【参考】超全面的某企业全面风险管理办法

第一章  总则

第一条 为了建立规范、有效的XX有限公司（以下简称“公司”）全面风险管理体系，防范、控制和化解公司在经营管理过程中可能发生或出现的风险，促进企业健康持续稳定发展，保障企业资产保值增值，根据《中华人民共和国公司法》、《中央企业全面风险管理指引》等法律法规及规章制度，结合公司实际，制定本办法。

第二条 本办法适用于公司总部。公司下属各级全资、控股子公司（以下简称“下属企业”）应结合本单位的经营管理实际，根据本办法制定相应的风险管理与内部控制管理实施细则。

第三条 本办法所称风险，指未来的不确定性对企业实现其战略目标和经营目标的影响。

第四条 本办法所称全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。

第二章  全面风险管理的目标、原则和框架 

第五条 公司全面风险管理的总体目标：

（一）确保公司各项经营管理活动遵守有关法律法规；

（二）确保将风险控制在与总体目标相适应并可承受的范围内；

（三）确保公司有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果；

（四）确保公司建立针对各项重大风险发生后的危机处理方案，保护企业不因灾害性风险或人为失误而遭受重大损失；

（五）不断提高公司员工风险管理意识，形成良好的风险管理文化。

第六条 公司全面风险管理遵循全面、重要、合理、制衡、独立的原则，确保风险管理的有效性。

（一）全面性。公司风险管理应当做到事前、事中、事后控制相统一；覆盖公司所有业务、部门和人员，渗透到决策、执行、监督、反馈等各个环节。

（二）重要性。在全面风险管理的基础上，关注重要业务、重点项目和高风险领域。

（三）合理性。全面风险管理应与公司经营规模、业务范围、风险状况及所处的环境相适应，应以合理的成本实现风险管理目标。公司应本着从实际出发，务求实效的原则，制定开展全面风险管理的总体规划，分步予以实施。

（四）制衡性。风险管理应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。

（五）独立性。承担风险管理监督检查职能的部门应当独立于公司其他部门。

第七条 全面风险管理的基本流程包括以下主要工作：

（一） 收集风险管理初始信息；

（二） 进行风险评估；

（三） 制定风险管理策略；

（四） 提出和实施风险管理解决方案；

（五） 风险日常监控预警；

（六） 风险与危机的处理；

（七） 风险管理的监督与改进。

第八条 全面风险管理应涵盖公司治理与经营管理活动中所有环节，包括：

（一）公司治理环节：主要包括股东大会、董事会、党组织委员会与总经理办公会的会议运作和管理层的职权等。

（二）重大资产购买和出售环节：主要包括重大资产自建、购置、处置、维护、保管与记录等。

（三）对外投资环节：包括投资有价证券、股权、金融衍生品及其他长、短期投资、委托理财、募集资金使用的决策、执行、保管与记录等。

（四）对外担保、筹融资环节：包括借款、担保、承兑、租赁、发行债券等的授权、执行与记录等。

（五） 关联交易环节：包括关联方的界定，关联交易的定价、授权、执行、报告和记录等。

（六）日常经营管理环节：主要包括生产、采购与付款、销售与收款、财务会计管理、全面质量管理、产品研发、人事管理、环境保护、安全管理等。

第三章  风险管理的组织体系与职责分工

第九条 公司建立统一领导、分工负责、专业监督与全员参与相结合的全面风险管理工作机制。

第十条 公司全面风险管理组织体系由公司董事会、总经理办公会（公司经理层）、风险管理职能部门、风险管理监督部门及其他职能和业务部门构成。

第十一条 公司董事会负责规划公司整体的风险控制体系。提出全面风险管理的目标和实施要求，审议公司风险管理和企业内控制度、组织机构设置及其职责方案，以及其他涉及公司重大权益的风险处置方案。

第十二条 总经理办公会负责按照董事会要求，制定公司风险控制体系的总体方案和实施步骤。落实全面风险管理体系建设，持续改善公司整体的风险管理体系；对重大风险问题提出解决方案并组织实施，对危机事件设立临时性处理机构；指导和督促下属企业的全面风险管理工作。

