中央企业全面风险管理指引

中央企业全面风险管理指引一、总则1.1编制目的与依据全面风险管理的价值不在于产出一摞风险报告，而在于让每一个重大经营决策在作出之前就已经知道「最坏会怎样、我们扛不扛得住、扛不住时的退路是什么」。本指引依据《中华人民共和国公司法》《中央企业全面风险管理指引》《中央企业合规管理办法》《企业内部控制基本规范》及配套指引，结合中央企业经营管理实际编制，适用于总部及各级子企业的风险识别、评估、应对、监控与报告工作。1.2适用范围•适用主体：集团公司总部、全资及控股子企业；参股企业参照执行，通过股东会、董事会渠道行使权利。•适用风险类别：战略风险、市场风险、财务风险、运营风险、法律合规风险五大类，安全生产、网络安全等专项领域风险按专项制度管理，但须纳入本指引的汇总监控框架。1.3风险管理基本目标1.将重大风险损失控制在可承受范围之内，单一风险事件直接经济损失不超过年度预算净利润的5%（超过即触发董事会专项报告程序）。2.确保风险管理体系覆盖全部业务流程和岗位，不留「无人认领」的风险敞口。3.实现风险信息从一线业务单元到集团董事会的传递周期不超过20个工作日（重大风险事件按2.6条时限执行）。二、组织架构与职责分工2.1三道防线模型风险管理组织体系的核心是划清责任边界——业务部门是风险管理的第一责任人，风险管理部门是规则制定者与监督者，审计部门是独立评价者。三道防线一旦混同，风险报告必然失真。防线主体核心职责不承担责任第一道防线各业务部门、子企业经营班子识别本条线风险、执行应对措施、按月报送风险台账不承担风险监督评价职能第二道防线集团风险管理部（可并入法务/审计合署）、财务部制定风险管理制度与量化标准、组织年度风险评估、出具风险预警不代替业务部门执行具体管控动作第三道防线集团审计部、外部审计对风险管理体系的健全性与执行有效性独立审计，每年至少1次不参与日常风险决策2.2治理层职责•董事会（含风险管理委员会）：审批年度重大风险清单与风险偏好陈述书，每半年听取1次重大风险应对进展汇报；对超授权额度的风险决策行使最终审批权。•总经理层：组织落实应对方案，指定每一项重大风险的「首席责任人」（须明确到具体高管姓名及职务），按季度向风险管理委员会书面报告。•子企业层面：资产规模50亿元以上的子企业须设专（兼）职风险管理岗；50亿元以下的由财务负责人兼任，并在集团风险管理部备案联系人及24小时联络方式。2.3授权与问责1.风险决策授权采用「额度+类别」双维度控制：单笔风险敞口超过净资产1%或属于境外业务、金融衍生品、大宗商品囤积三类业务之一的，无论金额大小一律上收至集团董事会审批。2.对因未执行规定流程（如未做尽调、未走担保审批）造成损失的，按《中央企业违规经营投资责任追究实施办法》追究直接责任人和审批人的责任；已履行完整流程且无舞弊行为的，按尽职免责原则不予追责——问责条款必须与免责条款同步公布，否则业务部门会倾向层层上报、拖延决策。三、风险识别3.1识别机制风险识别不是年度一次性运动，而是「定期普查+事件触发+前瞻研判」三轨并行：1.年度全面普查：每年10月启动，由风险管理部统一发布评估问卷与风险库模板，各业务单元在30日内完成自评，风险管理部在12月15日前汇总形成下年度《重大风险清单》报董事会审批。2.事件触发识别：发生以下任一情形时，责任单元在5个工作日内提交专项风险评估报告——新设境外机构、进入新行业、单笔投资超过净资产3%、监管政策重大调整、主要客户或供应商发生信用评级下调2级以上。3.前瞻研判：风险管理部每季度跟踪宏观经济、行业政策、大宗商品价格指数，对可能影响集团的「灰犀牛」「黑天鹅」事件出具季度研判简报（篇幅不超过3页，只写结论、量化影响和应对建议）。