在新一轮国企改革行动方案中，有一条很重要的措施：加强穿透式监管，防范国有资产流失。
近期，国资委组织召开了穿透式监管工作会议，意味着这项工作开始推动。
人们提到穿透式监管，很容易联想到应用IT系统实现，作为企业为提高监管效率、效果所采取的辅助手段，理顺监管机理，在人工基本摸清走通全级次、全链条、全过程、全要素监管的可行路径时，是导入IT系统的最佳时机。
本文就监管机理、政策的理解与结合，与流程、内控、制度、IT系统的关系进行论述。
01.怎么理解监管，现有监管有什么问题？
从概念上，监管是一种从不确定性中寻找确定性，再用确定性去衡量运作中的不确定性，或通过去除影响期望结果的因素，或通过调整流程以保证产出结果符合预期，或对发现超出容忍度的问题按有关制度进行处理，并将结果反馈前一阶段流程的做法。
怎么理解“监管”呢？在企业中，监管是一种离线型控制活动，指包括但不限于审计、监督在内的所有以衡量、发现、纠正、处理与确定性存在偏差问题为目的的各种活动的集合。
通俗地讲，由职能监管与控制、内部审计、纪检监察、稽查巡查，以及IT系统中“由设定规则决定”的引导、提醒、禁止、纠正等执行动作构成，是一个大概念。
理解穿透式监管，既不能单纯地理解成“IT监管系统”，也不能狭隘地理解成“日常监督职能”，而是一个“包括职能管理、监督、IT工具、管理决策在内的监管系统体”。
IT监管系统，是为了提高监管及时性、有效性而导入的工具，需以“从机理上走通人工穿透式监管”为前提。否则，无法提出IT工具的需求、功能规格、实现方式、技术规格。
严格意义上，央国企中的穿透式监管是“存在”的，问题是“监管目标与对象界定是否清晰、监管的广度与深度如何、作为度量依据的确定性基准是高标准还是低标准、有效性如何、规范程度怎么样”。
需要说明的是，这里的高标准，不应是层层的“控制”，而是有效规程下责权明确的“合规自由”。高标准，也意味着在受控状态下，因追求效率而释放的灵活，只是很难理解或很多人做不到而已。
任何一个企业，安全与效率是一个永恒的主题。追求效率而疏于控制，监管只能选择外部通用标准作为度量依据，企业会出现疲于应对问题的现象。过度强调安全而疏于效率，监管会采用过高的标准作为度量依据，会以牺牲生产力为代价，滋生官僚主义，导致企业失去活力。
企业是一个社会组织，也是一个经济组织，安全与效率需要平衡。强调监管，也不能渴望把生命之水打造成连有益细菌都不要的纯净水，强调经济增长也不能不接受任何暂时的下滑或在不确定领域发生难以避免的损失。把握的原则是不损害、伤害企业、组织、他人的健康、利益与声誉。
那么，现有的监管有什么问题呢？每个企业的环境、管理水平、监管的重点、方式与方法不同，不能妄议。我只结合自己见过的、体会过的谈一谈，但监管包括而不限于“审计”。
我曾在某企业审计部门主管风险管理、内控、合规、制度与流程多年（暂不考虑职能安排是否合适，不是不能，而是职能变化会带来对人的任职资格需求变化，职能变人不变、思维与方法不变，一定会出现因立场、习惯带来的诸多问题），参与过一次审计改善的讨论之后，再不发表意见了。为什么呢？审计部门的绩效指标是什么？是发现、揭示问题吗？那只是履行职责的工作阶段产出，是最显而易见的表现。目标不清楚，就很难“履好职、尽好责”。
只要有这样的定位，企业往往“经不起外部监督巡视”的考验，在如此认知而自愎为专业的情况下，再讨论也没用，顶层假设出问题了，不给自己头上加上“紧箍咒”，工作就好不到哪去。
审计是一种技能型监督职能，本身也有“自控力”的反映。什么是自控力呢？是职权范围内释放的有助于自主追求向好变化的自由。只需要两三条、半页纸，就能确立“问题衡量基准”，才能找到哪些问题只需“被审计单位改善、审计跟进复审”即可，哪些问题必须上报审计委托人，才能让被审计单位、委托人感受到审计监督发挥的作用、带来的好处、做出的贡献，被审计单位不仅不会从内心“反感”监督，还会因尽早消化了风险而感谢监督部门的帮助。
