關于國有企業合規管理體系建設中實務要點分析和總結
作者：陸歡歡 2023-05-232022年8月，國務院國資委以國資委令的形式印發《中央企業合規管理辦法》，通過部門規章對中央企業進一步深化合規管理提出明確要求，與《中央企業合規管理指引（試行）》相比更加突出剛性約束，內容更全、要求更高、措施更實。國有企業的合規管理從中央到地方已經開啟“合規強制模式”。隨著中央企業和地方國有企業依次進入合規體系建設“強化年”和“提升年”階段，合規管理體系建設工作駛入快車道，國有企業合規管理體系建設服務需求將進一步提升。本文將簡要概括國有企業合規管理體系建設中需要關注的要點以期有益于合規管理實踐。
摘要：近年來，國務院國資委積極推動國有企業合規管理體系建設，在早期交流探索國外先進經驗后，啟動了試點建設工作，不斷深化認知、積累經驗，隨著《中央企業合規管理指引（試行）》和《中央企業合規管理辦法》的相繼印發，國有企業合規管理經歷了由淺入深、由點到面、步步深化的過程，現國有企業合規管理建設已經進入全面開展階段，需要總結分析合規管理體系建設過程中的成功經驗和成熟做法，提煉合規管理體系建設實務中需要關注的要點，更好的服務于國有企業合規管理體系建設。
關鍵詞：國有企業 合規管理體系 三張清單 專項合規
一、全面梳理分析中央和地方主管部門對國有企業合規管理體系建設的相關制度和要求
國有企業開展合規管理體系建設工作，從法律適用角度看，是法律法規直接賦予國有企業的法定義務必須予以履行，如《中央企業合規管理辦法》屬于部門規章，具有普遍的法律約束力；從行政管理角度看，是國家自上而下推動的以規范企業經營管理行為和員工履職行為為目的提出的一系列企業規范管理要求，必須貫徹落實。
近年來，多部門出臺了一系列合規管理政策及指引，北京、上海、江蘇、安徽等各地方國資委陸續發布了合規管理相關辦法和要求，進一步落實國務院國資委《關于加強地方國有企業法治建設的指導意見》中關于合規管理體系建設的要求。在國家層面，國資委印發的《中央企業合規管理指引（試行）》《中央企業合規管理辦法》、發改委、外交部、商務部等聯合印發的《企業境外經營合規管理指引》對中央企業合規管理提出了明確要求；在地方層面，已有不少于20家地方省級國資委出臺了合規管理規范性文件。如北京市國資委制定印發了《市管企業合規管理工作實施方案》、《市管企業合規管理指引（試行）》；上海市國資委制定印發了《上海市國資委監管企業合規管理辦法》，并配套印發了《上海市國資委監管企業合規管理系列指南（2022版）》；江蘇省國資委印發了《省屬企業合規管理指引（試行）》，并制定了《省屬企業合規管理辦法》；安徽省國資委印發了《安徽省省屬企業合規管理指引》，并陸續發布了《關于開展省屬企業“合規管理建設年”工作的通知》、《省屬企業合規管理提升行動工作方案》，并配套印發了《省屬企業合規管理系列指南》。
無論中央還是地方對國有企業合規管理監管要求越來越規范化、全面化、具體化，國有企業要建立健全系統完備的合規管理體系必須要全面、深入、細致分析研究各類合規管理規章制度、政策要求、合規指南并堅決執行到位。
二、深入全面了解國有企業經營管理活動，為合規管理體系建設“量體裁衣”
在中央和地方國資委的大力推動下，多數國有企業在合規管理方面都有一定的基礎，大多建立了內控體系、風控體系、法務管理體系，但這些體系只是在某個領域、個別業務層面涉及合規管理內容，沒有經過系統化、體系化的策劃，沒有詳細梳理業務活動、也沒有逐一識別確定對應的合規義務和評估合規風險，體系的融合度并不高。如某大型地方國有企業的各類管理體系非常健全，建立有質量管理體系、安全生產標準化體系、生態環保體系、內控與風險防范體系等，但這些體系基本處于獨立狀態并未形成一個集成系統運行，無法為企業經營管理和風險防范發揮體系化合力。該等情況下，合規管理體系的建設，就需要通過深入全面了解企業的實際經營管理情況，因企業而異，設計不同的合規管理體系建設方案。對于體系相對完善的企業，合規管理需要考慮各體系間的融合，這是目前比較主流的做法。有的企業希望建立完全獨立的合規管理體系，單獨運行，這主要是一些新設的企業或者業務領域有特別監管要求的企業，如金融和類金融企業。
