企业合规管理体系建设

01 企业合规管理体系的基本概念

企业合规是企业管理的有机组成部分，是一种风险防范体系，具体指的是企业在运营过程中应当遵守法律法规、商业行为守则和企业伦理规范、自制规章制度等，企业及员工的行为符合所在组织的规定，就不会被处罚，不用承担负面的不良的后果，这样会使企业朝着良性的方向发展，从而使企业实现组织目的。

管理体系是指，组织建立方针和目标以及实现这些目标的过程的相互关联或相互作用的一组要素，其包括组织结构、角色和职责、策划、运行等。

企业合规管理体系是企业合规管理的基本框架、核心内容与主要保障，梳理了企业合规管理的运行脉络，确保了企业合规管理行之有效。

02 国际组织关于企业合规管理体系的相关规定（一）《世界银行集团诚信合规指引》

2010年世界银行发布了《世界银行集团诚信合规指引》以规制参与投竞标企业存在的腐败、欺诈、串通、强迫、阻碍调查等不合规行为。世界银行集团的制裁引发的是联合制裁，包括亚洲发展银行、非洲开发银行等其他国际银行的联合制裁，会导致违规企业被禁止参与国际银行机构融资的所有建设工程项目，相关联企业也会被要求避免与违规企业发生业务往来，如此将给违规企业造成经济上、声誉上的巨大损失。其制裁措施包括附条件解除制裁、附条件免除制裁、制裁或永久制裁、谴责信等。

该指引将合规管理体系分为以下几个部分：1、禁止不当行为；2、职责；3、合规计划启动、风险评估及检查；4、内部政策；5、针对业务伙伴的政策；6、内部控制；7、培训与交流；8、激励措施；9、报告制度；10、不当行为的补救措施；11、集体行动。

（二）《亚太经合组织高效率公司合规项目基本要素》

亚太经合组织发布的《亚太经合组织高效率公司合规项目基本要素》研究了如何通过强化合规体系低于商业腐败，其中针对企业合规管理体系作出了详细的规定，分为以下几点：1、开展风险评估；2、制定和遵守书面的公司行为准则；3、建立合规管理组织架构；4、反腐败培训、教育讲座和持续指导；5、开展基于风险和详尽记录的尽职调查；6、审计和内部会计控制；7、合规机制和报告要求；8、激励；9、惩处；10、定期审查和测试。

（三）OFAC《合规承诺框架》

《合规承诺框架》规定，企业应当结合自身的规模、经验、产品与服务、交易相对人、供应链和地理位置等因素对合规管理体系至少作出五项规定，包括管理层承诺、风险评估、内部控制、测试和审计、培训。其中，管理层应当参与审阅合规管理体系并设置专门人员管理，同时企业高管应当对合规部门合适放权、给予资源；风险评估是指，全面而具体地考虑企业与被制裁者（包括客户、供应商等交易对象）接触的各个环节；内部控制是指，企业应当配套合规相关制度，并及时更新风险识别的资料；测试和审计是指，企业应当根据审计结果完善合规管理体系；培训包括普通培训和高风险领域的专项培训，应当至少一年一次，培训对象既包括员工也包括利益相关方。

03 我国关于企业合规管理体系的相关规定（一）《合规管理体系指南》（GB/T 35770-2017）

2017年12月29日国家质监总局中国国家标准化管理委员会发布《合规管理体系指南》（GB/T 35770-2017），并于2018年7月1日实施。该指南在其引言中提到，“组织通过建立有效的合规管理体系，来防范风险。组织在对其所面临的的合规风险进行识别、分析和评价的基础上，建立并改进合规管理流程，从而达到对风险进行有效的应对和管控。”

该指南将建立合规管理体系分为以下几点：一是建立合规方针；二是识别合规义务、评价合规风险；三是策划应对合规风险并实现目标；四是运行的策划和合规风险控制；五是绩效评价和合规的报告；六是持续改进。同时，通过领导的承诺、独立的合规团队、确定各管理层职责来保障上述步骤的落实。

（二）《中央企业合规管理指引（试行）》

2018年11月2日国务院国有资产监督管理委员会发布《中央企业合规管理指引（试行）》。该指引将企业合规管理体系分为四个方面，一是合规管理职责，其中包括（1）董事会、监事会、经理层的职责；（2）合规管理委员会、合规管理负责人的职责；（3）合规管理牵头部门与业务部门的职责；二是合规管理重点，分为合规管理的重点领域、重点环节、重点人员以及海外投资行为，进行了详尽的规定；三是合规管理运行，要求要建立健全风险识别预警、审查、问责、评估等制度；四是合规管理保障，包括加强考核、信息化建设培训与宣传教育等。

