以评促建——合规内控体系是如何走向成熟的？
发布时间：2025-07-17
作者： 陶光辉
合规管理体系、内部控制体系，在一些场合可能也包括风险管理体系，是如何走向成熟呢？
先解释一下为什么是有些场合包括风险管理体系。
因为风险管理体系与合规、内控管理体系的最大区别就在于风险管理不仅仅是控制风险，还有利用风险。
而合规内控管理的核心是单纯控制底线风险，降低内控风险，不存在可利用的合规风险、内控风险。
规避和控制风险，与控制和利用风险，是两种不同的内在逻辑和能力，判断其成熟度，需要不同的标准与规则。
评判合规内控体系是否成熟，有无标准？
个人认为，这要根据合规内控体系建设阶段来设定。不同的阶段，有不同的评价标准或评价侧重点。
通过设置不同的评价侧重点，我们可以达到”以评促建“，推进合规内控体系不断走向成熟。
一、对事件反思的评价
合规内控体系建设，是基于风险和问题的管理变革。如果没有风险或问题的集中爆发，那么这个体系建设是不会有“可见”效果的。
很多企业的合规内控体系建设，之所以被认为是“有效”的，是因为其建设时面对的是具体问题或风险。
解决了这个具体问题，或依托于这个具体问题解决而建立的合规内控体系，自然被认为是有效的。
该阶段的建设和评价，其实都是围绕对该具体事件的反思。
如中兴通讯公司合规体系，是因为被巨额罚款且供应链面临停滞这种重大问题才着手下下大力气的。
同样，有不少互联网平台公司因内部舞弊事件而进行内控流程强化，不少头部企业因垄断行为被处罚而进行反垄断合规体系建设，不少医药企业因税务问题而进行税务合规整改。
基于具体突出风险或问题（重大风险事件）进行合规内控体系建设，其有效性的标准，就是系统地解决了该具体问题。
二、对制度执行的评价
更多的企业，是在没有突出的风险或问题的状态下进行的合规内控建设。
所谓没有突出风险或问题，当然是在说，只是没有发生重大风险事件，但风险（可能性）一定是有的。
没有不存在任何风险的企业。任何企业在任何时刻都可能存在风险，但尚未酿成为风险事件。
在这种情况下，企业进行合规内控体系建设一方面是基于监管部门的要求，这个是主要方面；另一方面，也是基于企业可能有的风险，但这个可能只是次要方面。
在这个阶段或模式下，合规内控评价的关注点，是对体系建设时期所颁发制度的执行性进行评价。
通过侧重评价体系所包含的具体工作，如合规审查、内控流程规范执行，我们可判断该阶段下体系的成熟程度。
说到做到，言行一致，需要不断重复的标准动作，才能将合规内控体系所包含的风险防控功能发挥出来。
这正是该阶段体系的特点，也是目前大多数合规内控体系评价所处的状态。
三、对机制协同的评价
合规内控体系建设，不是在企业的真空中建立的。它一定是企业现有的管理环境下去增加或改变的。
这种情况，毫无疑问会带来如何与现有管理标准、管理惯性进行和平相处的问题。
在体系建设初期，引起“反弹”是很正常的。这其实也是管理环境在优化的表现。
对于该阶段的评价，对应的建设阶段应当是合规内控风险一体化建设后的阶段，其侧重点便从“制度的执行性”转移到“机制的协同性”。
合规内控风险一体化建设的重点是“一体化”的机制，协同运作的方式，而不是单个体系的继续完善，评价的重点当然是要看“一体化是如何一体化的”、“协同是真协同，还是表面协同”等。
这种评价，就是推进合规内控体系与环境的融合，进一步消除体系的自我性、突兀性，将合规内控的工具和理念完全嵌入业务，融入管理。
这正是合规内控体系更加成熟的表现。
四、对价值创造的评价
很多企业管理专家说，管理到最后，都是文化管理。
当合规意识、内控意识都内化到员工价值观时，我们可以说，那时的合规内控体系已真正成熟了。
这个阶段的合规内控评价，不再是对管理制度、管理机制等是否存在、是否执行的评价了，而是对合规内控文化对战略和业务到底产生了哪些收益的评价。
这种评价，才是真正的量化评价。虽然，我们在前面几个阶段，也会设置一些所谓量化指标。
但是可以说，那些都不是真正的“量化”。因为，与经济指标没有关联。
合规内控体系，真的能产生间接或直接的经济价值？
这个问题，暂时还没有科学的统计和完善的理论支撑，犹如文化对企业的价值到底几何一样。
但尽管这个问题没有答案，这个阶段的合规内控体系建设，显然是成熟的。
因为其评价理念既考虑了合规内控体系的本意是防控风险，又考虑了合规内控体系属于企业管理体系的一部分，也应当创造价值这个本质问题。
小结一下：目前大多数企业的合规内控体系评价，还属于第二种。
对应的，也可以说目前大多数企业的合规内控体系尚处于“表面合规”走向“实质合规”的状态。
—— 为法务人赋能，助企业家化险
