甘肃省敦煌种业集团股份有限公司

风险管理制度

（公司第九届董事会第十三次临时会议审议通过）

第一章 总则第一条 为加强甘肃省敦煌种业集团股份有限公司（以下简称“公司”）风险管理，有效防范和控制经营管理中可能发生的风险与危机，保障经营管理持续、稳定、健康运行，根据《中央企业全面风险管理指引》《企业内部控制基本规范》及其配套指引等规范性文件的规定，结合公司实际，制定本制度。

第二条 本制度适用于公司及所属分、子公司（以下统称“各责任主体”）。

第三条 有关术语

（一）风险是指公司发展过程中，未来的各种不确定因素对集团公司实现战略目标和经营目标的影响。

（二）风险管理是指围绕公司经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，健全风险管理体系，为实现风险管理的总体目标提供合理保证的过程和方法。

第四条 风险管理目标

（一）建立健全公司风险管理体系，为实现公司经营目标和

战略目标提供合理保障。

（二）保障公司遵守法律法规、相关监管要求，公司内控制度有效执行。

（三）保障将内部风险控制在公司发展战略和经营目标相适应并可承受的范围内。

第五条 公司风险管理遵循的原则

（一）预防原则：风险管理贯穿各项业务与经营管理活动始终，预防为主，防控结合。

（二）主体责任原则：风险管理应明确“谁开展业务、谁承担风险管理”责任，覆盖全员、全过程和全方位。各责任主体负责人对本单位风险管理的成效负总责，确保风险管理责任层层落实，形成横向贯通、纵向到底的责任体系。

（三）融合原则：风险管理应融入各项业务中，实现风险管理与日常业务、经营管理高度融合。

（四）权衡轻重原则：经过评估、权衡等办法，对重要业务、重大事项、主要操作环节和高风险领域实施重点管控。

（五）适应性原则：风险管理同经营管理、业务范围的实际水平相适应，并依实际及时进行调整和完善；循序渐进，分步实施本制度体系及规范。

（六）成本效益原则：在确定风险管理优先顺序的基础上，考虑风险管理成本和预期收益的匹配和平衡。

第六条 公司风险管理应当设立“三道防线”的管控体系。各责任主体是内部控制与风险管理的第一道防线，承担业务发生

时风险源所在第一线的风险管理职责，责任主体主要负责人是本单位风险管理的第一责任人；主管部门是第二道防线，协调、组织、督导各责任主体落实风险管理责任；风险防控和其它监督主体是第三道防线，监督评价与提出改进建议。

第二章 组织架构第七条 公司董事会、经营管理层、各职能部门及各责任主体构成风险管理组织体系。

第八条 公司董事会是风险管理的最高决策机构，确定风险管理的总体目标；批准风险管理组织机构设置及其职责方案；确定风险管理原则等。

第九条 公司总经理统一领导风险管理工作。

第十条 经营管理层组织公司各职能部门及各责任主体开展风险管理工作，主要职责是：

（一）负责实施公司内部控制和风险管理的各项决策。

（二）组织审议各项业务风险控制重点、流程和风险控制制度。

（三）负责健全完善内部控制缺陷的纠正和处理机制，妥善解决各类风险隐患。

第十一条 风险管控主管部门负责风险管理的日常组织协调工作，主要职责是：

（一）督促完善风险管理体系。

（二）统筹协调风控管理工作。

（三）拟定公司风险管理制度。

（四）负责组织协调风险管理日常工作。

（五）负责监督公司各部门、各责任主体开展风险管理工作情况。

（六）其他风险管理工作。

第十二条 公司各部门、各责任主体负责职责范围内的风险管理工作，主要职责是：

（一）研究提出职责范围内的风险管理策略，梳理业务流程，识别、分析业务流程的风险点，确定风险管控应对方案，并对管控措施的执行情况进行监控。

（二）执行风险管理基本流程，将风险管理融入经营管理工作的全过程。

（三）研究提出重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制。

（四）负责职责和业务范围内风险分析、评估和报告等有关工作。

（五）做好培育风险管理文化的有关工作。

第三章 基本工作流程第十三条 各责任主体按照战略风险、财务风险、运营风险、市场风险等信息，结合实际，全面收集内外部信息，包括但不限于历史数据、现实状况和未来预测等。

第十四条 各责任主体对收集的初始信息应当进行必要的筛选、提炼、整理，形成完善的风险信息库。

第十五条 风险评估分为全面风险评估和专项风险评估两类。全面风险评估是指一定周期内各责任主体员工参与的评估，具体周期由风险主管部门据实确定；专项风险评估是指对重大决策风险、突发风险、专业领域特定风险等独立事项，由风险主管部门组织的专项评估。必要时可聘请有资质、信誉好、风险管理专业能力强的专业机构协助实施。

第十六条 风险评估包括风险辨识、风险分析、风险评价三个步骤，风险辨识是指查找业务主体、重要经营活动及其重要业务流程中有无风险、有哪些风险。风险分析是对辨识出的风险与特征进行明确的定义描述，分析和描述风险发生的可能性高低、风险发生的条件。风险评价是评估风险对实现目标的影响程度、风险的价值等。

第十七条 风险评估以定性方法为主，有条件的可采用定量方法。定性方法采用集体讨论、检查表法、现场调查、政策分析等。

第十八条 风险评估完成后，应从风险发生可能性和风险影响程度两个维度，做出“一般、中等、重大”的风险说明和提示。在评估多项风险时，应进行分类排序，确定风险管理的优先顺序。

第十九条 风险管理策略是根据内部条件和外部环境，围绕发展战略、生产经营情况等，确定经营业务或专业管理的风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险控制等风险管理工具的总略，并确定风险管理所需人力和财力资源的配置原则。

