复星集团全面风险管理指引
第一章 总则
第一条 为推进复星集团(以下简称“集团”)及下属控股、参股企业开展全面风险管
理工作，规范集团全面风险管理体系，明确风险管理责任，提升全面风险管理水平，促进集团及下属企业业务健康、稳定、持续发展，参考相关国际风险管理框架制定完善的全面风险管理制度体系的相关内容制定本指引。
第二条 本规定所称风险是指对企业实现经营目标可能产生不利影响的不确定因素。
第三条 本指引所指全面风险管理是指集团总部和下属企业围绕总体战略目标和经营目标，由董事会、管理层以及其他人员共同参与，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。在进行全面风险管理的同时，企业要根据自身经营情况重点监测、防范和化解对企业经营有重要影响的风险。
第四条 集团和企业全面风险管理的总体目标包括：(一) 为集团战略和投融资决策服务，平衡整体风险和收益，实现集团的战略目标；(二) 高效调配资源，发挥协同效应，提高投资与经营活动的效率和效果，实现集团的经营目标；(三) 确保业务、财务信息的及时性、准确性、真实性和完整性。
(四) 确保集团投资经营行为合法合规。
第五条 集团和企业全面风险管理遵循的基本原则：(一) 一致性原则。在建立全面风险管理体系时，要确保风险管理目标与战略发展目标的一致性。
(二) 匹配性原则。在全面风险管理过程中，要确保企业资本水平与所承担的风险相匹配，所承担的风险与收益相匹配。
(三) 全覆盖原则。全面风险管理要渗透至各项业务环节和作业流程，覆盖所有区域、分支机构、附属机构、部门、岗位和人员，覆盖可能面临的全部风险类型。对每一类风险都要全面认识、准确识别、审慎分析与有效管理。
(四) 重要性原则。从实际出发、务求实效，以对重大风险、重大事件(指重大风险发生后的事实)的管理和重要流程的内部控制为重点，积极开展全面风险管理工作。
(五) 全员参与原则。建立全员参与的风险管理文化和相应机制，各级别员工都要按
照其工作职责参与集团和企业的风险管理工作，承担日常风险管理职责。
(六) 定量与定性相结合原则。根据自身业务性质、规模和复杂程度开发相适应的风险量化技术，推广应用先进成熟的风险管理经验，实现定量与定性方法的有机结合。
(七) 持续优化原则。不断检查和评估内外部经营管理环境和竞争格局的变化及其对企业全面风险管理所产生的实质影响，及时调整和优化风险管理政策、制度和流程。

1/7

第六条 全面风险管理体系应包括但不限于以下要素：(一) 风险管理组织体系；(二) 风险管理策略、风险偏好和风险限额；(三) 风险管理政策和程序；(四) 风险管理信息系统；(五) 内部控制和审计体系。
第七条 本指引适用于集团总部及下属全资和控股企业。各参股企业参照执行。
第二章 风险分类
第八条 集团和下属企业在经营过程中面临的风险主要包括以下几类：(一) 战略风险，是指由于战略制定和实施的流程无效或经营环境的变化，导致战略与市场环境和公司能力不匹配的风险。
(二) 市场风险，是指由于利率、权益价格、房地产价格、汇率等的不利变动导致公
司遭受非预期损失的风险。
(三) 信用风险，是指由于交易对手不能履行或不能按时履行其合同义务，或者交易
对手信用状况的不利变动，导致公司遭受非预期损失的风险。
(四) 流动性风险，是指企业无法及时获得充足资金或无法及时以合理成本获得充足资金，以支付到期债务或履行其他支付义务的风险。
(五) 操作风险(运营风险)，是指由于不完善的内部操作流程、人员、系统或外部事件而导致直接或间接损失的风险，包括法律风险。
(六) 合规风险，是指企业及其工作人员和营销员因不合规的经营管理或执业行为引发法律责任、监管处罚、财务损失或者声誉损失的风险。
(七) 国别风险，是指由于某一国家或地区经济、政治、社会变化及事件，导致集团或下属企业在该国家或地区的投资业务或经营遭受损失的风险。
(八) 声誉风险，是指由于企业的经营管理或外部事件等原因导致利益相关方对公司
负面评价，从而造成损失的风险。
(九) 保险风险，特指保险公司由于死亡率、疾病发生率、赔付率、退保率等假设的实际经验与预期发生偏离而造成损失的风险。
(十)ESG 风险，是指由于未能及时适应环境和气候变化、社会和公司管治方面的不利
变化，或错过相关发展机遇而导致公司面临的中长期风险。
第九条 集团和下属企业应在上述风险大类的基础上，对主要风险进一步细化分类，结合自身发展阶段、业务模式调整、流程规章变化等，定期回顾、调整、充实次级风险类别，以适应实务中风险管理需要。
第三章 风险管理组织体系
第十条 集团和下属企业应建立组织架构健全、职责边界清晰的风险治理架构，明确

