華為企業(yè)風險管理政策
1. 目的
通過明確企業(yè)風險管理的基本原則、運作機制、主要的組織和部門及其角色、職責和權(quán)力，以構(gòu)建并實施企業(yè)風險管理體系，從戰(zhàn)略規(guī)劃到執(zhí)行過程中，減少風險、增加機會、提升績效。
2. 適用范圍本政策適用于華為投資控股有限公司及其全球范圍內(nèi)直接或間接控制的公司，及其所屬各部門、各區(qū)域、各駐外機構(gòu)。
3. 風險分類、分層及應對
3.1 定義
風險：指未來的不確定性對公司實現(xiàn)其經(jīng)營目標的影響，是企業(yè)運營中客觀存在的，是在華為的戰(zhàn)略規(guī)劃、外部環(huán)境、運營模式及財務系統(tǒng)中識別出來的。
重大風險：是未來可能對競爭格局、聲譽、財務狀況和經(jīng)營成果、長遠利益產(chǎn)生重大影響的事件。下文所提及的風險均指重大風險。
3.2 風險按照主要成因歸納成但不限于以下四種類別：
戰(zhàn)略風險：指市場、產(chǎn)品和投資規(guī)劃或決策等能力有限而影響整個企業(yè)中長期生存能力、競爭力、發(fā)展方向、戰(zhàn)略目標、效益的重要風險，如競爭格局風險等。
外部風險：指外部環(huán)境風險及法律法規(guī)遵從風險，如政治和政策風險、法律和法規(guī)遵從、自然災害等。
運營風險：指企業(yè)在運營過程中由于內(nèi)部運作、人力和技術(shù)能力的有限性導致運營失敗、達不到預期運營目標、造成損失的風險，如業(yè)務連續(xù)性風險等。
財務風險：是指由于多種因素的影響，導致公司資金資產(chǎn)損失、財務結(jié)構(gòu)失衡等對公司當期或長期經(jīng)營結(jié)果和聲譽產(chǎn)生影響的風險。如客戶信用風險、資本架構(gòu)風險等。
3.3 風險層級：
3.3.1 企業(yè)級風險
未來可能對整個企業(yè)集團的競爭格局、聲譽、財務狀況和經(jīng)營成果、或長遠利益產(chǎn)生重大影響的事件，企業(yè)級風險往往跨領域（BG/SBG/區(qū)域/各責任中心）。
3.3.2 領域級風險
未來可能對某特定領域（BG/SBG/區(qū)域/各責任中心）的競爭格局、聲譽、財務狀況和經(jīng)營成果、長遠利益產(chǎn)生重大影響的事件。
3.3.3 風險層級調(diào)整
領域級風險當其影響程度重大、或影響范圍涉及多個領域時也可能上升為企業(yè)級風險；企業(yè)級風險當其影響降低時也可能下降為領域級風險。
3.4 風險應對的主要措施有：
風險規(guī)避:
指考慮到影響預定目標達成的諸多風險因素，結(jié)合決策者自身的風險偏好和風險承受能力，做出中止、放棄某種決策方案或調(diào)整、改變某種決策方案的風險處理方式。
風險降低:指采取措施降低風險發(fā)生的可能性或影響度，或同時降低兩者。
風險轉(zhuǎn)移：指將風險及其可能造成的損失全部或部分轉(zhuǎn)移給他人。常見的方法包括購買保險產(chǎn)品、從事避險交易或外包某項業(yè)務。
風險接受：承擔風險，不采取措施去干預風險發(fā)生的可能性和影響度。
4. 基本原則
3 4 4.1 風險管理是業(yè)務部門的固有職責，業(yè)務部門在獲得收益的同時，需承擔風險；
4.2 風險管理要與業(yè)務管理相結(jié)合，特別是在計劃和決策過程中；
4.3 風險管理應當從企業(yè)整體利益出發(fā)，進行跨部門協(xié)同管理；
4.4 積極應對風險可能意味著機會，消極應對風險則可能帶來損失；
4.5 風險管控的目標并不是一味地將風險降至零，而是根據(jù)風險偏好將風險控制在企業(yè)可接受范圍內(nèi)。
5 實施風險管理的角色、職責和權(quán)力
董事會、財經(jīng)委員會、Risk Leader、Risk Owner、企業(yè)風險管理部、各業(yè)務單元CFO是風險管理的關(guān)鍵角色，其職責和權(quán)利如下：
5.1 董事會
董事會作為負責企業(yè)經(jīng)營和管理的最高權(quán)力機構(gòu)，在風險管理中發(fā)揮重要作用，其職責如下：
5.1.1 確定高管基調(diào)，每年至少一次通過發(fā)文、聯(lián)合聲明、宣誓等形式強調(diào)風險管理的重要性，建立并不斷完善整個企業(yè)的風險管理環(huán)境；
