成都市兴蓉环境股份有限公司

风险防控管理制度（经2023年4月24日公司第九届董事会第三十三次会议审议通过）

第一章 总则第一条 为建立规范、有效的风险管理体系，增强成都市兴蓉环境股份有限公司（以下简称：公司）风险防控能力，促进公司持续、健康、稳步发展，根据国家法律法规，参照《中央企业全面风险管理指引》等文件，结合公司实际，制订本制度。

第二条 本制度所称“风险”是指未来的不确定性对公司实现经营目标的影响，包括纯粹风险（只带来损失一种可能性）和机会风险（带来损失和盈利的可能性并存）。

第三条 本制度所称“风险管理”是指围绕公司总体经营目标，从公司决策层、经营管理层、各部门到普通员工，通过建立健全风险管理体系，执行风险管理基本流程，培育风险管理文化，为实现风险管理总体目标提供合理保证的过程和方法。

第四条 公司将所有子公司纳入风险管理体系，全资、控股子公司应根据公司风险管控要求和制度，建立适合本企业的具体管理办法，并报公司备案。公司向参股子公司派出的股东代表、董事、监事应切实履行相关风险管理职责。

第二章 风险管理的理念、原则及目标

第五条 公司实行稳健的风险管理理念，谨慎介入高风险业务领域。

第六条 风险管理工作遵循的原则

（一）全面管理与重点防控相结合。企业风险管理应覆盖改革发展和经营管理过程中所面临的各种风险，并对其中关键风险实施重点管理。

（二）分级分类管理。公司本部以管理系统性、组合性重大风险为主，并根据不同种类的风险特点实施分类管理，由相应职能部门负责具体管理。各子公司分别负责管理本单位面临的风险。

（三）领导主抓与全员参与相结合。公司本部及各子公司各级管理人员、全体员工都要把风险管理融入岗位职责，把防控风险贯彻落实到分管业务各领域和岗位工作全过程。

（四）可知、可控、可承受。公司应对风险进行事前预测，做到风险可知，通过分析、评估并制定切实可行的风险应对方案加以防范控制，将风险降至可承受范围之内。

（五）管业务必须管风险。公司本部各职能部门和各子公司是风险管理的责任主体，对具体业务风险的管理情况负直接责任。

（六）持续改进，动态适应。风险管理要主动适应公司内、外部环境变化，动态研究风险防控方案，持续完善风险管理体系。

第七条 风险管理的总体目标

（一）确保将风险控制在与总体经营目标相适应并可承受的范围内；

（二）确保公司各项经营活动遵守国家法律法规和公司各项规章制度，保证企业依法合规运行；

（三）确保公司内外部真实可靠的信息沟通，为公司决策层提供有效的决策信息，保障经营管理目标的实现；

（四）通过建立风险应对机制，防范公司因风险或危机而遭受重大损失；

（五）树立全员参与风险管理的意识，形成良好的企业风险管理文化。

第三章 风险管理组织体系与职责第八条 公司风险管理组织体系包括三个层级：第一层级为公司决策层、经营管理层，包括公司党委会、董事会、总经理办公会、董事会下设专门委员会、公司高管、各专业联席会议平台等；第二层级为公司各业务归口管理部门；第三层级为各子公司。公司法务风控部为公司风险防控归口管理部门，综合协调风险管理相关工作。

第九条 公司决策层、经营管理层职责及时掌握公司投资事项风险及日常经营中的重大风险情况，对公司风险管理工作进行指导和协调，并依据“三重一大”制度、决策会议事规则、领导职责分工及各专业联席会议制度等文件对公司投资事项风险及日常经营中的重大风险或疑难风险事项进行研究并确定应对方案。

第十条 公司法务风控部职责

（一）建立健全公司风险管理基本制度和体系；

（二）负责公司本部法律风险信息的收集与分析，建立健全法律风险管理机制；

（三）评估公司风险管理总体工作的有效性，研究提出改进建议，向公司管理层报告；

（四）督促并配合各部门建立健全业务风险管理机制，协助其开展业务风险识别、分析及风险管理工作，并对各单位风险管理工作进行监督和检查；

（五）指导、监督各子公司风控管理相关工作，定期汇总公司各部门、各子公司风险管理台账，同时负责每季度将中等及以上风险情况汇总报送，建立公司风险信息库，组织开展风险管理检查，督促整改和持续改进；

