作者：宫迅伟
出版社：机械工业出版社
格式: AZW3, DOCX, EPUB, MOBI, PDF, TXT
采购全流程风险控制与合规试读：
采购全流程风险控制与合规宫迅伟 等著ISBN：978-7-111-64175-9
本书纸版由机械工业出版社于2020年出版，电子版由华章分社（北京华章图文信息有限公司，北京奥维博世图书发行有限公司）全球范围内制作与发行。
版权所有，侵权必究
客服热线：+ 86-10-68995265
客服信箱：service@bbbvip.com
官方网址：www.hzmedia.com.cn
新浪微博 @华章数媒
微信公众号 华章电子书（微信号：hzebook）导图 供应安全是前提 合同合规是保障
PRC“1+4+7”，提供一套全流程、全方位、全员的采购风险控制与合规方法论序言 PRC1+4+7，采购全流程风险控制与合规
我的第一本书《如何专业做采购》，自2015年出版以来，已印刷12次，2018年7月24日CCTV2的《第一时间》栏目专门做过推荐，这本书常年在京东、当当等网站位居畅销书榜单，很多公司的采购人员人手一册，有的大学更是将其作为辅助教材。一本采购书，为何如此受欢迎？我想，就是因为“专业”二字。
采购需要专业吗？这在以前需要画个问号，有人认为采购就是花钱买东西，还有人认为采购是个“肥差”。随着经济从高速到高质量发展、众多实践者的努力和专业讲师与咨询师等专家学者的推广传播，人们已经逐渐意识到，采购必须专业也必然专业。
中国采购商学院愿意成为其中的一分子，使命定位就是“推动中国采购专业化”，目标定位是世界第三。或许大家很好奇，你是第三，那谁是第一和第二？第一是专业的未来，第二是优秀的同行。我们向一切优秀的同行学习，学习同行优秀的一切，我们要对未来保持敬畏，对专业保持谦卑，这是我们的价值观。
欧美有专业的采购经理人认证培训，大学里也开设采购专业课程，国内的一些领先企业也开始投入预算开展采购培训、采购咨询。制造业是国民经济的主体，是立国之本。回顾历史，管理理论往往诞生在制造业、制造大国。毫无疑问，中国应该有人总结实践、萃取经验，搭建一套中国自己的采购知识体系，创作出专业权威的采购书籍，很多同行在为此努力着。《如何专业做采购》这本书，把采购的专业能力概括为四大核心能力，即专业的采购人必须有能力回答四个问题：（1）为什么选择这家供应商？（2）为什么是这个价格？（3）如何控制合同风险与合规？（4）如何进行一场双赢的谈判？
这四个问题，每个采购人每天都在面对，每位领导、每次审计都在询问，它写出了采购人的痛点。
回答这四个问题，必须具备四大核心能力，即：（1）供应商关系管理与选择评估。（2）成本分析与价格控制。（3）合同风险与合规管理。（4）双赢谈判技巧。
取其英文核心内涵概括为SCAN：
·供应商管理（supplier management）。
·成本管理（cost management）。
·合同协议管理（agreement management）。
·谈判技巧（negotiation skills）。
这本书广受欢迎，是一本专业的畅销书，但如果想进一步提升其权威性，要有自成体系的理论架构，还要有更深度的理论阐释和创新。于是我想，是不是把这四大核心能力分别写一本书，形成一个系列，变成更具权威的书呢？很多读者也提过这样的建议，于是我起心动念决定把它写出来，供大家参考。
我给这套书做了这样的定位，描绘了这样一幅画像：系统全面、结构清晰、表达有力。
系统全面。希望它能涵盖市面上的各种权威论断，涵盖采购业务的方方面面，让大家“一册在手，全部拥有”，节省大家的时间。为了突出“全”，我斗胆在每本书的书名里都加了一个“全”字。希望它能兼收并蓄，博采众家之长，站在巨人的肩膀上，在此要感谢一切同行，尤其是写过书的同行。
结构清晰。希望它有一个好的逻辑架构。判断一本书的好坏，我特别喜欢看它的架构，就像看一套房子，特别喜欢看它的户型。如果缺少逻辑架构，只是简单的文字堆砌，那它就是一本杂记、一本文集，不能作为权威著作。
表达有力。希望它文笔流畅，可读性强，有读者才有影响力，不能变成一本死板的教科书，要让大家读起来轻轻松松，在不知不觉中掌握采购知识。
要完成立意这么高的一套书，我自己的时间有限、水平也有限。于是我组织宫采道弟子，大家一起来打造这套书。他们都是在岗的优秀职业经理人，都是各自领域的专家，我们利用元旦、五一、中秋、国庆等假期数次在一起研讨，历时一年多，反复打磨，最终打造出这样一套书。
这套书由M1到M4，一共四本，即四个模块：
M1：《供应商全生命周期管理》
M2：《全面采购成本控制》
M3：《采购全流程风险控制与合规》
M4：《全情景采购谈判技巧》
期待这四本书与《如何专业做采购》，以及之后出版的《全方位采购领导力》组成一个整体，作为“三步打造采购专家”晋阶培训的配套教材，助力采购人“由行家变大家”。
读者拿在手上的这本书是M3，即《采购全流程风险控制与合规》。
在采购过程中可能会出现各种意外情况，包括人为原因、经济原因和自然原因。什么叫风险？就是影响目标达成的各种意外情况，也就是不确定性。从采购申请到验货付款、完成合同，全过程都充满各种不确定性，可能是供应商断货、交货不符合约定、价格异常，可能是采购的过程、采购的物品、供应商违法违规，也可能是其他失误、不诚实、不道德的行为，这些都严重影响采购目标的达成。正所谓“采购有风险，处处需谨慎”。毫无疑问，采购需要对这些风险进行管控，确保目标达成和合规。在采购全流程的所有工作中，供应安全是前提，合同合规是保障。这是内控的重点，更是审计的重点对象。
采购风险很多，有公司内部的运营风险，还涉及外部宏观环境和法律法规，更有众多管理标准。对各种采购风险，我们萃取出四个关键词——风险、合同、合规、招投标，它们构成了本书的核心内容。
用什么方法搭建本书的架构呢？我们想到了中国古人的智慧。“天地合而万物生，阴阳接而变化起，性伪合而天下治。”这句话出自《荀子·礼论》，意思是：天地和谐，万物才能生长；阴阳相接，世界才能变化；人的天性和后天的礼义结合，天下才能得到治理。对，就用“天地合”构建本书基础架构。从“天地合”衍生出一套PRC“1+4+7”全流程、全方位、全员的采购风险控制与合规的方法论。PRC是采购风险与合规（procurement risk and compliance）的简写。1是指一种文化，这是“天”；4是指OPPT四个保障，这是“地”；7是指七条主线，构成“合”。
