东旭光电科技股份有限公司
风险管理制度
（经公司七届二十六次董事会审议通过）
第一章总则
第一条目的：
使东旭光电科技股份有限公司（以下简称“东旭光电”、“股份公司”或“公司”）能够对各种来自内部和外部的风险进行识别、评估和管理，并采取必要的应对措施，将风险维持在公司可接受的范围内，从而使公司做到：
1. 有关规章制度和为实现公司经营目标而采取的重要决策及重大措施的贯彻执行，降低实现公司经营目标的不确定性。
2. 建立针对可预计以及无法预计的灾害性风险的危机处理计划，保护公司不至于因灾害性事件或人为失误而遭受重大损失。
3. 内外部尤其是公司与股东之间实现真实、可靠的信息沟通，包括编制和提供及时、真实、可靠、完整、合规的财务报告和其他信息。
4. 符合经营地、上市地证券交易市场和监管机构的法律法规要求。
第二条适用范围：
2. 本制度所称“风险管理”，是指公司围绕总体经营目标，由董事会、管理层和员工共同参与，以风险识别模型为基础，辨识可能对公司造成潜在影响的事项，设计公司风险管理的基本流程，培养良好的风险管理文化，建立健全全面的风险管理体系。具体包括风险管理策略、风险管理措施、风险管理的组织职能体系、风险管理信息系统等部分。
3. 本制度适用于股份公司及其所属各子、分公司的风险管理。
第三条职责：
1. 公司建立三级风险管理机构，公司各部门及各子、分公司为风险管理的一级机构，公司财务管理部为二级机构，董事会为三级机构。
2. 公司各部门及各子、分公司在风险管理工作中主要履行以下职责:
（1）执行本制度第七条提出的风险管理的基本流程，建立本公司特色的风险管理体系；
（2）收集与本部门/公司有关的内部资源和外部环境相关信息；
信息技术作为处理数据、生产和传递信息的重要技术手段，信息技术的总体控制和应用控制都应列为部门风险管理的重要内容；
（3）进行本部门/公司风险评估，包括目标设定、风险辨识、风险分析、风险评价四个步骤；
（4）制定和实施本部门/公司风险管理解决方案；
（5）开展自我检查、自我评估活动，及时发现缺陷，及时加以
改进，从而达到对本部门/公司风险管理进行持续监督与持续改进的目的；
（6）做好培育本部门/公司风险管理文化的有关工作；并与公司风险文化建设保持一致；
（7）涉及风险管理的其他有关工作。
3. 公司财务管理部的风险管理工作，其履行职能如下：
（1）制定公司年度风险管理工作计划，组织进行公司风险管理工作；
（2）以重大决策、重大风险、重大事件和重要业务流程为重点，对公司各部门及各子、分公司风险管理信息收集、风险评估活动、关键控制活动及风险管理解决方案的实施情况进行指导和监督；
（3）必要时提请审计监察部对公司各部门/公司风险管理进行有效性评估，对各部门/公司风险管理工作的实施情况和执行的有效性进行检查，提出公司整体风险管理的改进方案；
（4）涉及公司风险管理的其他有关工作。
4. 董事会作为最高管理层对公司风险管理负有最终的责任，董事会应履行：
（1）确认公司风险管理体系内容的完整性。在内部资源和外部环境不断变化的情况下，在新出现的风险、或者预见的行动表明与风险容量有可能偏离的情况下，应采取必要的行动直接负责或授权下级机构修改和完善公司风险管理体系；
（2）听取高管层的工作报告，对风险管理业务部门的工作进行
评估、指导和监督，并督促其持续改善。
第四条风险管理基本原则：
1. 从实际出发，坚持与理论相结合的原则：内部控制体系的成功实施取决于能否将面临的风险控制在与公司总体目标相适应的可承受的范围内，公司结合外部环境、行业特征、业务模式和公司发展的具体阶段等，从实际出发，识别公司层面及业务层面风险，借助先进的评估方法及模型对风险进行评定等级，建立公司风险库。
2. 提升管理水平与监管要求相结合的原则：公司的价值观、发展战略和管理理念是直接影响风险管理水平的内部环境要素，国家相关部门的监管要求是影响风险管理水平的外部环境要素，公司风险管理既要结合价值观、发展战略和管理理念的实际，又要满足相关监管方的要求。
3. 实效性、渐进性原则：构建风险管理体系是复杂的系统工程，需要整体考虑、统筹规划，重点突出，注重实效，循序渐进。公司从战略、环境、组织、流程、资源等层面系统、客观地进行风险识别和风险评估，并随着公司业务发展、外部环境变化定期、持续进行风险识别和评估，不断提高风险管控水平。
