湯文靜

摘要：“合規(guī)”一詞由英文“Compliance”翻譯而來，主要是指“遵從、遵守”。通常包含以下兩層含義：一是遵守企業(yè)總部所在國和經(jīng)營所在國的法律法規(guī)及監(jiān)管規(guī)定；二是遵守企業(yè)內部規(guī)章、社會規(guī)范、誠信和道德行為準則等。本文討論的合規(guī)范圍涵蓋企業(yè)應當遵守各種法律法規(guī)和監(jiān)管規(guī)定，反腐敗、反壟斷、反欺詐、社會環(huán)境等各個方面，同時也包括強化合規(guī)經(jīng)營反對商業(yè)賄賂方面的合規(guī)，因此，構建全面合規(guī)風險管理體系對企業(yè)具有重要的戰(zhàn)略意義。文章通過對合規(guī)風險管理及其管理體系構建進行理論分析，針對其風險管理體制機智的建設提出幾點建議，以供參考。

關鍵詞：企業(yè)；風險管理；體系；構建

一、合規(guī)風險管理概述

（一）法律法規(guī)、相關監(jiān)管機構規(guī)定

目前，國內針對企業(yè)合規(guī)治理的規(guī)范性文件散見于證券公司、保險行業(yè)和商業(yè)銀行的合規(guī)指引。國務院國資委尚未出臺專門針對中央企業(yè)合規(guī)風險管理體系構建指引性質的規(guī)范性文件。

（二）合規(guī)風險的范圍

合規(guī)風險在中央企業(yè)層面主要表現(xiàn)在企業(yè)經(jīng)營管理行為引發(fā)的法律責任、監(jiān)管處罰、財務損失或者聲譽損失的風險。從內涵上看，中央企業(yè)所面臨的合規(guī)風險主要強調企業(yè)因自身原因違反法律法規(guī)和監(jiān)管規(guī)則等兒遭受到的經(jīng)濟或聲譽的損失。

（三）合規(guī)風險管理

合規(guī)風險管理是公司全面風險管理的一項核心內容，也是實施有效的內部控制的一項基礎性工作。合規(guī)風險管理的重點在于企業(yè)如何開展經(jīng)營活動，其內容包括公司治理、行業(yè)監(jiān)管、法律風險防范、內部道德規(guī)范和規(guī)章制度等。合規(guī)風險管理的外部責任是保證企業(yè)依法履行其對外部利害關系人所承擔的責任，如信息披露、保護公共利益、公平競爭、保護股東利益、不侵犯第三方權益等；內部任務是從整體上改善內部管理控制，進而提高企業(yè)的綜合競爭力。

二、合規(guī)風險管理體系概述

（一）合規(guī)風險管理體系構建的理論基礎

合規(guī)風險管理是風險管理的重要組成部分，具有代表性的全球風險管理理論包括澳大利亞-新西蘭標準，美國COSO企業(yè)風險管理-整合框架，中國國資委《中央企業(yè)全面風險管理指引》，中國財政部等《企業(yè)內部控制基本規(guī)范》等理論框架。

（二）合規(guī)風險管理體系構建的基本原則

由于合規(guī)管理不同于其他風險管理，具有較強的強制性特征，因此，有效的企業(yè)合規(guī)風險管理體系的構建必須滿足以下特征。一是自上而下，合規(guī)風險管理體系應由高層統(tǒng)籌，政策和流程具有較高效力；二是相對獨立，企業(yè)應設置獨立的合規(guī)職能和執(zhí)行體系，避免利益沖突；三是政策務實，企業(yè)應制定切合公司生產(chǎn)經(jīng)營實際的業(yè)務流程，并識別和梳理違規(guī)風險點；四是簡明實操，企業(yè)應建立簡明易懂、可操作性強的指引；五是管控平衡，企業(yè)應考慮業(yè)務運行效率與合規(guī)風險管控的平衡。

（三）基本思路

建設企業(yè)合規(guī)風險管理體系，全面借鑒風險管理理念，結合運用COSO-ERM等風險管理框架和風險評估等技術方法，以崗位職責為依托，修訂相關管理制度；利用RCS工具對流程進行梳理、分析和評估，發(fā)現(xiàn)其中的關鍵合規(guī)風險點，評估其風險水平，并制定風險應對措施，通過指引、流程和操作手冊等手段加以控制，建立統(tǒng)一、規(guī)范和有效運行的合規(guī)風險管理體系。企業(yè)合規(guī)風險管理體系的核心在于合規(guī)風險數(shù)據(jù)庫、流程圖、風險控制矩陣和權限指引表。

三、合規(guī)風險管理體系的構建

（一）組織體系建設

整合合規(guī)與風險管理內部控制職能，綜合運用風險承擔、風險規(guī)避、風險轉移、風險轉換、風險補償、風險控制、風險對沖法進行管理；對強制性規(guī)范采取的方法主要是規(guī)避，通過制度、流程嵌入信息系統(tǒng)等手段避免合規(guī)風險的發(fā)生； 內審部門負責對公司內控、風險管理和合規(guī)風險管理等管理工作進行審計，是公司內控、風險管理和合規(guī)風險管理的最后屏障。整體來看，內控與風險管理部、合規(guī)管理部、內審部門在企業(yè)管理過程中缺一不可，必須緊密配合才能更優(yōu)質的完成相應的管理工作。

