金控公司全面风险管理研究白皮书金控公司全面风险管理研究白皮书1目录前言前言21. 背景介绍背景介绍32. 金控公司风险特征及管理挑战金控公司风险特征及管理挑战52.1. 跨法人机构，多层级管理62.2. 多金融业态，风险复杂度高62.3. 多行业监管，多数据标准73. 金控公司全面风险管理驱动因素金控公司全面风险管理驱动因素83.1. 外生驱动93.2. 内生驱动104. 金控公司风险管理现状及痛点分析金控公司风险管理现状及痛点分析114.1. 金控公司风险管理现状124.2. 金控公司风险管理痛点215. 金控公司风险管理的趋势金控公司风险管理的趋势265.1. 风险管理将与数字化转型协同推进275.2. 风险管理主题将从管控逐渐向协同与赋能演进275.3. 风险管理能力将是战略转型引擎和核心竞争优势286. 金控公司风险管理“三维一体”目标模式金控公司风险管理“三维一体”目标模式296.1. 治理维度：风险治理架构316.2. 管控维度：风险管控模式346.3. 要素维度：全面风险管理关键要素376.4. 数字化底座：一体化的风险管理数据平台与系统437. 金控公司风险管理体系演进策略建议金控公司风险管理体系演进策略建议457.1. 策略一：谋定而后动整体规划，分步实施467.2. 策略二：谋准而先行单点突破，精准发力488. 结束语结束语50金控公司全面风险管理研究白皮书2前言为保障经济平稳运行，正确认识和把握防范化解重大风险，金融业将延续强监管态势。作为体量大、业务杂、关联风险高，具有较大的社会影响力的金融控股公司（以下简称“金控公司”），愈发需要响应国家号召，建立健全符合国家监管要求的全面风险管理体系，这是非金融企业申请获得金控公司设立许可的必要条件，也是广义“金控公司”在未来合规经营与高质量发展的重要基石。从监管意图来看，我国实施金控公司准入管理，明确准入规范和监督管理办法，强调持牌经营的原则，旨在补齐跨金融业态监管短板，防范跨业态风险传染。从狭义理解，其监管对象是获批持牌的金控公司；从广义理解，金控公司监管的原则和标准，也同样适用于控制两个或两个以上金融业态的各类以金融为主业的集团型公司，包括银行集团和保险集团。在此背景下，普华永道基于丰富的金融集团和金控公司风险管理以及数字化转型的咨询经验，采用问卷方式对22家典型金控公司进行了深入调研，分析总结了金控公司风险管理现状和痛点，并对其风险管理的趋势进行研判。本白皮书列举了十余个典型金控公司和金融集团的实际案例，提出金控公司全面风险管理的“三维一体”目标模式及实施策略建议。在本白皮书相关的调研与撰写的过程中，我们得到了行业的广泛响应与支持。特别要感谢中信集团和中信金控的指导与支持，多位领导、专家与课题组进行了多轮的研讨，并提供了大量的案例素材。普华永道希望基于本白皮书客观中立的专业视角，提出具有行业普适规律的洞察与观点，并分享我们的丰富案例，为金控公司的风险管理体系建设与持续优化提供参考。1. 背景介绍金控公司全面风险管理研究白皮书41. 背景介绍2020年9月，国务院颁布关于实施金融控股公司准入管理的决定（国发202012号），明确规定：对金融控股公司实施准入管理，符合要求的非金融企业、自然人等主体控股或实际控制金融机构应当向中国人民银行提出申请，经批准后可以设立金融控股公司。同时，人民银行颁布金融控股公司监督管理试行办法（中国人民银行令2020第4号）（以下简称金控办法）明确金控公司持牌经营，统筹监管。根据人民银行的公告，2021年以来，中国中信有限公司、中国光大集团股份公司、北京金融控股集团有限公司、深圳招融投资控股有限公司以及中国万向控股有限公司等三批机构陆续向人民银行提交金控公司设立申请并获得受理，其他产业央企、地方金控和民营金融集团也在积极筹备和申请设立金控公司的过程中。2022年3月17日，人民银行发布公告，正式批准中国中信金融控股有限公司（筹）和北京金融控股集团有限公司的金融控股公司设立许可，首批金控公司牌照正式落地。2. 金控公司风险特征及管理挑战2. 金控公司风险特征及管理挑战金控公司全面风险管理研究白皮书6金控公司是指控股或实际控制两个或两个以上不同类型金融机构，自身仅开展股权投资管理、不直接从事商业性经营活动的有限责任公司或股份有限公司。根据金控办法要求，金控公司应建立涵盖并表范围内各机构的风险管理体系，并将所控股金融机构的风险管理工作纳入整体风险管理范畴。因此，了解金控公司面临的风险特征及管理实施难度，是构建金控公司全面风险管理体系的首要工作。2.1. 跨法人机构，多层级管理金控公司所控股的各金融机构自身作为独立法人主体，必须符合所在行业监管要求并维持经营独立性。从法人治理独立管控和金控公司并表风险管理要求的角度分析，金控公司在履行风险穿透管理过程中，面临的主要挑战如下：首先，各下属机构应根据公司法等要求对其自身法人主体的经营行为进行日常管理；金控公司作为其主要股东，不能直接干预下属机构的日常经营，需通过股东大会和董事会履行股东职责的方式向下属机构传导其管理要求或进行重大决策。其次，金控公司需要将其自身风险管理要求传导至下属机构，乃至下属机构控参股的其他公司，以实现多层级的穿透管理。在该穿透管理机制的建立过程中，金控公司、下属机构和二级及以下下属机构其各自的管理职责和管理边界的划分，是金控公司在其风险管理架构设计中需要充分考量的要素，也是各方履职的基础和前提。再次，金控总部与下属机构间，跨法人机构的管理反馈和信息传递机制建设尚在起步阶段，金控公司层面风险管理难度较大。目前，金控公司对于下属机构经营分析和风险管理信息的获取方式、频率和颗粒度还处于较为粗放的阶段，以定期的事后报表报告为主，下属机构的风险信息难以及时、准确、有效的反馈至金控公司总部层级，因此金控公司重大风险管理工作相对滞后和被动，管理措施难以有效落实。可见，金控公司以法人治理为基础，通过公司治理的原则和措施实现穿透管理，把握治理边界，实现管控和放权之间的平衡，是一项科学与艺术相结合的挑战。2.2. 多金融业态，风险复杂度高为实现金融资源的整合与协同，部分金控公司通过持续获取不同金融牌照（包括银行、证券、保险、信托等各金融子业态，及融资租赁、小额贷款、地方交易所等准金融业态）以拓展自身的业务版图。随着控股金融业务和产品的不断增加，金控公司面临的风险复杂程度将几何倍数放大，对应的风险管理能力要求也亟需随之快速提升。业务模式方面，各金融业态之间的经营特征有较大差异，商业银行、保险、投资银行、资产管理、财富管理以及衍生品交易等各类金融业态的业务模式、经营特征和所蕴含的风险类别大相径庭。风险类型方面，不同的金融业态面临的风险类型也有所区别，信用风险、市场风险、流动性风险、操作风险、信息科技风险等，以及各业态的特有风险均存在较大差异。管理手段方面，各金融业态目前已开展风险管理工作中应用的方法、工具和流程等也不尽相同。金控公司层面需要进行统一规划，统筹考虑，协同建设，目前行业内尚无一套标准化的成熟模式和管理手段。此外，考虑到风险跨机构、跨业态的传染和蔓延，以金控公司层面组合汇总的视角来管控会面临有别于单个金融机构的风险聚合和组合风险。多金融业态下的风险管理复杂性，对于金控公司而言，如何从所控股公司层面对跨业态的风险进行统一的识别、计量、分析、控制或缓释并持续监控，如何建立跨业态的风险管理工具，均是建立金控公司风险管理体系的关键挑战。金控公司全面风险管理研究白皮书72.3. 多行业监管，多数据标准金控公司及所控股的金融子公司的主体监管机构为“一行两会”及地方金融监管机构，同时大部分产业总部或地方金控公司也需要接受国资委和财政部等主管机构的监管。金控公司由人民银行进行主体监管，其准入、经营和风险管理工作的开展应符合金控办法等规定及相关要求。人民银行负责对金控公司的管理原则和管理职责出台监管规定并实施监管，未来将陆续出台相应监管细则。银行、信托、金融租赁和银行理财子公司由银保监会进行监管，需符合商业银行法、信托法、商业银行资本管理办法等法律法规，且满足银保监会的规章制度和管理细则的要求。银保监会对于该类机构主体进行监管和规范，涵盖了牌照准入、公司治理、业务经营、资本管理、风险管理、资产负债管理等方面要求，其中，对于银行业的风险管理相关监管要求最为完整和全面。保险集团、保险公司和保险资管公司由银保监会进行监管，应符合保险法、保险公司偿付能力管理规定等法律法规的要求，涵盖牌照准入、公司治理、业务经营、偿付能力管理、风险管理、保险资金运用等方面要求，体系相对完整，且逐渐与银行业趋同，但目前较银行业的规定要求和颗粒度还存在一定差距。证券公司、基金公司和期货公司由证监会或其授权的行业协会进行监管，应符合证券法、证券投资基金法等法律法规的要求，涵盖了对证券公司和基金公司的牌照审核、产品准入、经纪业务、投行业务、自营投资业务、资管业务等领域的管理要求。小额贷款公司、商业保理公司、担保公司和典当公司由地方金融监管机构进行监管，应符合相应的法规和管理要求。通过对金控公司及其所控股机构分业态监管现状的初步梳理，金控公司开展风险管理工作面临多行业监管的挑战。多监管主体和多行业监管要求，必然给金控公司开展跨业态风险管理工作带来较大挑战和协调成本。数据是风险管理的基础要素，金控公司开展有效风险管理工作的前提之一是能将各机构的风险管理数据以统一口径、统一标准进行统计分析，进而应用到包括资本计量、授信协调、资产分类和准备金计量管理等各个风险管理领域。当下，金控公司层面风险管理标准统一方面也面临着诸多挑战。资本并表管理方面，金控办法提出了金控公司的资本充足管理要求，资本管理细则也在行业内进一步征求意见。但是，各金融子行业在资本管理的总体框架、计量方法、模型规则等方面存在一定差异，如银行业使用巴塞尔新资本协议的框架和要求，保险业使用偿付能力监管框架和要求，信托业和证券业有各自的净资本充足率标准。在金控公司层面建立并表资本管理时，需考虑制定转换规范和统一规则，以供金控公司资本计量和管理应用。统一授信管理是金控公司层面需要关注的重点工作之一。统一授信的基础是统一的信用风险评价体系，应在一套统一的信用评价体系下进行信用风险识别、评估和计量。但是，目前各金融机构自身信用评级体系的基本方法论、模型划分和主标尺、行业标识、评级分级档位、评级应用场景、评级工具管理等均有可能存在较大差异。在金控层面如何保持各机构对评价的独立运作，但又同时确保标准可转换、可映射和汇总，将是金控公司风险管理建设需要思考的重要课题。资产分类和风险准备金管理方面，金控公司对于所控股机构进行会计并表操作时，各项金融资产在某时点的价值应该以统一标准进行分类，以公允价值进行计量。各子公司持有的金融资产类型繁多，金控公司层面如何建立统一的金融资产分类标准和风险准备金计量体系，亦是一项复杂的工程。