美国司法部于2019年修订了《企业合规体系评估指引》（ of ）。该指引要求美国检察官从三个方面去判断企业刑事合规的有效性：一是企业是否制订了合规体系；二是企业是否贯彻落实了合规体系；三是企业合规体系是否发挥了作用。

（一）企业是否妥善制订其合规体系？

企业从制度构建和内控角度是否制订了合规体系，包括规章制度、政策、程序和机制等。美国司法部的合规体系要求包括以下几个方面：

1.风险评估。企业要有风险管控机制，确保能够发现、评估和定义其风险状况，并根据风险种类、级别进行分别处置和预防。还要求风险管控机制具有不断完善和改进的制度安排。

2.合规政策和程序。企业合规政策和程序是指企业为减少和降低风险所制定的政策和程序，为确保企业和员工遵纪守法所制定的政策和程序，以及为确保政策和程序运行所投入的人力和财力。

3.合规培训和沟通。企业针对董事、高级管理人员、相关员工以及代理商或者其他商业伙伴的定期培训和考核。并且，企业要建立传达沟通机制，以确保自己的培训效果能够准确地传达给企业员工。

4.保密的举报机制和调查机制。企业需要构建一套举报机制，确保员工能够以匿名或其他保密形式举报涉嫌违反公司行为准则、公司政策的行为，或者其他违法违规行为。另外，针对举报线索，企业需要构建配套的调查机制。配备必要的人财物，建立调查程序和机制，对调查结果要求有对应的处罚和应对措施。

5.第三方管理。第三方是指企业的合作伙伴和关联机构，如经销商、供货商、交易相对方等等。所谓第三方管理是指对第三方的资质和关联经营内容进行尽职调查，确保符合企业自身的合规体系。企业可以通过培训、审计、法律评估、要求第三方提供年度合规报告，进行持续的合规监督。

6.兼并与并购。要求企业对收购目标进行综合尽职调查。（这个兼并与并购只是企业常见经营活动之一，似乎没有必要单独作为一个考察要素，不知道美国司法部怎么考虑的！）

（二）企业是否认真贯彻落实其合规体系？

1．高中级管理层的承诺。说白了，就是企业的最高管理层需要重视刑事合规这个事情。管理层需要把企业合规文化建设、企业合规体系建设，作为公司的支柱性管理手段。这种重视不仅要体现在言语鼓励和喊口号，还要有正式的成文化的表态，要有一定的行动表达。如管理层需要对合规部门进行实在的支持和帮助，也需要履行合规监管责任，是合规的关键责任人。

2.合规人员的自主权和合规资源。合规人员的自主权是指合规人员是否有这个能力和资历去处理合规工作。合规人员本身有无独立自主的权限，比如直接向董事会、监事会负责，不必受制于管理人员。合规资源是指企业是否有足够的资源（主要是钱）能够应付审计、法律、风险审查等各种合规工作需求。

3.奖惩措施。企业是否有合规的奖励措施和不合规的惩戒措施。企业是否有明确的纪律处分流程。企业是否有效地执行这些奖励和惩戒措施。

（三）企业合规体系是否发挥了作用？

1.持续改进、定期测试和审查。企业经营活动会随时改变，如所处的经营环境、客户、适用法律法规以及适用的行业标准都会有所变化，那么合规体系也必要的随之而发生一定的变化。企业合规体系本身需要有自我修正和调整的机制和程序。企业也要定期对合规政策和程序等制度进行测试和审查，发现问题及时调整和改进。

2.不当行为的调查。针对发现的不当行为，企业需要有针对性的调查程序、调查人员、调查范围、调查记录、调查档案管理等等。调查效果如何，是否真正反映了问题的根本原因，是否有效地传递给高层，是否对企业的风险防控发挥了作用。

3.任何相关不当行为的分析和补救。企业是否能够对不当行为进行全面根本原因分析以及进行及时适当补救以解决根本原因的程度。企业合规的有效与否，某种程度上不在于避免不当行为，而在于如何及时有效的解决问题和化解预防同类问题。