風險管理

董事會的實際考量

在考慮發行人的風險辨識及評估程序時，董事會應提出的問題：

董事會可有考慮並制定明確目標？發行人的風險辨識及評估程序是否着重達到這些目標？
現有風險辨識程序涵蓋範圍是否足夠廣泛，以辨識現有風險及新出現的風險？是否設有穩妥程序持續監察新出現的風險（並重新評估現有風險）？
發行人為達到目標所願意承受的風險程度如何？是否公司上下都清楚明白？
風險評估是否充分考慮了每項風險對發行人目標的影響？風險管理策略與發行人的風險承受程度是否一致？
是否設有程序，因應發行人目標或風險狀況的發展或變化而定期調整現有風險評估？
風險辨識及評估程序是否獲分配足夠資源？
發行人是否設有渠道給其不同職能部門上報風險或提出有關現有風險評估程序的關注事項？

風險管理

風險辨識及評估

發行人的風險管理與其營運、匯報及合規目標及內部監控框架息息相關、互有影響。要了解所面對的風險，發行人應先訂立明確目標：
- 營運目標：旨在確保營運暢順高效，協助發行人實現戰略、營運及財務業績目標，同時預防此等目標受到業務、營運、財務、合規及其他風險（包括欺詐）影響。
- 匯報目標：旨在確保發行人內部及外部匯報的質素，包括透過備存適當紀錄及程序，及時提供相關可靠資料。
- 合規目標：旨在協助發行人的業務營運符合相關監管規定（及遵守適用法律）及其內部政策。
訂立了目標，發行人便可探討有哪些風險可能會影響或阻礙達標。每名發行人的業務規模、複雜程度及地理位置等各不相同，因此面對的風險亦各異。發行人應採取以下步驟：
- 分析潛在風險來源：發行人的分析範圍要夠廣，可源於內部程序及基礎設施（例如資訊技術基礎設施、發行人的資源、資產、組織架構及營運基礎設施）的風險，以及可源自對外互動、外來發展及威脅（例如政治或經濟環境、業務發展及與外界的互動）的風險，都應該涵蓋在內。分析潛在風險的範圍應足以涵蓋但不限於重大的ESG（環境、社會及管治）風險、網絡安全風險及欺詐風險。
- 評估已知風險並確定處理的優先次序：要制定風險管理策略，發行人須評估其各項識別出來的已知風險，再制定程序，優先應對重大風險並分配相關資源。這評估應由董事會在發行人管理層的協助下進行。
- 監察現有風險（及新出現的風險）：發行人應持續監察現有風險及新出現的風險的發展情況。就追蹤風險情況及記錄風險應對措施，發行人可考慮制定風險記錄表，記載所有已知風險，特別留意重大風險。此記錄表應定期更新（至少一年一次）。

風險冷熱圖