剖析企業(yè)三大管理體系

◎ 文 《法人》 特約撰稿 陶光輝

近日，國資委發(fā)布《關(guān)于加強(qiáng)中央企業(yè)內(nèi)部控制體系建設(shè)與監(jiān)督工作的實(shí)施意見》，再提央企要加強(qiáng)內(nèi)部控制體系建設(shè)。這距離2012年國資委發(fā)布有關(guān)內(nèi)部控制建設(shè)的通知，已經(jīng)7 年。其間，國資委2018 年發(fā)布了《中央企業(yè)合規(guī)管理指引(試行)》，加上國資委2006年后一直在推行的《中央企業(yè)全面風(fēng)險(xiǎn)管理指引》，企業(yè)已有風(fēng)險(xiǎn)管理、內(nèi)部控制與合規(guī)管理三套管理體系。如何看待這三者之間的關(guān)系，特別是內(nèi)部控制（內(nèi)控）與合規(guī)管理（合規(guī)）的關(guān)系，成為所有企業(yè)風(fēng)險(xiǎn)管控領(lǐng)導(dǎo)者及從業(yè)者的一大難題。

內(nèi)控與合規(guī)的起源

20 世紀(jì)早中期，企業(yè)開始接觸內(nèi)部控制的基本概念，但一直缺乏“何為良好內(nèi)部控制”的統(tǒng)一定義。最早的內(nèi)部控制定義出自美國注冊會(huì)計(jì)師協(xié)會(huì)（AICPA），并被美國證券交易委員會(huì)（SEC）于1934 年頒布的《證券交易法》所引用。此后，內(nèi)部控制的定義不斷發(fā)生變化，出現(xiàn)了許多版本的內(nèi)部控制相關(guān)定義。

20 世紀(jì)70 年代，美國和世界許多地方暴發(fā)了大規(guī)模的公司會(huì)計(jì)欺詐事件，以及美國的“水門事件”，導(dǎo)致美國出臺(tái)《反海外腐敗法》（1977 年）。該法案除了禁止賄賂外國官員（非美國官員），對(duì)公司賬簿的準(zhǔn)確性、記錄和內(nèi)部會(huì)計(jì)控制系統(tǒng)也提出了要求。這促進(jìn)了企業(yè)重視內(nèi)控概念的運(yùn)用。

1985 年，為了遏制日益猖獗的企業(yè)會(huì)計(jì)舞弊行為，美國注冊會(huì)計(jì)師協(xié)會(huì)等5 家相關(guān)領(lǐng)域的權(quán)威機(jī)構(gòu)聯(lián)合成立了一個(gè)美國反虛假財(cái)務(wù)報(bào)告委員會(huì)，其下屬有一個(gè)發(fā)起組織委員會(huì)

（The Committee of Sponsoring Organizations of the Treadway Commission），這就是我們熟悉的COSO。1992 年，COSO 發(fā)布《內(nèi)部控制—整合框架》，這是一部對(duì)內(nèi)控理論和實(shí)踐有重要指導(dǎo)意義的文件。

21 世紀(jì)初，以安然事件為代表，美國暴發(fā)歷史上第二次大規(guī)模企業(yè)財(cái)務(wù)欺詐事件 ，導(dǎo)致2002 年《薩班斯法案》誕生。該法案是美國第一部與內(nèi)部控制密切相關(guān)的法律法規(guī)，發(fā)展至今，在世界范圍內(nèi)有非常大的影響力。在該法案的執(zhí)行中，美國證券交易委員會(huì)唯一推薦參考COSO 發(fā)布的《內(nèi)部控制—整合框架》。同時(shí)，《薩班斯法案》第404 節(jié)條款細(xì)則，明確表示COSO 內(nèi)部控制框架可以作為評(píng)估企業(yè)內(nèi)部控制的標(biāo)準(zhǔn)。

在中國，財(cái)政部參考COSO 內(nèi)部控制框架，聯(lián)合證監(jiān)會(huì)、銀監(jiān)會(huì)、保監(jiān)會(huì)、審計(jì)署等，于2008 年發(fā)布《企業(yè)內(nèi)部控制基本規(guī)范》。2010年，出臺(tái)18 項(xiàng)具體內(nèi)控應(yīng)用指引。2012 年，財(cái)政部和國資委聯(lián)合發(fā)文，推動(dòng)中央企業(yè)建立覆蓋全集團(tuán)的內(nèi)部控制體系。2014 年，財(cái)政部發(fā)布的《行政事業(yè)單位內(nèi)部控制規(guī)范（試行）》施行。2018 年，財(cái)政部發(fā)布的《小企業(yè)內(nèi)部控制規(guī)范（試行）》施行。至此，中國的內(nèi)部控制體系建設(shè)全面展開。