这不是伙同被审计单位“作弊”，而是帮助企业消化问题，防微杜渐。因为有明确的、透明的、公认的基准，决定了什么事儿不能做，什么事儿可以做。面对问题，审计坚持自己的原则，不会有任何人提出异议、沟通妥协的空间。问题是光讲原则没用，重点是“原则是什么，能不能用”。
审计与被审计者，是监管与被监管的关系，天然存在“互不信任”的质疑属性，需要通过明确的规则加以规范，虽然确实有经验与职业素养的成分，但也不是孤立地采用监管人员自我取舍，或通过彼此之间的沟通或妥协去裁量问题，说与做是两回事儿。
缺少“公开、透明、可衡量”基准，从人情、人性的角度，内部审计人员也不愿揭示发现的“外部监督无法容忍、特别是领导干部存在的问题”，反而会放大那些“经营管理性情景问题”以彰显成绩。
放大控小、积少成多，从量变到质变，外部监督一查就是问题，连续两年风险预警、吹哨也没用。依靠垂直审计的方式，看似能发挥一定的作用，但解决不了实质性根本问题，内在机理没搞明白。
更深层次的原因是，企业没有赋予明确的绩效指标与衡量标准，就谈不上主动承担监督责任，主动寻找发挥作用的方法。人们总见审计部门“脚后跟儿踢屁股蛋儿”地忙于工作，却很少见其他防控问题发生所采取的举措。因为，他们坚持的定位是“发现问题”，而不是消除问题。
“忙”是完成更多工作的直观形式，但不是企业需要的绩效，更不是反映是否优秀的基准。不同人的忙，是不一样的：有的人焦头烂额、心急火燎地忙7个月，做不成一件事儿，还可能越做越乱；有的人做同样的事儿，忙闲兼备，半个月足矣。能不达绩，就是这个道理。亲善，不代表态度；经验与习惯，不代表真理解企业的需要；热情认真，不代表能力；末位调整，不代表有健全、可行的绩效考核机制。
在强化监管环境下，我们经常听到全覆盖、陈述问题类别、数量、占比的总结之声，企业需要的是这些吗？你确实是在监管、监督，那又怎么评价监督者呢？评价，也具有“对履职有效性”实施监督的意味。
推动穿透式监管，首先要解决监管的责任与有效性问题。在IT系统中，对应的就是“监管信息流转”的基准模型，反映在国资部门、央国企集团各层级单位间、个体单位内部的分权责任与监管问题的处理流程等方面。
但是，穿透式监管的实现，并非从监管本身开始。流程、控制、制度、标准定义、模型、监管的分类与责任划分等，是离不开的基础条件。当然，“有形无质”的条件，毫无意义。有了，不代表可行、管用。
如果不具备这些条件而硬推IT监管系统呢？大概率会从财务、资金流方向寻求突破，是大多企业中条件比较健全的领域，很可能就变成司库功能的再行扩展，或者通过抓取数据形成一个新的监管功能界面。
02.穿透式监管包括什么，如何实现？
穿透式监管，有多层含义，包括重大决策的效果、重大投资活动的阶段成效、价值创造活动的资产效率等很多与资产安全有关的维度，当然也包括合规性的监管，可以无限扩展。但是，如果这样诠释，恐怕很难找到解决路径。
在上篇讨论国企改革的文章中，我用到了“合规监管”一词，指的是外部公共法则的控制环境、内部职能管理要求的环境与运作、人性化适应措施环境统一下的“合规监管”。其实，就是广义的职能监管与具有相对独立性的审计与监督的“部分”职责。
从“穿透式监管”的角度，合规性监管是其中的“重要构成”，但不是全部。从反映管理期望的“定性”角度，基本都可以转化为合规监管课题。通过“定量”方式展现出来的，对与资产安全有关的产出与变化趋势的监管，基本是以“指标、指标模型”的评估方式解决，本质就是人工操作下的“风控”那部分内容。
虽然“穿透式监管、四全”可以无限诠释，但从事实角度，我觉得能够把“合规监管、重大投资（包括外部、内部预算型投资项目）、经营项目的经济性、资金支出与回流、资产与权益交易与处置、企业级的经济性与资产安全指标”几个方面的监管做好，已经非常不容易了。
因为，从很多企业当下已有的制度、流程、可衡量度，特别是做出的内控、合规、风控的成果看，不客气地讲，能够支持穿透式监管的成果，有多少可用的呢？
