有
簡介
在21世紀(jì)的組織中，多種風(fēng)險(xiǎn)及內(nèi)控管理職能并存是一種普遍的現(xiàn)象，包括內(nèi)部審計(jì)師、企業(yè)風(fēng)險(xiǎn)管理專家、合規(guī)檢查官、內(nèi)部控制專家、質(zhì)量審核員、舞弊調(diào)查人員等。這些不同的職能有一個(gè)共同的目標(biāo)，就是協(xié)力幫助組織管理風(fēng)險(xiǎn)，每一個(gè)職能對其服務(wù)的組織也都有重要的意義。雖然這些職能都與風(fēng)險(xiǎn)管理及內(nèi)控相關(guān)，但每一個(gè)職能又有各自不同的專業(yè)領(lǐng)域、視角、技能，且分布在不同的部門和業(yè)務(wù)單元，它們之間的良好協(xié)作對于能否實(shí)現(xiàn)這些職能的實(shí)際目的至關(guān)重要。
對于一個(gè)風(fēng)險(xiǎn)管理和內(nèi)控良好的組織來說，僅僅設(shè)置了上述各個(gè)職能是遠(yuǎn)遠(yuǎn)不夠的，更大的挑戰(zhàn)是如何科學(xué)的設(shè)計(jì)和區(qū)分好各個(gè)職能的角色，防止出現(xiàn)各個(gè)職能均未覆蓋的業(yè)務(wù)內(nèi)控領(lǐng)域，或者各個(gè)職能之間存在工作范圍的重復(fù)或沖突。因此，對各個(gè)相關(guān)職能及工作人員清晰的責(zé)任界定非常重要，有助于各個(gè)職能明確其職責(zé)范圍、邊界以及其自身在企業(yè)整體風(fēng)險(xiǎn)與內(nèi)控管理框架中的位置。
如果缺乏一個(gè)有凝聚力的、協(xié)作的體系與方法論，有限的風(fēng)險(xiǎn)管理和內(nèi)控資源將不能有效地部署，影響企業(yè)運(yùn)營的關(guān)鍵風(fēng)險(xiǎn)也可能無法被有效的識別及管理。在極端情況下，各個(gè)風(fēng)險(xiǎn)管理和內(nèi)控職能之間甚至?xí)槍唧w工作分配和職責(zé)產(chǎn)生持續(xù)爭論和沖突。
無論是否有正式公布的和正在生效的風(fēng)險(xiǎn)管理框架，這些問題都有可能存在。盡管風(fēng)險(xiǎn)管理框架能有效幫助企業(yè)識別必須管理的各類風(fēng)險(xiǎn)，但在大多數(shù)情形下，風(fēng)險(xiǎn)管理框架并不能有效分配具體的風(fēng)險(xiǎn)管理和內(nèi)控任務(wù)的職責(zé)。
幸運(yùn)的是，現(xiàn)在業(yè)界的一些最佳實(shí)踐經(jīng)驗(yàn)已經(jīng)能幫助組織有效并系統(tǒng)地分配各個(gè)風(fēng)險(xiǎn)管理和內(nèi)控職能角色，實(shí)現(xiàn)互相之間的協(xié)作。其中，三道防線模型提供了一個(gè)簡單、清晰、有效的框架來幫助組織區(qū)分各風(fēng)險(xiǎn)管理及內(nèi)控職能的職責(zé)，并實(shí)現(xiàn)相關(guān)職責(zé)的有效溝通和協(xié)作；三道防線模型也提供了一種關(guān)于企業(yè)或組織運(yùn)營管理的全新視角，保證各種風(fēng)險(xiǎn)管理措施的持續(xù)效果。組織的規(guī)模和復(fù)雜程度是多樣的，但三道防線模型可以適用于各類組織，甚至在一些尚未建立正式的風(fēng)險(xiǎn)管理框架和系統(tǒng)的企業(yè)或組織中，三道防線模型也能幫助其明確各個(gè)風(fēng)險(xiǎn)管理和內(nèi)控職能的職責(zé)并提升風(fēng)險(xiǎn)管理體系的運(yùn)作效果。
