陶光輝：論合規(guī)內(nèi)控風(fēng)險管理中的清單控制
導(dǎo)語：清單是合規(guī)內(nèi)控風(fēng)險管理建設(shè)過程中常見的工具。如，合規(guī)體系中的三張清單被認為是必須動作。但是，實踐中對于清單的后續(xù)使用，卻鮮有人提及，特別是當(dāng)制作的清單花費了大量人力、物力、財力之后，卻再次被束之高閣的時候，這不禁引人反思，何為清單，何為清單控制？
清單類成果文件是合規(guī)管理、內(nèi)部控制、風(fēng)險管理體系建設(shè)過程中的必要組成。
例如，當(dāng)前合規(guī)管理體系建設(shè)，必提“三張清單”，即合規(guī)風(fēng)險識別清單、崗位合規(guī)職責(zé)清單、流程管控清單。另外，合規(guī)管理體系中，其實還有合規(guī)審查清單、合規(guī)要求清單、常用法律法規(guī)清單等說法。
內(nèi)部控制體系建設(shè)中，需要將實際的業(yè)務(wù)流程與內(nèi)控規(guī)范對比，梳理內(nèi)控缺陷，進一步制作風(fēng)險點描述清單與控制活動清單，兩者組合形成風(fēng)險控制矩陣。
風(fēng)險管理體系建設(shè)中， 首當(dāng)其沖的自然就是經(jīng)過風(fēng)險評估，形成的全面風(fēng)險清單。在風(fēng)險應(yīng)對部分，還可形成風(fēng)險監(jiān)測與預(yù)警清單、風(fēng)險排查清單等。
雖然具體叫法可能會有所不同，但“清單”這類體系文件，在這三個管理體系建設(shè)中，都是一種比較常見的工具。
本文把企業(yè)通過清單的制作與運用，以達到預(yù)期的管控風(fēng)險的效果，稱之為“清單控制”。
清單控制，代表了某種管控模式。作為一種管理工具，它是怎樣發(fā)揮作用的？清單控制又是由哪些部分組成，需要我們對【清單】及【清單控制】進行詳解。
01
風(fēng)險清單——列舉及提示風(fēng)險
清單中最重要的一類，恐怕是風(fēng)險清單。不管是在合規(guī)管理中，還是內(nèi)控、風(fēng)險管理中，都有“風(fēng)險清單”的說法。這是因為三個管理體系的前提之一，都是需要進行風(fēng)險評估，而風(fēng)險評估的成果，便是風(fēng)險清單。
什么是風(fēng)險清單？個人認為，它是在風(fēng)險評估工作之后，對風(fēng)險點描述、風(fēng)險形成原因，風(fēng)險分析與排序，也包括風(fēng)險管控主責(zé)部門配置等要素進行匯總所形成的風(fēng)險集合。
風(fēng)險清單應(yīng)當(dāng)圍繞業(yè)務(wù)事項（經(jīng)營管理行為）而展開，而且是針對容易出問題（即風(fēng)險）的經(jīng)營管理行為，描述其風(fēng)險，并進一步分析和評價該風(fēng)險。也就是，風(fēng)險清單至少由三部分區(qū)域組成。一是業(yè)務(wù)信息區(qū)，二是風(fēng)險識別區(qū)，三是風(fēng)險分析與評價區(qū)。當(dāng)然，有一些風(fēng)險清單，還包括管控措施區(qū)和管控責(zé)任區(qū)。
風(fēng)險清單的區(qū)域組成，反映了風(fēng)險清單的作用。它其實主要還是起到一種列舉和提示的作用。基于風(fēng)險清單的控制，其效果取決于風(fēng)險清單自身的質(zhì)量，而非風(fēng)險清單的數(shù)量。
實踐中，有很多的企業(yè)喜歡讓外部咨詢機構(gòu)將本企業(yè)面臨的風(fēng)險全部列出，越多越好，越細越好，認為這樣才能起到更好的效果。但如果風(fēng)險清單的價值就是一種提示的話，那么信息量越大反而不容易起到提示的效果，因為人們消化不了那么多的信息。
筆者看到過有1萬多條的風(fēng)險數(shù)據(jù)庫（風(fēng)險清單），試問這種量級的風(fēng)險清單能起到提示效果嗎？真正有效的風(fēng)險清單，也就2、300條是比較合適的，平均下來每個部門三四十條風(fēng)險，可以讓各部門切實了解和認識本部門的重要合規(guī)風(fēng)險。這里說的重要包括發(fā)生概率較大、發(fā)生后果較嚴重，影響波及面較廣的風(fēng)險，也就是應(yīng)當(dāng)馬上投入資源和精力去管控的。