第五条风险管理的特征：
1. 战略性：风险管理要应用于企业战略管理层面，站在战略层面整合和管理企业风险是公司风险管理的价值所在。
在这个过程中，只有将风险意识转化为全体员工的共同认识和自觉行动，才能确保风险管理目标的实现。
3. 专业性：要求公司必须实施专业化的风险管理。
4. 二重性：风险管理既要管理纯粹的风险，也要管理机会风险。当风险损失可能发生可能不发生时，设法降低风险发生的可能；
当风险损失不能避免时，尽量减少损失至最小化；当风险预示着机会时，要化风险为增进公司价值的机会。
5. 系统性：风险管理必须拥有一套系统的、规范的方法，来确保所有的风险都得到识别，资源能够被有效地利用于重大风险的管理。
第六条风险管理的任务：
1. 从公司战略出发，统一风险度量，建立风险预警机制和应对策略。
2. 明确风险管理职责，将风险管理责任落实到公司的各个层面。
3. 形成风险管理信息收集、分析、报告系统，为有效监控风险和应对风险提供依据。
4. 避免公司重大损失，支持公司战略目标的实现。
5. 使外部投资人、监管者了解公司风险。
6. 形成自我运行、自我完善的风险管理机制。
第七条风险管理的流程：
风险管理的流程主要可分为风险评估和风险应对两个阶段，其中
风险评估又包括风险识别与风险评价两个过程。
1. 风险评估是公司及时识别、系统分析经营活动中的，与实现内部控制目标相关的风险，科学分析和评价风险属性的过程，它是风险管理的基础。
（1）风险识别是通过日常和定期的评估程序与方法识别内部控制实施过程中的风险，将各类风险进行分类整理，形成公司的风险数据库。风险识别结果是风险评价的对象。
（2）风险评价是通过风险评估专业团队，严格按照规范程序，在风险识别的基础上，运用定性和定量的方法，对风险发生的可能性和影响程度进行分析、评价，并按照风险排序标准和方法，确定风险重要性等级清单，识别出公司重大、重要风险，确定风险管理的优先顺序。
2. 风险应对是针对风险发生的原因、风险重要性水平，考虑风险之间的关系，运用风险组合观，选择风险管理策略并制定具体的风险应对方案。
第二章风险评估
第八条风险评估的目标和范围：
针对风险管理策略目标，围绕公司战略规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程，分别开展战略风险、财务风险、市场风险、运营风险及法律
风险评估。
第九条风险评估的流程：
1. 风险识别：
（1）工作目标：收集各种风险信息，包括所辖范围内所有相关的风险信息，并建立公司的风险信息数据库，定期对其进行更新维护，作为风险评估和制定风险管理策略的基础。
（2）工作流程：
①公司制订风险管理相关制度，规范风险识别工作流程，明确部门和岗位的职责权限。
②相关部门广泛、持续不断地收集与全面风险管理相关的内部、外部初始信息，包括历史数据和未来预测，把收集初始信息的职责分工落实到各有关职能部门及分子公司，收集的风险信息包括战略风险信息、财务风险信息、市场风险信息、运营风险信息、法律风险信息等。
③内控建设工作小组对各部门及子、分公司提交的风险信息进行汇总分析后，设计调查问卷并下发，或者召开专门讨论会议。各部门及子、分公司组织相关人员结合自身工作情况，填写风险调查问卷并上报。
④财务管理部统计分析调查问卷或会议纪要，并组织对管理层进行访谈，了解公司风险管理体系建设情况、公司重大风险和重大事件、公司存在的经营管理方面的各类风险等信息。
⑤财务管理部汇总后形成确定的公司风险数据库。
⑥公司董事会审计委员会对该数据库进行审核，检查风险数据库是否全面完整，是否覆盖公司战略、财务、市场、运营、法律等各个方面，风险描述是否准确清晰。
（3）工作方法：
①风险信息收集：
收集各种风险信息是贯穿公司风险管理全过程、各部门和各分子公司的一项重要日常工作，是实施风险识别和制定风险管理策略的基础。公司对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合，以便进行风险识别。
风险信息应关注战略风险、财务风险、市场风险、运营风险、法律风险五个方面的内容。
战略风险：应广泛收集国内外公司因战略风险管控失效导致公司蒙受损失的案例，并至少收集与本公司相关的以下重要信息：