3.2风险库结构集团统一维护风险数据库，每条风险记录至少包含以下字段：字段填写要求示例风险编号R-类别-年份-序号R-MKT-2025-012风险名称具体到事件而非泛化应收账款集中度高：前五大客户占比62%演化路径起因→传播→触发→后果大客户破产→坏账集中爆发→现金流断裂→触发银行交叉违约条款责任部门与责任人部门全称+具体岗位营销部、应收账款管理岗现有控制措施逐条列明客户信用限额、账期审批、保理安排风险敞口量化金额或比例敞口18.7亿元，占应收总额55%3.3识别质量要求禁止在风险清单中出现「经营风险」「管理风险」等无法对应到具体事件和控制措施的泛化条目；风险管理部对子企业报送清单有退回重报权，退回率纳入子企业考核。四、风险评估4.1评估维度与量化标准风险评估的目的是排序，而不是打分本身。采用「发生可能性×影响程度」二维矩阵，两个维度均按五级量表量化：等级发生可能性影响程度（占上年度净利润比例）5未来1年内发生概率大于80%大于30%或导致无法持续经营450%~80%15%~30%320%~50%5%~15%25%~20%1%~5%1小于5%小于1%风险值=可能性等级×影响等级。风险值≥12为重大风险，6~11为重要风险，≤5为一般风险。财务类风险优先采用在险值（VaR）、现金流缺口等模型量化；无法量化的风险采用专家打分法，由不少于5名相关领域专家独立打分后取中位数，避免会议室里互相迁就。4.2压力测试对以下三类敞口每年至少开展1次压力测试，测试方案由风险管理部制定、财务部提供数据、结果报董事会：1.流动性压力：假设30日内回款率下降30%、全部短期融资渠道关闭一半，测算现金缺口及可维持天数，低于60天安全线即须制定补充流动性预案。2.汇率利率压力：对境外业务净敞口测算目标汇率波动±10%情景下的汇兑损益，超过净利润10%的须启动套期保值评估。3.大宗商品价格压力：对主要原材料采购敞口测算价格波动±20%情景下的成本冲击。五、风险应对5.1应对策略选择每项重大风险必须在四种基本策略中明确选择其一并书面说明理由，禁止「接受+没有理由」：•规避：退出或不上马产生该风险的业务。适用于风险值≥20且无法有效缓释的情形，需董事会审批退出方案。•降低：修改流程、增加控制点、分散集中度。为最常用的策略，应对措施须落实到具体流程节点。•转移：保险、套期保值、合同条款转嫁、外包。转移不等于消除——必须评估交易对手本身的信用风险（如保险公司赔付能力、套保对手保证金追缴风险），禁止为了应付审计而购买与实际敞口不匹配的「形式保险」。•接受：仅适用于风险值≤5或缓释成本高于预期损失的情形，须由分管高管签字确认并每年复核。5.2应对方案要素每一项重大风险的应对方案须包含以下内容，缺一不可：1.目标：将风险值降至多少（如从16降至8），及达到时限。2.措施清单：每条措施注明责任部门、责任人、完成时限、验收标准。3.资源需求：预算金额、需新增的岗位或系统。4.剩余风险声明：措施全部落实后仍残余的风险及是否可接受。5.退出预案：若措施失效或风险失控，止损和退出的具体路径（如「停止新增敞口、30日内将存量压降50%」）。5.3应急处置重大风险事件应急处置按严重程度分级管理：级别判定标准启动权限报告时限处置原则Ⅰ级（重大）预计直接损失超过净利润5%，或引发监管立案、债务交叉违约、重大舆情集团总经理事发后2小时内电话报告、24小时内书面报告董事会先控制事态再查原因，必要时成立现场处置组Ⅱ级（较大）损失1%~5%或单项风险指标突破警戒线分管副总24小时内报风险管理部责任单元制定处置方案，风险管理部跟踪10个工作日内销项Ⅲ级（一般）损失小于1%且可控子企业负责人月度台账中反映第一道防线自行处置，留痕备查Ⅰ级事件处置期间，风险管理部每日编发进展简报，直至事态受控；事件关闭后15个工作日内完成根因分析，分析结论必须回溯到制度或流程的修改项，形成闭环。