渝三峡A：《风险管理制度》

重庆三峡油漆股份有限公司

风险管理制度

第一章总则第一条为建立健全风险管理体系，提高重庆三峡油漆股份有限公司（以下简称公司）抗风险能力，增强企业竞争力，有效保障公司持续健康稳定发展和各项生产经营管理目标的实现，根据市国资委《关于加强市属国有企业全面风险管理的指导意见》《市属国有企业经营风险监测预警量化评估评级规则（试行）》等相关规定，结合公司实际，制定本制度。

第二条本制度适用于公司本部及所属分公司、全资及控股子公司（以下简称分子公司）。

第三条术语定义

（一）风险是指不确定性事件对目标实现的影响。

（二）风险管理是指各级风险管理组织在生产经营管理和决策过程中，对风险进行识别、评估，制定应对措施和工具，并对执行过程进行动态监控和报告、妥善处理风险事件，从而实现风险管理目标的文化、能力和实践活动。

第四条风险管理目标

公司及分子公司应当围绕总体经营目标，守住不发生系统性重大风险的底线，紧盯经营管理业务，坚持以防为主、关口前移，

建立健全覆盖战略、财务、市场、运营、法律、信用等各方面的风险管理体系，常态化全面排查风险隐患，严格执行风险管理流程，及时应对处置化解重大风险事件，积极培育良好风险管理文化，确保将各类风险控制在与企业总体经营目标相适应并可承受的范围内。

第五条风险管理基本原则风险管理基本原则包括战略协调原则、可行性原则、系统性原则、专业性原则。

第六条风险管理按照：“分级分类、重点监控”的模式进行管理

（一）分级管理

公司对风险实施分层管理，分级负责。公司及分子公司分别负责各自主体范围内的风险管理建设和实施，对其风险管理的有效性和结果负责，承担相应的风险责任。公司对分子公司的风险防控情况进行跟踪监控、监督检查、考核问责，督促分子公司建立健全风险管理体系。

（二）分类管理

公司风险管理在职能归口的基础上，实施专业化分类管理。各部门分别对各自职责范围内的风险实施管理，一岗双责，制定管理风险的具体制度流程、方法工具、规则标准并组织落实，并从职能对口角度对分子公司的风险予以专业的关注、指导和监管。

各级岗位和员工应按照其工作职责参与风险管理工作，并在具体工作中关注、防控、报告风险。

（三）重点监控风险管理部门对重大风险、重要部门、重要业务的风险管理情况进行重点跟踪监控，督促各责任主体履行责任、完善风险防控措施和工具。

第七条风险管理三道防线

（一）第一道防线是业务部门，包括各专业职能部门和全体员工。

第一道防线的总体角色是“具体风险的专业化运营管理者”，工作谁负责、风险谁管理，一岗双责。将业务运作过程中的风险通过本岗位的专业操作进行有效控制。

（二）第二道防线是风险管理支持职能部门――公司法务、风险管理部门。

归口风险管理体系和合规管理体系的建设和优化职能，基本角色是“体系管理者”，进行风险管理和合规管理监督检查，在第一道防线的基础上对个别关键风险进行重点监控并报告，提示、预警和协助各部门防范业务过程中的法律风险，为公司研究决策、各部门强化优化风险管理和合规管理提供支持。

（三）第三道防线是监督职能部门，包括审计部门和纪检部门等。

第三道防线总体角色是“独立监督者”，基本职责是以风险为导向，综合运用内部审计、内控评价、专项检查等监督手段，对第一道、第二道防线的风险管理建立和实施情况及其有效性进行独立监督，发挥揭示、监督、追责等功能，倒逼第一道、第二道防线相关部门将风控措施部署到位、执行有力，以审促改、以评促建，促进风险管理措施不断改善和提升。

第八条风险管理数字智治系统

公司及分子公司应围绕“管理制度化、制度流程化、流程数字化”构建数字智治体系，完善制度与流程，搭建智能数字平台，将监管内控嵌入信息系统，确保制度刚性执行与风险预警；围绕管理、决策、业务链识别关键风险点，实施数字化卡口管理，违规流程自动停止，超阈值“红灯”预警，超标准推送重点监督；利用大数据风险流程运行状态，对部门及员工履职、业务质量和风控进行综合评价，分析高频“红灯”源头，倒逼流程优化，实现闭环管理。

