國有企業合規管理有效性評價要點分析和實施
作者：吳乙婕 2024-06-18近年來，隨著國有企業合規管理體系建設工作的不斷深入，部分走在前列的央國企合規管理體系已陸續“基本建成”或“取得階段式成果”。那么，如何評價一家國有企業自行或聘請外部機構所建設的合規管理體系是否有效呢？
國有企業合規管理體系的有效性評價是對國有企業合規管理體系在督促國有企業履行合規義務，識別、分析和防控合規風險所發揮的實際效用加以檢驗、評判的過程。2022年10月1日正式生效的《中央企業合規管理辦法》（以下簡稱《辦法》）系統全面地總結了2018年《中央企業合規管理指引（試行）》（以下簡稱《指引》）發布以來中央企業合規管理實踐，吸收了國際合規管理先進經驗，強調有效性是合規管理的第一關鍵詞。
一、國有企業對于為何需要開展合規管理有效性評價工作？
企業合規管理的發展過程如同事物的發展過程，并非持續不變，而是螺旋上升的，需要長久持續地進行監控、檢查、評價和改進，國有企業開展合規管理體系有效性評價具有規范基礎和現實意義。首先，合規管理有效性評價是國有企業合規管理的法定要求。《指引》《合規管理體系要求及使用指南》（ISO37301：2021）以及《辦法》都明確了合規管理有效性評價是合規管理體系建設的重點內容之一[1]。國務院國資委自2023年起按照“五年一輪全覆蓋”的目標啟動了中央企業合規管理體系有效性評價工作，同時推動中央企業定期對子企業進行評價[2]。其次，合規管理有效性評價是實現合規管理目標的重要保障。合規管理是以防范合規風險為導向的管理活動，當下外部環境不確定性增強，國有企業經營面臨的合規風險顯著增加。國有企業定期、全面地開展合規性評價可以在發現違規風險方面發揮作用，也能夠及時有效地評價、識別和控制可能出現的合規風險，從而為在合規的具體層面加強管理措施提供方向和保障。最后，合規管理有效性評價是優化合規管理體系的必然選擇[3]。國有企業合規管理體系建設不是一蹴而就的事，它有賴于合規管理組織體系的設置及權責劃分、合規制度的分級分類及全生命周期管理、合規運行機制的健全和落實，合規保障機制的建立和強化等，需要有規劃、有重點地逐步實施。國有企業合規管理體系有效性評價的關鍵在于“消差”，即依托對體系建設的全面評審、反饋、再評審以達到發現建設及運行中的差距，尋找并確定持續改進的方向，從而實現“消差”的結果。不同企業基礎不同、重點不同、難度不同，合規管理的有效性評價有助于國有企業客觀認識合規管理體系建設的階段性成果和不足，以評促建，不斷優化合規管理體系。
二、國內外企業合規管理有效性評價目前是怎么做的？
合規管理體系有效性評價的要求存在于國內外各類合規管理體系建設的標準與規范中，以指導企業開展評價工作。由于對合規管理體系有效性評價的文件較多，筆者選擇部分有代表性的文件予以說明。
1.《企業合規計劃評估》（美國司法部）
國外普遍重視合規有效性評價，2017年美國司法部首次發布《企業合規計劃評估》并于2020年6月1日做了再次更新，從“設計、執行、效果”三個維度對如何形成一項有效的合規機制提出了具體指引。《企業合規計劃評估》以對涉嫌犯罪的公司所開展的合規計劃進行評價，確認其是否達到合規標準，是否適用公司合規免責、合規暫緩起訴、合規不起訴等刑事寬宥措施。
《企業合規計劃評估》主要從“合規計劃設計是否良好”“合規計劃是否得到了執行和實施”“合規計劃運作情況是否良好”三個核心模塊對公司合規計劃進行有效性評估。并在這三個核心模塊下進一步細化了各項評估指標，包括十二項一級指標和五十多項二級指標，以及共計兩百余項具體評價指標[4]。
