一、风险管理、内控与合规管理的基本概念

风险管理：围绕公司总体战略目标和经营目标，通过建立、健全全面风险管理体系，在公司管理的各个环节和经营生产过程中对风险事项进行识别与评估，并采取相应措施将其影响控制在可承受范围内，从而为实现风险管理的总体目标提供合理保证的过程和方法。

内部控制：内部控制制度是指公司的各级管理层，为了保护其经济资源的安全、完整，确保经济和会计信息的正确可靠，协调经济行为，控制经济活动，利用单位内部分工而产生的相互制约，相互联系的关系，形成一系列具有控制职能的方法、措施、程序，并予以规范化、系统化，使之成为一个严密的、较为完整的体系。

合规管理：合规管理指公司与所属各单位及其员工的经营管理行为符合法律法规、监管规定、行业准则和公司章程、规章制度以及国际条约、规则等要求。

二、风险管理、内控与合规管理的相同点

三者同属依法治企建设及依法治企体系的重要内容和组成部分；同属于横向职能管理部门，对业务部门具有监督管理职责；虽然目标不尽⼀致，但也拥有共同的目标，即“合规目标”与“风险防范”；均以“风险”为导向，风险管理是每个体系的核心内容；构成要素存在诸多重叠和趋同。

总而言之，三者总体要实现的目标是一致的，都是施加管控、防范风险、实现目标，只不过是通过不同的手段来管控风险。

三、风险管理、内控与合规管理的不同点

（一）针对对象不同

全面风险管理针对可能发生的未知损失风险。例如：银行贷款利率上调致使资金损失，自然灾害导致财产损失，疫情导致无法营业，资金链断裂等。

1、内控控制针对的是内部制度执行不力。例如，个人拍板代替股东集体决策，导致重大投资失败、或者签假考勤制度形同虚设，导致效率低下、作风散漫等。

2、合规管理针对的是企业违反法律法规、行业标准、商业道德遭到处罚甚至倒闭的情况。例如：工厂排放超标，违反环保法律法规被关停，企业产品不符合行业标准，频繁被退货等。

类比来看，就像修建一座大坝，合规管理就是办理证件，获得相关部门批准，做到合法合规；风险管理就是选址，考虑地质、来水和效益，避免和消除一切风险隐患，保证安全、质量与效益相统一；内控就是监理施工过程，保证工人不偷工减料、按时按质完工。

（二）主要使用者不同

风险管理是决策者主要使用，决定如何防范风险、应对风险。内控是法律、企管、审计等主要使用，控制企业正常运转，依章办事使用。合规是各部门全体员工使用，确保企业行为和全体员工行为依法合规。类比来看，风险管理就像大脑，决定你要做什么活动；内控就像骨骼，保证你按照大脑的指示活动；合规管理就像眼睛，保证你在安全范围内活动。

（三）关键手段不同

1、风险管理是识别风险，制定规避措施，主要手段是定措施，旨在规避、降低或完全化解风险，具体包括风险规避、风险对冲、承担风险等措施。

2、内控是发现漏洞、弥补管理缺陷，主要手段是找漏洞，旨在依据制度，发现制度执行的不力、存在漏洞的地方，进而整改弥补。

3、合规管理是发现违规、外规转化内规（将外部规范转化为内部制度），主要手段是对照规范，旨在对照法律法规、行业规范等控制企业和员工行为，并将外部规范转化为内部制度。

类比来看，拿盖一栋房子做比喻，也就是说，合规就好像打地基，房子必须要有稳定的地基，任何地基缺陷都将导致房子沉降倒塌；内控就像立柱子，保证撑起房子顺利往上盖起来；风险管理就像修房顶，保护房子抵御风险不被风雨损坏。

（四）失控后果不同

风险管理失控后，企业不能及时识别即将发生的风险并提前采取防御措施，最终致使风险发生，对企业产生不同程度的影响。因此，风险失控的后果根据风险程度不同，后果范围也比较大。

内控管理失控后，企业制度失去效力，企业财务、人力资源、资产、工作流程失去有效监管，继而引发内部管理混乱，例如盗用资金、人员流失、审批失控等。因此，内控失控的后果，基本控制在内部可修正范围之内。

合规管理失控后，意味着企业违反法规行规底线，企业层面因为违规经营，或者内部制度与法规冲突，可能受到被行政处罚、项目关停、诉讼纠纷甚至刑事处罚等较为严重的后果。同时，员工个人违规不仅本人受到企业外部处罚，也可能因为代表公司行为，公司同样不能免责。因此，合规管理失控后果一般比较严重，甚至可能导致企业倒闭。

四、记忆小口诀

风险防险；内控抓控；合规重规。风险在上看未来；内控在中管运行；合规在基守底线。