无论哪个方面，要实现穿透式监管、提高数字化程度，不能缺少的条件是：一是结构化整体下的系统性，决定了逻辑的合理性与数据的清洁度；二是作用于整体的流程、制度、控制的可衡量度，决定了截断风险的效果与监管的有效性；三是反映重点经营活动、产出的指标、评估模型及数据，决定了“与资产质量与安全关联度最高”的需要监管关注的重点。
木与林同在，没有木，不会成林。要取得效果，没有林的规划，木就缺少了方位。“四全”就是那片林，穿透式监管是这片林的名称，监管的重点，就是林中发挥定位作用的那几颗“木”。定位做好了，再逐步丰富“木”，就会成林，但全级次，客观上可以一次实现。
如果从IT系统开发的角度考虑，最简单、最具可行性的基础条件，反映在“合规监管、资金流、企业级的经济性与资产安全指标”3个角度。事实上，包括投资、经营、资产交易、担保、采购等领域，都与合规监管密不可分，甚至资金流监管也可以转化成“合规监管”。而企业级的经济性与资产安全指标，实质是风险变化趋势的跟踪与监管，离不开基准设计、模型设计。
比如，央国企的资金管理，基本集中在司库系统中，按照计划执行的资金流转是客观的。如果没有管理规定，按照预算计划、资金使用调拨申请，资金转入“存在重大问题的外部企业”，除“非私”原因之外，即便发生了资金损失也属正常，监管不能认定为“违规行为”，只能定性为“管理不规范问题”。所以，有效的合规监管，是“管理设计出来的”。
事实上，目前不少企业的司库具备这一基本功能。比如，根据从外部公开或银行系统获取的信用信息，识别存在信用风险的企业，从而限制资金流向申请。从技术上属于“应用外部数据”对申请的控制与纠正，对企业而言，这种功能有“防资金损失风险”的作用，但实质是“必要的低标准”。
企业中还存在对“因质量、及时交货、合作意愿、重大违规、客户限制、外包交付可靠性等原因”限制交易的供货商管理，看似问题不大，但放在企业中一旦突破限制而进行了交易，属于“必须处理的重大违规问题”而承担处理结果。
所以，即便是直观上“从资金流维度进行的监管”，也取决于职能管理水平与控制能力的高低，对资金风险的监管，就转变成了对“与列入限制名单企业实施交易控制”的合规监管，这就是要强调系统性的原因，监管的系统性、完整性，很大程度取决于管理的系统性、可执行性、数据的共享性、可衡量性、可追溯性。
对于“定量”领域的评估，也并非直接从“定量”本身出发，成立的前提也是“以有效管理”为基础，只不过反映的不再是“合规监管”，而是反映为对“经营质量或效果”的风险监管。
比如，我曾给一个企业设计“项目经营风险评估与监视模型”，该企业有一个非常好的经营原则：要有利润的收入，要有现金流的利润。问题是，我必须根据原则，通过沟通“确定可衡量的基准”：多少之上算好、多大范围内可接受、低于什么基准不可接受，在什么条件下，可以接受正常情况下不能接受的项目。
一谈到具体基准，企业就不愿意明确了，因为“可衡量度”出现了，而且还可能是与项目负责人绩效产生关系的基准。我开了个玩笑，那就只能将评估出的结果推送给领导，由领导根据自己的经验、风险容忍度把握了，那又怎么支持领导的“管理决策”呢？如果放在职能监管的角度，如何发出不同等级的预警呢？业务主管部门又如何按照设定的等级，采取“一致性”的跟踪、评估、监管举措呢？所以，穿透式监管，还是一个“态度、追求高质量、做出风险选择”的课题。
那么，如何通过管理转化成“合规监管”课题呢？我们重点谈一谈。
为什么外部审计监督发现的都是“伤筋动骨、祸及高层的大问题”呢？他们使用的监督依据是“外部最低确定性基准”，连最低标准都不能满足的问题，那还不是大问题吗？最大的好处是“通用性强”，可以降低监管人员执行监管、IT系统开发的难度。
问题是，穿透式监管是“为了发现大问题，还是为了发现管理认为的问题而防控资产损失风险”呢？肯定是后者，那就必须提高“确定性标准”，只能通过内部的流程、控制、制度、标准、数据、指标模型实现，意味着企业必须提升基础管理能力，实质就是“用与实际结合的高标准内部控制，代替外部控制”的反映。这种做法，确实会带来IT系统开发难度、执行监管工作量的增加。
