“三道防線”模型在合資鐵路公司風控管理中的應用

李 慧

（京福鐵路客運專線安徽有限責任公司，安徽 合肥 230031）

“三道防線”模型已在多個行業(yè)得到廣泛的應用，發(fā)揮了良好的作用。“三道防線”模型，對于合資鐵路公司風控管理工作具有一定的借鑒意義。為了能夠更好地發(fā)揮風控價值，創(chuàng)造利潤，實現(xiàn)合資鐵路公司的經營目標，必須將風控工作貫穿于鐵路合資公司各項經營管理活動中，與公司總的管理戰(zhàn)略目標相適應，根據不同層級的特點，建立合適的風控體系。本文結合合資鐵路公司在風險防控中存在的問題，對“三道防線”模型在合資鐵路公司應用提出了初步設想。

一、“三道防線”的內涵及發(fā)展歷程

（一）“三道防線”的內涵

企業(yè)風險是“不確定性對經營目標的影響”，內控是通過合理合規(guī)的流程，把風險控制在可接受的范疇，從而實現(xiàn)企業(yè)的經營目標。“三道防線”是指企業(yè)風控管理的三道防護線：第一道防線是最基層的各有關職能部門和業(yè)務單位，是風控直接責任部門；第二道防線是風險管理職能部門，從公司總體風控角度統(tǒng)籌開展風控相關工作；第三道防線是內部審計部門和董事會下設的審計委員會，為最外層的監(jiān)管部門。它在企業(yè)管理中最值得借鑒的地方在于從風控的角度對組織內部的各個職能部門重新進行職責分工。

（二）“三道防線”的發(fā)展演變

1997年，中國人民銀行《加強金融機構內部控制的指導原則》，旨在要求各金融機構建立“三道防線”風控制度。2004年，中國銀行股改上市時，引入了“三道防線”的風控體系。2006年，國資委在《中央企業(yè)全面風險管理指引》第十條中提出“具備條件的企業(yè)可建立風險管理三道防線”。

2013年1月，國際內部審計師協(xié)會（IIA）為了進行有效的風險控制，提出《有效風險管理與控制的三道防線》企業(yè)應當搭建“三道防線”，并說明了這“三道防線”的組成、角色、職責、運作與協(xié)調等。這“三道防線”也被稱為風險管理和風險控制模型。

2020年7月，國際內部審計協(xié)會（IIA）更新“三道防線”模型為“三線”模型。從字面意思來看是將“防”字去掉了，在進攻和防守兩個方面統(tǒng)籌風險，進一步提升了風險管理理念。

（三）“三道防線”的應用

“三道防線”的理論廣泛應用于多個行業(yè)。例如，華為在業(yè)務管線上建立三道防線，包括行政長官、內控和稽查、審計；各中央企業(yè)按照《中央企業(yè)全面風險管理指引》要求，搭建全面風控體系，構筑“三道防線”組織結構，均取得了一定成效。

二、合資鐵路公司風控管理中存在的問題

（一）企業(yè)各層級風控意識不強

個別合資鐵路公司風控管理觀念落后，企業(yè)管理層認為開展風險管理會增加企業(yè)的成本；各職能部門對專職風控部門是否有能力與精力管控整個企業(yè)的風險有質疑，甚至質疑他們的專業(yè)性，是否過多插手本部門的業(yè)務；基層業(yè)務口對風控工作非常抵觸，認為約束了他們的手腳，使他們不能展開手腳來開展工作。但實際上不是這樣，風控工作關系著合資鐵路公司是否健康運行，從國鐵集團巡視組發(fā)現(xiàn)的問題可以看出，如果沒有搭建一個良好的風險防控體系，可能效率更低，以及資產流失，徇私舞弊、經營失敗等各類事項的發(fā)生。所以可以認為“三道防線”就像企業(yè)管理中的“紅綠燈”，沒有人希望紅綠燈使我們的通行受到限制，但是如果沒有紅綠燈指示，整個企業(yè)就會陷入一片混亂。

