四川三汇安防科技有限公司 全面风险管理办法
第一章 总则
第一条 为建立和完善四川三汇安防科技有限公司（以下简称公司）全面风险管理框架，提高风险管理能力，规范风险偏好管理程序，防范公司运营过程中的各类风险，指导公司开展全面风险管理工作，增强公司商业化运作的竞争力，促进公司持续、健康、稳定发展，参照《中华人民共和国公司法》、国务院国资委《中央企业全面风险管理指引》、财政部《企业内部控制基本规范》和乐山国投集团《全面风险管理办法（试行）》等有关法律法规、规章及其他规范性文件的规定，结合公司实际，制订本办法。
第二条 本办法所称风险，是指未来的不确定性可能对企业实现战略规划和经营管理目标产生的潜在不利影响。本办法所称全面风险管理，是指企业改革发展和经营管理中所面临的各种风险，坚持全面、全员、全过程、全体系的风险防控机制，经过风险识别评估后采取相应对策措施，以规避或减少损失，为实现企业战略规划和经营管理目标提供有效保证的能力和实践。
第三条 本办法适用于公司本部及分公司。
第四条 全面风险管理遵循以下原则：
（一）全面性原则。风险管理涵盖公司各职能部门、下属企业所有员工，渗透到各项业务和环节中，贯穿于每项业务全过程。通过不断提高员工对风险的识别和防范能力，树立全员风险意识。
（二）审慎性原则。内部风险控制的核心是有效防范各种风险，公司各职能部门、下属企业组织的构成、内部管理制度的建立要以防范风险、审慎经营为出发点。
（三）有效性原则。在全面风险管理的理念下，建设全面反映公司风险状况的风险控制体系，确保该体系能有效指导业务，并能有效防范和化解风险。
（四）适时性原则。应随着国家法律法规、政策制度的变化，公司经营战略、经营方针、风险管理理念等内部环境的改变，以及公司业务的发展，及时对风险控制制度进行相应修改和完善。
（五）重要性原则。在全面风险管理的基础上，关注重要业务、重点项目和高风险领域。
（六）制衡性原则。风险管理应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。
第二章 风险管理组织架构和职责
第五条 公司风险管理总体目标包括：
（一）确保将风险控制在与公司总体目标相适应并可承受的范围内；
（二）确保公司管理信息、业务记录等真实、可靠和完整；（三）确保遵守国家有关法律法规和公司内部规章制度；
（四）确保公司为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性。
第六条 全面风险管理的基本流程包括以下主要工作：
第七条 全面风险管理应涵盖公司治理与经营管理活动中所有环节，包括：
第八条 公司党总支负责全面风险管理的领导工作，安排部署全公司风险管理工作，研究审议“三重一大”决策范围的风险管理事项，党总支成员负责组织协调分管领域的风险管理工作。
第九条 全面风险管理组织体系包括：董事会、经营层、各职能部门及下属企业的所有员工均应承担风险管理的职责。
第十条 公司董事会是全面风险管理的决策机构，主要履行以下职责：
（一）审议批准公司全面风险管理基本制度；
（二）审议批准重大决策的风险评估报告；
（三）审议批准重大决策、重大风险、重大事件；
（四）审议决定公司风险管理其他重大事项。
第十一条 公司董事长是全面风险管理的第一责任人。第十二条 经营层负责按照董事会要求，对重大风险问题
提出解决方案并组织实施。
第十三条 公司各职能部门、下属企业依据职责分工负责相关业务领域风险的管理工作，履行风险管理主体责任。
第三章 管理部门及职责
第十四条 审计法务与合规部是公司风险管理工作的归口管理部门，在党总支、董事会及经营层的领导下履行以下相关职责：
（一）执行公司的风险管理战略和决策，拟定公司全面风险管理制度；
（二）负责督促各职能部门、下属企业落实经营层各项决策和风险管理制度；
（三）负责经营层交办的与全面风险管理相关的其他工作；
（四）对各职能部门、下属企业职责范围内风险事件进行管
理；
（五）完成其他风险管理相关工作。
第十五条 各职能部门、下属企业应当执行风险管理基本制度和业务流程，对本部门、本企业的风险进行评估，对其风险管理有效性负责。
（一）组织实施公司风险管理制度和业务流程，将风险管理的原则与要求贯穿业务开展的全过程；
（二）负责本部门、本企业风险信息的收集整理工作，提出业务流程中风险点和控制点的初步识别信息；
（三）研究提出本部门重要风险的风险解决方案，并负责该方案的组织实施和日常监控；
（四）严格遵守风险管理制度和业务流程，及时、准确、全面、客观地将本部门、本企业的风险信息和监测情况向经营管理层和审计法务与合规部报告；
（五）配合和支持审计法务与合规部工作。
第十六条 公司各职能部门负责人、下属企业负责人、各业务（项目）负责人是其风险管理的第一责任人。公司所有员工是本岗位风险管理的直接责任人，负责具体风险管理职责的实施。