2/7

董事会、管理层、业务部门、风险管理部门和内审部门在风险管理中的职责分工，覆盖所有业务单位的全面风险管理组织体系。
第十一条 集团董事会是全面风险管理的最高决策机构，对全面风险管理体系的完整性和有效性承担最终责任。董事会具体职责包括：(一) 审批集团风险管理总体目标、风险偏好、风险限额和风险管理策略；(二) 审批风险管理政策、制度和程序；(三) 持续关注公司全面风险状况；(四) 监督管理层对全面风险进行有效管理和控制；(五) 审批集团全面风险管理报告和各类重要风险的信息披露；(六) 推动建立风险管理文化；(七) 其他相关事项。
第十二条 董事会可以授权下设的风险管理委员会履行其全面风险管理的部分职责，监督全面风险管理体系运行的有效性。
第十三条 集团管理层(全球合伙人)根据董事会的授权，在各自负责领域履行全面风
险管理的具体责任，其主要职责如下：(一) 负责集团日常全面风险管理工作，确保集团风险在可接受范围之内；(二) 按照董事会审定的风险管理总体目标和风险偏好要求，制定并组织执行全面风
险管理政策和流程；(三) 研究搭建全面风险管理组织架构，建立公司内部风险责任机制；(四) 定期评估全面风险状况；(五) 建立集团内部重大风险应急机制，研究制定各类重大风险事件解决方案；(六) 组织风险管理信息系统的开发和应用；(七) 推动公司风险管理文化建设；(八) 定期向董事会汇报集团总体风险水平和风险管理状况；(九) 董事会授权的其他风险管理职责。
第十四条 集团和下属企业应任命首席风险官(风险总监)或其他高级管理人员负责全面风险管理工作，主要包括制定风险管理政策和制度，协调公司各业务单位和职能部门的风险管理等。首席风险官(风险总监)应保持充分的独立性，不得同时分管或负责投融资管理等业务经营工作。首席风险官(风险总监)有权了解公司重大决策、重大风险、重大事件、重要系统及重要业务流程，参与各项决策的风险评估及审批。
第十五条 集团和下属企业应指定或设立独立的风险管理职能(条线或部门)，配备相应数量和专业背景的风险管理人员。其主要职责如下：(一) 建立与维护集团和企业全面风险管理体系，包括风险管理制度及职责、风险偏
好体系等；(二) 协助与指导各职能部门和业务单位制定风险控制措施和解决方案；研究提出跨
职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准和风险解决方案；

