合规管理和风险管理有什么区别？

△ 点击下方 增长律 关注公众号

这是 增长律公众号 的第 210 篇原创文章

作者： 九月  编辑：家伟

‍

我在学习企业合规管理的时候，一直有一个困惑。

合规部门，和企业里面的法务、风控、内控等等这些部门究竟有什么不同？合规团队在做的事情，好像其他部门也都能做？

我去试着理解合规和风险的定义，看看究竟有什么不同。这些定义主要来自ISO 31000 ，ISO 37301，GB/T  35770-2022，GB/T  23694，还有一部分来源于《企业境外经营合规管理指引》，《中央企业合规管理指引》。

风险，是指不确定性对目标的影响。

合规，是指满足组织的所有合规义务。

合规义务，是指一个组织必须遵守的要求以及一个组织自愿选择遵守的要求。

合规风险，是指因未遵守组织合规义务而发生不合规的可能性及其后果。

看起来，风险和合规似乎是不一样的。毕竟想到风险，除了合规风险，还有很多其他风险。

《中央企业全面风险管理指引》也对企业风险进行了界定，企业风险一般可分为战略风险、财务风险、市场风险、运营风险和法律风险。

如果风险是指不确定性对目标的影响，我们还得去思考，目标是什么？

目标是要实现的结果。

而目标可能有很多个，可能涉及不同的主题，比如财务、健康、安全和环境。当我们期待一个组织实现合规目标的时候，这个目标和其他很多业务目标是并驾齐驱的，合规风险只是组织在实现这些目标时面临的许多类型风险之一。

那么为什么我们会混淆合规和风险管理呢？我觉得可能是因为在我国，很多企业的风险管理本身就是合规义务。

比如，当下企业做风险控制的动力是什么？

在企业中服务中，我们想要帮助优化，内嵌甚至重新设计业务流程，是非常艰难的事情。无论是法律服务，数字化转型，甚至哪怕部署一个OA系统。

很多时候哪怕是风控部门，也会说，我们必须要做这样的风险控制，只有这样做了，才是合法的/合规的。这样才能够说服决策者，去实施风控的一些措施。

比如前面我们聊到ESG的时候，为什么越来越多的国内的企业开始披露自己的ESG报告？不是因为这个报告本身多好看，是因为要求越来越多了。

港交所对于企业有强制披露社会责任报告的要求，报告可以登载于发行人的年报中又或自成一份独立报告。深交所则倡导公司自愿披露社会责任报告。

虽然A股的交易所没有强制要求，但是在 2017 年 12 月 26 日，证证监会公告〔2017〕17 号、18 号文对上市公司年度报告和半年度报告信息披露的内容与格式进行了统一修订。公告要求上市公司应在公司年度报告和半年度报告中披露其主要环境信息，并鼓励上市公司主动披露积极履行社会责任的工作情况。

如果风险管理本身的落脚点，就落在了合规管理上，那我们只会越来越模糊它们的界限。并不是所有的风险都是不可接受的，但是所有的合规风险都是不可接受的（虽然我们也会对合规风险进行分级评价）。

回到 ISO 31000，风险管理定义是：针对风险指挥和控制组织的协调活动。

我们翻译成更容易被理解的话，风险管理是一种为了管理不确定性、增加实现目标的可能性而展开的活动。

而在《中央企业合规管理办法》中，合规管理的定义是：指企业以有效防控合规风险为目的，以提升依法合规经营管理水平为导向，以企业经营管理行为和员工质职行为为对象，开展的包括建立合规制度、完善运行机制、培育合规文化、强化监督问责等有组织、有计划的管理活动。

假如有一天，检察院不再有合规不起诉的优惠政策，监管机构也不再要求出具合规整改方案等等，不再有合规管理的要求，第三方和也不再对业务伙伴做出严格的合规要求，那么，企业还需要有合规部门吗？企业还需要有风控部门吗？

风险管理的重点在于减少不确定性，增加实现目标的可能性。

合规管理的重点在于防控合规风险，在于承诺并致力于遵守相关法律、监管要求、行业准则和组织目标。

合规不是一个框，不是风控、法务、内控都可以往里面装。但有一点是毫无疑问的，都围绕着企业目标服务。

今天我们探讨了合规管理和风险管理，那么，合规和内控有什么区别？你有什么想法和我们一起交流？

在企业合规的探索中，肯定会遇到各种各样的问题，而我们有志于陪伴律师深耕这个领域，也为此做好了深入学习的准备。

如果你也对企业合规感兴趣，欢迎添加九月的微信，我们正尝试建立一个知识空间，以问题为导向，共享共创，孵化一个建在飞书上的“合规知识南泥湾”，期待你的加入。

---

点击下方卡片关注增长律，一起成为独角兽律师

咨询策划丨尝鲜合作丨专项落地丨长期陪跑

请在公众号后台回复“产品清单” 

增长律在路上

离不开你的“点赞”“在看”与分享 ↓↓↓

‍‍‍‍‍‍‍‍‍‍