《公司全面风险管理指引》[5篇范例]

第一篇：《公司全面风险管理指引》

关于下发《公司全面风险管理指引（暂行）》的通知

各单位、机关各部室：

为加强风险管理工作，建立规范、有效的风险管理和内部控制体系，提高经营管理水平和风险防范能力，促进公司总体战略和经营目标的实现，特制定《有限公司全面风险管理指引（暂行）》，现予以下发，请遵照执行。

公司全面风险管理指引

（暂行）

第一章 总 则

第一条 为加强公司有限公司（以下简称“公司”）风险管理工作，建立规范、有效的风险管理和内部控制体系，提高经营管理水平和风险防范能力，促进公司总体战略和经营目标的实现，根据《中央企业全面风险管理指引》、《企业内部控制基本规范》、《企业内部控制应用指引》、《企业内部控制评价指引》、《风险管理—原则与指南》及其他有关法律、法规和规范性文件，结合公司实际制定本指引。

第二条 本指引适用于公司及所属分公司、全资子公司、控股子公司、重要的联营合营企业、相关的事业单位（以下简称“经营单位”），其他企业参照执行。

第三条 本指引是基于现阶段公司风险管理实际情况，并借鉴国内先进企业风险管理理念与经验，通过阶段性建设不断提升公司风险管理水平。本指引为现阶段公司风险管理工作实施的暂行文件。

第四条 本指引所称风险是指未来的不确定性对公司实现战略和经营目标的影响。公司风险包括：战略风险、运营风险、财务风险、市场风险和法律风险等。

第五条 本指引所指风险包括纯粹风险和机会风险。纯粹风险指仅能带来损失的风险，公司应积极采取控制、规避和转移纯粹风险，避免损失或降低纯粹风险的影响程度。机

会风险是指可能带来损失或收益的风险，公司应积极应对、承担进而驾驭机会风险，减少损失并获取超额收益。

第六条 本指引所称全面风险管理是指公司围绕总体战略和经营目标，通过在经营管理的各个环节和过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。全面风险管理包含内部控制。

第七条 本指引所称的内部控制是指围绕公司发展战略及经营目标，全员参与实施，通过对目标实现过程的控制及有关机制、制度、流程等进行的持续优化、科学管理，以实现公司经营管理合法合规、资产安全、财务报告及相关信息真实完整、不断提升公司经营管理绩效和风险防范能力的过程。

第二章 风险管理目标和原则

第八条 公司全面风险管理的目标是保障经营管理的有效性，降低实现战略目标的不确定性，通过减少损失和危害创造价值。

按照智能风险管理理念，风险管理能力一般可分为无意识型、松散型、自上而下型、系统型和智能型。公司现阶段致力于自上而下建立健全全面风险管理体系，阶段性目标是按照ISO31000:2009标准，通过两至三年时间建设完成系统型风险管理体系框架，至2020年建设成为先进的智能型风险管理体系，将风险管理打造成为公司核心竞争力之一。

第九条 根据公司战略规划和经营目标，全面风险管理遵循如下原则：

（一）全面性原则。风险管理应当贯穿决策、执行和监督全过程，覆盖公司及各经营单位的各种风险。

（二）重要性原则。风险管理应当在全面管理的基础上，关注重大风险，实施重点管理。

（三）适应性原则。风险管理应当与公司经营实际情况相适应，并随着情况的变化持续调整改进。

（四）制衡性原则。风险管理应当在治理结构、机构设臵及权责分配、业务流程等方面形成相互制约、相互监督。

（五）协同性原则。风险管理应当“自上而下，自下而上，上下结合，左右互动，形成合力”，由公司各职能部门、业务板块和经营单位应相互配合、协同合作、流程顺畅、保障效率，取得实效。

（六）主体责任原则。风险管理应当明确主体责任，各职能部门、业务板块和经营单位在各自经营管理范围内承担风险管理责任，即“谁负责损益，谁管理风险；谁履行职能，谁管理风险”。

（七）成本效益原则。风险管理应当权衡风险管理成本与经营效益，以适当的成本实现有效风险管理。

（八）循序渐进原则。风险管理应当针对现阶段薄弱环节，选取有代表性的经营单位试点开展，并逐步在公司范围内推广。

第三章 风险管理组织体系

第十条 公司全面风险管理的组织体系包括董事会、风险控制委员会、风险控制部、各职能部门、各业务板块、各经营单位和审计管理中心。

第十一条 公司风险管理由三道防线构成，公司各职能部门、业务板块和经营单位为第一道防线；风险控制部和风险控制委员会为第二道防线；审计管理中心为第三道防线。

第十二条 董事会是公司全面风险管理工作的领导机构，其在风险管理方面的职责包括：

（一）批准公司年度全面风险管理报告；

（二）确定公司风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理应对方案；

（三）了解和掌握公司面临的各项重大风险及其风险管理现状，做出有效控制风险的决策，批准重大风险的评估报告；

（四）批准公司风险管理与内部控制组织机构设臵及其职责方案；

（五）批准审计部门或机构提交的风险管理监督评价报告、内部控制评价报告；

（六）督导公司风险管理文化的培育；

（七）批准全面风险管理的其他重大事项。

第十三条 风险控制委员会是公司董事会设立的风险管理专门机构，在董事会授权范围内行使以下职责：

（一）审议公司全面风险管理报告；

（二）审议风险管理策略和重大风险管理应对方案；

（三）审议重大风险的评估报告；

（四）审议公司风险管理与内部控制组织机构设臵及其职责方案；

（五）审议审计部门提交的风险管理监督评价报告、内部控制评价报告；

（六）在董事会授权下审批风险管理与内部控制制度；

（七）办理董事会授权的有关风险管理的其他事项。第十四条 风险控制部是公司全面风险管理工作的主管部门，是公司的风险策略研究中心、风险决策支持中心、风险预警监测中心、风险管理报告中心、风险管理协调中心。

风险控制部主要履行以下职责：

（一）研究提出公司全面风险管理报告；

（二）研究提出风险管理与内部控制制度、流程并监督实施；

（三）研究提出风险管理策略和重大风险管理应对方案，并负责组织实施方案和日常监控风险；

（四）研究提出重大风险的评估报告；

（五）负责对全面风险管理有效性的评估，研究提出风险管理与内部控制的改进方案；

（六）负责组织建立风险管理信息系统；

（七）负责协调、指导、监督有关职能部门、业务板块和各经营单位开展风险管理与内部控制工作；

（八）风险管理人员资质管理；

（九）办理与风险管理和内部控制有关的其他工作。

第十五条 公司其他职能部门在全面风险管理工作中，应接受风险控制部的协调、指导和监督。风险控制部监督各职能部门履行风险管理职能，侧重于风险管理制度和流程执行情况，并不介入和替代其具体管理工作。

各职能部门主要履行以下职责：

（一）执行公司风险管理原则与流程，依据本部门职能对具体风险进行管理；

（二）研究提出本部门的风险管理报告；

（三）做好本部门的内部控制流程、制度的编写及内部控制自我评价工作；

（四）做好本部门与风险管理信息系统相关工作；

（五）做好本部门风险管理文化建设工作；

（六）办理风险管理其他有关工作。

第十六条 公司各职能部门应设立风险管理、内部控制管理岗位。

第十七条 公司各经营单位负责本单位的全面风险管理工作，建立符合自身特点的风险管理与内部控制组织体系，并接受公司风险控制部的指导与监督。

第十八条 各经营单位负责人为风险管理与内部控制第一责任人。各经营单位应由总经理或总经理委托的高级管理人员负责主持全面风险管理的日常工作。

第十九条 各经营单位应确定相关职能部门履行全面风险管理与内部控制职责；如根据实际情况需设立专职风险管理部门，应符合公司相关要求。未设立专职风险管理部门的

单位应设臵专门的风险管理与内部控制管理岗位。

第二十条 公司审计管理中心负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价报告。

审计管理中心负责公司内部控制评价工作，出具内部控制评价报告。

第二十一条 风险管理与内部控制管理岗位任职人员应具备风险管理专业能力。风险控制部负责通过培训、考核等方式，建立风险管理人员资质管理制度，提高风险管理队伍人员素质。

第四章 风险管理流程

第二十二条 风险管理流程包括：风险管理信息收集、风险评估、风险管理策略制定、风险管理解决方案和风险管理监督与改进。

第二十三条 公司各职能部门、业务板块和经营单位应广泛、持续不断地收集与风险和风险管理相关的内部、外部信息，包括历史数据和未来预测。

第二十四条 公司各职能部门、业务板块和经营单位应对收集的初始信息进行必要的筛选、提炼、对比、分类、组合，以便进行风险评估。

第二十五条 风险评估包括风险识别、风险分析、风险评价三个步骤。

风险识别是指查找各项重要经营活动及业务流程中是

否存在风险，存在哪些风险。

风险分析是对识别出的风险及其特征进行明确的定义描述，分析风险发生可能性的高低、风险发生的条件。

风险评价是评估风险的影响程度、风险的价值等。第二十六条 风险评估应根据风险特点，将定性与定量方法相结合。

定性方法可采用问卷调查、集体讨论、专家咨询、情景分析、政策分析、行业标杆比较、管理层访谈和调查研究等。

定量方法可采用统计推论、计算机模拟、失效模式与影响分析、事件树分析等。

第二十七条 风险控制部负责全面评估公司风险，建立公司风险数据库和风险矩阵。风险数据库实行动态管理，每年度更新维护。风险数据库的内容包括风险点、风险产生原因、风险发生后果、风险发生可能性及影响程度等。

第二十八条 各职能部门、业务板块和经营单位负责评估自身风险，建立风险数据库，每年度更新维护，并向风险控制部报送评估结果。

第二十九条 风险控制部每年至少进行一次风险问卷调查，调查范围应覆盖公司管理层、各职能部门和各经营单位负责人。调查内容应包含风险发生可能性和影响程度，并针对不同的调查对象设臵相应的权重。

第三十条 公司整体或重大项目的风险评估，经批准可聘请有资质、信誉好、风险管理专业能力强的中介机构协助实施。

第三十一条 公司应根据自身条件和外部环境，围绕公司发展战略，逐步根据不同业务特点确定风险偏好、风险承受度，明确风险的最低限度和最高限度，并据此确定风险的预警线及相应采取的对策。

第三十二条 公司和经营单位应建立风险监测预警体系，设定监测指标和监测预警值，并定期监测。监测指标应为定量化指标，并覆盖各类重大风险。监测预警值应采取行业标杆比较、行业绩效对标、历史数据法、预算值法、行业监管值法等方式确定。

第三十三条 公司应结合实际情况，选取试点单位，适时引入风险预算机制。

第三十四条 公司风险管理应选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的方法。

第三十五条 公司应根据风险与收益相平衡的原则以及各类风险在风险矩阵中的位臵，进一步确定风险管理的优选顺序，明确风险管理成本的资金预算和控制风险的组织体系、人力资源、应对措施等总体安排。

第三十六条 公司应根据风险管理策略，制定风险管理解决方案。方案应包括风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施以及风险管理工具。公司各职能部门、业务板块和经营单位应按照职责分工，认真组织实施风险管理解决方案，确保各项措施落实

到位。

第三十七条 各经营单位按要求每季度编制风险管理报告，向风险控制部报送并同时抄报其主管部门。风险控制部可根据风险管理实际需求，要求经营单位每月度编制风险管理报告。

第三十八条 各职能部门按要求每季度编制风险管理报告，并向风险控制部报送。

第三十九条 风险控制部负责每季度编制公司风险管理报告，并向风险控制委员会报送。公司年度全面风险管理报告经风险控制委员会审议后，报董事会批准。

第四十条 风险管理报告内容应包括风险管理工作完成情况、风险评估情况、重大风险管理情况、风险监测预警情况、风险管理工作安排和风险管理建议等。

第四十一条 各职能部门、业务板块和经营单位对重大风险事项应及时形成风险管理报告，并向风险控制部、风险控制委员会报送。

第四十二条 公司应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险管理初始信息、风险评估、风险管理策略、关键控制活动及风险管理解决方案的实施情况进行监督，根据变化情况和存在的缺陷及时加以改进。

第四十三条 各职能部门、业务板块和经营单位应结合年度经营计划和工作计划提出风险管理工作计划、目标和实施措施。

第四十四条 风险控制部根据实际需要对各职能部门和

经营单位风险管理工作实施情况和有效性进行抽查和检验，对风险管理策略进行评估，对各职能部门和经营单位的风险管理解决方案进行评价，提出调整或改进建议。

第四十五条 审计管理中心应对包括风险控制部门在内的各职能部门和经营单位能否按照有关规定开展风险管理工作及其工作效果进行监督评价，监督评价报告应直接报送风险控制委员会。

第四十六条 各职能部门、业务板块和经营单位的风险管理执行情况应适时与绩效薪酬挂钩。各经营单位风险管理工作完成情况，应纳入公司“五型”企业评比体系。

第五章 内部控制管理

第四十七条 公司及各经营单位应建立并完善内部控制制度。各单位应依据相关法律法规与公司内部控制制度，结合本单位实际情况，制定相关内部控制管理制度。

第四十八条 公司及各经营单位应依据相关制度，结合本单位实际情况，制定并完善《内控管理手册》。《内控管理手册》包括内部控制制度、流程等，《内控管理手册》至少每年度维护更新一次。

第四十九条 各经营单位应每年度至少组织实施一次内部控制自我评价，形成本单位内部评价并报送风险控制部。

第五十条 内部控制评价，是指对内部控制的有效性进

行全面评价、形成评价结论、出具评价报告的过程。

第五十一条 内部控制评价包括各单位自我评价、公司评价和外部评价。

（一）各单位自我评价由本单位内部控制或风险管理机构组织实施。

（二）公司评价由审计管理中心组织实施。

（三）外部评价由公司或各单位聘请外部机构组织实施。第五十二条 内部控制评价程序包括：制定评价工作方案、组成评价工作组、实施现场测试、认定控制缺陷、汇总评价结果、编报评价报告等环节。

第五十三条 内控评价应围绕内部环境、风险评估、控制活动、信息与沟通、内部监督五要素，确定核心指标和评价标准。

（一）内部环境评价，应当对内部环境的设计及实际运行情况进行认定和评价。

（二）风险评估机制评价，应当对日常经营管理过程中的风险识别、风险分析、应对策略等进行认定和评价。

（三）控制活动评价，应当对相关控制措施的设计和运行情况进行认定和评价。

（四）信息与沟通评价，应当对信息收集、处理和传递的及时性、反舞弊机制的健全性、财务报告的真实性、信息系统的安全性，以及利用信息系统实施内部控制的有效性等进行认定和评价。

（五）内部监督评价，应当对内部监督机制的有效性进

行认定和评价，重点关注监事会、审计委员会、内部审计机构等是否在内部控制设计和运行中有效发挥监督作用。

第五十四条 公司及各经营单位应对内部控制评价与监督过程中发现的内部控制缺陷的性质及产生原因进行分析，并制定相应的措施进行整改。

第五十五条 公司应当建立内部控制实施的激励约束机制，将各单位和全体员工实施内部控制的情况纳入绩效考评体系，按照《公司内控建设管理考核办法》等制度执行，促进内部控制的有效实施。