（三）《企业境外经营合规管理指引》

2018年12月6日我国发改委等七部委发布《企业境外经营合规管理指引》，将合规管理体系分为合规管理要求、合规管理架构、合规管理制度、合规管理运行机制、合规风险识别评估与处置、合规评审与改进、合规文化建设。相较《中央企业合规管理指引（试行）》，本指引新增了合规审计的相关内容。

（四）《浙江省企业竞争合规指引》

2019年7月9日浙江省市场监管局为引导企业加强竞争合规管理，防范企业反垄断法律风险，进一步优化营商环境，强化竞争政策实施，颁布了《浙江省企业竞争合规指引》，其将合规管理体系分为以下几点：合规管理机构、合规管理职责、合规管理协调、反垄断风险识别、反垄断风险评估与处置机制、合规咨询、合规审查、合规汇报、合规承诺、合规培训、合规考核、合规信息化建设与合规文化培育。

（五）《浙江省平台企业竞争合规指引》

2021年8月27日浙江省市场监督管理局为强化反垄断和防止资本无序扩张、推动平台经济规范健康持续发展，引导平台企业加强竞争合规管理，提高竞争合规意识，防范竞争合规风险，颁布了《浙江省平台企业竞争合规指引》。该指引将合规管理体系分为总则、竞争合规承诺与合规管理、竞争合规风险识别、竞争合规运行、竞争合规保障、附则六个章节。其中，第一章总则包括，目的和依据，适用范围，基本概念；第二章竞争合规承诺与合规管理包括，竞争合规承诺，竞争合规管理机构，竞争合规负责人，竞争合规管理制度；第三章竞争合规风险识别包括，禁止达成、实施垄断协议，禁止滥用市场支配地位，，禁止不正当竞争行为，具有平台企业特性的竞争违法行为，具有平台企业特性的高风险敏感行为，需要关注的行为，国际市场反垄断合规风险；第四章竞争合规运行包括，风险评估，风险提醒，风险处置，合规咨询，合规汇报，合规审核，定期评估；第五章竞争合规保障包括，合规考核，内部举报，合规培训，倡导竞争合规文化，合规管理数字化改革，合规评估；第六章附则包括指引的效力，指引的解释，施行日期。

04 我国企业关于企业合规管理体系的有关规定

我国企业的合规管理起步相对较晚，较为系统的合规管理发轫于金融行业。2006年10月，中国银监会颁布了《商业银行合规风险管理指引》，在其中较早的使用了合规的概念，为商业银行合规风险的管理提出了指引，合规管理在我国金融企业率先开展起来。2016年4月18日国务院国资委印发《关于在部分中央企业开展合规管理体系建设试点工作的通知》，将中国石油、中国移动、东方电气集团、招商局集团、中国中铁五家企业列为合规管理体系建设试点单位。2018年，国务院国资委将加强合规管理作为未来一个时期国有企业法治工作的重要着力点，发布了《中央企业合规管理指引（试行）》。经过近年来的发展，国有企业合规管理已相对成熟，部分企业形成了较为典型的企业合规管理体系，值得参考学习，以下选取四个企业进行分析。

（一）湖南建工集团

湖南建工集团有限公司是我国五百强之一的大型国有企业。该公司曾在由世界银行资助的一起道路翻修项目的竞标中，提供了虚假的证据材料以证明自己具有竞争实力和施工经验，后被世界银行廉政局（INT）发现并被制裁。为挽回声誉、避免损失，湖南建工在世界银行的指导下开始建立合规管理体系，并于两年后建立了得到世界银行认可的《湖南省建筑工程集团总公司诚信合规政策和程序》，故湖南建工的合规管理体系值得学习。