從本質上看，合規管理是屬于風險管理的一部分，合規管理可以與風險管理體系融合一體，也可獨立成體系，具體如何選擇需要參考第三方專業機構研究評價分析后給出的意見和建議，由企業根據實際情況來判定。目前，為合規管理體系建設服務的第三方專業機構大致可以分為三種服務模式：第一種是律師事務所+企業咨詢公司（主營業務是體系認證或咨詢管理）；第二種是單純的企業咨詢公司；第三種是單純的會計師事務所。每種服務模式提出的合規管理意見和建議側重點不同，所提供的合規管理體系服務也有很大差異。第一種模式集合法律與管理，綜合程度最高，效率效果相對更能滿足國有企業的“大合規”要求，是目前國有企業合規管理體系建設所普遍選擇的第三方服務模式。從國務院國資委和地方國資委有關所屬企業合規管理官方宣傳報道中也可以看出，大多數國有企業聘請第三方專業機構開展合規管理體系建設基本都是采用第一種服務模式。法律+管理的企業大合規體系建設，這是合規管理最底層邏輯的必然要求，合規管理制度和政策的最終極目標是落實全面依法治國戰略部署，全面依法治企，深化法治國企建設，保障企業高質量發展。從合規管理實踐看，無論在國資委還是國有企業，合規管理工作的歸口管理部門都是法律事務機構，國務院國資委是政策法規局、地方國資委是法規處或政策法規處，國有企業是法務管理部、法務合規部、合規部等。
筆者認為，國有企業合規管理體系建設是以法律合規為基礎的綜合性合規體系，既要建立全面覆蓋企業經營管理的大合規，也要強化重點業務領域中的專項合規，因此國有企業合規管理體系建設要注重發覺企業自身的經營管理特點，并不是千篇一律的制度模型，合規管理體系建設也不是復制粘貼的拿來主義，必須要提倡和堅持為建設合規管理體系“量體裁衣”，每一個國有企業都有自身的經營管理特色和業務優勢，要通過符合企業實際的合規管理體系建設放大特色，強化優勢，堅持把合規管理向企業經營管理的廣度和深度拓展，做到橫向到邊，縱向到底，堅持把合規管理嵌入經營管理的各個環節，堅持把合規管理的觸角延伸到業務的各個領域，真正為企業量身打造依法合規經營管理的護身寶甲。
三、深入充分運用好合規訪談工具，抓好“關鍵少數”，為建立健全合規管理體系打好基礎，保障落實
合規訪談常被第三方專業機構用于了解需求單位組織架構、經營管理、業務領域、人員構成等基本信息，以便有效、準確評估需求單位的合規管理現狀、合規管控流程、業務流程現狀、業務對合規的反饋等。訪談主要是指通過口頭的形式，簡單、直接明了的向需求單位問詢、獲取與合規管理相關的信息。筆者認為合規訪談是合規管理體系建設最為基礎的工作環節，訪談可以快捷明了的幫助第三方專業機構了解企業的總體概況，尤其是合規管理工作的建立情況和完善程度，為后期合規管理體系方案設計提供原始的素材信息。因此在訪談前，第三方專業機構應當根據企業合規管理具體需求預設訪談目標，提前制作訪談問題清單或提綱，在訪談過程中應注意訪談技巧，在訪談后應輸出訪談紀要。
合規訪談清單或提綱的設計需要圍繞幾個要點進行：
收集基本信息。
為充分了解需求單位合規管理情況，專業機構需要根據具體合規管理情況確定需要收集的關鍵信息，使用適當的方式、模型對信息進行分析和整理。在了解需求單位的基本信息時，需要驗證相關信息的準確性，必要時應對需求單位的合規管理活動進行深入調查。
識別和分析合規管理的具體需求與現狀的匹配度。
對收集的基本信息進行識別和分析，挖掘數據背后的深層含義，梳理需求單位在內外部環境下與合規管理要求存在的差距，即發掘合規管理需求方向，結合合規管理運行現狀初步確定采取何種類型的合規管理體系建設方案。
