1、企业风险内控合规管理一体化建设为了提升国企抗风险能力，促进国有资产保值增值，从2006年至今，国务院相关部委发布了系列关于风险、内控与合规的政策文件。但由于政策发布时间不同、着眼点各异、师出多门，且风险管理、内部控制、合规管理三项工作在理论基础、组织架构、管理流程等方面都具有较大的类同性甚至交叉重叠，导致企业在实际工作开展过程中存在着风险、内控、合规三项工作分头推进，各行其是，不能有效发挥统一管控作用，以及相关管理措施与实际业务开展脱节严重的问题,直接影响了企业风控管理效果与经营效率。在此背景下，如何实现风险、内控、合规一体化建设，让风控体系真正融入企业日常经营管理中，充分发挥为企业发展保驾护
2、航的作用，成为各企业持续关注的重点与难点问题。MD上交（企金内m11M11重mu（上与m三Mn（企量内讨）micn）m图1：风险、内控、合规管理主要政策发布历程1 .风险、内控、合规管理的关系及一体化建设方向实现稳健高效的发展是大多数企业为之追求的目标，但过往的现实情况却是无论管理学理论还是管理实践都更加偏重对提升效率的追求，对安全经营的重视度远不及对效率的重视。从本质上看，安全与效率是企业经营管理的一体两面，对于企业的持续发展缺一不可,缺乏效率将导致企业发展陷入停滞，缺乏安全保障将导致企业发展陷入中断。近些年来，在面临宏观经济持续下行以及步入VUCA时代的背景下，企业对于安全发展的重视程度正
3、在不断增加，风险管理、内控管理、合规管理等各类助力企业安全稳健发展的风控措施不断得到重视与运用。与此同时，面对各式各样的风控管理名词也让企业产生了新的困惑：这些管理工具间的关系究竟是怎样的？如何有效落实这些风险管理措施？从本质上讲，无论是风险管理、内控管理还是合规管理，目的都是针对企业遇到的各种经营风险，通过采取针对性的管理手段来消除或降低风险，以实现稳健发展的目标，都属于企业风险管控的范畴。关于企业面临的风险类型，基于风险来源不同可以划分为六大类。从企业内部看，主要面临的是人与组织能力态度的风险，即道德风险、能力风险；从企业外部看，主要面临合规风险、市场风险、品牌风险、自然风险等风险。风险管
4、理是通过识别评估可能影响企业的各类潜在风险，采取相应的风险应对策略，以实现对风险进行有效的控制；内控管理是企业为有效控制各类业务经营管理风险，所采取的系列内部控制措施，其核心是对业务活动的风险控制；合规管理是企业为有效防控合规风险，确保依法合规经营，所采取的合规管理举措。从中可以看出，风险控制是风险、内控、合规管理共同的管理导向，内控管理是控制风险的管理手段，合规管理只是风险与内控管理的一个子项,鉴于合规管理的重要性以及当前企业合规管理问题的突出性，特将其单独作为一个重点领域来管理。基于以上关系，在风险、内控、合规一体化建设方面，企业应建立健全以风险管理为导向、合规管理监督为重点，严格、规范、
5、全面、有效的内控体系。为实现风控体系与业务管理充分融合，企业应树立和强化管理制度化、制度流程化、流程信息化的内控理念，将风险管理和合规管理要求嵌入业务流程，促使企业依法合规开展各项经营活动，实现“强内控、防风险、促合规”的管控目标，形成全面、全员、全过程、全体系的风险防控机制。图2：风险、内控、合规管理一体化建设方向2 .风险、合规、内控一体化建设原则建设风险、合规、内控一体化的风控体系应遵循四大基本原则。全面性原则将风控要求嵌入经营管理各领域各环节，贯彻公司决策、执行和监督全过程；重要性原则，在涵盖公司各项业务流程的基础上，重点关注重要业务事项和风险领域；适应性原则，确保各项风控措施与公司经
6、营规模、业务范围、竞争状况和风险水平相适应，并随着情况的变化及时加以调整;成本效益原则，所有风控措施应权衡实施成本与预期效益，以适当的成本实现有效控制。在遵循四大基本原则的基础上，具体开展风险、合规、内控一体化建设，首先要建立一体化的风控组织管理体系，即“谁来做”；其次，要建立一体化的风控制度体系，即“怎么做”；再者，要构建一体化的风控运行监督与评价体系，即“做的怎么样”；最后，还要建立风控运行保障体系，即确保能“持续的做”。3 .组织管理一体化建设建设风险、内控、合规一体化的风控组织管理体系，要厘清四个层面组织的职能定位，确保各层组织发挥应有的作用。第一，领导层，领导层高度重视是风控体系发挥
