1、编 号 版 本 号 01保密等级 II风险管控制度 页 数 1/151目 录第一章 总则 .2第二章 组织体系与职责分工 . 3第三章 风险辨识 . 5第四章 风险分析 . 6第五章 解决方案 . 7第六章 风险评估报告 . 10第七章 报告与预警 . 11第八章 风险与危机的处理 . 11第九章 监督与考核 . 13第十章 风险管控文化 . 14第十一章 附则 . 14起草人 审核人 批准人部 门姓 名签 名日 期颁 发 部 门/ 报 告 部 门 执 行 日 期/ 报 告 日 期编 号 版 本 号 01保密等级 II风险管控制度 页 数 2/152第一部分 风险管控制度第一章 总则第一条 为
2、建立规范、有效的风险控制体系，提高风险防范能力, 增强公司竞争力，保证公司安全、稳健、持续发展，提高经营管理水平，依据国家有关法律、法规，结合公司实际，制定本管理制度。第二条 本制度所称风险，是指未来的不确定性对公司实现其经营目标的影响，按类型可分为战略风险、财务风险、市场风险、运营风险、法律风险等。第三条 本制度所称风险管控，指公司围绕总体经营目标，通过在公司管理的各个环节和经营过程中执行风险管控的基本流程，培育良好的风险管控文化，建立健全全面风险管控体系（包括风险管控策略、风险管控措施、风险管控的组织职能体系、风险管控信息系统和内部控制系统） ，从而为实现风险管控的总体目标提供合理保证的过
3、程和方法。第四条 公司开展风险管控力求实现以下风险管控总体目标：（一）确保将风险控制在与总体目标相适应并可承受的范围内； （二）确保内外部，尤其是公司与股东间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告； （三）确保遵守有关法律、法规及医药行业相关规定； （四）确保公司有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性； （五）确保公司建立针对各项重大风险发生后的危机处理计划，保护公司不因灾害性风险或人为失误而遭受重大损失。第五条 风险管控工作遵循以下原则：（一）全面性原则。风险控制应当贯穿决策、执行
4、和监督全过程，覆盖公司及其所属单位的各种业务和事项。 编 号 版 本 号 01保密等级 II风险管控制度 页 数 3/153（二）重要性原则。风险控制应当在全面控制的基础上，关注重要业务事项和高风险领域。 （三）制衡性原则。风险控制应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。 （四）适应性原则。风险控制应当与公司经营规模、业务范围、竞争状况和风险水平等相适应，并随着情况的变化及时加以调整。 （五）成本效益原则。风险控制应当权衡实施成本与预期效益，以适当的成本实现有效控制。第六条 公司以对重大风险、重大事件(指重大风险发生后的事实)的管理和重要流程
5、的内部控制为重点，开展全面风险管控工作，建立全面风险管控体系。第七条 全面风险管控通常应涵盖公司治理与经营管理活动中所有环节， 包括但不限于：（一）日常经营环节：主要包括：生产、采购与付款、工程建设、销售与收款、财务会计管理、全面质量管理、产品研发、人事管理等。（二）重大资产购买和出售环节：主要包括重大资产自建、购置、处置、维护、保管与记录等。（三）对外投资环节：包括投资有价证券、股权、金融衍生品及其他长、短期投资、委托理财、募集资金使用的决策、执行、保管与记录等。（四）对外担保与融资环节：包括借款、担保、承兑、租赁、发行新股、发行债券等的授权、执行与记录等。（五）证券事务环节：主要包括持股5
6、%以上股东、董事、监事、高级管理层的诚信规范要求，信息披露，投资者关系管理等。（六）关联交易环节：包括关联方的界定，关联交易的定价、授权、执行、报告和记录等。（七）公司治理环节：主要包括“三会”（股东会、董事会、监事会）运作，“三会”和管理层的职权等。编 号 版 本 号 01保密等级 II风险管控制度 页 数 4/154第八条 本制度适用于公司及各分、子公司。第二章 组织体系与职责分工第九条 公司风险管控的组织体系由公司运委会、高管层、审监部、法务部、部门及分子公司内设的有风险管控职能的部门或岗位构成。第十条 公司运委会作为公司全面风险管控的最高决策机构，主要履行以下风险管控职责：（一）审议并