除此以外，在诸如统一客户识别、数据存储规范、数据安全规范等方面，金控公司也面临着在各下属机构之间统筹管理的问题。3. 金控公司全面风险管理驱动因素3. 金控公司全面风险管理驱动因素金控公司全面风险管理研究白皮书9做好风险防范是当前金融工作的重点之一。日益复杂的外部环境，不断加剧的市场竞争，持续变化的客户需求和创新的产品，从外部和内部对金控公司的风险管理都有巨大的驱动力。3.1. 外生驱动3.1.1. 严控风险是政策导向与合规标准严控风险是政策导向与合规标准党的十八大以来，国际环境日趋复杂，为推动经济高质量发展和深化改革开放，党中央、国务院提出要坚持底线思维，增强忧患意识，提高防控能力，着力防范化解重大风险，保持经济持续健康发展和社会大局稳定。2021年12月召开的中央经济工作会议指出，要正确认识和把握防范化解重大风险。要继续按照稳定大局、统筹协调、分类施策、精准拆弹的方针，抓好风险处置工作，加强金融法治建设，压实地方、金融监管、行业主管等各方责任，压实企业自救主体责任。近年来，国务院、财政部、国资委均发文要求应持续加强国有出资人管理，对国有企业及其下属机构的并表管理、风险管理提出各项管理要求。国务院2018年6月发布关于完善国有金融资本管理的指导意见，要求督促国有金融机构防范风险，强化国有金融机构防范风险的主体责任，督促国有金融机构坚持审慎经营，加强风险源头控制，动态排查信用风险等各类风险隐患，健全风险防范和应急处置机制。国资委2020年4月发布关于加强重大经营风险事件报告工作有关事项的通知，要求中央企业建立健全重大风险管控机制，切实增强防范化解重大风险能力，做好重大经营风险事件报告工作，建立健全报告工作机制，形成及时有效的报告工作体系。财政部于2020年11月发布关于国有金融机构聚焦主业、压缩层级等相关事项的通知，要求国有金融机构应在内部建立有效的风险隔离机制，有效防控风险。3.1.2. 建立风控体系是金融监管的底线要求建立风控体系是金融监管的底线要求金控办法正式开启了金控公司全面风险管理建设的新阶段。金控办法遵循宏观审慎管理原则，对非金融企业投资形成的金控公司依法准入，实施监管，明确要求金控公司应当建立与金控集团组织架构、业务规模、复杂程度和声誉影响相适应的全面风险管理体系。金控集团是指金控公司及其所控股机构共同构成的企业法人联合体。金控办法对金控公司并表管理与风险管理提出六大方面要求，还有资本管理、并表管理和关联交易等多个细则正在行业内征求意见，未来人民银行会陆续出台相应金控公司监管细则。表一：金控办法并表管理及风险管理核心要求表一：金控办法并表管理及风险管理核心要求监管领域监管核心要求并表管理明确并表管理成员单位范围有效识别、计量、监测和控制金控集团的总体风险状况确保资本水平与资产规模和风险水平相适应全面风险管理体系建立金控集团全面风险管理体系加强声誉风险管理督促成员单位限期完成全面风险管理体系建设，涵盖各类风险风险偏好建立金控集团风险偏好，明确各类风险容忍度和风险限额实现风险限额的传导、监控、超限额管理大额风险暴露管理和统一授信金控集团实时监控大额风险暴露建立预警报告制度，以及与风险限额相匹配的风险分散措施等统筹协调金控集团对同一企业（含企业集团）授信工作风险隔离与关联交易建立健全金控集团整体的风险隔离机制完善关联交易管理信息披露按照法律法规要求进行信息披露金控公司全面风险管理研究白皮书103.2. 内生驱动越来越多的金控公司已认识到风险管理对公司新时期转型发展的重要性，并已开始启动自身的全面风险管理体系建设与完善工作。通过提升公司全面风险管理能力，保障金控公司稳定经营的同时，实现风险与收益的有效平衡，确保金控业务创新与可持续发展。3.2.1. 风险管理能力是高质量发展的基础保障风险管理能力是高质量发展的基础保障党的十九大报告指出，我国经济已由高速增长阶段转向高质量发展阶段，我国正处在转变发展方式、优化经济结构、转换增长动力的攻关期。风险管控是高质量发展的关键保障，对于金融机构而言尤为重要。因此，做好严格准入，产品审慎创新，防范化解重大风险等工作都应视作金控公司战略发展的重要基础。3.2.2. 风控能力是战略目标实现的核心竞争力风控能力是战略目标实现的核心竞争力战略方向的设定和竞争赛道的选择，新业务新产品的开发，新客户新领域的拓展，需要基于充分的风险识别评估和风险底线保障。金控公司应将风险管理体系建设提升至战略定位，基于业务战略与自身资源优势制定相适应的风险战略，保障公司战略目标的实现。风险管理与业务发展是“一体两面”的有机整体，传统模式下两者独立作战的局面无法适应现阶段高质量发展战略的要求，需要将风险管理能力作为公司业务价值创造的关键要素，积极融入业务创新与市场开拓，发挥与业务一同“主动围攻”的作用。4. 金控公司风险管理现状及痛点分析4. 金控公司风险管理现状及痛点分析1金控公司全面风险管理研究白皮书12为深入展示当前金控公司风险管理体系建设的现状与趋势，2022年2月至3月，普华永道通过问卷形式邀请31家金控公司参与调研，共计回收22份有效问卷，其中包括11家央企金控、9家地方金控以及2家互联网金控。本白皮书以回收的22份样本为基础，整理分析了金控公司当前风险管理体系建设情况以及主要痛点。但受回收样本数量限制，调研结论可能存在一定的局限性。4.1.金控公司风险管理现状4.1.1. 总体情况总体情况本次调研将金控公司风险管理体系建设划分为六个阶段，分别为暂未开展、初步规划、初步搭建、基本完善、体系完备以及业界领先。调研结果显示，大部分金控公司认为其自身风险管理体系处于基本完善或初步搭建阶段。从当前的行业实践来看，由于监管机构尚未正式发布针对金控公司并表管理、资本管理及关联交易等实施细则，故金控公司风险管理体系多以国资委和人民银行的管理办法和规则为依据，其风险管理体系的完善程度与银行、保险及证券等持牌金融机构相比，尚有较大差距。0%14%27%36%18%5%01234567890%5%10%15%20%25%30%35%40%金控公司数量占比图图1：金控公司风险管理体系总体建设阶段分布：金控公司风险管理体系总体建设阶段分布从总体分布来看，当前金控公司均已认识到风险管理工作的重要性，纷纷启动风险管理体系建设与完善工作。由于金控公司监管基础、运行成熟度以及风险管理认知程度等存在差异，样本呈现出较为明显的“中间多、两端少”的类正态分布。调研中没有暂未开展风险管理体系建设的金控公司，处于初步规划、初步搭建、基本完善、体系完备和业界领先的金控公司分别占比为14%、 27%、36%、18%、5%。具体分类型来看，央企金控在中央企业全面风险管理指引的要求下已搭建风险管理体系，有一定的管理基础，依托其相对成熟的运行机制以及资源投入等优势，风险管理体系建设相较于地方金控和互联网金控更为完善。调研结果显示，央企金控均已搭建风险管理体系，82%的公司处于基本完善及以上阶段，其中，基本完善的金控公司占比64%，体系完备及业界领先占比均为9%。地方金控的风险管理体系建设相较于央企金控有所滞后，大部分处于初步阶段，77%的公司处于初步规划和初步搭建阶段，占比分别为33%和44%，体系完备阶段的占比仅为22%。互联网金控依托其互联网的理念和技术优势，风险管理体系建设相对完善，基本完善与体系完备的公司各占50%。50%50%18%64%9%9%33%44%22%0%10%20%30%40%50%60%70%初步规划 初步搭建 基本完善 体系完备 业界领先互联网金控央企金控地方金控图图2：不同类型金控公司风险管理体系建设阶段分布：不同类型金控公司风险管理体系建设阶段分布注：图示中百分比为各类型金控公司在不同建设阶段的比例1注：分析指标由于进位影响，存在尾差金控公司全面风险管理研究白皮书134.1.2. 分项分项情况情况调研结果显示，目前金控公司风险管理要素成熟度最高的三项分别为：治理架构（0.71）、风险管理政策制度（0.69）和风险偏好管理（0.67）。成熟度得分较低的包括数据管理、风险隔离、统一授信协调以及资本管理。1）风险治理架构2图图3：金控公司风险管理要素成熟度（分项情况）：金控公司风险管理要素成熟度（分项情况）说明：1、成熟度评估标准，将风险管理体系建设所处的五个阶段由低到高进行赋值，暂未开展=0分，业界领先=5分，成熟度=金控公司在该维度的得分合计值/金控公司均达到业界领先水平时的得分合计值；2、在回收的22份问卷中，2份不适用，故共计20份样本参与成熟度统计分析。0.710.690.670.630.600.590.570.570.560.550.550.540.530.520.490.490.4500.10.20.30.40.50.60.70.8治理架构政策制度风险偏好管理信用风险风险文化操作风险流动性风险声誉风险风险管理系统市场风险集中度与大额风险暴露战略风险信息科技风险数据管理风险隔离统一授信协调资本管理2注：在回收的22份问卷中，1份不适用，故共计21份样本参与本模块统计分析。50%75%27%50%25%73%0%20%40%60%80%互联网金控地方金控央企金控单独设立与其他职能合署同一部门图图4：金控公司风险管理部门设立情况：金控公司风险管理部门设立情况以下将风险管理体系建设维度划分为七个方面进行详细分析，分别为风险治理架构、风险管理政策制度、风险偏好管理、单一风险管理、风险数据与风险管理系统、风险文化以及重点工作。金控公司全面风险管理研究白皮书14从反馈的问卷来看，金控公司风险治理架构普遍较为完善，已有90%的公司设立了不同层级的风险管理委员会或等效的专业委员会。但是，在风险管理部门设置方面，央企金控与地方金控呈现出了明显差异，央企金控倾向于将风险管理职能与法律合规等职能设置于同一部门，而地方金控更倾向于设立2）风险管理政策制度图图5：金控公司风险管理部门人员配备情况：金控公司风险管理部门人员配备情况注：图示中百分比为各类型金控公司风险管理政策制度在不同建设阶段的比例图图6：金控公司风险管理政策制度体系建设情况：金控公司风险管理政策制度体系建设情况38%18%38%27%13%27%100%13%27%0%20%40%60%80%100%互联网金控地方金控央企金控0-3人4-6人7-9人10人及以上单独的风险管理部门。从风险管理部门人员配备来看，互联网金控风险管理人员较为充足，均在10人及以上，地方金控风险管理人员最少，与其成熟程度相对匹配， 而央企金控则居中。50%50%22%56%22%9%36%45%9%0%10%20%30%40%50%60%初步搭建及以下基本完善体系完备业界领先互联网金控地方金控央企金控整体而言，金控公司风险管理政策制度体系建设相对完善，主要集中在基本完善及以上阶段。