山东金岭矿业股份有限公司全面风险管理办法（试行）
第一章 总 则第一条 为加强山东金岭矿业股份有限公司（以下简称公司）风险管理工作，提升内部控制的有效性，建立规范有效的风险管理体系，增强核心竞争力，促进企业持续健康稳定发展，根据《公司法》《企业内部控制基本规范》等法律、行政法规、部门规章、规范性文件的有关规定，结合公司实际，制定本办法。
第二条 本办法有关名词解释如下：
（一）风险：指未来的不确定性对企业实现其经营目标的影响。一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等。
（二）风险管理：指围绕总体经营目标，建立健全风险管理体系，执行风险管理流程，培育风险管理文化，有效管理风险，为实现风险管理的总体目标提供合理保证的过程和方法。
（三）风险偏好：指实现目标过程中愿意并能够接受风险的种类及风险损失大小的基本态度。
（四）风险承受度：指在风险偏好的基础上设定的对实现目标过程中出现风险和风险损失的承受限度，是企业风险偏好的边界。
（五）风险管理有效性标准：指风险是否在风险承受度范围内，风险的变化是否符合风险管理的预期要求。
（六）风险对冲：指通过投资或购买与标的资产收益波动负相关的某种资产或衍生产品，来抵消标的资产潜在风险损失。
第三条 全面风险管理主要包括以下五个方面：
（一）收集辨识风险信息；
（二）进行风险评估；
（三）制定风险内控管理策略，提出和实施风险内控管理解决方案；
（四）实施内部控制管理和具体措施；
（五）风险管理和内部控制的监督改进与保障。
第四条 本办法适用于公司、各部门及权属各单位(统称公司或各单位、部门)。
第二章 目标与原则
第五条 全面风险管理的总体目标：
（一）将风险控制在与战略目标相适应并可承受的范围内，促进企业实现发展战略；
（二）遵守有关法律法规、规章制度，合理保证企业经营管理合法合规；
（三）提高经营效率和效果，保障经营管理有效性，降低实现经营目标的不确定性；
（四）保证资产安全、财务报告及相关信息真实完整，保障及时、准确地收集、传递信息，确保信息在企业内部、企业与外部之间有效沟通；
（五）建立各项重大风险应急预案，实施有效的内部
控制，防范人为失误或灾害性风险引发重大损失。
第六条 全面风险管理应遵循以下原则：
（一）战略导向原则：全面风险管理以公司整体战略为纲领，管理目标和管理活动均以公司战略为导向，为公司战略目标的实现提供支持；
（二）融合性原则：全面风险管理体系应与公司其他管理体系充分融合，将风险管理要素嵌入各项管理制度和流程，使风险管理融入到日常管理工作中；
（三）全面性原则：全面风险管理应对所有业务、部门和人员全覆盖，对决策、执行、监督、反馈等各环节全渗透，对风险的事前防范、事中控制、事后处置的全过程管控;
（四）成本效益平衡原则：全面风险管理工作应注重可操作性，应当权衡实施成本与预期效益，合理配置资源，以合理的管控成本保障风险管理目标的实现。
第三章 组织体系与职责分工
第七条 公司应当建立规范的公司治理结构和议事规则，明确决策、执行、监督等方面的职责权限，形成权责清晰、运行高效的组织体系，履行全面风险管理的职责。
第八条 董事会是公司全面风险管理工作的最高领导和决策机构，对全面风险管理工作的有效性负责。其主要职责：
（一）确定全面风险管理的总体原则，督导全面风险管理文化的培育；
（二）确定全面风险管理的总体目标、风险偏好、风险承受度，批准风险管理策略和重大风险管理应对方案；
（三）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；
（四）批准年度风险评估报告、年度全面风险管理报告以及重大决策的风险评估报告；
（五）批准风险管理及内部控制监督评价的专项报告；