合規(guī)的概念，沒有內(nèi)控那么早出現(xiàn)。一般認(rèn)為，根據(jù)對(duì)合規(guī)的不同定義，合規(guī)起源與發(fā)展存在兩條路徑。一是反腐敗合規(guī)，其起源仍是1977 年的美國《反海外腐敗法》。其內(nèi)容可分為兩個(gè)部分：會(huì)計(jì)標(biāo)準(zhǔn)條款和反賄賂條款。如前述，會(huì)計(jì)標(biāo)準(zhǔn)條款促進(jìn)了企業(yè)內(nèi)部控制概念的進(jìn)化。反賄賂條款，則成為反腐敗合規(guī)管理的源頭。合規(guī)的另一個(gè)源頭，出現(xiàn)在金融行業(yè)。2005 年4 月29 日，巴塞爾銀行監(jiān)管委員會(huì)在其頒布的《合規(guī)與銀行內(nèi)部合規(guī)部門》文件中，最早提出了合規(guī)的理念。

在反腐敗合規(guī)領(lǐng)域，一些國際組織和國家相繼頒布一系列的公約、法規(guī)。如1997 年，經(jīng)濟(jì)合作與發(fā)展組織OECD 通過了《國際商務(wù)交易活動(dòng)反對(duì)行賄外國公職人員公約》，要求各締約國對(duì)于企業(yè)在海外業(yè)務(wù)中行賄外國公職人員的行為進(jìn)行規(guī)制和處罰。2003 年，聯(lián)合國通過《反腐敗公約》，這是聯(lián)合國唯一一份具有法律約束力的反腐敗文件，要求各締約國應(yīng)采取立法或其他措施，將企業(yè)或個(gè)人賄賂外國官員的行為認(rèn)定為犯罪。2011 年，英國頒布《反賄賂法案》，規(guī)定了比美國《反海外腐敗法》更加嚴(yán)格的條款，來制止腐敗行為，督促企業(yè)加強(qiáng)反腐敗合規(guī)管理。

在各國和國際組織推進(jìn)反腐敗合規(guī)管理的進(jìn)程中，隨著國際經(jīng)濟(jì)環(huán)境的變化，對(duì)企業(yè)合規(guī)管理漸漸提出了新的要求，不再限于反腐敗領(lǐng)域，而是拓展到了企業(yè)行為的各個(gè)方面。如公平競爭與反壟斷、反洗錢、進(jìn)出口管制、隱私與數(shù)據(jù)安全、環(huán)境保護(hù)、勞動(dòng)用工等。同時(shí)，合規(guī)涉及的行業(yè)，也不再限于金融業(yè)或公眾公司，而是各行各業(yè)及各類型企業(yè)。

這引起了幾乎所有企業(yè)的高度關(guān)注。如歐盟《通用數(shù)據(jù)保護(hù)條例》（GDPR）的實(shí)施，引發(fā)了企業(yè)數(shù)據(jù)合規(guī)管理的熱潮。建立完整的合規(guī)管理體系，已成為目前各國和國際組織關(guān)注的重點(diǎn)。國際標(biāo)準(zhǔn)化組織ISO 積極響應(yīng)，2014年12 月公布《ISO19600：2014 合規(guī)管理體系指南》，為所有規(guī)模和類型的企業(yè)建立有效的合規(guī)管理體系提供指導(dǎo)性建議。

在中國，合規(guī)管理在金融業(yè)率先開展。2006 年10 月，銀監(jiān)會(huì)頒布了《商業(yè)銀行合規(guī)風(fēng)險(xiǎn)管理指引》，較早使用了合規(guī)的概念。隨后，保監(jiān)會(huì)、證監(jiān)會(huì)相繼頒發(fā)各自監(jiān)管領(lǐng)域內(nèi)的合規(guī)管理辦法。2016 年4 月，國資委印發(fā)《關(guān)于在部分中央企業(yè)開展合規(guī)管理體系建設(shè)試點(diǎn)工作的通知》，在中國移動(dòng)、中國石油等5家中央企業(yè)開始試點(diǎn)合規(guī)管理體系建設(shè)。2017年5 月，中央全面深化改革領(lǐng)導(dǎo)小組召開第三十五次會(huì)議，審議通過《關(guān)于規(guī)范企業(yè)海外經(jīng)營行為的若干意見》，提出要“加強(qiáng)企業(yè)海外經(jīng)營行為合規(guī)制度建設(shè)”。