具體而言，一級指標包括：其一，從風險評估機制、政策和程序、培訓和溝通機制、匿名報告機制和調查機制、第三方管理機制、并購合規管控六個方面審查公司合規計劃設計的有效性，確保公司不僅明確表明對違規行為的零容忍，而且制定了適當的合規政策和合規程序。其二對于該項合規計劃是否得到了執行和實施，從中高級管理層的承諾、合規人員的自主權和資源、合規獎懲戒機制三方面進行評價。所側重的是公司是否有獨立、權威和擁有必要資源的合規組織體系，以及是否建立了合規獎懲機制[5]。其三，重點關注合規計劃的持續改進、對不當行為的調查方式以及對潛在不當行為的分析和糾正。從而確認公司合規管理體系能否有效識別不合規行為，并及時進行自我報告、分析及糾正。
2.國內外合規管理體系標準
《合規管理體系－指南》（ISO19600：2014）自頒布以來，為全世界范圍內合規管理體系的規范化、標準化建設提供了指導。基于最新的合規管理實踐，ISO于2018年11月啟動了ISO37301的制定工作，并于2021年4月13日正式發布ISO37301：2021《合規管理體系要求及使用指南》，修訂并代替ISO 19600:2014《合規管理體系指南》。
新版《合規管理體系－要求及使用指南》對合規管理體系的有效性給予了充分重視，不僅高度重視治理層和管理層在組織價值觀和內部治理上的核心領導力，也在過程控制和程序部分引入“測試性控制”以最大限度確保合規管理體系運行的有效性[6]。與其他ISO標準類似，它主張的體系評價是“基于要素”的，即基于合規管理體系標準基本要素的運行有效性設計而成。2022年，作為可供企業進行A類認證的國家標準《合規管理體系 要求及使用指南》（GB/T 35770-2022）頒布，該標準等同采用ISO 37301，僅在個別術語和附錄做了一些最小限度的編輯性改動以加強在我國的適用性。目前已有部分在合規管理體系建設方面比較領先的國有企業完成了前述兩個標準的雙認證，在認證評價過程中，一定程度上也通過收集客觀證據并與審核依據進行比對從而對企業的合規管理體系進行客觀評價。這種方法側重于反映企業合規狀況、潛在問題以及改善合規管理。
此外，目前國內比較普遍使用的有效性評價標準是中國中小企業協會發布的《中小企業合規管理體系有效性評價》（T/CASMES 19-2022）（2022年5月23日發布）以及中國企業評價協會發布的《企業合規管理體系有效性評價指引》（T/CEEAS 003-2022）（2022年10月12日發布）。上述團體標準均對標ISO 37301，對合規管理體系有效性評價進行了比較完整的系統化設計，規定了合規管理有效性評價的基本原則、評價內容、方法及流程等。
其中，《企業合規管理體系有效性評價指引》在ISO 37301各項要求和指南的基礎上將《辦法》的相關內容也融入評價指標，將黨建作為附加評價指標，以凸顯黨建在國有企業或部分非公有制企業合規管理中發揮的重要作用?！镀髽I合規管理體系有效性評價指引》兼具ISO 37301的要求與國有企業合規管理體系的要求，比較適合國有企業進行合規管理體系有效性評價時使用。而《中小企業合規管理體系有效性評價》的亮點在于在評價指標中分設了中型企業和小微企業的評價指標。針對小微企業組織結構和管理模式相對簡單、從業人員少的特點，在保留合規管理體系基本要求的前提下相應簡化合規管理體系的評價標準，使其更具有可操作性，更符合小微企業的管理實際。
3.其他有效性評價文件
