-
风险文化
-
风险管理目标
-
风险偏好
-
风险管理程序概述
-
风险评估及处理
-
监控及检讨
-
咨询及汇报
-
整合风险管理概述
-
ESG风险整合及气候韧性
-
业务韧性及连续性管理
本集团参照Committee of Sponsoring Organizations of the Treadway Commission（「COSO」）及国际标准组织（「ISO」）颁布的国际标准，度身制订企业风险管理框架，以符合本集团的业务性质、架构、持续增长及发展。企业风险管理框架由以下三个部份组成：
本集团奉行风险意识文化，并深信根深蒂固的风险文化为有效推行风险管理的关键。同时，培训亦可作为有效的工具以推动并促进管理层及员工实施企业风险管理。本集团根据以下主旨宣扬风险文化：
- 有效的企业风险管理不止於程序和形式，更是思维及行为的文化转变。
- 企业风险管理并非一个独立执行的计划，而是应为本集团度身制订，并融入至本集团的业务过程中。
- 企业风险管理为应对风险与机遇而设，适当的风险处理除了控制风险，更可把握更多创造价值的机会。
本集团的企业风险管理框架旨在增强我们实现愿景和达成使命的能力，并实践五大核心价值。为此，本集团已按下列风险管理目标建立稳健的企业风险管理框架:
- 履行诚信、商业道德及遵循法规的承诺，以作为我们的企业管治中不可或缺的部分
- 提高在瞬息万变的营商环境下应对不明朗因素的灵活性及应变能力
- 促进本集团能在掌握风险资料的情况下作出决定，使其目标、策略及营运与风险偏好相符
- 加强把握机遇及保障资产的能力，以支持可持续发展及创造共享价值
风险偏好，即本集团为实现愿景和达成使命而愿意承受的风险程度和性质。本集团的风险偏好声明传达至本集团上下，并纳入至风险评估准则，以确保与我们的业务目标、核心价值、策略及风险管理活动保持一致。风险偏好声明由董事会定期检讨，以紧贴瞬息万变的营商环境和本集团的最新发展。本集团的风险偏好如下：
- 本集团坚守最高水平的诚信、合规及商业道德标准，绝不容忍任何严重违反法律和法规的行为。
- 本集团对任何可能严重影响雇员健康及安全的威胁绝不妥协。
- 本集团避免任何可能对我们声誉或品牌造成严重损害的情况。
- 本集团致力透过将环境考量融入整个价值链、推进净零转型进程，以及避免从事可能对环境造成重大损害的活动，以持续减少环境足迹。
- 本集团尊重人权，并在营运及供应链管理中推动共融及公平实践。 我们致力透过负责任的慈善伙伴合作创造正面的社会价值，同时避免从事可能对员工、持份者或社区造成重大损害的活动。
- 本集团尽力减少业务中断情况，及对业务连续性造成重大影响的营运事件。 另外，本集团对气候变化所衍生的营运风险保持警觉，并持续加强气候适应措施，以提升营运韧性。
- 为履行财务承诺，本集团在作出可能影响长远财务稳健性及流动性的决策时，会审慎行事。
- 本集团平衡风险与机遇，并实施适当策略，以减少业务决策失利、降低未能达成ESG承诺及净零排放进程的可能性，并提升本集团的长期价值。
董事会负责监督整体的风险管理程序。本集团重视创造和保障价值，并采用三线模型作为其风险管治架构。该模型明确界定不同角色的职责，加强彼此之间的合作与沟通，以促进风险管理活动之间的一致性，并为董事会提供鉴证。
.webp)
- 对本集团的风险管理及内部监控系统承担最终责任
- 透过审核委员会的检讨，确保本集团的风险管理及内部监控系统的适当性、充足性及有效性
- 厘定及检讨风险偏好，确保与本集团的核心价值、策略目标、业务环境、风险承受能力及不断演变的风险格局继续保持一致
- 授予审核委员会监督风险管理及内部监控系统的权力
- 对风险管理及内部监控系统提供独立监督，并检讨其适当性、充足性及有效性
