浙江
风险管理三道防线，廉颇老矣尚能饭否
国企要推动穿透式监管的升级，绕不开风险管理的老熟人——三道防线，它在国企扎根快二十年了。
2006 年国资委发布的《中央企业全面风险管理指引》，首次立下了三道防线的框架，此后，2019 年 101 号文、2022 年《中央企业合规管理办法》，都在各自领域不断强化它。
三道防线是什么？我用三句话给大家说明白：
第一道防线是业务部门，理念是"管业务必须管风险"。 风险是从业务里长出来的，业务部门最贴近风险，所以它要承担"首诊"责任和"执行"责任。
第二道防线是风险、合规、内控这些职能部门，理念是"专业的人做专业的事"。业务部门懂业务，但缺方法、缺统筹，需要专业部门给标准、给工具、给支持。
第三道防线是审计监督部门，理念是"独立者最客观"。审计监督部门跟业务、跟风险部门都保持距离，用事后审计，独立验证这套体系到底有没有效。
业务自己防、专业帮着防、审计独立查——三道防线这样分工，看起来天衣无缝。事实上，三道防线也确实是国企风险管理的功臣：它让"风险不只是风控部门的事"这个观念深入人心，给无数央国企提供了组织架构的标准模板，还催生了风险清单、内控矩阵这些管理工具。
但是，功臣也会老。 近二十年跑下来，三道防线暴露出了几个扎心的问题。我挑三个讲讲：
第一个问题：说法多、做法少。 你去翻制度文件，三道防线几乎出现在每一本制度的指导思想、体系框架里，写得漂漂亮亮。可落到具体工作上，三道防线很少能变成"可执行的工作机制"，最后往往是"墙上挂着、嘴上说着、手上没干着"。
第二个问题：靠人防、防不全。 第一道防线靠人凭经验发现风险，第二道防线靠人抽样检查，第三道防线靠事后审计追溯。三道防线，全靠人和有限样本。 可面对海量的业务数据，人工怎么可能全覆盖？大量风险，就长期潜伏在"没抽到的那部分样本"里。
第三个毛病：软约束、容易松。 三道防线本质上还是"管理驱动"——做不做、做到什么程度，全看当事人自己的意愿。在缺乏刚性压力的时候，第一道防线往往是业务压倒一切、风险防控抛之脑后，第二道防线的检查也容易走过场，第三道防线的审计发现更是容易"查而不改"。很多央国企的三道防线，一道都没防住。
所以，在穿透式监管下，三道防线需要重构。注意，不是三道防线的原理错了，而是它的运行条件和使用工具，发生了根本变化：一是技术变了：要从"人工经验 + 抽样检查 + 事后审计"，升级到"全量数据扫描 + 规则模型自动预警"。
二是组织变了：从"各级企业自己管自己"，升级到"全级次覆盖、数据从末级实时汇到总部"。
三是问责变了：从"评价结果柔性挂钩"，升级到"与干部任免、资源配置、经营授权刚性挂钩"，从"软约束"变成"硬约束"。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
