责编|亿亿 编辑|阿苓
提到“合规管理”一词，想必大家都不会陌生。
随着“依法治企、法治强企”观念深入人心，法治央企早已成为我国中央企业治理的核心要求。而2022年10月，《中央企业合规管理办法》的正式颁布，也意味着合规管理成为中央企业的必由之路，其重要性不言而喻。
后续，我们将以系列篇的形式，同各位细讲合规管理的国内外发展状况、政策分析、体系与制度建构、实践难题与解析。
本篇，我们将从合规管理的发展及制度建设为开篇，抛砖引玉，带各位浅看企业合规的发展与未来。
01
过去：一场源于丑闻的管理
若要对“合规管理”一词追根溯源，那就不得不提及1970年代美国的“水门事件”。
这场政治丑闻引起公众舆论哗然，因此，也加强了对政府官员和大企业行为的监督。1977年，美国《反海外腐败法》制定，这标志着惩治跨国商业贿赂法律的产生。
如果说“水门事件”只是合规管理的引子所在，那么2001年安然公司破产丑闻则直接掀开了合规管理的序幕，引发社会对上市公司治理和内控的关注。
次年，《萨班斯——奥克斯法案》的出台为上市公司强化合规管理指明了方向。
随后几年，美国等国家愈加重视合规管理一事。由于自身经营管理存在特殊性，银行、保险以及证券行业首当其冲，2010年前，美国出台多部政策规范行业发展。
2010年后，合规管理愈加重视企业合规，《多德——弗兰克法案》的出台使得公司内部举报与合规程序建设更加完善。
及至我国，合规管理也是从银行、保险公司以及证券公司开始的，随后逐渐扩展延伸至企业。鉴于《认识国有企业合规管理：萌芽、探索、深化》一文已有较为详细的分析，在此不再过多赘述。关于我国国有企业合规管理进程，详细可看下图：
02
现在：合规管理制度建设
上文，已经说到了中央企业合规管理的发展进程与现状。
我们知道，自2018年“合规管理元年”以来，中央企业不断建立健全自身合规管理体系建设，截至目前，无论是制度建设、体系构建，还是运行机制、责任基础均愈加完善。
以下，我们先就企业合规管理建设中的制度建设继续进行讨论。
所谓合规管理，本质上是管理体系的一种。除去构建标准与体系框架留至下篇我们再详细分析，我们需要明确的是合规管理的核心在于合规，即合乎规范的管理。
那么，何为规范？合规，合的是什么“规”？
合规是指企业经营管理行为和员工履职行为符合国家法律法规、监管规定、行业准则和国际条约、规则，以及公司章程、相关规章制度等要求。
——《中央企业合规管理办法》
根据政策规定，这里的“规”，既包括外法，也包括内规。
因此，企业要进行合规管理，不但要研究国家的法律、法规以及国家政策，避免合规条款违反国家法律法规，还需要将企业内部的相应合规制度收集和建立起来，形成合格管理体系，每项制度的建立都需要进行实际的评估才能正式投入使用，必须有相应的合规管理人员进行推动和执行。
在《中央企业合规管理办法》（以下简称《办法》）中，专门单拎出一章，即第三章，用以指导制度体系建设。
《办法》强调分级分类的合规管理制度体系的重要性，对合规管理基本制度的内容提出明确要求，同时对于重点领域专项指南也做了一定要求。
图：合规管理制度体系
1、十二个字如何理解？
首先，我们来看一下《办法》中对于合规管理制度体系是如何要求的？
第十六条 中央企业应当建立健全合规管理制度，根据适用范围、效力层级等，构建分级分类的合规管理制度体系。
这句话看似简单，但其重点在于“适用范围、效力层级、分级分类”这十二个字上。若要往下延伸，我们需得考虑许多问题。
例如：
明确建设企业集团基本制度还是具体业务部门的具体制度？
明确建设合规体系或专项合规体系？