（六）其他风险管理事项。

第十一条 按照“管业务必须管风险”的原则，公司各部门按照职责分工负责本业务系统风险管理工作。主要职责包括：

（一）执行公司风险管理制度及要求，建立部门风险管理台账，定期报公司法务风控部汇总；

（二）负责本部门风险及风险管理的内部、外部初始信息的收集、识别、分析评估及应对工作，对风险应对效果进行动态评价，及时优化、调整风险应对方案；

（三）建立完善部门业务风险管控措施，建立健全业务风险分级管理机制，按需制定风险应急预案；

（四）负责本业务系统相关风险的监控、预警，指导子公司开展业务系统内风险信息的收集、识别、分析工作；

（五）监督、指导子公司实施本业务系统内风险应对工作，对子公司风险应对有效性进行评价，督促其风险管理问题的整改。

第十二条 内部审计部在各相关审计项目实施过程中对被审计对象的风险应对有效性进行审计，并将审计发现的风险管理问题通报法务风控部。纪检监察室依据工作职责对公司风险管理进行监督。

第十三条 各子公司职责

各子公司是公司风险防控的责任主体，应建立风险管理办法及风险管理台

账，负责本公司各类风险的收集、识别、分析评估及应对工作，对风险应对效果进行动态评价，及时优化、调整风险应对方案，决策处置权限范围内风险事项，遇到应对困难的重大风险或疑难风险，应及时向公司汇报。

第四章 风险分类及风险分级第十四条 风险类型风险类型主要分为6类：战略投资风险、财务风险、市场风险、运营风险、法律风险、其它风险。

第十五条 各单位应广泛、持续不断地收集与公司风险和风险管理相关的内部、外部初始信息，包括历史数据和未来预测。

（一）在战略投资风险方面，应重点关注并收集本企业的以下重要信息：

1. 国内外宏观经济政策以及经济运行情况、本行业状况、国家产业政策等；

2. 科技进步、技术创新的有关内容；

3. 营商环境，市场对本企业产品或服务的需求；

4. 与企业战略合作伙伴的关系，未来寻求战略合作伙伴的可能性；

5. 本企业主要客户、供应商及竞争对手的有关情况；

6. 与主要竞争对手相比，本企业实力与差距；

7. 本企业发展战略和规划、投融资计划、年度经营目标、经营战略，以及编制这些战略、规划、计划、目标的有关依据；

8. 本企业对外投融资流程中曾发生或易发生错误的业务流程或环节。

（二）在财务风险方面，应重点关注并收集本企业的以下重要信息(其中有行业平均指标或先进指标的，也应尽可能收集)：

1. 负债、或有负债、负债率、偿债能力；

2. 现金流、应收账款及其占销售收入的比重、资金周转率；

3. 产品存货及其占销售成本的比重、应付账款及其占购货额的比重；

4. 生产成本和管理费用、财务费用、营业费用；

5. 投资收益估算、盈利能力；

6.投资估算、成本核算、资金结算和现金管理业务中曾发生或易发生错误的业务流程或环节；

7.与本企业相关的行业会计政策、会计估算等信息。

（三）在市场风险方面，应重点关注并收集与本企业相关的以下重要信息：

1．产品或服务的价格及供需变化；2．原材料、配件等物资供应的充足性、稳定性和价格变化；3．主要客户、主要供应商的信用情况；4．合同对方的履约能力；5．税收政策和利率、汇率、股票价格指数的变化；6．潜在竞争者、竞争者及其主要产品、替代品情况。

