汇业评论

文 | 杨洁 汇业律师事务所 合伙人

【前言】

国务院国资委2015年12月发布《关于全面推进法治央企建设的意见》中提出了“到2020年中央企业努力成为治理完善、经营合规、管理规范、守法诚信的法治央企”的总体目标。随着深化国企改革、“走出去”战略及 “一带一路”建设的发展，合规已成为央企国企做强做优做大不可忽视的重要问题。2018年11月2日，国务院国资委发布《中央企业合规管理指引》（试行）（以下简称“《央企指引》”），随即国家发改委等七部门于2018年12月26日联合发布了《企业境外经营合规管理指引》。随着两大指引的颁布，我国央企国企全面开展合规工作的大幕已拉开，合规管理体系的搭建将是央企国企未来1-2年内依法治企的重要工作，合规管理将成为企业的一项持续的常规管理工作。

任何一项管理工作的开展都始于一个管理体系的搭建，《央企指引》第四条规定的建立健全合规管理体系的原则，对企业搭建全面合规体系具有普遍适用性，即一个全面的合规管理体系应覆盖企业各业务领域、各部门、各级子企业和分支机构、全体员工，贯穿决策、执行、监督全流程；应明确企业各层级和各岗位人员的合规责任并督促有效落实；应有独立客观履行职责的合规管理牵头部门，并确立机制保障合规管理牵头部门与其他部门的协同联动，确保合规管理体系的有效运行。

基于上述原则，搭建全面合规管理体系的主要事项可以归纳为——厘清边界、分清职责、统一思想、配置资源、分步布局。笔者结合10余年金融业合规管理实务经验及近年为央企提供合规服务的思考，对合规管理工作的启动——合规体系搭建阶段应阐明的部分重点问题进行如下归纳和探讨。

厘清边界

应国务院国资委的要求，全面风险管理及内部控制的工作在央企基本已建立管理体系，合规管理同为“风险导向“性管理工作，建立合规管理体系首当其冲要明晰的自然是合规管理的边界问题，那么：

• 合规管理到底管什么？合规管理与全面风险管理、内控的边界如何划分？

通俗的说，“合规管理”中”合规“是内容，”管理“是过程，目的是防范“合规风险”发生带来财产和声誉损失。《央企指引》出台前，我国金融企业和众多外资跨国企业已形成较为完善的合规管理体系，“合规”的范围不论在合规管理相关的监管法规、行业标准中如何表述，归根到底指的是违反后可能遭受法律制裁、监管处罚、出现财务损失和声誉损失的法律、规则和准则。合规风险来源于人的行为，因此，合规管理本质是一种操作（运营）风险的管理。

为了方便理解，通过以下图表从不同维度对合规管理与全面风险管理、内部控制进行区分：

综上，合规管理是全面风险管理体系内对特定风险的管理，因此在搭建合规管理体系时在职能设置、报告、考核等方面需要与企业现有的全面风险管理体系相协调。内部控制虽然具有风险管理功能，但其目的并非仅仅是风险管理，而是实现企业既定的管理目标，内部控制与合规管理是两个相对独立的体系，两者在具体职责的履行过程中会存在一定的交叉合作。

分清职责

合规管理的边界划分是合规管理体系搭建应考虑的宏观问题，而合规管理的职责设置则是合规管理体系搭建首要考虑的微观问题，那么：

• 合规管理应由谁来实施？合规管理的职责应如何在企业内部进行设置？

“合规人人有责”是国际通行的一项合规管理基本原则，即企业董事会、监事会、高级管理层和全体员工均是合规管理的实施者，各自承担职责内的合规职责。《央企指引》规定的全面覆盖原则正是该合规管理原则的体现。

关于合规管理职责的设置，风险管理领域的“三道防线”理论是目前合规管理职责设置普遍适用的理论。“三道防线”指各部门和分支机构履行合规管理的第一道防线职责，对其职责范围内的合规管理负有直接和第一位的责任；合规管理部门和合规岗位履行合规管理的第二道防线职责，向公司各部门和分支机构的业务活动提供合规支持，组织、协调、监督各部门和分支机构开展合规管理各项工作；内部审计部门履行合规管理的第三道防线职责，定期对公司的合规管理流程及各项风险控制程序和活动进行监督。《央企指引》第二章规定的合规管理职责同样遵循了“三道防线”理论。