- 检讨本集团的风险状况，并就现有与潜在风险及其相应的风险处理计划向董事会提出建议
- 决定及分配充足的资源以确保企业风险管理体系能有效运作
- 检讨本集团的主要风险及厘定其优先次序，并审批风险处理计划
- 确保风险管理及内部监控系统的成效
- 领导及监督本集团风险管理及内部监控系统的执行状况
- 就所有与企业风险管理有关的事宜向审核委员会及执行委员会提供意见
- 加强本集团上下的风险意识及推广风险意识文化
- 于日常营运及其负责的范畴中担任风险责任人，并执行风险评估，以识别、分析及评核风险
- 设计、执行及评估风险处理计划，并定期于风险登记表内汇报
- 设立重大监控措施资料库，并定期对内部监控系统进行自我评估，以检讨成效
- 充分考虑组织独有的业务性质、风险状况及监管环境，设立适当的管治架构，对重大风险进行有效监督，确保该等风险维持于既定的风险偏好内
- 担任其负责部门的风险责任人，并执行企业风险管理职责
- 维持最佳常规并向企业风险管理督导小组提供建议
- 协助管理层设计及制订企业风险管理程序及风险缓解计划
- 促进风险管理程序，包括识别及监察已知及新兴风险，汇集本集团已识别的主要风险并厘定其优先次序，以及向高级管理层及委员会汇报
- 于本集团内宣扬风险意识文化
- 监察主要风险指标及检讨风险缓解计划的执行状况
- 评估风险管理及内部监控系统的充足性、适当性、成效及其效率
- 于制订年度审计计划及规划每项审计工作时，考虑各项主要及新兴风险以及主要监控流程
- 以风险为本的原则进行风险处理计划的核实工作
- 对本集团的财务报告程序及监控提供独立的观察及建议
- 视乎评估范围，根据相关监管规定或风险管理标准（例如ISO 31000:2018风险管理标准），对企业风险管理系统的流程及程序进行独立评估
- 于需要时就最佳常规提供意见及╱或对合规性提供鉴证
- 对相关单位、范畴或活动执行规管监督
-
为持份者提供独立及保密渠道，以便向集团审核部直接报告任何严重事项，包括任何受高度关注的有关本集团╱或其员工涉嫌或证实的诈骗、贪污、违约、渎职、不当或违规行为。有关详情，请参阅载于本年报的企业管治报告
风险管理程序由确立背景开始，当中考虑外部环境与大趋势及本集团所面对的风险。 风险继而被识别、分析、评核并以适当的措施应对。 透过持续检讨、监察、报告及咨询，风险管理程序整合至各个业务过程及活动，以优化风险与回报。
为建立全面而稳健的风险管理程序，本集团采用由上而下及由下而上的方式收集风险见解及监察与管理风险，同时以《企业风险管理政策》及《企业风险管理程序》提供适当指引。 此外，风险负责人与集团风险管理团队之间保持交流，使各方能够紧贴最新风险状况。
风险管理程序
.webp)
1. 确立背景
本集团明确界定风险的内外背景（例如企业目标、核心价值、组织架构、持份者、业务板块、营运地区、监管环境），并厘定风险评估准则的要素。
2. 风险识别
本集团采纳由上而下及由下而上的方式，配合外部搜集及内部传播的机制，以促进全面的风险识别过程。
.webp)
3. 风险分析
本集团采用两阶段的评估方法，业务单位及总办事处部门需进行初步风险评估，并筛选出主要风险进行全面风险分析。我们在整个过程中采用了多元的风险评估准则，涵盖发生可能性、影响程度、风险速度、风险变动预测、固有风险水平及剩余风险水平。
4. 风险评核
风险分析结果与风险偏好及容忍程度作比较。此举让管理层能够按每项风险制订风险应对策略，并对风险处理计划的优先度排序。
5. 风险处理
基于风险的优先次序及性质，各业务单位以及总办事处部门制订风险处理计划，以执行风险缓解措施。