第二章风险管理组织体系

第九条党委会领导风险管理工作，对相关重大事项进行审议，提出意见和建议，并督促经理层履行职责，为其工作提供支持。

第十条董事会审议公司年度全面风险管理工作、年度风险“画像”报告，批准风险管理策略和重大风险管理解决方案，批

准风险管理监督评价审计报告，批准风险管理组织机构设置及其职责方案等。

董事会审计与风险委员会办理董事会授权的有关全面风险管理的事项，为董事会决策提供专业支撑。全面风险管理应当作为重大经营管理事项，纳入党组织前置研究讨论范围。

第十一条董事会授权经理层履行全面风险管理职责。经理层对审计与风险委员会有风险告知义务，并应主动向其提供风险信息，配合其履行风险管理职责。

第十二条公司各部门职责

公司各部门是其事务相关风险的直接责任主体。

公司各部门应在本部门内部指定负责风险管理事务的负责人

名、专兼职风险管理工作联络人

名，负责管理本部门风险管理具体事宜，对接日常风险管理中各项日常工作。

（一）办公室是第一道防线业务部门的重要组成部分，主要负责对宣传意识形态领域舆情分析、保密风险、信息发布风险、外联和公共关系风险、国家安全人民防线建设风险、信访稳定风险等相关风险进行具体管理。

（二）财务与资产管理部门是第一道防线业务部门的重要组成部分，主要负责对融资与债务风险、资金风险、财务资助风险（担保、借款等）、资产取得、租赁、处置风险等相关风险进行具体管理。

（三）证券与投资管理部门是第一道防线业务部门的重要组成部分，主要负责对战略风险、投资风险、资本运作风险、工程建设风险、信息披露风险、舆情管控风险等相关风险进行具体管理。

（四）组织与人力资源部门是第一道防线业务部门的重要组成部分，主要负责对人力资源风险进行具体管理。

（五）安全环保部门是第一道防线业务部门的重要组成部分，主要负责对安全环保职业卫生等相关风险进行具体管理。

（六）市场与运行部门是第一道防线业务部门的重要组成部分，主要负责对公司经济运行等相关风险进行具体管理。

（七）数字与信息部门是第一道防线业务部门的重要组成部分，主要负责对IT信息风险等相关风险进行具体管理，并对公司风险管理数字智治系统进行统筹并提供技术支持。

（八）科技创新部门是第一道防线业务部门的重要组成部分，主要负责产业结构风险、技术与研发创新风险等相关风险的管理。

（九）销售部门是第一道防线业务部门的重要组成部分，主要负责对客户资信风险、应收账款风险等相关风险进行具体管理。

（十）采购部门是第一道防线业务部门的重要组成部分，主要负责对供应商与履约风险、成本与价格风险等相关风险进行具体管理。

（十一）生产管理部门是第一道防线业务部门的重要组成部

分，主要负责对生产经营所需设备与运维风险、生产过程控制风险、产品履约交付风险等相关风险进行具体管理。

（十二）品质管理部门是第一道防线业务部门的重要组成部分，主要负责对质量管理体系失效风险、供应链质量输入风险、产品放行与符合性风险等相关风险进行具体管理。

（十三）物资管理部门是第一道防线业务部门的重要组成部分，主要负责对仓库安全与环保合规风险、库存积压风险等相关风险进行具体管理。

（十四）法务部门是第二道防线支持职能部门的重要组成部分，协助第一道防线核心业务部门进行业务过程中法律风险的防范。

（十五）风险管理部门是第二道防线支持职能部门的重要组成部分，协助第一道防线建立和企业风险管理相适宜的制度和业务流程安排；负责全面风险管理日常工作，组织开展全面风险管理日常监控、评估工作，组织实施跨部门的重大风险管理解决方案、研究提出工作建议、改进方案等。

（十六）审计部门、纪检部门是第三道防线监督职能部门的重要组成部分，总体上承担风险管理的第三道防线的独立监督职责。内部审计部门负责全面风险管理监督评价工作，对风险管理效果常态化开展监督与评价，出具监督评价审计报告，开展责任核查、追究等工作。

