全面风险管理成果报告

生产经营建设管理过程中的风险防控体系

的构建与实施

XXX公司XXX

一、XXXX公司对风险管控的认识和践行

1.风险管理是管理提升、管理改善、管理精细化、从严管理的实现途径

纵观公司内外环境发展变化，国家经济告别了高速增长的时代，进入换挡减速、改革创新的新常态；石油石化行业告别了快速发展的阶段，进入深化改革、转型发展的新常态；石油工程产业告别了规模扩张、粗放发展的的模式，进入提质增效、内涵发展的新常态。面对新常态发展趋势，面对无处不在的风险，任何细小的风险都可能造成严重后果，甚至是灾难性的。这要求我们各单位、每位员工都要牢固树立风险意识，紧绷风险之弦，建立健全风险管理体系、提升应对各类内外部风险的能力和水平。

XXXX风险管理工作始于2011年6月，首先在安全环保、信访稳定、廉洁风险、法律风险等重要风险领域开展风险分类管理的试点工作。2012年下半年，结合管理提升活动，在部分生产单位推行分层级的风险集中管理。2013年，按照全面风险管理提升的工作部署，着力推进分类分级与集中管理相结合的全面风险管理运行机制。2104年按照从严

管理的要求，重点在生产运行、经营、工程分包等领域开展了风险从严管理的部署，加强重大重要风险的识别和防控工作。经过近两年来以ISO31000为理论基础的探索实践，全面风险管理的理念和方法在公司的各个管理领域得到实践，已经逐渐渗入到日常的生产运行和经营管理之中。我们得出的基本经验是：风险管理重在预防。风险管理见成效，必须建立健全风险管理体系和科学有效的运行机制，必须将风险管理方法深度融合到日常经营管理之中才能发挥管理提升、管理改善、管理精细化、从严管理的作用。

风险管理的定位应是管理提升、管理改善、管理精细化。风险管理主要聚焦于目标的实现，提供合理保障而非绝对保障。过度追求“杜绝或规避一切风险”会浪费资源，并会导致应对措施的低效或无效。正确的理念应该是通过各层级的重大重要风险管理，不断提升保障程度，争取“少出事儿”、“不出大事儿”，将风险控制在整体可承受的范围内。因此，实施风险管理要破除两种观念：一是认为现有的业务管理就是在管理风险因此不必再开展风险管理，二是过于夸大风险管理的作用试图新建一套完整的体系达到管控目标。

2.风险管理是各项具体业务管理水平提升的有效途径

为了深入贯彻落实公司全面风险管理工作部署和要求，提升风险管理水平，确保各类重大、重要风险可控在控，XXXX公司组织有关部门和单位，全面排查风险，深入组织

开展风险识别和评估。

XXXX多次举办风险管理知识培训班。对部门负责人、单位负责人、风险管理人员进行系统的全面风险管理知识培训，先后制定下发了《全面风险管理提升工作实施方案》、《全面风险管理办法》、《风险评估工作指引》、《关于加强重大风险管理的通知》、《关于生产运行过程风险从严管理的通知》、《关于开展年度风险评估的通知》、《关于经营风险从严管理的实施意见》等一系列文件，建立了风险管控目标体系，制定了总体思路、组织体系、管理框架、工作重点、工作安排部署，明确风险管理的基本流程，风险识别“四三二一”工作法、风险库模板，风险清单等，形成了半年度和年度风险评估报告工作机制和风险综合管理、专业风险管理、专项风险管理相结合的工作机制。

3.日常管理和内部控制需要嵌入风险管理

XXXX在新发展形势下，按照“全面铺开，提高认识；重点突破，取得成效”的工作思路，借鉴ISO31000国际风险管理标准并吸收消化再创新，不断完善工作流程和方式方法，使风险管理覆盖到经营管理的所有业务和各个环节，健

