從合規指引到合規體系搭建的實務解讀
作者：朱湘蓮、劉炯、胡嵐嵐 2019-03-26伴隨著中國經濟的蓬勃發展以及“一帶一路”戰略的全面開展，越來越多的中國企業走向世界，與此同時，境內外監管的趨嚴，執法力度的不斷加強，中興、華為等大型企業接連被國外政府調查、處罰、起訴，“合規”（Compliance）也日漸為政府所重視，相應規范性文件不斷出臺，越來越多的企業對于合規管理的需求日益緊迫。本文擬結合近期出臺的各類規范性文件，尤其是2018年底集中出臺的《中央企業合規管理指引（試行）》、《企業境外經營合規管理指引》，解讀如何實現合規指引到合規體系的搭建。
一、合規規范在國內的發展
二、《央企指引》和《跨境指引》的指導意義
上述兩份《指引》是中央企業和我國企業境外投資合規管理工作重要的政策引導，對合規的重點領域和具體要求都作了詳細說明。
合規并不僅指符合法律法規、公司的規章制度——如：反賄賂/反腐敗、反壟斷/反不正當競爭、與政府部門的交往、反洗錢，進出口管制，知識產權保護、網絡安全和隱私、產品質量、健康與安全、公平雇傭機會、財務控制、供應商關系、利益沖突、內幕交易與泄漏股票內幕信息，等等；同時也要符合國際條約、規則，以及誠實、公平、公正的商業道德行為準則。對于這些合規要求，不同類型、地域和行業的企業可能各有側重，但合規的目標卻是同一的。可以預見，這兩份《指引》將進一步推動我國企業的合規管理意識，也必將成為我國企業合規管理發展過程中的又一重要里程碑。
可以說，當下中國企業合規管理已經有了具體的指導方針和操作指引，兩份《指引》對風險領域、重點內容的歸納也是所有在境內境外經營的企業所面臨的共同的問題。誠然，針對每一家企業如何搭建合規體系并沒有固定的模式或范本，但萬變不離其宗，在實務操作中落實文件精神和規定，使之不停留于紙面正是當下各企業面臨的現實問題。
三、合規體系搭建的指引與實務層面
根據我國《合規管理體系指南（ISO19600：GB/T 35770：2017）》的定義，合規管理體系流程如下：
我們建議企業在開始設計和制定合規體系之初，即應全面考慮企業所處國家、地區、行業及企業自身四個層面上的風險特征、規則要求和現實情況，以便制定出既能保障企業履行合規義務、符合相關要求，又能幫助企業用正確的方式運營、發展和實現企業目標的合規體系。
（一） 設計企業合規管理的制度框架
權衡了合規管理制度的風險因素后，一個非常重要的環節就是設計企業合規管理的制度流程框架。合規制度不是孤立靜態的某個文件，它是由不同層次的管理制度文件和流程共同構架的一個制度體系，是企業一系列需遵守的規范和流程的總和。
《央企指引》指出：要“建立健全合規管理制度，制定全員普遍遵守的合規行為規范，針對重點領域制定專項合規管理制度，并根據法律法規變化和監管動態，及時將外部有關合規要求轉化為內部規章制度。”而《跨境指引》提到了行為準則、管理辦法、操作流程三個層面的合規管理制度。
現實操作中，法律法規和行業標準等并不能自動成為企業合規工作的依據，只有將它們轉換為可操作的具體制度或操作手冊和流程，才能被員工實際執行。因此，一方面外部的法律法規要通過一定的轉化嵌入到企業的各項規章制度中，另一方面，企業也應從崗位需要出發，使內部的管理制度滿足外部法規的要求。
總結而言，我們認為企業的合規管理制度文件可以包括如下三個層次：
對整體合規風險的管理，建議公司可以采用分層架構、集中管理的模式。