第十三条各分子公司应建立健全本单位的风险管理体系，与公司本部对接，加强生产经营管理过程中各项风险的具体管理。

第十四条各分子公司应结合自身情况建立风险管理的组织体系，明确风险管理三道防线的责任主体，将风险管理工作纳入日常的工作范围。

（一）分子公司应明确董事会（执行公司事务的董事）、党委会（党支部委员会）、管理层等在风险管理工作中的职责权限。

（二）分子公司主要领导是本单位风险管理的第一责任人。日常工作中，可安排具备相关知识、专业技能、工作经历的管理人员具体分管风险管理工作。

（三）分子公司应设置承担风险管理工作的专（兼）职机构或指定职能归口部门，该机构同时负责内部控制工作，接受公司本部风险管理部门的指导、监督。

第三章风险管理流程建设

第十五条收集信息

公司各职能部门及分子公司应广泛、持续不断地收集相关风险和与风险管理相关的内部、外部信息，包括历史数据和预测数据。可根据《风险分类参考标准》（附件

）分类收集战略风险、财务风险、市场风险、运营风险、法律风险、信用风险、其他风险等信息。各职能部门对收集的信息应进行必要的筛选、提炼、对比、分类、组合，可通过数字智治系统进行智能化风险识别和

预警。

第十六条风险评估公司各职能部门及分子公司应对收集的风险信息和各项业务管理及重要业务流程进行风险评估。风险评估包括风险辨识、风险分析、风险评价三个步骤。可通过搭建数字智治系统设置业务风险点、卡口，通过信息化手段实现风险智能识别和风险预警，对风险信息实行动态管理。

“三重一大”、高风险业务、重大改革等重大事项应建立专项风险评估机制。对于上述事项，申报部门应在方案研究论证材料中对风险进行专章分析或编制专项风险评估报告，提出相应的风险防控措施；审查部门应将方案和风险状况同步审查，并提出意见建议；决策部门应在综合权衡的基础上科学决策，避免重大决策失误。

公司将风险评估作为研究决策重大事项的前提条件。

第十七条制定策略

公司各职能部门及分子公司完成风险评估后，应根据自身条件和外部环境制定风险管理策略，围绕发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理策略工具，确定风险管理所需人力、财力等资源配置原则。

第十八条提出方案公司各职能部门及分子公司应将制定的风险管理策略分解落实，形成具体的风险解决方案，一般包括：风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施以及风险管理工具。

第十九条监督与改进公司各职能部门及分子公司应以重大风险、重大事件和重大决策、重要管理及业务流程为重点，对风险信息、风险评估、风险策略、解决方案的实施情况进行监督，具备条件的可采用压力测试、返回测试、穿行测试以及风险控制自我评价等方法对风险管理的有效性进行检验，根据变化情况和存在的缺陷及时加以改进。

公司及分子公司可聘请有资质、信誉好、风险管理能力强的中介机构对全面风险管理工作评价，出具风险管理评估和建议专项报告。

第四章风险监测预警与风险信息报告

第二十条公司应结合系统内风险特点，合理运用定性与定量相结合方式开展整体风险“画像”，加大重点业务、重点领域、重点环节的风险监测预警，提前防范重大风险。

第二十一条建立监测预警机制。公司应当结合实际，开展

本部和分子公司战略、财务、市场、运营、法律、信用、其他风险排查，建立风险监测预警机制，真实反映风险情况，及时研判重点业务、重点领域、重点环节风险变化趋势，及时汇总各方情况并作出动态预警监测提示，防范重大风险的蔓延和叠加。

第二十二条建立常态化风险“画像”机制。公司应当对上一年度全级次重大经营风险事件和审计、巡视巡察、内控评价等反映的问题进行全面复盘，结合生产经营实际，根据风险预测预警情况，填报《风险坐标图》（附件

），形成年度风险“画像”报告，全面、直观反映风险情况，科学预测可能面临的风险，进行监测预警更新。公司应当向董事会报告年度风险“画像”。

第二十三条公司对分子公司的风险状况建立风险提示和督查机制。

（一）公司对口职能部门在日常管理过程中，根据内外部实际情况，分析认为出资企业在个别管理领域或业务事项存在较大风险的，应及时发出《风险提示函》，提醒出资企业关注相关风险，督促出资企业及时优化调整工作部署，并及时将《风险提示函》报公司风险管理部门备案。

