如何正確理解合規與風控

◎文/楊 翔

合規，作為一項新興業務，近年來正在世界各國以驚人的速度發展。而對于不少中國企業來說，“合規”還是一個相對陌生的概念。舉國震驚的“中興事件”發生后，“合規”突然出現在國人面前，一時間成為中國社會熱議的話題。

一些已經在風險控制方面深耕多年的中國企業，按照直覺，習慣于將“合規”等同于“風控”，甚至認為“合規”就是“風控”的一方面。其實，“合規”與“風控”，無論是在涵義上還是實際操作中，都存在很大差別。

剎車與ABS

2004年，美國反虛假財務報告委員會下屬的發起人委員會（簡稱COSO）提出了企業風險管理的整體框架，將企業風險管理定義為：“在企業董事會、管理當局和員工影響下，開展內部控制及推進相關戰略應用于整個公司，旨在實現經營的效率和效果、財務報告的可靠性。”不難看出，“風險控制”更多偏向于減少企業戰略制定與執行的風險、偏向于改善企業內部環境、偏向于防止企業利益損失。

而“合規”的涵義則更加廣泛。目前，歐美等發達國家對“合規”的定義主要有三層。第一層是企業要在生產經營過程中，遵守公司總部所在國和經營所在國的法律規定及監管規定；第二層是企業經營要遵循企業內部規章制度，包括企業商業行為準則的規章；第三層是企業員工要遵守良好的職業操守和道德規范等。可以說，“合規”更多偏向于減少企業的綜合風險、偏向于企業的“內外兼修”、偏向于防止企業法律風險及信譽損失。

如果將企業形容成一輛不斷向前行駛的汽車，“風控”類似于ABS系統，而“合規”相當于剎車。合規與風控，是從不同視角來填補企業機制帶來的缺憾，二者不可以相互取代。企業只有把“合規”與“風控”組合在一起加以運用，才能保證企業的平穩運行。

合規是企業必須遵守的底線。由于其帶有強制性，一旦發生問題，將給企業帶來嚴重的負面影響。近年來，不少企業在合規方面出現問題，導致企業出現重大損失。因此，企業對“合規”的認識不斷加深，逐漸有超越“風控”的趨勢，成為當今企業管理的熱點。

從全球形勢來看，全球各國的法律法規近年來不斷增加，迫使各國企業管理者在公司的所有事務中發揮積極作用，特別是在遵守法律和行業法規方面。過去幾十年里，經濟形勢的大幅波動，也提高了投資者及企業利益相關者對企業合規的期望。他們希望投資于在合規監管方面享有盛譽的公司。這種壓力，增加促使公司董事會成員與經理和風險管理團隊努力建立起互惠關系，共同管控合規風險。

合規管理的利與弊

合規風險也稱為“完整性風險”。隨著商業和金融法規不斷發展，特別是2008年出現全球經濟危機以來，合規方面的法律法規更加完善，對商業行為的規范性要求越來越高，迫使企業以更加公平和道德的方式行事。

企業如果不遵守法律法規、行業準則、內部規定及社會倫理，會在風險合規性方面遭受破壞性威脅，如財務損失、物質損失、罰款和無效合同。除了經濟方面的損失風險之外，公司還會失去大量的商業機會及良好的聲譽，甚至面臨破產倒閉的風險。

自美國證券交易委員會1934年成立以來，最著名的立法是2002年通過的《薩班斯—奧克斯利法案》（通稱“SOX法案”）。這一法案因為安然公司和世通公司的公共欺詐丑聞而誕生，突顯了合規的重要性。兩家公司通過內部會計操作，向董事會隱瞞了企業面臨的威脅。為此，SOX法案要求上市公司對其內部控制政策等風控體系進行獨立審計。SOX法案的目標是使公司透明化，并防止會計欺詐。

由于完成內部審計等合規管理的高成本，很多公司尤其是小公司，對SOX法案感到不適應。另一方面，因為開展了合規方面的獨立審計，市場投資者能夠更加完整、有效地了解及評估公司信息，這讓合規方面成功的公司更有魅力，能夠吸引到更多投資者。

美國財務主管研究基金會對大型公司首席財務官進行的調查發現：83%的人認為，SOX增加了投資者對公司的信心，33%的人認為SOX減少了會計欺詐。實際上，美國國會也借鑒了企業在合規方面的成功經驗與案例，并將其作為立法的依據。

合規意識的確立

現在，大多數跨國公司董事會都敏銳意識到，他們需要建立合規管理體系，以保護公司免受各種風險。由于董事會成為了合規監督的決策者，企業此前的風險管理人員也面臨著角色調整，應該探討是否能在合規方面做一些新工作。

其實，企業的風險管理者要想做好工作，必須了解合規風險。但是，長期以來他們的主要角色是關注與企業戰略規劃相關的風險。如何在合規方面滿足董事會的要求，是董事會與風險管理團隊需要重點溝通的地方。

公司董事會的主要職責之一是戰略規劃，這是一個持續的過程。隨著董事會不斷探索公司發展的新途徑與新領域，新風險也必將伴隨新機遇出現。

風險管理團隊在討論戰略計劃時，需要密切與董事會合作。風險管理團隊的任務是詢問和評估新規劃、新策略為公司帶來新風險的人、事、地點、方式和原因等。他們的研究結果將為管理層和董事會的討論提供新的基礎，從某些新方向探討新規劃及戰略是否值得。其中，合規方面的考慮，也需要風控團隊認真對待。

當風險管理團隊、管理層和董事會成員最終決定追求新方向時，風險團隊的任務是制定可靠的計劃來管理相關風險。此外，風險管理者還有另一個角色。當新業務出現在董事會視野中時，董事會成員很可能忽視新業務與法律法規的聯系。公司會要求風險管理團隊收集和處理新業務合規方面的風險信息。此外，風險管理團隊還必須確認，收集到的新業務相關信息，是否必須向政府機構或公眾披露，以遵守合規性規定。

公司董事會需要意識到，合規是評價風險管理團隊的重要參數。董事會對合規的投入，在對于控制公司當前和未來戰略規劃中的風險，發揮著至關重要的作用。

合規風險的管理

最近，美國《華爾街日報》發表了一篇題為“合規風險：你不知道什么會傷害你”的文章，闡述了評估合規風險的框架和方法，引發各界高度關注。該框架描述了組織的風險敞口，并將其劃分為不同的風險域。公司董事會成員、高官可以使用客觀和主觀的方法來評估合規風險。文章指出，董事會和高管應該特別注意四個方面：法律影響、財務影響、商業沖擊、聲譽影響。

風險管理團隊和董事會還需要評估合規方面的固有風險和剩余風險。固有風險是已經存在的風險，需要加以控制，減輕風險。剩余風險是已知的可能存在的風險，這是公司不斷開拓新領域、努力增加市場份額中增加的風險，公司需要準確識別風險，并制定管理它們的戰略計劃。

公司董事會需要在合規管理方面，對戰略規劃和管理層履行職責承擔主體責任。董事會評估報告時，董事們需要優先考慮合規方面的監管事項。這就要求董事們必須了解合規與風險管理之間的區別，并知道他們的角色如何影響每個領域。

在此過程中，董事會成員需要學習如何閱讀合規方面的風險管理報告并提出問題，以便數據的目的和意義更加具有針對性。每位董事都應仔細評估報告，并在制定戰略計劃時充分考慮合規方面的問題。

因此，董事會成員、高管與風險管理團隊樹立起高度的合規意識，彼此之間形成有效、充分的合作，才能最大程度防范合規方面的風險，為企業發展保駕護航。