一 寸 光 阴 不 可 轻 1 风险和机遇的应对措施控制程序 1 目的 通过对影响实现其预期策划结果能力的内外部环境因素及相关方需求和期望的 识别， 确定需应对的风险和机遇， 并据此制定相应的控制措施， 以达到管控风险、 增强有利影响、避免或减少不利影响的目的，特制定本程序。 2 范围 适用于本公司对影响质量管理体系实现其预期结果的内外部风险因素与相关方 需求和期望中识别出的风险和机遇制定相对应的风险控制措施。 3 职责 3.1 总经理负责公司与其宗旨和战略方向相关并影响其实现质量管理体系预期 结果的各种内外部环境因素、相关方需求和期望的识别与评价的确认，应对风险 和机遇策划措施的审批。 3.2 各部门负责内外部环境因素、 相关方需求和期望信息的获取和应对风险和机 遇策划相关职责的实施。 3.3 综合部负责内外部环境因素识别与评价，策划应对风险和机遇措施，并监督 实施。 4 定义 4.1 风险：指未来的不确定性对本公司实现其宗旨和战略方向的影响。 4.2 机遇：可能导致采用新实践、开辟新市场、赢得新顾客、建立合作伙伴关系、 利用新技术和其他可行之处，以应对本公司或其顾客的需求。 5 工作流程 5.1 风险分类与管理 一 寸 光 阴 不 可 轻 2 5.1.1 按照本公司目标的不同对风险进行分类，本公司风险分为：战略风险、经 营风险、法律风险和特殊风险。 1)战略风险： 没有制定或制定的战略决策不正确， 影响战略目标实现的负面因素。 2)经营风险：经营决策的不当，妨碍或影响经营目标实现的因素。 3)法律风险：没有全面、认真执行国家法律、法规和政策规定以及有关文件的规 定，影响合规性目标实现的因素。 4)特殊风险：包括流动风险和声誉风险。 5.1.2 公司风险管理以“理性、稳健、审慎”为基本方针，坚持全面性、审慎性、 有效性、独立性原则。 1)全面性：指风险管理应渗透各项业务过程和各个环节，覆盖所有的部门、岗位 和人员。 2)审慎性：指风险管理以防范风险、审慎经营为出发点。 3)有效性：指风险管理具备高度的权威性，真正落实到实处，任何人不得拥有不 受约束的权力。 4)独立性：指风险管理部门，直接的操作人员和直接的控制人员必须适当分开 并向不同的管理人员报告工作。 5.1.3 公司全面风险管理工作包括 1)培育“追求滤掉风险的真实利润”的风险管理文化和理念。 2)建立独立、全面、垂直、专业的风险管理体系。 3)建立以实现经济资本为统领的风险管理技术体系。 5.2 风险管理及职责分工 5.2.1 各部门为风险管理第一道防线，质量部为风险管理第二道防线，管理层为 一 寸 光 阴 不 可 轻 3 风险管理第三道防线。 5.2.2 各部门在风险控制管理方面的主要职责 1)各部门按公司制定的风险评估的总体方案，根据业务分工，配合识别、分析相 关业务流程中的风险，确定风险反应方案。 2)根据识别的风险和确定的风险反应方案， 按照公司确定的控制设计方法和描述 工具，设计并记录相关控制，根据风险管理的要求，修改完善控制设计。包括 建立控制管理制度，按规定的方法和工具描述业务流程，编制风险控制文档和程 序文件等。 3)组织控制制度的实施，监督控制制度的实施情况，发现、收集、分析控制缺陷， 提出控制缺陷改进意见并予以实施。对于重大缺陷和实质性漏洞，除向部门领导 汇报情况外，还应向公司总经理反馈情况，以便公司总经理监控内部控制体系的 运行情况。 4)配合综合部对控制失效造成重大损失或不良影响的事件进行调查、处理。 5.3 风险管理初始信息的收集 5.3.1 广泛、持续不断地收集与本公司风险和风险管理相关的内部、外部初始信 息，包括历史数据和未来预测，应把收集初始信息的职责分工落实到各部门。 5.3.2 在战略风险方面，广泛收集国内外同行业公司战略风险失控导致蒙受损失 的案例，并收集与本公司相关的宏观经济政策、技术环境、市场需求、竞争状况 等方面的重要信息， 重点关注本公司战略发展和规划、 年度经营目标、 经营战略， 以及编制这些战略、规划、计划、目标的有关依据。 