湖北久之洋红外系统股份有限公司

风险管理规定

第一章总则第一条为加强湖北久之洋红外系统股份有限公司（以下简称“公司”）防范化解重大风险的能力，提高风险管理水平，促进管理能力提升，保障公司高质量发展，根据《中央企业全面风险管理指引》（国资发改革〔2006〕108号）、《关于加强中央企业内部控制体系建设与监督工作的实施意见》（国资发监督规〔2019〕101号）《中国船舶集团有限公司风险管理办法》（中船政法〔2021〕45号））等上级单位风险管理规范性文件要求，结合公司实际，制定本规定。

第二条本规定属于公司级基本制度,适用于公司及控股子公司的风险管理工作。

第三条公司开展风险管理应当遵循全面性、系统性、重要性、经济性、制衡性原则：

（一）全面性原则。风险管理应当贯穿决策、执行、监督和反馈等各个环节，覆盖公司及控股子公司的各种业务和事项，确保无风险管理漏洞。

（二）系统性原则。风险管理应考虑风险因素之间的相关性及相互影响，不能孤立地看待风险发生的可能性及其发生后的影响，注意风险转化和融合，以全局意识系统地管理风险。

（三）重要性原则。风险管理应当在全面管理的基础上，突出对重要业务事项和高风险领域的有效管控。

（四）经济性原则。风险管理应当考虑管理成本和风险成本的匹配，做好成本与预期效益的权衡，以合理的成本降低风险，实现风险管理目标。

（五）制衡性原则。风险管理及内部控制应当在公司治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。

第四条风险管理按照“分级管理、业务结合、突出重点、注重实效”的原则，实行公司、控股子公司两级管理模式。

第五条公司及控股子公司应注重培育风险管理文化，将风险管理积极融入企业文化建设，增强全体员工风险管理意识，树立正确的风险管理理念，董事和高级管理人员应在培育风险管理文化中起表率作用。公司各部门及各控股子公司要加强风险管理理念、制度、方法及风险典型案例的宣贯，加强风险管理人才培养，对重要管理及业务流程、风险控制点的管理人员和业务操作人员进行岗前风险管理培训。

第二章定义和说明

第六条本规定所称风险，是指公司在高质量发展过程中面临的各种不确定性对实现经营目标的影响，一般分为战略风险、财务风险、市场风险、运营风险、法律风险五大类

（企业风险分类参考标准见附1）。

（一）战略风险是指未发生的、公司在追求战略目标过程中，由于内外部环境的不确定性、复杂性和动态性，导致战略决策失误、战略执行偏差或战略调整不及时，从而影响公司实现战略目标的可能性及由此产生的损失；

（二）财务风险是指由于各种难以预料或无法控制的不确定性因素，使在一定时期、一定范围内获取的财务收益与预期收益发生偏差的可能性；

（三）市场风险是指由于面临的外部市场复杂性和变动性带来的与市场经营相关的风险；

（四）运营风险是指在运营过程中，由于内外部环境复杂性和变动性以及主体对环境的认知能力和适应能力的有限性，导致运营失败或使运营活动达不到预期目标，或者造成损失的可能性；

（五）法律风险是指在经营过程中没有全面、认真执行国家法律、法规和政策规定以及深圳证券交易所有关文件的规定，影响合规性目标实现的因素造成损失的可能性。

第七条本规定所称风险管理，是指公司围绕高质量发展总体战略目标，通过在经营管理过程中的各个环节执行风险管理的基本流程，建立健全风险管理体系，为实现风险管理总体目标提供合理保证的过程和方法。

第八条按照风险发生的可能性和风险的影响程度，将风险分为重大风险和一般风险。

（一）重大风险是指具有一定发生可能性且一旦发生将给公司整体发展战略部署和实施、生产经营带来严重影响的风险。

（二）一般风险是指除重大风险外的其他风险。

第九条本规定所称重大经营风险事件，是指公司及控股子公司在生产经营过程中发生的，对国家安全和社会稳定、控股股东、公司及控股子公司生产经营具有重要影响的，造成或很可能造成安全环保事故、资产损失、单位声誉受损等后果，且按照有关规定应当上报的风险事件。

