第一章 总则

第一条 为加强健康元药业集团股份有限公司（以下简称“公司”）全面风险管理工作，完善全面风险管理体系，提高风险防范与控制水平，合理保证公司经营目标的实现，根据《中华人民共和国公司法》《上市公司治理准则》《公司章程》等有关法律、法规规定和要求，结合公司实际，特制定本制度。

第二条 本制度适用于公司及其所属全资子公司、控股公司。

第三条 本制度所称的风险是指潜在损失或收益的不确定性。风险存在于公司经营管理的每一项活动中，包括内部风险和外部风险。

第四条 本制度所指全面风险管理，是指公司围绕总体经营目标、通过在管理的各个环节和经营过程中执行风险管理基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险管理解决方案、风险管理的组织职能体系、风险管理信息系统和内部控制系统，为实现风险管理的总体目标提供合理保证的过程和方法。

第五条 本制度所称内部控制系统，指围绕风险管理目标，针对公司战略规划、销售业务、人力资源、研发管理、质量控制、资金管理、合同管理、采购管理、财务报告与披露、内部审计、法律事务、安全生产、环境保护、投融资管理、信息系统管理、企业文化等各项业务管理及其重要业务流程，通过执行风险管理基本流程，制定并执行的规章制度、程序和措施。

第六条 全面风险管理目标：

（一）确保将风险控制在与总体目标相适应并可承受的范围内；

（二）确保公司内外部实现真实、可靠的信息沟通，包括编制和提供真实、可靠的财务报告；

（三）确保遵守有关法律法规；

（四）确保公司有关规章制度和为实现经营目标而采取重大措施的贯彻执行，保障经营管理的有效性，提高经营活动的效率和效果，降低实现经营目标的不确定性；

（五）确保公司建立针对各项重大风险发生后的危机处理计划，保护企业不因灾害性风险或人为失误而遭受重大损失。

第七条 公司全面风险管理遵循全面、重要、合理、制衡、独立的原则，确保风险管理的有效性。

（一）全面性。公司风险管理应当做到事前、事中、事后控制相统一；覆盖公司所有业务、部门和人员，渗透到决策、执行、监督、反馈等各个环节。

（二）重要性。在全面风险管理的基础上，关注重要业务、重点项目和高风险领域。

（三）合理性。全面风险管理应与公司经营规模、业务范围、风险状况及所处的环境相适应，应以合理的成本实现风险管理目标。公司应本着从实际出发，务求实效的原则，制定开展全面风险管理的总体规划，分步予以实施。

（四）制衡性。风险管理应当在治理结构、机构设置及权责分配、业务流程等方面形成相互制约、相互监督，同时兼顾运营效率。

（五）独立性。承担风险管理监督检查职能的部门应当独立于公司其他业务部门。

第二章 全面风险管理组织体系及职责

第八条 公司董事会是公司风险管理的最高决策机构，负责对风险管理工作进行督导；审计委员会负责审核全面风险识别、评估、内部管理及监控程序的有效性，主要职责如下：

（一）审查和评价公司的财务控制、风险管理及内控制度；

（二）与管理层讨论风险管理及内部控制系统，确保管理层已履行职责建立有效的内部监控系统；

（三）主动或应董事会的委派，就有关风险管理及内部控制组织审计及对审计结果的改进进行研究；

（四）审议风险管理政策及指引以及财务政策并就此提供建议；

（五）制定风险水平、可承受风险程度及相关资源分配，并向董事会提供建议；

（六）就影响公司的重大风险组合或威胁提出意见，并作出适当的指导；

（七） 审议并向董事会报告所确定的关键风险及相关风险缓解措施（包括危机管理）；

（八）审计委员会认为必要的全面风险管理其他重大事项。

第九条 经营管理层是全面管理工作的执行机构，对该工作的有效性向董事会负责。各职能部门配合实施风险管理程序，各职能部门负责人为风险管理的第一责任人，主要职责如下：

（一）负责制订和落实风险管理策略及对风险管理的日常工作进行协调；

（二）负责就所辖职责范围相关重大决策、重大风险、重大事件和重要业务流程的判断标准或判断机制进行研究并提出建议；

（三）组织对所辖职责范围的重大事件和重要业务流程进行风险评估，提出风险应对策略和内部控制优化建议；

（四）建立健全所辖职责范围相关重大风险的预警、报告机制和应急预案；

（五）完成风险管理的其他重要工作。

第十条 督审部是公司全面风险管理工作的牵头管理部门，在审计委员会指导下开展全面风险管理工作，主要履行以下职责：

（一）研究提出重大风险的判断标准或判断机制；

（二）组织拟定风险管理相关制度，研究提出风险管理组织体系设置及职责方案；

（三）组织开展全面风险管理的日常工作，包括组织各部门（单位）开展风险识别工作、牵头维护及更新集团风险数据库、组织开展风险评估工作形成风险评估报告、组织监督风险应对方案的实施、组织监督风险预警工作、组织监督重大经营风险事件的报送；

