試論企業(yè)合規(guī)管理的落地措施

時如寧

（光大金甌資產(chǎn)管理有限公司）

一、出臺合規(guī)管理的背景

2018年4月，中興在海外經(jīng)營中交了一次學費，此次受處罰金額高達12億，事件一出，全國上下一片嘩然，痛心疾首的同時，也應(yīng)該痛定思痛，是什么原因?qū)е铝酥信d受罰。中國企業(yè)海外經(jīng)營行為不合規(guī)，其根本在國內(nèi)，企業(yè)國內(nèi)經(jīng)營合規(guī)的重視程度不夠。面對此次事件，國務(wù)院領(lǐng)導(dǎo)要求企業(yè)強化合規(guī)經(jīng)營意識，并要求有關(guān)政府部門采取措施指導(dǎo)企業(yè)在經(jīng)營中遵規(guī)守法，切實防范合規(guī)風險。中興事件只是出臺合規(guī)管理規(guī)定的導(dǎo)火索。其實，國家對于合規(guī)管理的引導(dǎo)早已有之，自2006年開始，國家就陸續(xù)對商業(yè)銀行、保險公司、中央企業(yè)提出合規(guī)管理要求，并選取開展試點工作。

二、合規(guī)管理的內(nèi)涵和外延

2006年，中國銀監(jiān)會頒布《商業(yè)銀行合規(guī)風險管理指引》。2007年，中國保監(jiān)會頒布《保險公司合規(guī)管理指引》。2015年12月8日，國資委《關(guān)于全面推進法治央企建設(shè)的意見》（國資發(fā)法規(guī)【2015】166號），明確要求中央企業(yè)加快提升合規(guī)管理能力，研究制定統(tǒng)一有效、全面覆蓋、內(nèi)容明確的合規(guī)制度準則，加強合規(guī)教育培訓(xùn)，形成全員合規(guī)的良性機制，建立法律、合規(guī)、風險、內(nèi)控一體化管理平臺。2016年，國資委組織中國石油、中國移動、東方電氣集團、招商局集團、中國中鐵等五家中央企業(yè)開展試點工作。2017年12月29日，中國國家質(zhì)量監(jiān)督檢驗檢疫總局、中國國家標準化管理委員會發(fā)布了ISO 19600《合規(guī)管理體系指南》（GB/T 35770-2017）。2018年5月28日，國資委就《中央企業(yè)合規(guī)管理指引》（試行）征求意見。2018年11月2日，國資委印發(fā)了《中央企業(yè)合規(guī)管理指引（試行）》，同年12月13日，河北省國資委印發(fā)了《省國資委監(jiān)管企業(yè)合規(guī)管理指引（試行）》。

（一）合規(guī)的內(nèi)涵

上述制度文件對于合規(guī)、合規(guī)管理、合規(guī)風險的涵義作出了規(guī)定，簡單說來，合規(guī)管理就是遵守規(guī)則。

規(guī)則包括法律法規(guī)、監(jiān)管規(guī)定、行業(yè)準則、企業(yè)內(nèi)部規(guī)章、國際規(guī)則等。中興受處罰的依據(jù)就是美國下發(fā)的經(jīng)濟制裁名單。具體到我公司，公司需要遵守的規(guī)則除了公司法人需要遵守的普遍意義上的民法、合同法、刑法、行政法等法律法規(guī)，還有國資委下發(fā)的條線管理規(guī)定、金融監(jiān)管機構(gòu)下發(fā)的資產(chǎn)管理方面的規(guī)定、職業(yè)道德規(guī)范，公司制發(fā)的章程及內(nèi)部規(guī)章制度等等。

合規(guī)管理是要系統(tǒng)地開展以“合規(guī)”為目標的管理，包括公司制度規(guī)定與外部法律法規(guī)相“合”；公司內(nèi)部制度完善，無漏洞；公司內(nèi)部制度間無沖突；公司內(nèi)部制度評價、改進；公司內(nèi)部制度執(zhí)行到位；公司合規(guī)風險識別、評估、應(yīng)對；合規(guī)評價、監(jiān)督、改進等。

（二）合規(guī)的外延

對于國內(nèi)大中型企業(yè)尤其是國企、央企來說，合規(guī)不僅是簡單地合乎監(jiān)管要求，更是實現(xiàn)內(nèi)部機制的融合，順暢運行。在國家對企業(yè)全面風險管理、內(nèi)部控制、合規(guī)監(jiān)管要求提倡多年后，很多企業(yè)都無法實現(xiàn)三者的銜接，這得先從三者的起源說。

