信息科技风险管理方案计划策略

附件：信息科技风险管理分类应对策略

根据信息科技风险分类情况，以二级风险为限，制定信息科技风险分类应对策略如下：

A1.信息科技治理风险应对策略

信息科技治理风险包括三个二级风险：信息科技组织风险、道德文化风险以及人员管理风险。每个二级风险的内容和应对策

略如下：

风险

编号

风险名称风险描述风险应对策略

1.1信息科技组织

在信息科技风险管理机构及专建立完善的信息科技治理架构。以法风险业委员会设置、履职等方面的定代表人为第一责任人，囊括理事

不确定因素，以及在部门/岗位

会、监事会、风险管理委员会、信息

设置、职责划分、垂直归口管

科技风险管理委员会、信息科技部、理等方面的不确定因素所带来

稽核审计部、风险管理部、人力资源的影响。

部、监察部等部门。明确各部门在信

息科技风险管理工作中的职责；

每个部门根据在信息科技风险管

理中的职责设立相应的岗位，合理

分配相应的责、权、利，执行信息

科技风险管理工作；

省联社各部门应指导、监督办事

处、各县级农村合作金融机构相应

部门的信息科技风险管理工作。

1.2道德文化风险在文化培育、融合、再造等过

在建立道德、诚信、公正的氛围，对

程中的不确定因素，以及员工

员工进行相关的培训，作为员工日常

在价值观认同、行为规范遵循

工作的行为准则之一；

等方面的不确定因素所带来的影响。建立畅通的沟通渠道，任何与陕西省农村合作金融机构道德文化标

准的偏离都得到及时和充分的反映，并被立即调查和纠正。

1.3人员管理风险在从人员聘用到离职整个服务

建立完善的人员招聘、培训、考核、

期间内的不确定因素所带来的激励、离职等制度和流程，并确保得

影响。

到有效执行；

加强信息科技风险管理专业人员

配备，提高信息科技风险管理水

平；

对重要岗位制定详细的工作手册

并适时更新；

风险

风险名称风险描述风险应对策略

编号

为员工提供信息科技风险管理制

度和流程的培训，提高员工风险管

理意识；

对人员结构、能力、素质等进行定

期评估，并组织专业培训，提高人

才队伍的专业技能；

制定关键岗位信息科技员工流失

防范措施并定期评估人员流失风

险；

制定关键岗位轮岗计划并执行；

建立信息科技工作职责不相容矩

阵，将不相容职责/岗位分离，并

定期检查。

A2.信息科技战略风险应对策略

信息科技战略风险包括战略规划风险和战略执行风险。每个二级风险的内容和应对策略如下：

风险

风险名称风险描述风险应对策略

编号

1.4战略管理风险在战略规划制定、调整、衔接

按照陕西省农村合作金融机构总

等过程中的不确定性因素所体业务规划制定信息科技战略；

带来的影响。

在陕西省农村合作金融机构总

体业务规划进行调整时，相应

的，应及时调整信息科技战略，

以确保和总体业务规划的一致

性。

A3.信息科技运维风险应对策略

信息科技运维风险包括九个二级风险：备份管理风险、运维环境风险、容量管理风险、问题管理风险、记录管理风险、事件

管理风险、发布管理风险、变更管理风险以及资产管理风险。每

个二级风险的内容和应对策略如下：

风险

风险名称风险描述风险应对策略

编号

3.1备份管理风在从制定备份策略、执建立完善的数据中心管理制度，完善系

风险

编号

风险名称风险描述风险应对策略

险行备份、备份恢复等一统（程序和配置）和数据等的备份策略，

系列过程中的不确定包括备份范围、备份频率、备份检查、

因素所带来的影响。

备份恢复性测试等内容；

配置备份工作所必须的软硬件资源、

人力资源以及空间资源等。备份介质

的保存环境应当符合相关标准（如防

火、防水、防磁、防盗、温湿度等）；

备份介质的传递重要工作必须由专

人和专用运输工具负责；

对备份的结果进行检查，任何异常应

立即查明原因并解决；

定期进行备份恢复性测试，确保备份

数据的完整、准确、有效；

存储敏感数据的介质，在设备维修、

用途变更或销毁时，采用消磁等完全

清除数据的安全方式。

1.5运维环境风

信息科技运维环境，如制定信息科技运维环境的维护和管理制险相关的系统、设施、设度，确保信息科技运行在一个稳定的环

备等在运营过程中所

境中；

产生的不确定因素所带来的影响。采用人工和技术等手段对信息科技

运维环境的各种设施、设备进行预防性维护和监控，发现的问题应立即跟进；

建立服务水平管理相关的制度和流程，对信息科技运行服务水平进行考核。

1.6容量管理风

在信息系统性能、容量制定容量规划，以适应由于外部环境变险规划、容量监测和处理

化产生的业务发展和交易量增长。容量

等过程中的不确定因

规划应涵盖生产系统、备份系统及相关

素所带来的影响。

设备；

制定系统性能、容量监测和处理的方

法；

由系统自动检测或人工定期查看，确

保系统稳定运行。

1.7事件管理风

在事件从查明、记录到制定事件管理流程，包括事件查明和记险解决全过程中的不确录、归类和初步支持、事件调查和分析、定因素所带来的影响。事件升级、解决事件和恢复服务、事件