（六）批准全面风险管理的其他重大事项。
第九条 董事会下设由公司经理层成员组成的合规、内控及风险管理领导小组（以下简称“领导小组”），是公司风险管理的专门工作机构，负责审议或审批公司风险管理重大事项。其主要职责：
（一）拟订公司风险合规管理体系，指导和监督公司风险合规管理部门工作，研究审核公司风险合规管理、内部控制重要体系文件等；
（二）研究审核公司年度风险评估报告、年度全面风险管理报告、重大风险应急预案、重要风险处置方案等；
（三）监督检查公司风险合规管理体系有效性及以上相关事项的落实情况；
（四）董事会授权的其他风险管理、内部控制管理事项。
第十条 总经理是公司风险管理工作整体建设和运行的
负责人，对全面风险管理工作的有效性向董事会负责。总经理或总经理委托的高级管理人员，负责组织全面风险管理的日常工作。其主要职责：
（一）审核风险管理制度；
（二）审核年度风险评估报告、年度全面风险管理报告；
（三）审核风险内控管理策略、重大风险应急预案和风险内控管理解决方案；
（四）督导考评风险管理体系和内部控制管理体系运行，按照权限组织责任追究；
（五）公司章程或者董事会授权的其他风险管理、内部控制管理职责。
第十一条 风险合规部是公司风险和内部控制管理的主管部门，履行以下主要职责：
（一）拟订风险管理制度；
（二）组织提出年度风险评估报告、年度全面风险管理报告，包括年度重大风险内控管理策略和解决方案；
（三）负责重大决策、重大风险、重大事件等专项风险评估报告的程序性审核；
（四）组织风险管理有效性评估，提出风险管理改进意见、建议或方案；
（五）负责风险管理、内部控制日常工作的组织协调、指导监督和考核评价；
（六）其他风险管理和内部控制管理职责。
第十二条 各单位、部门负责职责范围内的具体风险和内部控制工作，其主要职责是：
（一）配备业务骨干兼任风险管理员，配合推进公司风险管理工作；
（二）完成日常风险信息报送、年度风险辨识和评估，并形成全面风险管理报告；
（三）执行风险管理和内部控制基本流程，理顺和优化职能业务的风险管理和内部控制流程，开展日常风险识别、评估、发布风险预警，组织制定实施风险管理和内部控制措施；
（四）编制本单位主责的公司重大经营决策和重大经济活动的专项风险评估报告；
（五）按公司统一要求，制定和落实本单位风险管理策略、重大风险应急预案、重大风险内控管理解决方案；
（六）动态评估风险管理、内部控制的有效性，妥善应对风险，及时整改管理缺陷；
（七）配合完成风险管理方案和内部控制措施执行情况的监督、评价和考核；
（八）其他风险管理、内部控制有关工作。
第十三条 建立完善风险管理和内部控制的“三道防线”。各单位、部门为第一道防线，主要负责业务职责范围内的风险辨识、评估及风险防控和内部控制的日常工作；风险合规部为第二道防线，主要负责风险管理和内部控制的组织、协调、指导和检查改进工作；董事会下设的领导小组、
内部审计部门履行第三道防线职责，负责风险管理、内部控制的评估、监督工作。
第四章 风险信息管理第十四条 各单位、部门应持续广泛地收集与公司风险和风险管理相关的内部、外部初始信息，包括历史数据、风险失控导致蒙受损失的案例，以及对未来的预测等。对收集的初始信息应进行必要的筛选、对比、分类、组合，以便进行风险评估。
第十五条 战略风险方面的信息包括但不限于：
（一）国内外宏观经济政策以及经济运行情况、产业政策、本行业状况和竞争态势；
（二）公司发展战略和规划、投融资计划、年度经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据；
（三）科技进步、技术创新的有关内容；
（四）市场对公司产品或服务的需求；
（五）与战略合作伙伴的关系，未来寻求开展战略合作的可能性；
