中央企業合規內控風控三大體系強化與優化建設時不我待

符志民

合規是底線，內部控制是手段，防住風險是目標。系統、充分、正確、有效地深化、優化和整合風險管理體系、內部控制體系、合規管理體系十分必要。當下時機已經成熟，應統籌抓好謀劃、指導、協調和實行

當前，伴隨逆全球化趨勢加強、經濟增長乏力、“脫鉤斷鏈”侵蝕合作、俄烏戰爭持續等危機，世界正經歷百年未有之大變局。中央企業面臨前所未有的挑戰和壓力，亟須總結過往，剖析問題，正視差距，彌補不足，優化體系，強化風險管理、內部控制、合規管理三大風險管控體系建設，以提升抗風險能力，防住風險，化解危機。

中央企業風險管控體系建設成效顯著

2006年6月，國務院國資委印發《中央企業全面風險管理指引》，標志著中央企業全面風險管理征程起航。2008年至2010年，財政部等五部門發布《企業內部控制基本規范》及其配套指引，推動我國國有企業內部控制建設邁出重要步伐。2018年國務院國資委發布的《中央企業合規管理指引（試行）》以及2022年發布的《中央企業合規管理辦法》，正在引領中央企業建設合規管理體系。十幾年來，圍繞著風險管理、內部控制、合規管理三大管理體系，中央企業大致以每5年建設一種新體系的節奏推進；本著“邊建設、邊應用、邊改進、邊提升”的原則，中央企業快速運用了風險管理、內部控制、合規管理等方面的新思路、新理念、新理論、新技術、新方法和新工具，取得了顯著的成效。

風險管理建設和發展狀況。《中央企業全面風險管理指引》印發以來，2006年至2013年，中央企業針對“風險管理框架”集中完成了從無到有的首輪建設任務。主要工作有：設立風險管理組織架構，包括成立風險管理委員會、設立風險管理職能與部門；建立和明確企業風險管理文化、政策、目標、原則、規章制度、技術、方法、工具、流程、程序、規范等基本要素；針對分布在“三道風險防線”上的央企全員，開展風險意識、專業知識以及操作技能等方面的培訓；建立組織和業務層面的風險處置方案、數據庫以及風險管理信息系統；建設與規范企業針對重大風險的“提示/預警”機制以及危機預案；明確風險報告責任與報告關系；將風險管理實施效果納入企業績效考核范疇；形成企業基本的風險管理能力，推進風險管理在定戰略、作決策等方面的應用。

內部控制建設和發展狀況。21世紀初，一些海外上市的央企（例如中國石化），為加速公司管理與國際接軌，較早在組織中嘗試推行《內部控制——整合框架（1992）》標準，并一度在經營風險管控領域取得良好成效。一位央企負責人曾這樣描述企業內部控制：內控為企業解決了多年未能解決的控制混亂等老大難問題，保障和促進了企業目標的實現。隨著《企業內部控制基本規范》《企業內部控制配套指引》《企業內部控制評價指引》《關于加快構建中央企業內部控制體系有關事項的通知》的陸續發布，2009年至2013年，中央企業針對內部控制框架集中完成了從無到有的首輪建設任務。主要工作包括：圍繞企業組織和業務流程，識別關鍵風險點，建立組織層面/業務層面風險控制解決方案，明確控制責任（覆蓋三道風險防線），形成“風險控制矩陣”數據庫；建立和完善配套的內部控制規章制度，建立內部控制相關績效考核制度。與此同時，一些中央企業進一步將內部控制與管理創新、管理升級相結合，助力企業管理提升和整體轉型升級。

合規管理體系建設和發展狀況。以《合規管理體系指南》（ISO?19600：2014）頒布以及企業典型風險事件發生為背景，國務院國資委先后發布《關于在部分中央企業開展合規管理體系建設試點工作的通知》《中央企業合規管理指引（試行）》和《中央企業合規管理辦法》，為中央企業建立合規管理體系明確了要求、設立了框架。中央企業中，中國石油、中國移動等5家企業較早展開合規管理體系建設試點。經過幾年的探索和努力，完成的主要工作包括：制定合規管理辦法，明確各級管理層及全體員工的合規責任和義務，明確合規組織機構和合規團隊；制定合規管理相關制度和流程，推動將合規管理融入“關鍵業務/關鍵事項”流程；建立合規管理信息平臺；開展合規意識教育及人員培訓，培育合規文化。時至今日，隨著《中央企業合規管理辦法》的發布與實施，合規管理體系強化建設行動已在中央企業全面啟動。