终止以及负责事件并跟踪、监督、控制

和协调解决全过程；

在事件发生后，应按照事件管理流程

立即响应以尽快解决。

1.8问题管理风

在问题申报、解决、技建立并完善有效的问题管理流程，以确险术援助、支持服务等过保全面地追踪、分析和解决信息系统问

程中存在的不确定因

题，并对问题进行记录、分类和索引；

风险

编号

风险名称风险描述风险应对策略

素所带来的影响。定期对问题进行汇总分析，以求从根

源上解决问题。

1.9记录管理风

对应用系统、网络设建立完整的日志管理规定，完整采集并险备、防火墙、主机、数保存应用系统、数据库、网络设备、防

据库等所产生的日志

火墙、主机等产生的交易日志和系统日

的记录、监控、复核、

志等；

保存等过程中存在的不确定因素所带来的影响。设置专门岗位对日志进行监控和管理，尤其是未经授权的访问、对敏感信息的访问、操作等应格外关注；日志应得到妥善保存与备份。

1.10发布管理风

在监督应用系统和软制定软件版本管理规范及系统版本命名险件等的发展、试验、部规范，软件版本的发布和开发过程必须署和支持过程中的不

按照规定的流程执行；

确定因素所带来的影响。建立各重要系统的配置基线，纳入统一的配置管理数据库，并由专人负责；

定期对配置数据库中的配置项与实

际配置的一致性进行检查，并对不一致的配置项进行确认、调整；

建立发布管理流程，确保系统或软件的发布处在一个可控的流程中；

管理层应审核对系统或软件的发布；新系统或软件发布后，应保留先前的版本和环境以备恢复。

1.11变更管理风

在信息系统相关的软制订严密的变更处理流程，明确变更控险件、硬件、和网络等变制中各岗位的职责，并遵循流程实施控

更过程中的不确定因

制和管理；

素所带来的影响。

所有涉及生产环境的变更，变更前必

须有回退和应急方案；

制定变更管理的文档管理流程。对变

更情况进行及时登记、备案和存档，

并将变更情况及时通报相关部门和

商业银行信息科技风险管理解决方案

商业银行信息科技风险管理解决方案本帖最后由 infosec123 于 2009-9-23 17:16 编辑背景为加强商业银行的信息科技风险管理，提升信息科技风险管理能力，09年3月份银监会正式发布了《商业银行信息科技风险管理指引》（以下简称《指引》），这是继出台有关《商业银行操作风险管理指引》、《商业银行市场风险管理指引》和《商业银行合规风险管理指引》等一系列的监管文件之后，银监会发布的又一重要风险管理指引。该指引适用于在中华人民共和国境内依法设立的法人商业银行。政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。信息科技风险是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。它和操作风险、信用风险、市场风险一样，是商业银行面临的主要风险。现阶段商业银行已经基本完成了信息化建设，在金融管制放松、业务全球化、金融创新步伐加快以及信息技术的迅猛发展的大背景下，国际银行业金融机构的信息科技风险有增大的趋势，国际银行业和监管当局都日益重视信息科技与操作风险的管理和监管。目前，国际上宣布实施新资本协议的国家和地区都按照新协议的要求，明确将操作风险纳入资本监管的范畴，而信息科技风险是操作风险的重要组成部分。需求分析合规性需求：近年来，国家各部门不断推出了各种监管要求，对IT管控领域也提出了明确的要求。其中与银行业信息科技风险相关的法律、法规与行业监管指引有： 2002年，美国国会发布了SOX《萨班斯[url=; 2004年9月30日，中国银监会发布了[url=; 2006年，银监会发布《电子银行安全评估指引》、《[url=;

金融业信息科技风险管理

信息科技风险管理办法第一章总则第一条为有效防范运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我行各项业务安全、持续、稳健运行，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《商业银行信息科技风险管理指引》、《营口沿海银操作风险管理指引》，以及国家信息安全相关要求和有关法律法规，制定本管理办法。第二条本管理办法所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在我行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。第三条本管理办法所称信息科技风险，是指信息科技在我行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。第四条信息科技风险管理的目标是通过建立有效的机制，实现对我行信息科技风险的识别、计量、监测和控制，促进我行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。

第二章机构职责第五条根据我行信息科技治理的要求，法定代表人是本机构信息科技风险管理的第一责任人，负责组织本管理办法的贯彻落实, 董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人员对信息科技风险管理重要性的认识。（五）设立一个由来自高级管理层、信息科技部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向董事会和高级管理层汇报信息科技战略规划的执行、信息科技预算和实际支出、信息科技的整体状况。（六）在建立良好的公司治理的基础上进行信息科技治理，形成分工合理、职责明确、相互制衡、报告关系清晰的信息科技治理组织结构。加强信息科技专业队伍的建设，建立人才激励机制。

信息科技风险管理策略分析

附件：信息科技风险管理分类应对策略根据信息科技风险分类情况，以二级风险为限，制定信息科技风险分类应对策略如下： A1.信息科技治理风险应对策略信息科技治理风险包括三个二级风险：信息科技组织风险、道德文化风险以及人员管理风险。每个二级风险的内容和应对策略如下：风险编号风险名称风险描述风险应对策略 1.1信息科技组织在信息科技风险管理机构及专建立完善的信息科技治理架构。以法风险业委员会设置、履职等方面的定代表人为第一责任人，囊括理事不确定因素，以及在部门/岗位会、监事会、风险管理委员会、信息设置、职责划分、垂直归口管科技风险管理委员会、信息科技部、理等方面的不确定因素所带来稽核审计部、风险管理部、人力资源的影响。部、监察部等部门。明确各部门在信息科技风险管理工作中的职责；每个部门根据在信息科技风险管理中的职责设立相应的岗位，合理分配相应的责、权、利，执行信息科技风险管理工作；省联社各部门应指导、监督办事处、各县级农村合作金融机构相应部门的信息科技风险管理工作。 1.2道德文化风险在文化培育、融合、再造等过在建立道德、诚信、公正的氛围，对程中的不确定因素，以及员工员工进行相关的培训，作为员工日常在价值观认同、行为规范遵循工作的行为准则之一；等方面的不确定因素所带来的影响。建立畅通的沟通渠道，任何与陕西省农村合作金融机构道德文化标准的偏离都得到及时和充分的反映，并被立即调查和纠正。 1.3人员管理风险在从人员聘用到离职整个服务建立完善的人员招聘、培训、考核、期间内的不确定因素所带来的激励、离职等制度和流程，并确保得影响。到有效执行；加强信息科技风险管理专业人员配备，提高信息科技风险管理水平；

全面风险管理手册.