这套方法论，是我们最为自豪的地方，是我们撰写本书最大的收获。
本书在中国机械工程学会指导下，由宫迅伟主导，宫采道弟子刘婷婷、王维执笔，尹汉斌、罗宏勇、李斌、汪浩参与讨论。参与讨论的还有合规专家Evelyn Lu、可持续发展专家Tommy Tang。最后由刘婷婷统稿，她对本书做出了非常大的贡献。
本书力求倾尽作者所能，让CEO、COO、CFO、CPO等高级管理者，让广大采购从业者乃至初学者，让咨询师、培训师、教师乃至其他一切对采购管理感兴趣的人，都可以轻松理解，快速掌握，拿来就用。
当然，限于时间和水平，本书一定有很多不足，还望读者包涵，请专家学者指正。
如有任何问题，请联系gongxunwei@cipm-china.com。
本书已被纳入中国机械工程学会培训教材系列。宫迅伟宫老师
帅大叔，低调，经历丰富。脑子里干货满满，心里有许多故事，随便掉一个出来都是天然段子。重实战，擅长深入浅出地把枯燥的知识用活泼的形式呈现出来。业余时间喜欢和太太一起旅游，尤其喜欢爬山，是爱妻号好男人。学霸
双子座，男生，高冷，爱读书、爱做笔记、爱总结，时不时掉个书袋。虽然掉书袋的时候让人觉得有点烦，但是很大方，总是把自己的笔记无私地分享给大家，人缘很不错。小师妹
双鱼座，女生，爱八卦、爱零食、爱逛街、爱插嘴，大大咧咧、没心没肺、偶尔犯个小迷糊，有时候伶牙俐齿，是无可救药的乐天派，是全班的开心果。第一部分 天：一种文化，风险控制与合规创造价值
供应安全是前提，合同合规是保障。
以文化为核心，以风险和合规管理体系为抓手，开启采购风控与合规之路。第一章 采购风险管理：从被动防御到主动控制学习目标
1.理解供应链的脆弱性与供应中断带来的影响
2.了解采购风险的七个重要领域
3.了解采购合规管理的趋势及其重要性
4.了解PRC“1+4+7”管理框架的内容一、交付是第一要务：管理供应中断风险
21世纪以来，世界发生了巨大的变化，新的机遇与挑战层出不穷。经济一体化、全球化进程不断加速，国际贸易和资本迅速扩张，推动了全球供应链的高速发展。现代企业与企业之间的竞争，甚至是国与国之间的竞争，已经演变成供应链与供应链、产业链与产业链之间的竞争。可以说，21世纪本质上是一场供应链的角力。
在供应链的世界里，没有谁可以单枪匹马，唯有连接才可以制胜。很多世界一流的企业通过出色的全球供应链运营，不仅得到了丰厚的利润回报，还获取了领先的技术优势。例如，苹果公司的成功，很大一部分原因取决于其强大的供应链体系：来自全球100多个国家的零部件被运送到苹果公司的各个工厂里，经过组装之后再无缝连接地销往世界各地。苹果公司也因此曾在Gartner的全球供应链25强榜单上连续8年蝉联榜首。
然而，当企业在享受全球化带来的巨大好处时，供应链似乎变得比以往任何时候都更加脆弱不堪。跨越不同国家和地区的全球供应链，可能会因为来自几千公里以外的地震、一次突然的恐怖袭击或一项法规的发布而无法运转。美国海关与边境保护局在《2020年愿景和战略》中29次提到全球供应链，将加强全球供应链安全列为主要目标，并且指出，全球供应链相互关联的性质意味着任何中断都可能在数千里之外产生重大影响。
让我们来看看一组案例：
·2001年，“9·11”事件发生后，由于发动机和动力传动系统无法从加拿大运到美国，福特公司的五家北美工厂被迫停产，通用汽车公司约1万辆汽车和卡车的生产被推迟。
·2003年，美国新墨西哥州飞利浦公司第22号芯片厂发生火灾，采用单一供应商的爱立信因芯片的断供，损失了4亿美元的销售额。
·2010年，冰岛火山爆发，对航运和陆运的正常运营造成了严重影响，导致宝马被迫停止部分生产。
·2011年，日本受到地震和海啸的双重冲击，由于国内供应源不足，日本一些汽车制造商不得不关闭海外的生产基地，使得整个汽车供应链遭受了巨大的损失。
·2017年，因为博世零件的供应问题，导致宝马在德国、中国和南非等地的工厂停产。
·2018年，福特汽车的一家零部件供应商Meridian在美国密歇根州的工厂发生火灾，直接导致福特三家公司工厂停产，约3400名工人暂时停工。
类似的事件似乎每天都在上演，采购人可以闭目思考下，你的公司是否可能会面临这些风险？当然，你可能会说，这些事情不一定会发生。什么叫风险？“风险就是不确定性，对公司经营目标有影响的不确定性”，这是ISO31000《风险管理指南》对风险的解释。“风险”是不一定会发生的事情，一定会发生的事情不是风险。
供应链不仅面临越来越多的天灾人祸，而且贸易保护主义、地缘政治等因素使得供应中断的风险进一步加大（见图1-1）。不断升级的中美贸易争端可能会推动全球供应链、产业链发生新的重组。图1-1 2025年供应中断风险加剧
资料来源：“采购2025”主题演讲。
此外，根据麦肯锡全球研究院的预测：到2030年，世界对能源的需求量将增加70%，食品需求将翻番。这意味着未来采购对资源的抢夺会愈演愈烈，原材料的短缺日益凸显。
更严格的法律法规将让污染环境者付出更大代价。考试变严格了，学习差的考生便会被淘汰，一些工厂不得不关门。
在供应中断面前，很多采购与供应链的管理者似乎显得无能为力。中断带来的影响远比原材料涨价带来的影响大。据美国佐治亚理工学院的一项研究表明：当一家公司宣布由于生产或供货延迟导致供应链中断之后，这家公司的股票通常在当天就会下跌8.62%，如果这一情况一直延续，那么这家公司的市值在半年内会下降20%；如果不能以较快的速度恢复，并且恢复至健康的运营水平，那么很有可能会改变企业的命运和产业链的竞争格局。
根据德勤咨询2018年全球CPO调研报告，位居采购战略前三位的分别是：成本节约、新产品/市场开发和风险管理。过去，很多企业的采购领导把关注的焦点都放在降低成本上。如今，采购不得不面对一个事实：保证供应安全是采购的前提，在此基础上才能开展降低成本等工作。（一）要精益还是要韧性
