中央企業全面風險管理指引

第一條　為指導國務院國有資產監督管理委員會（以下簡稱國資委）履行出資人職責的企業（以下簡稱中央企業）開展全面風險管理工作，增強企業競爭力，提高投資回報，促進企業持續、健康、穩定發展，根據《中華人民共和國公司法》、《企業國有資產監督管理暫行條例》等法律法規，制定本指引。

第二條　中央企業根據自身實際情況貫徹執行本指引。中央企業中的國有獨資公司董事會負責督導本指引的實施；國有控股企業由國資委和國資委提名的董事通過股東（大）會和董事會按照法定程序負責督導本指引的實施。

第三條　本指引所稱企業風險，指未來的不確定性對企業實現其經營目標的影響。企業風險一般可分為戰略風險、財務風險、市場風險、運營風險、法律風險等；也可以能否為企業帶來盈利等機會為標誌，將風險分為純粹風險（只有帶來損失一種可能性）和機會風險（帶來損失和盈利的可能性並存）。

第四條　本指引所稱全面風險管理，指企業圍繞總體經營目標，通過在企業管理的各個環節和經營過程中執行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，包括風險管理策略、風險理財措施、風險管理的組織職能體系、風險管理信息系統和內部控制系統，從而為實現風險管理的總體目標提供合理保證的過程和方法。

第五條　本指引所稱風險管理基本流程包括以下主要工作：

（一）收集風險管理初始信息；

（二）進行風險評估；

（三）制定風險管理策略；

（四）提出和實施風險管理解決方案；

（五）風險管理的監督與改進。

第六條　本指引所稱內部控制系統，指圍繞風險管理策略目標，針對企業戰略、規劃、產品研發、投融資、市場運營、財務、內部審計、法律事務、人力資源、採購、加工製造、銷售、物流、質量、安全生產、環境保護等各項業務管理及其重要業務流程，通過執行風險管理基本流程，制定並執行的規章制度、程序和措施。

第七條　企業開展全面風險管理要努力實現以下風險管理總體目標：

（一）確保將風險控制在與總體目標相適應並可承受的範圍內；

（二）確保內外部，尤其是企業與股東之間實現真實、可靠的信息溝通，包括編制和提供真實、可靠的財務報告；

（三）確保遵守有關法律法規；

（四）確保企業有關規章制度和為實現經營目標而採取重大措施的貫徹執行，保障經營管理的有效性，提高經營活動的效率和效果，降低實現經營目標的不確定性；

（五）確保企業建立針對各項重大風險發生後的危機處理計劃，保護企業不因災害性風險或人為失誤而遭受重大損失。

第八條　企業開展全面風險管理工作，應注重防範和控制風險可能給企業造成損失和危害，也應把機會風險視為企業的特殊資源，通過對其管理，為企業創造價值，促進經營目標的實現。

第九條　企業應本着從實際出發，務求實效的原則，以對重大風險、重大事件（指重大風險發生後的事實）的管理和重要流程的內部控制為重點，積極開展全面風險管理工作。具備條件的企業應全面推進，儘快建立全面風險管理體系；其他企業應制定開展全面風險管理的總體規劃，分步實施，可先選擇發展戰略、投資收購、財務報告、內部審計、衍生產品交易、法律事務、安全生產、應收賬款管理等一項或多項業務開展風險管理工作，建立單項或多項內部控制子系統。通過積累經驗，培養人才，逐步建立健全全面風險管理體系。

第十條　企業開展全面風險管理工作應與其他管理工作緊密結合，把風險管理的各項要求融入企業管理和業務流程中。具備條件的企業可建立風險管理三道防線，即各有關職能部門和業務單位為第一道防線；風險管理職能部門和董事會下設的風險管理委員會為第二道防線；內部審計部門和董事會下設的審計委員會為第三道防線。

第十一條　實施全面風險管理，企業應廣泛、持續不斷地收集與該企業風險和風險管理相關的內部、外部初始信息，包括歷史數據和未來預測。應把收集初始信息的職責分工落實到各有關職能部門和業務單位。

