環境、社會及管治風險管理

第一道防線

在第一道防線，董事局獲各業務部門和專責委員會的管理層協助。他們負責識別、分析及管理我們為達成業務目標而可能承受的相關風險，包括與可持續發展有關的風險。

專責委員會的成員來自各業務部門。太古集團環境委員會、多元共融事務委員會及健康與安全委員會的職責是管理和監察與SwireTHRIVE相關的可持續發展風險。專責委員會及工作小組的成員包括所屬領域的專門人才，各委員會由個別具備相關經驗的人士擔任主席。

專責委員會負責識別和管理特定的風險範疇、建議制定相關政策及滙報相關表現。專責委員會及工作小組的職責是識別其負責領域內的風險與機遇，以及擬定政策建議供集團風險管理委員會審批。

經集團風險管理委員會批核的政策適用於所有由太古公司擁有控股權益的公司。該等營運公司的董事局須採納這些政策，並制定程序以確保這些政策得以遵循。我們鼓勵合資及聯屬公司採納這些集團政策。

第二道防線

第二道防線的作用是支援第一道防線以及向董事局保證所有風險均得到完善管理。第二道防線共有兩個管理委員會，分別是專注管理集團層面風險的集團風險管理委員會，以及監察公司本身風險的太古公司風險管理委員會。

集團風險管理委員會由各業務部門的主管組成，並由財務董事擔任主席，透過審核委員會向董事局滙報。集團風險管理委員會監察集團及營運公司層面的非財務風險，其職責包括:

• 審視集團的風險概況以及審閱集團和各業務部門的風險登記冊
• 監察集團及營運公司層面的重大風險管理
• 識別新興風險和未來風險的潛在來源，包括環境、社會及管治風險
• 分析實際發生的風險事件，致力解決問題及從中汲取教訓

對於集團層面的風險，由集團風險管理委員會在四個風險論壇協助下處理。四個風險論壇分別負責環境、人力資源、科技及法律風險。至於非集團層面的風險，則由集團風險管理委員會在每家營運公司的第二道防線基礎架構協助下處理。

太古公司風險管理委員會識別集團層面的風險，並向集團風險管理委員會建議相關風險的管理方針。集團風險管理委員會和太古公司風險管理委員會由財務總監擔任主席，主席則由集團風險管理總監提供支援。

集團的企業風險管理框架符合ISO 31000等國際標準。我們採用自上而下及自下而上的企業風險管理程序，以包納營運公司的特定風險和集團層面的重大風險。

董事局就風險的優先次序提供指引，營運公司各自評估風險，太古公司風險管理委員會則負責管理集團風險。所有風險均須呈報集團風險管理委員會，並記入集團風險登記冊，然後提交審核委員會和董事局。

各營運公司根據所編製和管理風險登記冊的方式，採取一致的企業風險管理方針。營運公司各自負責識別、評估、緩減及監察其業務的風險。

太古公司已制定網絡安全及資訊保安政策，並監督其遵守情況，同時定期按照獲認可的美國國家標準技術研究所網絡安全框架(NIST CSF)進行網絡安全成熟度評估。集團旗下數間主要營運公司亦參照ISO 27001標準以進行資訊安全管理。

太古公司已委任一位集團資訊保安總裁，並在資訊保安總裁的指導下成立一個中央網絡安全卓越中心。網絡安全卓越中心的團隊致力提供指導、分享最佳常規、進行研究、推動創新，以及為公司旗下各營運公司提供支援與培訓。這支中央團隊負責制定集團網絡安全策略，以及擬定和維護安全政策和標準。中央團隊亦負責管理網絡安全計劃和項目，以及確立網絡安全的服務範圍，其中包括但不限於網絡安全成熟度評估、威脅及漏洞管理、妥善管理的網絡安全監控中心、事故應變協定、攻擊面管理和紅隊演練。