从不同类型金控公司来看，央企金控的完善程度优于地方金控和互联网金控，央企金控中90%处于基本完善及以上阶段，其中9%处于业界领先，45%处于体系完备，36%处于基本完善；地方金控的完善程度落后于央企金控，主要集中在基本完善阶段，占比56%，另分别有22%的公司处于体系完备、初步搭建及以下阶段；互联网金控的2家受访公司分别处于基本完善以及体系完备阶段。金控公司全面风险管理研究白皮书153）风险偏好管理注：图示中的百分比为已开展各项工作的金控公司占受访金控公司总数的比例图图7：金控公司风险偏好管理工作情况：金控公司风险偏好管理工作情况从风险偏好管理的反馈结果来看，金控公司风险偏好管理工作整体开展不足，有23%的受访金控公司反馈尚未开展风险偏好管理的工作，而占比最高的选项为建立风险偏好陈述书并得到审批与应用（64%）。55%的金控公司已与子公司建立传导和衔接，并且主要通过定性方法将风险偏好传导至风险限额，45%的金控公司至少每年开展一次风险偏好重检及更新，41%的金控公司已建立风险偏好监测及超限处置机制。当前，金控公司普遍在风险偏好量化传导模型、风险偏好系统功能以及应用机制方面相对薄弱。23%27%27%27%41%45%50%55%64%0%10%20%30%40%50%60%70%尚未开展已通过定量模型将风险偏好传导至风险限额已将风险偏好融入公司经营决策和关键环节风险偏好系统管理已建立风险偏好监测及超限处置机制至少每年开展一次风险偏好重检及更新已通过定性方法将风险偏好传导至风险限额已与子公司建立传导和衔接已建立风险偏好陈述并通过审批，开展实际应用金控公司全面风险管理研究白皮书16图图8：金控公司单一风险管理成熟度：金控公司单一风险管理成熟度4）单一风险管理0.90 0.80 0.70 0.80 0.80 0.80 0.70 0.46 0.43 0.46 0.49 0.46 0.46 0.37 0.62 0.55 0.56 0.58 0.60 0.71 0.64 操作风险信息科技风险战略风险声誉风险流动性风险信用风险市场风险互联网金控地方金控央企金控说明：1、成熟度，将单一风险管理所处的五个阶段由低到高进行赋值，暂未开展=0分，业界领先=5分，成熟度=金控公司在该单一风险管理成熟程度的实际得分合计值/金控公司均达到业界领先水平时得分合计值；2、该模块有效问卷样本为20，有2份回收问卷不适用。从单一风险管理来看，金控公司的信用风险管理成熟度最高，为0.63，其次为操作风险（0.59）；相对滞后的单一风险管理包括战略风险和信息科技风险，其中战略风险管理成熟度为0.54，信息科技风险管理为0.53；其余单一风险管理成熟度分布在0.55-0.57之间。从风险管理成熟度来看，不同类型金控公司呈现出显著差异，按成熟度排序，互联网金控高于央企金控，二者高于地方金控。由于互联网金控样本量较小，样本代表性不足可能造成统计偏差。但基于经验，央企金控单一风险管理优于地方金控，与市场观察相符。从不同类型金控公司单一风险管理成熟度来看，互联网金控各单一风险管理成熟度处于0.7-0.9，其中操作风险管理成熟度最高，战略风险和市场风险管理成熟度则最低；央企金控单一风险管理成熟度则处于0.55-0.71，其中信用风险管理成熟度最高，信息科技风险管理成熟度最低；地方金控单一风险管理成熟度最低，仅处于0.37-0.49，其最高值都低于央企金控最低值，其中，声誉风险管理成熟度最高，市场风险管理成熟度最低。除上述列示的七大类单一风险外，85%的金控公司普遍认为还面临其他主要风险，主要为法律合规风险。金控公司全面风险管理研究白皮书175）风险数据管理及风险管理系统图图9：金控公司风险数据管理完善情况：金控公司风险数据管理完善情况从总体情况来看，风险数据管理及风险管理系统较为滞后，风险数据管理成熟度为0.52，风险管理系统成熟度为0.56。风险数据管理成熟度低于风险管理系统，反映出当前金控公司虽已开始搭建风险管理系统，但在系统建设过程中风险数据管理的滞后制约了系统应用及功能实现。从不同类型的金控公司建设情况来看，由于其数据基础以及大数据、人工智能等新一代信息技术资源投入与应用程度不同，在风险数据管理与风险管理系统建设方面呈现显著差异。互联网金控数据与系统基础好，成熟度高，央企金控次之，最后为地方金控。100%78%22%36%45%18%0%10%20%30%40%50%60%70%80%90%100%初步搭建及以下基本完善体系完备互联网金控地方金控央企金控3 1104即“1104工程”报表体系，而“1104工程”是指2003年11月4日原银监会召开的银行业金融机构监管信息系统建设主席办公会和监管信息系统建设领导小组会议上决定启动的银行业金融机构监督信息系统。4 EAST系统全称Examination and Analysis System Technology，是原银监会在2008年开发的具有自主知识产权的检查分析系统。调查结果显示，互联网金控展现出风险数据管理最为成熟， 均处于体系完备阶段；央企金控风险数据管理完善程度次于互联网金控，但优于地方金控，其中，63%的央企金控处于基本完善及体系完备阶段；地方金控的风险数据管理总体而言不理想，仅有22%的公司处于体系完备阶段，其余均处于初步搭建及以下水平。从普华永道的市场观察来看，当前金控公司风险数据管理实际情况与调研结果呈现的水平仍有差距。风险数据管理成熟度相对较高的部分金控公司，风险数据的收集和报送仍主要依托于手工，标准化程度低，准确性和时效性均有明显不足，与“完善”的水平存在偏差。我们认为，这主要是因为金控公司对风险数据的认识程度普遍低于持牌金融机构，金控公司尚未有11043、EAST4等金融监管报表要求，其风险管理主要偏重于架构与制度等定性方面，并且部分金控公司将风险管理职能等同于合规与内控，尚未充分重视风险数据，其风险数据对于风险管理的价值应用仍有较大提升空间。注：图示中百分比为各类型金控公司风险数据管理在不同建设阶段的比例金控公司全面风险管理研究白皮书18图图10：金控公司风险管理系统功能：金控公司风险管理系统功能从风险管理系统建设情况来看，已有45%的受访金控公司搭建独立的风险管理系统或通过其他系统平台支持开展风险管理工作。从风险管理系统功能来看，金控公司根据其管理侧重点，系统功能缺乏一致性，选项最多的是合规事件管理和风险预警管理功能（50%），其次是关键风险指标监测（45%），再次是数据分析（41%）、风险仪表盘/BI看板（41%）功能等。虽然金控公司已经开始纷纷着手搭建风险管理系统，但是在数据实现自动采集方面目前仍很薄弱，这也导致风险管理在数据完整性、准确性、时效性等方面仍然存在明显短板。从能力演进路径来看，行业目前主要处于风险管理信息化初期阶段，以聚焦管理报表报告和指标展示的线上化为主，距离风险管理数字化仍然有较大差距。41%45%50%27%50%36%41%36%0%10%20%30%40%50%60%风险仪表盘/BI看板关键风险指标监测风险预警管理风险偏好管理合规事件管理数据自动采集数据分析不适用6）风险文化50%50%44%22%22%11%18%45%18%18%0%10%20%30%40%50%60%初步规划及以下初步搭建基本完善体系完备业界领先互联网金控地方金控央企金控图图11：金控公司风险文化建设情况：金控公司风险文化建设情况注：图示中百分比为各类型金控公司风险文化在不同建设阶段的比例从文化建设情况来看，央企金控风险文化建设程度最高，超过80%的受访央企金控公司认为其风险文化建设处于基本完善及以上水平，其中18%的央企金控公司认为其风险文化建设已处于业界领先水平；地方金控风险文化建设则较为滞后，超过60%的公司风险文化处于初步搭建及以下水平，其中44%的受访金控公司处于初步规划及以下水平；互联网金控的两家受访公司的风险文化建设分别处于基本完善以及体系完备阶段。注：图示中百分比为选择各选项的金控公司与受访金控公司的比例金控公司全面风险管理研究白皮书197）风险管理重点工作图图12：金控公司资本管理工作建设情况：金控公司资本管理工作建设情况风险管理重点工作包括集中度与大额风险暴露、统一授信协调、风险隔离以及资本管理，普遍要求较高的技术水平，由于缺乏监管细则，金控公司普遍呈现出较低成熟度，是当前风险管理体系建设中最为薄弱的方面，除集中度与大额风险暴露成熟度为0.55外，其他重点工作成熟度均不足0.5，其中，统一授信协调为0.49、风险隔离为0.49、资本管理为0.45。不同类型金控公司的成熟度也呈现显著差异。如图所示，以成熟度最低的资本管理为例，超过一半的地方金控仍处在初步规划及以下阶段，而央企金控有超过一半的受访者表示其处于基本完善和体系完备阶段。地方金控普遍认为资本管理技术是其面临的最主要的技术难点。日前，人民银行已起草了若干实施细则并正在行业内征求意见，正式下发后，可为金控公司资本管理等重点工作的开展提供依据，相关工作的规范性程度和管理水平将会显著提升。50%50%56%33%11%27%18%45%9%0%10%20%30%40%50%60%初步规划及以下初步搭建基本完善体系完备互联网金控地方金控央企金控注：图示中百分比为各类型金控公司资本管理工作建设情况在不同阶段的比例金控公司全面风险管理研究白皮书204.1.3. 小结小结4.1.3.1. 发展阶段不同步当前我国金控公司发展的成熟度以及子公司发展阶段不同步，体现在如下三个方面。第一，不同金控公司成立时间的差异导致其自身的成熟度不同。国务院于2002年批准中信集团、光大集团及平安集团为综合金融控股集团试点，至今已20年，且在成为试点前，各公司均已成熟运行多年，例如，中信集团（原中国国际信托投资公司）创立于1979年，于2002年进行体制改革，更名为中信集团；光大集团创立于1983年，于2014年经国务院批准由国有独资企业改制为股份制公司，更名为“中国光大集团股份公司”；平安集团成立于1988年。随着我国金融业综合经营的不断深入以及国有资产管理体制改革的推进，金控公司陆续成立，部分金控公司成立时间较短。第二，不同金控公司与其子公司发展阶段不同步。例如，招商局集团创立于1872年洋务运动时期，1978年开始投身于改革开放，经过多年的运营，已拥有较为成熟的体制机制，而旗下的招商仁和人寿于2017年获原保监会批复正式运营，相较于集团的发展，子公司的成熟度较为落后。第三，同一金控公司旗下的不同子公司发展阶段不同。例如，中粮资本旗下的子公司中，中粮期货成立于1996年，中粮信托成立于2009年，中粮资本（香港）成立于2016年。针对不同子公司的风险特性和发展阶段，需要金控公司在管控界面和力度、管理手段、管理资源投入等方面实行差异化管控。4.1.3.2. 管理水平不均衡由于金控公司控制多种业态的子公司，对不同业态的风险管理监管要求不同，导致管理水平存在差异。对于金控公司来说，子公司在各自行业监管要求下开展风险管理工作，其风险管理水平也会呈现差异。