（二）職能部門風控分工不明確

目前投資公司風險控制工作由法律事務部、監(jiān)察審計部或相關部門負責，有些下屬合資公司沒有設置這些部門，實際工作中也有財務部門等相關部門替代。導致風險控制工作缺乏制衡與監(jiān)督，出現(xiàn)“既當運動員，又當裁判員”的現(xiàn)象。各下屬合資公司業(yè)務人員，直接面對上級單位的審計人員，由于沒有經過事中風控系統(tǒng)學習和指導，直接變成了事后監(jiān)督，工作中難免出現(xiàn)錯誤，每次審計都暴露出許多問題。因此，合資鐵路公司應逐步執(zhí)行“三道防線”體系，將風控制建設與業(yè)務職責分離，促進風控工作水平的進一步提升。

（三）內部審計部門配備不到位

目前，國鐵集團在內部審計部門的配備上，對于鐵路合資公司的管理，基本上只到投資公司這個層級，投資公司以下的下屬合資公司大都沒有配備內審人員，有的公司有內審人員，也大多是專職兼職人員，他們既從事審計工作，又負責公司其他工作，把內部審計工作為輔助工作，工作中處于應付的狀態(tài)。還有一些單位根本沒有配備人員充實內部審計力量，需要內部審計時，聘請外部專業(yè)機構進行審計，把內審變成了外審，弱化了內部監(jiān)督職能。

三、合資鐵路公司構建“三道防線”的設想

（一）風控總體目標

合資鐵路公司風控總體目標是：圍繞鐵路安全生產、運輸經營、建設項目等重點任務，圍繞“強基達標、提質增效”任務，進一步完善風控體制，分析公司各種經營風險，并采取相應的應對策略，確定風險管理實施方案，以實現(xiàn)風險控制的最優(yōu)組合的，以最小的成本減少各類風險帶來的損失的管理制度和方法，充分發(fā)揮風險管理作用，為鐵路改革發(fā)展保駕護航。

（二）風險管理“三道防線”框架設計

1.投資公司風控管理“三道防線”

第一道防線：下屬合資公司、各職能部門。下屬合資公司身處風險管理的第一道防線，負責在日常工作中對各類風險進行具體管理，是風險的直接面對者，是各項具體合規(guī)管理制度的執(zhí)行者；投資公司各職能部門，對本部門涉及的風險各類風險進行分析，對各類制度提出修該建議，具體執(zhí)行風險管理相關制度。

第二道防線：管理層、風控職能部門。風控職能部門作為投資公司風控管理的第二道防線，身處中間端，負責統(tǒng)籌協(xié)調相關職能部門、下屬合資公司，對各具體風險管理工作進行統(tǒng)一的規(guī)劃、組織、指導、監(jiān)控，他們要躬身入局，要擁抱業(yè)務、賦能經營。管理層作為風控領導部門，對其執(zhí)行情況向公司董事會匯報，負責企業(yè)風控體系的建立和完善，確保其能夠合理有效的運轉。

第三道防線：審計與監(jiān)察部門。審計、監(jiān)察部門作為最外層的第三道防線，具備保證監(jiān)督。負責對公司合規(guī)管理體系運行情況和運行效果，合規(guī)管理政策的執(zhí)行情況進行檢查、評估。內部審計、黨委紀檢部門都屬于第三道防線。他們屬于事后監(jiān)督，內審對“事”監(jiān)管，黨委紀檢對“人”監(jiān)督。

投資公司風控管理三道防線如圖1所示。

圖1 投資公司風控管理三道防線圖

2.下屬合資公司風控管理三道防線

第一道防線：合資公司各業(yè)務部門。合資公司各業(yè)務部門身處風險的最直接接觸者，對風管領域的各類風險進行分析，對風控部分各類風險管理制度提出修改意見，貫徹執(zhí)行風控管理相關制度，是各項具體合規(guī)管理制度的執(zhí)行者，力求能把風險控制在最低范圍內。

