集团与子公司风险框架的嵌套：统一语言与本地裁剪的边界

集团与子公司风险框架的嵌套

统一语言与本地裁剪的边界本文档提供：表1嵌套三层规则与本地裁剪边界对照表；表2本地化裁剪清单（必选项/可选项/禁止项）；表3审批链配置表（报告vs审批）；表4三维授权矩阵模板；表5嵌套失效排查顺序卡；案例“某集团贸易板块单一金额授权下的越权与返工”；表6三套场景操作序列；表7数据来源与时效说明表。内部编号：GRP-NEST-2026-01。2026-11-02这一节的标题读完你能拿到什么这一节在全文中的功能二、嵌套不是把集团制度复制一份给子公司表1：嵌套三层规则与本地裁剪边界对照表把“嵌套”拆成三个有先后顺序的层级，明确每一层谁定、子公司能动什么三、本地化裁剪清单：哪些必须照搬，哪些可以改，哪些不准碰表2：本地化裁剪清单（必选项/可选项/禁止项）给出子公司逐项勾选的裁剪边界，替代“结合实际执行”这类无法核查的表述四、报告不等于审批：审批链上两条路径的责任归属完全不同表3：审批链配置表（报告vs审批）把“报集团”这个模糊动作拆成两条责任线，明确书面批复的形式要求五、授权不能只写金额：三个维度同时设定，缺一个就留解释空间表4：三维授权矩阵模板把单一金额授权扩展到品类和对手方维度，堵住“超出授权本意”的争议六、嵌套失效了，按这个顺序查表5：嵌套失效排查顺序卡区分“集团该定的没定”“子公司裁过了界”“审批链断了”三种失败位置七、某集团贸易板块单一金额授权下的越权与返工完整案例：起点、分步操作、四次试错、终点展示授权维度缺失、报告与审批混同如何在核查中变成责任下沉，以及三维授权和报批清单的落地过程八、三套场景操作序列表6：完整版、精简版、极简版按集团管控强度和子公司数量选择执行深度九、差异化与来源表7：数据来源与时效说明表标明哪些来自监管要求、哪些来自公开实践、哪些是经验建议按第一列在正文找对应那节，按第二列判断这节有没有你要的东西，按第三列判断这节是否对应你当前卡住的位置。集团将一套风险管理制度发给各子公司，要求“结合本地实际制定实施细则”。六个月后，一家子公司的实施细则把集团规定的“单笔超过500万元须报集团审批”改成了“单笔超过800万元须报集团审批”，理由是本地业务单笔金额普遍偏大，按500万元执行会导致大量交易积压。集团风险管理部门在季度检查中发现这一改动，但制度中没有任何条款说明这条限额是否属于可以本地调整的范围。子公司认为自己是在“结合本地实际”，集团认为这条限额是统一底线。双方都没有书面的裁剪依据。二、嵌套不是把集团制度复制一份给子公司集团与子公司的风险框架关系不是“总部制定、子公司执行”，也不是“各自制定、事后汇总”。嵌套意味着三层规则按固定顺序建立，每一层的设定权归属不同，子公司的裁剪空间由上层规则预先界定。建设银行在公开披露中将这一关系表述为“不断完善集团风险偏好、风险管理政策的传导落实机制”，并同时建立“风险隔离机制”和“防火墙”，防范跨业、跨机构风险传染。传导和隔离是同一嵌套结构的两个面：偏好和政策要传下去，风险边界要隔开。表1嵌套三层规则与本地裁剪边界对照表层级谁设定设定什么子公司在这一层能做什么如果这一层缺失，会出现什么第一层：集团统一底座集团董事会或授权的风险管理委员会风险定义与分类口径、风险偏好的定量边界、必须全集团一致的审批规则、数据字段标准、禁止性事项清单不能修改；只能在使用中提出修订建议，修订须走集团审批子公司各自解释“风险”和“重大”，同一类风险在不同法人的登记册中不可比，集团层面无法汇总第二层：子公司本地细则子公司董事会或管理层，在集团底座内本地风险偏好的细化、与本地业务匹配的评估参数、本地审批节点的增设、本地台账的字段扩展自主设定，但受第一层“可裁剪项清单”约束；不可触碰禁止项细则与集团底座冲突，或细则之间互相矛盾，集团检查时无法判断哪一版有效第三层：执行层操作规则子公司风险管理职能，在第二层细则内具体表单、检查步骤、台账维护频率、本地培训安排自主设定，不需要集团逐一审批，但须报集团备案操作规则偏离细则，但因为没有备案，集团在事件发生前看不到偏离表后解释：三层中，第一层和第二层的分界是嵌套能否成立的关键。