2026年5G通信行业上市企业内部控制体系优化研究报告

2026年5G通信行业上市企业内部控制体系优化研究报告报告日期：2026年08月

适用主体：A股5G通信产业链上市公司（通信运营商、通信设备制造商、光通信、通信工程服务商、射频元器件企业）

编制依据：《企业内部控制基本规范》《上市公司内部控制指引》、新修订《网络安全法》、工信部通信行业监管政策、证券交易所监管要求、通信行业上市公司内控案例摘要2026年，国内5G建设稳步向5G-A演进，通信上市企业同时面临资本开支收缩、供应链地缘风险加剧、数据安全监管趋严、海外合规压力上升、工程项目风险高发多重环境变化。当前大量5G通信上市公司传统内控体系存在滞后性：内控与5G新业务、数字化转型脱节，研发、工程建设、供应链、海外业务、数据安全领域管控薄弱，业财割裂、监督机制弱化、内控信息化水平不足，多家通信上市公司持续收到交易所内控问询函，暴露出重大交易管控、子公司管理、资金回款、供应商管理等缺陷。

本报告立足5G通信行业产业链特征，识别行业特有内控风险，诊断现有体系突出短板，构建适配通信行业的内控优化框架，提出分阶段落地实施方案、重点业务流程改造方案、数字化内控建设路径与保障措施，助力上市企业完善内控体系，防范重大经营风险，满足资本市场监管要求，支撑企业5G-A、算力网络、工业互联网等新业务稳健拓展。一、行业外部环境与内控建设宏观背景（一）行业发展现状（2026）基础设施：5G规模化建设进入成熟期，5G-A商用落地，运营商资本开支结构向算力网络、云网融合倾斜，传统基站建设投资放缓。产业链格局：上游射频芯片、高端元器件供应链不确定性持续存在；中游设备商竞争加剧，毛利率承压；下游通信工程、政企数字化项目应收账款规模持续走高。业务转型：通信上市公司普遍拓展算力服务、工业互联网、物联网、行业专网、海外通信工程等新兴业务，业务边界持续扩张。（二）监管政策环境对内控提出新要求资本市场监管：沪深交易所持续强化上市公司内控有效性监管，重点核查关联交易、资金占用、重大投资、工程项目、子公司管控，内控缺陷整改披露要求趋严。行业监管：新版《网络安全法》全面实施，数据安全、关键信息基础设施保护、个人信息合规成为硬性底线；工信部强化通信工程建设、代维外包、安全生产监管。涉外合规：出口管制、境外反腐败、外汇管理、海外税务合规压力加大，设备类通信上市公司跨境经营风险显著上升。（三）5G通信行业业务特征决定内控特殊性重资产、项目制运营：基站建设、系统集成、政企项目周期长、金额大、外包商众多；高研发投入：持续投入5G-A、6G、算力通信技术研发，研发资金、专利、技术秘密管控要求高；长供应链体系：元器件采购层级多，战略供应商单一依赖风险突出；软硬件结合、数据密集：网络设备、云平台承载海量业务数据，信息安全风险贯穿全流程；区域布局分散：多地分子公司、项目部、驻外机构，集团管控穿透难度大；收入结算复杂：项目验收分期回款、质保金、运营商账期长，坏账风险较高。二、5G通信上市企业现有内控体系普遍存在问题诊断基于2024—2026年通信上市公司年报内控评价报告、交易所问询函、公开风险案例，归纳五大类突出缺陷：（一）内控环境层面治理层内控意识不足：部分企业将内控简单理解为满足上市合规，内控管理与业务发展“两张皮”，重业务拓展、轻风险前置管控。组织权责不清：风控、内审、法务、采购部门权责边界模糊，工程项目、海外业务缺少专职风控岗位；下属子公司、项目部内控职能薄弱。绩效考核导向单一：业绩考核优先，内控缺陷、风险损失未与业务负责人绩效有效挂钩，问责机制流于形式。企业文化缺少合规底线：商业合作、渠道拓展领域廉洁风险防控机制不完善。（二）风险评估体系不完善（行业突出短板）风险清单老旧，缺少5G新业务专项风险识别，未纳入算力网络业务、网络切片、数据合规、海外地缘政治风险。风险评估常态化缺失，多为年度静态评估，缺少季度动态风险监测预警机制。重大风险应对方案不落地：供应链断供、大额项目坏账、境外合规事件缺少应急预案。（三）核心业务控制活动存在明显漏洞工程项目与通信工程管理（高频暴雷领域）

项目立项评审流于形式；外包服务商准入、过程管控薄弱；项目变更审批不规范；现场物资管理混乱；项目验收、结算滞后；应收账款跟踪管控不足，极易形成大额坏账（纵横通信、中通国脉等上市公司均暴露此类问题）。供应链与采购内控

