人身保险公司全面风险管理实施指引(保监发【2010】89号)

中国保监会关于印发《人身保险公司全面风险管理实施指引》的通知保监发〔2010〕89号各寿险公司、健康保险公司、养老保险公司：为加强人身保险公司全面风险管理，进一步落实《保险公司风险管理指引（暂行）》（保监发〔2007〕23号），提升各公司全面风险管理水平，我会制定了《人身保险公司全面风险管理实施指引》（以下简称《指引》）。现予印发，请遵照执行。现将《指引》执行中的有关事项通知如下：一、各保险公司应高度重视全面风险管理工作，按照《指引》要求，认真组织实施，做好落实工作，并于2010年11月30日前将风险管理部门负责人姓名、职务和联系方式报送我会。如暂未设立风险管理部门，应指定一名全面风险管理工作联系人，将上述信息报送我会。二、各公司应创造条件，尽快落实《指引》各项要求。对于近期设立风险管理委员会、建立风险管理信息系统和运用经济资本方法确有困难的公司，应最晚在2013年10月1日前设立风险管理委员会，建立风险管理信息系统，并从2014年开始在提交的年度全面风险管理报告中运用经济资本方法计量公司所承受的风险。在此之前，可由审计委员会暂行风险管理委员会的职责。三、本《指引》生效后，各寿险公司、健康险公司、养老保险公司应按要求提交年度全面风险管理报告一式六份，并视为已履行了保监发〔2007〕23号文要求的年度风险评估报告。中国保险监督管理委员会二○一○年十月二十四日人身保险公司全面风险管理实施指引第一章总则第一条为加强人身保险公司全面风险管理，进一步落实《保险公司风险管理指引》（保监发〔2007〕23号），提升公司全面风险管理水平，保障人身保险行业和公司的健康发展，根据《保险法》、《保险公司管理规定》等相关法律法规和规章，制定本指引。第二条本指引所称公司是指在中华人民共和国境内依法设立的人寿保险公司和健康保险公司。第三条本指引所指风险是指对公司实现经营目标可能产生不利影响的不确定因素。第四条本指引所指全面风险管理是指从公司董事会、管理层到全体员工全员参与，在战略制定和日常运营中，识别潜在风险，预测风险的影响程度，并在公司风险偏好范围内有效管理公司各环节风险的持续过程。在进行全面风险管理的同时，公司应根据公司经营情况重点监测、防范和化解对公司经营有重要影响的风险。第五条公司全面风险管理应遵循的基本原则：（一）一致性原则。公司在建立全面风险管理体系时，应确保风险管理目标与战略发展目标的一致性。（二）匹配性原则。公司在全面风险管理过程中，应确保公司资本水平与所承担的风险相匹配，所承担的风险与收益相匹配。（三）全面性原则。公司全面风险管理应渗透至公司各项业务环节，对每一类风险都应全面认识、分析与管理。（四）全员参与原则。公司应建立全员参与的风险管理文化和相应机制，各级别员工都应按照其工作职责参与公司的风险管理工作，承担日常风险管理职责。（五）定量与定性相结合原则。公司应根据自身业务性质、规模和复杂程度开发相适应的风险量化技术，推广应用先进成熟的风险管理经验，实现定量与定性方法的有机结合。（六）不断优化原则。公司应不断地检查和评估内外部经营管理环境和竞争格局的变化及其对公司全面风险管理所产生的实质影响，及时调整和优化风险管理政策、制度和流程。第六条公司应按本指引中的相关要求，建立与自身业务性质、规模和复杂程度相适应的全面风险管理体系，有效识别、评估、计量、应对和监控风险。全面风险管理的各项要求应与公司管理和业务流程紧密结合。第七条中国保监会对公司的全面风险管理进行监督管理，督促公司有效地识别、评估、计量、应对和监控各类风险。第二章风险管理环境第八条公司应将风险管理文化建设融入企业文化建设的全过程，并在企业内部各个层面营造风险管理文化氛围，不断修订和完善风险管理制度、流程，持续强化风险管理组织建设，研究建立风险管理系统，确保风险管理目标的实现。第九条公司应增强全体员工的风险管理意识，将风险管理意识转化为员工的共同认识和自觉行动，促进公司建立系统、规范、高效的风险管理机制。