国内外宏观经济政策以及经济运行情况、本行业状况、国家产业政策；科技进步、技术创新的有关内容；市场对本公司产品或服务的需求；与公司战略合作伙伴的关系，未来寻求战略合作伙伴的可能性；
本公司主要客户、供应商及竞争对手的有关情况；与主要竞争对手相比，本公司的实力与差距；本公司发展战略和规划、投融资计划、年度经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据；本公司对外投融资流程中曾发生或易发生错误的业务流程或环节。
财务风险：应广泛收集国内外公司因财务风险管控失效导致危机
的案例，并至少收集本公司的以下重要信息(其中有行业平均指标或先进指标的，也应尽可能收集以下信息)：
负债、或有负债、负债率、偿债能力；现金流、应收账款及其占销售收入的比重、资金周转率；产品存货及其占销售成本的比重、应付账款及其占购货额的比重；制造成本和管理费用、财务费用、营业费用；盈利能力；成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节；与本公司相关的行业会计政策、会计估算、因会计制度变化而发生的调节等信息。
市场风险：应广泛收集国内外公司因对市场风险认识不足、缺乏必要应对措施导致公司蒙受损失的案例，并至少收集与本公司相关的以下重要信息：
公司产品或服务的价格及供需变化；劳动力、原材料、配件等供应的充足性、稳定性和价格变化；主要客户、主要供应商的信用情况；
税收政策和利率、汇率、股票价格指数的变化；潜在竞争者、竞争者情况。
运营风险：应至少搜集以下方面的信息：
公司产品研发、制造过程中出现的风险事件；新市场开发，市场营销策略，包括公司产品或服务定价，市场营销环境状况等；公司组织效能、管理现状、公司文化，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验；质量、安全、环保、信息安全等管理中曾发生或易发生失误的业务流程或环节；因公司内、外部人员的道德风险致使公司遭受损失或业务控制系统失灵；给公司造成损失的
自然灾害以及除上述有关情形之外的其他纯粹风险；对现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力；人才引进、培养，员工薪酬福利等方面的规章制度；由于关键岗位人员的离去，可能带走公司的技术、客户、财务等核心资源，造成无法评估的间接损失；技术管理相关规章制度和流程；技术不足风险、技术开发风险、技术保护风险、技术使用风险、技术取得和转让风险。
法律风险：应广泛收集国内外公司忽视法律法规风险、缺乏应对措施导致公司蒙受损失的案例，并至少收集与本公司相关的以下信息：国内外与本公司相关的政治、法律环境；影响公司的新法律法规和政策；员工道德操守的遵从性；本公司签订的重大协议和有关贸易合同；本公司发生重大法律纠纷案件的情况。
②进行风险识别：进行风险识别一般可以采用以下方法：
问卷调查法：用来记录和整理数据的常用方法。用它进行风险识别时，将公司可能发生的许多潜在风险列于一个表上，供识别人员进行检查核对，用来判别是否存在表中所列或类似的风险。
研讨会法：风险管理中比较常见的有效方法。把跨部门和/或不同级别的管理人员召集到一起，以便就风险管理的特定题目（例如风险事件识别、风险应对）进行讨论。
流程图法：用流程图可以帮助识别人员分析和了解风险所处的具体环节及各个环节之间存在的风险以及风险的起因和影响。通过对流程的分析，可以发现和识别风险可能发生在流程的哪个环节或哪个地方，以及流程中各个环节对风险影响的大小。
情景分析法：通过有关数字、图表和曲线等，对未来的某个状态或某种情况进行详细地描绘和分析，从而识别引起风险的关键因素以及影响程度。
风险结构分解法：将风险按照其内在结构进行逐层分解而形成的结构示意图，它可以将风险分解到相对独立的、内容单一的、并能把各级风险的地位与构成直观地表示出来，成为易于检查的风险事件。
2. 风险评价
（1）工作目标：通过对识别出的风险进行定性和定量分析与评价，确定公司应关注的重大风险。
（2）工作流程：
①财务管理部编制风险评价标准，根据风险分类框架和风险事件库设计风险评价调查问卷。
②公司董事会审计委员会对风险评价标准及评价问卷进行审核，检查风险评价标准是否准确，评价问卷设计是否合理。
③相关部门、子/分公司人员填写调查问卷。
④财务管理部对相关部门人员填写的风险评价问卷进行统计分析。