7、向股东会提交公司全面风险管控年度工作报告； （二）确定公司风险管控总体目标、风险偏好、风险承受度，批准风险管控策略和重大风险管控解决方案； （三）了解和掌握公司面临的各项重大风险及其风险管控现状，做出有效控制风险的决策； （四）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制； （五）全面风险管控其他重大事项。第十一条 公司高管层作为公司全面风险管控的监督责任主体，主要履行以下风险管控职责：（一） 批准重大决策的风险评估报告；（二） 批准审监部门提交的风险管控监督评价审计报告；（三） 批准风险管控组织机构设置及其职责方案；（四） 批准风险管控措施，纠正和处理任何组织或个人超越
8、风险管控制度做出的风险性决定的行为；（五） 督导公司风险管控文化的培育。（六） 审议风险管控策略和重大风险管控解决方案；（七） 审议重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制，以及重大决策的风险评估报告；（八） 审议内部审监部门提交的风险管控监督评价报告；（九） 审议风险管控组织机构设置及其职责方案；编 号 版 本 号 01保密等级 II风险管控制度 页 数 5/155（十） 办理运委会授权的有关全面风险管控的其他事项。第十二条 公司审监部作为公司全面风险管控的管理、执行部门，主要履行以下风险管控职责：（一） 研究提出全面风险管控工作报告； （二） 研究提出跨职能部门的重大
9、决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；（三） 研究提出跨职能部门的重大决策风险评估报告；（四） 研究提出风险管控策略和跨职能部门的重大风险管控解决方案，并负责该方案的组织实施和对该风险的日常监控；（五） 评估全面风险管控的有效性，研究提出全面风险管控的改进方案；（六） 负责组织建立风险管控信息系统；（七） 负责组织协调全面风险管控日常工作；（八） 负责指导、监督有关职能部门以及分子公司开展全面风险管控工作；（九） 办理风险管控其他有关工作。第十三条 法务部负责公司的法律事务，为领导决策和公司业务开展提供法律参考意见；审核相关法律文书及合同，防范法律风险；负责牵头处理公司诉
10、讼事务和经济纠纷事务，代表公司对外处理相关法律事务，维护公司合法权益。第十四条 公司其它职能部门及分、子公司作为公司全面风险管控的参与部门，主要履行以下风险管控职责：（一）按照公司风险管控总体安排，完成本部门业务流程的风险辨识、分析及评价，并对相关风险进行审核和确认；研究提出本职能部门或业务单位重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；（二）研究提出本职能部门或业务单位的重大决策风险评估报告；（三）做好本职能部门或业务单位建立风险管控信息系统的工作；（四）做好培育风险管控文化的有关工作；编 号 版 本 号 01保密等级 II风险管控制度 页 数 6/156（五）建立健全本
11、职能部门或业务单位的风险管控内部控制子系统；（六） 及时收集、分析、反馈风险管控中发现的问题，并做好记录。第三章 风险辨识第十五条 风险辨识是指查找公司各业务单元、各项重要经营活动及其重要业务流程中有无风险，存在哪些风险。第十六条 风险辨识要求各职能部门及业务单位广泛、持久地收集与公司风险和风险管控相关的内部、外部初始信息，包括历史数据和未来预测。 第十七条 针对公司业务覆盖的范围，应对以下风险进行辨识：（一）在战略风险方面，有宏观环境风险、政策法规风险、战略规划决策风险、文化风险和组织结构风险。 （二）在运营风险方面，有制度管理风险、权责分配风险、人才管理风险、管控风险、投资决策风险、公司并