整体上看，银行业监管最为严格，其次为保险业和证券业，然后为信托业，融资租赁等其他类型金融业态监管要求相对宽松。金控公司控制的金融业态不同，以及部分子公司规模差异巨大，使得金控公司整体的风险管理水平不均衡。例如，当金控公司旗下的银行子公司规模较大时，其金控集团整体风险管理水平相较于主要控制融资租赁和公募基金等金融牌照的金控公司而言，管理要求和管理难度会更高。从调研结果中不同类型金控公司风险管理成熟度在当前所处阶段的差异性上也反映出这一点。4.1.3.3. 定量工具普遍滞后从金控公司风险管理定量工具建设来看，虽然大部分公司已开展风险偏好管理工作，但调研中仅有6家公司实现了风险偏好定量模型传导；对于需应用定量工具支持开展的集中度与大额风险暴露、统一授信协调以及资本管理工作，其成熟度分别为0.55、0.49及0.45，成熟度较低；此外，金控公司缺乏专门的风险管理部门，风险量化专业人才的投入不足，也是影响其风险管理定量工具成熟水平的主要因素。从子公司定量工具建设来看，风险定量管理所依赖的数据通常是自下而上的，如果子公司缺乏定量分析和管理的基础，在金控公司层面独立开发定量工具就变成了空中楼阁。金控公司全面风险管理研究白皮书214.2. 金控公司风险管理痛点54.2.1. 总体情况总体情况图图13：金控公司风险管理的主要痛点：金控公司风险管理的主要痛点注：图示百分比为选择该选项的金控公司数量占有效回收问卷的全部受访金控公司数量的比例5%14%14%19%29%29%29%48%57%57%强调业务导向，风险文化不足风险管理制度体系不健全风险管理能力与业务发展不匹配风险管理权威性和话语权不足监管要求高，规则尚不清晰跨部门/机构联动协调机制缺乏风险管理专业人才不足风险管理模型及工具精细度不够跨机构数据获取的完整性、准确性和时效性差风险管理系统自动化程度低调研结果显示，金控公司普遍认同三个主要痛点，即：（1）风险管理系统自动化程度低；（2）跨机构数据获取的完整性、准确性和时效性差；（3）风险管理模型及工具精细度不够。图图14：不同类型金控公司风险管理体系建设的主要痛点分布：不同类型金控公司风险管理体系建设的主要痛点分布注：图示的百分比为各类型金控公司中选择相应痛点的比例100%38%50%63%38%45%64%82%0%20%40%60%80%100%120%监管要求高，规则尚不清晰跨部门/机构联动协调机制缺乏风险管理模型及工具精细度不够风险管理系统自动化程度低跨机构数据获取的完整性、准确性和时效性差央企金控地方金控互联网金控5注：该章节共计 21份样本参与统计，1份不适用。金控公司全面风险管理研究白皮书22从不同类型金控公司来看，由于其监管基础、资源投入及管控力度等有所不同，风险管理面临的主要痛点的集中程度呈现明显差异。对于互联网金控来说，受访公司均认为监管要求高、规则尚不清晰是其风险管理体系建设过程中的主要痛点。对于央企金控来说，82%的受访公司认为跨机构数据获取的完整性、准确性及时效性不足是其面临的主要痛点，64%的公司认为风险管理系统自动化程度低是主要痛点，45%的公司认为风险管理模型及工具精细度不够是其面临的主要痛点。对于地方金控来说，63%的受访公司认为风险管理系统自动化程度低是主要痛点，50%公司认为风险管理模型及工具精细度不够是面临的主要痛点，分别有38%的公司认为跨机构数据获取、跨部门或机构联动协调机制缺乏是主要痛点。4.2.2. 分项情况分项情况 风险数据管理1）风险数据管理与风险管理系统图图15：央企金控风险数据管理情况：央企金控风险数据管理情况注：图示中百分比为该类型金控公司中，选择该选项的占该类型金控的比例；63%82%36%45%0%10% 20% 30% 40% 50% 60% 70% 80% 90% 100%风险数据管理基本完善及以上水平跨机构数据获取的完整性、准确性和时效性差风险管理系统数据自动采集风险管理系统数据分析金控公司普遍认为，跨机构数据获取的完整性、准确性和时效性差是其面临的主要痛点之一，调研以实际开展情况相对较好的央企金控为样本来分析，央企金控普遍高估了其风险数据管理的成熟度。在图9的分析中，63%的受访央企金控认为其风险数据管理处于基本完善及以上水平，但图15显示实现风险管理系统数据自动采集以及数据分析的公司占比分别仅为36%和45%，且图14显示82%的公司认为跨机构数据获取的完整性、准确性及时效性不足是其面临的主要痛点，明显存在矛盾。大部分央企金控目前主要通过手工报送的方式进行风险管理报表生成和指标计算。据此推断，金控公司调研结果显示的“完善”的风险数据管理状态，可能存在高估。 风险管理系统金控公司普遍认为风险管理系统自动化程度低是其主要痛点之一，从调研了解的情况来看，目前金控公司风险管理系统主要通过定期获取子公司相关数据，生成相应的报表和指标，以报告和流程的线上化为主，风险监测偏事后，风险管理缺乏时效性和前瞻性，数据分析和模型预测等模块的开发应用不足。金控公司全面风险管理研究白皮书232）风险管理技术图图16：不同类型金控公司风险管理技术难点：不同类型金控公司风险管理技术难点注：图示中百分比为各类型金控公司选择该选项占该类金控公司的比例；不同类型金控公司普遍认为风险管理模型及工具精细化程度不够是其在风险管理体系建设过程中面临的主要痛点之一，在风险管理技术难点方面，不同性质金控公司的反馈存在具体差异特性。对于互联网金控，受访公司均认为风险偏好设定和传导是其风险管理技术面临的主要难点。100%50%50%50%50%75%63%50%13%75%25%27%73%73%73%36%0%20%40%60%80%100%风险偏好设定和传导风险计量模型，如统一信评等统一授信和额度分配集中度限额设定资本管理风险仪表盘/BI看板央企金控地方金控互联网金控对于央企金控，分别有73%的公司认为风险计量模型、统一授信和额度分配以及集中度限额设定是其主要难点。对于地方金控，分别有75%的公司认为风险偏好设定和传导以及资本管理是其主要技术难点，63%的公司认为风险计量模型是主要技术难点。3）风险影响度分析图图17：金控公司单一风险影响程度：金控公司单一风险影响程度影响度评估标准说明：将金控公司面临的单一风险根据影响程度由大到小进行排序，并选取前三名对其赋值，排序一（影响程度最大）赋值3分，排序二（影响程度第二）赋值2分，排序三（影响程度第三）赋值1分，并综合计算每项单一风险的得分，作为其影响度。从调研结果来看，金控公司普遍认为信用风险对其影响度最高，得分49分；第二为市场风险，得分23分；第三为战略风险，得分15分。从单一风险管理体系的成熟度来看，并不与单一风险的影响度匹配。譬如对于信用风险，95%的金控公司认为其是影响程度最高的三大风险之一，但信用风险管理体系处于基本完善及以上水平的金控公司占比不足70%，体现出信用风险管理能力与风险管理需求之间存在缺口。4.2.3. 小结小结金控公司的风险管理复杂性显然高于单一金融机构，但当前金控公司风险管理体系建设主要集中在框架设计以及定性管理，精细化管理的量化能力普遍不足，其风险管理需求与现有风险管理能力存在缺口。譬如，金控公司普遍认为信用风险是对其影响最大金控公司全面风险管理研究白皮书244.2.3.1.现有管理能力和金控风险的复杂性之间存在缺口4.2.3.2. 数据短板是金控公司风险管理的核心制约因素风险数据获取和分析是当前金控公司风险管理精细化和数字化的核心制约因素，由于金控公司本身不直接开展业务，其自身并无大量数据产生和积累，数据主要来自子公司。总体来看，数据短板具体体现在三方面：第一，子公司数据差异大、基础弱。部分子公司尚未建立经整合的风险数据平台和管理系统，数据标准不统一，数据完整性不足，数据存储散落在不同系统中，甚至可能存在依赖手工台账的情况，即金控公司做精细化风险管理的数据基座不稳。的单一风险，且集中度与大额风险暴露的管理主要为信用风险。金控公司层面的统一授信协调工作是监管的关注重点，但金控公司现有管理能力存在严重不匹配的情况，集中度与大额风险暴露工作成熟度仅0.55，统一授信协调工作成熟度仅有0.49。第二，金控公司数据获取时效性差。由于子公司的数据基座不稳，金控公司的数据多通过子公司定期的手工报送获取，数据质量差，不能及时获知风险状况，管理动作被动和滞后，无法有效开展风险预警。第三，金控公司对风险数据的认知不足。从本次调研结果来看，金控公司普遍高估自身风险数据管理水平，数据的应用机制较为薄弱，尚未充分发挥其管理价值。金控公司全面风险管理研究白皮书254.2.3.3. 金控公司精细化工具普遍滞后于持牌子公司由于历史上金控公司未纳入金融监管，管理相对粗放，缺乏有效的技术手段，专业人员配备及资源投入不足。因此，相比持牌子公司，金控公司层面的风险管理精细化程度和量化工具的使用普遍滞后。以某央企金控为例，该公司信用风险管理已处于金控行业相对领先的水平，但与其银行、证券和保险子公司相比，其风险计量模型与工具建设仍然相对落后。表二：典型金控公司与子公司风险管理模型和工具表二：典型金控公司与子公司风险管理模型和工具主体主体风险管理主要模型及工具风险管理主要模型及工具金控公司开展集团客户名单制管理统一风险暴露计量规则通过指导性限额开展集中度管理依托子公司客户关系树构建集团客户关系树基于子公司统一信评模型，探索集团层面统一信评标准银行子公司风险资本计量客户关系树内部评级模型客户限额模型自动预警压力测试等风险评估方法证券子公司风险资本计量客户关系树内部评级模型限额模型实时监控压力测试等风险评估方法保险子公司最低资本计量客户关系树内部评级模型风险限额模型压力测试等风险评估方法5.金控公司风险管理的趋势5. 金控公司风险管理的趋势金控公司全面风险管理研究白皮书275.1. 风险管理将与数字化转型协同推进国家“十四五”规划明确要求推进金融业的数字化转型。人民银行发布的金融科技发展规划（2022-2025年）着重提出，应促进金融与科技更深度融合、更持续发展，更好地满足数字经济时代提出的新要求、新任务。行业内数字化发展战略已提上日程，金控公司应通过立足于大数据、人工智能等信息技术，将数字化、智能化的风险管控工具应用于各业务板块不同的风险场景，实现风险管理与业务经营的统一，实现集团从被动式风险管理向主动式风险经营的转变。金控公司数字化与风险管理的结合可以划分为三个发展阶段，从风险管理系统信息化到数字化再到智能化。风险管理信息化：风险管理信息化：将信息技术应用于风险管理的基础工作，主要目标是实现报告报表和管理流程的线上化，部分或大部分数据可以通过数据接口自动从子公司获取，尽量减少子公司的手工数据报送，但管理仍然偏事后，目前上线的一般为1.0版本的风险管理信息系统。