内部控制主要以业务流程为核心，通过对业务层面风险的管理，控制日常经营行为，将风险控制在可接受范围内；合规管理侧重于遵章守制风险，注重前端规范与结果管理；风险管理范围最大，外延涵盖内控风险、合规风险。三者之间的关系可以理解为：内部控制是手段，合规管理是底线，风险管理是核心。

随着市场竞争的日益激烈，以及经营环境的复杂多变，加强内部控制、提高风险管理能力，对于国有企业适应新的经济发展形势越发重要。近年来，国资委先后发布《关于全面推进法治央企建设的意见》《关于做好2020年中央企业内部控制体系建设与监督工作有关事项的通知》《关于进一步深化法治央企建设的意见》等重要文件，提出“探索构建法律、合规、内控、风险管理协同运作机制”等要求，可见，深化全面风险管理、内部控制、合规管理，形成融合统一的管理体系，已成为新时代国有企业发展的重要工作内容之一。

内部控制是由公司董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程，主要由内部环境、风险评估、控制活动、信息与沟通、内部监督五个要素构成，其目标是经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进实现发展战略。

合规管理是指以遵循法律法规、监管规定、规章制度等为出发点，以有效防控合规风险为目的，以企业和员工经营管理行为为对象，开展包括制度制定、风险识别、合规审查、风险应对、责任追究、考核评价等有组织、有计划的管理活动。

风险管理是指企业围绕总体经营目标，通过在企业管理的各个环节和经营过程中执行风险管理的基本流程，培育良好的风险管理文化，建立健全全面风险管理体系，包括风险管理策略、风险管理的组织职能体系、风险管理信息系统和内部控制系统，从而为实现风险管理的总体目标提供合理保证的过程和方法，以防范重大风险、重大事件为重点。

可以看出，内部控制主要以业务流程为核心，通过对业务层面风险的管理，控制日常经营行为，将风险控制在可接受范围内；合规管理侧重于遵章守制风险，注重前端规范与结果管理；风险管理范围最大，外延涵盖内控风险、合规风险。三个体系虽侧重点不同，但其框架均以风险为导向，以制度及流程为基础，以风险识别与评估为主要手段，通过管理工具的落地，实现流程优化及风险管控。因此，三者之间的关系可以理解为：内部控制是手段，合规管理是底线，风险管理是核心。

对于国有企业，首先要建立一体化管理体系，建立由治理层、管理层、执行层构成的全面风险（内控）管理及合规管理组织体系。治理层由董事会、监事会等组成，负责建设内控、合规及风险一体化管理体系，推动管理要求融入业务领域；管理层设置全面风险（内控）管理领导小组和合规管理委员会，由改革发展部统一履行办公室职能，统筹推进法律、内控、合规、风险、制度管理一体化，有效避免了职能交叉、合力不足的问题；执行层负责贯彻落实内控、风控及合规制度和要求，实现一体化管理体系在各级组织机构的统一。同时，要注重发挥国有企业党委在内控、合规及风险管理相关重大事项决策中的前置审议作用。

其次，要健全一体化工作机制。围绕内控、合规、风险一体化体系运行，形成从目标制订、管理活动到结果评价的闭环管理工作机制。一是工作部署及考核评价协同，将内控、合规、风险管理任务统一纳入各部门年度目标责任书KPI指标。二是日常检查监督协同，将内控、合规、风险体系管理重复的工作进行合并，有利于提高工作效率、减轻工作负担。三是考核评价协同，构建覆盖质量管理、制度体系、内部控制、风险管理及合规管理一体化考核模式。

再次，要建立一体化内控流程与制度体系。以外规内化为导向，全面系统融入核心业务过程。一是围绕制度建设，推行制度流程化改造工作，坚持推进内控、风控及合规要求融入业务制度，明确各环节的风险点和控制措施。二是将风险点、控制点作为一体化建设的关键要素，统筹推进内控、合规、风险管理。

最后，要开发统一的风险管理方法及数据平台。内部控制、合规管理及风险管理在运行机制上均强调了风险管理，这也是实现三体系有效整合的基础。比如，中石化安全工程研究院有限公司组织编制了统一的管理体系风险评估矩阵，适用于内控、合规等风险评估，将各类风险从高到低依次分为R1、R2、R3和R4四个等级。

除此以外，还应该深入推进体系策划融合，不仅限于将内控、合规、风险管理任务统一纳入年度目标责任书，再从单独规划变为统筹规划，从一体化的角度策划规章制度、年度工作、阶段性目标等；进一步发挥信息化手段在一体化管理中的作用，将内控规则、合规要求等固化至业务信息系统，发挥系统的刚性约束作用，采用信息化、数字化手段，建立风险量化评估模型和动态监测预警机制，强化业务过程的智能预警及控制，实现事前、事中、事后全过程风险防控；注重内控、合规及风险文化建设，不断增强员工的合规意识和行为自觉，营造依规办事、按章操作的企业文化氛围。

作者为中石化安全工程研究院有限公司改革发展部（法律事务部）经理