全面风险管理工作制度

全面风险管理工作制度（经2012年10月24日召开的公司第五届董事会第十五次会议批准）第一章总则第一条为加强华北高速公路股份有限公司（以下简称“公司”）的全面风险管理工作，提高风险防范与控制水平，保证公司战略的顺利实施，根据国务院国资委《中央企业全面风险管理指引》和财政部、证监会、审计署、银监会和保监会五部委联合发布的《企业内部控制基本规范》及配套指引，结合公司实际情况，制订本制度。第二条本制度适用于公司总部、分公司及控股子公司。第三条本制度中所称风险，是指在公司发展过程中，各种不确定性对公司发展战略及经营目标的影响。第四条本制度中所称全面风险管理，是指围绕公司发展战略，通过在管理的各个环节和经营过程中进行风险识别、评估和应对，培育良好的风险管理文化，完善风险管理的组织体系，建立风险管理信息系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。第二章风险管理的目标、原则第五条公司全面风险管理的总体目标：（一）保障将风险控制在公司发展战略相适应并可承受的范围内；（二）保障公司遵守相关的监管要求，相关法律法规得到遵守；（三）保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性；（四）通过建立与公司总体目标相适应的全面风险管理体系，避免公司发生颠覆性、重复性、低级的风险损失，保证公司资产的安全与完整。第六条公司全面风险管理遵循以下原则：（一）战略中心原则。公司全面风险管理工作应当基于战略、服务于战略，应当为公司战略目标的实现保驾护航。（二）整合管理原则。全面风险管理体系应与惩防体系、安全环保职业健康体系和质量管理体系等其它管理手段和方法充分整合，把风险防范、治理腐败和规范管理有机结合起来，实现各管理体系协调运作、相互促进，不断强化风险防控能力，有效提升公司的绩效。（三）全面覆盖原则。全面风险管理应实现事前、事中、事后防控的有机统一，要把风险防控要求贯穿于生产经营管理的各层面、各领域，覆盖到公司的所有业务部门和人员，渗透到公司的经营决策、执行、监督和信息反馈等各个环节，确保不存在管理空白和漏洞。（四）成本效益原则。公司开展全面风险管理工作过程中，要认真评价开展风险管理的成本和收益，紧紧围绕容易发生风险的重要领域和关键环节，以重大风险、重大事件和重要业务流程为重点，实现成本效益的有机统一。（五）制衡独立原则。全面风险管理工作要求公司部门和岗位设置做到权责分明、相互牵制、监督充分。其中，审计部应相对独立于其他部门。第七条公司全面风险管理体系主要由风险管理组织、风险管理流程、风险管理信息系统、风险管理文化、风险管理监督考核五个主要部分构成。第三章风险管理组织架构与职责分工第八条董事会作为全面风险管理的决策机构，负责对公司全面风险管理工作进行统一领导和部署，基本职责包括：（一）确定全面风险管理组织机构设置及其职责方案；（二）审批风险控制预案，包括预算控制和应急管理方案等；审批高风险业务事项的风险评估报告；（三）审批重大风险事故调查报告、重大风险事故处置方案、重大风险事故责任追究意见；（四）审批公司风险管理报告；（五）督导公司风险管理文化的培育；（六）全面风险管理的其他事项。第九条公司总经理就全面风险管理工作的有效性向董事会负责，主持全面风险管理工作。第十条总部设立风险管理委员会，董事会秘书办公室（以下简称“董秘办”）作为风险管理办公室承接委员会各项工作。第十一条总部及各分、子公司设立以业务及职能管理部室为主、风险管理部门（董秘办）监督监控、审计部独立监督的风险管理三道防线。各业务及职能管理部室作为风险管理的主要责任主体（第一道防线），其主要职责包括：（一）负责在开展各项业务与管理过程中，执行风险管理基本流程，识别、评价和应对风险；（二）参与制定风险控制预案并负责实施；参与高风险业务事项的风险评估并实施应对方案；（三）负责对归口管理的业务和管理领域风险管理情况进行监督检查；（四）信息技术部负责全面风险管理信息系统的方案设计、组织实施和运行维护；（五）配合审计部完成公司其他风险管理工作。