基于風(fēng)險的清單及其控制，進一步要注意的是問題有三點。第一點是清單內(nèi)的風(fēng)險描述要精準(zhǔn)、可信。所列舉的風(fēng)險，應(yīng)當(dāng)經(jīng)過各部門的確認。很多現(xiàn)實情況是，各業(yè)務(wù)和職能部門對于風(fēng)險合規(guī)部門給出的風(fēng)險清單并不認可，甚至持反對、輕視意見。這需要通過風(fēng)險培訓(xùn)、風(fēng)險研討會等方式，去促成共識。
第二，是清單內(nèi)的風(fēng)險要有定期更新機制。企業(yè)環(huán)境在變，經(jīng)營管理行為在變，法律法規(guī)在變，導(dǎo)致風(fēng)險一直也在變，因此風(fēng)險清單永遠都只能是某一個時間段內(nèi)的風(fēng)險清單。過了這個時間段，必須主動調(diào)整風(fēng)險清單內(nèi)容。
第三，風(fēng)險清單控制，與風(fēng)險內(nèi)容培訓(xùn)、風(fēng)險意識、風(fēng)險跟蹤與提示等密不可分。如果缺少這些工作內(nèi)容，光有一個風(fēng)險清單EXCEL表格，是發(fā)揮不了風(fēng)險清單控制效果的。
02
權(quán)責(zé)清單——明確責(zé)任邊界
權(quán)責(zé)清單，包括權(quán)力清單和責(zé)任清單兩種。合規(guī)管理中的崗位合規(guī)職責(zé)清單，便是典型的權(quán)責(zé)清單。
權(quán)力清單，主要是面對公司管理層的。例如，“三重一大”決策事項清單，便屬于權(quán)力清單的一種。在治理合規(guī)、內(nèi)控權(quán)限指引等工作中，會涉及權(quán)力清單的編制。權(quán)力清單，明確了各主體的權(quán)力范圍，原則上是清單之外的“不可為”。對于約束相關(guān)主體的權(quán)力，完善治理，強化制衡，可起一定作用。
權(quán)責(zé)清單的使用，主要還是體現(xiàn)在責(zé)任清單上。責(zé)任清單，往往又被稱為“職責(zé)清單”。崗位合規(guī)職責(zé)清單，是合規(guī)管理體系建設(shè)中越來越重要的一種工具。這是因為合規(guī)職責(zé)，首先是相對清楚、明確的。然后崗位的合規(guī)職責(zé)，相當(dāng)于是基于崗位的合規(guī)底線要求。
要發(fā)揮崗位的職責(zé)清單控制效果，其實應(yīng)區(qū)分兩部分的職責(zé)。一是該崗位的合規(guī)管理履職。這往往是針對管理崗位而言。另一是該崗位的合規(guī)要求遵守職責(zé)，這是對業(yè)務(wù)和職能操作崗位而言的。
任何一個崗位，都是有崗位工作事項的。這個工作事項，又必然存在外部的合規(guī)要求和內(nèi)部的合規(guī)規(guī)定。崗位合規(guī)職責(zé)清單編制，先應(yīng)梳理該崗位工作事項對應(yīng)的外規(guī)和內(nèi)規(guī)。當(dāng)然，因為這樣的外規(guī)和內(nèi)規(guī)數(shù)量肯定不在少數(shù)，因此實踐中梳理邏輯與合規(guī)風(fēng)險識別的邏輯是一樣的。然后，針對哪些容易出問題（容易違規(guī)）的事項進行匹配，據(jù)此形成該崗位的合規(guī)要求遵守職責(zé)內(nèi)容。
對于管理崗位上的合規(guī)管理職責(zé)，一方面可放到三道防線的設(shè)計工作上予以明確，不在崗位合規(guī)職責(zé)中體現(xiàn)。另一方面，如確實要并入崗位合規(guī)職責(zé)清單中，則應(yīng)和合規(guī)管控機制結(jié)合起來，將該管理崗位作為一道防線應(yīng)執(zhí)行的合規(guī)管控措施作為其合規(guī)管理職責(zé)。
在具體實踐中，也可將崗位的合規(guī)要求遵守職責(zé)與合規(guī)管理職責(zé)同時寫到崗位合規(guī)職責(zé)清單之中。