第十条五大风险归口管理部门：根据公司组织机构设置和部门职责，战略管理、财务管理、市场管理、计划管理、法律事务的总归口管理部门，分别是战略风险、财务风险、市场风险、运营风险、法律风险的归口管理部门。

第三章风险管理组织体系及职责分工

第十一条公司的风险管理组织体系包括以下“三道防线”：

（一）第一道防线：公司各业务部门及控股子公司是其业务领域风险管理的第一道防线，对相关业务风险的管理负有直接责任，在实现战略目标和经营任务的过程中，应及时识别、分析、评估风险并主动管理风险，及时报告重大风险。

（二）第二道防线：公司风控委员会（构成及职责详见下文第十五条）是风险管理的第二道防线，负责五大风险管

理的统筹、组织、协调和规划，并对第一道防线的风险管理开展情况进行实时监控。

（三）第三道防线：董事会及下设审计与风险委员会是风险管理的第三道防线，对公司重大风险管理及风险管理体系的有效性进行测评或审计，实施独立监督。

第十二条公司董事会发挥“定战略、作决策、防风险”的作用，就风险管理工作的有效性向股东负责，履行以下职责：

（一）领导公司风险管理工作，统筹风险管理体系的建设和有效实施；

（二）批准风险管理组织机构设置及其职责方案；

（三）批准公司风险管理基本制度；

（四）批准公司的风险管理总体目标、风险偏好、风险承受度、风险管理策略和重大风险解决方案；

（五）批准风险管理相关报告；

（六）批准重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

（七）批准风险管理措施，纠正和处理任何组织或个人超越风险管理制度做出的风险性决定的行为；

（八）了解和掌握公司面临的各项重大风险及其风险管理现状，做出有效控制风险的决策；

（九）风险管理其他重大事项。第十三条董事会下设的审计与风险委员会在董事会

授权范围内，指导公司风险管理工作，为董事会重大决策提供建议，履行以下职责：

（一）指导公司风险管理体系的建设，督导公司风险管理体系的有效运行；

（二）审议风险管理组织机构设置及其职责方案；

（三）审议公司风险管理基本制度；

（四）审议公司风险管理相关报告；

（五）审议重大决策、重大风险、重大事件和重要业务流程的判断标准或机制，以及重大决策的风险评估报告；

（六）董事会授权的其他风险管理事项。

第十四条公司董事长是风险管理第一责任人，负责组织领导建立健全公司风险管理体系。各分管领导具体负责分管领域风险管理工作，督促将风险管理要求融入日常经营管理活动。

第十五条公司设立风控委员会，作为风险管理工作的领导机构，风控委员会主任由董事长担任、常务副主任由首席合规官担任、副主任由公司经理层人员担任，其他成员由五大风险归口管理部门负责人以及内审部门负责人组成，履行以下职责：

