第三，合规风险。合规风险既不同于经营风险，也不同于财务风险，是指企业因为在经营中存在违法违规乃至犯罪行为，而遭受行政监管部门处罚和司法机关刑事追究的风险。合规风险可以分为两大类，第一类是企业因违法违规行为受到行政监管部门调查、处罚的监管合规风险，如美国财政部、商务部、证交会等行政监管部门作出的行政处罚、达成的行政和解，以及由此引发的合规风险，就是源于监管合规风险。

该风险对企业产生的最大影响不是罚款本身，而是随之而来的经营资格的剥夺，这会给企业带来经济损失、商业交易资格损失、声誉损失等三重损失，由此引发的雪崩效应最终使企业难以承受。合规风险的第二大类型是企业由于受到起诉而被定罪量刑的风险。

企业一旦受到刑事追究，损失同样是多重的：一方面，企业因为被定罪而丧失了声誉，无法获得贷款，也不再有客户愿意与其进行交易；另一方面，企业上市资格会被剥夺，难以再有发展机会。在美国和欧洲多国的司法实践中，行政处罚和刑罚连带进行，这意味着企业一旦被定罪，除了被判处罚金以外，行政处罚中连带的剥夺经营资格的处罚会随之而来，甚至达到附加刑的效果。

我国诸多合规指引中，给合规风险所下的定义都是因违反法律法规所可能遭受法律制裁、监管处罚、重大财务损失和声誉、商业机会的损失等方面的风险。所以合规风险不仅包括被行政处罚或被刑事追究的风险，还会带来声誉以及商业机会的损失。

可见，合规风险作为与经营风险、财务风险并列的三大公司治理风险之一，具有独立的概念内涵和结构体系。当然，还有人将合规风险与法律风险混同，认为合规风险就是所谓的法律风险，对此应予以澄清。其实，合规风险不同于法律风险，后者是一个广义的概念，企业的行为违反任何一部法律规定所可能遭受的后果都可以归入法律风险，所涉范围十分宽泛。

法律风险可分为三大类型：第一类是企业违法违规带来的风险。第二类是由于国家法律制度变化给企业带来的不可抗力的损失，这与企业本身无关，属于法律制度的修改变革给营商环境造成的后果。第三类是由于商业合作伙伴违规给公司造成的损失。如所谓“合同风险”“被害的风险”等都不是合规风险，但属于法律风险，而在公司治理中可以归入经营风险的范畴，公司中最初设立法务部的目的就是为了防控经营类的法律风险。

因此，合规风险和法律风险有所交叉，企业所面临的违反行政监管法规或违反刑法所遭遇的特定法律风险，才是合规风险；使公司免予承担行政责任和刑事责任的企业管理方式，才是合规治理。