不要把我说的合规监管，与企业中日常见到的合规管理做法混为一谈，我也不是用那样“显而易见的做法”去做合规管理。什么是显而易见呢？你有要求，我有对策与满足要求的产出，一定是“写”出来的静态结果形式。“做”出来的产出，是有目的的、动态的、能反馈循环并可持续的结果。
事实上，企业本身并没有“合规监管”这个词儿，只有监管这项职责。合规监管，是从合规管理角度，演化出来的一个“学术语”。
对合规风险的管理，只有转变成确定性，才谈得上“合规管理”，才能发挥实质性作用。而与企业实际的结合，必然通过流程、控制、制度、标准、表单的方式实现。转化到企业内部，是各职能管理部门必须承担的“以外部合规要求为依据规范管理”的职责。
以企业内部确定性为基础的“合规风险”，指的是在确定性基础上，仍有可能发生但不期望发生的外部或内部违规问题，是监管的“重点之一”，反映的监管结果标准，只有“不合规程度有多大、是否触发违规追责基准、怎么处理”。
会有人问：你怎么讲的与职能管理部门的部分职责重叠了呢？因不重叠而进行切割，因重叠而合并，避免重复，从而简化管理，难道不好吗？很多时候，你在谈监管、他在谈管理、另一个在谈内控、还有一个在谈合规，看似各有职责，很可能他们谈的是“一件事儿”，只是人们认识的维度不同，或在局部的做法上，体现出“个性化”罢了。
可以清楚地告诉大家：在法务、内控、合规、风险管理领域，所谓“几位一体建设”的做法，是一种职能化的先验性“思维定式”，而不是以“防控风险”为目的、构建功能为出发点的系统建构。
在这个领域，只有“因管理风险的需要”而带来的风险解决方案、计划、标准定义、流程、控制（含法务审查）、制度与风险清单、更详备且具可衡量性的工作等产出，通过合规承诺、监管、监督（含违规举报）等方式，促进“规则作用的人”执行流程、制度、标准并反馈完善的机制。
他们所产生的综合效能，加上“定量化”那部分的风险评估与管控，就是风险管理的系统功能。要保证系统的有效运转，还需要提供风险程度判定基准与方法、风险可能性判定基准与方法、风险等级判定标准，才能根据风险等级，实现“责、权、风险”的关联与匹配，才能形成风险管理机制。
企业的风险管理能够做到这种程度，实现穿透式监管的必要条件，就会清晰地浮现出来。
那么，我们怎么归纳“穿透式监管”呢？是以防风险为导向的监管系统。与“现有的人工监管”略有差异，不是通过建立穿透式监管IT系统，取代现有的人工监管，而是让人工监管更富针对性、反应更敏捷、监管效率更高的辅助手段，会影响到工作方式的改变，但不会改变“线下监管”的运作机制。
03.满足国资国企改革政策下的穿透式监管要求
客观讲，这几年国资委组织开展的几次行动，无论在研究、规划、方案逻辑、政策上，能明显感觉到已经超过了一些优秀的央企集团。
比如，国资委提出穿透式监管政策，监督检查局在“2026年内部控制与监督工作重点”中，给出了富有指导性的落实呼应。不过，文件的深度，也决定了央企、国企内控主管部门在理解、行动上的难度。
至少，那种依靠18项指引进行原理性描述、依靠感觉或参考复制其它企业的内控建设做法，不仅难以过关，还会影响到后期穿透式监管工作的推进。如果内控建设与合规管理那么简单、那么通用、那么直观可见，还需要国资委每年花钱花力、劳师动众地抽查、评价。
01、02的分析，是为了厘清监管的事理与实现条件，具体如何规划并满足要求，需要从政策角度进一步理解。国资委1号、2号文件并没有完整公开，以下认识建立在对零散政策信息的理解基础上。
所谓穿透式监管，是一种“修辞化”的语言表达方式，是为了让央企、国企能够从认识里激发出对监管的认识度、重视度、决心度并转化为行动的语言艺术。所以，人们总喜欢把管理描述成“是一门艺术”。
为了进一步提高人们对穿透式监管的认识，紧随其后表达出“全级次、全链条、全过程、全要素”的说法，并会在政策文件中加以定义或解释，是诠释“实施穿透式监管要求”的政策语言。站在企业角度，可以理解成国资监管机构指导企业推进穿透式监管的“普遍原则”。
从企业落实政策的角度，高级领导者可以讲“4全”政策，是国资系统“贯彻落实政策”的责任者与全权代表。但是，如果职能部门通过类似的说法去做管理、去指导实施，那就是“管理的失职”。