評價已有的合規管控措施。
在分析合規管理需求后，需要調查需求單位現有合規管控措施是否完整、有效和實際履行。未被覆蓋的經營管理領域越多，原則上合規管理完善度越低，合規管理建設實際難度也越大。四是訪談結果應用，合規訪談結果是判斷目前企業合規管理現狀與企業經營管理現狀匹配程度的重要依據和抓手，也是開展后續合規管理體系建設方案設計，建立合規制度、完善運行機制、培育合規文化、強化監督問責等工作的基本支撐。合規訪談能夠幫助需求單位認識合規管理的薄弱點、風險點，幫助企業經營管理層和各業務領域了解和認知合規管理，利于開展精準合規治理。
從合規管理建設實踐看，合規訪談對象的選擇非常關鍵，往往在很大程度上影響企業合規管理體系建設的完善度、運行可行性和合規文化建設氛圍。《中央企業主要負責人履行推進法治建設第一責任人職責規定》明確中央企業主要負責人作為推進法治建設的第一責任人，應當切實履行依法治企重要組織者、推動者和實踐者的職責，把法治建設納入全局工作統籌謀劃。中央企業合規管理強化年工作部署會要求，中央企業要強化領導合規意識，嚴格依法依規決策，切實發揮“關鍵少數”作用，堅持抓住“關鍵少數”、切實發揮領導干部的示范帶動作用是推進企業法治工作高質量發展的政治保證。國有企業合規管理體系能否建立健全，合規管理能否落實、合規管理能否推進，都需要“關鍵少數”領導的支持。也正因如此，為建立健全國有企業合規管理體系的所開展的訪談工作，不但要抓住“關鍵少數”領導重點訪談，也要把領導范圍擴大，不應只包括企業主要負責人、首席合規官、高管人員等，還應該把生產經營、法務合規、財務、審計、監察、巡視巡查、追責問責等業務單位和部門的主要負責人納入其中，盡量做到“關鍵少數”訪談全覆蓋。
四、深入要站在總覽企業全局的高度建立健全企業合規管理體系，把合規管理與企業的經營管理發展戰略規劃相融合
《中央企業合規管理辦法》第3條第3款對合規具體管理活動進一步闡釋：“本辦法所稱合規管理，是指企業以有效防控合規風險為目的，以提升依法合規經營管理水平為導向，以企業經營管理行為和員工履職行為為對象，開展的包括建立合規制度、完善運行機制、培育合規文化、強化監督問責等有組織、有計劃的管理活動。”合規管理對企業來說是一項系統化、體系化、全局性的管理活動。
國有企業一般為集團化公司，法人分支機構和法人層級比較多、員工人數多、業務領域廣、管理縱深大，開展體系建設工作必須要站在企業集團化的高度對公司所屬各級法人及分支機構的法人治理結構和業務管理予以統籌設計和優化，通過分級、分層、分類的精細化管理設計，幫助企業集團通過合規治理，完善體系運行，培育合規文化并強化監督問責等活動，將合規要求嵌入經營管理各領域各環節，貫穿決策、執行、監督全過程，落實到各部門、各單位和全體員工，實現多方聯動、上下貫通。
國有企業作為社會主義市場經濟的重要組成部分，自身規模特征和發展戰略、發展目標決定了國有企業合規管理要做市場經濟中主體表率，應建立追求價值合規的合規管理體系，做市場主體中合規管理的典范，成為各類市場主體的學習標桿和榜樣。國務院國資委在中央企業合規管理工作推進會中強調，合規管理是國有企業切實有效防范經營風險的關鍵制度性措施，是新形勢下持續健全公司治理，確保企業良性循環、穩健發展的迫切需要，是一件必須要做、并且一定要做好的事。合規管理對國有企業的重要性不言而喻，合規管理體系建設是國有企業市場競爭的核心軟實力，要把合規管理體系建設與企業發展緊密關聯，推動合規管理服務企業發展戰略目標，秉承合規管理也能創造經濟價值的經營管理理念，進一步推動企業治理體系和治理能力現代化，實現企業精益化管理目標。
五、扎實做好合規管理體系建設中的“三張清單”，確保合規風險防范到位