第四章 风险管理流程
第十七条 风险识别、风险评估、风险应对、风险报告是风险管理中的主要环节。各环节应当相互关联、相互影响、循环互动，并依据内部环境、市场环境、法规环境等内外部因素的变化及时更新完善。
第十八条 风险识别应当覆盖公司各个业务环节，涵盖所有风险类型。公司应当对新法规、新业务等进行及时了解和研究。
第十九条 公司按照风险发生的概率以及影响程度，可采取定量和定性相结合的方法进行风险评估，保持评估方法的一致性，可经风险评估将风险分为重大风险、重要风险、一般风险和低风险等四个等级。
第五章 风险分类及应对
第二十条 公司应当重点关注市场风险、信用风险、流动性风险、操作风险、合规风险、声誉风险等主要风险。
第二十一条 市场风险，是产品或服务的价格及供需变化带来的风险。包含市场需求萎缩、资金链紧张引发的资金风险、违约风险情况；能源、原材料、配件等物资供应的充足性、稳定性和价格的变化带来的风险；主要客户、主要供应商的信用风险；税收政策和利率、汇率、股票价格指数的变化带来的风险，主要是利率风险，也包括股票风险、汇率风险、商品风险等。市场风险管理的目标是严格遵循谨慎、分散风险的原则，充分考虑资产的安全性和流动性，实行专业化管理和控制，防范、化解市场风险。
第二十二条 信用风险，是指公司交易对手或债务人未能履行约定的义务或信用质量发生变化，给公司或公司管理的资产带来经济损失的风险，包括违约风险和结算风险。信用风险管理的目标是对交易对手、投资产品的信用风险进行有效的评估和防范，将信用风险控制于可接受范围内的前提下，获得最高的风险调整收益。
第二十三条 流动性风险，是指公司无法获得或无法以合理的成本获得资金，以满足业务发展需要或偿付到期债务的风险。流动性风险管理的目标是通过建立适时、合理、有效的风险管理机制，将流动性风险控制在可承受的范围之内。
第二十四条 操作风险是指由于内部程序、人员和系统的不完备或失效，或外部事件而导致的直接或间接损失的风险，主要包括制度和流程风险、信息技术风险、人力资源风险和道德风险。
（一）操作风险管理的目标是建立有效的内部控制机制，尽量减少因人为错误、系统失灵和内部控制的缺陷所产生的操作风险，保障内部风险控制体系有序规范运行；
（二）制度和流程风险是指由于日常运作，尤其是关键业务操作缺乏制度、操作流程和授权，或制度流程设计不合理带来的风险，或由于上述制度、操作流程和授权没有得到有效执行带来的风险，及业务操作的差错率超过可承受范围带来的风险；
（三）信息技术风险是指信息技术系统不能提供正常服务，影响公司正常运行；信息技术系统和关键数据的保护、备份措施不足，影响公司业务持续性；重要信息技术系统提供商不能提供技术系统生命周期内持续支持和服务的风险；
（四）人力资源风险是指缺少符合岗位专业素质要求的员工、过高的关键人员流失率、关键岗位缺乏适用的储备人员和激励机制不当带来的风险；
（五）道德风险是指员工违背法律法规、公司制度和职业道德，通过不法手段谋取利益所带来的风险。
第二十五条 合规风险，是指因公司及全体员工、有关利益相关方因不合规行为，引发法律纠纷、造成公司受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性。主要包括投融资合规性风险、销售合规性风险、信息披露合规性风险等。
第二十六条 声誉风险是指由公司经营和管理、员工个人违法违规行为或外部事件导致利益相关方对公司负面评价的风险。声誉风险的控制目标是通过建立与公司业务性质、规模和复杂程度相适应的声誉风险管理体系，防范、化解声誉风险对公司利益的损害。
第六章 风险应对策略
第二十七条 风险应对指公司针对各类重大风险，制定并实施各类风险应对策略和措施的过程。风险应对策略和措施应根据内外部环境变化及时更新和调整。
（一）规避风险。公司为避免损失应主动放弃或停止风险发生可能性大的活动；
（二）降低风险。公司为降低风险发生概率、减轻潜在损失，在风险事故发生之前采取消除风险因素的措施，对不能完全规避又无法顺利转移的风险，采取各种控制技术和方法来减少风险事故发生后的不利影响和损失；
（三）分担风险。公司为避免承担风险损失，有意识地将可能产生损失的活动或与损失有关的财务后果转移给其他方的一种风险应对策略，常见的方法有业务分包、购买保险等；
（四）承受风险。公司对风险承受度之内的风险，在权衡成本效益之后无意采取进一步控制措施的，或若采用其他风险应对策略的成本过高的，可以采用风险承受策略。
第二十八条 公司根据自身的风险偏好和风险承受度，采用一种或多种应对方式相结合，以有效管理和应对风险。
第二十九条 针对低风险，一般可通过现有制度与流程加以有效控制，不增加额外控制，但风险事件实际发生后应及时分析总结，并将结果报审计法务与合规部备案。
