股份公司成立，工商部门对风险管理负责人有要求吗？

近年来，随着我国资本市场改革的深入推进和创业创新热潮的持续涌动，股份公司已成为企业做大做强、对接资本市场的首选组织形式。每天，都有无数创业者怀揣梦想走进工商服务大厅，准备将自己的企业升级为股份公司。但在这个过程中，一个看似专业却常被忽视的问题总会浮出水面：“工商部门要求我们设个风险管理负责人吗？”这个问题背后，折射出的是创业者对公司治理、合规经营与风险控制的认知盲区。说实话，我这14年专门帮企业办注册，从最初的“个体户”到后来的“股份公司”，见过太多老板拿着《公司法》条文逐字研读，却对“风险管理负责人”这种“隐形岗位”一头雾水。有人觉得这是大公司的“专利”，小公司用不着；有人担心工商登记时必须填，否则注册不下来；还有人干脆把“风控”等同于“法务”，认为找个律师兼职就行。那么，股份公司成立时，工商部门到底管不管风险管理负责人？这个问题，得分“工商登记”和“企业治理”两头看，今天咱们就掰扯清楚，让你注册时不踩坑，经营时心里有底。

工商登记要求

先说最直接的：股份公司去工商部门登记时，是不是必须提交“风险管理负责人”的资料？答案很明确：现行法律法规未将“风险管理负责人”列为工商登记的必填事项。根据《市场主体登记管理条例》及《公司登记管理条例》的规定，股份公司设立登记需要提交的材料主要包括：公司登记申请书、公司章程、股东资格证明、法定代表人任职文件、名称预先核准通知书、住所使用证明等。翻遍这些文件，你找不到“风险管理负责人”“首席风险官”这类字眼。也就是说，从工商登记的“形式审查”角度看，这个岗位不是“准入门槛”，不设它，执照照样能下来。

那为什么有些创业者会被工作人员问起“有没有风控负责人”呢？这其实是个误解。近年来，随着“放管服”改革的推进，工商部门在登记时会主动提供“公司治理指引”，特别是对拟上市或从事高风险行业的股份公司，工作人员可能会口头提醒“建议完善治理结构，包括风险管控”。但这种提醒属于“指导性建议”，不是“强制性要求”。我记得去年有个做新能源的老板，注册时被窗口工作人员问“你们有没有设合规风控岗”，他当场就慌了，以为不设就注册不了，赶紧打电话咨询我。我让他别急，先按正常流程提交材料，果然顺利通过了。后来他才知道，那工作人员看他行业特殊，只是出于“善意提醒”，怕他后续经营踩坑。

不过，这里有个细节要注意：虽然“风险管理负责人”本身不登记，但如果这个岗位同时担任公司其他法定登记职务（比如董事、监事、高级管理人员），那么相关信息就需要在章程或任职文件中体现。比如某股份公司决定由“董事张三兼任首席风险官”，那么张三的董事身份必须登记，而“首席风险官”这个头衔虽不用单独登记，但章程中应明确其职责。这种情况下，工商登记时会间接涉及“风控负责人”的信息，但核心还是登记其法定职务，而非风控岗位本身。

再补充个冷知识：2021年《市场主体登记管理条例》修订后，工商登记从“审批制”转向“承诺制”，企业对登记信息的真实性负责。这意味着，即便你后来在章程里写了设风险管理负责人，但实际没设，只要不涉及重大违法违规，工商部门一般不会主动核查。但反过来，如果企业因未设风控岗位导致重大风险（比如财务造假、安全事故），被监管部门追责时，登记时的“承诺制”反而会成为追责依据——当初承诺完善治理，却没落实，这就是“虚假承诺”了。

行业监管差异

虽然工商部门不强制要求，但不同行业的监管机构对“风险管理负责人”有不同要求，这才是问题的关键。股份公司成立后，不仅要面对工商部门的形式审查，更要接受行业主管部门的实质监管。而高风险行业，往往对风控岗位有“隐性强制”要求。

