息的及时、有效。

==> picture [596 x 43] intentionally omitted <==

10

公司重视反舞弊机制建设，通过设立员工信箱、投诉热线等方式，鼓励员工及 公司利益相关方举报和投诉公司内部的违法违规、舞弊和其他有损公司形象的行为， 同时积极拓宽内部报告渠道，通过落实奖励措施等多种有效方式，广泛收集合理化 建议。

同时，公司要求对口部门加强与行业协会、中介机构、业务往来单位以及相关 监管部门等进行沟通和反馈，以及通过市场调查、网络传媒等渠道，及时获取外部 信息。

19 、信息系统

为增强系统的安全性、可靠性和合理性以及相关信息的保密性、完整性和可用 性，公司制定了《内部系统开发管理办法》、《内部系统权限管理办法》、《内部 系统实施管理办法》、《内部系统发布管理办法》、《变更管理制度》、《数据备 份管理制度》、《系统安全管理制度》等，对IT控制环境、信息系统开发与实施、 信息系统运行与维护进行规范。

上述纳入评价范围的单位、业务和事项以及高风险领域涵盖了公司经营管理的 主要方面，不存在重大遗漏。

（二 ) 内部控制评价工作依据及内部控制缺陷认定标准

公司依据企业内部控制规范体系及公司相关制度组织开展内部控制评价工作。 公司董事会根据企业内部控制规范体系对重大缺陷、重要缺陷和一般缺陷的认定 要求，结合公司规模、行业特征、风险偏好和风险承受度等因素，区分财务报告内 部控制和非财务报告内部控制，研究确定了适用于本公司的内部控制缺陷具体认定 标准。公司确定的内部控制缺陷认定标准如下：

1. 财务报告内部控制缺陷认定标准

==> picture [596 x 43] intentionally omitted <==

11

• （1）公司确定的财务报告内部控制缺陷评价的定量标准如下：

• 以2015年合并报表数据为基准，确定上市公司合并报表错报（包括漏报）重要

程度的定量标准：

重大缺陷：错报≥资产总额的5%

重要缺陷：资产总额的3%≤错报＜资产总额的5%

一般缺陷：错报＜资产总额的3%

• （2）公司确定的财务报告内部控制缺陷评价的定性标准如下：

• 具有以下特征之一的缺陷，应认定为重大缺陷：

==> picture [25 x 13] intentionally omitted <==

• ① 董事、监事和高级管理人员舞弊；

• ② 严重违反法律法规的要求；

• ③ 控制环境无效；

• ④ 注册会计师发现当期财务报表存在重大错报，而内部控制在运行过程中未

能发现该错报；

• ⑤ 企业审计委员会和内部审计机构对内部控制的监督无效。

• 具有以下特征之一的缺陷，应认定为重要缺陷：

• ① 沟通后的重要缺陷没有在合理的期间得到纠正；

• ② 更正已经公布的财务报表；

• ③ 未建立反舞弊程序和控制措施；

• ④ 公司内部审计职能无效；

• ⑤ 对于是否根据一般公认会计原则对会计政策进行选择和应用的控制无效。

• 除上述重大缺陷、重要缺陷之外的其他控制缺陷应认定为一般缺陷。

2. 非财务报告内部控制缺陷认定标准

==> picture [596 x 43] intentionally omitted <==

12

• （1）参照财务报告内部控制缺陷的定量标准，公司确定的非财务报告内部控制 缺陷评价的定量标准如下：

重大缺陷：损失金额≥资产总额的5%

重要缺陷：资产总额的3%≤损失金额＜资产总额的5%

一般缺陷：损失金额＜资产总额的3%

• （2）参照财务报告内部控制缺陷的定性标准，公司确定的非财务报告内部控制

缺陷评价的定性标准如下：

• 具有以下特征之一的缺陷，应认定为重大缺陷：

• ① 严重违犯国家法律、行政法规和规范性文件；

• ② 关键岗位管理人员和技术人员流失严重；

• ③ 媒体负面报道频现经查属实；

• ④ 信息披露内部控制失效，导致公司被监管部门公开谴责。

• 具有以下特征之一的缺陷，应认定为重要缺陷：

• ① 涉及公司生产经营的重要业务缺乏制度控制或制度系统失效；

• ② 内部控制评价的结果特别是重大缺陷或重要缺陷未得到整改；

• ③ 违反企业内部规章，造成损失的。

• 除上述重大缺陷、重要缺陷之外的其他产生一般影响或造成轻微损失的控制

缺陷应认定为一般缺陷。

• （ 三）内部控制缺陷认定及整改情况

1. 财务报告内部控制缺陷认定及整改情况

根据上述财务报告内部控制缺陷的认定标准，报告期内公司不存在财务报告内部 控制重大缺陷、重要缺陷。

==> picture [596 x 43] intentionally omitted <==

13

2. 非财务报告内部控制缺陷认定及整改情况

根据上述非财务报告内部控制缺陷的认定标准，报告期内未发现公司非财务报告 内部控制重大缺陷、重要缺陷。

四、其他内部控制相关重大事项说明

2016年，公司将会根据业务发展需要进一步完善公司内部控制制度，并随着情 况的变化及时加以调整，从而进一步提高公司治理水平。未来期间，公司将规范内 部控制制度执行，强化内部控制监督检查，促进公司健康、可持续发展。

厦门市美亚柏科信息股份有限公司董事会

2016年4月22日

==> picture [596 x 43] intentionally omitted <==

14