（二）对于公司高度关注的风险或公司已连续两次发函提示的风险，公司对口职能部门应发出《督办函》，要求出资企业限期采取实际行动管控风险，并将相关情况通报给风险管理部门，公司视情况进行现场检查和督办。

第二十四条风险信息报告

（一）公司建立年度全面风险管理报告制度。每年度末，分子公司应根据本年度风险管理工作状况、下年度重大风险评估情况和风险管理工作思路，书面编制全面反映本单位风险管理工作的年度风险管理工作报告、年度风险画像报告，完成内部程序后，逐级报送至公司风险管理部门。公司风险管理部门形成风险报告后，报公司董事会审计与风险控制委员会审核，经公司董事会审议通过后，作为开展下一年度工作的指导性文件。

（二）公司建立定期风险管理信息报告机制。公司各部门、分子公司综合分析日常经营管理情况中存在的风险，将风险变化、管理情况等报告给公司风险管理部门，分子公司、公司职能部门发现的重大经营风险应及时报告给公司风险管理部门。

第二十五条临时报告

（一）公司各部门、分子公司在日常生产经营和管理过程中，应根据实际情况，出现新的重大风险状况，或预计将发生或实际发生重大风险事件时，应立即向上级单位对口职能部门和风险管理部门进行口头报告，并自风险事件发生之日起1个工作日内向上级单位书面报告具体情况。公司规章制度另有规定的，从其规定。

（二）公司可根据经营管理实际情况需要，要求相关部门、分子公司对公司重点关注的风险进行专题分析和报告，为相关决

策部署提供支撑和参考。

第二十六条加强风险事件报告和处置。公司及分子公司应当早预警、早识别、早发现重大经营风险事件，严格执行上级及公司有关制度，及时报告、处置重大经营风险事件。对已发生的重大经营风险事件，应按规定全力推进处置化解和风险管控整改工作。

第五章风险应对处置与风险信息系统建设

第二十七条风险处理

（一）在日常经营监控中发现和报告的风险，报告单位应提出初步的处理思路。公司及分子公司对口职能部门应对信息进行必要的筛选、分析，研究提出处理方案，报分管领导审核把关、经公司主要领导批示（如需）确定处理意见，影响重大的应提交总经理办公会、党委会研究，根据公司意见进行工作安排，并将相关情况报风险管理部门备案，对口职能部门、风险管理部门进行跟踪。

（二）公司及分子公司应建立灵敏高效的重大突发风险事件处理和应急管理机制，以降低风险损失和影响。情况紧急的，应由公司领导主持专题会议研究对策，统一组织行动。对新出现的、缺乏风险应急预案的重大风险，风险管理部门应立即与公司相关部门协调，由对口职能部门组织人员研究制定风险应对方案，经分管领导审查把关并报公司党委会审查同意后实施。

第二十八条公司风险管理部门建立重大经营风险事件库，收集公司风险事件。公司各部门指导分子公司对重大经营风险事件总结经验教训，研究防控措施。

第二十九条公司及分子公司加强科技赋能，建立涵盖全面风险管理基本流程和内部控制系统各环节的数字智治信息系统，确保信息系统安全稳定运行，不断进行迭代更新。

（一）信息采集。应采取措施确保向信息系统输入的业务数据和风险量化值的一致性、准确性、及时性、可用性和完整性；对输入信息系统的数据，未经批准，不得更改。

（二）信息存储。应建立良好的数据架构，解决好数据标准化和存储技术问题。

（三）信息加工、分析和测试。应按照可使用、可分析的标准，对各种风险进行定量分析、定量测试。

（四）信息传递。应建立贯穿全面风险管理基本流程，连接各上下级、各部门和业务单位的风险管理信息传递渠道，确保信息沟通的及时、准确、完整。

（五）信息报告和披露。应对超过风险预警上限的重大风险实施信息报警，满足风险管理内部信息报告制度和公司对外信息披露管理制度。

第六章风险管理考核和问责

第三十条公司将风险管理情况纳入合规考核。对于存在重

大投资风险、应对处置不力的部门、分子公司，在考核时根据实际情况进行扣分处理。

分子公司责任人向公司进行年度述职时，应报告本企业风险管理工作推进情况、重大风险管理状况。分子公司其他管理人员进行年度述职时，应报告分管领域管理工作推进情况、重大风险管理情况。