第十三条 公司综合管理部为公司风险管理的职能部门，向公司经理层负责并报告工作。主要职责为：

（一）负责公司全面风险管理体系的建设、推进和管理工作，指导各部门风险管理工作的具体实施，协调解决日常风险管理过程中的一般性问题；

（二）组织编制公司全面风险管理年度工作报告并向经理层提交；

（三）组织制定公司风险管理有关规章制度；

（四）组织建立公司风险管理信息系统；

（五）配合人力资源部组织风险管理有关的培训活动；

（六）组织研究并提出风险管理策略和跨部门的重大风险解决方案，监督检查解决方案的实施情况；

（七）负责风险管理有效性的持续评估，研究提出风险管理改进方案；

（八）负责组织风险管理工作考核；

（九）负责公司风险管理文化建设；

（十）负责经理层交办的与全面风险管理相关的其他工作。

第十四条 审计部门是企业全面风险管理的监督部门，负责企业全面风险管理的监督和评价。

第十五条 公司各职能部门和业务部门是风险管理的执行机构。各部门负责人为本部门职责范围内风险控制的第一责任人。主要职责为：

（一）有效执行风险管理规章制度和基本工作流程；

（二）负责本部门风险管理初始信息的收集整理工作，建立健全本部门的风险管理内控子系统，提出本部门业务流程中风险点和控制点的初步识别信息；

（三）研究提出本部门的重要事项和重要业务流程风险的识别和判断标准，提出本部门重要风险的风险解决方案，并负责对该方案的组织实施和对该风险的日常监控；

（四）负责提出本部门重要业务风险评估报告；

（五）参与起草全面风险管理年度报告；

（六）负责风险管理信息化系统在本部门的运行操作；

（七）负责组织制定本部门各项业务的风险管理制度，或在编制各项业务管理制度时建立风险控制的内容；

（八）负责本部门风险管理工作的自查和风险管理文化建设等有关工作。

第十六条 参照《中央企业全面风险管理指引》，公司面临的风险分为战略风险、运营风险、市场风险、财务风险、法律与合规风险及廉洁风险六大类别。公司风险实行归口管理、分工负责的管理原则，各部门应按照本办法之规定，对各自负责的风险领域实施管理与监控。

（一）战略风险：由公司董事会和总经理办公会负责企业战略风险的管理与监控；

（二）运营风险：由公司各部门负责各自所属运营管理风险的管理与监控；

（三）市场风险：由公司业务部门负责各自所属业务领域市场风险的管理与监控；

（四）财务风险：由公司财务部门负责财务风险的管理与监控；

（五）法律与合规风险：由公司综合管理部、董事会办公室、环保合规部、废家电事业部负责企业合规和法律事务等风险的管理与监控；

（六）廉洁风险：由综合管理部、人力资源部负责公司职工廉洁从业风险的管理和监控。

第四章  风险信息、风险识别和风险评估

第十七条 公司建立风险管理信息的收集与积累机制。风险管理信息包括与风险及风险管理相关的宏观经济、政策法规、市场状况、技术革新、财务状况、人力配置、管理措施、信息报告等方面的信息。公司各部门应广泛、持续不断地收集风险信息，并通过信息化系统或其他方式送交公司。

风险管理职能部门，公司风险管理职能部门应对风险信息进行整理和辨识，应用于风险识别和风险评估工作。

第十八条 公司在辨识风险信息的基础上，根据自身经营管理实际，组织公司各部门开展风险识别工作。

（一）战略风险。指未来的不确定性对企业实现其战略目标的影响。

（二）运营风险。指企业在运营过程中，由于外部环境的复杂性和变动性以及主体对环境的认知能力和适应能力的有限性，而导致的运营失败或使运营活动达不到预期目标的可能性及其损失。

（三）市场风险。指由于市场及相关的外部环境的不确定性而导致企业市场萎缩、达不到预期的市场效果乃至影响企业生存与发展的一种可能性。

（四）财务风险。指财务基础管理制度不完备，运营日常经费控制不当使公司运营经费支出和日常管理成本未在指标控制范围内；在各项财务活动中，因各种内外因素使财务状况不明确，导致公司财务蒙受严重经济损失的风险。

（五）法律与合规风险。指由于企业外部法律环境发生变化，或由于包括企业自身在内的法律主体未按照法律规定或合同约定有效行使权利、履行义务，而对企业造成负面法律后果的可能性。

（六）廉洁风险。指公司管理层或员工在执行公司事务过程中或日常生活中出现谋求私利等腐败行为的可能性。

第十九条 公司根据风险发生的原因，结合实际情况，对上述风险细化分类，形成风险分类总目录（见附件1）。

第二十条 公司按照风险发生的概率以及影响程度，结合定量数据和定性分析进行风险评估。一般而言，公司可经风险评估将风险分为重大风险、重要风险、一般风险和低风险等四个等级（见附件2）。

第二十一条 公司按照风险评估标准描述、说明、归类各种具体风险，并对重大风险和重要风险形成风险管理清单。公司在评估多项具体风险时，对各项具体风险进行比较，确定关注重点和管理的优先顺序。