第十条公司应大力加强对全体员工的风险管理宣导工作，建立完善员工岗前、岗中风险管理培训教育制度。第十一条公司应建立风险责任机制，由公司管理层负领导责任，对主要风险确定责任人，具体风险责任落实到各职能部门和业务单位。对任何违反风险管理相关政策的组织和个人，要给予追究和处罚。第十二条公司应把风险管理效果和绩效考核制度相结合，增强各级管理人员特别是公司管理层的风险意识和责任，确保公司在经营过程中能够在收益和风险之间做出更好的把握和权衡。第十三条公司应建立全面风险管理政策，明确公司的风险偏好、风险管理策略、方法以及公司内部各个不同层级的风险管理职责和构架。第十四条公司应根据不同的风险分类，分别建立相应的风险管理制度。制度应涵盖针对不同风险的识别、评估、计量方法，风险指标的定性和定量标准，以及相应的风险责任人。第十五条公司应将信息技术应用于风险管理的各项工作，包括信息的采集、存储、加工、分析、测试、传递、报告、披露等，建立涵盖风险管理基本流程和内部控制各环节的风险管理信息系统。第十六条风险管理信息系统应能够实现信息在各职能部门和业务单位之间的集成与共享，充分满足对风险进行分析评估、计量、报告管理、监控预警和信息披露的各项要求；既能够符合单项业务风险管理的需要，也能够符合公司整体和跨职能部门、业务单位的风险管理综合需要。第十七条公司应建立风险信息传递和报告机制，形成上下互动、横向沟通的工作流程。第十八条公司应对重大事件、重大风险和重要业务流程建立应急机制，保证公司的正常运营。第三章风险管理组织第十九条公司应建立由董事会负最终责任、管理层直接领导，以风险管理机构为依托，相关职能部门密切配合，覆盖所有业务单位的全面风险管理组织体系。第二十条公司董事会是公司全面风险管理的最高决策机构，对全面风险管理工作的有效性负责。董事会主要职责包括审批公司风险管理总体目标、风险偏好、风险管理策略和重大风险解决方案，以及风险管理组织机构设置及其职责等。董事会可将部分风险管理职责授权给风险管理委员会。第二十一条公司应在董事会下设立风险管理委员会，监督全面风险管理体系运行的有效性，在董事会授权下履行如下职责：（一）审议公司风险管理的总体目标、基本政策和工作制度；（二）审议公司风险偏好和风险容忍度；（三）审议公司风险管理机构设置及其职责；（四）审议公司重大决策的风险评估和重大风险的解决方案；（五）审议公司年度全面风险管理报告；（六）其他相关职责。风险管理委员会应由具有丰富的金融风险管理经验，熟悉人身保险业务，并具备相关专业能力的委员组成。第二十二条公司管理层应根据董事会的授权，履行全面风险管理的具体责任，其主要职责如下：（一）负责公司日常全面风险管理工作，确保公司风险在可接受范围之内；（二）执行经董事会审定的风险管理策略；（三）审批公司风险限额；（四）建立公司内部风险责任机制；（五）建立公司内部重大风险应急机制；（六）推动公司风险管理文化的建设。第二十三条公司应任命首席风险官或指定一名高管负责全面风险管理工作，首席风险官或负责全面风险管理工作的高管不得同时负责销售与投资管理，其主要职责包括制定风险管理政策和制度，协调公司层面全面风险管理等。首席风险官有权了解公司重大决策、重大风险、重大事件、重要系统及重要业务流程，并参与相关决策的评估。第二十四条公司应设立风险管理部门，在首席风险官的领导下开展风险管理的日常工作。该部门应独立于销售、财务、投资、精算等职能部门。风险管理部门有权参与公司战略、业务、投资等委员会的重大决策。其主要职责如下：（一）建立与维护公司全面风险管理体系，包括风险管理制度、风险偏好体系等；（二）协助与指导各职能部门和业务单位制定风险控制措施和解决方案；（三）定期进行风险识别、定性和定量风险评估，并出具风险评估报告，提出应对建议；（四）建立与维护风险管理技术和模型，不断改进风险管理方法；（五）协调组织资产负债管理工作并提出相应风险应对建议，包括制定相关制度，确定技术方法，有效平衡资产方与负债方的风险与收益；（六）推动全面风险管理信息系统的建立；（七）其他相关职责。