五矿资本股份有限公司全面风险管理规定
（2017年12月发布）
第一章总则
第一条目的和依据
为建立、健全五矿资本股份有限公司（以下简称“公司”）全面风险管理体系、保障全面风险管理体系正常运行，增强核心竞争力，促进公司战略和经营目标的实现，根据国资委《中央企业全面风险管理指引》、上海证券交易所《上市公司内部控制指引》、银监会《银行业金融机构全面风险管理指引》等，特制定本规定。
第二条术语定义
本规定所称全面风险管理，是指公司董事会、监事会、经理层以及全体员工共同参与，围绕总体经营目标对经营中的信用风险、市场风险、流动性风险、操作风险、声誉风险、战略风险、信息科技风险以及其他风险，采取定性和定量结合的方法，识别、计量、评估、监测、报告、控制或者缓释所承担的各类风险。
第三条适用范围
本规定适用于公司总部及所属经营单位。
公司总部及所属经营单位应本着从实际出发、务求实效的原则，积极开展风险管理工作，以对重大决策、重大风险、重大事件的管理和重要流程的内部控制为重点，提高风险管理能力，争取风险与收益的最佳匹配。
第四条管理原则
公司全面风险管理遵循以下基本原则：
（一）匹配性原则。即全面风险管理体系的建设与风险状况和系统重要性等相适应，并根据环境变化进行调整。
（二）全覆盖原则。即全面风险管理覆盖各个业务条线；覆盖所有所属经营单位，部门、岗位和人员；覆盖所有风险种类和不同风险之间的相互影响；贯穿决策、执行和监督全部管理环节。
渠道，与业务条线之间形成相互制衡的运行机制。
（四）有效性原则。即公司将全面风险管理的结果应用于经营管理，根据风险状况、市场和宏观经济情况评估资本和流动性的充足性，有效抵御所承担的总体风险和各类风险。
（五）分层、分类管理原则。即总部与所属经营单位形成二元的风险管理体系，公司风险管理部为风险管理的专职机构，负责推进全面风险管理体系建设、组织实施风险管理过程、同时对所属经营单位面临的重大风险进行再管理；所属经营单位对其自身面临的经营、管理风险进行管理。
第五条全面风险管理要素
公司全面风险管理体系包括以下要素：
（一）风险治理架构；
（二）风险管理策略、风险偏好和风险限额；
（三）风险管理政策和程序；
（四）内部控制；
（五）风险管理信息系统和数据质量控制机制；
（六）审计监督和问责。
第六条责任主体
公司及所属经营单位为全面风险管理的责任主体，负责建立全面风险管理体系并保证体系的有效运转，负责对全面风险管理体系进行自我评估和完善。
第二章风险治理架构
第一条总体要求
公司及所属经营单位须建立组织架构健全、职责边界清晰的风险治理架构，明确董事会、监事会、经理层、业务部门、风险管理部门和内审部门在风险管理中的职责分工，建立多层次、相互衔接、有效制衡的运行机制。
第二条董事会职责
公司董事会承担全面风险管理的最终责任，履行以下职责：
（一）建立风险文化；
（二）制定风险管理策略；
（三）设定风险偏好和确保风险限额的设立；
（四）审批重大风险管理政策和程序；
（五）监督经理层开展全面风险管理；
（六）审议全面风险管理报告；
（七）审批全面风险和各类重要风险的信息披露；
（八）聘任财务总监或其他高级管理人员，牵头负责全面风险管理。
第三条风险管理委员会职责
公司及所属经营单位董事会可以授权其下设的审计委员会或风险管理委员会履行其全面风险管理的部分职责。
第四条监事会职责
公司监事会承担全面风险管理的监督责任，负责监督检查董事会和经理层在风险管理方面的履职尽责情况并督促整改。相关监督检查情况应当纳入监事会工作报告。
第五条经理层职责
公司经理层承担全面风险管理的实施责任，执行董事会决议，履行以下职责：（一）建立适应全面风险管理的经营管理架构，明确全面风险管理职能部门、业务部门以及其他部门在风险管理中的职责分工，建立部门之间相互协调、有效制衡的运行机制；
（二）制定清晰的执行和问责机制，确保风险管理策略、风险偏好和风险限额得到充分传达和有效实施；
（三）根据董事会设定的风险偏好，研究、确定风险限额，包括但不限于市场风险限额、信用风险限额等；
（四）审议、确定风险管理政策和程序；
