金融投资公司全面风控合规管理体系建设研究

牛耀辉

（山西金融投资控股集团有限公司，山西 太原 030002）

当前乃至今后一个时期，我国发展将进入各种风险挑战不断积累甚至集中暴露的阶段，如果防范不及时、应对不力，就会使小的矛盾风险挑战发展成大的矛盾风险挑战，局部的矛盾风险挑战发展成系统的矛盾风险挑战，对此，习近平总书记做出了关于风险防范的一系列论述指示。目前，在经济方面，受新冠疫情冲击影响，经济下行压力显著增大，企业经营过程遇到的风险突显，实体经济运营出现的风险向金融企业传导，因此，作为国家经济稳定运行助力器的金融类投资公司，防范风险、合规运营，在其科学治理过程中显得格外重要。只有更好发挥和完善风控合规管理职能，才能推动金融类投资公司治理水平的提高。

一、金融投资公司建立全面风控合规管理体系的意义

（一）建立全面风控合规管理体系的作用

风控合规管理包含合规检查和风险管理两方面工作。合规检查是为确保公司遵守国家法律法规和行业监管规定，依法合规经营、规范运作，保证投资项目符合国家调控方向，确保公司规章制度、重大决策的贯彻执行，提高经营活动的效率和效果，降低实现经营目标的不确定性，使公司运营与计划及预算不发生较大偏差。风险管理是要及时识别、转移或规避各类风险，将风险控制在与公司总体目标相适应并可承受的范围内。建立针对各项重大风险的危机处理机制，其目的是合理管控风险，保障投资项目不因重大风险和人为操作而遭受重大损失。

（二）建立全面风控合规管理体系的注意事项

一是设置适应公司发展要求的风控合规管理专门机构并配备专业人员。二是建立持续更新完善风控合规管理制度的机制，加强全体人员的风控合规意识，自觉践行公司风控合规管理措施，培育依法合规运营文化。三是坚持风险合规管理覆盖公司所有业务、部门和员工，贯穿决策、执行、监督、反馈等各个环节，建立风险偏好管理指标控制体系，并持续监测风险指标处于可接受的合理区间。

（三）全面风控合规管理体系的设置要求

风控合规管理部门应独立于其他职能部门，强化内部控制的有效性和可操作性，突出风险管理的前瞻性和及时性。通过合理设置风控合规管理组织体系，科学规划工作机制和流程，实现决策部门、执行部门与监督检查部门之间的相互协作和相互制衡。

一是董事会应依据国家法律法规、行业监管规定和公司规章制度的规定，考虑公司的风险偏好及风险容忍度，决定公司重大事项。监事会应检查公司贯彻执行国家法律法规、行业监管规定和公司规章制度的情况，对董事、经理层成员执行公司职务的行为进行监督。

二是经理层是公司风控合规管理的执行机构，应持续推动公司建立健全风控合规管理体系，保障公司依法审慎运营。

三是风控合规管理部门是公司合规检查和风险管理的具体职能部门，其主要职责包括：负责拟订风控合规管理相关制度，建立和完善风控合规管理工作机制和流程，制定风控合规工作规划；为公司日常经营管理活动提供合规检查和风险管理，对公司拟签署的合同及其他法律文件进行合规审查；参与公司重大制度、决策、项目、风险事件的分析论证，发表风控合规管理意见；业务培训、宣传风控合规理念，培育风控合规文化。

四是各职能部门应将风控合规管理融入具体职能工作和业务流程中，承担本部门风控合规管理的主体责任，主要包括：执行公司各项规章制度；制定和完善本部门的风控合规管理制度和工作流程；负责识别和监测本部门具体业务的风险，及时发现风险隐患，提出风险应对措施和风险处置方案，并推动落实；管理本部门工作人员履职行为的合规性，负责本部门风控合规管理工作的有效性；组织或参加风控合规管理培训及内部交流活动，在本部门倡导风控合规管理文化。

二、实施风控合规管理过程中存在的主要问题

一是混淆工作职能，将合规检查与风险管理职能等同。表现为不能正确定位和区分两方面工作的职能，以合规检查完全代替风险管理，常表现为将合规检查与风险管理工作职责区分不清，工作流程无差别。比如，多数公司根据内控需求设立风控合规部门，风险管理部门不独立于合规检查部，不设立独立风险管理部门，管理层认为符合公司合规检查要求即实现了风险控制，常以法审、财审或公司制度合规检查代替风险管理。