第十二條　在戰略風險方面，企業應廣泛收集國內外企業戰略風險失控導致企業蒙受損失的案例，並至少收集與該企業相關的以下重要信息：

（一）國內外宏觀經濟政策以及經濟運行情況、本行業狀況、國家產業政策；

（二）科技進步、技術創新的有關內容；

（三）市場對該企業產品或服務的需求；

（四）與企業戰略合作伙伴的關係，未來尋求戰略合作伙伴的可能性；

（五）該企業主要客户、供應商及競爭對手的有關情況；

（六）與主要競爭對手相比，該企業實力與差距；

（七）本企業發展戰略和規劃、投融資計劃、年度經營目標、經營戰略，以及編制這些戰略、規劃、計劃、目標的有關依據；

（八）該企業對外投融資流程中曾發生或易發生錯誤的業務流程或環節。

第十三條　在財務風險方面，企業應廣泛收集國內外企業財務風險失控導致危機的案例，並至少收集該企業的以下重要信息（其中有行業平均指標或先進指標的，也應儘可能收集）：

（一）負債、或有負債、負債率、償債能力；

（二）現金流、應收賬款及其佔銷售收入的比重、資金週轉率；

（三）產品存貨及其佔銷售成本的比重、應付賬款及其佔購貨額的比重；

（四）製造成本和管理費用、財務費用、營業費用；

（五）盈利能力；

（六）成本核算、資金結算和現金管理業務中曾發生或易發生錯誤的業務流程或環節；

(七)與該企業相關的行業會計政策、會計估算、與國際會計制度的差異與調節（如退休金、遞延税項等）等信息。

第十四條　在市場風險方面，企業應廣泛收集國內外企業忽視市場風險、缺乏應對措施導致企業蒙受損失的案例，並至少收集與該企業相關的以下重要信息：

（一）產品或服務的價格及供需變化；

（二）能源、原材料、配件等物資供應的充足性、穩定性和價格變化；

（三）主要客户、主要供應商的信用情況；

（四）税收政策和利率、匯率、股票價格指數的變化；

（五）潛在競爭者、競爭者及其主要產品、替代品情況。

第十五條　在運營風險方面，企業應至少收集與該企業、本行業相關的以下信息：

（一）產品結構、新產品研發；

（二）新市場開發，市場營銷策略，包括產品或服務定價與銷售渠道，市場營銷環境狀況等；

（三）企業組織效能、管理現狀、企業文化，高、中層管理人員和重要業務流程中專業人員的知識結構、專業經驗；

（四）期貨等衍生產品業務中曾發生或易發生失誤的流程和環節；

（五）質量、安全、環保、信息安全等管理中曾發生或易發生失誤的業務流程或環節；

（六）因企業內、外部人員的道德風險致使企業遭受損失或業務控制系統失靈；

（七）給企業造成損失的自然災害以及除上述有關情形之外的其他純粹風險；

（八）對現有業務流程和信息系統操作運行情況的監管、運行評價及持續改進能力；

（九）企業風險管理的現狀和能力。

第十六條　在法律風險方面，企業應廣泛收集國內外企業忽視法律法規風險、缺乏應對措施導致企業蒙受損失的案例，並至少收集與該企業相關的以下信息：

（一）國內外與該企業相關的政治、法律環境；

（二）影響企業的新法律法規和政策；

（三）員工道德操守的遵從性；

（四）該企業簽訂的重大協議和有關貿易合同；

（五）該企業發生重大法律糾紛案件的情況；

（六）企業和競爭對手的知識產權情況。

第十七條　企業對收集的初始信息應進行必要的篩選、提煉、對比、分類、組合，以便進行風險評估。

第十八條　企業應對收集的風險管理初始信息和企業各項業務管理及其重要業務流程進行風險評估。風險評估包括風險辨識、風險分析、風險評價三個步驟。

第十九條　風險評估應由企業組織有關職能部門和業務單位實施，也可聘請有資質、信譽好、風險管理專業能力強的中介機構協助實施。

第二十條　風險辨識是指查找企業各業務單元、各項重要經營活動及其重要業務流程中有無風險，有哪些風險。風險分析是對辨識出的風險及其特徵進行明確的定義描述，分析和描述風險發生可能性的高低、風險發生的條件。風險評價是評估風險對企業實現目標的影響程度、風險的價值等。

