2026年风险管理基本制度

2026年风险管理基本制度一、第一章总则风险管理的核心目标不是消灭风险，而是将不确定性转化为可量化、可控制的经营变量。本制度旨在建立一套穿透所有业务条线的事前预警、事中控制、事后复盘机制。第一条目的与依据

为全面提升公司抗风险能力，保障战略目标达成与持续合规运营，依据《中华人民共和国公司法》《企业内部控制基本规范》及公司章程，结合2026年经营规划，制定本制度。第二条适用范围

本制度适用于公司总部、各全资子公司及控股分公司（以下统称“各单位”）的所有业务活动、财务活动及合规管理。第三条风险管理分类

公司风险分为以下五类，各归口管理部门必须据此建立对应台账：•战略风险：因宏观经济、产业政策、技术颠覆导致战略方向失效的风险。•财务风险：因流动性枯竭、汇率剧烈波动、应收账款坏账导致资金链断裂的风险。•运营风险：因供应链中断、核心人员流失、生产安全事故导致日常经营停滞的风险。•市场风险：因原材料价格暴涨、竞争对手恶性价格战导致利润空间被压缩的风险。•合规风险：因违反数据安全法规、环保排放标准、反商业贿赂法律导致行政处罚或停产整顿的风险。二、第二章组织架构与职责划分风险管理必须打破“风控部门单打独斗”的孤岛效应，建立“三道防线”协同运作的立体架构。业务部门是第一道防线，承担主体责任；风控与合规部门是第二道防线，承担监督与工具赋能责任；审计与纪检部门是第三道防线，承担独立评价责任。第四条风险管理委员会1.人员构成：由首席执行官（CEO）任主任委员，首席财务官（CFO）、首席风险官（CRO）及各业务分管副总裁任委员。2.职责：负责审批公司年度风险偏好陈述书、重大风险应对方案，决定III级（重大）风险事件的应急启动与资源调度。3.议事规则：每季度首月15日前召开定期会议。遇突发重大风险，CRO有权提请召开临时会议，会议必须在事件定性后2小时内以线上或线下形式召开。第五条风险管理部（第二道防线）

作为风险管理委员会的常设执行机构，必须履行以下具体动作：1.工具输出：每年1月31日前，向各业务部门下发更新版的《风险评估矩阵模板》及《风险登记表样表》。2.监测预警：每个工作日9:00前，通过系统抓取财务及运营核心指标。若指标触及“黄色预警线”，必须在30分钟内向业务部门下发《风险提示函》，并抄送分管副总裁。3.独立性：风险管理部对业务部门的风险隐瞒行为拥有一票否决权，可直接向CEO报告。第六条业务部门（第一道防线）

各部门负责人是本部门风险管理的第一责任人，必须执行以下标准动作：1.识别建档：每季度末月25日前，完成本部门《风险登记表》的更新与提交。严禁仅复制上季度数据（会导致新风险漏网，替代方案是基于本季度新签合同、新上项目逐一提取风险节点）。2.响应时限：接到《风险提示函》后，必须在24小时内给出书面确认及初步处置方案，严禁以“正在核实”为由拖延回复。三、第三章风险评估与量化标准风险评估的目的是将定性的“可能出问题”转化为定量的“损失多少、何时发生”，只有量化的风险才能被有效定价和对冲。第七条风险识别机制

业务部门必须采用“业务流节点法”进行风险识别。必须梳理核心业务流程（如：采购下单→收货检验→入库付款），在每个节点上提问“如果这步出错会怎样”，并记录风险事件。严禁使用笼统的“外部环境复杂”作为风险描述。第八条风险量化矩阵

