汇业评论

文 | 郭青红 汇业律师事务所 合伙人

本文旨在对企业法务、内控、内审、风险管理做一简要介绍，希望能帮助了解和厘清企业合规与它们之间的关系。其中包括笔者从法律视角提出的一些观点。不妥之处，敬请斧正。

在本文中，企业合规是指企业大合规。

一、企业合规与企业法务

企业法务，即企业法律事务。

企业法务的主要内容包括法律跟踪、法律咨询、公司治理法律事务、并购重组法律事务、合同法律事务、知识产权法律事务、争议解决、法律培训和对外部律师进行管理等。

企业合规中的“规”，包括国际条约、国家法律法规、国家及行业标准、行业监管规定、行业自律性文件、社区规范以及道德规范和公序良俗等。企业法务更侧重于国际条约、国家法律法规的适用。因此，企业合规的范围要广于企业法务，但企业法务是企业合规最重要和最核心的组成部分。

企业法务虽然也涉及相关法律事务的管理，如合同管理、争议解决管理、知识产权管理等，但更在于使用专业法律知识提供实务层面的法律服务，如：法律咨询，项目谈判，合同起草与修改，仲裁与诉讼等。企业合规则实务和程序兼顾。企业合规管理需要建立全面合规管理体系，包括建立合规组织；制定和实施合规政策、流程和制度；建立合规风险管理体系，进行合规风险识别、评价、应对和报告；收集、整理合规规范；还需要进行合规审查、合规评审、合规培训以及违规调查和违规处置等。

企业法务由企业法务部门负责。遗憾的是，中国国内还有很多企业没有专的门法务部门或人员，也未聘请外部律师协助企业处理企业内部法律事务，更没有设立企业合规组织开展企业合规管理。

二、企业合规与企业内控

企业内控，即企业内部控制。

现代企业内部控制产生于二十世纪初叶。1947年美国会计师协会的审计程序委员会发布《审计程序公告》，使内部控制成为一项法定的审计步骤。1977年美国反海外腐败法案除了反腐败条款外，另一重要内容就是要求企业建立充分的内部会计控制。1992年9月，美国 COSO（即美国反虚假财务报告委员会下属的发起人委员会，下同）发布了《企业内部控制 -- 整合框架》。美国国会于2002年7月通过了萨班斯法案（Sarbanes-Oxley法案），要求所有在美国的上市公司必须建立和完善企业内部控制体系。此后，企业内部控制越来越多地被西方国家和日本等纳入国家法律法规的范畴。

1996年，我国财政部发布《独立审计准则第9号 -- 内部控制与审计风险》，首次提在国内出了企业内部控制。1999年修订的《会计法》第一次以法律形式对建立健全企业内部控制提出了原则性要求。之后，财政部连续发布了《内部会计控制规范 -- 基本规范》等7项内部会计控制规范。2008年6月28日，财政部等五部门联合发布了《企业内部控制基本规范》，2010年4月26日又发布了《企业内部控制应用指引》，标志着中国企业内部控制规范体系基本建成。

美国审计程序委员会《审计准则公告》将内部控制定义为：“内部控制是在一定的环境下，企业为了提高经营效率、充分有效地获得和使用各种资源，达到既定管理目标，而在企业内部实施的各种制约和调节的组织、计划、程序和方法。”我国《企业内部控制基本规范》规定，内部控制是由企业董事会、监事会、经理层和全体员工实施的、旨在实现控制目标的过程。内部控制的目标是合理保证企业经营管理合法合规、资产安全、财务报告及相关信息真实完整，提高经营效率和效果，促进企业实现发展战略。

随着企业内部控制的不断发展和完善，企业内部控制从早期的企业内部会计控制不断发展并扩充自己的范围和内容。我国《企业内部控制应用指引》将企业内部控制分为组织框架、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、信息传递、信息系统等十八个方面，使企业内部控制贯穿企业运营管理的各个环节及各个方面。

保证企业经营管理合法合规，是企业企业内部控制的主要目标之一。企业内部控制包括企业合规。企业合规在促使、保障企业遵守适用于企业的法律、法规、规范和标准方面，实践、支持企业内部控制，是企业内部控制基本的内容、目标和保障。企业内部控制强调设计和建立相互制衡的组织机构和授权，设计、制定、实施企业内部控制的制度和流程，并对这些制度和流程的实施进行评价和监督。企业合规强调企业运营管理的各个方面是否符合适用于企业的各项法律、法规、规范和标准，包括是否符合企业内部控制的制度和流程。

三、企业合规与企业内审

企业内审，即企业内部审计。

二十世纪三十年代美国金融危机以及之后跨国公司的快速发展，使得现代企业内部审计也在美国产生并迅速发展。1941年11月11日，由瑟斯顿（John B. Thurston）等40多位内审人员在纽约成立国际内部审计师协会（IIA，下同），诞生了第一个内审协会机构，1978年6月，IIA制定了《内部审计实务标准》。

在我国，国务院于1983年8月23日批转审计署关于开展审计工作几个问题的请示，标志着我国内部审计监督的开始。1985年8月，国务院发布《内部审计暂行规定》，是我国第一部关于内部审计的法律规范。2003年中国内部审计协会发布《内部审计基本准则》等首批内部准则，形成了较为完善的内部审计准则体系。2004年8月23日，国资委又颁布了《中央企业内部审计管理暂行办法》。

按照IIA《内部审计实务标准》，内部审计定是一种独立、客观的确认和咨询活动，旨在增加组织的价值和改善组织的运营。它通过应用系统化、规范化的方法，评价并改善风险管理、控制和治理过程的效果，帮助组织实现其目标。我国《内部审计基本准则》将内部审计定义为组织内部的一种独立客观的监督和评价活动，它通过审查和评价经营活动及内部控制的适当性、合法性和有效性来促进组织目标的实现。

我国《企业内部控制基本规范》规定，企业应当加强内部审计工作，保证内部审计机构设置、人员配备和工作的独立性。内部审计机构应当结合内部审计监督，对内部控制的有效性进行监督检查。内部审计机构对监督检查中发现的内部控制缺陷，应当按照企业内部审计工作程序进行报告；对监督检查中发现的内部控制重大缺陷，有权直接向董事会及其审计委员会、监事会报告。我国《中央企业内部审计管理暂行办法》强调，企业应当建立相对独立的内部审计机构，国有控股和国有独资公司应在董事会下设审计委员会。企业内部审计机构应当接受审计委员会的监督和指导，直接对企业董事会（或主要负责人）负责。

内部审计具有评价和监督等职能，是内部控制的重要方式之一，也是对内部控制执行情况的一种监督形式，是企业内部控制体系的组成部分。但是，内部审计具有相对独立性，它通过对经营活动及内部控制的适当性、合法性和有效性进行审查、评价和监督，直接向企业董事会及其审计委员会、监事会提出建议和报告。

企业合规与内部审计同为企业内部控制体系的组成部分。企业合规也是企业内部审计的对象和内容之一，即企业内部审计对企业合规管理进行评价、监督并提出意见和建议。企业合规又向企业内部审计提供法律支持，包括提供审计所依据的法律、法规、规范和标准，并根据企业内部审计的需要提供法律意见及合规意见等。企业合规部门开展违规调查，涉及财务、会计合规时，需要企业内部审计共同参与和提供专业性支持。