过去很长一段时间，精益供应链（lean SCM）的管理思想非常流行，它强调消除浪费或非增值活动，保证成本最小化。然而，当采购、生产、运输等某个环节过于精益时，供应链的脆弱开始暴露出来，绩效出现偏离，供应中断，甚至发生灾难。
2011年的日本地震，造成福岛核电站严重泄漏，很多工厂因为关键零部件的短缺而停产。在中断后的恢复阶段，丰田的生产恢复慢于同行，很大原因来自丰田的精益模式，好在丰田不只有精益，还有持续改善的基因。从此，丰田把提升供应链的弹性作为一项重要策略，其要点在于两个方面：第一是加强对二级供应商和三级供应商的管理；第二是对供应商的库存和相互备份关系进行改善，以保证出现异常的时候，用最小的代价保证供应的连续性。
因此，企业需要在精益和安全之间进行权衡，在风险控制与成本效益之间进行平衡，以可持续的方式来创造价值。（二）供应链安全被升级为“国家战略”
2012年，美国时任总统奥巴马签发了《全球供应链安全国家战略》，将供应链安全上升到国家战略的高度，其核心是要保证其所建立的全球供应链体系是“稳定、安全、高效、有弹性”的。
近年来，供应链在我国也受到了高度重视：
·2016年《政府工作报告》中首次提出要“重塑产业链、供应链、价值链”。
·2017年8月，商务部办公厅、财政部办公厅联合发布《关于开展供应链体系建设工作的通知》。
·2017年10月13日，国务院办公厅发布的《关于积极推进供应链创新与应用的指导意见》提出：提高全球供应链安全水平，鼓励企业建立重要资源和产品全球供应链风险预警系统，利用两个市场两种资源，提高全球供应链风险管理水平。制订和实施国家供应链安全计划，建立全球供应链风险预警评价指标体系，完善全球供应链风险预警机制，提升全球供应链风险防控能力。
可见，提升供应链的安全已经被大国升级为“国家战略”。随着世界格局不断调整，供应链的韧性与安全性从未像现在这样显得如此重要。
对于企业来说，供应链的安全关系着其生死存亡，风险管理能力已经成为领导者与跟随者的关键区别因素。企业的管理者不得不去思考，如何提升供应链的弹性与韧性，如何以比竞争对手更好的态势来应对不断变化的风险，如何从危机中快速恢复过来。（三）灰犀牛与黑天鹅：控制颠覆性的供应风险
米歇尔·渥克在《灰犀牛：如何应对大概率危机》一书中描述：灰犀牛体型笨重、反应迟缓，你看见它在远处，毫不在意，可一旦它向你狂奔而来，定会让你猝不及防，把你直接扑倒在地，它并不神秘，却更危险。“灰犀牛”事件的特点是：大概率、大冲击。
与之相对的另外一类风险是“黑天鹅”。纳西姆·尼古拉斯·塔勒布在《黑天鹅》一书中描述了“黑天鹅”事件的几个特征：小概率、大冲击、不可预测。
不管是“灰犀牛”还是“黑天鹅”，都有一个共同的特征，就是一旦发生，冲击力非常大，往往会造成颠覆性的影响。最近几年，这两个概念不仅在学术界被广泛提及，也引起了国家层面的重视。
2019年1月21日，习近平总书记在省部级主要领导干部“坚持底线思维着力防范化解重大风险专题”研讨班开班式上发表重要讲话，就防范化解政治、意识形态、经济、科技、社会、外部环境、党的建设等领域重大风险做出深刻分析，提出明确要求：既要高度警惕“黑天鹅”事件，也要防范“灰犀牛”事件；既要有防范风险的先手，也要有应对和化解风险挑战的高招；既要打好防范和抵御风险的有准备之战，也要打好化险为夷、转危为机的战略主动战。
大量的企业太热衷于鸡毛蒜皮的小事，例如为了控制所谓的“采购腐败”风险，不断地增加流程的控制节点，最终却变成了流程的奴隶。真正决定成败的往往是那些具有重大影响的风险，而采购需要有所预判与准备。比“我不知道我知道的”更可怕的是“我不知道我所不知道的”，也许中断这头灰犀牛正向你扑面而来，而比这更可怕的是，黑天鹅正在悄然靠近，而你却浑然不知它会是什么。
然而，风险的本质是不确定性，这种不确定性可能给企业带来损失，也可能意味着机遇。诺基亚从飞利浦火灾事件中获益、戴尔从1999年的台湾地震中获益、联邦快递从UPS的罢工中获益。很多“灰犀牛”式的风险并非毫无征兆。假如你的关键供应商开始拖欠工资，交付出现大范围延迟，并且对客户需求的反应变得迟钝了，从这些迹象中，你是否能洞察出可能的财务危机？
采购管理者要从被动防御风险转变为主动管理风险的价值创造者。我们要做的是：不要忽视风险，尤其是对于大概率的风险，发现它、正视它，并制订好计划来掌控它。万一不幸被风险击中，也能立马重整旗鼓。正如尼采所言：“那些杀不死你的，终将使你更强大。”二、采购处处有风险，不知不觉“出事了”【引入案例】采购腐败不等于采购人员腐败
很多企业老总都认为“采购是黑洞，是高危岗位”，并且把这句话常挂在嘴边，动不动就“敲打敲打”采购人员，让这些做采购人员心里很不舒服。
无锡一家企业请我去培训，我问培训什么内容，他们说：“如何预防采购腐败？”
我开玩笑说：“是讲如何预防采购腐败，还是讲如何腐败呢？”
对方人事主管困惑地问我：“宫老师，您是什么意思？”
我说：“这两个我都会！”对方大笑。
河北一家企业邀请我去讲课，该企业是上市公司，年销售额100多亿元，课前老板亲自打电话给我，千叮咛万嘱咐，要我讲讲采购人员的职业操守。
开课致辞时，这位老总一半以上的内容，都是叮嘱采购人员对企业要忠诚。
其实我经历这些事情已经不是一次两次了，经常有老总问我这个问题。
在此我先讲一件我遇到的真实事情：当时我们企业正在搞流程再造，所有采购业务归并到采购部，也是一种集中采购，于是纪委书记找到我，警示道：“采购是黑洞……”
我问：“为什么说采购是黑洞呢？！”
她说：“现在把所有采购业务都归到采购部，我作为纪委书记，想找你谈一下，提点要求，敲敲警钟。”
我回答说：“其实所有部门都是黑洞……”
我说：“仓库不是黑洞吗？”
她问：“仓库怎么是黑洞呢？”
我说：“一个车企老总和我讲，每月库存盘点都亏空几百万元，后来门卫发现了问题，供应商送货一车，只卸货半车，拉走半车，与仓库管理员合伙把它卖给路边维修点。”
我工作过的公司也出现过这种仓库与供应商内外勾结现象，准确地说是供应商送货司机与仓库保管员内外勾结。
我说：“质量部门不是黑洞吗？”
纪委书记说：“那怎么可能，我们都是选择非常认真的人负责质量。”