保利建设集团有限公司全面风险管理手册二0一三年十二月

第一章总则 1.1编制目的本手册作为保利建设集团有限公司（以下简称“公司”）开展全面风险管理工作的指导性文件，旨在通过建立并运行系统的风险管理机制（即全面风险管理体系），提升公司风险管理水平，有效防范、化解，并合理承担或利用所面临的风险，简化管理行为、整合管理资源、降低管理成本、提高管理效率的目的，在公司管理各项系统进行有效整合促进公司持续、健康、稳定发展，为公司实现既定目标提供充分的保障。 1.2依据国资委《中央企业全面风险管理指引》《国资委2013年度中央企业全面风险管理报告（模板）》、财政部等五部委《企业内部控制基本规范》（财会[2008]7 号）

财政部等五部委《企业内部控制配套指引》（财会[2010]11 号）《中国保利公司全面风险管理手册》 GB/T 2453-2009《风险管理原则与实施指南》；ISO31000：2009《风险管理原则和指导方针》 GB/T19001-2008/ISO9001：2008 质量管理体系；GB/T50430 工程建设施工企业质量管理规范；GB/T50380：2006 工程建设设计企业质量管理规范 GB/T24001-2004/ISO14001：2004 环境管理体系 OHSMS18000；GB/T28001-2011：职业健康安全管理体系 1.3适用范围本手册适用于公司范围内，所有人员应当遵循手册要求，开展全面风险管理工作。本手册对控股子公司具有指导意义，各控股子公司应根据本手册的基本框架，结合自身特点参照实施，开展全面风险管理工作。1.4手册的颁布本手册于2013年月经公司董事会审议批准后颁布，自颁布之日起生效。

《商业银行信息科技风险管理指引》WORD版

商业银行信息科技风险管理指引第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。

第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。

全面风险管理指引

全面风险管理体系指引目录第一章总则第二章风险管理组织体系第三章风险信息的收集和识别第四章风险评估第五章风险应对第六章内部控制管理第七章全面风险风险管理信息系统第八章风险管理文化第九章全面风险管理考核与责任追究第十章附则

第一章总则第一条为指导集团各中心及各分子公司落实《天明全面风险管理制度》，实施开展集团全面风险管理工作，增强企业竞争力，提高投资回报，促进企业持续、健康、稳健发展，根据《中国人民共和国公司法》、《全面风险管理制度》等相关法律法规，制定本指引第二条集团各中心及分子公司根据自身情况贯彻执行本指引。由集团决策委员会负责督导本指引的实施第三条本指引所称的企业风险，是指未来的内外部不确定性对企业实现经营目标的影响第四条本指引所称呼的集团为XXXXX集团有限责任公司第五条本指引所称的全面风险管理，是指集团围绕总体战略经营目标，通过在各个管理环节和日常经营过程中执行风险管理的基本流程；培育良好的风险管理文化；建立健全全面风险管理体系第六条本指引所称的风险管理基本流程指： 1收集风险管理的初始信息 2对风险信息的识别 3进行风险评估 4制定风险管理策略 5提出和实施风险管理解决方案 6风险管理的监督和改进第七条本指引所称的内部控制系统，是指根据风险管理策略目标以及集团相关规定，针对集团战略、投融资、财务、审计监察、法律事务、人力资源、招采、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程，以及其他外部可能影响企业的因素等，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施第八条集团开展全面风险管理要实现的风险管理目标如下： 1确保将风险控制在与总体目标相适应并可承受的范围内 2确保企业内外部，尤其是企业与股东之间实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告确保遵守

集团公司风险管理办法(正式发文稿)

中国国有集团公司全面风险管理办法（试行）第一章总则第一条为加强中国国有集团公司（以下简称集团公司）全面风险管理和内部控制体系建设，提高风险管理水平，增强抗风险能力，促进集团公司持续、健康、稳定发展，根据国务院国资委《中央企业全面风险管理指引》、财政部《企业内部控制基本规范》等规范性文件，结合集团公司实际情况，制定本办法。第二条本办法适用于集团公司、分支机构、区域公司、产业公司和基层企业（以下统称“企业”)的全面风险管理工作。第三条本办法所称风险，是指未来的不确定性对企业实现其经营发展目标的影响。企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等五大类。第四条本办法所称全面风险管理包括内部控制体系建设的工作，具体是指企业围绕总体经营发展目标，在管理的各环节和经营过程中执行风险管理基本流程，建立健全全面风险管理体系（包括组织机构、制度流程和方法技术等），

培育良好的风险管理文化，从而为实现风险管理总体目标提供合理保证的过程和方法。第五条风险管理基本流程主要包括以下工作：（一）风险初始信息收集；（二）风险识别；（三）风险评估; （四）风险应对；（五）风险管理的监督与改进。第六条企业开展全面风险管理要努力实现以下风险管理总体目标：（一）确保将风险控制在与企业总体经营发展目标相适应并可承受的范围内，促进企业实现战略目标；（二）确保企业实现内外部真实、可靠和有效的信息沟通；（三）确保遵守有关法律法规，履行相应的社会责任；（四）确保经营管理的有效性，提高经营活动的效率和效果；（五）确保企业建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。第七条风险管理是企业的基础管理工作和日常经营管理活动的重要内容。企业开展全面风险管理应与其他职能管

信息科技风险专项检查自查报告总结.doc

********商业银行行股份有限公司********银行信息科技风险专项自查报告 ************中心：为认真贯彻《关于开展2019年度信息科技风险专项检查的通知》精神，充分做好做好国庆期间金融网络和信息系统安全保障工作，防范我行信息科技风险，保障计算机系统运行和操作安全，建立和完善信息科技风险管理机制。根据《****农商银行系统重点业务风险点排查指引（试行）》规定及人民银行、银保监局和公安局关于网络安全保障工作要求。我行由分管信息科技领导、信息技术部组成自查工作小组，于8月19日-23日开展自查工作。现将自查情况汇报如下：一、总体情况随着当前信息化建设步伐不断加快，我行各项业务对于信息系统的依赖日益加深，随之而来的系统和网络安全已成为安全管理的关键环节，其中薄弱环节成为信息科技风险的重要内容，网络安全运行工作事关经营、管理大局。从防范科技风险的高度充分认识到加强系统和网络安全运行工作的必要性和重要意义，正确处理了发展与安全的关系，一手抓信息化建设，一手抓风险防范。截至报告日，全行上下已经按照统一标准建立起较完善的网络和信息安全风险防范体系。