• 合规管理部门与法务、风险管理部门、内部控制部门、内部审计部门、纪检监察部门的职责如何划分？

我们同样可以用“三道防线”理论来解释这个问题：

1、法务与合规管理部门

法务是位于一道防线的具体业务部门，负责根据业务部门的需求提供法律相关的建议和支持，并不具有牵头管理企业法律风险的职责。在尚未建立合规管理体系的企业中，法务部门承担了一部分二道防线的合规风险管理职责，但并不全面且未成体系。因此，企业搭建合规管理体系时，应将目前法务部门承担的二道防线管理职能识别并转移至合规管理部门。

2、风险管理部门、内部控制部门与合规管理部门

风险管理部门、内部控制部门与合规管理部门分别是全面风险管理、内部控制和合规管理三个功能体系的牵头管理部门，属于各自体系内的第二道防线部门，在其他体系内则履行其职能范围内的一道防线职责。例如，内控部门在合规管理体系中履行的是一道防线的合规管理职责，保证其部门履行职责时不违反应遵守的各项合规要求。由此可见，合规管理体系中，三个部门的职责界限并不模糊，合规管理部门的职责应在企业的合规管理基本制度中明确规定，而风险管理部门和内部控制部门的合规管理职责则在其部门职责中予以增加。同时，鉴于三大功能均具有风险管理性质，在特定业务制度和流程中嵌入合规管理职能时需要评估制度流程中现有的风险管理、内部控制职能如何与合规管理职能协调合作。

3、内部审计部门与合规管理部门

内部审计部门是合规管理体系内的第三道防线，对处于第一、二道防线的各部门履行合规管理职责进行独立审计，与合规管理部门的职责并无交叉。

4、纪检监察部门与合规管理部门

央企国企的纪检监察部门独立于企业的业务部门，其职能是法定的且具有一定的强制执行力，是对企业进行独立监督的部门。因此，国企央企搭建合规管理体系时，在对员工违纪违规行为的处理方面需要明确纪检监察部门和合规管理部门的职责分工与协调机制。鉴于纪检监察部门的性质，企业在设计违规举报、违规调查、违规处置流程时应以纪检监察优先介入和处理为原则，合规管理部门应与纪检监察部门建立员工违规处理内部协作和保密机制。

综上，明确合规职责是合规管理的基础和保障，只有各职能部门各司其职、协调合作才能保障合规管理体系的有效运作。因此，设置合规管理职责时，不仅需要在企业合规管理基本制度中明确董事会、监事会、高级管理层、合规管理部门、各业务部门和内部审计等职责，在重点业务流程制度中嵌入合规管理职能时还需就特定事项明确各相关职能部门的职责和协作机制。

统一思想

合规管理是一项全面覆盖企业各层级、各部门和所有员工的管理体系，本质是对人行为的管理。所有管理制度的实际效果都取决于人的执行，管理意识的统一是实施管理体系的前提，那么：

• 如何使公司上下在实施合规管理的意愿和对合规要求的认知上达成统一？

合规管理是一项需要自上而下推行的工作。“合规从高层做起”是合规管理的另一项基本原则，即公司董事会和高级管理人员应当对公司倡导的道德准则和价值观给予坚定、明确、清晰且积极的支持，践行和推行主动合规、合规创造价值等合规理念。《央企指引》中“把加强合规管理作为企业主要负责人履行推进法治建设第一责任人职责的重要内容”即是该原则的体现，银监会、保监会颁布的合规管理相关规范性文件中亦明确规定了该原则。

搭建和推行合规管理体系，首先应获得董事会和高级管理层的坚定支持，例如在启动合规体系搭建时即成立由公司高级管理层组成的合规管理推进工作领导小组；由公司一把手组织召开合规管理体系建立动员大会，传达公司的合规管理意愿；在公司董事会层面确定公司合规管理方针及目标，并在董事会批准的公司合规管理基本制度中明确规定等。

其次，合规管理意识和对合规要求的认知需要持续的宣导，以便所有人员始终对公司的合规方针和目标保持正确的理解，并掌握符合要求的各项合规技能。因此，在合规体系搭建阶段，公司即应制定并实施合规管理的培训计划，培训应覆盖公司所有层级、所有部门人员，培训内容应包括合规管理理念、公司基本合规制度、公司各项合规要求、合规管理技能等，以普及和推广公司合规管理理念和要求，统一全员思想。

