中电科网络安全科技股份有限公司

全面风险管理基本制度（第3版）

第一章总则

第一条为加强公司全面风险管理体系建设，提升公司

基础管理水平，增强公司风险管理能力，保障公司持续、健康、稳定发展，依据《中央企业全面风险管理指引》《企业内部控制基本规范》等文件精神和上级单位制度要求，结合公司实际，制定本制度。

第二条本制度所称风险，指公司在未来经营管理中，各种不确定性对其实现经营目标的影响。风险可分为战略风险、财务风险、市场风险、运营风险、法律风险等。

第三条本制度适用于中电科网络安全科技股份有限公司（以下简称“电科网安”或“公司”）及控股子公司，控股子公司应遵照本制度制定本单位的管理制度或管理办法，并报电科网安全面风险管理部门备案。

第四条公司针对预计会造成重大、重要、一般经济损

失及影响的事件对应按照重大、重要、一般风险进行管理。

第五条本制度所称重大风险事件，主要包括：

（一）可能对公司资产、负债、权益和经营成果产生重

大影响的风险事件。影响金额占公司总资产10%以上，或者预计损失金额超过3000万元（含）的；总资产以发生经营

1风险事件时上月财务报表数据确认。

（二）可能导致公司生产经营条件和市场环境发生特别

重大变化，影响公司可持续发展。

（三）因涉嫌严重违法违规被司法机关或者省级以上监

管机构立案调查，或者受到重大刑事处罚、行政处罚、行业处罚。

（四）受到其他国家、地区或国际组织出口管制、贸易制裁等，对公司或国际形象产生重大负面影响。

（五）受到国内外媒体报道，造成重大负面舆情影响，或受到国外媒体歪曲污蔑等情况。

（六）其他会造成重大经济损失及影响的事件。

第六条本制度所称重要风险事件，主要包括：

（一）在公司生产经营管理过程中，存在可能对公司资

产、负债、权益和经营成果产生重要影响的风险事件。影响金额占公司总资产5%以上（含），不足10%（不含）的；直接或预计损失金额超过300万元（含）的，不足3000万元（不含）的事件。

（二）其他会造成重要经济损失及影响的事件。

第七条除重大、重要风险之外的风险情形，应当确定为一般风险事件。

第八条本制度所称全面风险管理，指围绕公司战略目标，通过建立健全全面风险管理体系，培育良好的风险管理

2文化，在管理的各个环节和经营过程中，执行风险管理的基本流程，为实现全面风险管理总体目标提供合理保证的过程和方法。

第九条全面风险管理总体目标：以公司总体战略规划为牵引，打造风险预警、风险报告、风险预防、风险应对和风险责任五合一的管控体系，确保各类风险有效管控，不断提升风险管理水平，进一步培育风险管理文化，保障公司持续、稳定、健康发展，为实现公司战略目标保驾护航。

第十条全面风险管理遵循全面性、前瞻性、融合性、重要性、适应性和成本效益性的原则。

（一）全面性原则：风险管理要覆盖公司及下属子公司

的所有业务、部门和人员，渗透到决策、执行、监督、反馈等各个环节，即要做到全级次、全业务、全流程。

（二）前瞻性原则：风险管理要体现事前预警，突出审

核、会签、法律审查等前置风险防控措施。

（三）融合性原则：建立集战略、投资、财务、市场、运营、法律等方面的一体化风险管理平台，形成目标管理、预算管理、经济运行管理、内控管理相融合的全面风险管理机制。

（四）重要性原则：风险管理应突出对重点业务领域和高风险事项的有效管控。

（五）适应性原则：风险管理应当与公司战略规划、经

3营规模、业务特点等相适应，并随着情势的变化及时加以调整，促进经营目标的实现。

（六）成本效益原则：要平衡实施风险管理的成本和因

为实施风险管理后而避免的损失或产生的效益，以适当成本实现对风险的有效管理。

第二章全面风险管理组织机构及其职责

第十一条公司按照国家有关法律法规、公司章程以及其他有关规定，建立健全规范的公司治理结构，构建“董事会—经营层—三道防线”的三层组织体系架构，科学划分决策机构、领导机构、实施机构的风险管理职责，将公司内部决策权、执行权和监督权相互分离，形成有效制衡。