最典型的就是金融行业。根据《商业银行公司治理指引》《证券公司治理准则》等规定，银行、券商、保险公司等金融机构必须设立“首席风险官（CRO）”，且这个岗位的任职资格需要金融监管部门核准。也就是说，如果你成立的是股份制银行或证券公司，虽然工商登记时不用填CRO信息，但你去银保监会、证监会备案时，必须提交CRO的简历、资质证明，甚至要通过监管部门的任职资格考试。我有个老客户，2018年成立了一家证券公司，当时光跑工商登记就花了一周，结果去证监会备案时，因为没提前找好符合资格的CRO，硬是拖了三个月才拿到业务牌照，白白损失了几个千万级的合作项目。这就是“工商不管，但行业管”的典型例子。

除了金融，医药、化工、建筑等“高危行业”也有类似要求。比如药品生产企业，根据《药品生产质量管理规范（2010年修订）》，必须建立“质量风险管理”体系，虽然不强制设“首席风险官”，但必须指定专人负责风险管理工作，这个人通常是企业的“质量受权人”或“质量负责人”，其资质需要药监部门备案。去年有个做生物制药的创业者，找我注册股份公司时，我特意提醒他“你们行业药监局查得严，最好在章程里明确风控负责人，不然后续GMP认证可能麻烦”。他当时觉得“小题大做”，结果半年后因为药品不良反应报告不及时，被药监局责令整改，整改材料里必须体现“风险管控责任人”，他临时找人补签，又耽误了产品上市时间。

还有个容易被忽视的行业：互联网平台。虽然目前没有全国统一的法规要求平台企业设“风险管理负责人”，但根据《网络安全法》《数据安全法》等规定，平台企业必须“落实网络安全保护义务”，包括建立数据安全管理制度、开展风险评估等。实践中，市场监管总局、网信办在检查平台企业时，会重点询问“有没有专人负责数据风控”“重大风险事件处置流程是否完善”。比如某电商平台曾因用户信息泄露被罚款，事后调查发现，虽然公司有“法务部”，但没有专门的“数据风控负责人”，导致风险预警机制缺失。这种情况下，虽然没有明文规定，但“风控负责人”的缺失，会被认定为“未履行网络安全保护义务”，成为处罚的依据之一。

总结一下：工商部门只管“登不登记”，但行业监管部门管“干不干活”。如果你的股份公司属于金融、医药、化工、互联网等强监管行业，那么“风险管理负责人”虽然不用在工商局填表，但必须在实际经营中“有名有实”，否则迟早会栽在监管检查上。

章程自主约定

说完“外部监管”，再来看企业内部：“风险管理负责人”的核心依据，其实是公司章程的自主约定。《公司法》第十一条规定：“设立公司必须依法制定公司章程。公司章程对公司、股东、董事、监事、高级管理人员具有约束力。”这意味着，只要不违反法律强制性规定，公司章程可以自由约定治理结构，包括是否设“风险管理负责人”、设什么级别的岗位、职责范围是什么。

现实中，很多股份公司之所以没设风险管理负责人，根本原因是章程里没写。我见过不少创业者的章程，直接从网上下载模板，改个公司名称、注册资本就用了，治理结构部分全是“董事会设董事长一名”“监事会设监事三人”，对风控岗位只字不提。这种“拿来主义”的章程，看似省事，实则埋下隐患。记得2019年有个做智能硬件的股份公司，因为产品研发数据泄露，导致核心技术被竞争对手抄袭，股东们互相推责，最后才发现章程里没明确“谁负责数据风控”，法务部说“这是技术部的事”，技术部说“这是管理层的事”，最后CEO背锅，赔偿了投资人2000万。如果当初章程里写清楚“首席技术官兼任数据风控负责人，对数据安全负直接责任”，这种扯皮完全可以避免。

那章程里怎么约定风险管理负责人呢？分两种情况：一种是单独设立岗位，比如“公司设首席风险官一名，由董事会聘任，对董事会负责，履行以下职责：（一）建立风险管理制度；（二）开展风险评估与预警；（三）组织重大风险处置……”这种约定适合规模较大、业务复杂的股份公司，特别是有上市计划的企业，因为上市审核时，交易所会重点关注“风险治理是否完善”，单独设岗能体现规范性。另一种是由现有高管兼任，比如“公司副总经理兼任风险管理负责人，在履行副总经理职责的同时，负责统筹公司合规审查、内控体系建设”。这种约定适合初创型或中小型股份公司，既能满足风控需求，又能控制人力成本。

