风险管理理念

董事局深知风险管理是本集团高质量、可持续发展的重要支撑和基本保障。董事局将风险管理视为创造企业效益的积极手段，并就此大力提升董事局、管理层与全体员工以及全业务系统的风险管理责任。

董事局采纳内部稽查协会（「IIA」）所发布及更新的「三线模式」，建立了本集团的风险管理架构，据此本集团将风险管理与战略目标相结合，并形成「全面、重点、动态、持续」的风险管理实践。

战略层面上，董事局定期透过风险管理委员会研究及厘清本集团业务之全面风险指标体系，监控与此相关的重大风险。经营层面上，本集团亦根据本集团内部及外部变化，动态确立重大风险点，落实重大风险防范全面覆盖，并确保管理层于日常经营活动中承担动态监控与持续管控风险之责任。董事局在构建本集团「审慎、进取、负责」的风险管理文化方面发挥主导作用。

风险管理委员会

风险管理委员会获董事局授权，负责监察本集团整体风险管理架构，并就本集团的风险相关事宜向董事局提供意见。风险管理委员会亦负责审批本集团风险管理政策和评估本集团风险监控的成效。有关风险管理委员会二零二二年度工作亮点的资料，请参阅载列于本年报的「风险管理委员会报告」。

风险管理的框架

本集团按照The Committee of Sponsoring Organizations of the Treadway Commission（反虚假财务报告委员会发起人组织委员会）有关的风险管理框架标准（包括不时更新的标准）及就内控和风险管理最新的ISO31000风险管理指引，本集团紧跟IIA所发布及更新的「三线模式」建立了风险管理架构。

资料来源：IIA 的三线模型 — 三道防线的更新版（二零二零年七月）

更新后的新三线模型的一个重要特征是将重点从价值保护和降低风险转向价值创造和对实现战略目标的贡献。此观点建议风险管理应发挥更积极的作用，抓住及利用识别新兴风险的机会，以实现潜在未来增长及业务决策。董事局认为更新后的模型将更好地促进本集团实现其企业目标的战略发展。

三线模型是更按原则，更关注治理的重要性和作用以及角色和责任的明确性。其通过三个部分支撑：

1. 治理层（董事局及辖下委员会）是对持份者负责及问责。
2. 管理层（第一线和第二线角色）负责管理风险和达成机构目标的行动。
3. 内部审计（第三线角色）负责提供独立核证。

三线的角色如下：

• 第一线：业务风险管理 — 此组别于业务活动中提供控制的自我评估。各经营部门和业务单位以及担任其各业务岗位人员应首先负责其工作职权范围内事项的风险识别和管理。
• 第二线：风险管理监督和支援 — 此组别提供政策、框架、工具、技术及支援，以确保第一线的风险管理及合规性。其包括负责内审、法务、合规、财务、人力资源、科技资讯、安全与环境保护监察等职能部门，均应协助前线业务部门，共同负责对风险管理工作执行情况的有效性进行监督、检查和评价。
• 第三线：独立核证 — 位于前两条线的风险管理流程之外的内部审计职能。其主要角色是确保前两条线有效运作，并就达成目标有关的所有事项提供建议。本集团内审部、监察部等，负责对风险管理工作的结果进行审计，并出具独立审计报告及监督报告。

二零二二年，结合后疫情风险管理，本集团协同业务部门继续定期开展年度重大风险防范化解工作和重大决策风险评估防控工作，确保重大风险管理协同共管和统筹联防，将风险管理意识和理念持续融入业务工作。此外，本集团的审计中心已利用大数据开展审计、风险、内控流程标准化建设，优化本集团风险管理网路。年内，本集团亦建立了提供境内投资项目风险评估咨询服务的核准机构资料库，保证快速回应咨询需要，并提高评估品质。

风险管理的机制及程序

本集团经过长期实践总结，已经形成一套稳定运行的风险管理工作机制及程序，主要包括：(i)全面风险管理、(ii) 针对重要投资项目的风险管理，以及(iii)针对重要风险领域的专项风险管理。