中央企業在風險管理、內部控制、合規管理3個領域管理體系的建設與運行，遵循系統工程理念、思想、理論、技術和方法，系統化推進，專業化實施，有力推動中央企業朝著“全面風險管理框架和內部控制框架”整合管控方向邁進，顯著加快中央企業管理與國際先進水平接軌的步伐以及國際化發展的進程，強勁支撐中央企業管理轉型升級和核心競爭力的提升。

綜合認知風險管理體系、內部控制體系、合規管理體系建設的充分性、適宜性、有效性、引領性，主要考慮文化建設、制度/規范建設、機制建設、體系規制一致性、體系要素覆蓋性、過程管控力、資源配置、體系運用的模式/模型/技術/方法/工具、體系平臺/信息化能力建設、引領性等要素，依據組織風險管理、內部控制、合規管理成熟度評價模型，按照初始級、規范級、可度量級（精確管理）、優化級四個層級進行評價。目前，中央企業風險管理、內部控制、合規管理的成熟度水平不齊、參差不一，尚需提高。在風險管理、內部控制領域，少數企業處于初始級或優化級，大多數企業處于規范級，部分企業處于可度量級；一些企業處于初始級與規范級、規范級與可度量級、可度量級與優化級之間的水平。在合規管理領域，中央企業整體上處于初始級與規范級之間，一些企業位于規范級，少數企業位于規范級與可度量級之間。總之，與世界一流企業相比，中央企業在風險管理、內部控制、合規管理領域所呈現的管控能力與管控水平，存在不少差距，在一些評價要素上還存在明顯的不足。

三大體系建設尚存在一些問題

歷經17年發展，中央企業分期建設了風險管理、內部控制、合規管理體系，目前尚存在一些問題。

風險管理建設。中央企業普遍未采用《企業風險管理——整合戰略與績效（2017）》新版國際標準，未能與世界一流企業同步建設，規范化不足。某些企業風險管理、治理結構與職能呈現出“提升與改進梯度降低、進步加速度減慢”趨勢，風險管理組織領導力不強，風險管理職能授權不充分、作用發揮不足。風險管理框架要素建設不系統、不完整、不充分，風險管理能力建設的完整性、充分性不足。風險管理業務應用、風險管理實踐不夠深入、廣泛。風險管理方法論不充分、不精準。風險管理框架的量化深度、準度不夠，評價不足。風險管理文化深化建設不力，推進風險文化落地的方法不充分、不完備。風險管理、內部控制、合規管理三種管理體系整合性、協同性不足，在管理目標、職能定位和資源配置等方面出現重疊、交叉、管理空白、不協同或沖突。

內部控制建設。中央企業普遍未采用《內部控制——整合框架（2013）》新版國際標準，未能及時跟進世界一流企業發展趨勢與最優實踐。內部控制框架制度不全面，例如“二道風險防線（管理層/職能部門）”需要執行的規章制度不充分，內部控制框架效力不足。內部控制框架評價體系和方法引領性不夠、不嚴謹。內部控制評價機制約束不足，已經發現的問題歸零不徹底、不到位，深刻反思不足，徹底整改和根治不力。內部控制獨立監督機制普遍缺乏。內部控制考核體系嚴格度不足，機制設計不力，充分性、匹配性和時效性不足。

合規管理體系建設。中央企業的管理層和員工對合規管理的思想、理念、模式等，重視度不足，認知、認同、信奉不系統、不完整，落實不充分。對各級、各類崗位合規管理的應知、應會、應備掌握不夠，有不少差距。對世界一流企業合規管理體系建設的狀況、能力、水平和發展態勢了解不足。對本企業、本崗位合規管理的現狀、能力和水平認知不足；合規管理體系建設謀劃、指導、實施不充分；適應風險管理、內部控制、合規管理“三位一體”系統工程建設的戰略視野和知識結構不夠；對合規管理體系與風險管理體系、內部控制體系的界面、分工、關系設置與處置不完備。