公司的风险管理人员应该具备从事上述工作所需的职业和专业能力。第二十五条公司各职能部门和业务单位应接受风险管理部门的组织、协调和监督，建立健全相关风险管理流程，定期对本职能部门或业务单位的风险进行评估，将评估结果定期与风险管理部门沟通，并对其风险管理的有效性负责。第二十六条通过对上述相关职能机构进行科学的设置，公司应该建立以风险管理为中心的三道防线或三个层次的管理框架：（一）第一道防线由各职能部门和业务单位组成。在业务前端识别、评估、应对、监控与报告风险；（二）第二道防线由风险管理委员会和风险管理部门组成。综合协调制定各类风险制度、标准和限额，提出应对建议；（三）第三道防线由审计委员会和内部审计部门组成。针对公司已经建立的风险管理流程和各项风险的控制程序和活动进行监督。第四章风险分类第二十七条结合公司的业务特点，公司在经营过程中面临的风险主要有以下七类：（一）市场风险，是指由于利率、汇率、权益价格和商品价格等的不利变动而使公司遭受非预期损失的风险。（二）信用风险，是指由于债务人或交易对手不能履行或不能按时履行其合同义务，或者信用状况的不利变动而导致的风险。（三）保险风险，是指由于死亡率、疾病率、赔付率、退保率等精算假设的实际经验与预期发生偏离而造成损失的风险。（四）操作风险，是指由于不完善的内部操作流程、人员、系统或外部事件而导致直接或间接损失的风险，包括法律及监管合规风险。（五）战略风险，是指由于战略制定和实施的流程无效或经营环境的变化，而导致战略与市场环境和公司能力不匹配的风险。（六）声誉风险，是指由于公司品牌及声誉出现负面事件，而使公司遭受损失的风险。（七）流动性风险，是指在债务到期或发生给付义务时，由于没有资金来源或必须以较高的成本融资而导致的风险。第二十八条公司应在前条风险分类的基础上，结合自身业务特点，建立健全本公司的风险分类体系，将各类风险进一步细化至次级分类及风险事件。第五章风险偏好体系第二十九条风险偏好体系由上至下包括风险偏好、风险容忍度及风险限额三个组成部分。第三十条风险偏好是指公司在实现其经营目标的过程中愿意承担的风险水平。风险偏好是公司对风险的基本态度，为战略制定、经营计划实施以及资源分配提供指导。第三十一条风险容忍度是指在公司经营目标实现的过程中针对既定风险水平出现的差异的可接受程度。风险容忍度是风险偏好的具体体现，一般采用定量与定性相结合的方式确定，与风险偏好保持一致，并涵盖所有风险类别。第三十二条风险限额是对风险容忍度的进一步量化和细化。公司应在风险容忍度范围内，根据不同风险类别、业务单位、产品类型特征等，制定风险限额。第三十三条公司应本着审慎负责的态度制定公司的风险偏好体系，并报董事会审批。经批准的风险偏好体系应逐级分解至各职能部门和业务单位遵照执行。第三十四条风险管理部门应监测和报告风险偏好体系的执行情况。风险偏好或风险容忍度出现突破时，管理层应及时向董事会报告，采取应对措施降低风险水平，同时审查既定风险容忍度和风险限额的适当性。第三十五条公司应至少每年对风险偏好体系进行有效性和合理性审查，不断修订和完善。当市场环境和经营状况发生重大变化时，公司应考虑对各类风险水平的影响，对风险容忍度和风险限额进行调整，维持风险偏好的整体稳定性。第六章风险识别和评估第三十六条风险识别是指公司认识和发现在经营活动中所面临的风险的过程。公司应该通过风险识别描述风险的特征，系统分析风险发生的原因、风险的驱动因素和条件等。第三十七条公司应针对风险的特性，从多层次、多角度识别公司经营过程中面临的各种风险。风险识别应考虑内外部因素。内部因素包括公司治理因素、组织因素、经营管理因素和技术因素等；外部因素包括经济因素、自然因素、社会因素和政治因素等。第三十八条公司应对已识别风险进行分析和评价，评估风险对公司经营目标实现的影响程度，形成风险管理的依据。第三十九条公司应从风险发生的可能性和影响程度两个维度对风险进行评估。可能性是指风险在