風險管理作業指導書

風險管理作業指導書1適用范圍本指導書適用于公司各業務板塊（生產制造、項目交付、市場拓展、供應鏈管理、數字化建設、財務管理、人力資源管理、行政后勤等）全生命周期的風險管理工作，覆蓋戰略級、業務級、操作級三個層級的風險識別、評估、應對、監控全流程，為各部門、各項目組開展風險管理工作提供統一標準與操作指引。2術語與定義2.1風險：指未來的不確定性對公司實現經營目標的影響，包括正向影響（機會）與負向影響（威脅），本指導書未特殊說明時均指向負向風險。2.2風險事件：指風險因素觸發后實際發生的、對目標造成影響的具體事件。2.3風險偏好：公司為實現經營目標愿意承擔的風險類型及最大風險承受程度，由董事會審議后每年發布。2.4風險容忍度：針對具體目標設定的可接受的風險偏離范圍，是風險偏好的量化落地指標。2.5剩余風險：采取風險應對措施后仍然存在的風險。2.6風險所有者：指對特定風險的識別、評估、應對、監控承擔首要責任的崗位或部門。3風險管理基本原則3.1戰略導向原則：所有風險管理活動需圍繞公司年度戰略目標與中長期發展規劃開展，優先保障核心戰略目標落地，不得脫離業務實際設置冗余管理要求。3.2全員參與原則：風險管理不是風控部門的獨立職責，各崗位員工均是所在業務環節的第一風險責任人，需主動識別、上報崗位相關風險。3.3全流程覆蓋原則：風險管理需嵌入業務全生命周期，從需求調研、方案設計、落地執行到收尾復盤的每個環節均需設置風險管控節點，避免管控盲區。3.4成本效益原則：風險應對措施的投入成本需低于風險發生后的預計損失，特殊戰略類風險可適當放寬成本要求，但需單獨提交管理層審批。3.5動態迭代原則：風險管理標準、風險清單、應對措施需根據內外部環境變化每季度更新一次，重大政策調整、業務轉型時需即時開展風險重評。4組織職責與分工4.1董事會風險管理委員會審議公司年度風險管理戰略、風險偏好與容忍度指標，審批重大風險（等級為“極高”）的應對方案；每季度聽取管理層風險管理工作匯報，對風險管理體系有效性進行評估，每年向董事會提交年度風險管理工作報告；決策風險管理相關的重大資源投入、制度修訂、問責事項。4.2風險管理部（牽頭部門）制定、更新風險管理相關制度、流程、工具模板，組織各部門開展風險管理技能培訓，每年至少開展2次全公司范圍的風險管理專項培訓；統籌全公司風險識別、評估工作，匯總各部門上報的風險信息，建立公司級風險庫，每月更新風險動態臺賬；跟蹤重大風險、重要風險的應對進度，每季度組織開展風險管控效果復盤，向風險管理委員會提交季度風險報告；參與重大項目立項、重要合同評審、重大決策論證，出具獨立風險評估意見，對未通過風險評審的事項具有一票否決權（需報風險管理委員會備案）；每年12月組織開展全公司風險管理體系有效性評價，提出體系優化建議。4.3各業務部門/項目組部門負責人是本部門風險管理第一責任人，需指定1名兼職風險管理員，負責對接風險管理部的日常工作；按照本指導書要求完成本部門/項目組的風險識別、評估工作，按時上報風險信息，不得遲報、瞞報、漏報風險；制定本部門/項目組所負責風險的應對措施，明確責任人與完成時限，推動應對措施落地，每月向風險管理部報送風險應對進度；對本部門/項目組的風險事件開展rootcause分析，落實整改要求，避免同類風險重復發生；組織本部門內部的風險管理日常學習，提升全員風險意識。4.4內部審計部每年對風險管理體系運行情況開展獨立審計，檢查風險管理流程執行的合規性、應對措施的有效性，出具審計報告并跟蹤問題整改；對重大風險事件開展專項審計，界定責任主體，提出問責建議。4.5人力資源部將風險管理工作成效納入部門與個人績效考核，考核權重不低于部門年度績效的15%；配合風險管理部開展風險管理相關培訓，將風險意識、風險管控技能納入新員工入職培訓必修內容。