（四）在运营风险方面应重点关注并收集与本企业、本行业相关的以下信息：

1. 产品结构、新产品研发；

2. 新市场开发，市场营销策略，包括产品或服务定价与销售渠道，市场营销环境状况等；

3. 企业组织效能、管理现状、企业文化，高、中层管理人员和重要业务

流程中专业人员的知识结构、专业经验；

4. 质量、安全、环保、信息安全等管理中曾发生或易发生失误的业务流程或环节；

5.项目建设及运营中曾发生或易发生失误的流程或环节；

6. 项目建设工期、质量、内外部环境等与预期值的偏差；

7. 因企业内、外部人员的道德或执业风险致使企业遭受损失或业务控制系统失灵；

8. 给企业造成损失的自然灾害以及除上述有关情形之外的其他纯粹风险；

9. 对现有业务流程和信息系统操作运行情况的监管、运行评价及持续改进能力；

10. 企业内控、合规、风险管理的现状和能力。

（五）在法律风险方面，应重点关注并收集与本企业相关的以下信息：

1. 国内外与本企业相关的政治、法律环境；

2. 影响企业的法律法规和政策；

3. 员工道德操守的遵从性；

4. 本企业签订的重大协议；

5. 本企业发生重大法律纠纷案件的情况；

6. 企业投资、生产运营各环节的合法合规性；

7. 企业和竞争对手的知识产权情况。

第十六条 风险等级

原则上将风险划分为轻微风险、一般风险、中等风险、重大风险共四个

等级。

第十七条 风险等级划分规则各单位应运用风险等级划分矩阵法（附件1），通过对风险发生的可能性和风险影响程度进行分析评估，对照风险分级矩阵图对风险等级进行综合判定。

第五章 风险管理基本流程第十八条 风险管理基本流程（附件2）：

（一）收集、识别风险信息；

（二）开展风险分析与评估；

（三）制定风险应对方案；

（四）落实风险应对方案，对风险应对效果进行动态评价，及时优化、调整风险应对方案；

（五）风险消除。

第十九条 收集风险管理初始信息

各单位应广泛、持续地收集与本部门业务相关的风险信息，对风险信息进行识别、分析，建立并不断完善业务风险清单，并对其真实性负责。

第二十条 识别风险

各单位应结合各类风险应重点关注的各项信息，查找各业务单元、各项重要经营活动及重要业务流程中有无风险，有哪些风险，并将所识别的风险列入风险管理台账（附件3）。

各单位应对识别风险进行编号，编号规则为：公司简称首字母+部门简称首字母+风险类型首字母+年份+序号。（例：兴蓉环境项目部运营风险：

XRECXMYYFX-2023001）

第二十一条 风险分析与评估

风险分析与评估是通过对风险重要信息进行必要的筛选、提炼、组合后对所识别的风险进行明确的定义，对风险发生的背景及触发条件进行描述，参考各类风险重要信息对风险类型、风险发生可能性、风险影响程度、风险等级等进行判断。

第二十二条 制定风险应对方案

各单位应根据自身条件、经营特点和外部环境，围绕企业发展战略和经营目标，结合公司的风险偏好、风险承受能力并权衡收益等因素，在进行风险评估基础上，制定风险应对方案，并按照业务管理制度或相关应急预案做好风险应对工作。

第二十三条 风险应对主要包括规避风险、控制风险和接受风险三类。

（一）规避风险是指对超出风险承受度的风险，通过放弃或者停止与该风险相关的业务活动以避免和减轻损失；

（二）控制风险是指在权衡成本收益之后，准备采取适当的控制措施（包括风险转移、风险转换、风险对冲和风险补偿等）降低风险或者减轻损失，将风险控制在风险承受度之内；

（三）接受风险是指对于风险承受度之内的风险，在权衡成本收益之后，同意接受该风险。

第二十四条 风险应对工作原则上由业务部门按照风险应对方案牵头组

织实施，其他相关部门配合；必要时，可以聘请第三方中介机构参与风险分析评估及应对。

第二十五条 出现应对困难的重大风险或疑难风险时，公司业务部门或子公司应及时向公司相关领导汇报，组织相关单位专题研究，及时优化、调整风险应对方案；或按照业务管理制度报公司相关专业联席会议平台研究讨论；若按照公司“三重一大”制度规定，该事项需上公司决策会审议，待审议通过后执行。

第二十六条 风险事项消除后，各单位应及时总结应对经验，完善业务风险清单。

第六章 监控、预警与报告

第二十七条 各部门应根据职责分工，建立业务风险防控措施，健全分级管理机制，保证重大风险防控不遗漏；对业务范围内风险情况进行实时监控，及时预警，对子公司风险应对进行监督指导。

