中国平安：企业内控的现行者(2)

　　在集团层面，平安建立了统一的风险定义和分类，统一的风险计量和汇总方法，为集团风险的并表管理打下了基础。“每家子公司都有风险监控的体系，在集团，我们主要是并表管理，每季度进行压力测试。某些风险在单一子公司可能不是问题，但并表到集团，就有可能变成高风险。”叶素兰表示。

　　凭借着丰富的信息系统管理经验，她善于运用“风险热图”监控风险。“我们现在的常规稽核完全是风险导向的。我们每年把过去一两年发生的风险做成风险热图，通过绿橙红等标示不同风险等级的颜色，能够直观发现整个系统内哪些风险点比较高。而平安的全国运营管理中心也在实施很多非现场的监控和风险预警。”

　　为了持续改进，集团内控管理中心每年都会对一些重要的流程进行评估，检视流程有没有因为新的业务、产品而产生新的风险。目前，平安还正在实施国内首家综合金融集团全面风险管理(简称ERM)项目，覆盖投资风险等主要风险类别，结合动态风险量化工具和技术，设定相应风险预警限额，完善限额监控机制，为科学合理地建立公司风险偏好体系提供尽可能全面准确的风险动态量化分析，确保单一/累积风险低于公司可接受水平。“我们现在是并表管理，希望以后变成一个可以在后台的监控，更好地动态度量风险。”叶素兰说。

　　事实上，类似三道防线的说法在国内其他企业并不鲜见，为什么有些企业的重大风险屡屡出现？“做好内控和风险管理工作的核心，是治理架构和发挥人的作用。”集团董事长马明哲指出，只有董事会及下属专业委员会充分发挥作用，高管层高度重视自觉参与，并且守规矩去做每一件事，才能真正做好内控。

　　叶素兰透露，为了持续完善和改进内控与风险管理，中国平安目前着力打造专业高效内控管理团队和不断创新内控管理手段。创新的内控管理手段包括内部控制有效性评估、三位一体风险管控、全面风险管理、战略项目合规支持与“四新”合规评审、风险并表管理、动态风险监控与预警、专项/远程/突击/IT/任中审计、机构风险评级与管理层评价、强大的IT系统支持、红黄蓝牌处罚、内控/案件问责等11个方面。创新手段为主导，常规稽核重点转为风险导向合理化建议。

　　“公司如果不守规矩，代价就太大了。任何单位和部门一旦有重大案件发生，就可能会失去业务或机构拓展的机会或资格，从而会影响发展速度。证券部门则会评级下降，丧失推广新产品的机会。个人也一样，集团高管大约一半来自海外，包括我自己，如果事业上有任何污点，将影响我们未来的职业生涯。”她感言。

　　自上而下合规理念的渗透、传递和内化，背后彰显着强大企业文化的生命力，而“法规+1”则是践行这一文化的行动准则。在2003 年度的系统工作会上，马明哲董事长提出了“法规＋1”的概念。法规有明确规定的，坚决严格执行；法规未明确规定的，按照更高的道德自律标准确定行为规范，坚决“不打擦边球”，不钻政策空子，要保证公司的经营行为经得起任何法规、时间和道德标准的考验。换句话说，“法规＋ 1”就是要用高于法规原则的道德标准来处理事情。或许有人认为企业做到“遵纪守法”就够了，为什么还要提出“法规＋ 1”的概念，用高于法律的道德标准给企业套上“笼头”，这不是给自己“找麻烦”吗？马明哲董事长说这是“建设高道德标准企业”对我们提出的要求。