企业法律顾问告诉你：合规风险管理九部曲 

01

第一步

确定需要加强合规风险管理的关键业务、或岗位范围，进行企业合规风险形势评审，关注合规风险发生的实际分布和实际敞口变化，形成《公司合规风险形势评审表》。

企业要了解企业本身，包括对企业内、外部环境进行初步分析是合规风险识别分析评估的出发点。时间频率上，每年12月，对本单位内部过去一年各业务合规情况进行评审，从执法强度高的合规义务和企业业务领域、市场领域进行矩阵分析。当公司内外管理环境发生重大变化时，也应该及时进行合规风险形势评审。

合规风险形势评审内容在企业内部包括：企业生产经营是否出现新的或更改的活动、产品或服务；组织的结构或战略是否发生变更；企业内部是否发生重大不合规行为，包括是否发生重大违反合规要求的从业行为，是否发生重大违反合规承诺的从业行为，又如，是否发生重大违反公司制度的行为，企业内控测试是否存在重大不合格项，公司专项审计是否存在重大问题；公司合规目标是否实现等等。

外部要关注：企业所在的环境是否发生重要的企业外部变化。比如，金融经济环境、市场情况、负债和客户关系；重要合规义务的变化；执法强度和趋势变化等。

评审完成后，报合规部负责人审核后报区域合规官审批后即可进入第二步骤。一般依据公司每年的年度风险管理计划定期进行公司合规风险形势评审，合规管理员联系业务部门以座谈、个别访谈、集体讨论、专家咨询和内部纪检监察、审计、内控测试报告、与合规问题相关信息统计计算分析等方式，结合外部合规义务、合规事件等相关信息收集，进行合规风险形势评审，可以采取定性与定量相结合的方法。其中，特别要关注公司过去一年内出现的违反廉洁规定事件、亏损单位审计、亏损调查原因反馈涉及的业务范围。同时，公司要关注网站、搜索引擎通过跟踪关键字关注合规风险变化、合规要求变化，关注执法强度和趋势变化。针对企业合规风险密集的业务领域，或者市场分布，结合外部监管机构的执法强度，给企业可能带来重大合规风险的法规、规则、制裁要求，形成《公司合规风险形势评审表》，作为确定需要开展合规风险识别分析评价的范围。

02

第二步

明确企业合规方针和目标，制定开展某业务合规风险识别评估的工作方案，形成《关于开展XX业务合规风险识别评估的通知》。

企业只有依据明确的合规方针和目标，才能确定与企业实际情况、生存发展需求相对应的确切风险环境，并据此制定合规风险识别评估方案。工作方案包括合规风险识别评估范围、工作机构与分工、合规风险识别评估方法、需要完成的工作事项与时间要求等四个方面的内容。依据合规风险形势评审结果，公司合规管理员起草合规风险识别评估方案，报合规部负责人审核，报区域合规官审批后即可实施。

03

第三步

识别合规风险源——形成“合规风险源内容清单”。

根据公司XXX业务流程制度规定和部门业务分工、岗位职责和授权，全面清理和确定对管理和服务对象承担的各类工作职责，识别对应的合规风险源内容，形成“合规风险源内容清单”。合规风险源内容清理方法以关键业务流程为单元（见后面将要介绍的方法一），或者以岗位为单元（见后面将要介绍的方法二）。其中，方法一依据业务流程制度规定的工作步骤、责任部门、责任岗位和工作任务，形成每个关键业务流程的“合规风险源内容清单”。方法二则依据岗位职责说明书规定的工作职责，形成每个岗位的“合规风险源内容清单”。