第六章 风险管理信息系统

第五十六条 风险管理信息系统是全面风险管理体系的重要组成部分。公司应建立涵盖风险管理基本流程和内部控制各环节的风险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等。

第五十七条 公司各职能部门、业务板块和经营单位应确保向风险管理信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性。对输入信息系统的数据，未经批准，不得更改。

第五十八条 信息化管理部门负责风险管理信息系统的建设管理及运行维护过程中的软硬件配臵管理、网络安全等技术管理工作。

第五十九条 公司应在整合现有管理信息系统的基础上，通过补充、调整、更新管理流程和管理程序，建立完善的风险管理信息系统。

第七章 风险管理文化

第六十条 公司应建立具有风险意识的企业文化，促进企业风险管理水平、员工风险管理素质的提升，保障企业风险管理目标的实现。

第六十一条 风险管理文化建设应融入企业文化建设全过程。大力培育和塑造良好的风险管理文化，树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进企业建立系统、规范、高效的风险管理机制。

第六十二条 公司全体员工应努力传播企业风险管理文化，牢固树立风险无处不在、风险无时不在、岗位风险管理责任重大等意识和理念，严格防控纯粹风险、审慎处臵机会风险。

第六十三条 风险控制部负责公司的风险管理文化建设工作，组织各职能部门与经营单位采取多种途径和形式，加强对风险管理理念、知识、流程的培训，培养风险管理人才，培育风险管理文化。

第八章 附则

第六十四条 公司所属各经营单位应依据本指引，结合各自实际情况，制定风险管理制度、流程和手册，并向公司

风险控制部报备。

第六十五条 公司授权风险控制部负责解释本指引，并制定相关管理办法、实施细则及手册。

第六十六条 本办法自发布之日起执行。

第二篇：企业集团财务公司全面风险管理指引

企业集团财务公司全面风险管理指引

第一条 为促进企业集团财务公司构建全面风险管理体系,提升企业集团财务公司风险管理水平，依据《中华人民共和国银行业监督管理法》、《企业集团财务公司管理办法》、《商业银行内部控制指引》、《中央企业全面风险管理指引》、《企业内部控制基本规范》及其他相关法律法规，制定本指引。

第二条 本指引适用于在中华人民共和国境内依法设立的企业集团财务公司（以下简称“财务公司”）。

第三条 本指引所称风险是指未来的不确定性对财务公司实现其经营目标的影响。

依据银行业风险分类框架，本指引所涉及财务公司的风险一般包括信用风险、市场风险、操作风险、流动性风险、战略风险、声誉风险及国家风险。

第四条 本指引所称全面风险管理是指财务公司围绕总体经营目标，通过运用适合的风险管理方法，实施风险管理的基本流程，培育良好的风险管理文化，建立健全风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。

本指引所称的内部控制是指通过执行风险管理基本流程，对所从事业务管理活动的风险通过制定和实施一系列制度、程序和措施进行事前防范、事中控制、事后监督和纠正的一种机制。内部控制应遵循全面、审慎、有效、独立的原则。

全面风险管理涵盖内部控制，内部控制是风险管理不可分割的部分，是风险管理的重要方法和手段。

第五条 财务公司应根据风险管理整体目标，建立针对不同类型风险的风险管理体系，体系应包括以下基本要素：风险管理组织架构；风险管理政策、策略和程序；风险识别、计量、监测和控制；监督与评价机制；危机处理机制。

信用风险、市场风险、操作风险、流动性风险管理体系是财务公司全面风险管理体系的主要组成部分，本指引将在分则部分分别阐述信用风险、市场风险、操作风险、流动性风险的风险管理体系框架。

第六条 财务公司应通过实施全面风险管理实现以下目标： 1.确保遵守有关法律法规；

2.确保将风险控制在与总体目标相适应并可承受的范围内；

3.确保财务报告和管理信息的真实、可靠、完整；

4.实现“经风险调整的收益最大化”的经营管理模式转变,确保风险、成本与收益相匹配，并服务于企业集团整体利益最大化； 5.提高财务公司危机处理能力，确保业务连续性； 6.提升财务公司核心竞争力。

第二节 全面风险管理政策

第七条 财务公司应结合内外部环境，依据战略目标和发展规划，制定风险管理政策。风险管理政策应与财务公司的业务性质、规模、复杂程度和风险特征相适应，与其总体业务发展战略、管理能力、资本实

力和能够承担的总体风险水平相一致，并符合银监会关于风险管理的有关要求。

第八条 财务公司应根据战略目标和业务特点，统一确定公司风险偏好。

公司风险偏好是公司在制定和实施战略目标过程中愿意承担哪些风险及不愿意承担哪些风险。财务公司风险偏好可以分为风险进取型、稳健型、保守型、厌恶型等类型。

在确立公司风险偏好时，应考虑公司战略、风险与收益的关系、关键利益相关者的期望、目标的优先级、管理层的领导风格等因素。财务公司可用风险坐标图表述风险偏好。

风险偏好的边界是风险承受度，是财务公司能够承担风险的限度。财务公司应明确风险损失不能超过的最高限度，并据此确定风险的预警线及所应采取的对策。财务公司风险承受度是由其资本规模、经营能力和风险管理能力等因素决定的。

第九条 财务公司应根据风险管理目标，针对不同类型风险的属性特征，采取风险分散、风险对冲、风险转移、风险规避、风险补偿等单一策略或组合策略，并确立风险管理所需资源的配置原则。

第十条 财务公司在制定风险管理政策时，应考虑不同类型风险之间的相互关系，树立整体风险组合管理观念。在制定单一风险管理策略时，也应考虑风险组合应对措施。

第十一条 财务公司应按照银监会关于资本管理的要求，为所承担的各项风险提取充足的资本，持续监测风险对资本充足水平的影响，制

定维持适当资本充足水平的利润分配制度和资本补充计划。在资本不足时有切实可行的应急安排。

财务公司可逐步引入经济资本管理理念，按实际风险水平配置经济资本、进行业绩考核，在全公司和业务经营部门等各个层次上达到风险和盈利的适当平衡。

第三节 风险管理组织架构

第十二条 财务公司应建立良好的公司治理结构，健全风险管理组织体系，明确董事会、高级管理层、风险管理部门、内部审计部门以及其他业务与管理部门在实施风险管理中的职责。

第十三条 董事会是财务公司风险管理的最高决策机构，对风险管理的有效性向股东会负责，主要履行以下职责：

1.确定公司风险管理总体目标、政策；

2.批准公司风险管理报告，定期获得关于风险水平和管理状况的报告；

3．批准审计委员会或内部审计部门提交的关于风险管理有效性评价的报告；

4.了解和掌握公司面临的重大风险及其风险管理现状，做出有效控制风险的决策；

5.决定公司风险管理和内部控制基本制度；

6.监督高级管理层对各项风险进行适当管理, 确保其采取必要的措施有效地识别、计量、监测与控制风险；

7.督导公司风险管理文化的培育。

第十四条 财务公司应在董事会下设立风险管理委员会。委员应由熟悉公司主要业务流程或具备风险管理经验的董事、外部专家或其他人员担任。

风险管理委员会在董事会的授权下，主要履行以下职责： 1.审议公司风险管理总体目标、政策；

2.审议公司风险管理报告，获得关于风险水平和管理状况的报告； 3.审议公司重要业务的风险管理方案和重大风险管理应对策略； 4.审议公司风险管理组织机构设置及其职责方案； 5.审议公司风险管理和内部控制基本制度； 6.董事会授权的其他风险管理事宜。

第十五条 财务公司高级管理层对风险管理工作的有效性向董事会负责，主要履行以下职责：

1.根据董事会确定的风险管理战略及政策，负责制定风险管理的策略、程序和方法，定期审查并监督执行，全面掌握公司风险管理状况，定期向董事会提交风险管理报告；

2.明确各部门风险管理职责以及风险管理报告的路径、频率、内容，督促各部门切实履行风险管理职责，以确保风险管理体系的正常运行； 3.为风险管理配备适当的资源，包括但不限于提供必要的经费、设置必要的岗位、配备合格的人员、为风险管理人员提供培训、赋予风险管理人员履行职务所必需的权限等；

4.及时检查、修订并监督执行有关风险管理和内部控制制度，纠正内部控制存在的问题；

5.负责建立有效的风险管理考核评价机制。

经营管理层下设的信贷、投资、资产负债管理等专业委员会应负责各领域相关风险的管理政策、方案、措施的制定与执行控制。

第十六条 财务公司应设立独立的风险管理部门。如暂无法成立独立部门的，至少应配备风险管理专职人员，并保证其相对独立性。风险管理部门负责风险管理日常工作，主要履行以下职责： 1.研究提出风险管理政策、策略和基本流程；

2.研究提出公司风险管理体系建设方案，组织拟定和实施涵盖各项业务的风险管理制度、程序和方法；

3.组织公司开展风险识别工作，报告风险评估结果；

4.设立公司主要风险指标体系，指导相关部门进行风险监测，对风险进行提示；

5.组织制定重大风险管理方案，并协助实施；

6.研究提出公司风险管理报告；

7.分析公司风险管理体系有效性，提出改进方案；

8.协助开展公司风险管理培训，培育公司良好的风险管理文化； 9.组织协调公司全面风险管理的其他相关工作。

第十七条 财务公司各业务与管理部门是风险管理的一线部门，主要履行以下职责：

1.建立健全本部门的风险管理内部控制措施，确保各项制度、程序和方法的实施；

2.开展本部门的风险识别分析与评估计量；

3.对本部门职责范围内的风险因素及风险指标进行日常监测； 4 研究制定本部门的风险管理方案，经批准后实施； 5.重大风险发生后，及时采取措施进行危机处理；

6.对风险监测、风险事件及处理结果进行及时报告，并定期提交本部门的风险报告；

7.配合风险管理部门开展与风险管理相关的其他工作。

财务公司可在各部门设立风险管理岗位，负责履行上述风险管理职责。

第十八条 财务公司内部审计部门应对公司当年重大风险事项的管控情况，以及公司风险管理体系的完整性、有效性进行审计评价、报告并跟踪整改。

在公司风险管理体系出现重大变动或者存在严重缺陷的情况下，应扩大内部审计的范围和增加内部审计频率。

财务公司内部审计人员应具备相关的专业知识和技能，并经过相应的培训，能够充分理解风险识别、计量、监测、控制的方法和程序。

财务公司可根据需要委托社会中介机构对其风险性质、水平及风险管理体系进行审计。

第四节 风险管理基本流程

第十九条 风险管理基本流程包含风险识别与分析，风险计量与评估，风险监测与报告，风险控制与缓释。

第二十条 财务公司应在公司层面，通过系统化的方法，识别风险的种类、性质和表现形式，并对识别出的风险因素采取定性或定量的方法进行分析。

第二十一条 财务公司应针对面临的主要风险，持续收集相关内外部风险信息，包括政策法规变动、行业动态、成功或失败案例、先进风险管理技术方法等，并对初始信息进行必要的加工整理。

第二十二条 财务公司应以制度形式确定风险识别方法，建立动态的风险识别分析机制。可制作用于风险识别的统一文档、模版，并固化形成定期更新的风险清单，加以维护。

第二十三条 财务公司应根据风险偏好，制定包括风险发生可能性以及影响程度的风险判断标准，并据此进行风险评估，划分风险等级。

第二十四条 财务公司应针对不同类型的风险，选择适当的计量方法，逐步建立所需的风险计量模型。

财务公司进行风险计量，应考虑客户范围、业务特点、成本与收益的关系。

第二十五条 财务公司应根据银监会要求和自身的风险管理政策，设置关键风险指标，并明确预警值和目标值，建立风险指标体系。

财务公司应通过有效的监控手段，动态监测风险指标的异常变动，判断其是否已达到引起关注的水平或已经超过预警值。

第二十六条 财务公司应将各项风险指标的监测职责明确到风险管理一线部门，由其对风险指标的变动进行日常监测。风险管理部门进行同步监测。

第二十七条 财务公司风险管理一线部门应对相关领域的风险变化、风险事件进行监测并及时报告。

第二十八条 为保证风险管理信息在各层次得到有效传递，财务公司应建立不同频率、不同报送对象的定期、不定期风险管理报告制度。

第二十九条 财务公司各部门应按照既定的频率与要求向风险管理部门提交部门风险报告，风险管理部门负责拟定公司风险管理报告。

第三十条 根据不同的报告对象与报告频率，财务公司风险管理报告应包含以下全部或部分内容：

1.报告期间风险管理工作开展情况、各项重大风险管控状况； 2.风险评估情况及重大风险变动情况描述与分析；

3.关键风险指标变动情况分析；

4.风险事件原因分析与处理情况跟踪；

5.风险管理政策、策略、程序与方法的变动和实施情况；

6.下一报告期间风险管理工作计划；

7.下一报告期间拟对重大风险采取的管理策略、方案、措施； 8.需说明或提议的其他风险管理事项。

第三十一条 财务公司应对已经识别和计量的风险，采用适当的风险控制措施和合格的风险缓释工具进行有效管理。

第三十二条 对于风险诱因发生变化、现有控制措施不完善或已失效的情况，财务公司应根据现有控制措施及控制缺陷，提出应对改进方案。

第三十三条 财务公司在开展新业务、引入新产品、采用新技术前，应充分评估其可能产生的潜在风险影响，并制定相应风险管理措施。

第三十四条 财务公司应针对不同类型的风险制定相应的应急预案，建立风险应急机制，及时采取应急措施，降低风险损失。

第五节 风险管理信息系统

第三十五条 财务公司建设业务信息系统时，应考虑风险识别、计量、监测、控制的要求，在业务系统中融入风险管理的要素。

财务公司应将关键风险指标嵌入业务信息系统，并赋予风险管理部门履行职责的相关权限。

第三十六条 财务公司应逐步建立涵盖风险管理基本流程的风险管理信息系统。该系统应能够对各项风险进行计量与定量分析、测试；反映风险等级与变动情况；实现风险指标监测功能，对超过预警值的风险进行预警；满足风险管理报告与信息传递需要。

第三十七条 风险管理信息系统应实现与业务信息系统的有效对接，保证数据获取与各项量化值的一致性。

第三十八条 风险管理信息系统应实行权限管理，保证风险信息传递的及时性、有效性、安全性。

第三十九条 财务公司应对风险管理信息系统进行日常维护，确保其安全稳定运行，并根据风险管理工作实际需要进行改进、完善或更新。

第六节 风险管理文化

第四十条 财务公司应建立具有现代风险管理理念的企业文化，营造健康的风险管理文化氛围。

董事会应高度重视风险管理文化的培育；高级管理层负责培育风险管理文化的日常工作；董事和高级管理人员应在培育风险管理文化中起表率作用；重要管理及业务流程和风险控制点的管理人员和业务操作人员应成为培育风险管理文化的骨干，强化全员的合规经营及全面风险管理意识。