2022年9月13日，國務院國資委召開中央企業合規管理工作推進會中強調，中央企業要深入貫徹落實《中央企業合規管理辦法》必須聚焦關鍵領域，扎實做好“三張清單”，確保風險防范到位。2023年3月2日，國務院國資委召開中央企業深化法治建設加強合規管理工作會議中再次強調“以完善運行機制為關鍵，不斷健全合規風險識別清單、崗位合規職責清單、業務流程管控清單，推動合規管理與經營管理深度融合”。國務院國資委連續兩年的專題會議中專門強調企業合規管理要做好“三張清單”，足見合規管理工作中“三張清單”的重要性。關于“三張清單”具體指的是什么，在法律層面上沒有明確的定義，《中央企業合規管理指引（試行）》和《中央企業合規管理辦法》中也沒有明確表述，從前期建設合規管理體系工作試點的五家中央企業實踐成果和國資委監管要求看，“三張清單”一般指的是風險識別清單、崗位合規職責清單和業務流程管控清單，也有的會在前面依次加上重點領域、重點崗位、關鍵業務等限定詞，但并不影響“三張清單”的實質內容。
第一張合規風險清單，是合規管理工作的基礎，以風險為導向，對各領域適用的現行制度和外部法規進行系統梳理，匯總違反外法內規要求的條款責任。第二張崗位合規職責清單，以崗位為根本，結合業務部門、合規部門、監察部門“三道防線”設定不同崗位的具體職責，對照這些崗位職責，將每個職責中的合規審核、合規管理、合規動作都反映出來，凸顯本崗的合規職責。第三張業務流程管控清單，以合規風險清單與崗位合規職責清單為基礎，對業務管理制度和流程進行分析評價，甄別其與合規管理要求之間的差距和不足，并根據合規管理要求進行修改和補充，使合規管理要求融入業務管理制度和流程。
合規管理“三張清單”的表現形式不盡相同，主要分為三種類型：
按照合規管理重點領域分別制定“三張清單”，如國家電投在招標采購、金融業務、境外投資、境內項目、知識產權、產品銷售、投資決策和工程管理等8個重點領域開展“三張清單”試點工作作為推動合規管理要求有效落地的重要途徑。
采取合規管理全覆蓋，對所有業務領域均建立健全“三張清單”，將合規要求融入所有業務流程，如東方電氣集團發布的《崗位合規職責清單》，清單內容包括總部13個部門及直屬單位，122個具體崗位，850項合規職責，實現了崗位全覆蓋。
將“三張清單”對應的項目融合，建立健全一張全面清單。如華僑城集團創新合規評價機制，采取“一張清單、兩個階段、三級聯動”的方式，實現“自評、建設、考核、運用”閉環管理。無論國有企業選擇哪一種類型，做好“三張清單”是企業做好合規風險防范最重要的基礎。
合規風險清單編制要聚焦在對企業的業務經營活動有影響的相關方需求或引發企業法律責任、造成經濟或者聲譽損失以及其他負面影響的可能性。業務部門及職能部門是合規風險清單的編制主體，結合工作內容所遵循的外部法律法規和政策文件以及企業內部規章制度要求，確定工作中的合規風險點，并按照風險程度和發生概率分類分層匯總整理為風險識別清單。對于重點領域合規風險清單的編制，要結合業務風險排查，圍繞內外部經營環境情況區分合規風險等級，達成對重點領域風險點的全面覆蓋。
崗位合規職責清單編制要以企業崗位說明書為基礎，編制與企業合規義務相對應的崗位職責，職責的內外部（外部法律法規、內部企業規章制度）依據，不履責的責任和后果，即企業中從事某崗位的人員違規后需要承擔何種責任。以法務人員為例子，法務人員（在法律法規層面沒有明確規定合規義務，但企業內部規章制度可以規定）的崗位說明書一般會寫到崗位職責是負責公司經濟合同審核、規章制度審核、重大經營決策提出法律意見和建議。法務人員如果不履行崗位職責，則認定履職行為不符合崗位職責，依據法律法規和企業規章制度，可能面臨追責或承擔其他不利后果。崗位職責清單既是該崗位從業人員的規范指引，也是未來追責的依據。