“三位一體”強化、深化和優化體系建設

合規是中央企業推進現代企業制度建設、實現做強做優做大做好做久的前提和關鍵。幾乎無一例外，中央企業業已發生的好多事件，許多失敗、失利、不成功，負面風險，不達預期、眾多相關方不滿意等案例，居多或很大程度上是因為不合規、不按要求做、內控不到位、風險防控不力引致的。

思想、認知與政策

思想重視是風險管理、內部控制、合規管理體系建設的先導。中央企業從股東會、董事會、黨委（黨組）、經營班子到總部部門、下屬單位、一線員工，務必將其置于與企業發展需求相適應，與企業風險管理、內部控制、合規管理的狀況及管控能力水平相稱的、應有的位置。

中央企業要真正壓實各級各類單位、各級領導、各類員工對合規、內部控制、風險防范的主體責任，把所有主體的職責具體化、精細化并確保落實到底到邊，做到所有事項、各個環節都有合規、內控、風險防范責任人，系統創建風險管理、內部控制、合規管理文化和責任體系。

提升認知是風險管理、內部控制、合規管理體系建設的基礎。中央企業必須正確認識體系建設的內涵和實質，準確把握精髓要義，洞察體系建設的現狀、存在的問題和困惑、面臨的風險和挑戰，知曉世界一流企業體系建設的現狀、成熟度、能力水平，勇于對標，提升能力水平，縮小差距，追求卓越。

政策落實是風險管理、內部控制、合規管理體系建設的保證。為推動全員全過程全方位穩妥推進風險管理、內部控制、合規管理體系建設，中央企業應將相關內容列為工作重點，健全正向、負向激勵懲罰機制，納入績效考核。

風險管理治理、內部控制治理與合規管理治理

治理可定義為“對于管理的管理”，解決的是如何更好地進行管理的問題，治理為管理提供指導，并對管理進行監督，確保正確的工作被有效執行。有效的治理和有力的管理是組織成功的必備條件。風險管理治理、內部控制治理與合規管理治理是指用于指導風險管理、內部控制、合規管理的框架、職能和流程，包含價值體系、政策、職責、流程和程序，表征了組織相關方之間權、責、利關系的制度安排，主旨是恰當地設置組織內不同責任主體的角色、職責和權限，責任是設定目標、提供管理制度環境、配置資源、界定目標實現方式、監控管理過程、管理績效等。

1.基于整體視角，風險管理治理、內部控制治理與合規管理治理應將風險管理、內部控制、合規管理視為一個整體，實施系統化、一體化建設，實現專業化管理；要構建管理模式，基于適宜的管理模型，確保制度有效實施，并建立多方遵守的契約機制；要以技術創新和管理創新克服管理要素間的約束和限制，形成管理要素間的共生關系；要統籌謀劃、多方參與，優化思維模式，提升認知能力，跳出管理抓管理。

2.基于企業視角，風險管理治理、內部控制治理與合規管理治理不僅是企業主要負責人、分管領導、職能部門的事，其體系建設與運行的“三道防線”都要在其位、謀其政、盡其職、負其責。企業不能漠視風險管理、內部控制、合規管理存在的問題，必須強調管理層的責任，強化風險管理、內部控制、合規管理，配置與企業合規內控風控能力與水平相匹配的資源，建好協同機制。企業職能部門應擔好管理和服務雙重角色，促進企業風險管理、內部控制、合規管理職能之間的深度融合，及與相關管理體系在組織結構、業務建設和實現流程上的真正融合，促進風險管理、內部控制、合規管理成功。企業治理體系、管理體系和企業合規內控風控的職能部門與業務部門應相互協同促進企業價值最大化和風險管理、內部控制、合規管理目標的實現。

當下，推進風險管理治理、內部控制治理、合規管理治理的體系建設與運行，要按其內涵要義專業化設置相應的職能部門，明晰各自的職責、分工界面和相互關系，避免“兩張皮”。同時，在確認并強化風險管理、內部控制、合規管理三大職能的系統化管理、專業化分工前提下，厘清職能部門與其他業務部門在綜合管理、歸口管理，以及風險管理、內部控制、合規管理之間的關系。

