风险雷达

企业管理中几个相关概念 ——如何认识制度、风管、合规、内控、内审、监管和道德遵从的关系和作用

2020-08-06 11:11

摘要:随着国家治理能力现代化建设的推进,无论是国有企业、上市公司还是民营企业,都明显地感受到来自于外部越来越多的监管要求,加强内部管理,实现企业规范运营,成为企业当下的重要工作内容之一。为统筹、合理定位几项相关工作,理顺工作关系和思路,本文尝试就企业制度、风险管理、合规管理、内部控制、内部审计、监管和道德遵从几个领域进行探讨。

一个成熟的企业,本身是一个能够独立运转的市场主体,企业的价值流,以及直接或间接围绕价值流提供管理、支持、服务、监管的各管理系统,共同构成了企业的运营体系。企业运营体系和其中的各系统之间的关系,就如森林和树木的关系。

01.企业运营构架的基本逻辑

在横向布局上,企业包括面向市场的价值产出和营销流,也就是价值管道,一般以分公司、子公司、事业部、产品线等形式存在,其运行轨迹可以称为企业的价值管道,视为企业的前端;面向各前端提供共性的技术、创新、中试、供应链等支持机构,视为企业的中端;为保证企业正常运转,企业中设置的职能机构,构成了企业的后端。企业后端作为职能平台,面向前端、中端提供支持、服务和监管。具体到企业下属的子公司、事业部、产品线等机构,前、中、后端同样存在,差异在于繁简、大小、分布不同而已。

企业领导层建立合适的组织,通过分权、授权,并按照一定的规则行权,形成了企业的治理结构和治理能力,领导、管理、监督企业运营运营体系的运转。

在企业运营中,除我们日常接触的计划管理、质量管理、人力资源管理、财经管理等系统外,本文所要讨论的制度、风险管理、内控管理、内部审计和监管等职能,往往分布于企业的后端平台,并由其组织推动产生、运行、维护和执行监督,具体形式、效果视前、中、后端的应用场景情况而体现。

02.制度—维持企业运营的最基础规则

制度是为保证企业正常、合规、规范运转而设计形成的一套规则。衡量企业单体制度的标准有三项,一是有效性,包括内容上须保持与相关法律法规、政策的遵从性,与上位制度的符合性,制度产生过程的合法性,这是制度有效的基本底线;二是制度的合理性,制度是规则,规则应符合制度规定范围内的运行规律,这是制度能够被执行的基础条件;三是制度执行的可监管性,是保证制度执行的管控手段,但不是必要条件。企业在把握单体制度有效的情况下,根据企业自身需要,不断丰富制度构成,使制度能够支持企业的运营需要,并通过持续维护,提高制度的时效性,即用制度的确定性去保证企业的正常、规范运转。

制度是企业存在和运转的基本规则,设计科学、执行到位的一套健全的制度,原理上,在企业合规管理、内部控制、风险管理、内部审计、监管(以下统筹7类工作)等各个方面,能够发挥积极的作用,但并不意味着能够完全满足这些工作的目标要求。另外,7类工作要规范运转,也必须通过配套制度的建设,从而形成长效运行机制,也可以理解为,缺乏制度支持的7类工作,是难以维继的。

03.风管与合规、制度、内控的关系

风险在于不确定性的客观存在而可能带来的超出预期的,也就是超出承受范围的后果。对风险的管理,实际是对不确定因素或事项的管理,而不是对后果的管理。对后果的管理叫危机管理。

不确定性往往来源于管理活动或业务活动(活动当然存在内、外)。也就是说,只有有追求目标的活动,往往才存在不确定性。企业存在的理由就是创造客户,创造用户价值,并通过商业交换使价值得以实现,再通过不断的投入、扩大再生产等活动,从而推动企业价值增长,也就是企业的发展。因此,风险始终是与企业相生相伴的。

