穿透式监管下，五职能不能“各管一段”：国企合规要重做三道防线
——从合规、内控、风险、法务、审计协同看治理责任如何落到末端
导语
国务院国资委最新穿透式监管部署强调智能化监管、重点领域穿透和监管闭环。对国有企业而言，监管不只要求集团看清股权层级、资金流向和项目进度，也要求企业能够回答：风险出现时，哪个岗位先发现，哪个专业部门提出意见，谁可以接受风险，谁有权叫停，整改是否经独立验证。
现实中，不少企业已分别设立合规、内控、风险、法务、审计职能，却仍会出现同一项目多头会签、关键问题无人拍板、审计整改反复发生等情况。根源通常不在部门数量，而在职责保留、专业判断和升级机制没有被写进同一条业务链。穿透式监管越深入，这类“有部门、无接口”的问题越容易暴露。
核心判断是：五职能协同不是把合规、内控、风险、法务、审计合并成一个大部门，而是在合规委员会和经营管理层统一治理下，保留各自专业判断，并依托三道防线把责任压到业务、监测和独立评价三个层面。合规清单、风险清单和内控清单必须连接同一事项，而不能成为三套互不相认的台账。
01 先把五个职能分开，协同才不会变成“谁都负责”
合规的核心是识别外部规则和内部制度要求，推动经营与员工履职依法合规；内控关注流程设计是否覆盖关键风险、控制措施是否执行；风险管理关注风险偏好、识别评估、监测预警与应对；法务提供法律支持、合同与争议管理；内部审计则独立评价治理、风险管理和内部控制的有效性。
这五项工作可以共用数据和底稿，但不能互相替代。法务审核合同合法性，并不等于认定项目商业风险可接受；风险部门给出风险等级，也不能替代合规部门对监管红线的判断；内控测试发现流程失效，不应直接取代审计的独立结论；审计提出问题，更不应代替业务部门执行整改。专业定位越清楚，穿透时责任越不容易虚化。
02 合规委员会与首席合规官：负责定规则、抓重大、促升级
合规委员会应承担重大合规事项的统筹职责：审议合规管理基本制度和年度重点，研究重大风险、重大违规事件和跨部门争议，推动重大整改与资源配置。它不是日常审批的替代者，也不应把所有问题上收会议，而应聚焦高风险、高影响和需要协调的事项。
首席合规官宜承担合规体系建设、重大合规事项统筹、合规报告和跨部门协调职责，并与总法律顾问建立紧密接口。总法律顾问应保留法律专业判断、重大合同法律审查、法律纠纷和外部律师管理等职责。二者可以由同一负责人兼任，也可以分别设置；关键不是名称，而是重大事项能否同时获得法律可行性与合规可接受性的独立意见。
03 合规及法务部门：把规则翻译成业务能执行的要求
合规及法务部门的价值不在于增加签字环节，而在于把法律法规、监管要求、国资规则和公司制度转化为项目、合同、采购、融资、数据和人员管理中的具体条件。对于重大投资、境外经营、关联交易、招标采购、融资担保和生态安全等领域，应形成专项合规指南，明确触发情形、材料清单、审查重点和例外处理。
合规审查应区分“禁止”“须纠正后推进”“风险可接受但须授权”三类结论。禁止事项不得以经营压力或口头指示绕过；可以纠正的事项要明确整改条件；对确有商业必要且剩余风险可接受的事项，应进入有权层级的风险接受程序。否则，合规意见很容易在项目临近签约时被简化为“已沟通”。
04 业务部门是第一道防线：主体责任不能外包给专业部门
第一道防线始终是业务部门及项目负责人。谁发起投资、签署合同、组织采购、申请付款，谁就应对商业真实性、资料完整性、流程合规和风险报告承担首要责任。业务部门不能把“已经法务审核、已经合规会签”理解为自身责任转移。
在穿透式监管下，业务责任要进一步落到末级场景。项目经理应说明工程变更的业务原因和工程量依据；采购人员应说明供应商选择、价格比较和履约验收；融资人员应说明资金用途、增信安排和偿债来源。专业部门的职责是提出规则、提示风险和监督执行，不能替业务部门补造事实或承担经营判断。
05 第二道防线：合规、内控、风险要“专业分工、共同监测”
第二道防线由合规、内控和风险等专业职能构成。协同的前提是保留分工：合规关注规则红线和行为边界，内控关注流程与控制缺口，风险关注风险偏好和风险暴露。三者应对同一事项建立共同索引，而不是分别向业务部门索取三遍材料。
