数字化转型网流程与架构专题将关注流程规划、流程设计、流程优化、流程风险管理、流程再造、流程自动化、流程标准化、流程监控与评估、端到端流程、微服务架构、分布式架构、云架构、数据架构、业务架构、技术架构等相关方面。
企业合规，谁是企业合规的直接受益人？无疑，企业合规的最直接受益人就是企业的法定代表人。其次，是企业的股东，第三是企业的员工，特别是目前国资委要求的国企深化改革，推进企业法制化建设的要求，合规对受益人，更是能够有“立竿见影”的效果。
《中央企业合规管理办法》（以下简称《办法》）第十三条、十四条、十五条中，明确建立了三道防线，企业合规的第一责任人是企业的业务部门及职能部门，要对本部门的合规管理流程编制风险清单和岗位职责清单；第二道防线是合规管理部门，负责起草制定合规的基本制度和各种规章制度，展开合规管理的有效性评价和违规调查，建立起合规流程嵌入企业经营的防线；第三道防线，是纪检监察机构和审计、巡检、监督追责部门，负责对合规落实进行监督。数字化转型网www.szhzxw.cn
以上的合规管理办法对合规责任主体的各自责任进行了厘清。然而，责任主体的各自职责如何做到依序履行，将合规落地，就需要制作以下三张合规关键清单：
第一张“清单”是风险识别清单数字化转型网www.szhzxw.cn
这是合规管理工作的基础，通过各个业务部门和管理部门逐项梳理自己的工作内容，结合各项必须遵循的法律法规和政策文件，确定工作中的合规风险点，把这些风险点按照风险程度和发生概率排列出来，形成风险识别清单。数字化转型网www.szhzxw.cn
【学习总结】
·以风险为导向数字化转型网www.szhzxw.cn
·梳理外部法律法规、国家政策、行业标准等相关规定以及企业内部的规章制度
·汇总违反合规义务的条款责任数字化转型网www.szhzxw.cn
·确定合规风险点
·按照风险影响等级、风险发生概率和风险探测水平排列。
风险识别清单是合规管理体系的基础，涉及到的事项比较全面，风险识别清单主要由业务信息区、风险信息区、合规义务信息区、管理信息区组成。数字化转型网www.szhzxw.cn
1.业务信息区主要反映企业的业务事项，一般通过业务流程的梳理实现结构化。根据企业要求颗粒度不同，业务流程的层级数量也不同，实践中主要分为两级流程，一级流程反映了企业的主要业务活动，具体体现在各部门的职责上，比如合同管理，二级流程反映一级流程下具体的工作事项，比如合同谈判、合同签订、合同履行等。数字化转型网www.szhzxw.cn
2.风险信息区是风险清单核心，主要反映了各业务流程下涉及的法律合规风险，主要包括风险名称、风险表现、责任与后果、风险成因、风险等级等，风险名称和风险表现是核心内容，风险表现是风险的具体行为和现象，风险成因分析难度较大，需要熟悉业务，风险等级是风险测评后结果的输入。
3.合规义务信息区主要反映合规风险发生的直接原因。法律合规风险发生渊源是法律和相关规定，只有违反了相关规定，才会产生法律合规风险。合规义务信息区让我们清楚了解风险发生的原因。根据合规规范的不同，可以细分为法律法规、监管政策、上级企业规定、内部规章制度等四种类型。
4.管理信息区主要反映有效管理合规风险的信息，风险发生业务事项由谁来管理、谁来负责，便于将具体合规风险落实到相关部门，并由其提出风险管控的措施。下图是风险识别清单的示例：
当然也有简单的，如，根据企业不同的经营管理特性，可以依照部门进行风险识别，也可以根据重点业务板块开展风险识别。数字化转型网www.szhzxw.cn
1、按部门为单元的方法，进行风险识别形成的风险数据库
2、按业务板块为单元的方法，进行风险识别形成的风险数据库数字化转型网www.szhzxw.cn
第二张“清单”是岗位合规职责清单每个岗位都有清晰的岗位职责，对照这些岗位职责，将每个职责中的合规审核、合规管理、合规动作都反映出来，对于本岗的合规职责就能凸显并汇总为合规职责清单。【学习总结】以岗位职责清单将管控措施落实到岗到人，实现“事事有人管、人人都管事”、“合规入岗”。【实践总结】数字化转型网www.szhzxw.cn
重点岗位如何鉴别？
重点业务岗位+合规风险易发多发领域（历史风险发生情况+经验+横向比较）
职责是啥？数字化转型网www.szhzxw.cn
将合规义务转化为工作职责
清单是啥？数字化转型网www.szhzxw.cn