全全面风险管理的组织体系、流程体系和制度体系，探索建立有XXXX特色的全面风险管理模式。清晰的认识风险管理的“层次性”、“嵌入性”、“事件性”，落实各层级各领域的风险管理责任，变被动管理为主动管理。融合风险事件管理与风险类别管理，创新构建风险管理基本流程，以风险管理工作有效性为重点，推行“四三二一”风险识别法，建立各层级各类别的风险事件库，动态编制风险管理监控报告，把全面风险管理工作嵌入现有管理体系，融入企业日常经营管理活动全过程。通过“业务管理和风险类别管理、风险事件管理的有效衔接，内部控制以及其他管理体系与风险管理的有效衔接，风险的分层管理、分类管理与集中管理的有效衔接”，实现全面风险管理与日常经营管理的深度融合。各项业务在做好确定性管理的基础上通过对不确定性的管理得到提升，使风险管理真正成为价值创造的重要驱动，为公司持续有效和谐发展提供强有力的保障，全面提升公司的抗风险能力。

公司已经建立健全了包括内部控制在内的各项管理制度和流程，但具体业务由于面临着不同的内外部环境，并且部分制度或流程本身也存在模糊不清的问题，导致在执行过程中缺乏可操作性。各项业务管理在原有内部控制的基础上开展风险管理，将风险管理的方法理念与日常管理的流程有机结合起来，是风险管理与日常经营管理实现有机融合的基本保证，是提高风险管理有效性的正确途径。

二、XXXX风险管控的主要做法

（一）构建分层分类与集中相结合的风险管理框架

1.健全组织体系。在现有管理体系的基础上，建立健全网络化的全面风险管理组织体系。纵向上分层管理，第一层级风险管理领导小组；第二层级为机关部（室）、所属单位；第三层级为所属单位机关科室和基层单位。第四层级为班组。横向上分类管理，法律、HSE、廉洁等各专业管理部门，按照管理职能分工，本着“谁主管谁负责”的原则，对各类专业风险实行分类管理。

2.确定整体思路。紧紧围绕战略目标和年度工作目标，突出价值创造能力，突出效率和有效性，健全和完善风险管理工作机制。按照“整体统筹、分步实施；整分结合，全面推进；突出重点、务求实效；深度融合、形成文化”的总体思路，分阶段、有重点的推进实施。

3.完善运行机制。一是建立情况通报机制。各部门和单位按照阶段工作安排，每季度末将工作进展情况报送风险管理部门，定期通报工作进展情况。风险管理部门在报告模板的设计中注重简单实用，报告编制前分别开展培训和辅导，报告编制过程中加强沟通和交流，促进风险管理总体水平的有效提升。二是建立工作例会机制。每季度召开工作例会，重点通报风险管理工作开展情况，讨论研究工作中发现的各类问题，并对下步工作进行安排部署。通过组织座谈会的形

式，掌握风险管理重点领域（重要业务、重要项目）的现状和工作开展情况，了解专项业务人员对全面风险管理工作的意见和建议，为下一步深层次推进全面风险管理工作打好基础。三是建立过程督导机制。定期对计划安排的各项工作和专项整改问题进行跟踪督导，并将工作进展情况及时通报。为了及时了解各试点单位在开展风险管理工作中采取的措施，工作开展过程中遇到的困难，风险管理部门分别到各单位进行调研，对编制风险管理报告提供针对性的服务和指导。

（二）自下而上广泛开展风险识别

具体做法是：将风险调查问卷发放给业务或项目的关键岗位人员进行填报，描述四种风险事件并估计其发生的概率，分别是责任范围内最担心发生的风险事件、责任外最担心发生的风险事件、最希望发生的正面风险事件、其他有重大影响的风险事件。同时还要识别责任范围内以及其他业务领域在哪些方面最有可能发生负面事件。该方法具备以下特点。