风险管理数字化：风险管理数字化：建立相对全面的风险数据集市和风险数据库，将基于数据的风险计量模型和分析工具运用到事前和事中管理，实现风险信息共享和管理协同，形成风险洞察能力，以降低成本提高效率，优化资源配置，支撑决策，进而提升金控公司的竞争力和经济效益。风险管理智能化：风险管理智能化：利用云计算、大数据、物联网、人工智能等新一代数字技术，构建一个全感知、全场景、全智能的风控数字化的世界，对传统管理模式进行创新和重塑，风控关口前置，赋能前端和子公司业务，基于数据与分析做出决策，可进行实时动态风险管理，实现风险管理与业务发展的高度融合。根据本次调研结果，除部分头部金控公司已经建立起完善的风险管理信息系统，并向数字化风控进行探索外，目前大多数金控公司仍处于风险管理系统建设起步阶段，在实际管理中主要依托线下方式对子公司进行风险管控。随着数字化转型的深入以及对风险管理应用价值需求的提升，数字化风控建设必然成为未来风险管理体系建设的主流趋势。5.2. 风险管理主题将从管控逐渐向协同与赋能演进金控公司的风险管理功能定位可以分为管控、协同和赋能：管控：管控：以风险穿透和强化管控为目标，提升金控集团总部能力，满足集团层面集中度和大额风险暴露等管理需要，提升风险管控决策的时效性和准确性。协同：协同：利用金控公司的多数据源优势，整合内外部数据资产，建立跨子公司业态的风险管理协同平台和机制，利用管理能力较强的子公司来“传”“帮”“带”相对落后的子公司，提升金控公司整体的风险管理能力。赋能：赋能：数字化助力金控公司从管控向赋能子公司的定位转变，金控公司统筹相关数据平台工具和建立创新机制，赋能子公司风控应用场景，并可以利用API6开发接口方式直接嵌入子公司的前端流程和业务系统。从实施策略上，金控公司风险管理可采取数字化转型和能力体系打造协同推进，并在不同阶段设定风险管理的重点主题，分阶段实现管控、协同和赋能的不同目标。目前，绝大多数金控公司的风险管理仍聚焦于管控，少部分发展较领先、体系建设较完善的金控公司已部分推进到协同导向阶段。从长期来看，金控公司风险管理主题将从管控逐渐向协同与赋能演进，通过统筹协调集团整体风控资源，展开协同共享与有效赋能。6API 即Application Programming Interface，是开发接口标准之一。金控公司全面风险管理研究白皮书28资源支持：资源支持：金控公司作为多业态的持牌机构，有机会充分整合银行、证券、保险、信托等所控股机构以及内外部机构风险管理的优势资源，发挥纽带作用，赋能其他所控股机构提高风险管理能力。信息联通：信息联通：金控公司应逐步搭建起上下协同的风险联防联控架构体系，充分发挥金控公司与子公司协同优势，加强所控股机构之间的沟通对接机制和联席会议制，统一协调、充分沟通，形成风险管理合力。技术赋能：技术赋能：金控公司应搭建起智能化风控平台，提高集团风险数字化能力，在依法合规的前提下开展风险防控工作，有效防范化解金融风险。5.3. 风险管理能力将是战略转型引擎和核心竞争优势随着对风险管理认识程度的不断深化，风险管理应用价值不断提升，在保障金控稳定经营的同时，实现风险与收益的有机平衡成为促进金控战略转型，提高核心竞争力的重要趋势。金控公司应加强风险管理与业务管理的协同联动，风险管理不应局限在监管合规“紧箍咒”下“被动防守”的定位，风险管理的作用应该逐步“嵌入”业务前线，积极融入业务创新与市场开拓，助力金控公司和子公司业务价值创造和风控价值实现。金控公司应不断提高风险管理精细化能力，提升风险管理模型与工具的准确性与适用性，包括不限于建立集团客户关系树和集中度限额测算模型，推动信评模型建设及在子公司的应用，为业务决策提供支持；加强关键风险指标限额设定的科学性和有效性，发挥指标监测实效；完善风险偏好的应用机制，加强风险偏好与战略规划、预算、资本管理、绩效考核等的衔接，逐步实现既能把握风险底线，又能促进资源最优化配置的价值创造目标。6. 金控公司风险管理“三维一体”目标模式6. 金控公司风险管理“三维一体”目标模式金控公司全面风险管理研究白皮书30金控公司作为一类覆盖多种业态的特殊金融机构，具有产业布局广、行业覆盖多、管理层级深的特点，风险特征具有独特性，即风险复杂度高、传染性强、叠加效应大，对此金控公司应建立起内涵更为丰富严密的风险治理体系。一体化的风险管理数据平台与系统一体化的风险管理数据平台与系统战略风险财务风险信息科技风险流动性风险信用风险市场风险法律合规风险集中度风险声誉风险风险治理架构风险治理架构以法人治理为基础治理层治理层管理层管理层全面风险全面风险管理部门管理部门专项风险专项风险归口管理归口管理子公司子公司A子公司子公司B子公司子公司C图图18：金控公司“三维一体”立体化风险管理目标模式：金控公司“三维一体”立体化风险管理目标模式通过风险管理职能定位明确管理责任，将分散在不同法人主体的风险职能汇聚整合，可以建立起覆盖“金控公司+子公司”两级“穿透式”的风险治理架构，形成纵向上下衔接、横向互为支撑的三道防线，充分发挥风险管理协同优势，搭建起“三维一体”的立体化风险管理模式。四个层面、三道防线风险管控模式风险管控模式统筹与差异化管控风险穿透与专业化管控关键要素关键要素风险偏好统一授信与集中度管理关联交易人才与考核风险管理制度资本管理风险隔离风险文化金控公司全面风险管理研究白皮书316.1. 治理维度：风险治理架构6.1.1. 架构特点：以法人治理为基础架构特点：以法人治理为基础跨法人治理是金控公司风险管理的难点，也是金控公司风险治理架构的核心特点。金控办法在公司治理、风险管理、资本管理与关联交易等方面，基本沿袭了当前持牌金融集团监管和并表监管原则。金控公司应以法人治理为基础，遵循公司治理的原则，加强股权管理、规范股东行为。同时通过风险管理职能定位明确管理责任，推动风控职能下沉，建立起覆盖“金控公司+子公司”两级“穿透式”的风险治理架构，通过整合集团资源，发挥风险管理合力，充分释放风险管理效能。金控公司应定位于金控公司应定位于“统筹统筹、赋能赋能、指导指导、监督监督”，发挥发挥“总指挥部总指挥部”作用：作用：充分发挥党委对风险管理工作发挥领导作用，按照“三重一大”决策制度，对风险管理的重大事项进行前置研究或决定，以利实现党的全面领导与公司治理深度融合。董事会层面设立专业风险管理委员会，落实董事会风险防范和合规经营的主体责任，保证决策的高质量和科学性。以股权为纽带，通过向重点子公司派驻董事、监事、高管层，强化风险垂直化管控，增强集团对子公司重要风险事项的知情权和参与程度，推动落实集团风险偏好与管理政策要求。按照监管“瘦身健体、压降层级”要求，控制子公司数量和层级，加强风险管理穿透性。以人员任免、风险管理专业委员会审议决策、专业条线垂直管理以及联席会议协调沟通等作为重要抓手，及时对子公司的关键事项进行授权管理和窗口指导。建立授权机制，梳理管控清单，厘清管理界限。子公司遵循所在各行业监管要求子公司遵循所在各行业监管要求，在在金控公司金控公司领导领导下下，发挥发挥“前线作战前线作战”作用作用。子公司应积极夯实主体责任，落实集团风险管理要求，在金控公司全面风险管理体系下，根据自身特性和监管标准识别、评估、监测、应对与控制、报告其所承担的各类风险，推动自身风险管理体系建设。金控公司全面风险管理研究白皮书32董事会监事会管理层全面风险管理牵头部门各类风险归口管理部门下属子公司四个层面四个层面三道防线三道防线三道防线责任子公司金控公司业务管理部门风险管理主责部门稽核审计第一道防线第一道防线第二道防线第二道防线第三道防线第三道防线承担风险管理直接责任承担制定政策和流程，监测和管理风险的责任承担一二道防线履职情况的审计责任，以及对相关责任人进行责任追究的责任构建风险管理“三道防线”，并明确相应责任三道防线共同承担风险管理责任，对风险管理的结果负责总部职能部门主要负责人依职责对风险管理承担第一责任图图19：金控公司风险管理的四个层面、三道防线：金控公司风险管理的四个层面、三道防线6.1.2. 基本模式：基本模式：“四个层面四个层面、三道防线三道防线”金控公司应建立起“层次清晰、职责完备”的“四层三道“风险治理架构，明确风险管理责任，将分散在不同法人主体的风险职能条块汇聚整合，形成纵向上下衔接、横向互为支撑的有机整体，最大化风险资源利用效率，充分发挥集团风险管理的协同优势。“四层四层”治理层：治理层：董事会是风险管理工作的最高决策机构，就风险管理工作的有效性对股东会负责；可下设风险管理委员会，授权其履行关键性审议和评估职责，为董事会决策提供支持。监事会承担风险管理的监督职责，负责监督董事会及管理层的履职情况。管理层：管理层：管理层执行董事会决议，承担风险管理的实施责任，可下设风险管理委员会，授权其统筹开展具体工作。同时根据公司治理架构，引入其他专业委员会，与风险管理委员会协同运作，整合运营，为风险管理提供专业化决策，推动风险管理工作有效运转。部门层：部门层：风险管理部门作为风险管理工作牵头部门，负责统筹风险管理体系建设工作；其他单一风险管理的归口管理部门根据业务与风险特性以及组织分工情况，实现单一风险的垂直管控；稽核监察部门负责统筹风险管理工作的内部审计，并监督整改。子公司层：子公司层：子公司与直接开展业务的职能部门作为一道防线，承担风险管理直接责任，在所在行业监管要求以及集团风险管理体系下，开展所在公司的风险管理工作。“三道三道”一道防线：一道防线：子公司及金控公司直接开展业务的职能部门作为一道防线，承担风险管理直接责任，从源头管控金控公司的各类风险，重点解决各条线风险管理“越位”与“缺位”问题，推动风控职能下沉，完善末梢内部流程，促进风险文化向业务一线渗透。二道防线：二道防线：风险管理的职能部门作为二道防线承担风险管理的管理责任，与第一、第三道防线承启衔接，为风险防范提供专业的技术性支撑。风险管理部门是实施全面风险管理的牵头部门，其他职能部门作为专业风险的归口管理部门对单一风险进行垂直化管控；金控集团可以科学合理设置风险防控职责与权限，实现权、责、利的平衡统一。三道防线：三道防线：稽核监察部门作为三道防线，承担风险管理的监督责任，对一、二道防线风险管理工作的有效性进行监督。金控公司全面风险管理研究白皮书33案例一：中信集团构筑案例一：中信集团构筑“四层三道四层三道”风险管理架构风险管理架构，发挥风险管理协同优势发挥风险管理协同优势中信集团是中央金融企业，持有银行、保险、信托、证券等牌照。中信集团高度重视风险管理工作，已建立“层次清晰、职责完备”的“四层三道” 风险治理架构，明确风险管理责任，整合不同法人主体间风险职能，形成纵向上下衔接、横向互为支撑的有机整体，充分发挥集团风险管理的协同优势。“四层”即，以公司治理为基础，董事会、管理层、总部部门、子公司四个层面自上而下、横向协同、总体统筹、协调运转、共同保障全面风险管理工作的高效运行；“三道”即构建风险管理三道防线，并通过高度重视第一道防线建设、不断建立健全第二道防线以及强调巩固加强第三道防线，全面提升三道防线的风险管理能力。