14.什么是“外规内化”？企业如何做好“外规内化”工作？

外规内化是指将外部有关合规要求转化为内部规章制度的一种行为。要求企业动态、及时更新完善企业规章制度，按照合规管理的要求，不断完善以企业章程为核心的企业制度体系。

企业根据外部法规环境变化的情况，不断修订完善企业规章制度是企业外规内化的关键环节，企业应把梳理的内外部合规要求落实在具体的规章制度中。

15.什么是合规风险识别？

企业在运营过程中对于存在的或可能发生的风险源进行分析、研判，并收集整理、辨别对应的风险事件或所有风险点，形成合规风险列表，并对风险列表加以描述、评估，以进一步对合规风险进行监测和控制的系统性活动就是风险识别活动。

企业的风险识别活动是企业合规体系建设的基础性条件，反过来说，合规管理活动主要是针对识别出来的风险点来进行控制的。

16.合规风险识别一般遵循哪些步骤？

合规风险的识别以合规义务为基础，合规风险识别、风险更新应从风险发生可能性、风险发生后果严重程度两个维度进行，通过收集梳理相关合规风险点、分析合规风险形成或产生的原因、对合规风险进行分类评估。

17.合规风险识别的工具/方法有哪些？

（1）头脑风暴法。是将一些人聚集起来，通过彼此的沟通交流、想法、建议、意见的表达等让大家的思想发生碰撞，为团队工作找出问题和机会，从而产生 1+1>2 的效果。

（2）专家调查法。会有相应的风险小组，挑选一些相关领域的专家，征求专家的意见，然后综合汇总整理再反馈给专家，再次征求意见，反复进行4～5轮，最终专家们的意见会趋于一致，达成共识。

（3）情景分析法。通过对公司内外相关问题，进行系统分析，设计出多种可能的未来情景。基于设计的场景识别关键影响因素，基于该因素可能发生的场景，进行场景内容的分析，进而发现风险可能造成的后果。

（4）核对表法。将项目范围、目标、成本、质量要求、进度、类似项目成功或失败的原因等列在一张表上，进行一一核对。这种方法可以识别到进度风险、成本风险、质量风险等。

（5）流程图法。流程图需要建立项目的全链路流程图以及各子域流程图，可涵盖项目的整体流程以及分支细节。再通过将实际情况与流程图一一对比，便可识别风险。

（6）财务报表法。通过分析三大财务报表可以识别项目中是否存在财务风险、人事风险等，这些对企业来说都是至关重要的。

（7）SWOT分析法。SWOT分析法是一种系统分析工具，通过识别企业面临的优势、劣势、机会以及成本，从多角度对公司面临的风险进行定性识别。

（8）事故树分析法。是系统安全分析中最重要的定量分析方法之一，运用逻辑推理对企业各种系统的危险点进行辨识和评价，不仅能分析出发生事故的直接原因，而且能深入地揭示事故发生的潜在原因。

18.什么是合规联席会议？

合规联席会议是指企业为充分沟通合规风险信息，由合规管理负责人负责召集和主持，并联合多部门围绕合规风险内容，通过定期会议等形式研究、协商、指导、共享、部署跨部门的合规管理各项工作的会议。

合规联席会议不是一个决策机构，而是一个沟通机构，通过定期召开联席会议的方式，将多个涉及合规的部门集中在一起，就合规管理中出现的问题进行统一协商、共同研究、征求意见、工作协调的一种机制。

合规联席会议的讨论结果，为企业合规体系的建设、完善、优化提供依据，是合规管理的重要一环。

19.如何建立合规联席会议机制？

第一，确定联席会议的参与部门及人员名单。一般来看，涉及到企业管理各个层面的部门以及相关高层领导都属于合规联席会议的成员。但是企业可以根据每次合规主题的不同，选择不同的部门与人员参与某次联席会议。

第二，明确联席会议的主要职责。由于联席会议主要是讨论、协商、参谋机构，联席会议的名称也大致表明了联席会的主要职责中没有决策。因此，联席会的主要职责应该将除决策之外的其他职责明确出来，这样参与部门与参与人员在会前都会有所准备。

第三，明确联席会议的工作规则。由于联席会议的讨论、协商与参谋特征，因此联席会议的工作规则要根据这几类功能分别确定工作规则。需要注意的是，联席会议的工作规则包括会议规则与休会规则。其中，会议规则是会议召开过程中对相关合规问题讨论、协商的基本程序与过程。休会规则是在未召开会议期间，各个参与部门与成员应该承担的相关责任。

第四，确定各部门合规工作职责范围，加强协同配合。应该说，企业不同部门在联席会议中的职责范围是不同的，业务部门、风控部门、法律部门都应该在各自合规工作范围内，确定自己在合规联席会议中的职责范围。

20.什么是合规风险应对？一般有哪些措施？

合规风险应对是指企业及各下属企业针对发现的合规风险制定风险控制预案，充分调动各相关部门要求其协同配合，采取有效控制措施，及时应对处置，最大限度化解风险、降低企业损失的行为。

合规风险应对主要有五种措施，包括：规避风险、降低风险、转移风险、接受风险、对冲风险等措施。

规避风险。是一种有意识的避免某种特定风险发生的一种决策。比如，如果一个人怕出门遇到车祸，那么就干脆不出门了。规避的风险在企业中属于重大风险，比如法律风险就如此，企业绝对不能做违法的事情。

降低风险。指采取各种措施减少风险实现的概率及经济损失的程度。这种行动可以在损失发生之前、之中和之后采取。还是举刚才那个案例，如果一个人怕出门遇到交通事故，但是又不得不出门，那么他就可以通过遵守交通规则、不闯红灯、不横穿马路等行为，降低交通事故发生的概率。

转移风险。指的是风险的承担者通过若干经济和技术手段将风险转移给他人承担。比如说企业如果认为持有一件资产存在贬值的风险，那么就会倾向于将资产卖掉。或者通过购买财产保险，以备将来发生火灾时，将风险转移给保险公司。

接受风险。指的是风险暴露者自己承担风险并以自身财产来弥补损失。这种选择可以理解为，明知道做这件事有风险，但是觉得自己可以接受这种风险，因此对这种风险的可能发生，并不采取任何应对措施。

对冲风险。指的是通过投资组合的多元化来分散投资风险。风险对冲的原则就是使整体风险最小而收益最大。