二、组织架构、制度建设及管理情况（一）信息科技治理组织架构 1.强化“三会一层”履职。成立了以高管层和主要业务部门参加的信息科技管理委员会，定期或不定期履行职责，审议信息科技相关重大事件，本年度共计召开信息科技管理会议2次。 2.加大专业人员配备。设立首席信息官。参与我行与信息科技运用有关的业务发展决策，确保信息科技发展战略符合本行的总体业务战略和信息科技风险管理策略。 3.明确部门职责分工。明晰信息科技实施、风险管理及审计职责。信息技术部负责信息科技实施、管理工作，各支行设立兼职或专职计算机管理员，配合信息技术部开展应用推广、故障处理、设备维护工作；合规与风险管理部负责协调制定有关信息科技风险管理策略，尤其是在涉及信息安全、业务连续性计划和合规性风险等方面；内部审计部负责信息科技审计制度和流程的实施，制订和执行信息科技审计计划。（二）信息科技管理制度建设 1.安全管理方面。对安全管理活动中的各类管理内容建立安全管理制度，制定了由安全策略、管理制度等构成的全面的信息安全管理总则《********商业银行行计算机信息安全管理办法》，安全管理办法经信息科技管理委员会审定，审定周期为一年一次，并且及时发现缺漏或不足对制度进行修订。 2.应急管理方面。建立了较为完善的信息系统应急管理办法《********商业银行行计算机信息系统应急管理办法》，

商业银行信息科技风险管理指引

商业银行信息科技风险管理指引目录第一章总则第二章信息科技治理第三章信息科技风险管理第四章信息安全第五章信息系统开发、测试和维护第六章信息科技运行第七章业务连续性管理第八章外包第九章内部审计第十章外部审计第十一章附则第一章总则第二章信息科技治理第三章信息科技风险管理第四章信息安全第五章信息系统开发、测试和维护第六章信息科技运行第七章业务连续性管理第八章外包第九章内部审计第十章外部审计第十一章附则展开编辑本段第一章总则第一条为加强商业银行信息科技风险管理，根据《中华人民共和国银行业监督管理法》、《中华人民共和国商业银行法》、《中华人民共和国外资银行管理条例》，以及国家信息安全相关要求和有关法律法规，制定本指引。第二条本指引适用于在中华人民共和国境内依法设立的法人商业银行。政策性银行、农村合作银行、城市信用社、农村信用社、村镇银行、贷款公司、金融资产管理公司、信托公司、财务公司、金融租赁公司、汽车金融公司、货币经纪公司等其他银行业金融机构参照执行。第三条本指引所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善的管理制度和流程。第四条本指引所称信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、人为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。第五条信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。编辑本段第二章信息科技治理第六条商业银行法定代表人是本机构信息科技风险管理的第一责任人，负责组织本指引的贯彻落实。第七条商业银行的董事会应履行以下信息科技管理职责：（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国银行业监督管理委员会（以下简称银监会）相关监管要求。（二）审查批准信息科技战略，确保其与银行的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风险能够被识别、计量、监测和控制。（四）规范职业道德行为和廉洁标准，增强内部文化建设，提高全体人设立一个由来自高级管理层、信息科技（五）员对信息科技风险管理重要性的认识。．部门和主要业务部门的代表组成的专门信息科技管理委员会，负责监督各项职责的落实，定期向

2019年度信息科技风险管理报告

信息科技风险管理报告根据《银行业金融机构全面风险管理指引》《**农村商业银行股份有限公司董事会议事规则》及有关要求，现将**（以下简称“本行”）2019年度信息科技风险管理报告报告如下。一、2019年基本情况按照《**农村商业银行股份有限公司岗位职责》，本行信息科技管理工作归口于电子金融部，设信息系统维护岗2人。成立了计算机信息安全管理工作领导小组和信息系统重大突发事件应急管理领导小组等，组织架构齐全。二、2019年主要工作（一）内部控制工作。本行结合内部控制评价工作对相关的科技管理制度和操作规程进行梳理和归类，及时修改相关制度办法，使其具有系统性、可操作性。现执行的制度有《**农村商业银行股份有限公司信息系统设施设备管理办法（试行）》、《**农村商业银行股份有限公司信息系统数据安全管理办法（试行）》、《**农村商业银行股份有限公司员工介质管理办法》、《**农村商业银行股份有限公司信息系统突发事件应急预案（试行）》、《**农村商业银行股份有限公司便携式移动金融服务终端管理暂行办法》等规章制度。（二）系统管理工作。信息系统由**省农村信用合作联社开发、测试和维护，我行对全辖机具设备和线路进行调试、维护和管理，确保信息系统的正常运行。一是省中心已对数据建立异地