第二道防線：公司管理層、風控職能部門。公司管理層風控職能部門是風控管理的第二道防線，身處中間端，負責統(tǒng)籌協(xié)調各業(yè)務部門，公司各類風險進行統(tǒng)一的規(guī)劃、指導，并向上級風控部門匯報，建立風險清單，更好地服務基層業(yè)務。公司經理層作為基層領導組織，主要履行本公司風控管理體系的建立，保證其能夠規(guī)范有效的運轉。

第三道防線：審計與監(jiān)察部門。審計、監(jiān)察部門作為是最外層的第三道防線，具有監(jiān)督作用，為公司各類生產經營風險把好最后一關。

下屬合資公司風控管理三道防線如圖2所示。

圖2 下屬合資公司風險管理三道防線圖

四、保障“三道防線”落地的主要措施

（一）建立流程責任制

建立流程責任制是強化各職能部門的對應業(yè)務風險管理，主要以制度來約束行為。所以職能部門在開展具體工作的時候，他的流程是實施責任制，流程的每一步都有制度，按照制度來實施，在每個風險點進行監(jiān)控，按制度來約束職能和業(yè)務部門的行為，從而實現(xiàn)按規(guī)制而為，公司的大部分風險都在這個業(yè)務層面風險得到控制。

（二）加強人員配備

風控管理的部門，針對跨越流程、跨領域的高風險事項進行拉通管理，既要負責風險管理方法論的建設及推廣，也要做好各層級的賦能，幫助業(yè)務口真正開展工作。由于鐵路系統(tǒng)龐大，他們不僅需要投入精力，還需要很強的業(yè)務能力，是對合資鐵路公司基建、運營、法律、財務等整個企業(yè)經營很了解的全能人才，他們有很強的執(zhí)行力、理解力、判斷力、溝通協(xié)調能力，所以大量適應需要的人才培養(yǎng)也不是短期能形成的，所以必須注重人才的培養(yǎng)，加強人才配備，提高風險控制人員業(yè)務水平。

（三）優(yōu)化機構設置

由于目前下屬合資公司都沒有配備內審人員，所以可以推行實行財務監(jiān)察、內部審計審人員與財務監(jiān)察合二為一制度，或建立下屬合資公司內審人員的委托管理派任制度，各投資公司內審部門可長期派駐到下屬合資公司進行工作指導，提高威懾力，垂直領導監(jiān)審人員，使下屬合資公司在日常應對風險的工作中，提高各項風控管理的執(zhí)行力，提高對下屬合資公司的監(jiān)督效果，使之日常工作中按照最優(yōu)標準執(zhí)行，少做事后整改事項。

（四）推進信息化建設

進入大數(shù)據時代，合資鐵路公司風險控制應當重點建立暢通的信息管理系統(tǒng)，實現(xiàn)各類信息共享，提高風控工作管理效率，為風險控制提供有效支持。一是建立管理制度信息庫，搜集各項管理制度，系統(tǒng)化分類管理，便于查找和執(zhí)行；二是建立風險事件信息庫，根據風險事件發(fā)生的可能性，采取的應對措施；三是建立內審數(shù)據信息庫，匯總各類內審中經常發(fā)生的風險事件，內審中共性問題，標注內控高風險點，將內審工作發(fā)揮更高大的功效。

五、結語

綜上所述，在“三道防線”的監(jiān)管體系中，內部審計是“點”，風險管理是“線”，流程責任是“面”，只有三者結合起來才能確保內外合規(guī)。通過“三道防線”的逐層過濾和優(yōu)化，無論從制度流程方面，還是從事前、事中、事后方面，甚至對人員和業(yè)務管理的角度，都對風險進行了管控，最終目的是轉化為企業(yè)經營成果，使合資鐵路公司的風控職能為管理層提供決策依據，更好地服務于戰(zhàn)略，創(chuàng)造價值，增加利潤，確保企業(yè)經營目標的實現(xiàn)。