第二十二条 风险评估由公司组织各部门自行组织实施，必要时也可聘请有资质、信誉好的风险管理专业咨询机构协助实施。

第五章 风险管理策略

第二十三条 风险管理策略，是指根据公司自身条件和外部环境，围绕公司发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择适当的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。

第二十四条 公司根据不同业务特点确定风险偏好和风险承受度，明确风险的最低限度和不能超过的最高限度，并据此确定风险预警线及相应采取的对策。

第二十五条 公司根据风险与收益相平衡的原则，明确风险管理成本的资金预算和控制风险的组织体系、应对措施等总体安排。

第二十六条 风险管理策略应包括风险规避、风险转移、风险降低、风险接受等四种方式：

（一）风险规避：即为了避免受风险影响而退出业务活动的应对方式；

（二）风险转移：即利用工具将风险部分或全部转移给第三方，防止遭受灾难性损失的应对方式；

（三）风险降低：即采取控制措施以降低风险事件的影响程度或发生概率，以将风险控制在可接受范围内的应对方式；

（四）风险接受：即在风险规避、风险转移、风险降低策略均不可行，或采取措施的成本超过接受风险成本的情况下，不对风险采取任何措施，接受该风险的应对方式。

第二十七条 公司根据自身的风险偏好和风险承受度，采用一种或多种应对方式相结合，以有效管理和应对风险。

第二十八条 针对低风险，一般可通过现有制度与流程加以有效控制，不增加额外控制，但风险事件实际发生后应及时分析总结，并将结果报风险管理职能部门备案。

第二十九条 针对一般风险，公司应对现有制度与流程进行评估，查找差距与不足，补充完善控制措施，应对风险，防范风险升级扩散，并将结果报风险管理职能部门备案。

第三十条 针对重要风险和重大风险，应在公司整体层面上加以应对。应由相关部门会同风险管理职能部门共同研究提出风险管理措施和解决方案，内容包括但不限于对风险的具体目标，所需的组织领导，所涉及的管理及业务流程、所需要的资源，相关工作进度安排等。

第三十一条 公司定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。

第六章  风险管理的内控机制

第三十二条 公司按照经营战略与风险策略一致、风险控制与运营效率相平衡的原则，建立和完善风险管理的内控机制。

第三十三条 公司建立风险管理的内控机制，至少应建立健全以下制度和包括以下内容：

（一）岗位授权制度。对所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权做出决定；

（二）审批流程制度。明确规定各类审批事项的批准程序、条件、范围和额度、必备文件以及有权批准的部门和人员等；

（三）内控责任制度。按照权利、义务和责任相统一的原则，明确规定各有关部门和业务单位、岗位、人员应负的责任和奖惩制度；

（四）预算管理制度，明确各部门在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束；

（五）审计检查制度。结合内控的有关要求、方法、标准与流程，明确规定审计检查的对象、内容、方式和负责审计检查的部门等；

（六）考核评价制度。应科学设置考核指标体系，对企业各部门和全体员工的业绩进行定期考核和客观评价，将考评结果作为员工奖惩、聘任、交流、培训的依据；

（七）重大风险预警制度。对重大风险进行持续不断的监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施；

（八）坚持不相容岗位职责分离原则，建立重要岗位权力制衡机制。坚持将授权与执行、执行与监督等不相容岗位分离设置，确有必要时可对关键岗位设置一岗双人，以相互制约，减少错误和舞弊的管理风险。

第三十四条 条件成熟时，公司将信息技术应用于全面风险管理工作，将风险管理与企业各项管理业务流程、管理软件统一规划、统一设计、统一实施、同步运行。

第三十五条 公司根据内部控制目标，结合风险应对策略，综合运用控制措施，对各种业务和事项实施有效控制。

第七章 风险的监控报告与预警

第三十六条 公司建立重大风险预警机制和突发事件应急处理机制，明确风险预警标准，对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。

第三十七条 公司建立风险报告和预警制度。通过有效的沟通和反馈，使公司领导和有关部门及时了解公司业务和资产的风险状况，相应调整风险管理政策和管理措施。

第三十八条 公司的风险报告分为定期风险报告和不定期专项风险报告。定期风险报告是对一个阶段公司经营发展中存在的风险和纠正的情况进行的汇总报告；不定期专项风险报告是对监控中或风险专项检查中发现的重大风险或风险隐患问题进行的专项报告。风险报告要按照规定的报告程序报送公司领导、相关部门。