未來，風險管理、內部控制、合規管理應按全部組合、部分組合甚至一體化方向，統籌職能設置與管理，抑或與相關管理體系（例如質量管理體系、綜合管理體系等）全面結合，實現融合建設與管理，面向過程和面向結果都不可或缺。有效的風險管理、內部控制、合規管理及其治理會促進組織成功，能為顧客提供滿意的產品，能產生更多、更好的過程資產，支撐組織擁有核心技術、固化產品與產業載體，形成競爭優勢。

3.基于系統視角，風險管理治理、內部控制治理、合規管理治理應建立組織相關方協同、合作、共享的價值網絡和生態型商業模式，企業應提升專業化能力，發揮集聚效應，弘揚企業特色文化；應致力于設計好與相關方的交易結構，控制并降低治理角色承擔的風險，擺脫規模效益和效率遞減、經營風險和管理難度遞增的困擾，優化商業模式，創新機制；每一相關方都應做好自身風險管理、內部控制、合規管理，都要為并且能夠為企業的風險管理、內部控制、合規管理和發展貢獻價值。

中央企業對風險管理治理、內部控制治理、合規管理治理的研究、認知與體系建設仍較為有限，距離治理體系與治理能力現代化還有不少差距，建議至少抓好三項治理工作。一是，完善、修訂企業全面風險管理辦法，以此作為風險管理、內部控制、合規管理及其治理的最高規則，全面覆蓋組織治理、發展戰略及經營管理，明確并完善優化組織風險管理體系建設的總體目標與原則、治理結構與職能配置、風險偏好與文化（包括風險素養要求）、政策制度體系、流程與方法、資源配置等關鍵要素，明確內部控制體系、合規管理體系以及各類管理體系擔當的角色。二是，健全規范治理層面的“風險管理委員會”的角色定位與職能權責，以統籌管理企業風險導向方面的相關工作，制定基于風險管控，體現量化要求，具備風險針對性、可操作性的“企業風險管理委員會工作指南（規范）”，細化量化工作規則、標識、成效、考評，促使“風險管理委員會”負責任、有作為、起作用，力避不為、怕為、盲為、亂為。三是，提升中央企業治理層面、各級領導班子與技術管理骨干，在風險管理、內部控制、合規管理及其治理方面的專業素養和專業能力，建議國務院國資委在這方面提出明確的“強化”要求和考核標準。

體系、規則、制度、標準與規范

中央企業要結合本企業實際，借鑒、汲取世界一流企業、先進企業風險管理、內部控制、合規管理體系的建設經驗、體會和教訓，把好的模式、規則、制度、辦法等納入本企業制度體系建設、綜合管理體系建設當中去。體系建設須涵蓋關鍵績效指標（KPI）和關鍵風險指標（KRI），做到融合、協同，切忌風險管理、內部控制、合規管理制度建設、體系建設與中央企業其他制度建設、體系建設“兩張皮”，互不關聯。要及時完善、優化風險管理、內部控制、合規管理規章制度，并固化、上升為企業規范與標準，適時構建中央企業在風險管理、內部控制、合規管理及其治理領域的基礎、通用及行業性標準與規范，創承、更新、創造、發展組織過程資產，待條件、時機成熟時實行第三方認證，或與其他體系結合同步實行第三方認證，不斷提高成熟度。

技術、方法與平臺

風險管理、內部控制、合規管理的發展日新月異，中央企業應做到：提高站位、拓寬視野、放開眼界，學習、研究、借鑒世界先進的風險管理、內部控制、合規管理思想、理念、理論和模式，為我所用，提升治理能力；充分運用先進、正確、適用的風險管理、內部控制、合規管理技術、方法、工具等，提高效率、績效和水平；建立數字化的風險管理、內部控制、合規管理一體化平臺與管理信息系統，優化管治流程，創造基于模型的、可流動的、產生價值的風險管理、內部控制、合規管理等優化模型、高效流程、有效模式和最佳實踐。