三道防線模型的基礎(chǔ)：企業(yè)風(fēng)險(xiǎn)管理統(tǒng)籌和戰(zhàn)略設(shè)定
在三道防線模型（見圖1）中，運(yùn)營管理層是首當(dāng)其沖的第一道防線，第二道防線為組織中的各類風(fēng)險(xiǎn)管理、內(nèi)控、合規(guī)職能，擁有獨(dú)立地位的確認(rèn)職能則是其中的第三道。三道防線中的每一道都在組織的宏觀治理架構(gòu)中扮演獨(dú)特的角色。
雖然公司和組織的治理機(jī)構(gòu)、董事會(huì)或者高級管理層并沒有在三道防線模型中的任何一層中承擔(dān)角色，但任何關(guān)于風(fēng)險(xiǎn)管理和內(nèi)控的討論和決策都離不開他們的參與。董事會(huì)和高級管理層是各道防線的主要“利益相關(guān)者”，他們是有效幫助三道防線模型在風(fēng)險(xiǎn)管理和內(nèi)控過程中發(fā)揮作用的最佳人選。
高層治理機(jī)構(gòu)和高級執(zhí)行管理層一起，在企業(yè)風(fēng)險(xiǎn)管理架構(gòu)中承擔(dān)著重要的角色，他們共同設(shè)置企業(yè)或組織的經(jīng)營目標(biāo)，制定實(shí)現(xiàn)這些目標(biāo)的戰(zhàn)略并建立治理架構(gòu)和流程來盡可能的管理影響企業(yè)實(shí)現(xiàn)經(jīng)營目標(biāo)的風(fēng)險(xiǎn)。來自董事會(huì)和高級管理層的持續(xù)支持是三道防線模型有效發(fā)揮作用的重要保障。
第一道防線：業(yè)務(wù)運(yùn)營管理層
三道防線模型對有效風(fēng)險(xiǎn)管理體系中的三種角色進(jìn)行了有效區(qū)分：
·對風(fēng)險(xiǎn)以及風(fēng)險(xiǎn)管理承擔(dān)直接責(zé)任的職能或部門;
·統(tǒng)籌審視和監(jiān)管風(fēng)險(xiǎn)的職能或部門；
·對風(fēng)險(xiǎn)管理提供獨(dú)立確認(rèn)的職能或部門。
作為三道防線中第一道，運(yùn)營管理層以及管理者對風(fēng)險(xiǎn)以及風(fēng)險(xiǎn)管理承擔(dān)著直接的職責(zé)，他們也負(fù)責(zé)執(zhí)行流程及內(nèi)控問題的糾正和改進(jìn)措施。
運(yùn)營管理層負(fù)責(zé)內(nèi)控及風(fēng)險(xiǎn)管理在業(yè)務(wù)日常運(yùn)作中的有效實(shí)施，承擔(dān)著識別、評估、控制和處理風(fēng)險(xiǎn)、監(jiān)督內(nèi)部政策和流程的執(zhí)行、保證各項(xiàng)措施對企業(yè)或組織經(jīng)營目標(biāo)的有效支撐。隨著企業(yè)或組織的架構(gòu)向下延伸，中層業(yè)務(wù)管理者負(fù)責(zé)設(shè)計(jì)和實(shí)施具體的流程，以保證和監(jiān)督基層員工對公司政策和流程的有效執(zhí)行。
運(yùn)營管理層之所以被定義為三道防線模型中的第一道，是因?yàn)閮?nèi)控被設(shè)計(jì)和嵌入到他們所管轄的業(yè)務(wù)、系統(tǒng)或流程中，需要有相應(yīng)的職能來管理和監(jiān)督這樣的機(jī)制是否在業(yè)務(wù)和流程中真正被有效執(zhí)行，以及發(fā)現(xiàn)可能的控制缺失、流程缺陷以及其他不可預(yù)期的風(fēng)險(xiǎn)事件發(fā)生。
第二道防線：風(fēng)險(xiǎn)管理和其他合規(guī)部門
