业务挑战风控：我们只保证合规，但不保证合理
前几天，有一个企业内审朋友求助，在跟业务部门针对采购业务审计时，业务部门说：
我们所有的采购业务操作都是按照流程要求，肯定保证合规，但我们不能保证采购价格一定是合理的。
我们只保证合规，不保证合理。
这位审计朋友对这个回复不满意，认为：
既然操作过程都是合规的，那么最后的结果也应该是合理的，业务部门这个结论不成立。
那到底合规能不能保证合理呢？
我当时简单给她的答复是：
合规为输出合理结果提供了基本保障。
之前在中央企业下发合规管理指引时，我们在解读文章里提到过一个观点，今天我们企业讲的合规是“大合规”概念，但对于企业自行制定的“规”，不仅要“合规”，更要关注“立规”。
首先，理想情况下，如果采购业务的规则设计合理，比如：
如何确定供应商
如何确定价格
比质比价原则
验收付款条件
售后保障
......
等等相关的重要环节都有规可依，按程序操作，最后综合衡量，最终的采购价格应该会处于合理区间。
但是，这只是理想情况或者说一般情形，如果要展开讨论，下结论前还需要详细分析以下内容：
1、采购合规的“规”目前在什么水平？
规则规定了业务应该如何操作，规则有两个目的，第一是高效完成业务目标，第二是管理风险。
健全和完善的规则是管理风险的基础，而内部控制的要求正在这个规则的骨架。
规则制定的水平高低决定了一项业务的管理水平，因为规则的建立增加了业务管理的确定性。
针对这项采购业务而言，和采购相关的管理制度健全完善与否，是合规的前提，也是输出合理结果的保障。
如果采购制度有控制缺失、有灰色地带甚至有可操作性差、规定不合理的内容，那在操作过程中一定会走样。
我自己的体会，我们中国企业的制度，只要留了一个小孔，都能给你捅出个大洞。
就像业务部门说的那样，按照这样的制度，我们完全做到合规，但是最后不一定能够合理。
程序正义是结果正义的前提。
有时候，如果规则出现了上面的问题，甚至有些业务部门会主动“违规”操作从而达到结果合理的目的。
这时候，如果风控人员以业务操作“不合规”为由下结论，那和业务部门的矛盾肯定是无法调和的。
所以，我们要先看一下，如果采购价格出现了不合理的情况，是不是由于规则设定上出了问题，还是在执行过程中出了问题，对症下药。
2、何为“合理”？
这需要考虑采购产品的价格合理的判断标准是否清晰，如果是标准产品，比如一台电脑，什么型号配置在购物网站上一搜就能大概了解价格区间，来判断采购价格是否是在合理区间。
如果是非标准产品，或者是叠加了许多采购条件的采购需求，这个结论可能不太好下。
比如之前我们在企业遇到一个采购案例，10个采购要求中每个供应商都不能完全满足，满足价格的不能满足供货周期，满足供货周期的价格不是最优，最后还是要看如何取舍。
在这种情形下，如果单纯对采购价格是否合理下结论，不太容易。
关键是有时业务部门也不知道是不是合理，什么叫合理。
那有人会说，能不能把这些情形都穷尽，每一种情形规定如何操作？
理论上也许可以，但实际工作中不现实。
如果拿到一本制度，业务的所有可能情景和细节都做了约定，那谁来做都一样了，能力高低就不重要了。
一项业务的规则越细，往往是效率牺牲作为代价的，制度并不是一味追求越细、越全越好。
制度不完善是缺陷，但也要避免过度制度化，这在不确定性环境下的当下特别重要，所以现在非常流行灰度决策、方向大致正确就可以，用以保持组织的敏捷度和灵活力。
如果我是那位审计朋友，我首先要和业务聊聊，如果采购价格不合理，那会是什么问题导致的？
如果是规则设定有问题，可以提制度完善的建议；
如果是大家对合理的理解需要达成共识，就聊一下什么是合理，要达到什么程度的合理；
如果是业务部门在规则基础上需要预测和判断的内容，有哪些原则可以在规则里体现，提醒一下。
我相信这样沟通之后，双方也许能够达成最大的共识。
但如果规则没问题，而是业务部门有自己的小算盘，那就另当别论了。
风控也好、内控也好，规则是基础，但是规则并不是万能的。
规则可以扬善，也可以被利用来扬不善；
规则可以抑恶，恶也会想办法利用规则保护自己。