1.內(nèi)部控制的法律基礎(chǔ)和實踐

2005年，財政部下發(fā)了《金融資產(chǎn)管理公司內(nèi)部控制辦法》（財金[2005]136號），對四大資產(chǎn)管理公司提出了加強內(nèi)部控制，建立健全內(nèi)部控制機制的要求。2006年，滬交所和深交所分別發(fā)布《上市公司內(nèi)部控制指引》。2008年，國家五部委頒發(fā)了《企業(yè)內(nèi)部控制基本規(guī)范》，并于2010年下發(fā)《企業(yè)內(nèi)部控制配套指引》，對境內(nèi)設(shè)立的大中型企業(yè)提出了內(nèi)部控制的要求。2012年，國資委和財政部下發(fā)《關(guān)于加快構(gòu)建中央企業(yè)內(nèi)部控制體系有關(guān)事項的通知》（國資發(fā)評價[2012]68號），對央企提出了相關(guān)內(nèi)部控制的要求。

2.全面風險管理的法律基礎(chǔ)和實踐

2006年，國資委發(fā)布《中央企業(yè)全面風險管理指引》，提出企業(yè)全面風險管理的要求，建立三道防線管理。第一道防線是包括董事會高管層及全體員工在內(nèi)的業(yè)務(wù)層面；第二道防線是董事會下設(shè)的風險管理委員會及下設(shè)職能部門；第三道防線，是董事會下設(shè)的審計委員會及下設(shè)職能部門。2013年，省國資委印發(fā)《河北省國資委監(jiān)管企業(yè)全面風險管理工作實施辦法》的通知《關(guān)于進一步加強監(jiān)管企業(yè)管理工作的指導(dǎo)意見》的通知（冀國資[2013]5號），要求開展全面風險管理，提高風險管理能力。

3.合規(guī)管理、內(nèi)部控制、全面風險管理三者的關(guān)系

關(guān)于企業(yè)合規(guī)管理、內(nèi)部控制、全面風險管理的要求分布在法律法規(guī)的各個層面，具體的管理職責分布在公司的各個部門，相互間既有交叉又有區(qū)別。

三者具體的關(guān)系是合規(guī)管理、內(nèi)部控制、全面風險管理的范疇逐步增大。合規(guī)管理的目標只有一個即合規(guī)，內(nèi)部控制的目標包括經(jīng)營、報告、合規(guī)三個目標，全面風險管理包括戰(zhàn)略、經(jīng)營、報告、合規(guī)四個目標。

公司的合規(guī)管理是最基礎(chǔ)的，只有在合規(guī)管理下的經(jīng)營才是可持續(xù)的；公司的合規(guī)管理也是最核心的，只有在合規(guī)管理下的經(jīng)營才是安全有效的。從合規(guī)管理出發(fā)，外延不斷擴大到內(nèi)部控制，應(yīng)該實現(xiàn)流程效率和效果、資產(chǎn)保值增值等；外延繼續(xù)擴大，應(yīng)該實現(xiàn)各業(yè)務(wù)部門自主識別各類風險、提前預(yù)防各類風險的職責，風險不僅限于合規(guī)風險，包括流動性風險、操作風險、市場風險、行業(yè)風險等。所以，公司最全面的管理體系應(yīng)是全面風險導(dǎo)向下的管理體系。

公司合規(guī)管理、內(nèi)部控制、全面風險管理的“抓手”有一致性。國際上并沒有單獨對合規(guī)管理有專業(yè)規(guī)定，而是融合在內(nèi)部控制和全面風險管理中，按照國際通行且比較成熟的coso內(nèi)部控制框架和全面風險管理框架指導(dǎo)，為了實現(xiàn)合規(guī)目標，需要建立內(nèi)部環(huán)境、目標設(shè)定、風險識別、風險評估、控制活動、信息與溝通、監(jiān)督等措施。