1、突出风险的事件性。“潜在事件”是风险具有的最突出的特征，也就是风险的事件性。与风险相关的事件一定具有“潜在事件性”，是当前没有发生的，可能在未来某一时间点发生的事件。关注风险，必须关注未来可能发生的事件，以及与事件相关的变化，认识风险的“事件性”对风险管理具有重要的实际意义。按照问卷调查的要求，将风险描述为

具体的“潜在事件”，就可以实现对“可能性”和“影响程度”的分析评价，就可以制定具体有针对性的措施进行风险应对，风险管理就可以取得成效。

2、与日常管理的兼容性。日常的内部控制和专业管理已经将风险的类别进行了基本的划分，有制度性的防控措施，而风险的“潜在事件性”概念颠覆了习惯性的认识，初次开展识别难以得到普遍的认同。为此，在调查表中设置了“在哪些方面最有可能发生负面事件？”的问题，直接指向风险类别或领域，以区别于具体的风险事件，进一步强化对于风险概念的认识，同时也有助于和日常管理的衔接。

3、激发风险识别的主动性。调查表要求首先明确开展风险管理所针对的目标，并在最重要的第一个问题中强调“在责任范围内或与责任相关”，将岗位的责任和目标与组织的目标结合起来，充分调动关键岗位人员参与风险管理的和主动性。同时要关注风险的联系性，体现“旁观者清”的作用，发挥专业人员的工作积极性。

4、正确认识风险的两面性。风险可以是负面的也可以是正面的，管理风险不仅要关注负面的不确定因素（威胁），同时也要准确把握正面的不确定因素（机会）。调查表的第三项要求识别正面的风险事件，第四项要求识别影响度高的事件（包括兼具正面和负面的事件），这种新的风险思维，本质上直接将风险管理和价值创造融为一体，因为风险的积

极一面就是价值本身，管理风险不仅仅是使企业免遭损失，而且包括能在风险中抓住发展机遇。

5、广泛的适用性和灵活性

根据受关注程度，拟定调查问卷调查的事件数量。问卷调查法简单易行，具有较广泛的适用性，不同业务或项目都可以根据职责或目标来开展风险识别调查。风险识别的明确指向是风险事件，而非风险类别或是日常工作，强调影响度，即便可能性很小也应该识别。

（三）建立适合于各层级的风险管理基本流程

风险管理基本流程包括：建立环境、风险识别、风险分析、风险应对、风险监控与提示等五个环节。

1．建立环境。建立环境是全面风险管理工作的基础。管理者（承担风险的主要责任人）授权风险管理专职人员开展工作，对承担风险责任（包括非责任事故、意外事件、不

可抗力）作出承诺，明确风险管理目标，确定调查范围、参与人员、工作职责，为风险管理方针制定外部、内部参数。通过建立环境，为全面风险管理工作提供支撑。

2．风险识别。风险识别是发现、辩认和表述风险的过程。为增强风险管理的嵌入性和有效性，着重于识别风险事件和风险类别，主要的识别手段：一是明确工作目标，采用调查问卷风险识别法（附件1）开展调查，参与对象为关键岗位人员。二是专职人员负责整理调查表，初步建立“风险事件汇总表”和“风险分类清单”。

风险事件汇总表

3．风险分析。风险分析是理解风险特性和确定风险等级的过程。风险专职人员组织相关人员讨论，对风险事件库中所有风险事件的发生可能性和影响度进行分析评价，确定重大（重要）风险事件，编制重大风险事件汇总表。对风险分类清单中所有风险类别组织集中评价，采取问卷调查或LEC法，确定风险类别的重要程度，编制高风险领域汇总表。

4．风险应对。风险应对是指根据分析评价结果而制定的规避、降低、转移、承受风险等相应防范计划。对重大重要风险事件要提出风险管理策略，并拟定有针对性的风险解

决方案（包括规避、降低、转移、承受及残余风险的应急处理）。对高风险领域或高风险业务的工作流程进行梳理，对风险管理现状进行诊断（包括已有的相关制度、流程、控制措施的设计和执行情况、存在的问题和缺陷等），明确责任主体和关键节点，制定风险管理策略和措施，开展专项风险管理工作。