所有识别出的风险，必须按照以下两个维度进行量化评分，综合风险值R=P×I（概率评级标准（P）：•极低（1分）：10年内发生不超过1次，发生概率<10%•较低（2分）：5年内发生1次，发生概率10%-30%•中等（3分）：每年可能发生1次，发生概率31%-60%•较高（4分）：每季度可能发生1次，发生概率61%-85%•极高（5分）：每月可能发生，发生概率>85%影响程度评级标准（I）（取财务、运营、合规三者中最高值）：•微小（1分）：财务损失<10万元；不影响主线生产；无合规通报•较小（2分）：财务损失10万-50万元；单条产线停机<4小时；内部整改即可•中等（3分）：财务损失50万-200万元；产线停机4-24小时；面临地方监管警告•重大（4分）：财务损失200万-500万元；全厂停产1-3天；面临省级监管处罚或媒体负面曝光•灾难性（5分）：财务损失>500万元；连续停产>3天；面临吊销执照或刑事诉讼第九条风险容忍度与红线

根据R值大小，风险分为三个等级，对应不同的处理权限：•可接受风险（R:1-6）：由业务部门自行监控，无需上报。•需关注风险（R:8-15）：业务部门必须制定削减措施，并在月度经营会上汇报控制进度。•不可接受风险（R:16-25）：严禁在无应对方案的情况下继续推进该业务。必须立即暂停相关操作，启动应急响应，并在1小时内直报风险管理委员会。四、第四章风险应对与控制策略风险应对不是简单的“规避”，而是基于成本收益比的选择。在控制策略设计上，优先采用自动化系统硬控制；若系统不具备条件，则采用“双人复核+交叉审计”的软控制；严禁仅凭“加强员工责任心”作为唯一控制手段。第十条应对策略选择

针对不同等级的风险，必须采取以下分层策略：1.规避：当合规风险R≥2.转移：当运营或市场风险R≥3.降低：当8≤4.承担：当R≤第十一条关键控制活动实施规范

所有控制活动必须讲清动作机理与错误后果：1.系统权限互斥机制：◦动作要求：采购订单创建权与供应商主数据维护权必须分配给不同账号。◦动作机理：通过系统底层权限隔离，切断“虚构供应商-发起付款”的单人作案路径。◦违规后果：若两权集中在同一人手中，该人员可随时插入虚假供应商并触发打款，造成资金被挪用且难以通过事后对账发现。◦日常执行：IT部每月5日前导出系统权限分配表，由内审部进行穿透比对。2.大额资金支付双签制：◦动作要求：单笔支付金额>50万元，必须由财务总监与总经理同时在纸质凭证及网银盾上授权。◦动作机理：利用双人独立判断，抵抗单点判断失误或道德风险。◦违规后果：单人使用“代签”或“预先签好空白单”操作，一旦发生判断失误或监守自盗，没有任何拦截点，资金一旦划出极难追回。五、第五章风险监督、报告与PDCA改进风险状态是动态演化的，今天的安全不代表明天的稳定。必须建立“计划-执行-检查-改进”的PDCA闭环，确保风险库实时刷新，控制措施随业务变化而迭代。第十二条日常监督与红黄绿预警