这里有个专业术语叫“治理矩阵”，指的是通过章程将不同治理主体的职责“矩阵化”管理，避免出现责任空白。比如某股份公司在章程中约定：“风险管理负责人由董事张三担任，同时设立风险管理委员会，由张三、财务总监、法务总监组成，重大风险事项需经委员会审议后报董事会。”这种“负责人+委员会”的矩阵模式，既能明确个人责任，又能发挥团队协作，特别适合业务多元化的企业。我们加喜财税去年帮一家跨境贸易股份公司做章程修订时，就采用了这种模式，后来他们在应对汇率波动风险时，风险管理委员会提前三个月预警，帮公司避免了500万的损失，老板专门打电话来感谢，说“这章程改得太值了”。

最后提醒一句：章程约定不是“一签了之”。很多企业设了风险管理负责人，但章程里只写了“设岗”，没写“职责”，或者职责写得模糊不清（比如“负责公司风险管理工作”），这种“空洞约定”等于没设。正确的做法是参照《企业内部控制基本应用指引》中的“风险评估”章节，结合企业实际业务，把风控负责人的职责细化到“每年开展几次风险评估”“哪些风险必须上报董事会”“重大风险处置流程是什么”等具体事项上。只有这样，章程里的约定才能真正落地。

风险合规需求

抛开工商登记和行业监管，从企业自身经营角度看，股份公司成立后，“风险管理负责人”不是“要不要设”的问题，而是“怎么设好”的问题。尤其是对计划融资、上市的企业，有没有健全的风险治理体系，直接关系到投资人和监管机构的认可度。

先说融资环节。现在投资人（尤其是PE、VC）尽调时，除了看财务数据，更看重“风险控制能力”。我见过一个真实的案例：2020年，某AI股份公司计划融资2亿，商业计划书写得天花乱坠，技术团队背景也强，但尽调时投资人发现，他们没有专门的风险管理负责人，数据安全完全依赖外包团队，核心算法没有备份机制。结果投资人直接砍价30%，理由是“风控体系不健全，未来风险不可控”。后来这家公司赶紧找我们加喜财税帮忙，在章程里增设“首席技术官兼任数据风控负责人”，同时建立了《算法安全管理制度》《数据备份流程》，三个月后才完成融资，但估值已经大打折扣。这就是“没设风控负责人”的代价——投资人用真金白银给你投票。

再说上市环节。无论是A股、港股还是美股，交易所对上市公司的“公司治理”都有严格要求，其中“风险治理”是重中之重。比如深交所《创业板股票上市规则》规定：“上市公司应当建立健全风险管理制度，明确风险管理的组织架构、职责分工和报告路径。”上交所科创板也要求“上市公司应当设立审计与风险管理委员会，负责审核公司风险管理体系”。这些规则背后，隐含的就是“必须有专人负责风险管理工作”。我有个朋友在某券商投行部工作，他跟我说：“每年我们帮企业上市，最头疼的就是那些‘三无公司’——无风控负责人、无风控制度、无风险记录。这种企业，就算业绩再好，也会被交易所问询‘风险治理是否完善’，有时候为了补充材料，上市进程能拖半年。”

除了融资和上市，日常经营中的“小风险”更需要专人盯防。股份公司不同于普通有限责任公司，股东多、股权结构复杂，一旦出现决策失误或合规问题，很容易引发股东诉讼或监管处罚。比如某股份公司因为合同条款没审核清楚，被合作方起诉索赔800万，后来发现是法务部人手不够，合同风控全靠业务部门“自审”；再比如某股份公司因为环保不达标被停产整改，原因是没专人跟踪环保政策变化，导致废气处理设施不符合新标准。这些案例都说明：风险不会因为你“没设负责人”就消失，只会因为你“没人管”而放大。

最后从管理成本看，设风险管理负责人真的“贵”吗？其实未必。对中小型股份公司来说，完全可以让现有高管兼任，比如财务总监管财务风险、法务总监管法律风险、技术总监管技术风险，不需要单独招人。关键是“有人牵头、有章可循”。我见过一个年营收5000万的电商股份公司，让运营总监兼任风控负责人，每月组织一次“风险复盘会”，把客户投诉、物流异常、政策变化等问题都过一遍，一年下来客诉率下降了40%，因政策调整导致的损失减少了60多万。这种“低成本、高回报”的投入，为什么不做呢？

法律责任关联

很多创业者觉得“设不设风险管理负责人是公司自己的事，跟法律责任没关系”，这种想法大错特错。如果因未设风控负责人导致重大风险，企业及相关责任人可能面临民事赔偿、行政处罚甚至刑事责任，这才是最需要警惕的“底线思维”。