灾备，保证极端情况下生产系统正常运行。本行进行了各系统在不同运营商线路切换的演练。二是关注系统安全漏洞最新情况，及时对新发现的安全漏洞打上安全补丁，目前系统已是最新最完整版本，已安装了最新补丁。三是系统均安装了省联社指定桌面管理系统和病毒查杀软件，对病毒、恶意代码进行安全防护。同时，严格控制操作人员在机器上运行可能携带恶意代码、病毒的脚本的外来第三方软件。（三）设备管理工作。本行对业务设备领用、报废进行全流程管理。设置有一名专职科技人员对业务设备进行日常巡检、维护、更换，确保业务设备不掉线及正常工作。科技人员按照规定对计算机进行必要的设备日常监测、检查、记录，并及时掌握设备的运行状况。通过查阅ITSM管理平台，及时受理各网点提交的系统运行故障、业务处理差错、业务需求申请等业务工单，对其审核后，提交相关部门处理。对营业网点上报的网络故障信息及时给予电话指导或现场处理。（四）机房管理工作。本行使用电信、移动、联通终端设备，路由器和交换机均放置总行三楼机房，机房场地、安全通道、防水等符合机房建设要求，灾害防御措施完善、设备齐全，供配电系统、空调系统、机房防雷和消防系统符合相关技术要求。（五）安全管理工作 1.网络安全工作。我行将外网与生产网络实行物理隔离，对所有进入内网的终端均进行绑定，路由器远程登录采取ssh认

XX银行信息科技风险管理策略

XX银行信息科技风险管理策略 xx银行信息科技风险管理策略随着信息科技与我行业务的深度融合～我行业务对信息系统的依赖性日益增强～防范信息科技风险的重要性凸显出来。我行深入分析信息科技管理工作～针对面临的信息科技风险～制定了信息科技风险管理策略。一、我行面临的主要信息科技风险 1.业务中断风险保障业务连续性是我行信息科技工作中的最重要的部分。我行面临的首要的问题是～信息系统建设严重滞后与业务发展。一旦产生软硬件故障、系统超负荷运行、主干网络中断、病毒传播、人为非法操作造成系统不稳定等因素～极易造成银行业务的中断。 2.数据安全风险数据是我行的基础～我行要为客户提供一个可靠的环境确保数据资料的准确性和安全性。随着业务的发展～数据量不断增大～数据安全风险凸显。数据安全风险包括两方面:一是数据窃取～主要是数据遭到窃取或者恶意篡改～导致客户信息资料外泄～引发客户不满～引发法律风险问题,二是数据丢失～主要是受到自然灾害、房屋倒塌等突发事件造成的存储介质毁坏～导致存储介质中数据丢失。 3.电子银行风险电子银行银行风险主要是电子支付安全问题～包括ATM诈骗以及利用钓鱼网站、木马程序盗取客户的账号和密码等一些行为导致的客 1

户资金的损失。这类事件一旦发生～会严重影响我行声誉～处理不当会导致诉讼。 4.系统漏洞风险系统漏洞风险是银行信息系统开发缺陷被发现和利用的风险。系统漏洞风险在系统设计之初难以发现～随着系统的推广及运行～风险逐渐暴露～一旦被人利用～会对我行造成极大影响。 5.IT外包风险 IT外包风险主要是外包服务商能否长期稳定地为我行提供高质量的服务～能否及时响应并修复系统故障～确保外包业务连续性。我行如果过度依赖外包服务商～一旦出现突发情况～势必会影响我行业务持续开展。二、我行采取的信息科技风险管理策略针对我行面临的主要的信息科技风险～我行在信息科技风险管理方面拟采取以下策略。 1.进一步完善信息科技风险管理制度我行要进一步完善信息科技风险管理制度～进一步细化信息科技管理以及信息科技风险管理。重点做好业务连续性、灾备系统、外包管理、风险评估、内外部审计等五个方面制度的完善。制度制定后～信息科技工作者要严格执行制度～或者提出合理化建议来修订制度～使制度成为一切工作的基础～真正给系统安全拉起一道不可逾越的防御线。 2.构建全面的信息科技风险监测和保障体系 2 逐步建立质量控制和测试体系～对信息系统的开发进行严格的风险论证和风险测试。对信息系统的运行状况进行全程监控～主干网络是否畅通、自助设备是否正常运行、数据库系统是否正常服务～是否有网络遭受外部非法入侵等必须纳入实时

公司全面风险管理办法

xxxx有限公司全面风险管理办法第一章总则第一条为加强及规范xxxx有限公司（以下简称“xxxx公司”或“公司”）及其属下各级企业的风险管理工作，建立规范、有效的风险控制体系，防范、控制和化解在复杂多变的经营环境中随时可能发生或出现的风险与危机，促进公司战略的实现和经营的持续、稳定、健康发展，根据国务院国资委《中央企业全面风险管理指引》和财政部等五部委《企业内部控制基本规范》及相关配套指引，结合xxxx公司实际，制订本办法。第二条本办法适用于xxxx公司和属下全资子公司，控股和参股公司可参照执行。第三条本办法所称“风险”，是指在公司发展过程中各种不确定性对实现公司战略及经营目标的影响。企业风险一般可分为战略风险、运营风险、财务风险、市场风险和法律风险等。第四条本办法所称的“全面风险管理”，是指围绕公司总体经营目标，通过在管理各环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化等，建立健全风险管理体系，从而为实现风险管理总体目标提供保证的过程和方法。第五条风险管理基本流程包括以下主要工作：（一）收集风险管理初始信息；（二）进行风险评估；（三）制订并实施风险管控方案；（四）风险监控报告及预警；

（五）风险管理的监督与考核。第六条公司在制订并实施战略规划、年度经营计划过程中应当充分考虑风险及制订应对措施，在投融资、市场运营、财务、人力资源、法律事务、安全生产等各项经营管理活动中应执行风险管理基本流程，制订并执行相应的制度、程序和措施。第七条企业内部控制是全面风险管理的重要组成部分，内部控制以风险管理为导向，公司及属下各级企业应按照财政部等五部委颁布的《企业内部控制基本规范》及相关配套指引，结合实际，建立健全企业内部控制体系。第八条公司及属下各级企业应根据自身经营规模、业务特点和所处的发展阶段等因素，确定风险偏好。应选择若干能够衡量风险的具体指标（如资产负债率等）作为预警指标，并明确风险的最低限度和不能超过的最高限度，作为量化的风险容忍边界。 xxxx公司现阶段实行稳健的经营理念，对风险采取谨慎的态度。第九条公司大力培育和塑造良好的风险管理文化，树立正确的风险管理理念，增强员工风险管理意识，将风险管理意识转化为员工的共同认知和自觉行动，促进企业风险管理目标的实现。第二章风险管理的目标、原则第十条公司开展全面风险管理要努力实现以下总体目标：（一）确保将风险控制在与公司总体目标相适应并可承受的范围内；（二）确保遵守有关法律法规；

信息科技风险管理规定

欢迎阅读信息科技风险管理办法编制部门：科技信息部版次号：A/0 生效日期：20160509

目录修改记录 (3) 第一章总则 (3) 第二章机构职责 (4) 第三章信息科技风险管理 (10) 第四章第五章第六章第七章第八章第九章附件.