（一）研究提出风险管理工作报告；

（二）研究提出跨职能部门的重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制；

（三）研究提出跨职能部门的重大决策风险评估报告；

（四）研究提出风险管理策略和跨职能部门的重大风险管理解决方案，并负责该方案的组织实施和对该风险的日常监控；

（五）负责对风险管理有效性评估，研究提出风险管理的改进方案；

（六）组织协调风险管理日常工作；

（七）负责指导、监督有关职能部门、各业务单位以及控股子企业开展全面风险管理工作；

（八）督导企业风险管理文化的培育；

（九）风险管理其他重大事项。第十六条公司风险管理职能部门作为风险管理工作的牵头机构，在风控委员会的领导下开展工作。履行以下职责：

（一）拟定风险管理体系建设方案，牵头风险管理制度建设；

（二）拟定风险管理组织机构设置及其职责方案；

（三）建立风险评估、预警、管控、考核、报告及应急处理机制；

（四）组织收集和建立典型风险数据库；

（五）推动控股子公司风险管理机构及人才队伍建设，推动开展风险管理培训工作；

（六）负责风险管理其他有关工作。第十七条五大风险归口管理部门履行以下职责：

（一）负责制订归口风险管理配套制度及归口风险管理年度工作计划，并按要求报风控委员会；

（二）研究制订归口管理风险的判断标准；

（三）组织公司各业务部门及控股子公司开展归口管理的信息收集、风险评估、风险管理等工作，并把关、监测风险管理情况；

（四）加强归口管理的重大风险管控，建立风险台账，组织制订重大风险管理策略和解决方案，对重大风险及其进展情况进行跟踪监测，将异常情况及时上报风险管理职能部门；

（五）撰写归口管理的重大经营风险事件报告、年度风险管理报告，按要求报送风险管理职能部门。

第十八条公司各业务部门是风险管理的主责部门，按照“业务工作谁主管，风险管理谁负责”的要求，负责本部门业务涉及的风险管理工作。主要职责包括：

（一）落实风险管理分解任务，对本部门所属业务领域的风险开展初始信息收集、风险评估、风险解决方案制定和执行等管理工作；提出年度重大风险预测；

（二）对本部门所属业务领域的重大风险，制定风险管理措施和解决方案，科学设置监控指标并负责组织实施、日常监控和及时上报五大风险归口管理部门；

（三）接受五大风险归口管理部门对本部门风险管理工作的组织、协调、检查和业务指导；

（四）明确本部门风险管理专员，推进风险管理工作；

（五）充分识别可能的机遇，制定并落实机遇的应对措施；

（六）负责本部门风险和机遇管理的其他事项。

第十九条公司内审部门是风险管理的监督部门，依据公司内部审计有关制度对公司及所属企业经营管理过程中的重大风险管理及风险管理体系的有效性实施独立审计监督，督促落实相关问题的整改工作。

第二十条控股子公司作为公司风险管理要求的执行落实主体，主要职责包括：

（一）贯彻落实公司风险管理制度，建立健全本单位风险管理工作长效机制；

（二）制定本单位年度风险管理工作计划；

（三）系统开展风险和机遇评估及管控工作，开展本单位业务涉及风险和机遇的识别、应对、报告、监测工作；

（四）研究并提出本单位的风险判断标准，全面系统加强重大风险的管控；

（五）接受母公司对本单位风险管理工作的组织、协调、检查和业务指导；

（六）编制并按要求上报重大经营风险事件报告、风险管理年度报告；

（七）负责执行或落实上级单位风险管理的各项要求，开展本单位风险管理所需的其它工作。

第四章风险管理的流程和要求

第一节风险管理的基本流程第二十一条根据经营管理实际确定风险管理的重点内容，保证重大风险防控不遗漏。公司重点管理的风险包括但不限于战略风险、市场风险、财务风险、运营风险、法律风险等五大风险。

第二十二条风险管理的基本流程包括：

（一）收集、识别风险管理相关的初始信息；

（二）进行风险评估（包括风险辨识、分析、评价）；

（三）制定并实施风险管理策略和解决方案；

（四）风险监控、预警和报告；

（五）风险管理的监督和改进。

第二节风险信息收集第二十三条公司广泛、持续不断地收集与公司风险和风险管理相关的内部、外部初始信息，包括历史数据和未来预测，应把收集初始信息的职责分工落实到各部门及各单位。

第二十四条战略风险方面，广泛收集国内外企业战略风险失控导致公司蒙受损失的案例，并收集公司相关的宏观经济政策、技术环境、市场需求、竞争状况等方面的重要信息，重点关注本公司发展战略和规划、投融资计划、年度经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据。

第二十五条财务风险方面，广泛收集国内外企业财务

风险失控导致危机的案例，收集公司获利能力、资产营运能力、偿债能力、发展能力指标的重要信息，重点关注成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节。

第二十六条市场风险方面，广泛收集国内外企业忽视市场风险、缺乏应对措施导致企业蒙受损失的案例，收集公司产品价格、供需变化、原材料等物资供应、竞争对手、税收政策、利率、汇率、主要客户和供应商等方面的重要信息。

第二十七条运营风险方面，收集公司产品结构、产品研发、市场营销、组织效能、人力资源、质量管理、安全环保等方面的重要信息，对现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进情况，分析公司风险管理的现状和能力。