在涉案企業合規整改方面，主要適用的規定包括《關于建立涉案企業合規第三方監督評估機制的指導意見（試行）》《涉案企業合規建設、評估和審查辦法（試行）》《〈關于建立涉案企業合規第三方監督評估機制的指導意見（試行）〉實施細則》等。此類規定要求涉案企業針對與案涉罪名有密切聯系的合規風險進行合規管理，并由第三方監督評估組織對其有效性進行評估。但對于上述涉案企業合規體系有效性評價的標準、方法、指標等暫未確定統一、詳盡的標準、指引或規定。而適用于某一特定行業、領域的規定主要集中在境外經營和金融證券領域，以《企業境外經營合規管理指引》《證券公司和證券投資基金管理公司合規管理辦法》《保險公司合規管理辦法》為例，此類文件通常僅針對該領域的企業而制定，不具有普適性。
三、國內合規管理有效性評價有什么樣的特點？
對于國有企業而言，合規管理有效性評價的主要依據是國務院國資委發布的適用于中央企業的《辦法》以及各地方國資委發布的適用于本地國有企業的合規管理辦法和合規管理指引。2023年8月，國務院國資委下發了《關于開展2023年中央企業合規管理體系有效性評價工作的通知》，進行現場合規管理工作評價。在開展中央企業合規管理體系有效性評價工作時同步下發了《重點領域合規評價自評表》，從專項評價的維度，要求中央企業從自評價著手逐步探索本企業的合規管理有效性評價路徑和機制。部分中央企業也自2023年相繼啟動了年度合規管理體系有效性評價工作。例如中國海洋石油集團有限公司召開2023年度合規管理體系有效性現場評價工作啟動會，對現場評價工作作出部署。根據工作計劃，評價小組由集團總部和外部咨詢機構組成，用一個月時間，赴集團公司總部和五家所屬單位及其部分三級及以下單位進行現場工作，針對各單位不同情況展開綜合評價和專項評價，形成報告呈報集團公司董事會。中國建筑發布了《中建集團合規管理有效性評價的實施方案》，確定了評價工 作的總體目標、評價范圍、評價方式、工作組織、評價程序、評價結果及運用等內容。
縱觀前文所述國內外合規管理有效性評價研究的實際可以總結出現國內尤其是國有企業目前合規管理有效性評價工作有如下特點：
1. 合規管理有效性評價側重于符合性
由于國內合規管理工作仍處于持續發展階段，目前合規管理有效性評價更傾向于關注“有沒有”。我國企業搭建合規管理體系所依據的規定和標準，傾向于采用縱向合規要素的結構開展評估，總結的評價指標也較為原則，造成評估深度不夠。除中國證監會發布的《證券公司合規管理有效性評估指引》之外，對于合規管理體系有效性評價的標準、方法、評價指標等均沒有具體詳盡的描述，也沒有統一的規定或標準出臺[7]。
2. 合規管理有效性評價工作容易流于主觀及表面
目前，以貫標認證為代表的合規管理有效性評價工作多數表現為現場的書面審查，再通過訪談的形式聽取企業員工描述的合規問題，第三方專家進行現場審查的工作時間通常為3天左右，往往缺少對合規管理執行和實踐效果的深層調查，有待客觀深入推進。
另一方面，評價均賦予了評估者更多的主觀判斷權力，例如《企業合規計劃評估》中關于中高層的承諾、政策的制定與發布等可以被稱為客觀的指標，也有賴于評價者主觀的判斷指標是否實際運行，容易停留于表象?！蹲C券公司合規管理有效性評價指引》提出的較為復雜的指標體系中大量指標的判定，也都依賴于評估者的主觀判斷。
3. 合規管理有效性評價的技術手段有待豐富
國外已存在大量的合規風險管理軟件，可以提供更便利和高效的評估協助。而國內合規管理有效性評價方法多為現場訪談、書面審查，輔以穿行測試、飛行測試等方式，對合規風險評級的技術還比較簡單，且受限于信息化水平，目前缺少有效的合規風險適時監測和控制手段，較難對有限的信息數據及資源進行技術處理，更難以對合規風險管理形成有效的支撐[8]。
三、國有企業合規管理有效性評價怎么評？
