德勤携手小米集团、国家能源集团开展数字化风控交流

2020年12月30日下午，德勤小米客户服务团队组织小米集团内控内审监察部、信息技术部与国家能源集团审计部、信息公司进行数字化风控交流。此次活动响应疫情防控要求，采用视频远程方式进行云交流，由德勤小米客户服务风险咨询领导合伙人、德勤风险咨询网络安全全国领导合伙人薛梓源主持。

国家能源集团审计部介绍，集团于2017年11月由中国国电集团公司和神华集团有限责任公司两家世界500强企业合并重组而成。自去年，积极落实国资委101号文件等一系列有关“强内控、防风险、促合规”的管控要求，从风险管理体系、数字化风险管控等多个维度实现风控领域总体成果。在交流过程中，国家能源集团与小米集团针对风控一体化框架、流程梳理、数字化解决方案、风险内控评价等话题开展深度讨论。

小米集团内控内审监察部副总裁刘少顺介绍小米的使命、愿景、价值观和第三季度财报，分享部门职能定位与职责、与业务部门的运行联动机制，从0到1搭建符合联交所上市内控、风险管理体系以及反腐败合规体系建设。针对数字化风控在小米的具体实践，刘总介绍小米基于业务风险的数字化风控、基于职能的数字化“灯塔”体系以及一系列轻量化数字产品应用，并提出数字化风控是未来的发展方向，也是必然选择。

在数字化风控体系的建设过程中，小米集团始终贯彻“小米数字化风控灯塔体系”的建设思路，多部门协同，共同确定小米数字化风控平台“MI GRC”的总体规划及2018-2021建设规划路线图。

回顾过去3年，“小米数字化风控灯塔体系”初步实现了跨多业务领域、多业务系统的全球化的统一的权限风险管控(GRC-AC, Access Control)。针对核心业务与信息系统，如SAP ERP、SRM、CRM、GTS、BUY、OMS、PSS、EMI、互联网GG排期与结算、米币等，内控内审监察部制定全球统一的流程、制度和访问控制规则，对敏感数据访问风险、SoD职责不相容风险进行有效的管控，覆盖约10000名用户，利用小米人、UC在移动端实现，为小米同学提供简单、便捷的用户体验。

紧随国际化业务推进的步伐，保障公司全球化业务行稳致远，MI GRC访问控制合规系统已在印度成功布署，目前在降本增效、赋能业务、风险管控维度取得一定成果，获得小米印度的一致肯定和好评。

此外，在流程风险管控方面(GRC-PC, Process Control)，项目组积极拉通财务、资金、供应链相关部门，在资金安全与使用效率、合同管理与执行、供应商管理等方面，通过系统自动监控业务流程关键控制点的落实情况，有效提升了管理效率和效果。

上述项目所取得的成果，与小米业务团队、信息技术部、内控内审监察部、德勤小米客户服务风险咨询团队通力合作密不可分，期待小米数字化风控在2021年能更进一步。

小米集团信息技术部风控信息化负责人张峻玮介绍小米风控系统建设和应用：从小米数字化风控整体规划出发，回顾小米访问风险管控的成果，并分享流程风险管控的运营框架和技术架构、已涉及的业务场景、部分流程管控样例及根因分析。在系统层面，针对风险的事前、事中、事后管控进行了详细介绍。

小米集团信息技术部财务信息化总监范树超回顾小米数字化风控建设实践，分享建设的关键因素是内控团队、合规团队、业务团队、IT团队以及德勤风险咨询团队的多团队跨部门协同配合，比如：在风控信息化之前，只能根据个人零散经验在信息化项目中加入一些控制点，但不成体系，也很难做到完整和准确；在GRC项目中，小米内控内审监察部的输入，给信息化提供了完整的风控、内控和合规体系，让风控更加精准和有效率。

对于GRC系统来说，AC和PC在国内都是新鲜事物，我们需要外部合作伙伴的助力。在项目实施过程中，我们必须将合作伙伴的能力转化为小米团队的自身能力，因为风控信息化是一个长期过程，在合作伙伴离场后，小米团队必须具备继续建设的能力。对于PC，存在的优势有两点：没有这个工具之前，只能在流程中做事前或事中的控制，但对于有些控制点可以通过事后检查来进行。PC可以通过事后检查来控制，这样既实现了控制也不影响流程的效率。在流程中直接加入控制点，只能做到单点控制，但PC通过对全流程数据的追踪，可以实现端到端流程整体风险控制。PC第二个优势是可以将控制数据落库分析，将以前被事前控制阻拦的数据通过灵活的规则重塑，经由分析后产生业务价值，反哺流程提升，达到价值闭环。

最后德勤小米客户服务风险咨询领导合伙人、德勤风险咨询网络安全全国领导合伙人薛梓源感谢小米集团与国家能源集团参与此次活动，充分分享有关数字化风控的实践。通过此次深入交流学习，小米集团与国家能源集团对于风控领域建设有了更加深刻的理解和明确的建设思路。期待双方在风控数字化领域的建设和运用做出更多贡献，更多探索。

文章部分内容来源：小米合规风向标微信公众号