福建广生堂药业股份有限公司风险评估管理办法
（2015年8月17日公司第二届董事会第五次会议通过）
第一章总则
第一条为了规范福建广生堂药业股份有限公司(以下简称“公司”)全面风险管理工作，根据《企业内部控制基本规范》的有关规定，结合公司实际，特制定本办法。
第二条本办法所称风险是指未来的不确定性对实现公司既定目标的影响。按风险要素与公司的关系分为外部风险和内部风险。
第三条本办法所称风险评估，指公司及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险应对策略的管理行为。
第四条风险按风险评估等级划分为：
(一)低风险：极小可能发生或风险发生了对公司财产、人员及投资者利益造成的损失可以忽略或可接受；
(二)中风险：可能发生或风险发生了对公司某项（类）业务、事项产生影响,对公司财产、人员及投资者利益造成的损失较大,有可能导致或转化为高风险；
(三)高风险：很可能发生、基本确定或风险发生了对公司的正常经营产生影响、甚至无法继续经营，对公司财产、人员及投资者利益造成的损失重大。
第五条本办法适用于公司及其所属子公司、事业部、分公司。
第二章风险管理体系及职责
第六条公司总经办负责牵头组织风险评估管理工作，负责制定风险评估计划，汇总风险评估结果，拟定公司风险管理方面的报告，草拟风险应对预案等。
第七条各公共职能部门、子公司、事业部、分公司为公司风险评估管理工作的责任机构，具体职责：
(一)对公司日常经营活动中的风险进行识别；
(二)对识别的风险进行评估，辨识评估出风险等级并将中、高风险以书面形式上报
公司管理层，上报内容应包括：风险发生地、发生原因、可能造成的损失和影响、拟采取的应对措施等；
(三)执行审批后的风险应对预案，并及时反馈风险的应对、解决结果；
(四)对识别的风险进行监控，发生变化时重新评估，并根据新辨识评估的风险等级进行相应的处理；
(五)年度对风险评估管理工作进行总结。
第八条公司管理层主要职责为：
（一）审定公司各部门风险管理工作职责；
（二）批准风险评估计划、风险应对预案；
（三）研究、确定公司重大风险事项及应对预案；
（四）审核总经办提交的公司风险管理方面的报告，并报董事会审议。
第九条董事会负责审议公司管理层提交的公司风险管理报告，批准风险管理其他重大事项。
第十条公司原则上每年进行一次风险评估工作，当发生以下情况之一时，应及时组织进行风险评估：
（一）内部控制体系建立时；
（二）公司战略重新制订或重大调整时；
（三）内部控制政策和目标修改时；
（四）重大新产品开发、重要新业务介入、重要新技术出现、重大投资活动发生、组织机构重大变革、业务流程发生重大变化、新信息系统实施时；
（五）法律法规、监管要求发生变化时；
（六）董事会认为需要时。
第十一条风险评估包括目标设定、风险识别、风险分析和风险应对等程序。
第三章目标设定
情况，及时进行风险评估。
第十三条公司内部控制的目标包含以下五个方面：
（一）合理保证公司经营管理合法合规；
（二）维护资产安全；
（三）保证财务报告及相关信息真实完整；
（四）提高经营效率和效果；
（五）促进公司实现发展战略。
第四章风险识别
第十四条公司开展风险评估，应当准确识别与实现控制目标相关的内部风险和外部风险，确定相应的风险承受度。
第十五条风险承受度是公司能够承担的风险限度，包括整体风险承受能力和业务层面的可接受风险水平。
第十六条公司识别内部风险，应当关注下列因素：
（一）董事、监事、总经理及其他高级管理人员的职业操守、员工专业胜任能力等人力资源因素。
（二）组织机构、经营方式、资产管理、业务流程等管理因素。
（三）研究开发、技术投入、信息技术运用等自主创新因素。
（四）财务状况、经营成果、现金流量等财务因素。
（五）营运安全、员工健康、环境保护等安全环保因素。
（六）其他有关内部风险因素。
第十七条公司识别外部风险、应当关注下列因素：
（一）经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素。
（二）法律法规、监管要求等法律因素。
（三）安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素。
（四）技术进步、工艺改进等科学技术因素。
（五）自然灾害，环境状况等自然环境因素。
（六）其他有关外部风险因素。
第十八条风险评估信息收集
围绕公司战略目标和相关目标以及风险管理要求，相关职能部门、业务单位应广泛、持续收集与公司风险及风险管理相关的内部、外部各种信息。
公司对收集的数据、信息和变化情况进行必要的筛选、提炼、对比、分类、组合，形成与公司风险管理相关的信息资料库并不断更新，以便进行风险识别和分析。
第十九条公司分别从公司层面、业务活动层面进行风险识别。
（一）公司层面风险识别。公司从战略发展的角度，识别公司整体层面所面临的重大的不利因素和有利因素，从而识别风险，发现机遇。
（二）业务活动层面风险识别。在业务流程的基础上，以业务流程活动和步骤为主线，全面识别影响目标实现的相关因素。
第二十条风险识别方法：公司进行风险识别时，应围绕战略目标，通过对公司内外部环境分析，识别风险因素。识别风险可采用问卷调查法、实地调研、访谈、专题讨论、检查业务等方式。
第五章风险分析
第二十一条公司应在风险识别的基础上，对公司层面和业务活动层面风险进行分析，分析的内容主要有：
（一）分析风险发生的可能性（或频率、概率）；
（二）分析风险可能产生的影响；
（三）确定风险的重要性水平。
第二十二条风险分析方法：对于已经识别出来的风险，采取以定性方法为主、定量方法为辅的方式进行风险分析。定性方法包括问卷调查、集体讨论、专家咨询、情景分析、政策分析、行业标杆比较、管理层访谈、由专人主持的工作访谈和调查研究等，定量方法包括统计推论、对财务报表影响程度分析等。
