合规建设为企业发展保驾护航.pdf

14金业管理2 0 2 3.1 1图片来源：视觉本刊特稿FOCUS开启合规管理大时代近年来，合规管理因其能有效避免违法违规、全面推进公司治理现代化而备受关注。本期刊发四篇文章，从不同角度介绍合规管理的经验与案例、问题与对策，助力企业有效开展合规管理建设。一编者合规建设为企业发展保驾护航文丨中国企业评价协会关键词合规管理体系；合规组织；专项合规；合规风险；合规文化；合规不起诉随着越来越多的中国企业“走出去”，中国生产、中国制造、中国建设、中国服务等享誉国际，但中国企业面临的法律制裁风险不断加大。为此，企业需要特别注重加强合规建设，确保可持续地遵守国内和国际的双重法律要求。中国企业合规建设动因企业合规建设发展需要多方面动力，总体来看，主要动因来自三方面。1.国际执法和制裁的压力增加首先，伴随着国际局势的复杂化，美国、英国、法国、日本等国家开始针对中国企业，以出口管制、工业安全等多重法律手段限制企业经营。近年来，以美国为代表的国家频频利用“实体清单”“长臂管辖”等手段针对中国企业，涵盖许多行业领先、国际知名的航天类、芯片类、软件类、网络技术类企业，剥夺了2023.11金业管理15FOCUS本刊特稿这些企业在美国的商业机会。其次，“一带一路”倡议落实使中国企业能够开展经营的国家和地区增多，与东亚、西亚的商业贸易往来更加密切，这需要企业遵守更多司法辖区的法律要求。最后，由于中国企业的经营情况对国际经济的发展影响日益显著，合规管理已成为中国企业走向世界的“通行证”。在这三重压力下，中国企业需要加强合规管理、提高风险防控能力。2.国内合规改革和政策扶持我国主要建立了三种模式的法律规定，全面推动企业治理现代化。（1）合规强制模式：中央企业合规改革我国于2 0 1 8 年进人“合规元年”，以国务院国资委发布中央企业合规管理指引（试行）（以下简称指引）为标志，启动央企合规改革工作。2 0 2 2 年进人“合规管理强化年”，国务院国资委于2 0 2 2 年9月推出中央企业合规管理办法，对指引进行优化升级。当前，所有中央企业都在持续深化合规改革，落实中央企业合规管理办法的合规要求，通过大合规将制裁性的法律风险进行一体化防范。中央企业下属子公司、分公司、分支机构等都需要根据合规改革的要求，在总公司的统筹和协调下，建立合规管理制度体系。（2）合规激励模式：涉案企业合规改革2020年3 月，最高人民检察院主导开展企业合规改革工作，遵循“依法督促涉案企业合规管理，将严管厚爱落到实处”的基本理念，以对涉罪主体决定不起诉的司法裁量权为依托，激励涉案企业进行合规整改、建立有效合规管理制度。在涉案企业合规改革的推动下，我国数千家企业已经通过合规整改，获得了被司法机关从宽处理的机会，其中，绝大多数为中小民营企业，这进一步促进了企业合规制度在国内的普及。这场被学者们总结为“合规不起诉”的改革，达到了推动民营企业开展合规建设的良好成效。（3）合规引导模式：其他法律政策支持在合规要求方面，国外主要有管理性合规标准和法律性合规标准两类文件。前者以国际标准化组织发布的合规管理体系要求及使用指南（IS037301:2021）为代表，主要采用管理语言，注重在涉及合规管理流程方面进行指引；后者以美国司法部发布的企业合规程序评估为代表，主要采用法律语言，注重将法律规定的义务、责任嵌人管理流程中，在执法案件中可以作为评估合规管理有效性的直接依据。为帮助企业在涉外经营中更好理解和贯彻这两类合规要求，中国发布了相关的合规指导文件、国家标准、行业标准、地方标准、团体标准等，包括大合规及专项合规标准，供企业依据自身经营规模、行业领域、法律风险类型等选择参考，基本形成了层级分明的合规引导规范。