基于權(quán)責(zé)的清單及其控制，相比于風(fēng)險清單控制，是合規(guī)內(nèi)控風(fēng)險管理建設(shè)中更加落地，更有實效的管控工具。
03
管控清單——嵌入管控機制
合規(guī)管理中的業(yè)務(wù)流程管控清單，是指將合規(guī)管控機制（主要是合規(guī)審查）嵌入業(yè)務(wù)流程，形成對業(yè)務(wù)流程節(jié)點的自然管控。
業(yè)務(wù)執(zhí)行下來，合規(guī)管控機制得到了貫徹，合規(guī)管理措施也就得以實現(xiàn)。這便是基于基于業(yè)務(wù)流程的清單控制所能取得的效果。
對于合規(guī)管控清單，在實踐中的理解，差異還是很大的。有人認為，合規(guī)管控清單，與內(nèi)部控制中針對風(fēng)險點設(shè)置控制點是一個道理。在業(yè)務(wù)流程中，明確合規(guī)風(fēng)險點，然后設(shè)置合規(guī)控制點。
還有人所制作的業(yè)務(wù)流程管控清單，是將基于業(yè)務(wù)流程內(nèi)容，將合規(guī)管控措施再羅列一遍，便形成所謂業(yè)務(wù)流程合規(guī)管控清單。
個人認為，這些都是對業(yè)務(wù)流程（合規(guī)）管控清單的誤解與誤用，都是在沒有真正理解管控清單本質(zhì)的情況下產(chǎn)生的。
管控清單，其應(yīng)當(dāng)是管控機制的綜合運用，不僅僅是審查機制。從風(fēng)險自查、合規(guī)檢查、合規(guī)考核、合規(guī)調(diào)查等，這些其實都是某種管控機制。在不同的業(yè)務(wù)流程之中，可以嵌入不同的管控機制，且應(yīng)當(dāng)是綜合使用這些機制。
因為基于風(fēng)險的管控機制，其發(fā)揮效果應(yīng)當(dāng)是各部門、各崗位通力合作，既有控制、制衡，又有監(jiān)督、考核，也有激勵、賦能，這樣才能真正與業(yè)務(wù)管理相符合，而不僅是一個審查機制。
具體到合規(guī)管理體系建設(shè)中第三張清單——業(yè)務(wù)流程管控清單的設(shè)計與使用上來，個人認為，嚴格地講，這個管控清單更應(yīng)稱之為“業(yè)務(wù)流程合規(guī)風(fēng)險管控矩陣”。
矩陣是由縱橫兩向組成的。縱向是業(yè)務(wù)流程，可在其中標(biāo)注主要風(fēng)險點，包括合規(guī)風(fēng)險點。橫向則是管控機制，包括合規(guī)自查、合規(guī)審查、合規(guī)檢查、合規(guī)考核等。因為業(yè)務(wù)流程是不斷循環(huán)運行的，因此這些管控機制并不是同時使用，而是在必要的情況下才與風(fēng)險點進行配置設(shè)置。
基于管控機制的清單及其控制，是合規(guī)內(nèi)控風(fēng)險管理建設(shè)實施中不容易理解，也不容易實施的工具。除非有較好的信息化、數(shù)字化管理支撐，否則個人認為其在實踐中的效果總體是不佳的。
04
審查清單——賦能業(yè)務(wù)開展
除了常見的三類清單控制模式，還有一些通過賦能的方式來完成對風(fēng)險的控制。例如，合規(guī)管理中的合規(guī)自查清單、合規(guī)審查清單等。
合規(guī)審查清單，是將對于待審查事項（包括制度類、合同類、決策類、項目類等）的合規(guī)審查內(nèi)容事先進行列舉，在實際審查時作為參考的一種管理工具。
合規(guī)自查或?qū)彶榍鍐危茱@然只是一種參考。因為首先這個清單無法窮盡所有的待審事項，而且清單所列出的自查或?qū)彶閮?nèi)容，也可能是較為寬泛的。
但基于自查或?qū)彶榍鍐慰蔀橄嚓P(guān)部門的自查或?qū)彶楣ぷ鲙肀憷@個清單的使用反而是更受歡迎的，特別是在相關(guān)部門還不熟悉自查或?qū)彶榈慕嵌取?nèi)容等時候。因此，審查清單作為一種賦能工具，值得各企業(yè)去細化和深化。
小結(jié)一下：清單可基于風(fēng)險、基于權(quán)力、基于崗責(zé)、基于流程，其控制效果即可是一種提示和明確，也可是一種制約，還可是一種賦能。
