一、风险治理视角下的金控集团全面风险管理

       英美典型的大型的金控集团，或者是银行控股的金融公司，在全球有区域管理中心，区域中心下面有分支机构，这是一种典型的矩阵制管理结构。通过对国内外控股集团风险管理模式的分析，可以得出控股公司的风险管控职能定位主要在风险的并表管理、对成员单位的风险监控与支持服务、以及集团自身的风险管理。

（一）国际视角下的金控集团风险管理

       现在全球主流的管控模式基本上是母公司管理附属子公司的管控模式：不是100%把握每一笔交易，每一个指令，每一笔风险，而是基于战略监控性来进行把控。战略监控性控制的难点跟重点，就是如何去考核战略性子公司。其中一个就是风险偏好是否符合集团整体风险偏好，是否符合集团整体的一个战略取向。

（二）治理框架体系

       治理框架结构的顶层是风险战略的设计。制定战略的时候，风险尽量要考虑进来。风险跟战略是不可分离的。战略制定中风险是可以带来价值的——既有做好战略风险的一个防范，又能把风险体现在战略里面。实质上风险偏好是指导业务怎么去做。第二层则涉及到相关治理体系——包括三道防线的设置，包括董事的一些制度性安排。第三层叫做工具系统。实际上工具系统中包含一个很重要的东西——也就是跨行的统一的风险视图，本质上是金融企业的一个仪表盘，展现全面风险的这些风险的一些敞口，包括风险管理的薄弱环节。

（三）风险文化培养的方式

       那么如何迅速改善一家银行或者一家金控集团的风险文化，使其以风险为主来加强风险管理与控制，董事会可以采取12项全面风险管理举措，将全面风险管理提升至最高标准。第一个途径是高管自身要带头问责，做好问风险问责。第二个是梳理风险热图，现在大家很担心的一点就是董事会在风险管理上不专业。第三个是确定大赌注在哪里。第四个是综合情境的分析，综合情绪分析，不单单是依靠一条线或者两条线的业务线单纯的跟母公司汇报。第五个是建立风险评估流程。第六个是实时指标的检测体系。第七个是引领战略的一个宣贯。第八个是将风险融入业务。第九个是明确治理架构。第十个是母公司需要保持与高管层的合作。第十一个是营造并检视风险文化，监督管理层对组织的风险文化进行诊断，并制定改进的方法。第十二个是优化高管的薪酬结构。

（四）当下集团风险管控的内容

       通过对国内外控股集团风险管理模式的分析，可以得出控股公司的风险管控职能定位主要在风险的并表管理、对成员单位的风险监控与支持服务、以及集团自身的风险管理。风险并表管理，包括风险战略与偏好管理、风险识别与评估管理、专项风险整合分析、资本计量与分配、限额管理、风险报告、风险应急预案。

       来源：《风险杂志》2019年第4期

二、风险、合规与内控

（一）前瞻性的合规内控监管文件

       在2004年，银监会就发布了《商业银行内部控制评价试行办法》，要求规范和加强对商业银行内部控制的评价，督促银行进一步建立内部控制体系。2006年，银监会又出台了《商业银行合规风险管理指引》，提出商业银行应当建设强有力的合规文化、有效的合规风险管理体系以及有利于合规风险管理的三项基本制度。虽然银监会、中国人民银行、国资委等部委多次出台文件规范商业银行合规和内控体系建设，但是近年来银行的合规问题依旧层出不穷。

（二）金融机构的合规管理

       金融机构应当以符合其规模、复杂性、结构和运营的方式制定“合规义务”文件，而其中的合规义务信息应当包括合规要求、可以包括合规承诺。合规风险是因为金融机构违反法律、监管要求、行业协会要求及行为准则等造成的风险，其是基于信用风险、市场风险、操作风险三大风险之上的更基本的风险。同时，合规风险也常与声誉风险相关联。商业银行进行合规管理的主要目标是促进银行实现发展战略、保证经营管理合法合规、保证银行资产安全可靠。很多银行在其风险偏好中明确表示，对合规风险零容忍。为了实现有效的合规管理，商业银行等机构应当建立起完备的合规体系和合规人才队伍。合规本身是一门科学，其管理可分为识别、管控、监测、补救、报告等环节。

（三）金融机构的内控管理

       商业银行内控管理主要包含五个要素：一是环境要素。二是信息沟通机制因素。三是控制活动要素。四是风险要素。五是监督要素。

（四）合规与内控的关系

       合规和内控都是银行风险管理的主要措施，都具有动态性、全面性的特征。合规与内控涵义相通、目标相近、过程关联、方法趋同，共同促进银行的可持续发展。内部控制与合规管理虽然涵义相通，但也存在一定的不同点。内控工作以满足企业内在经营需要而开展，由企业内部发起并制定，更关注企业的日常经营以及各部门与经营相关的内部内容。合规工作则是以企业经营行为不违法违规为目的，更为关注企业与外部发生联系的行为。

（五）操作风险与合规、内控的关系

       操作风险与内部控制有着内在联系，控制操作风险有利于内部控制实现经营管理目标、财务报告目标与遵循目标。而内部控制能够更好地对应对操作风险内生性、人为性的特征，且内部控制是银行管理操作风险的基础。但是二者又在重点、对象、目标上有不同的关注点。操作风险强调“区别”管理，重点在于针对内外部事件区分出可承担的风险、可转移的风险，进而采取不同的管理手段，其目标相对单一。内部控制则强调控制机制建设，要求针对内部组织架构中的各个部分建立内部控制政策和程序。

（六）风险管理体系的建设

       金融机构应当建立完善的公司治理、风险管理及合规审查体系，以此来提升公司风险控制职能的效率和有效性。在体系中，董事会及执行管理委员会负责设定整体政策与风险基调。而根据企业风险政策和态度，管理层来设定各种风险控制功能的职责、管理组织风险性的共同目标、风险结构等。进而，各职能部门基于共用的流程、技术和知识，履行各种风险和控制功能的职责，努力管理好目标组织的风险。

       来源：2020TGES系列论坛-03：内控合规、造作风险管理和全面风险管理——徐天石《风险、合规与内控》