《湖南省建筑工程集团总公司诚信合规政策和程序》将合规管理体系分为禁止行为、商业伙伴尽职调查、业务活动中的反贿赂和反欺诈防范、合同签署后的监督、特殊支出、人事、准确的记录、合规委员会和首席合规官、评估和审计、培训、合规证书、沟通和报告、奖励和惩罚十三个方面。1、禁止行为包括回扣、贿赂及报酬，欺诈、传统及施加压力，涉及政府官员的支付行为。2、商业伙伴尽职调查包括，适用范围即商业伙伴的定义与范围等，尽职调查的程序及豁免情形。3、业务活动中的反贿赂和反欺诈防范包括，利益冲突的原则与可能情形，签订合同的必要步骤，合同必须包含反贿赂反欺诈内容，合同的审查，招投标活动以及资料信息的提供都应当真实，聘请外部法律顾问，合同存档规定。4、合同签署后的监督包括，不合规行为及时报告，商业伙伴的再认证，审查支付，不合规问题的处理结果，尽职调查文件与其他文件的存档。5、特殊支出包括礼品、招待和差旅费用，捐款和赞助，便利费。6、人事包括人事选拔，与前政府官员的关系，绩效考核。7、准确的记录包括账簿记录与其他合规档案的保管。8、合规委员会和首席合规官包括合规委员会的成立和组成，合规委员会的职责，首席合规官的职责，合规工作联席会议，子公司的合规负责人，合规工作审查。9、评估和审计包括风险评估，审计，政策的修改，年度报告。10、培训包括合规文件的公开、年度培训、高风险职位员工的特别培训。11、合规证书是指经培训的人、首次合作的所有可能被视为集团代表的人和商业伙伴，以及现有的非作为集团的代理、代表或者合作伙伴的商业伙伴应当签署合规证书。12、沟通和报告包括公开沟通，疑问和咨询以，举报及举报处理，对举报人的保护，政策因不能面面俱到，仅提供指导性原则，所有员工可就合规相关问题与首席合规官讨论。

（二）中国石油天然气集团有限公司

中国石油制定的合规管理相关制度为《诚信合规手册》。董事长在手册开篇承诺，“我们秉承奉献能源、创造和谐的企业宗旨，坚持诚实守信、依法合规的价值观…我们将坚持诚信合规优先于经济利益的理念，让诚信合规涵盖经营管理各领域、业务活动各环节、全体员工各岗位。”公司关于合规的价值观为守法合规、忠诚公司、诚信做事、爱岗敬业。公司规定的合规组织包括董事会、监事会、公司管理层、法律事务部、各职能部门、各分公司与各子公司。公司规定的合规管理体系包括公司与员工合规，质量和健康安全环保合规，对外交易合规，与政府与社区交往的合规，财产、资产与信息合规。

（三）招商局集团有限公司

2016年6月招商局集团审议通过《招商局集团有限公司合规管理体系建设试点工作方案》，确定合规试点项目工作目标为合规管理标准化、重点化、内生化、常态化，正式开启合规试点项目。此后，招商局集团和四家试点企业围绕“3S”实施方案和管控优化方案，全面开展规章制度的修订工作，完善合规制度体系。发布了以下合规管理制度：（1）《招商局集团合规管理办法(试行)》2016年9月1日发布施行；（2）招商蛇口《合规管理办法（试行）》2016年10月27日发布施行；（3）招商港口《合规管理办法（试行）》2016年12月2日发布施行；（4）招商证券2009年《合规管理制度》发布施行，第一次修订后2016年10月7日生效；（5）交进公司《合规管理办法（试行）》2016年8月24日发布施行。

以《招商局集团合规管理办法(试行)》为例，该办法的合规价值观为合规从高层做起、全员主动合规、合规创造价值。该办法将合规管理体系分为合规管理组织体系、合规管理制度体系、合规风险管控体系、合规管理保障机制四个方面：

第一，合规管理组织体系是指治理层、管理层、执行层关于开展合规管理工作的责任主体及其职责安排，执行层开展合规管理工作的责任主体又具体分为合规管理的决策机构、领导机构、监督机构、合规负责人、合规工作机构、合规工作人员等设置及其合规管理职责。

第二，合规管理制度体系是指集团下各单位制定的管理制度文件综合形成的企业合规管理活动的制度性、规范化安排，包括章程、经营管理规章制度和流程，合规管理基本制度与流程、合规手册及专项指引。

第三，合规风险管控机制是指对合规风险进行识别、预防、应对和管控，以及追究合规管理相关责任的过程。具体包括了重点领域、环节、人员的合规管理，合规风险的识别、预警、应对机制，以及合规的咨询、审查、检查整改、举报监督、违规问责管理评估机制。