7、作用的基石。其中企业党委（党组织）要在风控体系建设中发挥把方向、管大局、促落实的领导作用；董事会要发挥在风控建设方向的领导作用与重大风控事项的决策作用，为企业风控管理保驾护航；经理层要履行谋经营、抓落实、强管理职能。第二，业务部门，作为风控管理的第一道防线，是风控管理体系建设的重要参与者，也是风控管理体系的具体执行部门，业务部门的充分参与是风控体系得以落地的前提。第三，风控管理部门，作为风控管理的第二道防线，主要负责组织风控管理体系的建设、日常监督与评价工作。风控管理部门设置不宜过于分散，应尽量由一个部门统一负责风险、内控、合规的统筹管理。考虑合规专业的特殊性，风控部门内部可以下设内控专业管理
8、线(含风险管理)与合规专业管理线两个专业团队即可。当然，如果企业法务部门实力比较强，让法务部门负责合规管理也是合理的。第四，审计与纪检监察部门，作为风控管理的第三道防线，负责对企业经营管理行为进行监督，为违规行为提出整改意见，在职责范围内对违规事件进行调查，并结合违规事实、造成损失等追究相关部门和人员责任。二iMMIM-三IM第三flWI图3：风险、内控、合规一体化组织管理体系4 .管理制度一体化建设(1)风控体系与业务经营的全面深度融合。企业在开展风险、内控、合规等风控制度体系建设时，最常见的问题是风控体系与业务管理存在“两张皮”的问题，当企业风控体系脱离了具体业务管理制度流程时，也就成了无
9、本之木，自然难以起到风险控制的作用。从本质上讲，风控管理绝不是独立于公司业务管理体系另起炉灶重新做一套新的管理体系，而是要与具体业务制度流程深度融合，将风控的管理方式方法内化到业务制度流程中的一种管理方式。从过往管理实践看，实现风控制度体系与业务管理的全面深度融合，关键是要做到风控管理体系与业务管理的“六融合”,才能真正让风控管理落地生根，让企业实现稳健高效的发展。战略管理融合，在开展战略管理时重点关注战略决策权控制、数据来源控制、战略预算分析与执行分析控制、战略调整与评估控制组织管理体系融合，重点关注公司治理结构制衡性、权责分配合理性、岗位设置兼容性等问题制度流程管理融合，重点关注制度流程健
10、全性、合规性及有效性建设绩效激励机制管理融合，重点关注绩效目标牵引性、绩效评价客观性、薪酬设置合规性与公平性、激励设置相容性财务管理融合，重点关注财务管理的资金安全性、预算可控性、投资有效性、资产保值性、核算真实性、税务合规性、审计客观性文化管理融合，重点关注企业核心文化理念对员工行为的引导性、对员工精神的凝聚性图4：风控与业务管理“六融合”框架(2)基本风控管理制度。过往企业基于风险、内控、合规管理相关政策的要求，建立了全面风险管理制度、内部控制手册、合规管理制度、各类运行评价管理制度以及其他专项管理规定等海量的风控制度，并且各体系制度之间相互独立，缺乏交圈融合。如风险与内控组织职能分工、相
11、关基本管理制度完全可以融合到同一制度中，实现风险与内控的统一管理。为了体现合规管理的重要性，合规管理可单独设置基本管理制度，让合规要求真正成为企业的管理红线。作为企业的基本管理制度，风控管理基本制度应由风控管理部门统一组织制定，而且必须经过党委会前置研讨，总经理办公会审核，董事会审定后方可发布。(3)风险管控清单。风险管控清单是指导业务部门对各自业务进行风险、内控、合规管理的主要工具，也是风控主责部门进行风控管理的主要依据。为实现风险、内控、合规一体化管理，可以将过往风险、内控、合规各管理清单中的核心内容，融合在一张风险管控清单中。风险管控清单主要内容有：基于各专业业务价值链分解出的基本业务要