（四）统筹指导各单位，参照公司统一的风险管理体系架构，构建本单位风险管理体系，自上而下形成一体化的闭环管理；

（五）负责推进风险管理信息化建设；

（六）负责组织协调风险管理其他有关工作。

第三章 全面风险管理内容

第十一条 全面风险管理内容主要包括：风险信息收集、风险识别与评估、制定全面风险管理策略、风险应对、风险监控及预警、风险报告、全面风险管理监督与改进。

第十二条 风险信息收集是指公司各职能部门根据工作实际开展情况，全面、系统、持续地收集和分析可能影响经营目标的内外部信息。

第十三条 风险识别是指各职能部门应当根据收集的风险信息，及时识别与沟通所面临的风险，定期评估和分析风险形成条件、潜在影响和发生可能性，并对潜在风险点进行事前的分类、整理和相应的提示。

第十四条 风险评估是指公司应当根据风险的影响程度和发生可能性等建立评估标准，对识别的风险进行分析计量并进行等级评价或量化排序，确定重点关注和优先控制的风险。

第十五条 制定全面风险管理策略是指公司根据风险评估结果，结合风险发生的原因以及承受度，权衡风险与收益，选择风险承担、风险规避、风险转移、风险转换、风险对冲、风险补偿、风险控制等适合的风险管理策略。同时公司应定期总结和分析已制定的风险管理策略的有效性和合理性，结合实际不断修订和完善。 

第十六条 风险应对是指基于现有的管控体系和活动，制定风险应对策略，以及具体的管控举措。

第十七条 风险监控及预警是指对风险应对策略与管理举措的设计和执行的有效性进行总体评价，提出改进建议。公司各职能部门对风险进行持续监控，当重大风险发生变化时及时预警。

第十八条 风险报告是指风险管理工作的报告制度分为定期例行报告、重大专项风险报告、重大事件/风险紧急报告三种：

1.定期例行报告是各职能部门上报风险管理和内部控制体系建设工作的整体情况、工作进展或者阶段性的成果、主要问题及需要协调解决的资源和事项。

2.重大专项风险报告是各职能部门对本部门的公司整体重大风险管理专题，以及本部门重大风险管理专题的报告，包括但不限于针对该专项风险的评估、风险容忍度的设定、管理现状、计划的应对方案，内部控制设计与执行情况，风险监控指标的设置，工作进度，或者提出需要协调解决的资源和事项等。

3.重大事件/风险紧急报告是职能部门在某项重大事件/风险发生之时，紧急向经营管理层上报事件的起因、经过、应对方法、目前状态、造成损失估计等信息，由经营管理层向董事会汇报。

第十九条 全面风险管理监督与改进是指在全面风险管理体系初步建立后，对执行情况及执行效果进行监督评价，并对发现的问题进行改进。

第四章 风险管理基本流程

第二十条 公司各职能部门应持续开展风险管理的识别与评估，对重大风险的全面风险管理制度关键成因进行分析，确定风险预警指标，建立预警机制，对重大风险进行持续不断地监测，及时发布预警信息，制定应急预案，并根据情况变化调整控制措施。针对风险评估中发现的问题，提出风险管理改进计划。

第二十一条 前述重大风险预警机制及应急预案应报经总裁审查批准，并报督审部备案。对于涉及多部门的风险预警机制及应急预案，应根据具体情况，报请分管副总裁或总裁协调。

第二十二条 公司各职能部门应按照经总裁审批后下达的重大风险预警机制及应急预案要求开展各项工作，并做好沟通上报工作。

第二十三条 督审部采取定期检查与随机抽查相结合的方式，结合年度审计风控工作计划，通过内部控制审计及专项审计等方式，对各职能部门风险管理工作效果进行评价并出具报告。

第五章 风险管理考核与责任追究

第二十四条 公司高级管理人员以及各业务部门/业务负责人应将风险管理考核纳入经营管理综合考核中，考核结果与员工财务激励挂钩。

第二十五条 对因决策失误、管理失职、行为失当等原因致使本部门出现重大风险、危机事件，并造成有形或无形损失的责任人，公司按照有关问责制度，追究其直接责任或领导责任，并取消相关责任人及责任部门评先、评优资格。

第六章 附则

第二十六条 本制度未尽事宜，按照有关法律、法规、规范性文件、上海证券交易所的上市规则和《公司章程》等相关规定执行。

第二十七条 本制度自董事会审计委员会审议通过之日起生效并施行。

第二十八条 本制度由督审部负责解释和修订。

健康元药业集团股份有限公司

二〇二三年十月二十五日