风险管理的宗旨,就是识别并控制风险。能够接受并承担的风险也意味着机会,不敢承担风险的企业是谈不上发展的,这就是风险与发展的辩证关系。从风险的属性角度,我们可以把风险分为两个大类,一类是企业在运营过程中,经常面对的可识别的确定性风险;另一类是由于内外部环境,或者突发的自然条件变化而构成的突发风险,此类风险往往具有很大的不确定性,不确定性风险与企业运营活动场景直接相关。一般讲,对确定性风险可以通过制度形式明确行为规则,也可以通过内部控制的设计,保证应对风险的行为得到执行,这就是风险管理与规章制度、内部控制之间的彼此关联关系。一般情况下,一个对风险呈现积极态度的企业,其面对的确定性风险占比能够达到90%左右,所以,可以把制度、内控作为企业应对风险的措施之一。对少量的不确定性风险,企业需要针对具体场景情况,通过制定或采取必要的短期措施实施管控,并随着认识的深入得以提炼、固化和复制,此谓不确定性风险关闭,也就是说,对风险的管理需要平衡短期和长期的关系。就合规管理而言,其本身就是风险管理的一个分枝,只不过其强调的是对外法律法规、监管政策、行业规则、社会责任和商业承诺的遵从性风险控制,对内是企业制度、道德甚至技术标准的遵从性风险控制。

04.内控与监管、防范风险的关系

内部控制是一种约束措施,这种约束反映在不相容职权的分离与监督,目的在于通过控制,达到制衡活动主体的行为,控制依据在于对活动的要求、规范和责任。活动通常直观体现于流程,因此,从内部控制效能上看,有制度的作用,但更多体现于流程载体上的控制,区别在于流程控制更能突出重点,表现更为直观、实用。对企业而言,可以说,没有制度就没有内控,但有了制度,并不意味着就能够完全发挥内部控制的效能。

内部控制的直接反映是不相容职权的分离,实质是对授权后行权的制衡,最为直观的目的在于防腐败、促经营、提质量,把权力锁在规定的笼子里,防止权力泛滥。因此,企业内部控制的有效,建立在企业合理、全面的授权基础上。从当前看,很多企业的授权,在形式上是存在的,但仔细研究内容与构成,可以发现存在几种问题,一是不规范、二是不全面、三是分类有遗漏、四是对行权错误缺乏责任认定标准,这就导致内控的设计基础是不完整的,需要系统梳理,统筹设计。

从内控的核心要义理解,内部控制重点体现在“控”,也就是把控制纳入业务流程,这就意味着流程的固化和执行,本身就可以发挥控制流程风险的作用,所以说,流程本身就是一道防线。流程既然有控制的作用,内部控制建设必然也是从制度起步,从流程实现,而流程实现的责任者就是业务管理者。意味着,业务管理者一方面承担着业务管理的责任,另一方面也承担着流程梳理、内控设计、控制执行的监管责任。由此分析,企业宏观意义上的监管是普遍存在的。问题是,监管和内部控制的区别是什么?笔者认为,二者没有特别清晰的划分,但可以把握一个甄别原则,即:控制是流程中的一种行为,监管则不在流程内。需要特别注意的是,领导者的审批不是监管,审批只是流程中的一个活动。在一个企业中,常见的监管包括:主管领导对计划执行情况、控制执行情况的监管,监事会、审计、稽查、巡查巡视等系列活动也是监管。其次,上部分提到,企业的确定性风险基本占比可以达到90%左右,而这部分确定性风险是可以在流程活动中得到反映的,因此国资委文件中提到的,以内部控制为依托加强风险管理,是有其内在依据的。

05.内审与风管、内控、监管的关系

这是笔者第一次谈内部审计工作,以前经常听到的都是审计专家畅谈对风险管理、内部控制的讲解和培训,但确切地说,很多内容并不完全认同。

全面风险管理体系由三道防线构成,其中第三道防线就是内部审计机构,这种定位是基于全面风险管理视角下确认的。很多时候,不少企业把内部审计与其它监管机构一起表述为第三道防线,有道理但并不完全准确,其它监管机构有对人行权的监控,也有对机构运作的监控,其监控行为往往通过事项表现出来。而内部审计则是对事的监管,是按照结果线索,行使逆向追溯监督,并对照相关制度、内控标准进行问题认定,所以审计是事后的。经常听到的一句话是,审计天然就是风险管理专家,从风险管理以及审计工作逻辑看,这句话不完全准确。不准确的原因,可能是把三道防线误解成了战斗中的一、二、三层防御阵线,也就是说,如果第三层被攻破了,意味着战斗的失败。那么第三道防线如何发挥作用呢?就是通过审计调查,对风险管理或内部控制结果进行独立调查,对照内部控制活动要求向前追溯,印证是否得到执行,并发表评价或审计意见。只有这样,内部审计才不失监管定位,而不是去履行识别风险责任。