第二十一條　進行風險辨識、分析、評價，應將定性與定量方法相結合。定性方法可採用問卷調查、集體討論、專家諮詢、情景分析、政策分析、行業標杆比較、管理層訪談、由專人主持的工作訪談和調查研究等。定量方法可採用統計推論（如集中趨勢法）、計算機模擬（如蒙特卡羅分析法）、失效模式與影響分析、事件樹分析等。

第二十二條　進行風險定量評估時，應統一制定各風險的度量單位和風險度量模型，並通過測試等方法，確保評估系統的假設前提、參數、數據來源和定量評估程序的合理性和準確性。要根據環境的變化，定期對假設前提和參數進行復核和修改，並將定量評估系統的估算結果與實際效果對比，據此對有關參數進行調整和改進。

第二十三條　風險分析應包括風險之間的關係分析，以便發現各風險之間的自然對沖、風險事件發生的正負相關性等組合效應，從風險策略上對風險進行統一集中管理。

第二十四條　企業在評估多項風險時，應根據對風險發生可能性的高低和對目標的影響程度的評估，繪製風險座標圖，對各項風險進行比較，初步確定對各項風險的管理優先順序和策略。

第二十五條　企業應對風險管理信息實行動態管理，定期或不定期實施風險辨識、分析、評價，以便對新的風險和原有風險的變化重新評估。

第二十六條　本指引所稱風險管理策略，指企業根據自身條件和外部環境，圍繞企業發展戰略，確定風險偏好、風險承受度、風險管理有效性標準，選擇風險承擔、風險規避、風險轉移、風險轉換、風險對沖、風險補償、風險控制等適合的風險管理工具的總體策略，並確定風險管理所需人力和財力資源的配置原則。

第二十七條　一般情況下，對戰略、財務、運營和法律風險，可採取風險承擔、風險規避、風險轉換、風險控制等方法。對能夠通過保險、期貨、對沖等金融手段進行理財的風險，可以採用風險轉移、風險對沖、風險補償等方法。

第二十八條　企業應根據不同業務特點統一確定風險偏好和風險承受度，即企業願意承擔哪些風險，明確風險的最低限度和不能超過的最高限度，並據此確定風險的預警線及相應採取的對策。確定風險偏好和風險承受度，要正確認識和把握風險與收益的平衡，防止和糾正忽視風險，片面追求收益而不講條件、範圍，認為風險越大、收益越高的觀念和做法；同時，也要防止單純為規避風險而放棄發展機遇。

第二十九條　企業應根據風險與收益相平衡的原則以及各風險在風險座標圖上的位置，進一步確定風險管理的優選順序，明確風險管理成本的資金預算和控制風險的組織體系、人力資源、應對措施等總體安排。

第三十條　企業應定期總結和分析已制定的風險管理策略的有效性和合理性，結合實際不斷修訂和完善。其中，應重點檢查依據風險偏好、風險承受度和風險控制預警線實施的結果是否有效，並提出定性或定量的有效性標準。

第三十一條　企業應根據風險管理策略，針對各類風險或每一項重大風險制定風險管理解決方案。方案一般應包括風險解決的具體目標，所需的組織領導，所涉及的管理及業務流程，所需的條件、手段等資源，風險事件發生前、中、後所採取的具體應對措施以及風險管理工具（如：關鍵風險指標管理、損失事件管理等）。

第三十二條　企業制定風險管理解決的外包方案，應注重成本與收益的平衡、外包工作的質量、自身商業秘密的保護以及防止自身對風險解決外包產生依賴性風險等，並制定相應的預防和控制措施。

第三十三條　企業制定風險解決的內控方案，應滿足合規的要求，堅持經營戰略與風險策略一致、風險控制與運營效率及效果相平衡的原則，針對重大風險所涉及的各管理及業務流程，制定涵蓋各個環節的全流程控制措施；對其他風險所涉及的業務流程，要把關鍵環節作為控制點，採取相應的控制措施。