董事会董事会其他专业委员会其他专业委员会风险管理委员会风险管理委员会监事会监事会风险管理委员会风险管理委员会风管委办公室风管委办公室图图20：中信集团“四层三道”风险管理架构：中信集团“四层三道”风险管理架构集团职能部门在发起业务时承担风险管理的第一道防线责任集团职能部门在发起业务时承担风险管理的第一道防线责任；对具有审批权限的业务，与子公司分别依职责承担风险管理的第一道防线责任；作为风险归口管理部门作为风险归口管理部门，承担风险管理的第二道防线责任承担风险管理的第二道防线责任集团全面风险管理牵头部门、各类风险归口部门是风险管理的第二道防线稽核审计部和纪检监察部门是风险管理的第三道防线下属公司是风险管理的第一道防线下属公司是风险管理的第一道防线集集团团总总部部下下属属公公司司子公司总部部门管理层董事会部门1法律合规部审计部纪检监察部门对各类风险分级分类董事会管理层专专业业管管控控沟沟通通汇汇报报专专业业管管控控沟沟通通汇汇报报部门2部门3示例示例风险管理部/风险管理专岗各职能部门管理层管理层金控公司全面风险管理研究白皮书346.2. 管控维度：风险管控模式6.2.1. 统筹与差异化管控统筹与差异化管控金控公司应强调对风险的统筹把握，同时根据“放管自如，点面结合”的管理原则，明确子公司不同的风险管理现状，采取不同的管控模式，厘清界限，把握尺度，兼顾管控共性和包容个性的同时，践行统筹管理职能，并保持一定弹性和适时动态调整。在需要体现强管控意志或风险较高的领域，考虑管图图21：金控公司管控模式选择及其考虑因素：金控公司管控模式选择及其考虑因素对子公司控股比例对子公司控股比例子公司在集团中的战子公司在集团中的战略定位略定位不同业务板块的风险不同业务板块的风险水平水平金控公司对不同业务金控公司对不同业务板块的管理能力板块的管理能力股权结构股权结构业务状况业务状况金控公司对子公司的管控深度不尽相同金控公司对子公司的管控深度不尽相同理权限集中在金控公司层面；在需要强化发展和效率的领域，考虑适当下放权限。通过统一的风险战略、风险偏好、集中度管控，授信协同等从“面”上进行管控；通过具体风险事项的审批，落实到“点”的控制。金控公司对子公司通常有三种基本管控模式：财务管控型、战略管控型和运营管控型，不同模式具有不同特点，适用于不同类型金控公司。财务管控型财务管控型战略管控型战略管控型运营管控型运营管控型覆盖行业覆盖行业板块特点板块特点业务板块关联性差围绕几个核心业务板块从事单一业务板块或者紧密联系的业务板块组织特征组织特征侧重于分权比较平衡侧重于集权管控力度管控力度较弱中较强考虑因素考虑因素金控公司全面风险管理研究白皮书35案例二：某央企上市产案例二：某央企上市产业业金控公司管金控公司管控体系控体系某产业央企旗下的上市金控平台持有信托、证券、保险、融资租赁、期货、资管、产业基金等牌照，该金控公司意欲打造有产融特色的金控模式。普华永道通过一系列的项目，协助该金控公司比照申牌金控公司的要求，从产业集团及金控公司整体战略出发，逐步构建有效的管控到协同、再转向赋能的能力体系。在普华永道与之合作的系列项目二期，有针对地搭建组织管控与全面风控体系，构建与战略阶段及能力相匹配的管控模式与授权体系，通过九大路径进行差异化的自上而下管控传导，进行制度和流程梳理以实现管控的落地，并为后续的数字化落地提供需求基础。并重点建立关键风险指标、集中度风险管理、风险隔离机制、统一授信协调机制、关联交易管理等金控风险管理体系的重要模块。案例三：申能集团金融板块旗下准金案例三：申能集团金融板块旗下准金控公司分级授权控公司分级授权大型能源国企申能集团金控板块包括财务公司、证券、融资租赁和科技业态，其能源金融事业部作为相对独立的准金控平台进行管理与运作。普华永道协助该准金控平台实施了多项管控与风险管理类咨询项目，基于整体管控清单和管控界面的设计方案，并在统一信评工具基础之上，进一步探索四类不同业务的分级授权模式，包括分级授权组织架构、业务分级授权落地模式和业务分级授权实施方案，从而实现合理科学的集团管控目标。金控公司全面风险管理研究白皮书366.2.2. 风险穿透与专业化管控风险穿透与专业化管控金控公司应以风险与收益平衡为目标，通过集团风险偏好、统一授信、专项风险管理、风险考核等，督促子公司将风险管理下沉至具体业务经营过程中，加强业务过程中的风险控制，实现风险管理与业务管理的融合，避免风险管理工作脱离业务实际，浮于表面。金控公司应梳理子公司业务类型，有效识别集团面临的主要风险，自上而下建立与自身组织架构、业务规模以及复杂程度相适应的单一风险联防联控的“端到端”垂直管控机制。包括不限于完善单一风险治理架构，指定各类风险归口管理部门统筹开展单一风险全流程风险管理工作，提升单一风险管理的专业性。根据单一风险的特点，采取定性和定量相结合的方法，选用适当的工具，开展风险识别评估工作，对风险指标和风险事件进行监测预警并适时采取应急处置措施缓释风险情况，建立风险报告机制，定期或不定期报告风险状况及发展趋势，为下一步风险管理工作开展提供可靠依据。子公司在各业态监管要求以及金控风险管理要求下，建立并不断完善自身单一风险管理机制。案例四：某综合金融集团案例四：某综合金融集团“251全面风险管理体系全面风险管理体系”建设建设某综合金融集团旗下牌照齐全，在集团风险管控和智能风控平台等领域堪称行业标杆。该集团建立了“251全面风险管理体系”，其中“2”是指集团与子公司两级风险管控；“5”是指覆盖资产质量风险、流动性风险、合规操作风险、品牌声誉风险和信息安全风险等五大风险条线的专项分工和垂直管理，通过五大条线实现自上至下的“端对端”风险联控；“1”是指统一的风险监控及管理平台，实现智慧风控和管理赋能。在该风险管理平台建设过程中，普华永道通过历时6年的近20个子项目，协助该金融集团进行体系搭建、数据集市建设、系统平台设计和模型工具开发，并持续协助优化相应的功能与应用。金控公司全面风险管理研究白皮书376.3. 要素维度：全面风险管理关键要素6.3.1. 风险偏好风险偏好构建系统科学、导向明确、机制健全、有利于价值创造的风险偏好管理体系，加强顶层设计，实现风险偏好的制定、传导及应用。统一语言：统一语言：在金控公司及子公司构建统一风险偏好语言，为风险偏好的宣传贯彻与执行提供基础保障。搭建体系：搭建体系：构建集团风险偏好管理框架，指导各项风险偏好工作有效落实；构建由容忍度指标及限额指标共同组成的风险偏好指标体系；制定金控的风险偏好传导与限额分解机制，实现不同容忍度指标和限额指标的分解与传导。风险偏好陈述：风险偏好陈述：构建集团风险偏好，充分发挥风险偏好对经营决策、业务拓展和风险控制的统领作用，从根本上促进金控集团的持续稳健发展。搭建关键风险指标体系搭建关键风险指标体系，开展监测预警：开展监测预警：根据子公司不同业态以及实际业务经营情况建立关键风险指标库，分别设置预警值与限额值，依托系统开展监测管理。子公司风险偏好：子公司风险偏好：根据经营形势、风险状况，结合风险偏好执行的总体要求，金控公司应督促各子公司建立自身风险偏好，确保偏好传导过程中风险容忍度及限额指标分解的合理有效性，防止超限额情况发生。金控公司全面风险管理研究白皮书38案例五：中粮资本风险偏好体系案例五：中粮资本风险偏好体系中粮资本控制多家金融持牌子公司，包括信托、保险、期货、保理、产业基金及海外投资等多种业态。根据其风险管理规划方案和实施路径，普华永道协助其从金控集团层面建立与业务战略相匹配、自上而下可传导可执行的风险偏好体系，设定核心的风险容忍度和限额指标，对子公司的风险管理提出要求，并嵌入和补充到子公司已有的风险偏好体系中。在与子公司的对接和传导中，推动子公司改善战略与风险管理的匹配性，并嵌入到公司下一年的预算编制工作。传导传导直属企业根据资本控股公司设定的容忍度及直属企业根据资本控股公司设定的容忍度及限额指标，确定内部管理限额限额指标，确定内部管理限额风险偏好陈述风险偏好陈述风险管理原则与底线的总体陈述风险容忍度风险容忍度将偏好陈述传导为公司风险抵御能力的直观体现，也即风险底线的量化设置与定性表达关键风险指标与限额关键风险指标与限额覆盖各类风险、各类业务的关键风险指标，以及与容忍度相挂钩的风险限额。具体风险管理工作开展与运用的工具与抓手。金控风险偏好金控风险偏好资本水平风险水平盈利水平分分类风险偏好类风险偏好信用风险市场风险流动性风险集中度风险声誉风险合规风险信息科技风险资本层综合资本层综合偏好水平偏好水平分类风险偏好分类风险偏好传导图图22：中粮资本风险偏好体系：中粮资本风险偏好体系第第1 1级级控股公司限额控股公司限额第第2 2级级直属企业限额直属企业限额第第3 3级级直属企业内部直属企业内部管理限额管理限额金控公司全面风险管理研究白皮书396.3.2. 风险管理制度风险管理制度建立结构清晰、层次分明、系统协调的全面风险管理制度体系，覆盖统领性管理要求到操作规范，提升制度制定的全面性、管理的规范性、执行的可操作性。分层分级：分层分级：根据全面风险管理涉及的主要内容，确定制度范围，划分制度层级，补充缺失制度，形成完整制度视图。系统规范：系统规范：将全面风险管理与专项风险管理相衔接，统一风险管理的方法论，明确风险管理整体要求与规范，为风险管理工作提供有效的执行依据，为风险的全流程管控提供标准和依据。动态检视：动态检视：结合监管变化、风险管理需要、业务发展等，对存量制度定期检视修订。案例六：中信集团风险管理政策案例六：中信集团风险管理政策制度体系制度体系中信集团在风险偏好的引领下建立了分层分类的全面风险管理政策制度体系，明确分层分类标准，覆盖全面风险管理、分类风险管理以及操作手册三个层面，以保障制度落地可执行。为确保制度制定的科学性和可操作性，中信集团根据政策的五大驱动因素，明确政策制度制定标准和流程，将风险管理政策制度分层分类，并结合管理特点，通过明确风险管理工具，将制度要求进一步落地，提升了风险管理可操作性。并定期组织制度重检工作，及时检视制度相关要求和流程的适用性及完备性。普华永道协助中信集团开展制度梳理及优化工作，通过存量制度梳理形成风险管理制度视图，通过制度优化保障风险管理要求和流程的有效性、合理性以及可行性。案例七：某大型金融集团的信案例七：某大型金融集团的信评统一和并表风险管理评统一和并表风险管理某大型金融集团控股多家持牌金融子公司，包括保险、银行、信托、资产管理、公募基金、融资租赁、互联网金融等多家金融子公司。由于该集团下属的银行、寿险和资产管理公司已经分别建立了自己的内部信用评级体系，信托则是初步建立了针对债项的内部评级体系，其他子公司主要还是采用外部评级，使得集团在做并表信用风险管理时的“度量衡”并不统一。