（六）公司主要客户、供应商及竞争对手的有关情况；
（七）与主要竞争对手相比，公司实力与差距；
（八）自然灾害、事故灾难、公共卫生、社会安全等突发事件等社会危害因素；
（九）公司对外投融资流程中曾发生或易发生错误的
业务流程或环节。
第十六条 财务风险方面的信息包括但不限于：
（一）负债、或有负债、负债率、偿债能力；
（二）现金流、应收账款及其占销售收入的比重、资金周转率；
（三）产品存货及其占销售成本的比重、应付账款及其占购货额的比重；
（四）制造成本和管理费用、财务费用、营业费用；
（五）盈利能力；
（六）税收政策和利率、汇率、股票价格指数的变化；
（七）相关的行业会计政策等；
（八）成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节。
第十七条 市场风险方面的信息包括但不限于：
（一）产品或服务的价格及供需变化，消费者行为等；
（二）能源、原材料、配件等物资供应的充足性、稳定性和价格变化；
（三）主要客户、主要供应商的信用情况；
（四）潜在竞争者、竞争者及其主要产品、替代品情况。
第十八条 运营风险方面的信息包括但不限于：
（一）产品结构、新产品研发、技术投入、信息技术
运用等；
（二）新市场开发，市场营销策略，包括产品或服务定价与销售渠道，市场营销环境状况等；
（三）组织效能、管理现状，高、中层管理人员和重要业务流程中专业人员的知识结构、专业经验；
（四）质量、安全、环保、信息安全等管理中曾发生或易发生失误的业务流程或环节；
（五）因企业内部、外部人员的道德风险致使企业遭受损失或业务控制系统失灵；
（六）造成损失的自然灾害以及除上述有关情形之外的其他纯粹风险；
（七）对现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力；
第十九条 法律风险方面的信息包括但不限于：
（一）国内外与公司相关的政治、法律环境；
（二）可能影响公司的新法律法规和政策、行业标准、监管要求等；
（三）董事、监事、经理及其他高级管理人员的道德操守、职业操守，员工的专业胜任能力等；
（四）本企业签订的重大协议和有关贸易合同；
（五）本企业发生的重大法律纠纷案件的情况；
（六）本企业和竞争对手的知识产权情况。
第二十条 各单位、部门要根据实际情况,动态收集、辨识评估、综合研判其他风险信息，如社会稳定、突发公共事
件、信访、舆情风险等，及时采取有效措施，切实防范化解相关风险与影响。
第二十一条 在日常工作中，各单位、部门应指定专人负责内、外部相关风险信息的收集、整理和分析工作，建立风险信息资料库，形成本单位、部门《风险信息台帐》。
第二十二条 各单位、部门应建立风险排查机制，实行重大经营风险事件定期上报制度。深入分析经营过程中的风险源点，梳理存在的经营风险，将经营风险事件及以往风险事件的进展情况汇总形成统计报表。
第二十三条 风险合规部对各单位、部门的风险信息收集情况进行检查和指导，对报送的重大经营风险事件整理和分析，定期形成公司重大经营风险事件统计表上报公司。
第二十四条 本单位、部门应将信息技术应用于风险管理的各项工作，建立涵盖风险管理基本流程和内部控制系统各环节的风险管理信息系统，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等，确保形成风险评估、风险应对、风险监控、风险评价与改进的闭环管理。
第五章 风险评估
第二十五条 公司应对收集的风险管理初始信息和各项业务管理及其重要业务流程进行风险评估。风险评估包括风险辨识、风险分析、风险评价三个步骤。
风险辨识是查找各业务单元、各项重要经营活动及其重要业务流程有无风险、有哪些风险。
风险分析是对辨识出来的风险及其特征进行明确的定