本集团持续跟进、检讨及核实企业风险管理框架的执行情况，以监察各项风险、风险变化、其剩余风险水平，并确保及提升企业风险管理框架的成效、质素以及成果。
| 由上而下的管理层面谈 （每年） |
集团风险管理团队与本集团及其业务单位的高级管理层就业务环境的新兴政治、经济、社会、科技、法律及环境（「PESTLE」）趋势进行深入风险讨论，以收集彼等对本集团所面临风险形势的见解。 |
| 由下而上的风险登记表审阅 （每半年） |
业务单位以及总办事处部门审阅风险评估及风险处理计划，并向集团风险管理团队提交风险登记表，以整合为本集团的整体风险状况。 |
| 主要风险指标监察 （每季汇报，但若发现任何数值超过预定水平，须马上作出通知） |
本集团采用由核心指标及灵活指标组成的两层制主要风险指标架构，以监控主要风险的风险变化。其中，核心指标为应用于各业务单位的标准化指标，以一致性的方式监察潜在超出风险偏好的情况；灵活指标则为根据各业务单位的独特风险特征而设的定制化指标，以因应其风险状况变化进行更具灵活性的监察。倘若任何主要风险指标数值超过预定水平，管理层会收到风险警报以便及时作出应对，并适当汇报予执行董事。集团风险管理团队亦会监察主要风险指标及超限指标的相应跟进行动。 |
| 风险处理核实 （每年） |
集团风险管理团队检讨风险登记表或主要风险指标报告所载的风险处理措施的执行情况。集团审核团队亦于内部审计过程中以风险为本进行核实，以测试主要风险的风险处理措施。 |
| 重大监控措施资料库及整合内部监控自我评估 （每半年） |
业务单位及总办事处部门审阅主要业务流程及相关重大监控措施的资料库，并进行整合内部监控自我评估，参考COSO框架评估及确定其风险管理及内部监控系统的有效性。 |
| 预警机制 （持续） |
本集团采用风险预警机制，以主动识别及评估新兴风险与可能突然加剧的风险，如质量、健康与安全、灾害以及公关事件。当意识到会造成严重影响的潜在风险时，员工需对有关风险作出预警，并向相关直属主管及风险监督方呈报。 |
| 举报机制 （持续） |
本集团已为内部及外部的持份者制订举报政策及提供举报渠道，举报个案会汇报予执行委员会及审核委员会。有关详情，请参阅本年报的企业管治报告。 |
| 企业风险管理系统独立审阅 （每年） |
企业风险管理系统的过程及程序每年由独立合资格外部评估机构或集团审核团队进行独立检讨。年内，本集团委聘香港通用检测认证有限公司根据ISO 31000：2018风险管理指引评估其企业风险管理实施情况。 |
透过前节所述的全面风险管理流程，本集团已识别可能影响其达成业务目标的主要风险。然而，风险会随著营商环境中各种动态力量及因素的相互作用而变化。部分现时并不显著的风险日后或会演变为主要风险，而部分风险亦可能尚未被识别。因此，本集团会定期检讨及更新风险状况以适时应对不断变化的风险格局。
整体风险趋势及新兴的风险驱动因素
尽管上述发展或会对消费开支、投资决策及融资环境带来影响，但凭借稳健的资产负债表、充裕的流动资金及审慎的财务管理，本集团仍具备良好的抗逆能力。现有的流动资金及融资能力足以支持本集团在正常及受压情况下的业务营运及策略性发展。尽管外部环境仍存在不确定性，本集团的整体风险状况仍维持在风险偏好范围内。
科技转型依然是提升本集团竞争优势的策略重点。人工智能、自动化及数码技术的发展，为提升营运效率、客户体验及决策效能带来了重大机遇。集团旗下的业务单位正加快推动新兴科技的应用，而相关投资均需经过试点验证及持续评估，以确保其在广泛应用前具备明确的商业价值、合适的应用场景，以及审慎的成本效益考量。例如，保险业务正透过数码平台、数据分析及人工智能等方案，以提升客户体验、优化营运流程及强化分销效能。与此同时，建筑业务正进一步应用智慧工地技术及建筑机械人，以提升工程质量、生产力、安全表现及成本控制能力，并营造更现代化及科技化的工作环境，借此吸引及挽留新一代人才。
