穿透式监管体系为什么最好以法务合规内控风险一体化为必要前提
发布时间：2026-04-30
作者： 陶光辉
穿透式监管体系建设与法务合规内控风险一体化管理之间究竟是什么关系，在实务中是一个非常令人困惑的问题。
就两者的关系及其融合，笔者曾连续撰写多篇文章，包括《穿透式监管与法务合规内控风险一体化的关系解析》、《穿透式监管与法务合规内控风险一体化的融合之道》、《穿透式监管与法务合规内控风险一体化的融合实施》等。
但仍有不少企业法务、合规人员向笔者咨询，如何将两者结合起来，特别是当前要求进行穿透式监管体系建设的大环境下。
即，国资委2026年15号文要求央企利用两年左右时间构建穿透式监管体系，而“四位一体”建设是近年来国资委提倡和企业自身持续推动的基础性工作。
两项工作，在很多企业几乎是同时推进，但不少企业由不同部门分别牵头，由此产生了两者是并行关系，还是融合关系，或其他关系等多种说法。
本文尝试提出这么一个论断：穿透式监管体系建设最好以法务合规内控风险一体化为必要前提。
这里说的“必要前提”，不是政策上的强制要求，而是体系建设逻辑上的内在需要。
“必要”，意味着要没有这个前提，穿透式监管建设会遭遇大量重复劳动和逻辑断点。
“前提”则意味着，在时间顺序和逻辑上，一体化的产出，是构成穿透式监管核心工作的直接输入。
以下从原理、关系和路径三个层面展开论述。
一、穿透式监管的核心输入从何而来
穿透式监管体系建设的核心是智能化监管平台的打造。这么说，应该没有人会反对。
而智能化监管平台的核心工程，则是规则模型的设计。
规则模型是将国资委划定的十大重点领域监管要求，转化为系统可执行的风险识别与预警规则。注意看，其本质仍然是围绕风险识别、应对与预警等而展开。
这套规则模型，是整个智能化监管平台运行的“算法中枢”。
没有规则模型，数据贯通后不知道该分析什么，驾驶舱里该显示什么指标也不清楚，预警触发后该派单给谁也缺乏依据。
进一步说，规则模型设计，需要依赖三个技术条件：数据来源可获取、判定逻辑可计算、处置责任可落实。
但在这些技术条件满足之前，还有一个更前置的问题：在十大重点领域里，具体要监控哪些风险场景？
国资委2号文和15号文划定了十大重点领域，并对每个领域提出了监控方向。
但政策文件给出的监控方向是原则性的大方向。
以采购领域为例，政策要求对采购与供应链实施穿透式监管，但“围标串标”这一监控方向在企业实务中表现为哪些具体场景、每个场景的判定逻辑如何定义、触发阈值如何设定？
这些问题，政策文件没有回答，也不可能回答。
要回答这些问题，需要开展一项工作，那就是在已确定的重点领域内，将监控方向细化为可操作的风险场景清单。
这项工作，用时髦的话来说，调用的是“风险评估的方法论和专业判断”。
具体说，就是需要梳理该领域各业务环节可能发生违规行为的所有具体情形，需要判断每种情形的风险严重程度和发生可能性，需要依据历年审计发现、巡视反馈、行业案例和历史事件来补充政策文件未穷举的场景。
这些工作，看上去是不是很熟悉？其实质就是风险评估的延伸。
这就触及了本文所说的核心逻辑。
如企业已经完成了“四位一体”建设，这项工作的成果——一体化风险清单——已经存在。一体化风险清单经过了跨部门联合评估的验证，每项风险都匹配了管控策略、具体措施和责任主体。规则模型设计工作不需要另起炉灶重新识别一遍风险场景，一体化风险清单中与十大重点领域相关的风险项，可以直接转化为六要素清单中的风险场景条目。对于一体化风险清单覆盖不足的监控方向，再作专项补充即可。
如果企业尚未开展“四位一体”建设，意味着这些工作需要在规则模型设计之前或同步从零做起。本质上就是在补“四位一体”的课，只不过补课的范围聚焦于十大重点领域。
用“前提”来描述这层关系，不是因为政策要求必须这样做，而是因为穿透式监管的核心工作需要一体化风险管理的输出来支撑其逻辑起点。
需要特别说明的是，“前提关系”和“融合关系”并不冲突，而是分别适用于体系的不同阶段。也就是我们之前所说的《穿透式监管与法务合规内控风险一体化的融合之道》是没有问题的。
“前提”描述的是建设期的逻辑——一体化在前，穿透式监管在后，一体的产出是穿透的输入。
“融合”描述的是运行期的相互依赖——系统发现预警后需要一体化的整改台账来闭环，一体化的管控措施通过穿透的规则模型来实现自动化执行，两者的数据指标相互校验、评价结果统一应用。
