风险点四色图绘制规范

风险点四色图绘制规范一、总则（一）目的明确。为规范风险点四色图绘制工作，提升风险管理精细化水平，特制定本规范。（一）适用范围。本规范适用于公司所有业务领域、管理环节及运营活动的风险点识别、评估与四色图绘制工作。（二）基本原则。坚持全面覆盖、动态调整、分级分类、闭环管理的基本原则。二、绘制依据（一）法律法规。依据《安全生产法》《数据安全法》《网络安全法》等现行法律法规要求执行。（二）行业标准。参照GB/T31950-2015《风险管理风险评估技术》等国家标准及行业规范。（三）内部制度。结合公司《全面风险管理规定》《内部控制手册》等制度要求。三、四色图绘制标准（一）颜色定义。采用红、橙、黄、蓝四色体系，分别对应重大风险（红色）、较大风险（橙色）、一般风险（黄色）、低风险（蓝色）。1.红色风险。指可能造成重大损失、严重后果或重大社会影响的风险，发生可能性高且影响程度严重。2.橙色风险。指可能造成较大损失、较重后果或较大社会影响的风险，发生可能性较高且影响程度较重。3.黄色风险。指可能造成一般损失、轻微后果或一般社会影响的风险，发生可能性中等且影响程度一般。4.蓝色风险。指可能造成轻微损失、轻微后果或无重大社会影响的风险，发生可能性低且影响程度轻微。（二）绘制要素。四色图应包含风险点名称、风险描述、风险等级、管控措施、责任部门、责任人员、绘制日期等要素。（三）绘制工具。采用公司统一提供的风险管理信息系统或Excel模板进行绘制，确保数据标准化。四、绘制流程（一）风险识别。各部门组织人员通过头脑风暴、流程分析、历史数据分析等方法，全面识别业务范围内的风险点。1.风险识别应覆盖战略、运营、财务、合规、安全等所有业务领域。2.风险识别结果需经部门负责人审核确认，并报风险管理部备案。（二）风险评估。采用定量与定性相结合的方法对风险点进行评估。1.定性评估。采用专家打分法，对风险发生的可能性（L）和影响程度（S）进行1-5级评分，计算风险值R=L×S。2.定量评估。对可量化的风险点，采用概率统计方法计算预期损失值，结合影响程度进行综合评估。（三）等级判定。根据风险值R和公司风险容忍度，判定风险等级。1.R≥25为红色风险，L≥4且S≥4为橙色风险，3≤R＜25为黄色风险，R＜3为蓝色风险。2.特殊风险点需经公司风险管理委员会特别评估，不受上述标准限制。（四）措施制定。针对不同等级风险制定管控措施。1.红色风险必须制定专项管控方案，落实公司级监控措施。2.橙色风险需制定部门级管控方案，明确责任人和完成时限。3.黄色风险纳入常规管理，定期检查。4.蓝色风险可不作特别管控，但需记录在案。五、绘制要求（一）风险描述规范。风险描述应清晰、准确、具体，避免使用模糊语言。1.风险描述应包含风险触发条件、表现形式、潜在后果等要素。2.同一业务场景下的同类风险应采用统一表述规范。（二）等级标注规范。风险等级标注应与颜色体系严格对应，不得混用。1.等级标注应直接显示在风险点名称右侧，使用括号括起。2.修改风险等级时需说明原因并经原审核部门重新确认。（三）措施可操作性。管控措施必须具体、可执行，明确责任主体和完成时限。1.措施应包含预防措施和应急预案两部分。2.措施制定应考虑成本效益原则，优先选择投入产出比高的管控方式。六、动态管理（一）定期更新。四色图原则上每季度更新一次，重大业务调整或发生重大风险事件时应立即更新。（二）变更管理。风险等级或管控措施发生变更时，需填写变更申请表，经相关部门会签后报风险管理部备案。（三）评审机制。每年由风险管理部组织对四色图绘制质量进行评审，评审结果纳入部门绩效考核。七、组织保障（一）职责分工。各部门负责人是本部门风险点四色图绘制的第一责任人，风险管理部负责全公司四色图汇总与监督。（二）培训要求。新员工入职培训必须包含风险点四色图绘制规范内容，每年组织一次全员风险知识更新培训。（三）考核机制。将四色图绘制质量纳入部门年度风险管理考核，考核结果与绩效奖金挂钩。八、附则（一）模板管理。公司统一提供风险点四色图电子模板，各部门不得擅自修改模板结构。（二）保密要求。涉及商业秘密的风险点应标注保密等