K企业已经发展成为一个大型企业集团，企业的内控、内审、风险管理和合规部门也运行了很长一段时间，Z先生渐渐发现，事情并没有预想得那么简单，这些部门都或多或少遇到了问题。

例如，风险管理部C先生开始抱怨：投资管理部门等部门针对不理想的投资项目，开始向风险管理部甩锅。不仅如此，风险管理部的管理范围被不断泛化，很多部门认为只要是有风险的事情，就应该找风险管理部，问题类型从各类业务合同签订到人员离职补偿，不一而足，让风险管理部应接不暇。

然而，更多的抱怨则来自各职能部门，例如，对于部门内的一些业务，合规部门会检查一遍，内审部门也会检查一遍，消耗时间、精力。不仅如此，合规部门和内审部门经常还会提出不同的整改意见，让人无所适从。又如风险评估工作，内控部、风险管理部和合规部都会进行组织，也让各部门觉得难以理解。其中，让Z先生更担忧的是，业务部门已经多次表示，风险管理部、合规部等部门提出的一些要求过于苛刻，已经严重制约业务发展。

还好，K企业拥有务实及开放的企业文化。通过沟通，Z先生采取了如下措施。

（1）将总经办作为日常工作协调的平台，明确以风险为导向对内控部门、内审部门及合规部门进行工作协调，并且通过不断优化管理制度对各部门的职责、配合流程进行明确。例如，在内审部门制订审计计划的过程中，应组织相关方识别、评价风险，其中内控、合规和风险管理部门的风险评价结论将作为重要输入。K企业已经发展成为一个大型企业集团，企业的内控、内审、风险管理和合规部门也运行了很长一段时间，Z先生渐渐发现，事情并没有预想得那么简单，这些部门都或多或少遇到了问题。

例如，风险管理部C先生开始抱怨：投资管理部门等部门针对不理想的投资项目，开始向风险管理部甩锅。不仅如此，风险管理部的管理范围被不断泛化，很多部门认为只要是有风险的事情，就应该找风险管理部，问题类型从各类业务合同签订到人员离职补偿，不一而足，让风险管理部应接不暇。

然而，更多的抱怨则来自各职能部门，例如，对于部门内的一些业务，合规部门会检查一遍，内审部门也会检查一遍，消耗时间、精力。不仅如此，合规部门和内审部门经常还会提出不同的整改意见，让人无所适从。又如风险评估工作，内控部、风险管理部和合规部都会进行组织，也让各部门觉得难以理解。其中，让Z先生更担忧的是，业务部门已经多次表示，风险管理部、合规部等部门提出的一些要求过于苛刻，已经严重制约业务发展。

还好，K企业拥有务实及开放的企业文化。通过沟通，Z先生采取了如下措施。

（1）将总经办作为日常工作协调的平台，明确以风险为导向对内控部门、内审部门及合规部门进行工作协调，并且通过不断优化管理制度对各部门的职责、配合流程进行明确。例如，在内审部门制订审计计划的过程中，应组织相关方识别、评价风险，其中内控、合规和风险管理部门的风险评价结论将作为重要输入。（2）在董事会层面组建了风险管理委员会进行重大风险决策，提升风险评价、风险对策制定的层级，促成在企业内形成统一的风险评价结论。

（3）通过持续宣传贯彻、绩效管理等手段，明确前端部门（如业务部门）在风险控制中的关键作用，夯实“第一道防线”，遏制风险失控后的“甩锅”行为。

通过上述努力，企业风险政策更加统一和明确，内控、内审等工作的协调性得到加强，对业务部门的干扰也有所降低。

7.归纳一：内控、内审、风险管理与合规各自如何应运而生

从上面K企业的发展史中，可以做出如下总结。

（1）作为渗透到企业各个业务领域的内在管理机制，从企业建立那天开始内控即存在，随着企业的不断发展，内控会不断演进得更系统化和规范化；随着企业制度体系不断复杂化，内控部门会以制度集中归口管理部门的形式出现，并将负责组织全企业的风险识别、评价与应对措施制定工作。

（2）当股东或老板为自己的时间、精力或专业性所限，无法对企业进行有效监督时，则会对内审产生需求，这时独立的内审部门往往会出现。

（3）当企业对于特定风险存在重大顾虑，并且认为已有组织架构无法有效防范该风险时，即可能设置专门的风险管理部门，以提升对此特定风险的控制效果。（2）在董事会层面组建了风险管理委员会进行重大风险决策，提升风险评价、风险对策制定的层级，促成在企业内形成统一的风险评价结论。

（3）通过持续宣传贯彻、绩效管理等手段，明确前端部门（如业务部门）在风险控制中的关键作用，夯实“第一道防线”，遏制风险失控后的“甩锅”行为。

通过上述努力，企业风险政策更加统一和明确，内控、内审等工作的协调性得到加强，对业务部门的干扰也有所降低。

7.归纳一：内控、内审、风险管理与合规各自如何应运而生

从上面K企业的发展史中，可以做出如下总结。

（1）作为渗透到企业各个业务领域的内在管理机制，从企业建立那天开始内控即存在，随着企业的不断发展，内控会不断演进得更系统化和规范化；随着企业制度体系不断复杂化，内控部门会以制度集中归口管理部门的形式出现，并将负责组织全企业的风险识别、评价与应对措施制定工作。