理想狀況下，也許只需要第一道防線即可有效的管理企業(yè)風(fēng)險(xiǎn)，但在現(xiàn)實(shí)情況中，單層防線往往是不夠的。因此，企業(yè)或組織會(huì)建立各種與風(fēng)險(xiǎn)管理以及內(nèi)控相關(guān)的職能，來支撐第一道防線有效管理風(fēng)險(xiǎn)和內(nèi)控，雖然具體建立哪些職能因組織和行業(yè)而異，但典型的第二道防線職能包括：
·企業(yè)風(fēng)險(xiǎn)管理職能或部門（或委員會(huì)）：企業(yè)風(fēng)險(xiǎn)管理部門負(fù)責(zé)促進(jìn)和監(jiān)督企業(yè)風(fēng)險(xiǎn)管理架構(gòu)和措施在組織中被業(yè)務(wù)運(yùn)營管理層有效執(zhí)行，并協(xié)助風(fēng)險(xiǎn)的直接責(zé)任人識別風(fēng)險(xiǎn)敞口并及時(shí)、充分的將相關(guān)信息報(bào)告給組織的適當(dāng)層級。
·合規(guī)職能或部門：監(jiān)督對相關(guān)法律法規(guī)的遵從風(fēng)險(xiǎn)，向公司高級執(zhí)行管理層或業(yè)務(wù)單元管理機(jī)構(gòu)報(bào)告。在一個(gè)企業(yè)或組織中，往往同時(shí)存在多個(gè)合規(guī)部門或職能，負(fù)責(zé)不同的合規(guī)風(fēng)險(xiǎn)的監(jiān)督，如健康和安全標(biāo)準(zhǔn)合規(guī)，供應(yīng)鏈法規(guī)合規(guī)，環(huán)境條例合規(guī)，質(zhì)量體系監(jiān)督等。
·財(cái)務(wù)風(fēng)險(xiǎn)和報(bào)告問題管理層。
管理層建立第二道防線以保證第一道防線的設(shè)計(jì)是合理的、執(zhí)行是有效的、運(yùn)作是正常的。第二道防線中的各個(gè)職能是一種管控職能，相對于第一道防線中的業(yè)務(wù)經(jīng)營管理層有著不同程度的獨(dú)立性，但也正是因?yàn)槌袚?dān)著管控職能，這些部門可能會(huì)直接介入到內(nèi)控和風(fēng)險(xiǎn)管理體系的優(yōu)化和發(fā)展中。因此，第二道防線雖是整個(gè)風(fēng)險(xiǎn)管理和內(nèi)控體系中的關(guān)鍵部分，但并不能給高層治理機(jī)構(gòu)提供關(guān)于風(fēng)險(xiǎn)管理和內(nèi)控的獨(dú)立確認(rèn)意見。
第二道防線職能部門的職責(zé)可能因不同的環(huán)境有所不同，但大致包括：
·協(xié)助管理層制定政策、定義角色和職責(zé)、制定目標(biāo)；
·提供風(fēng)險(xiǎn)管理框架；
·識別已知的或新興風(fēng)險(xiǎn)；
·識別企業(yè)風(fēng)險(xiǎn)接受程度的變化；
·協(xié)助管理層設(shè)計(jì)管理風(fēng)險(xiǎn)和問題的流程、制度、控制機(jī)制；
·提供關(guān)于風(fēng)險(xiǎn)管理流程的指導(dǎo)和培訓(xùn)；
·促進(jìn)和監(jiān)督業(yè)務(wù)運(yùn)營管理層執(zhí)行有效的風(fēng)險(xiǎn)管理措施；
·提醒業(yè)務(wù)運(yùn)營管理層新興的業(yè)務(wù)風(fēng)險(xiǎn)和法律法規(guī)的最新變化；·監(jiān)督業(yè)務(wù)內(nèi)控的充分性、報(bào)告機(jī)制的準(zhǔn)確性和完整性、對法律法規(guī)的合規(guī)性、內(nèi)控缺陷糾正的及時(shí)性。
第三道防線：內(nèi)部審計(jì)
