第二十六条 通过对上述相关职能机构进行科学的设置，公司应该建立以风险管理为中心的三道防线或三个层次的管理框架：
（一）第一道防线由各职能部门和业务单位组成。在业务前端识别、评估、应对、监控与报告风险；
（二）第二道防线由风险管理委员会和风险管理部门组成。综合协调制定各类风险制度、标准和限额，提出应对建议；
（三）第三道防线由审计委员会和内部审计部门组成。针对公司已经建立的风险管理流程和各项风险的控制程序和活动进行监督。
第四章 风险分类
第二十七条 结合公司的业务特点，公司在经营过程中面临的风险主要有以下七类：
（一）市场风险，是指由于利率、汇率、权益价格和商品价格等的不利变动而使公司遭受非预期损失的风险。
（二）信用风险，是指由于债务人或交易对手不能履行或不能按时履行其合同义务，或者信用状况的不利变动而导致的风险。
（三）保险风险，是指由于死亡率、疾病率、赔付率、退保率等精算假设的实际经验与预期发生偏离而造成损失的风险。
（四）操作风险，是指由于不完善的内部操作流程、人员、系统或外部事件而导致直接或间接损失的风险，包括法律及监管合规风险。
（五）战略风险，是指由于战略制定和实施的流程无效或经营环境的变化，而导致战略与市场环境和公司能力不匹配的风险。
（六）声誉风险，是指由于公司品牌及声誉出现负面事件，而使公司遭受损失的风险。
（七）流动性风险，是指在债务到期或发生给付义务时，由于没有资金来源或必须以较高的成本融资而导致的风险。
第二十八条 公司应在前条风险分类的基础上，结合自身业务特点，建立健全本公司的风险分类体系，将各类风险进一步细化至次级分类及风险事件。
第五章 风险偏好体系
第二十九条 风险偏好体系由上至下包括风险偏好、风险容忍度及风险限额三个组成部分。
第三十条 风险偏好是指公司在实现其经营目标的过程中愿意承担的风险水平。风险偏好是公司对风险的基本态度，为战略制定、经营计划实施以及资源分配提供指导。
第三十一条 风险容忍度是指在公司经营目标实现的过程中针对既定风险水平出现的差异的可接受程度。风险容忍度是风险偏好的具体体现，一般采用定量与定性相结合的方式确定，与风险偏好保持一致，并涵盖所有风险类别。
第三十二条 风险限额是对风险容忍度的进一步量化和细化。公司应在风险容忍度范围内，根据不同风险类别、业务单位、产品类型特征等，制定风险限额。
第三十三条 公司应本着审慎负责的态度制定公司的风险偏好体系，并报董事会审批。经批准的风险偏好体系应逐级分解至各职能部门和业务单位遵照执行。
第三十四条 风险管理部门应监测和报告风险偏好体系的执行情况。风险偏好或风险容忍度出现突破时，管理层应及时向董事会报告，采取应对措施降低风险水平，同时审查既定风险容忍度和风险限额的适当性。
第三十五条 公司应至少每年对风险偏好体系进行有效性和合理性审查，不断修订和完善。当市场环境和经营状况发生重大变化时，公司应考虑对各类风险水平的影响，对风险容忍度和风险限额进行调整，维持风险偏好的整体稳定性。