第十二条董秘办作为风险管理工作的牵头部门（第二道防线），负责组织、协调、指导和监督公司总部各职能部室以及各分、子公司的全面风险管理工作，基本职责包括：（一）编制全面风险管理工作规划以及年度风险管理工作计划；（二）定期向董事会及监事会上报风险管理报告；（三）组织制定风险控制预案并监督实施；组织对部分高风险业务事项进行风险评估，出具风险评估意见和报告；（四）组织风险管理相关培训，多方举措培育良好风险管理文化；（五）办理董事会或监事会交办的风险管理其他相关工作。第十三条公司打造“监事会、纪检、监察、内部审计”一体化的大监督体系，共同构成风险管理的第三道防线。大监督体系内各主体应实现“工作计划、项目实施、处置处理、改进跟踪”五协同。大监督体系履行如下职责：（一）负责建设一体化的监督评价体系，制定监督评价相关制度；（二）负责开展监督评价工作，结合经济责任审计、内部控制审计、专项审计、纪律检察、效能监察等工作，出具监督报告；（三）根据监督结果，提出风险管理组织体系、流程及制度的优化方案并监督其实施；（四）组织对重大风险事故进行调查、责任认定、责任追究。监事会重点关注董事会成员以及高级管理人员履职情况；当董事、高级管理人员的行为违反法律法规、引发重大风险或可能导致公司发生重大损失时，要求其予以纠正，严重时提起诉讼并提出罢免的建议。审计部重点关注对财务收支、财务预算、财务决算、资产质量、经营绩效，以及建设项目或者有关经济活动的真实性、合法性和效益性进行监督和评价。监察重点关注公司运行合法合规、效率效益情况。纪检重点关注党的路线、方针、政策和决议的执行，组织对违规违纪情况的调查处理，协助党委加强党风建设和组织协调反腐败工作。第十四条高风险事项的风险评估职能应独立于业务经办职能；审计部监督职能应独立于业务管理职能（第一道防线）和风险管理职能（第二道防线）。高风险事项包括重大投资、对外担保、对外投资、大额采购、大额租赁、赊销预付；证券期货外汇等高风险投资；改组改制、上市融资、发行债券、兼并破产、股权转让、资产重组等。第十五条公司各部室和分、子公司应设置专职或兼职风险管理专员，负责本单位的风险管理协调工作。第四章风险管理工作流程第十六条风险管理流程分为业务层面风险管理流程及公司层面风险管理流程两类。业务层面风险管理流程指在业务与管理工作开展的过程中，应用风险识别、风险分析、风险评价、风险应对、风险监控等方法工具，对风险进行管理的过程。第十七条公司层面风险管理流程指对公司总体面临的各类风险进行风险识别、风险分析、风险评价、实施风险应对，并对风险进行监控和报告的过程，其主要环节如下：第一节风险评估第十八条风险评估是指对影响公司战略目标和经营目标实现的风险进行识别、分析、评价的过程。第十九条风险评估的基本程序包括：（一）目标梳理。对风险评估范围内的战略管理、业务经营、管理控制等各类目标进行梳理。（二）信息收集。收集影响上述目标实现的内外部风险信息，并对风险信息进行分类汇总。（三）风险识别。根据收集的风险信息，识别影响企业目标实现的各类风险；识别的风险以二级风险、风险事件的形式进行归类。（四）风险分析。采用定性、定量等方法，对风险的成因、影响、传导链条、相互关系进行分析，要注重内部管理成因的分析。（五）风险评价。在风险分析的基础上，根据设定的风险评价标准，对风险的发生可能性、影响程度分别进行评价，根据评价结果确定各二级风险的风险水平，分别为高、中、低。（六）确定重大风险。结合风险分析、风险评价的结果，确定公司面临的重大风险。风险水平为高的一般为重大风险。第二十条公司层面的风险评估工作应与公司战略规划、年度计划工作紧密结合，年度风险评估工作应与年度计划工作一并开展。第二十一条分、子公司可参照本制度设立风险管理委员会。公司各部室和分、子公司负责对风险进行识别、分析和评估，董秘办负责对公司体系内各单位风险评估结果进行汇总分析。