基于自身在企業(yè)或組織中高度的獨(dú)立性和客觀性，內(nèi)部審計(jì)給公司的治理機(jī)構(gòu)和高級管理層提供綜合的確認(rèn)服務(wù)，這種高度的獨(dú)立性和客觀性是第二道防線職能部門所不具備的。內(nèi)部審計(jì)對企業(yè)治理、風(fēng)險(xiǎn)管理、內(nèi)部控制的有效性提供獨(dú)立的確認(rèn)，包括第一道和第二道防線是否達(dá)到了風(fēng)險(xiǎn)管理和內(nèi)控目標(biāo)，這種確認(rèn)的范圍一般包括：
·廣泛的經(jīng)營目標(biāo)，包括：業(yè)務(wù)運(yùn)營的效率和效果，資金資產(chǎn)的安全，報(bào)告機(jī)制和流程的可信性和對決策的支撐有效性，對相關(guān)法律、法規(guī)、政策、流程和合同的遵從性。
·風(fēng)險(xiǎn)管理和內(nèi)部控制框架的要素，包括：內(nèi)部控制環(huán)境，企業(yè)或組織風(fēng)險(xiǎn)管理框架的各類要素（比如風(fēng)險(xiǎn)識別、風(fēng)險(xiǎn)評估、風(fēng)險(xiǎn)應(yīng)對），信息和溝通，監(jiān)督機(jī)制。
·所有的經(jīng)營實(shí)體、產(chǎn)業(yè)單元、子公司、經(jīng)營單元、職能部門，包括：各業(yè)務(wù)流程（比如銷售、生產(chǎn)、市場營銷、安全管理、客戶服務(wù)、日常運(yùn)營）以及報(bào)告機(jī)制（比如收入和費(fèi)用會(huì)計(jì)、人力資源、采購、薪酬、預(yù)算、基建和資產(chǎn)管理、存貨、IT管理）。
建立一個(gè)專業(yè)高效的內(nèi)部審計(jì)職能是企業(yè)或組織建設(shè)有效治理的必要要求，不僅是大中型組織的要求，對小型組織也同樣重要，因?yàn)樾⌒徒M織與大中型組織一樣面臨著復(fù)雜的經(jīng)營環(huán)境，而且它們的組織結(jié)構(gòu)以及流程相對欠成熟，難以保證對風(fēng)險(xiǎn)的有效管理。
內(nèi)部審計(jì)對公司治理的支撐有效性取決一些重要的先決條件，尤其是培育其高度的獨(dú)立性和專業(yè)性。最佳的實(shí)踐是保證其擁有獨(dú)立、充足和有競爭性的員工，包括：
·與國際公認(rèn)的內(nèi)部審計(jì)準(zhǔn)則匹配；
·向企業(yè)或組織內(nèi)有充分權(quán)利執(zhí)行其職責(zé)的高層管理機(jī)構(gòu)報(bào)告；
·擁有向高級治理機(jī)構(gòu)及時(shí)有效報(bào)告的渠道和機(jī)制。
外部審計(jì)、政府監(jiān)管以及其他外部機(jī)構(gòu)
雖然外部審計(jì)師、政府監(jiān)管機(jī)構(gòu)以及其他外部機(jī)構(gòu)存在于企業(yè)或組織的架構(gòu)之外，但它們在企業(yè)或組織的整體治理和內(nèi)控框架中也扮演著非常重要的角色，在一些受監(jiān)管的行業(yè)尤其明顯，如金融服務(wù)業(yè)和保險(xiǎn)行業(yè)。為了加強(qiáng)對這些行業(yè)中企業(yè)的管控，政府監(jiān)管者及法規(guī)制定者將會(huì)制定明確的要求，并且執(zhí)行理性的獨(dú)立客觀評估，以評價(jià)這些企業(yè)或組織的第一道、第二道以及第三道防線對這些要求的遵從，在與企業(yè)內(nèi)部各道防線形成有效協(xié)作的情形下，這些外部監(jiān)管機(jī)構(gòu)往往被考慮成企業(yè)或組織治理的附加防線，為企業(yè)或組織的高級管理層、利益相關(guān)者、股東等提供鑒證服務(wù)?？紤]到其獨(dú)特的范圍和任務(wù)，這些外部防線組織相對于內(nèi)部防線組織獲取的關(guān)于風(fēng)險(xiǎn)方面的信息將受到一定程度的限制。
