风控体系是“三位一体”，“四位一体”，还是“五位一体”为佳？
发布时间：2025-06-20
作者： 陶光辉
对当前法务管理、合规管理、内部控制、风险管理，有一些企业还包括制度管理、审计管理等职能进行一体化的管理，已是一种普遍和必然的趋势。
但在不同的场合下，我们看到了“三位一体”，也看到了“四位一体”，有的也有“五位一体”，甚至“六位一体”等，这些都是对风险防控体系整合的尝试。
那么，到底“几位一体”更为合适呢？
个人认为，这几种提法，都有其道理。
在不同的企业，根据其需求，可能都是有根据的。
我不想强调“四位一体”因为实践的企业多，就一定是正确的；也不是说“六位一体”，因为融合的体系多，就一定更好。
本文认为，就大型企业的风险防控“多位一体”体系建设，何为最佳，与我们如何发现和看待“三位一体”、“四位一体”等优劣之处密切相关，也和企业的风险管控现实情况相关。
一、“三位一体”侧重风险集中管控
“三位一体”大多数情况下是指合规管理、内部控制以及风险管理这三项职能的一体化。
一般不会把法律（法务）管理包含进去。
这是因为法律管理，有其更为特有的工作属性和工作内容。如诉讼和仲裁案件处理与管理，这个与合规、内控等工作特点差别甚大。
合规管理（合规）、内部控制（内控）、风险管理（风控），这三位一体，可以说，相比较而言，融合程度是最高，协同方式是最强的。
相当多的内控、风控研究者在界定这几者的关系时，往往会用一个“同心三圆圈”来表示。
最里面的是合规，中间是内控，外部是风险管理，表明合规属于内控的一部分，内控属于风险管理的一部分。
这个关系界定和大小描述，其实是从内控和风险管理的目标概念而来的。
根据财政部等内控基本规范以及COSO内控整合框架所规定的内控概念，其指出内控有三大或五大目标，其中一个就是合规性遵循。
这个概念下，合规当然是内控的一部分。
根据国资委全面风险管理全面指引和COSO风险管理框架所规定的风险概念，其不仅是需要预防、控制的负面影响，即威胁；还包括可以利用的正面影响，即机会。而内控，所指的风险，当然是负面影响。
因此，这个概念下，内控、合规又属于（全面）风险管理的一部分。
从“概念内涵”这个角度，这种界定毫无疑问是正确的。在之前很多课程和项目中，我本人也是这么认为的。
但在合规、内控、风险“三位一体”体系建设实务中，要加强三者的融合性和统筹性，不能以区分三者的“内涵大小”为理论依据，反而是要强调这三者的并列关系为建设前提。
合规，是针对合规风险的管理；内控，是针对内控风险（或内控缺陷）的管理；风控（风险管理），是针对除此之外，特别是外部环境变化而产生的重大风险的管理。
“三位一体”体系建设，就是统筹这三个类型的风险和协同这三个类型的风险管控措施。所谓“一体”，其实就是集中管控、分线处理。
只有明确合规、内控、风险管理是并列的管理体系，且针对的是不同属性的风险而进行的管控，那么所谓“三位一体”在逻辑上才是不矛盾，在操作上才是可落地的。
否则，既然风险管理包括了内控，内控又包括了合规，还要什么“三位一体”，“四位一体”？直接进行风险管理体系建设不就行了？
故那些尝试用各种比喻解读这几者包容和被包容关系的研究人员，一定要注意这个可能存在的悖论。
二、“四位一体”强调风险与效率并行
一般所说“四位一体”，是在“三位一体”的基础上增加了法务管理这个模块。
法务管理、合规管理、内部控制、风险管理这四项职能，在实践中越来越融合到原来的法务部门。
因此，从支持和实施”四位一体“的企业数量上来说，“四位一体”在多位一体中是更为常见的。
这与国资委发布的法治央企建设意见、央企合规管理办法所提倡的四者协同运作，也是吻合的。
”四位一体“的优势，也是比较明显的。
首先，如前述，在政策上是更为提倡的。
其次，相比较于“三位一体”，“四位一体”因为加上了法律管理模块，更为全面的覆盖了牵头部门的主要工作。
毕竟，处理日常的事务和处理重大的事务，其实是主要的。日常的事务，如合同审查与合规管理，这是企业风险防控的主战场。重大的事务，如重大纠纷、重大投资项目，这是体现企业风险防控的核心区。