战略供应商集中度风险未持续监控；招标采购围标、串标防范机制不足；进口元器件报关、跨境采购合规管控薄弱；存货（射频器件、光模块）跌价减值管控滞后。研发活动内控

研发项目立项、阶段性评审管控弱化；研发经费预算执行管控松散；核心技术、源代码、专利保密管理存在漏洞；研发资本化边界划分不清晰，存在财务错报风险。资金与财务内控

大额资金支付审批执行不到位；对外担保、投融资决策流程执行不严；关联交易定价公允性缺乏持续论证；应收账款、合同资产减值计提前瞻性不足。信息与数据安全内控

网络设备、云平台访问权限管控不完善；客户通信数据、政企行业数据分级保护缺失；缺少数据对外共享审批流程，存在合规处罚风险。海外业务内控

境外子公司管控薄弱，当地法律、税务、劳工合规管控不足；外汇风险管理机制简单；海外项目商业贿赂风险防控不足。（四）信息与沟通短板业财系统、项目管理系统、采购系统相互独立，形成信息孤岛；内控预警依赖人工上报，缺少自动化异常监控；集团与异地子公司风险信息传递不及时。（五）内部监督机制效能不足内部审计力量不足，内审多侧重财务审计，对工程、采购、研发、信息安全专项审计覆盖不足；内控缺陷整改“重发现、轻跟踪”，缺乏闭环复测机制；内控自我评价流于模板化，未能真实识别实质性重要缺陷。三、2026年内控体系优化总体思路与目标（一）总体思路以《内控五要素》为基础，立足5G通信产业链特性，坚持风险导向、业控融合、数字化赋能，构建“治理引领、业务嵌入、智能预警、闭环监督”的新型内控体系。

区分三类企业差异化侧重：运营商上市公司：重点强化数据合规、渠道管理、基站工程外包、采购招标、网络安全内控；通信设备/光器件制造企业：重点完善研发管理、全球供应链、海外出口合规、存货管理；通信工程、系统集成服务商：聚焦项目全生命周期管控、外包商管理、应收账款风险管控。（二）优化目标合规目标：满足上市公司监管、通信行业法律法规、数据安全、出口管制要求，杜绝重大内控缺陷；经营目标：降低项目亏损、坏账、供应链中断、安全事故、合规处罚发生概率；财务目标：保障财务报告真实完整，防范资金占用、会计核算差错，稳定现金流；战略目标：支撑5G-A、算力网络、工业互联网新业务拓展，实现风险可控下高质量增长。四、五大维度内控体系详细优化方案（内控五要素）（一）优化内部治理环境，夯实内控根基完善董事会、审计委员会履职机制

审计委员会牵头内控体系建设，每季度听取决内控运行、重大风险、内审整改情况；独立董事强化对重大投资、关联交易、对外担保的独立审查。搭建分层内控组织架构集团层面：设立风控与内控管理中心，统筹内控制度、风险评估、缺陷管理；业务单元：业务部门负责人为内控第一责任人，设置兼职风控联络员；重点板块：海外事业部、工程管理中心、研发中心配置专职风控人员。健全权责体系与追责机制

修订权限指引，明确重大项目投资、资金支出、对外合作、数据对外提供分级审批权限；建立内控缺陷问责制度，内控失效与管理层、部门绩效直接挂钩。持续开展分层合规内控培训

面向董监高开展上市公司治理、关联交易合规培训；业务人员重点培训工程管理、采购廉洁、数据保密；海外员工增加出口管制、反海外腐败专项培训。（二）建立动态化行业特色风险评估机制更新《5G通信行业风险清单》，新增行业新型风险库战略风险：5G-A投入回报不确定性、行业价格战风险；

市场风险：运营商资本开支波动、元器件价格波动、汇率波动；

运营风险：工程项目延期、外包商违约、供应链断供、核心技术泄密；

合规风险：数据安全违法、网络安全事故、海外贸易合规、招投标违规；

财务风险：应收账款坏账、存货跌价、现金流紧张、研发资本化风险。实施年度全面风险评估+季度重大风险动态复盘

对高风险事项（大额政企项目、海外订单、大额采购、股权投资）执行专项风险评估，出具风险评估报告并制定风险应对预案。建立重大风险预警指标体系

设置预警阈值：应收账款逾期率、项目亏损率、供应商集中度、存货周转天数、境外业务合规事件数量，指标触发自动预警。（三）核心业务流程控制活动优化（重点章节）1.通信工程项目全生命周期内控（工程服务商/运营商核心）（1）立项阶段：新增项目可行性风险评审，风控、财务参与评审，评估回款风险、盈利水平；禁止未经评审启动大额项目。