編制業務流程管控清單要與企業內控相融合，梳理企業的業務流程和管理流程，通過識別合規風險，設置關鍵風控點包括實際操作過程中的節點、動作、審批，在編制過程中，要細化主要合規風險業務的業務流程圖，同時要清晰一個定位，即業務流程管控要解決的是業務流程的合規管理機制問題，可以比照企業內控體系中流程的作用來理解。比如，合同履約管理流程，要包括主體核查、臺賬管理、合同標的物的交付和驗收處理、費用結算情況等，這樣設計流程管理風控點、控制動作、審批要求就可以區分哪個主體，應履行哪些行為，不同節點的合規風險、不合規行為就可以識別出來并做針對性處理。
企業通過“三張清單”可以快速識別合規風險，落實合規管理的崗位和人員，確定不同合規風險應對和處理方法，實現工作目標清晰、合規責任明確、合規措施落實到位。同時，完善合規管理清單的工作應當注重與企業現有合規制度的整合借鑒。考慮到國有企業都有不同成熟度的合規管理的工作成果，如果合規清單不是建立在健全和完善已有制度或者查漏補缺的基礎之上，而是另起爐灶，那么在體量較大的企業可能會引發內部的質疑，使得合規清單制定工作推進難度增加。
六、國有企業合規管理體系既要符合國資監管要求，也要滿足標準認證的有效性
2021年4月13日，國際標準化組織頒布ISO 37301：2021《合規管理體系要求及使用指南》為企業合規提供了一個客觀、權威的標準，中國企業對標該標準建設合規管理體系并貫標認證已經成為一個趨勢。2021年11月1日，國資委《關于進一步深化法治央企建設的意見》指出，中央企業合規管理建設的近期目標是，到2025年基本建立全面覆蓋、有效運行的合規管理體系。國有企業的合規管理體系建設是否需要貫標認證，滿足中央企業合規管理辦法是否就滿足了ISO37301:2021認證標準。筆者認為，這兩個問題其實屬于同一個問題的兩個方面，都屬于合規管理體系有效性的評價標準和方法，本身并不沖突，都是為保障合規管理體系的有效運行。國有企業因業務領域廣、管理縱深長和幅度大等原因經營管理風險呈現出多樣化，對于很多“走出去”的國有企業還要面臨境外合規法律風險。國有企業的合規管理體系是否必須要認證，在法規和政策層面都沒有給出明確的要求，但從國有企業開展合規管理的初衷和本源目的來看，認證應該是一種必然的趨勢。2022年10月12日，GB/T35770-2022《合規管理體系要求及使用指南》正式發布，作為ISO37301的等同轉化國標，也體現了國家對合規管理貫標認證的一種牽引和推動。當然滿足中央企業合規管理辦法并不必須然滿足ISO37301的內容，因為無論是管理辦法還是認證指南都認可合規管理以風險控制目標，但管理辦法是最低標準要求，不是最高要求，并且作為法律文件也不可能像認證指南一樣面面俱到，從管理辦法的內容看，與ISO37301認證指南是一致的，都是朝著國際標準看齊和走近。
目前從公開渠道獲悉，中央企業和地方國企都在逐步推進合規管理體系的貫標認證工作，地方國企中，廣東和浙江的部分國有企業步伐較快，如廣東能源集團、廣東環保集團、浙江港航集團、寧波機場自2022年始陸續完成了合規管理體系國際和國內的雙認證。2022年4月，廣東省國資委印發《省屬企業“合規管理強化年”行動方案》，在全國率先明確提出“力爭通過三年努力，全部省屬企業通過ISO37301貫標認證”。合規管理體系貫標認證在某種程度上證明企業的合規管理體系是有效的，或者說某種程度上符合當前國際通行的關于有效的定義和標準。基于以上實踐看，合規管理從體系到認證是合規管理與國際接軌，適用中國企業實際的，通過認證能夠適用國際通行規則，也能夠傳遞企業商業信任、降低企業合規成本并提高合規底線，對國有企業進入全球經濟圈是有益的。
企業申請ISO37301認證，應向有資質的認證機構申請并根據認證機構提供的文件清單準備材料，再由認證機構根據企業實際情況進行現場審核，主要流程為：
企業內部策劃體系、實施、運行 ? 體系運行滿三個月 ? 預審核（可選）? 階段審核 ? 二階段審核 ? 整改（如有）? 獲得證書 ? 每年監督審核 ? 三年重新審核
七、合規管理體系建設既要考慮全面覆蓋，也要聚焦主營業務相關的合規領域重點布局
