建立合规管理体系仍需解决的两个实务问题
发布时间：2021-07-28
文｜郭青红 汇业律师事务所 合伙人
我国中央企业集团都已初步建立合规管理体系，并正在推动子集团、子公司建立合规管理体系。我国各地地方国有企业集团大多也开始建立合规管理体系。
企业集团建立健全有效的合规管理体系，内容有哪些？如何建立？仍然是诸多企业集团在合规管理实务中，广为关注和不得其解的问题。
第一：企业集团健全有效的合规管理体系，内容有哪些？
企业集团建立合规管理体系，目的是能够有效运行，有效防控合规风险，否则就会流于形式，徒增管理环节和管理成本。
问题一：企业集团建立合规管理体系，内容有哪些？
企业建立合规管理体系，应当遵从所适用的、有关政府部门发布的合规管理指引，结合企业自身实际情况，包括以下基本内容：
建立各层级合规管理组织，明晰并有效履行合规管理职责。
制定并有效履行合规管理制度，包括：（1）合规管理基本制度，对合规管理体系的各构成要素进行原则性、纲领性、指导性规定；（2）制定合规管理体系各构成要素的实施细则；（3）将合规要求与合规风险管控节点融入各部门领域的业务制度和流程；
从重点领域扩展到各部门领域，开展专项合规（风险）管理，从建立各部门领域合规风险清单到建立企业合规风险库，开展合规风险监测预警，有效防控合规风险；
推动各级子公司建立健全并有效运行的合规管理体系。
问题二：企业建立合规管理体系，如何适用有关政府部门合规管理指引？
中央企业适用国务院国资委《中央企业合规管理指引（试行）》，地方国资有企业适用本地政府部门发布的合规管理指引，民营企业可以参照前述指引以及国际标准化组织ISO37301 《合规管理体系 要求及使用指南》。企业境外经营合规管理，须适用和遵守发改委等七部委《企业境外经营合规管理指引》。
问题三：企业各层级合规管理组织都必须建立吗？新设合规管理组织必须单独设立吗？
企业建立各层级合规管理组织是必需的，也是有关政府部门合规管理指引的明文要求。
治理机构是合规管理的决策、监督和具体执行的领导机构，必须明确其合规管理职责，彰显其对合规管理的承诺和支持，凸显合规管理的重要性。
由于增加了治理机构的合规管理职责，还有必要对公司章程进行适当修改。
中央企业、地方国有企业，还应当按照有关政府部门文件，将合规管理纳入企业推动法治建设第一责任人以及法治建设领导小组的职责内容。
企业合规委员会是必设合规管理组织，系企业董事会的派出机构，向企业董事会汇报，因此其成员应当由董事会、监事会和管理层的适当人员组成。企业合规委员会应当与其他委员会（审计委员会、风险管理委员会等）合署。
合规管理负责人是必设合规管理组织，受管理层领导，但就重大合规事项应当可以直接向董事会或董事长汇报。合规管理负责人可以由企业总法律顾问或者无利益冲突的相关部门负责人兼任。
企业合规管理牵头部门是必设合规管理组织，一般与企业法务部门合署，或者与内控部门、风控部门合署。基于独立性原则与制衡性原则，其不能与审计部门或者其他有利益冲突的部门合署。
业务部门是风险（包括合规风险）的第一道防线，也是合规管理的主体部门。企业合规管理的有效运行，取决于业务部门是否有效开展日常合规管理。培养业务部门合规意识、配备兼职合规管理员、提高业务部门日常合规管理能力、建立业务部门合规考核机制、将合规管理要求与合规风险管控节点融入业务部门制度流程等，是业务部门合规管理乃至整个企业合规管理成败的关键。
问题四：合规管理体系各构成要素的实施细则有哪些？如何制定？
按照国务院国资委《中央企业合规管理指引（试行）》的规定，合规管理运行机制的构成要素，除合规管理制度外，还包括合规风险管理、合规审查、合规管理评估、违规管理，合规管理保障机制的构成要素包括合规考核评价、合规宣传培训、合规计划与合规报告、合规管理队伍建设、合规管理信息化以及合规文化建设等。
有些地方政府国资委（如江苏省、山东省国资委等）发布的合规管理指引还包括了下列合规管理构成要素：合规联席会议、强制合规咨询、合规检查、合规审计、落实领导责任、激励约束机制等。
