2026年1月1日起，新修订的《中央企业违规经营投资责任追究实施办法》（国务院国资委令第46号）正式施行。与既往追责办法相比，新办法最值得关注的变化之一，是把"未按规定履行合规管理、内控及风险管理制度建设职责，导致内控流程存在重大缺陷""合规管理、内控及风险管理制度未执行或执行不力"明确纳入责任追究范围。

这意味着，内部控制缺陷不再只是一个"管理问题"，而是可能直接与经营管理人员的个人责任挂钩。叠加2026年3月修订印发的《国有企业领导人员廉洁从业规定》、财政部持续加码的内控评价审计要求，以及央企法治建设"十五五"布局，一个清晰的监管导向正在形成：内控与合规正在从两套并行制度走向一体化管理，从"建制度"走向"追责任"。

1 监管新信号：内控缺陷首次进入责任追究清单

理解当前的监管变化，先看两个关键文件。

国资委令第46号：内控从"管理事项"升级为"责任事项"。2025年12月，国务院国资委发布《中央企业违规经营投资责任追究实施办法》（国资委令第46号），自2026年1月1日起施行，同时废止2018年施行的试行办法（国资委令第37号）。新办法在责任追究范围中明确了两类情形：一是未按规定履行合规管理、内控及风险管理制度建设职责，导致合规管理、内控及风险管理制度缺失，内控流程存在重大缺陷；二是合规管理、内控及风险管理制度未执行或执行不力，对经营投资重大风险未能及时分析、识别、评估、预警、应对和报告。

这是责任追究制度首次把"内控制度缺失、内控流程重大缺陷、内控制度执行不力"直接写进追责情形。过去，内控问题通常被视为企业内部管理瑕疵；现在，内控体系建设与执行情况成为判定个人责任的重要依据。对企业经营管理人员而言，"内控有没有、执行没执行、风险有没有及时报告"不再是可选项。

《国有企业领导人员廉洁从业规定》：合规机构成为刚性要求。2026年3月，中共中央办公厅、国务院办公厅印发修订后的《国有企业领导人员廉洁从业规定》。修订后的规定要求国有企业应当根据企业规模、业务范围、营业收入等，合理设置合规管理部门或者人员，针对反商业贿赂、涉外业务等重点领域以及合规风险较高的业务，制定廉洁合规管理制度，完善廉洁合规运行机制，将廉洁合规管理贯穿经营业务决策、执行、监督全过程。合规管理的组织要求，从倡导走向强制。

两个文件一前一后形成组合：前者解决"内控合规不健全、不执行要追责"，后者解决"合规机构和廉洁管理制度必须建起来"。

2 政策纵深：从央企到全市场，内控评价审计全面压实

内控合规一体化并非只针对中央企业。近两年，财政部在上市公司、拟上市企业、行政事业单位层面的内控要求同步加码。

财会〔2023〕30号文持续深化。财政部、证监会联合发布的《关于强化上市公司及拟上市企业内部控制建设 推进内部控制评价和审计的通知》（财会〔2023〕30号），推动上市公司及拟上市企业加强内部控制建设、开展内控评价、聘请会计师事务所实施财务报告内部控制审计。这一制度安排将内控从企业自我管理扩展为外部独立鉴证。

财会〔2025〕33号年报通知细化要求。2025年12月，财政部发布《关于严格执行企业会计准则 切实做好企业2025年年报工作的通知》（财会〔2025〕33号），要求执行企业内部控制规范体系的企业建立健全内部控制制度、完善风险评估机制、明确内部控制缺陷认定标准、科学准确评价内部控制设计与运行的有效性、真实完整编制内部控制评价报告、强化内部控制缺陷整改工作；上市公司及拟上市企业应在全面评价基础上，强化对资金管理、采购销售、关联交易等重点领域、高风险业务以及数字化转型中新型风险的内部控制。

压实会计工作责任意见构建分层责任体系。2025年11月，财政部印发《关于进一步压实会计工作责任 加强会计法律法规和国家统一的会计制度贯彻实施的意见》，对上市公司（内控评价并披露、内控审计并出具报告）、中央企业（内控评价并报送评价报告）、行政事业单位（内控评价、编制和报送内控报告）分别提出明确要求，内控评价与审计成为各类主体的法定义务性安排。

与此同时，国务院国资委2026年4月召开中央企业法治工作会议，部署"十五五"时期法治工作，重点包括提升合规管理有效性、强化对重大战略任务的支撑保障；2026年8月印发的《关于推动法治央企建设进一步走深走实的方案》，进一步要求集团公司及重要子企业2027年底前全部配备总法律顾问，"十五五"末专业化比例不低于80%。合规组织与人才建设，正在成为央企法治建设的硬指标。