（五）评估全面风险和各类重要风险管理状况并向董事会报告；
（六）建立完备的风险管理信息系统和数据质量控制机制；
（七）对突破风险偏好、风险限额以及违反风险管理政策和程序的情况进行监督，并根据董事会的授权进行处理。
第六条风险管理部职责
公司风险管理部为负责全面风险管理工作的专职部门，牵头履行全面风险的日常管理，具体职责如下：
（一）实施全面风险管理体系建设；
（二）牵头协调识别、计量、评估、监测、控制或缓释全面风险和各类重要风险，及时向主管高级管理人员报告；
（三）拟定风险管理政策和程序，包括：风险评估政策、相关行业风险管理政策（即相关行业交易对手准入标准）、《金融投资和金融延衍生业务管理办法》、《金融投资和金融衍生业务决策委员会议事规则》、《风险项目处置管理办法》等，并定期评估，必要时予以调整；
（四）持续监控风险管理策略、风险偏好、风险限额及风险管理政策和程序的执行情况，对突破风险偏好、风险限额以及违反风险管理政策和程序的情况及时预警、报告并提出处理建议；
（五）根据内外部环境的变化定期审视风险管理策略、风险偏好、风险限额及风险管理政策和程序，并向经理层提出修改意见和建议；
（六）牵头制定C、P准则，组织开展年度风险评估，并在此基础上拟定年度风险管理策略、编制公司全面风险管理报告；
（七）评估重大风险处置方案，组织或督促相关责任主体处置重大风险。
第七条其他部门职责
（一）公司总部各部门负责各自职责范围内的主责风险的具体管理工作。
（二）公司总部各部门负责人是本部门主责风险的管理责任人，各部门应根
据工作需要设立风险管理岗或风险管理联络员，协助部门负责人完成本部门的风险管理工作。
第八条资源保障
公司及所属经营单位须赋予全面风险管理专职部门充足的资源、独立性和授权，并保证其能够及时获得管理风险所需的数据和相关信息，满足履行风险管理职责的需要。
第三章风险承受能力、风险偏好、风险管理策略和风险限额
公司应当制定清晰的风险管理策略，至少每年评估一次策略的有效性。风险管理策略应当反映风险偏好、风险状况以及市场和宏观经济变化，并在企业内部得到充分传导。
第一条风险承受能力
风险承受能力是指公司董事会在与股东、行业监管部门、经理层、员工等利益相关方充分沟通后所确定的年度能够承受的各类风险的最大水平。
第二条风险偏好
风险偏好是指公司董事会在风险承受能力限额内根据公司发展战略、年度经营目标以及所面临的宏观经济、经营环境所选择的公司愿意承担的各类风险的最大水平，其小于公司的风险承受能力。风险偏好的实质就是风险容忍度。
风险偏好的定量指标包括利润、年度新增风险损失、资本、流动性等；上述指标通过风险限额、经营计划、绩效考核等方式传导至业务条线、分支机构等。
第三条风险管理策略
风险管理策略是指应对不同风险的对策，其一般为承担、控制、对冲、转嫁和规避等。公司董事会每个年度在识别风险承受能力、确定风险偏好的同时需根据年度风险评估的结果确定清晰的风险管理策略。如确定必须面对市场风险、信用风险时，则可采取风险承担的策略，在承担的基础上再根据风险的特性确定具体的控制、降低、对冲风险的对策；如确定不承受合规风险，则需采取风险规避的策略；如确定承担可以接受的操作运营风险，则需采取控制的策略，通过提高
内部控制的有效性将操作运营风险控制在可接受的范围内。
第四条风险限额
风险限额是依据风险偏好中的定量指标，对各项风险业务所设定的能够接受的年度新增亏损额、新增信用风险对流动性的影响限额等。各项风险业务的风险限额之和不得超过风险偏好（风险容忍度）。公司经理层应根据董事会确定的风险偏好制定各项业务、各类风险的风险限额，尤其是市场风险、信用风险限额，并保证限额得到层层分解和执行。
第四章风险管理政策和程序
第一条风险管理政策和程序
公司及所属经营单位风险管理部负责拟定统一的风险管理政策和程序，经公司经理层审核、通过后执行，风险管理政策和程序包括但不限于以下内容：
（一）全面风险管理的方法，包括各类风险的识别、计量、评估、监测、报告、控制或缓释，风险加总的方法和程序；
（二）风险定性管理和定量管理的方法；
（三）风险管理报告；
（四）压力测试安排；