如《央企指引》中，明確規定中央企業合規管理的主體包括董事會、監事會、經理層、合規委員會、合規管理負責人、合規管理牽頭部門、業務及相關部門等七個主體。在《跨境指引》中也提到企業可結合發展需要建立權責清晰的合規治理結構，在決策、管理、執行三個層級上劃分相應的合規管理責任。雖然這兩份指引主要針對中央企業和跨境企業，但這樣的合規管理主體架構符合一般公司的治理結構，無論各類公司具體職權責如何設立，基于公司治理的角度，上述指引中的合規組織架構的建議對于多數公司而言，具有參考意義。
具體而言，企業可以結合自身的需求、人員結構建立合規組織：
決策層面：董事會有義務履行公司合規經營的責任，應當對公司合規治理和合規管理總負責，因此，合規可由董事會直接管理，或在董事會下設風險管理委員會、審計委員會或專門設立合規委員會等；監事會作為公司內部的監督機構，對于企業合規經營和管理，也應當履行其監督職能。經理層應當全面推進公司的合規管理，并根據崗位和職權的分工對公司合規管理負相應的管理責任。
獨立的合規部門：可以設首席合規官、合規總監、合規負責人，合規專員等，對于一些規模較小的企業，也可與法律部門、風控部門等單獨或聯合執行合規管理職責。
具體實施層面：各業務部門實際上也是合規管理真正的完成和實施者，識別和排查業務流程中的合規風險，發布合規預警；在本部門具體落實上級部門的合規要求、管理制度和流程；主動開展合規風險識別和隱患排查，組織合規審查；及時向合規管理牽頭部門通報風險事項；妥善應對合規風險事件；做好本領域合規培訓和商業伙伴合規調查等工作；組織或配合進行違規問題調查并及時整改。監察、審計、法律、內控、風險管理、安全生產、質量環保等相關部門，在職權范圍內履行合規管理職責。
（三） 合規管理的實施
當企業確立了明確的合規目標、組織架構和合規制度之后，如何使上述組織和制度運行，將合規政策落地執行、確保合規實效，即為合規管理的關鍵一步。
《央企指引》中較為概括地提出了合規管理運行、合規管理保障兩個層面的內容，《跨境指引》中則更為具體地從管理制度、運行機制、風險識別評估與處置、合規評審與改進等方面進行了更明確的闡述。同時，兩個《指引》最終都將合規工作、合規制度的建立與運行上升到了合規文化的培育層面，以使得合規之于企業及其員工，能真正 “內化于心，外化于行”。
我們認為合規管理可以有事前預防、事中控制和事后處置三個階段，以下的實操建議或許并不完備，建議不同行業、類型的企業應當結合自身特點和目標需求，因地制宜地打造適合自身組織特點的合規體系。
四、搭建合規體系工作的下一步操作建議
正如國家發展改革委有關負責人就《指引》答問中回答記者問到的“為推動企業加強境外經營合規管理，下一步有哪些工作考慮”時表示：“企業是合規管理的主體，為推動企業加強境外經營合規管理，國家發展改革委將會同有關部門和單位，著力做好四個方面工作：一是開展合規管理培訓，二是強化公共信息服務，三是優化合規經營環境，四是完善違規懲戒機制。”
因此，企業當務之急是對照《指引》：
（一）盡快建立合規管理機構，合理配置合規管理資源；
（二）盡快建立健全合規管理體系，建立風險識別體系；
（三）制定合規行為準則和合規管理辦法，開展合規培訓；
（四）完善違規懲戒機制；
（五）領導以身作則，營造企業合規文化，優化合規經營環境。
如前所述，企業合規管理是一個動態的管理過程，要立足企業自身實際情況，并根據內外部環境的變化不斷調整和改進合規管理體系，而加強與具有豐富經驗的專業機構，如律師事務所的合作，可以快速幫助企業搭建或調整自身的合規管理體系，使企業兼顧成本與效率。具體包括但不限于：