义描述，分析和描述风险发生可能性的高低、风险发生的条件。
风险评价是评估风险对企业实现目标的影响程度、风险的价值等。
第二十六条 公司采取日常、定期、专项相结合的方式开展风险评估，对风险管理信息实施动态管理，对新风险和原有风险的变化要及时进行动态评估。
第二十七条 日常评估由各职能部门结合战略规划、设计审查、预算制订、经济活动分析、安全性评价、危险源辨识、工程质量监督等业务工作进行，评估结果应体现在有关专业报告中，并提供给风险管理部门共享。
第二十八条 定期评估由风险合规部按年度组织实施。各单位、部门应根据公司风险评估的要求，组建本单位、部门风险评估团队，参照企业风险分类示例，结合单位实际，组织完成风险评估，形成《风险评估表》并报风险合规部。
第二十九条 风险合规部汇总整理各单位的评估结果，编制并组织填写公司风险评估调查问卷，对公司领导和相关单位、部门有关人员进行风险访谈，广泛征求意见，确定重点关注和优先控制的各项重大风险。
第三十条 风险合规部根据风险评估结果，组织有关单位和部门深入分析重大风险发生的主要原因和影响程度，编制《年度风险评估报告》。
第三十一条 《年度风险评估报告》经公司领导小组审核后，报董事会审批，以供下一步制定风险管理策略和应对方
案。
第三十二条 各单位、部门每年至少自行组织一次全面风险辨识评估工作，确认本单位的重大及重要风险，编制年度风险评估报告，报风险合规部审查备案。
第三十三条 公司可根据需要对重大经营活动、重大投融资决策等重大事项开展专项评估。重大事项主责部门负责组织开展专项风险评估，出具专项风险评估报告并报风险合规部审查备案。对于跨部门、跨专业的重大事项，由风险合规部组织专项风险评估，出具专项风险评估报告。
各单位、部门可根据公司要求和本单位实际情况开展相应的专项风险评估工作。
第三十四条 专项风险评估报告对风险的辨识要全面，分析要充分，评估方法要科学，结论要客观，应对策略及防控措施要可行。专项风险评估报告内容主要包括：
（一）评估事项涉及项目概况；
（二）事项风险分析与评价；
（三）风险管理策略和应对方案；
（四）评估结论；
（五）专业评估人员名单及签字；
（六）出具评估报告的主责单位或业务职能部门。
第三十五条 专项风险评估必要时也可聘请有资质、信誉好、风险管理专业能力强的咨询机构协助实施。
第六章 风险应对
第三十六条 针对评估出的公司级重大风险，由风险合
规部牵头，相关单位、部门配合，确定风险偏好和风险承受度，制定风险管理策略。
风险管理策略是指公司根据内外部环境和发展战略确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等风险管理工具的总体策略，并确定风险管理所需人力和财力资源的配置原则。
第三十七条 各单位、部门参照公司重大风险管理策略，并结合自身的实际情况，确定本单位、部门的重大风险管理策略(风险偏好和风险承受度)，报公司风险合规部审查备案。
第三十八条 公司应根据风险管理策略，针对每一项重大风险制定风险应对方案。风险管理应对方案是风险管理策略分解落实到具体风险的管理措施。风险管理应对方案一般包括：风险应对的具体目标，具体风险的对策，风险管理的组织领导、管理流程、投入资源，风险事件发生前、中、后可采取的具体管理措施及管理工具。
第三十九条 风险合规部根据年度风险评估确定的重大风险，制定并下发《重大风险应对工作配档表》，明确需要开展应对工作的具体风险和负责制定应对方案的责任单位、部门。
第四十条 各单位、部门根据分工，在职责范围内制定具体的风险应对方案，报公司风险合规部备案。对于可以量化的风险应确定关键风险指标和指标预警区间，建立风险预警系统，以便及时发现并应对可能出现的风险。