可以建立“三类清单”衔接机制。合规清单列明适用规则、禁止事项、审批条件和报告义务；风险清单列明风险事件、指标、阈值、情景与责任人；内控清单列明关键流程、控制点、证据和测试频率。重大项目、交易或异常资金一旦触发其中一项，就应自动关联其余两项，并把结论推送至相应审批与监测环节。
06 第三道防线：内部审计必须独立评价，而不是整改代办
内部审计是第三道防线，应独立评价公司治理、风险管理、内部控制与合规管理的设计和运行有效性。审计可以查阅前两道防线的底稿、参加必要会议、提出整改建议，但不应替业务部门设计补救方案，也不应替合规或风控部门对风险作日常决策。
审计最重要的价值在于验证“说了是否做到”。对重大整改，内部审计应回看问题是否真正消除：制度是否只是新增条文，还是已落实到系统权限、合同模板、付款条件和现场作业；风险是否只是从报表上消失，还是资金、资产和责任链已经调整。独立验证能够防止整改沦为一次性的材料闭环。
07 三道防线要有共同的升级机制，避免意见被沉没
跨部门分歧不可避免，关键是不能把分歧留在邮件里。对重大事项，应建立“意见保留—风险接受—升级决策”机制：业务部门提出经营必要性和替代方案；合规、法务、风控、内控分别记录专业意见和保留事项；如果仍拟推进，应由具有相应权限的决策主体书面接受剩余风险，并明确补救条件、期限和责任人。
风险接受不是对违规的豁免。法律法规明确禁止、国资监管红线、重大安全环保风险以及无法补足的事实瑕疵，不应进入风险接受程序。可接受的只能是经充分披露、已有缓释措施且在授权范围内的商业剩余风险。超出权限、影响重大或意见冲突长期不能解决的事项，应升级至合规委员会、董事会或有权出资人代表审议。
08 把事件管理做成闭环：报告、处置、整改、复盘、追责
合规事件管理不应只在已经发生损失后启动。重大预警、监管问询、重大诉讼、异常资金、重大投诉和审计发现，都应按规则进入报告链。报告内容至少包括事实、影响范围、涉及主体、初步原因、已采取措施和需决策事项，避免只报“已知悉、正核查”。
处置后要完成五步闭环：第一，控制损失和保全证据；第二，查明业务、资金、合同和责任事实；第三，明确整改措施并落实资源；第四，由独立部门验证整改效果；第五，复盘制度、流程、系统和人员责任。责任追究应以事实、权限、履职记录和损失后果为基础，既不能以部门协同为由稀释个人责任，也不能用结果倒推替代程序与证据。
风险提示与实施建议
合规委员会、首席合规官、总法律顾问、合规及法务部门、业务部门的具体设置，应以公司章程、治理结构、监管要求、人员规模和业务复杂度为准。本文所述“五职能协同”“三道防线”“三类清单”是企业治理建议，不是所有企业必须采用的同名机构或固定表单。内部审计的独立性、风险接受的授权层级、重大事项的升级路径，应由企业制度明确并保持可审计。
建议国有企业立即完成三项检查：一是选择一项重大项目，对五职能是否分别出具专业意见、业务部门是否承担主体责任进行回溯；二是将合规、风险、内控三类清单映射到同一项目和合同编码，清理重复填报与口径冲突；三是建立意见保留、风险接受、暂停推进和升级决策的标准流程。凡职能边界不清、风险接受未经授权、审计整改无人验证的事项，应暂缓作为“已闭环”销号。
结语
穿透式监管越深入，越不能依赖单一部门“兜底”。真正有效的体系，是业务部门对事实和经营负责，第二道防线对规则与风险负责，内部审计对独立评价负责，治理层对重大风险接受和资源配置负责。
五职能协同的终点不是形成更复杂的会签链，而是让每个重大事项都经得起四个追问：谁发起、谁审查、谁决定、谁验证。把这四个问题与三道防线和整改复盘接起来，国企合规才能既穿透风险，也守住经营活力。
本文仅供政策研究和行业交流，不构成投资、融资或法律建议
参考资料来源
1. 国务院国资委，《国务院国资委召开穿透式监管工作会议》，2026年7月2日。
2. 国务院国资委，《中央企业合规管理办法》，2022年8月23日。
3. 国务院国资委，《中央企业合规管理指引（试行）》，2018年11月9日。
4. 国务院国资委，《中央企业违规经营投资责任追究实施办法》，2025年12月。
5. 审计署，《关于内部审计工作的规定》，2018年1月11日。
附：如果希望系统学习穿透式监管、五职能协同、重点业务风险穿透以及审计整改等实务内容，可进一步了解相关专题培训：2026—2027年：国有企业穿透式监管与合规内控风控法务审计专题活动
