4. 合规风险应对策略

识别出合规风险之后，真正决定体系成效的是“怎么应对”。同样的风险，选择规避、降低、转移还是接受，会带来完全不同的资源投入、业务流程改造幅度和剩余风险水平。本节围绕四类策略的判断标准、控制措施的设计方法，以及如何用风险矩阵对措施排序，给出一套可直接落地的操作逻辑。

一、四类策略的本质区别与适用边界

四类策略并非按“好坏”排序，而是按“风险敞口由谁承担、承担多少”来区分。

• 规避：直接停止或退出产生风险的活动。适用于风险后果极严重（如吊销许可证、刑事责任）、发生概率虽低但不可承受，且该业务并非核心收入来源的情形。例如某企业发现某推广渠道存在商业贿赂高风险且无法有效隔离，直接终止该渠道合作。
• 降低：保留业务，但通过控制措施把发生概率或影响程度压到可接受区间。这是绝大多数合规风险的主战场，如增加审批节点、系统留痕、双人复核、定期审计。
• 转移：通过合同、保险或第三方安排，把部分风险后果转由他方承担。典型如要求经销商签署合规承诺并承担违约赔偿、购买产品责任险、将数据处理外包给具备资质的服务商并约定责任条款。需注意：转移的是经济后果，行政与刑事责任通常无法转移。
• 接受：在明确知悉风险的前提下，不追加控制措施，保留剩余风险。适用于发生概率低、影响小、控制成本高于潜在损失的情形，但必须留下书面决策记录，说明接受理由、责任人和复核周期。

判断顺序建议为：先问“能否不做”（规避），再问“能否让别人分担”（转移），再问“能否压到可接受”（降低），最后才考虑“是否值得接受”。跳过前两步直接接受，是合规体系中最常见的失误。

二、控制措施设计：从风险点到可验证动作

控制措施不能停留在“加强管理”“提高意识”这类口号上，必须落到具体动作、执行人、频率、留痕方式、验证方法五个要素。以“销售费用报销可能存在虚列套取资金”这一风险为例，可设计如下控制组合：

设计时要注意控制措施之间的互补性：预防性控制降低发生概率，检查性控制提高发现概率，纠正性控制压缩影响。只做预防不做检查，一旦预防失效就无人察觉；只做检查不做预防，则问题反复发生。

三、优先级排序：用风险矩阵把资源用在刀刃上

合规资源永远有限，排序的核心依据是风险值 = 发生概率 × 影响程度。建议采用5×5矩阵：概率与影响各分5级，风险值1～25。通常将风险值≥15列为高优先级，8～14为中优先级，≤7为低优先级。

排序时还需叠加两个修正因子：一是监管关注度，即使风险值中等，若属于当前执法重点（如医药领域的带金销售、数据出境），应上调优先级；二是控制措施落地难度，同等风险值下，先做见效快、阻力小的措施，快速形成合规成果，再攻坚系统性难题。

四、策略选择与措施排序的联动视图

下图把“风险值定位—策略选择—控制措施—剩余风险”串成一条判断链，帮助在具体场景中快速定位该走哪条路径。

五、落地要点与常见误区

第一，策略选择要有书面依据。无论是规避还是接受，都应在风险登记表中记录判断理由、决策人和日期，避免事后无法解释。第二，转移不等于免责。与第三方签订合规条款后，仍需对其履约情况进行监督，否则监管机构仍会追究本企业责任。第三，优先级不是一次性结论。监管政策、业务规模、技术条件变化后，原本次优先的风险可能上升，建议每季度复核一次风险矩阵。第四，控制措施要可验证。如果一项措施无法回答“谁在什么时候做了什么、留下什么记录、如何抽查”，它就不算真正的控制措施，只是意愿表达。