5風險管理全流程操作要求5.1風險識別5.1.1識別時機常規識別：各部門每季度首月5日前完成本季度常規風險識別，每年12月20日前完成下一年度全面風險識別；專項識別：新項目立項后10個工作日內、重大政策發布后5個工作日內、業務流程重大調整后7個工作日內、發生重大風險事件后3個工作日內，必須開展專項風險識別。5.1.2識別維度需覆蓋內外部全維度風險，不得遺漏核心風險點：1.外部環境維度：包括政策法規變化（如行業監管政策調整、稅收政策變化、環保標準升級等）、市場環境變化（如競爭對手推出顛覆性產品、上游原材料價格大幅波動、下游客戶需求萎縮等）、自然災害與公共事件（如地震、火災、疫情、供應鏈中斷等）、金融環境變化（如匯率大幅波動、融資成本上升、貨幣政策收緊等）；2.內部運營維度：包括戰略落地風險（如戰略目標拆解不合理、資源配置不足、核心業務板塊增長不及預期等）、業務操作風險（如生產安全事故、產品質量缺陷、項目交付延期、客戶投訴等）、財務風險（如現金流斷裂、應收賬款逾期、預算超支、稅務合規問題等）、人力資源風險（如核心人才流失、關鍵崗位空缺、勞動糾紛等）、技術風險（如核心技術泄密、數字化系統宕機、技術研發失敗等）、合規風險（如行政處罰、知識產權侵權、合同違約等）、聲譽風險（如負面輿情、品牌形象受損等）。5.1.3識別方法各部門可根據業務場景選擇適用的識別方法，鼓勵組合使用多種方法提升識別全面性：1.頭腦風暴法：由部門負責人牽頭，組織核心崗位員工、業務骨干開展集中研討，梳理本部門業務全流程的潛在風險點，研討記錄需留存歸檔；2.歷史事件回溯法：整理公司近3年發生的同類風險事件、行業內典型風險案例，結合本部門業務實際推導潛在風險；3.流程分析法：繪制本部門核心業務流程圖，對每個流程節點的輸入、輸出、操作要求逐一拆解，識別節點可能存在的偏差風險；4.專家訪談法：針對技術類、合規類等專業性較強的領域，訪談內部技術專家、外部法律顧問、行業顧問，獲取專業風險判斷；5.風險檢查表法：使用風險管理部發布的通用風險檢查表（見附件1），結合本部門業務特點補充個性化檢查項，逐一核對識別風險。5.1.4識別輸出風險識別完成后，需填寫《風險識別登記表》（見附件2），內容包括但不限于：風險編號、風險名稱、風險描述、風險所屬類別、風險觸發因素、風險影響范圍、初步判斷的風險所有者。各部門需在識別完成后3個工作日內將登記表報送至風險管理部。5.2風險評估風險評估包括可能性評估、影響程度評估、風險等級判定三個環節，所有識別出的風險均需完成評估，不得僅上報風險不做評估。5.2.1可能性評估按照風險發生的概率劃分為5個等級，評估標準如下：可能性等級等級定義發生概率區間參考判斷標準5（極高）幾乎確定發生≥90%業務流程存在明顯漏洞，未設置任何管控措施，過去1年同類事件發生≥3次4（高）很可能發生60%-90%管控措施不完善，過去1年同類事件發生1-2次，行業內普遍存在該類風險3（中）可能發生30%-60%有基礎管控措施但存在部分缺陷，過去3年同類事件偶有發生2（低）不太可能發生5%-30%管控措施相對完善，歷史上未發生過同類事件，僅在極端情況下可能觸發1（極低）幾乎不可能發生<5%管控措施完善，無觸發條件，行業內也極少發生該類事件從戰略影響、財務損失、運營中斷、合規處罰、聲譽損害五個維度綜合評估，按照影響程度從高到低劃分為5個等級，評估標準如下：影響等級戰略影響財務損失運營中斷合規處罰聲譽損害分值5（極嚴重）導致公司年度戰略目標無法達成，影響中長期發展規劃落地直接損失≥1000萬元，或間接損失≥5000萬元核心業務全線中斷≥72小時，無法通過備用方案恢復被吊銷相關業務資質、責令停產停業，或單筆罰款≥100萬元引發全國性負面輿情，主流媒體集中報道，品牌形象嚴重受損，客戶流失率≥10%54（嚴重）影響核心業務板塊年度目標達成，目標完成率預計下降≥20