某上市公司风险管理办法

某上市公司风险管理办法第一章总则第一条为加强本公司（以下简称“公司”）的风险管理，建立规范、有效的风险控制体系，提高风险防范能力，及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险承受度和风险应对策略，根据《企业内部控制基本规范》及其配套指引、《中央企业全面风险管理指引》、《上海证券交易所上市公司内部控制指引》和公司章程，结合公司实际，制定本办法。第二条本办法所称风险是指公司经营活动中与公司实现内部控制目标相关的风险，包括战略风险、财务风险、市场风险、运营风险和法律风险等。本制度所称风险评估是指通过对基于事实的信息进行分析，就如何处理特定风险以及如何选择风险应对策略进行科学决策。第三条本制度适用于公司及各全资、控股子公司（以下统称“子公司”）。第二章风险管理机构设置第四条公司风险管理的组织体系由公司董事会、总经理办公会、风险管理部门、内部审计部门、各职能部门/子公司构成。第五条公司各职能部门为风险管理第一道防线；风险管理部门为风险管理第二道防线；内部审计部门及审计委员会为风险管理第三道防线。第六条公司各职能部门在风险控制管理方面的主要职责：（一）按照公司风险管理部门制定的风险评估的总体方案，根据业务分工，配合风险管理部门，识别、分析相关业务流程的风险，确定风险反应方案。（二）根据识别的风险和确定的风险反应方案，按照公司确定的控制设计方法和描述工具，设计并记录相关控制，根据风险管理的要求，修改完善控制设计。包括：建立控制管理制度，按照规定的方法和工具描述业务流程，编制风险控制文档和程序文件等。（三）组织控制制度的实施，监督控制制度的实施情况，发现、收集、分析控制缺陷，提出控制缺陷改进意见并予以实施。对于重大缺陷和实质性漏洞，除向部门负责人汇报情况外，还应向公司领导及时反馈情况，以便公司监控内部控制体系的运行情况。（四）配合内控审计部门等部门对控制失效造成重大损失或不良影响的事件进行调查、处理。第七条风险管理部门负责建立公司风险管理体系、制度和流程等日常管理工作，并监督其实施的有效性。具体职责如下：（一）负责制定公司的风险评估方案；（二）负责组建风险评估小组；（三）负责审核风险清单、应对预案；（四）拟定公司风险评估报告，上报公司管理层；（五）负责建立经营环境监控体系，切实监控并记录内、外部经营环境和条件的变化，以修正风险识别与评估；（六）负责建立风险预警指标体系，要求各具体部门定期提供数据，进行指标分析；对于超过风险预警值的指标，应确定相应的整改措施。第八条总经理办公会主要职责为：（一）审定公司各部门风险管理工作职责；（二）批准风险应对预案；（三）研究、确定公司重大风险事项及应对预案；（四）审定风险管理部门提交的公司风险管理方面的报告，并报董事会审议。第九条董事会的主要职责为：（一）确定公司风险目标；（二）审议公司风险管理制度、风险管理办法；（三）批准公司风险评估报告；（四）批准风险管理其他重大事项。第十条董事会下设的审计委员会负责指导公司审计部门开展对全面风险管理的相关工作。第十一条公司内部审计部门在审计委员会的业务指导下，主要履行以下职责：（一）负责研究提出全面风险管理监督评价体系；（二）制定监督评价相关制度，开展监督与评价，出具监督评价审计报告；（三）对全面风险管理归口部门和各职能/业务部门的风险管理工作的有效性进行检查和评价，将审计结果及时报送审计委员会，并根据审计委员会的审议决定报送董事会。第十二条公司各职能部门负责人和子公司负责人为风险控制的第一责任人，履行风险管理职能，执行具体的风险管理制度。建立单位内权责明确、相互制衡的岗位职责和单位内全面、合理的风险控制制度，并针对业务主要风险环节制定业务操作流程。第十三条子公司的风险管理和职责分工的设立，参照公司的规定制定。第三章风险评估的频率第十四条风险评估每年至少进行一次，并根据实际需要增加评估的频率。第十五条当出现下述情况时，应考虑重新进行风险评估：（一）公司经营模式发生重大变动；（二）公司所使用的信息技术发生重大变动；（三）关键人员变动；（四）公司所适用的会计准则发生重大变动；（五）购并的发生、金融工具的使用等涉及到复杂的会计处理要求的事项发生；（六）其他需要重新进行风险评估的。第四章控制目标的设定和传达第十六条董事会应当按照战略目标，设定相关的经营目标、财务报告目标、合规性目标与资产安全完整目标，并根据设定的目标合理确定企业整体风险承受能力和具体业务层次上的可接受的风险水平。第十七条董事会应定期更新和修正公司的经营目标、风险管理目标；第十八条管理层应向各部门清晰传达公司的战略目标、经营目标和风险管理目标（如通过工作准备会等），并进行目标分解。第十九条风险管理部门负责风险评估方案的制订，风险评估方案须经公司总经理办公会审批后执行，风险评估工作由风险管理部门组建风险评估小组负责具体实施。第五章风险识别第二十条公司各部门/子公司应当根据风险评估方案的要求，全面系统持续地收集相关信息，结合实际情况，及时进行风险评估，准确识别与实现控制目标相关的内部风险和外部风险。第二十一条公司各部门/子公司在进行风险识别时，可以采取座谈讨论、问卷调查、案例分析、咨询专业机构意见等方法识别相关的风险因素，特别应注意总结、吸取企业过去的经验教训和同行业的经验教训，加强对高危性、多发性风险因素的关注。第二十二条各部门/子公司应广泛、持续不断地收集与本公司风险和风险管理相关的内外部信息，包括历史数据和未来预测。