第一层不设定“哪些可以裁、哪些不能裁”，第二层就会按照本地便利自行判断，裁剪变成事实上的重新制定。集团风险偏好和风险指标应由董事会、经理层或其授权机构分级审批，并分解至各子公司，这一分级授权的逻辑在公开的证券公司风险管理规范中以条文形式出现；保险集团的监管要求则进一步明确，子公司的风险偏好、风险容忍度和风险限额应当与集团层面“相协调”。“相协调”的操作含义是：子公司可以在集团给定的边界内调整数值和参数，但不能使本地框架的整体方向与集团相反。三、本地化裁剪清单：哪些必须照搬，哪些可以改，哪些不准碰子公司“结合实际”的空间需要被预先写成三栏清单：必选项、可选项、禁止项。必选项是集团底座中不可修改的条款；可选项是子公司可以在给定范围内调整的条款，调整须在细则中注明依据并报备；禁止项是无论本地情况如何都不能出现的安排。表2本地化裁剪清单（必选项/可选项/禁止项）类别条款类型集团要求子公司可以怎么做越界信号必选项风险定义与分类口径风险按“原因—事件—后果”描述；固有风险和剩余风险的定义在集团层面统一选定不得修改定义；可以在本地细则中增加示例，但示例不得与定义冲突本地细则中的风险描述只有名称，没有原因和后果；或本地使用的“固有风险”假设与集团表头不一致必选项风险偏好定量边界集团设定全组织组合层的不可接受方向和量化阈值不得放宽；可以收紧本地细则中的阈值宽于集团阈值，且没有集团批准记录必选项禁止性事项集团列明的不可进入的业务方向或风险类型不得以“本地市场特殊情况”为由绕过本地细则中出现集团禁止项，但标注为“经本地评估后执行”必选项数据字段标准风险登记册的核心字段（风险编号、所有者、固有/剩余评分、处置决定、复查日期）口径全集团一致不得删减核心字段；可以增加本地扩展字段本地登记册缺少所有者或处置决定列，导致集团无法汇总可选项可能性刻度的变体选择集团允许概率或频率两种变体，但要求同一法人在同一矩阵中不混用选择概率或频率，并写明选择理由；刻度定义报集团备案同一子公司的不同业务单元使用不同变体，且没有映射规则可选项评估参数（如情景假设的严重程度）集团给出参数区间或参照基准在区间内选择本地参数；超出区间的，须附本地数据论证并报集团审批本地参数显著偏离集团基准，但没有数据论证或批准记录可选项审批节点的增设集团规定的最低审批链可以在集团审批链之上增加本地节点（如增加业务单元负责人会签），不得减少或替代集团节点本地增加了会签节点，但集团要求的风险负责人审批节点被省略或由他人代签可选项台账维护频率集团规定最低报告频率（如季度）可以提高频率（如月度），不得降低本地台账按半年更新，但集团要求季度报告禁止项改变集团审批链的实质集团规定的“报告”和“审批”两类事项不得互换不得将审批类事项改为报告类；不得以邮件抄送替代书面批复本地细则将某类事项从“审批”改为“报告”，或规定“邮件抄送即视为报备”禁止项超限额处置的自动通过集团要求超限额须经有权层级批准，不得自动通过不得设定“超限后自动延续”或“超限金额在某一比例内视为合规”本地细则中出现“超限10%以内自动通过”或“超限后补报即可”表后解释：清单的用法是逐条勾选，不是通读。子公司制定本地细则时，对每一个条款回答三个问题：它属于哪一栏（必选/可选/禁止）？如果属于可选项，本地做了什么选择、依据是什么？如果属于禁止项，本地细则中是否存在与之冲突的表述？三个问题中任何一个答不出，该条款不进入本地细则。集团备案时，只核对可选项的选择记录和禁止项的冲突排查结果，不逐条重读本地细则全文。四、报告不等于审批：审批链上两条路径的责任归属完全不同“报集团”在实务中至少指两种不同的动作，责任归属相反。报告是单向告知，责任留在子公司；审批是上级确认，责任随批复上移到集团层级。如果制度中没有把两类事项分开，子公司会把审批类事项当作报告类处理，集团在事后核查时以“只做了原则性同意”为由主张未参与决策，子公司则拿不出集团参与决策的书面记录。