第十二条全面风险管理事项按照公司“三重一大”决策制度实施办法由相关决策机构进行决策。

第十三条公司董事会是全面风险管理的最高决策机构，主要履行以下职责：

（一）审议批准全面风险管理基本制度。

（二）研究决定风险管理重大事项。

（三）其他应由董事会决策的风险管理事项。

第十四条公司经营层在董事会授权下组织开展全面风

险管理工作，设立全面风险管理领导小组，公司总经理担任组长，分管全面风险管理工作的公司领导担任副组长。全面

4风险管理领导小组的主要职责包括：

（一）研究决定公司全面风险管理工作规划和计划，推进公司全面风险管理工作。

（二）确定公司风险管理总体目标、风险承受度，审议

风险管理策略和重大、重要风险管理解决方案。

（三）了解和掌握公司面临的各项重大、重要风险情况，统筹部署全面风险管理工作任务。

（四）审议全面风险管理工作报告及重大决策的风险评估报告。

（五）审议全面风险管理的其他重大事项。

第十五条全面风险管理领导小组下设风险管理办公室，挂靠在全面风险管理部门，其主要职责包括：

（一）落实领导小组各项工作任务部署，推进公司全面风险管理体系建设。

（二）制定工作方案与措施，推进全面风险管理各项工作落地实施。

（三）就全面风险管理工作中的重大事项，提请领导小组研究决定。

（四）办理全面风险管理其它相关工作。

第十六条子公司应按需成立全面风险管理小组，由单

位主要负责人担任组长，由分管全面风险管理工作的单位领导担任副组长，系统开展全面风险管理工作。

5第十七条公司建立风险管理三道防线。以各部门作为

第一道防线，以全面风险管理部门作为第二道防线，以审计部门作为第三道防线。

第十八条各部门应紧密结合各自职能和日常工作，在执行业务流程和职能管理的过程中履行相应的风险管理职责，主要包括：

（一）拟定相关业务管理制度，并将风险管理防控措施及流程嵌入其中。

（二）负责完成年度风险管理责任书的相关工作。

（三）负责开展本部门职责范围内的风险评估工作，研

究提出重大决策、重大和重要风险、重大事件和重要业务流

程的判断标准或判断机制、风险评估报告或解决方案，并负责对该风险的日常监控和反馈工作。

（四）对本部门发生的重大、重要风险及时报告并提出解决方案。

（五）研究提出本部门职责范围内的风险防控信息化手段。

（六）指导督促子公司做好分管领域内的风险管理工作。

（七）负责开展本部门、子公司员工岗位风险培训，做好培育全员风险管理意识的有关工作。

（八）协助和配合其他部门处置与本部门职责有关的风险事项。

6（九）办理风险管理其他有关工作。

第十九条各部门、子公司设立全面风险管理员，原则

上由各部门、子公司合规管理责任人兼任，履行以下主要职责：

（一）统筹安排职责范围内风险管理工作。

（二）对职责范围内制度建设情况、工作流程进行梳理，提出完善制度建设及工作流程的相关建议。

（三）组织开展职责范围内的风险评估工作。

（四）配合全面风险管理部门完成全面风险管理报告以及完善全面风险管理数据库。

（五）办理风险管理其他有关工作。

第二十条公司全面风险管理部门负责履行全面风险管

理的职责，主要职责如下：

（一）拟订综合性风险管理制度和流程，参与拟订专业性风险管理制度和流程。

（二）制定并组织各部门、子公司签订全面风险管理责任书。

（三）协助提出跨部门的重大决策、重大和重要风险、重大事件和重要业务流程的判断机制、风险评估报告或解决方案。

（四）研究提出全面风险管理的改进方案。

（五）在公司统一的信息化建设体系下，协助提升业务

7流程风险管控的信息化手段。

（六）负责指导、监督有关部门、子公司开展全面风险管理工作。

（七）研究提出公司全面风险管理工作报告。

（八）负责组织全面风险管理日常工作，落实风险评估

与监控预警、风险事件报告与应对处置工作机制。

（九）办理全面风险管理其他有关工作。

第二十一条公司审计部门应负责组织开展内部控制评

价等工作，并按照内部审计制度的规定开展各项审计工作，根据审计发现的问题，提出整改意见并督促整改。

第三章全面风险管理责任

第二十二条风险管理目标任务应层层分解，由全面风

险管理部门牵头组织各部门、子公司签署年度风险管理责任书，将风险管理责任落实到各部门、子公司，夯实风险管理工作要求与职责。

第二十三条各部门、子公司承担相应风险管理的主体责任。

第二十四条公司总经理为公司全面风险管理责任人。

第二十五条分管全面风险管理工作的公司领导负责主持全面风险管理的日常工作。

第二十六条公司经营团队成员对分管业务工作范围内

8的风险管理工作负责，将风险管理工作要求融入分管业务工作中，对分管业务范围内的风险管理工作提供保障。

第二十七条公司各部门正职领导或主持工作的副职领导为本部门及本部门职责范围内业务的风险管理责任人。

第二十八条员工是各岗位风险控制的基础及第一人，各岗位职工应按照公司相关规定，合规合法开展工作。

第二十九条公司各部门以及每位员工，应充分认识自

身的风险管理责任，履行风险管理工作职责，自觉防范和控制风险，将风险管理意识贯穿于公司经营管理的各方面和业务流程的各环节。

第四章全面风险管理工作机制

第三十条公司以重要业务领域关键风险点为管控核心

开展全面风险管理工作。根据收集到的风险信息，通过分析与评估，采取有效应对措施，全面、系统、持续地建设动态风险管理数据库和监控预警指标库，加强对风险管理过程的监督与改进，强化考核机制，落实责任追究，切实提升风险管理水平，保障公司良性发展。