（二）制度體系建設

1.編制公司合規(guī)政策

企業(yè)合規(guī)政策作為合規(guī)管理的綱領性文件。管理層應當制定公司戰(zhàn)略目標，并明確公司對合規(guī)風險的容忍度，以及公司的整體風險偏好。針對目標確定風險，并在此基礎上制定合規(guī)目標。經(jīng)過合規(guī)風險管理人員與企業(yè)管理層反復討論，確定并形成的書面文件，內容包括企業(yè)合規(guī)風險管理的目標和基本原則；企業(yè)倡導的合規(guī)管理文化；董事會、高級管理人員的合規(guī)責任；公司合規(guī)管理框架和報告路線；合規(guī)管理部門的地位和職責；識別和管理合規(guī)風險的主要程序等。

2.合規(guī)風險管理文化建設

企業(yè)的合規(guī)文化包含價值觀念、職業(yè)道德、企業(yè)制度、企業(yè)形象、企業(yè)環(huán)境等內容，在體系建設初期，企業(yè)應重視對各級合規(guī)管理部門專業(yè)人員進行培訓，培訓內容包括合規(guī)風險管理技術、合規(guī)風險管理體系建設實施方案、國際國內企業(yè)合規(guī)風險管理的最佳實踐、法律法規(guī)、監(jiān)管規(guī)則的最新發(fā)展和變化動態(tài)等，目的在于提高合規(guī)風險管理人員的技術水平和合規(guī)管理能力，調動合規(guī)管理人員的積極性，確保合規(guī)風險管理體系建設的順利進展。

四、合規(guī)風險管理體制機制建設

（一）企業(yè)應制定《合規(guī)風險管理手冊》，并保證其執(zhí)行效果和動態(tài)優(yōu)化

公司通過合規(guī)管理體系建設應當形成一份《合規(guī)管理手冊》，作為合規(guī)風險管理體系總的綱領性文件，內容包括控制環(huán)境、風險評估、控制活動、信息與溝通、監(jiān)督與檢查等。

首先，企業(yè)應建立適時更新維護機制。動態(tài)修訂，更新調整，根據(jù)經(jīng)營管理實際持續(xù)拓寬執(zhí)行的廣度、拓展深度；其次，企業(yè)應建立監(jiān)督檢查機制。包括業(yè)務部門互查、監(jiān)督部門監(jiān)控、合規(guī)管理部門抽查、內審部門穿行測試和第三方評價監(jiān)督等方面。

（二）建立溝通機制

企業(yè)合規(guī)管理部門的組織架構應以集中化管理為主，即在集團總部和子公司設置獨立的合規(guī)風險管理部門，公司合規(guī)管理部門負責人向公司合規(guī)負責人匯報，合規(guī)負責人向總經(jīng)理，總經(jīng)理向審計委員會和董事會報告，若匯報路線的崗位人員不予受理，則報告人可以向其上級匯報，直至匯報到公司董事會。

（三）建立合規(guī)風險數(shù)據(jù)庫

前文論述過合規(guī)涉及的法律法規(guī)，不但有對所有公司企業(yè)都使用的通用類法律法規(guī)，也有行業(yè)特殊的規(guī)章制度，還包括行業(yè)公約等，數(shù)量龐雜。因此，建立符合保險公司實際的風險數(shù)據(jù)庫，將有助于進一步加強合規(guī)風險防范的效果。同時，合規(guī)管理部門應注重收集公司及同行業(yè)披露的合規(guī)風險情況，對于公司的經(jīng)營管理人員和操作者來說，很難將相關的規(guī)章制度全部吃透并在實際工作中避免。因此，建立符合保險公司實際的風險數(shù)據(jù)庫，將有助于進一步加強合規(guī)風險防范的效果。對合規(guī)相關的法律法規(guī)進行歸納、整理、儲存并將與實際工作相關的規(guī)定固化到流程中，方便管理人員和操作人員查找、理解和使用。同時，合規(guī)管理部門應注重收集公司及同行業(yè)披露的合規(guī)風險情況，對上述信息進行收集、整理。

（四）繪制業(yè)務流程體系文件

此項工作可在風險管理與內部控制業(yè)務流程體系文件基礎上編制，根據(jù)各企業(yè)實際情況考慮是否將合規(guī)風險管理業(yè)務流程固化于信息化辦公系統(tǒng)，并考慮匹配權限指引表和流程說明。

（五）合規(guī)風險控制矩陣

這部分是內控審計識別內控缺陷的關鍵應用工具，其中的控制方式分為手工控制和自動控制。在編制控制矩陣式要特別注意識別現(xiàn)有的控制方式并隨著信息化業(yè)務的深入適時調整。特別提醒的是，手工控制和自動控制的控制測試抽樣樣本量的選定有一定影響。

（六）測試評價

企業(yè)應于年底對合規(guī)風險管理系統(tǒng)的運行進行評價。評價小組也可增加外部中介機構人員，由評價小組采取現(xiàn)場檢查等方式開展評價工作，最終將評價結果上報董事會。

業(yè)務活動層面控制測試通過詢問、觀察、檢查、關鍵控制抽樣測試等多種方式進行。關鍵控制抽樣測試是以總公司下發(fā)的控制管理文件為標準，對業(yè)務活動層面關鍵控制執(zhí)行的有效性進行的抽樣測試。

紀檢部門健全完善信訪舉報機制，在原信訪案件受理崗的基礎上，增設了由部門領導擔任的信訪監(jiān)督崗，完善信訪舉報件接收、受理的初始程序，保證每一件信訪舉報都得到有效合理的處置。

（七）考核評價機制

公司應當制定《合規(guī)風險管理考核實施細則》，使合規(guī)管理在考核指標和經(jīng)營業(yè)績中占較大比重，以確保合規(guī)管理真正落到實處。

參考文獻：

[1]財政部等五部委.《企業(yè)內部控制規(guī)范2010》及配套指引，中國財政經(jīng)濟出版社，2010-01.

[2]COSO委員會.風險管理：整合框架.東北財經(jīng)大學出版社.