三、合規(guī)管理發(fā)展現(xiàn)狀

2018年末2019年初，國務(wù)院國資委、各省國資委陸續(xù)下發(fā)了國有企業(yè)加強合規(guī)建設(shè)的法規(guī)規(guī)章，《關(guān)于印發(fā)〈中央企業(yè)合規(guī)管理指引（試行）〉的通知》（國資發(fā)法規(guī)［2018］106號）《關(guān)于印發(fā)〈省國資委監(jiān)管企業(yè)合規(guī)管理指引（試行）〉的通知》（冀國資字［2018］335號）《關(guān)于貫徹落實〈省國資委監(jiān)管企業(yè)合規(guī)管理指引（試行）〉的通知》（冀國資字［2019］66號）等。國有企業(yè)陸續(xù)照葫蘆畫瓢建立了企業(yè)合規(guī)制度，但除了受到國際出口管制的外貿(mào)型企業(yè)感同身受外，其他在國內(nèi)經(jīng)營的企業(yè)對于合規(guī)到底做什么、怎么做、做了能給企業(yè)帶來什么，連企業(yè)合規(guī)部門都有所疑惑。經(jīng)過近3年的發(fā)展，企業(yè)合規(guī)人員越來越清晰地認識到企業(yè)合規(guī)的內(nèi)涵、路徑、效能等。

（一）逐步統(tǒng)一對合規(guī)的認識

（1）企業(yè)合規(guī)是一種公司治理機制。原有的公司治理更多關(guān)注于委托人和受托人的權(quán)力邊界劃分，厘清“四會一層”的職責，隨著監(jiān)管政策的加強，現(xiàn)在的公司治理內(nèi)涵不斷擴大，包括全面風險管理、內(nèi)控管理、合規(guī)管理、依法治企等都上升為公司主要負責人的職責，進而演變成公司治理的重要事項。

（2）企業(yè)合規(guī)的內(nèi)涵經(jīng)歷了三個階段的發(fā)展：最初的樸素認識，合規(guī)就是要遵守規(guī)則，規(guī)則包括法律法規(guī)、監(jiān)管規(guī)定、行業(yè)準則、企業(yè)內(nèi)部規(guī)章、國際規(guī)則等。其次，企業(yè)合規(guī)的建立是為了防范因違法違規(guī)受到行政監(jiān)管處罰、刑事追究的風險。企業(yè)合規(guī)與法律風險要做好區(qū)分，企業(yè)合規(guī)只針對公司被處罰、定罪或剝奪特定資格的風險做好防范，民法意義上的風險歸于法律風險。最后，國家檢察院開展的合規(guī)暫緩起訴或不起訴制度為企業(yè)合規(guī)設(shè)立了外部激勵機制。如果企業(yè)沒有做合規(guī)，則面臨比較嚴重的行政或刑事處罰；如果企業(yè)做了合規(guī)或與監(jiān)管部門和檢察機關(guān)達成諒解，則獲得寬大的理由。

（3）企業(yè)合規(guī)是為了避免企業(yè)自身合規(guī)風險建立起來的治理體系，有時候會使高管獲得收益，但從本質(zhì)上不是“保護企業(yè)高管”的管理機制。為了維護企業(yè)的最大利益，需要實現(xiàn)企業(yè)責任和員工責任的有效切割，甚至將違法違規(guī)行為的高管移交執(zhí)法部門，換取企業(yè)免于處罰或被起訴的寬大處理。

（4）合規(guī)管理能夠為企業(yè)合規(guī)經(jīng)營提供合理保證，但是并不能確保經(jīng)營一定合規(guī)。合規(guī)管理的價值在于，通過程序合規(guī)盡可能保證結(jié)果的合規(guī)，即通過程序合規(guī)盡可能保證公司經(jīng)營目標的實現(xiàn)，通過程序合規(guī)盡可能保護員工個人的職業(yè)生涯。合規(guī)管理不是萬能的，不能對合規(guī)目標實現(xiàn)提供確定結(jié)果，在經(jīng)營過程中有可能出現(xiàn)決策失誤、串通舞弊、管理成本過大等情況，這是客觀的，不可避免的。

（二）充分認識合規(guī)發(fā)展中存在的問題

大部分企業(yè)已經(jīng)建立了一定的企業(yè)文化、管理架構(gòu)、規(guī)章體系等，已經(jīng)搭建了合規(guī)管理的基礎(chǔ)?？傮w來說，公司的合規(guī)管理處于初級階段，合規(guī)管理不成體系。

（1）合規(guī)管理的理念“守而不牢”。公司及員工人人提合規(guī)，但從前段時間監(jiān)察委員會對公司的檢查結(jié)果來看，合規(guī)管理的理念只是浮于表面，并沒有深入公司及員工脊髓，主動識別合規(guī)風險的積極性不足。