明确建设范围属于集团合规管理体系或单个公司合规管理体系？
……
从第一个问题来看，其实本不是问题。
政策本就要求我们在合规管理制度体系中，既要包括基本制度，也要包括重点领域专项指南（《办法》还要求了合规风险较高业务以及涉外业务重要领域均需制定相应制度）。
但，若要将上述十二字加以运用，似乎使得这一问题变得扑朔起来。
要解决这一应用难题，其实也很简单，重点在于对效力层级进行分级管理。
中央企业需要明确，基本制度是合规管理制度体系的核心，对于具体制度与专项指南起到总领作用；同时，对于各部门具体业务所面临的领域内合规风险，企业需要针对性提出意见与要求，制定符合自身实际需要的具体制度。
将基本制度与具体制度进行分级管理，加强合规与业务的契合度，做到精准合规、高效合规。
从第二个问题来看，专项合规本属于合规体系之一，根据《办法》，中央企业应针对重点领域、合规风险较高业务以及涉外业务三大重要领域制定相应制度。因此，在实践过程中，中央企业还需注意在适用范围上进行分类管理。
其中，七大重点领域相信大家已较为熟悉。
《办法》所列领域与《中央企业合规管理指引（试行）》（以下简称《指引》）中所列重点领域并不完全重合，例如：《办法》新增“数据保护”内容，而减少“知识产权、商业伙伴、产品质量”等，并将“反商业贿赂、反垄断”单拎出来作为重点。具体见下图：
图：合规风险重点领域
对于合规风险较高业务，政策中并无详细规定，主要根据中央企业自身所处行业、业务等情况自行判定。
对于涉外业务，《办法》虽无明确规定，但也可看出该业务属于风险较高领域，需要对其合规管理予以重视。
企业可参考2018年，六部委所发布的《企业境外经营合规管理指引》，该文件对“对外贸易、境外投资、对外承包工程、境外日常经验”等领域的合规管理做出了重要指导，详细内容及重点，我们将放在后续系列文章中进行专项分析。
关于第三个问题，关系到集团与子公司合规制度及机制建设，因此，我们将其放到后续系列文章中继续探讨。另外，值得注意的是，合规既然是依据“外法内规”，那么，就需要关注法规监管政策变化，动态修订完善制度。
2、基本制度如何搭建？
上文已经提到，合规管理制度体系包括基本制度与重点领域专项指南两大模块。若是再进一步细化，则可依据功能与适用范围，细化为基本制度、具体制度、重点领域专项指南以及管理制度。
那么，企业究竟要如何建设合规管理制度体系呢？我们从招商局集团合规管理制度来尝试分析一下。
《招商局集团合规手册》共五章，一百四十三条，内容包括总则、合规管理体系、企业合规义务、员工行为准则以及附则。其中明确提出，招商局集团的合规管理制度主要包括三方面，即基本制度、配套规定以及专项合规管理制度。
图：招商局集团合规管理制度
资料来源：招商局集团官网
根据《办法》规定：
第十七条 中央企业应当制定合规管理基本制度，明确总体目标、机构职责、运行机制、考核评价、监督问责等内容。
第十八条 中央企业应当针对反垄断、反商业贿赂、生态环保、安全生产、劳动用工、税务管理、数据保护等重点领域，以及合规风险较高的业务，制定合规管理具体制度或者专项指南。
可以看出，招商局集团在搭建整个制度体系时，基本符合《办法》规定，对于基本面与重点领域均搭建了全面而系统的制度体系，值得其他国有企业借鉴。
政策对于基本制度框架搭建可以说是比较明确了，而在实践过程中，更重要的是如何寻找合规管理制度的依据。
这里有四大通道，可以帮助企业快速进行梳理，即历史风险梳理、合规义务风险、审计监察风险以及岗位职责风险。
