从“被动合规”到“主动风控”：国有企业合规管理体系的“三道防线”如何有效协同？

在合规管理体系中，“三道防线”并非独立存在，而是应当协同发力的整体。根据《中央企业合规管理办法》等监管要求，需清晰界定“三道防线”的职责与边界，才能形成“业务自防、合规督导、审计监督”的闭环管理机制。

作为开展经营活动的主体，国有企业的第一道防线（业务部门）是合规风险源头防控的责任主体。在业务开展之前，需将法律法规及内部制度嵌入合规流程中，从源头开展经营合规工作；在执行过程中，要主动识别潜在风险，坚决杜绝“先执行后补手续”的违规操作。第二道防线（以法律合规部为核心的合规管理牵头部门）是业务与监督部门的桥梁，承担统筹协调与专业支撑的督导作用。其核心职能包括构建合规管理体系，开展业务风险评估与预警工作，协调处理风险事件。第三道防线（内部审计与监督部门）通过内部审计、举报调查、依规追责以及提出优化建议等方式承担独立监督的责任，确保其独立、客观地实现“监督的再监督”。

从“被动合规”到“主动风控”的转型，本质上是合规管理目标与实践操作的根本变革。“被动合规”往往以满足监管要求为目标，是风险出现后的事后补救。在这种模式下，合规工作被视为业务的附加任务，具体表现为业务部门重业绩轻合规，合规部门疲于应对检查和补正材料，整个合规体系沦为“成本中心”。“主动风控”则是将合规体系融入企业业务全流程，强调事前防范与事中控制。在这种模式下，合规并非业务的对立面，而是将风险防控措施嵌入业务全流程，让合规体系成为“价值创造中心”。

职责划分不清是协同失效的首要障碍。实践中，国企业务部门普遍存在“合规是合规部门的事”的认知偏差，认为自身仅是“制度执行者”，忽视风险源头防控责任；部分合规管理部门则过度介入具体业务，或者因为提供的合规建议脱离业务实际，被诟病为“只设障碍不解决问题”；内部审计部门和合规管理部门之间也容易出现职责交叉，或者在部分环节存在监督空白，最终出现推诿扯皮的局面。这种职责边界模糊的根本原因在于相关制度未清晰界定各防线的权责清单，缺少跨部门配合对接、责任划分的内容，使“三道防线”陷入各自独立的状态。

实践中，信息壁垒切断了“三道防线”之间的协同渠道。国有企业业务部门在识别到风险隐患后，因缺少强制报告机制而未能将相关信息及时、完整地反馈给合规管理部门，导致风险预警机制无法发挥作用；合规管理部门制定的制度，常因为未结合业务实际难以被业务人员准确理解与执行；内部审计与监督部门提出的整改建议，也因为缺少完善的反馈机制而无法有效优化合规体系。风险信息分散在各个部门，形成信息壁垒，使得“三道防线”之间难以实现信息实时共享。

当前，国企考核体系中，业务部门的业绩指标仍以营收、利润等为主，合规风险管理成效的权重较低，导致业务人员形成“重业绩轻合规”的观点；“三道防线”之间缺乏协同考核机制，难以激励部门间主动协作；在问责环节，风险事件发生后，往往仅追究直接业务人员的责任，忽视合规管理部门督导缺位、审计与监督部门监督失灵的连带责任，或者因为责任划分不清导致无法明确责任主体。

实践中，部分国企工作人员仍秉持“合规阻碍业务发展”的错误观念，认为严格合规会降低工作效率、错失商机，这也是“三道防线”无法协同发力的关键症结之一。之所以存在这种现象，是因为各部门对于“三道防线”的理解仍停留在各司其职的表层，缺乏风险共治意识，具体表现为业务部门不愿意主动暴露风险，合规部门习惯“闭门造车”地制定规则，审计部门也习惯“秋后算账”式的监督。这种认知偏差导致“三道防线”无法协同，使得合规管理仍以“应付检查”为目的。

对于国有企业而言，高层的重视是“三道防线”协同发力的首要前提。董事会与高管需将“主动风控”和“三道防线协同”纳入企业战略目标，亲自牵头合规管理工作，通过公开讲话、会议部署等方式传达合规的重要性。在制度层面，需在《合规管理办法》等制度中细化“三道防线”的职责清单，明确各防线职责边界，尤其要厘清跨部门协作的工作流程，例如风险信息报告路径等，避免职责交叉或空白。首席合规官作为协同枢纽，应参与重大决策、协调跨部门合规等工作，确保“三道防线”在统一调度下高效运作。
 

在国企运营过程中，应当建立常态化沟通机制，例如按期召开“三道防线”联席会议，对于高风险领域业务开展联合风险评估；按期组织跨部门合规检查，确保风险早发现早处理；合规管理部门人员也应当参加业务部门战略会议、重大项目评审会等关键决策会议，实现合规工作前置化。构建高效的信息共享机制，依托数字化平台建立合规工作共享信息库（包括风险事件、合规要求等内容），明确业务部门对重大风险，如合同违约、监管处罚等事项的24小时强制报告义务；合规部门需将相关法律法规、政策等转化为业务语言，并通过培训等方式传达给业务一线；审计监督部门需将检查报告、整改要求等同步反馈至业务部门与合规部门。完善协同考核与问责机制，将信息共享及时性、问题整改配合度等协同指标纳入部门考核KPI；重大风险事件一旦发生，立即启动“三道防线”责任追溯机制，依据职责清单厘清三道防线中各部门的责任。
 

合规与业务深度融合，需要将合规要求内化在业务流程中。在业务全流程设置合规控制点，例如在项目立项阶段设置尽调环节，在采购招标时设置供应商资质审查流程等等，这些控制点由业务部门严格执行，该过程中由合规部门提供专业支持。针对新业务、重大投资项目等，合规部门应在业务开展前出具风险评估报告，明确风险防范措施等。面对高频业务场景，合规部门应制定《合规操作指引》《风险防控手册》等，帮助业务部门在合规框架内高效开展工作，实现合规赋能业务的目标。
 

文化认同是“三道防线”协同发力的根本。国企高层领导需要通过持续宣贯、培训会议等传递正确的合规理念，将三道防线协同要求纳入新员工培训、干部考核等机制，提升全员协同意识。同时，企业还可以通过设置合规风险举报奖励机制等，激发全体员工参与合规管理的主动性，让“主动风控”成为各部门的自觉行动。