如何认识内部审计在企业中的定位呢?首先内部审计机构是企业中的监管机构之一,类似企业内部的司法机构,工作上保持很大的独立性。内部审计对事负责,其次对行为负责任,但不对流程负责,其行使的是逆向监督的职能,这就是我们在管理上经常听到“从源头抓起”,放在审计是不能这样表述的。但审计可以“围绕发现的问题线索”,一直向前追溯,一查到底,从而形成审计意见,所以审计经常讲的一句话是“揭示问题”。

内部审计对内部控制的评价,一般是结合审计项目实施的,也就是结合审计项目的需要,对照上级相关制度、内控要求,首先对被审计机构的内部控制、制度进行有效性审计和健全性审计,从而确定审计依据和标准开展相关工作。所以,企业在持续完善制度的基础上,建立完善的流程控制手册,仍是不可缺少的工作之一。其次,内部审计行使审计职责,应该坚持的是查、处分离原则,也就是对审计中发现的违法违纪行为问题,需要移交相关纪律监管机构处理。

作为发挥监管角色的内部审计,是否存在被监管的问题呢?当然,审计的主管领导、企业的审计委员会都可以履行监管职责。在企业中如何衡量内部审计工作效果呢?笔者认为衡量标准应该参照两个方面:一是企业不能出现“应被审计发现,但未发现”的大事儿;二是已经发现的问题不能接二连三发生。所以,审计对问题的处理和纠正是可以发挥一定作用的,就是通过问题公开,发挥警示作用,而不是把问题放在柜子里。

06.大监管与道德遵从的关系

监管可以理解为超脱于流程之外的监督,目的在于保证企业健康运行。在企业内部,从企业治理结构分析,监事会是企业的最高监管机构,代表广大股东对企业,对董事会成员,企业高管人员实施监督。企业设置的各类委员会,在董事会授权下行使的职责中,也包括对业务系统的监管。对企业治理结构情况的描述,也是企业内部控制环境的构成之一。

其次,企业根据管理需要,实施授权,授权和行权是分层分级的,实际上,流程中的每一项活动,都是活动主体行权的过程,只不过行权的大小和范围不同,业务主管领导对行权情况实施监管责任。还有一种情形,譬如质量管理机构、职业健康、安全管理等机构,需要建立全领域的业务管理系统,在推进和执行过程中,实际上他们也在行使部分监管职责。

另外,不同类型、性质的企业,根据国家、上级单位要求,或者根据企业自身安全需要,设置了各种不同名称的道德遵从型机构,如国企的纪检监察机构、巡查机构,外企或民企中的道德监督办公室等等,这些机构对企业领导人员、员工行为实施监管,目的是规范员工行为,执行道德标准。

从一个企业总体来讲,监管是无处不在的,不同的是,不同类型机构的监管定位、监管方式、监管时机和监管对象存在一定差异,从整体监管角度,可以形成以下不太准确或者比较牵强的观点:审计关注的侧重点是“点”的问题;而业务类监管关注的是“线”的问题,包括普适类的质量管理、财报控制等等,其监管的是同一共用流程的执行情况,所以也是“线”的问题;道德遵从类机构关注的是“面”的问题,即通过营造道德遵从环境,建立一个“场”的监督。

制度、风管、合规、内控、内审、监管和道德遵从7类工作,虽在一定程度上具有其内在的差异性,但在很多方面又彼此关联,互为支持,找准定位,理清关系,相互借助,统筹推进,是企业提高工作效率,追求效能最大化的必要途径。

本文原创来自中科惠达,作者程天弩。

服务热线

021-68580928

风险雷达微信二维码

风险雷达公众号

姓名*
手机*
公司*
职务
邮箱