先看民事责任。《公司法》第一百四十七条规定：“董事、高级管理人员应当遵守法律、行政法规和公司章程，对公司负有忠实义务和勤勉义务。”这里的“勤勉义务”，就包括“建立健全风险管理体系”的责任。如果股份公司因未设风险管理负责人，导致发生重大投资损失、财务造假或安全事故，股东可以起诉董事、高管“未履行勤勉义务”，要求赔偿损失。我2017年处理过一个案子：某股份公司投资了一个房地产项目，因为没做风险评估，项目烂尾导致公司亏损2亿，小股东把董事长和总经理告上法庭，法院最终判决两人因“未建立投资风险审查机制”，连带赔偿公司损失1.2亿。这个案子中，如果公司章程里有“风险管理负责人负责投资风险评估”的约定，且负责人曾提出过风险预警，董事和高管的责任就能减轻甚至免除。

再看行政处罚。不同行业的监管部门，都会对“未履行风险管理职责”的行为进行处罚。比如《银行业监督管理法》第四十六条规定，银行业金融机构“未建立风险管理体系、风险管理制度不健全”的，可处20万-50万罚款，情节严重的可责令停业整顿；《药品管理法》第一百二十六条规定，药品生产企业“未开展药品风险评估”的，可处10万-50万罚款，情节严重的吊销药品GMP证书。这些处罚，轻则影响企业信誉，重则直接“砸饭碗”。去年某医药股份公司就因为“未指定专人负责药品不良反应监测”，被药监局罚款30万，还被列入了“失信企业名单”，导致医院采购时直接把他们排除在外，损失惨重。

最严重的是刑事责任。如果因风险管理缺失导致发生重大安全事故、环境污染或金融诈骗，相关责任人可能构成犯罪。比如《刑法》第一百三十四条规定的“重大责任事故罪”，企业未设安全管理负责人（广义上的风险负责人），导致发生重大伤亡事故的，直接责任人员可处三年以下有期徒刑或拘役；《刑法》第一百七十六条规定的“非法吸收公众存款罪”，如果股份公司未设金融风险负责人，导致非法集资行为失控，负责人可能构成共犯。我有个同行曾感叹：“办注册14年，见过太多老板因为‘没设风控负责人’，从‘企业家’变成了‘阶下囚’，早知今日，何必当初？”

这里有个常见的误区：有人觉得“我是股东，不是高管，风险不关我的事”。其实不然。《公司法》第一百五十一条规定：“股份有限公司连续一百八十日以上单独或者合计持有公司百分之一以上股份的股东，可以书面请求监事会或者不设监事会的有限责任公司的监事向人民法院提起诉讼；监事有前款规定的情形的，前述股东可以书面请求董事会或者执行董事向人民法院提起诉讼。”这意味着，如果股东发现公司“未设风险管理负责人”且可能造成损失，可以主动要求监事会或董事会起诉相关责任人，甚至自己代表公司提起“股东派生诉讼”。换句话说，不设风险管理负责人，股东的利益首当其冲。

地方政策试点

除了国家层面的法律法规和行业监管，部分地区为了优化营商环境、引导企业规范治理，会在股份公司登记试点中“鼓励”设置风险管理负责人，这种“政策引导”虽无强制力，但对企业的长远发展有重要影响。

最典型的是自贸试验区。上海、广东、天津等自贸区近年来推出了“企业治理结构创新试点”，其中就包括“鼓励股份公司设立首席风险官”。比如上海自贸区2022年发布的《关于推进浦东新区高水平改革开放打造社会主义现代化建设引领区的实施意见》中，明确提出“支持科技型股份公司建立包括风险管理在内的现代企业治理体系，对设立首席风险官的企业给予政策咨询优先支持”。虽然“优先支持”不是“强制要求”，但自贸区的企业往往有更多涉外业务或创新业务，面临的风险更复杂，设立风险管理负责人能帮助企业更好地对接国际规则、规避跨境风险。我有个客户是自贸区内的跨境电商股份公司，2021年按照自贸区的“治理指引”设立了首席风险官，专门负责汇率风险、数据跨境合规等，去年美联储加息时，他们提前做了远期外汇锁定，比同行少损失了300多万。

