北京九强生物技术股份有限公司

风险管理制度

第一章总则第一条为规范北京九强生物技术股份有限公司（以下简称“公司”）的风险管理，建立规范、有效的风险控制体系，提高公司的风险防范能力，促进公司持续稳健运行，提高经营管理水平，根据上市公司法律、法规等规定和要求，结合公司实际，制定本制度。

第二条本制度适用于公司及其所属的全资、控股子公司。第三条本制度中所称风险是指未来的不确定性对公司实现经营目标的影响，具体分为战略风险、财务风险、市场风险、运营风险和法律风险等。

第四条风险管理是指公司围绕战略目标和经营目标，通过在日常经营管理的各环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全风险管理体系，为实现风险管理的总体目标提供合理保证的过程和方法。

第五条风险管理总体目标

（一）确保将风险控制在与经营目标相适应并可承受的范围内；

（二）确保公司内外部实现真实、可靠的信息沟通；

（三）确保遵守有关法律法规；

（四）确保公司有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性；

（五）建立针对各项重大风险发生后的风险应对和危机处理机制，保护公司不因灾害性风险或人为失误而遭受重大损失。

第六条风险管理的基本原则包括：

(一)战略导向原则：风险管理工作应以公司发展战略为导向，从战略目标出发，为实现战略目标服务；

(二)合规性原则：风险管理必须符合国家法律法规和董事会、股东会及公司章程的要求和规定；

(三)重大性原则：风险管理应在兼顾全面的基础上突出重点，针对重要业务与事项、高风险领域与环节采取严格的控制措施，把风险控制在可接受的水平；

(四)适应性原则：风险管理应符合公司业务特点和经营模式，能够有效实现风险控制目标；

(五)成本效益原则：风险管理应在有效控制风险的同时，合理权衡成本与效益的关系，争取以较小的成本实现有效的风险控制；

(六)防范控制原则：风险管理应向日常管理工作的前端推进，加强风险的事前防范和统筹管理。

第二章风险管理组织体系与职责分工

第七条风险管理组织体系包括：

董事会、管理层、审计委员会、审计部、合规部门及公司各职能部门。

公司建立风险管理体系的三道防线。其中，公司各职能部门作为风险管理第一道防线，是风险管理体系中最基础、最关键的防线，是风险管理的第一责任人。财务、法务等合规部门作为风险管理第二道防线。董事会、审计委员会及审计部为风险管理第三道防线。

第八条风险管理组织职责分工

（一）董事会是公司风险管理工作的最高决策机构，就风险管理工作的有效性对股东会负责。其主要职责如下：

1.确定公司风险管理总体目标、风险偏好、风险承受度，批准公司重大风险管理策略和重大风险管理解决方案；

2.负责监督公司对风险管理机制的设计、实施及监察，并评价其有效性；

3.督导企业风险管理文化的培育。

（二）管理层（总经办）对公司风险管理工作的有效性向董事会负责。总经理或总经理委托的高级管理人员，负责主持风险管理的日常工作。其主要职责如下：

1.拟定公司风险管理总体目标、风险偏好、风险承受度以及风险管理策略；

2.对公司经营和业务风险控制及管理情况进行监督；

3.定期向董事会汇报公司风险管理情况；

4.办理董事会要求的有关风险管理的其他重要事项。

（三）公司各职能部门作为第一道防线，各职能部门负责人为风险管理的第

一责任人，主要职责如下：

1.负责制订和落实风险管理策略及对风险管理的日常工作进行协调；

2.负责就所辖职责范围相关重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制进行研究并提出建议；

3.组织对所辖职责范围的重大事件和重要业务流程进行风险评估，提出风险应对策略和内部控制优化建议；

4.建立健全所辖职责范围相关重大风险的预警、报告机制和应急预案；

5.完成风险管理的其他重要工作。

（四）合规部门在风险控制方面的主要职责如下：

财务、法务等合规职能部门作为第二道防线，负责从控制角度对交易的真实性、完整性、准确性进行判断和把关，进一步对合规性、合理性进行判断，进一步强化风险控制。

（五）审计委员会及审计部在风险控制方面的主要职责如下：

内部审计作为第三道防线，对公司管理制度、流程和各项风险的控制程序和活动进行独立监督。

第三章风险管理的内容第九条风险管理的基本流程包括：

（一）收集风险信息；

（二）识别风险，进行风险初步排查；

（三）进行风险评估，制定风险管理策略；

（四）提出和实施风险解决方案

（五）风险报告；

（六）对风险管理进行监督和改进。

第一节信息收集第十条风险信息收集是指公司各职能部门根据工作实际开展情况，全面、系统、持续地收集可能影响经营目标的内外部信息。具体内容如下:

（一）公司各部门在日常工作中，根据各自业务收集整理与本单位风险相关的内外部相关信息，包括历史数据和未来预测数据，并进行整理和记录；

（二）定期分析所处的内外部风险环境并编制相关报告或建议。

第二节风险识别第十一条风险识别是指各职能部门应当根据收集的风险信息，及时识别可能阻碍实现公司目标、阻碍公司创造价值或侵蚀现有价值的因素。风险识别包括内部风险识别和外部风险识别。

（一）公司识别内部风险，应当关注下列因素：

1.董事、高级管理人员及其他经理人员的职业操守、员工专业胜任能力等人力资源的因素；

2.组织机构、经营方式、资产管理、业务流程等管理因素；

3.研究开发、技术投入、信息技术运用等自主创新因素；

4.财务状况、经营成果、现金流量等财务因素；

5.营运安全、员工健康、环境保护等安全环保因素；

6.其他有关内部风险因素。

（二）公司识别外部风险，应当关注下列因素：

1.全球及国内经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素；

2.法律、法规、部门规章、规范性文件及证券监管要求等法律因素；

3.安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素；

4.科技进步、技术创新、工艺改进等科学技术因素；

5.市场对本行业产品或服务的需求；

6.自然灾害、环境状况等自然环境因素；

7.其他有关外部风险因素。

第十二条公司可以采取问卷调查、小组讨论、专家咨询、情景分析、政策分析、行业标杆比较、访谈等方法识别风险。

第三节风险评估

第十三条风险评估是指公司应当根据风险的影响程度和发生的可能性，对识别的风险进行分析和排序，确定重点关注和优先控制的风险。

第十四条风险分析方法一般采用定性和定量方法。

在风险分析不适宜采取定量分析的情况下，或用于定量分析所需要的足够可信的数据无法获得，或获取成本很高时，可使用定性分析法。

第十五条公司风险分析，应当充分吸收专业人员，组成风险分析团队，按照严格规范的程序开展工作，以确保风险分析结果的准确性。

第十六条公司将风险划分为“重大风险”、“重要风险”与“一般风险”，公司对风险重要程度的判断主要根据风险发生的可能性和影响程度来确定。

（一）风险发生的可能性：

当风险发生的概率>0%，但≤5%时，为“极小可能”发生；

当风险发生的概率>5%，但≤50%时，为“可能”发生；

当风险发生的概率>50%，但≤95%时，为“很有可能”发生；

当风险发生的概率>95%，为“基本确定”发生。

（二）风险的影响程度：

1.如果风险发生的可能性属于“极小可能”发生的，则该风险就可以不被关注；

2.如果风险发生的可能性为“可能”发生，且风险的影响程度小，则应将该类风险确定为“一般风险”，需要予以必要关注和控制；

3.如果风险发生的可能性为“很有可能”发生，且风险的影响程度较大，则应将该类风险确定为“重要风险”；

4.如果风险发生的可能性为“基本确定”发生，且风险的影响程度很大，则应将该类风险确定为“重大风险”，需要予以重点关注和优先控制。

第十七条制定风险管理策略是指公司根据风险评估结果，结合风险发生的原因以及承受度，权衡风险与收益，选择风险承担、风险规避、风险分担、风险降低等适合的风险应对策略。其中:

（一）风险承担:公司对风险接受程度之内的风险，在权衡成本效益之后，不准备采取任何控制措施降低风险或者减轻损失。

（二）风险规避：公司对超出风险接受程度的风险，通过变通、放弃或者停止与该风险相关的业务活动，以避免和减轻损失。

（三）风险分担：公司准备借助他人力量，采取包括业务分包、购买保险、取得担保（抵押）等方式和适当的控制措施，将风险控制在公司风险接受程度之内。

（四）风险降低：公司在权衡成本效益之后，准备采取适当的控制措施降低

风险或者减轻损失，将风险控制在公司风险接受程度之内。第十八条公司各职能部门在确定具体的风险应对方案时，应考虑以下因素：

（一）风险应对方案对风险发生的可能性和风险影响程度的影响，风险应对方案是否与公司的风险容忍度一致；

（二）风险应对方案的成本与预期收益比较；

（三）风险应对方案中可能的机遇与相关的风险进行比较；

（四）充分考虑多种风险应对方案的组合；

（五）合理分析、准确掌握董事、高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给公司经营带来重大损失。

第十九条公司应定期总结和分析已制定的风险管理策略的有效性和合理性，结合公司不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别与分析，及时调整风险管理策略。