通过以上四方面，通过梳理企业自身以及对比同行业企业情况，企业可以快速找到企业合规制度依据及风险所在。通过以案促管、以法促管、以规促管、以责促管，进行风险及外发内规的梳理。
另外，在梳理过程中，企业可以依据风险发生概率及危害性，构建风险识别坐标，并在不同区域标出该区域存在的合规风险件数，帮助企业快速认识目前合规管理现状，具体如下图：
图：风险识别坐标
3、专项指南如何搭建？
专项合规指南本质上是合规管理制度的一种，之所以把合规指南与合规制度区别出来，主要因为合规指南是关于业务如何遵守合规义务的规章制度。
由于前文我们已经提及了政策对于七大重点领域、合规风险较高业务、涉外业务的专项指南建设要求，此处我们不再过度赘述，仅从实践层面探讨专项指南搭建要点。
首先，由于中央企业集团规模庞大、业务范围宽、经营范围广、集团层级多，集团及下属公司分布于不同省份地区，乃至国家，因此其合规管理重点与难点均需考虑其自身情况而定。
若是单靠集团总部基本制度管理，很容易产生辐射范围不足、合规重点偏差等问题。
因此，需要考虑“宏观把握”与“微观处理”相结合。集团在宏观层面把握合规管理原则，同时依据下属公司自身情况，总结合规风险重难点，针对性制定专项指南。
其次，在集团制定基本制度的基础上，若是集团下属公司存在境外业务，则需按照国际组织普遍遵循的规则，把握痛点，明确重点，进行外归内化，便于境内外员工遵循。
第三，专项合规指南最需要结合企业的业务流程情况，如果不熟悉业务风险或不熟悉合规义务，合规指南的拟定将成为一个难题。
因此，需要企业真切发挥出第一道防线的事前监督作用。另外，鉴于各企业存在不相同的业务，建议参考一些行业专家对合规风险案例的总结。
合规管理的制度建设是推进合规管理的重要手段，可以帮助指导企业打造事前制度规范、事中动态监管、事后监督问责的全覆盖、全链条的“1+N”合规管理体系，并对落实情况进行督促检查。
需要注意的是，制定中需要形成制度建设动态更新的机制。
03
未来：合规发展与未来
若要深入理解合规管理未来的发展趋势，少不得提及目前已发布的政策及其变化。
中央企业的合规管理，截至目前共出台了两大核心政策。自2018年《中央企业合规管理指引（试行）》（以下简称《指引》）发布后，历经四年，国务院国资委又于2022年发布《中央企业合规管理办法》（以下简称《办法》）。
新政策的发布，也可以理解为对这四年间中央企业合规运行实践中存在问题的修补与完善，这也在一定程度上可以为我们后续深化合规指明方向。
1、两大政策看合规变化
由于网上关于两大政策的解读已有不少，因此，这里将不多关注政策解读，而将重点放在二者对比的变化上。重点共有两点，一是组织职责及定位产生细化，二是明确提出“三道防线”定位。
从组织职责及定位来看，《办法》的变化聚焦于两方面：一是新增党委作用，细化董事会；二是强调经理层，优化委员会，设立合规官。
与《指引》不同的是，《办法》明确提出了党委“把方向、管大局、促落实”的领导作用，同时明确提出董事会研究决定合规管理重大事项，审议批准合规管理年度报告等职责。
其次，《办法》强调经理层，优化委员会，设立合规官。
一是强调经理层的具体管理职责，包括切实承担拟定管理方案、制定管理制度、指导工作等具体合规管理职责等；
二是优化合规管理委员会职责，包括要求合规管理委员会法治建设领导小组或风险控制委员会等合署，发挥合力；
三是明确设立首席合规官，负责推进合规管理相关工作。
中央企业应当将合规审查作为必经程序嵌入经营管理流程，重大决策事项的合规审查意见应当由首席合规官签字，对决策事项的合规性提出明确意见。业务及职能部门、合规管理部门依据职责权限完善审查标准、流程、重点等，定期对审查情况开展后评估。
