企業合規的風險評估流程

一 確定合規風險評估的範圍及具體風險

根據企業面臨的合規監管要求及企業面臨的實際合規風險，根據企業本身的合規資源，明確本次的合規風險評估活動的範圍。

企業在進行合規風險評估的目的即是發現和識別企業面臨的合規風險以及風險的緊急及嚴重性，而由於企業的合規資源的有限性，也就決定企業不可能對於所有的風險均進行同一標準的評估和識別。因此，企業在進行合規風險評估之初即須先進行預風險評估與識別，即預先評估和篩選企業本次合規風險評估的範圍與重點。

二 確定合規風險評估的主體及參與人

在企業確定了合規風險評估的範圍後，第二步則需要明確進行合規風險評估的主體，以及具體的參與人，以確保合規風險評估工作的順利進行。

三 針對合規風險的範圍制定相應的合規問卷以及相應的指標和說明性檔案

企業明確了合規風險的參與人後，即應當制定相應合規風險評估問卷，以便與在進行合規風險評估的時候能夠確保企業訪談或者調研的時候取得相應的成果。

企業應制定合規風險的評估指標，一是合規風險發生的可能性，即首先企業應當評價該種合規風險，是否存在發生的可能性性，如果基本不會發生，或者發生的機率極低則企業對於該種合規風險就無須投入過多的精力予以防範。二是該種合規風險的發生對於企業會造成何種影響，是會導致企業違反相應的法律法規進而給企業帶來外部的制裁亦或是僅給企業帶來經濟上的損失。在此，企業需要針對風險發生的機率和可能對企業造成損害制定較為清晰的評價指標，以便於在進行風險評估的時候可以相對的量化。通常企業可以按照風險發生的頻率，將之從高至低劃分為幾個等級。通常一個合規風險點在一年內實際發生多次則可以將之劃分為發生機率高的風險，而一個風險在

1-2

年之內實際只發生過一次的則可以將之劃分為中等該類的風險，而一個風險在過去

2

年內未實際發生的則可以將之劃分為低機率風險。

另外，對於該等風險可能造成的損害則可以按照其嚴重程度劃分相應的等級，如可能給企業的經營造成終止或者讓企業面臨相應的刑事制裁的風險則為高風險如進出口管制、商業賄賂方面的風險，而那些可能導致企業承擔較大的經濟損失的風險則可以將之劃分為中等風險，而那些僅給企業帶來較小經濟損失的風險，則通常為低風險，具體損失的大小則需視各個公司的具體情況的不同進行確定。

企業針對風險評估制定了相應的評估指標後，需起草相應風險評估的說明性檔案，包括合規風險評估工作目的，評估方法，評估指標等，對每一個風險點，以及每一項評估的指標進行簡潔明瞭的說明，以便合規風險參與者能夠更好的理解相關的評估情況。

四 實施合規風險評估

企業在具體實施合規風險評估的時候，可採取訪談的方式，亦可採取問卷方式。對這些評估的結果採用加總平均的方式確定最終評估的結果。

值得注意的是企業在進行合規風險評估的時候，相當一部分參與人會囿於自己的主觀性，亦或是出於自身利益的考量不太願意暴露相應的風險，導致合規風險的評估結果可能過於保守。此處就要求企業在制定合規風險評估指標的時候，儘量制定一些相對客觀指標，同時需要列舉一些明顯的示例，讓合規風險評估的參與人能夠最大限度內進行相對客觀的評估。

為確保評估結果準確性，企業在實際進行風險評估的時候，應當對於風險評估的參與人員按照其工作崗位的不同進行適當的劃分，如業務、財務、合規團隊對於風險實際發生的案例較為了解，該部分人員對於風險發生的機率的評估更為客觀和真實。而對於一個風險可能給企業造成的損失則法務、合規、財務團隊更為了解。因此在進行合規風險評估的時候可以適當的提高業務和合規團隊對於風險發生機率評估結果的權重，相應的對於合規風險可能給企業造成的損失，則應當提高法務、合規、財務團隊對於評估結果的權重。當然如果企業能夠識別出每一個具體的風險點，與哪個業務單元最相關，則可以相應的提高該業務單元對於該等風險評估的權重。此舉之目的是避免出現平均掩飾了個別風險的凸顯。

五 對於企業合規風險防控措施的評估

企業對於相應合規風險進行評估和識別後，需要做的工作即是對於現有合規風險防控措施進行梳理，針對每一個風險梳理是否有相應風險防控措施，該等防控措施是否充分。

通常評估標準是：

（

1

）是否有針對該等風險制定了相應的政策或者流程予以管控相應的風險；

（

2

）是否確定了相關的人員對於現有的政策或者流程予以執行；

（

3

）相應的政策或者流程是否存在漏洞？是否得到了有效的溝通與執行？

（

4

）該等風險在過往是否發生過，如發生過發生的原因以及公司是如何處理的。通常透過如上幾點則可以識別出企業針對該等風險的防控措施是否存在漏洞。需要指出的是，此處的評估不僅需要對於風險防控措施的有無進行評估，還需對於措施的有效性，以及無效的原因進行分析和評估。