5．风险监控与提示。风险监控与提示是风险管理工作的保障。各级风险管理部门负责对同级专业管理部门及所属单位风险管理情况进行监督检查；按照基本流程开展的工作情况，编制风险管理监控报告并动态调整，及时向管理者提示重大风险及其变化，填写风险事件应对监控汇总表。针对重大风险事件和重要风险领域，应用概率和影响度、频率和影响度，绘制风险事件坐标图和风险类别坐标图，对风险大小采用红、黄、绿三色进行标注。

风险应对监控汇总表

（四）落实风险管理责任，强化组织的风险管理。

一个组织的风险管理无论是业务风险还是项目风险，都可以归结为类别管理与事件管理的融合。类别管理侧重于以制度和流程采取常态化的手段进行风险控制，事件管理侧重

于以针对性的有效措施（包括转移、规避）进行风险应对，报告机制有助于上下沟通确定各层级的重大重要风险。

（1）重要风险领域管理

根据日常业务内容和岗位职责，结合工作目标，对不确定因素较多的业务或流程进行类别划分（少则二级，多则三级），编制风险分类清单。根据管理流程和业务分工，在编制风险分类清单的基础上，对不确定性因素较多的重要业务、关键环节进行分析评价，确定风险管理的重要领域，制定风险防控措施，开展专项风险管理工作。

重要风险分类管理清单

（2）重大风险事件的管理

采用调查问卷风险识别法，对重要岗位人员进行风险调查，由风险管理员负责整理，建立风险事件库。对已识别风险的可能性和影响程度进行评价，制定具体的风险应对措施，并动态评估、持续完善。对每一项重大风险拟定有针对性的风险应对方案（包括规避、降低、转移、承受），确定风险预警指标和应急预案，制定风险事件发生前、中、后拟采取

的应对措施以及危机处理计划等。

（3）动态编制风险监控报告

风险管理应是主动的，是组织的内在需求。风险监控报告的主要使用者是编报单位（部门）领导和上一级主管领导，应当为决策者提供重要参考并切实解决实际问题。在组织内部认真查找管理过程中的漏洞、缺陷和薄弱环节，关注错弊易发和事故多发的管理领域，落实风险管理责任（自担或分担、下沉或上转）。风险管理报告主要包括重大风险事件管理和重要风险领域管理两个方面。

（五）风险管理与专项工作有机结合、相互促进

风险管理涉及方方面面，从企业到基层，从战略决策到岗位操作，风险无处不在、无时不在。即便是一个看似微不足道的风险，都有可能导致严重后果，甚至是灾难性后果。这就要求各管理层面、各业务领域，乃至每一位员工，都要根据组织管理职能及个人岗位职责，承担相应风险管理责任。

1、与内部控制有机结合

内部控制是全面风险管理不可分割的一部分，内部控制是一种基于损失最小化的被动式预防管理，注重于在管理政策、组织机构、业务流程等日常经营层面减少不确定性，关注的焦点是信息和决策的质量控制和流程控制及其规范性。风险管理兼具防御性管理和进取性管理的双重特征，寻求风险和机遇的最佳平衡点，更具有外部性、事件性、主动性、

灵活性、低概率、非常规的特征。将风险管理与内部控制进行有机结合，互补互通，减少工作的重复和交叉，提高运行效率。首先，从风险的分类框架的设计上，与内部控制风险清单进行借鉴、引用；其次，在业务流程梳理上，进行优化、整合，减少重复工作；第三，在内控信息系统的应用上，融入风险管理理念，实现风险信息收集、风险评估、风险应对、跟踪监控、风险预警、检查评价与报告等全流程的在线处理。第四，建立与内部控制管理的定期协调沟通机制，不断优化运行流程，提升管理水平。

