服務熱線
400 180 8892
在《國有企業如何構建風險、內控、合規一體化管理體系？（一）——“四個統一”的管理機制》一文中，我們提出國有企業構建“風險、內控、合規一體化管理體系”應建立“四個統一”的管理機制和“一個核心”的運行機制，以實現體系融合，并在該篇文章中詳細介紹了建立“四個統一”的管理機制的方法和實踐經驗。本篇文章將繼續分享關于風險、內控、合規一體化工作中建立“一個核心”的運行機制的方法和實踐經驗。 一個核心”運行機制 在一體化體系建設中，除了“四個統一”的管理機制外，從管理體系最終落地實施的角度來說，還需要建立以風險管理為核心的運行機制。全面風險管理、內部控制及合規管理在運行機制上均強調了風險管理，也是三體系整合的基礎。一般來說，以風險管理為核心的運行機制包括風險識別、風險評估、風險應對、風險監控、風險檢查及持續優化。 風險識別 基于風險管理的運行機制的基礎是識別風險，建立涵蓋內控、合規及其他運營風險的風險庫。一體化的風險識別所運用的方法和工具，與傳統的風險識別并無太大區別。但要整合形成統一的風險庫，需要注意以下兩個方面的問題。 首先，需要結合企業實際，建立適用的風險管理框架，該框架需要考慮風險分類、內部控制流程及合規業務領域之間的對應關系。從目前的實踐來看，并不會采用單一的風險分類標準，而是根據企業實際情況，運用統一的風險框架，能夠涵蓋所有風險分類，并能夠對應到內部控制流程及合規業務領域所關聯的風險。 其次，需要統一風險庫的風險級別（或風險描述的顆粒度）。統一的風險庫需要對相關風險進行描述，但內控、合規及其他運營風險在風險級別上存在差異。特別地，合規風險一般需要關聯對應的外部法律法規，相關風險描述的顆粒度是最細的，企業可通過采用“總表”+“分表”的方式來區分不同類型風險的級別。 風險評估 從風險評估標準來看，針對內控、合規及其他運營風險，均可采用同樣的風險評估標準。按照風險發生的概率以及影響程度，結合定量數據和定性分析進行風險評估，然后根據風險評估結果歸類各種具體風險，最終形成風險管理清單。一般而言，風險評估可將風險分為重大風險、重要風險、一般風險和低風險等四個等級。 從風險評估的結果運用來看，根據風險評估結果，可進一步確定后續風險管理的重點，并對相關風險進行分析，基于不同類型風險確定后續的管控策略及管控措施，例如，重大風險含有合規風險的，應作為合規重點領域；對動態類型的運營風險，則需要作為重大風險進行專項的定期跟蹤及應對。 風險應對 根據風險管理理論，企業應根據自身業務特點確定風險偏好和風險承受度，明確風險的最低限度和不能超過的最高限度，并據此確定風險預警線及相應采取的對策。風險應對包括風險規避、風險轉移、風險降低、風險接受等四種方式。企業應采用一種或多種應對方式相結合，以有效管理和應對風險。針對低風險，一般可通過現有制度與流程加以有效控制，不增加額外控制。針對一般風險，公司應對現有制度與流程進行評估，查找差距與不足，補充完善控制措施。針對重要風險和重大風險，應在公司整體層面上加以應對。從實踐經驗來看，大部分的風險應對，主要以風險降低的應對方式為主。 針對一體化的風險應對，從風險應對的具體實踐來看，需要依據風險類型及管控措施類型做一定區分。 對于絕大部分的內控相關風險及部分流程類合規風險（即相關合規風險主要來源于相關業務程序會違反相關法律法規，例如投資及工程建設相關合規風險），主要設計固定的風險控制措施，通過日常的業務流程管控，包括但不限于事前合規審查及審核審批、事中監控、事后檢查等管控方式。對于此類型風險，企業可編制一體化手冊（以一體化風險管理矩陣為主），作為第二道防線的管理工具。 對于部分場景類的風險（主要以合規風險為主，即企業在多個業務場景中存在可能違反同一項法律法規），相關的風險管控措施需要依據不同類型的場景進行風險應對。對于此類風險，企業可編制相關合規指引或專項管理制度，對相關風險進行防控。 對于動態類的運營風險（相關風險會隨外部環境變化或相關風險依賴于短期業務事項，例如某個具體投資事項的投資風險），企業需要針對此類風險進行專項的動態風險應對，編制應對方案，對相關風險進行定期跟蹤、監督及報告。 企業除編制一體化的管理工具外，應根據管理制度統一的原則，將相關管控措施落實到具體規章制度中，實現風險應對及管控融入到企業日常業務流程中，實現風險管控的落地實施。 風險監控 風險監控主要針對重大風險及部分專項風險（量化的風險預警指標并不適用于所有風險），企業應建立重大風險指標監控預警機制和突發事件應急處理機制，依據監管要求、風險偏好、風險容忍度等標準設置風險閾值，對可能發生的重大風險或突發事件，制定應急預案、明確責任人員、規范處置程序，確保突發事件得到及時妥善處理。通過信息化手段推進重大風險監控預警體系建設，對重大風險進行動態跟蹤、自動預警、監督評價。 風險檢查 風險檢查則是進一步落實評價體系統一，在風險應對的基礎上，基于各項風險應對所關聯的過程文件及證明材料，擬定風險管理的檢查測試程序，編制風險檢查清單，以便第二道防線開展對風險管控措施的執行有效性檢查。定期以重大風險、重點領域和重大決策、重要管理及業務流程為重點，對風險管理、內部控制、合規管理的實施情況進行自我評估和檢查，對變化情況和檢查發現的缺陷及時加以改進，形成一體化運行的閉環管理。 持續優化 建立一體化管理體系運行的動態調整機制，通過定期的風險識別及評估機制，持續收集企業內外部風險管理、內部控制、合規管理的各類信息（包括外部法律法規及監管要求變化），調整各項風險應對及管控措施，監控風險的應對情況。對已經不再適用的風險或風險管控措施進行調整，同時結合風險檢查中發現的設計有效性問題，持續優化一體化體系的管理工具及公司規章制度，使得一體化管理體系能夠持續更新及優化。 小結 風險、內控、合規一體化管理體系建設是國有企業未來的發展趨勢，國有企業應結合企業自身的實際情況，通過一體化管理體系的建設，有效整合風險、內控及合規管理體系，在滿足外部監管要求的同時，整合及優化內部管理資源，降低管控成本，提升管控效率。國有企業可通過建立“四個統一”的管理機制以及“一個核心”運行機制，來推動風險、內控、合規一體化管理體系建設，提升企業經營管理水平，為企業發展保駕護航。