正面清单+负面清单。岗位职责清单是从岗位角度梳理合规清单，是风险进岗位的重要举措。岗位职责清单涵盖两个部分，一是岗位信息，包括岗位名称、所属部门、岗位职责等，二是合规信息，主要是与岗位职责相对应的合规职责、合规依据、合规类型、对应基础清单等。岗位职责清单可以分为正面清单和负面清单，正面清单是根据相关法律法规、监管政策、内部规章制度、企业价值观等必须要做的事项，负面清单是禁止开展的事项。在实务中，正面清单通常也以负面清单方式表现，比如企业必须建立保密制度，转换为没有建立保密制度的风险。岗位合规职责清单编制的关键，一是要和人力资源部门有效沟通，将其纳入人力资源部门的岗位管理。二是岗位风险清单的编制，不是简单的将部门清单分解到岗位，风险识别清单中与岗位相关风险颗粒度不够，不能支持岗位合规风险管理，需要以基础库为参考，从具体岗位职责分项梳理岗位风险，才有针对性和可操作性。岗位清单总体结构和具体风险识别方法见下图：重点岗位合规职责清单关键岗位合规风险识别方法示例以及简单版本的，岗位合规职责清单。
第三张“清单”是流程管控清单是指所有企业的业务流程和管理流程中，通过识别合规风险，都要设置关键风控点，并增加合规审查环节，每个流程管控环节依次确认，就形成流程管控清单。合规风险识别清单、岗位职责清单、流程管控清单，是《中央企业合规管理办法》明确企业必须建立的关键清单，其内部逻辑是功能彼此衔接，工作顺序层层递进，直到形成完整闭环。当然在此之中，配合这三张关键清单落地的还需要其他的内容配合，如法律法规清单，或者合规义务清单等。数字化转型网www.szhzxw.cn
【学习总结】以流程管控实现各项管理措施充分协同，通过流程梳理充分融合，实现“合规入流程”。
【实践总结】业务流程—负责部门—风险描述—合规要点—风险管控措施。流程管控清单包括清单本身和附属流程图两部分。流程管控清单结构分为流程信息、风险信息和控制信息三部分。流程信息包括流程和流程节点等，风险信息包括风险点和风险等级等，控制信息包括控制措施、控制部门、控制文档等。流程管控清单的合规风险点也需要根据流程情况重新识别，原有基础库中的风险点只能作为参考。流程管控清单的流程图包括业务流程图和与合规相关的关键节点，关键节点就是合规义务嵌入流程的节点。
流程管控清单示例流程管控流程图示例流程管控风险点识别示例数字化转型网www.szhzxw.cn
《办法》第二十条明确：中央企业应当建立合规风险识别评估预警机制，全面梳理经营管理活动中的合规风险，建立并定期更新合规风险数据库，对风险发生的可能性、影响程度、潜在后果等进行分析，对典型性、普遍性或者可能产生严重后果的风险及时预警。风险识别，基本上以各业务部门或职能部门为主，在梳理各自部门履职流程过程中，出现未履职或未正确履职的后果，即是风险。可以这样说，“岗位合规职责清单”与“风险识别合规清单”其实是一件事务的两个面，如果没有按照岗位职责履职尽责，则会启动对应的风险识别清单内的风险点，同样会启动合规流程中的关联环节，自然启动合规流程：要求违规岗位责任人做出调整、改正，直至合规。数字化转型网www.szhzxw.cn
其实，这样的合规改正环节的启动引发的一系列流程和动作，又是合规流程清单的具体表现。牵一发而动全身。整个合规体系中，无法割裂任何一个合规清单，使其在合规体系中独立启动，发挥作用。合规审查是合规体系的关键环节，任何一个合规审查的启动，都是从各部门自行提起申请，到相关部门进行专项内容合规审查，再到法律部门合规审查，最后到合规管理部门的合规规范的审查，整个期间流程的任何一个环节，如果出现不符合合规，均要从头启动。数字化转型网www.szhzxw.cn
所以，本文讨论三张关键的合规清单，在内容上、形式上、流程上一定是相互满足、相互制约、又相互监督的一套体系性文件。这一整套文件的建立和更新，也同样，任何一个点的细微变动，均要做出其他清单的相应变更。虽然，风险评估清单和岗位职责清单在流程层面上基本是相辅相成，但不代表这两张清单在内容方面是正反一致的。是因为，风险来源，既有来自于公司之外的，也有公司内部产生的。公司面临的合规风险进行识别分析评价，才能形成公司合规风险清单。国资委提出的合规管理办法，关键之三是要制作好本文探讨的“三张清单”，具有现实意义：通过风险识别清单，可以找到合规风险；岗位合规职责清单，可以落实合规管理的岗位和人员；流程管控清单，用来确定不同合规风险应对和处理方法，进而实现目标清晰、责任到位、措施落实。数字化转型网www.szhzxw.cn
声明：本文来自网络，版权归作者所有。文章内容仅代表作者独立观点，不代表数字化转型网立场，转载目的在于传递更多信息。如有侵权，请联系我们。数字化转型网www.szhzxw.cn
数字化转型网流程与架构专题包含哪些内容
数字化转型网流程与架构专题将关注流程规划、流程设计、流程优化、流程风险管理、流程再造、流程自动化、流程标准化、流程监控与评估、端到端流程、微服务架构、分布式架构、云架构、数据架构、业务架构、技术架构等相关方面。
本文由数字化转型网（www.szhzxw.cn）转载而成，来源于CIA内审师小站；编辑/翻译：数字化转型网Jerry。