风险管理部必须建立风险驾驶舱看板，每日自动抓取数据并按以下阈值发出预警：•绿灯（正常）：指标在预算或历史均值±10•黄灯（警告）：指标恶化超10%•红灯（报警）：指标突破年度风险容忍度红线（如现金流低于安全垫1个月）。必须在1小时内触发紧急报告机制，直接升级至CEO及董事会风险委员会。第十三条风险报告路径1.月度风险报告：各部门每月5日17:00前，将上月《风险登记表》更新版提交至风险管理部。风险管理部在10日17:00前汇编形成《公司月度风险概览》，报送CFO及CEO。2.专项风险报告：发生III级（重大）风险事件时，首报必须在事发30分钟内以电话+短信形式直报CRO；续报必须在事发4小时内以书面形式提交事件原因初判及止损动作；终报必须在事件平息后5个工作日内提交包含责任认定及整改方案的复盘报告。第十四条PDCA闭环改进机制1.计划（P）：每年1月，基于上年度复盘及当年战略，制定《年度风险管理计划》。2.执行（D）：各部门按计划落实控制点，并保留审批单、系统日志等执行证据。3.检查（C）：内审部每年11月开展一次风险管理有效性专项审计，抽样率不得低于关键控制点的20%。4.改进（A）：对审计发现的不达标项，业务部门必须在15个工作日内完成制度修订或系统配置变更，由内审部复测关闭。六、第六章突发重大风险事件应急处置突发事件应对的核心是“阻断连锁反应”。重大风险往往伴随次生灾害，应急预案必须明确阻断点与操作人，避免恐慌下的无效操作。第十五条事件分级与启动权限1.I级（重大）：造成或可能造成损失>500万元，或核心业务瘫痪>24小时，或引发重大舆情/监管介入。◦判定标准：满足上述任一条件即可定性。◦启动权限：CEO立即批准启动I级应急响应。◦处置原则：生命安全绝对优先；止损优于追责。2.II级（较大）：造成或可能造成损失100万-500万元，或单部门业务停滞。◦启动权限：分管副总裁批准启动。◦处置原则：隔离受影响业务模块，防止波及主干系统。3.III级（一般）：损失<100万元，影响范围限于单一项目或小组。◦启动权限：部门负责人处置，报备风险管理部。第十六条典型场景应急操作规程场景一：核心数据泄露事件•演化路径：黑客利用外网暴露面漏洞入侵→窃取客户PII数据→在暗网挂单售卖→客户发起集体诉讼并引发监管重罚→公司品牌信任度破产。•阻断动作：安全管理团队在接报后15分钟内，必须物理切断涉事服务器的外网网线（阻断数据外传途径）；严禁直接拔掉电源关机（会导致内存中攻击痕迹丢失，后续无法溯源，替代方案是保留内存镜像后断开网络）。•善后动作：法务部在24小时内评估是否触发《数据安全法》项下的监管报告义务，并在48小时内草拟客户安抚公告。场景二：供应链突发断供事件•演化路径：核心供应商工厂发生火灾→停止供货30天→我司产线因缺料停工→无法按期交付面临巨额违约金→客户流失。•阻断动作：采购部接报后2小时内，必须启用备用供应商协议（如无备用，立即调拨研发部评估替代物料方案）；物流部同步调度专线运力从备用库调拨安全库存。必须在24小时内确认未来7天的物料供应底线。第十七条考核与问责1.风险管理指标纳入各部门年度KPI，权重不得低于15%。2.对因以下行为导致风险扩大的责任人，必须给予降级或解除劳动合同处分：◦故意隐瞒风险不报或伪造数据掩盖风险◦违反第九条规定，越权审批不可接受风险业务◦应急响应期间拒不服从应急指挥部调度七、第七章附则第十八条解释与修订

本制度由公司风险管理部负责解释与修订。每年末根据本年度风险暴露情况及外部监管要求进行一次全面修订，修订版须经董事会风险委员会审批后下发。第十九条生效日期

本制度经董事会批准后，自2026年1月1日起正式生效执行。原《2024年风险管理暂行办法》同时废止。附件1：风险登记表样表风险编号风险描述归口部门触发条件P值(1-5)I值(1-5)R值(P×I)应对策略控制措施/责任人状态RSK-2026-001核心供应商破产导致断供采购部供应商逾期交货超7天3412降低启用备用供应商B，库存加码至15天(张某某)监控中RSK-2026-002汇率波动导致汇兑损失财务部美元兑人民币单日波动>1%4312转移远期结售汇锁定80%敞口(李某某)已执行RSK-2026-003产线特种气体泄漏生产部气体浓度探测器报警155降低每月校验探头，年度演练2次(王某某)受控附件2：重大风险事件应急联络通讯录下列人员手机必须保持7×24小时开机状态。若因不可抗力无法接通，应立即联系其第一替补人。•总指挥：张某某(CEO)-138******•副总指挥：李某某(CRO)-139******•现场处置组：王某某(安全总监)-137******•信息公关组：赵某某(公关总监)-136******•法务合规组：陈某某(法务总监)-135******附件3：业务部门月度风险自查SOP清单各部门风控专员每月25日17:00前，必须对