这两者是“递进与互嵌”的关系。如忽略建设期的先后依赖关系，会导致企业以为两套体系，可以齐头并进分别建设，这最终可能落入重复投入和逻辑断点的困境。
二、一体化与穿透式监管的双向互动
一体化作为穿透式监管的前提，提供了三个方面的输入，支撑规则模型的设计工作。
第一个输入是风险场景。一体化风险清单将十大重点领域的监控方向具体化为可操作的风险场景列表。这些场景经过业务部门、法务、合规、内控、风险的共同确认，其完整性和准确性有跨专业视角的交叉验证。
第二个输入是管控逻辑。一体化风险管控为每项重要风险匹配了管控策略和具体措施。这些措施通常以制度条款、审批节点、检查频次等形式呈现。它们为规则逻辑的定义提供了业务原型。将管控措施从人工执行层面向系统自动执行层面转化，比从零开始定义规则逻辑要准确得多，也高效得多。
第三个输入是责任主体。一体化建设过程中编制的岗位风险内控合规职责清单，已经明确了各岗位在风险管理中的具体职责。穿透式监管执行责任清单中关于预警核查责任、整改验收责任的界定，可以直接复用这份岗位职责清单的框架和主体归属，只需增加数据质量责任和预警处置时限要求即可。
反过来，穿透式监管的建成运行，为一体化提供了三个层面的升级通道。
第一个通道是从“软约束”到“硬约束”。一体化的管控措施被固化为系统自动运行的规则模型，违反管控要求的行为会被系统自动拦截或预警。管控从依赖人的自觉执行变为系统的刚性约束。
第二个通道是从“年度体检”到“持续监测”。一体化的检查和评价以年度为周期，依赖抽样来推断整体。系统实现全量、实时监控后，风险管控的节奏从定期变为实时，从事后评价变为事中干预。
第三个通道是从“主客观评价”到“数据评价”。系统提供的预警处置率、整改闭环率、规则命中率等全量数据，让评价有了统一、可量化的标尺。
正是这种“输入与升级的双向互动”，使得两者的关系不是一次性的前后衔接，而是持续的双向赋能。
一体化做得越好，穿透式监管的建设起点越高。穿透式监管运行得越好，一体化的落地效果越扎实。
三、不同起点下的操作建议
基于以上分析，对于不同情形的央国企，操作路径有所不同。
1、对于已经完成或正在推进“四位一体”建设的企业，应当充分复用已有成果
规则模型设计工作以一体化风险清单为基础，将其中与十大重点领域相关的风险项直接转化为风险场景条目。对于政策文件有要求但风险清单未覆盖的监控方向，做专项补充识别。
管控逻辑从一体化风险应对措施中提取，岗位职责从一体化岗位职责清单中复用。整个规则模型设计工作的周期可以缩短，质量也有更扎实的基础。
同时，在平台建设阶段需要同步设计穿透式监管与一体化整改台账的接口，确保预警工单能够顺畅流转到一体化整改模块，实现闭环管理。
2、对于尚未开展“四位一体”建设的企业，应当以穿透式监管建设为契机，统筹推进一体化建设
具体做法是，在规则模型设计阶段同步完成十大重点领域的风险场景识别和管控逻辑梳理，这部分工作按一体化风险评估的标准执行。
在组织架构上，由内控职能部门统一牵头两项工作，避免两个部门分别牵头导致的重复识别和标准不一。
在平台规划上，同时考虑穿透式监管功能和一体化管理功能的需求，避免先建穿透式监管平台、过两年再建一体化平台的双重投入。
这类企业实际上有“后发优势”——可以直接建设两套体系深度咬合的融合架构，避免走先分别建设再费力对接的弯路。
无论哪种起点，都需要注意一个关键的组织保障。两项工作应当由同一部门统筹推进。
如果穿透式监管由内控部门牵头，一体化由法务或合规部门牵头，极易出现风险场景重复识别但结论不一致、管控措施重复制定但标准不统一的问题，也会给业务部门带来双重负担。由内控合规部门统一牵头，将穿透式监管作为一体化向智能化和自动化升级的手段，在组织上保障两者的一体化推进，是从源头上避免重复建设的制度安排。
小结一下：穿透式监管体系建设与法务合规内控风险一体化管理，不是两项可以各自推进的独立工作，也不是两套建成后简单并联的平行体系。
穿透式监管的核心工作——规则模型设计——需要一体化风险管理的输出来支撑其逻辑起点。一体化建成后的落地效果，需要穿透式监管的技术手段来实现刚性约束和持续验证。
两者之间的关系可以用八个字概括：递进建设，互嵌运行。
理解这种关系，企业在推进两项工作时，才能避免重复建设，实现从风险识别到风险监控再到风险处置的完整闭环，最终建成既能满足穿透式监管要求、又能实现职能协同高效运作的现代化治理体系。
—— 为法务人赋能，助企业家化险
