一、建立风险管理的组织架构体系
　　一是成立内控与风险管理委员会，负责审议公司风险管理政策与策略、风险管理程序、组织机构建设等事项。风险管理委员会由总经理、副总经理、总会计师及相关部门主要领导组成，负责风险的管理工作;成立内控与风险管理处，负责风险管理及内部控制体系建设、运行、维护的组织及日常监督。其主要职责是履行风险管理职责，负责内控与风险管理工作，组织建立内部控制体系，从控制环境、风险评估、控制活动、信息与沟通、监督五要素方面建立完整内部控制手册，建立以风险管理为核心、以流程为手段，以财务报告风险、经营管理风险、法律防控风险为主要对象的风险防控体系。
　　二是成立QHSE管理监督中心，负责对公司的安全、环境保护、质量风险进行辨识、分析、建立体系文件，削减安全、环保、质量领域的风险。
　　三是成立审计监察部门，负责效能监察、工程建设、合同、物资采购等领域的日常监督检查活动，主要负责对风险管理监督体系进行评价，制定监督评价相关制度，开展监督与评价，出具风险监督评价审计报告。
　　四是成立体系网络机构，企业其他职能部门及各业务单位在风险管理工作中，应接受风险管理职能部门和内部审计部门的组织、协调、指导和监督。

　　二、开展风险评估
　　1.确定风险类型
　　将风险分为易于量化风险和不易量化风险：易于量化的风险是价格风险、不履约风险、计量风险、融资风险、财务报告风险、操作风险、环境风险;不易量化的风险是战略风险、经营风险、决策投资风险、资源风险、运营监控风险、信息技术风险、科技创新风险、生产运行风险、法律风险、报告风险等。
　　2.确定风险的偏好
　　风险偏好是指一个企业在追求价值的过程中愿意接受的风险的数量，风险偏好反映了企业风险管理的理念，反过来又影响企业文化和经营风格。风险偏好取决于公司的价值观和风险管理哲学，同时又反过来影响公司的企业文化和经营模式。中国石油庆阳石化分公司初步确定的风险偏好是在坚持“发展、转变、和谐”三大主题下，坚持诚信稳健经营，适度承担部分中等风险，不断提升公司价值。
　　接受公司为转变经济增长方式引进技术、提高自主创新能力时需要耗费大量资产的风险，接受公司建立安全环保节能长效机制可能造成利润率降低的风险，接受为发展建设和谐企业可能造成经营效率受影响的风险，接受公司为采用新技术研发投入但可能失败的风险;不接受公司重复建设、资源浪费的风险，不接受健康、安全及环保方面发生重大事故的风险，不接受公司稳健、诚信、负责任的公司形象严重受损的风险。
　　3.确定风险容忍度
　　风险容忍度是指对于一项具体管理目标可以接受的偏离程度，在公司不同的生产单元和管理部门，风险容忍度是根据其不同的管理目标具体确定的。
　　4.评估风险可能性和影响的标准
　　定性方法：企业声誉、企业文化、管理目标;定量方法：财务资产损失;定性和定量方法相结合：法律、安全、营运、环境。

