風險管理理念

董事局深知風險管理是本集團高質量、可持續發展的重要支撐和基本保障。董事局將風險管理視為創造企業效益的積極手段，並就此大力提升董事局、管理層與全體員工以及全業務系統的風險管理責任。

董事局採納內部稽查協會（「IIA」）所發佈及更新的「三線模式」，建立了本集團的風險管理架構，據此本集團將風險管理與戰略目標相結合，並形成「全面、重點、動態、持續」的風險管理實踐。

戰略層面上，董事局定期透過風險管理委員會研究及釐清本集團業務之全面風險指標體系，監控與此相關的重大風險。經營層面上，本集團亦根據本集團內部及外部變化，動態確立重大風險點，落實重大風險防範全面覆蓋，並確保管理層於日常經營活動中承擔動態監控與持續管控風險之責任。董事局在構建本集團「審慎、進取、負責」的風險管理文化方面發揮主導作用。

風險管理委員會

風險管理委員會獲董事局授權，負責監察本集團整體風險管理架構，並就本集團的風險相關事宜向董事局提供意見。風險管理委員會亦負責審批本集團風險管理政策和評估本集團風險監控的成效。有關風險管理委員會二零二二年度工作亮點的資料，請參閱載列於本年報的「風險管理委員會報告」。

風險管理的框架

本集團按照The Committee of Sponsoring Organizations of the Treadway Commission（反虛假財務報告委員會發起人組織委員會）有關的風險管理框架標準（包括不時更新的標準）及就內控和風險管理最新的ISO31000風險管理指引，本集團緊跟IIA所發佈及更新的「三線模式」建立了風險管理架構。

資料來源：IIA 的三線模型 — 三道防線的更新版（二零二零年七月）

更新後的新三線模型的一個重要特徵是將重點從價值保護和降低風險轉向價值創造和對實現戰略目標的貢獻。此觀點建議風險管理應發揮更積極的作用，抓住及利用識別新興風險的機會，以實現潛在未來增長及業務決策。董事局認為更新後的模型將更好地促進本集團實現其企業目標的戰略發展。

三線模型是更按原則，更關注治理的重要性和作用以及角色和責任的明確性。其通過三個部分支撐：

1. 治理層（董事局及轄下委員會）是對持份者負責及問責。
2. 管理層（第一線和第二線角色）負責管理風險和達成機構目標的行動。
3. 內部審計（第三線角色）負責提供獨立核證。

三線的角色如下：

• 第一線：業務風險管理 — 此組別於業務活動中提供控制的自我評估。各經營部門和業務單位以及擔任其各業務崗位人員應首先負責其工作職權範圍內事項的風險識別和管理。
• 第二線：風險管理監督和支援 — 此組別提供政策、框架、工具、技術及支援，以確保第一線的風險管理及合規性。其包括負責內審、法務、合規、財務、人力資源、科技資訊、安全與環境保護監察等職能部門，均應協助前線業務部門，共同負責對風險管理工作執行情況的有效性進行監督、檢查和評價。
• 第三線：獨立核證 — 位於前兩條線的風險管理流程之外的內部審計職能。其主要角色是確保前兩條線有效運作，並就達成目標有關的所有事項提供建議。本集團內審部、監察部等，負責對風險管理工作的結果進行審計，並出具獨立審計報告及監督報告。

二零二二年，結合後疫情風險管理，本集團協同業務部門繼續定期開展年度重大風險防範化解工作和重大決策風險評估防控工作，確保重大風險管理協同共管和統籌聯防，將風險管理意識和理念持續融入業務工作。此外，本集團的審計中心已利用大數據開展審計、風險、內控流程標準化建設，優化本集團風險管理網路。年內，本集團亦建立了提供境內投資項目風險評估諮詢服務的核准機構資料庫，保證快速回應諮詢需要，並提高評估品質。

風險管理的機制及程序

本集團經過長期實踐總結，已經形成一套穩定運行的風險管理工作機制及程序，主要包括：(i)全面風險管理、(ii) 針對重要投資項目的風險管理，以及(iii)針對重要風險領域的專項風險管理。