表3审批链配置表（报告vs审批）事项类型集团动作责任归属书面要求超期未处理时怎么办报告类接收并备案，不作出同意或不同意的意思表示责任留在子公司；报告不免除子公司的决策责任报告回执或收件记录；不需要批复文号超期未反馈不改变责任归属；子公司按本地授权继续执行审批类作出同意、不同意或附条件同意的书面决定批复后责任上移至集团对应审批层级；未批复前子公司不得执行书面批复并带文号；邮件、微信、口头同意不构成审批制度必须写明“超期未批复视为不同意”；写“视为同意”或不写的，子公司继续执行时责任仍在子公司混合类（先报告后审批）先接收报告，再在报告基础上作出审批决定报告阶段责任在子公司；审批阶段责任上移报告回执+书面批复文号，两份文件分别留存报告已收但审批未批的，按审批类处理，不得以“已经报告了”为由执行表后解释：这张表的使用规则是：子公司制定本地细则时，必须对每一项需要与集团交互的事项标注“报告”或“审批”，不能写“报集团”而不注明类型。集团在批复中应当引用子公司报告或申请的编号，使审批链条在文件层面可以追溯。公开的集团管理实践提示了一个具体的失败模式：如果子公司习惯“先做后报”，规则就失去了实际效果。把报告和审批混同，是“先做后报”在制度层面最常见的入口。五、授权不能只写金额：三个维度同时设定，缺一个就留解释空间单一金额授权——“5000万元以内子公司自主决策，超过报集团”——在核查现场几乎必然失效，因为金额之外的业务性质没有被约束，集团事后可以主张某笔交易“超出授权本意”，而授权文件无法反驳。三维授权的做法是把金额、品类和对手方同时写进授权文件，并写明“超出以上任一维度须上报集团审批”。表4三维授权矩阵模板维度设定什么授权文件中的写法子公司越界的典型表现集团核查时的判定动作金额单笔上限、年度累计上限、单一对手方敞口上限，三个数分开“单笔不超过A万元，年度累计不超过B万元，单一对手方敞口不超过C万元”单笔在限额内，但年度累计或单一对手方敞口越线，且没有上报取授权文件中的三个数，分别与台账中的单笔、累计、对手方敞口比对；任一维度越线且无审批记录，判定越界品类可做品类白名单；白名单之外一律上报，不设自由裁量“授权品类限于下列清单；清单外品类须逐笔报集团审批，不得以‘与主业相关’为由自行解释”开展了白名单之外的新品类，以“试单”“创新业务”名义执行取本地业务台账中的品类字段，与白名单比对；白名单外且有执行记录，判定越界对手方按资信分为A/B/C档，不同档位对应不同授权额度和审批层级“A档对手方在金额授权内自主决策；B档须报集团风险部门会签；C档须报集团审批”对手方档位下调后，仍按原授权额度执行，未重新报批取对手方评级记录和交易发生日期，判断交易时点的档位是否对应所用授权路径表后解释：三维授权的关键措辞是“超出以上任一维度须上报集团审批”。这一句替代了“重大事项须上报”。“重大”没有数值边界，事后解释权完全在上级；三维授权把解释权固定在可核对的数值和清单上。子公司本地细则可以对三个维度的具体数值提出调整建议，但调整须经集团审批，不能由子公司自行修改授权矩阵。六、嵌套失效了，按这个顺序查表5嵌套失效排查顺序卡顺序第一检查点什么算失败换哪条路1打开集团底座文件，查第一层是否列出了“必选项/可选项/禁止项”清单集团底座只有原则性表述（“结合实际制定细则”），没有可裁剪范围清单先补清单，再检查子公司细则；清单未建立前，子公司细则中的任何“本地化”都缺少对照依据2取子公司本地细则，逐项对照表2的禁止项禁止项中存在冲突表述，或某一条款无法归入三栏中的任何一栏冲突条款暂停适用，提交集团风险管理部门裁定；无法归类的条款按“禁止项”处理，直到被明确归入可选项3取本地细则中的限额数值，与集团偏好边界比对本地限额宽于集团阈值，且没有集团批准记录本地限额收回到集团阈值以内；需要放宽的，按审批类事项提交集团，不得以“本地细则已规定”为由执行4取最近一个季度子公司与集团的交互记录，