二是不重视制度建立，合规检查制度标准不高，制度更新完善机制未建立，重形不重效，导致风险管理不到位。典型表现为“牛栏关猫”，合规检查制度涉及的控制点要求低，合规检查所依据的制度更新不及时，设置的风险容忍度偏高，风险从合规检查眼皮下堂而皇之通过。比如，某大企业拟与合作方合资设立有限责任公司，但在风控检查时，仅关注合作方是否依法设立，是否有工商不良记录，是否有对外投资资格，而对合作方具体拥有的资产规模、潜在优势概不提及。原因是，该公司对外投资管理办法中对合作方的资本实力要求为空白，对被投资企业所涉行业仅要求在政府投资目录白名单内，没有要求对新设公司进行具体的行业前景评估，这样“粗而疏”的合规检查制度网必然为投资项目埋下风险隐患。

三是过度关注按流程办事，合规检查程序冗余，效率低，结果被动逆向选择风险较高业务，导致风险控制事与愿违反而影响资产安全和质量。例如，在一些公司，风险合规管理部门通常是中后台，人员配备多为经验欠缺的年轻人，对投资项目和业务没有整体性理解和宏观上把握，合规检查工作精力集中在数据的核对，程序的正确流转等方面，可谓“一本正经走流程，一丝不苟对数据”，却对前台业务部门的市场机会不珍惜，过度关注程序而影响效率，错失优质客户的需求。长此以往，公司只能被动选择相对劣质客户，投资项目潜在风险增加。

四是不重视专业人才利用，风险控制缺乏可胜任人才，专业性不足，依赖于外部机构支持进行风险管理。有的公司风险管理部门人员风险识别力欠缺，审核项目以外聘机构意见代替内部部室意见。对风险控制人员的专业性和实践性重视不足，在一些国有金融投资类机构中表现突出。

五是不重视信息科技手段的利用，信息化系统建设滞后于监管需要。作为金融类投资公司，相关风控合规管理软件开发进行外包，由不同公司开发，导致技术标准不统一、不同业务模块数据分割。公司层面更未有统一的信息系统可对市场主体的数据进行分析，各部门之间不进行协调风险识别工作，形成信息孤岛。在对投资对象进行尽调时，还沿用传统的上门考察与人工分析，与企业大数据监管信息没有实现对接，也不能利用统一的信息系统对关联交易的合规性进行监测和及时统计。对风险偏好指标运行不能24小时在线动态监测，触发预警线不能及时发现，征信查询、反洗钱交易识别等手段落后。

六是风险项目追责存在误区，制度建设重大缺失责任未关注。在工作中存在一种误区，认为只要投资决策过程符合内控检查要求，即使出现风险的投资项目，相关参与人员就应免责。在公司风险项目暴露后，不对合规检查制度建设的责任人追责，错误认为只要符合投资当时的公司合规检查制度规定就应免责，但是对当时合规检查制度是否符合风险控制需求却无人关注。

三、合规检查与风险管理的关系及情形分析

合规检查和风险管理作为风控合规管理工作包含的两方面工作，两者是互有重叠又都互不从属的关系。公司合规检查的目的是为管理风险，但合规制度不可能穷尽所有风险管理手段，合规制度建设可能存在制度更新滞后的情况，使合规检查制度存在漏洞或过时。风险管理不应等同于合规检查，两者关系对投资项目影响如下：

（一）通过合规检查但风险管理失败

如果公司的合规检查标准过低，将会导致项目合规检查顺利通过，但会发生风险。比如，某公司发生投资风险，风险管理失败的主要原因是对项目进行担保的房产，在办理抵押房产手续时，债务人提供了虚假的他项权证。事后审计追查发现，该投资项目从立项、尽调、方案设置、审检和决策都符合公司合规检查制度的规定，但恰因合规检查制度未对办理抵押手续规定项目负责人必须到场，未规定对他项权证的查验机制，对他项权证办理没有过程控制，给债务人提供可乘之机，导致风险管理失败。

（二）通过合规检查成功实现风险管理

合规检查制度较完善的公司，为减少经营过程出现的风险，合规检查过滤掉风险过高的项目。例如，某担保公司合规制度规定，对一个公司的担保额最高不超该公司月均经营现金回款的三倍，防止公司还款的流动性风险超出合理范围。如果对单户企业担保额超过此标准，将会违背业务集中度合规检查要求。通过此合规检查实现了对被担保企业还款流动性风险有效管理。

（三）不满足合规检查要求而导致风险管理失败

如果一个公司的合规检查制度成熟，但合规检查人员未尽职尽责，导致风险管理失败，投资类公司出现的风险投资项目多是这种情形。例如，某公司规定要关注实际控制人的生活习惯、个人爱好、社会融资情况等，在进行合规检查时，由于未对项目实际控制人背景调查充分关注，事后发生实际控制人赌博成瘾，名下关联企业社会高息融资规模大而违约的投资风险。