3 机制拆解：内控与合规为什么必须一体化

监管导向的变化背后，是内控与合规在实践中的天然联系。很多企业把内控和合规当成两套体系分头建设，结果往往是"两套制度、两本台账、两拨人"，互不打通。理解两者的关系，是理解本轮监管变化的前提。

什么是内部控制。根据《企业内部控制基本规范》（财会〔2008〕7号），内部控制由控制环境、风险评估、控制活动、信息与沟通、内部监督五要素构成，目的是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整、提高经营效率和效果、促进企业实现发展战略。它解决的核心问题是：企业内部的权力和流程如何被约束。

什么是合规管理。合规管理是指企业以有效防控合规风险为目的，以企业和员工经营管理行为为对象，开展制度制定、风险识别、合规审查、风险应对、责任追究、考核评价、合规培训等有组织有计划的管理活动。它解决的核心问题是：企业经营行为是否符合法律法规、监管规定、行业准则和国际条约等外部规则。

两者的关系：内控是合规的落地载体，合规是内控的方向牵引。合规要求最终要通过内控的控制活动落地——合同要不要合规审查、付款要不要双重审批、关联交易要不要回避表决、数据要不要权限管控，这些既是内控流程，也是合规动作。反过来，内控体系的建设应当以合规风险为重要输入——哪些业务合规风险高，内控资源就应当向哪里倾斜。国资委令第46号把"合规管理、内控及风险管理制度建设职责"放在同一条追责情形中，正是基于这一内在联系：制度建没建、执行没执行、缺陷有没有，是同一件事的三个侧面。

一体化意味着什么。一体化不是把两个部门合并，而是在治理层面统一风险管控逻辑：同一套风险识别框架、同一条合规审查嵌入业务流程、同一个缺陷整改闭环、同一套监督问责机制。企业如果继续"内控归财务、合规归法务、监督归审计"各管一段，就难以满足监管对"制度完整、执行有效、缺陷可追责"的整体要求。

4 常见误区：企业最容易踩的四个坑

在服务企业实践和观察监管案例时，有几类常见理解需要厘清。

误区一："制度建了就等于内控有效。"制度的完备性只是起点。监管越来越关注执行证据——控制活动是否真正发生、异常事项是否被记录和报告。国资委令第46号将"内控制度未执行或执行不力"与"制度缺失"并列，说明监管对"墙上制度"零容忍。

误区二："内控是财务部门的事。"内控覆盖企业所有经营环节：采购、销售、投资、融资、合同、印章、信息系统、境外业务。财务只是信息呈现的出口。把内控窄化为财务内控，恰恰是很多企业缺陷频发的根源。

误区三："内控评价只是上市公司的义务。"从财会〔2025〕33号文和压实会计工作责任意见看，中央企业、行政事业单位、公立医院、高校等都已纳入内控评价报送体系。非上市企业的内控评价与审计要求也在逐步推进。

误区四："缺陷整改就是补一个流程。"缺陷整改的关键是闭环：认定分级、落实整改、跟踪验证、持续监督。如果只补制度不验证执行，缺陷会在下一轮评价中再次出现。

5 企业应对：从制度建设走向内控合规一体化

面对监管新导向，企业可以从四个方向着手。

第一，健全内控合规治理架构。按照《中央企业合规管理办法》（国资委令第42号）确立的"三道防线"框架，业务部门承担第一道防线责任，合规管理牵头部门承担第二道防线，纪检监察、审计、巡视等承担第三道防线。企业应当明确内控与合规的统一牵头机制，避免多头管理、责任悬空。

第二，将合规审查嵌入业务流程。把合规审查前置到制度、合同、重大决策环节，实现"应审尽审"；同时将关键控制活动固化到信息系统，做到审批留痕、异常预警、过程可溯。

第三，建立内控缺陷认定与整改闭环。对照《企业内部控制评价指引》，从定性和定量两个维度明确重大、重要、一般缺陷的认定标准；对发现的缺陷实行台账管理，明确责任、措施、时限，整改完成后跟踪验证。

第四，聚焦重点领域与新型风险。资金管理、采购销售、关联交易、对外担保、境外业务等传统高风险领域需要持续强化控制；数字化转型中的权限管理、数据安全、算法控制、第三方服务风险等新型风险，需要及时纳入风险评估范围。

从国资委令第46号把内控缺陷纳入责任追究，到廉洁从业规定要求国企普遍设立合规机构，再到财政部在上市公司和各类主体中压实内控评价审计责任，监管逻辑已经清晰：内控与合规不是两张皮，而是企业风险防控体系的一体两面；制度健全只是起点，执行有效才是底线，缺陷可追责是最终约束。

对企业而言，与其被动等待检查发现问题，不如主动把内控与合规放在同一个治理框架下统筹建设——让合规要求通过内控流程落地，让内控执行接受合规标准的检验。这是监管新导向下的必答题，也是企业行稳致远的长期能力。