配置资源

合规管理部门是企业建立合规管理体系的牵头部门，负责此项工作的总体协调、推进和落实。任何体系的建立都需要合理的资源配置作为必要保障，那么：

• 搭建合规体系需要配置哪些必要资源？

首先，合规负责人的任命及合规管理部门的设立是搭建合规体系的人力保障。关于合规负责人，《央企指引》中规定“中央企业相关负责人或总法律顾问担任合规管理负责人”，合规负责人可专职亦可由高级管理人员兼任，但在合规管理实务中，合规负责人因其承担的监督职责，应避免兼管财务、业务、内部审计等与合规管理存在职责冲突的部门。关于合规管理部门，企业根据规模和现有管理架构，可以设立独立的合规管理部门，或在现有的风险管理部门、法律部门中设立独立的合规管理处室。合规管理部门（处室）和合规岗位的独立性应予以确保，对其实行独立预算和考评。同时，企业还应根据自身情况，考虑在分支机构设立专职或兼职的合规部门或合规岗位，兼职的合规管理部门和岗位亦应独立于业务、财务和内部审计等可能与合规管理存在职责冲突的部门和岗位。此外，为更有效地与各业务部门进行合规管理的协作，可以在各业务部门设置兼职的合规协调员，由其配合合规管理部门/岗位执行所在业务部门的合规管理工作。

其次，外部顾问、咨询机构提供的专业支持和技能培训是搭建合规管理体系的重要物力保障。合规体系搭建是一项专业性强的复杂工作，需要牵头部门和人员有战略规划、组织和项目管理、合规管理专业技能等复合能力。除合规管理人员的自身经验储备外，引入富有合规管理经验的外部律师、咨询机构可以为合规管理体系搭建的全过程提供如下专业支持，以提高合规管理体系搭建的效率和效果：

1、协助为体系搭建进行整体规划；

2、协助评估和制定具体的实施方案；

3、协助评估和制定合规管理制度和流程；

4、为体系搭建过程中的问题提供建议；

5、协助开展各类内部合规培训；

6、为合规管理部门人员的技能培养提供支持和培训。

基于以上，合规管理体系搭建前，企业应为该项工作制定独立的人力和财务预算，以保证该项工作开展所需的必要资源。

分步布局

除非监管法规有明确的规定，企业在搭建合规管理体系的方式、范围、时间安排、步骤等方面具有自主权。合规管理体系搭建的主要困难往往在于企业管理层及各业务部门对合规管理工作的重视和认知、企业现有风险管理体系、内控等管理体系与合规管理体系的协调、合规管理对重点领域现有业务制度和流程的调整、合规管理体系在企业母子公司、总分公司之间的落实等，那么：

• 哪种方式有利于企业相对顺畅地进行合规体系搭建工作？

对于单个企业来说，在总分公司同步启动合规管理体系的搭建，以总公司集中部署，分公司相应落实各项安排的方式进行推进，有利于保持公司整体管理的一致性，提高工作的推进效率。合规管理体系的覆盖范围可以分步推进，先进行总分公司全面的合规管理组织的搭建和运作机制的建立、合规管理基本制度的制定，再挑选部分重点业务领域嵌入合规管理流程，并逐步实现合规管理全面覆盖。

对于企业集团来说，首先在集团总部完成合规管理组织的搭建和合规管理基本制度的制定，并向集团内所有子公司发布，作为此项工作的启动，再在总部逐步完善合规管理组织运作机制并选取部分重点领域嵌入合规管理流程，同时挑选一至两家业务结构相对清晰，管理较为完善的子公司先行试点，并根据积累的经验逐步推进合规管理的全覆盖。

上述分步布局的方式有利于集中资源，及时总结、优化和解决推进中存在问题，少走弯路；有利于积累经验、储备及培养专业队伍；有利于通过试点案例的总结和宣导，提升企业整体的合规意识，减少工作推进的阻力。在企业对合规体系搭建的时间安排和部署有较大自主权的情况下，该种分步布局的方式将是相对顺畅的一种路径。

合规管理体系的搭建是一项非常复杂、持久的工作，本文仅尝试对具有一定普遍性的问题和方法进行探讨和总结。合规管理体系搭建工作的具体开展需要根据企业自身的管理偏好、治理现状、企业文化、机构规模、行业领域等因素进行具体的调研、评估、分析进行决策和部署。