普华永道协助该集团在集团层面建立统一信评标准，明确统一信评的范围，建立集团与子公司统一信评的方法论和模型标准，设计相关的数据与管理应用平台，并根据子公司的内外部信用风险评级现状，设计子公司信用评级与集团统一信评的映射关系，利用集团信评“主标尺”来达到快速提升信用风险并表管理水平的目的。金控公司全面风险管理研究白皮书406.3.3. 统一授信与集中度管理统一授信与集中度管理加强统一授信管理，实现集团内对同一集团客户的授信管理，逐步推动统一信评模型等工具搭建与应用，为业务决策提供支持。明确纳入统一授信协调管理的客户范围和资产明确纳入统一授信协调管理的客户范围和资产范围：范围：明确集团客户认定规则，建立客户关系树；明确纳入授信协调管理的客户清单以及业务范围，指导各子公司授信业务准入，建立动态维护统一授信客户名单的机制。建立联合授信制度：建立联合授信制度：对同一客户在金控层面设定授信预警线或限额值；在监管合规的前提下，监控重点企业客户（含企业集团）的融资情况，统筹协调协调各子公司对该企业授信工作的管理机制；建立联席会议管理机制进行授信协调的关键决策。开展集中度与限额管理：开展集中度与限额管理：根据集中度风险管理需要，针对集团客户、单一交易对手、行业、地域、投资标的等维度的集中度风险管理，建立覆盖事前、事中和事后的管理机制。建立信息汇总与共享机制：建立信息汇总与共享机制：满足监管要求的前提下，建立信息共享机制，在集团范围内共享授信信息、预警信息等。案例八：某产业央企上市金控公司风险隔离机制案例八：某产业央企上市金控公司风险隔离机制某产业央企旗下上市金控公司持有证券、信托、租赁、产业投资基金、保险等多家子公司，面临着国资委关于防范金融风险向产业蔓延的要求，也同时消除人民银行关注的产业风险波及金融的顾虑。普华永道协助该金控公司梳理产融协同以及融融协同过程中的潜在风险传染路径，并通过对传染路径的归类划分，针对性建立“七类防火墙”的风险隔离措施，避免金控与子公司、子公司与子公司、金控板块与实业板块之间的风险相互传染。金控公司全面风险管理研究白皮书416.3.4. 风险隔离风险隔离以风险控制和合规管理为核心，建立健全整体金控公司内的风险隔离机制，确保金控公司与各子公司、不同子公司之间存在有效的风险隔离措施。梳理潜在风险传染路径梳理潜在风险传染路径，识别风险传染特征：识别风险传染特征：在金控框架下梳理各类风险传导路径以及其表现形式，包括不限于金控集团内部的交叉任职、业务往来、信息共享，以及共用销售团队、信息技术系统、运营后台、营业设施和营业场所等行为。建立建立“防火墙防火墙”机制：机制：根据金控集团风险交叉传染的特征，科学系统地建立法人、业务、资金、财务、信息、人员等多维度“防火墙”管理机制。搭建起全过程、全链条、全要素风险管控功能视图，对风险传染行为进行合理隔离，确保各子公司及其下属公司发挥金控集团多元化协同发展优势，又实现不同业务单元专业化分工和风险隔离，有效防控风险，保护客户合法权益。6.3.5. 资本管理资本管理建立资本管理体系，加强资本监管，保证金控公司稳健经营，维护金融稳定运行，防范系统性金融风险。建立完善的风险管理框架和稳健的内部资本充建立完善的风险管理框架和稳健的内部资本充足评估程序：足评估程序：明确风险治理结构，审慎评估各类风险、资本充足水平和资本质量，制定资本规划和资本充足率管理计划，确保金控公司资本能够充分抵御其所面临的风险，满足业务发展的需要。加强集团和子公司资本充足率管理：加强集团和子公司资本充足率管理：准确计算并表资本充足率；督促各并表子公司定期计算资本充足率，并制定其目标资本充足率，督促各并表子公司实现监管资本的内生补充，并将其纳入风险偏好。在集团层面建立健全资本规划：在集团层面建立健全资本规划：明确资本供给的规划，根据经营战略预测资本水平和目标资本水平，制定资本融资计划；建立资本补充计划，制定集团资本应急方案，确保金控公司整体及所控股金融机构保持充足的资本。金控公司全面风险管理研究白皮书426.3.6. 关联交易管理关联交易管理加强关联交易监管，规范金控集团内的关联交易行为，防止利益输送风险。明确管理机制，加强风险管控，对控股子公司关联交易管理进行统筹和监督。建立关联交易管理制度：建立关联交易管理制度：明确关联交易管理的原则、组织架构和职责分工、关联方管理、关联交易识别与审批、披露与报告、宣导与培训、审计和责任追究等内容。明确内部管理范畴：明确内部管理范畴：明确关联交易的定义与范围，完善关联方信息档案，及时更新关联方清单。建立关联交易分类调整机制：建立关联交易分类调整机制：根据累计认定以及交易比率限制的有关监管要求，开展准确、敏捷、实时的关联交易额度动态监测。开展关联交易线上化管理：开展关联交易线上化管理：鼓励金控集团牵头建立关联交易管理系统，提高关联方与关联交易管理的信息化和智能化水平，强化数据管理能力。6.3.7. 人才与考核人才与考核加强风险管理队伍建设，重视风险管理专业人才的“选、育、用、留”，为风险管理工作的管控深度延伸和技术革新持续提供能力支持。充分的专业风控人员队伍：充分的专业风控人员队伍：重视风险管理人员配备的充足性和人员质量，开展市场化选聘。针对性强的风控培训体系：针对性强的风控培训体系：设置针对风险管理人员的内外部培训体系及轮岗学习机制，加强专业性。常态化沟通交易机制：常态化沟通交易机制：建立金控公司与子公司人员常态化交流机制，加强信息沟通，推动工作上下联动。建立有效薪酬机制：建立有效薪酬机制：强化绩效考核对子公司风险管理的激励作用，进一步推动风险管理的积极性。加强风险考核与问责管理：加强风险考核与问责管理：风险考核与问责机制是风险管理规章制度执行落实的重要保障，是防范和控制违规引发的各类风险、警示和惩戒员工各类违规行为的有效手段。金控公司应充分发挥风险考核与问责的激励和约束作用，不断提高风险管理的质量与效率。6.3.8. 风险文化风险文化树立“风险创造价值”的文化理念，建立组织保障、发展理念和文化认同，加强对子公司风险管理文化的宣传贯彻和风险管理工作的指导，提高子公司风险管理的专业性和与集团风险文化的一致性。风险文化培育工作：风险文化培育工作：明确风险文化建设方案和重点工作内容，结合实际情况制定行动方案，多维度多层次的组织各项宣传贯彻工作。明确行为规范明确行为规范，优化监督机制：优化监督机制：金控公司各部门梳理职责范围内风险管理重点制度，明确制度要求。子公司结合工作实际制定全员普遍遵守的行为规范。建立起与风险文化建设相挂钩的考核机制，强化全员风险意识，践行风险理念。金控公司全面风险管理研究白皮书436.4. 数字化底座：一体化的风险管理数据平台与系统金控公司应顺应数字化趋势，持续提升风险管理系统功能与应用，推进风险管理信息化到数字化和智能化的转型与升级，打造强有力的风险管理工具与技术平台。通过构建金控公司与子公司整合和联动的风险数据库和风险管理平台，改变由于信息缺失和传递滞后引起的风险管理及时性、针对性不足，并将风险管理要求和手段嵌入到流程中，固化到系统里，改变风险管理事后、被动的局面，逐步实现主动风险管理，提升风险管理质效，推动数字化风控的转型升级。金控公司应以数据合规、安全为首要原则，实施数据收集、分析和应用，持续开发建设系统，不断提升全面风险管理能力。监管部门对金融机构客户信息安全有严格的监管规定，需合规收集和使用。金控应签署客户信息保密协议、推动子公司更新相关业务合同文本等。目前监管对集团层面数据技术平台、数据收集方案及数据管理机制等尚未有明确规定，金控公司需审慎制定数据管理方案，并视需要积极与相关监管部门沟通。金控公司在合法合规的基础上，强化风险数据资源整合及治理，打通金控公司与子公司之间的数据壁垒，贯通跨法人风险数据，逐步提升数据的准确性和完整性以及报送时效性，同时对接外部数据，构建数据湖、数据集市以及数据分析平台三层架构，提升风险模型及工具的精准度。布局前沿技术，将金融科技与风险技术有效整合，深度挖掘风险管理信息系统应用场景，实现风险管理前置并与业务相融合，将基于数据的风险计量模型和分析工具运用到事前和事中管理，形成风险洞察能力，通过前瞻性预判为金控公司与子公司业务决策提供支持。金控公司应指导和督促子公司同步建设自身风险平台和管理系统，改变传统基于经验和感觉的风险管理模式，优化数据驱动的风险识别、评估与决策，通过集团的风险穿透管理来倒逼子公司的数字化风险管理转型与升级，并进一步夯实金控公司风险管理的基石。加强以客户为中心的数据管理机制建设，梳理存量业务数据，规范数据治理、提升数据质量，在保障合规以及数据安全的情况下，实现风险数据与金控公司风险管理系统的自动传输，并可能沉淀数据资产，实现数据驱动的业务与产品创新。案例九：光大集团机构风险画像系统咨询项目案例九：光大集团机构风险画像系统咨询项目光大集团是合并资产超五万亿元、业务横跨内地与香港、覆盖金融与实业领域的全牌照国有大型综合金融控股集团。为提升集团与子公司的全面风险管控能力，光大集团于2021年启动机构风险画像系统咨询项目。光大集团由于旗下子公司数量大、层级多、业务类型多且横跨多种金融和实业业态，集团的全面风险管理面临复杂性和艰巨性。对此，普华永道协助集团通过业务板块化、子公司风险类型差异化、子公司风险评估精细化三大维度的设计入手，为实现风险画像的全面性、灵活性及前瞻性奠定基础，进而通过搭建有效的风险评估模型、构建风险标签库并设计风险评估展示方案，使风险画像真正做到管用、好用。机构风险画像系统的构建，有效促进了光大集团内部风险语言统一，形成了业务板块化风险管理机制，帮助集团与子公司完善大类风险监测与评估机制，成为集团及子公司风险管理的关键抓手。金控公司全面风险管理研究白皮书44案例十：案例十：中航中航产融数字化转型规划产融数字化转型规划中航产融持有信托、证券、保险、融资租赁、期货、资管、产业基金等牌照。该企业将数字化列入战略高度，成立数字化转型委员会推进转型规划和实施工作。普华永道作为该客户的数字化转型服务的战略合作伙伴，协助其通过赋能产融转型发展，提升数字化建设能力，实现“三新三化”（新体验、新产融、新管控、中台化、敏捷化、智能化）的业务及技术目标。普华永道协助该客户制定了“四横六纵”数字化蓝图。 “四横”分别通过客户中台、风控中台、投资中台、数据中台，“六纵”分别通过经营分析系统、人力资源系统、财务管理系统、云上办公系统、数字化审计系统和法律合规系统等实现管理赋能。按照普华永道的设计，该金控数字化转型实施路径共分三阶段，第一阶段目标为夯实基础和数据贯通，第二阶段目标为管控赋能和全面建设，第三阶段目标为建立生态和智能升级。案例十一：某银行集团直属机构案例十一：某银行集团直属机构风险管控与监测预警平台建设风险管控与监测预警平台建设某领先股份制银行集团下属机构包括信托、理财、公募基金、金融租赁和金融科技等业态。