公司治理视角下的内控与合规框架：从风险防范到价值创造的体系构建
一、内控与合规框架在公司治理中的战略定位
公司治理的核心命题是解决所有权与经营权分离所带来的代理问题——如何确保管理层的行为符合股东及其他利益相关方的利益。在这一命题中，内部控制和合规框架扮演着不可或缺的基础性角色。
内部控制（Internal Control）的概念最早由美国反虚假财务报告委员会发起组织（COSO）在1992年发布的《内部控制——整合框架》中系统提出，将其定义为"由组织董事会、管理层和其他人员实施的，旨在为实现运营效率与效果、财务报告可靠性及法律法规遵循性三大目标提供合理保证的过程"。这一定义的两个关键要点值得深入解读：第一，内部控制是一个"过程"而非静态的制度文件，它嵌入在组织的日常运营之中；第二，它追求的是"合理保证"而非绝对保证——任何控制体系都无法完全消除风险，只能将风险控制在可接受的范围内。
合规管理（Compliance Management）则更加聚焦于组织行为与外部规则的一致性。从公司治理的视角来看，合规管理不仅仅是法务部门的职责，而是从董事会到一线员工逐级传导的组织责任。中国国务院国资委在2018年发布的《中央企业合规管理指引（试行）》中明确提出，合规管理是"以有效防控合规风险为目的，以企业和员工经营管理行为为对象，开展包括制度制定、风险识别、合规审查、风险应对、责任追究、考核评价、合规培训等有组织、有计划的管理活动"。
在实践中，内控与合规框架往往被理解为两个相互关联但侧重点不同的体系：内部控制侧重于"流程的合理性"——交易是否经过适当授权、记录是否完整准确、资产是否得到保护；合规管理侧重于"行为的合法性"——经营活动是否符合法律法规、行业准则和内部规章。二者的交集在于"风险导向"：无论是内控缺陷还是合规偏差，最终都可能转化为财务损失、法律制裁或声誉损害。
从公司治理的演进趋势来看，内控与合规框架的定位正在经历三个层次的变化：
第一层：合规防御型。 将内控与合规视为"防火墙"——只要不出事就行。这一阶段的典型特征是制度建设围绕监管最低要求展开，内控部门和合规部门独立运作，以检查、审核和处罚为主要管理手段。
第二层：风险管理型。 将内控与合规纳入企业风险管理体系（ERM），强调风险的识别、评估和应对。这一阶段，内控与合规不再是孤立的职能，而是与战略决策和运营管理产生联动。
第三层：价值创造型。 将健全的内控合规体系视为企业的竞争优势来源。优秀的合规记录有助于降低融资成本、赢得客户信任、获得监管便利，最终转化为实实在在的商业价值。这正是一流企业治理追求的高阶目标。
二、COSO框架与公司治理的融合路径
2.1 COSO内部控制的五要素及其治理内涵
COSO 2013年更新版《内部控制——整合框架》提出了内部控制的五个核心要素，每一个要素都与公司治理有着深刻的对应关系：
控制环境（Control Environment）——这是内部控制的基础，决定了组织对内部控制的态度和重视程度。在公司治理层面，控制环境直接体现为董事会的监督职能、管理层的经营哲学与经营风格、组织结构的合理性、人力资源政策与实务、以及诚信与道德价值观的宣导。一个典型的反面案例是安然事件——表面上有着完善的内部控制制度，但高层管理者的道德缺失使得整个控制环境形同虚设。
风险评估（Risk Assessment）——组织必须识别和分析实现目标过程中面临的各类风险，并确定风险应对策略。在公司治理中，风险评估的起点是战略目标的清晰定义——只有明确了"要去哪里"，才能判断"路上可能遇到什么风险"。风险评估应覆盖财务风险、运营风险、合规风险和战略风险四大类别。
控制活动（Control Activities）——确保管理层指令得以执行的政策和程序。控制活动贯穿于组织的各个层级和职能，包括授权审批、职责分离、财产保护、绩效考评、信息处理控制等。在公司治理层面，控制活动最关键的设计原则是"不相容职务分离"——决策、执行、监督三项职能必须由不同主体承担，这是防止权力滥用的基本制度安排。
信息与沟通（Information & Communication）——组织应当识别、获取和沟通与内部控制相关的信息，使员工能够履行其职责。对于公司治理而言，信息的向上流动（一线→管理层→董事会）和向下流动（战略方向→运营指令）同等重要。有效的举报（Whistleblowing）机制是信息与沟通要素在公司治理中的集中体现。
监控活动（Monitoring Activities）——对内部控制体系运行效果的持续评估和专项评估。公司治理层面的监控活动包括：董事会对管理层的内控报告进行审议、内部审计的独立评价、外部审计师的内控鉴证、以及监管机构的检查反馈。
2.2 从COSO到ISO 37301：合规管理体系的新范式