第二十八条法律风险方面，广泛收集国内外企业忽视法律法规风险、缺乏应对措施导致企业蒙受损失的案例，收集公司法律环境、员工道德、重大协议合同、重大法律纠纷案件等方面的信息。

第二十九条公司对收集的初始信息应进行必要的筛选、提炼、对比、分类、组合，以便进行风险评估。

第三节风险识别与评估

第三十条公司对收集的风险相关的初始信息和公司各项业务管理及其重要业务流程进行风险识别与评估。

第三十一条公司识别内部风险，主要关注下列因素：

（一）董事及高级管理人员的职业操守、员工专业胜任能力等人力资源因素；

（二）组织机构、经营方式、资产管理、业务流程等管理因素；

（三）研究开发、技术投入、信息技术运用等自主创新因素;

（四）财务状况、经营成果、现金流量等财务因素;

（五）营运安全、员工健康、环境保护等安全环保因素;

（六）其他有关内部风险因素。

第三十二条公司识别外部风险，主要关注下列因素:

（一）经济形势、产业政策、融资环境、市场竞争、资源供给等经济因素;法律法规、监管要求等法律因素；

（二）安全稳定、文化传统、社会信用、教育水平、消费者行为等社会因素;

（三）技术进步、工艺改进等科学技术因素；

（四）自然灾害、环境状况等自然环境因素;

（五）其他有关外部风险因素。

第三十三条公司根据风险发生的可能性及其影响程度，采取定性与定量相结合的方法，对识别的风险进行分析和排序，确定重点关注和优先控制的风险，并在考虑风险关联性的基础上，审慎评估面临的总体风险水平。

第三十四条风险评估包括风险辨识、风险分析、风险评价三个步骤。

（一）风险辨识是指查找公司各业务单元、各项重要经营活动及其重要业务流程中有无风险、有哪些风险。风险辨识应与内部控制体系的基本要求结合开展。

（二）风险分析是对辨识出的风险及其特征进行明确的定义描述，分析和判断风险发生可能性的高低、风险发生的条件、风险发生后的影响及范围等。

（三）风险评价是评估风险对公司实现目标的影响程度、风险的价值等。

第三十五条公司根据需要定期或不定期开展风险评估工作，风险评估应采取定性与定量相结合的方法。

（一）定性方法可采用问卷调查、集体讨论、专家咨询、情景分析、政策分析、行业标杆比较、管理层访谈、由专人主持的工作访谈和调查研究等。

（二）定量方法可采用统计推论、计算机模拟、失效模式与影响分析、事件树分析等。

第三十六条公司应根据风险发生可能性的高低、对经营目标影响程度的大小、公司自身的风险承受度等要素，对每次风险评估的结果区分风险等级，明确风险分布。判断标准如下：

（一）风险发生的可能性判断

风险发生可能性可从一定时期发生的概率和频率等维度判断。

（二）对经营目标影响程度的判断

风险发生后对经营目标的影响可从公司财务损失占税前利润的比重、对公司日常运行的影响程度、对公司声誉的影响程度等维度判断。

第四节风险监测和报告

第三十七条五大风险归口管理部门负责对各自领域的风险监控指标进行监测、分析，出现异常或报警信息时，及时向公司分管领导报告，并向风险管理职能部门报备。

第三十八条风险管理职能部门定期汇总、分析风险监控情况，出现重要异常或报警信息时，及时向风控委员会报告。

第三十九条风险管理职能部门负责组织五大风险归口管理部门及相关部门、专家，确定公司的风险承受度，制订公司层面的风险发生可能性和风险影响程度的参考标准（内容见附2），并根据实际情况适时调整。

第四十条公司一旦发生《湖北久之洋红外系统股份有限公司重大经营风险事件报告管理实施细则》中列举的重大经营风险事件，应按照办法中有关规定及时向公司风控委员会报告。风控委员会视风险程度及时向公司决策机构汇报，积极妥善应对，并协同完成向上级单位上报工作。

第五节风险管理策略

第四十一条公司应当根据风险分析的结果，结合风险发生的原因以及承受度，权衡风险与收益，选择风险应对策略包括：规避风险、接受风险、减少风险或分担风险。

（一）规避风险：指公司对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失的对策。如停止向一个新的地理区域市场扩大业务，或者出售公司的一个分支。