第三十一条公司开展全面风险管理应与其他职能管理

工作紧密结合，把全面风险管理的各项要求融入公司管理和业务流程中。

第三十二条风险评估是指公司运用定性、定量方法，

9通过风险识别、风险分析、风险评价等工作流程，确定公司

年度需重点管控风险的过程。风险预警是指公司围绕年度需重点管控风险，选取风险监控指标，实时开展风险监控，及时发布预警信息。公司全面风险管理部门负责组织开展公司本部及子公司风险评估与监控预警工作，具体要求按照《电科网安年度风险评估管理办法》执行。

第三十三条针对非重大、重要风险事件，由相关部门

牵头提出应对策略，通过完善现有制度与流程、补充完善相关控制措施和制度、采取诉讼手段等措施加以有效控制。

第三十四条针对重大、重要风险事件，公司全面风险管理部门会同相关部门共同研究提出专项风险应对方案。方案应包括全面风险管理具体目标，所需的组织领导和职责分工，所涉及的管理及业务流程，所需的条件和资源，细化的分级控制措施，相关工作的进度安排等。

第三十五条公司应加强风险事件管理，建立风险事件

管理台账，台账要素包括但不限于风险事件名称、事件简述、造成的损失、采取的措施、进展等。

第三十六条各部门、子公司应按照公司全面风险管理

部门的要求及时、准确、完整报送风险事件情况，内容包括但不限于风险事件基本情况、发生的原因、造成的损失、采

取的措施、事件进展情况、预计解决时间、风险应对决策情况等。对于重大、重要风险事件的报告管理，按照《电科网

10安经营风险事件报告管理办法》执行。

第三十七条公司全面风险管理部门应对子公司全面风

险管理工作开展情况进行评价检查，及时发现缺陷并加以改进。

第三十八条公司应通过审计、巡察、专项检查等渠道，对各部门、子公司经营管理工作情况进行监督检查，风险管理办公室、全面风险管理部门或审计部门以风险提示函、整

改通知书等形式，及时向有关部门或子公司发出风险提示，发现问题及时组织整改，确保闭环管理。

第三十九条公司制定风险管理考核办法和考核标准，并组织开展考核评价工作，考核结果将纳入公司目标责任考核体系。

第四十条对于未有效开展全面风险管理工作，违反相关规定，发生重大或重要风险事件造成重大或重要风险损失的，按相关规定追究相关人员责任。若涉嫌违纪的，移交公司纪委进行相关责任追究。

第五章全面风险管理保障

第四十一条公司应健全组织机构，配备专业人员开展风险管理工作。建立风险管理人才储备、培养、激励、晋升机制。建立一支真正掌握有效风险管理技术和方法的专业管理团队。

11第四十二条公司应将信息技术应用于风险管理各项工作，建立涵盖风险管理各环节的风险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等。

并应根据实际情况，不断完善、改进、更新与全面风险管理有关的信息系统。

第六章全面风险管理文化建设

第四十三条公司在构建企业文化体系的过程中，应注

重建立具有风险意识的企业文化，促进公司风险管理水平、员工风险管理素质的提升，保障公司风险管理目标的实现。

第四十四条全面风险管理文化建设应融入企业文化建

设全过程，树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动。

第四十五条公司应通过多种形式，努力传播风险管理文化，加强对风险管理理念、知识、流程、方法等内容的培训，使全体员工牢固树立风险无处不在、风险无时不在、严格防控纯粹风险、审慎处置机会风险、岗位风险管理责任重大等意识和理念。

第四十六条公司应明确各层面的风险管理目标、主体和内容，使其与公司现有的管理体系保持一致，通过系统的流程化管理，将全面风险管理思想和方法融入到公司各项业务和日常管理之中，识别、评估和控制风险。

12第七章附则

第四十七条本制度由公司全面风险管理部门负责解释和修订。

第四十八条本制度自发布之日起施行，原《全面风险管理制度（第2版）》（公司发〔2023〕24号）同时废止。

13