國有企業大部分是集團化管理型公司，其經營業務主要集中在下屬的分支機構或子企業，這就決定了國有企業在集團層面開展合規管理體系時更多從管理的視角切入，注重管理環節的全面性、人員覆蓋的全面性、制度機制的全面性。但這種全面覆蓋過程中，依然要對應具體的法律合規風險領域。《中央企業合規管理辦法》第18條對反壟斷、反商業賄賂、生態環保、安全生產、勞動用工、稅務管理、數據保護等7個領域以及高風險業務和涉外業務合規專項建設提出明確具體的要求。中央及地方國資委也發布了多個專項合規指南，截止目前，國務院國資委發布了4批11部合規管理專項指南，上海市國資委、安徽省國資委也分別發布了多部合規管理專項指南，內容覆蓋了招投標、出口管制、世界銀行制裁、反商業賄賂、勞動用工、商業伙伴、反壟斷等。國有企業應當根據主業開展專項合規建設，要注意覆蓋企業關鍵性的管理環節并結合具體的業務對象和特點。實踐中如果建立了全面合規管理體系可否不做專項合規建設，筆者認為，這是不可取的，國有企業應當根據企業自身的主業和經營特點開展專項法律領域的合規建設。理由是：
首先，從合規管理的底層邏輯看，全面合規管理主要解決的是戰略+管理（一大部分）的問題，專項合規管理聚焦在法律專業技術領域，如反壟斷、反商業賄賂、勞動用工、招投標都是法律細分專業領域問題，要解決的是法律專業技術性問題。國有企業建立全面合規管理體系大多是管理性并非法律技術性合規，而企業經營管理行為是否合規，最直接、微觀的是要體現在具體行為的合規性問題上的，以及圍繞如何解決法律問題的管理措施設計，這都需要更為具體、有針對性的法律專項合規建設來解決。
其次，從法定義務層面看，專項合規建設是法定義務，應當堅決履行到位。《中央企業合規管理辦法》第18條規定中央企業應當針對反壟斷、反商業賄賂、生態環保、安全生產、勞動用工、稅務管理、數據保護等重點領域，以及合規風險較高的業務，制定合規管理具體制度或者專項指南。各地方國資委也有類似重點領域監管要求，對于國有企業來說，這是必須要貫徹落實執行到位的。
再次，大型國有企業往往是參與全球市場競爭的主體，需要面對和適應境外各類法律合規風險。如果不開展專項合規建設，就很難和國際市場上的合規規則接軌。企業合規管理標的是合規風險，外部的法律法規、監管規則、行業準則和國際條約紛繁復雜，在具體識別、與業務相結合之前，都是抽象的合規風險，如果不通過法律專項合規建設將抽象合規風險與企業經營管理實際相結合轉為具體合規風險，很容易導致合規體系空轉。
最后，全面合規管理體系客觀上是不可能窮盡所有法律法規，而管控全部法律合規風險也是不現實的，國有企業應當聚焦主業發展，因此必須有針對性地圍繞本企業的主業、可能面臨的主要風險來選擇專項領域開展合規建設，以保障國有資產安全，實現高質量發展。
結 語
國有企業的合規管理管理體系建設是極其復雜的系統化工程，筆者僅從自身工作實踐出發分析和總結部分要點，形成本文供參考交流。合規是國有企業高質量發展的基石，是國有企業適應高水平開放新格局的必然選擇，是國有企業有序健康“走出去”的重要保障，是國有企業實現建設世界一流企業，邁向企業治理體系和治理能力現代化的內在需求。國有企業要構建完備的合規管理體系，提升防范法律風險的意識與應對法律風險，更加契合國際規則和慣例，“身健體康”的走向國際市場，在全球經濟主體中展示中國企業風采。
參考文獻
[1]樊光中：《深入理解中央企業合規管理辦法》，載《企業管理雜志》
[2]樊光中：《中央企業如何貫徹落實中央企業合規管理辦法》，
載搜狐網https://business.sohu.com/a/588628807_121181007
[3]李奮飛主編：《企業合規實務管理》，中國法制出版社
[4]郭青紅著：《企業合規管理體系實務指南》，人民法院出版社
[5]國務院國資委網站國資委監管、法治建設及重要活動http://www.sasac.gov.cn
