內控、風控、三標體系可以直接整合：內控是理念、風控是目標、三標是載體
按現(xiàn)代企業(yè)制度建立的企業(yè)，自然會出現(xiàn)三標體系、內控體系、風控體系、合規(guī)體系、法務管理體系同時運行的格局，在企業(yè)很多人看來，既然本質上所有的體系都是為了規(guī)范及防范風險，為何不將這些體系進行有效整合，以減少流程繁復程度、提高效率。
“優(yōu)化流程以提高效率”從來都是科學管理追求的，那么相關體系能不能融合或者說哪些可以融合，自然就成了需要斟酌的問題。
1、內控
從狹義的角度看，內控包括內控體系建設和內控監(jiān)督與評價。
內控體系建設主要是編制內控制手冊、各項流程的權限指引和內部控制文檔等；
監(jiān)督與評價主要是評估體系建設和運行情況并提出改善意見。
2、風險管理
根據(jù)定義，一般企業(yè)的風險管理主要包括：企業(yè)年度風險評估、專項風險評估、項目風險管理。
年度風險評估主要是對企業(yè)一年度的風險進行收集、分析、評估、制定應對措施； 專項風險評估主要是對重大事項開展； 項目風險管理多是對承攬或開發(fā)項目進行風險評估及管理。
3、內控與風險控制的關系
內控與風控在范圍上有重疊，且都要貫穿決策、執(zhí)行、監(jiān)督全過程，覆蓋企業(yè)各種業(yè)務和事項：
內部控制從宏觀而言是企業(yè)運營目標的全過程控制，包括應保證企業(yè)經營管理合法合規(guī)、資產安全、財務報告及相關信息真實完整，以提高經營效率和效果，促進企業(yè)實現(xiàn)發(fā)展戰(zhàn)略。
風險管理是指企業(yè)圍繞總體經營目標，通過在企業(yè)管理的各個環(huán)節(jié)和經營過程中執(zhí)行風險管理的基本流程，培育良好的風險管理文化，建立健全全面風險管理體系，從而為實現(xiàn)風險管理的總體目標提供合理保證的過程和方法。
內部控制與風險管理與其說是專項工作，不如說是理念、文化與方法論。
4、內控、風險管理與三標體系
之所以在討論完內控、風控之后立即把三標體系拉入討論，是因為很多企業(yè)(尤其是技術性企業(yè))的內控及風險管理都是按專項工作來處理的，是以相應的內審、外審標準來開展的。換句話說，企業(yè)實際往往是通過三標體系的構建及執(zhí)行來達成企業(yè)內控、風控作用的，而負責內控、風控的相關崗位只是以相應的內審、外審標準開展了應對要求的表面性工作。
內部控制、風險管理、三標體系確實應該進行有效整合，但如何融合，業(yè)界一直有爭論： 研究三標體系的人通常認為，內部控制主要是針對財務，而三標體系是覆蓋整個企業(yè)的；研究內部控制的人通常認為，三標體系主要是針對產品質量，而內部控制是覆蓋整個企業(yè)的。
筆者認為，內部控制和風險管理、三標都覆蓋企業(yè)各種業(yè)務和事項，自說自話解決不了問題。三者爭論到最后總會融合的，在學界沒有統(tǒng)一思想之前，如果企業(yè)想自己整合，不妨：在三標體系制訂時，融合內部控制理論中先進的理念、方法，通過三標體系來實現(xiàn)內控目標。同時，在組織機構上，讓三標體系和內部控制體系由同一個部門歸口管理，可以促進這個融合的加快。
需要關注的是：
無論內控與風控、三標體系在企業(yè)內如何進行了融合，要通過相關機構對內控、風控、三標體系的檢查，企業(yè)依然得按照相關機構對內控、風控、三標的體系進行文案工作。即，從應對檢查這個層面上講，除非相關機構進行了有效整合，企業(yè)就只能是被動追隨者。
5、關于法務
自2001年加入WTO以后，國家持續(xù)推進企業(yè)法律建設，對企業(yè)而言，關于法律建設的要求都是很直接且明確的：
1） 就日常經營，國家層面明確要求企業(yè)做到三項法律審核達到100%，這個要求堅持了近20年。至于哪些屬于三項法律審核的范圍，以及法律審核關注點及關注事項，也都有各種上級文件的要求；
2） 就糾紛處理，法律救濟是基本業(yè)務。
6、關于合規(guī)
2019年是很多國企合規(guī)的起步年，不少央企已經建立里自己的合規(guī)體系，也有很多企業(yè)還沒有合規(guī)管理體系在運行。無論屬于何種情況，合規(guī)的理念都需要在三標體系里有所體現(xiàn)。同時，合規(guī)作為新生事物，它關注的對象重點倒真不在生產過程，更多關注決策、經營、管理行為，要求相關行為符合國際規(guī)則、所在國法律與規(guī)則、中國自身的法律法規(guī)，要求企業(yè)經營應符合道理要求，所以合規(guī)管理有獨立的體系是難免的。但合規(guī)體系與企業(yè)經營管理不會是、也不允許是兩層皮，應該是融為一體但又強化了監(jiān)管的格局。
