汇业评论

文 | 郭青红 汇业律师事务所 合伙人

对于企业合规管理体系的十二大构成要素，笔者在此前文章中已经介绍了企业合规组织与合规风险管理。本文继续介绍第三大构成要素，即企业合规制度与流程。不当之处，还请斧正。

企业合规制度与流程通常是指企业合规负责部门就合规管理体系的各构成要素制定的专门合规管理规章。企业合规负责部门对职能部门及业务部门的合规管理，通常限于合规审查与合规评审。但随着企业合规管理的发展，越来越多的企业将合规管理工作前移，直接参与职能部门管理规章及业务部门业务流程的制定和修改。现代企业合规管理制度与流程已经突破原来的界限，向职能部门管理规章与业务部门业务流程渗透与延伸，使得企业合规管理与这些管理规章及业务流程日益有机衔接、协调融合。

这主要表现在以下三个方面：（1）企业合规负责部门直接参与企业职能部门管理规章和业务部门业务流程的制定与修改，同时对它们进行合规审查；（2）根据企业适用的合规规范，把较高合规风险及其防控要求，直接写入管理规章和业务流程；（3）必要时，制定专门的部门职能合规管理流程和业务合规管理流程，如投融资合规流程、营销合规流程等。

本文从企业行为准则、企业合规管理制度、职能部门管理规章、业务部门业务流程四个方面，对企业合规制度与流程作简要梳理和介绍。

一、企业行为准则

企业行为准则一般包括企业愿景，企业使命，企业核心价值观，企业合规方针与承诺，企业质量方针，公平与诚信经营，禁止泄露交易信息，关联交易的原则，防止利益冲突，反腐败，反欺诈和反洗钱，保密与知识产权，环境、健康与安全，公平就业机会，禁止使用童工和强迫劳动，防止性骚扰，贸易管制，企业社会责任等。

二、企业合规管理制度

企业合规管理制度主要是指企业合规负责部门进行合规管理的程序性规章，包括企业合规管理体系各主要构成要素（即合规组织，合规风险管理，合规审查，合规评审，违规举报、调查与处置办法，合规报告等）的组织、职责与分工、管理流程等。此外，反腐败政策是最早形成且日益重要的企业合规制度，也是企业关于反腐败的专门性、实体性合规规章。合规审计是企业合规管理体系构成要素之一，但属于企业内部审计范畴，一般不纳入企业合规管理制度。

企业合规组织制度旨在规范企业合规组织的架构和设置、职责权限、汇报路线、岗位设置及职责、绩效考核、与其它部门之间的分工与协调合作，以及合规组织负责人的任免、职责权限等。

合规风险管理流程的内容包括合规风险识别、分析评价、应对、监测和持续改进的原则、程序以及指标体系、评估模型的采纳等，以及合规风险管理的组织、职责分工与协调合作以及合规风险管理计划与报告等。

合规审查流程包括合规审查的组织、对象和范围、职责权限、计划和程序、合规审查意见及其处置等。

合规评审流程包括合规评审的组织及职责分工、评审计划、评审对象和范围、评审报告和评审整改等内容。

违规举报、调查与处置流程通常包括违规举报办法、违规调查程序、违规处置办法以及反打击报复办法。

合规报告程序涉及合规报告的报告人和报告对象、需要提交合规报告的情形、合规报告的形式、合规报告的受理和反馈等。

反腐败政策一般包括反腐败宣言，反腐败内容，礼品和招待政策，赞助、捐赠、支助政策，组织、权限和程序，违规调查与处罚等。

三、职能部门管理规章

采取不同组织架构模式的企业，其职能部门的设置也存在差异。除合规负责部门外，传统企业的职能部门还包括董秘办（上市公司）、发展规划部、风险管理或者内控部、内审部、财务部、人事行政部、法律部、信息系统部等。

企业职能部门的职能运营及管理规章，涉及不同合规规范在本部门职能领域内的执行和遵守。企业合规负责部门直接参与职能部门管理规章的制定和修改，在合规规范的收集和整理、合规风险管理（即合规风险识别、分析评价和风险应对）等方面提供合规管理的专业指导和支持，并同时进行合规审查。

企业合规负责部门应当直接参与制定和修改的职能部门管理规章包括（但不限于）：执行上市公司监管合规规范的管理制度，公司治理规章，授权体制，印章管理办法，对外投融资、担保管理办法，并购重组管理办法，境外投资并购管理办法，关联交易和利益冲突管理办法，员工手册及有关员工管理的其它规章制度，知识产权管理办法，合同管理办法，信息技术管理制度，合规审计流程等。

四、业务合规流程

不同行业的企业（如传统制造企业、金融企业、互联网企业、贸易企业等），其业务部门的设置也存在差异。传统制造企业的业务部门一般包括采购部、市场部、销售部、产品部、生产部、质量部、物流部、研发部门、环安卫部门等。

企业各业务部门的业务流程，具有很强的专业性和技术特性。但是，企业各业务领域涉及不同合规规范（如行业监管、招投标管理、反垄断与公平竞争、消费者权益保护、产品规范与标准、网络安全等专业领域的法律、法规、标准和规范等）的执行和遵守，政府监管日益加强，企业面临的合规风险日益突出。企业合规负责部门参与企业业务流程的制定和修改的必要性也日益凸显。

很多企业尝试由企业合规负责部门牵头制定和修改专门的业务合规流程，值得借鉴。传统制造业企业的业务合规流程包括采购合规流程，营销合规流程，网络安全合规流程，网络营销合规流程，环安卫合规流程，产品合规流程，工程建设合规流程，进出口贸易合规流程；互联网企业在执业合规、互联网安全合规、个人信息和隐私合规、互联网金融合规、跨境电商领域合规等方面的合规流程。

五、企业合规制度和流程的制定

制定企业合规制度和流程，需要对企业所在行业、所有制性质、上市与否、业务模式、组织架构的设置及职责分工、适用的合规规范及相关规定、授权机制、现有制度、现有合同及文件、同行业发生过的违规事件、本企业发生过的违规事件等，作详细的尽职调查，进行风险识别、分析和评价，提出风险应对和防范措施，然后从合规管理角度对现有制度进行修改、补充和完善，或者制定新的合规制度和流程。

企业合规管理负责部门制定合规管理制度，当与各职能部门和业务部门沟通和协调，充分听取他们的意见和建议。从制度框架来看，可以制定企业合规管理总体指南，将合规管理各构成要要素的组织、范围、要求和程序纳入一个文件中统一规定。也可以针对合规管理的每一构成要素，制定若干单行的合规管理制度。具体可以根据企业的习惯及规章制度的制定规范予以确定。

职能部门管理规章具有很强的专业性，其制定当以职能部门为主，合规管理负责部门参与。合规管理负责部门应充分利用参与制定和修改、合规审查、合规评审等，对职能部门管理规章实施有效合规管理。

业务合规流程是企业合规管理与业务管理高度协调融合的产物。业务合规流程须根植于企业业务及其管理，与相关业务管理制度和流程充分协调，有机衔接，科学融合。正因为如此，业务合规流程可以采取单行制度形式；也可以将合规管理要点和程序直接纳入业务管理制度和流程之中，成为业务管理制度和流程的一部分。企业合规管理负责部门和业务部门应成立项目小组，专门负责前期尽职调查、合规风险识别及分析评价，以及业务合规流程的起草、修改和制定。

后记：企业合规制度与流程示意图