第二十条 各责任主体在风险评估基础上，结合实际，研究提出风险管理策略，提交上级管理层，在对应层级会议审批通过后执行。

第二十一条 根据风险评估和风险管理策略，各责任主体应针对风险点及其涉及的管理和业务流程，制定风险应对方案。

第二十二条 风险应对方案包括风险解决的具体目标、所需的组织领导、业务流程、条件、手段等资源，以及风险事件发生前、中、后所采取的具体措施。

（一）风险应对的内控方案应区分重大和一般风险作出差别安排。对于重大风险应制定涵盖各业务和管理环节的全流程控制措施，对一般风险应将所涉及的关键业务流程和环节作为控制点制定相应的控制措施。

（二）控制措施包括但不限于以下内容：不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制、审计检查控制和绩效考评控制等。

第二十三条 公司层面的风险应对方案，按照风险所涉及业务管理范围由相关业务部门制定，按职责分工具体落实应对措施。风险主管部门对应对方案执行情况进行跟踪督办。

第二十四条 各责任主体应建立重要归口业务或经营活动的突发风险应急管理机制，确保突发事件得到及时妥善处理。

第二十五条 各责任主体根据业务实际，设置关键风险指标，对超过各类各级风险限额的情形及时发布预警，并启动风险应对方案或应急预案。

第二十六条 风险管理报告分为定期报告、不定期专项报告和突发风险专题报告三种。

（一）定期报告是指由各责任主体针对每年度风险管理及风险监控情况，提交的汇总分析报告。

（二）不定期专项报告是指由责任主体针对重大风险事件的总结反思、重大决策事项的风险评估情况、重大风险专题调研等专项报告。

（三）突发风险专题报告是指由责任主体就突发性风险事件提交的分析报告。

第二十七条 各责任主体应定期以重大风险管控、重要业务和重点工作流程为抓手，对风险管理的有效性进行检验，根据变化情况和存在缺陷进行改进。

第二十八条 风险主管部门定期对各责任主体风险管理运行情况开展检查，提出风险管理工作改进与提升的意见。

第二十九条 在风险管理检查、监督等过程中发现的缺陷，责任主体必须系统分析其性质、产生原因和影响程度，提出整改方案，并组织落实。

第四章 风险评估的主要内容

第三十条 风险评估的基础是风险管理理念和风险接受程度。

（一）实行稳健的风险管理理念，充分认识整个经营过程中风险管理的重要性。

（二）风险接受程度是公司在实现经营目标过程中能够接受的风险程度。将风险接受程度分为“高”“中”“低”三类。

第三十一条 风险评估内容包括：风险辨识、风险分析、风险评价。目标制定是风险识别、风险分析和风险评价的前提。目标制定按照战略目标、经营目标、合规性目标三个方面进行确定，且必须符合国家的法律法规和行业发展规划的相关要求及公司战略发展计划等。

第三十二条 风险识别是识别可能阻碍实现公司目标、阻碍创造价值或侵蚀现有价值的因素。采取问卷调查、小组讨论、专家咨询、情景分析、政策分析、同行业比较、访谈等方法识别风险，识别出相关的内部风险和外部风险，以便确定相应的风险承受度。

（一）识别内部风险，应当关注下列因素：

1.董事、高级管理人员等相关人员的职业操守、员工的专业能力等人力资源因素。

2.组织机构、经营方式、资产管理、业务流程等管理因素。

3.研究开发、技术投入、信息技术运用等自主创新因素。

4.财务状况、经营成果、现金流量等财务因素。

5.营运安全、员工健康、环境保护等安全环保因素。

6.产品质量、售后服务、促进就业、资源节约等社会责任因素。

7.其他有关内部风险因素。

（二）识别外部风险，应当关注下列因素：

1.经济形势、产业政策、筹资环境、市场竞争、资源供给等经济因素。

2.法律法规、监管要求等法律因素。

3.安全稳定、文化传统、社会信用、教育水平、客户行为等社会因素。

4.技术进步、科技创新等科学技术因素。

5.自然灾害、环境状况等自然环境因素。

6.其他有关外部风险因素。

第三十三条 风险分析主要从风险发生的可能性和对公司目标的影响程度两个角度，对识别的风险进行分析和排序。各责任主体应从专业角度设置不同风险影响程度和发生的可能性适用的标准，对风险进行划分，分别确认为“一般、中等、重大”，对“重大风险”进行优先关注和重点控制。

第三十四条 风险评价是评估风险对实现目标的影响程度、风险的价值等。

（一）风险评价要综合考虑风险程度，确定风险水平。

（二）重大风险，须引起高度重视，不惜代价及时采取应对措施，直至风险减低。

（三）中等风险，须提供有效监控及风险应对措施和应急预案，加强监测和管控，直至风险减低。

（四）一般风险，须落实管理职责对风险后果及危害进行有效控制，减低风险。

第五章 风险管理文化建设第三十五条 将“分工负责、健全机制、风险预控、融入日常”的风险防控理念融入企业文化建设全过程，促进风险管理水平和员工风险管理素质提升，保障风险管理目标的实现。

第三十六条 强化风险管理文化宣传，各责任主体应当适时组织开展风险文化宣贯活动。

第三十七条 各责任主体应将风险管理培训纳入年度培训计划，逐步建立全员风险管理培训机制，保持教育宣传的连续性和持续性。

第六章 附则

第三十八条 公司法务、合规、安全、环保、质控等风险管理由相关职能部门按职能分工进行管控。

第三十九条 本制度自发布之日起实施。