12、购风险、项目可行性分析风险、招标管理风险、采购管理风险、安全生产风险、工程项目风险、信息管理风险和内控建设风险。 （三）财务风险方面，有预算管理风险、资金管控风险、资金链断裂风险、融资管理风险、费用控制风险、纳税管理风险、盈利能力风险、收益分配风险、信息披露风险。 （四）法律风险方面，有合同订立风险、法律事务风险。 （五）市场风险方面，有市场拓展风险、品牌管理风险、营销策略风险、产品质量风险、销售管理风险、售后服务管理风险。（六）其他能够影响公司实现其经营目标的风险。第四章 风险分析第十八条 风险分析指对风险之间关系的分析，以便发现各风险之间的自然对冲、风险事件发生的正负相关性等组合效应，从风
13、险策略上对风险进行统一集中管理。第十九条 根据对风险发生可能性的高低和对目标的影响程度的评估，绘制风险坐标图，对各项风险进行比较，初步确定对各项风险的管理优先顺序和策编 号 版 本 号 01保密等级 II风险管控制度 页 数 7/157略，根据具体风险发生的概率和影响程度将风险进行分级。第二十条 公司采用定性与定量相结合的方法，按照风险发生的可能性及其影响程度，对识别的风险进行分析和排序，确定关注重点和优先控制的风险。各部门、分子公司应按照严格规范的程序开展工作，确保风险分析结果的准确性。 第二十一条 公司风险分析由审监部组织各职能部门及分、子公司实施。审监部对风险分析工作可以聘请外部专业机构
14、协助工作。第二十二条 作为风险管控的组织部门，审监部应从公司发展的整体目标实现及医药行业政策导向对公司面临的各类风险进行全面的风险管控分析。第五章 解决方案第二十三条 公司针对各类风险或每一项重大风险制定风险管控解决方案，包括风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施 。第二十四条 公司风险管控解决方案具体应包括风险规避、风险降低、风险分担和风险承受等风险解决策略，实现对风险的有效控制。风险规避是公司对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。风险降低是公司在权衡成本效
15、益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。风险分担是公司准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。风险承受是公司对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。第二十五条 内部风险控制是风险管控解决方案的重要基础和工具，公司应保证各项内控制度制定的合理性和制度执行的有效性。第二十六条 公司制定风险解决的内控方案，应满足合法合规的要求，坚持经营战略与风险策略一致、风险控制与运营效率及效果相平衡的原则，针对重编 号 版 本 号 01保密等级 II风险管控制度
16、 页 数 8/158大风险所涉及的各项管理及业务流程，制定涵盖各个环节的全流程内部控制制度和措施；对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施。第二十七条 公司建立内控制度，包含以下基本内容：（一）建立内控岗位授权制度。对内控所涉及的各岗位明确规定授权的对象、条件、范围和额度等，任何组织和个人不得超越授权做出风险性决定； （二）建立内控报告制度。明确规定报告人与接受报告人，报告的时间、内容、频率、传递路线、负责处理报告的部门和人员等；（三）建立内控批准制度。对内控所涉及的重要事项，明确规定批准的程序、条件、范围和额度、必备文件以及有权批准的部门和人员及其相应责任；（四
17、）建立内控责任制度。按照权利、义务和责任相统一的原则，明确规定各有关部门和业务单位、岗位、人员应负的责任和奖惩制度；（五）建立内控审计检查制度。结合内控的有关要求、方法、标准与流程，明确规定审计检查的对象、内容、方式和负责审计检查的部门等；（六）建立内控考核评价制度。具备条件的公司应把各业务单位风险管控执行情况与绩效薪酬挂钩；（七）建立重大风险预警制度。对重大风险进行持续不断的监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施； （八）建立健全以合同管理为核心的公司法务制度。大力加强公司法律风险防范机制建设，形成由公司决策层主导、公司法务负责人牵头、公司法务人员提供法律业务保障、