7、法律、合規(guī)、內控與全面風險管理的關系
1）對企業(yè)而言，法律、合規(guī)、內控、全面風險都是一種理念。
從企業(yè)風險管控的角度來說，我們認為從風險層級低到高的順序應是：
法律管理→合規(guī)管理→內部控制→全面風險管理。
法律管理是最基礎的層面，法律是底線與紅線，逾越了就要付出代價。
合規(guī)管理是因為融入世界后的法律管理升級版，在中國法律之外加入了企業(yè)道德標準、國際規(guī)則、國際規(guī)范等。合規(guī)管理的本質并不聚焦于風險管理，它只是要求企業(yè)要有不違反內外部法律及制度規(guī)范的道德認知，同時，國際組織會懲罰哪些無此道德認知并做出違規(guī)事件的企業(yè)，相關國家會以刑法加諸于違反了國際規(guī)則的企業(yè)經營層人員。
內部控制是企業(yè)管理理念，不但要求企業(yè)行為符合規(guī)范，同時還要考察企業(yè)規(guī)范是否完善、企業(yè)規(guī)范有沒有配備相應的執(zhí)行點，執(zhí)行企業(yè)規(guī)范的過程是不是有效。
全面風險管理是風險管控的最高形式，一切控制都是為了避免風險。
2）對企業(yè)實際運行而言，可以將三標體系當作法律、合規(guī)、內控、全面風險等理念落在實處的載體，作為理念落地的指南及手冊。
8、企業(yè)內部如何整合為好？
就國內企業(yè)的現(xiàn)狀而言，有將合規(guī)、法務、內控、風控按“四位一體”的思維整合，劃歸企業(yè)法務部門統(tǒng)一管理的，也有將內控、三標整合，劃歸企業(yè)標準生產部門管理、將合規(guī)、法律、風控劃歸企業(yè)法律部管理的…..各有特色，并無定論。
盡管從理論上，將合規(guī)、內控、風控、法務、三標明確交由企業(yè)內不同部門歸口管理，也屬于實現(xiàn)了企業(yè)層面的管理要素有序整合，但公司不同部門之間的溝通、協(xié)同都難免客觀存在降效的情況，各企業(yè)應該根據(jù)自身所在行業(yè)及企業(yè)本身管理風格做出合理調配。
9、企業(yè)法律事務機構及企業(yè)法務人需要直面
大多數(shù)企業(yè)法律部門的基礎職能應是在國務院國有資產監(jiān)督管理委員會頒布《國有企業(yè)法律顧問管理辦法》之后，根據(jù)該文件要求企業(yè)法律事務部門應承擔的10項職責構建的，企業(yè)法務人員的工作焦點自然在合同審查及企業(yè)糾紛案件處理上。
自合規(guī)建設興起，無論是從合規(guī)本意考慮還是借鑒國際經驗，企業(yè)法律機構已毫無爭議地需要承擔起企業(yè)合規(guī)的歸口管理職責。
隨著合規(guī)建設的推進，整個社會及企業(yè)都遲早會發(fā)現(xiàn)，合規(guī)建設將極大程度上改變過去十多年企業(yè)法務人員的工作狀態(tài)（無論是工作深度、工作方式、還是業(yè)務覆蓋面上都是如此）。尤其對于面對全球市場的競爭性企業(yè)里的企業(yè)法律機構及法務人，即便企業(yè)的內控、風控歸口職責在企業(yè)其他部門，但因為企業(yè)內控、風控體系上的短板、運行上無意或故意疏忽，都極大幾率轉化為企業(yè)法務人需要處理的棘手事件，且因為“合規(guī)”職能的承擔，而使企業(yè)法律事務機構及法律事務人員成為這里事件里永遠存在的責任者。
總 結
法律、合規(guī)、內控與全面風險管理都不獨立于具體生產經營業(yè)務而存在，都可以以三標體系的形式實現(xiàn)。
1）可以把內部控制理論視為一切管理的方法論：
①從體系建設上而言，所有體系建設都應該遵循內部控制的理念與方法論；
②從工作實踐而言，任何活動也都應該遵循內部控制的理念與方法論
2）在企業(yè)經營生產中，內控、風控、三標可以直接整合：內控是理念、風控是目標、三標是載體。
3）應對外部檢查，三標、內控、風控依然得按各自的套路運行；
4）企業(yè)法律建設體系、合規(guī)體系只要生下來就會有好的融合性，法律本身既是工作也是理念，而合規(guī)本身就是理念，這種理念要求天然需要在企業(yè)的三標、風控、內控中體現(xiàn)出來。所以關于融合，以及融合后的工作調整，可以結合合規(guī)體系一并構建。
[2023-08-16]
華協(xié)咨詢公司的咨詢團隊由國際知名機構資深主任審核員與資深顧問師打造而成，憑借著豐富的實戰(zhàn)管理經驗，為客戶提供了一套完整的咨詢服務保障體系，華協(xié)咨詢迅速得到了客戶的廣泛認可與關注，成為行業(yè)的佼佼者。
