兰州银行股份有限公司
           2021 年度内部控制评价报告

    根据《企业内部控制基本规范》及其配套指引的规定和
其他内部控制监管要求（以下简称“企业内部控制规范体
系”），结合兰州银行股份有限公司（以下简称“本行”）内部
控制制度和评价办法，在内部控制日常监督和专项监督的基
础上，对本行 2021 年 12 月 31 日（内部控制评价报告基准
日）的内部控制有效性进行了评价。
    一、重要声明
    按照企业内部控制规范体系的规定，建立健全和有效实
施内部控制，评价其有效性，并如实披露内部控制评价报告
是本行董事会的责任。监事会对董事会建立和实施内部控制
进行监督。高级管理层负责组织领导企业内部控制的日常运
行。本行董事会、监事会及董事、监事、高级管理人员保证
本报告内容不存在任何虚假记载、误导性陈述或重大遗漏，
并对报告内容的真实性、准确性和完整性承担个别及连带法
律责任。
    本行内部控制的目标是合理保证经营管理合法合规、资
产安全、财务报告及相关信息真实完整，提高经营效率和效
果，促进实现发展战略。由于内部控制存在的固有局限性，
故仅能为实现上述目标提供合理保证。此外，由于情况的变
化可能导致内部控制变得不恰当，或对控制政策和程序遵循
的程度降低，根据内部控制评价结果推测未来内部控制的有
效性具有一定的风险。
    二、内部控制评价结论
    根据本行财务报告内部控制重大缺陷的认定情况，于内
部控制评价报告基准日，本行未发现财务报告内部控制重大
和重要缺陷，本行已按照企业内部控制规范体系和相关规定
的要求在所有重大方面保持了有效的财务报告内部控制。
    根据本行非财务报告内部控制重大缺陷的认定情况，于
内部控制评价报告基准日，本行未发现非财务报告内部控制
重大和重要缺陷。
    自内部控制评价报告基准日至内部控制评价报告发出
日之间未发生影响内部控制有效性评价结论的因素。
    三、内部控制评价工作情况
    （一）内部控制评价范围
    本行按照风险导向原则确定纳入评价范围的主要单位、
业务和事项以及高风险领域。纳入评价范围的主要单位包
括：本行总行各部门、各分支机构以及下属子公司，纳入评
价范围单位资产总额占本行合并财务报表资产总额 100%，
营业收入合计占本行合并财务报表营业收入总额的 100%；
纳入评价范围的主要业务和事项包括:
    本行层面：内部控制环境、风险识别与评估、内部控制
活动、信息沟通与反馈、内部监督。
    流程层面：授信业务、资金业务、会计及柜面业务、国
际结算、贸易融资、融资租赁、反洗钱业务、中间业务、财
务会计管理、信息科技管理等。
    本行在全面评价的基础上，重点关注业务涉及的信用风
险、市场风险、操作风险、流动性风险、信息科技风险、声
誉风险等各类风险，各项业务均严格落实监管要求和行内制
度，实现了对需要高度关注和重点防控领域的全面覆盖。
    上述纳入评价范围的单位、业务和事项以及高风险领域
涵盖了本行经营管理的主要方面，不存在重大遗漏。
    （二）内部控制评价工作依据及内部控制缺陷认定标准
    本行依据企业内部控制规范体系及《商业银行内部控制
指引》，结合本行内部控制评价相关制度组织开展内部控制
评价工作。
    本行董事会根据企业内部控制规范体系对重大缺陷、重
要缺陷和一般缺陷的认定要求，结合本行规模、行业特征、
风险偏好和风险承受度等因素，区分财务报告内部控制和非
财务报告内部控制，研究确定了适用于本行的内部控制缺陷
具体认定标准。本行确定的内部控制缺陷认定标准如下：
    1.财务报告内部控制缺陷认定标准
    1.1 本行确定的财务报告内部控制缺陷评价的定量标准
如下：
    重大缺陷的定量标准。该内部控制缺陷可能引起的财务
报表的错报金额满足以下标准：本年度利润总额累计错报≥
本年度利润总额的 5%。
    重要缺陷的定量标准。该内部控制缺陷可能引起的财务
报表的错报金额满足以下标准：本年度利润总额的 2.5%≤本
年度利润总额累计错报＜本年度利润总额的 5%。
    一般缺陷的定量标准。该内部控制缺陷可能引起的财务
