企业合规管理体系实务指南，企业合规管理的内容及意义

2018年11月，国资委发布《中央企业合规管理指引(试行)》(以下简称《指引》)近三年。在实践中，企业的合规管理取得了很大的进步，但也出现了很多问题。从律师的角度，回顾过去的经验和教训，为了今后进一步发展和完善企业的合规管理，我谈谈对这个问题的认识。

首先需要明确，什么是企业合规管理？

合规意味着遵守规则。这里的规则包括“外法”和“内规”。“外法”是指法律法规、监管规定、行业标准和国际条约、规则，“内规”是指企业的章程、规章制度。从二者的关系来看，“内规”往往是企业根据自身的经营状况、组织结构等具体情况，由“外法”转化而来。2017年12月，中国国家标准化管理委员会发布了国家标准GB/T 35770-2017《合规管理体系指南》，采用了ISO19600标准，为中国企业建立合规管理体系提供了指南。

根据《指引》第二条，本指引所称合规管理，是指包括制度制定、风险识别、合规审查、风险应对、责任追究、考核评估、合规培训等有组织、有计划的管理活动。，以有效防控合规风险为目的，以企业和员工的经营管理行为为对象。但在合规管理之初，并不是这个意思。

美国因水门事件和当时大量跨国公司贿赂外国政府官员以获取订单的丑闻而于1977年颁布的《反海外腐败法》(FCPA)，是近代第一部与合规密切相关的法案。尽管该法案因其域外效力而备受争议，但其“禁止企业贿赂外部人员，尤其是公职人员”的法律规定，在合规领域，即反商业贿赂合规领域，仍然是最狭义的合规来源。广义的合规还包括反垄断、反洗钱、反不正当竞争、税收合规、知识产权合规、劳动就业合规、环境保护和质量安全合规，也称“大合规”。

这就引出了第一个问题，合规与相关风控体系是什么关系？合规等于法务吗？

因为央企普遍建立了纪检监察、综合风险、法律风险、内部控制、安全环保等相关工作制度。，他们在工作内容和方法上与合规管理有很大的重合。如何处理好与他们的关系，避免合规体系建设中管理资源的浪费，成为不可回避的问题。

在制度建设的协调性原则上，《指引》明确提出合规管理应与法律风险防范、监督、审计、内部控制和风险管理相协调，确保合规管理体系的有效运行。在合规管理职责的安排上，提出由监管、审计、法律、内控、风险管理、安全生产、质量、环保等相关部门在各自职权范围内履行合规管理职责，以此作为一个整体建立这些体系之间的关系结构，重点不是整合、集成和替代，而是相互协调和衔接，克服了体系推进中普遍存在的合规建设只能在统一的风控平台上进行的观念障碍。

合规管理是企业管理的基础，其他监管工作在此基础上进行分支和深化。建立企业合规管理体系，合规管理是形成企业的监管格局，而其他监管工作则是加强企业管理。格局和手段的关系不是平行的，而是相互交融的，存在着你中有我的关系。因此，要做好企业的合规管理，必须有效整合现有企业的监管资源，注意瘦身，而不是增肥，否则会有更大的内耗。

公司合规不是一般意义上的“风险防控”，甚至不是一般意义上的“法律风险防控”。从中国中兴通讯重建出口管制合规体系的经验来看，该公司已经设立了法律事务部。为什么在接受美国司法部、商务部和财政部的出口监管调查后，还要重建出口管制合规体系？这说明，合规部承担的“合规风险防控”不仅是整个“法律风险防控”工作的组成部分，而且与一般的“法律风险防控”有着本质的区别。对于将合规部门设置在法务部的企业，合规部门主要承担防范合规风险的工作。

既然明确合规不同于法务或相关风控体系，那么第二个普遍存在的疑问就是，合规机构应该如何运作？

根据SASAC以法律部为合规工作主体的总体设计，《指引》没有按照国外合规管理的通常做法设立首席合规官，而是用合规负责人的概念取而代之。考虑到目前央企总法律顾问的执行还不完善，指引规定央企相关负责人或总法律顾问为合规管理负责人，基本确立了总法律顾问工作序列中的合规管理原则。