04

第四步

定义合规风险。

有了“合规风险源内容清单”，就如同找到了引致合规风险的来源。根据识别的“合规风险源内容清单”具体内容识别企业风险。彻底的合规风险识别将提高合规风险透明度，同时也是企业意愿改善合规经营的有力证明。工作方法上，在所列出的合规风险源内容清单中，以小组讨论、头脑风暴、案例启发、业务座谈等形式，识别对应合规风险源内容可能触发的风险表现类型，即不合规事件的发生情形，描述出来，合规风险就定义出来了。根据合规风险最早来自刑事合规风险，因此有的合规风险可以定义到刑事罪名。比如合规风险源——采购权力，其不合规的情形是“受贿罪”，所以其对应的合规风险是“受贿行为和受贿罪”。

05

第五步

合规风险分析。

根据可能触发的风险表现类型——不合规情形定义的合规风险，结合合规风险源对应的工作事项的实施特征，进行合规风险分析，分析其产生不合规原因、不合规后果（个人和环境的伤害、经济损失、声誉损失以及行政责任）、合规风险源发生频次。

06

第六步

评估合规风险，确定合规风险系数。

在合规风险分析基础上，评估其对业务目标影响、对合规目标影响的影响和影响程度，确定合规风险系数，从而形成风险排序。

合规风险系数评估可以采取目标影响评估法。在前面分析结果的基础上，评估不合规对业务目标的影响，同时评估对合规目标的影响。一般按照影响目标是否实现、不影响目标实现但产生有形损失和不影响目标实现但引起负面无形影响三个程度进行评估，产生有形损失如受到经济处罚，负面无形影响如撤掉企业产品金质奖章。按照③高--影响目标实现、②中—产生有形损失、①低—负面无形影响确定合规风险等级，并以此根据企业不愿承受的合规风险系数范围，确定企业待处理的合规风险。

目标影响系数评估法具体是：根据分析的合规风险特征，预估风险发生后果，分析其对业务目标和合规目标的影响，按照高、中、低来定性的评估风险敞口大小。对业务目标影响我们分为③高--影响目标实现、②中—产生有形损失、①低—负面无形影响三个系数档；对合规目标影响分为③高--影响目标实现、②中—产生有形损失、①低—负面无形影响三个系数档，引起合规风险可能产生的合规风险源工作事项发生频率分为③高（每日发生1次或者1次以上）、②中（每周发生1次或者1次以上）、①低（每月发生1次或者1次以上）三个系数档，因此对应的合规风险系数为这三个维度系数的连乘积，计算为：合规风险=业务目标影响系数X合规目标影响系数X风险源发生频率。对比关系如下表：

07

第七步

风险排序，确定风险应对计划。

通过对已识别的企业合规风险和确定的合规风险系数进行排序，确定待处理的合规风险点，并对应到合规风险源，企业进而能够确定其年度合规应对计划的重点业务环节、重点工作岗位，工作组也可以据此拟定风险应对措施计划。

08

第八步

风险应对措施制订。

根据合规风险点所在的不同业务步骤、岗位和合规风险系数，依据公司制度规定的工作目标、工作步骤、工作责任主体、工作任务、工作记录、工作标准和工作方法，结合合规要求、合规承诺，有针对性地制定合规风险管理措施。对不同风险系数的合规风险的应对措施应区别制订，重点加强对合规风险系数高的合规风险点的防控。制定合规风险控制措施时，特别要注意的是，合规风险的管理重点在于对合规风险源的管理和合规风险源发生频次的降低。

对于新出台的合规义务，企业若无对应方面的任何制度措施进行管理，将面临的是全部固有合规风险，企业需要针对所识别分析评估的合规风险，全部新制定风险控制措施，形成新的制度。对于原有合规义务，或者合规义务发生变化，或者企业内部发生产品、战略、组织架构、岗位职责等变化，尽管企业有现成的制度，但是可能存在残留的剩余合规风险，因此，我们需要对企业现有的控制制度进行合规风险控制效果评估，评估是否存在剩余合规风险，再决定是否需要采取补充的控制管理措施，来针对所识别的剩余合规风险。

09

第九步

合规风险控制措施植入企业流程制度。

根据制定的合规风险控制措施，融入到对应的企业流程制度，并发布、培训宣贯和执行。