企业合规风险识别与评估的步骤及重点内容.docx

企业合规风险识别与评估的步骤及重点内容
相关概念
（一）合规风险识别与评估的概念企业建立合规管理体系，实施合规管理建设的核心是合规风险管理。而合规风险管理，本质上是对合规风险进行识别、评估、处置、应对、监测、预警、监督、检查、沟通、协调并持续改进的过程。具体而言：
合规风险识别，是指对企业内部合规风险存在或者发生的可能性以及合规风险产生的原因等进行分析判断，并通过收集和整理企业所有合规风险点形成合规风险列表，以便进一步对合规风险进行监测和控制等系统性活动。
合规风险评估，是指在合规风险识别基础上，应用一定的方法估计和测定合规风险可能导致法律制裁、监管处罚、重大财务损失和声誉损失等相关风险损失的概率和损失大小，以及对企业整体运营产生影响的程度。

企业，尤其是国有企业开展合规风险识别与评估的目的，在于识别企业潜在的合规风险行为，采取积极的管理措施管理风险，以避免合规目标的无法达成。基于合规风险识别评估的结果，企业将采取必要的措施管控合规风险，或在内部有效地开展预防性合规管理工作，使企业能在业务所在地区/所在国合规地开展业务、诚信经营，从而实现企业的合规目标。提升企业品牌形象，避免和减少监管机构的处罚。合规风险识别与评估，有助于企业内形成合规风险意识，帮助组织及时制定风险应对措施，从而避免企业违反法律法规和企业合规承诺，实现企业合规目标，进而为实现企业可持续发展提供必要条件。

合规风险识别与评估，是国有企业内部主动预防和控制合规风险的有效方法。它既是建立合规管理体系的起点，也是运行合规管理体系的前提，体现了企业合规风险管理的质量和水平，影响着企业合规管理目标的实现。

（二）合规风险识别与评估前的准备

（三）合规风险识别与评估的重点内容
根据《合规管理体系指南》第3.6条提出的合规风险识别与评估要求，国有企业开展合规风险识别与评估，需要重点理解以下5个方面的内容：

➣企业应识别自身的合规风险

企业应当将其合规义务与活动、产品、服务及运营方面联系起来，确认可能发生不合规的情况，从而识别合规风险。

➣企业应查明不合规的原因并明确其后果

企业在分析合规风险时，应考虑不合规的原因、起因及其后果的严重性，以及不合规和相关后果发生的可能性。比如，后果可能包括对个人和环境的伤害、经济损失、声誉损失及行政责任等。

➣在风险评估中，需要比较分析流程中发现的合规风险等级及企业能够并愿意接受的合规风险等级

基于这一比较，企业可以确定任务的优先级，并在此基础上确定实施控制措施的必要性以及控制措施的程度水平。

➣企业应定期对合规风险进行再评估

特别是，当出现新的或更改的活动、产品或服务时；组织的结构或战略发生变更时；重要的外部变化，如金融经济环境、市场情况、负债和客户关系变化时；合规义务变化时和出现不合规行为时。

➣合规风险评估细节的程度和水平取决于企业的风险状况、环境、规模和目标

特定的具体方面可能会有所差异（如环境、财务和社会），同时企业需要对发现的所有合规风险/场景进行监控、更正和纠正，高、中、低级合规风险评估只是企业将主要精力和资源放在优先级更高的锋线上，并最终涵盖所有的合规风险。

02
合规风险识别的实务要点
（一）企业要识别合规风险，首先必须识别合规义务。
合规义务就像一把“尺子”，一把企业衡量自身生产经营行为正确性的尺子。有了尺子，才能度量出企业生产经营行为过程中可能出现的合规偏差，也就是合规风险。根据《合规管理体系指南》中给出的“合规义务”的定义，合规义务应包括合规要求，可包括合规承诺。
合规要求是企业必须遵守的义务，具有强制性。在市场经济中，国家监管机构从维护市场经济健康、有序发展的需要出发，制定了许多强制性的法律法规等要求。
合规承诺是企业选择遵守的要求，具有自愿性。由于市场竞争激烈，企业为获得股东、顾客、供应商等相关方的信赖,对自身生产经营过程和产品品质进行的若干承诺。
（二）企业识别合规风险，还要注意合规义务的维护。
现实中，合规要求和合规承诺不是一成不变的，需要时刻关注并将新的合规要求和承诺纳入合规义务清单文件中。企业应当制定适当的流程来识别新的和变更的法律、法规和规则以及其他的合规义务，以确保企业持续合规。为了获得合规义务来源变化信息，企业可采取如下措施：与监管部门会面；与法律、合规顾问交流；跟踪监管部门的网站动态；参加行业论坛和研讨会；订阅相关信息服务；确保自己是专业组织会员；确保自己在监管机构收件人列表中。

以上八种措施均是为企业维护合规义务提供了信息沟通的渠道，可以说，合规义务维护的重点是建立好合规义务信息沟通渠道。企业有必要制定相应的企业合规义务动态维护管理流程，以便及时跟踪法律、法规、规范和其他合规义务的出台和变更。

与作为识别和建立本企业的书面合规义务内容清单的合规义务识