由于很難找到一套適用于全部企業的評估指標，那么對國有企業合規管理進行真正深入的有效性評估，必須因時因地因企制宜，為企業量體裁衣量身定做。筆者結合近年來央企、地方國企推動合規建設的實踐，以服務的項目的經驗為例，總結了國有企業合規管理有效性評價工作開展的要點，以期為企業和評估機構提供借鑒，也希望對國有企業合規管理體系建設和發展有所助益。
1.確立評價對象及范圍
資源的有限性決定了開展有效性評價工作時要有所側重，提高針對性。省、市國資委出資監管的國有企業具有一個明顯的特征即絕大多數以集團架構形式存在，多數企業具有多層級的組織架構。簡單的集團架構至少有三層，而復雜的集團架構甚至多達九層。集團架構企業普遍擁有多家全資子公司、控股子公司和參股公司。基于此，在開展合規管理有效性評價時科學準確地確定合規管理有效性評價的對象及范圍十分重要。
對集團性質的國有企業本身而言，合規管理體系從建設到評價都需要做到全面覆蓋，這體現在三個“全”上，即將合規要求嵌入經營管理全領域各環節；貫穿決策、執行、監督全過程；落實到各部門、各下屬單位和全體員工，實現多方聯動、上下貫通。從而使評價內容和結果能夠反映集團合規管理體系包括建立、實施、運行、維護、持續改進的情況。
而作為集團利潤中心、業務中心的下屬機構，則需要結合下屬機構的成立時間、發展情況、合規管理體系建設的實際進行區分。筆者認為，要重點突出，在對象選擇上，一是關注向國資委上報的重要子企業，重點子企業需要更精細和規范的合規管理，因此也有必要通過合規風險管理有效性評價進行持續關注，二是關注發生過歷時合規風險事件以及通過審計監督、合規報告就發現了問題的下屬機構。對于評價的范圍，要突出重點，鎖定在對合規風險研判及管控的適當性以及充分性上，評價時可以根據對下屬機構的審計檢查結果以及年度合規管理工作報告等內容進行綜合判斷，以此為基礎標識出重點領域、重要環節、重點內容。以便以更高的視角查找問題，注導集團公司主動加強合規風險管理。
2.科學設置評價指標體系
評估指標體系設計的是否科學，將直接決定一次合規管理有效性評估的成敗。國務院國資委下發的《合規管理體系有效性評價自評表》為國有企業合規管理有效性評價提供了框架和標準。筆者結合服務項目情況，根據公司實際情況優化，明確合規管理評價具體標準。
一是重點關注一級指標設置。結合國有企業合規管理體系建設的要求，重點關注六個方面：（1）人的層面，即組織與權責上是否做到從高層做起、合規人人有責，是否明確且合理分配了合規管理的具體職責；（2）制度層面，合規管理制度是否分級分類具有操作性；（3）機制層面，關注合規風險管理機制設置的適當性、合規要求的覆蓋性以及合規管理體系運行的有效及持續適用性；（4）文化層面，關注合規理念意識是否形成了自上而下、內生自發的氛圍；（5）信息化建設，重點評價合規管理信息系統作用發揮情況；（6）違規處罰情況，即有效性評價年度范圍內企業及員工因發生合規風險事件而產生的處罰情況，以評估合規運行情況以及形成持續改進。
二是進行科學權重賦值。由于合規有效性評價需要系統地反映國有企業合規管理體系運行的情況，為避免評價指標之間邏輯沖突、以偏概全等，需要根據評價工作的側重點合理設置權重。應以前六個方面作為基礎性指標，分別設置總分100分，合規管理的有效性主要體現在合規風險管理機制要有效運行，因此運行機制（含監督問責）占權重最大，占50%，并且細化到從合規風險評估分析預警到合規審查、合規監督、合規舉報、合規考核等具體機制上。而組織建設、制度建設、合規文化、信息化建設分占剩余50%。此外，將違規處罰作為扣分性指標，從體系持續動態改進形成良性循環運轉的原理出發，形成嚴謹有序的規則系統。
