设置内控流程是风险制约防线建设重点

在汤云为看来，风险制约的一道道程序类似一张张瑞士奶酪，尽管每张都有不同的小漏洞，但重要的是环环层叠到一起不让风险漏出去。这对内控流程设置提出很高要求，实际上也是要求企业在原先的内部制约结构框架上向企业风险管理转变。
“如果没有良好的公司治理结构，内控设置的流程再多，实际效果仍然存有缺 陷。”汤云为强调。
事实上，企业风险管理的框架是由一个基础、三道防线来构架的。这个基础指的是良好的公司治理结构；三道防线分别是业务部门、风险管理职能部门及内部审计部门。
汤云为认为，企业日常业务经常面临各种风险，业务部门是企业的前线，因此必须把企业管理的手段融入到业务单位的工作和流程中，才能建立好防范风险的第一道防线。这也是内控流程层面上的重要不足。
第二道防线是风险管理职能部门。
这在过去企业中并不常见的，后来在监管部门的要求下，才有越来越多的企业开始建立风险管理委员会。汤云为说：“第二道防线在业务部门之上建立一个更高层次的风险管理功能—— —风险管理委员会，它的工作是要确保企业风险管理得到落实，并对相关工作做出持续 性监控。它的职责包括对各类业务单位的风险进行组合性管理，负责风险信息的披露，协助业务单位进行内控、预警系统管理等。”企业对第三道防线非常熟悉，即审计委员会或内部审计部。“第三道防线是我们内制约度得到执行的最重要部门，这个部门应该配备足够的人力，使其具有一定的独立性和权威性。”汤云为特别强调说。
现代企业建立风险管理系统是存活之道，而不是一种可做可不做的选择。外部环境变幻莫测，风险也随之变化，企业应该按照内控的影响程度和发生的可能性进行排序，把对风险的考虑融入到企业的内控决策流程内。
汤云为最后表示，内控的规范已经从过去狭义的内控框架向更加广义的企业全面风险演进，全面风险管理是企业内部制约发展的重要方向。