随著对科技的依赖日益增加，本集团面临的网络安全威胁、数据私隐及人工智能管治等相关风险亦有所增加。为此，本集团将持续加强科技风险管理、网络安全防护能力及相关的管治框架，确保各项科技转型措施能以安全、可靠及负责任的方式推进。同时，集团部分业务单位亦已制订专属的人工智能管治框架，以支持人工智能的负责任应用，其重点涵盖问责机制、风险评估、人工监督、持续验证及定期培训等范畴。此外，本集团亦透过培训计划提升员工意识及技术能力，促进有效运用生成式人工智能等新兴技术，同时提升员工对网络安全、数据保护，以及道德及合规要求的认识及重视。此外，集团拓展数码基建领域所带来的科技、营运及监管风险，将持续纳入集团的风险评估及监察程序。
另外，气候相关风险的重要性持续上升。极端天气事件的发生频率及严重程度日益增加、与减碳措施相关的转型要求不断演变，以及市场对ESG披露要求持续提高，均可能对本集团的业务营运、资产价值、项目交付及持份者期望带来影响。有见及此，本集团将继续透过气候情境分析、业务连续性规划、基础设施韧性提升措施，以及在ESG策略重点下推动各项可持续发展工作，进一步提升气候风险管理能力。
展望未来，本集团将继续保持警觉，密切监控不断演变的风险形势与机遇。透过提升风险意识、增强业务韧性及推动创新，本集团有信心有效应对各项不确定因素带来的挑战，并持续为持份者创造可持续价值。请参阅下列本集团已识别的主要风险及其应对措施。下表内容不旨在详尽无遗或全面地列出所有风险及应对措施。
宏观经济风险
风险描述
全球经济不明朗及复苏缓慢，有碍业务增长及财务表现
风险趋势
应对措施
- 分析财务表现并持续监察业务及经济数据，以评估经济带来的潜在影响
- 优化业务╱客户组合，减少经济波动带来的影响，分散风险
- 物色业务合作及合伙关系的机会，发挥周大福集团多元化业务网络中的协同效应
- 对可导致估值下调的经济状况之潜在影响进行敏感性评估
- 探索新业务机遇或新收入来源作为新增长动力
- 密切关注外币汇率变动，考虑在有需要时安排货币对冲合约
竞争风险 
风险描述
现有竞争者及╱或新加入市场者对本集团所经营的业务行业造成激烈竞争
相关的ESG事项：
创新及数码化
风险趋势
应对措施
- 通过有效的客户激励计划和完善的客户关系管理，扩大并保持市场份额
- 进行市场及竞争对手分析以评估我们的竞争地位，并制订相应的策略计划
- 利用科技优化客户体验及营运效率
- 获取进阶资格及业界认可的认证，以提升我们的技术能力及竞争优势
- 利用周大福集团的协同效应，加强竞争优势
政府政策及干预风险
风险描述
政府干预、或实施政策、法律或法规，使本集团面临法律或监管责任、业务中断、声誉受损及╱或财务损失
风险趋势
应对措施
- 密切监察适用之政府政策及法律法规的变动，并制订合适的应变策略及计划
- 向员工提供最新资讯及╱或培训以配合政府新政策及常规
- 与外部机构（如相关委员会或协会）积极沟通以了解变动并共同发表意见
- 与顾问、学者及大学合作，以就适应政府政策的变动获取意见
地缘政治风险
风险描述
各国之间的冲突、个别业务面对的政治问题、政治动荡等因素影响本集团维持盈利的能力
风险趋势
应对措施
- 密切关注最新地缘政治议题发展并评估有关议题的影响
- 就制裁等政治因素导致的任何监管要求的转变寻求专业意见
- 考虑不同背景（如行业、国籍、资金来源等）的投资者和资产，扩大投资范围
- 根据情况推迟在相关地区的资本开支
- 透过投资在不同地区和市场的业务机遇，分散地缘政治问题的影响
网络安全风险
风险描述
网络安全问题或会威胁数据完整性、保密性以及系统可用性，可能对声誉、财务状况和营运表现造成不利影响