3.企业在信誉市场的发展需要中国的合规市场信誉机制已经初步形成，这使合规成为重要的商业优势，许多企业在建立合规管理制度后，提高了商业信誉，有利于实现经营目标。企业建立合规管理制度，首先，能够帮助企业赢得竞标及其他合作机会，更容易在商业竞争中获得优势。其次，可以体现勇于承担社会责任的企业精神，更容易获得消费者、客户、合作方等社会各界的认可，带来更多潜在的商业机会。最后，可以塑造高水平、规范化的企业品牌形象，切实提高商业信誉，有利于巩固市场地位。已有许多研究和调查发现，那些有合规管理制度的企业，经营流程更加规范，员工业务素质更高，实现了合规创造价值的基本目标。总之，在国际外部环境约束、国内法律法规健全和企业信誉体系逐步建立的多重动因下，中国企业合规体系建设的动力增强，建设成效也开始逐步显现。二、中国企业合规建设进展本文通过案例征集、实地调研和访谈等方式，深人了解中国企业合规建设的总体进展情况，受访企业多数为国有企业和大型民营企业，属于合规建设的先锋队，其合规情况具有引领性和代表性。1.中央企业基本实现大合规建设中央企业均已按照中央企业合规管理办法的要求，基本完成确定合规部和合规官、发布合规章程规定、实施合规培训、设立违规举报机制、开展合规审计等合规管理框架搭建工作。此外，还有许多中央企业依据自身特性，探索将党委领导融人合规管理制度体系。绝大多数中央企业及其子公司、分公16企业管理2 0 2 3.1 1本刊特稿FOCUS司、分支机构等已实现初步大合规建设。数据显示，截至2 0 2 3 年3 月，68家中央企业集团和6 3 1 家重要子企业设置了首席合规官，全系统合规管理人员超过2.8 万人；6 8 家中央企业探索建立了合规管理信息系统，将合规要求通过信息化手段嵌人业务流程。中央企业的合规管理仍有继续优化的空间。首先，中央企业合规管理办法提出了一些新合规要求，一些企业尚未达成。其次，需要精细化划分总公司和子公司、分公司、分支机构的合规管理方法。中央企业合规管理办法仅笼统地对中央企业规定了强制合规义务，没有依据子公司、分公司等的性质和级别划分合规建设要求，而绝大多数中央企业的子公司规模较大、业务领域差异较大，需要在遵守集团合规管理的同时，依据自身风险特性建立独立的合规管理制度体系，继续探索规范化的做法。此外，中央企业合规管理办法的强制性还有待进一步落实。2.围绕业务领域开展专项合规大型企业的业务领域广，面临的法律风险较为复杂，大合规在很多时候不足以防范企业所面临的风险。因此，许多企业根据实际经营需求开展了专项企业合规建设。在进出口专项合规方面，面临着较高进出口管制风险的企业，围绕进出口管制业务场景具象化识别风险信号，将管控措施嵌人业务流程，促进规则与场景融合，构建了符合国内要求和国际标准的进出口合规管理制度。在环保专项合规方面，为应对外国政府的强监管，部分企业建立了环保专项合规管理制度，回应环境、社会、治理要求，建立完整的合规管理制度体系，避免企业经营给自然生态造成破坏。在反腐败专项合规方面，海外投资规模大、风险高的企业选择建立反腐败专项合规管理制度，防止腐败资金以各种形式流出。在数据专项合规方面，部分拥有海量数据的企业围绕数据风险建立合规管理制度体系，通过数据分类分级、建立专门的安全管理团队等方式，确保全数据生命周期都能够有效保护用户隐私权，并且确保数据存储、传输、流转等过程的安全性，防止用户数据泄露或被窃取。