三道防線之間的關(guān)聯(lián)與協(xié)作
現(xiàn)實(shí)世界中，每個(gè)組織均在不同的經(jīng)營環(huán)境中有各自不同的特點(diǎn)，這也決定了沒有一個(gè)統(tǒng)一的正確模式可以保證治理與內(nèi)控的三道防線實(shí)現(xiàn)良好的協(xié)作。當(dāng)我們考慮各個(gè)治理、風(fēng)險(xiǎn)管理及內(nèi)控職能部門的具體職責(zé)時(shí)，需要銘記各個(gè)職能部門在風(fēng)險(xiǎn)管理流程中的角色。
企業(yè)或組織的規(guī)模以及經(jīng)營復(fù)雜程度是各異的，但是在每個(gè)企業(yè)或組織中，三道防線模型都會(huì)以不同形式存在，當(dāng)企業(yè)或組織中三道各自分離且有清晰定位的防線組織時(shí)，將實(shí)現(xiàn)最優(yōu)的風(fēng)險(xiǎn)管理效果。雖然在一些特殊的情況下，尤其是在一些小型的企業(yè)或組織中，不同的防線職能或部門可能會(huì)被整合，比如，經(jīng)常存在的一種情形是內(nèi)部審計(jì)被要求負(fù)責(zé)企業(yè)或組織的風(fēng)險(xiǎn)管理以及合規(guī)管理，在這種情況下，內(nèi)部審計(jì)需要與公司治理機(jī)構(gòu)以及高級管理層對這樣做產(chǎn)生的影響進(jìn)行清晰的溝通。如果一個(gè)職能部門或個(gè)人承擔(dān)了三道防線中的多個(gè)角色，在適當(dāng)?shù)臅r(shí)候?qū)ζ渎氊?zé)進(jìn)行分離有助于正式形成三道不同防線模型。
無論三道防線模型如何被執(zhí)行，高級管理層以及治理機(jī)構(gòu)需要與各類風(fēng)險(xiǎn)管理及內(nèi)控管理相關(guān)的部門溝通好對它們的期望，以及給它們共享做好風(fēng)險(xiǎn)及內(nèi)控工作必須的業(yè)務(wù)信息。根據(jù)《國際內(nèi)部審計(jì)專業(yè)實(shí)務(wù)框架》的規(guī)定，為保證各自工作范圍的合理性以及防止工作的重復(fù)，首席審計(jì)執(zhí)行官尤其需要與其他各個(gè)內(nèi)部或外部風(fēng)險(xiǎn)管理及內(nèi)控部門分享信息及溝通協(xié)作。
建議的措施：
·風(fēng)險(xiǎn)管理及內(nèi)控流程根據(jù)三道防線模型來進(jìn)行組織和建設(shè)；
·每一道防線的職能或部門應(yīng)有相應(yīng)合適的政策及職責(zé)定義支撐；三道防線中每一道獨(dú)立的職能部應(yīng)該有合適的協(xié)作機(jī)制來促進(jìn)整個(gè)風(fēng)險(xiǎn)管理和內(nèi)控體系的工作效率及效果；
·為三道防線中的各層風(fēng)險(xiǎn)管理及內(nèi)控職能部門更好達(dá)成目標(biāo)責(zé)任，各職能部門應(yīng)該及時(shí)并有效的分享業(yè)務(wù)信息及知識；
·在有可能影響風(fēng)險(xiǎn)管理及內(nèi)控有效性的情況下，各道防線職能不應(yīng)進(jìn)行合并或整合；
·在三道防線的職能部門進(jìn)行了整合或合并的情況下，整合的情況以及影響應(yīng)該及時(shí)向治理機(jī)構(gòu)報(bào)告。對于尚未建立內(nèi)部審計(jì)職能的組織，治理機(jī)構(gòu)以及管理層應(yīng)向利益相關(guān)者解釋并披露對組織的治理、風(fēng)險(xiǎn)管理和控制架構(gòu)的有效性，取得充分的確認(rèn)。