六、监控、报告与信息系统6.1风险预警指标体系监控的关键在于把抽象风险翻译成可实时读数的指标。集团建立三级预警指标体系（示例，各企业结合业务细化）：类别指标正常区间黄色预警红色预警监控频率预警触发动作财务资产负债率小于65%65%~70%大于70%月度黄色：财务部说明原因；红色：冻结非必要投资支出财务速动比率大于1.00.8~1.0小于0.8月度触发流动性压力测试市场单一客户应收占比小于15%15%~25%大于25%月度红色：暂停对该客户新增赊销运营存货周转天数按行业基准超基准20%超基准40%季度启动专项压降方案合规待决诉讼涉案金额净利润3%以内3%~5%大于5%季度红色：总法律顾问直接向董事会报告黄色预警由风险管理部向责任部门发《风险提示函》，10个工作日内反馈说明；红色预警自动升级为Ⅱ级及以上风险事件，按5.3条处置。6.2报告体系1.月度风险台账：各单元每月5日前报送上月台账，风险管理部10日前完成汇总分析。2.季度风险报告：每季度结束后15个工作日内形成，内容包括预警指标运行情况、重大风险应对进展、新识别风险，报送总经理层及风险管理委员会。3.年度风险管理报告：随年度预算一并提交董事会，含下年度重大风险清单、风险偏好陈述、风险评估结果和审计发现问题整改情况。6.3信息系统要求风险台账、预警指标、事件处置全过程纳入集团统一风险管理信息系统管理，与财务、合同、投资系统数据对接，指标数据自动抓取比例不低于80%，减少手工填报失真。系统权限按三道防线分配：业务单元只可编辑本单元数据，风险管理部拥有全局只读和预警发布权，审计部拥有全程可追溯的审计日志查看权。七、风险管理文化与考核7.1培训•新任中层及以上管理人员任职后3个月内完成不少于8学时的风险管理培训；全员每年不少于4学时。•培训内容必须包含本企业真实案例复盘（脱敏后），禁止只讲理论框架。7.2考核1.风险管理执行情况纳入部门和子企业负责人年度经营业绩考核，权重不低于5%。2.考核指标包括：台账报送及时率与准确率、预警响应时限达标率、风险事件根因分析整改完成率。3.隐报、瞒报重大风险事件的，考核中一票否决当年度评优资格，并按2.3条问责。八、附则1.本指引由集团风险管理部负责解释和修订，每年评审1次，法规或监管要求发生重大变化时30日内启动修订。2.各子企业应在本指引发布后60日内制定实施细则并报集团备案。3.本指引自发布之日起施行。附件一：年度风险自评登记表（样表）风险编号风险名称演化路径责任部门/责任人现有控制措施可能性(1-5)影响(1-5)风险值应对策略下一步措施及时限R-OPR-2025-003单一供应商依赖：核心原料占比48%供应商停产→断供→停线→违约赔偿采购部/采购管理岗已开发2家备选、保持45天安全库存248降低2026年6月底前将占比降至30%以下，采购部季报进展附件二：重大风险事件报告要素清单1.事件名称、发生时间、发生地点（单元）2.事件经过与当前状态（截至报告时点的损失预估及依据）3.演化路径判断：事态是否可能进一步扩大，触发条件是什么4.已采取的处置措施及效果5.立即需要上级决策的事项（逐条列明，附建议方案）6.报告人、联系方式、报告时间附件三：风险管理岗位检查表（季度）序号检查项达标标准检查结果备注1月度台账按时报送12个月均于每月5日前报送2黄色预警10个工作日内反馈率100%3重大风险应对