在商贸专项合规方面，企业根据业务情况建立了贸易合规管理制度、境外工程建设项目和境外工程承包项目合规管理制度、签证服务合规管理制度、财务合规管理制度、税务合规管理制度以及针对业务伙伴的合规管理制度。总体而言，现阶段中国企业在专项合规的探索方面较为积极，特别需要关注与经营相关的域外国家的法律要求，围绕专项领域、专门业务环节等实施合规管理。未来，还需要在继续开拓专项合规建设措施的基础上，规范实施方法，与传统财务管理、经营管理相区分，达到更为专业的合规管理效果。3.大型民企自主探索合规建设一些大型、上市民营企业也开始探索合规管理制度，虽然它们没有强制的合规义务，但是出于审慎经营、响应市场机制、上市或项目需要等原因，也开展了合规体系建设，如比亚迪、腾讯、阿里巴巴、工业富联、奇安信等企业每年公布合规管理情况。这些合规建设主要依靠企业自发驱动，也有一些大型企业存在较为明显的合规风险，但未建立合规管理制度。一些中小型企业是在检察机关、法院等司法监管下开展合规整改。未来，需要在尊重企业自主经营权的基础上，加强合规的激励和引导，推动更多企业参与构筑以合规为重点的市场信誉机制。三、口中国企业合规建设经验基于企业管理制度和企业合规活动的相关性，企业合规管理体系建设可以概括为八个要素：合规风险识别和评估、合规章程、合规组织的定位和架构、合规培训与沟通、合规举报与调查、第三方管理、合规审核、合规文化。1.合规风险的识别和评估企业在建立合规管理制度前，需要识别和评估自身所面临的法律风险，形成等级分明的合规风险清单，以便设计相应合规管理制度、配置合规管理资源。企业进行合规风险识别和评估的主要手段有：第一，分析企业既往记录，包括内部记录和外部记录；第二，与企业管理者进行详细交流，合规负责人员在识别合规风险阶段，需对企业高层指出的问题进行风险溯源，以确定风险领域，并获得在相关领域实施细致化的风险识别工作授权；第三，对员工进行调查访问，在识别合规风险时，依据企业员工的岗位类型，设计并发放风险调查2023.11金业管理FOCUS本刊特稿问卷，或者组织员工进行谈话，能够切实了解业务中潜在的合规风险；第四，分析同行企业动态，同类行业、相似规模、相同地域的企业所面临的合规风险一般具有相似性，对企业有借鉴和警示意义。还有许多合规服务机构或者企业探索新型风险的发现手段，包括邮件敏感词筛查、员工交流系统监控、员工心理风险偏好测试等，协同实时性完善和更新合规风险清单。一般而言，企业面临的风险较多，在识别合规风险后还要对其进行评级和细化，抓住公司经营中的主要风险予以防控，并实时监测合规风险变化。例如，山东电力工程咨询院有限公司建立了境外工程建设项目风险管理指南，识别境外工程建设项目的主要典型风险点，充分借鉴内外部境外工程建设项目风险管理案例，提出指导性内容和工作标准，便于相关人员使用，如图1所示。2.合规章程无论建立还是完善企业的合规体系，都需要有书面化的总体规定，将企业确立的规则、将要实施的措施、内部存在的程序整体呈现，做到企业层面有“法”可依。合规总体规定主要以独立合规章程、公司合规管理规定、员工手册中的合规条款等文件形式呈现。对大多数企业而言，需要依据专项合规类型、分支机构所在地区、业务领域、员工数量等差异建立多个独立的合规章程。例如，国核铀业发展有限责任公司在建立进出口专项合规计划时，建立了三层架构的合规管理制度，如图2 所示。也有一些企业将合规管理规定以合规条款的形式纳入企业管理章程、董事会决议、员工行为手册等既有文件。对国有企业而言，还要充分发挥企业党委（党组）的领导作用，把党的领导贯穿合规管理全过程，推动合规要求在本企业得到严格遵循和落实。3.