相关的ESG事项：
网络安全及资讯安全
风险趋势
应对措施
- 建立全面的资讯安全防护，制订明确的政策及安全管控措施，如授权及认证机制、具有进阶威胁防护功能的防火墙、网络免疫系统及适切访问管控
- 定期提供培训和进行网络钓鱼演习，提高网络安全意识
- 购买网络安全保险以涵盖因网络安全事故或数据遗失事故造成的损失
- 聘请资讯安全专家评估网络安全漏洞及监控措施
- 确保符合法规和标准。定期更新安全规格，以维持高标准及应对新出现的威胁
项目管理风险
风险描述
因重大项目的规划、执行、监察或控制不当而产生的风险，可能影响本集团实现策略目标及财务表现
风险趋势
应对措施
- 进行全面的项目规划、风险评估及资源分配，以支持有效的项目交付
- 透过定期会议、现场巡查及管理层审查，以监察项目进度、成本、质量、安全及营运表现
- 实施预警、变更管理、汇报及上报机制，以迅速处理项目问题、延误及成本超支
- 透过员工培训、人才发展、挽留人才措施及充足的人力规划，加强项目管理能力
- 透过供应商多元化、绩效评估、策略性备用安排和及时付款措施，加强供应链及分判商管理
质量、健康与安全风险
风险描述
产品、服务或业务活动不符标准或不安全，有碍本集团达致质量、健康与安全目标
相关的ESG事项：
负责任产品及服务、健康与安全
风险趋势
应对措施
- 推行质量保证计划并检讨绩效数据，确保表现和服务质量保持一贯水准
- 制订程序和指引，设立质量、健康与安全标准，并定期为员工提供培训，提高其安全意识和服务表现
- 安排客户满意度调查，收集客户意见
- 对每宗意外或投诉进行评估，识别需改进的地方，并采取跟进措施
- 设立专门委员会，加强对投诉处理的管理
- 建立全面的安全管理系统，定期进行安全检查及审核
- 运用先进的技术来改善品质、健康与安全标准
人才吸引及挽留風險
风险描述
未能吸引及╱或挽留人才以支持营运，影响业务目标的实现
相关的ESG事项：
人才吸引、挽留及发展
风险趋势
应对措施
- 定期检讨现有薪酬待遇，并与业界基准进行比较
- 提供发展及培训计划，以提升员工的能力并推动其事业发展
- 通过提供各种健康促进计划、与员工沟通及提升其参与度的活动和渠道，促进公司的关怀文化，增强本集团与员工之间的凝聚力，并聆听员工意见及满足其需求
- 拓展招聘渠道，推广本集团的雇主品牌，提升本集团于人才市场的竞争力
- 利用自动化及机器人技术缓解劳动力老化问题，同时培养以创新为导向的文化来吸引及挽留新一代人才
信贷/ 违约风险
风险描述
与公司有业务往来的义务人（如债务人、客户、租户）违约或任何未履行其目前或未来义务的其他情况
风险趋势
应对措施
- 在建立合作关系前对客户、分判商和供应商进行全面的信用评估和背景调查
- 对相关方施加限制或要求按金或保证金，并维持多样化的客户组合以降低风险
- 持续监控应收账款，并编制定期报告，追踪逾期款项以采取追讨行动
- 实施健全的债务追收程序，并应用科技自动化逾期付款的警告和追收提醒
- 确保遵循信用管控程序，并与客户保持定期沟通
气候风险
风险描述
因气候变化产生不利影响的风险， 包括自然灾害及极端天气事件所带来的实体风险， 以及与向低碳经济转型相关的过渡风险
相关ESG事项：
气候变化
风险趋势
应对措施
- 开展气候情境分析，以评估气候相关风险的财务影响，以支援气候适应策略的优先排序及制订 实体风险
- 建立必要程序，包括业务连续性及恢复计划，以应对各类自然灾害，并透过定期进行演习及培训支持有关工作
- 利用科技加强巡查易受自然灾害及极端天气影响的实体资产和设施，并进行改善工程
- 实施预防中暑的安全措施，并透过先进建筑方法减少户外工作