第三十四條　企業制定內控措施，一般至少包括以下內容：

（一）建立內控崗位授權制度。對內控所涉及的各崗位明確規定授權的對象、條件、範圍和額度等，任何組織和個人不得超越授權做出風險性決定；

（二）建立內控報告制度。明確規定報告人與接受報告人，報告的時間、內容、頻率、傳遞路線、負責處理報告的部門和人員等；

（三）建立內控批准制度。對內控所涉及的重要事項，明確規定批准的程序、條件、範圍和額度、必備文件以及有權批准的部門和人員及其相應責任；

（四）建立內控責任制度。按照權利、義務和責任相統一的原則，明確規定各有關部門和業務單位、崗位、人員應負的責任和獎懲制度；

（五）建立內控審計檢查制度。結合內控的有關要求、方法、標準與流程，明確規定審計檢查的對象、內容、方式和負責審計檢查的部門等；

（六）建立內控考核評價制度。具備條件的企業應把各業務單位風險管理執行情況與績效薪酬掛鈎；

（七）建立重大風險預警制度。對重大風險進行持續不斷的監測，及時發佈預警信息，制定應急預案，並根據情況變化調整控制措施；

(八)建立健全以總法律顧問制度為核心的企業法律顧問制度。大力加強企業法律風險防範機制建設，形成由企業決策層主導、企業總法律顧問牽頭、企業法律顧問提供業務保障、全體員工共同參與的法律風險責任體系。完善企業重大法律糾紛案件的備案管理制度；

（九）建立重要崗位權力制衡制度，明確規定不相容職責的分離。主要包括：授權批准、業務經辦、會計記錄、財產保管和稽核檢查等職責。對內控所涉及的重要崗位可設置一崗雙人、雙職、雙責，相互制約；明確該崗位的上級部門或人員對其應採取的監督措施和應負的監督責任；將該崗位作為內部審計的重點等。

第三十五條　企業應當按照各有關部門和業務單位的職責分工，認真組織實施風險管理解決方案，確保各項措施落實到位。

第三十六條　企業應以重大風險、重大事件和重大決策、重要管理及業務流程為重點，對風險管理初始信息、風險評估、風險管理策略、關鍵控制活動及風險管理解決方案的實施情況進行監督，採用壓力測試、返回測試、穿行測試以及風險控制自我評估等方法對風險管理的有效性進行檢驗，根據變化情況和存在的缺陷及時加以改進。

第三十七條　企業應建立貫穿於整個風險管理基本流程，連接各上下級、各部門和業務單位的風險管理信息溝通渠道，確保信息溝通的及時、準確、完整，為風險管理監督與改進奠定基礎。

第三十八條　企業各有關部門和業務單位應定期對風險管理工作進行自查和檢驗，及時發現缺陷並改進，其檢查、檢驗報告應及時報送企業風險管理職能部門。

第三十九條　企業風險管理職能部門應定期對各部門和業務單位風險管理工作實施情況和有效性進行檢查和檢驗，要根據本指引第三十條要求對風險管理策略進行評估，對跨部門和業務單位的風險管理解決方案進行評價，提出調整或改進建議，出具評價和建議報告，及時報送企業總經理或其委託分管風險管理工作的高級管理人員。

第四十條　企業內部審計部門應至少每年一次對包括風險管理職能部門在內的各有關部門和業務單位能否按照有關規定開展風險管理工作及其工作效果進行監督評價，監督評價報告應直接報送董事會或董事會下設的風險管理委員會和審計委員會。此項工作也可結合年度審計、任期審計或專項審計工作一併開展。

第四十一條　企業可聘請有資質、信譽好、風險管理專業能力強的中介機構對企業全面風險管理工作進行評價，出具風險管理評估和建議專項報告。報告一般應包括以下幾方面的實施情況、存在缺陷和改進建議：

（一）風險管理基本流程與風險管理策略；

（二）企業重大風險、重大事件和重要管理及業務流程的風險管理及內部控制系統的建設；

（三）風險管理組織體系與信息系統；

（四）全面風險管理總體目標。

第四十二條　企業應建立健全風險管理組織體系，主要包括規範的公司法人治理結構，風險管理職能部門、內部審計部門和法律事務部門以及其他有關職能部門、業務單位的組織領導機構及其職責。

第四十三條　企業應建立健全規範的公司法人治理結構，股東（大）會（對於國有獨資公司或國有獨資企業，即指國資委，下同）、董事會、監事會、經理層依法履行職責，形成高效運轉、有效制衡的監督約束機制。