普华永道协助该银行集团满足国资委对出资人的履职及金融监管的并表管理要求，实现对下属非银机构高质量发展与稳健经营的管控，通过引入针对不同金融业态的经营、财务、风险、绩效、并表等贯穿多个管理维度的指标体系及经营分析工具，以预警监测为管理抓手，建立数据与系统平台，达到对直属机构资本、收益与风险的综合管理目的，并为集团未来对标金控管理模式，实现穿透式垂直管控打好管理基础。7. 金控公司风险管理体系演进策略建议7. 金控公司风险管理体系演进策略建议金控公司全面风险管理研究白皮书467.1. 策略一：谋定而后动整体规划，分步实施考虑到金控公司的风险管理特性和难度，风险管理体系建设是一项需要从金控公司层面统筹规划，并且由总部至各下属机构长期持续性推进建设的工作。金控公司应基于自身资源禀赋，对金控和各下属机构的风险管理进行前瞻性谋划，旨在搭建与公司业务发展战略与经营情况相适应、符合金控公司和下属机构管理需求和实际情况的风险管理体系。考虑到金控公司当前在风险管理体系建设过程中的诸多难点，可通过明确总体目标定位与分阶段实施目标，采取分步式实施方案，分为短、中、长三阶段，推动总体目标实现：短期：短期：夯实管理基础、实现外规内化。以内部管控要求为核心，以监管合规为底线，进一步夯实现有管理基础，补齐部分重点风险和领域的管理短板，形成“组织健全、政策全面、流程有效”的风险闭环管理。中期：中期：提升精细化管理水平，强化价值保护。提升风险管理的战略高度，从战略视角审视风险管理价值定位，推动风险管理角色定位转变。提升精细化风险管理水平，夯实风险分层分类管控体系，健全风险集中统筹管理与协同合作，优化金控公司与附属机构之间的目标传导与管控机制，同步推进风险管理信息化建设。长期：长期：实现风控智能化，强化价值创造。建立风险计量方法和计量模型的应用实施，提升风险计量的准确程度和精细程度。加强金融科技与风险技术的整合应用，深度挖掘风险管理信息系统应用场景，提升风险分析的精准度，实现风险管理前置并与业务相融合，打造更为智能化的、量化的、主动型的风险管理能力。案例十二：中信集团全面风险管理体系建设规划案例十二：中信集团全面风险管理体系建设规划2020年，中信集团充分调研、科学规划，以监管要求为底线，以集团“十四五”规划为纲领，制定了中信集团全面风险管理体系建设的行动方案，明确总体目标、工作方案、实施路径、管理机制，以公司治理为基础，从组织、政策、流程、技术、文化等五大维度，全方位、分阶段、立体化，多举措推进全面风险管理体系建设工作。并且要求在2021年3月末、6月末、12月末分阶段达到“具备初形”、“初见成效“、“发挥实效“的工作目标，工作内容包括不限于治理架构完善、政策制度修订、流程体系优化、技术工具的上线以及文化体系的建设等。2021年，中信集团进一步制定集团风险战略，以“围绕三个核心、打造三个平台，做好六个强化”为重点方向，统筹安排、整体部署全面风险管理体系建设工作，系统划分风险战略框架实施的三个阶段。第一阶段：2021-2022年为建设行动年，在组织、政策、流程、技术、文化五个方面，按照“金融先行、实业跟进”的工作安排，完成集团全面风险管理体系建设。第二阶段：2023-2024年为提升巩固年，结合国家政策、监管要求、集团发展的变化，有针对性的持续完善全面风险管理体系。第三阶段：2025年为全面深化年，从第五年起进入体系深化阶段，力求达到治理高效、政策齐备、技术先进、管理有效的目标。14金控公司全面风险管理研究白皮书47全面风险管理框架全面风险管理框架风险数字化集中并表风险数字化集中并表智能化风险智能化风险对标办法要求，建立金控平台风险管理体系，完善组织架构，制度体系，流程机制等；统一框架下各直属企业完善自身风控体系。实现资本层面的各类风险并表管理；实现并表风险的量化计量和监测分析；实现统一风险偏好目标、统一授信协调、统一风险管理工具等。实现各直属企业风险要素的数字化存储和对接；建立资本风险数据集市，统一管理风险基础数据；基于基础数据的积累和引入外部数据，通过机器学习、大数据分析等实现智能化风控，提升风险预判和预警能力。第一阶段第一阶段（2020-2021）第二阶段第二阶段（2022-2023）第三阶段第三阶段（2024-2025）标准化标准化集中化集中化智能化智能化案例十三：中粮资本案例十三：中粮资本“三步走三步走”风险管理体系建设规划风险管理体系建设规划中粮资本下属企业包含信托、保险、期货、产业基金、商业保理等不同业态，接受不同监管部门的监督，业务特点和风险特征各不相同，需要有统一的风控系统平台提供有力保障和重要抓手，提高风险管理工作效率，加强风险监测预警能力。中粮资本按照标准化、集中化、智能化三步走的规划，逐步完善智能化风控体系建设。金控公司全面风险管理研究白皮书487.2. 策略二：谋准而先行单点突破，精准发力一方面，由于各金控公司前期风险管理资源投入的差异，可能存在风险管理技术限制、风险管理系统建设滞后、风险管理专业人才不足等诸多不同痛点；另一方面，金控公司在分析其面临的总体风险轮廓后，将总结出其在风险管理体系建设过程中面临的重点和关键举措，对于面临的各类风险及其机制建设进行排序。金控公司根据以上两方面考虑因素，可从自身在现阶段面临的关键痛点进行精准发力，在实现局部突破之后再考虑逐步延伸。抓关键问题：抓关键问题：风险管理模型及工具精细化程度不够，是金控公司面临的主要风险管理技术难点。金控公司可以先从关键性的技术入手，找到管理抓手，实现金控公司对子公司的有效管控。譬如，普华永道曾协助某金控公司单点突破风险偏好体系的技术方案，实现从金控公司到子公司的风险容忍度和限额指标传导，并嵌入业务预算工作，从而可以通过风险偏好实现对子公司的有效管控。抓重点风险：抓重点风险：围绕关键风险领域开展端到端的风险管理，优化专项风险管理工具，强化专项风险管理人才建设，提升管控能力。譬如，部分金控公司从投资端的大额风险暴露和重要的单一交易对手入手，抓住当前管理层最关注的风险，通过精准投入来体现管理效果，以较低成本短期内实现明显成果，在达成风险管理工作实效的同时积累风险管理体系建设经验，并给予管理层开展进一步变革的信心和依据。14案例十案例十四四：某大型金综合融集团风险管理体系建设从：某大型金综合融集团风险管理体系建设从1.0到到3.0的进阶的进阶某大型综合金融集团旗下牌照齐全，在集团风险管控和智能风控平台等领域堪称行业标杆。早在10年前，普华永道就协助其基于“急用先行”的原则，以某风险事件为契机，快速构建了投资风险数据平台，实现了投资资产的并表风险分析与管理，之后逐步推动重大交易对手信用风险管理，行业集中度管理以及集团统一信评工作，再逐步扩展到操作风险和流动性风险等。历时3年基本打造了其1.0版本的全面风险管理体系和平台，并在之后逐步整合和升级到2.0以及3.0版本。金控公司全面风险管理研究白皮书492012-20141.0 重点领域突破重点领域突破2015-20172.0 全面风险管理全面风险管理2018-20223.0 智能化赋能智能化赋能总体特点总体特点建立了较全面的风险管理制度，并选择市场风险、市场风险、信用风险信用风险作为重点突破重点突破领域，纳入并表管理建立ERM全面风险管理全面风险管理体系体系（后续发展为“251”体系），实现各风险类别的打通，防范风险传染以大数据平台及风险数据集市为基础，结合鼓励试鼓励试错错机制，建立大量AI工具，实现“管控”向“赋能”“管控”向“赋能”的转变的转变数据基础数据基础分散建设：分散建设：无统一数据平台，各平台均为临时按需取数构建构建GBD（大数据平台）（大数据平台）构建风险数据集市（地构建风险数据集市（地基），基），打通风险、合规、内控数据风险工具风险工具起点：以风险事件为契机，构建投资风险数据平台后续推进：核心交易对手汇总管理、信用风险管理、集团统一信评各类风险持续优化管理工具，如：2014-2018 建立操作风险平台（分四期）伴随偿二代监管要求，完善风险偏好设计智风控平台iRisk，建立40余个AI工具：资产全景扫描对公客户风险画像智慧合规统一风险看板子公司子公司数据数据持续开展数据治理：银行、证券、基金公司数据基础较好，保险一般，信托、租赁较差组织架构组织架构总部设立内控中心负责风险管理工作，下设合规部、风险管理部、稽核监察部3个部门图图23：某大型金融集团风险管理体系建设进阶：某大型金融集团风险管理体系建设进阶8. 结束语金控公司全面风险管理研究白皮书518. 结束语随着首批金控公司牌照的落地，相关审批标准和程序已经相对清晰，金控公司设立和批准进程将会进一步加速。金控办法对于资本管理、并表管理、关联交易、全面风险管理、大额风险暴露管理等领域设定了原则性要求和基本规范。普华永道预计，在审慎研究和试行相应的监管规定后，有关部门将进一步推出管理细则并要求落实执行。为了顺应未来监管趋势，在战略转型和市场竞争中占得先机，普华永道建议，有意申请金控牌照的机构，平台型、多业态金融集团，以及需要开展并表管理的银行及保险集团等机构，应尽早做好战略选择和发展规划，理顺治理架构，围绕着“管控、协同和赋能”的不同主题，利用数字化思维和方式，逐步建立并完善管理机制和能力体系。普华永道愿与行业一起携手，为金控公司的扬帆远航献计献策，贡献绵薄之力。联系我们张立钧张立钧普华永道中国金融业主管合伙人+86 (755) 8261 8882james.changcn.pwc.com陈静陈静普华永道中国国企业务主管合伙人+86 (10) 6533 2067jim.chencn.pwc.com王建平王建平普华永道中国金融业管理咨询主管合伙人+86 (21) 2323 5682jianping.j.wangcn.pwc.com周瑾周瑾普华永道中国金融业管理咨询合伙人+86 (10) 6533 5464jimi.zhoucn.pwc.com范勇敏范勇敏普华永道中国金融业管理咨询总监+86 (21) 2323 3615peter.y.fancn.pwc.com李楠李楠普华永道中国金融业管理咨询总监+86 (10) 6533 7899nan.a.licn.pwc.com金控公司全面风险管理研究白皮书52本文仅为提供一般性信息之目的，不应用于替代专业咨询者提供的咨询意见。 2022 普华永道。版权所有。普华永道系指普华永道网络及/或普华永道网络中各自独立的成员机构。详情请进入www.pwc.com/structure。致谢特别致谢：特别致谢：中国中信集团有限公司中国中信金融控股有限公司案例支持机构：案例支持机构：中国中信集团有限公司中国光大集团股份公司中航工业产融控股股份有限公司中粮资本投资有限公司申能（集团）有限公司能源金融事业部调研支持机构：调研支持机构：共有22家金控公司反馈了调研问卷。但因反馈为匿名方式，故无法逐一致谢。