第四十一条 财务公司应采用多种途径和形式加强全员风险管理培训，提高从业人员的职业道德、业务素质和风险管理能力。

第四十二条 财务公司应建立风险问责机制，将风险管理要求融入岗位职责，并与公司薪酬、考核相结合。

财务公司绩效考核制度应体现风险管理创造价值的理念。

第七节 监督与管理

第四十三条 财务公司应按照银监会关于信息披露的有关规定，披露其风险管理政策、程序、风险状况的信息，包括但不限于财务会计、统计报表和其他报告等。

第四十四条 财务公司出现重大风险事项时，应及时向银监会或其派出机构报告。

第四十五条 对于银监会或其派出机构在监管中发现的有关风险管理问题，财务公司应在规定的时限内提交整改方案，采取整改措施并报告整改进度。

第二部分 分则

第二章 信用风险管理

第一节 定义及目标

第四十六条 信用风险是指债务人或交易对手未能履行合同约定的义务或信用质量发生变化，影响金融产品价值，从而给债权人或金融产品持有人造成经济损失的风险。

第四十七条 信用风险管理的目标是通过对信用风险进行识别、计量、监测与控制，将信用风险控制在财务公司可以承受的合理范围内，使风险和收益相匹配，并实现经风险调整后收益的最大化。

第四十八条 财务公司应依照总则与本章要求，建立与自身业务性质、规模和复杂程度相适应的信用风险管理体系，有效地识别、计量、监测与控制信用风险。

第四十九条 财务公司应建立完善的信用风险管理内部控制体系，作为财务公司整体内部控制体系的有机组成部分。信用风险管理的内部控制应有利于促进有效的业务运作，提供可靠的信息报告，促使财务公司严格遵守相关法律、行政法规、部门规章及内部的制度和程序，确保信用风险管理体系的有效运行。

第二节 信用风险管理政策

第五十条 财务公司应根据总则的相关要求制定信用风险管理政策、策略、程序和方法。

第五十一条 财务公司应针对信贷、资金、投资等不同业务的信用风险制定详细和有针对性的风险管理政策和程序，并保持相互之间的一致性。

第五十二条 财务公司应确保所有涉及信用风险的业务都按照适当的政策与程序办理，并定期、有序地进行复审。

第五十三条 财务公司应对信用风险实施限额管理。

在确定单一客户风险限额时，应考虑客户的最高债务承受能力、在其他金融机构的原有授信以及财务公司的风险承受能力。

在确定集团客户风险限额时，应考虑与该集团的整体合作战略、该集团各成员单位的单一客户风险限额。集团整体风险限额应不超过成员单位的风险限额之和。

除对客户实施限额管理外，财务公司还可针对行业、区域和资产组合实施限额管理，以有效分散信用风险，降低信用风险集中度。

第五十四条 财务公司应积极采取措施预见各种信用风险定性或定量方面的变化。当已经明显预见到风险损失的时候，在会计准则允许的范围内，财务公司应及时、足额计提资产减值准备。

第五十五条 财务公司应指定专门部门或人员负责信用风险管理工作，明确职责权限。负责信用风险管理的部门或人员应与承担风险的业务经营部门保持相对独立。

第五十六条 财务公司实施信用风险管理，应考虑信用风险与其他风险的相关性，并协调信用风险管理与其他风险管理的政策和程序。

第三节 授信业务信用风险管理基本流程

第五十七条 财务公司的授信业务是指财务公司向客户直接提供资金，或者对客户在有关经济活动中可能产生的赔偿、支付责任做出的保证。包括贷款、项目融资、贴现、透支、保理等表内授信；以及贷款承诺、保证等表外授信。

第五十八条 财务公司应根据不同授信品种的特点，对客户申请的授信业务进行分析评价，重点关注可能影响授信安全的因素，有效识别风险。重点识别与分析以下内容：

1.客户财务状况、影响因素及变化趋势；

2.客户非财务状况，包括公司治理、管理层素质、履约记录、生产装备和技术能力、产品和市场、行业特点以及宏观经济环境等；

3.授信用途的合法性、合规性、合理性；

4.保证人的主体资格和代偿能力，以及抵押、质押的合法性、充分性和可实现性。

第五十九条 财务公司应对客户的信用风险进行计量和评估。可逐步建立信用风险内部评级体系，分别进行客户评级和债项评级，并辅以压力测试、情景分析等方法前瞻性地分析财务公司不同条件下的信用风险状况。

第六十条 在客户信用评级及授信有效期内，发生影响客户资信的重大事项，财务公司应按内部信贷政策的要求，对客户重新进行信用评级。重大事项包括：

1.外部政策和市场环境变化；

2.客户组织结构、股权或公司高级管理人员发生变动； 3.客户的对外担保超过所设定的担保警戒线； 4.客户财务收支能力发生重大变化； 5.客户涉及重大诉讼；

6.客户在其他金融机构交叉违约的历史记录；

7.其他。

第六十一条 财务公司应对所有可能影响信用风险变动的因素进行持续性监测，并形成相应的记录。重点监测以下内容：

1.客户是否按约定用途使用授信，是否诚实地全面履行合同； 2.授信项目是否正常进行； 3.客户的法律地位是否发生变化； 4.客户的财务状况及变动趋势； 5.授信的偿还情况；

6.抵质押品的质量、以及市值的变动情况； 7.保证人信用状况及代偿能力变化情况。

第六十二条 财务公司应向董事会、高级管理层和其他管理人员提供信用风险报告。报告应包括以下部分或全部内容：

1.风险缓释结构及变动情况；

2.资产风险分类结构及变动情况； 3.信用风险管理政策和程序的遵守情况； 4.内部和外部审计情况；

5.对改进信用风险管理政策、程序以及信用风险应急方案的建议； 6.信用风险管理的其他情况。

第六十三条 财务公司在进行授信业务审批或决策时，应确保信贷审批完全独立于贷款的营销和发放；应对同一客户的贷款、贸易融资、票据承兑和贴现、担保、贷款承诺等各类表内外授信实行一揽子管理，确定总体授信额度；应将展期作为一项新的信用决策，按正常的审批程序办理。

第六十四条 财务公司应按照银监会要求建立资产风险分类制度，规范资产质量的认定标准和程序，确保资产质量的真实性。

第六十五条 财务公司应对信用风险有重大影响的情形制定应急处理方案，以减少财务公司可能发生的损失和声誉可能受到的损害。

第四节 交易对手信用风险管理流程

第六十六条 交易对手信用风险是指对资金、证券或外汇交易过程中，交易对手不履行或者不完全履行合同约定的义务，造成财务公司资产损失的风险。交易对手信用风险存在于银行账户和交易账户的各类业务或产品中。

第六十七条 财务公司应持续跟踪和分析交易对手的资本实力、资产质量、流动性水平、盈利能力以及履约保障（如交易保证金）等因素，及时识别引起交易对手风险的各种要素的变化。

第六十八条 财务公司应明确交易对手资质信用评估方法和选择标准，综合考虑运营环境、运营管理、财务状况和风险因素等，采用定性和定量相结合的方法，全面客观地计量和评估交易对手的资质信用和管理风险。

第六十九条 财务公司可委托外部信用评级机构或使用外部信用评级结果作为评估交易对手信用风险的参考依据，但须按照银监会要求坚持审慎原则，确保外部评级机构具有独立性、专业能力和评级公信力。

第七十条 财务公司可建立交易对手信用评估模型或系统，但应保证评估过程的系统性和完整性。

第七十一条 财务公司应持续监测交易对手资质信用因素、风险管理情况和综合风险状况，关注下列因素的变化及其影响：

1.交易对手信用评估、违约记录和履约能力等；

2.交易对手重大风险、运营损失、利润变化和关联交易等； 3.其他异常变化等。

第七十二条 财务公司应根据交易对手信用评估结果和监测情况，细分交易对手资质信用级别，设置并及时调整交易对手风险限额，按照不同业务类别的特点和风险程度，确定交易对手范围、交易限额、交易方式，以及采取保证人、保证金或抵押物等增信措施。

第三章 市场风险管理

第一节 定义及目标

第七十三条 市场风险是指因利率、汇率、股票价格和商品价格的不利变动而使财务公司表内和表外业务发生损失的风险。市场风险存在于财务公司的交易和非交易业务中。

第七十四条 市场风险的管理目标是通过对市场风险进行识别、计量、监测与控制，将市场风险控制在财务公司可以承受的合理范围内，使风险和收益相匹配，逐步实现经风险调整的收益最大化。

第七十五条 财务公司应依照总则与本章要求，建立与自身业务性质、规模和复杂程度相适应的市场风险管理体系，有效地识别、计量、监测与控制市场风险。

第二节 市场风险管理政策

第七十六条 财务公司应根据总则的相关要求制定市场风险管理政策、策略、程序和方法。

第七十七条 财务公司应按照银监会有关要求划分银行账户和交易账户，并根据银行账户和交易账户的性质和特点，采取相应的市场风险识别、计量、监测和控制方法。

第七十八条 财务公司应针对不同类别的市场风险（如利率风险）和不同业务种类（如投资业务）的市场风险制定详细和有针对性的风险管理政策和程序，并保持相互之间的一致性。

第七十九条 财务公司应对市场风险进行集中管理，全面识别、计量、监测和控制各部门及分支机构所面临的市场风险，以避免各业务部门及各分支机构之间轧差头寸而造成对市场风险的低估。

第八十条 财务公司应对市场风险实施限额管理，制定对各类和各级限额的内部审批程序和操作规程，根据业务性质、规模、复杂程度和风险承受能力设定限额，并定期审查和更新。

财务公司市场风险限额及其种类、结构应由董事会批准。

第八十一条 财务公司应对自营投资和受托投资分户管理、分账核算、规范运作。

第八十二条 财务公司应确定专门部门或人员负责市场风险管理工作。负责市场风险管理的部门或人员应职责明确，监测相关业务经营部门和分支机构对市场风险限额的遵守情况，并建立完善的报告制度。

市场风险管理部门和人员应保持相对独立性，特别是独立于从事投资业务的部门或人员。

第八十三条 财务公司实施市场风险管理，应考虑市场风险与其他风险的相关性，并协调市场风险管理与其他风险管理的政策和程序。

第三节 市场风险管理基本流程

第八十四条 财务公司应按照监管要求，将表内外资产分为银行账户和交易账户资产两大类。其中，以交易为目的或以规避交易账户其它项目的风险为目的而持有的金融工具头寸划入交易账户；除交易账户头

寸外的其他表内外资产，包括存款、贷款等不以交易为目的而持有的头寸划入银行帐户。

第八十五条 财务公司应根据业务性质、规模和复杂程度，对银行账户和交易账户中不同类别的市场风险因素进行分解和分析，及时识别各项业务和产品中的市场风险的类别和性质。

第八十六条 财务公司应持续跟踪和分析宏观经济形势、宏观经济调控政策、主要金融市场走势以及所持金融工具价格波动等因素，及时识别与分析引起市场风险的各种要素的变化。

第八十七条 财务公司应采用不同的方法计量银行账户和交易账户中不同类别的市场风险，对所计量的银行账户和交易账户中的市场风险在全公司范围内进行汇总，以便董事会和高级管理层掌握公司的总体市场风险水平。

第八十八条 财务公司应对交易账户头寸按市值至少每日重估一次价值。

第八十九条 财务公司应对所面临的市场风险进行计量和评估，可开发和使用风险价值等计量模型，对所承担的市场风险进行量化，并辅以缺口分析、久期分析、外汇敞口分析、敏感性分析、压力测试、情景分析等方法前瞻性的分析财务公司的市场风险状况。

第九十条 财务公司应根据自身经营状况与特点，建立市场风险指标体系与预警机制。

市场风险监测指标包括但不限于投资比例、资产负债利率敏感性比例、利率风险敏感度和投资潜在盈亏率。

财务公司可建立资产加权平均久期、凸性、标准差和风险价值等风险参数或指标，定期对市场风险进行监测和预警。

第九十一条 财务公司应向董事会、高级管理层和其他管理人员提供市场风险报告。报告应包括如下全部或部分内容：

1.市场风险头寸和市场风险水平及其结构分析； 2.盈亏情况；

3.市场风险识别、计量、监测和控制方法及程序的变更情况； 4.市场风险管理政策和程序的遵守情况；

5.市场风险限额的遵守情况，包括对超限额情况的处理； 6.模型的事后检验和压力测试情况； 7.内部和外部审计情况； 8.市场风险资本分配情况；

9.对改进市场风险管理政策、程序以及应急方案的建议。

第九十二条 财务公司应按地区、业务经营部门、资产组合、金融工具和风险类别制定交易限额和止损限额。财务公司可根据自身情况制定风险限额。

财务公司应对超限额情况制定监控和处理程序。超限额情况应及时向相应级别的管理层报告。

第九十三条 财务公司应使用银监会规定的压力情景，或根据自身业务性质、市场环境设计压力情景进行压力测试。

财务公司应将压力测试结果作为制定市场风险应急处理方案的重要依据，并定期对应急处理方案进行审查和测试，不断更新和完善应急处理方案。

第九十四条 财务公司应逐步建立市场风险管理信息系统，使其与业务管理系统和非现场监管信息系统数据对接，实时监控各项市场风险指标。

第四章 操作风险管理

第一节 定义及目标

第九十五条 操作风险是指由不完善或有问题的内部程序、人员、信息系统，以及外部事件所造成损失的风险。操作风险包括法律风险、信息科技风险，但不包括战略风险和声誉风险。

法律风险是指财务公司因日常经营和业务活动违反或无法满足法律、法规和准则等规定，可能受到法律制裁、监管处罚，或因不能履行合同、发生争议、诉讼或其他法律纠纷而造成经济损失的风险。

信息科技风险是指信息科技在财务公司运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷而造成损失的风险。

第九十六条 操作风险事件包括内部欺诈，外部欺诈，就业制度和工作场所安全，客户、产品和业务活动，实物资产的损坏，营业中断和信息系统瘫痪，执行、交割和流程管理等主要类型。

第九十七条 操作风险的管理目标是通过对操作风险进行识别、计量、监测与控制，将操作风险控制在财务公司可以承受的合理范围内，降低操作风险给财务公司造成的损失。

第九十八条 财务公司应依照总则与本章要求，建立与自身业务性质、规模和复杂程度相适应的操作风险管理体系，有效地识别、计量、监测与控制操作风险。

第二节 操作风险管理政策

第九十九条 财务公司应根据总则的要求制定操作风险管理政策、策略、程序和方法。

第一百条 财务公司应指定专门部门或人员负责操作风险管理体系的建立和实施。该部门或人员与其他部门应保持相对独立，确保全公司操作风险管理的一致性和有效性。

财务公司各部门对其职责范围内操作风险的管理情况负直接责任。财务公司的法律合规、信息科技、安全保卫、人力资源等部门在管理好本部门操作风险的同时，应为其他部门管理操作风险提供相关资源和支持。