第三十九条 在风险监控中发现问题时，审计部可以进行风险专项检查，如发现内部控制存在重大缺陷或存在重大风险，应及时向风险管理职能部门报告。

第四十条 公司相关部门应建立风险预警系统，以发现并应对可能出现的风险。各部门有责任及时、无保留地向公司风险管理职能部门报告有关风险的真实信息。

第八章 风险与危机的处理

第四十一条 公司建立灵敏高效的危机处理和应急管理机制，以降低风险损失。对新出现的、缺乏风险应急预案的重大风险，风险管理职能部门应立即与公司相关部门协调，组织人员研究制定风险应对方案，并报公司经理层审批后实施。

第四十二条 当风险已经发生，风险部门负责人必须立即向风险管理职能部门报告。

第四十三条 风险管理职能部门应及时对风险进行初步的评判，确定是属于一般性内部风险，还是对公司声誉、经营活动和内部管理造成强大压力和负面影响的公司危机。对一般性风险，责成部门负责人组织处理；对公司危机，必须按照本办法所列危机处理程序处理。

第四十四条 危机处理程序：

（一）成立风险和危机的处理机构

危机发生后，公司应在第一时间由风险管理职能部门牵头成立危机处理小组，该小组应由公司总经理担任组长。小组成员至少应包括：发生危机单位的第一负责人、董事会办公室、综合管理部、环保合规部、运营管理部、投资部、审计部、财务部、人力资源部等部门负责人及其他相关人员，小组应配备小组秘书及后勤保障人员。公司董事会应授权危机处理小组为处理危机事件的权力机构和协调机构，有权调动公司可用资源。

（二）制订危机处理计划

危机处理小组应及时根据现有的资料和情报，以及公司拥有或可支配的资源来制订危机处理计划。计划必须体现出危机处理目标、程序、组织、人员及分工、后勤保障、行动时间表以及各个阶段要实现的目标，同时还应包括社会资源的调动和支配、费用控制和实施责任人及其目标。计划制订完成并获通过后，应立即开始进行物质资源调配和准备，展开全面的危机处理行动。

（三）危机处理

1.对于尚未造成社会影响的事件，在对危机事件进行详细的调查了解和核实的基础上，根据法律、法规和公司管理制度，果断做出处理决定，以避免事态的进一步恶化。2.对于已造成社会影响的事件，应保持与社会各方的良好沟通，及时披露事实真相，以有助于对事件做出客观公正的报道和评价。

3.在处理过程中，应处理好与危机事件对方当事人的关系，及时安抚，避免出现纠纷。

4.在事件处理的全过程，危机处理小组均应与当地政府、监管机构保持紧密联系，及时通报事件进展。

（四）教训总结与责任认定

危机事件处理完成后，危机处理小组应及时提交总结报告，如实反映事件的起因、发生过程、处理方法和结果、责任认定、反映的问题等，并提出整改建议或意见，以避免新的风险和危机发生。

第四十五条 对因决策失误、管理失职、行为失当等原因致使公司出现风险或危机，并造成有形或无形损失的责任人，公司应追究其直接责任或领导责任。

第九章 风险管理监督与改进

第四十六条 风险管理的监督与改进是指对风险管理的效果和效率进行持续监督与考核评价，并根据监督或考核的结果，对风险管理工作进行改进与提升。

第四十七条 公司以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险识别、风险评估、风险管理策略和内控机制的实施情况进行自我评估和检验，根据变化情况和存在的缺陷及时加以改进。

第四十八条 公司审计部门应至少每年一次对风险管理部门、各有关部门开展风险管理工作情况及其工作效果进行监督和评价。监督和评价主要考虑以下方面：

（一）实施风险管理的总体情况。

（二）风险管理内控机制的情况。

（三）落实风险识别、风险评估或风险管理措施的情况。

（四）是否发生重大风险和危机事件并对企业造成的影响。

（五）重大风险和危机事件的事后救济情况。

第十章 风险管理文化

第四十九条 公司将风险管理文化建设作为公司发展战略的重要组成部分，致力于培育和塑造良好的风险管理文化，促进公司全面风险管理目标的实现。

第五十条 公司应将风险管理文化融于企业文化建设的过程中，应在相关制度文件中明确规定风险管理文化的建设要求和内容。

第五十一条 公司应引导员工遵循良好的行为准则和道德规范，增强风险管理意识，培养按规章制度做事的习惯。公司将对员工风险意识和风险管理的培训纳入培训计划。 

第十一章 附 则

第五十二条 本办法由公司综合管理部负责解释。

第五十三条 本办法自公司董事会审议通过之日起实施。