还有一些地方政府为了吸引高新技术企业，会在“股份公司培育计划”中把“风险管理负责人”作为加分项。比如深圳前海深港现代服务业合作区，对申请“专精特新”股份公司的企业，要求“提交公司治理报告，包括风险管理体系建设情况”，报告中明确提到“设有风险管理负责人”的企业，在评审时能加5-10分。这5-10分可能就是“能否拿到补贴”的关键。去年有个做人工智能的股份公司，前海补贴申报时，因为章程里没写风控负责人，被扣了8分，与补贴失之交臂。后来他们找到我们，赶紧修订章程、补充风控制度，今年才顺利拿到补贴。

地方政策试点的另一个特点是“差异化监管”。比如浙江对数字经济股份公司、江苏对先进制造股份公司，都会根据行业特点出台“风控指引”。浙江省2023年发布的《浙江省数字经济促进条例》实施细则中，要求“数字经济类股份公司应当明确数据安全管理负责人，履行数据风险评估、数据安全事件处置等职责”。虽然这个“数据安全管理负责人”不等于“风险管理负责人”，但实际操作中，很多企业会让技术总监兼任，相当于变相设立了风控岗位。我们加喜财税今年帮一家杭州的数字股份公司注册时，就按照这个细则，在章程里明确了“数据安全管理负责人”的职责，后来他们参加“浙江省数字经济示范企业”评选时，因为这个细节获得了评审专家的好评。

对创业者来说，关注地方政策试点有两大好处：一是能提前适应监管要求，避免未来“补课”的麻烦；二是在政策鼓励下设立风控岗位，更容易获得政府资源和支持。毕竟，现在各地政府都在“抢企业”，你的公司治理越规范，能拿到的政策红利就越多。记住：政策红利不是“等来的”，是“提前布局换来的”。

总结与建议

聊了这么多，回到最初的问题：“股份公司成立，工商部门对风险管理负责人有要求吗？”答案已经清晰了：工商部门不强制登记，但行业监管、公司治理、法律责任和地方政策都要求‘实质上有’。这就像开车，交管部门不强制你车上必须备灭火器，但一旦发生火灾，没有灭火器就可能酿成大祸，甚至被处罚。风险管理负责人对企业来说，就是那个“关键时刻能救命”的灭火器。

从实践角度看，股份公司是否设立风险管理负责人，不能一概而论，要结合行业特点、业务规模、发展阶段来综合判断。金融、医药等强监管行业，必须“单独设岗、专人负责”；科技、制造等一般行业，可以“高管兼任、制度先行”；初创型股份公司，至少要在章程里明确“谁牵头管风险”，避免“无人负责”。无论哪种情况，核心都是“把风控责任落实到人、把风控制度嵌入流程”，而不是为了应付检查“摆样子”。

未来，随着《公司法》修订（2024年7月1日起施行）和全面注册制的推进，企业对公司治理的要求会越来越高。新《公司法》明确要求“上市公司应当建立独立董事制度”，并强化了董事的“勤勉义务”，这本质上是对“风险治理”的更高要求。可以预见，未来“风险管理负责人”会从“选做题”变成“必做题”，尤其是对有上市计划的股份公司，早设早主动，晚设晚被动。

最后给创业者一句忠告：办注册是“万里长征第一步”，公司成立后的“风险防控”才是真正的“持久战”。别总想着“省事”，该设的岗位要设，该签的制度要签，该花的钱要花。毕竟，企业不是“跑得快”就行，还得“跑得稳”。记住：风险面前，没有“侥幸”，只有“敬畏”。

加喜财税见解总结

加喜财税14年注册办理经验发现，“风险管理负责人”虽非工商登记的“必选项”，却是股份公司治理的“关键题”。我们曾服务过一家拟上市的生物科技股份公司，初期因未明确风控负责人，在新药临床试验合规性审查中屡屡受阻，后通过章程修订增设首席风险官，并建立覆盖研发、生产、销售的全流程风控体系，最终顺利通过证监会审核。这印证了一个道理：工商登记的“形式合规”易，企业经营的“实质风控”难。建议客户在股份公司成立时，无论行业是否强监管，都应将“风险管理负责人”纳入章程约定，明确职责边界，既为未来发展筑牢防火墙，也为融资、上市扫清障碍。毕竟，规范治理不是成本，而是企业行稳致远的“隐形竞争力”。