合规组织的定位和架构合规组织是企业内部负责履行合规职能、执行合规工作的人员和部门组织。合规管理制度落实需要依赖合规人员实践。合规官是负责落实合规相关政策和工作的主要责任人。合规部门是合规组织体系的中心，受合规委员会和首席合规官领导。首先，管理层需要以身作则，有明确的合规承诺，阐明企业对构建合规体系和落实合规工作的重视。其次，合规部门需要形成详细的合规工作细则，由合规官牵头，合规部门结合各个业务部门的风险点建立具体实施办法。再次，业务部门要对落实合规工作的职责有充分认识，合规负责人或合规联络人需与合规部门保持常态化的工作沟通，定期汇报该部门开展合规工作的实际情况。例如，奇安信在数据安全与合规的组织架构层面，通过明确从国家和集团公司两个层面介绍前言指南编制背景和目的编制目的和依据、适用范围、总则编制思路、适用说明与更新风险管理基本概念工程建设项目项目风险管理：定义和原则风险管理介绍风险应对策略：五种论风险管理三道防线境外工程建设项目“3411”风险管理机制风险管理机制风险境外工程建设项目风险管理工作流程详细介绍1 4 类5 7 项境外工程建设境外工程建设项目主要项目实施过程中的主要、典型风风险论述和应对措施险，并提出风险应对建议实务站在EPC承包商的角度，以境外工程建设项目FIDIC合同条件为基础，提出合EPC合同风险审查要点同风险识别清单及签署执行信息收资清单附录项目风险控制表模板图1山东电力工程咨询院境外工程建设项目风险管理指南18金业管理2023.11本刊特稿FOCUS责任分工和权限管理，设立专门的数据安全委员会，负责制定数据安全战略、方针和决策，如图3 所示。4.合规培训与沟通企业自上而下传达合规价值和合规规定主要通过培训实现，使员工理解法律法规、内部政策的基本要求，并能够在日常履职过程中符合这些要求。合规沟通是保障合规培训的必要常态化路径之一。合规培训包含实施培训工作、验证培训效果、提供合规咨询三个组成部分。第一，实施合规培训工作应当以全覆盖为原则，不仅对员工进行培训，也要对企业的管理层进行相应培训。培训内容需要以简单易懂的方式进行设计，一般以企业合规章程的基本内容为基础展开相关实施细则。第二，验证合规培训效果的常见方式有员工在线答题、场景模拟考试、组织内部合规知识第一级：合规政策治理层面合规政策在规则体系中居于核心和最高地位，机制层面进出口管制体现公司的出口管制合规目标和基本操作层面合规管理办法原则合规指引总册第二级：合规指引总册公司业务开展所依据的出口管制合规总则性管理层进出口管制合规应急 内部调查指导，用以规范进出口管制合规管理行为或承诺合规组织机构补救措施与奖惩机制管理活动的重要管理体系第三级：业务场景分册和实操工具业务场景分册体系运行的支撑与保障，贴近实操工具实际业务场景，是具体业务操作的具体指引图2国核发展有限责任公司合规三层架构体系数据安全委员会主任：（战略、方针、决策）副主任：网络安全部数据安全事件处置数据安全委员各部门安全委员（管理责任部门）执行委员会由各部门指派人员组成，由分管人力、财务、法数据安全规划和建设为百人团队网络安全部、集团管务、各业务线等共计6 位负责各类数据安全事项理部、人力资源部、副总裁组成数据安全制度和流程对接法务部保障数据安全实施资源组织数据分类分级数据安全防护组织人员培训负责数据安全事件定审议数据安全重大事项、数据安全运营负责现状调研反馈级和处置制度负责数据安全加固图3奇安信数据安全管理组织架构2023.11金业管理19编辑郑亮FOCUS本刊特稿竞赛等。第三，合规培训难以包括员工日常所有可能预见的合规风险事件或者问题，而这些风险经常是突发的，员工需要能够在培训之外获得专业咨询机构的辅导和帮助。