(i) 全面风险管理的程序如下：

• 第一阶段：制定风险管理政策、策略及风险评估准则 — 董事局决定有关集团治理、文化和发展战略风险政策，并在制定业务目标时将这些考虑融入其中。风险管理委员会受董事局委托厘定本集团风险管理策略，本集团内审部为集团设定共通的风险评估准则及制定风险评分表。
• 第二阶段：全面收集风险管理初始资讯并进行风险识别 — 各部门╱业务单位广泛并持续收集与本集团风险和风险管理相关的内外部资讯，并识别对其营运重要程序具有潜在影响的风险。
• 第三阶段：进行风险评估并形成全面风险管理台账 — 各部门╱业务单位应就已识别的风险对其业务的影响及其发生的可能性作出评估及评分。本集团及其成员单位的所有风险应被记载于风险管理台账。
• 第四阶段：风险处理及每季度跟踪更新风险管理台账 — 各部门╱业务单位就已识别的风险在评估基础上提出监控和处理措施，并明确风险的责任人，所有该等资讯应全面记载于风险管理台账，每季度更新，以保证风险处于可控。
• 第五阶段：风险汇报及监察 — 各部门╱业务单位监察自身风险纾减工作，每半年总结全面风险管理情况并报告风险管理委员会，使其可以持续掌握全面风险分布及变动情况，并就风险管理工作的有效性做出核评及提出完善措施。风险管理委员会每年向董事局呈交《风险管理报告》及《可持续发展报告》。

 

(ii) 针对重要投资项目的风险管理程序如下：

• 立项可研阶段： 业务部门和所有风险管理支持部门对投资项目进行可行性研究及尽职调查等工作，以充分识别、评估投资项目的风险和风险成本，并提出重大风险的应对策略和措施。
• 投资决策阶段： 在作出投资决策前，应在可行性研究与尽职调查报告基础上编制专项项目风险评估报告，揭示投资项目风险和风险因素影响程度并提出防范措施。
• 开工建设阶段： 对开工建设条件进行风险分析，包括分析土地、环境、节能等各方面合规风险、工程设计方案的技术风险及工程管理风险等。在形成可行应对措施并通过合规评价后启动建设工作。
• 管理闭环跟踪： 上述各阶段风险分析和评估结论均实行跟踪闭环的机制，以保证风险始终可控在控。

 

(iii) 针对重要风险领域的专项风险管理程序如下：

• 辨识及选定重要风险领域： 管理层定期举行会议，辨识公司战略发展过程中出现新的、非传统的、带有典型性的风险事项，启动该领域的专项风险评估。
• 开展专项风险调研评估： 评估前，职能部门进行资料收集，判断风险点，现场查证、辨识风险并与业务管理部门进行讨论（头脑风暴），对确认的风险进行量化计算，形成分等级的风险台账，根据风险策略制定风险应对措施。
• 形成风险评估报告及提出管理建议： 将现场评估得出的风险及应对措施提交相关业务管理部门进行会审、检讨，相关业务管理部门对高风险和中风险应对措施提出管理建议，与职能部门讨论后形成风险评估与管理报告，指导负责业务单位开展风险管理工作。
• 管理闭环跟踪： 将专项风险评估得出的风险点纳入风险管理台账，透过结合专项与动态监测，实现风险的全面跟踪与防范，同时将风险管控的各项要求融入到企业管理和企业流程中。

 

(iv) 其他恒常风险管理制度

• 资讯系统安全保障： 本集团在网路安全、财务共用系统、资讯保密等领域持续进行专项风险评估并不时提出具体的管理建议，保障风险可控在控。同时继续建设覆盖本集团的合规管理资讯化平台，以资讯化科技手段管理决策、合同执行、采购和资金管理的合规审查与确认程序。
• 风险管理责任考核： 本集团要求各单位建立健全风险管理责任体系，落实风险防范化解责任，把风险管控的各项要求融入到企业管理和企业流程中，并将风险管理责任纳入年度绩效考核范围，引导各单位增强风险防范意识，提前预判并主动做好风险应对措施。

 

二零二二年，聚焦本公司成为「世界一流绿色低碳能源供应商」战略愿景及「低碳赋能美好生活」使命，结合近期及中长期内外部形势变化，经管理层、风险管理委员会和董事局进行风险评估，识别出本集团五项重大风险，包括市场风险、供应链风险、财务风险、绿色转型与创新发展相关的风险及运营管控机制与转型发展匹配度相关的风险。相关重大风险的详情如下：

所识别风险的等级：高中低