%直接損失300-1000萬元，或間接損失1000-5000萬元核心業務局部中斷24-72小時，備用方案可部分恢復運營受到較重行政處罰，單筆罰款10-100萬元引發區域/行業性負面輿情，行業媒體集中報道，客戶流失率3%-10%43（中等）影響部門年度目標達成，目標完成率預計下降10%-20%直接損失50-300萬元，或間接損失100-1000萬元非核心業務中斷4-24小時，不影響核心業務正常運行受到一般行政處罰，單筆罰款1-10萬元小范圍負面輿情，僅被個別地方媒體/自媒體報道，客戶流失率<3%32（較輕）對部門年度目標影響較小，目標完成率下降<10%直接損失10-50萬元，或間接損失10-100萬元局部業務中斷≤4小時，可快速恢復被監管部門出具警示函、責令整改，無罰款或罰款<1萬元無公開輿情，僅少量客戶投訴，未造成品牌負面影響21（輕微）不影響任何目標達成直接損失<10萬元無運營中斷無合規處罰無任何負面影響15.2.3風險等級判定采用“風險矩陣法”判定最終風險等級，風險值=可能性分值×影響程度分值，按照風險值劃分為四個等級：1.極高風險（紅色預警）：風險值≥15分，或可能性≥4分且影響程度≥4分；2.高風險（橙色預警）：風險值10-14分，或可能性≥3分且影響程度≥3分；3.中風險（黃色預警）：風險值5-9分；4.低風險（藍色預警）：風險值1-4分。5.2.4評估輸出各部門完成風險評估后，需更新《風險識別登記表》中的可能性、影響程度、風險值、風險等級字段，形成《風險評估臺賬》報送風險管理部。風險管理部需對各部門上報的風險等級進行復核，對等級判定不準確的風險需退回重評，5個工作日內完成全公司風險臺賬匯總，形成《公司季度風險清單》。5.3風險應對所有識別評估后的風險均需制定針對性應對措施，不得出現“無應對措施”“待研究”等模糊表述，應對措施需符合“可落地、可驗證、可考核”的要求。5.3.1應對策略選擇根據風險等級與業務實際，選擇適用的應對策略：1.風險規避：針對極高風險且無法通過其他措施降低風險的，主動放棄或調整相關業務活動，終止風險暴露。例如：放棄不符合監管要求的業務項目、停止使用存在重大安全隱患的生產設備等；2.風險降低：通過采取管控措施降低風險發生的可能性或減少風險發生后的影響程度，是最常用的應對策略。例如：完善業務流程管控節點、開展員工操作技能培訓、設置冗余備用方案等；3.風險轉移：通過合同約定、購買保險、業務外包等方式，將風險的全部或部分轉移給第三方承擔。例如：購買安全生產責任險、將高風險的運輸業務外包給具備資質的第三方物流企業、在合同中明確風險分擔條款等；4.風險承受：針對低風險且應對成本高于風險損失的，可主動接受風險，無需采取額外管控措施，僅需做好日常監控。風險承受方案需提前報風險管理部備案，極高風險、高風險不得采用風險承受策略。5.3.2應對措施制定要求1.責任到人：每一項應對措施必須明確唯一的責任人和協同責任人，避免責任推諉；2.明確時限：應對措施需明確具體的完成時間節點，分階段推進的措施需設置里程碑節點；3.資源匹配：針對風險應對所需的資金、人員、技術資源，需在應對方案中明確需求，報管理層審批后優先配置；4.分級審批：低風險應對措施：由部門負責人審批后生效，報風險管理部備案；中風險應對措施：由部門負責人審核后，報分管高管審批生效，報風險管理部備案；高風險應對措施：由分管高管審核后，報總經理審批生效，風險管理部留存歸檔；極高風險應對措施：由總經理審核后，報董事會風險管理委員會審批生效，風險管理部留存歸檔。5.3.3應對輸出各部門需在風險評估完成后10個工作日內制定《風險應對計劃表》（見附件3），內容包括風險編號、風險名稱、風險等級、應對策略、具體應對措施、責任人、完成時限、所需資源、驗證標準。