CFP

2017 年12 月，國家標(biāo)準(zhǔn)化委員會(huì)發(fā)布《合規(guī)管理體系指南》（GB/T 35770-2017/ISO 19600:2014），為組織建立系統(tǒng)的合規(guī)管理體系提供指南。2018 年11 月，國資委頒布《中央企業(yè)合規(guī)管理指引（試行）》，對(duì)于中央企業(yè)合規(guī)管理體系建設(shè)提出要求和建議。2018 年12月，國家發(fā)改委等七部委聯(lián)合頒發(fā)《企業(yè)境外經(jīng)營合規(guī)管理指引》，對(duì)推動(dòng)企業(yè)提升合規(guī)管理水平提供更加具體的行動(dòng)指引。

內(nèi)控與合規(guī)的異同

通過分析內(nèi)控與合規(guī)的起源及發(fā)展脈絡(luò)，結(jié)合內(nèi)部控制五要素以及合規(guī)管理的重點(diǎn)內(nèi)容，可以看出內(nèi)部控制與合規(guī)管理的異同。

（一）兩者相同點(diǎn)

1.兩者目標(biāo)存在一致性。根據(jù)COSO的 《內(nèi)部控制—整合框架》（2013 年版），內(nèi)部控制的目標(biāo)在于實(shí)現(xiàn)營運(yùn)控制、報(bào)告控制以及合規(guī)性控制。遵循適用的法律法規(guī)，是內(nèi)部控制三大目標(biāo)之一。合規(guī)管理的目標(biāo)，當(dāng)然也包括遵守法律法規(guī)。因此，通過有目的的管控活動(dòng)，使得企業(yè)能夠遵守適用的法律法規(guī)，是內(nèi)部控制和合規(guī)管理的共同目標(biāo)。

2.兩者在企業(yè)反舞弊等領(lǐng)域重合。內(nèi)部控制一開始是基于財(cái)務(wù)舞弊的出現(xiàn)，在企業(yè)內(nèi)形成的一種監(jiān)督制衡機(jī)制，逐漸發(fā)展成對(duì)企業(yè)內(nèi)業(yè)務(wù)、職能及管理層進(jìn)行風(fēng)險(xiǎn)控制。合規(guī)管理也是從對(duì)企業(yè)內(nèi)舞弊、腐敗、賄賂等行為進(jìn)行控制，發(fā)展為對(duì)勞工、環(huán)保、數(shù)據(jù)、競爭等進(jìn)行規(guī)制。兩者的最初來源，有很大的重合之處。

3.兩者都是風(fēng)險(xiǎn)管理的一種方式。內(nèi)部控制的產(chǎn)生，是為防止出現(xiàn)人為的或認(rèn)知缺失而產(chǎn)生的舞弊、失控等風(fēng)險(xiǎn)。建立內(nèi)控體系，便是建立內(nèi)部風(fēng)險(xiǎn)預(yù)防與風(fēng)險(xiǎn)應(yīng)對(duì)體系。合規(guī)管理的產(chǎn)生，同樣是出現(xiàn)了與法律法規(guī)、規(guī)章制度、監(jiān)管要求不相符合的風(fēng)險(xiǎn)，而必須建立制度和流程，以杜絕或降低該風(fēng)險(xiǎn)。故內(nèi)部控制與合規(guī)管理，都屬于風(fēng)險(xiǎn)管理的一種。

（二）兩者不同點(diǎn)

1.兩者涵蓋的范圍不一樣。內(nèi)部控制包括對(duì)企業(yè)的整體層面、分支機(jī)構(gòu)層面、業(yè)務(wù)活動(dòng)層面進(jìn)行全面控制，為企業(yè)的運(yùn)營、財(cái)務(wù)與非財(cái)務(wù)報(bào)告以及合規(guī)目標(biāo)提供合理保證。內(nèi)部控制是為保護(hù)企業(yè)而設(shè)計(jì)的，它能確保相關(guān)經(jīng)營單元的資產(chǎn)免于被濫用或遭受損失。合規(guī)管理主要是針對(duì)外部法律法規(guī)的執(zhí)行、企業(yè)規(guī)章制度以及遵循狀況進(jìn)行監(jiān)督和評(píng)價(jià)，對(duì)違規(guī)行為進(jìn)行審查，對(duì)合規(guī)風(fēng)險(xiǎn)進(jìn)行有效預(yù)防。因此，內(nèi)部控制涵蓋的范圍，要比合規(guī)管理更廣。