第三十条 针对一般风险，公司应对现有制度与流程进行评估，查找差距与不足，补充完善控制措施，应对风险，防范风险升级扩散，并将结果报审计法务与合规部备案。
第三十一条 针对重要风险和重大风险，应由相关部门提起，在公司整体层面上加以应对，共同研究提出风险管理措施和解决方案，内容包括但不限于对风险的具体目标，所需的组织领导，所涉及的管理及业务流程、所需要的资源，相关工作进度安排等。
第七章 风险管理的内控机制
第三十二条 公司应建立风险管理的内控机制，至少应包括以下内容：
（一）岗位授权制度。对所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权作出决定；
（二）审批流程制度。明确规定各类审批事项的批准程序、条件、范围和额度、必备文件以及有权批准的部门和人员等；
（三）内控责任制度。按照权利、义务和责任相统一的原则，明确规定各有关部门和业务单位、岗位、人员应负的责任和奖惩制度；
（四）预算管理制度，明确各职能部门、下属企业在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束；
（五）审计检查制度。结合内控的有关要求、方法、标准与流程，明确规定审计检查的对象、内容、方式和负责审计检查的部门等；
（六）考核评价制度。应科学设置考核指标体系，对公司各职能部门、下属企业和全体员工的业绩进行定期考核和客观评价，将考评结果作为员工奖惩、聘任、交流、培训的依据；
（七）坚持不相容岗位职责分离原则，建立重要岗位权力制衡机制。坚持将授权与执行、执行与监督等不相容岗位分离设置，确有必要时可对关键岗位设置一岗双人，以相互制约，减少错误和舞弊的管理风险。
第三十三条 公司将信息技术应用于全面风险管理工作，将风险管理与公司各项管理业务流程、管理软件统一规划、统一设计、统一实施、同步运行。
第八章 风险报告
第三十四条 公司建立风险报告机制，通过有效的沟通和反馈，使公司领导和有关部门及时了解公司的风险状况。
第三十五条 公司的风险报告分为定期风险报告和不定期专项风险报告。定期风险报告是对一个阶段公司经营发展中存在的风险和纠正的情况进行的汇总报告；不定期专项风险报告是对日常工作中或风险专项检查中发现的重大风险或风险隐患问题进行的专项报告。
第三十六条 审计法务与合规部可以进行风险专项检查，如发现内部控制存在重大缺陷或存在重大风险，应及时向公司报告。
第三十七条 公司相关部门对公司可能出现的风险，有责任及时向公司报告真实信息。
第九章 风险管理文化的建设
第三十八条 公司应将风险管理文化建设作为公司发展战略的组成部分，建立具有风险意识的企业文化，促进公司全面风险管理目标的实现。
第三十九条 公司应营造合规经营的制度文化环境，将风险管理理念融于企业文化建设的全过程中，树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进公司建立系统、规范、高效的风险管理机制，在各层面营造风险管理文化的氛围。
第四十条 公司应引导员工遵循良好的行为准则和道德规范，牢固树立风险意识，强化以风险管理为导向的经营发展理念，将风险管理贯穿于经营管理的全过程，内化为自觉行动。
第四十一条 全面风险管理文化建设应与薪酬管理标准和人事管理标准相结合，有利于增强各级管理人员特别是高级管理人员风险意识，防止盲目扩张、片面追求业绩、忽视风险等行为的发生。
第四十二条 建立重要管理及业务流程、风险控制点的管理人员和业务经办人员的风险管理培训标准。采取多种途径和形式、加强对风险管理理念、知识、流程、管控内容的培训，培养风险管理人才，培育风险管理文化。
第十章 风险管理考核
第四十三条 公司建立对全面风险管理工作的考核机制，根据公司全面风险管理工作情况，制定合理的考核范围、考核内容和考核办法等；全面风险管理考核将纳入公司年度绩效考核体系，公司各职能部门、下属企业应将全面风险管理工作任务列入年度工作计划。
第四十四条 风险管理是各职能部门、下属企业和所有员工年度绩效考核的必备内容。全体员工均应牢固树立内控优先和全员风险管理理念，加强法律法规和公司规章制度学习，增强风险防范意识，严格执行法律法规、公司制度、流程和各项管理规定。
第十一章 附则
第四十五条 公司各职能部门、分公司应根据本办法的要求，制定和完善风险管理相关的标准、流程和制度。
第四十六条 公司所属各级全资、控股子企业可参照本制度，制定本企业相应的《全面风险管理办法》。
第四十七条 本办法由公司审计法务与合规部制定，并负责解释。
第四十八条 如办法规定与国家及地方有关法律、法规、规章不一致的，以法律、法规、规章的有关规定为准。
第四十九条 本办法经党总支会、总经理办公会审议，董事会审定后生效，自印发之日起实施，原《全面风险管理暂行办法（试行）》（川汇安司〔2023〕32号）同时废止。