5.3.3 在经营风险方面，广泛收集国内外同行业公司忽视市场风险、缺乏应对措 施导致蒙受损失的案例，收集与本公司经营业务、市场需求、竞争对手、主要客 一 寸 光 阴 不 可 轻 4 户和供应商等方面的重要信息， 对现有业务流程和信息系统操作运行情况的进行 监管、运行评价及持续改进，分析本公司风险管理的现状和能力。 5.3.4 在法律风险方面，收集、总结、分析本同行业公司已经发生的诉讼案件和 对应的法律风险，广泛收集国内外同行业公司忽视法律法规风险、缺乏应对措施 导致蒙受损失的案例，收集与本公司法律环境、员工道德、重大协议合同、重大 法律纠纷案件等方面的信息。 5.3.5 公司对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合 以 便进行风险评估。 5.4 风险评估 5.4.1 风险评估主要经过确立风险管理理念和风险接受程度、目标制定、风险识 别、风险分析和风险对策等五个基本程序来进行。 5.4.2 确立本公司风险管理理念和风险接受程度是公司进行风险评估的基础， 1)本公司风险管理理念是本公司如何认知整个经营过程(从战略制定和实施到本 公司日常活动)中的风险为特征的本公司共有的信念和态度。公司实行稳健的风 险管理理念，对于高风险项目采取谨慎介入的态度。 风险接受程度是指公司在 追求目标实现过程中愿意接受的风险程度。公司将风险接受程度分为三类 “高”、“中”、“低”。公司从定性角度考虑风险接受程度。整体上讲 公司 把风险接受程度确定为“低”类 即公司在经营管理过程中，采取谨慎的风险管 理态度，可以接受较低程度的风险发生。公司的风险接受程度选择与公司的风险 管理理念保持一致。 5.4.3 目标制定是风险识别、风险分析和风险对策的前提。公司必须首先制定目 标， 在此之后，才能识别和评估影响目标实现的风险并且采取必要的行动对这些 一 寸 光 阴 不 可 轻 5 风险实施控制。公司目标包括战略目标、经营目标、合规性目标和财务报告目标 四个方面。目标确定必须符合国家的法律法规和行业发展规划，符合公司战略发 展计划，符合上级监管机构的规定。 5.4.4 风险识别就是识别可能阻碍实现公司目标、阻碍公司创造价值或侵蚀现有 价值的因素。公司可采取集体讨论、专家咨询、情景分析、政策分析、行业标杆 比较、市场教研等识别风险。 公司应准确识别与实现控制目标相关的内部风险 和外部风险，以便确定相应的风险承受度。 1)本公司识别内部风险，应当关注下列因素： 1-1)总经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因 素。 1-2)组织机构、经营方式、资产管理、业务流程等管理因素。 1-3)技术投入、信息技术运用等自主创新因素。 1-4)营运安全、员工健康、环境保护等安全环保因素。 1-5)其他有关内部风险因素。 2)本公司识别外部风险，应当关注下列因素： 2-1)经济形势、产业政策、市场竞争、资源供给等经济因素。 2-2)法律法规、上级监管要求等合法因素。 2-3)文化传统、社会稳定等社会因素。 2-4)技术进步、工艺改进等科学技术因素。 2-5)自然灾害、环境状况等自然环境因素。 2-6)其他有关外部风险因素。 5.4.5 风险分析主要从风险发生的可能性和对公司目标的影响程度两个角度，对 一 寸 光 阴 不 可 轻 6 识别的风险进行分析和排序，确定关注重点和优先控制的风险。本公司风险分析 方法一般采用定性和定量方法相组合的方式。 在风险分析不适宜采取定量分析的 情况下或者用于定量分析所需要的足够可信的数据无法获得或者获取成本很高 时，公司通常使用定性分析法。公司对风险进行分析，确认哪些风险应当引起重 视、哪些风险予以一般关注，对于需要重视的风险，再进一步划分，分别确认为 “重要风险”与“一般风险”从而为风险对策的制定奠定基础。