⑤财务管理部根据对风险发生可能性的高低和对目标的影响程度的评价，编制风险重要性等级清单并绘制风险图谱，对各项风险进行比较，初步确定对各项风险的管理优先顺序和策略。
⑥公司董事会审计委员会对财务管理部编制的风险重要性等级清单和风险图谱等进行审核。
⑦董事会对重大风险排序表和风险图谱进行审议、审批。
（3）工作方法：
①风险分析：风险分析是对风险识别所得到的各个风险事件的属性信息，根据风险评价的具体目标，运用定性和定量相结合的方法，结合统计学原理，进行整理和综合性分析，最终确定各个风险的重要性特征和基本属性特征，为绘制风险图谱和进行风险评价提供依据。
定性分析：对风险事件的各项属性信息进行整理和分析，包括动因分析、影响分析、责任岗位分析、管理上可参照的文件制度分析、影响的 KPI分析、发展趋势分析等。通过这些分析，更清楚地认识风险事件之间的相关性，确定风险的属性特征，为提高风险管理和控制水平提供参考依据。例如：
动因分析可以了解风险发生的深层次动因，确定关键性驱动因素，从而对风险产生的关键点进行重点管理，从根源上控制风险，提高风险管理效率和水平；
责任岗位分析有助于明确风险的控制和监督等的责任归属，提高风险管理的整体效率，为完善岗位考核体系提供依据；
管理上可参照的文件制度分析可以认清现有风险的管理文件制度建设水平，为进一步优化管理体系、完善制度建设提供依据；
影响的 KPI分析用来分析某一风险事件会影响到的各项绩效考核指标，为今后建设各个风险的监控指标、达到风险预警和监控的目的提供依据。
定量分析：对风险的各项定量描述的属性信息进行整理和分析，
包括风险发生可能性分析、影响程度分析等。通过这些分析，可以明确各个风险的重要性特征，为从公司整体层面对风险进行比较提供依据。
风险发生的可能性是指在公司目前的管理水平下，风险事件发生的概率大小或者发生的频繁程度。风险事件发生的可能性分为 5个等级，分别赋予 1分至 5分，表示可能性依次增加，1分表示该风险事件一般情况下不会发生，5分表示该风险事件常常会发生。
风险事件的影响程度是指该风险发生后会对公司经营目标产生影响的大小。根据公司的实际情况，影响程度分为 5个等级，分别赋予 1分至 5分，表示影响程度依次加强，1分代表影响程度很低，基本可以忽略，5分代表影响程度非常高。
②风险评级计算出风险影响程度、发生可能性的分值后，将两个维度得分的乘积，得出风险综合得分，在按照不同的分值节点将风险分为高、中、低三个等级。
高等级风险：重要性程度为高的风险，即当前情况下公司需要重点关注，优先分配管理资源、积极提高风险管理水平、改善风险管理效果的风险；
中等级风险：重要性程度为中的风险，即公司需根据风险变化趋势持续关注，并相应调整管理资源、保证风险管理效果的风险；
低等级风险：重要性程度为低的风险，即公司维持现有管理水平即可，并可适当调整其风险管理资源至其它风险管理上的风险。
③风险重要性等级清单和风险图谱：通过风险识别、风险分析和
风险评价这三部分工作，对公司的风险进行识别和评价，进而将公司全部风险进行排序，编制公司风险重要性等级清单，绘制风险图谱。
风险图谱是根据风险评价结果绘制的、能够直观反映风险度量分析结果和风险分布状况的风险空间分布图谱。各个风险在这个风险分布空间上根据各自的属性确定其位臵，又根据其位臵确定其所属的风险级别。风险图谱能够帮助公司管理层直观地了解不同风险的重要性级别，为公司管理层做出风险管理决策提供依据。
④风险评价工具和成果文件：从风险发生的可能性和影响程度两个方面进行风险评价，具体评价标准见表 1和表2。
表1：风险发生的可能性评价标准
|||||||
|-|-|-|-|-|-|
|评分|1|2|3|4|5|
||极低|低|中等|高|极高|
||一般情况下不|极少情况下才|某些情况下会|较多情况下发||
||||||常常会发生|
|定性|会发生|发生|发生|生||
|标准|今后10年发生|||||
|||今后5-10年可|今后2-5年内|今后1年内可|今后1年内至|
||的可能少于1|||||
|||能发生1次|可能发生1次|能发生1次|少发生1次|
||次|||||
|定量|发生概率在|发生概率在|发生概率在|发生概率在|发生概率在|
|标准|10%以下|10-30%|30-70%|70-90%|90%以上|