修改记录第一条为有效防范公司运用信息系统进行业务处理、经营管理和内部控制过程中产生的风险，促进我司各项业务安全、持续、稳健运行，根据《中华人民共和国互联网金融信息监督管理办法》、《互联网金融信息科技风险管理指引》，以及国家信息安全相关要求和有关法律法规，制定

本管理办法。第二条本管理办法所称信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在我司业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制订完善第二章机构职责第五条根据我司信息科技治理的要求，法定代表人是本机构信息科技风险管理的第一责任人，负责组织本管理办法的贯彻落实, 董事会应履行以下信息科技管理职责：

（一）遵守并贯彻执行国家有关信息科技管理的法律、法规和技术标准，落实中国互联网金融协会（以下简称互金协会）相关监管要求。（二）审查批准信息科技战略，确保其与公司的总体业务战略和重大策略相一致。评估信息科技及其风险管理工作的总体效果和效率。（三）掌握主要的信息科技风险，确定可接受的风险级别，确保相关风对审（八）每年审阅并向互金协会及其派出机构报送信息科技风险管理的年度报告。（九）确保信息科技风险管理工作所需资金。（十）确保公司所有员工充分理解和遵守经其批准的信息科技风险管理制度和流程，并安排相关培训。

全面风险管理与内部控制体系建设实施方案

全面风险管理与内部控制体系建设实施方案一、指导思想围绕公司战略目标，通过在公司管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，实现风险管理的总体目标。二、方案参考依据《中央企业全面风险管理指引》国资发改革[2006]108号；《山东省省管企业全面风险管理指引》鲁国资企改〔2008〕22号；财政部发《企业内部控制规范—基本规范》和《萨班斯-奥克斯利法案》等。三、总体策略（一）方案内容 1、通过对公司内、外部信息包括历史信息和预测信息进行全面、细致调研的基础上，充分辨识、分析、评价公司可能面临的各种风险，主要包括战略风险、财务风险、市场风险、运营风险、法律风险等； 2、针对识别的各种风险，制定相应的风险管理策略，即围绕企业发展战略，确定风险偏好、风险承受度、风险管理有效性标准，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理工具的总体策略，确定风险管理所需人力和财力资源的配臵原则； 3、根据风险管理策略制定具体的实施策略，确定具体的风险管理目标、对策、组织领导、管理流程、投入资源，以及风险事件发生前、中、后可采取的具体管理措施及风险管理工具，也即建立、健全、完善内部控制制度。 4、建立风险管理信息系统。 5、建立风险管理的监督与改进机制，及时跟踪风险及管理状况，建设并及时更新风险信息库，并根据风险监督结果对风险管理工作进行相应改进与提升，

从而保证企业全面风险管理的效果。（二）取得的成果通过以上工作内容，我们会为公司出具以下工作成果： 1、公司风险信息库 2、公司风险评估报告。 3、公司全面风险管理策略。 4、公司全面风险管理解决方案（或称为内部控制手册），包括（1）公司风险管理职能体系；（2）重大风险管理职责分工；（3）针对企业战略、规划、产品研发、投融资、市场运营、财务、内部审计、法律事务、人力资源、采购、加工制造、销售、物流、质量、安全生产、环境保护等各项业务管理及其重要业务流程制定的制度、程序和措施；（4）风险管理体系考核办法。 5、建立风险管理信息系统 6、全面风险管理的监督与改进制度（三）实现或达到的目标 1、确保将风险控制在与公司战略目标相适应并可承受的范围内。 2、确保内外部，尤其是公司与股东之间实现真实可靠的信息沟通。 3、确保遵守有关法律法规。 4、确保公司规章和制度措施的贯彻执行，保障经营管理的有效性，减少实现经营目标的不确定性。 5、确保公司建立针对各项重大风险发生后的危机处理计划，保护公司不因灾害性风险或人为失误而遭受重大损失。

中央企业全面风险管理指引(全文)附录：风险管理常用技术方法简介(1)

附录风险管理常用技术方法简介一、风险坐标图风险坐标图是把风险发生可能性的高低、风险发生后对目标的影响程度，作为两个维度绘制在同一个平面上（即绘制成直角坐标系）。对风险发生可能性的高低、风险对目标影响程度的评估有定性、定量等方法。定性方法是直接用文字描述风险发生可能性的高低、风险对目标的影响程度，如“极低”、“低”、“中等”、“高”、“极高”等。定量方法是对风险发生可能性的高低、风险对目标影响程度用具有实际意义的数量描述，如对风险发生可能性的高低用概率来表示，对目标影响程度用损失金额来表示。下表列出某公司对风险发生可能性的定性、定量评估标准及其相互对应关系，供实际操作中参考。下表列出某公司关于风险发生后对目标影响程度的定性、定量评估标准及其相互对应关系，供实际操作中参考。

对风险发生可能性的高低和风险对目标影响程度进行定性或定量评估后，依据评估结果绘制风险坐标图。如：某公司对9项风险进行了定性评估，风险①发生的可能性为“低”，风险发生后对目标的影响程度为“极低”；……；风险⑨发生的可能性为“极低”，对目标的影响程度为“高”，则绘制风险坐标图如下：可能性极高高中等低极低如某公司对7项风险进行定量评估，其中：风险①发生的可能性为83%，发生后对企业造成的损失为2100万元；风险②发生的可能性为40%，发生后对企业造成的损失为3800万元；…….；而风险⑦发生的可能性在55%到62%之间，发生后对企业造成的损失在7500万元到9100万元之间，在风险坐标图上用一个区域来表示，则绘制风险坐标图如下：