就好像过去在某集团主管风险管理工作时，当有人提出所谓的“横向到边、纵向到底”，所谓的“覆盖全组织、全流程、全员工”，所谓的“谁管理谁负责”的说法时，我做出了任何文件中“不允许出现类似说法”的限制。
为什么这样做呢？第一，没有理解透并清晰表达出“全面”的含义与明确的评价基准，会导致下属单位不知所措；第二，在风险管理做不到明确的“确定性做法”条件下，不能出现“谁管理谁负责”的说法。这句话，有适用条件而不是随意用的，否则，还要职能主管部门做什么呢？
企业中的管理是要“应用”并转化为实践的，不是用来“话事儿”的，必须让应用者明白你的意图与评价基准。“4全”的说法，是职能管理部门进行规划需要把握的原则，需要转化成反映事实的定义与归纳，而不能成为“政策转述者”，那是宣贯、通报的做法。
如果一个职能管理部门总处于“完美无暇的政策话事儿而无为或少为”状态，也就意味着对管理的背叛。下属个体单位、员工不会关心什么“全级次、全链条、全过程、全要素”的说法，他们可以通过转发的政策、宣贯传达等方式获得政策精神，员工更需要看到“要求我做什么，怎么做，节点是什么”，以及发挥作用后带来的变化、效果。
实施穿透式监管的目的是什么？政策文件中给出的答案是“防范国有资产流失”，可以视为是国资系统对央国企明确的“目的要求”，也给出了企业规划穿透式监管的“重点方向”。即使是合规性的监管，也需要围绕“与资产有关的领域”重点开展，没必要扩大化。
反映到履行国资监管职责的国资机构，期望的是资产价值的增长，从监管角度，优先级次序是“资产的整体安全、国资流失、国资损失、国资保值、国资增值”问题，会通过设定指标与标准、监管与资产相关的重大投资决策、投资方向、体制改革决策、担保、资产及知识产权交易与处理、经营管理中与资金支出相关的活动等关键环节的变化，及时获取相关信息，防范国有资产流失风险。
获取信息的方式，可以通过具体规定，通过央国企在满足条件下的主动报送事项，本身构成了“合规要求与监管”。也可以通过健全的“IT系统”自动实现信息的呈现与预警。IT是处理复杂信息、提高效率、支持快速做出反应的手段，而不是“实施穿透式监管”的目的。
国资监管机构不会成为置身“穿透式监管系统”之外的角色，面对数量、规模庞大、层级结构复杂的国资企业，会通过面向央企集团、地方国资机构，分别制定“通用标准”的方式，明确获取监管信息的基准。
会有人说：每个企业都存在不同，如何提出通用标准呢？虽然不可能“一一确定”，但分类、类型的主旨是可以确定的，大、小企业的收入、利润、资产负债率等量化指标，可以通过比率、占比、增长率等相对方式达成统一基准，决定了国资监管机构对国资企业的“监管范围、深度与力度”。
在国资委尚未明确监管指标、获取监管信息基准的情况下，企业需要通过规划，面向下属单位进行设计、明确，本质就是设定“我需要什么样的信息，满足什么条件必须报送或备案，什么时间报送”。类似的基准，反映的是“一致性”。而获取的信息，需要突破“层级行政关系”这一单位壁垒，是为推动IT监管系统规划、设计做准备的过程。
那么，这些信息从哪来呢？来源于企业已有的IT系统，也意味着今后的IT监管系统不是处理所有流程、所有环节的系统，而是通过已有业务IT系统获取“有关流程、环节产生的信息、数据”的“外壳”系统。也意味着企业建立的流程、控制、标准、制度等，是决定业务IT系统的规则基础。
至于企业已有IT系统的孤岛效应、数据割裂等问题，是大多企业存在的客观问题，可以以“穿透式监管”为契机加以改善，而不是通过穿透式监管系统，去解决这些问题。
其实，如果企业真的已经完成了“数字化”建设、建立了较为完善的司库系统，建立穿透式监管系统的难度并不大。问题是，很多企业的业务IT,本质仍然是“将人工工作移植到计算机上”的信息系统，是最大的问题。
其次，数据割裂只是一种表现的现象，数据治理也并非以此为基础的归整，起源是根据目的需要的数据设计，数据是设计出来的。目前的情况是，不但是数据割裂问题，而是数据缺失问题。
