企業(yè)合規(guī)管理的“三張清單”

卞傳山

在國有企業(yè)合規(guī)管理體系建設(shè)中，“三張清單”是合規(guī)運(yùn)行的重要抓手。其有效落地需要注意的關(guān)鍵，包括聚焦重點(diǎn)領(lǐng)域、堅持協(xié)同聯(lián)動、推進(jìn)清單信息化

加強(qiáng)企業(yè)合規(guī)管理，是培育世界一流企業(yè)，推動國有經(jīng)濟(jì)高質(zhì)量發(fā)展的客觀要求，是企業(yè)治理體系和治理能力現(xiàn)代化的應(yīng)有之義。在國有企業(yè)合規(guī)管理體系建設(shè)中，“三張清單”即風(fēng)險識別清單、崗位職責(zé)清單和流程管控清單，作為合規(guī)運(yùn)行的重要抓手，其編制和落實(shí)是合規(guī)管理體系建設(shè)的重要環(huán)節(jié)，需要企業(yè)高度重視，加強(qiáng)統(tǒng)籌協(xié)調(diào)和協(xié)同配合，解決合規(guī)管理體系建設(shè)的重、難點(diǎn)工作，實(shí)現(xiàn)國有企業(yè)高質(zhì)量健康發(fā)展。風(fēng)險識別清單、崗位職責(zé)清單、流程管控清單，其內(nèi)部邏輯是功能彼此銜接，工作順序?qū)訉舆f進(jìn)，目標(biāo)形成完整閉環(huán)。

風(fēng)險識別清單——識別重點(diǎn)合規(guī)義務(wù)

風(fēng)險識別清單，是企業(yè)各部門在全面排查的基礎(chǔ)上，按照業(yè)務(wù)類型等將合規(guī)風(fēng)險進(jìn)行分類，明確合規(guī)風(fēng)險的表現(xiàn)形式、產(chǎn)生原因、違規(guī)后果、責(zé)任主體等，將其作為開展合規(guī)管理的重要基礎(chǔ)。編制風(fēng)險識別清單，要求從總體視角對企業(yè)面臨的合規(guī)風(fēng)險進(jìn)行全面梳理，包括：對外部法律法規(guī)、國家政策、行業(yè)標(biāo)準(zhǔn)等相關(guān)規(guī)定以及企業(yè)內(nèi)部的規(guī)章制度進(jìn)行系統(tǒng)梳理，匯總違反合規(guī)義務(wù)的條款責(zé)任，對風(fēng)險進(jìn)行全面、系統(tǒng)、結(jié)構(gòu)化識別，按照業(yè)務(wù)類型等將合規(guī)風(fēng)險進(jìn)行分類，確定合規(guī)風(fēng)險點(diǎn)，把這些風(fēng)險點(diǎn)按照風(fēng)險影響等級、風(fēng)險發(fā)生概率和風(fēng)險探測水平排列出來。編制風(fēng)險識別清單的主要目標(biāo)，是保證企業(yè)管理層和業(yè)務(wù)部門對企業(yè)風(fēng)險有一個全面認(rèn)識，包括風(fēng)險的數(shù)量、類型、表現(xiàn)形式、后果、責(zé)任主體、分布特點(diǎn)等，為風(fēng)險評估、風(fēng)險應(yīng)對提供依據(jù)。對于《中央企業(yè)合規(guī)管理辦法》明確的重點(diǎn)領(lǐng)域，如反壟斷、反商業(yè)賄賂、生態(tài)環(huán)保、安全生產(chǎn)、勞動用工、稅務(wù)管理、數(shù)據(jù)保護(hù)等，以及合規(guī)風(fēng)險較高的業(yè)務(wù)，風(fēng)險識別清單要制定及時預(yù)警機(jī)制。

風(fēng)險識別清單的編制需要業(yè)務(wù)部門、職能部門與合規(guī)部門相互配合，將業(yè)務(wù)流程中需要滿足的外部法律法規(guī)和政策文件以及企業(yè)內(nèi)部規(guī)章制度要求進(jìn)行梳理，確定工作中的合規(guī)風(fēng)險點(diǎn)。按照風(fēng)險評估的結(jié)果，對重要合規(guī)風(fēng)險進(jìn)行提煉，并按照風(fēng)險程度和發(fā)生概率分類分層匯總整理為風(fēng)險識別清單。實(shí)踐過程中，部分企業(yè)針對重點(diǎn)領(lǐng)域編制風(fēng)險識別清單，部分企業(yè)全面梳理業(yè)務(wù)流程，將風(fēng)控、內(nèi)控與合規(guī)相結(jié)合，制定一體化的全面風(fēng)險清單。對于重點(diǎn)領(lǐng)域風(fēng)險識別清單的編制，要結(jié)合業(yè)務(wù)風(fēng)險排查，圍繞內(nèi)外部經(jīng)營環(huán)境情況區(qū)分合規(guī)風(fēng)險等級，達(dá)成對重點(diǎn)領(lǐng)域風(fēng)險點(diǎn)的全面覆蓋。