类似于合规三张清单、内控缺陷评价，可能是一年一次或多年更新一次，无法覆盖牵头部门的价值工作。
最后，“三位一体”作为关于风险的一体化管理体系，不仅是风险防控，关键还包括了如何扩大企业法律权益，提高业务运行流程效率等内容，更加符合企业的实际需要。
因为，风险防控的最终目标仍然是业务发展，要发展当然离不开效率和效益。
因此，”四位一体“之所以大量存在，便在于其同时强调风险与效率，在“四位一体”风险体系建设中，合规、效率与风控是并行的。
以上是”四位一体“的优势，但不可否认，“四位一体”也存在明确的劣势。
劣势之一，法务管理的商业支持价值观，与合规内控的行为约束与监督价值观存在天然的冲突。
在一些业务场景下，如某个岗位同时处理法务和合规事宜，他或她将面临”矛盾“选择，需要企业治理层秉承一定价值观方可解决。
劣势之二，同时具备法律专业知识和技能，以及内控专业知识和技能的人才不多，这两个领域，包括风险管理专业知识与技能，可以说”分布“在不同的群体。
如果一体化首先要求必须是相应理念和知识的一体化，那么这个就是一个大的难的前提。
劣势之三，从外部咨询机构来说，也是如上述相同的问题。”四位一体“建设咨询方，目前有三类机构。一类是咨询公司，一类是会计事务所，一类是律师事务所。
不用我说，大家应该能看到这其中的差异。各有专业和经验优势，但要覆盖其不同的专业领域，可谓难上加难。这其中的问题，在实践中，已开始大量体现了。
个人认为，只有综合的“法律+管理”咨询团队，方可应对这一难题，弥补相应的缺陷。
如何克服劣势，发挥“四位一体”的真正效果，需要不断的实践探讨。
三、“五位一体”适应当前职能现状
“五位一体”在“四位一体”的基础上，增加的模块，不同企业可能有不同的说法。
有的提出法律、合规、内控、风险、审计“五位一体”，有的则是法律、合规、内控、风险、制度“五位一体”，还有的是法律、合规、内控、风险、追责“五位一体”，不一而论。
如前述，这些“五位一体”都是有其来源的。
增加制度模块的，是因为牵头部门被赋予了制度管理的职责；增加审计模块的，是因为牵头部门是一个包含了审计岗、审计工作组的大部门；而增加追责模块的，同样是牵头部门被同时赋予了追责问责职责的部门。
个人认为，“五位一体”的提法，更多的适应企业当前的职能管理现状。那些职能在同一个部门，就会出现多位一体。因此，当我们看到“六位一体”、“七位一体”，也不用过于惊讶。
因此，“五位一体”的最明显优势，便是和当前企业的职能管理现状匹配，可以更好地集中人力、物力同时开展多项风险管控职能工作。
但正因为此，“五位一体”或“六位一体”的劣势也很明显，甚至还存在一个难以解决的问题。劣势就是这五项职能，可能随着职能的增多，交叉和矛盾的地方也很多，如果被赋予在一个部门，本身不好协调。
如果被强加到在一个部门的两、三个岗位之上，那么这五项职能，更不可能和谐的开展。实践中，要么省去了一些职能的实际履行，要么有职责，无行动。
劣势之二，也是最大的问题。当审计被列为“五位一体”中的一部分时，那么三道防线的设计，将受到冲击。
三道防线机制，作为风险管控的基本逻辑，已深入人心。在没有更好的理论和做法替代之前，个人认为，似乎还是有必要遵守的。
审计纳入风险一体化建设，将影响牵头部门二道防线的定位，对于审计作为第三道防线自身工作的开展，也是一个极容易造成“困惑”的设置。
因此，个人建议“五位一体”建设，虽然更适应企业现有的管理现状和部门设置，但最好是不要将审计职能纳入其中。
如果限于人力资源不足、编制限制等，非要搞成法律、合规、内控、风险、审计“五位一体”，那么一定要在牵头部门设置一个独立的审计岗。
小结一下：大型企业的一体化风控防控体系要取得效果，不仅在设计上要科学、合理，注重有效性，同时更要在运行上加以落实、推动。不管是三位一体，还是四位一体，或五位一体，终极目的是防住风险，助力业务。
—— 为法务人赋能，助企业家化险