（2）当股东或老板为自己的时间、精力或专业性所限，无法对企业进行有效监督时，则会对内审产生需求，这时独立的内审部门往往会出现。

（3）当企业对于特定风险存在重大顾虑，并且认为已有组织架构无法有效防范该风险时，即可能设置专门的风险管理部门，以提升对此特定风险的控制效果。（4）当企业面临较高的外部合规压力时，则会采取合规管理措施，并且可能单独设置合规部门。

（5）合规的出现是因为外部监管所带来的风险突出到必须专门设置人员予以关注。

8.归纳二：内控、内审、风险管理与合规部门如何分工协调

典型的分工协调方式归纳如下。

（1）风险管理部和合规部在自身所聚焦的风险领域，既可以主导特定制度流程编制，也可以要求其他部门根据其要求完善自身相关制度流程，但就制度流程的基础管理程序而言，需要在内控部门所维护的基本框架之下进行。

（2）风险管理部门和合规部可以在自身所聚焦的领域对其他部门进行检查，但应与内审部门进行协调，以减轻其他部门的配合压力。

（3）内审部门则是对包括内控、风险管理和合规部门在内的所有部门进行监督检查，在风险管理部和合规部所聚焦的风险领域，可以充分参考这两个部门的工作成果及检查发现。

（4）在风险识别与评估方面，整体工作由内控部门牵头，内控部门在具体工作开展中，针对风险管理部门和合规部所聚焦的风险领域，应充分参考风险管理部门和合规部的工作成果。而风险管理部门和合规部就其所聚焦的风险领域，应主导对应风险的识别和评价工作。（4）当企业面临较高的外部合规压力时，则会采取合规管理措施，并且可能单独设置合规部门。

（5）合规的出现是因为外部监管所带来的风险突出到必须专门设置人员予以关注。

8.归纳二：内控、内审、风险管理与合规部门如何分工协调

典型的分工协调方式归纳如下。

（1）风险管理部和合规部在自身所聚焦的风险领域，既可以主导特定制度流程编制，也可以要求其他部门根据其要求完善自身相关制度流程，但就制度流程的基础管理程序而言，需要在内控部门所维护的基本框架之下进行。

（2）风险管理部门和合规部可以在自身所聚焦的领域对其他部门进行检查，但应与内审部门进行协调，以减轻其他部门的配合压力。

（3）内审部门则是对包括内控、风险管理和合规部门在内的所有部门进行监督检查，在风险管理部和合规部所聚焦的风险领域，可以充分参考这两个部门的工作成果及检查发现。

（4）在风险识别与评估方面，整体工作由内控部门牵头，内控部门在具体工作开展中，针对风险管理部门和合规部所聚焦的风险领域，应充分参考风险管理部门和合规部的工作成果。而风险管理部门和合规部就其所聚焦的风险领域，应主导对应风险的识别和评价工作。（5）内控、内审、风险管理与合规部门的日常工作协调在总经办平台上进行，涉及重大决策的，由董事会层面的风险管理委员会完成。（5）内控、内审、风险管理与合规部门的日常工作协调在总经办平台上进行，涉及重大决策的，由董事会层面的风险管理委员会完成。6.8.3　回到“控制风险”本质从K企业的发展简史可以看出，内控、内审、风险管理和合规的出现，本质上还是为了有效支持企业业务开展，更具体地，是为了企业能够有效控制风险。

1.风险控制核心工作

先不考虑具体的实施主体，风险控制的核心工作事项包括：

（1）对风险进行识别和评价，并根据风险评价结果制定控制措施。

（2）将控制措施在原则、职责、流程和标准中明确，通过建章立制进行制度化管理。

（3）对制度运行及风险管理情况进行检查和评价，落实奖惩并持续改进。

2.风险控制中需要考虑的因素

（1）是管“具体业务”还是管“游戏规则”？前者是针对具体风险本身（如对合同中常见条款陷阱的识别标准），后者是针对围绕风险的管理规则（如针对复杂的非标准合同设置专业评审机制）。

（2）是管“执行”（运动员）还是管“监督”（裁判员）？如果是管“监督”，是监督“过程”（业务执行过程规范性）还是监督“结果”（业务执行效果）？6.8.3　回到“控制风险”本质从K企业的发展简史可以看出，内控、内审、风险管理和合规的出现，本质上还是为了有效支持企业业务开展，更具体地，是为了企业能够有效控制风险。

1.风险控制核心工作

先不考虑具体的实施主体，风险控制的核心工作事项包括：

（1）对风险进行识别和评价，并根据风险评价结果制定控制措施。

（2）将控制措施在原则、职责、流程和标准中明确，通过建章立制进行制度化管理。

（3）对制度运行及风险管理情况进行检查和评价，落实奖惩并持续改进。

2.风险控制中需要考虑的因素

（1）是管“具体业务”还是管“游戏规则”？前者是针对具体风险本身（如对合同中常见条款陷阱的识别标准），后者是针对围绕风险的管理规则（如针对复杂的非标准合同设置专业评审机制）。

（2）是管“执行”（运动员）还是管“监督”（裁判员）？如果是管“监督”，是监督“过程”（业务执行过程规范性）还是监督“结果”（业务执行效果）？