风险管理“三道防线”含义已变

风险管理“三道防线”含义已变！

COSO风险管理框架“应为两道防线"近期业内都在热议COSO风险管理框架“三道防线”新解等相关事宜，而我认为“应为两道防线，并非三道防线”。之前一直对“三道防线”的提法多少有些疑惑，总觉得哪里不太明白，这次新解以及业内各位专家的热议倒是让我清醒了一些。虽然国际、国内都在提“三道防线”的观点，但我仍有不同的看法。一、风险管理“三道防线”的概念一谈到企业风险管理的“三道防线”概念。我们就会想到前些年企业进行全面风险管理体系建设时，经常提起的在组织机构层面建立企业风险管理的“三道防线”的做法，即企业的业务部门作为前端部门是风险管理的第一道防线；企业风险管理职能机构作为风险管理的第二道防线；企业的内部审计职能机构作为风险管理的第三道防线。下图是前些年我们对典型的三道防线组织架构图的理解。内申部■1总经理1综合制内申部■1总经理1综合制1财务韶1市场韶■,生产韶1风险管理韶第二道防线在国际上，也有跟国内“三道防线”提法相对应的概念，即ThreeLinesofDefense，也可以直译为三道防线。即第一道防线是RiskOwner（风险所有方），也是指业务单元或部门；第二道防线是RiskManagement（风险管理），前些年在风险管理理论还不太成熟时，也有称第二道防线是RiskControlandCompliance（风险控制与合规）；第三道防线是RiskAssurance（风险保证），主要是指内部审计部门。

2穴skA2穴skAUnit一、 对新版COS0风险管理框架中的“三道防线”的质疑新版COSO风险管理框架在附录中阐述了对于三道防线的概念，其中提到了风险管理责任落实的第一道防线是：核心业务部门(CoreBusiness)；第二道防线是：支持职能部门(SupportingFunction)；第三道防线是：保证职能部门(AssuranceFunction)。核心业务部门：即企业的业务部门，作为风险管理的第一责任机构；支持职能部门：包括法务、合规、财务、人力、质量、安全等，所有可以协助一线核心业务部门进行风险管控的职能，都应该属于支持职能部门，即第二道防线；保证职能部门：主要指的是审计、监察部门，即第三道防线；以上就是新版框架中的内容。然而我认为以上划分形式考虑欠妥。二、 防线的作用和对象既然我们谈防线，首先就要明确，什么是防线？作为防线，防护对象是谁？是否可以起到安防的作用？自己对自己可否进行监督？如果能清晰地回答这几个问题，我想对于“防线”的理解才算是到位的。1、什么是防线？是对风险事件进行的有效拦截或降低或缓冲，从而减少损失发生的东西。防线是有明确的主体和客体的。比如用堤坝来拦防洪水。如果主体和客体融为一体，那么防线的作用就几乎不存在了。2、对象：既然是企业的防线，就会有防护或监督的对象。在企业中，防线防护的对象就应该是企业价值链实现的全过程，而业务部门和职能部门才是整个价值链实现的执行者。那么按照部门划分，就是这两类部门；按照事项划分，就是价值链的全过程。3、作用：既然是企业的防线，那么就应该起到防护、防守、监督的作用，从而规避/降低风险、损失的发生。如果缺乏这样的作用，或是拦截/降低风险失效，那么就不应该称之为防线。4、岗位互斥：从基本的岗位/角色互斥的角度来说，必须保证独立性，不能出现同一部门或同一人员既是运动员又是裁判员，否则就是监守自盗了。如果做不到互斥岗位/角色分离，就不能称之为防线，也起不到防护的作用，至少在设计上就出现了漏洞。我想上述四个方面应该回答清楚了开头的几个问题。这也就厘清了之前的疑惑——为什么是两道防线，并非三道防线。三、责任、担当和监督的区别1、每个人都对自己工作负责，有担当，那就不需要防线了？每个运动员当然都对自己负责，有担当，那还需要裁判员吗？或者自己是运动员并兼任裁判员？这是否成立？内控的诞生是基于人性本恶为假设前提的，并逐渐由岗位之间的相互牵制发展到现在的内部控制体系，甚至是风险管理体系。因此，人除了责任感和担当外，还隐存着些许私欲，做一些只对自己有利而不管是否对其他人有利的事情，一方面与自我认识有关，另一方面受自我专业范围限制。舞弊的产生的原因不也是“动机—机会—自我合理化”。而内控/风险管理正是从大局出发，从独立的一个视角出发，只要有损组织利益的事件或行为，都需要加强防控。因此，所谓的责任感、担当和防线的作用还是存在差异的。2、业务部门守土有责？遵守交通规则，人人有责？这里面有个概念需要明确。执行者和风险（或损失）承担者是否为统一体？如果不是，“业务部门守土有责”就是一句空话。业务人员造成的损失，往往都是由公司来承担的，都是对自己有利的，比如越权销售、篡改销售价格、虚假报销销售费用、通过透露标底的方式与供应商达成共识。所谓的“遵守交通规则，人人有责”，那是因为执行者和风险承担者是统一体，若不遵守，自己就会受伤/残疾/甚至更重的人身伤害。自己给家里购买家电家具有谁故意购买次品的？到货验收草草了事？想要车辆礼让行人，只有布局道路监控系统和惩罚措施，以及