第三节 操作风险管理基本流程

第一百零一条 财务公司应按照有关法律法规以及本公司各项制度的规定，对各项管理及业务流程进行梳理和优化，明确岗位设置和职责，制定操作风险防范措施，并组织落实。

第一百零二条 财务公司应按风险控制与运营效率及效果相平衡的原则，识别分析各项管理及业务领域的操作风险针对关键风险点制定相应的控制措施。

第一百零三条 财务公司可采用流程分析法、情景模拟法、引导会议法、调查问卷法等方法，结合操作风险定义及损失事件分类、操作风险损失事件历史数据、各类业务检查报告等相关资料进行操作风险自我评估。

第一百零四条 财务公司可在自我评估的基础上，选择已经识别出的主要操作风险因素，结合财务公司的内、外部操作风险损失事件数据形成统计分析指标，用以评价财务公司整体的操作风险水平，依据风险的影响程度和发生频率有针对性地采取恰当的措施控制操作风险。

第一百零五条 财务公司应根据相关性、可计量性、风险敏感性和实用性原则，对结算差错率、主要业务信息系统中断时间、客户投诉数量等能够反映操作风险的情况，设置关键风险指标及相应预警值，根据各业务条线操作风险的特点有针对性地进行管理。

第一百零六条 财务公司应制定有效的程序，对操作风险关键指标持续监测，定期报告操作风险状况和损失情况。针对不断增大的风险，建立预警机制，及时采取措施控制，降低操作风险损失事件的影响程度和发生频率。

第一百零七条 财务公司应向董事会、高级管理层和其他管理人员提供操作风险报告。报告应包括操作风险状况、损失事件、诱因与对策、关键风险指标和资本水平等内容。

第一百零八条 财务公司应将加强内部控制建设作为操作风险管理的基础，将建立健全内部控制体系作为识别和控制操作风险的有效手段之一，与此相关的内控措施至少应包括：

1.授权机制。财务公司应明确各机构、部门和人员的职责分工，以及授权的对象、条件、范围和额度等。任何机构、部门和个人不得超越授权做出决定；

2.重要岗位制衡和监督机制。保证不相容岗位职责的分离；实施重要岗位轮岗轮调、强制休假和离岗审计制度；避免重要岗位权力过于集中，明确监督机制；

3.内控审批机制。明确重要事项的审批程序、条件、必备文件等，及批准机构、部门和人员的权责；

4.内控报告机制。明确报告人、报告对象、报告时间、报告内容、报告频率、传递路线等；

5.风险预警机制。持续监测关键风险指标，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施；

6.监督检查机制。内部审计部门应定期检查内部控制的执行情况，提出改进意见；适时评价内部控制政策、制度、流程的完善性和有效性。

第一百零九条 财务公司应采取“以事前防范、事中控制为主，事后补救为辅”的原则，加强法律风险防范机制，具体要求至少应包括：

1.持续关注法律法规的最新发展，准确把握其对公司经营的影响，为管理层提出合规建议，并及时对公司各项政策、制度规程和操作程序进行修订，确保其符合法律法规要求；

2.法律合规部门应参与重要经营决策事项，列席重要决策会议，对重要决策的合法合规性进行审查把关；

3.财务公司应建立合同的全过程管理机制，对主要业务订立和使用标准化格式合同，对其他类型合同应进行法律审查，并跟踪合同的签订、履行和变更情况；

4.发现公司利益可能或正在受到损害时，采取紧急处置措施，已进入诉讼或仲裁程序的，积极组织研究案件并进行案件处理，完善重大法律纠纷的管理制度；

5.财务公司应建立法律顾问制度，如有必要，可聘请社会律师作为常年法律顾问或具体项目法律顾问；

6.财务公司应加强合规文化建设，将合规文化建设融入企业文化建设全过程，促使全体员工在自觉遵守法律、法规和规章制度的前提下进行各项经营管理活动。

第一百一十条 财务公司可参照银监会对商业银行信息科技风险管理的要求，通过完善信息科技治理，加强信息安全、信息系统开发和测试、信息科技运行和维护、业务连续性和应急处置、外包以及内外部审计监督等方面的管理，进一步提高公司的信息科技风险管理水平，降低运营过程中因自然因素、人为因素、技术漏洞和管理缺陷等引发的操作风险损失。具体要求至少应包括：

1.对信息系统的项目立项、开发、验收、运行和维护整个过程实施有效管理，开发环境应与经营环境严格分离，确保信息系统的整体安全；

2.建立和健全网络管理系统，有效地管理网络的安全、故障、性能、配置等，并对接入国际互联网实施有效的安全管理；

3.及时更新系统安全设置、病毒代码库、攻击特征码、软件补丁程序等，通过认证、加密、内容过滤、入侵监测等技术手段，不断完善安全控制措施，确保信息系统的安全；

4.确保计算机硬件设施的物理环境安全，建立计算机中心或数据中心、存储机密信息或放置网络设备等重要信息设备的区域安全保护机制，明确相应的管理职责，采取必要的预防、检测和维护措施，确保计算机硬件物理安全；

5.网络设备、操作系统、数据库系统、应用程序等均应设置必要的日志，日志应满足各类内、外部审计的需要；

6.严格管理各类数据信息，数据的操作、数据备份介质的存放、转移和销毁等均应有严格的管理制度；

7.依据统一管理、最小授权、不兼容岗位分离的原则，对信息系统访问、操作权限进行严格控制，包括根据业务流程设定每个业务级别的控制内容、用户账户密码管理、权限变更等；

8.制定与其业务规模和复杂性相适应的信息安全应急和业务连续性方案，建立恢复服务和保证业务连续运行的备用机制，并定期检查、测试其灾难恢复和业务连续机制，确保在出现灾难和业务中断时这些方案和机制的正常执行。财务公司应对数据备份异地存放，逐步建立异地灾难备份中心。

第一百一十一条 财务公司可采取购买保险等方式缓释操作风险，并制定相应的书面政策和程序，同时不应忽视内部控制措施的重要作用。

第一百一十二条 财务公司应逐步收集操作风险损失数据，建立操作风险事件库。可定期对主要操作风险进行压力测试和情景分析，为应对可能发生的重大操作风险损失事件做好充分准备。

第一百一十三条 财务公司可采用基本指标法或标准法对操作风险进行计量，并计提操作风险资本。

第一百一十四条 财务公司应逐步建立并完善操作风险管理信息系统。系统至少应记录和存储与操作风险损失相关的数据和操作风险事件信息，支持操作风险和控制措施的自我评估，监测关键风险指标，并提供操作风险报告有关内容。

第五章 流动性风险管理

第一节 定义及目标

第一百一十五条 流动性风险是指财务公司无法以合理价格变现资产或以合理成本及时获得充足资金，以应对资产增长或支付到期债务，从而可能损害其清偿能力的风险。

第一百一十六条 流动性风险管理的目标是通过识别、计量、监测和控制，将财务公司流动性风险控制在可以承受的合理范围内，确保财务公司无论在正常经营环境中还是在压力状态下，都有充足的资金应对资产增长和支付到期债务。

第一百一十七条 财务公司应依照总则与本章要求，建立与自身业务性质、规模和复杂程度相适应的流动性风险管理体系，有效地识别、计量、监测与控制流动性风险。

第二节 流动性风险管理政策

第一百一十八条 财务公司应根据总则的相关要求，制定流动性风险管理政策、策略、程序和方法。

第一百一十九条 流动性风险管理政策、策略、程序和方法应充分考虑公司的组织结构、主要业务条线、产品及市场的广度和多样性等因素，涵盖表内外各项业务及可能对流动性产生重大影响的业务部门和分支机构。

第一百二十条 开展外币业务的财务公司应按币种分别识别、计量、监测和控制流动性风险。对于可自由兑换且业务量较小、对整体流动性风险水平及市场影响均不大的币种，财务公司可将外币流动性与本币流动性合并管理。

第一百二十一条 财务公司应根据监管要求和内部流动性风险管理政策，综合考虑资产负债结构、业务发展状况、资产质量、融资策略等因素，设定流动性风险限额，并根据限额的性质确定相应的监测频度。

第一百二十二条 财务公司应保证流动性风险管理的有效性，不得因业务发展而破坏流动性风险控制功能、限额体系以及流动性缓冲机制的完整性。

第一百二十三条 财务公司应对流动性风险以及整体资产负债配置进行评估、监测，对资产负债的期限结构、币种结构和分布机构进行整体规划与安排。

第一百二十四条 财务公司应指定专门部门或人员负责流动性风险管理工作，明确职责权限，并保持相对独立性，特别是独立于从事资金交易的部门或人员。

第一百二十五条 财务公司实施流动性管理，应全面考虑信用风险、市场风险、操作风险和声誉风险等对资产负债流动性的影响，密切关注不同风险间的转化和传递。

第三节 流动性风险管理基本流程

第一百二十六条 财务公司应建立有效的流动性风险识别、计量、监测和控制体系，确保资产负债错配程度保持在可承受的流动性风险水平内，确保具有相对稳定的负债、与自身流动性风险水平相适应的优质流动性资产储备和有效的外部市场融资能力。

第一百二十七条 财务公司应定期收集分析客户的资金收付计划和融资计划等各类资金流动信息，预测未来短期内的流动性缺口，以确定流动性适宜度，及时识别流动性风险。

第一百二十八条 财务公司应关注资产负债期限结构，避免持有期缺口过大导致的流动性风险；同时关注因利率等外部市场因素变化所导致的资产负债期限结构变化，加强资金头寸管理。

财务公司应关注交易对象、时间跨度、还款周期等要素，形成合理的资产负债分布结构。

开展外币业务的财务公司，还应关注其资产负债币种结构，对经常使用的主要币种的流动性进行单独分析。

第一百二十九条 财务公司应对所面临的流动性风险进行计量和评估，运用现金流分析法对资产、负债和表外项目的未来现金流进行全面分析，并结合缺口分析法前瞻性地分析评估未来短期内的流动性状况。

第一百三十条 财务公司应根据银监会要求，结合自身业务规模和特色，设定流动性指标体系与预警机制，定期进行不同历史时期和同类机构间的比较，监测流动性风险水平和变化趋势。

第一百三十一条 财务公司应根据业务规模、性质、复杂程度及风险状况，监测可能引发流动性风险的特定情景或事件，及时分析其对流动性风险的影响。

第一百三十二条 财务公司应向董事会、高级管理层和其他管理人员提供流动性风险报告。报告应包括如下全部或部分内容：

1.流动性风险管理体系和治理结构； 2.流动性风险管理政策和策略；

3.识别、计量、监测和控制流动性风险的主要程序和方法； 4.流动性风险管理指标、限额及执行情况； 5.资金来源及资金运用情况；

6.可动用的流动性资产及资产变现可能性分析； 7.在各类市场中的融资能力；

8.可能引起资产负债波动因素的变化趋势； 9.压力测试和情景分析情况。

第一百三十三条 财务公司应根据自身情况，持有足够水平的货币资金，保持合理的流动资产组合，控制各类资金来源的合理比例，适度分散资产种类及其到期日。

第一百三十四条 财务公司应根据资产负债的不同流动性，设置现金、优质流动性资产等多级流动性储备，抵御可能发生的流动性风险，实现弹性、多层次的资产负债期限结构匹配。

第一百三十五条 财务公司可通过压力测试分析自身承受压力事件的能力，考虑并预防未来可能的流动性危机，提高在流动性压力情况下履行支付义务的能力。财务公司实施压力测试的频度应与其规模、风险水平及在市场上的影响相适应。

第一百三十六条 财务公司应按照正常市场条件和压力条件分别制定流动性应急计划，涵盖自身流动性发生临时性和长期性危机的情况，预设触发条件及实施程序，说明在设定情形下如何优化融资渠道，或出售资产以减少融资需求。

第一百三十七条 财务公司应逐步建立流动性风险管理信息系统，以便准确、及时、持续地识别、计量、监测和控制流动性风险。

第三部分 附则

第一百三十八条 本指引由中国银行业监管管理委员会负责解释。第一百三十九条 本指引自发布之日起施行。

第三篇：银行业金融机构全面风险管理指引

中国银监会关于《银行业金融机构全面风险管理指引（征求意见稿）》公开征求意见的公告

为进一步引导银行业金融机构树立全面风险管理意识，完善全面风险管理体系，持续提高风险管理水平，中国银监会起草了《银行业金融机构全面风险管理指引（征求意见稿）》，现向社会公开征求意见。公众可以通过以下途径反馈意见：

一、通过电子邮件。

二、通过传真。

三、通过信函方式将意见寄至：北京市西城区金融大街甲15号中国银监会审慎规制局（邮编：100140），并请在信封上注明“全面风险管理征求意见”字样。

意见反馈截止时间为2016年8月6日。[1]

中国银监会

2016年7月6日

银行业金融机构全面风险管理指引[1]（征求意见稿）

第一章 总则

第一条（立法依据）为提高银行业金融机构全面风险管理水平，促进银行体系安全稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》等法律法规，制定本指引。

第二条（适用范围）本指引适用于在中华人民共和国境内依法设立的银行业金融机构。本指引所称银行业金融机构，是指在中华人民共和国境内设立的商业银行、城市信用合作社、农村信用合作社等吸收公众存款的金融机构以及开发性金融机构、政策性银行。

第三条（总体要求-管理内容）银行业金融机构应当建立全面风险管理体系，采取定性和定量相结合的方法，识别、计量、评估、监测、报告、控制或缓释所承担的各类风险。

各类风险包括信用风险、市场风险、流动性风险、操作风险、国别风险、银行账户利率风险、声誉风险、战略风险、信息科技风险以及其他风险。

银行业金融机构的全面风险管理体系应当考虑风险之间的关联性，审慎评估各类风险之间的相互影响，防范跨境、跨业风险。

第四条（总体要求-管理原则）银行业金融机构全面风险管理应当遵循以下基本原则：

（一）匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化予以调整。

（二）全覆盖原则。全面风险管理应当覆盖各项业务条线，本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。

（三）独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配置，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。

（四）有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。第五条（全面风险管理要素）银行业金融机构全面风险管理体系应当包括但不限于以下要素：

（一）风险治理架构；

（二）风险管理策略、风险偏好和风险限额；

（三）风险管理政策和程序；

（四）管理信息系统和数据质量控制机制；

（五）内部控制和审计体系。

第六条（风险文化）银行业金融机构应当在全行层面推行稳健的风险文化，形成与本行相适应的风险管理理念、价值准则、职业操守，建立培训、传达和监督机制，推动全行人员理解和执行。