3/7

(三) 定期进行风险识别、定性和定量风险评估，并出具风险评估报告，提出应对建议；(四) 建立与维护风险管理技术和模型，不断改进风险管理方法；(五) 参与资产负债管理并提出相应风险应对建议，包括制定相关制度，确定技术方法，有效平衡资产方与负债方的风险与收益；(六) 汇总、整理各职能、业务部门提供的风险管理相关信息，推动全面风险管理信
息系统的建立；(七) 其他相关职责。
第十六条 集团各部门和业务单位应接受风险管理部门的组织、协调和监督，建立健全相关风险管理流程，并对本职能部门或业务单位的风险进行评估和监控。同时，集团总部各职能部门负责对自己管辖的专业领域的风险做好相关管理和控制工作。
第十七条 通过对上述相关职能机构进行科学的设置，公司层面建立以风险管理为中
心的四道防线或四个层次的管理框架：(一) 第一道防线由业务单位和部门组成。在业务前端识别、评估、应对、监控与报告风险；(二) 第二道防线为法务、合规、财务、人力、质量、安全、风险管理部等支持职能部门，协助一线业务单位和部门进行风险管控的职能；(三) 第三道防线为审计部门。针对集团已经建立的风险管理制度、流程和各项风险
的控制程序和活动进行监督，并定期向审核委员会汇报。
(四) 第四道防线为廉政督察部门。保护集团合法有形和无形资产，避免不符合法律
法规和公司程序的漏洞，防止违法、犯罪和舞弊、欺诈的行为。
各业务单位和部门所组成的第一道防线，是全面风险管理体系中最基础、最关键的防线，是风险管理的第一责任人。
第四章 风险管理策略、风险偏好与风险限额第十八条 集团和下属企业应制定清晰的风险管理策略，至少每年评估其有效性。风
险管理策略应反映风险偏好、风险状况以及市场和宏观经济变化。
第十九条 风险偏好是指公司在实现其经营目标的过程中愿意承担的风险水平，反映公司对风险的基本态度。集团和下属企业应编制风险偏好陈述书，定性指标和定量指标并重。风险偏好的设定应与战略目标、经营计划、资本规划、绩效考评和薪酬机制衔接，在公司内部传达并执行。
第二十条 风险偏好应包括但不限于以下内容：(一)战略目标和经营计划的制定依据，风险偏好与战略目标、经营计划的关联性；(二)为实现战略目标和经营计划愿意承担的风险总量；(三)愿意承担的各类风险的最大水平；(四)风险偏好的定量指标，包括利润、收益率、风险、资本、流动性、信用评级以及4/7

其他相关指标的目标值或目标区间。上述定量指标通过风险限额、经营计划、绩效考评等方式传导至业务部门、分支机构、附属机构的安排；(五)对不能定量的风险偏好的定性描述，包括承担此类风险的原因、采取的管理措施；(六)资本、流动性抵御总体风险和各类风险的水平；(七)可能导致偏离风险偏好目标的情形和处置方法。
风险偏好应明确董事会、管理层和首席风险官(风险总监)、业务部门、风险管理部门和审
计部门在制定和实施风险偏好过程中的职责。当风险偏好目标被突破时，应及时分析原因、制定解决方案并实施。
第二十一条 集团及下属企业应建立风险偏好的调整制度。根据公司战略目标、业务规模、复杂程度、风险状况的变化，对风险偏好进行调整。
第二十二条 风险限额是风险偏好的进一步量化和细化。在集团整体风险容忍度范围
内，对影响风险水平的各项操作标准和监测指标设定限额值域，作为各业务单位、产品和
作业部门实施风险监控管理的规范、标准与依据。集团及下属企业应制定风险限额管理的
政策和程序，建立风险限额设定、限额调整、超限额报告和处理制度。根据风险偏好，按照资产类别、行业、区域、货币等维度设定风险限额。风险限额应综合考虑资本、风险集
中度、流动性、交易目的等。风险管理部门应对风险限额进行监控，并向董事会和管理层报送风险限额的运作情况。
第五章 风险管理政策和程序第二十三条 集团和下属企业应制定完善的全面风险管理制度体系，明确风险管理策略、风险偏好、组织架构、考核评价方法、风险管理机制等事项，以及对战略风险、市场风险、信用风险、流动性风险、操作风险、合规风险、国别风险、声誉风险和保险风险等
大类风险的管理要求。
第二十四条 风险管理制度应涵盖针对不同风险的识别、评估、计量方法，风险指标
的定性和定量标准，以及相应的风险责任人，明确战略规划、投资管理、财务、税务、精算、法务、品牌宣传、风险管理、审计、廉政督察等各职能部门在各类风险管理工作中的职责分工。集团和下属企业应至少每年对重要的全面风险管理制度进行审阅和必要的更新。全面风险管理制度清单和更新记录要留档备查。
第二十五条 风险管理程序是指包括风险识别与评估、风险计量、风险应对与控制、
风险监测、预警与报告等一系列风险管理活动的全过程，应能贯彻执行既定的战略目标，与集团的风险管理文化相匹配。
(一) 风险识别。风险识别是指集团和下属企业认识和发现在经营活动中所面临的风险的过程。通过风险识别描述风险的特征，系统分析风险发生的原因、风险的驱动因素和条件等。
(二) 风险评估。集团和下属企业对已识别的风险进行分析和评价，评估风险对经营目标实现的影响程度，形成风险管理的依据。