（五）新产品、重大业务和机构变更的风险评估；
（六）资本和流动性充足情况评估；
（七）应急计划和恢复计划。
第二条风险的识别、计量、评估、监测、报告、控制或缓释
公司及所属经营单位应对业务涉及的各类风险进行识别、计量、评估、监测、报告、控制或缓释。
公司应当制定统一的风险等级划分政策、投资类、融资类项目风险评估政策、投融资项目交易对手准入标准等并保证上述政策的执行。
公司及所属经营单位应当有效评估和管理各类风险。对能够量化的风险，应当通过VAR等风险计量技术予以量化；对难以量化的风险，比如声誉风险及操作
风险应当建立风险识别、评估、控制和报告机制，确保相关风险得到有效管理。
第三条风险管理政策和程序的一致性
所属经营单位建立的全面风险管理政策和程序应与公司建立的全面风险管理政策和程序保持一致；公司及所属经营单位建立的对各类风险的管理政策和程序应与全面风险管理政策和程序保持一致。
第四条风险加总的政策和程序
公司应当建立风险加总的政策、程序，选取合理可行的加总方法，充分考虑集中度风险及风险之间的相互影响和相互传染，确保在不同层次上和总体上及时识别风险。
第五条风险计量模型
公司及所属经营单位采用内部模型计量风险的，应当遵守相关监管要求，确保风险计量的一致性、客观性和准确性。董事会和经理层应当理解模型结果的局限性、不确定性和模型使用的固有风险。
第六条风险管理报告
公司各部门各所属经营单位应定期向公司风险管理部报送全面风险管理报告，报告的相关要求如下：
（一）所属经营单位按月、按季报送全面风险管理报告，报告内容至少包括总体风险和各类风险的整体状况；风险管理策略、风险偏好和风险限额的执行情况；风险在行业、地区、客户、产品等维度的分布；资本和流动性抵御风险的能力等。
（二）总部各部门按季报送全面风险管理报告，报告内容至少包括主责风险的管理情况、相关内控标准的执行情况、内控缺陷的整改情况等。
（三）公司各部门各所属经营单位须在完成年度风险评估的基础上按要求编制年度全面风险管理报告。
（四）发生重大、重要风险时，各所属经营单位须在 24小时内报告公司总经理及风险管理部。
（五）公司风险管理部负责编制公司年度全面风险管理报告，并经经理层审核、董事会同意后对外披露。
第七条压力测试安排
公司各所属经营单位应当建立压力测试体系，明确压力测试的治理结构、政策文档、方法流程、情景设计、保障支持、验证评估以及压力测试结果运用。
公司各所属经营单位应当定期开展压力测试。压力测试的开展应当覆盖各类风险和主要业务领域，并考虑各类风险之间的相互影响。
压力测试结果应当运用于风险管理和各项经营管理决策中。
第八条资本和流动性充足情况评估
公司各所属经营单位应当根据风险偏好和风险状况及时评估资本和流动性的充足情况，确保资本、流动性能够抵御风险。
第九条风险隔离
公司及各所属经营单位应当建立健全风险隔离制度，规范内部交易，防止风险传染。
第十条开展新产品、新业务等的风险评估
公司各所属经营单位应当建立专门的政策和流程，评估开发新产品、对现有产品进行重大改动、拓展新的业务领域、设立新机构、从事重大收购和投资等可能带来的风险，并建立内部审批流程和退出安排。所属经营单位开展上述活动时，应当经公司风险管理部审查同意，并经董事会或董事会指定的专业委员会批准。
第十一条应急计划
公司各所属经营单位应当制定应急计划，确保能够及时应对和处理紧急或危机情况。应急计划应当说明可能出现的风险以及压力情况（包括会严重威胁企业生存能力的压力情景）下应当采取的措施。应急计划应该涵盖对所有分支机构的应急安排。应急计划须定期演练、测试和更新，以保证其充分性和可行性。
第十二条风险管理的应用
公司各所属经营单位应当将风险管理策略、风险偏好、风险限额、风险管理
政策和程序等要素与资本管理、业务管理相结合，在战略和经营计划制定、新产品审批、内部定价、绩效考评和薪酬激励等日常经营管理中充分应用并有效实施。
第十三条文档管理
公司及所属经营单位应当对风险管理策略、风险偏好、风险限额、风险管理政策和程序建立规范的文档记录。
第五章内部控制
第一条总体要求
