在企業(yè)經(jīng)營管理的世界里，風險管理是個繞不開的話題。但很多人對風險管理的理解，常常陷入一些誤區(qū)。比如，有人認為內(nèi)部控制就是風險管理的一部分，甚至是基礎。今天，我們就來好好聊聊這個話題，厘清內(nèi)部控制、合規(guī)管理與風控之間的關系。

       其實，這種把內(nèi)部控制當成風險管理構成或基礎的說法是不準確的。內(nèi)部控制僅僅是通過風險管理形成的例行化風險解決措施，它既不是風險管理的構成，也不是風險管理的基礎，而是風險管理產(chǎn)出的一種確定性 “沉淀物”。

       那么，內(nèi)部控制是怎么來的呢？它源于不能滿足要求的風險假設，主要涉及 4 類原因：外部控制要求、內(nèi)部專業(yè)化能力要求、內(nèi)部管理符合性要求、保證數(shù)據(jù)正確性要求。也正因這些源頭，或者說為了便于理解，人們才將其視同為一種風險管理類型。

       內(nèi)部控制建設有 3 項重點內(nèi)容：一是反映事前設定的 “自控型” 標準；二是反映事中的流程 “他控型” 活動規(guī)范；三是按照規(guī)則標準進行過程監(jiān)管與事后監(jiān)督的控制機制。

        而內(nèi)控建設產(chǎn)出的結(jié)果有 3 種形式。第一種是可衡量的量化標準，以量的形式表達，方便衡量；第二種是可評價的定性活動規(guī)范標準，至少是確定的規(guī)則型信息，能評價但不可衡量；第三種是可驗證的結(jié)果標準，是為了最大程度符合期望結(jié)果所采取的措施，常通過結(jié)構化模版、表單表現(xiàn)，實質(zhì)是用確定性減少不確定性，因其內(nèi)容與生成過程可追溯而可驗證。不過，結(jié)果標準的達成程度往往和人的能力、經(jīng)驗、人性、責任密切相關。

        說完了內(nèi)部控制，再來看合規(guī)管理。它是在充分利用大部分內(nèi)控基礎上，開展的合規(guī)教育、對組織與人的行為結(jié)果進行監(jiān)管與監(jiān)督、為及時發(fā)現(xiàn)違規(guī)線索所采取的行動，以及對確認的違規(guī)行為進行處理的過程。

         這里要明確的是，內(nèi)控是合規(guī)管理的基礎，二者有邏輯先后順序，不能倒置。忽略內(nèi)控的合規(guī)管理，本質(zhì)上是人治。 畢竟，內(nèi)控的目標之一就是合法合規(guī)，合規(guī)風險清單的作用也就不言而喻了。

        從更大視角看合規(guī)管理，有人覺得對外部合法合規(guī)要求了解越全、掌握程度越強，就越能降低違法違規(guī)風險。這話看似有道理，但事實并非完全如此。群體往往只對高頻接觸、存在無法承受違法處罰可能的外部法則保持敏感，而對那些接觸頻度不高、關聯(lián)責任不緊密但仍有違法違規(guī)可能的法則，大多人會因心存僥幸而漠視，這是人性的體現(xiàn)。而且，員工也不可能掌握方方面面的外部法則。

         所以，最有效的方法是用確定的流程、制度、內(nèi)控取代多而雜的外部法則控制。就像讓企業(yè)里從事高危工作的員工談 “安全生產(chǎn)法” 要求，十個有九個講不出來，但問他公司的生產(chǎn)安全管理要求，他往往能說很多，哪怕只是普通操作型員工。因此，企業(yè)進行合規(guī)管理體系建設，不能不切實際地讓每個員工都成為法學博士，做到各種知法、懂法、守法，畢竟專業(yè)法律人士也有專攻方向。

         最后說說風控。它是在已有的流程、制度、標準、模版、表單等組織能力基礎上，在流程角色行為可控的條件下，以影響績效結(jié)果狀態(tài)為目的所開展的風險評估，其結(jié)果往往為管理決策提供支持。

        從公司層面，管理決策分為公司級決策、管理層級決策、執(zhí)行層級決策。無論在哪個層級，風控都有 “認識風險、暴露風險、風險選擇、采取影響措施”4 個標志性的共同特征。

        總之，內(nèi)部控制是風險管理的 “沉淀物”，合規(guī)管理以內(nèi)部控制為基礎，風控則為管理決策提供支持。理清這三者的關系和內(nèi)涵，才能讓企業(yè)的風險管理真正落到實處，而不是停留在話術層面。