(i) 全面風險管理的程序如下：

• 第一階段：制定風險管理政策、策略及風險評估準則 — 董事局決定有關集團治理、文化和發展戰略風險政策，並在制定業務目標時將這些考慮融入其中。風險管理委員會受董事局委託釐定本集團風險管理策略，本集團內審部為集團設定共通的風險評估準則及制定風險評分表。
• 第二階段：全面收集風險管理初始資訊並進行風險識別 — 各部門╱業務單位廣泛並持續收集與本集團風險和風險管理相關的內外部資訊，並識別對其營運重要程序具有潛在影響的風險。
• 第三階段：進行風險評估並形成全面風險管理台賬 — 各部門╱業務單位應就已識別的風險對其業務的影響及其發生的可能性作出評估及評分。本集團及其成員單位的所有風險應被記載於風險管理台賬。
• 第四階段：風險處理及每季度跟蹤更新風險管理台賬 — 各部門╱業務單位就已識別的風險在評估基礎上提出監控和處理措施，並明確風險的責任人，所有該等資訊應全面記載於風險管理台賬，每季度更新，以保證風險處於可控。
• 第五階段：風險滙報及監察 — 各部門╱業務單位監察自身風險紓減工作，每半年總結全面風險管理情況並報告風險管理委員會，使其可以持續掌握全面風險分佈及變動情況，並就風險管理工作的有效性做出核評及提出完善措施。風險管理委員會每年向董事局呈交《風險管理報告》及《可持續發展報告》。

 

(ii) 針對重要投資項目的風險管理程序如下：

• 立項可研階段： 業務部門和所有風險管理支持部門對投資項目進行可行性研究及盡職調查等工作，以充分識別、評估投資項目的風險和風險成本，並提出重大風險的應對策略和措施。
• 投資決策階段： 在作出投資決策前，應在可行性研究與盡職調查報告基礎上編制專項項目風險評估報告，揭示投資項目風險和風險因素影響程度並提出防範措施。
• 開工建設階段： 對開工建設條件進行風險分析，包括分析土地、環境、節能等各方面合規風險、工程設計方案的技術風險及工程管理風險等。在形成可行應對措施並通過合規評價後啟動建設工作。
• 管理閉環跟蹤： 上述各階段風險分析和評估結論均實行跟蹤閉環的機制，以保證風險始終可控在控。

 

(iii) 針對重要風險領域的專項風險管理程序如下：

• 辨識及選定重要風險領域： 管理層定期舉行會議，辨識公司戰略發展過程中出現新的、非傳統的、帶有典型性的風險事項，啟動該領域的專項風險評估。
• 開展專項風險調研評估： 評估前，職能部門進行資料收集，判斷風險點，現場查證、辨識風險並與業務管理部門進行討論（頭腦風暴），對確認的風險進行量化計算，形成分等級的風險台賬，根據風險策略制定風險應對措施。
• 形成風險評估報告及提出管理建議： 將現場評估得出的風險及應對措施提交相關業務管理部門進行會審、檢討，相關業務管理部門對高風險和中風險應對措施提出管理建議，與職能部門討論後形成風險評估與管理報告，指導負責業務單位開展風險管理工作。
• 管理閉環跟蹤： 將專項風險評估得出的風險點納入風險管理台賬，透過結合專項與動態監測，實現風險的全面跟蹤與防範，同時將風險管控的各項要求融入到企業管理和企業流程中。

 

(iv) 其他恆常風險管理制度

• 資訊系統安全保障： 本集團在網路安全、財務共用系統、資訊保密等領域持續進行專項風險評估並不時提出具體的管理建議，保障風險可控在控。同時繼續建設覆蓋本集團的合規管理資訊化平台，以資訊化科技手段管理決策、合同執行、採購和資金管理的合規審查與確認程序。
• 風險管理責任考核： 本集團要求各單位建立健全風險管理責任體系，落實風險防範化解責任，把風險管控的各項要求融入到企業管理和企業流程中，並將風險管理責任納入年度績效考核範圍，引導各單位增強風險防範意識，提前預判並主動做好風險應對措施。

 

二零二二年，聚焦本公司成為「世界一流綠色低碳能源供應商」戰略願景及「低碳賦能美好生活」使命，結合近期及中長期內外部形勢變化，經管理層、風險管理委員會和董事局進行風險評估，識別出本集團五項重大風險，包括市場風險、供應鏈風險、財務風險、綠色轉型與創新發展相關的風險及運營管控機制與轉型發展匹配度相關的風險。相關重大風險的詳情如下：

所識別風險的等級：高中低