第七条（责任主体）银行业金融机构应当承担全面风险管理的主体责任，建立全面风险管理制度，保障制度执行，对全面风险管理体系自我评估，健全自我约束机制。

第八条（监督管理）银行业监督管理机构依法对银行业金融机构全面风险管理实施监管。

第九条（披露要求）银行业金融机构应当按照银行业监督管理机构的规定，向公众披露全面风险管理情况。

第二章 风险治理架构

第十条（总体要求）银行业金融机构应当建立组织架构健全、职责边界清晰的风险治理架构，明确董事会、监事会、高级管理层，业务部门、风险管理部门和内审部门在风险管理中的职责分工，建立多层次、相互衔接、有效制衡的运行机制。

第十一条（董事会职责）银行业金融机构董事会承担全面风险管理的最终责任，履行以下职责：

（一）建立风险文化；

（二）制定风险管理策略；

（三）设定的风险偏好和风险限额；

（四）审批风险管理政策和程序；

（五）监督高级管理层开展全面风险管理；

（六）审议全面风险管理报告；

（七）审批全面风险和各类重要风险的信息披露；

（八）聘任风险总监（首席风险官）或其他高级管理人员，牵头负责全面风险管理；

（九）其他与风险管理有关的职责。

董事会可以授权其下设的风险管理委员会履行其全面风险管理的部分职责。第十二条（委员会间的沟通机制）银行业金融机构应当建立风险管理委员会与董事会下设的战略委员会、审计委员会、提名委员会等其他专门委员会的沟通机制，确保信息充分共享并能够支持风险管理相关决策。

第十三条（监事会职责）银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。相关监督检查情况应当纳入监事会工作报告。第十四条（高级管理层职责）银行业金融机构高级管理层承担全面风险管理的实施责任，执行董事会的决议，应当履行以下职责：

（一）建立适应全面风险管理的经营管理架构，明确全面风险管理职能部门、业务部门以及其他部门在风险管理中的职责分工，建立部门之间有效制衡、相互协调的运行机制；

（二）制定清晰的执行和问责机制，确保风险偏好、风险管理策略和风险限额得到充分传达和有效实施；

（三）对董事会设定的风险限额进行细化并执行，包括但不限于行业、区域、客户、产品等维度；

（四）制定风险管理政策和程序，定期评估，必要时调整；

（五）评估全面风险和各类重要风险管理状况并向董事会报告；

（六）建立完备的管理信息系统和数据质量控制机制；

（七）对突破风险偏好、风险限额以及违反风险管理政策和程序的情况进行监督，根据董事会的授权进行处理；

（八）风险管理的其他职责。

第十五条（风险总监或独立高管）规模较大或业务复杂的银行业金融机构应当设立风险总监（首席风险官）。董事会应当将风险总监（首席风险官）纳入高级管理人员。风险总监（首席风险官）或其他牵头负责全面风险管理的高级管理人员应当保持充分的独立性，不得分管业务经营条线，可以直接向董事会报告全面风险管理情况。

调整风险总监（首席风险官）的，应当事先得到董事会批准，并公开披露。银行业金融机构应当向银行业监督管理机构报告风险总监（首席风险官）的调整原因。

第十六条（全面风险管理的职责分工）银行业金融机构应当确定业务条线承担风险管理的直接责任；风险管理条线承担制定政策和流程，日常监测和管理风险的责任；内审部门承担业务部门和风险管理部门履责情况的审计责任。

第十七条（全面风险管理职能部门职责）银行业金融机构应当设立或者指定部门负责全面风险管理，牵头履行全面风险的日常管理，包括但不限于以下职责：

（一）实施全面风险管理体系建设，牵头协调各类具体风险管理部门；

（二）识别、计量、评估、监测、控制或缓释全面风险和各类重要风险，及时向高级管理人员报告；

（三）持续监控风险偏好、风险管理策略、风险限额及风险管理政策和程序的执行情况，对突破风险偏好、风险限额以及违反风险管理政策和程序的情况及时预警、报告并提出处理建议。

（四）组织开展风险评估，及时发现风险隐患和管理漏洞，持续提高风险管理的有效性。

第十八条（分支机构要求）银行业金融机构应当采取必要措施，保证全面风险管理的政策流程在基层分支机构得到理解与执行，建立与基层分支机构风险状况相匹配的风险管理架构。

在境外设有机构的银行业金融机构应当建立适当的境外风险管理框架、政策和流程。第十九条（资源保障）银行业金融机构应当赋予全面风险管理职能部门和各类风险管理部门充足的资源、独立性、授权，保证其能够及时获得风险管理所需的数据和信息，满足履行风险管理职责的需要。

第三章 风险管理策略、风险偏好和风险限额

第二十条（风险管理策略）银行业金融机构应当制定清晰的风险管理策略，至少每年评估其有效性。风险管理策略应当反映风险偏好、风险状况以及市场和宏观经济变化，并在银行内部得到充分传导。

第二十一条（风险偏好总体要求）银行业金融机构应当制定书面的风险偏好，定性指标和定量指标并重。风险偏好的设定应当与战略目标、经营计划、资本规划、绩效考评和薪酬机制衔接，在全行传达并执行。

银行业金融机构应当每年对风险偏好至少进行一次评估。

第二十二条（风险偏好内容）银行业金融机构制定的风险偏好，应当包括但不限于以下内容：

（一）战略目标和经营计划的制定依据，风险偏好与战略目标、经营计划的关联性；

（二）为实现战略目标和经营计划愿意承担的风险总量；

（三）愿意承担的各类风险的最大水平；

（四）风险偏好的定量指标，包括利润、风险、资本、流动性以及其他相关指标的目标值或目标区间。上述定量指标通过风险限额、经营计划、绩效考评等方式传导至业务条线、分支机构、附属机构的安排；

（五）对不能定量的风险偏好的定性描述，包括承担此类风险的原因、采取的管理措施；

（六）资本、流动性抵御总体风险和各类风险的水平；

（七）可能导致风险偏好目标的情形和处置方法。

风险偏好应当明确董事会、高级管理层和首席风险官、业务条线、风险部门和审计部门在制定和实施风险偏好过程中的职责。

第二十三条（风险偏好执行报告）银行业金融机构应当建立监测分析各业务条线、分支机构、附属机构执行风险偏好的机制。

当风险偏好目标被突破时，应当及时分析原因、制定解决方案并实施。

第二十四条（风险偏好调整）银行业金融机构应当建立风险偏好的调整制度。根据业务规模、复杂程度、风险状况的变化，对风险偏好进行调整。

第二十五条（风险限额管理）银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。

银行业金融机构应当根据风险偏好，按照客户、行业、区域、产品等维度设定风险限额。风险限额应当综合考虑资本、风险集中度、流动性、交易目的等。

全面风险管理职能部门应当对风险限额进行监控，并向董事会和高级管理层报送风险限额使用情况。

第四章 风险管理政策和程序 第二十六条（风险管理政策和程序）银行业金融机构应当制定风险管理政策和程序，包括但不限于以下内容：

（一）全面风险管理的方法，包括各类风险的识别、计量、评估、监测、报告、控制或缓释，风险加总的方法和程序；

（二）风险定性管理和定量管理的方法；

（三）风险管理报告；

（四）压力测试安排；

（五）新产品、重大业务和机构变更的风险评估；

（六）资本和流动性充足情况评估；

（七）应急计划和恢复计划。

第二十七条（风险的识别、计量、评估、监测、报告和控制或缓释）银行业金融机构应当在集团和法人层面对各附属机构、分支机构、业务条线，对表内和表外、境内和境外、本币和外币业务涉及的各类风险，进行识别、计量、评估、监测、报告、控制或缓释。

银行业金融机构应当制定每项业务对应的风险管理政策和程序。未制定的，不得开展该项业务。

银行业金融机构应当有效评估和管理各类风险。对能够量化的风险，应当通过风险计量技术，加强对相关风险的计量、控制、缓释；对难以量化的风险，应当建立风险识别、评估、控制和报告机制，确保相关风险得到有效管理。

第二十八条（政策和程序的一致性）银行业金融机构应当建立风险统一集中管理的制度，确保全面风险管理对各类风险管理的统领性，各类风险管理与全面风险管理政策和程序的一致性。

第二十九条（风险加总的方法和程序）银行业金融机构应当建立风险加总的政策、程序，选取合理可行的加总方法，充分考虑集中度风险及风险之间的相互影响和相互传染，确保在不同层次上和总体上及时识别风险。

第三十条（内部模型）银行业金融机构采用内部模型计量风险的，应当遵守相关监管要求，确保风险计量的一致性、客观性和准确性。董事会和高级管理层应当理解模型结果的局限性、不确定性和模型使用的固有风险。

第三十一条（风险管理报告）银行业金融机构应当建立全面风险管理报告制度，明确报告的内容、频率、路线。

报告内容至少包括总体风险和各类风险的整体状况；风险管理策略、风险偏好和风险限额的执行情况；风险在行业、地区、客户、产品等维度的分布；资本和流动性抵御风险的水平。

第三十二条（压力测试安排）银行业金融机构应当建立压力测试体系，明确压力测试的治理结构、政策文档、方法流程、情景设计、保障支持、验证评估以及压力测试结果运用。

银行业金融机构应当定期开展压力测试。压力测试的开展应当覆盖各类风险和表内外主要业务领域，并考虑各类风险之间的相互影响。

压力测试结果应当运用于银行业金融机构的风险管理和各项经营管理决策中。第三十三条（新产品、重大业务和机构变更的风险评估）银行业金融机构应当建立专门的政策和流程，评估开发新产品或对现有产品进行重大改动、拓展新的业务领域、设立新机构、从事重大收购和投资等可能带来的风险，并建立内部审批流程和退出安排。银行业金融机构开展上述活动时，应当经风险管理部门审查同意，并经董事会或董事会指定的专门委员会批准。

第三十四条（资本和流动性充足情况评估）银行业金融机构应当根据风险偏好和风险状况及时评估资本和流动性的充足情况，确保资本、流动性能够抵御风险。

第三十五条（应急计划）银行业金融机构应当制定应急计划，确保能够及时应对和处理紧急或危机情况。应急计划应当说明可能出现的风险以及在压力情况（包括会严重威胁银行生存能力的压力情景）下应当采取的措施。银行业金融机构的应急计划应当涵盖对境外分支机构和附属机构的应急安排。银行业金融机构应当定期更新、演练或测试上述计划，确保其充分性和可行性。

第三十六条（恢复计划）银行业金融机构应当按照相关监管规定的要求，根据银行的风险状况和系统重要性，制定并定期更新完善本机构的恢复计划，明确本机构在压力情况下能够继续提供持续稳定运营的各项关键性金融服务并恢复正常运营的行动方案。

第三十七条（附属机构）银行业金融机构应当制定覆盖其附属机构的风险管理政策和程序，保持机构风险管理的一致性、有效性。银行业金融机构应当要求并确保各附属机构在整体风险偏好和风险管理政策框架下，建立自身的风险管理组织架构、政策流程，促进全面风险管理的一致性和有效性。

银行业金融机构应当建立健全防火墙制度，规范内部交易，防止风险传染。第三十八条（外包风险管理）银行业金融机构应当制定外包风险管理制度，确定与其风险管理水平相适应的外包活动范围。

第三十九条（风险管理应用）银行业金融机构应当将风险偏好、风险管理策略、风险限额、风险管理政策和程序等要素与资本管理、业务管理相结合，在战略和经营计划制定、新产品审批、内部定价、绩效考评和薪酬政策等日常经营管理中充分应用并得到有效实施。

第四十条（文档管理）银行业金融机构应当对风险偏好、风险管理策略、风险限额、风险管理政策和程序建立规范的文档记录。

第五章 管理信息系统和数据质量

第四十一条（风险管理信息系统）银行业金融机构应当具备完善的风险管理信息系统，能够在集团和法人层面计量、评估、展示、报告、加总所有风险类别、产品和交易对手风险暴露的规模和构成。

第四十二条（系统功能）银行业金融机构相关风险管理信息系统应当具备以下主要功能，支持风险报告和管理决策的需要。

（一）支持识别、计量、评估、监测和报告所有类别的重要风险；

（二）支持风险限额管理，对超出风险限额的情况进行实时监测、预警和控制；

（三）能够计量、评估和报告所有风险类别、产品和交易对手的风险状况，满足全面风险管理需要。

（四）支持按照业务条线、机构、资产类型、行业、地区、集中度等多个维度展示和报告风险暴露情况；

（五）支持不同频率的定期报告和压力情况下的数据加工和风险加总需求；

（六）支持压力测试工作，评估各种不利情景对全行及主要业务条线的影响； 第四十三条（信息科技基础设施）银行业金融机构应当建立与业务规模、风险状况等相匹配的信息科技基础设施。

第四十四条（数据质量）银行业金融机构应当建立健全数据质量控制机制，积累真实、准确、连续、完整的内部和外部数据，用于风险识别、计量、评估、监测、报告，资本和流动性充足情况的评估。

第六章 内部控制和审计

第四十五条（内控要求）银行业金融机构应当合理确定各项业务活动和管理活动的风险控制点，采取适当的控制措施，执行标准统一的业务流程和管理流程，确保规范运作。

第四十六条（内审要求）银行业金融机构应当将全面风险管理纳入内部审计范畴，定期审查和评价全面风险管理的充分性和有效性。

银行业金融机构内部审计活动应独立于业务经营、风险管理和合规管理，遵循独立性、客观性原则，不断提升内部审计人员的专业能力和职业操守。

全面风险管理的内部审计报告应当直接提交董事会和监事会。董事会应当针对内部审计发现的问题，督促高级管理层及时采取整改措施。内部审计部门应当跟踪检查整改措施的实施情况，并及时向董事会提交有关报告。

第七章 监督管理

第四十七条（报备及报告要求）银行业金融机构应当将风险管理策略、风险偏好、风险限额、风险管理政策和程序等报送银行业监督管理机构，并至少按报送全面风险管理报告。

第四十八条（监管内容）银行业监督管理机构应当将银行业金融机构全面风险管理纳入法人监管体系中，并根据本指引全面评估银行业金融机构风险管理体系的健全性和有效性，提出监管意见，督促银行业金融机构持续加以完善。

第四十九条（监管方式）银行业监督管理机构通过非现场监管和现场检查等实施对银行业金融机构全面风险管理的持续监管，具体方式包括但不限于监管评级、风险提示、现场检查、监管通报、监管会谈、与内外部审计师会谈等。

第五十条（监管沟通）银行业监督管理机构应当就全面风险管理情况与银行业金融机构董事会、监事会、高级管理层等进行充分沟通，并视情况在银行董事会、监事会会议上通报。

第五十一条（监管措施）对不能满足本指引及其他关于全面风险管理要求的银行业金融机构，银行业监督管理机构可以要求其制定整改方案，责令限期改正，并视情况采取相应的监管措施。

第八章 附则

第五十二条（与具体风险监管要求的关系）各类具体风险的监管要求按照银行业监督管理机构的有关规制执行。第五十三条（参照执行）经银行业监督管理机构批准设立的其他金融机构参照本指引执行。

第五十四条（施行时间）本指引自2016年 月 日起施行。本指引实施前发布的有关规范性文件如与本指引不一致的，按照本指引执行。[1]