合規(guī)風(fēng)險識別清單編制要聚焦對企業(yè)的業(yè)務(wù)經(jīng)營活動有影響的相關(guān)方需求或引發(fā)企業(yè)法律責(zé)任、造成經(jīng)濟(jì)或者聲譽(yù)損失以及其他負(fù)面影響的可能性。風(fēng)險識別清單編制的關(guān)鍵，一是業(yè)務(wù)流程要與實(shí)際一致，這樣才能以流程為基礎(chǔ)、機(jī)構(gòu)化地識別風(fēng)險；二是風(fēng)險識別不能僅僅梳理法條，還要結(jié)合案例分析、調(diào)研訪談等多種方式，保證識別出來的風(fēng)險符合企業(yè)的實(shí)際。

崗位職責(zé)清單——明確崗位合規(guī)職責(zé)

崗位合規(guī)職責(zé)清單，是完整、準(zhǔn)確梳理每個崗位涉及的業(yè)務(wù)范圍的事項清單，即對照崗位職責(zé)，通過“正面”或“負(fù)面”清單等形式，梳理每個崗位職責(zé)中的合規(guī)審核、合規(guī)管理、合規(guī)義務(wù)，明確合規(guī)責(zé)任，劃清行為邊界，使合規(guī)要求落實(shí)到崗、明確到人。崗位職責(zé)清單的完整是后續(xù)合規(guī)風(fēng)險評估覆蓋的基礎(chǔ)，梳理崗位職責(zé)的業(yè)務(wù)清單，目標(biāo)是窮盡。崗位職責(zé)清單是開展合規(guī)管理工作的人力支撐。編制崗位職責(zé)清單的主要目標(biāo)是將合規(guī)風(fēng)險納入崗位管理，使合規(guī)風(fēng)險與具體的人關(guān)聯(lián)起來，從而實(shí)現(xiàn)合規(guī)風(fēng)險有人承擔(dān)、有人負(fù)責(zé)，從人員角度保證合規(guī)管理有效落地。

崗位職責(zé)清單，包含崗位職責(zé)義務(wù)和崗位風(fēng)險。梳理方法有兩種，可以從崗位職責(zé)入手，梳理履職業(yè)務(wù)活動清單；也可以從部門職責(zé)內(nèi)容入手。根據(jù)業(yè)務(wù)內(nèi)容清單，檢索每一個業(yè)務(wù)需要遵守的合規(guī)義務(wù)，合規(guī)義務(wù)包括公開的法律法規(guī)強(qiáng)制性標(biāo)準(zhǔn)制度，也包括政策性法律法規(guī)和國際性文件，還有上級主管單位的監(jiān)管文件，按照業(yè)務(wù)歸口，建立起部門職責(zé)的合規(guī)業(yè)務(wù)清單。