我说：“一次质量部门给我电话，说供应商质量有问题。我马上打电话给供应商，供应商说不可能，我说质量部门刚给我打过电话。他说你先把电话放下。10分钟后，供应商说质量没问题，我说不可能，他说不信你问问。我再问，就没问题了。这10分钟到底发生了什么？！”
我说：“销售不是黑洞吗？”
纪委书记说：“销售跟采购怎么有关系？”
我说：“供应商来公司，不找采购，不找开发，而是直接找销售，让销售将客户要求直接写进与客户的技术协议里去，变成客户指定。”
我又说：“财务不是黑洞吗？”
纪委书记说：“财务怎么会是黑洞？”
我说：“供应商找采购要钱，采购只好去找财务，财务回答没钱。采购人不敢再问，因为问多了，财务就会说，你们采购怎么总是替供应商要钱呢（这句话对采购最具杀伤力），并且很可能把这句话说给老总，老总听后通常会很生气。所以，采购只好把情况说给供应商。但为什么过了周六、周日，到周一就有钱了呢！”
纪委书记：“照你这样说法，到处都是黑洞了？！”
我说：“对呀，所以才需要书记！”
书记大悦！（那个表情我一辈子忘不了，哈哈。）
很多亲身经历告诉我，只要管理不好，处处是黑洞！
曾听到几个采购人员跟我讲：“领导总是说采购是黑洞，我不黑，人家也不信，还不如黑了呢。”
一家企业的人事部门搞定岗定编，人事部问老总：“采购的岗定几级呀？”老总说：“采购不需要定那么高的岗，因为他们不靠工资。”
采购人员听说后，心里特别郁闷，想向老总解释，但估计很难说通，最后大家心里想：“还是按老总的意见办吧——不靠工资。”心理学中的“暗示效应”在这里得到了充分体现。
其实，采购的流程设计、权责分工是关键，如果没有流程保证，所有部门都是黑洞！
总结起来就是，组织保证、流程保证、人员保证！现在应该再加一项，就是“系统保证”，用IT信息系统保证。组织（organization）、流程（process）、人员（people）、技术/工具（tool），我把这四项第一个英文字母集合，总结为OPPT，人员只是其中之一。
采购处处是黑洞，这印证了ISO31000《风险管理指南》引言中的描述：“组织的一切活动都涉及风险。”
浩瀚宇宙中的黑洞极难捕捉，但是采购的风险黑洞处处可见。从采购战略到采购运营，从采购需求到采购付款，从采购合规、可持续到供应链安全，无处不蕴藏着风险。所谓“采购处处有风险，小心别入坑”，还真不是危言耸听。（一）采购战略风险
随着采购职能从“辅助支持”转变为“战略决策”，采购战略成为很多管理者首先需要考虑的问题。一个好的采购战略，要建立在充分的环境分析和风险评估的基础上，并且能有效支撑企业的愿景和战略。如果采购的领导者在制定战略时没有将风险考虑进去，或者说没有将风险管理作为战略的一部分，那么就可能会导致方向性错误。方向错了，后面的一切努力都是枉然。为什么很多采购的工作都是在忙于救火？问题很有可能出现在战略上：
·你的外包战略，有可能导致核心能力丧失的风险。
·你的单一来源采购战略，有可能因核心部件过于依赖供应商而面临断供的风险。
·你的全球采购战略，或许会拉长你的供应链，带来总成本的上升。
·由于战略中缺少风险管理的战略，危机来临时，你无从应对。（二）采购运营风险
采购组织通过流程、制度、系统来规范和管理日常运营，从采购需求的提出，到交付验收后的付款，如果控制不当，每个环节都有可能产生风险。
·在采购需求环节，模糊不清的需求、倾向性的需求、指定的需求会给采购工作带来严重困扰，如果不去主动管理需求，可能会让采购处于水深火热的境地。
·如果供应商引入不当，可能会给企业带来输入型风险。
·如果成本控制不当，就会对公司利润造成直接的影响。
·如果质量控制不当，付款不讲诚信，那就随时会带来供货风险。（三）采购招标风险
招标从形式上来讲最合规，但往往很多问题就出在招标环节。低价中标带来一连串的质量问题，串标与围标等招标违规现象会直接带来采购成本的上升。
如果你浏览新闻，就会经常看到“不规范招标”产生的腐败问题、质量问题。到百度搜索一下“招标”，有超过1亿条搜索结果。（四）采购合同风险
风险的本质是不确定性，而合同是将不确定性变成确定性的一种重要手段。在现实中，合同不成立、条款不严谨、合同不能被充分履行、违约无法索赔的情况比比皆是。合同风险控制不当可能会让企业陷入法律纠纷，置企业于不利的位置。（五）采购合规风险
采购面临众多的法律法规要求，不仅要保证自身采购业务的合规，同时也要保证供应商的合规。如果你的供应商恰好处于商业贿赂的重灾区，那么在与他们打交道时，你需要格外谨慎。当然，合规不仅仅是不出现商业贿赂。（六）采购可持续性风险
随着公众消费意识的巨大转变、资源的日益稀缺，以及监管机构要求的不断加严，可持续成为采购的必然趋势。也许采购的眼中只有降成本、保交付，但是“不负责任”的采购不仅让企业面临很大的风险，也会对社会造成很大的伤害。可持续的采购在避免损失的同时，也可为企业带来新的竞争优势。（七）供应链安全风险
在美国，供应链安全是一项“举国战略”，已经上升为《供应链安全国家战略》。我国国务院也提出了供应链安全的指导意见。采购的货物或者供应商所提供的货物有可能在运输过程中发生被盗或损伤的风险，而原本安全的产品也有可能因遭受到非授权的侵入而变得不再安全，供应商的财务危机也可能导致链条的断裂。供应链的管理者想要保证全球供应链的安全，必须保证“三个流”的安全，即“实物流安全”“信息流安全”和“资金流安全”。
采购风险已成为任何一个采购组织和公司管理层都无法回避的问题，一个成熟且有远见的组织往往会将采购风险控制作为公司治理的关键要素。本书将采购的风险分为以上七个重点领域，本书第三个部分会详细展开来讲。
这七个领域相互之间存在联系与交叉，但是又各有侧重。例如，合同、招标可以归为运营风险，但是为了突出这两个环节的重要性，所以独立成章。合规、可持续、安全也存在交叉之处，但是又各有侧重。我们努力让每个领域对应一个或几个不同的法律或标准，这样可以更好地指导实践活动，其中的区别如表1-1所示。表1-1 采购风险七大领域三、新时代新趋势：从“要我合规”到“我要合规”