第四节风险应对

第二十条风险应对是根据风险评估结果和风险管理策略，针对各类风险制定与实施具体管控措施。根据经营战略与风险策略一致、风险控制与运营效率及效果相平衡的原则，制定风险解决的内控措施。公司制定合理、有效的内控措施，包括以下内容：

（一）不相容职务分离控制

公司应当全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。

（二）授权审批控制

1.公司根据授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。公司各级管理人员应当在授权范围内行使职权和承担责任。

2.公司对于重大的业务和事项，应当实行集体决策审批或者联签制度，任何个人不得单独进行决策或者擅自改变集体决策。

（三）会计系统控制

1.公司应当严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。

2.公司应当依法设置会计机构，配备具有相应从业资质的会计从业人员。

（四）财产保护控制

1.公司应当建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。

2.公司应当严格限制未经授权的人员接触和处置财产。

（五）预算控制

公司应当实施全面预算管理，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束；

（六）运营分析控制

公司建立运营情况分析机制，应当综合运用研发、生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现存在的问题，及时查明原因并加以改进。

（七）绩效考评控制

公司应当建立和实施绩效考评制度，科学设置考核指标体系，对公司内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。

（八）建立重大风险预警和突发事件应急处理机制

公司应对可能发生的重大风险或突发事件，制定应急预案、明确责任人员、规范处置程序，确保突发事件得到及时妥善处理。

（九）建立健全公司法律顾问机制

1.公司应当加强法律风险防范机制建设，形成由公司决策层主导、公司法务部牵头、公司法律顾问提供业务保障、全体员工共同参与的法律风险责任体系。

2.公司应当完善重大法律纠纷案件的备案管理制度。

第二十一条风险监控及预警是指对风险应对策略与管理举措的设计和执行的有效性进行总体评价，提出改进建议。公司各部门对其管理的重大风险和相关风险进行持续的日常监控，并及时向管理层上报潜在重大风险变化。开展风险监控时需要对以下风险信息予以持续关注：

（一）关键风险指标的变化状况；

（二）新出现的风险或原有风险的重大变化；

（三）风险应对方案的执行情况及效果。

第五节风险报告第二十二条风险报告指公司各部门应对其业务中发生的重大风险和重要风险进行持续的日常监控并及时向公司管理层报告，并积极采取防范措施，将实施结果及时提交公司管理层。

第六节监督改进第二十三条公司各部门应根据自身的职能及业务分别建立连接上下级、跨部门的信息沟通渠道，确保信息沟通的及时、准确、完整，为风险管理监督与改进奠定基础。

第二十四条公司各部门应对其业务相关的风险管理工作进行自查和检验，及时发现缺陷并改进，其检查、检验报告应及时报关公司管理层。

第二十五条公司审计部门是风险管理的监督部门，负责为组织治理和风险管理工作的适当性和有效性提供独立且客观的确认和咨询，评价和改进风险管理、控制和治理过程的效果，推动和协助企业实现可持续的进步。

第二十六条公司应结合内部监督情况，定期对内部控制的有效性进行自我评价，出具内部控制自我评价报告。

第四章风险管理保障体系建设

第二十七条公司应将风险管理与企业经营管理相结合，根据风险评估结果和风险管理需要，将风险管理的要求落实到各项内部管理制度和流程。

第二十八条公司应将信息技术应用于风险管理的各个环节，建立涵盖风险管理基本流程和内部控制系统各环节的风险管理信息系统，不断改进公司经营管理流程监督的方式和途径，做到信息可监控、行为留痕迹、过失可追溯。

第二十九条公司应建立具有风险意识的企业文化，促进公司风险管理水平、员工风险管理素质的提升，将风险管理文化建设融入公司文化建设全过程，将风险管理意识转化为员工的共同认识和自觉行动，促进公司建立系统、规范、高效的风险管理机制，保障公司风险管理目标的实现。

第三十条公司应大力加强员工法律素质教育，制定员工道德诚信准则，形成人人讲道德诚信、合法合规经营的风险管理文化。对于不遵守国家法律法规和公司规章制度、弄虚作假、徇私舞弊等违法及违反道德诚信准则的行为，公司应

严肃查处。第三十一条公司全体员工尤其是各级管理人员和业务操作人员应通过多种形式，努力传播公司风险管理文化，牢固树立风险无处不在、风险无时不在、严格防控纯粹风险、审慎处置机会风险、岗位风险管理责任重大等意识和理念。

第五章附则第三十二条本制度未尽事宜，按照有关法律、法规、规范性文件、深交所的上市规则和《公司章程》的相关规定执行。第三十三条本制度自董事会审议通过之日起生效并施行。第三十四条本制度由董事会负责解释和修订。