5.1.2 授權(quán)財經(jīng)委員會負責企業(yè)重大風險和合規(guī)遵從管控并聽取其匯報，必要時進行重大事項決策。
5.2 財經(jīng)委員會（以下簡稱財委會）
在董事會授權(quán)下作為風險管理的日常決策機構(gòu)，對識別和管理企業(yè)級風險、指導各領域（BG/SBG/區(qū)域/各責任中心）的風險管理負責。其主要職責如下：
5.2.1 培育企業(yè)風險管理文化；
5.2.2 確定風險管理工作戰(zhàn)略、規(guī)劃、路標；
5.2.3 審議公司風險管理的框架、政策；
5.2.4 決定企業(yè)級風險排序，審批企業(yè)風險地圖及其變更；
5.2.5 審議企業(yè)級風險的風險偏好、企業(yè)所承受風險的容忍度，報董事會審批；5.2.6
確保高層領導卷入企業(yè)級風險管理，將風險管理融入業(yè)務管理體系；
5.2.7 審議公司業(yè)務連續(xù)性的執(zhí)行情況；
5.2.8 專題研究和審視、決策涉及公司重大影響的風險；
5.2.9 根據(jù)需要審批企業(yè)級風險管控的專項預算；
5.2.10 向董事會報告企業(yè)級和各領域的風險管控狀況。
5.3 Risk Leader
原則上由公司高級管理者擔任，財委會按企業(yè)風險地圖提名，CEO任命，為跨領域企業(yè)級風險第一責任人，領導各相關(guān)部門完成該項風險管理工作，其個人績效承諾（PBC）包含風險管理。其主要職責如下：
5.3.1 從公司整體角度，聯(lián)合相關(guān)部門綜合評估風險影響，分析風險根因；
5.3.2 分解企業(yè)級風險的管控責任，指定Risk Owner；
5.3.3 組建跨領域的風險管理工作組，確保風險管控的有效性；
5.3.4 決定風險管控的目標、范圍及里程碑計劃，并監(jiān)控實施；
5.3.5 向財委會匯報該風險的管控狀況，確保企業(yè)級風險被控制在可接受范圍內(nèi)。
5.4 Risk Owner
原則上由各領域（BG/SBG/區(qū)域/各責任中心）主管擔任，是所負責領域風險管理的第一責任人，其個人績效承諾（PBC）包含風險管理。其主要職責如下：
5.4.1 對公司獲利或聲譽有影響的風險承擔管理責任，需要將風險控制在可接受范圍內(nèi)；
5.4.2 各級管理者應將風險管理與業(yè)務緊密結(jié)合，在戰(zhàn)略規(guī)劃中識別和評估風險，在業(yè)務規(guī)劃中研究并執(zhí)行風險管理的對策，并在日常運作中監(jiān)控這些措施的有效性；
5.4.3 及時向財委會或Risk Leader匯報本領域內(nèi)風險及管控狀況；
5.4.4 確保本領域員工理解和正確執(zhí)行風險管理策略；
5.4.5 參與年度企業(yè)風險地圖制定。
5.5 企業(yè)風險管理部（ERM）
協(xié)助財委會及Risk Leader管控企業(yè)級風險，是各領域（BG/SBG/區(qū)域/各責任中心）風險管理的Partner。其主要職責如下：
5.5.1 對所監(jiān)管的企業(yè)級風險管理框架、相關(guān)流程及風險管理項目進行階段性回顧，協(xié)助財委會向董事會匯報；
5.5.2 定期匯總各領域（BG/SBG/區(qū)域/各責任中心）識別的重大風險，并進行綜合評估形成初始的企業(yè)風險地圖，報財委會審批；
5.5.3 協(xié)助財委會和Risk Leader履行風險管理職責，將風險管理納入其戰(zhàn)略及運作中，包括建立恰當?shù)娘L險管理項目及對策；
5.5.4 定期評估各領域（BG/SBG/區(qū)域/各責任中心）的風險管理執(zhí)行情況，監(jiān)控其風險管理的有效性，并促進風險管理能力持續(xù)提升；
5.5.5 開發(fā)風險管理的統(tǒng)一方法、流程和運作機制；
5.5.6 接受財委會指派，組織及指導跨領域深度風險分析項目（Deep Dive），評估及制定企業(yè)級風險管控方案；
5.5.7 協(xié)助各領域風險管理團隊在風險識別、評估、分析、監(jiān)控、報告及指標測評中實現(xiàn)最佳實踐；
5.5.8 通過培訓、工具及業(yè)務支持等方式協(xié)助建立企業(yè)風險管理文化并提升員工對企業(yè)風險管理的理解；