解读一

为提升银行业金融机构全面风险管理水平，引导银行业金融机构更好服务实体经济，银监会近日发布了《银行业金融机构全面风险管理指引》（以下简称《指引》）。银监会有关部门负责人就《指引》相关问题回答了记者的提问。

一、《指引》制定的背景是什么？

答：《指引》制定的背景主要有三方面：一是我国银行业风险管理缺乏统领性规制。近年来，银监会陆续制定了各类审慎监管规则，覆盖了资本管理、信用风险、市场风险、流动性风险、操作风险、并表管理等各个领域，比较系统，但仍然缺乏一个针对全面风险管理的统领性、综合性规则。因此，有必要制定关于全面风险管理的审慎规制，为银行建立完善的全面风险管理体系提供政策依据和指导。二是银行业金融机构全面风险管理实践有待完善。我国银行业在全面风险管理体系建设上已取得一定的成果，但实践中仍然存在以下问题有待完善：第一，全面风险管理的统筹性和有效性有待提升。第二，中小银行业金融机构全面风险管理体系建设起步相对较晚，精细化程度有待提高。第三，银行业金融机构全面风险管理成果的应用较多基于银监会的监管要求，深度和广度仍有很大的拓展空间。三是国际监管改革对风险管理提出了新的要求。2008年国际金融危机后，国际组织和各国监管机构都在积极完善金融机构全面风险管理相关制度。2012年，巴塞尔委员会修订了《有效银行监管核心原则》，完善和细化了原则15“风险管理体系”的各项标准。之后，巴塞尔委员会和金融稳定理事会针对公司治理、风险偏好、风险文化和风险报告等全面风险管理要素陆续发布了一系列政策文件，提出了更具体的要求。《指引》的制定既是积极适应国际监管改革新要求的结果，又有助于提升我国银行业风险管理水平。

二、《指引》制定的主要思路是什么？

答：《指引》的起草主要基于以下思路：一是形成系统化的全面风险管理规制。二是提出风险管理的统领性框架，强化全面性和关联性视角。三是提高可操作性，提供全面风险管理和监管指南。四是引入《核心原则》最低标准，反映国际监管改革最新成果。五是充分考虑各类机构的差异化情况。六是注重与已有规制的衔接。

三、《指引》对全面风险管理有哪些原则性规定？

答：《指引》对银行业金融机构全面风险管理提出四点管理原则：一是匹配性原则。全面风险管理体系应当与风险状况和系统重要性等相适应，并根据环境变化进行调整。二是全覆盖原则。全面风险管理应当覆盖各个业务条线，包括本外币、表内外、境内外业务；覆盖所有分支机构、附属机构，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。三是独立性原则。银行业金融机构应当建立独立的全面风险管理组织架构，赋予风险管理条线足够的授权、人力资源及其他资源配置，建立科学合理的报告渠道，与业务条线之间形成相互制衡的运行机制。四是有效性原则。银行业金融机构应当将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。

四、《指引》对全面风险管理提出哪些主要要求？

答：《指引》提出了银行业金融机构全面风险管理体系的五个主要要素，包括风险治理架构，风险管理策略、风险偏好和风险限额，风险管理政策和程序，管理信息系统和数据质量控制，内部控制和审计体系等。《指引》对以上要素的具体内容也进行了规定。

其中，关于风险偏好，《指引》规定银行业金融机构应当制定书面的风险偏好，做到定性指标和定量指标并重，并提出了风险偏好应包括的七项具体内容。关于风险限额，《指引》提出，银行业金融机构应当制定风险限额管理的政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。同时，在风险限额临近监管指标限额时，银行业金融机构应当启动相应的纠正措施和报告程序，采取必要的风险分散措施，并向银行业监督管理机构报告。

五、《指引》对全面风险管理的责任主体提出哪些要求？

答：《指引》采用了风险管理“三道防线”的理念，强调银行业金融机构董事会承担全面风险管理的最终责任。银行业金融机构监事会承担全面风险管理的监督责任，负责监督检查董事会和高级管理层在风险管理方面的履职尽责情况并督促整改。银行业金融机构应当设立或指定部门负责全面风险管理，牵头履行全面风险的日常管理。银行业金融机构各业务经营条线承担风险管理的直接责任。

六、《指引》是否充分考虑各类机构的差异性？

答：《指引》定位于为银行业金融机构完善全面风险管理体系提供系统性指导框架。在此基础上，《指引》充分考虑了各类银行业金融机构的差异化情况。一是区分适用和参照执行。适用范围明确为我国境内设立的银行业金融机构，经银行业监督管理机构批准设立的其他金融机构参照本指引执行。二是明确匹配性原则。考虑到各类机构特点的差异性，《指引》明确提出全面风险管理体系应当与风险状况和系统重要性等相匹配，并根据环境变化进行调整。三是部分条款增加了适用的前提条件。如对规模较大或业务复杂的银行业金融机构提出设立风险总监（首席风险官）的要求。[2]

解读二

银行业金融机构全面风险管理指引[1]

中国银监会就《银行业金融机构全面风险管理指引（征求意见稿）》公开征求意见 为提升银行业金融机构全面风险管理水平，中国银监会起草了《银行业金融机构全面风险管理指引（征求意见稿）》（以下简称《指引》），现向社会公开征求意见。银监会将根据各界反馈意见，进一步修改完善《指引》，适时发布。

近年来，为加强和规范商业银行风险管理，银监会借鉴国际金融监管改革成果，紧密结合我国银行业实际，陆续制定了各类审慎监管规则，覆盖了资本管理、信用风险、市场风险、流动性风险、操作风险、并表管理等各个领域，初步建立起一套较为完整的风险管理规制体系。在此基础上，银监会从现有规则中梳理提炼出共性要素，同时参照巴塞尔银行委员会《有效银行监管核心原则》的基本要求，借鉴国际经验，起草了《指引》，形成了我国银行业全面风险管理的统领性、综合性规则，引导银行业树立全面风险管理意识，建立稳健的风险文化，健全风险管理治理架构和要素，完善全面风险管理体系，持续提高风险管理水平。

《指引》共8章54条，包括总则，风险治理架构，风险管理策略、风险偏好和风险限额，风险管理政策和程序，管理信息系统和数据质量，内部控制和审计，监督管理及附则，强调银行业金融机构按照匹配性、全覆盖、独立性和有效性的原则，建立健全全面风险管理体系，并加强外部监管。

第四篇：中央企业全面风险管理指引

【发布单位】国务院国有资产监督管理委员会 【发布文号】国资发改革[2006]108号 【发布日期】2006-06-06 【生效日期】2006-06-06 【失效日期】 【所属类别】政策参考

【文件来源】国务院国有资产监督管理委员会

中央企业全面风险管理指引

(国资发改革[2006]108号)

各中央企业：

企业全面风险管理是一项十分重要的工作，关系到国有资产保值增值和企业持续、健康、稳定发展。为了指导企业开展全面风险管理工作，进一步提高企业管理水平，增强企业竞争力，促进企业稳步发展，我们制定了《中央企业全面风险管理指引》，现印发你们，请结合本企业实际执行。企业在实施过程中的经验、做法及遇到的问题，请及时反馈我委。

国务院国有资产监督管理委员会

二○○六年六月六日

中央企业全面风险管理指引

第一章 总则

第一条 为指导国务院国有资产监督管理委员会(以下简称国资委)履行出资人职责的企业(以下简称中央企业)开展全面风险管理工作，增强企业竞争力，提高投资回报，促进企业持续、健康、稳定发展，根据《 中华人民共和国公司法》、《 企业国有资产监督管理暂行条例》等法律法规，制定本指引。

第二条 中央企业根据自身实际情况贯彻执行本指引。中央企业中的国有独资公司董事会负责督导本指引的实施；国有控股企业由国资委和国资委提名的董事通过股东(大)会和董事会按照法定程序负责督导本指引的实施。

第三条 本指引所称企业风险，指未来的不确定性对企业实现其经营目标的影响。企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等；也可以能否为企业带来盈利等机会为标志，将风险分为纯粹风险(只有带来损失一种可能性)和机会风险(带来损失和盈利的可能性并存)。

第四条 本指引所称全面风险管理，指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险理财措施、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法。

第五条 本指引所称风险管理基本流程包括以下主要工作：

(一)收集风险管理初始信息；

(二)进行风险评估；

(三)制定风险管理策略；

(四)提出和实施风险管理解决方案；

(五)风险管理的监督与改进。

第六条 本指引所称内部控制系统，指围绕风险管理策略目标，针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。

第七条 企业开展全面风险管理要努力实现以下风险管理总体目标：

(一)确保将风险控制在与总体目标相适应并可承受的范围内；

(二)确保内外部，尤其是企业与股东之间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告；

(三)确保遵守有关法律法规；

(四)确保企业有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性；

(五)确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。

第八条 企业开展全面风险管理工作，应注重防范和控制风险可能给企业造成损失和危害，也应把机会风险视为企业的特殊资源，通过对其管理，为企业创造价值，促进经营目标的实现。

第九条 企业应本着从实际出发，务求实效的原则，以对重大风险、重大事件(指重大风险发生后的事实)的管理和重要流程的内部控制为重点，积极开展全面风险管理工作。具备条件的企业应全面推进，尽快建立全面风险管理体系；其他企业应制定开展全面风险管理的总体规划，分步实施，可先选择发展战略、投资收购、财务报告、内部审计、衍生产品交易、法律事务、安全生产、应收账款管理等一项或多项业务开展风险管理工作，建立单项或多项内部控制子系统。通过积累经验，培养人才，逐步建立健全全面风险管理体系。

第十条 企业开展全面风险管理工作应与其他管理工作紧密结合，把风险管理的各项要求融入企业管理和业务流程中。具备条件的企业可建立风险管理三道防线，即各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线。

第二章 风险管理初始信息

第十一条 实施全面风险管理，企业应广泛、持续不断地收集与本企业风险和风险管理相关的内部、外部初始信息，包括历史数据和未来预测。应把收集初始信息的职责分工落实到各有关职能部门和业务单位。

第十二条 在战略风险方面，企业应广泛收集国内外企业战略风险失控导致企业蒙受损失的案例，并至少收集与本企业相关的以下重要信息：

(一)国内外宏观经济政策以及经济运行情况、本行业状况、国家产业政策；

(二)科技进步、技术创新的有关内容；

(三)市场对本企业产品或服务的需求；

(四)与企业战略合作伙伴的关系，未来寻求战略合作伙伴的可能性；

(五)本企业主要客户、供应商及竞争对手的有关情况；

(六)与主要竞争对手相比，本企业实力与差距；

(七)本企业发展战略和规划、投融资计划、经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据；

(八)本企业对外投融资流程中曾发生或易发生错误的业务流程或环节。

第十三条 在财务风险方面，企业应广泛收集国内外企业财务风险失控导致危机的案例，并至少收集本企业的以下重要信息(其中有行业平均指标或先进指标的，也应尽可能收集)：

(一)负债、或有负债、负债率、偿债能力；

(二)现金流、应收账款及其占销售收入的比重、资金周转率；

(三)产品存货及其占销售成本的比重、应付账款及其占购货额的比重；

(四)制造成本和管理费用、财务费用、营业费用；

(五)盈利能力；

(六)成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节；

(七)与本企业相关的行业会计政策、会计估算、与国际会计制度的差异与调节(如退休金、递延税项等)等信息。

第十四条 在市场风险方面，企业应广泛收集国内外企业忽视市场风险、缺乏应对措施导致企业蒙受损失的案例，并至少收集与本企业相关的以下重要信息：

(一)产品或服务的价格及供需变化；

(二)能源、原材料、配件等物资供应的充足性、稳定性和价格变化；

(三)主要客户、主要供应商的信用情况；

(四)税收政策和利率、汇率、股票价格指数的变化；

(五)潜在竞争者、竞争者及其主要产品、替代品情况。

第十五条 在运营风险方面，企业应至少收集与本企业、本行业相关的以下信息：

(一)产品结构、新产品研发；

(二)新市场开发，市场营销策略，包括产品或服务定价与销售渠道，市场营销环境状况等；

(三)企业组织效能、管理现状、企业文化，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验；

(四)期货等衍生产品业务中曾发生或易发生失误的流程和环节；

(五)质量、安全、环保、信息安全等管理中曾发生或易发生失误的业务流程或环节；

(六)因企业内、外部人员的道德风险致使企业遭受损失或业务控制系统失灵；

(七)给企业造成损失的自然灾害以及除上述有关情形之外的其他纯粹风险；

(八)对现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力；

(九)企业风险管理的现状和能力。

第十六条 在法律风险方面，企业应广泛收集国内外企业忽视法律法规风险、缺乏应对措施导致企业蒙受损失的案例，并至少收集与本企业相关的以下信息：

(一)国内外与本企业相关的政治、法律环境；

(二)影响企业的新法律法规和政策；

(三)员工道德操守的遵从性；

(四)本企业签订的重大协议和有关贸易合同；

(五)本企业发生重大法律纠纷案件的情况；

(六)企业和竞争对手的知识产权情况。

第十七条 企业对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合，以便进行风险评估。

第三章 风险评估

第十八条 企业应对收集的风险管理初始信息和企业各项业务管理及其重要业务流程进行风险评估。风险评估包括风险辨识、风险分析、风险评价三个步骤。

第十九条 风险评估应由企业组织有关职能部门和业务单位实施，也可聘请有资质、信誉好、风险管理专业能力强的中介机构协助实施。

第二十条 风险辨识是指查找企业各业务单元、各项重要经营活动及其重要业务流程中有无风险，有哪些风险。风险分析是对辨识出的风险及其特征进行明确的定义描述，分析和描述风险发生可能性的高低、风险发生的条件。风险评价是评估风险对企业实现目标的影响程度、风险的价值等。

第二十一条 进行风险辨识、分析、评价，应将定性与定量方法相结合。定性方法可采用问卷调查、集体讨论、专家咨询、情景分析、政策分析、行业标杆比较、管理层访谈、由专人主持的工作访谈和调查研究等。定量方法可采用统计推论(如集中趋势法)、计算机模拟(如蒙特卡罗分析法)、失效模式与影响分析、事件树分析等。

第二十二条 进行风险定量评估时，应统一制定各风险的度量单位和风险度量模型，并通过测试等方法，确保评估系统的假设前提、参数、数据来源和定量评估程序的合理性和准确性。要根据环境的变化，定期对假设前提和参数进行复核和修改，并将定量评估系统的估算结果与实际效果对比，据此对有关参数进行调整和改进。

第二十三条 风险分析应包括风险之间的关系分析，以便发现各风险之间的自然对冲、风险事件发生的正负相关性等组合效应，从风险策略上对风险进行统一集中管理。

第二十四条 企业在评估多项风险时，应根据对风险发生可能性的高低和对目标的影响程度的评估，绘制风险坐标图，对各项风险进行比较，初步确定对各项风险的管理优先顺序和策略。