（2）合規(guī)管理的職責分散交叉。按照省國資委的要求，合規(guī)管理工作包括制度和業(yè)務(wù)等方面合規(guī)性審查、制度的建立健全和合規(guī)性（內(nèi)控）、合規(guī)風險識別評價和應(yīng)對，職責對應(yīng)到法律合規(guī)部、戰(zhàn)略規(guī)劃與績效管理部、風險管理部三個部門。從合規(guī)管理方面的工作來說，法律合規(guī)部、戰(zhàn)略規(guī)劃與績效管理部在制度建設(shè)方面職責重復(fù)交叉，法律合規(guī)部、風險管理部在合規(guī)風險識別評估和應(yīng)對方面職責重復(fù)交叉。

（3）三道“合規(guī)管理防線”不清晰。按照省國資委的合規(guī)管理要求，結(jié)合內(nèi)部控制和全面風險管理的要求，應(yīng)該在公司內(nèi)部明確三道“合規(guī)管理防線”。第一道防線是業(yè)務(wù)部門，負責各業(yè)務(wù)、各流程中操作過程的合規(guī)；第二道防線是法律合規(guī)部、風險管理部、紀檢監(jiān)察室，負責業(yè)務(wù)內(nèi)外部合規(guī)風險的識別和控制、流程合理設(shè)置、違規(guī)處罰等；第三道防線是審計部門，負責對各部門違規(guī)行為的檢查、監(jiān)督。三道防線各司其職，互相補位。

四、合規(guī)管理的落地措施

按照合規(guī)管理的要求，參照行業(yè)先進經(jīng)驗，并結(jié)合公司實際情況，公司應(yīng)該在組織架構(gòu)、制度框架、制度落實等方面重點加強，以合規(guī)為目標，以內(nèi)控和全面風險管理為抓手，建立完善的合規(guī)管理體系。

（一）提高合規(guī)管理的底線思維

（1）合規(guī)是前提，不能辦理任何不合規(guī)的業(yè)務(wù)。合規(guī)是公司高質(zhì)量發(fā)展的前提，不能用合規(guī)換取公司業(yè)務(wù)暫時發(fā)展，合規(guī)不是用來溝通的問題，不是可以隨便援引“法無明文規(guī)定即合法”的問題，在法律法規(guī)執(zhí)行過程中產(chǎn)生分歧時，必須經(jīng)上級監(jiān)管單位確定合規(guī)后才可行。堅持合規(guī)改造經(jīng)營方向，改變經(jīng)營模式去違規(guī)化去犯罪化，做到只做合規(guī)業(yè)務(wù)。

（2）繼續(xù)深耕合規(guī)管理，細化合規(guī)管理子制度，做到單位責任和員工責任的明確劃分。繼續(xù)細化員工手冊，推動外規(guī)內(nèi)化，員工依據(jù)員工手冊就能形成合規(guī)與否的判斷。持續(xù)定期開展合規(guī)培訓(xùn)，明確合規(guī)行為與禁止行為，保存員工參與合規(guī)培訓(xùn)的記錄。持續(xù)推進合規(guī)文化，公司高管層應(yīng)該每日三省吾身，以言行表彰合規(guī)行為，堅持合規(guī)理念。堅持吹哨人制度，鼓勵不同意見的發(fā)表，高管層堅持“在無不同意見時不表決”，堅持“事越辯越清，理越辯越明”。堅持定期開展對合規(guī)工作的監(jiān)督檢查或內(nèi)部調(diào)查，確保合規(guī)是在監(jiān)督下的合規(guī)。

（二）培養(yǎng)合規(guī)管理的內(nèi)部環(huán)境

（1）高管層做好表率。公司應(yīng)該明確合規(guī)管理的企業(yè)目標，每位員工都應(yīng)該將合規(guī)要求記于心，踐于行。高管層尤其要做好表率，嚴格按照法律法規(guī)及內(nèi)部規(guī)定決策、執(zhí)行。在合規(guī)管理的高層設(shè)計中，要明確公司三會、各職責部門、各崗位的職責，避免職責不清，邊界不明。各項職責要集中管理，避免交叉重復(fù)。