- 评估并确保保险的保障范围足够，尽量减低潜在经济损失 过渡风险
- 密切监察及跟进气候相关监管及披露方面的发展
- 将负责任投资要求融入投资政策，当中包括行业排除机制，以及涵盖气候相关风险考量的ESG尽职审查
- 定期检讨及更新气候过渡计划及实施路线图
- 实施能源管理及碳排放监测措施，以及探索及采用具成本效益的低碳技术、产品及材料
董事会对本集团的ESG及可持续发展事项进行整体监督，并就本集团ESG策略的制订及其目标与指标的达成进度肩负最终责任。审核委员会在董事会的授权下负责监督风险，包括ESG风险以及气候相关风险在内的各项风险，并评估缓解措施对管理风险的成效。
本集团采用其企业风险管理流程评估、管理、监察及汇报ESG及气候相关风险，并定期向企业风险管理督导小组、执行委员会、审核委员会及环境、社会及管治委员会汇报ESG风险状况（包括气候相关风险）及整合措施。
| 风险识别 | 配合本集团的ESG策略重点，重大ESG议题以及气候变化相关的实体和过渡风险，均已整合至本集团的风险数据库以促进ESG相关风险的系统化识别、评估及管理。集团风险管理团队亦与集团ESG团队保持紧密合作，将ESG相关观点纳入风险识别过程，并与风险负责人就相关ESG风险因素进行评估及交流。 |
| 风险评估 | 本集团致力将对环境和社会造成的负面影响降到最低，并已将ESG考量融入风险评估程序：
|
| 风险处理及监控 | 与本集团的企业风险管理方式一致，各个业务单位和总办事处部门需要根据已识别风险与其相连ESG事项的性质和优先次序， 就ESG相关风险制订主要风险指标和缓解措施。为进一步加强气候风险监察，本集团将利用气候情境分析，识别具意义的风险指标，以追踪主要气候风险驱动因素，并促进及时采取缓解措施。 集团风险管理团队亦与集团ESG团队紧密协作，透过分享集团的ESG风险洞察，以支持ESG相关风险的有效管理和ESG行动计划的制订。有关ESG相关事项的进一步资料，请参阅本年报的企业管治报告及独立的2026财政年度环境、社会及管治报告。 |
| 风险意识建立 | 我们定期举办培训课程，与管理层、风险负责人和相关人士分享我们管理ESG相关风险的方法，以及有关新兴趋势和广受关注的ESG和气候相关议题的资讯及知识。我们亦于常规的风险基础课程和深入的风险评估工作坊加入有关ESG及气候变化考量的章节。我们亦积极邀请集团ESG团队和外部专家分享对ESG相关风险管理的见解及最佳常规。所有相关培训材料连同本集团与风险管理及内部监控相关的政策、程序及指引材料，均载列于本集团ERMApps内的「ERM知识库」专区，以提升风险管理知识、要求及实务在集团内的可获取性，并促进一致理解及知识共享。 |
| 业务连续性管治 | 建立管治框架，并订明清晰的角色、职责及监督机制，以支持业务连续性管理在整个集团内有效实施 |
| 集团业务连续性管理框架 | 订明规范本集团业务连续性管理能力建设及规划的制订、实施及持续维护的原则、标准及要求 |
| 危机沟通计划 | 建立一套适用于全集团的系统化机制，以确保在危机及中断事件发生期间，能及时进行危机汇报、启动危机管理团队，并与主要持份者进行适当沟通 |
| 业务连续性管理方针及方法 | 透过业务影响分析及中断风险评估方法，识别关键业务活动、评估中断风险及业务连续性准备程度，并强调定期培训、测试、演练及检讨的重要性 |
| 集团审计报告 |
|
| 举报报告（如有） |
|
| 集团风险管理报告 |
|
| 检讨风险管理及内部监控系统 |
|
| 透过整合内部监控自我评估作出的管理层确认 |
|
| 外聘核数师报告 |
|
有关风险管理及内部监控系统成效的检讨结果，请参阅本集团年报的企业管治报告，以了解详情。