（二）减少风险：指公司在权衡成本效益之后，准备采取适当的控制措施降低风险或者减轻损失，将风险控制在风险承受度之内的对策。

（三）分担风险：指公司准备借助他人力量，采取业务分包、购买保险等方式和适当的控制措施，将风险控制在风险承受度之内的对策。

（四）接受风险：指公司对风险承受度之内的风险，在权衡成本效益之后，不准备采取控制措施降低风险或者减轻损失的策略。

第四十二条公司在确定具体的风险应对方案时，应考虑以下因素：

（一）风险应对方案对风险可能性和风险程度的影响，风险应对方案是否与公司的风险容忍度一致；

（二）对方案的成本与收益比较；

（三）对方案中可能的机遇与相关的风险进行比较；

（四）充分考虑多种风险应对方案的组合；

（五）合理分析、准确掌握董事、经理及其他高级管理人员、关键岗位员工的风险偏好，采取适当的控制措施，避免因个人风险偏好给企业经营带来重大损失；

（六）结合不同发展阶段和业务拓展情况，持续收集与风险变化相关的信息，进行风险识别和风险分析，及时调整风险应对策略。

第六节风险管理解决方案

第四十三条公司根据风险应对策略，针对各类风险或每一项重大风险制定风险管理解决方案。方案一般应包括风险解决的具体目标，所需的组织领导，所涉及的管理及业务流程，所需的条件、手段等资源，风险事件发生前、中、后所采取的具体应对措施以及风险管理工具。

第四十四条根据经营战略与风险策略一致、风险控制与运营效率及效果相平衡的原则，公司制定风险解决的内控方案，针对重大风险所涉及的各管理及业务流程，制定涵盖各个环节的全流程控制措施；对其他风险所涉及的业务流程，要把关键环节作为控制点，采取相应的控制措施。

第四十五条公司制定合理、有效的内控措施，包括以下内容：

（一）不相容职务分离控制；

（二）授权审批控制；

（三）会计系统控制；

（四）财产保护控制；

（五）预算控制；

（六）运营分析控制；

（七）绩效考评控制；

（八）审计检查控制；

（九）重大风险预警控制。第四十六条公司各部门应按职责分工认真组织实施风险管理解决方案，确保各项措施落实到位。

第七节风险管理的监督与改进第四十七条公司建立贯穿于整个风险管理的基本流程，连接各上下级、各职能部门和各单位的风险管理信息沟通渠道，确保信息沟通的及时、准确、完整，为风险管理监督与改进奠定基础。

第四十八条公司各职能部门应定期对风险管理工作进行自查和检验，及时发现缺陷并改进，其检查、检验报告应及时报送公司风险管理职能部门。

第四十九条公司内控审计部门定期或不定期对各职能部门和各单位能否按照有关规定开展风险管理工作及其工作效果进行监督评价，监督评价报告应直接报送董事会或董事会下设的审计与风险委员会。

第五章附则

第五十条本规定未尽事宜，依据国家法律、行政法规、部门规章、其他规范性文件及《公司章程》的有关规定执行。若本规定与日后国家新颁布的法律法规、中国证监会、深交所新发布的规定有冲突的，冲突部分以国家法律法规及中国证监会、深交所最新发布的规定为准，公司将及时对本规定

进行相应修订。

第五十一条本规定由公司董事会负责解释。第五十二条本规定经公司党委会前置研究、董事会审议通过后生效并实施。

附：1.企业风险分类参考标准

2.风险发生可能性和影响程度标准参考

附1

企业风险分类参考标准

一级风险

附2

风险发生可能性和影响程度标准参考

风险名称

目标实现影响

备注：

1.风险评价分值=风险发生可能性（A）*风险影响程度（B）。风险影响如果涉及了合规影响、财务影响、安全影响、经营目标实现影响、声誉影响中的两类或多类时，取影响分值的最高值。

2.风险评价等级：根据风险评价分值来设置风险评价等级，其中风险评价分值在1分-15分（含）之间的为一般风险，分值在15分以上的为重大风险。