另外，從兩者的目標(biāo)來看，內(nèi)部控制致力于達(dá)到三大目標(biāo)，其中之一便是合規(guī)目標(biāo)。雖然這里合規(guī)目標(biāo)，與合規(guī)管理中所指的合規(guī)目標(biāo)相比，可能僅指法律法規(guī)的遵守，但對(duì)法律法規(guī)的遵守，恰恰是合規(guī)管理的最重要的目標(biāo)。從目標(biāo)的寬度上看，內(nèi)部控制包含了合規(guī)管理。

2.兩者的管控手段不一樣。內(nèi)部控制的五要素是控制環(huán)境、風(fēng)險(xiǎn)評(píng)估、控制活動(dòng)、信息與溝通、監(jiān)控活動(dòng)。合規(guī)管理則是通過合規(guī)政策制定、合規(guī)組織架構(gòu)、合規(guī)管理制度、合規(guī)風(fēng)險(xiǎn)的識(shí)別與評(píng)估、合規(guī)舉報(bào)與調(diào)查、合規(guī)審查、合規(guī)處理、合規(guī)考核與培訓(xùn)等行為來實(shí)現(xiàn)合規(guī)風(fēng)險(xiǎn)的管控。兩者的管控手段是不大一致的，這是造成內(nèi)部控制和合規(guī)管理在企業(yè)內(nèi)難以協(xié)調(diào)的原因。兩者的管控手段雖不一樣，但本質(zhì)上，它們的管控邏輯是一樣的，這也是它們可以整合在一起的根本原因。

3.兩者的價(jià)值觀不一樣。內(nèi)部控制對(duì)企業(yè)全體員工，包括高層，是一種相互約束，其價(jià)值觀體現(xiàn)為一種“制衡監(jiān)督”的理念。合規(guī)管理是企業(yè)高管和員工主動(dòng)推動(dòng)并遵照?qǐng)?zhí)行的自我約束，其價(jià)值觀體現(xiàn)為一種“主動(dòng)遵守”的理念。

以風(fēng)險(xiǎn)管理為導(dǎo)向的內(nèi)控與合規(guī)

國資委《關(guān)于加強(qiáng)中央企業(yè)內(nèi)部控制體系建設(shè)與監(jiān)督工作的實(shí)施意見》提出，要建立健全以風(fēng)險(xiǎn)管理為導(dǎo)向、合規(guī)管理監(jiān)督為重點(diǎn)的內(nèi)控體系，且要將風(fēng)險(xiǎn)管理和合規(guī)管理要求嵌入業(yè)務(wù)流程，實(shí)現(xiàn)“強(qiáng)內(nèi)控、防風(fēng)險(xiǎn)、促合規(guī)”的管控目標(biāo)。這不僅為我們實(shí)現(xiàn)內(nèi)部控制與合規(guī)管理的整合提出了迫切要求，而且還提供了創(chuàng)新思路。

整合的目的是為提高內(nèi)部控制與合規(guī)管理工作本身的效率，減少兩種風(fēng)險(xiǎn)管控活動(dòng)之間的重復(fù)性工作，消除目前存在的對(duì)兩種活動(dòng)的一些困惑之處。整合的策略包括：

(一)管控環(huán)境的整合

內(nèi)部控制五要素的頂層是“控制環(huán)境”，它是企業(yè)實(shí)施有效內(nèi)部控制的基礎(chǔ)?？刂骗h(huán)境始于董事會(huì)和高管層，他們?yōu)槠髽I(yè)確定“最高層基調(diào)”。企業(yè)高管對(duì)外發(fā)布的內(nèi)部控制聲明，如企業(yè)行為準(zhǔn)則，正是企業(yè)合規(guī)文化要推動(dòng)的一件大事。合規(guī)從高層做起，由高層推動(dòng)，是合規(guī)管理能否取得成效的關(guān)鍵。因此，不管是合規(guī)，還是內(nèi)控，企業(yè)高層都需要親自介入，并傳遞出統(tǒng)一的聲音，形成有利的控制環(huán)境及合規(guī)環(huán)境。