全球化时代，企业面临的风险已经不再局限于传统的商业风险，合规风险已经成为企业风险管理的重中之重。强化企业合规管理，不仅有助于企业化解合规风险，减轻或免于处罚，还有利于帮助企业完善管理体系，并带来新的商业机会。（一）新时代，企业合规是趋势“合规”由英文compliance翻译而来，就是要合乎法律、规制和规范，按照国际标准ISO19600提出的合规解释，即企业要履行合规义务，具体包含两个方面：合规要求（compliance requirement）与合规承诺（compliance commitment）。合规要求往往是法律法规的强制性要求，而合规承诺则是组织自愿的对外承诺。1.外在的压力
近年来，美英等国不断加大合规的执法力度，无论是从处罚的金额还是从处罚的数量来看，都有上升的趋势。
根据《2017——2018中国年度合规蓝皮书》发布的信息显示：在全球范围内，至少还有超过132家全球跨国公司正在接受美国《反海外腐败法》的相关调查，比2017年同期翻了近一倍，涉及约45个行业。
随着国际执法力度的不断加强，国内很多企业开始意识到不合规带来的严重后果，巨额的罚款、品牌声誉的受损、刑事处罚，甚至企业面临倒闭的风险。2.内在发展的需要
2017年5月23日，习近平总书记在中央全面深化改革领导小组第三十五次会议上强调：加强企业海外经营行为合规制度建设，逐步形成权责明确、放管结合、规范有序、风险控制有力的监管体制机制，更好地服务对外开放大局。
2018年是中国企业合规的元年，国内关于合规的各项标准与政策密集出台：
·2018年7月1日，中国国家质量监督检验检疫总局和国家标准化管理委员会起草的GB/T 35770——2017《合规管理体系——指南》[1]生效。
·2018年11月2日，为推动中央企业全面加强合规管理，加快提升依法合规经营管理水平，国务院国有资产监督管理委员会（简称“国资委”）颁布实施《中央企业合规管理指引（试行）》。
·2018年12月26日，国家发展和改革委员会（简称“国家发改委”）等七部委联合发布实施《企业境外经营合规管理指引》。
此外，地方政府也在加强专项合规领域的标准建设。2014年深圳市纪委牵头成立反贿赂管理体系标准化研制工作小组，并于2017年正式发布了《反贿赂管理体系》深圳标准。
国家层面为什么如此重视合规？对内，合规是企业可持续发展的基石；对外，合规是中国企业“走出去”的必需物。3.合规跟所有企业都有关系，不论大小
合规跟所有企业都有关系，这是毋庸置疑的。不只是大型跨国公司需要遵守国际监管体系下的合规要求，许多有兴趣与西方公司做生意、开展跨国业务的中小企业也需要熟悉并遵从合规的要求。在建立具体合规管理制度时，要与自身实际相称，不能“贪大求洋”，不切实际会导致无法落实。
中国合规网2017年的《中国企业合规管理调查报告》显示：2017年，有更多的公司选择增加合规培训的次数，这是一个可喜的变化，大部分公司员工的合规意识和合规表现，相较之前有了一定程度的提高。
加强合规管理已经成为全球企业发展的新潮流。目前不是要不要做合规的问题，而是如何合规、深入理解合什么规、怎么做才能合规的问题。（二）采购是企业风险与合规管理的“重头戏”1.采购是企业业务流程的重要部分
ISO19600《合规管理体系——指南》在第4.1条“领导作用和承诺”中指出：治理机构和最高管理者应确保合规管理体系融入组织的业务流程。
采购是企业业务流程的重要部分，它自然是企业风险管理和合规管理的重头戏。企业风险与合规管理体系建设不能是纸面工程，要与业务完美结合。在复杂的国际形势下，深入研究各个重点业务领域的具体问题，做好风险的微观分析也更为必要，对于想要合规或者正在推进合规的企业更具有参考意义。2.采购是腐败高风险岗位
腐败是各个国家都存在的问题，根据美国注册舞弊审查协会（ACFE）《2016年各国舞弊调查报告》显示：单个舞弊案件造成的损失平均金额为15万美元，而23.2%的单个舞弊案件造成的损失大于100万美元，而且舞弊欺诈所造成的损失占到了公司年销售收入的5%左右。
近年来，一些国内知名大公司也频频爆出贪污腐败案。由于欠缺有效的合规管理，在采购环节往往会出现塌方式腐败。在人们心中，采购一直被认为是“油水丰厚”、腐败高发的领域。3.采购环节涉及众多法律法规要求
采购面临的合规要求非常多，招标环节要遵守招标法的要求，签合同要遵守代理法、合同法、国际贸易法，与供应商的合作过程中要注意反腐败、反垄断、知识产权保护等。此外，还需要做负责任的采购。
因此，采购人员必须要懂相关的法律知识，并能将其灵活运用在工作之中。而采购管理者，更应该精通相关知识，将法律法规要求植入采购流程和采购规章制度。4.供应商不合规，企业来承担
企业仅保证自身合规是不够的，还必须延伸到整条价值链。如果所选择的供应商不合规，其后果可能会殃及企业自身，造成品牌、声誉以及财务上的损失。例如，苹果公司的“血汗工厂”事件、麦当劳的“福喜腐肉”事件等。
在合规面前，采购所肩负的使命不仅是保证自身业务的合规，还要保证供应商的合规。把合规作为选择供应商的首要条件，与供应商建立有效的合规管控机制，这能在很大程度上避免或者减少因违规给企业造成的损失。
如果供应商的经营是合规的，生产是安全、环保、可持续的，也就保住了双方长期稳定的合作关系。这有助于企业自身战略目标的实现。5.采购能帮企业堵住合规漏洞
随着各国政府对商业贿赂的打击不断加强，一些企业由直接行贿转变为由供应商来行贿。从世界银行的黑名单来看，大多数被罚的企业都是违反了《世界银行贷款项目的采购指南》中的“欺诈和腐败”条款。典型的如葛兰素史克行贿事件，正是药企销售勾结公司旅行社供应商，以采购合同形式掩盖行贿事实的例子。
其实，采购腐败不等于采购人员腐败。例如，某互联网公司市场部员工利用职务便利向供应商索要700万元的好处费，某安全网络公司知识产权部的资深总监收受多家代理商的贿赂，某互联网金融公司的商务经理和数据业务专家利用平台规则与手中权限受贿超过1400万元。有权力的地方就有可能存在腐败，采购权是企业的重要权力之一。腐败风险有可能来自营销、研发、生产等各个环节，只不过风险可能会通过采购环节显现出来。
