很多民营企业都设有“内控部门”，专门从事风险防控工作。在推进合规体系建设过程中，一些企业将合规等同于风险防控或者内部控制，甚至主张将合规部门设置在“风控部门”之下。那么，企业合规是否等于“内部控制”呢? 研究合规的性质，需要厘清合规风险的性质，也需要清晰界定合规风险与其他公司风险的关系。一般而言，企业会面临三个方面的风险： 一是经营风险； 二是财务风险； 三是合规风险。经营风险需要依靠公司治理结构中的业务治理来进行有效的防控、识别和应对。是财务风险是指由于在财务管理上存在混乱、舞弊、贪腐等行为，企业遭受经济损失，无法实现营利目的，甚至濒临破产的风险。

合规风险既不同于经营风险，也不同于财务风险，是指企业在经营中因为存在违法违规乃至犯罪行为，而可能遭受行政监管部门处罚和司法机关刑事追究的风险。合规风险一旦得不到控制，企业除了被追究法律责任以外，还有可能被剥夺特许经营资格，甚至被吊销营业执照，从而使企业遭受经济损失乃至声誉损失，由此引发的“雪崩效应”会使企业承受灾难性的代价。企业建立合规机制，并不是防控一般意义上的“风险”，而主要是因违法违规行为而受到监管处罚和刑事处罚的风险。一般，在董事会领导之下，同时并存着业务经营、财务管理和监督、合规管理这三大治理体系，它们相互独立，相互制衡。