2021年，国际标准化组织发布了ISO 37301:2021《合规管理体系——要求及使用指南》，这是合规管理领域首个可认证的管理体系标准，标志着合规管理从"最佳实践"走向了"标准化体系"。
ISO 37301采用了与ISO 9001:2015相同的HLS高阶架构，这意味着组织可以在同一管理框架下整合质量管理、环境管理和合规管理。其核心要素包括：
治理结构与领导作用——最高治理机构（董事会）和最高管理者应当展现对合规管理的承诺，建立独立的合规管理职能，并为合规管理提供充分的资源。
合规方针与目标——组织应制定与战略方向一致的合规方针，并在相关职能和层级上设定合规目标。
合规风险识别与评估——建立系统化的合规风险识别机制，覆盖法律法规变化、业务模式变化、监管动态和举报线索等来源。
合规控制与程序——将合规要求嵌入业务流程，包括合规审查、尽职调查、第三方管理、利益冲突管理等。
合规培训与沟通——基于风险等级制定差异化的培训计划，确保各层级员工理解与其岗位相关的合规义务。
合规监控、检查与报告——建立合规监控指标，定期开展合规审计，并向治理机构报告合规绩效。
不符合与纠正措施——发现合规偏差后启动根本原因分析和纠正措施，防止再次发生。
持续改进——通过管理评审和合规绩效评估，推动合规管理体系的持续优化。
2.3 三道防线模型在公司治理中的应用
三道防线模型（Three Lines of Defense Model）是内控与合规框架在公司治理中最经典的组织设计模式。
第一道防线：业务部门。 各业务单元和职能部门是风险的所有者和控制的第一责任主体。生产部门对产品质量合规负责，采购部门对供应商合规负责，销售部门对市场行为合规负责。第一道防线应建立岗位操作规范和部门级的自查机制。
第二道防线：风控与合规职能部门。 包括风险管理、合规管理、法务、财务控制等职能。它们制定内控与合规的政策和标准，提供专业指导，监控第一道防线的执行效果。第二道防线的独立性至关重要——合规部门不应向业务负责人汇报，而应直接向首席风险官或首席执行官汇报。
第三道防线：内部审计。 内部审计独立于管理层，向董事会或审计委员会汇报，对第一道和第二道防线的有效性进行独立评价。内部审计的发现和建议应直接送达治理机构，确保监督的独立性和权威性。
在实践中，三道防线之间需要建立清晰的信息共享和工作协同机制，避免出现"各管一段、相互推诿"的局面。有效的做法是建立"统一的风险语言"和"联合风险评审"机制，让三道防线在同一张风险地图上协同工作。
三、中国上市公司内控合规的制度演进与监管实践
中国上市公司内部控制的制度演进经历了三个阶段：
2008年奠基： 财政部、证监会等五部委联合发布《企业内部控制基本规范》（"中国版SOX法案"），确立了内部控制的五目标和五要素，要求上市公司披露内控自评报告。2010年的配套指引进一步覆盖了18个核心业务流程。
2018年深化： 国务院国资委发布《中央企业合规管理指引（试行）》，将合规管理扩展至所有中央企业。2019年明确提出"强内控、防风险、促合规"三位一体的管控目标。
2022年定型： 国资委发布《中央企业合规管理办法》，要求中央企业设立首席合规官，对企业重大决策进行合规审查并出具书面意见。这标志着中国企业的合规管理进入了"高管负责、专人专岗"的规范化阶段。
四、内控与合规框架的实战构建方法
4.1 体系构建的六步法
结合COSO框架和ISO 37301的要求，企业构建内控与合规框架可以遵循以下六个步骤：
第一步：顶层设计与组织架构调整。 在董事会层面设立审计与风险委员会，在管理层层面设立首席风险官或首席合规官职位。明确各层级的治理责任——董事会负责"监督"，管理层负责"执行"，业务部门负责"落实"，内审部门负责"评价"。
第二步：制度体系梳理与完善。 对标监管部门的要求和最佳实践，对企业现有的制度体系进行全面的"合规体检"。重点检查：①是否存在制度空白？②现有制度是否与法规要求一致？③制度之间是否存在矛盾和冲突？④制度的可操作性如何？
第三步：风险识别与评估。 建立覆盖战略、运营、财务、合规四大类别的风险矩阵。风险识别应遵循"自上而下"（从战略目标分解）和"自下而上"（基于业务场景梳理）的双向方法。风险评估采用"固有风险×控制有效性"的模型，计算剩余风险水平，确定高风险领域的控制优先级。
第四步：控制措施设计与嵌入。 针对评估出的高风险领域，设计预防性控制（Preventive Controls）和检测性控制（Detective Controls）的组合方案。预防性控制如事前审批、资格准入、限额管理；检测性控制如定期对账、异常交易监控、专项审计。控制措施应嵌入业务流程，形成"业务即控制、控制即业务"的一体化运作模式。