2、与制度管理有机结合

规章制度作为控制固有风险的有效手段，通过规范业务流程，防范了大部分操作风险，但同时，制度本身的缺陷或执行不到位仍会导致风险事件的发生。如一些制度订立不够科学、严谨，缺乏时效性，可操作性不强；部分制度的约束力和监督力的作用不明显，不能形成有效的常规化工作措施；一些已经不适应形势变化的制度，不能得到及时补充、修改和完善等。针对以上问题，将风险管理嵌入制度管理流程，全面开展制度诊断活动，对现有管理制度进行梳理，收集制度修订建议并研究后采纳实施，完善各领域、各层次的制度流程。

3、与流程管理有机结合

流程管理是企业根据内控和业务管理实际探索出的有效风险控制方法。通过流程梳理可以发现控制点缺失或是否

有效、流程管理是否涵盖全部业务等问题，通过修正流程可以有效控制风险。将风险管理流程嵌入到重要业务流程，可以有效将不确定性适时控制。

三、XXXX风险管控取得的基本经验

1、细化和完善风险管理工作规范是抓好风险管理的基础

细化风险管理的考核方法和标准，建立一体化的风险管理体系，加强风险管理标准化建设，及风险量化指引工作，提高企业的抗风险能力。

2、加强风险管理专业培训和工作经验交流是抓好风险管理的保障。

一是通过举办或组织多种形式的风险管理专业知识培训和教育，提高风险管理工作工作人员的防御风险知识水平和能力，充实风险管理人才队伍，提升风险管理水平。二是加强企业间的风险管理工作经验交流，共同促进风险管理工作的开展。建立企业间的沟通平台，充分吸取各方面经验，探讨不同领域的风险管理。

3、建立信息共享平台，加强专项和专业风险研究，定期发布风险预警，是抓好风险管理的主要抓手。

XXXX公司将风险管理和内部控制工作有机融合，减少企业管理成本，提高管理效率。对风险管理与内部控制工作，由同一部门牵头负责，统一管理，统一要求，使风险管理和

内部控制成为一个体系。开展重大共性风险事项的研究与预警提示，建立风险预警机制，对各单位可能面临的重大风险给与提示和建议，建立风险量化标准，对风险管理与内部控制管理体系的有机融合进行指导。

三、XXXX风险管控的实施效果

通过风险防控体系的研究构建与深入实施，风险防控体系建设成果得到持续应用，建立了成果应用的事项反馈机制和动态跟进机制，对于在成果应用中发生的新情况、新问题、新风险源及时掌握和跟进，并据此对风险管理体系进行完善更新，确保风险防控体系研究成果能够长期、持续、有效发挥作用。具体表现为：

（一）提高了企业应对和化解法律风险的能力

通过风险防控体系的构建与实施，某公司应对和化解石油工程项目法律风险的能力得到了大幅度的提升。风险防控体系的构建与实施使得真正面对风险的相关专业领域的一线人员对于本岗位和本专业工作过程中可能发生的风险有了一个系统、全面、感性的认识，奠定了石油工程项目安全稳定运作的基础，实现了至下而上的纵向应对化解风险的能力，为公司事业持续有效和谐发展提供了有力的保障。

（二）提高了风险防控水平和国际化管理水平

风险防控体系的构建与实施是我公司落实国资委和集团公司风险管理工作的重要举措，这一举措实现了风险的源

头防范和控制，对于从根本上提高了公司管理工作水平，对提升公司国际竞争力和保障能力起到了重要作用。

（三）提高了企业资产安全保障水平和效益水平

公司风险防控体系对于防范和控制项目实施工程中风险起到了积极作用，使公司相关专业领域的纠纷发生数量大幅下降，公司在处理和解决纠纷上的成本大大降低，为公司实现降本增效和资产安全提供了有力的保障，从而使公司境外整体效益得到了有效提升。

2014年以来，该成果在公司22个分支机构正在实施的工程项目推广应用，防控风险事件7类计54项，创效1680多万元人民币。风险防控体系受到集团公司有关领导和专家的一致好评。