因此，采购有必要承担起责任，帮公司堵住其他环节的合规漏洞，防止采购变成贿赂的工具。[1] 等效采用ISO19600:2014。四、PRC“1+4+7”，开启采购的价值增长之路“风险管理创造并保护价值”，这是开启风险管理前需要凝聚的共识。ISO31000《风险管理指南》的引言部分列举了风险管理的17项好处：
·提高实现目标的可能性；
·鼓励主动性管理；
·让整个组织意识到识别和处理风险的需求；
·改进机会和威胁的识别能力；
·符合相关法律法规要求和国际规范；
·改进强制性和自愿性报告；
·改善治理；
·提高利益相关方的信心和信任；
·为决策和规划建立可靠的根基；
·加强控制；
·有效地分配和利用风险处理的资源；
·提高运营的效果和效率；
·增强健康安全绩效，以及环境保护；
·改善损失预防和事件管理；
·减少损失；
·提高组织的学习能力；
·提高组织的应变能力。
合规是企业的金色盾牌，GB/T 35770——2017/ISO19600：2014《合规管理体系——指南》的引言指出：建立有效的合规管理体系并不能杜绝不合规的发生，但是能够降低不合规的风险。在很多国家或地区，当发生不合规时，组织及其管理者以组织已经建立并实施了有效的合规管理体系作为减轻甚至豁免行政、刑事或民事责任的抗辩，这种抗辩有可能被行政执法机关或司法机关所接受。这对于中国企业，无论是在国内还是境外发展都尤为重要。
基于风险与合规管理体系方法论的指导，结合本书作者在采购领域多年的实践经验，还有十多名全球知名企业的成本专家、供应商管理专家、企业社会责任（corporate social responsibility，CSR）专家、贸易合规专家、风险管理专家等智囊团的输入，以及全球30多家一流企业的最佳实践，我们总结出采购风险控制与合规的PRC“1+4+7”管理框架。“PRC”代表“采购风险和合规”，“1+4+7”分别代表一种文化、四个保障和七条主线（见图1-2）。本书以风险与合规管理理论为基础，以PRC“1+4+7”为框架，以采购实际业务为主体，将风险控制、合规与采购业务、流程融为一体。图1-2 PRC“1+4+7”模型1.一种文化
文化是“天”，是采购风险控制与合规的核心和灵魂，是风险与合规管理具有生命力的保障。采购组织可以通过行为准则约束、领导承诺、持续的培训与沟通，让风险与合规文化深入采购全员。2.四个保障
OPPT，即组织、流程、人员、技术/工具，是“地”，是采购风险控制与合规得以落地的有力保障。3.七条主线
对于采购，每个环节都可能产生风险，只有将风险与合规要求植入采购业务，其政策才不会变成空中楼阁。
本书以采购战略、采购运营、采购招标、采购合同、采购合规、采购可持续、供应链安全七大重点风险管控工作为主线，详细分析其中存在的风险点，并探索解决方案，为企业管理提供参考。
PRC“1+4+7”管理体系并不是脱离公司层面的风险与合规管理另起炉灶，而是在公司整体风险与合规管理的指导下，更深层次地思考采购自身管理体系的问题，将风险与合规落到实处。
思考题
1.什么样的风险可能给企业带来颠覆性的影响？
2.采购风险与合规管理的价值有哪些？
3.采购从战略到执行，面临哪些风险？第二章 文化是灵魂：风险管理关乎人人学习目标
1.理解为什么文化是风险与合规管理的核心
2.掌握构建风险与合规文化的方法和手段
微软为什么要建立合规体系呢？第一是因为公司的价值观，第二是因为公司的愿景和目的，第三才是监管要求。要把企业的目标、愿景与合规管控体系结合起来，形成优秀的合规文化。——微软大中华区合规总监李近宇
文化是企业的灵魂，是企业发展的原动力。一个好的风险与合规文化能激发全员的使命感和责任感，使得人人都有风险意识，促进全员主动合规。
ISO31000《风险管理指南》的引言指出：组织制定、实施和持续改进一个框架，将风险管理过程整合到组织的整体治理、战略和规划、管理、报告过程、方针、价值观和文化中。也就是说，要将风险意识和风险偏好植入组织，不仅是在政策程序层面，还要在价值观和行为准则层面。
国际标准ISO19600《合规管理体系——指南》对合规文化的定义是：合规文化是贯穿整个组织的价值观、道德规范和信念，与组织的结构和控制系统相互作用，产生有利于合规成果的行为准则。合规管理一流的企业都将合规视为企业的价值观。
企业要建立风险与合规的文化，传播新的价值观和信仰，并且鼓励员工践行。一、居安思危：培育风险意识与敬畏之心【引入案例】缺失风险意识，假药致人死亡
某制药有限公司用带强烈毒性的“二甘醇”充当“丙二醇”生产出带有毒性的“亮菌甲素注射液”，经过重重貌似严密的质量审查关卡后流向市场，65名患者注射后，致13人死亡。该厂的采购员、化验室主任、主管采购的副总、主管生产技术的副总以及总经理涉嫌“重大责任事故罪”，三位老总获刑。
有毒的二甘醇进入该药厂，第一道关卡应该由采购员负责，按照该厂的GMP（药品生产质量管理规范）认证而制定的采购制度规定，负责物料采购的采购员应对新的原材料供应商进行实地考察，并要求供货方提供样品进行检验，以防范质量风险的产生。实际上是如何做的呢？
在法庭上，该采购员说：我向分管采购的副总请示去现场考察的事，但领导说现在通信发达，电话联系就行了。我只觉得质量不合规的最严重后果就是消费者被骗、影响生产，但致人死亡这种后果我做梦也没想到。
而采购副总诡辩道：“丙二醇只是制药的一种小小的辅助材料，只有大宗的和重要的原材料才有必要进行考察。”他甚至在法庭上比喻说：“消费者买猪肉，也一定要去猪场考察，看看那头猪吗？”
按照国家规定，供应商应该提供相关资质证书和检验证书。采购员说：“供货商寄给我厂的都是复印件，这些复印件看不出有什么问题。而且我觉得货到厂里还要通过检验，应该不会有什么问题。”至于后面检验环节的问题，在此不做详述。
药品的质量问题是“人命关天”的大问题，也关系到药厂的生死存亡。对于这样一个重大风险，采购员和采购副总作为风险的源头部门，头脑中竟然没有风险这根“弦”，采购责任心严重缺位，最终带来“人死、厂关、坐牢狱”的恶果。
资料来源：摘自高立法著的《企业全面风险管理实务》。
风险意识与敬畏之心的缺乏，往往会带来可怕的后果。以前从未发生过或者没见到过，认为不会发生在自己身上，从而忽视它，风险事件往往就是这么产生的。在实践中，有以下几种常见的风险意识缺失的情况。（一）不知道有风险