合规管理运行机制与保障机制的各构成要素，不能止步于企业合规管理基本制度的原则性规定，需要细化为具有可操作性的实施细则。哪些合规管理体系构成要素需要制定实施细则，由企业根据自身实际情况需要来确定。鼓励企业将实施细则融入企业现有制度流程，避免另起炉灶。例如，有些企业将合规审查融入企业三项法律审核办法、将合规管理评估融入内部控制评价、将合规考核融入企业绩效考核等，都是很好的实践经验。
问题五：企业建立合规管理体系初期，能否同时编制企业合规风险清单？
不少企业在制定合规管理基本制度、搭建合规管理架构初期，就希望外部合规管理服务团队协助编制完整的企业合规风险清单。这是不对的，也是不切实际的。
合规风险是对合规义务违反的可能性，是纯粹的、具体的。合规义务的渊源包括外法内规。在企业经营管理中，适用的外法（法律法规、监管规则等）具有很强的业务领域性。不同的业务部门适用的法律法规存在很大差别（当然也存在交叉）。例如，劳动人事领域适用的法律法规与财税管理、投融资、采购、销售等领域适用的法律法规完全不同，相应地，其部门规章制度也不相同。因此，各部门领域适用的外法内规、需要遵守的合规义务、面临的合规风险也是不一样的。
企业合规风险清单的建立，必须基于对每个部门领域的合规风险管理，先建立各部门领域合规风险清单，再汇总成为企业的合规风险库。从重点领域扩展到各部门领域开展专项合规（风险）管理，制定各部门合规风险清单，再汇总成为企业的合规风险库，是个较漫长的过程，需要一年乃至更长时间。
企业在制定合规管理基本制度、搭建合规管理架构初期，希望或要求在短时间内建立企业合规风险清单，不符合合规管理体系建设的逻辑流程。即使建立，也可能流于形式，脱离实际，没有可操作性。
第二：企业集团如何建立健全有效的合规管理体系？
合规管理是长效工程，不能一蹴而就。各中央企业集团以及省、自治区、直辖市国资委一般要求企业在两到三年的时间内建立健全有效的合规管理体系。
按照前述企业集团建立合规管理体系的基本内容，企业集团需要制定建立合规管理体系的实施方案。具体示例如下：
（一）建立企业集团合规管理体系（期限：4个月）
合规基础知识培训；
立项并建立合规管理小组（包括领导小组与工作小组）；
合规尽职调查；
制定合规管理基本制度；
建立合规管理组织；
识别合规管理重点领域；
制定集团建立合规管理体系实施方案；
合规管理基本制度宣贯培训；
合规管理团队合规管理能力提升培训。
（二）制定企业集团合规管理运行机制、保障机制各构成要素实施细则（期限：6个月）
确定哪些构成要素需要制定实施细则；
建立各实施细则工作小组；
调研并与相关部门沟通协调；
制定合规管理各要素实施细则。
（三）企业集团重点领域专项合规（风险）管理
期限1年，每个重点领域6个月，可以与（二）同步开展。
建立各重点领域专项合规管理工作小组；
重点领域专项合规管理调研；
梳理、汇总重点领域适用的外法内规；
梳理、收集重点领域违规案例；
梳理、编制重点领域合规义务，编制合规义务清单；
开展重点领域合规风险评估；
编写重点领域合规风险清单，提出应对措施建议；
对重点领域部门职责、岗位职责进行合规审查、修改，嵌入合规管理职责，增补合规考核指标，实现重点领域全员合规责任制；
对重点领域制度流程进行合规审查、修改，融入合规要求与合规风险管控节点；
基于合规风险应对措施建议，开展重点领域合规整改；
重点领域合规管理培训；
开展重点领域合规风险监测预警。
（四）推动子公司建立健全有效合规管理体系
期限1年，内容和步骤重复（一）、（二）、（三）内容，可以与（三）同步开展。
（五）巩固、完善、提升（期限：1年）
重点领域外，其他各部门领域专项合规（风险）管理；
正常开展合规管理运行机制、保障机制各构成要素对应的内容和工作；
持续开展合规风险管理；
持续合规培训与合规文化建设；
探索建立法律、合规、风险、内控一体化管理平台。