第四，合规管理保障机制包括合规考核评价、合规管理信息化建设、合规管理队伍建设、合规培训、合规文化培育和合规报告等。

（四）中国中铁股份有限公司

中国中铁坚持诚信合规，管理层对此承诺，“诚信为本，合和共赢”，彰显了合规管理的决心。此外，中国中铁制作了《合规政策》，该政策将合规管理体系分为，合规理念、合规管理架构、合规管理机制、合规管理的重点领域四个方面：

第一，合规理念为“心中有法、行必依法、决策问法、治理靠法，合规从高层做起，人人、事事、时时合规，合规创造价值”。

第二，公司的合规管理架构为，公司党委发挥领导作用，公司纪委发挥监督作用，公司董事会、监事会、经理层、总法律顾问各司其职、分工合作。

第三，合规管理机制包括了“三位一体”合规部门管理模式、“三防一查”合规风险管理机制、合规联席会议和合规联络员会议、合规管理内容。公司将合规管理部门分为合规综合、专项、参与管理三个部门，对合规进行一体化管理。公司以合规参与管理部门作为合规管理的第一道防线，以合规综合、专项管理部门作为第二道防线，以公司党委、董事会、监事会等作为第三道防线，同时由纪委、审计部门查出违规行为。公司在发现重大合规风险事项以及审计部门在合规评价中发现的规章制度缺陷等情况时召开合规联席会议，由法律合规部根据工作需要不定期组织召开合规联络员会议。中国中铁形成了独特且细致的合规管理机制。

第四，合规管理的重点领域包括了，公司治理，招标、投标与采购，质量、安全与环境保护，财务管理，劳动用工，知识产权，商业合作伙伴，反腐败与反商业贿赂，业务招待和礼品赠送，社会捐赠与赞助，国际经营，党的工作。

05 我们关于合规管理体系的认识

在充分借鉴学习企业合规管理体系的国际规定、我国规定以及企业规定的基础上，同时结合我们所做的企业合规建设案例的经验，我们认为企业合规管理体系主要包括以下几个重点内容：

（一）合规目标

合规目标是企业实施合规管理、建设合规管理体系最终要取得的结果，其可以是战略的、战术的或操作层面的，通常来说合规目标由合规组织确定，应当与合规方针保持一致。例如《中央企业合规管理指引（试行）》的目标为，“推动中央企业全面加强合规管理，加快提升依法合规经营管理水平，着力打造法治央企，保障企业持续健康发展”；《浙江省企业竞争合规指引》的目标为，“加强企业竞争合规管理，防范反垄断法律风险，优化营商环境，强化竞争政策实施，促进经济高质量发展，维护消费者利益和社会公共利益”；招商局集团的合规目标为“四化”合规管理。

（二）合规方针

合规方针是指由合规最高管理者制定的宗旨、方向和指导思想，开展所有企业合规管理的相关活动以合规方针为依据。《合规管理体系指南》（GB/T 35770-2017）中规定，合规方针宜明确以下内容：合规管理体系的范围；与组织规模、性质、复杂性和运行环境有关的体系运用与体系环境；合规与其他职能，如治理、风险、审计和法务的结合程度；合规融入运行方针、程序、过程的程度；合规团队的独立和自治程度；管理和报告合规事项的责任；管理内部和外部利益相关方关系的原则；所要求的行为和问责的标准；违规的后果。

（三）合规原则

合规原则是贯穿企业合规管理体系的基本理念，开展所有企业合规管理的相关活动应当秉持合规原则。合规原则应当与企业文化、价值观、经营战略相依托。

《中央企业合规管理指引（试行）》所规定的合规原则包括全面覆盖、强化责任、协同联动、客观独立。《企业境外经营合规管理指引》所规定的的合规原则包括独立性原则、适用性原则、全面性原则。

由此可知，合规管理原则的制定应当考虑以下几方面的内容：一是合规团队与治理机构的关联性与区别，合规团队不宜完全由治理机构兼任，合规团队应当得到治理机构的支持，合规团队的决策既要考虑专业性也要结合治理机构的意见综合考虑；二是合规团队的独立性，合规团队主导企业合规体系建设，进行事后监管控，故要确保合规工作的有效性与公正性，其应当具备足够的独立性；三是合规团队应当具备的权限与资源，合规团队开展工作应当具备一定的权限与资源，注意与其他业务部门的衔接；四是合规管理体系的全面性与有效性，一方面，企业合规管理应当全面覆盖到企业的各个部门组织与人员，另一方面，企业合规管理的制度应当时刻反思不足，及时更新、改进。