表1 法律合規(guī)部出具法律合規(guī)意見的事項

（2）明確部門和崗位的合規(guī)管理職責。

法律合規(guī)部是合規(guī)管理的牽頭部門，全面負責合規(guī)管理的工作，主導(dǎo)制度是否合規(guī)的工作開展，對于內(nèi)控、風險管理方面所涉的合規(guī)管理工作分別由其職責部門負責，法律合規(guī)部予以配合；在業(yè)務(wù)開展過程中履行合規(guī)審查的職責，對于涉及到法律合規(guī)方面的事項在上會審議前出具相關(guān)意見（具體事項見下表）；接受其他部門對合規(guī)管理的意見和建議，并予以反饋。

表2 公司制度體系建設(shè)

業(yè)務(wù)部門、成員企業(yè)是合規(guī)管理的主責部門，其職責是按照公司的制度規(guī)范嚴格操作，主動識別合規(guī)風險，采取合理的措施降低合規(guī)風險；對于超過風險承受能力的事項積極與相關(guān)部門溝通，共同商議解決辦法。

審計部對合規(guī)管理工作進行評價，提出相關(guān)的改進意見。紀檢監(jiān)察室對違反合規(guī)管理規(guī)定的事項進行處理，監(jiān)事會按照相應(yīng)職責對合規(guī)管理工作進行監(jiān)督。

表3 公司合規(guī)流程建設(shè)

每位員工都按照崗位職責承擔相應(yīng)的合規(guī)管理責任。按照現(xiàn)有設(shè)置，法律合規(guī)部、戰(zhàn)略合規(guī)部與績效管理部分別設(shè)合規(guī)崗、內(nèi)控崗，其他各部門指定專人負責收集本部門合規(guī)管理建議，反饋給法律合規(guī)部。

（三）建立健全合規(guī)管理體系

（1）分層建設(shè)內(nèi)部規(guī)章體系。第一層，核心制度。公司合規(guī)管理實施細則，作為合規(guī)管理體系的統(tǒng)領(lǐng)性文件。細則中包括基本原則、各部門職責、操作流程、違規(guī)及處罰、保障措施等內(nèi)容。第二層，合規(guī)的相關(guān)規(guī)范。公司的合規(guī)規(guī)范包括綜合管理、業(yè)務(wù)管理、監(jiān)督管理等三個方面，每個方面都有不同層次。第三層，違規(guī)處罰規(guī)范。紀檢監(jiān)察部、人力資源部分別負責業(yè)務(wù)條線、工作紀律方面的違規(guī)處罰規(guī)范的制定，審計部負責審計章程、準則、操作流程等方面規(guī)范的制定。

圖1 三道防線建設(shè)

搭建三道合規(guī)防線。與全面風險管理的三道防線一樣，建立三道合規(guī)防線。三道合規(guī)防線的建設(shè)是漏斗狀的，每層就是一個篩子，第一道防線是各職能部門、

成員企業(yè)，解決95%的合規(guī)問題；第二道防線是法律合規(guī)部、戰(zhàn)略規(guī)劃與績效管理部、風險管理部、紀檢監(jiān)察室，解決5%問題，第三道防線是審計，重點是對前兩道防線的工作進行評價和監(jiān)督。最上面是公司面臨的合規(guī)風險，經(jīng)過合規(guī)管理的三道防線后，是剩余風險，是企業(yè)風險承受能力。

（3）梳理完善合規(guī)流程。公司的合規(guī)管理工作不是一蹴而就的，是個長期持續(xù)的過程。按照COSO內(nèi)部控制框架和全面風險管理框架，公司的合規(guī)管理也應(yīng)該遵循內(nèi)部環(huán)境、目標設(shè)定、風險識別、風險評估、控制活動、信息與溝通、監(jiān)督的管理過程。

綜上所述，做好合規(guī)管理應(yīng)該做到：第一，應(yīng)該將合規(guī)管理理念融入企業(yè)文化，公司及員工緊繃“合規(guī)”這根弦。第二，應(yīng)該將合規(guī)作為公司經(jīng)營的目標，把合規(guī)管理落實到日常管理中，實現(xiàn)合規(guī)的“虛實”兩手抓。第三，通過風險識別評估，篩選公司業(yè)務(wù)中面臨的重大合規(guī)風險，做好重大合規(guī)風險政策、員工手冊等工作。第四，應(yīng)該將合規(guī)管理與公司現(xiàn)有的內(nèi)控、風險管理、審計、紀檢相互配合，互為補充，形成一個互為補位的安全網(wǎng)。