绘制风险坐标图的目的在于对多项风险进行直观的比较，从而确定各风险管理的优先顺序和策略。如：某公司绘制了如下风险坐标图，并将该图划分为A 、B 、C 三个区域，公司决定承担A 区域中的各项风险且不再增加控制措施；严格控制B 区域中的各项风险且专门补充制定各项控制措施；确保规避和转移C 区域中的各项风险且优先安排实施各项防范措施。 1 0.8 0.6 0.4 0.2 （亿元）

浅析农业银行信息科技风险管理策略

浅析农业银行信息科技风险管理策略发表时间：2018-11-20T18:05:16.970Z 来源：《防护工程》2018年第21期作者：王勇 [导读] 不仅是提高农业银行在行业中综合竞争力的有效手段，同时也是为用户提供稳定、安全的金融服务的重要保障。中国农业银行股份有限公司攀枝花炳草岗支行四川攀枝花 617000 摘要：为了适应银行业务现代化、信息化的要求，信息时代的多种新型科学技术都被广泛应用于银行业务的管理之中。银行的金融服务信息化虽然使得用户体验得到极大的提升，但信息化带来的风险管控也是银行应当仔细分析并进行全方位规划的战略问题。为了有效提高银行的风险防控水平，维护信息科技在银行业务中使用的安全性，本文从风险管理的角度出发，详细分析并提出了农业银行信息科技风险管理的策略。关键字：农业银行；信息科技；风险管理；策略引言信息系统安全运行是任何银行业务正常开展的必要前提和基本保障，它不仅影响到银行的声誉和金融安全问题，若银行的信息系统失去安全保障，还会在未来银行的客户来源和社会经济稳定发展方面造成一定损失。笔者详细分析了农业银行的信息科技风险管理策略，旨在为农业银行信息科技风险管理的安全性提高做出微薄的贡献。 1银行信息科技风险管理架构 1.1 IT治理银行的信息科技风险管控任务直接由IT部门来直接管理，对信息安全存在的风险进行防范和管控，制定相应的预警指标，掌握好技术控制的同时，建立科学的应急处理系统，对可能发生的安全问题都要做好防备工作。 1.2 IT风险管理 IT风险管理应由内控合规管理和风险管理部门进行合作。先由风险管理部门将所有的银行信息科技风险整合成一个体系，建立信息科技的风险控制标准，做好统计信息科技风险的事件数量以及事件发生后的反思和再评估等工作。为了有利于对信息科技风险的评估和监测，还应当对不同事件进行分类和分级处理。内控合规管理部门则负责对风险管理部门的风险控制制度进行督察和审核，同时监督他们的内部控制、合规管理工作。 1.3 IT审计审计部门要根据银行的相关监管要求，对风险状况做出判断，属于进行信息科技风险管理和评估的独立第三方机构，对风险管理工作、内部控制工作是否有效开展进行监控和评估，能够更好的促进银行的信息科技风险管理。 2农业银行信息科技风险的主要特点 2.1复杂性造成农业银行信息科技风险升高的要素有很多，这就使得农业银行的信息科技风险管理存在一定的复杂性。如在系统升级、运营维护过程中，不仅涉及到系统的程序复杂，同时考虑到信息系统的建立需要多人管控的人员负责性，信息科技的风险不仅来源于人员的操作失误，也来源于复杂的计算机技术本身，因此，要建立好完善的银行信息科技风险管理体制，保障信息安全的同时，维护银行业务的可靠性。 2.2广泛性农业银行的信息科技风险事件一旦发生，将会对社会产生广泛的影响，无论是对个人、企业还是国家经济来说，都会是一次重大的打击。信息安全的问题往往会产生连锁反应，不仅会使得银行的声誉受到损害，同时也可能会对国家信息机密的安全造成巨大影响。 2.3隐蔽性由于信息技术本身存在复杂性，若在银行的信息科技系统中出现了漏洞，可能不会很快被监测到，也就是银行信息科技风险存在一定的隐蔽性。而这种特性就给银行的信息科技风险管理带来了难度和挑战，为此，要建全完善的风险管理系统，对信息科技部门的工作进行有效的监督，防止内部人员操作失误的同时，降低银行的信息科技风险。 3农业银行信息科技风险管理难点 3.1信息科技风险管理辩解定位认识的差异在信息科技风险管理过程中，信息科技部门常把工作重点放在加快信息化建设和做好系统运行管理方面，对信息科技的风险控制和检查监测工作有时重视不够，没能够将各种风险控制措施内化到日常管理活动中，实现更有效的事先风险控制。有效的运用风险管理方法，能够降低各种风险的威胁和影响。若风险管控部门没有危机预防意识，就难以充分发挥信息科技风险管理的价值，造成信息科技风险管理工作重点不突出、考核管理导向偏差、工作效率不高等问题。 3.2信息沟通和分享缺乏有效监管渠道从风险管理考核制度方面来说，如果清晰地上报了IT 管理中的风险隐患，将“不利于”其部门的绩效考核，故常存在以“半封闭、半遮掩”应对考核监督部门的信息科技风险监控检查工作，掩盖存在的风险隐患。在信息科技部门内部消除的风险隐患不能如实报告，存在漏报、少报甚至降低等级报告风险隐患的现象，导致各个部门之间获取的信息不一致的问题；在监控检查过程中提供的 IT 资料内容失真，不能充分反映信息科技风险隐患的真实情况。信息科技部门日常运维过程中，存在用技术性问题掩盖管理和人为操作错误的情况，导致风险隐患的根源问题得不到彻底解决。同时这些信息科技风险事件和隐患没能及时、充分地传递到监管考核部门，导致其无法对该类事件和隐患进行统计、分析并及时给出修进建议，从而会造成更加严重的后果。 3.3各个对部门信息科技风险管理功能认识不全信息科技部门内设的各种科室都存在认知不充分的问题，浅显地认为信息科技风险管理应由信息安全管理科室承担，而信息安全管理