逐项判断属于报告还是审批审批类事项只有邮件或抄送记录，没有书面批复文号将该事项补入审批流程，取得书面批复后再执行；已执行的事后补批不改变责任归属，但进入整改清单5取授权矩阵，查金额、品类、对手方三个维度是否同时设定只有金额维度，或品类/对手方维度写“视情况确定”按表4补全三个维度；补全前，金额维度之外的业务按“须报集团审批”处理6取本地登记册，查核心字段（所有者、处置决定、复查日期）是否保留核心字段缺失，或本地扩展字段替代了核心字段的位置恢复核心字段；本地扩展字段可以在核心字段之后增加，不得占用核心字段的位置表后解释：第1步失败时，第2步的“越界”判断没有依据，因为集团从未说明边界在哪里。第3步和第5步可以并行，分别处理偏好数值和授权维度。第4步的“报告/审批”混同是嵌套失效最隐蔽的形式：制度文本上写了“报集团”，子公司报了，集团收了，但双方对“报”的含义理解不同，直到事件发生才暴露。七、某集团贸易板块单一金额授权下的越权与返工示例案例，细节为合理设定。人物称“某集团风险管理部负责人”。起点。某省属集团对贸易板块子公司的授权文件只写了“单笔5000万元以内子公司自主决策，超过报集团审批”。授权文件没有限定品类，也没有规定对手方分级。子公司依据该授权做了一笔有色金属贸易，金额4200万元，在单笔限额以内，但该品类不在子公司以往经营范围内。交易形成损失后，集团在核查中主张该业务“超出主业范围，不在授权本意之内”，授权文件因没有品类限制而未被核查认可。子公司总经理被单独认定责任，集团层面无人涉及。分步操作。第一步，集团风险管理部负责人按表5第5步检查授权矩阵，确认只有金额一个维度。第二步，按表4补全三个维度：金额设定单笔、年度累计和单一对手方敞口上限；品类设定白名单，白名单外须逐笔报集团审批；对手方分A/B/C档，不同档位对应不同审批路径。第三步，按表2检查子公司本地细则，发现细则将“超限10%以内视为合规”写入了操作规则，属于禁止项。该条款被删除，超限事项一律按审批类处理。第四步，按表3区分报告和审批事项：子公司月度经营数据属于报告类，新品类交易属于审批类，审批类须取得带文号的书面批复。不顺利环节。第一次试错。负责人的第一个假设是“授权文件加上品类白名单就够了”。他补了品类清单，但第一次使用时，子公司提出一笔白名单内品类、对手方为C档的交易，金额在授权内。授权文件没有对手方维度，集团无法以对手方资信为由要求上报。这一轮的新信息是：金额和品类之外，对手方的资信状态是独立的授权变量；同一品类下，对手方不同，风险不同。他按表4补入了对手方分级。第二次试错。三维授权补全后，子公司在执行一笔B档对手方交易时，按照“B档须报集团风险部门会签”的规则提交了会签。但集团风险部门在会签时只回复了“原则同意”，没有出具带文号的批复。事件发生后，集团主张“会签只是内部意见，不是审批”，责任仍在子公司。这一轮把问题从“授权维度”推到了“审批的形式要件”：口头或邮件形式的“同意”不构成审批，责任不会上移。负责人按表3修订规则，审批类事项必须出具带文号的书面批复，邮件和抄送不构成审批。第三次试错。修订后，审批类事项有了书面批复，但子公司反映审批周期过长，部分交易在等待批复期间错过了市场窗口。子公司提出“超期未批复视为同意”的条款。负责人按表3的规则拒绝：制度必须写“超期未批复视为不同意”，写“视为同意”会使子公司继续执行时的责任仍然留在子公司。他没有改变超期规则，而是在审批流程中增加了预沟通环节：子公司在正式提交审批前，先与集团风险部门就交易结构进行非正式沟通，正式提交后的批复周期因此缩短。这一轮的新信息是：审批链的刚性（视为不同意）和效率（预沟通）可以同时存在，刚性不需要通过模糊超期后果来换取。第四次试错。嵌套规则修订完成后，负责人按表2对子公司本地细则做了一次全面对照，发现另一家子公司的细则将集团规定的季度复查频率改成了“每半年或根据需要”。该条款属于可选项中的“台账维护频率”，集团规定的是最低频率，子公司只能提高不能降低。