5/7

(三) 风险计量。集团和下属企业应根据自身业务性质、规模和复杂程度，计量公司潜在的经济价值损失，直观反映企业的风险状况。
(四) 风险应对与控制。集团和下属企业应围绕发展战略、风险偏好，结合风险评估与计量结果制定风险应对方案。风险应对方案主要包括解决该项风险所要达到的具体目
标，所涉及的管理及业务流程，所需的条件和资源，所采取的具体措施及风险应对工具等内容。
(五) 风险监测。风险监测是指监测各种可量化的关键风险指标和不可量化的风险因
素的变化和发展趋势，以及风险管理措施的实施质量与效果的过程。公司应根据各类风险的特点，制定适当的定性和定量的风险监测标准，明确风险监测指标，建立风险监测报告机制。
(六) 风险预警。风险预警是指度量风险状态偏离预警标准的程度并以此发出警戒信号的过程。公司应建立一套完善的风险预警体系，在复杂多变的市场环境和内部不可控因
素下，及时发现并化解经营中的风险。
(七) 风险报告。风险报告是指在风险监测的范围内，编制不同层次和种类的风险报
告，遵循报告的发送范围、程序和频率，以满足不同风险层次和不同职能部门对于风险状况的多样性需求的过程。集团和下属企业应建立风险信息传递和报告机制，形成上下互动、横向沟通的工作流程。
第二十六条 集团和下属企业应运用恰当的风险管理工具，管理各类风险，包括但不限于：(一) 全面预算；(二) 资产负债管理；(三) 资本规划与配置；(四) 经济资本；(五) 敏感性分析、情景分析、压力测试；(六) 应急管理机制与计划。
第六章 风险管理信息系统
第二十七条 集团和下属企业应建立满足自身风险管理要求的风险管理信息系统；第二十八条 风险管理信息系统的数据应符合时效性、准确性、一致性和完整性的要求；
第二十九条 集团和下属企业应定期评估风险管理信息系统的有效性，并根据风险管理和内部控制的变化做适当调整。
第七章 内部控制和审计第三十条 集团和下属企业应围绕风险管理策略目标，合理确定各项业务活动和管理活动的风险控制点，采取适当的控制措施，执行标准统一的业务流程和管理流程，确保规

6/7

范运作。
第三十一条 集团和下属企业应将全面风险管理纳入内部审计范畴，每年审查和评价全面风险管理的充分性和有效性。全面风险管理的内部审计报告应直接提交董事会和监事会。董事会应针对内部审计发现的问题，督促管理层及时采取整改措施。内部审计部门应跟踪检查整改措施的实施情况，并及时向董事会提交有关报告。
第八章 监督、考核与评价
第三十二条 集团和下属企业应建立风险责任机制，由管理层负领导责任，对主要风险确定责任人，具体风险责任落实到各职能部门和业务单位。对违反风险管理相关政策的组织和个人，予以追究和处罚。
第三十三条 集团和下属企业应明确全面风险管理考核评价方法，将风险管理制度健
全性和遵循有效性纳入对职能部门、业务单位及管理人员的绩效考核体系，科学设置风险
管理制度健全性、遵循有效性相关指标的权重，增强各级管理人员的风险意识和责任。
第三十四条 风险管理监督是对集团和下属企业全面风险管理的健全性、合理性和有效性进行监督检查。集团和下属企业应定期分析全面风险管理体系的设计和执行结果，确保全面风险管理工作的实施和有效性，并通过监督活动发现风险管理薄弱环节，不断完善
全面风险管理体系。
第九章 风险管理文化
第三十五条 集团和下属企业要将风险管理文化建设融入企业文化建设的全过程，并
在企业内部各个层面营造风险管理文化氛围，不断修订和完善风险管理制度、流程，持续强化风险管理组织建设，研究建立风险管理系统，确保风险管理目标的实现。
第三十六条 集团和下属企业要增强全体员工的风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进建立系统、规范、高效的风险管理机制。
第三十七条 集团和下属企业要大力加强对全体员工的风险管理宣导工作，建立完善员工岗前、岗中风险管理培训教育制度。
第十章 附则
第三十八条 本指引经集团董事会审批通过后执行。

7/7