公司应按照法律、行政法规、部门规章以及上海证券交易所的相关规定建立健全内部控制体系，并保证内部控制体系的有效运转。董事会负责内部控制的建立健全和有效实施，监事会对董事会建立与实施内部控制进行监督，经理层负责组织领导企业内部控制的日常运行，风险管理部负责组织实施内控标准的修订、内控缺陷的整改及内控自评价工作，内部审计负责实施内控监督评价工作。
第二条内部控制标准
内部控制标准是从风险管控的角度提出控制要求，并通过在制度、流程中设计并执行内部控制措施来落实控制要求。常见的内部控制措施包括：不相容职责分离控制、授权审批控制、会计系统控制、财产保护控制、预算控制、运营分析控制和绩效考评控制等。公司及所属经营单位应将内部控制标准与现行的制度、流程建立起对应关系，梳理制度、流程并保证其有效执行，以达到内控控制标准的要求。
第三条内部控制标准的更新
公司风险管理部定期组织公司各内控责任主体更新内控标准，更新后的内控标准经公司经理层、董事会审计委员会审核同意后颁布执行。内控标准更新中须重点考虑的因素有：公司组织架构的变化、公司上一年度出现的风险事件、公司下一年度拟新开展的业务、公司面临的监管环境和监管政策的变化等。
第四条内控缺陷的整改
各内控责任主体必须对照内控标准持续进行内控缺陷的整改。公司及所属经
营单位的风险管理部门（内部控制部门）负责组织、监督内控缺陷的整改，公司各部门及所属经营单位须按季向公司风险管理部报送内控缺陷的整改情况。
第五条内部控制自评价
公司风险管理部负责制定内控自评价标准并组织开展内控自评价工作。各内控责任主体是内控自评价的第一责任人，对内控自评价的准确性负责。公司各部门及各所属经营单位须按时完成内控自评价报告并及时报送至公司风险管理部。
第六条内控监督评价
公司纪检监察审计部负责实施内控监督评价工作，并通过内控监督评价核实各内控责任主体内控缺陷尤其是重大、重要缺陷的整改情况，检查各内控责任主体内控自评价结果的准确性。
第七条内控评价报告
公司风险管理部根据各内控责任主体报送的内控自评价报告并结合开展的内控检查以及内控监督评价的结果汇总内控缺陷，编制公司年度内部控制评价报告。年度内部控制评价报告经公司经理层审核、董事会同意后对外披露。
第六章管理信息系统和数据质量
第一条风险管理信息系统
公司各所属经营单位应当逐步建立完善的风险管理信息系统，能够在公司层面计量、评估、展示、报告、加总所有风险类别、产品和交易对手风险暴露的规模和构成。
第二条系统功能
公司各所属经营单位建立的风险管理信息系统应当逐步具备以下主要功能，支持风险报告和管理决策的需要：
（一）支持识别、计量、评估、监测和报告所有类别的重要风险；
（二）支持风险限额管理，对超出风险限额的情况进行实时监测、预警和控制；
（三）能够计量、评估和报告所有风险类别、产品和交易对手的风险状况，满足全面风险管理需要；
（四）支持按照业务条线、机构、资产类型、行业、地区、集中度等多个维度展示和报告风险暴露情况；
（五）支持不同频率的定期报告和压力情况下的数据加工和风险加总需求；
（六）支持压力测试。
第三条信息科技基础设施
公司各所属经营单位应当建立与业务规模、风险状况等相匹配的信息科技基础设施。
第四条数据质量
公司及各所属经营单位应当建立健全数据质量控制机制，积累真实、准确、连续、完整的内部和外部数据，用于风险识别、计量、评估、监测、报告，资本和流动性充足情况的评估。
第七章内部审计
公司应当将全面风险管理纳入内部审计范畴，以定期审查和评价全面风险管理的充分性和有效性。
公司内部审计活动应独立于业务经营、风险管理和合规管理，遵循独立性、客观性原则。内部审计人员须不断提升专业能力和职业操守。
全面风险管理的专项审计报告在提交公司经理层的同时须直接提交董事会
和监事会。董事会应当针对内部审计发现的问题，督促经理层及时采取措施进行整改。内部审计部门应当跟踪检查整改措施的实施情况，并及时向董事会提交有关报告。
第八章附则
第一条本规定未尽事宜，按国家有关法律、法规和《公司章程》的规定执行。
第二条本规定由公司风险管理部负责解释。
第三条本规定自本公司董事会审议通过之日起实施。