1、合规风险管理是一种风险管理，所以其应遵循风险管理的基本架构。一般而言，风险管理有三道防线。

2、所有做事情的部门为第一道防线。风险管理是第二道防线。第三道防线是审计。所谓第二道风险，就是它不做具体的事情，只管风险。合规风险就是管合规风险，其他的风险部就管其他风险，它不直接从事具体的经营管理活动，所以关键在于要找到风险管理的切入点。

3、我们现在做合规风险管理时，大家有不同的做法。有些是先做第一道防线，流程立规，建立机制，一道防线建一个机制。对于行长来说最后一道防线是合规或者风险管理，不是审计，审计跟行长没关系，审计是在行长以外的第四道防线，监管则是第五道防线。一般而言，大家都是第一道防线做流程立规，第二防线做风险管理程序，而这两件事都与风险合规有关。