风控每日一问：合规管理、内部控制和全面风险管理有什么区别?

合规管理、内部控制和全面风险管理有什么区别?

业内回答：

• 从风险管控的角度来说，我认为从低到高是合规管理-内部控制-全面风险管理。。

• 首先，合规管理是最基础的层面。合规管理的本质并不聚焦于风险管理，它只是机械的避免违反内外部法律制度规范，从结果上看能够起到一定程度上控制操作风险的作用，但是这个作用有多大、够不够，并不是合规管理所关注的，自然也不是它能够解决的。

• 其次，以coso框架为代表的内部控制，是合规管理的终极版，也可以说是操作风险管理的终极版。内部控制不但要求合规，还要考察这个“规”是不是完善，“规”有没有配备相应的执行点，执行“规”的过程是不是有效。如果说合规管理更注重结果、只要结果合规就OK，那么内部控制就更重视过程，并在此基础上发展出整套完善的工具和方法。

• 最后，全面风险管理是风险管控的最高形式。在全面风险管理中，风险一般被分为市场风险、信用风险、操作风险、声誉风险、战略风险。刚才说了，内部控制是管理操作风险的终极手段，但是它对其他风险并没有效果。内控再严密，也无法衡量资本市场波动会给公司带来多大风险（市场风险），无法衡量交易对手赖账不给钱有多大风险（信用风险），更无法衡量公司战略方向错误、出了事被人骂的风险。当然，全面风险管理的精髓，还不只是考虑了这5类风险——毕竟这些风险都不是新鲜玩意。传统上，市场风险归交易部门管，信用风险归信贷部门管，操作风险归合规部门管，剩下俩风险管理层拍脑袋管。这种方式非常自然：谁干的活谁管风险嘛。但是问题在于，干活的是不会真正关注风险的。交易失败无非没有奖金，交易成功就有大笔分红，谁会跟钱过不去呢？所以，全面风险管理认为，必须把管理风险的职能提升到高级管理层这一级，必须有一个首席风险官和独立于交易部门的风险管理部门，来客观的衡量这些风险。而且从技术上讲，各个风险之间有分散作用，也必须由一个统一的部门来管理，才能真正考虑到这种分散作用。

个人观点

• 朴素的语言，精确描述了三种的区别
• 其实全面风险管理ERM不是应该去和内部控制做比较，而是应该和以往独立的风险管理相比较
• 内控更注重过程，没有错，内控是以合规作为导向的，内控是一系列的工具方法流程来保证合规的结果。
• 合规管理一般涉及到文件审核，业务许可等方面，是与现行法规的机械比较