（2）外包商管理：建立外包商准入、评级、黑名单机制；定期开展外包商尽职调查，禁止与失信主体合作。

（3）实施与变更：工程变更履行书面审批；现场物资出入库登记，定期盘点；严禁无审批追加成本。

（4）验收与结算：规范验收资料管理；明确回款节点跟踪责任；建立逾期应收账款分级催收、诉讼预警机制。2.采购与供应链内控（全产业链通用）完善招标、竞争性谈判、单一来源采购流程，强化采购需求、评标过程监督；实施供应商分级管理（战略/重要/普通供应商），定期开展供应商履约、合规、ESG评估；建立备选供应商库，降低高端元器件单一依赖风险；加强进口物资海关合规、贸易管制审查，防范出口管制风险。3.研发活动内部控制（设备、射频、光通信企业）规范研发立项、中期评审、项目结题流程；严格区分资本化与费用化边界；建立技术文档、源代码、专利保密管控；与核心研发人员签署竞业限制与保密协议。4.资金、投融资与关联交易内控严格执行大额资金联审；对外投资、担保设立双层风险评审；关联交易履行事前审议，持续论证定价公允性，杜绝隐性资金占用。5.数据安全与网络信息内控（2026年核心新增要求）落实《网络安全法》《数据安全法》：开展数据分类分级，通信用户数据、政企业务数据重点保护；完善系统访问权限、操作日志审计；建立数据对外共享、数据出境专项审批流程；定期开展网络安全漏洞排查、应急演练。6.境外业务专项内控海外子公司重大事项实行集团授权审批；建立境外税务、劳工、当地法律常态化合规审查；外汇风险套期保值管控；建立海外业务反商业贿赂管控流程。（四）打通信息沟通，推进内控数字化建设推进系统互联互通：打通ERP、项目管理系统、采购系统、OA，消除信息孤岛，实现业务数据自动同步财务。搭建数字化内控风控平台（中长期建设目标）

嵌入关键控制节点：合同审批、资金支付、项目变更、供应商黑名单自动拦截；设置异常交易、逾期款项、大额亏损项目自动预警。建立重大风险信息直达上报通道，明确突发事件上报时限，杜绝迟报、瞒报。（五）构建闭环式内部监督体系丰富内审类型：在传统财务审计基础上，常态化开展工程项目专项审计、采购审计、信息安全审计、海外子公司审计。规范内控缺陷分级管理：严格区分重大缺陷、重要缺陷、一般缺陷；建立缺陷台账，明确整改责任人、整改时限、验证标准。落实整改闭环机制：内审、内控管理部门对整改结果独立复测，杜绝“纸面整改”；重大缺陷整改情况向审计委员会、董事会专项汇报。优化年度内部控制自我评价工作，杜绝模板化自评，结合业务实质识别风险。五、内控优化实施阶段规划（2026—2027分三阶段落地）第一阶段：基础梳理与制度重构（0—6个月）全面流程穿行测试，全面排查现有内控缺陷；修订《内控管理手册》、权限指引、各业务专项管理制度，新增数据安全、海外业务内控专项制度；更新通信行业风险清单，组织首轮全员内控风险培训；优先整改已识别重大、重要内控缺陷，应对监管问询风险。第二阶段：流程落地与监督强化（6—18个月）将优化后的控制流程嵌入业务日常运营；扩充内审、风控团队，常态化开展专项内控检查；试点关键流程线上化管控（项目审批、供应商管理、资金支付）；建立季度风险监测机制，形成常态化内控运行报告。第三阶段：数字化内控深度建设（长期持续）上线一体化风控内控平台，实现风险自动预警、控制流程线上固化、缺陷线上跟踪；持续适配5G-A、算力网络、行业数字化等新兴业务，动态迭代内控体系。六、配套保障措施组织保障：董事长作为内控第一责任人，管理层自上而下推动，杜绝业务部门抵触；资源保障：配置专职内控、内审人员，预留数字化内控系统建设预算；考核保障：将内控执行有效性纳入部门及管理人员年度KPI；外部支撑：必要聘请内控咨询机构、会计师事务所开展独立评估；持续迭代机制：每年结合新业务、新法规、风险事件，动态修订内控体系。七、风险提示与预期成效（一）实施过程潜在阻力业务部门认为内控增加流程、降低运营效率；

应对方案：坚持“内控嵌入业务、精简冗余审批”，去除无效控制，聚焦高风险节点管控，平衡风险与效率。跨地域项目部、海外机构执行层层衰减；

应对方案：强化垂直监督，常态化现场抽查，明确属地负责人内控责任。（二）预期实施成效有效降低工程项目亏损、坏账、采购舞弊、数据合规处罚等重大风险；内控评价质量提升，减少交易所内控问询，规避内控否定意见风险；业财融合加强，减少财务错报，