|注：||||||
|1、定性标准对可能性判断标准的描述仅供参考，可以根据自己对风险发生可能性的判断标||||||
|准对问卷中风险发生的可能性进行判断；||||||
|2、两种评价方法都只是从不同的角度来协助您对风险的发生可能性进行判断，只要适用于||||||
|任一条即可进行打分，如可以同时从多个维度进行评估，则采用最高可能性作为最终评分结||||||
|果。||||||

表2.风险发生的影响程度评价标准
|||||||||||||
|-|-|-|-|-|-|-|-|-|-|-|-|
||评分||1||2||3||4||5|
|定性标准||极轻微的||轻微的||中等的||重大的||灾难性的||
|定性描述 举例（注）||||||||||||

||||||||
|-|-|-|-|-|-|-|
|财务损失||对公司直接经济损失的影响在10万元之内|对公司直接经济损失的影响在 10～100 万元之间|对公司直接经济损失的影响在 100～500 万元之间|对公司直接经济损失的影响在 500 万-1000万之间|对公司直接经济损失的影响在 1000 万元以上|
|人员健康安全||无人死亡、重伤或轻伤，对人员健康造成损害或损伤较小，不构成轻伤|无人死亡或重伤，对1-2人造成轻伤|造成 1 人死亡或 6 人以内重伤，或对 10～20造成轻伤|造成 2 人死亡或 6～8 人重伤 ， 或 导 致20～30人轻伤|造成3（含）人以上死亡，或9（含）人以上重伤，或导致 30人以上轻伤|
|持续健康发展||对整体战略目标的影响轻微|对整体战略目标的影响较小|某些部门功能受到影响，阶段性目标或某些业务板块目标实现发生困难，影响到整体战略目标的顺利实现|企业正常持续经营受到很大影响，企业整体战略目标较难实现|企业经营发生严重亏损，企业整体战略目标很难实现|
|企业品牌和声誉||对公司商誉、地位、形象没有影响，或影响很小|对公司商誉、地位、形象影响程度较低|对公司商誉、地位、形象造成一定的负面影响，但这种影响可能持续较长的时间|对公司商誉、地位、形象造成严重不良影响，要消除这种影响需要很长的时间或要付出很高的代价|对公司商誉、地位、形象造成严重不良影响，很难、甚至无法恢复|
||注：||||||
||四种评价方法都只是从不同的角度来协助您对风险发生后可能对公司造成的影响进行判断，只要||||||
||适用于任一条件即可进行打分，如可以同时从多个维度进行评估，则采用影响程度最高的情况作||||||
||为最终评分结果。||||||

第三章风险应对
第十条概念：
风险应对是指根据自身条件和外部环境，围绕公司发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险规避、风险分担、风险降低、风险承受等适合的风险应对策略，并确定具体风
险解决方案。
停止与该风险相关的业务活动以避免和减轻损失的策略。例如选择放弃一项业务以避免风险。
2. 风险分担:是公司准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的策略。
例如购买保险或通过金融工具进行保值。
3. 风险降低:是公司在权衡成本效益之后，准备采取适当的控制措施降低风险发生概率或者减轻风险发生后所造成的损失，将风险控制在风险承受度之内的策略。例如设计和实施内控制度和流。
4. 风险承受:是公司对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险发生概率或者减轻发生后所造成的损失的策略。
第十一条 工作流程：
1. 财务管理部调查了解公司风险偏好及承受度。
2. 财务管理部针对公司重大及重要风险，组织各部门及子、公司拟定风险应对策略和解决方案。
3. 财务管理部就各部门及子、公司提出的风险应对策略和风险解决方案进行研究和优化。
4. 相关部门及子、公司充分讨论风险应对策略的适应性和风险解决方案的可行性，并提出修改意见或者进行确认。
5. 财务管理部编制形成风险应对策略和风险解决方案送审稿。
营效率及效果相平衡的原则等。
7. 上报公司董事会，审议通过后执行。
8. 相关部门及子、公司根据风险解决方案修订控制制度和操作流程。
第四章附则
第十二条 本制度及其修订自股份公司董事会普通决议通过之日起生效，自发布之日起执行。