第四十一条 风险合规部组织专业部门对各单位、部门制定的重大风险应对方案进行审查，反馈至相关单位、部门进行补充或调整，形成公司《重大风险管理应对方案》。
第四十二条 公司各职能部门要按照职责分工组织实施风险应对方案，指导监督各管理单位开展相关工作，确保各项风险应对措施落实到位。
第四十三条 风险合规部对各单位、部门风险应对方案的实施情况进行跟踪检查，加强动态管控。
第四十四条 各单位、部门应参照上述程序，并结合自身的实际情况，制定本单位、部门的重大风险应对方案，报公司风险合规部备案。
第七章 风险管理的过程控制
第一节 内部控制
第四十五条 完善内部控制系统是公司重要的风险管控措施。公司应结合风险评估结果和应对策略，针对战略、规划、投融资、信息披露、市场运营、财务、内部审计、法律事务、人力资源、采购、销售、质量、安全生产、环境保护等各项业务管理及其重要业务流程，建立健全各项内部控制制度和流程。
第四十六条 公司通过手工控制与自动控制、预防性控制与发现性控制相结合的方法，综合运用各种内部控制措施，对各项业务和管理活动实施有效控制，将风险控制在可承受的范围内。
第四十七条 公司应逐步在重要管理及业务流程中嵌入
风险审核环节，强化风险管理部门和风险管理岗位的独立评估和审核作用。
第四十八条 公司及各单位对辨识出的重大风险可以通过开展重大风险专项活动，优化内控流程，完善内控体系，实现对重大风险的有效管理。
第二节 重大风险监控与预警
第四十九条 公司应建立重大风险监控与预警机制，对重大风险进行持续监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施。
第五十条 各单位、业务部门是风险监控与预警的具体实施主体，对职责管理范围内的相关风险进行持续监控。各业务部门或单位应随时监控重大风险关键指标的状态，及时分析重大风险变化趋势，结合内外部环境变化，动态调整管理策略和应急预案，实现对重大风险的动态管理和有效管控。
第五十一条 公司建立重大风险预警上报机制。公司全体人员都负有风险预警的义务，在处理具体事项时，对知悉或遇到的公司风险，及时向上一级管理者以及相关职能部门书面报告；重大风险应同时向分管领导、领导小组、总经理等报告。
第三节 突发风险应急管理
第五十二条 公司应建立灵敏高效的突发风险处理和应急管理机制，以降低风险损失。对新出现的、缺乏风险应急预案的重大风险，董事会应立即与公司管理层、相关部门协
调，组织人员研究制定风险应对方案并实施。
第五十三条 为便于报告管理和处置管理，将公司的突发风险等级划分为：一般性风险、中等风险、重大风险。其中：
一般性风险：指预期经济损失在50万元以下（含50万），或商誉受外部微小影响的风险；
中等风险：指预期经济损失在50万元以上500万元以下（含500万），或商誉受外部较大影响但仍可控的风险；
重大风险：指预期经济损失在500万元以上，或对公司声誉、经营活动和内部管理、资产安全造成强大压力和外部负面影响的事件，或影响公司存续的危机事件。
第五十四条 发生突发风险，任何第一手接触或认知到风险的人员必须及时向其上一级管理者报告。
接获该报告信息的上一级管理者应及时组织有关部门、相关人员对风险进行初步的评判，确定突发风险的类别。对一般性风险，应立即书面向单位(部门)主要负责人报告，并上报公司分管领导；对中等风险，应立即上报公司总经理，由公司总经理责成有关单位负责人及相关人员负责组织处理；对重大风险，应立即向公司总经理、董事长报告并由董事长责成有关单位负责人及相关人员负责组织处理。
第五十五条 对于已经知悉的重大风险或公司危机，应尽快启动突发风险处理程序。
第五十六条 突发重大风险发生处理程序：
（一）成立突发风险处理机构