不具备识别风险的知识与能力，从而“看不见”风险。例如：
·不清楚合同成立的条件，与不具备主体资格的对象签订了合同。
·开展全球寻源时，由于不了解当地法律与政策，忽略了隐性成本。
·与另一家企业进行联合采购，一不小心造成了垄断行为。
针对不知道有风险的情况，首先企业要有明确的指引和规范，其次是要加强培训，让其具备相应的知识与能力，避免由于制度不清晰、培训不到位导致悲剧的发生。（二）知道但是不重视
有句俗话：上有政策，下有对策。虽然知道政策是什么，但是总会有人为了各种目的，千方百计地钻制度的空子，找流程的漏洞，做一些违规的事情。敬畏之心的缺乏，往往会带来非常可怕的后果。例如：
·由于采购时未对插座的品质进行严格地把关，导致人员的触电伤亡。
·知道厂房不可以抽烟，但是抵挡不住烟瘾，最终一根烟点燃了工厂。
·知道供应商没有相应资质，但由于价格低廉而购买，本是安全环保产品却出了事故。
之所以不重视，很大原因是不清楚风险带来的严重后果。针对重点的风险与合规领域，尤其是涉及人身安全的领域，要有明确的红线要求，并且高层要重视。（三）明知故犯
为了获得不正当的利益而明知故犯。例如，进口时擅自改写海关编码，美其名曰“合理避税”；再如，由于获得了供应商的好处，向供应商透露了采购的底价。此类例子不胜枚举。
针对明知故犯的情况，企业要有违法必究的决心，确保言行一致，让冒险者知道违规的代价。二、知行合一：将风险管理要求化为行为准则
一家企业有没有风险与合规管理的文化，首先可以观察其行为准则有没有体现风险与合规管理的要求。行为准则体现了组织的价值观和风险偏好，它是根据法律要求、公司管理要求转换而来的，倡导员工按正确的方式行事，其地位高于其他一切内部规范与流程。
行为准则一般由公司层面制定，有的采购组织也会将公司的行为准则进一步转换为采购的行为准则、高压线或红线。在通常情况下，其内容一般包括以下方面：（1）企业的核心价值观，比如诚信、公平、可持续。（2）所倡导的做事方式，比如“做专业的采购”。（3）采购合规的内涵，比如遵守法律法规和道德规范的要求。（4）对风险与合规管理的态度，比如“对腐败的零容忍”。（5）触犯红线的后果与应对方式，比如“违规必究”。
将这些行为准则以简洁清晰的方式表达出来，并方便员工获取，在无形之中可以影响员工的风险与合规意识以及行为举止。以下是中国采购商学院所制定的采购行为准则。【知识链接】 《中国采购商学院采购8D行为准则》
1.做专业的采购，用专业创造价值。
2.做重信守诺的采购，按合同履行买方义务。
3.做道德高尚的采购，公平对待供应商。
4.做遵纪守法的采购，确保采购行为合规。
5.做自律的采购，拒绝不正当利益。
6.做主动服务的采购，管理需求并提供增值解决方案。
7.做不断精进的采购，追求卓越与持续创新。
8.做积极倡导社会责任的采购，优先选择履行社会责任的供应商。小师妹插嘴
这里的8D说的是质量管理领域的8D问题解决方法吗？学霸掉书袋
这里的8D是指8个“DO”，是中国采购商学院向全体采购人倡议的8个方面。
我们来看看敏实集团的道德与行为指南：当我们中的任何人发现或怀疑存在一些不合理或不道德的事情时，都有义务采取行动并勇敢说出。但是，怎样确定何时勇敢说出或确定某种行为是否得当呢？图2-1所示流程可以作为简要准则，帮你进行判断。如果你不能对所有问题都给出肯定答案，那么就应该勇敢说出，寻求帮助！这表明了该公司提倡发现问题、鼓励举报的态度。图2-1 敏实集团的道德与行为指南
行为准则规定“应该做什么”，而高压线和红线往往规定“不能做什么”，如果违反，需要接受严厉的处罚。【拓展阅读】
浙江省财政厅、监察厅2007年发布的《浙江省政府采购行为规范和责任追究暂行办法》，给政府采购单位和工作人员划定了15条不能逾越的“红线”，部分内容摘录如下：
·不得先采购后确认，或者化整为零规避公开招标和政府采购监管；
·不得利用政府采购业务委托职权向采购代理机构索取不正当利益；
·无正当理由不得改变候选供应商顺序或者在候选供应商之外确定中标成交供应商；
·无正当理由不得拖延或拒绝与中标成交供应商签订合同；
·不得签订有悖于采购结果的合同或补充协议等。
在行为准则的基础上，采购可以制定更加具体的政策和制度，如礼品与招待政策、产品质量责任政策等。三、以身作则：领导带头，言传身教
新版的ISO31000：2018《风险管理指南》将“领导力与承诺”放到了体系框架的中心位置，可见，领导力是风险管理成功实施的核心因素。领导如何在风险与合规管理方面发挥好带头作用呢？我们总结出了12字口诀：重承诺、带头做、投资源、亲自教。领导一旦做出身体力行的表率，将会产生巨大的影响。（一）重承诺
国际标准ISO19600提出合规义务包含两个方面：合规要求与合规承诺。合规要求往往是法律法规的强制性要求，而合规承诺则是组织自愿的。
领导起示范作用，其承诺应体现领导在风险与合规方面的态度和重视度，显示对违规必究的决心。（二）带头做
有很多企业规定了行为准则，领导也做出了承诺，但最后变成纸上谈兵，没有得到很好的执行。只有确保言行一致，才能让风险与合规文化得以落地。例如，承诺了要合规，那么领导自己的行为要合规，不能有例外；承诺了对腐败零容忍，便要严格执行。（三）投资源
风险与合规的管理需要资源的投入，包括人员的投入和资金的投入。领导重不重视，往往体现在投入上。如果在关键时刻迟迟不肯投入资源，说明管理上不重视，那么执行的情况可想而知。（四）亲自教
好的引导方式需要通过言传身教，如果领导能亲自担任风险与合规方面的讲师来教导员工，那么课程的权威性便会得到提升，员工也会更加重视。四、因地制宜：量身定制的培训
培训是风险与合规文化传播的重要手段，想要有效开展，就必须与企业其他通用类的培训区别开来。（一）定制化
应根据采购的业务特点和业务场景，因地制宜地开发出采购相关的培训课程，只有贴合业务实际，才能让采购人员有深刻的体会，让培训更有价值。例如：
·剖析采购过去发生过的舞弊案例，违反了什么法律，受到了怎样的处罚。
·介绍发生在同行企业的供应中断事件，造成了什么样的损失。