應對計劃審批通過后需同步報送風險管理部，風險管理部負責對高風險及以上等級的應對計劃進行可行性復核，對措施不可行的需退回調整。5.4風險監控與預警5.4.1監控職責劃分極高風險、高風險：由風險管理部牽頭監控，風險所屬部門每周報送應對進度與風險變化情況；中風險：由風險所屬部門負責人牽頭監控，每兩周向風險管理部報送進度；低風險：由風險所屬部門兼職風險管理員牽頭監控，每月向風險管理部報送進度。5.4.2風險預警指標設置針對每一項風險需設置明確的預警閾值，作為風險觸發的預警信號，預警閾值需量化可監測，避免定性描述。示例如下：應收賬款逾期風險：預警閾值為“單個客戶逾期金額≥50萬元或逾期天數≥30天”；項目交付延期風險：預警閾值為“項目進度滯后≥10%且無趕工方案”；原材料供應風險：預警閾值為“核心原材料庫存可用天數≤7天且無替代供應商”；核心人才流失風險：預警閾值為“季度核心崗位員工離職率≥5%”。5.4.3預警響應流程1.風險監控責任人發現風險指標達到預警閾值后，需在1小時內將預警信息報送至風險管理部與部門負責人，不得遲報；2.風險管理部收到預警信息后2小時內完成預警等級核實，向風險所屬部門下達《風險預警通知書》，明確響應要求與處置時限；3.風險所屬部門需在收到通知書后4小時內制定臨時處置方案，快速降低風險影響，屬于極高風險預警的需同步啟動應急預案；4.預警處置完成后，風險所屬部門需在2個工作日內提交《預警處置報告》，說明處置過程、處置效果、根本原因分析、后續改進措施，風險管理部負責驗證處置效果，確認風險解除后下達《預警解除通知書》。5.4.4動態更新要求各部門需每月對負責的風險開展一次重評，評估風險可能性、影響程度的變化情況，調整風險等級與應對措施；當發生重大內外部環境變化時，需即時開展重評，重評結果需在2個工作日內報送風險管理部。風險管理部每月更新公司風險臺賬，在月度經營例會上通報風險動態。5.5風險事件處置與復盤5.5.1事件上報要求風險事件發生后，現場責任人需第一時間向部門負責人上報，部門負責人需按照以下時限要求報送：一般風險事件（影響等級1-2級）：2小時內報送至風險管理部；較大風險事件（影響等級3級）：1小時內報送至風險管理部與分管高管；重大及特別重大風險事件（影響等級4-5級）：30分鐘內報送至風險管理部、總經理、董事長，不得瞞報、漏報、遲報，否則嚴肅追究相關責任人責任。上報內容需包括：事件發生時間、發生地點、當前狀態、已采取的處置措施、預計影響范圍、需要協調的資源。5.5.2應急處置1.重大及特別重大風險事件發生后，需立即啟動公司級應急預案，由總經理牽頭成立應急處置小組，統一指揮處置工作；2.處置過程中需按照“先控制影響、再排查原因、最后整改優化”的原則，優先保障人員安全、減少財產損失、降低對業務的影響，防止事件擴大；3.應急處置過程中的所有決策、行動、溝通內容均需留存書面記錄，作為后續復盤與責任界定的依據。5.5.3復盤與整改1.風險事件處置完成后5個工作日內，由風險管理部牽頭組織開展事件復盤，采用“5Why分析法”明確根本原因，界定責任主體；2.風險所屬部門需在復盤完成后10個工作日內制定整改方案，明確整改措施、責任人、完成時限，報送風險管理部跟蹤落地；3.風險管理部需將同類事件的原因、整改措施更新至風險庫，向全公司發布風險警示，避免同類事件重復發生。6風險管理考核與問責6.1考核內容風險管理工作納入部門年度績效考核，具體考核維度及權重如下：1.風險管理流程執行情況（30%）：考核風險識別、評估、上報的及時性、全面性、準確性，出現遲報、漏報的每次扣5-10分；2.風險應對落地情況（40%）：考核風險應對措施的完成率、有效性，應對措施未按計劃落地的每項扣5-15分，因應對不力導致風險升級的加倍扣分；3.風險事件發生情況（30%）：年度內未發生本部門責任導致的重大及以上風險事件得滿分，發生1起較大風險事件扣20分，發