比如，企业中数据最丰富的是财务系统，为什么难以支持经营分析、PMA分析、成本与价格分析呢？财务系统是“通用”的为满足财务合法合规、税务需要、股东需要的系统，而不是适应企业经营需要的财务系统，导致很多经营数据缺失，难以满足利用财务数据进行经营分析的需要。其实，企业的财务系统首先要满足经营需要，财务、税务合规，是限制条件。
客观讲，企业的穿透式监管系统，从技术上并没有太大的难度，难的是已有IT系统的系统性不强，很多反映的仅仅是一个职能下的线上功能。整体、系统性不强的情况下，数字化程度、可利用的价值就低。所以，穿透式监管系统的建设，并没有那么容易，最后，非常可能转变成“立足司库”的监管功能延展。
为什么出现这些被动情况呢？企业IT系统的规划，不是从IT人员进行规划开始，理想的状态是，由整体观、系统观强、对企业比较熟悉、知识较为全面的管理人员进行整体规划开始，当框架分解到企业级功能、确定功能逻辑之后，再由IT人员进行具体规划，数据随着框架产生，整个过程是从上到下解构、再从下到上完善数据结构的过程。数据设计的过程，就是数据治理的过程。
04.与流程、内控、制度、合规、IT系统的关系
在本文的前述部分，其实已经做出了回答。很多人一直纠结这些话题的关系，我们做一个简单的归纳。
流程设计优先于线上的控制，控制包括但不限于流程中的控制活动。流程中的控制，是保证流程有效的措施（预防流程风险的目的，让流程稳定、有效）。先有反映正向路径的流程，通过经验感受影响流程的不确定因素，再根据必要性设置控制活动，明确控制活动的重点，形成最终的流程。狭义内控的本质，就是“流程”，故从内控的角度，称之为“流程与控制”。
控制一般包括3种构成：一是定义的控制标准，目的是筛选掉部分影响流程的不确定因素，必要情况下需要有特殊的加严控制出口，是预设的线下公共控制基准；二是流程中的控制，又划分为3类，即外部风险控制（主要是外部合法合规符合性、法律风险性的专业审查控制）、管理要求满足性控制（主要反映为职能化的控制）、防舞弊或防数据出错的牵制型控制（主要反映为同一件事儿的职权分割与牵制）；三是离线的职能监管、审计与监督等活动。
流程中的控制，优先于管理监管、审计与监督。后者是结果性的监管，对发现的问题会反馈到前阶段流程进行解决、改善。流程中的控制，是为了去除流程中的不确定因素，发现偏差并及时纠正，从而保证流程产出符合预期的功能。
制度滞后于流程。流程是制度的基础，制度是流程有效运作的保证，是强化执行、建立机制必选的权威性管理工具。大部分制度具有控制功能，但并非所有制度都能发挥控制作用。制度，是描述“管理”的规则工具。
企业中的制度强调系统性，通过两种互为参照系的方式反映出来：一是顺着流程框架建立制度，重点体现在业务管理领域；二是通过管理的分层、分类需要，预设与管理需要匹配的反映制度属性的分类，通过管理设计形成“有形有质”的系统化制度产出。制度的分类，不是基于制度本身，而是因管理需要带来的“看似制度分类”的结果。
流程管理强调整体性、系统性，流程梳理是一个从上到下构建逻辑、分解细化、从下到上不断对齐的复杂过程，是以业务价值链为主轴，由分段逻辑流、分支流程、职能流程、流程片段等共同构成的系统，本质是实现业务与管理集成、流畅运作的方法，也是将企业运作、职能运作以流程的方式描述出来，再反馈到运作的结果。流程，是描述“运作”的规则工具。
合规管理首先是“管理”，由流程与控制、制度、合规管理的职能活动、监管活动构成。三张表单，是运作过程中的活动产物、以流程与控制为基础形成的归纳。
IT系统的本质是逻辑与规则，必须建立在制度合规性的框架范围内。IT系统中的流程，实质是工作流，而不是流程管理中的“流程”，是由IT技术人员依据对流程管理中的流程理解、分解，通过工作流、信息流、资金流、数据结构、节点控制活动、角色等共同反映出来。
企业穿透式监管的本质，不是穿透式监管IT系统本身，而是将重点活动、产出、行为，实现透明化、可衡量化、可追溯化的反映，而IT监管系统，是达成目的的最有效手段。