編制崗位職責(zé)清單首先要對原有的崗位說明書進(jìn)行修改，形成合規(guī)體系中符合監(jiān)管要求的崗位說明書。崗位合規(guī)職責(zé)清單編制要以企業(yè)崗位說明書為基礎(chǔ)，編制與企業(yè)合規(guī)義務(wù)相對應(yīng)的崗位職責(zé)，職責(zé)的內(nèi)外部（外部法律法規(guī)、內(nèi)部企業(yè)規(guī)章制度等）依據(jù)，不履責(zé)的責(zé)任和后果，即企業(yè)中從事某崗位的人員違規(guī)后需要承擔(dān)何種責(zé)任。其次要識別高風(fēng)險崗位，對高風(fēng)險崗位加強(qiáng)合規(guī)管理?！吨醒肫髽I(yè)合規(guī)管理辦法》第十三條規(guī)定，定期梳理重點(diǎn)崗位合規(guī)風(fēng)險，將合規(guī)要求納入崗位職責(zé)?！吨醒肫髽I(yè)合規(guī)管理指引（試行）》第十五條規(guī)定的重點(diǎn)人員包括管理人員、重要風(fēng)險崗位人員、海外人員以及其他需要重點(diǎn)關(guān)注的人員，因此高風(fēng)險崗位可以聚焦在管理人員崗位、重要風(fēng)險崗位、海外人員崗位及其他崗位。再次，崗位合規(guī)職責(zé)清單的編制需要根據(jù)合規(guī)義務(wù)來辨識其工作職責(zé)中的合規(guī)事項，明確合規(guī)要點(diǎn)、履職標(biāo)準(zhǔn)，將合規(guī)職責(zé)具體落實(shí)到崗位和個人，是合規(guī)義務(wù)識別與職責(zé)的融合。崗位合規(guī)職責(zé)清單是以企業(yè)現(xiàn)有崗位職責(zé)為基礎(chǔ)的，結(jié)合合規(guī)風(fēng)險識別要素，同時考慮到業(yè)務(wù)流程、部門與部門等銜接而確定的該崗位的合規(guī)管理職責(zé)，是合規(guī)從識別到落實(shí)的有機(jī)融合。崗位職責(zé)清單既是該崗位從業(yè)人員的規(guī)范指引，也是未來追責(zé)的依據(jù)。

流程管控清單——控制重點(diǎn)環(huán)節(jié)風(fēng)險

流程管控清單，是在企業(yè)的業(yè)務(wù)流程和管理流程中，通過識別合規(guī)風(fēng)險，設(shè)置關(guān)鍵風(fēng)控點(diǎn)，增加合規(guī)審查環(huán)節(jié)，每個流程管控環(huán)節(jié)依次確認(rèn)。流程管控清單是合規(guī)管理工作落地的保障，編制流程管控清單，要求從業(yè)務(wù)執(zhí)行的角度梳理該業(yè)務(wù)面臨的合規(guī)風(fēng)險。流程管控清單以風(fēng)險識別清單與崗位合規(guī)職責(zé)清單為基礎(chǔ)，對業(yè)務(wù)管理制度和流程進(jìn)行分析評價，識別其與合規(guī)管理要求之間的差距和不足，認(rèn)真分析重要環(huán)節(jié)可能出現(xiàn)的合規(guī)風(fēng)險，并根據(jù)合規(guī)管理要求修改流程管控措施，明確其管控目標(biāo)、責(zé)任部門和崗位人員、控制頻率等內(nèi)容，使合規(guī)管理要求融入業(yè)務(wù)管理制度和流程之中，實(shí)現(xiàn)合規(guī)風(fēng)險在業(yè)務(wù)活動中的有效落地。編制流程管控清單的主要目標(biāo)是將合規(guī)風(fēng)險嵌入業(yè)務(wù)流程管理，將合規(guī)要求和管控措施嵌入關(guān)鍵節(jié)點(diǎn)，實(shí)現(xiàn)合規(guī)管理與經(jīng)營管理的真正融合。

編制流程管控清單是將合規(guī)要求融入具體流程環(huán)節(jié)，并在制度條款中明確合規(guī)要求，將合規(guī)要求落實(shí)到相關(guān)崗位職責(zé)，通過表單記錄合規(guī)執(zhí)行情況，并將合規(guī)管理措施固化到信息系統(tǒng)的操作過程。具體操作中，可以基于重點(diǎn)事項或?qū)徟鷹l線，在公司內(nèi)控流程中梳理并確認(rèn)關(guān)鍵節(jié)點(diǎn)，明確各業(yè)務(wù)條線、各關(guān)鍵節(jié)點(diǎn)的合規(guī)義務(wù)，以完成流程管控清單。流程管控清單主要包含兩部分內(nèi)容：將主要的業(yè)務(wù)條線識別的高風(fēng)險嵌入內(nèi)控流程；對主要的業(yè)務(wù)條線涉及的風(fēng)險進(jìn)行評估，審視內(nèi)控所設(shè)控制點(diǎn)控制流程，是否合乎合規(guī)管理目標(biāo)，不符合的部分，應(yīng)增設(shè)內(nèi)控控制點(diǎn)或流程，并制作風(fēng)險管控矩陣。