（四）虽不符合合规检查但风险管理并未失败

合规检查为规避风险对企业设立了一道保护网，但合规检查制度可能存在滞后，不适应新形势的情况，不符合合规检查的项目并不一定代表风险管理必然失败。例如，某公司规定投资项目尽职调查时要由独立于立项团队的人员进行，但实际存在人员编制紧张，立项人员拓展来的项目，为使现场沟通更流畅等因素，由立项人员对项目进行尽职调查。这种情况，虽与合规检查制度相悖，但却较好地把控了风险，有效进行了风险管理。

由此可见，合规检查与风险管理两者之间目标接近，工作有重合，但绝不可视两者的职能及实现手段相同。

四、正确处理合规检查与风险管理关系的建议

一是依规办事进行合规检查，不拘一格进行风险管理。合规检查根植于现行具体制度，制度依据前期经验总结积累、同行横向的学习交流和转化进行更新；风险管理着眼于综合抽象判断。合规制度是明确的，检查的要点和流程可复制，制度的完善可借鉴对过去成败的总结。失败是成功之母，百年老店总有区别于他人的法宝，主要就是将前期风险导致损失的教训转化为合规检查制度。也可向先进企业学习、对标先进，借鉴他山之石，完善合规检查制度。但风险识别更抽象。常言道，道高一尺，魔高一丈，实践中，合规制度属道的范畴，风险有魔的特征，合规建设永远的路上，不可能希望有限的合规检查制度识别出所有的风险，风险管理要建立在对风险识别的条件下，常需有超过现有合规制度更智慧的火眼金睛进行判断。

二是合规检查模式化、流程化，关注标准执行，风险管理重机制和搭建体系，注重风险管理生态的建立。合规检查关注具体环节、流程，要靠合规检查人员恪尽职守防范风险；风险管理更多关注制度建设、宏观把握、体系搭建。合规建设永远是动态的完善过程，管理层要将过去失败的风险项目和管理漏洞进行重新推演，通过事后亡羊补牢的方式织密合规检查的制度网。风险管理多关注合规检查制度更新情况，合规检查制度完整性评价，合规制度执行情况的监管，合规文化培育情况。

三是合规检查贯穿业务全过程，公司各部门；风险管理重点在投资业务的事前判断。合规检查要贯穿公司的各部门、各环节，投资项目全过程。但风险管理的关口需前移，一个投资项目风险管理早介入，早识别，可节省掉业务团队许多无谓的劳动。如果经前期识别，一个投资项目的风险在合规制度可控范围，可将团队工作重点及时调整到合规检查的重点及关注点，提高项目推进效率。风险管理重心也可转移到合规操作方面。

四是合规检查为投资项目从“准生”及投资项目个体适格的标准把关，风险管理注重用内心敬畏进行风险分析，从“优育”提高投资项目素质的角度判断。合规检查部门可将合规审查的要点总结成工作手册，形成流程图进行挂图对照作业，检查一个项目如同对人进行年度体检，足不出户可完成合规检查并出具结论。但风险管理应不限于现行规定，全依赖于对项目要素及内外部各种形势的综合分析，风险管理需超越合规检查标准，对风险有敏锐的识别力和敬畏心。

五是合规检查属执行层的事务，风险管理需决策层重视。除公司在董事会层面设立风险识别和控制委员会。笔者认为，从运转机制的效率和有效性考虑，合规检查和风险管理应对不同层级领导负责，合规检查部门通常应向分管领导负责，但风险管理部门应直接向总经理或董事长负责。当然，年度的风险合规工作报告要经董事会审议。

六是合规检查应依赖内部团队，风险管理常需要借助外力。合规审查多对照现行制度，可设立多个平行岗位，按块分工，部门负责人汇总意见即可。但风险管理不同，风险官必须是久经沙场的实践者，需具备法律、财务、公司运营综合管理经验和社会阅历，有去伪存真的本领，但毕竟不可能具备所有行业的知识，风险管理可借助投决会外聘专家进行行业的分析。

七是合规检查多依托独立责任中心，风险管理注重更大范围内协调。合规检查可建立在任何独立的责任主体，小到利润中心或费用中心，大到一个公司甚至整个集团，但因对不同责任中心负责，合规工作对外协调要求较低。但风险管理不同，风险识别需建立横向配合和上下联动机制。比如，在一个法人下，风险管理与审计、监事会需有更多配合协调，集团内上下级风险管理部门要有定期沟通机制，对外部监管机构也要信息系统对接方面进行合作，不可闭门造车，风险管理必须借助外部千里眼顺风耳。

五、结语

综上所述，金融投资公司应建立健全全面风控合规管理体系，正确处理和完善合规检查与风险管理的关系，提升公司治理能力，为化解和防范金融风险，推动企业高质量发展提供更多的安全保障。