报表的错报金额满足以下标准：本年度利润总额累计错报＜
本年度利润总额的 2.5%。
    1.2 本行确定的财务报告内部控制缺陷评价的定性标准
如下：
    重大缺陷的定性标准。一个或多个内部控制缺陷的组
合，可能导致不能及时防止或发现并纠正财务报告中的重大
错报，对财务报告的真实完整和公允反映以及与公司财务报
告相关的资产安全造成重大影响。存在重大缺陷的情形包括
但不限于：董事、监事或高级管理人员存在舞弊行为；本行
审计委员会和内部审计机构对内部控制的监督无效；财务报
告内部控制中存在的重大或重要缺陷未得到整改；注册会计
师发现当期财务报告存在重大错报，且内部控制运行过程中
未发现该错报。
    重要缺陷的定性标准。一个或多个内部控制缺陷的组
合，可能导致不能及时防止或发现并纠正财务报告中的重要
错报，对财务报告的真实完整和公允反映以及与公司财务报
告相关的资产安全造成较大影响。存在重要缺陷的情形包括
但不限于：未依照公认会计准则选择和应用会计政策；未建
立反舞弊程序和控制措施；沟通后的重要缺陷没有在合理的
期间得到全面纠正；其他可能引起财务报告出现重要错报的
内部控制缺陷。
    一般缺陷的定性标准。财务报告内部控制中存在的除上
述重大缺陷和重要缺陷的其他财务报告内部控制缺陷。
    2.非财务报告内部控制缺陷认定标准
    2.1 本行确定的非财务报告内部控制缺陷评价的定量标
准如下：
    重大缺陷的定量标准。该内部控制缺陷可能引起的直接
财产损失满足以下标准：直接财产损失≥本年度财务报告税
前利润总额的 5%。
    重要缺陷的定量标准。该内部控制缺陷可能引起的直接
财产损失满足以下标准：本年度财务报告税前利润总额的
2.5%≤直接财产损失＜本年度财务报告税前利润总额的 5%。
    一般缺陷的定量标准。该内部控制缺陷可能引起的直接
财产损失满足以下标准：直接财产损失＜本年度财务报告税
前利润总额的 2.5%。
    2.2 本行确定的非财务报告内部控制缺陷评价的定性标
准如下：
    重大缺陷的定性标准。对公司整体目标的实现造成严重
影响；严重违反国家法律法规或监管要求，情节非常严重，
受到监管部门严厉处罚或其他非常严重的法律后果，造成重
大的社会影响；因缺陷本身导致错误信息致使内外部信息使
用者做出截然相反的决策，造成不可挽回的决策损失；因系
统数据完整性受到攻击，对业务正常运行造成灾难性影响，
导致严重偏离控制目标的内部控制缺陷；产生负面影响波及
范围很广，对本行声誉造成重大损害。
    重要缺陷的定性标准。对公司整体目标的实现造成较大
影响；违反国家法律法规和监管要求，情节比较严重，引起
监管部门较为严重的处罚或其他较为严重的法律后果；因缺
陷本身导致错误信息可能会影响使用者对于事物性质的判
断，在一定程度上导致错误的决策，甚至做出重大的错误决
策；系统数据可能造成的直接或潜在的负面影响严重程度低
于重大缺陷，但仍有可能导致公司偏离控制目标的内部控制
缺陷；媒体出现负面新闻，波及局部区域，对本行声誉产生
一定损害。
    一般缺陷的定性标准。不构成上述重大缺陷和重要缺陷
的其他非财务报告内部控制缺陷。
    （三）内部控制缺陷认定及整改情况
    1.财务报告内部控制缺陷认定及整改情况
    根据上述财务报告内部控制缺陷的认定标准，报告期内
本行未发现财务报告内部控制重大缺陷和重要缺陷。
    2.非财务报告内部控制缺陷认定及整改情况
    根据上述非财务报告内部控制缺陷的认定标准，报告期
内未发现本行非财务报告内部控制重大缺陷和重要缺陷。
    本行在财务报告和非财务报告的所有重大方面保持了
有效的内部控制，内部控制总体得到持续有效运行。2022 年，
本行将从制度、流程、系统等方面进行持续优化，不断提升
内部控制运行效果，有效防范各类风险，保障全行各项经营
管理活动安全、稳健运行。

    四、其他内部控制相关重大事项说明
    无。


                                 兰州银行股份有限公司
                                       2022 年 4 月 27 日