企業(yè)流程管控清單的編制，可以與企業(yè)內(nèi)部控制相結(jié)合。企業(yè)發(fā)生風(fēng)險與內(nèi)部控制存在缺陷密切相關(guān)，而內(nèi)部控制的存在很大程度上取決于控制措施的設(shè)計和執(zhí)行。企業(yè)流程管控清單的編制與流程的控制措施密切相關(guān)，其內(nèi)容可以分為業(yè)務(wù)流程、控制目標(biāo)、控制措施、控制部門、控制責(zé)任、控制頻率以及評價程序和評價內(nèi)容。其中，控制目標(biāo)是指對風(fēng)險的管控目標(biāo)及控制措施想要達(dá)到的效果；控制措施是指將風(fēng)險控制在目標(biāo)范圍內(nèi)，各相關(guān)單位要采取的措施；控制部門、控制責(zé)任、控制頻率應(yīng)當(dāng)與控制措施相對應(yīng)，即每條措施需分別明確其責(zé)任部門、責(zé)任崗位人員、控制頻率；評價程序是對控制措施執(zhí)行有效性評價要采取的評價方法、措施，評價內(nèi)容是評價應(yīng)當(dāng)關(guān)注控制措施及控制目標(biāo)的重要內(nèi)容。

“三張清單”的落地

“三張清單”作用各異、緊密關(guān)聯(lián)：通過風(fēng)險識別清單，明確合規(guī)風(fēng)險與合規(guī)義務(wù)；通過崗位合規(guī)職責(zé)清單，確保員工能夠了解其應(yīng)當(dāng)遵守的行為準(zhǔn)則、業(yè)務(wù)領(lǐng)域合規(guī)義務(wù)，以及與其關(guān)聯(lián)的關(guān)鍵合規(guī)要素；通過流程管控清單，確定不同合規(guī)風(fēng)險應(yīng)對措施，實(shí)現(xiàn)目標(biāo)清晰、責(zé)任到位、措施落地。

《中央企業(yè)合規(guī)管理辦法》第十八條明確規(guī)定，中央企業(yè)應(yīng)當(dāng)針對反壟斷等重點(diǎn)領(lǐng)域以及合規(guī)風(fēng)險較高的業(yè)務(wù)，制定合規(guī)管理具體制度或者專項指南，具體領(lǐng)域包括反壟斷、反商業(yè)賄賂、生態(tài)環(huán)保、安全生產(chǎn)、勞動用工、稅務(wù)管理、數(shù)據(jù)保護(hù)等。建立健全“三張清單”需要聚焦主營業(yè)務(wù)相關(guān)的合規(guī)重點(diǎn)領(lǐng)域。進(jìn)行重點(diǎn)領(lǐng)域風(fēng)險識別清單的編制，要結(jié)合業(yè)務(wù)風(fēng)險排查，圍繞內(nèi)外部經(jīng)營環(huán)境情況區(qū)分合規(guī)風(fēng)險等級，有針對性地編制“三張清單”，對合規(guī)義務(wù)、合規(guī)風(fēng)險、合規(guī)職責(zé)、高風(fēng)險崗位、業(yè)務(wù)流程、控制目標(biāo)、控制措施、控制部門等內(nèi)容進(jìn)行準(zhǔn)確識別和梳理，達(dá)成對重點(diǎn)領(lǐng)域風(fēng)險點(diǎn)的全面覆蓋。

《中央企業(yè)合規(guī)管理辦法》指出，中央企業(yè)應(yīng)當(dāng)將合規(guī)審查作為必經(jīng)程序嵌入經(jīng)營管理流程，重大決策事項的合規(guī)審查意見應(yīng)當(dāng)由首席合規(guī)官簽字，對決策事項的合規(guī)性提出明確意見。業(yè)務(wù)及職能部門、合規(guī)管理部門依據(jù)職責(zé)權(quán)限完善審查標(biāo)準(zhǔn)、流程、重點(diǎn)等，定期對審查情況開展評估。因此，做好合規(guī)流程的嵌入，需編制公司層面由首席合規(guī)官進(jìn)行合規(guī)審查的業(yè)務(wù)環(huán)節(jié)清單。而各業(yè)務(wù)和職能部門，需編制自己部門合規(guī)審查的環(huán)節(jié)清單。最后，合規(guī)管理部門需針對企業(yè)合規(guī)體系，以業(yè)務(wù)管理為中心，將涉及該業(yè)務(wù)適用的合規(guī)義務(wù)實(shí)質(zhì)性要求、制度化的合規(guī)風(fēng)險應(yīng)對措施單獨(dú)制定《業(yè)務(wù)合規(guī)管理指南》，并對應(yīng)形成《業(yè)務(wù)流程合規(guī)管控清單》。同樣，業(yè)務(wù)管理制度相對獨(dú)立，業(yè)務(wù)經(jīng)辦人員在按照業(yè)務(wù)管理制度執(zhí)行業(yè)務(wù)的同時，也須按照《業(yè)務(wù)合規(guī)管理指南》執(zhí)行業(yè)務(wù)。合規(guī)管理，是按照合規(guī)審查標(biāo)準(zhǔn)、流程、重點(diǎn)等，定期對審查情況開展評估后用制度規(guī)范好，并且將公司層面、部門層面的兩級合規(guī)審查業(yè)務(wù)環(huán)節(jié)事項清單作為附件共同執(zhí)行。