（二）風(fēng)險(xiǎn)評(píng)估的整合

風(fēng)險(xiǎn)評(píng)估是管理各種風(fēng)險(xiǎn)的決策基礎(chǔ)，不管是合規(guī)風(fēng)險(xiǎn)，還是其他的戰(zhàn)略風(fēng)險(xiǎn)、營運(yùn)風(fēng)險(xiǎn)、財(cái)務(wù)風(fēng)險(xiǎn)、信息風(fēng)險(xiǎn)。內(nèi)控的風(fēng)險(xiǎn)識(shí)別與分析，包括企業(yè)整體業(yè)務(wù)層面的風(fēng)險(xiǎn)，也包括單個(gè)業(yè)務(wù)或項(xiàng)目層面的風(fēng)險(xiǎn)，比合規(guī)的風(fēng)險(xiǎn)識(shí)別與分析要廣。但是，在風(fēng)險(xiǎn)評(píng)估中，管理層所用的評(píng)估方法是可以通用的。每個(gè)業(yè)務(wù)領(lǐng)域的潛在風(fēng)險(xiǎn)，以及風(fēng)險(xiǎn)發(fā)生的時(shí)間和概率及其影響范圍，是一致的。故內(nèi)控與合規(guī)在整合過程中，可以用同樣的評(píng)估方法，及共用一套風(fēng)險(xiǎn)事件庫、風(fēng)險(xiǎn)評(píng)估清單。

（三）風(fēng)險(xiǎn)控制的整合

風(fēng)險(xiǎn)控制是內(nèi)部控制最核心的要素，其貫穿于整個(gè)企業(yè)，遍及各個(gè)層級(jí)、業(yè)務(wù)單元和流程以及技術(shù)環(huán)境?？刂苹顒?dòng)可分為預(yù)防性措施和檢查性措施，它包括一系列手工控制和自動(dòng)化控制，如授權(quán)、審批、驗(yàn)證、調(diào)節(jié)、業(yè)績評(píng)價(jià)等。職責(zé)分離是最基本的控制措施?？尚行匝芯颗c決策審批、決策審批與執(zhí)行、執(zhí)行與監(jiān)督檢查等崗位職責(zé)的分離。采購、銷售、投資管理、資金管理、工程項(xiàng)目、產(chǎn)權(quán)交易等業(yè)務(wù)領(lǐng)域的崗位職責(zé)權(quán)限要相互銜接、相互制衡、相互監(jiān)督。在合規(guī)管理的管控措施中，基本上可以用到前述風(fēng)險(xiǎn)控制活動(dòng)的技巧。

（四）信息系統(tǒng)的整合

對(duì)于內(nèi)部控制和合規(guī)管理而言，信息都是不可或缺的元素。信息應(yīng)當(dāng)可靠、來源多元化。出于成本和效率考慮，內(nèi)部控制和合規(guī)管理，應(yīng)當(dāng)擁有一體化的信息（系統(tǒng)）。內(nèi)控與合規(guī)建設(shè)部門要與業(yè)務(wù)部門、審計(jì)部門、信息化建設(shè)部門協(xié)同配合，推動(dòng)企業(yè)投資和項(xiàng)目管理、財(cái)務(wù)和資產(chǎn)、物資采購、全面風(fēng)險(xiǎn)管理、人力資源等信息系統(tǒng)的集成應(yīng)用，實(shí)現(xiàn)內(nèi)控、合規(guī)體系與業(yè)務(wù)信息系統(tǒng)互聯(lián)互通、有機(jī)融合。信息化基礎(chǔ)較好的企業(yè)可探索利用大數(shù)據(jù)、云計(jì)算、人工智能等技術(shù)，實(shí)現(xiàn)內(nèi)控與合規(guī)體系實(shí)時(shí)監(jiān)測、自動(dòng)預(yù)警、監(jiān)督評(píng)價(jià)等在線監(jiān)管功能。

當(dāng)然，內(nèi)控與合規(guī)畢竟是兩件獨(dú)立存在的事情，即便經(jīng)過一體化的整合，仍存在諸多不可完全融合之處。如，相關(guān)管理組織架構(gòu)、管理制度，溝通機(jī)制與監(jiān)控機(jī)制，均因內(nèi)控與合規(guī)的不同而有所差異，故仍需用不同的方法和原則予以對(duì)待。但整體來說，以風(fēng)險(xiǎn)管理為導(dǎo)向，整合內(nèi)控與合規(guī)共同要素是可行的。