第四十四條　國有獨資公司和國有控股公司應建立外部董事、獨立董事制度，外部董事、獨立董事人數應超過董事會全部成員的半數，以保證董事會能夠在重大決策、重大風險管理等方面作出獨立於經理層的判斷和選擇。

第四十五條　董事會就全面風險管理工作的有效性對股東（大）會負責。董事會在全面風險管理方面主要履行以下職責：

（一）審議並向股東（大）會提交企業全面風險管理年度工作報告；

（二）確定企業風險管理總體目標、風險偏好、風險承受度，批准風險管理策略和重大風險管理解決方案；

（三）瞭解和掌握企業面臨的各項重大風險及其風險管理現狀，做出有效控制風險的決策；

（四）批准重大決策、重大風險、重大事件和重要業務流程的判斷標準或判斷機制；

（五）批准重大決策的風險評估報告；

（六）批准內部審計部門提交的風險管理監督評價審計報告；

（七）批准風險管理組織機構設置及其職責方案；

（八）批准風險管理措施，糾正和處理任何組織或個人超越風險管理制度做出的風險性決定的行為；

（九）督導企業風險管理文化的培育；

（十）全面風險管理其他重大事項。

第四十六條　具備條件的企業，董事會可下設風險管理委員會。該委員會的召集人應由不兼任總經理的董事長擔任；董事長兼任總經理的，召集人應由外部董事或獨立董事擔任。該委員會成員中需有熟悉企業重要管理及業務流程的董事，以及具備風險管理監管知識或經驗、具有一定法律知識的董事。

第四十七條　風險管理委員會對董事會負責，主要履行以下職責：

（一）提交全面風險管理年度報告；

（二）審議風險管理策略和重大風險管理解決方案；

（三）審議重大決策、重大風險、重大事件和重要業務流程的判斷標準或判斷機制，以及重大決策的風險評估報告；

（四）審議內部審計部門提交的風險管理監督評價審計綜合報告；

（五）審議風險管理組織機構設置及其職責方案；

（六）辦理董事會授權的有關全面風險管理的其他事項。

第四十八條　企業總經理對全面風險管理工作的有效性向董事會負責。總經理或總經理委託的高級管理人員，負責主持全面風險管理的日常工作，負責組織擬訂企業風險管理組織機構設置及其職責方案。

第四十九條　企業應設立專職部門或確定相關職能部門履行全面風險管理的職責。該部門對總經理或其委託的高級管理人員負責，主要履行以下職責：

（一）研究提出全面風險管理工作報告；

（二）研究提出跨職能部門的重大決策、重大風險、重大事件和重要業務流程的判斷標準或判斷機制；

（三）研究提出跨職能部門的重大決策風險評估報告；

（四）研究提出風險管理策略和跨職能部門的重大風險管理解決方案，並負責該方案的組織實施和對該風險的日常監控；

（五）負責對全面風險管理有效性評估，研究提出全面風險管理的改進方案；

（六）負責組織建立風險管理信息系統；

（七）負責組織協調全面風險管理日常工作；

（八）負責指導、監督有關職能部門、各業務單位以及全資、控股子企業開展全面風險管理工作；

（九）辦理風險管理其他有關工作。

第五十條　企業應在董事會下設立審計委員會，企業內部審計部門對審計委員會負責。審計委員會和內部審計部門的職責應符合《中央企業內部審計管理暫行辦法》（國資委令第8號）的有關規定。內部審計部門在風險管理方面，主要負責研究提出全面風險管理監督評價體系，制定監督評價相關制度，開展監督與評價，出具監督評價審計報告。

