风控部门是什么意思（一文读懂法务、合规、风控、内控、内审的关系）

风控

企业风控即企业全面风险控制。COSO继续提出了企业风险管理整体框架，定义企业风险管理：“企业风险管理是一个过程，受企业董事会、管理当局和其他员工的影响，包括内部控制及其在战略和整个公司的应用，旨在为实现经营的效率和效果、财务报告的可靠性以及现行法规的遵循提供合理保证。”这个对企业风险管理的定义依然有内部控制的太多痕迹。实际中，企业风险包括市场宏观政策风险、客户偏好风险、合规风险、技术风险、质量风险、履约能力风险等。

内控

企业内控即企业内部控制。1994年美国反对虚假财务报告委员会下属的COSO增补发布的《内部控制——整体框架》的内部控制定义：“由一个企业的董事长、管理层和其他人员实现的过程，旨在为下列目标提供合理保证：

（1）财务报告的可靠性；

（2）经营的效果和效率；

（3）符合适用的法律和法规。

2002年7月30日美国总统布什签署了《萨班斯—奥克斯利法案》，对渎职和做假账的企业主管实行严厉的制裁，对上市公司实行严厉的监管，以树立上市公司的诚信！第404条款规定，上市公司编制的年度报告需包括内部控制报告内控管理的意义，并声明管理层对于建立和保持充分的内部控制体系与财务报告程序的责任及其有效性评价，并且外部审计师要审核并报告上市公司管理层所作的评价。

可见内部控制的着重点是：假账、假经营成果、违反法律法规与作弊！防止在账务、经营成果（财务报表）、经营行为上串通舞弊和个人舞弊风险是内部控制的重点任务！

内审

内部审计是一种独立、客观的保证和咨询活动。其目的在于为组织增加 价值和提高组织的运作效率。它通过系统化和规范化的方法，评价和改进风险管理、控制和治理程序的效果，帮助组织实现其目标。

从概念上分析，内部控制也有监督评价的内容；内部审计是对内部控制、风险管理与治理进行评价，确保组织正常运营，保证不偏离公司目标。

（一）内控、风控、内审的关系

在集团内部管理而言，三者关系有一定的关系与作用。内部控制是风险管控和内部审计的基础，是风控和内审的根源根本，处在整个控制系统的前端。而风险管理则处在中端，它能为内部审计作业提供逻辑和方向，为内部审计确定问题（即是评估后的风险），确定审计方向（目标）提供精准定位。

内部审计是通过确认和咨询的方式，对企业运营、内部控制、风险管理和公司治理进行评估与评价，以保证企业各项业务工作按照既定目标和标准，不偏不倚地完成公司目标。

从控制方式上分析

内控、风控、内审三者是＂基础一分析一评估＂递进关系、因果关系。从控制方式方面总结，内部控制是事前控制，因为制度与流程是为管理而生，为防止企业管理出现问题和错漏而制订。所以，它是事前预防和控制范围；

风险管理，主要在事中进行分析评价，当然事前也可以，风险评价的基本和内容也是内部控制和制度流程，作业过程的风险就属于事中控制；就算事后分析风险也是为了事中的管控。所以，个人认为风控是事中控制的范畴。

内部审计，从三者关系而言，内审工作已经在前两者之后，是根据风险提示或结果，对内控相对应节点（关键控制点）进行确认，确认风险是否存在，是否产生损失，是否可化解或转移，按照这个过程，内审就是事后的确认与评估，属事后控制范畴。

最后，小编总结为：内控是点，风控是线，内审是用线把点串起来组成面。

（二）合规、内控、风控的关系

1、风险管控的层级：合规-内控-风控

（1）合规是“打基础”

合规的核心：“确保公司各项生产经营活动遵循内外部的法律、制度、条例、规范、指引等”

合规的产出：合规可以起到最基本的抑制操作风险的作用

合规的短板：只能发现问题而不能解决问题

（2）内控是合规的“最高等级”

内控的核心：不但要求合规，还要考察“规”的状态（是否完善、是否有配套指引、执行过程是否完善）

内控的重点：与合规相比，合规注重结果，内控重视过程。并在此基础上发展较完善的工具和方法（COSO框架）

内控的优点：内控是抑制操作层面风险的最佳手段

内控的缺点：内控对需要站在一定管理高度的风险（如战略风险等）无能为力。（例如内控无法衡量资本市场波动会给公司带来多大风险）

（3）风控管理是风险管控的“最高形式”

风控管理的核心：“两个必须”

必须把风险管理的职能提升到高级管理层

必须设立独立于业务部门的风险管理部门

公司内各类风险相对分散、独立，设立统一的部门，站在管理层的高度来对风险进行检视，才能避免“头痛医头脚痛医脚”。

2、风控与内控的异同

（1）相同点

风控与内控本质上都是通过评估、防范、控制企业风险，从而促进企业经营目标的实现。

（2）不同点

第一两者审视风险的角度不同

风控主要围绕企业战略经营目标，“自上而下”地辨识、评估、分析风险，并提出风险预警防范和应急管理的策略和措施。

内控主要从流程合规、反舞弊角度出发，“自下而上”地诊断招标采购、销售、资金等具体运营流程中的内部控制缺陷，并进行整改。

风控好比企业的“保健医生”，主要职责是“治未病”。内控好比企业的“急诊医生”，主要职责是“治已病”。

第二两者处置风险的工具不同。

风控主要采用风险地图、流程数据分析、调查问卷、控制分析、专家评分等工具。随着企业信息化程度的逐渐提高，以数据分析为核心的量化风险分析、风险评估指标体系（如REI指数）等越来越受到重视。

内控主要采用例行审计、专项审计、合规检查等形式，主要使用穿行测试、控制测试等工具，诊断重点业务、重要流程的内部控制设计及运行缺陷。

目标导向一致：战略目标导向

内审、内控、风控都是基于治理、监管等因素下的“产品”，继续追溯产生的动因。

从内部角度分析，两权分立（所有权与经营权）是重要的因素之一，从外部角度分析，组织运营要满足法律法规遵循性的要求。

内审、内控和风控对公司的运营就是一种制衡，对人的制衡，对事的制衡，对利益的制衡，制衡之外是对组织健康发展的一种促进。

公司存在的目的：生存、发展、获利。公司要实现其目的，内审、内控、风控可以说是公司的“防火墙”、“保健医生”。内审、内控、风控的落脚点要导向组织的战略目标、远景、规划，从近处说，要服务组织某阶段的发展目标（短期目标），从这个角度分析，三者目标导向是一致的。