该子公司将频率改为月度，但月度更新后集团看板的数据汇总出现了延迟，因为集团系统按季度配置了数据抽取。这一轮把问题从“子公司越界”推到了“集团系统与本地细则的匹配”：子公司遵守了嵌套规则，但集团侧的数据基础设施没有同步调整。负责人将数据抽取频率改为可配置，不再固定为季度。终点。授权文件包含金额、品类、对手方三个维度，措辞为“超出以上任一维度须上报集团审批”。审批类事项出具带文号的书面批复，报告类事项保留回执记录。子公司本地细则的禁止项（超限自动通过、邮件视为报备）被删除；可选项（评估参数、台账频率）的选择记录报集团备案。集团看板的数据抽取频率改为可配置，与子公司实际更新频率匹配。嵌套结构从“一份制度加一句结合实际”变为三层规则加三栏裁剪清单。表后说明：案例中变量表如下。变量案例中情形如果变量不同处置变化授权维度初始只有金额，后补品类和对手方初始已有金额和品类，缺对手方第三次试错中对“会签不是审批”的发现仍然成立；补入对手方维度即可，不需要重做品类清单审批形式要件“原则同意”被主张为未审批集团已规定书面批复文号第二次试错不发生；直接进入审批周期与效率的权衡（第三次试错）超期规则子公司要求“视为同意”，集团坚持“视为不同意”集团愿意接受“视为同意”责任在超期后上移，但集团需要承担审批延误的后果；需要在授权文件中明确超期视为同意的金额上限和品类范围集团数据抽取频率固定季度，与子公司月度更新不匹配集团系统已支持可配置频率第四次试错不发生；嵌套规则修订后直接进入运行表后一句话：该案例中权重较高的变量是授权维度和审批形式要件。前者决定子公司有没有越界，后者决定越界或合规的责任落在哪一层。八、三套场景操作序列表6三套场景操作序列版本选择判定操作序列不能妥协的底线完整版集团对子公司实施强管控，或涉及监管报送和并表管理按表2建立三栏裁剪清单；按表4设定三维授权；按表3逐项标注报告/审批并取得书面批复；按表5六步排查；子公司本地细则逐条对照清单禁止项清单必须存在且被对照过；审批类事项必须有带文号的书面批复；授权矩阵三个维度不得缺项；本地限额不得宽于集团阈值精简版集团与子公司关系较松散，或子公司数量少、业务同质只建立必选项和禁止项两栏清单；授权矩阵至少包含金额和品类两个维度；只对高风险品类和超限事项要求书面批复禁止项（审批改报告、超限自动通过）不得存在；本地限额不得宽于集团；品类白名单外不得自主执行极简版个人准备一次集团与子公司的框架对齐讨论只做一件事：取子公司本地细则，逐条问“这一条属于必选、可选还是禁止”；无法归类的条款，按禁止处理，直到集团明确至少完成10个条款的归类；存在无法归类的条款时，该条款在讨论中不作为“已对齐”处理表后解释：完整版和精简版的区别在三栏清单是否完整、审批形式要件是否全面执行。精简版跳过对手方维度和部分可选项的备案，适用于集团管控强度较低的场景。极简版只验证本地细则与集团底座的对应关系，不产出授权矩阵和审批链。九、差异化与来源表7数据来源与时效说明表信息项来源层级核对状态建议验证事项（验证动作、验证对象、判定标准）核对路径集团风险偏好和风险管理政策需要向子公司传导落实，同时建立风险隔离机制[公开教研共识]已核对建设银行公开披露中关于并表管理和风险偏好传导的表述取集团现行制度，查是否有“传导落实”和“风险隔离”的具体条款；只有原则表述的，按表1第一层补集团制度文本与表1第一层设定项比对子公司风险偏好、容忍度和限额应当与集团层面相协调[公开教研共识]已核对保险集团监管办法第三十九条的表述取子公司风险偏好文件，查其阈值是否在集团边界内；宽于集团且无批准记录的，按表5第3步处理子公司偏好文件与集团偏好文件并置比对风险偏好和风险指标应由董事会、经理层或其授权机构分级审批，并分解至子公司[公开教研共识]已核对证券公司风险管理规范第三十二条的条文取集团授权文件，查风险偏好和指标的审批层级是否明确；未明确的，在授权文件中补入“分级审批”条款授权文件与条文表述比对单一金额授权在核查现场容易失效，三维