5.5.9 向重大風險涉及的委員會，如戰(zhàn)略規(guī)劃委員會、人力資源委員會、審計委員會等匯報風險管理事宜。
5.6 各CFO
作為各領域風險管理的支撐主體，協(xié)助本領域Risk Owner承擔日常風險管理職責。
5.6.1 CFO是財務風險管理的責任主體，同時負責推動、監(jiān)控和報告業(yè)務風險管理運作情況；
5.6.2 CFO履行風險管理職責，在風險管理中扮演重要角色，是風險管理框架中的關(guān)鍵要素，尤其在運作質(zhì)量保證、法律及合規(guī)遵從、財務及運作信息準確等方面確保企業(yè)風險管理的有效性。
6. 運作機制
6.1 企業(yè)級風險管控
6.1.1 每年度對重大風險進行包括優(yōu)先級排序在內(nèi)的綜合評估，經(jīng)財委會批準形成風險地圖；
6.1.2 財委會確定企業(yè)級風險應對策略，并提名Risk Leader；
6.1.3 Risk Leader組建跨部門企業(yè)級風險管控工作組，按風險管理流程進行風險識別、綜合評估和根因分析，制定應對計劃并實施，持續(xù)監(jiān)控并形成報告；
6.1.4 Risk Leader例行就風險管控狀況向財委會報告。
6.2 風險管理嵌入SP/BP流程
在戰(zhàn)略規(guī)劃和業(yè)務規(guī)劃中識別、評估、應對、監(jiān)控和報告風險，在做決策時充分考慮風險因素，在執(zhí)行過程中包含風險應對措施。
6.2.1 在戰(zhàn)略規(guī)劃中進行風險識別、評估并排序，定義總體管控目標和應對策略；
6.2.2 在業(yè)務規(guī)劃中進行根因分析、制定風險應對措施、指定風險責任人及制定預算；
6.2.3 在規(guī)劃執(zhí)行和日常運營中實施風險應對措施，監(jiān)控風險控制狀況，定期向Risk Owner報告。
6.3 深度風險分析（Deep Dive）
深度風險分析項目適用于跨業(yè)務領域、根因復雜的企業(yè)級風險，由財委會批準立項，來源于Risk Leader申請或財委會直接指定。
6.3.1 企業(yè)風險管理部協(xié)助Risk Leader，組織相關(guān)業(yè)務部門成立深度風險分析項目組，分析風險根因，形成應對方案；
6.3.2 風險應對方案經(jīng)財委會批準后，Deep Dive關(guān)閉，轉(zhuǎn)正常風險管控，由Risk Leader與業(yè)務部門實施并向財委會報告。
7. 風險測評
按照風險暴露、風險管控的結(jié)果衡量各相關(guān)部門風險管理的績效，測評指標包括但不限于風險敞口、KRI、計分卡、風險管理成熟度等等，對于直接影響財務結(jié)果的風險通常使用風險敞口來測評，對不直接影響財務結(jié)果的風險通常采用評估應對計劃進展的方式測評。
7.1 風險敞口（Risk Exposure）
是指未加保護的風險，即因債務人違約行為、內(nèi)部管理不善、外部遵從等導致的可能承受風險的總量。如：應收賬款指當期各賬期（包括未到期部分）應收賬款余額總和，含本金以及在此基礎上產(chǎn)生的利息，罰金等其他費用。
7.2 KRI（Key Risk Indicator，關(guān)鍵風險指標）
通過定性和定量的指標來測評風險暴露和風險應對策略的有效性。KRI由Risk Owner制定、維護和監(jiān)控，且必須得到Risk
Leader和財委會的認可，應盡量利用已有指標嵌入現(xiàn)有的管理體系中。
7.3 風險管理計分卡
用于衡量業(yè)務部門風險管理的有效性，由企業(yè)風險管理部從以下幾個方面對業(yè)務部門進行評估：1)
組織結(jié)構(gòu)和職責；2）在企業(yè)級風險管理中的業(yè)務參與程度；3）戰(zhàn)略規(guī)劃中的風險識別；4）業(yè)務計劃中的風險規(guī)劃；5）監(jiān)控和問責。
7.4 風險管理成熟度
用于衡量企業(yè)整體風險管理的能力，由企業(yè)風險管理部和各業(yè)務部門從政策、流程、組織、績效、IT工具和決策等多緯度進行年度自評。財委會對自評綜合結(jié)果進行評審，提出改進建議及進行績效評估。
【延伸閱讀】
2013年內(nèi)控管理要點
一、繼續(xù)圍繞“促經(jīng)營、防腐敗”的內(nèi)控工作目標，聚焦在重復發(fā)生的TOP經(jīng)營痛點問題上實施流程改進，獲取經(jīng)營管理收益、遏止腐敗。