18、全体员工共同参与的法律风险责任体系，完善公司重大法律纠纷案件的管理制度。（九）建立重要岗位权力制衡制度，明确规定不相容职责的分离。主要包括：授权批准、业务经办、会计记录、财产保管和稽核检查等职责。对内控所涉及的重要岗位可设置一岗双人、双职、双责，相互制约；明确该岗位的上级部门或人员对其应采取的监督措施和应负的监督责任；将该岗位作为内部审计的重点等。编 号 版 本 号 01保密等级 II风险管控制度 页 数 9/159第二十八条 公司制定合理、有效的内控措施，包括以下内容:不相容职务分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。（一）不相容职务分离控
19、制。指公司全面系统地分析、梳理业务流程中所涉及的不相容职务，实施相应的分离措施，形成各司其职、各负其责、相互制约的工作机制。（二）授权审批控制。指公司根据常规授权和特别授权的规定，明确各岗位办理业务和事项的权限范围、审批程序和相应责任。公司应当编制常规授权的权限指引，规范特别授权的范围、权限、程序和责任，严格控制特别授权。常规授权是指公司在日常经营管理活动中按照既定的职责和程序进行的授权。特别授权是指公司在特殊情况、特定条件下进行的授权。公司各级管理人员应当在授权范围内行使职权和承担责任。对于重大的业务和事项，应当实行集体决策审批或者联签制度，不得单独进行决策或者擅自改变集体决策。（三）会计系
20、统控制。指公司严格执行国家统一的会计准则制度，加强会计基础工作，明确会计凭证、会计账簿和财务会计报告的处理程序，保证会计资料真实完整。公司应当依法设置会计机构，配备会计从业人员。从事会计工作的人员，必须取得会计从业资格证书。财务负责人应当具备会计师以上专业技术职务资格。（四） 财产保护控制。指公司建立财产日常管理制度和定期清查制度，采取财产记录、实物保管、定期盘点、账实核对等措施，确保财产安全。公司应当严格限制未经授权的人员接触和处置财产。（五）预算控制。指公司实施全面预算管理制度，明确各责任单位在预算管理中的职责权限，规范预算的编制、审定、下达和执行程序，强化预算约束。（六）运营分析控制。指
21、公司建立运营情况分析制度，管理层综合运用生产、购销、投资、筹资、财务等方面的信息，通过因素分析、对比分析、趋势分析等方法，定期开展运营情况分析，发现问题，及时查明原因并加以改进。编 号 版 本 号 01保密等级 II风险管控制度 页 数 10/1510（七）绩效考评控制。指公司建立和实施绩效考评制度，科学设置考核指标体系，对公司内部各责任单位和全体员工的业绩进行定期考核和客观评价，将考评结果作为确定员工薪酬以及职务晋升、评优、降级、调岗、辞退等的依据。 第二十九条 公司各职能部门及分、子公司应在公司审监部的组织下按照本制度赋予其的职责分工，认真组织实施风险管控解决方案，确保各项风险管控措施落实
22、到位。第三十条 公司审监部作为风险管控的组织部门应从公司可持续发展的角度组织各部门和分子公司制定、审议风险解决方案，要求风险解决方案不仅能够解决在该阶段凸显出的风险，更要从医药行业市场形势及国家对于医药行业的政策导向进行方案的方向性管控。第六章 风险评估报告第三十一条 公司风险评估报告由审监部组织各职能部门及分、子公司经过风险识别和风险评价，从实际出发，紧密围绕当前市场形势和公司发展的实际需要而最终形成。第三十二条 风险评估报告的制定应坚持全面性和重要性原则，客观真实的反映当前生产经营管理活动中存在的问题和针对性的风险解决方案。第三十三条 风险评估报告分为年度综合报告和重大事项特殊报告。年度综
23、合报告是指公司审监部年末收集公司各职能部门及分、子公司提交的针对其自身当前主要风险的识别、评估、解决和监控的报告，最终汇总完成的公司年度整体风险管控综合性报告。重大事项特殊报告是指公司针对临时性、突发性、影响公司全局的风险因素进行识别、评估和解决等方面工作的风险报告。第三十四条 公司各职能部门及分、子公司应于每年 12 月底前，按照本制度的要求向公司审监部提交本部门（公司）的年度风险管控报告。该报告应具备全面性、真实性、针对性、及时性，能够反映出该部门（公司）在该时期的全面风险点及具备实操性的解决方案。公司审监部经汇总、分析、整理后，形成公司年度风险管控报告，并于每年 1 月底前上报公司运委会。公司年度风险