三是明確合規管理評價具體標準。在《合規管理體系有效性評價自評表》基礎上沿著合規體系建設、合規運行、合規管理結果三個方面細化評價指標，按照“6個方面44大項”對標評價對象的業務范圍，優化評價標準，分值設計偏預防、重落實。舉例而言，對于組織建設方面，細化對合規組織架構建設及履職情況的考核，指標落腳在組織架構權責劃分是否明確合理，能否保證合規管理在各級組織架構尤其是基層能否發揮作用。包括：合規管理牽頭部門的獨立性，合規管理隊伍的建設情況（如是否匹配了合適、足夠的合規管理人員，是否基于合規管理隊伍獨立、科學、不受干擾的報告路線）。而對于各部門、員工的合規管理崗位職責落實上，主要評價業務部門及職能部門判斷合規風險的準確性、管控合規風險的專業性、以及防范合規風險的自覺性，檢驗業務及職能部門在具體業務單元中是否發揮了第一道防線的作用，是否主動進行日常的合規審查，是否對合規審查的效能進行記錄和改進，是否定期修改、完善相關業務流程和崗位手冊，是否支持并配合合規管理牽頭部門的進行風險識別、分析和評估。
3.規范評價方法和程序
規范的評價方法和程序有助于指導合規管理有效性評價“正確做事”。合規管理有效性評價一定程度上類似于中醫的系統性診療，即通過對企業經營管理的整體性把握，全面審查分析，以實現企業合規內循環的正常運轉。具體來說，國有企業合規有效性評價程序具體包括成立評價小組、制定合規管理有效性評價方案、收集與審查相關資料文檔、現場檢查、評價信息的分析與對比、合規管理評價結果的出具與報告。
按照“五年一輪全覆蓋”的目標，國務院國資委已經啟動了中央企業合規管理體系有效性評價工作，隨著各地方國企合規管理體系建設工作的推進，筆者認為在不久的將來，地方國資委也將參照國務院國資委小組的工作方式來推動地方國企合規管理評價工作。
對于合規有效性評價的常用的方式包括但不限于文本審閱、問卷調查、知識測試、抽樣分析、個人訪談、實地走訪、穿行測試、系統及數據測試等，但其方法論與中醫診斷的“望、聞、問、切”有異曲同工之妙。
“望”——通過書面調查問卷、調閱資料、實地查看等非現場方式了解企業的合規管理情況。在進行書面問卷調查時要注意：精心設計構思問卷內容，以獲得真實、可信的資料為目的，并且要注意資料時整理和統計的便利性。
“聞”——通過個人訪談、企業走訪、穿行測試等“聽診”的方式，在個人訪談中要注意：提前明確訪談對象并確定訪談提綱，訪談對象范圍應當“自上而下”涵蓋領導班子（高級管理人員）、業務及職能部門的主要負責人和各業務條線的業務骨干或員工。在訪談提綱設計及訪談過程中要充分考慮被訪談對象的背景情況，結合其崗位年限、職位職級、崗位職責來對訪談對象進行全面分析，注意方法和技巧，以保證所反映的問題和情況具有代表性，能準確地反映該行合規風險管理的具體執行情況。
“問”——以結果為導向，通過訪談追問，抽樣分析等方式，交叉印證從各種途徑渠道了解到的信息，深入挖掘信息，從而相對客觀、全面地反映企業合規管理體系中的問題所在，客觀、真實、有效地作出合規評價。
“切”——通過綜合分析，從而對制度設置的完備性、體系構建的完整性、機制安排的適當性和運行的有效性，以及合規保障情況作出全面評價和診斷，查找存在問題和差距，分析問題產生的原因，并提出可行的整改建議，最終形成評價報告發送至企業。需要注意的是：對于集團化的企業進行全面有效性評價，在報告中應對集團公司和下屬機構分別提出建議，在形成下屬機構合規有效性評價報告時同步發送集團公司，從而從更高的管理視角幫助集團公司自上而下全面提升合規管理水平。
4.合規管理有效性評價結果的運用
正如中醫四診法“望、聞、問、切”其最終目的在于“治未病”，國有企業合規管理有效性評價結果可以作為指導國有企業建立合規風險防控長效機制的依據。