·采购的原材料出现过什么质量问题，通过什么措施来解决的。
·知识产权合规对采购的具体要求是什么，有什么标准动作。
·采购在合同签订时经常犯的错误是什么，哪些案例给公司造成了损失。（二）持续进行
由于风险是动态的，合规要求也在不断变化，所以企业必须持续更新风险与合规的知识。尤其国内很多企业的合规项目才刚刚起步，不能期望通过一次培训就能到位。一些合规管理领先的企业，也仍然在不间断地宣导合规的价值观。如果某件事对企业来讲是至关重要的，那么就需要不断重复。【案例】中集集团：与检察院联合开展廉洁从业警示教育
中国国际海运集装箱（集团）股份有限公司（简称“中集集团”）定期对内部晋升人员和外部招聘人员进行“中集干部的护身宝典——廉洁从业警示集”的培训，对新员工进行“企业内部控制与风险管理”培训，培训内容包括结合销售、采购等典型舞弊案件进行剖析和警示。近年来，集团下属重点企业会邀请所在地检察院开展廉洁从业专题培训，集团还以在线学习、在线答题的方式开展廉洁从业制度的宣讲，集团及成员企业相关高管全部参加。
在中集集团的销售、采购等敏感岗位的人员名片上，都印有廉政举报热线。在新入职员工和新经理任职的培训教材里面，详细列举了“红线”和“黄线”内容。在《中集集团责任事件问责办法》中，列出了9大类30小项责任事件清单，其中一类就是廉洁合规管理。“我们就是要把丑话讲在前面，把规矩立在那里，这也是在保护我们的干部。”中集集团纪委书记刘震环说，得知你是大公司的采购人员，有一些企业会主动送东西，公司的这一招儿就是为了避免干部犯错误。刘震环认为，企业推行反贿赂管理体系标准就是设置一道防线，及时有效地管控外部贿赂风险，避免由于培训教育不到位、制度设置不规范，导致员工因贪腐入狱的悲剧。五、包容开放：警惕群体思维（一）成事之要，关键在人
风险管理强调全员参与的理念，美国反虚假财务报告委员会的发起人委员会COSO发布的新版《企业风险管理框架》指出，“每一个人都是风险管理者”。
很多公司的文化是命令式的，员工不太可能开诚布公地讨论存在的问题，这对风险管理极为不利。公司文化应更加具有包容性，鼓励员工发现问题与缺陷，融入他们的知识、观点和看法，有利于组织全面掌握风险。（二）保护举报者
很多采购组织为了推行阳光采购，都设有举报的路径，但是举报者寥寥无几。其中很重要的原因，就是安全措施不到位。举报者心中最大的疑虑：我会不会遭受到打击和报复？如果A举报B，结果转了一圈举报信原封不动地传给了B，那么以后估计没人敢再冒险。因此，保护举报者的文化很重要，要让员工理解举报对于公司的价值，将其视为帮助公司成长的一种机会。在这一点上，中西方在文化上存在较大差异。（三）对“事前预防”进行奖励
人们都知道预防比救火更重要，但在现实社会中，我们经常会去嘉奖“救火英雄”或“抢险战士”，而忽略了对事前发现的奖励，即便事前预防的成本可能远远小于事后补救的成本。管理者应该重新审视组织的奖励机制，想办法驱动“主动识别风险”“风险应对提案”等事前行为。（四）“群体思维”不利于风险管理
如果组织内所有人的意见总是一致的，对风险管理反而不是什么好事。人们不喜欢唱反调的人，但往往是那些敢于说“不”的人最先感知到了风险。在丰田就有“坏消息优先”的文化。
一些企业为了打破“群体思维”，在决策层中增加了女性的比例，以期减少单一性别思维带来的风险。米歇尔·渥克在《灰犀牛：如何应对大概率危机》中提到：让女性在决策中占有一席之地，不仅能帮助我们发现并承认存在的风险，而且当风险越来越大的时候，让我们的决策纳入一些理性成分是十分必要的。
在创作本书的过程中，我们多次邀请不同领域的专家进行思想的碰撞，就是为了综合不同行业、不同企业、不同领域的特点，力求达到“系统全面”的目的。
写到此处，需要帮助大家厘清几个概念：风险、合规、法律，它们之间的关系如图2-2所示。图2-2 风险、合规与法律之间的关系
思考题
1.请为你所在的采购组织设计一份《采购行为准则》。
2.策划与“采购风险”和“采购合规”相关的年度培训计划。
3.思考采购组织在哪些方面存在风险意识不足的问题，并制订改进计划。第二部分 地：四个保障，风险控制与合规管理落地
组织、流程、人员和技术是让采购风险控制与合规得以落地的保障，这四个保障相辅相成，不可或缺。第三章 组织保障：采购是第一道防线学习目标
1.了解风险管理的三道防线理论
2.了解采购部门在风险管理中的职责定位
3.掌握不相容职务分离原则在采购风险管理中的应用
4.了解组织形式、岗位轮换对风险控制的影响
5.理解知识管理对于风险管理的作用，并了解如何开展知识管理
风险与合规的管理，要在组织上有所保障。首先，要有风险与合规管理的组织，确保相关职责落实到各个岗位中；其次，在采购组织设计时，要用好不相容职务分离原则。还有采购组织的形式、授权机制、岗位轮换机制等，都与风险管理有着密切的联系。此外，在知识经济时代，开展知识管理，形成学习型采购组织对于风险的防范也起着至关重要的作用。一、风险管理的三道防线
提到风险控制与合规，很多采购人员认为是公司层面的事，责任在风险管理部门、合规管理部门或内控管理部门，采购只需要配合、支持就可以了。这是对风险控制与合规管理的一种严重误解。
国资委出台的《中央企业全面风险管理指引》第十条指出：企业开展风险管理工作应与其他管理工作紧密结合，把风险管理的各项要求融入企业管理和业务流程中。具备条件的企业可以建立风险管理的三道防线，即各有关职能部门和业务单位为第一道防线；风险管理职能部门和董事会下设的风险管理委员会为第二道防线；内部审计部门和董事会下设的审计委员会为第三道防线。
国资委印发的《中央企业合规管理指引（试行）》第十一条提出：业务部门负责本领域的日常合规管理工作，按照合规要求完善业务管理制度和流程，主动开展合规风险识别和隐患排查，发布合规预警，组织合规审查，及时向合规管理牵头部门通报风险事项，妥善应对合规风险事件，做好本领域合规培训和商业伙伴合规调查等工作，组织或配合进行违规问题调查并及时整改。
可见，无论是“风险管理指引”还是“合规管理指引”，都将业务部门放在了第一道防线的位置。（一）第一道防线
试读结束[说明：试读内容隐藏了图片]