第二十五条 企业应对风险管理信息实行动态管理，定期或不定期实施风险辨识、分析、评价，以便对新的风险和原有风险的变化重新评估。

第四章 风险管理策略

第二十六条 本指引所称风险管理策略，指企业根据自身条件和外部环境，围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。

第二十七条 一般情况下，对战略、财务、运营和法律风险，可采取风险承担、风险规避、风险转换、风险控制等方法。对能够通过保险、期货、对冲等金融手段进行理财的风险，可以采用风险转移、风险对冲、风险补偿等方法。

第二十八条 企业应根据不同业务特点统一确定风险偏好和风险承受度，即企业愿意承担哪些风险，明确风险的最低限度和不能超过的最高限度，并据此确定风险的预警线及相应采取的对策。确定风险偏好和风险承受度，要正确认识和把握风险与收益的平衡，防止和纠正忽视风险，片面追求收益而不讲条件、范围，认为风险越大、收益越高的观念和做法；同时，也要防止单纯为规避风险而放弃发展机遇。

第二十九条 企业应根据风险与收益相平衡的原则以及各风险在风险坐标图上的位置，进一步确定风险管理的优选顺序，明确风险管理成本的资金预算和控制风险的组织体系、人力资源、应对措施等总体安排。

第三十条 企业应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。其中，应重点检查依据风险偏好、风险承受度和风险控制预警线实施的结果是否有效，并提出定性或定量的有效性标准。

第五章 风险管理解决方案

第三十一条 企业应根据风险管理策略，针对各类风险或每一项重大风险制定风险管理解决方案。方案一般应包括风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施以及风险管理工具(如：关键风险指标管理、损失事件管理等)。

第三十二条 企业制定风险管理解决的外包方案，应注重成本与收益的平衡、外包工作的质量、自身商业秘密的保护以及防止自身对风险解决外包产生依赖性风险等，并制定相应的预防和控制措施。

第三十三条 企业制定风险解决的内控方案，应满足合规的要求，坚持经营战略与风险策略一致、风险控制与运营效率及效果相平衡的原则，针对重大风险所涉及的各管理及业务流程，制定涵盖各个环节的全流程控制措施；对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施。

第三十四条 企业制定内控措施，一般至少包括以下内容：

(一)建立内控岗位授权制度。对内控所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权做出风险性决定；

(二)建立内控报告制度。明确规定报告人与接受报告人，报告的时间、内容、频率、传递路线、负责处理报告的部门和人员等；

(三)建立内控批准制度。对内控所涉及的重要事项，明确规定批准的程序、条件、范围和额度、必备文件以及有权批准的部门和人员及其相应责任；

(四)建立内控责任制度。按照权利、义务和责任相统一的原则，明确规定各有关部门和业务单位、岗位、人员应负的责任和奖惩制度；

(五)建立内控审计检查制度。结合内控的有关要求、方法、标准与流程，明确规定审计检查的对象、内容、方式和负责审计检查的部门等；

(六)建立内控考核评价制度。具备条件的企业应把各业务单位风险管理执行情况与绩效薪酬挂钩；

(七)建立重大风险预警制度。对重大风险进行持续不断的监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施；

(八)建立健全以总法律顾问制度为核心的企业法律顾问制度。大力加强企业法律风险防范机制建设，形成由企业决策层主导、企业总法律顾问牵头、企业法律顾问提供业务保障、全体员工共同参与的法律风险责任体系。完善企业重大法律纠纷案件的备案管理制度；

(九)建立重要岗位权力制衡制度，明确规定不相容职责的分离。主要包括：授权批准、业务经办、会计记录、财产保管和稽核检查等职责。对内控所涉及的重要岗位可设置一岗双人、双职、双责，相互制约；明确该岗位的上级部门或人员对其应采取的监督措施和应负的监督责任；将该岗位作为内部审计的重点等。

第三十五条 企业应当按照各有关部门和业务单位的职责分工，认真组织实施风险管理解决方案，确保各项措施落实到位。

第六章 风险管理的监督与改进

第三十六条 企业应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险管理初始信息、风险评估、风险管理策略、关键控制活动及风险管理解决方案的实施情况进行监督，采用压力测试、返回测试、穿行测试以及风险控制自我评估等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。

第三十七条 企业应建立贯穿于整个风险管理基本流程，连接各上下级、各部门和业务单位的风险管理信息沟通渠道，确保信息沟通的及时、准确、完整，为风险管理监督与改进奠定基础。

第三十八条 企业各有关部门和业务单位应定期对风险管理工作进行自查和检验，及时发现缺陷并改进，其检查、检验报告应及时报送企业风险管理职能部门。

第三十九条 企业风险管理职能部门应定期对各部门和业务单位风险管理工作实施情况和有效性进行检查和检验，要根据本指引第三十条要求对风险管理策略进行评估，对跨部门和业务单位的风险管理解决方案进行评价，提出调整或改进建议，出具评价和建议报告，及时报送企业总经理或其委托分管风险管理工作的高级管理人员。

第四十条 企业内部审计部门应至少每年一次对包括风险管理职能部门在内的各有关部门和业务单位能否按照有关规定开展风险管理工作及其工作效果进行监督评价，监督评价报告应直接报送董事会或董事会下设的风险管理委员会和审计委员会。此项工作也可结合审计、任期审计或专项审计工作一并开展。

第四十一条 企业可聘请有资质、信誉好、风险管理专业能力强的中介机构对企业全面风险管理工作进行评价，出具风险管理评估和建议专项报告。报告一般应包括以下几方面的实施情况、存在缺陷和改进建议：

(一)风险管理基本流程与风险管理策略；

(二)企业重大风险、重大事件和重要管理及业务流程的风险管理及内部控制系统的建设；

(三)风险管理组织体系与信息系统；

(四)全面风险管理总体目标。

第七章 风险管理组织体系

第四十二条 企业应建立健全风险管理组织体系，主要包括规范的公司法人治理结构，风险管理职能部门、内部审计部门和法律事务部门以及其他有关职能部门、业务单位的组织领导机构及其职责。

第四十三条 企业应建立健全规范的公司法人治理结构，股东（大）会（对于国有独资公司或国有独资企业，即指国资委，下同）、董事会、监事会、经理层依法履行职责，形成高效运转、有效制衡的监督约束机制。

第四十四条 国有独资公司和国有控股公司应建立外部董事、独立董事制度，外部董事、独立董事人数应超过董事会全部成员的半数，以保证董事会能够在重大决策、重大风险管理等方面作出独立于经理层的判断和选择。

第四十五条 董事会就全面风险管理工作的有效性对股东（大）会负责。董事会在全面风险管理方面主要履行以下职责：

（一）审议并向股东（大）会提交企业全面风险管理工作报告；

（二）确定企业风险管理总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理解决方案；

（三）了解和掌握企业面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；

（四）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

（五）批准重大决策的风险评估报告；

（六）批准内部审计部门提交的风险管理监督评价审计报告；

（七）批准风险管理组织机构设置及其职责方案；

（八）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；

（九）督导企业风险管理文化的培育；

（十）全面风险管理其他重大事项。

第四十六条 具备条件的企业，董事会可下设风险管理委员会。该委员会的召集人应由不兼任总经理的董事长担任；董事长兼任总经理的，召集人应由外部董事或独立董事担任。该委员会成员中需有熟悉企业重要管理及业务流程的董事，以及具备风险管理监管知识或经验、具有一定法律知识的董事。

第四十七条 风险管理委员会对董事会负责，主要履行以下职责：

(一)提交全面风险管理报告；

(二)审议风险管理策略和重大风险管理解决方案；

(三)审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；

(四)审议内部审计部门提交的风险管理监督评价审计综合报告；

(五)审议风险管理组织机构设置及其职责方案；

(六)办理董事会授权的有关全面风险管理的其他事项。

第四十八条 企业总经理对全面风险管理工作的有效性向董事会负责。总经理或总经理委托的高级管理人员，负责主持全面风险管理的日常工作，负责组织拟订企业风险管理组织机构设置及其职责方案。

第四十九条 企业应设立专职部门或确定相关职能部门履行全面风险管理的职责。该部门对总经理或其委托的高级管理人员负责，主要履行以下职责：

(一)研究提出全面风险管理工作报告；

(二)研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

(三)研究提出跨职能部门的重大决策风险评估报告；

(四)研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；

(五)负责对全面风险管理有效性评估，研究提出全面风险管理的改进方案；

(六)负责组织建立风险管理信息系统；

(七)负责组织协调全面风险管理日常工作；

(八)负责指导、监督有关职能部门、各业务单位以及全资、控股子企业开展全面风险管理工作；

(九)办理风险管理其他有关工作。

第五十条 企业应在董事会下设立审计委员会，企业内部审计部门对审计委员会负责。审计委员会和内部审计部门的职责应符合《中央企业内部审计管理暂行办法》（国资委令第8号）的有关规定。内部审计部门在风险管理方面，主要负责研究提出全面风险管理监督评价体系，制定监督评价相关制度，开展监督与评价，出具监督评价审计报告。

第五十一条 企业其他职能部门及各业务单位在全面风险管理工作中，应接受风险管理职能部门和内部审计部门的组织、协调、指导和监督，主要履行以下职责：

(一)执行风险管理基本流程；

(二)研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

(三)研究提出本职能部门或业务单位的重大决策风险评估报告；

(四)做好本职能部门或业务单位建立风险管理信息系统的工作；

(五)做好培育风险管理文化的有关工作；

(六)建立健全本职能部门或业务单位的风险管理内部控制子系统；

(七)办理风险管理其他有关工作。

第五十二条 企业应通过法定程序，指导和监督其全资、控股子企业建立与企业相适应或符合全资、控股子企业自身特点、能有效发挥作用的风险管理组织体系。

第八章 风险管理信息系统

第五十三条 企业应将信息技术应用于风险管理的各项工作，建立涵盖风险管理基本流程和内部控制系统各环节的风险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等。

第五十四条 企业应采取措施确保向风险管理信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性。对输入信息系统的数据，未经批准，不得更改。

第五十五条 风险管理信息系统应能够进行对各种风险的计量和定量分析、定量测试；能够实时反映风险矩阵和排序频谱、重大风险和重要业务流程的监控状态；能够对超过风险预警上限的重大风险实施信息报警；能够满足风险管理内部信息报告制度和企业对外信息披露管理制度的要求。

第五十六条 风险管理信息系统应实现信息在各职能部门、业务单位之间的集成与共享，既能满足单项业务风险管理的要求，也能满足企业整体和跨职能部门、业务单位的风险管理综合要求。

第五十七条 企业应确保风险管理信息系统的稳定运行和安全，并根据实际需要不断进行改进、完善或更新。

第五十八条 已建立或基本建立企业管理信息系统的企业，应补充、调整、更新已有的管理流程和管理程序，建立完善的风险管理信息系统；尚未建立企业管理信息系统的，应将风险管理与企业各项管理业务流程、管理软件统一规划、统一设计、统一实施、同步运行。

第九章 风险管理文化

第五十九条 企业应注重建立具有风险意识的企业文化，促进企业风险管理水平、员工风险管理素质的提升，保障企业风险管理目标的实现。

第六十条 风险管理文化建设应融入企业文化建设全过程。大力培育和塑造良好的风险管理文化，树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进企业建立系统、规范、高效的风险管理机制。

第六十一条 企业应在内部各个层面营造风险管理文化氛围。董事会应高度重视风险管理文化的培育，总经理负责培育风险管理文化的日常工作。董事和高级管理人员应在培育风险管理文化中起表率作用。重要管理及业务流程和风险控制点的管理人员和业务操作人员应成为培育风险管理文化的骨干。

第六十二条 企业应大力加强员工法律素质教育，制定员工道德诚信准则，形成人人讲道德诚信、合法合规经营的风险管理文化。对于不遵守国家法律法规和企业规章制度、弄虚作假、徇私舞弊等违法及违反道德诚信准则的行为，企业应严肃查处。

第六十三条 企业全体员工尤其是各级管理人员和业务操作人员应通过多种形式，努力传播企业风险管理文化，牢固树立风险无处不在、风险无时不在、严格防控纯粹风险、审慎处置机会风险、岗位风险管理责任重大等意识和理念。

第六十四条 风险管理文化建设应与薪酬制度和人事制度相结合，有利于增强各级管理人员特别是高级管理人员风险意识，防止盲目扩张、片面追求业绩、忽视风险等行为的发生。

第六十五条 企业应建立重要管理及业务流程、风险控制点的管理人员和业务操作人员岗前风险管理培训制度。采取多种途经和形式，加强对风险管理理念、知识、流程、管控核心内容的培训，培养风险管理人才，培育风险管理文化。

第十章 附则

第六十六条 中央企业中未设立董事会的国有独资企业，由经理办公会议代行本指引中有关董事会的职责，总经理对本指引的贯彻执行负责。

第六十七条 本指引在中央企业投资、财务报告、衍生产品交易等方面的风险管理配套文件另行下发。

第六十八条 本指引的《附录》对本指引所涉及的有关技术方法和专业术语进行了说明。

第六十九条 本指引由国务院国有资产监督管理委员会负责解释。

第七十条 本指引自印发之日起施行。

本内容来源于政府官方网站，如需引用，请以正式文件为准。

第五篇：××公司2015全面风险管理报告

霍邱县XXX有限责任公司2015年全面风险管理报告

一、2014年风险管理工作总结

（一）2014年风险管理工作综合回顾

霍邱县XXX有限责任公司深入贯彻落实XXX集团公司关于加强风险管理工作的要求，按照《中国XXX集团公司全面风险管理规定》及XXX邯邢矿业有限公司《全面风险管理暂行规定》，围绕“防范重大风险，保障基建进度”的总目标，坚持全面、协调、可持续的科学发展观，整合公司的管理体系，进一步强化管理职能；根据基建时期特点，明确公司基建期安全管理、工程项目管理、资金管理、招投标和合同管理等主要风险控制点，在进行2014年全面风险评估的基础上，按风险类别排序并提出重大风险应对措施，制定较清晰的风险管理策略。

（二）2014年重大风险管理情况 1、2014年重大风险管理情况

①安全风险管理：规避安全风险，从落实安全生产责任制、建立健全工作机制入手，通过严格隐患排查，狠抓隐患整改，不断推动安全工作的创新和发展，确保公司基建期安全生产的持续稳定发展。具体措施是：

贯彻安全生产预防为主方针，坚持建设项目安全、环保、职业卫生“三同时”。一方面按照国家法律法规要求，根据基建工程施工和进度的需要，逐步开展避险“六大系统”的建设，确保安全设施与主体工程同时设计、同时施工、同时投入运行和使用。强化对外包施工队伍的安全监管。首先是严把准入关，严格贯彻执行邯邢矿业公司《进一步加强外来承包、承租单位安全生产管理的规定》、《关于加强外用工程队审批管理的通知》及《关于进一步加强对外来承包单位安全监管工作的紧急通知》等文件，对所有进入XXX公司施工队伍的安全生产资质进行严格审查，只有审查合格的施工单位方可入场作业，签定正式安全管理协议，并依据安全管理协议，缴纳安全保障金。