评估事项的具体情况确定。
第六章风险应对
第二十四条公司应当根据风险分析的结果，结合风险承受度，权衡风险与收益，确定风险应对策略。
公司应当合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给公司经营带来重大损失。
第二十五条公司应当综合运用风险规避、风险降低、风险分担和风险承受等风险应对策略，实现对风险的有效控制。
风险规避是公司对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的策略。
风险降低是公司在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的策略。
风险分担是公司准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。
风险承受是公司对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。
第二十六条确定风险应对方案应考虑的主要因素有：
（一）风险反应方案是否符合成本效益原则。
（二）风险反应方案中可能的机遇与相关的风险的比较。
（三）考虑多种风险反应方案的组合。
第二十七条公司应当结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。
第二十八条公司的风险评估工作由公司总经办负责牵头组织，集团公司各职能部门、各子公司、事业部、分公司及其他相关单位予以配合。
第二十九条风险评估信息收集操作程序
（一）每年初，由公司总经办拟订当年的信息收集通知，通知中包括：相关信息指标、信息收集范围、收集责任人、报告方式、时限要求等。
（二）信息收集通知经公司总经理批准后下发给各单位，各单位应积极配合信息收集工作，及时将有关资料上报公司总经办。
（三）除公司内各单位上报的信息外，公司总经办还可通过外部渠道获取风险评估相关信息。
（四）公司总经办根据收集的风险评估信息，整理汇总，形成风险评估信息数据库。
风险评估信息数据库每年更新一次。
（五）因特定情形而需要进行的风险评估工作，视经营需要开展。当特定情形发生时，相关单位或部门应及时通知公司总经办，公司总经办获知后应立即开展信息收集工作，工作程序参照年度信息收集工作执行。
第三十条风险识别、风险分析、风险应对操作程序
（一）公司总经办根据收集、整理的从公司内、外部获取的风险评估信息，编制风险评估调查问卷。
（二）风险评估调查问卷经公司总经理批准后下发各相关单位填报，各单位应积极配合风险识别和分析工作、及时填写调查问卷，调查问卷经各经营单位总经理（或负责人）确认并签署后提交公司总经办。
（三）公司总经办收集整理风险评估调查问卷，并结合需要安排访谈、实地调研、专题会议等形式，获取相关单位或部门对风险评估的意见或建议。
（四）公司总经办根据收集、整理的反馈意见，组织风险分析小组对风险发生的可能性（或频率、概率）、风险可能产生的影响、风险的重要性水平进行分析，并根据相关目标、风险发生的原因和风险重要性水平，结合实际情况作出适当的风险应对，提出采取不同的风险应对方案及明确风险管理责任部门的建议。
（五）公司总经办根据风险分析小组的分析意见形成《风险清单》，提交董事会战略
委员会审议通过后提交董事会审议确认。
第三十一条公司总经办根据经董事会确认的《风险清单》，对照公司相关内控制度，如发生需要根据《风险清单》对相关内控制度进行修订的事项，公司总经办应组织相应单位或部门及时对相关内控制度相关内容进行修订，将修改意见提交董事会战略发展委员会审议通过后提交董事会审议确认后下发实施。
第八章监督与检查
第三十二条公司总经办对风险评估管理工作进行监督，通过内部控制评价对公司风险管理体系完整性和运转有效性提出年度评价报告。风险管理体系及流程存在疏漏或相关部门执行不到位，应提出整改意见上报公司管理层，经审核批准后责成主责部门进行整改，企业人力资源部对整改结果进行后续评价。
第三十三条公司其他部门和全体员工对风险评估管理可进行监督，有权对违纪违法行为进行举报。
第三十四条公司企业人力资源部应当对风险评估管理工作中做出突出贡献或者由于失职造成损失的单位或个人提出奖惩建议，由公司董事会、管理层根据实际情况，做出奖惩决定。
第九章附则
第三十五条本办法由公司总经办负责解释。
附表1：公司层面的风险清单格式
本公司结合对公司内、外部环境，以及对公司业务实际情况的理解，通过风险调查问卷方式，对本公司“公司层面”的风险进行了评估，本年度评估结果如下：
|||||||||||
|-|-|-|-|-|-|-|-|-|-|
|||||||可||重要||
||序|公司层||风险控制主|||影响|||
||||风险说明||风险应对策略|能||性水|相关管理制度索引|
||号|面风险||要责任部门|||程度|||
|||||||性||平||
|1||||||||||
|2||||||||||

附表2：业务层面的风险清单格式
1）股份公司公共职能部门
||||||||||||
|-|-|-|-|-|-|-|-|-|-|-|
|目标类型|||||流程||风险|分析|||
|经|报|资产|合|反舞|||||||
||||||流程|子流程|风险描述|可能性|影响|重要性|
|营|告|保护|规|弊|||||||

2）XX事业部/子公司
||||||||||||
|-|-|-|-|-|-|-|-|-|-|-|
|目标类型|||||流程||风险|分析|||
|经|报|资产|合|反舞|||||||
||||||流程|子流程|风险描述|可能性|影响|重要性|
|营|告|保护|规|弊|||||||