12、素活动、业务要素活动对应的外规依据及内部管理规定依据、业务合规风险识别与评估、合规风险主要控制措施、业务内控风险识别与评估、业务内控风险主要控制措施、风控管理主责部门、相关记录等。风险管控清单的编制涉及企业所有核心业务活动的风险识别评估以及风险控制举措，编制工作量很大，对业务专业度要求极高，仅靠风控管理部门是不能有效完成清单内容编制的，需要各业务部门全面深度参与，才能编制出真正适合企业自身的风险管控清单。图5：某企业风险管控清单示例5 .运行管理一体化建设(1)建立重大风险预警与应对机制。各业务部门与风控管理部门应根据风险管控清单中所列风险，通过对风险发生的可能性、影响程度、潜在后果等进行系统
13、分析，对于经营过程中具有典型性、普遍性和可能产生较严重后果的风险及时发布预警。同时，要完善重大内控合规风险应对机制，针对发现的风险制定预案，采取有效措施及时处置。当发生重大风险事件时，由风控主管领导统筹领导，风控管理部门牵头，相关部门协同配合，采取措施妥善应对，最大限度化解风险、降低损失。(2)建立健全业务风险审查机制。企业应将风控审查作为企业重要经营管理行为的必经前置程序。业务部门要加强对本领域日常经营管理行为的审核把关，风控管理部门加大对规章制度制定、重大决策事项、重要合同签订、重大项目运营等合法合规性、内控措施健全性等重大风险审查力度，必要时可以对业务部门审核结果进行复审,对严重违反风控
14、管理要求的行为一票否决。对风控审查中暴露的问题要及时进行整改，通过健全制度机制、优化业务流程等方式，堵塞管理漏洞，形成长效机制。(3)建立统一的风控评价机制。风控评价是保障风控管理体系有效运行的重要工作，在推动风险、内控及合规一体化工作过程中，进行评价体系统一也是必要之举。企业可结合风险、内控、合规各评价体系的相关要求，明确风控一体化管理评价工作的组织形式、评价方式、报告路径、问题整改及跟踪机制，制定一体化评价的相关检查测试程序，编制一体化评价检查清单及评价底稿，明确一体化检查结果及缺陷认定标准，实现风险、内控、合规评价工作的整合，并有效降低评价工作成本。风控管理部门除了定期对风险内控合规管理
15、体系运行情况进行全面评价，针对重点业务风险内控合规管理情况可以适时开展专项评价，并对发现的重大风险和违规问题组织整改。图6：动态风控运行管理6 .支持保障体系一体化建设(1)强化风控管理文化建设。企业领导层应高度重视建立具有风控意识的企业文化，并将风控管理理念融入企业文化建设的全过程,促进企业风控管理水平、员工风险管理素质的提升，保障企业持续的稳健经营。企业可以通过建立制度化、常态化的风险内控合规等风控培训机制，制定年度风控培训计划，加大对企业员工的培训力度，将风控管理作为领导干部初任、重点风险岗位人员业务培训、新员工入职必修内容。同时，风控管理部门要组织编制企业过往风控管理案例,作为风控培训
16、的重要内容。企业自身风控管理的经验与教训案例，对于员工树立风控意识具有其他资料不可替代的作用。(2)建立风控管理考核与追责机制。将风险内控合规管理情况纳入对各部门和子企业负责人的年度综合考核，并细化评价指标。强化考核结果运用，将风控职责履行情况作为员工考核、干部任用、评优评先等工作的重要依据。在员工个人风控管理方面，企业可以建立个人违规行为记录制度，根据行为性质、发生次数、危害程度等，将其作为个人年度考评、评优评先的依据。同时，不断完善企业内部风控违规行为追责问责机制，明确违规责任范围，细化惩处标准，针对反映的问题和线索，及时开展调查，按照规定严肃追究相关人员责任。(3)风控一体化信息化建设。风控管理部门要积极推动风险内控合规一体化建设成果的信息化，要与业务部门、审计部门、信息化建设部门协同配合，推动企业“三重一大”、投资和项目管理、财务和资产、物资采购、人力资源等重要业务信息系统的集成应用，逐步实现风控体系与业务信息系统互联互通、有机融合。信息化基础较好的企业可以逐步探索利用大数据、云计算、人工智能等技术，实现风控体系实时监测、自动预警、监督评价等在线监管功能，进一步提升信息化和智能化水平。