发生突发风险，公司应在第一时间成立风险处理小组，由公司董事长、总经理担任组长。小组成员至少应包括：公司分管副总经理、风险管理部门、人力资源部门、财务部门、纪委、公司法律顾问、突发风险单位的主要负责人及其他相关人员。
（二）制定风险处理方案
风险处理小组应及时制定风险处理方案，包括风险处理目标、程序、组织、人员及分工、后勤保障、行动时间表以及各个阶段要实现的目标，同时还应包括社会资源的调动和支配、费用控制和实施责任人。
（三）风险处理
1.对于尚未造成社会影响的事件，要及时妥善处理，避免事态的进一步恶化。
2.对于已造成社会影响的事件，应保持与社会各方良好的沟通，及时披露事实真相，以有助于对事件做出客观公正的报道和评价。
3.在处理过程中，应处理好与风险事件对方当事人的关系，避免出现纠纷。
4.在事件处理的过程中，风险处理小组应与当地政府、监管机构保持紧密联系，及时通报事件进展。
（四）总结与责任认定
风险事件处理完成后，风险处理小组应及时提交总结报告，如实反映事件的起因、发生过程、处理方法和结果、责任认定、反映的问题等，并提出整改建议或意见，以避免新
的风险和危机发生。
第八章 全面风险管理文化第五十七条 公司大力培育和塑造良好的风险管理文化，树立正确的风险管理理念，增强员工风险管理意识，在公司内部各个层面营造风险管理文化氛围，建立系统、规范、高效的风险管理机制，使全面风险管理文化建设融入公司文化建设全过程。
第五十八条 公司应加强法制教育，增强董事、监事、总经理及其他高级管理人员和员工的法制观念，严格依法决策、依法办事、依法监督，树立正确的风险管理理念，增强员工风险管理意识。
第五十九条 公司应建立重要管理及业务流程、风险控制点的管理人员和业务操作人员岗位风险管理培训制度，采取多种途径和形式，加强对风险管理理念、知识、流程、管控核心内容的培训，培养风险管理人才，促进全面风险管理水平、员工风险管理素质提升，保障全面风险管理目标的实现。
第九章 风险管理的监督与考核
第六十条 公司应以重大决策、重大风险和重要管理及业务流程为重点，对全面风险管理工作情况进行监督，对风险管理的有效性进行测试和评估，根据存在的缺陷和变化趋势予以完善。
第六十一条 各单位、部门应定期对本单位的风险管理工作及重大风险的管控效果进行自查评价，及时发现缺陷并
改进，形成季度/年度风险管理自评价报告，报风险合规部。
第六十二条 风险合规部每季度对各单位重大风险管控情况进行监督、检查，提出调整或改进建议，并督促整改落实。
第六十三条 公司对风险监控中发现的问题，必要时可进行专项风险审计。可根据需要会同纪委/巡察、财务等部门组成联合工作组开展工作。
第六十四条 各单位、部门每年1月底之前，对风险管理工作进行全面总结，编制单位、部门年度《全面风险管理工作报告》，报风险合规部。风险合规部分析各单位、部门全面风险管理报告，对公司全面风险管理体系运行绩效进行全面总结和系统评价，拟定下年度风险管理工作计划，于每年3月份编制公司《全面风险管理工作报告》，经公司领导小组审核后，报董事会审批。
第六十五条 风险合规部每年至少组织一次风险管理工作的全面检查，对各单位、部门风险管理工作的规范性和有效性进行监督评价，提出调整或改进建议。
第六十六条 建立风险管理工作考核机制，公司根据各单位、部门工作职责和业务范围，列入年度各单位、部门年度重点工作进行管理。
第六十七条 将风险管理考核纳入对各单位、部门负责人的责任制评价与考核。
第六十八条 在风险管理中工作得力、风险管控绩效明显或者为公司挽回重大风险损失的单位和个人，公司予以适
当奖励；对在重大风险管理中出现失误、造成严重损失的单位和个人，依据有关规定进行责任追究。
第十章 附 则第六十九条 本办法由风险合规部负责解释。第七十条 本办法自公司董事会审议通过后实施。