对于隐瞒不报重大经营风险的、重大经营风险事件处置不力的，公司将按规定纳入考核。

第三十一条公司本部各部门和企业各级人员违反国家法律法规和内部管理规定，未履行或未正确履行职责致使发生下列情形，造成风险事件、产生经济损失或其他严重不良后果的，按照公司问责制度的规定严肃追究责任：

（一）对经营投资重大风险未能及时分析、识别、评估、预警和应对；

（二）内控及风险管理制度缺失，内控流程存在重大缺陷或内部控制执行不力；

（三）对重大风险隐患、内控缺陷等问题失察；

（四）瞒报、漏报重大风险及风险损失事件，或虽发现但没有及时报告、处理；

（五）其他风险管理中失职失责的严重行为。

第七章风险管理工作监督检查与改进

第三十二条专项检查

（一）公司各部门可选取重点企业、重点领域或事项开展风险管理专项监督检查，督促各部门和分子公司优化调整风险管控措施、持续跟踪，就风险管理情况向公司领导汇报。

（二）风险管理职能部门应对公司及分子公司的风险管理情况进行工作检查，督促相关部门和相关分子公司履行责任，并及时将风险管理情况向相关公司领导报告。

第三十三条独立监督

（一）公司审计部门通过内控评价、其他审计项目过程中对风险管理措施进行审计等方式，对被审计单位风险管理体系建设和运行情况进行独立监督，揭示风险。

（二）公司纪律检查室通过监督检查等方式，对被监督对象的风险管理体系建设和运行情况进行独立监督；并根据相关问题和线索，进行风险事件调查，按照问责制度的规定对相关责任人员予以问责。

（三）公司审计、纪律检查室等监督机构应通过多种形式对公司及分子公司的风险管理体系建设和运行情况独立监督，发挥揭示、监督、追责等功能，倒逼各部门和分子公司将风险管理工具部署到位、执行到位，以审促改、以评促建，促进风险管理措施不断改善和提升。

第三十四条改进机制

公司风险管理部门原则上每年组织各部门和分子公司进行风险管理工作盘点回顾，分析评估风险管理体系的适用性，保持公司风险管理体系与内外部环境动态适应。

公司风险管理部门通过每年制定风险管理工作要点，持续推进风险管理工作，促进风险管理体系持续完善。

第八章附则

第三十五条本制度由公司负责解释。

第三十六条分子公司应按照本制度要求执行，结合自身情况制定相应的风险管理规章制度，对本企业的风险管理工作进行规范。

第三十七条本制度自印发之日起施行。原《重庆三峡油漆股份有限公司风险管理制度》（渝漆发〔2021〕

号）同时废止。

附件：

1.风险分类参考标准

2.风险坐标图

附件

风险分类参考标准

附件2

风险坐标图

注：《风险坐标图》的填报及应用方法《风险坐标图》是把风险发生可能性的高低、风险发生后对企业的影响程度，作为两个维度绘制在同一个平面直角坐标系上，直观反映企业各类风险状况的一种风险管理技术方法。该图为一个5×5的网格，按反映的风险状况划分为A、B、C三个区域。企业综合对战略、财务、市场、运营、法律、信用、其他共七类风险自评的结果，确定风险发生的可能性及损失影响程度，将七类风险分别填入相应的网格中，并根据风险所处网格的不同位置采取相应的风险管理策略：

1.如果风险网格处于A区域，企业应尽力规避、化解或转移该风险，同时优先安排实施该类风险的各项防范措施。

2.如果风险网格处于B区域，企业应严格控制该类风险进一步发展并补充各项风险控制措施。

3.如果风险网格处于C区域，企业可以决策承担该风险且不再增加控制措施。

4.该图应按年度绘制，作为年度风险“画像”报告的附件上报。