风险管理委员会和审计委员会的区别

很多公司在搭治理架构时会卡在同一个问题上：风险管理委员会和审计委员会到底该谁管什么？两个名字看着都像管风险的，实际职责、成员构成、开会节奏和向谁汇报都不一样。这篇不谈法条理论，只给一套可以照着比对的判断方法，帮你在章程里把边界划清楚，避免两个委员会抢活或互相推诿。

公司搭治理架构时经常卡在同一个问题上：风险管理委员会和审计委员会到底谁管什么。两个名字看着都像管风险的，实际职责、成员构成、开会节奏和向谁汇报都不一样。名字相近不代表可以合并，合并了反而容易出问题。

这篇不谈法条理论，只给一套可以照着比对的判断方法。你在写章程、定议事规则、或者排年度会议计划的时候，拿这套标准对一遍，就能把边界划清楚，避免两个委员会抢活或者互相推诿。

先看清两个委员会各自的定位

最直观的区分是时间方向。风险管理委员会偏向前看，管的是还没发生或者正在发生的风险敞口，动作是识别、评估、定应对策略。审计委员会偏向后看，审的是已经发生的事，看流程有没有被遵守、账实是否相符、内控是不是真的在跑。

两者不是上下级，而是平行的两条线。输出物一个是风险应对方案，一个是审计发现与整改意见。输出物不同，意味着开会时讨论的语言、要的材料、要请的人都不一样。混在一起开，往往前半小时在聊风险，后半小时在追旧账，两边都没结论。

成员构成和汇报线怎么分

成员构成的差异来自目的不同。审计委员会的独立性要求更高，通常要求独立董事或者外部专家占一定比例，目的是保证对管理层的独立监督。风险管理委员会的成员多是业务、财务、法务等职能负责人，强调的是对实际经营的把控，要能拍板、能调动资源。

汇报线上，审计委员会一般直接向董事会汇报；风险管理委员会可以视公司规模向董事会或者总经理办公会汇报。小公司别硬套大公司的架构。如果公司只有几十人，可以把两个委员会的成员高度重叠，但会议记录和议题必须分开留档，否则日后追责说不清谁在什么场合说了什么。

• 审计委员会成员：优先保证独立性，外部或非执行成员要有话语权
• 风险管理委员会成员：优先保证执行力，业务口负责人要在场
• 主席人选：尽量别同一个人兼任，兼任了要在章程里写清独立性怎么补
• 会议记录：两个委员会分开留档，议题、出席人、结论分别记录
• 汇报路径：在章程或议事规则里画清楚，别靠口头约定

想看看行业内公开的治理结构样本做对照，可以到站内指南中心翻相关条目，那里按公司规模和行业做了归类，比翻一堆年报省事。

最容易打架的三块重叠区

第一块是内控有效性评价。风险管理委员会负责建体系，审计委员会负责评效果。最怕的是同一批人既建又评，自己评自己，独立性就没了。判断标准很简单：建体系的人和评效果的人，名单上是不是有重叠，重叠了多少。

第二块是重大风险事件。风险管理委员会主导应对，审计委员会事后复盘是否有制度漏洞。顺序不能反，也不能同时进行，否则复盘会变成追责会，现场没人敢说真话。第三块是整改跟踪。谁下的整改单谁跟踪闭环，不要两个委员会同时发整改通知给同一个部门，那部门会不知道该听谁的。

1. 列重叠清单把两个委员会当前职责逐条写出来，标出重合的条目
2. 定主责方每条重叠事项只定一个主责委员会，另一个只做知会或复核
3. 改章程把主责归属写进章程或议事规则，别停在会议纪要里
4. 验证一轮下一季度按新分工跑一次，看有没有出现两个委员会同时要材料的情况

边界不清的委员会，开一次会等于吵一次架，开两次会等于没人再来。

落地自查：五个问题对一遍

搭完架构别急着宣布完成，拿下面五个问题自查一遍。每个问题都要能给出明确答案，答不上来的，说明边界还有模糊地带。适合用这套自查的公司是有一定规模、开始做正规内控的；如果公司还在早期、委员会本身就形同虚设，先别急着分家，先把会议机制跑起来更重要。

• 章程里有没有分别写清两个委员会的职责清单，而不是笼统写「负责风险管理相关事项」
• 会议记录里有没有区分「风险识别与应对」和「审计发现与整改」两类议题
• 两个委员会的主席是不是同一个人，如果是，独立性怎么补
• 整改事项的销项由谁确认，有没有明确到具体岗位而不是某个部门
• 每年有没有做一次职责边界复盘，业务变了委员会分工要不要跟着调

想拿同行的做法做参照，可以到站内工具目录看治理与合规相关的条目，结合自己公司的规模挑几个对标的样本，比空想靠谱。具体公司的治理结构和委员会设置，以公开披露文件为准，到站内资料库对应页面核对当时的版本。