第五步：监控与报告机制建设。 建立"红黄绿灯"风险预警机制，对关键风险指标（KRI）进行实时监控。合规报告应分层级呈现：运营层面的日报/周报、管理层的月报/季报、董事会层面的半年报/年报。报告中应包含风险趋势分析、控制有效性评价和整改跟踪进度。
第六步：评价改进与文化培育。 每年至少开展一次内控自我评价（CSA）和合规管理评审，发现薄弱环节并制定改进计划。同时，将内控合规文化融入企业价值观，通过培训、考核、激励和问责机制，使合规行为从"被动遵守"变为"自觉行动"。
4.2 数字化工具赋能内控合规管理
随着企业规模的扩大和业务的复杂化，传统的人工内控合规管理模式已难以满足效率与覆盖面的要求。数字化转型为内控合规管理提供了新的能力：
过程自动化与合规嵌入。 通过OA、ERP等信息系统，将合规审批节点嵌入关键业务流程——付款须经合规审查、合同须经法务审批、供应商变更须经尽职调查——从系统层面杜绝"绕过程序"的可能。
数据分析与异常检测。 利用大数据分析技术，对海量交易数据进行异常模式识别。例如：对采购价格偏离均值的交易自动预警、对异常集中支付行为进行排查、对员工与供应商之间的利益关联进行网络分析。这些手段大大提升了内控监控的覆盖面和精准度。
合规知识库与智能问答。 将法律法规、行业标准、监管指引、内部制度等信息结构化，构建合规知识库，并通过AI技术实现智能检索和自动问答，帮助员工在日常工作中快速获取合规指导。
持续监控与自动报告。 建立内控合规数据仪表盘，自动抓取各系统的关键数据（如控制点执行率、合规培训覆盖率、违规事件数量与闭环率等），实现内控合规状态的实时可视化管理。
五、常见治理困境与突破路径
困境一：董事会"重战略、轻内控"
在许多企业中，董事会将主要精力集中在战略方向、投资决策和人事任免上，对内控与合规体系的监督投入不足。审计委员会会议流于形式，内审报告很少被深入讨论，合规问题只有在"出了事"之后才被重视。
突破路径：将内控合规绩效纳入董事会及审计委员会的考核指标。具体做法包括：定期邀请首席风险官列席董事会会议并报告风险态势；建立"风险述职"制度，要求各业务线负责人向审计委员会报告其风险管控情况；将内控评级结果与高管薪酬挂钩。
困境二：合规与业务"两张皮"
合规部门编写的合规手册堆起来有一米高，但业务部门"听都没听过"。合规规则与业务实际脱节，直接导致"制度归制度、执行归执行"的普遍现象。
突破路径：推行"合规融入业务"的机制设计。合规部门应主动深入业务一线，了解业务模式和操作痛点，在业务语言和合规要求之间建立"翻译桥梁"。同时，在业务绩效考核中设置合规权重，让业务部门的负责人从"被动合规"转变为"主动管控"。
困境三：事后处罚多、事前预防少
许多企业的内控合规工作以"发现问题→追究责任→通报批评"为主要模式，缺乏从源头上预防风险的能力。这种"救火式"管理不仅不能降低风险发生的概率，还容易引发部门之间的对立和不信任。
突破路径：从"事后问责"转向"过程赋能"。将合规培训前置到新员工入职、新业务启动、新产品上线的第一环节；建立"合规咨询"机制，让业务部门在做决策前主动寻求合规意见；将违规事件作为管理体系改进的输入，而非单纯的问责依据。
困境四：内控合规人才短缺
内控与合规管理需要既懂业务又懂法律、既懂财务又懂流程的复合型人才，而这类人才在市场上极度稀缺。中小企业尤其面临"无人可用"的窘境。
突破路径：建立分层级的人才培养体系。对董事会和高级管理层，重点培训"治理责任与合规判断力"；对中层管理者，重点培训"流程控制与风险管理方法"；对一线员工，重点培训"岗位合规要求和违规识别能力"。同时，可以考虑将内控合规职能的部分工作外包给专业机构，如内控评价外包、合规审计外包等。
六、结语：从合规底线到治理高地
内控与合规框架从来不是企业的"成本中心"，而是治理能力的重要标志。在一个日益复杂和不确定的商业环境中，健全的内控合规体系为企业提供了三个层次的价值：
底线价值——避免因违规而遭受的罚款、禁令、诉讼和声誉损失，这是最直接的保障作用。
边界价值——帮助企业明确"什么可以做、什么不能做"，为管理层的决策提供清晰的边界框架，从而提高决策效率和执行结果的可预期性。
高位价值——优秀的内控合规记录本身就是企业的"治理名片"。在投资者关系、客户关系、供应商关系和政府关系中，一个治理规范的企业比一个"野蛮生长"的企业获得更多的信任溢价和发展空间。
从"合规防御"到"风险管理"再到"价值创造"，内控与合规框架的升级路径本质上就是公司治理成熟度的提升路径。对于每一位企业治理者而言，系统构建并持续优化内控与合规框架，不是一项可选的"加分题"，而是一道必答的"及格题"。
内控合规不是企业的成本，而是治理能力的基础设施——守住了底线，才能走得更远。
知识编号：1.2.1
版本：v20260731
作者：卓越质量智库 卓越质量智库致力于为质量管理从业者提供系统化的专业知识、方法论与实战工具，助力企业质量能力持续提升。