风险重要程度的 判断主要根据风险发生的可能性和影响程度来确定。 1)若风险发生的可能性属于“极小可能发生”的，该风险就可不被关注。 2)若风险发生的可能性高于或等于“可能发生”且风险的影响程度小，就将该类 风险确定为一般风险。 3)若风险发生的可能性等于或高于“可能发生”且风险的影响程度大，就将该类 风险确定为重要风险。在进行风险分析时，应当充分吸收专业人员，组成风险分 析小组，严格按规范的程序开展工作，以确保风险分析结果的准确性。 5.4.6 风险对策，公司根据风险分析的结果，结合风险发生的原因以及承受度， 权衡风险与收益，选择风险应对方案包括：规避风险、接受风险、减少风险或分 担风险。 1)规避风险：指公司对超出风险承受度的风险，通过放弃或者停止与该风险相关 的业务活动以避免和减轻损失的对策。 如停止向一个新的地理区域市场扩大业务 等。 2)减少风险：指公司在权衡成本效益之后，准备采取适当的控制措施降低风险或 者减轻损失，将风险控制在风险承受度之内的对策。 3)分担风险：指公司准备借助外部力量，采取业务分包、购买保险等方式和适当 一 寸 光 阴 不 可 轻 7 的控制措施，将风险控制在风险承受度之内的对策。 4)接受风险：指公司对风险承受度之内的风险，在权衡成本效益之后，准备采取 控制措施降低风险或者减轻损失的策略。 公司在确定具体的风险应对方案时， 考虑以下因素 1)风险应对方案对风险可能性和风险程度的影响， 风险应对方案是否与公司的风 险容忍度一致。 2)对方案的成本与收益比较。 3)对方案中可能的机遇与相关的风险进行比较。 4)充分考虑多种风险应对方案的组合。 5)合理分析、准确掌握总经理及其他高级管理人员、关键岗位员工的风险偏好 采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失。 6)结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风 险识别和风险分析及时调整风险应对策略。 5.5 风险管理解决方案 5.5.1 公司根据风险应对策略，针对各类风险或每一项重大风险，制定风险管理 解决方案。方案应包括风险解决的具体目标，所需的组织领导，所涉及的管理及 业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应 对措施等。 5.5.2 根据经营战略与风险策略一致、 风险控制与运营效率及效果相平衡的原则， 制定风险解决的风险控制方案，针对重大风险所涉及的管理及业务流程，制定涵 盖各个环节的全流程控制措施。对其他风险所涉及的业务流程，应把关键环节作 为控制点，采取相应的控制措施。 一 寸 光 阴 不 可 轻 8 5.5.3 公司制定合理、有效的风险控制措施，包括(但不限于)以下内容： 1)建立风险控制岗位授权制度，对风险控制所涉及的各岗位明确规定授权的对 象、条件、范围和额度等，任何部门和个人不得超越授权作出风险性决定。 2)建立风险控制报告制度，明确规定报告人与接受报告人，报告的时间、内容、 频率、传递路线、负责处理报告的部门和人员等。 3)建立风险控制批准制度， 对风险控制所涉及的重要事项， 明确规定批准的程序、 条件、范围和额度、必备文件以及有权批准的部门和人员及其相应责任。 4)建立风险控制责任制度，按照权利、义务和责任相统一的原则，明确规定各有 关部门、岗位、人员应负的责任和奖惩制度。 5)建立风险控制监管检查制度，结合风险控制的有关要求、方法、标准与流程 明确规定监管检查的对象、内容、方式和负责监管检查的部门等。 6)建立风险控制考核评价制度，公司把部门风险管理执行情况与绩效薪酬挂钩。 7)建立重大风险预警和突发事件应急处理机制，明确风险预警标准，对可能发生 的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序 确保突 发事件得到及时处