加强对重点部位、重要设备设施的安全管理。一是严格落实重要设备设施检验备案工作，对提升设备卷扬等重要设施，要求按安全规程定期进行检验合格后方可继续使用，并及时到监理公司和相关科室进行备案。二是加强现场安全监管，重点对施工单位的提升、卷扬运行记录、钢丝绳检查记录、安全确认、地表建筑安全防护等进行跟踪检查，确保记录及时、真实有效。三是强化特种作业的管理。定期对特种作业的培训取证情况进行检查，确保特殊工种持证率达100%。四是对重要供配电系统严格用电安全管理制度，保持供电设备状况良好，对查出的隐患及时进行落实整改，不带病作业。

扎实推进HSE、安全标准化管理体系建设。2014年6月底通过开展公司第二次内部审核工作，决定将质量、健康、安全、环境管理系统进行整合、形成Q/HSE管理体系，组织《标准化职工安全操作手册》宣贯工作，进一步对公司及项目部各岗位人员进行培训。推动井下现场安全确认制度、创建安全标准化班组、隐患排查治理工作。HSE、安全标准化体系的发布实施，对于强化安全生产、环境保护监督管理，将长期处于一种稳定受控的安全状态，为公司基本建设提供良好的安全保障。

②资金风险管理：资金由于流动性很强，出现错弊的可能性更大，保护资金安全的要求更迫切。风险控制环节涉及审批控制、收付控制、复核控制、银行账户管理控制、票据与印章管理控制等多个点上。为加强资金收支管理，规范结算行为，提高资金使用效率，公司制定了《资金管理暂行办法》，对资金收支范围、支付要求、支付审批的程序、现金及银行账户管理等方面做出具体要求。基建资金支出，按照邯邢《基本建设资金管理办法》及XXX《2014年资金管理办法》严格执行，通过SAP系统报控股公司工程部批准，财务部基建财务科监督支付。具体流程是：工程预算科编制工程进度结算审批表→ 采购订单挂接ERP信息系统→上级工程主管部门审批→财务科根据结算资料校验发票并挂账→工程预算科与财务科核对累计结算情况后提出付款申请→履行资金审批程序→财务科办理转账手续→邯邢财务部授权支付。采购资金支出：设备、材料及备件采购，由业务部门根据批准的申购计划在ERP系统创建预留订单，按照合同约定付款条件，提出付款申请，履行资金审批程序后财务科办理转款手续，上级财务部授权支付。建立《财务印章、票据管理规定》，贯彻不相容职务分离的原则，印章与票据等有价证券管理实行岗位分离，各负其责互相监督，适时核对定期盘点，确保资金运行安全高效。

③工程项目管理风险：一是加强制度建设，完善招投标管理。为了加强基建矿山投资管控，今年修订了《招投标管理暂行办法》，对招标范围、招标金额、招标选择方式、招投标监督管理以及投标、开标、评标、定标等各环节的管理要求等进行了明确规定，规范公司工程建设、工程设备及物资采购等招投标行为，按程序要求对投标文件进行技术、成本等方面的评审，有效规避招投标中的舞弊行为、投标人的资质条件不符合要求或挂靠、冒用他人名义等可能导致工程质量难以达到规定标准的风险。二是按设计和合同所确定的工期、进度计划等相关要求进行施工建设，并采用科学规范的管理方式保证施工质量、进度和安全。公司编制了项目总体进度计划和基建网络计划图，并按照总体进度要求，施工单位提交详细的施工组织设计。三是项目建设过程中，将人的行为、关键过程、关键操作，施工设备材料的性能和质量，施工技术参数等作为重点控制对象，建设单位与监理经常检查进度执行情况，并形成检查日志、监理日志、监理周月报、安全检查周月报、进度检查周月报等工作文件，根据实际施工情况调整后面的施工计划，使工程进度、质量和安全处于有序可控的状态。

④合同管理风险：公司加强合同管理工作，严格执行《合同管理办法》，各业务职能科室在公司总经理授权范围内负责合同的审查、签订、履行及管理工作。凡是金额超过30万元以上（含30万元）的合同必须报邯邢矿业对口管理部门及风险管控部审批，并就提出的不当内容和条款加以修改。承办部门、授权代理人、合同管理部门及其他有关人员密切配合，落实资信调查、商务谈判、条款拟定、审查会签、审批、签署、履行及备案归档等全过程的管理。制作合同资料审核清单，认真审核招投标及议价-资质确认-合同文本拟订-公司会审-公司会签等程序是否按规定办理，相关资料是否完整，确保合同签订程序合法。针对合同会签部门职责不明确现象，制定了合同管理补充规定，按合同性质分类指定会签部门及其主要审核责任。建立合同管理台账，详细登记合同相关信息，掌握合同履约情况，及时提出在法律风险方面的建议，督促业务部门严格按约定条款履行权利与义务，维护企业利益。做好合同整理存档工作，合同有关的背景资料、资信证明、授权委托书、代理人身份证明及会签审批意见书等收集移交均需经办人签字，并对合同资料的真实性、完整性负责。

⑤物资设备采购风险：在需求计划和采购计划、请购、选择供应商、确定采购价格、订立框架协议或采购合同、管理供应过程、验收、退货、付款等环节加强风险点控制，不断防范采购风险，全面提升采购效能。严格执行《物资管理暂行办法》，公司基建工程所需物资，按照ERP系统流程，技术部门预留挂接，由物资供应科下订单采购，做到有计划、有批复，整体提升物资计划采购的执行力。集中采购业务委托XXX矿业（安徽）开发有限公司办理，自采业务通过招议标方式选择信誉度好、性价比高的供应商签订购销合同，坚持“比质比价”、“货比三家”的采购原则，确保采购价格贴合市场，降低采购成本。抓好合同执行环节控制，到货验收都严格按照制度执行，组织相关科室、监理等对到货物品按照合同和到货清单进行逐项核实，确保到货物品与采购合同要求的材质、规格相吻合。业务部门建立了合同履行管理台账，做好采购业务各环节的记录，并经常与财务部门进行核对，进行采购会计系统控制。2、2014年风险提示预警情况 2014年风险提示预警实例表（略）【注】：

（1）涉及风险类别：指提示预警事项主要针对哪种风险，如：信用风险、市场风险、仓储管理风险、法律风险/合同管理风险等各项风险。

（2）提示预警的方式：指提示预警采取了书面或口头方式。

（3）预警反馈及产生的结果：指风险管理部门或其他职能部门提示预警后，被预警单位采取何种措施，从而避免了风险事件的发生，或降低了风险损失，或对经营管理工作改善起到了哪些作用等。3、2014年发生的重大风险事件及相关情况说明 未发生发生的重大风险事件

（三）2014年对风险管理工作的监督检查情况

今年以来，以各职能科室为责任主体，将已有的管理制度与内部控制标准进行衔接，强化风险管理机制，提高了风险管理意识，以内控自评价为基础，按照集团公司夯实基础、持续优化、重点突出、务求实效的总原则要求，结合公司基建特点，积极开展效能监察、常规审计等活动，进行风险防控。针对管理过程中发现的问题按业务分类，提出工程管理、合同管理、安全生产管理等业务风险二十条整改建议，督促责任部门按照要求进行整改。积极配合上级部门进行三重一大重点监察等项工作，整理归纳招投标、工程结算、资金管理及外用工程队安全管理等方面的管理缺陷，提出十五项建议，并指定相关部门落实整改责任，充分起到了防范风险、堵塞漏洞的作用。

二、业务中心或公司2015年重大风险评估情况

（一）2015年重大风险评估整体情况

2015年我公司风险评估结果显示，面临的重大风险主要是安全风险、工程项目管理风险、市场风险。

（1）风险名称:安全风险 风险类别:运营风险

造成的损失或影响:井下及地面项目建设全面展开，任何环节上的管理疏忽，安全生产责任事故的发生都会直接造成人员伤亡、生产设施损坏、工程毁坏、建设停顿，给公司带来重大经济损失或可能承担的因安全管理、生产设施缺陷推及的行政、法律责任，同时还可能导致公司声誉受损。

风险管理策略:充分贯彻安全、环保、健康的科学发展理念，按照“统一领导、综合协调，分级监管、全员参与”的原则，制定覆盖全员的安全生产责任制度，对公司领导及每一名员工的职责范围进行明确界定，将安全责任层层分解，形成横向到边、纵向到底的一个健全、完善的安全生产责任制体系，明确各级组织在安全生产方面的职责。制定危险源监控和动态管理措施，定期检查安全情况和排查整改安全隐患。加强对职工的安全教育和培训工作，规范职工安全教育培训档案内容，建立特种操作人员安全教育培训和持证上岗登记管理档案。

风险解决方案:严格遵守国家关于安全生产的法律法规，深化HSE和安全标准化体系建设，提升安全管理水平。确保安全设施投入，完善安全硬件设施，制定安全应急预案，开展应急救援演练。落实领导值班制度，加强巡回检查，突出抓好重大事故隐患、薄弱环节的专项整治。对承包商进行安全资格准入管理、日常安全监管和退出管理，将外包施工项目部纳入公司安全管理并统一进行安全考核，提高安全管理的覆盖面。完善事故后的管理措施，坚决执行安全生产问责制，坚持 “四不放过的原则”，控制事故损失和不利影响，确保公司健康发展。

（2）风险名称:工程项目管理风险 风险类别: 运营风险

造成的损失或影响:招标环节中投标资格条件因人而设，如果不能做到公平、合理，可能导致中标人并非最优选择；施工中盲目赶进度，牺牲质量、费用目标，导致质量低劣，费用超支；质量、安全监管不到位，存在质量隐患；验收环节竣工验收不规范，质量检验把关不严，可能导致工程存在重大质量隐患；虚报项目投资完成额、虚列建设成本或者隐匿结余资金，竣工决算失真。

风险管理策略:严格执行国家《招标投标法》及公司的《招投标管理办法》，按规定程序和流程开展招投标、开标、评标活动并实施监督，建立健全工程签证、工程验收、工程结算等相关内控制度，督促监理单位建立监理进度控制体系，明确相关程序、要求和责任，细化流程管控，确保工程建设顺利推进，采用科学规范的管理方式保证施工质量、进度和安全。

风险解决方案:○1工程招标： 严格审核投标单位的合法证件、资质证明，调查其经营业绩及市场信誉，并定期进行信用评价。坚持公平公正原则，做好开评标工作，依法保护企业和潜在投标人权益。2合同管理： 工程合同签订环节，○报邯邢矿业公司工程部和风险管控部进行审核备案，履行内部各相关科室会审、会签程序，从多方位、多角度做好合同风险控制，避免因条款遗漏、表述不当、违约责任及索赔标准不明确等方面的风险。○3工程管理：工程管理部门负有甲方代表职责，监督施工单位施工前列出重要的质量控制点，报经监理机构同意后，在此基础上实施关键过程、关键操作，施工设备材质量预控，按合同约定对材料、工程设备以及工程的所有部位及其施工工艺进行全过程的质量检查和检验，报送监理机构审查。主要工序作业，只有监理机构审验后，才能进行下道工序，调整进度必须优先保证质量，并同甲方代表、监理机构达成一致意见。加强对施工单位的安全检查，按安全文明生产考核办法进行考核并严格奖惩兑现，促进施工单位细化各项安全防范措施，实现安全生产、文明施工。○4验收及结算： 执行邯邢矿业《工程结算管理办法》，会同设计、施工、监理单位以及工程质量监督部门等，进行施工进度验收和工程竣工验收，工程预算部门对价款结算严格审查并报上级部门审核批复，办理结算时及时扣除甲方供应水电、原材料等项费用。建立合同履行情况登记台账，掌握进度结算和付款情况。竣工验收后，仍可能存在质量问题，要督促设计、施工、设备材料供应各单位做好回访与保修工作；如果出现问题，应分清原因，妥善处理返修费用，加强项目回访与保修期的投资控制。

（3）风险名称：价格风险 风险类别：市场风险

造成的损失或影响:行业发展状况及产业调整等不确定因素的的波动，铁矿产品市场价格不断下降，直接对公司的战略发展目标造成不良影响。

风险管理策略：时刻把握国家政策变化，持续洞察宏观经济走势，持续关注市场动态，随时调整企业经营策略，积极应对各种不利局面。制定企业成本改善的目标，选择合理的成本改善对策，实施成本改善降低措施，对实施后效果进行评估，对降低成本的效果进行标准化。

风险解决方案:○1以宏观经济和、政策环境、行业环境、市场环境的变化为依据，对公司资源、能力、发展目标等情况进行系统分析和综合评价，及时调整公司战略发展目标。○2制定《资金管理办法》，对资金收支范围、支付要求、支付审批的程序、现金及银行账户管理等方面做出具体要求。资金支出，按照邯邢《基本建设资金管理办法》，通过SAP系统报控股公司工程部批准，财务部基建财务科监督支付。

（二）本业务中心或公司2015年重大风险排序

重大风险排序表（略）

三、本业务中心或公司2015年全面风险管理工作计划

2015年，深入贯彻落实国资委对中央企业加强全面风险管理工作的要求，按照《中央企业全面风险管理指引》的要求和《中国XXX集团公司全面风险管理规定》的规定，及XXX邯邢矿业《全面风险管理暂行规定》要求，将从以下几点做好明年全面风险管理工作：

1、建立健全公司内部风险管控体系。以公司总经理负责的风险管理体系，监察审计为牵头管理部门，各业务科室为风险控制责任区的全面风险管理体系，做到相互配合、层层把关。

2、建立健全内部控制体系监督检查制度，深入细致的对公司现有制度及业务流程进行梳理，对照《XXX股份内控标准》，通过对公司内部控制工作进行自评价，及时查找缺陷进行整改。根据风险业务开展情况，及时提出预警提示，堵漏补缺加强防范，降低风险成本。

3、以管理提升为契机，建立健全内部控制制度，完善工程项目进度、质量、安全、采购、资金等业务管理流程设计，建立相关记录台账，在风险环节控制点上留有管控痕迹，便于查找存在问题落实责任，同时为后续工作提供借鉴。

4、根据风险评估结果，重点加强安全管理、工程管理、设备及材料采购、资金收支等业务的风险防控，通过开展内部审计、效能监察、内控评价等工作，检查各项规章制度、业务程序执行情况，督促各项风险控制措施落实到位。

5、定期开展全面业务风险预测，分析重大经济活动可能出现的法律风险、经营风险以及企业信誉风险，提早制定风险控制措施，努力做到未雨绸缪防患于未然。

6、风险管理者要有良好的职业道德、业务水平，熟知具体业务规范程序、风险环节控制点以及有效规避风险的措施方法。因此，加强全面风险管理人员培训，提高风险管控人员的业务素质和风险意识，更好地开展全面风险管理工作。

总经理签字：

霍邱县XXX有限责任公司 2014年11月25日