　　三、对风险进行分析
　　1.识别风险
　　即考虑在公司所处环境和条件下，对公司实现其目标有影响的事项发生的可能性，考虑影响公司目标实现的内外部因素，并从这些因素中总结和记录风险，从根源上找寻对公司目标实现造成影响的事项。
　　2.确定风险源
　　建立公司进行风险管理的对象，为后续的分析风险及应对打下基础，从根源上找寻对公司目标实现造成影响的事项。外部风险源由外部因素所控制：像自然环境、社会环境、法律环境、经济环境、政治环境、行业环境、技术、竞争、外部利益方需求、其它关键驱动因素等;内部风险源由公司内部风险管理政策和策略、员工和组织、流程与程序、技术基础等因素所造成的不确定性等。
　　3.对关键风险及潜在高风险的初步分析
　　整体分析对公司、部门、业务单元所面对的外部环境和利益相关方的影响。如自然环境、法律环境、经济环境、政治环境、行业环境、技术、竞争、外部利益方需求、其他关键因素等。
　　4.分析风险
　　在风险识别的基础上，了解各项风险实质的系统性分析过程。见表1。目的在于在评估现有控制有效性的基础上，从以下两个维度对风险进行分析：一是风险发生的可能性，按风险源的性质选择风险标准，通过评分和界定权重，最后得出可能性分值;二是风险的影响程度，按风险源性质选择分析标准，通过评分和界定权重，最后得出影响分值，作为决定是否需要采取应对措施以及选择最恰当和最有效的风险应对策略的依据。用公式表示为：
　　相关风险的风险值=可能性分值×影响分值

　　四、风险评估的应对措施
　　为选择应对措施提供决策基础，通过比较风险分析结果划分风险等级，重新审视公司的风险偏好和风险容忍度标准，为选择应对措施提供决策基础。基于风险分析的结果，进一步决策未来需采取的行动。
　　首先，风险发生的可能性及影响程度共同决定风险值，按风险值进行排序，识别关键风险，以决定投入的关注程度或实施风险应对的力度与时间。
　　其次，风险偏好决定风险等级的划分办法。根据公司初步设定的风险偏好，结合评估风险发生可能性和影响程度的标准，将评估出来的风险划分为高、中、低、较低四个风险领域。
　　再次，选择和运用具体措施对风险进行管理。风险管理的最终目的是利用公司现有的资源对公司所面临的风险，分不同情况采取措施进行应对，风险应对方案基本类型：风险规避、风险减轻、风险分担、风险接受。
　　最后，编制具体的应对方案、防控文档、改善和解决深层次问题、消除或减少风险发生的可能性、减轻风险产生的不利影响。
　　对战略、财务、运营和法律风险，采取风险承担、风险规避、风险转换、风险控制等方法。
　　针对各种风险建立确定风险应对措施的程序和方法，对具有较高发生概率、影响重大的风险优先考虑;建立一套广泛适应的风险决策判断标准，即根据风险严重程度和企业的风险承受程度确定不同的决策;对降低风险水平所需成本进行合理分析，评估风险应对措施的成本与效益;选定风险处理措施后，根据剩余风险重新校订风险。

　　五、工作成果
　　针对分析出的风险确定对实现目标的影响，建立流程保障机制，将风险纳入流程控制之中，划分风险的控制类别。6年来，中国石油庆阳石化分公司已建立了财务风险数据库，确定风险612个，主要风险206个，风险控制措施612个，风险防控文档234个，规范建设流程434个，应用信息技术控制23个，总体控制67个，纳入信息技术风险防控的管理;建立经营风险数据库1个，确定风险128个，主要风险63个，风险控制措施128个，防控文档89个，流程136个;建立法律防控风险数据库1个，风险80个，风险防空文档40个，流程40个，控制表单35个。建立安全环保流程16个，防控文档10个;建立了公司组织机构、职业道德、人力资源政策、员工岗位描述、培训、权利与责任机制、职业道德、高管基调、反舞弊与控制、内部审计、经济活动分析等公司层面的风险控制文档;编制权限指引，规范各级领导的职责权限，防止了权利的滥用失控。建立安全环保程序文件2册，有效防范了各个层面的风险，保证了公司生产经营活动的顺利进行。

　　六、结论
　　中国石油庆阳石化分公司通过开展风险评估、建立风险控制手册，有效地防范了经营风险、财务风险、法律法规风险、决策风险、安全环保风险、并建立了日常的监督机制，通过测试、内部审计、效能检查、合同专项检查、制度建设、工程领域专项治理检查、反舞弊检查、财税检查、地方政府综合治理检查等活动。六年来，公司未发生一起因风险失控引起重大风险事件，取得了较好的管理效果。