在组织设置方面，指引始终贯彻合规是公司各部门工作要求的理念。对于责任部门，采用合规牵头部门的概念，而不是合规管理部门的概念。其主要职能是组织、协调和监督合规管理，并为其他部门提供合规支持。同时，法律事务机构显然是合规管理的首选牵头机构。

合规管理体系应当客观独立，这是保证企业合规管理及时有效的根本保证。独立性是合规管理监控属性的必然要求。在合规管理比较成熟的欧美企业和金融企业，合规管理在工作机构、职责、内容、活动等方面都是完全独立的体系。但考虑到国内非金融企业合规管理起步较晚，相应的合规职能已由相关业务部门承担，难以建立完全独立的合规组织体系和工作体系，容易形成新的工作冲突。

在合规体系建设的客观独立原则中，明确合规管理的牵头部门将独立履行职责，不受其他部门和人员的干涉，它强调的是工作的独立性，而不是合规部门的独立性。

合规工作的监控属性不仅要求合规管理的独立性，还要求合规管理的高水平来树立其权威。在合规制度建设强化责任的原则上，《指引》要求，将加强合规管理作为企业主要负责人履行推进依法治国第一责任人职责的重要内容。在合规管理职能安排上，明确了董事会负责合规管理负责人的任免、合规管理牵头部门的设立及职能，合规工作的实际决策者为公司董事会，将合规工作从部门层面提升到了战略层面，为合规工作的全面开展奠定了良好的基础。

第三个问题是:合规真的有必要吗？

有一种声音认为合规只是形而上的产物，有一种为了合规而合规的形式主义倾向。但实际上，合规是有坚实的理论和实践基础的，其中既包含风险，也包含机遇。不仅仅是企业自愿遵守法律法规和国际规则。

合规也是立法和执法监管部门有效的立法和监管技术。制度化合规监督的技术原则最早体现在美国1991年的《联邦量刑指南》第8章。“如果企业建立了有效的合规体系，就可以减轻处罚。按照规定的量刑标准，最高可减免95%；如果公司合规，最高可罚4倍。”

正是由于这种激励机制，合规管理在企业整体管理体系中越来越受到重视。随着政府监管力度的加强，企业合规从依法合规经营转变为行政监管和刑事激励下的公司治理。在众多国际组织的推动下，企业合规逐渐成为一种新的国际公司治理模式，不仅为一些国际公约所确立，也是国际组织督促企业改变经营方式的一种激励机制。

因此，企业合规不仅意味着企业依法合规经营，更是一种自我治理、自我监督、自我整改的治理模式，也是企业在执法调查中被抓时获得宽大处理的激励机制。

如果说“合规激励”是合规管理产生的拉力，那么“合规惩罚”就是合规管理产生的推力。大量企业受到执法部门的严厉处罚，极大地触动了同行和同类型企业，促使其迅速更加重视合规管理。合规风险可分为三种类型:监管处罚风险、刑事风险和国际组织制裁风险。

一旦启动监管部门启动的行政执法程序，企业可能会受到严厉处罚；刑事执法机关启动的刑事程序一旦启动，企业就有可能被宣告有罪，追究刑事责任。即使是在世界银行等国际组织发起的制裁程序中，这种制裁一旦实施，企业也会损失惨重。

上述行政处罚、刑事调查、国际组织制裁带来的最严重后果，无非是企业“被剥夺特定资格的后果”。这种资格剥夺会使企业失去特定的经营许可，从而使企业遭受经济损失甚至名誉损失，由此产生的“雪崩效应”会使企业承担灾难性的成本。也可以是丧失贷款和参加投标资格，或者吊销营业执照，从而被依法宣布为“企业死亡”。

综上所述，企业合规属于企业和行业协会推动的一种内部治理模式。它不同于风险控制或法律部门，两者密切相关，相互协调。既要保持一定的独立性，又要服务于企业发展大局。

建立合规机制不仅是道德义务，也是法律义务，因为国家法律和行政监察条例已经建立了强制合规的制度，行政法和刑法也开始将企业合规确立为执法激励机制。如果企业没有尽到合规管理义务，可能会受到行政处罚或被追究刑事责任，并因此承担诸多损失。通过明确这三家企业在合规管理方面存在的主要问题，希望更贴近真理的海洋，让律师的专业意见为企业的合理合规健康发展保驾护航。