法务，风控，合规三个职位性质上有何区别

对法律事务、合规、内控、审计和全面风险管理的一些思考，可以跟大家探讨一下。
法律事务的本质就是为公司的经营行为保驾护航，协助公司实现经营目标。
打个比方，法务人员跟业务人员对外进行前期接触和谈判，为的就是从前期开始就能为商业模式进行把关，保证这个商业模式的合法性和可操作性，而不是业务人员自己拍脑袋想出来一个赚钱的模式就去做，同时，法务前期参与商业谈判也是为了获得更充分更全面更直接的信息以开展后续的工作；
前期接触回来后，可能市场部或者投资部就开始写合作方案说明大概的合作情况及模式，财务部开始测算收益，法务部就开始根据合作模式和前期接触情况草拟一份具体的合作协议，然后大家一起把合作方案、收益测算说明和合同初稿给领导决策，让领导决定做或者不做这件事，
领导决定做了之后，业务部门和法务部门就可以开始和合作方进行第二次第三次等多次深入谈判，以此来争取利益最大化的商业条件，法务部门根据谈判的情况相应的修改合同并最终形成定稿（这个阶段法务部门需要运用自己的专业知识为商业交易争取自由的空间，很多人都觉得法律什么都要管导致束手束脚，这部分可以另外再详细说）；
商业条件确定以及签订正式合同之后，法务人员还要定期追踪合同的履行情况，直至整个项目的完成。
从整个过程来看，业务人员拉回来的业务就像一块粗糙的玉石，法务就是要慢慢雕琢这块玉石，让这块玉石最后成为一块买家满意的美玉，这个雕琢的过程中法务要考虑交易模式是否合法、是否具有可操作性、合同条款表达是否简洁清晰、怎样保留相关证据等等，这些都是为了最后美玉的雕琢成功，也就是法务最终都是为了帮助公司实现经营目标，帮助公司赚钱，同时也为了让公司在有纠纷的时候能有足够的证据去支持自己的主张，而不是陷入口说无凭的糟糕境地
，法律更像一种实现经营目标的手段，在不违反底线的前提下，法务其实不用那么排斥无效合同、不正当竞争行为等在法律人眼里不那么好听好看的事情，比如，签订一个无效的合同如果对公司的实质利益没有影响，对公司也毫无用处，但是因为对方签了才能安心的话，这个合同签也无妨，因为对公司实质权利义务没有影响，当做没有没有签过就行了，万一真发生纠纷就主张合同无效。
再有就是公司竞争行为有可能违反反不正当竞争法，但由于举证能力或其他的原因，对方公司可能根本没办法证明我公司的行为是不正当行为，法务把其中利弊告诉公司领导后，如果领导决定继续采用这种竞争行为，那也未尝不可，因为商业上很多时候就是一个博弈的过程，没有风险的生意是不存在的，如果公司认为这种风险小于可以获得的收益，愿意承担这种风险也是可以的。
因此，法务与公司的业务的关系是十分紧密的，可以说是业务团队的智囊团，帮助业务团队打磨产品（这里就不多论述法律事务通常所包含的律师管理、法律事务制度建设、法制宣传等工作内容了）。有时候法务也关注公司的内部管理（相对于业务支持而言，这部分工作较少），但是更多是从发生纠纷时自身提供证据的角度去看待内部管理的，比如要求办公室建立好公章使用台账，便于在别人伪造公司公章的时候证明公司相关管理规范等。
与法律事务相比，合规与公司业务的距离稍微要远一点（相对而言，不要钻牛角尖），
合规关注的公司的所有行为都要符合规范，再直接点就是公司的所有行为坚决不能违反规范的禁止性规定，最好符合规范的指引性规定（如有正当理由也可以采用指引以外的方法和程序），
这个规范的范围很广，包括法律、法规、规章、行业指引、职业道德、公司上级单位的管理要求和公司内部自身的管理制度等，
不同的行业所要面对的规范数量和规范强度不一样，金融行业的规范就要比普通工业行业的规范要多得多，强度也大得多，
不同的行业有不同的合规要求。但是合规也有一定的共性，比如，不管你是卖保险的还是卖保险套的，你都不能违反商业贿赂、反洗钱的规定。
合规关注的是公司不能触犯规范的底线，在不触犯底线的情况下，业务是通过A路径还是B路径还是C路径进行的，合规是不关注的（法务恰恰十分关心具体操作）
。在机构设置上，一般行业的规范数量不多，强度也不大，一般法务职能和合规职能都在法律部，这也是够用的，节约成本嘛，但是像银行的规范数量特别多，强度也特别大的，一般就是法律事务部与合规部各司其职，实际生活中银行的合规部门功能是十分强大的，能够对包含法律事务部在内的所有部门进行监管。
合规的“规”包括外部的法律、法规、规章、指引和内部自身的管理制度，这就涉及到内控了，也就是内部控制。
内部控制的作用主要有四个：
一是“内化”，即根据公司的具体情况和需要将外部规范内化成流程清晰、可操作性强的内部管理制度，让公司的运转规范化，指导公司人员工作；
二是“高效”，即通过设计合理的流程来使得公司高效运转，提高效能；
三是“制衡”，通过机构和岗位设置、业务流程、管理流程等形成各部门的相互制约（比如核算会计和出纳不能由同一个人担任等等），防止一个部门或者一个人可以暗箱操作整个业务，提高决策的科学化水平；
四是“反映”，这点与审计的关系比较密切，因为审计要求公司的每一项业务和事项都要在财务上有所反映，
因此内部控制需要设置好相关的流程，使公司的所有业务和事项都能够及时并且充分地与财务相衔接，以便保证财务报表能够真实反映公司的实际经营状况。而且，如果一家公司的内部控制合理、规范且高效，审计工作也比较容易高效开展，能够省掉很多不必要的时间和精力，同样，审计结束后审计师通常也会对公司的内部控制提出一些完善建议，以此促进公司完善管理以及为以后的审计工作提供便利条件。内控和审计的关系是相互促进的，所以很多公司都把内控和审计两项职能放在同一个部门。
全面风险管理是从全公司的高度并结合当时的宏观外部环境进行的。
风险有很多种，市场风险、财务风险、法律风险、运营风险等等，
全面风险管理并不等于法律风险管理。
全面风险管理更多的是一种指导性、战略性的工具，它是根据公司的实际风险情况制定相应的对策，比如预防、避免、转移等。
其实通过法务、内控、合规这几项工作，能预防和能避免的风险基本上也消化得差不多了，剩下的风险无非是两种：
一是不愿意避免的风险，前面说了，很多时候风险的有无和大小只是一个双方博弈以及自身选择的问题，没有一项业务是完全没有风险的，之所以公司不愿意避免这部分风险可能是因为这部分风险发生的可能性小或者风险发生后的损失微不足道，也可能是公司认为这项业务的收益远大于风险；
二是无法避免的风险，比如汇率风险等，这部分外部风险是整个市场环境导致的，公司本身也无法去改变它，公司只能根据自身情况去选择应对策略，比如减少国际业务之类的。
因此，全面风险管理是高于法律事务、合规、内控和审计的一项工作，它更宏观、更具有指导性，同时也反映了公司的发展战略方针，需要对整个公司各个部门的工作情况更为了解，也对风险管理人员的知识储备提出了很高的要求。
现在大多数公司的做法是全面风险管理职能放在法律事务部，每年的全面风险管理报告由法律事务部牵头组织，让各个部门写自己部门对应的风险管理情况，最后由法律事务部汇总形成总的全面风险管理报告。