著眼于當下而言，合規管理有效性評價結果可以多維度、多層次地描述國有企業合規管理的整體情況，從而判斷它現實性的成效和缺陷，及時發現并處置已經出現的各類風險事件。以合規管理有效性評價作為經營管理提升工具，充分落實評價成果運用；建立健全整改機制，對評價發現的問題進行分類，對涉及集團公司“零容忍”事項清單的問題，采取約談相關部門、單位的主要責任人等方式嚴肅問責，并將整改完成情況納入公司所屬單位年度法治建設考評予以考核，考核涉及所屬單位主要負責人、相關責任部門負責人及相關管理人員，層層落實考核責任人，進一步壓實合規管理責任，使經營管理人員逐漸樹立經營管理的法律意識、合規意識。
著眼于未來而言，合規管理有效性評價結果不僅能夠評估現有機制實現了合規管理目標的程度和水平，且能夠通過動態評價的方式進行合規風險預警分析及報告，并發現合規風險事件背后隱藏的理念、制度、運行等方面的深層問題。對于評價對象而言，評價結果可以從正反方面發揮重要作用，正向的評價結果能激勵領導班子（高級管理人員）及員工向更高目標努力；負面的評價結果則能引起領導班子（高級管理人員）及員工的重視，發揮督促和警醒作用。在集團化的企業中，形成評價結果的過程也正是反饋集團自上而下管理成效信息的過程[9]。充分發揮評價結果的作用，使集團將合規管理的理論認知和實踐經驗有效結合在一起，分析、確認、澄清、完善集團管控思路和措施，提高國有企業合規風險管理的整體水平。
經過國央企幾年的實踐，國有企業對于為何需要開展合規管理有效性評價工作，如何開展合規管理有效性評價工作以及如何通過評價有效推動合規管理體系從“紙面合規”走向“實質合規”在認識和實踐上仍存在提升的空間。合規管理體系建設已成為國有企業高質量發展的大趨勢和主旋律，合規管理的“有效性”不僅關乎企業建立的合規體系是否能在日后經營中真正發揮作用，也關乎合規改革政策推進的正當性，在合規管理強調“有效性”的2.0時代，國有企業更應重視有效性評價工作，嚴格按照相關要求落實各項工作，最大程度地實現企業合規管理目標，為企業高質量發展保駕護航。
注釋：
[1] 吳學靜：《企業合規管理體系認證問題分析及發展建議》，載《中國標準化》；2022-12-31。
[2] 李 婕：《首席合規官來了！》，載人民日報海外版；2022-10-11（第11版）。
[3] 劉相文、湯敏志、李振偉、盧鷹旋：《中國企業如何進行合規管理有效性評估？》，載中論資訊，https://www.zhonglun.com/Content/2021/11-29/1605225410.html#:~:tex，2021-11-29.
[4] 劉相文 湯敏志 丁海東：《企業合規管理評估域外經驗及對中國企業的啟示》，載中倫咨詢，https://www.zhonglun.com/Content/2021/12-24/1347225354.html，2021-12-24.
[5] 陳瑞華：《有效合規計劃的基本標準》，載：http://www.360doc.com/content/19/0924/14/51617097_862927749.shtm ；2022-01-01.
[6] 中國信息通信研究院技術與標準所 錢悅 李文宇：《合規管理迫在眉睫 標準化進程加快》，載人民郵電；2020-07-23（第6版）.
[7] 陳宇：《構建合規管理有效性評價標準的域外經驗和中國實踐》，載貿法通，https://www.ctils.com/articles/11392，2023-9-22。
[8] 鄧玉洲：《我國證券公司合規風險評估的問題與對策分析》，載《金融經濟（理論版）》；2010-05-25。
[9] 謝麗琴：《商業銀行合規風險管理有效性評價模式研究》，載《南方金融》2012-11-27。