《办法》中首度提出了设立首席合规官这一职位，而对其如何明确提出意见以及重大决策事项并未进行明确说明。
因此，这里有两个小问题，还请各位同我一起思考。
一是究竟什么才是合规管理重大事项？是“三重一大”吗？是重大事项清单吗？
我们说，政策其实对此并无明确规定，也就是说这里的重大事项需要由企业根据实际情况进行确定。二是首席合规官如何明确提出意见呢？这里的方法有很多，例如联合会签、在线审核等。
提及《办法》的变化，不得不提到的就是“三道防线”的概念。在《指引》中，其实并无这一概念，更多的是对于“业务部门、合规管理牵头部门、合规委员会”三大角色的职责说明。
而“三道防线”来自2022年印发的《中央企业合规管理办法（征求意见稿）》中，其一二三道防线分别对应了职能及业务部门、中央企业合规管理部门、纪检监察机构和审计、巡视巡察、监督追责等部门，其职责也各有不同，这里用一张图简要说明：
图：“三道防线”说明
2、八个趋势望未来的走向
根据今年初在京召开的中央企业深化法治建设加强合规管理工作会议，已有68家中央企业集团和631家重要子企业设置了首席合规官，全系统合规管理人员超过2.8万人。
可以说，中央企业合规管理已经初步成型，依法合规经营管理水平明显提升。
体系制度均已建成，那么，下一步应该如何走呢？笔者认为当从“稳现状、强深化”六个字入手。
所谓“稳现状”，简单来说就是在目前已建成的合规管理基础上，提高认识高度，关注体制机制完善，进行全局部署。
首先，中央企业需要思考三大问题，即：
是否做到了把强化合规管理放到法治思想的高度来认识？
是否做到了放到落实全面依法治国战略的全局来部署？
是否做到了放到保障企业高质量发展的层面来推动？
其次，尽管新《办法》已经正式实行，但目前的合规管理体系仍存在着有效性评价不规范、内部规章制度体系不完善以及第一道防线不职责不精准等三大核心问题，唯有解决上述问题，才能真正保证合规管理“稳现状”，将合规之花培育出果实。
所谓“强深化”，需要更加注重合规管理的持续发展。中央企业必须明确思考，如何在形式合规的基础上转变成为实质合规，如何将纸面的“外法内规”真正转化成为企业经营管理的一部分，将企业员工“不得不做”转变为“主动要做”呢？
其次，在建设“大合规”体系背景下，如何实现法律、合规、内控以及全面风险管理的协同运作。
这一问题，相信也是很多企业头疼之所在，相关政策甚多，企业内部机构人员冗杂，职责混乱不清，究竟如何实现“四位一体”，甚至“五位一体”“六位一体”呢？
另外，我们已经知道2022年印发的《中央企业合规管理办法（征求意见稿）》中提出了三道防线，尽管在正式出台的《办法》中没有明确以“防线”一词进行规定，但定位非常明确，对于合规管理职责进行合理分工，厘清工作边界，达到共同建设合规管理的效果。
而业务与职能部门作为第一道防线，即合规管理全程的重点所在，肩负起了防范90%的合规风险工作。那么，及至企业各业务部门，究竟要如何做才能更加精准的担负起这一重担，做到管业务必须管合规呢？
最后，信息化是集团合规管理有效落地的抓手。集团企业，尤其是中央企业层级复杂，旗下公司数量繁多，如何通过搭建信息化平台，提高合规管理效率与质量成为各央企必答之题。
图：合规管理发展趋势
以上，不仅仅是合规管理的过去、现在与未来发展趋势。更是合规管理建设的核心，更是摆在企业合规建设实践中的一座座大山与难题，需得各位深思熟虑。当然，这些问题，我们也将在后续文章中继续进行分析解惑。
联系客服