第二节风险应对第二十二条风险应对指针对重大风险，制定并实施各类风险应对策略和措施的过程。风险应对策略指针对重大风险所制订的方针和准则，包括风险偏好、风险承受度、风险应对方式、管理资源配置等内容；风险应对措施指在风险管理策略的指导下制定的各类具体措施。第二十三条风险应对策略和措施的拟定应与年度计划工作一并开展。各部室和分、子公司负责制定本单位的重大风险应对策略和应对措施，董秘办负责对各单位的风险应对策略和措施进行汇总并组织拟定总部层面重大风险的风险应对策略和措施，报公司风险管理委员会审批后实施。第二十四条公司各部室和分、子公司负责风险应对策略和措施的实施。董秘办负责对风险应对策略和措施的实施情况进行定期和不定期监督检查。第二十五条风险应对策略和措施应根据内外部环境变化进行更新和调整。第三节风险监控与报告第二十六条风险监控与报告指对公司业务和资产的风险状况、重大风险管理策略和风险应对举措的实施情况进行监控并报告的过程。风险监控与报告分为定期和不定期两种形式。第二十七条定期的风险监控报告应作为公司季度经营分析报告、年度经营分析报告的一部分，相关内容应同时报董秘办。第二十八条突发重大风险事件应同时上报董秘办。第五章风险管理信息系统建设第二十九条公司应在梳理风险管理基本流程、搭建风险管理组织体系之后将信息技术应用于风险管理的各项工作，建立涵盖风险管理基本流程和风险控制各环节的信息系统。第三十条风险管理信息系统应建立涵盖各类风险信息的数据库，支持对风险信息的采集和汇总，支持对各类风险信息的加工处理，并实现风险管理信息的内部和外部传递与报告。第三十一条风险管理信息系统应充分利用现有信息技术平台，并实现与现信息系统的有效对接。第三十二条风险管理信息系统建设应由公司统一规划，坚持统一设计、统一实施、同步运行、统一管理的原则，保证风险管理信息系统在公司总部、各分、子公司协同一致。第六章风险管理文化建设第三十三条公司总部和分、子公司应将风险管理文化建设作为公司企业文化建设的组成部分。树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进企业建立系统、规范、高效的风险管理机制。第三十四条各级领导要在培育风险管理文化中起到表率作用。公司总部、各分、子公司要将重要管理及业务流程和风险控制点的管理人员和业务操作人员培养成为风险管理文化的骨干。第三十五条风险管理文化建设要做到全员参与。企业全体员工尤其是各级管理人员和核心业务人员应通过多种形式，努力传播企业风险管理文化，牢固树立“风险无处不在、风险无时不在、严格防控纯粹风险、审慎处置机会风险、岗位风险、管理责任重大”的风险意识。第三十六条风险管理文化建设要与员工的守法、诚信教育相结合。公司总部、各分、子公司要大力加强员工法律素质教育，制定员工道德诚信准则，形成人人讲道德诚信、合法合规经营的风险管理文化。对于不遵守国家法律法规和企业规章制度、弄虚作假、徇私舞弊等违法及违反道德诚信准则的行为，要严肃查处。第三十七条风险管理培训要有计划的进行。公司总部、各分、子公司风险管理归口部门应将风险管理培训计划作为年度风险管理工作计划的重要组成部分，并与各级人力资源部门积极配合，有效开展风险管理培训工作。风险管理培训包括日常风险管理培训、重要管理及业务流程、风险控制点的管理人员和业务操作人员岗前风险管理培训。第三十八条公司总部和分、子公司应收集本级单位内外部发生的损失案例，组织风险案例的分析，建立典型风险案例库并定期更新。风险案例库应作为风险管理培训的素材。第七章风险管理监督与考核第三十九条风险管理的监督与考核是指对风险管理的效果和效率进行持续监督与考核评价，包括对风险管理工作执行情况进行定期检查，对风险管理工作任务的完成情况进行考核，并根据监督或考核的结果，对风险管理工作进行改进。第四十条公司“大监督”各主体定期对风险管理工作实施情况和有效性进行检查评价，出具监督评价报告，并上报董事会、监事会。第四十一条各单位应建立重大风险损失责任追究制度，对发生的重大风险损失进行责任追究，将风险管理工作