某上市公司风险管理办法

某上市公司风险管理办法第一章总则第一条为加强本公司（以下简称“公司”）的风险管理，建立规范、有效的风险控制体系，提高风险防范能力，及时识别、系统分析经营活动中与实现内部控制目标相关的风险，合理确定风险承受度和风险应对策略，根据《企业内部控制基本规范》及其配套指引、《中央企业全面风险管理指引》、《上海证券交易所上市公司内部控制指引》和公司章程，结合公司实际，制定本办法。第二条本办法所称风险是指公司经营活动中与公司实现内部控制目标相关的风险，包括战略风险、财务风险、市场风险、运营风险和法律风险等。本制度所称风险评估是指通过对基于事实的信息进行分析，就如何处理特定风险以及如何选择风险应对策略进行科学决策。第三条本制度适用于公司及各全资、控股子公司（以下统称“子公司”）。第二章风险管理机构设置第四条公司风险管理的组织体系由公司董事会、总经理办公会、风险管理部门、内部审计部门、各职能部门/子公司构成。第五条公司各职能部门为风险管理第一道防线；风险管理部门为风险管理第二道防线；内部审计部门及审计委员会为风险管理第三道防线。第六条公司各职能部门在风险控制管理方面的主要职责：（一）按照公司风险管理部门制定的风险评估的总体方案，根据业务分工，配合风险管理部门，识别、分析相关业务流程的风险，确定风险反应方案。（二）根据识别的风险和确定的风险反应方案，按照公司确定的控制设计方法和描述工具，设计并记录相关控制，根据风险管理的要求，修改完善控制设计。包括：建立控制管理制度，按照规定的方法和工具描述业务流程，编制风险控制文档和程序文件等。（三）组织控制制度的实施，监督控制制度的实施情况，发现、收集、分析控制缺陷，提出控制缺陷改进意见并予以实施。对于重大缺陷和实质性漏洞，除向部门负责人汇报情况外，还应向公司领导及时反馈情况，以便公司监控内部控制体系的运行情况。（四）配合内控审计部门等部门对控制失效造成重大损失或不良影响的事件进行调查、处理。第七条风险管理部门负责建立公司风险管理体系、制度和流程等日常管理工作，并监督其实施的有效性。具体职责如下：（一）负责制定公司的风险评估方案；（二）负责组建风险评估小组；（三）负责审核风险清单、应对预案；（四）拟定公司风险评估报告，上报公司管理层；（五）负责建立经营环境监控体系，切实监控并记录内、外部经营环境和条件的变化，以修正风险识别与评估；（六）负责建立风险预警指标体系，要求各具体部门定期提供数据，进行指标分析；对于超过风险预警值的指标，应确定相应的整改措施。

《公司全面风险管理指引》

关于下发《公司全面风险管理指引（暂行）》的通知各单位、机关各部室：为加强风险管理工作，建立规范、有效的风险管理和内部控制体系，提高经营管理水平和风险防范能力，促进公司总体战略和经营目标的实现，特制定《有限公司全面风险管理指引（暂行）》，现予以下发，请遵照执行。

公司全面风险管理指引（暂行）第一章总则第一条为加强公司有限公司（以下简称“公司”）风险管理工作，建立规范、有效的风险管理和内部控制体系，提高经营管理水平和风险防范能力，促进公司总体战略和经营目标的实现，根据《中央企业全面风险管理指引》、《企业内部控制基本规范》、《企业内部控制应用指引》、《企业内部控制评价指引》、《风险管理—原则与指南》及其他有关法律、法规和规范性文件，结合公司实际制定本指引。第二条本指引适用于公司及所属分公司、全资子公司、控股子公司、重要的联营合营企业、相关的事业单位（以下简称“经营单位”），其他企业参照执行。第三条本指引是基于现阶段公司风险管理实际情况，并借鉴国内先进企业风险管理理念与经验，通过阶段性建设不断提升公司风险管理水平。本指引为现阶段公司风险管理工作实施的暂行文件。第四条本指引所称风险是指未来的不确定性对公司实现战略和经营目标的影响。公司风险包括：战略风险、运营风险、财务风险、市场风险和法律风险等。第五条本指引所指风险包括纯粹风险和机会风险。纯粹风险指仅能带来损失的风险，公司应积极采取控制、规避和转移纯粹风险，避免损失或降低纯粹风险的影响程度。机会风险是指可能带来损失或收益的

风险，公司应积极应对、承担进而驾驭机会风险，减少损失并获取超额收益。第六条本指引所称全面风险管理是指公司围绕总体战略和经营目标，通过在经营管理的各个环节和过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全风险管理体系，从而为实现风险管理的总体目标提供合理保证的过程和方法。全面风险管理包含内部控制。第七条本指引所称的内部控制是指围绕公司发展战略及经营目标，全员参与实施，通过对目标实现过程的控制及有关机制、制度、流程等进行的持续优化、科学管理，以实现公司经营管理合法合规、资产安全、财务报告及相关信息真实完整、不断提升公司经营管理绩效和风险防范能力的过程。第二章风险管理目标和原则第八条公司全面风险管理的目标是保障经营管理的有效性，降低实现战略目标的不确定性，通过减少损失和危害创造价值。按照智能风险管理理念，风险管理能力一般可分为无意识型、松散型、自上而下型、系统型和智能型。公司现阶段致力于自上而下建立健全全面风险管理体系，阶段性目标是按照ISO31000:2009标准，通过两至三年时间建设完成系统型风险管理体系框架，至2020年建设成为先进的智能型风险管理体系，将风险管理打造成为公司核心竞争力之一。第九条根据公司战略规划和经营目标，全面风险管理遵循如下原则：（一）全面性原则。风险管理应当贯穿决策、执行和监督全过程，