（四）合规组织

合规组织是为实现企业合规的组织保障，其可以是一个人或一组人。合规管理体系中最基本的组织要求是，董事会、监事会、经理层、具有合规义务的业务部门等单位部门或个人都应当有明确规定的合规职责并履行。在具备条件的情况下，企业可以设立合规委员会、合规负责人、合规管理部门。其中，合规委员会的职责为决定宏观的合规战略目标，审批各项合规制度，指导、监督、评价合规工作。合规负责人即合规首席执行官，其指责为领导合规部门，执行决策层对合规工作的要求，协调企业合规工作与企业其他业务，及时解决合规管理中的重大问题。合规管理部门由企业根据实际情况设定，可以设置专职部门，也可以由有合规管理职能的相关部门兼任，合规管理部门的职责为推行具体的合规管理体系建设工作，例如研究起草合规管理计划、制度，开展合规检查与考核工作并督促整改，组织或协助其他部门开展合规培训并向员工提供合规咨询，进行合规资料管理如建立合规报告和记录台账，建立并保持与监管机构日常的工作联系，跟踪和评估监管意见和监管要求的落实情况。

（五）合规制度

合规制度是企业合规的制度保障。包括了合规基本制度与流程、合规具体实施制度以及重点领域的特殊合规制度。合规基本制度与流程是适用于合规管理全过程的基本规定。合规具体实施制度是实施合规管理的细节性规定。重点领域的特殊合规制度可以单独设定也可以融入合规具体实施制度中制定，主要包括合规管理重点领域、合规管理重点环节、合规管理重点人员等。

（六）合规风险管理

企业及其工作人员在生产经营活动中因违反法律、法规、规章、规范性文件、行业规定等规定，而致企业遭受刑事处罚、行政处罚、国际制裁等，最终导致企业个人和环境伤害、经济损失、声誉损失和行政责任的，称为合规风险。对此，企业通过建立有效的合规管理体系，在遇到合规风险时进行识别、分析和评价，建立并改进合规管理流程，从而达到对风险进行有效的应对和管控，称为合规风险管理。合规风险评估是构建合规管理体系的基础，基于此企业可以合理的分配资源对合规风险进行管控。

合规风险管理的主要环节是合规风险识别、合规风险分析、合规风险评价、合规风险应对。合规风险识别是指，企业结合自身的合规义务与活动、产品、服务和运行等因素，从而识别发生违规的可能性、原因以及后果。合规风险分析是指，企业对违规的原因、来源、危害程度、发生违规并产生危害后果的可能性进行综合分析的过程。合规风险评价是指，企业在合规风险分析过程中发现的合规风险类别、等级，与企业能够并愿意接受的合规风险水平的比较，从而确定控制各个风险的优先性及程度。合规风险应对是指，企业在预先发现合规风险时所作的预防措施，以及企业在面临突发合规风险时所作的应对措施。

需要注意的是，当发生以下情况时应当注重合规风险管理：一是企业的活动、产品、服务和运行发生改变或有新增时；二是企业的组织结构、战略目标、经营模式发生改变时；三是外部发生重大变化时，例如政策变化、经济环境变化、市场变化、债务变化以及客户关系变化等。

（七）合规义务

合规义务是指企业所处行业相关的法律、法规、规章、行业标准与惯例、监管机构的命令或条例等所做的禁止性或应然性规定。企业应当及时学习变更的规定，并更新自身合规义务。

（八）合规审查与内部配合

合规审查是指合规团队对企业的经营管理、重大事项是否符合规定进行审查。合规审查应当是规章制度制定、重大事项决策、重要合同签订、重大项目运营等经营管理行为的必经程序，及时对违规的内容提出修改建议，未经合规审查不得实施。

合规内部配合是指合规团队应当加强与业务部门的合作，加强与审计部门和监察部门等合规监督部门的合作与信息交流。此外，业务部门应当明确自身合规义务、识别业务中的合规要求，加强日常工作中的合规自查，配合合规团队的合规审查、合规风险管理、违规调查以及合规整改等工作。

（九）合规审计

合规审计是指对企业合规管理体系的有效性、全面性、适当性进行分析评估，并深入研究重大和反复出现的合规问题，探究根源，从而完善合规管理体系。合规审计可以有企业内部部门进行，也可以聘请外部专业机构进行。