第五十一條　企業其他職能部門及各業務單位在全面風險管理工作中，應接受風險管理職能部門和內部審計部門的組織、協調、指導和監督，主要履行以下職責：

（一）執行風險管理基本流程；

（二）研究提出本職能部門或業務單位重大決策、重大風險、重大事件和重要業務流程的判斷標準或判斷機制；

（三）研究提出本職能部門或業務單位的重大決策風險評估報告；

（四）做好本職能部門或業務單位建立風險管理信息系統的工作；

（五）做好培育風險管理文化的有關工作；

（六）建立健全本職能部門或業務單位的風險管理內部控制子系統；

（七）辦理風險管理其他有關工作。

第五十二條　企業應通過法定程序，指導和監督其全資、控股子企業建立與企業相適應或符合全資、控股子企業自身特點、能有效發揮作用的風險管理組織體系。

第五十三條　企業應將信息技術應用於風險管理的各項工作，建立涵蓋風險管理基本流程和內部控制系統各環節的風險管理信息系統，包括信息的採集、存儲、加工、分析、測試、傳遞、報告、披露等。

第五十四條　企業應採取措施確保向風險管理信息系統輸入的業務數據和風險量化值的一致性、準確性、及時性、可用性和完整性。對輸入信息系統的數據，未經批准，不得更改。

第五十五條　風險管理信息系統應能夠進行對各種風險的計量和定量分析、定量測試；能夠實時反映風險矩陣和排序頻譜、重大風險和重要業務流程的監控狀態；能夠對超過風險預警上限的重大風險實施信息報警；能夠滿足風險管理內部信息報告制度和企業對外信息披露管理制度的要求。

第五十六條　風險管理信息系統應實現信息在各職能部門、業務單位之間的集成與共享，既能滿足單項業務風險管理的要求，也能滿足企業整體和跨職能部門、業務單位的風險管理綜合要求。

第五十七條　企業應確保風險管理信息系統的穩定運行和安全，並根據實際需要不斷進行改進、完善或更新。

第五十八條　已建立或基本建立企業管理信息系統的企業，應補充、調整、更新已有的管理流程和管理程序，建立完善的風險管理信息系統；尚未建立企業管理信息系統的，應將風險管理與企業各項管理業務流程、管理軟件統一規劃、統一設計、統一實施、同步運行。

第五十九條　企業應注重建立具有風險意識的企業文化，促進企業風險管理水平、員工風險管理素質的提升，保障企業風險管理目標的實現。

第六十條　風險管理文化建設應融入企業文化建設全過程。大力培育和塑造良好的風險管理文化，樹立正確的風險管理理念，增強員工風險管理意識，將風險管理意識轉化為員工的共同認識和自覺行動，促進企業建立系統、規範、高效的風險管理機制。

第六十一條　企業應在內部各個層面營造風險管理文化氛圍。董事會應高度重視風險管理文化的培育，總經理負責培育風險管理文化的日常工作。董事和高級管理人員應在培育風險管理文化中起表率作用。重要管理及業務流程和風險控制點的管理人員和業務操作人員應成為培育風險管理文化的骨幹。

第六十二條　企業應大力加強員工法律素質教育，制定員工道德誠信準則，形成人人講道德誠信、合法合規經營的風險管理文化。對於不遵守國家法律法規和企業規章制度、弄虛作假、徇私舞弊等違法及違反道德誠信準則的行為，企業應嚴肅查處。

第六十三條　企業全體員工尤其是各級管理人員和業務操作人員應通過多種形式，努力傳播企業風險管理文化，牢固樹立風險無處不在、風險無時不在、嚴格防控純粹風險、審慎處置機會風險、崗位風險管理責任重大等意識和理念。

第六十四條　風險管理文化建設應與薪酬制度和人事制度相結合，有利於增強各級管理人員特別是高級管理人員風險意識，防止盲目擴張、片面追求業績、忽視風險等行為的發生。

第六十五條　企業應建立重要管理及業務流程、風險控制點的管理人員和業務操作人員崗前風險管理培訓制度。採取多種途經和形式，加強對風險管理理念、知識、流程、管控核心內容的培訓，培養風險管理人才，培育風險管理文化。

第六十六條　中央企業中未設立董事會的國有獨資企業，由經理辦公會議代行本指引中有關董事會的職責，總經理對本指引的貫徹執行負責。

第六十七條　本指引在中央企業投資、財務報告、衍生產品交易等方面的風險管理配套文件另行下發。

第六十八條　本指引的《附錄》對本指引所涉及的有關技術方法和專業術語進行了説明。

第六十九條　本指引由國務院國有資產監督管理委員會負責解釋。

第七十條　本指引自印發之日起施行。