5.合规举报与调查合规工作自下而上的信息流动程序容易在企业的日常管理体系中缺失，这使违规举报机制成为合规体系的核心之一。建立违规举报机制应当遵循两项原则。第一，举报渠道畅通。举报机制应当能够使底层员工的信息有效传达给企业管理层、首席合规官或合规管理委员会，保障每次信息的获取和处理流程都有详尽的工作记录。实践中，常见的举报机制工具包括设置举报邮箱、举报电话，也有许多企业建立了员工可以直接与高层管理者取得联系的交流系统。第二，举报人信息保密。举报机制有效运行的基本前提是，举报人能够在免于被知晓、被报复的情况下提供相关信息违规举报机制还包含风险事件的后续调查和奖惩制度。在接到举报或发现风险事件后，企业需要有具体的应对程序，包括对事件进行初步调查、固定案件相关证据、咨询相关法律顾问，也包括在发现确实存在违法风险的情况下，主动向执法机关检举和揭发有关行为，全面配合执法机关的调查活动。此外，违法事件的处理不应当只依赖外部有关部门，企业也应当对内部人员建立奖励和惩罚制度。6.第三方管理企业的合规管理不限于内部员工，还需要对外部第三方进行适当管理。管理第三方的制度设计通常分为三个步骤。第一，在法律关系成立前须有适当的尽职调查程序，即当企业与其他主体签署合同、形成业务关联时，充分审查目标主体是否存在违反合规管理的风险。第二，在法律关系成立时须明确第三方行为准则，即企业在与合作方达成合作意向、签署合同时，明确对第三方的合规管理规定，如明确禁止第三方以企业名义从事商业贿赂行为。第三，在法律关系存续期间的合规监管，即在企业与第三方代理、合作等关系的存续期间，企业可以通过听取第三方汇报、走访第三方等方式了解其合规执行情况，如果发现违法风险则及时解除法律关系。7.合规审核合规审核是企业发现自身合规管理制度存在问题的主要方法，是对合规管理制度的设计、运行、效果等方面进行考察，旨在发现制度漏洞，建立应对措施。实践中，落实合规审核的方法主要有两种：内部审核和管理评审。内部审核指企业按规定的时间和规范性文件要求实施审核，包括过程策划、计划编制、现场检查、出具结果、跟踪整改等。管理评审指企业定期针对上一年度合规管理措施实施情况报告、风险评估报告、合规目标评估结果等内容开展管理评审并形成明确的评审结果。企业也可以组织或聘请外部专业合规顾问团队等第三方机构对企业的合规管理工作开展审核。8.合规文化合规文化作为抽象的企业合规管理要素，经常被视为企业合规管理的内在价值目标，即培育和宣传合规文化，提升企业软实力。多数企业开展了合规文化的培育和宣导，且有许多创新尝试。比如，在合适的场所用横幅等形式展示合规规范要求，发挥各类媒介在合规文化建设中的载体作用，不断加大合规文化宣贯力度；设立常态化党员教育活动室、廉政教育活动室、普法教育活动室，在职工书屋设法律类图书书架，上架法律法规书籍、国家行业标准；在办公楼、食堂设置播放法治合规宣传的电视、电子屏，企业内“法治合规文化长廊”做到每季度切换宣传主题，让职工随处遇“法”，营造浓厚的合规文化氛围。总之，多数国有企业和大型民营企业基本形成了要素齐全的合规管理制度体系，合规已经是中国企业重要的经营管理经验。一些跨国经营企业的合规建设水平较高，已经基本形成了兼顾国内外法律要求的合规制度，未来需要在细节上继续完善，持续为企业国际化发展保驾护航。主要参考文献1陈瑞华.企业合规基本理论M.北京：法律出版社，2 0 2 2.2侯建斌.宪法宣传周国资委部署中央企业强化合规管理有力保障央企改革发展任务在法治轨道稳步推进 N.法治日报,2 0 2 1-1 2-0 6.