1、各級管理者和流程Owner應基于CT與SACA、審計、稽查等發(fā)現(xiàn)的問題，在相應的ST會議上研討，識別出自身的TOP內(nèi)控問題；
2、對于每一個TOP問題，須指定明確的業(yè)務改進責任人，負責具體改進計劃的制定與執(zhí)行；
3、所有TOP問題的改進應基于流程（本地化）、規(guī)則的發(fā)布與執(zhí)行，改進的效果通過內(nèi)控BC、審計、稽查的結(jié)果來驗證；
4、內(nèi)控BC負責協(xié)助各級管理者和流程Owner實施TOP問題的改進，并例行對改進進展進行監(jiān)督和報告，對于已改進的問題在BCIT系統(tǒng)中驗收關(guān)閉。
二、內(nèi)控管理的關(guān)鍵是建立內(nèi)控責任體系，這是內(nèi)控的核心工作。各級管理者和流程Owner是所負責業(yè)務領域的內(nèi)控第一責任人，必須主動承擔起自己的內(nèi)控責任。
1、全球流程Owner負責建立基于流程的授權(quán)、行權(quán)、問責的內(nèi)控責任體系，發(fā)布明確的業(yè)務問責制度，并層層落實內(nèi)控考核要求；
2、各級管理者和流程Owner應建立內(nèi)控獎懲機制，對于內(nèi)控管理做的好的予以激勵，對于需要改進的可以發(fā)放紅黃牌警示、責其進行內(nèi)控述職；
3、各級CFO必須協(xié)助相關(guān)管理者和流程Owner建立內(nèi)控責任體系。
三、各級管理者和流程Owner需持續(xù)提升CT、SACA、PR等內(nèi)控工作的質(zhì)量和真實性，實現(xiàn)內(nèi)控的自我管理。
1、各級流程Owner應月度實施CT并季度報告，內(nèi)控BC負責對CT工作質(zhì)量進行例行抽檢復核；
2、各級管理者和流程Owner應從主動管理風險的工作需要出發(fā)，不定期組織PC/BC實施PR自檢工作，以發(fā)現(xiàn)問題并及時改進；
3、各級管理者和流程Owner應基于日常內(nèi)控管理工作，每半年實施SACA并報告，內(nèi)控BC負責對SACA結(jié)果進行復核和質(zhì)量回溯。
四、要關(guān)注存貨管理、交付管理、采購管理、合同質(zhì)量、行政管理、渠道管理、資金稅務等高風險業(yè)務。各高風險業(yè)務相關(guān)的流程Owner應加強和持續(xù)開展“內(nèi)控上前線”工作。
1、內(nèi)控工作應聚焦高風險業(yè)務開展建設和改進，高風險業(yè)務的管理責任人應建立跨流程的聯(lián)合內(nèi)控改進工作組，持續(xù)實施內(nèi)控改進；
2、內(nèi)控工作應深入到業(yè)務中去，跟隨服務，在炮火中前進，實現(xiàn)快速運作流程與合理監(jiān)管，最終讓“內(nèi)控在前線”，以匹配一線的業(yè)務場景，建立適用的本地化流程與規(guī)則，并將內(nèi)控責任持續(xù)傳遞、分解到一線的項目、崗位。
五、全面推行和落實KCFR(關(guān)鍵財經(jīng)控制要素)工作，加強財務支撐和監(jiān)督，拉通業(yè)務與財務流程，確保公司內(nèi)控的有效性以及財務數(shù)據(jù)的真實準確、資金資產(chǎn)的安全。
1、KCFR是落實業(yè)務和財務流程拉通，支撐資金資產(chǎn)安全、經(jīng)營結(jié)果改進和提升財務報表準確性、完整性的有效保障。
2、在日常的內(nèi)控工作中，要主動識別、全面執(zhí)行KCFR的要求（含KCFR方案本地化后的要求）。
3、各級管理者和流程Owner要將業(yè)務和財務流程的拉通作為本部門的重點工作之一，通過設立財務或業(yè)務指標來衡量KCFR的執(zhí)行效果，不斷改進優(yōu)化，并通過例行CT/SACA等手段來及時監(jiān)督、提高KCFR的遵從率。
六、持續(xù)加強內(nèi)控BC/PC組織與能力的建設。
1、對于內(nèi)控管理較差、風險較高的流程，相關(guān)流程Owner應設立專職化的PC團隊以快速提升內(nèi)控管理水平，實現(xiàn)有效監(jiān)控；
2、各級管理者應加強內(nèi)控BC組織與能力的建設，以更好的實施內(nèi)控支持、監(jiān)督和報告工作。
聯(lián)系客服