《合規(guī)管理體系要求及使用指南》（ISO?37301：2021）“運(yùn)行和策劃”提出，一個設(shè)計良好的合規(guī)管理體系包括各種措施（如政策、流程、程序），這些措施既能為合規(guī)文化提供內(nèi)容，又能產(chǎn)生效果。它們旨在降低合規(guī)風(fēng)險評估流程中確定的風(fēng)險。運(yùn)行控制的一個基本要素是行為準(zhǔn)則，其中規(guī)定了本組織對相關(guān)合規(guī)義務(wù)的充分承諾。行為準(zhǔn)則應(yīng)適用于所有人員，并可供他們所用。根據(jù)行為準(zhǔn)則及其延伸，合規(guī)措施應(yīng)納入組織的日常運(yùn)行中，以期培養(yǎng)合規(guī)文化。

在與業(yè)務(wù)流程相關(guān)的情況下，如果缺少此類控制，可能會導(dǎo)致偏離合規(guī)政策或違反合規(guī)義務(wù)，因此就需要進(jìn)行運(yùn)營控制。這些情況可能與所有業(yè)務(wù)情況、活動或過程（如生產(chǎn)、安裝、維修、維護(hù)）有關(guān)，也可能與承包商、供應(yīng)商或銷售商有關(guān)?？刂频某潭炔煌Q于幾個因素，如所執(zhí)行職能的重要性或復(fù)雜性、不合規(guī)的潛在后果或所涉及、可用的技術(shù)支持。當(dāng)運(yùn)行控制失敗時，有必要采取措施來解決任何不良結(jié)果或影響。除了具備設(shè)計良好的合規(guī)管理措施，合規(guī)關(guān)鍵清單的落地，還需要把關(guān)注點(diǎn)放在責(zé)任主體上，即以崗位為單元，將合規(guī)職責(zé)、合規(guī)義務(wù)、合規(guī)風(fēng)險識別、合規(guī)評價等都落實(shí)到崗位上，將合規(guī)管控落實(shí)到崗位上，合規(guī)培訓(xùn)落實(shí)到崗位上。同理，再將落實(shí)到崗位上的所有內(nèi)容，同步落實(shí)到業(yè)務(wù)合規(guī)流程中去。

“三張清單”的落地需要注意的關(guān)鍵有三個方面。一是聚焦重點(diǎn)領(lǐng)域。以防控風(fēng)險為導(dǎo)向，以合規(guī)風(fēng)險清單為抓手，聚焦重點(diǎn)領(lǐng)域突出關(guān)鍵環(huán)節(jié)，將合規(guī)義務(wù)分解落實(shí)到重點(diǎn)崗位和人員，嵌入操作流程，實(shí)現(xiàn)合規(guī)管理與經(jīng)營活動深度融合。二是堅持協(xié)同聯(lián)動。既要推動合規(guī)與法務(wù)、風(fēng)險管理、內(nèi)部控制等不同工作之間的高效聯(lián)動，還要推動“三道防線”之間的密切協(xié)同，多維度、多層次開展交流研討，確保合規(guī)風(fēng)險識別完整，崗位職責(zé)邊界清晰，管控節(jié)點(diǎn)定位準(zhǔn)確。三是推進(jìn)清單信息化。充分發(fā)揮技術(shù)支撐作用，建立涵蓋業(yè)務(wù)、流程、崗位、職責(zé)、節(jié)點(diǎn)、義務(wù)等要素在內(nèi)的電子清單，實(shí)行標(biāo)準(zhǔn)化、結(jié)構(gòu)化、標(biāo)簽化管理，構(gòu)建結(jié)構(gòu)化風(fēng)險清單和流程管控清單，并嵌入信息系統(tǒng)，實(shí)現(xiàn)合規(guī)義務(wù)流程化，合規(guī)操作表單化，合規(guī)表單電子化。

作者供職于江蘇寧滬高速公路股份有限公司