人才和隊伍

風險管理、內部控制、合規管理是基礎性、綜合性、專業性的復合型工作，極其重要，極具價值。其任務重、難度大、要求高，從業者如不深入過程并有效勝任角色，難以做好，不易顯見成果。中央企業在這方面的領軍型人才匱乏，骨干創新人才不足，人才隊伍建設中，選拔、培養、使用、評價、激勵機制不健全。

中央企業要有“天下人才為我所有的戰略視野、天下人才為我所用的偉大胸懷、天下人才樂為我用的博大文化”。建立健全基于提高人崗匹配的人才選配和引進機制，科學高效的人才開發體系，基于鼓勵崗位價值創造的綜合績效考核評價體系和薪酬分配體系，造就一支與可持續發展和跨越式發展相適應的高素質人才隊伍。風險管理、內部控制、合規管理機構和隊伍應配全、配齊、配精，對職能人員要在素養、知識、履歷、能力上有明確的要求和確認，尤其對職能人員的通用知識、專業知識、專業能力要有專業化的要求和確認。在“首席風險官”“首席合規官”等核心、關鍵崗位配置上，可參考借鑒中國銀行引進“首席風險官”、建設銀行引進“首席風險官助理”等做法，給中央企業風險管理隊伍“注入催化劑，拓展戰略視野，帶來先進做法”，以提升隊伍整體素養，助推企業風險管控能力提高。

機制建設

文化（組織生命的遺傳基因）決定組織生命，制度規范行為，機制保證活力。風險管理、內部控制、合規管理落實到位，必須有運行有效的機制保證。中央企業應健全、落實：

1.教育培訓機制。中央企業應建立從頂層到一線工作人員、覆蓋全員崗位的風險管理、內部控制、合規管理教育培訓體系，要求各級各類人員掌握崗位工作所需的相關應知（法律法規、規章制度、標準規范、知識等）、應會（理論、模式、技術、方法、工具、平臺等）、應備（技能、能力、素養等），編制崗位培訓教材，制定考評方式、評價標準，納入全員績效考核。

2.責任落實機制。中央企業應建立風險管理、內部控制、合規管理工作責任制，層層分解落實責任，實施述職，量化考核。

3.投入機制。中央企業要提供與企業生存和發展、完成任務、建成一流等相適應的各種風險管理、內部控制、合規管理所需資源投入和保障，包括符合性費用（預防費用、鑒定費用）、非符合性費用（內部損失費用、外部損失費用）投入，確保基礎能力建設、項目/產品任務完成等需求得到滿足。

4.協同機制。中央企業要“橫向到邊縱向到底”建立風險管理、內部控制、合規管理的大協同（合作、融合、促進）機制，做到文化協同、模式協同、組織協同、責任協同、制度協同、規則協同、流程協同、管控協同、應對協同、機制協同、平臺協同，實現責任明確、分工合作、資源共享、能力提升、互惠共贏。

5.評價機制。中央企業要對風險管理、內部控制、合規管理工作，建立健全面向董事會（股東會）、黨委（黨組）、經營管理班子成員、總部（本部），面向所屬單位、項目/產品、個人的評價準則、評價指標體系、評價程序、評價方法，以掌控現狀、發現問題、知悉差距、指出工作目標和努力方向。

6.激勵機制。中央企業須按照風險管理、內部控制、合規管理的規定和要求，及時監督、檢查、評價，根據評價結果嚴肅考核，嚴格兌現績效激勵。同時，還應建立健全風險管理、內部控制、合規管理的報告機制、防范機制、審核機制、問責機制、整改機制等一體化落實機制。

強化并抓好風險管理、內部控制、合規管理，對中央企業戰略目標實現、盡早建成具有全球競爭力的世界一流企業至關重要。合規是底線，內部控制是手段，防住風險是目標。系統、充分、正確、有效地深化、優化和整合風險管理體系、內部控制體系、合規管理體系十分必要。當下時機已經成熟，應統籌抓好謀劃、指導、協調和實行。

作者系研究員，教授，博士生導師，俄羅斯工程院院士，國際宇航科學院院士。現任中央企業（中國兵器工業、中國商飛、新興際華集團）專職外部董事