如何正确理解合规与风控

◎文/杨 翔

合规，作为一项新兴业务，近年来正在世界各国以惊人的速度发展。而对于不少中国企业来说，“合规”还是一个相对陌生的概念。举国震惊的“中兴事件”发生后，“合规”突然出现在国人面前，一时间成为中国社会热议的话题。

一些已经在风险控制方面深耕多年的中国企业，按照直觉，习惯于将“合规”等同于“风控”，甚至认为“合规”就是“风控”的一方面。其实，“合规”与“风控”，无论是在涵义上还是实际操作中，都存在很大差别。

刹车与ABS

2004年，美国反虚假财务报告委员会下属的发起人委员会（简称COSO）提出了企业风险管理的整体框架，将企业风险管理定义为：“在企业董事会、管理当局和员工影响下，开展内部控制及推进相关战略应用于整个公司，旨在实现经营的效率和效果、财务报告的可靠性。”不难看出，“风险控制”更多偏向于减少企业战略制定与执行的风险、偏向于改善企业内部环境、偏向于防止企业利益损失。

而“合规”的涵义则更加广泛。目前，欧美等发达国家对“合规”的定义主要有三层。第一层是企业要在生产经营过程中，遵守公司总部所在国和经营所在国的法律规定及监管规定；第二层是企业经营要遵循企业内部规章制度，包括企业商业行为准则的规章；第三层是企业员工要遵守良好的职业操守和道德规范等。可以说，“合规”更多偏向于减少企业的综合风险、偏向于企业的“内外兼修”、偏向于防止企业法律风险及信誉损失。

如果将企业形容成一辆不断向前行驶的汽车，“风控”类似于ABS系统，而“合规”相当于刹车。合规与风控，是从不同视角来填补企业机制带来的缺憾，二者不可以相互取代。企业只有把“合规”与“风控”组合在一起加以运用，才能保证企业的平稳运行。

合规是企业必须遵守的底线。由于其带有强制性，一旦发生问题，将给企业带来严重的负面影响。近年来，不少企业在合规方面出现问题，导致企业出现重大损失。因此，企业对“合规”的认识不断加深，逐渐有超越“风控”的趋势，成为当今企业管理的热点。

从全球形势来看，全球各国的法律法规近年来不断增加，迫使各国企业管理者在公司的所有事务中发挥积极作用，特别是在遵守法律和行业法规方面。过去几十年里，经济形势的大幅波动，也提高了投资者及企业利益相关者对企业合规的期望。他们希望投资于在合规监管方面享有盛誉的公司。这种压力，增加促使公司董事会成员与经理和风险管理团队努力建立起互惠关系，共同管控合规风险。

合规管理的利与弊

合规风险也称为“完整性风险”。随着商业和金融法规不断发展，特别是2008年出现全球经济危机以来，合规方面的法律法规更加完善，对商业行为的规范性要求越来越高，迫使企业以更加公平和道德的方式行事。

企业如果不遵守法律法规、行业准则、内部规定及社会伦理，会在风险合规性方面遭受破坏性威胁，如财务损失、物质损失、罚款和无效合同。除了经济方面的损失风险之外，公司还会失去大量的商业机会及良好的声誉，甚至面临破产倒闭的风险。

自美国证券交易委员会1934年成立以来，最著名的立法是2002年通过的《萨班斯—奥克斯利法案》（通称“SOX法案”）。这一法案因为安然公司和世通公司的公共欺诈丑闻而诞生，突显了合规的重要性。两家公司通过内部会计操作，向董事会隐瞒了企业面临的威胁。为此，SOX法案要求上市公司对其内部控制政策等风控体系进行独立审计。SOX法案的目标是使公司透明化，并防止会计欺诈。

由于完成内部审计等合规管理的高成本，很多公司尤其是小公司，对SOX法案感到不适应。另一方面，因为开展了合规方面的独立审计，市场投资者能够更加完整、有效地了解及评估公司信息，这让合规方面成功的公司更有魅力，能够吸引到更多投资者。

美国财务主管研究基金会对大型公司首席财务官进行的调查发现：83%的人认为，SOX增加了投资者对公司的信心，33%的人认为SOX减少了会计欺诈。实际上，美国国会也借鉴了企业在合规方面的成功经验与案例，并将其作为立法的依据。

合规意识的确立

现在，大多数跨国公司董事会都敏锐意识到，他们需要建立合规管理体系，以保护公司免受各种风险。由于董事会成为了合规监督的决策者，企业此前的风险管理人员也面临着角色调整，应该探讨是否能在合规方面做一些新工作。

其实，企业的风险管理者要想做好工作，必须了解合规风险。但是，长期以来他们的主要角色是关注与企业战略规划相关的风险。如何在合规方面满足董事会的要求，是董事会与风险管理团队需要重点沟通的地方。

公司董事会的主要职责之一是战略规划，这是一个持续的过程。随着董事会不断探索公司发展的新途径与新领域，新风险也必将伴随新机遇出现。

风险管理团队在讨论战略计划时，需要密切与董事会合作。风险管理团队的任务是询问和评估新规划、新策略为公司带来新风险的人、事、地点、方式和原因等。他们的研究结果将为管理层和董事会的讨论提供新的基础，从某些新方向探讨新规划及战略是否值得。其中，合规方面的考虑，也需要风控团队认真对待。

当风险管理团队、管理层和董事会成员最终决定追求新方向时，风险团队的任务是制定可靠的计划来管理相关风险。此外，风险管理者还有另一个角色。当新业务出现在董事会视野中时，董事会成员很可能忽视新业务与法律法规的联系。公司会要求风险管理团队收集和处理新业务合规方面的风险信息。此外，风险管理团队还必须确认，收集到的新业务相关信息，是否必须向政府机构或公众披露，以遵守合规性规定。

公司董事会需要意识到，合规是评价风险管理团队的重要参数。董事会对合规的投入，在对于控制公司当前和未来战略规划中的风险，发挥着至关重要的作用。

合规风险的管理

最近，美国《华尔街日报》发表了一篇题为“合规风险：你不知道什么会伤害你”的文章，阐述了评估合规风险的框架和方法，引发各界高度关注。该框架描述了组织的风险敞口，并将其划分为不同的风险域。公司董事会成员、高官可以使用客观和主观的方法来评估合规风险。文章指出，董事会和高管应该特别注意四个方面：法律影响、财务影响、商业冲击、声誉影响。

风险管理团队和董事会还需要评估合规方面的固有风险和剩余风险。固有风险是已经存在的风险，需要加以控制，减轻风险。剩余风险是已知的可能存在的风险，这是公司不断开拓新领域、努力增加市场份额中增加的风险，公司需要准确识别风险，并制定管理它们的战略计划。

公司董事会需要在合规管理方面，对战略规划和管理层履行职责承担主体责任。董事会评估报告时，董事们需要优先考虑合规方面的监管事项。这就要求董事们必须了解合规与风险管理之间的区别，并知道他们的角色如何影响每个领域。

在此过程中，董事会成员需要学习如何阅读合规方面的风险管理报告并提出问题，以便数据的目的和意义更加具有针对性。每位董事都应仔细评估报告，并在制定战略计划时充分考虑合规方面的问题。

因此，董事会成员、高管与风险管理团队树立起高度的合规意识，彼此之间形成有效、充分的合作，才能最大程度防范合规方面的风险，为企业发展保驾护航。