第二十八条 各部门应按需制定应急处置预案，根据实际情况对预案及时优化、调整，指导子公司做好本业务风险管理的自查和检验，发现缺陷及时改进。

第二十九条 定期报告程序

公司各部门、各子公司每季度将中等及以上新增风险及前期风险应对情况逐级报公司法务风控部，公司法务风控部对全公司风险管理台账进行汇总、分析，更新公司风险信息库。

公司法务风控部按照风险类型筛选子公司风险送达至公司相应业务归口管理部门，由业务管理部门督促并指导子公司风险应对工作。同时，关注重大

风险情况，协同业务部门对重大风险应对情况进行动态评价，并将重大风险情况向公司相关领导汇报。第三十条 风险评估报告公司各部门、各子公司应对以下事项单独出具风险评估报告：

1.拟上公司董事会审议的投资事项；

2.公司日常经营中的重大风险事项；

3.公司重点投资建设项目过程风险事项；

4.公司领导或公司法务风控部认为有必要出具风险评估报告的其它事项。拟上公司董事会审议的投资事项风险评估报告应在上会前4个工作日会同议题材料报公司法务风控部审核；企业日常经营中的重大风险事项及企业重点投资建设项目过程风险事项，每年6月、12月形成阶段性风险评估报告报公司法务风控部审核备案。风险评估报告应包含背景情况介绍、风险分析与评估、风险应对方案，风险应对建议等几方面内容。必要时也可聘请有资质、信誉好、风险管理专业能力强、经验丰富的中介机构协助编制。

第七章 风险文化培育第三十一条 公司各级领导人员和全体员工要牢固树立风险意识，强化以风险管理为导向的经营发展理念，将风险管理贯穿于经营管理的全过程，内化为自觉行动。

第三十二条 各单位要进一步将风险管理理念融入企业文化，培育具有自身特色的风险管理文化。

第三十三条 各单位要加强风险管理理念、风险管理方法、风险管理制

度体系和风险典型案例的宣传，大力营造良好的风险管理氛围。

第八章 监督检查与问责第三十四条 公司法务风控部负责对业务部门、各子公司执行风险管理制度情况，风险管理工作开展的规范性和有效性进行检查及评估，提出调整和改进建议，并将检查结果纳入年度考核范畴。

第三十五条 检查形式公司本部、公司二级子公司须对本公司业务部门及下级公司风险管理工作进行每年一次的定期检查及不定期的专项检查。检查工作由各级单位风险归口管理部门牵头，审计部门、纪检监察部门等共同组成检查小组，采取抽查复核和被检查单位自查等方式进行。

第三十六条 纪检监察室及内部审计部按照职能职责对各单位风险管理进行监督与审计，对违规违纪问题，按《违规经营投资责任追究管理办法》等制度处理；涉嫌违法的，移交司法机关依法处理。

第九章 附则

第三十七条 各业务归口管理部门要完善业务领域的风险管理具体措施或管理办法，层层落实风险管理职责、增强风险管理的可操作性和规范性，相关文件报公司法务风控部备案。

第三十八条 本制度由公司法务风控部负责解释。

第三十九条 本制度经公司董事会审议通过后，自印发之日起执行。

成都市兴蓉环境股份有限公司

董事会

2023年4月25日

附件1

风险等级划分矩阵法

风险等级的判定，主要依据风险发生的可能性（表一）和风险影响程度（表二），对照风险等级矩阵图（表三）进行综合判定，从低到高依次划分为轻微风险（蓝色）、一般风险（黄色）、中等风险（橙色）、重大风险（红色），共四个等级。

表一 风险发生可能性量化表

表二 风险影响程度量化表

表三 风险等级矩阵图

附件2

注：1.编号规则：公司简称首字母+部门简称首字母+风险类别首字母+年份+序号。

2.风险分析与评估应参考各类风险对应重要信息，通过必要的筛选、提炼、组合后对风险事项进行分析与评估。

3.新增风险视情况可不填写“解决情况”、“是否按照应对方案正常推进”“存在问题”。

4.若本期填报风险事项的风险已消除，则下一期该风险事项无需再填报。