风险信息的收集主要包括以下内容：（一）战略风险方面，收集国内外企业战略风险失控导致企业蒙受损失的案例，重点收集国内外宏观经济政策以及经济运行情况、行业状况，国内外产业政策、项目工程市场需求与供给状况等与战略有关的信息；（二）财务风险方面，收集国内外企业财务风险失控导致危机的案例，重点收集企业财务报表、资产质量、盈利能力、偿债能力、现金流量、成本核算、资金结算等方面的信息；（三）市场风险方面，收集国内外企业忽视市场风险、缺乏应对措施导致企业蒙受损失的案例，重点收集主要客户资信、竞争对手等方面的信息；（四）运营风险方面，收集国内外企业忽视运营风险、缺乏应对措施导致企业蒙受损失的案例，重点收集与企业治理、投资决策、项目管理、人力资源等各方面的信息；（五）法律风险方面，收集国内外企业忽视法律法规风险、缺乏应对措施导致企业蒙受损失的案例，重点收集国内外法律法规和政策、以往重大法律纠纷案件、竞争对手的知识产权等方面的信息。第二十三条公司识别内部风险，应当关注下列因素：（一）董事、监事、经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素；（二）组织机构、经营方式、资产管理、业务流程等管理因素；（三）研究开发、技术投入、信息技术运用等自主创新因素；（四）财务状况、经营成果、现金流量等财务因素；（五）营运安全、员工健康、环境保护等安全环保因素；（六）其他有关内部风险因素。第二十四条公司识别外部风险，应当关注下列因素：（一）经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；（二）法律法规、监管要求等法律因素；（三）安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；（四）技术进步、工艺改进等科学技术因素；（五）自然灾害、环境状况等自然环境因素；（六）其他有关外部风险因素。第二十五条公司根据收集的信息，建立风险数据库，包括风险种类、风险描述、风险应对措施等，并在未来的工作中不断对其进行完善。第六章风险分析第二十六条公司各部门/子公司应当针对已识别的风险因素，从风险发生的可能性和影响程度两个方面进行分析。各部门/子公司应当根据实际情况，针对不同的风险类别确定科学合理的定性、定量分析标准。具体如下：表一：风险发生的可能性程度描述说明I大致确定事件可能在多数情况下发生II可能事件有时可能发生III可能性不高事件只在少数情况下可能发生IV罕见事件仅在很少的情况下发生V极不可能事件极少的情况下发生表二：风险的后果或影响程度描述说明1微不足道没有经济损失2轻微轻微经济损失3中度可以得到控制，经济损失不大4高度经济损失较大5灾难性经济损失巨大第二十七条公司/子公司应当根据风险分析的结果，依据风险的重要性水平，运用专业判断，按照风险发生的可能性大小及其对企业影响的严重程度进行风险排序，确定应当重点关注的重要风险。表三：风险程度定性分析表可能性后果微不足道轻微中度高度灾难性12345大致确定ⅠCCDEE可能ⅡBCCDE可能性不高ⅢABCDE罕见ⅣAABCD极不可能ⅤAABCC注：E=极高：要立刻停止有关工作，直到风险减低。在风险减低前有关工作须完全禁止进行。D=高风险：要停止有关工作，直到风险减低。如有关工作现正在进行中，须提供有效监控及紧急应变程序。C=中等风险：须规定有关管理职责及指引把危害控制，或在可行下进一步减低风险，如有关风险可能产生严重的危害，应作进一步危害评估及加强控制。B=可接受的风险：按正常运作程序管理，在不影响成本下可作进一步改善。A=微不足道的风险：无须作任何行动，按惯常运作。第七章风险汇总及应对预案第二十八条公司各部门/子公司应当根据风险分析情况，结合风险成因、公司整体风险承受能力和具体业务层次上的可接受风险水平，确定风险应对策略。风险应对策略主要包括风险回避、风险承担、风险管理和风险分担经营。第二十九条公司各部门/子公司应根据风险分析的结果编制风险清单，并制订相应的应对预案，风险清单、应对预案须报公司风险评估小组审核后，报总经理办公会审批。重大风险应对预案还需要报董事会审批。第八章风险评估报告及执行第三十条公司风险评估小组负责编制风险评估报告，风险评估报告经公司总经理办公会审核后，报公司董事会审议。第三十一条风险评估报告应包括以下内容：（一）风险评估的范围；（二）风险评估的方法；（三）风险清单；（四）风险应对预案。第三十二条各部门/子公司应根据董事会批准的风险评估报告进行实施，对风险应对预案的执行情况进行实时监控，并及时反馈风险应对、解决的执行情况。第三十三条内部审计部门（或协同风险管理部门或风险评估小组）负责定期或不定期对各部门/子公司风险管理工作实施情况和有效性进行监督和检查，提出调整或改进建议，出具评价和建议报告第三十四条各部门/子公司未按照公司规定开展风险评估工作、或风险评估工作落实不到位的，除各部门/子公司负责人应承担第一责任外，还需追究具体执行人员的责任。风险管理过程中因各级审批人员未严格履行审批职责、或越权审批等原因导致风险发生的，将追究该相关人员责任。第九章附则第三十五条本制度由风险管理部门负责编制与解释。第三十六条本制度与国家有关部门或机构日后颁布的法律、法规及规章相抵触时，以国家有关部门或机构日后颁布的法律、法规及规章为准。第三十七条本制度自董事会审议通过之日起实施。