企業合規風險管控機制建設運行之探究

張 童

（安徽大學 法學院，安徽 合肥 230000）

一、引言

合規建設越來越受到諸多企業尤其是國企的重視，多數國企已經充分認識到合規管理對于其可持續發展的重要性。黨的十八屆四中全會后，國務院國資委已將加強合規管理體系建設作為未來一段時期內國企法治工作之重點，合規管理也成為國資國企改革從“管資產”向以“管資本”為主轉變的重要環節。多數國企已將國企合規管理體系的搭建作為其應對日益復雜多變的內外部發展環境、穩健行遠的必經途徑，并且已依《中央企業合規管理指引（試行）》初步建立了合規管理體系，開展了全面風險管理、內控體系建設、合規培訓等相關工作，但在具體任務推進落實中仍缺乏有機聯動合規管理實施機制及配套管理措施。經多年理論探索與實踐攻堅，中央深改委立足于改革共性經驗印發了《國企改革三年行動方案（2020—2022）》，明確將“管資本”為主、國資監管體制下、中國特色現代企業制度建設作為國企改革“1+N”政策體系和頂層設計實現的具體路徑。此外，國務院國資委為解決國企合規管理運行機制不規范等問題，印發《中央企業董事會工作規則（試行）》，以強化董事會在國企合規管理體系中的規范化運行程度。由此可見，在國企改革步入深水區的新形勢下，企業避免合規管理制度“符號化”趨勢，力爭建立完善且執行有效、良性運行的合規管理體系，促進企業市場活力持續煥發及國有資產保值增值。

二、建立有效合規管理制度

（一）以可持續為原則促進制度優化

合規管理制度作為整合必要組織結構、政策導向、流程和程序的框架，其目標是促進預期合規結果實現，并針對不合規行為采取預防、發現和應對處置措施。合規管理制度框架搭建是一個建設合規管理體系所需基礎設施與執行政策、流程相結合，并不斷改進體系缺陷的過程。合規管理“基礎設施”構建過程中應就不同功能效用做出差異化環節設計：針對真正合法合規行為的支持、對不合規行為的預防與識別、對受不合規行為影響的各利益相關方所受損失之應對補救等均應納入考慮范疇。合規管理制度應堅持可持續原則，以促進合規管理制度優化和體系完善。

（二）結合立法監管動態實時跟進外規內化

企業應開展外法、內規全面梳理，即按照全面覆蓋原則，在各業務部門開展法律法規、規章、行業監管準則的整理，將其融入企業自身章程、制度中，確保“內規”無縫承接“外法外規”標準及要求。同時，企業應從與其重點業務領域最緊密內部部門開始，根據部門職能及工作任務差異確定合規義務，以定位合規義務履行主體。此后再一并將剩余其他所有業務領域及所涉部門合規義務以類似方法進行定位，做到“抓重點”與“全覆蓋”結合，以有序推進合規義務識別工作。此外，企業宜將公序良俗、誠實信用等社會公德和商業道德義務等自愿遵守的承諾納入合規義務中，并與上述外規內制的合規要求一并以成文化信息文件形式予以呈現，即列入合規準則名錄中進行編制，為后續合規風險源的識別、合規風險點的具體定義打下堅實基礎。

企業還應“與時俱進”，實時跟進、動態維護合規義務。促使企業內部運營管理相關的各項制度始終符合我國法律法規及行業監管準則內容與要求，并保持持續合規。與此同時，建立好各合規發布來源方信息維護渠道，企業應制定《合規管理義務動態維護流程表》：以上一輪已識別完成的合規義務清單為基礎，以合規義務的修訂內容、對企業生產經營及產品服務的影響、是否保留在合規義務范圍內、合規管理工作是否需要采取相應變更措施這四個關鍵項完成表格內容填寫。

三、構建合規風險識別預警及處置機制

（一）匹配合規義務識別合規風險源和具體風險

合規義務識別構成合規管理體系建立之基礎，只有合規義務被準確識別、得到動態維護，才得以在找出合規風險源后以相應的“規”與“源”匹配。合規風險識別過程，以識別對合規目標實現存在重大影響的合規風險源為起點。權力往往成為招致合規風險的主要源頭，故整理出易產生不合規行為的行權內容清單，能夠為合規風險點具體定義、及時應對做好鋪墊。有學者根據1999—2014 年一百多個企業違規腐敗案例進行檢索統計，整理歸納出八項導致企業內部高頻不合規發生的行為，并將以此八項權力為參照分析企業合規風險源的框架稱為企業八項權力模型，同時根據八項權力進一步識別合規風險源分布情況。但該風險源識別模型僅是大體框架，本著精準指引原則仍應基于企業各部門職責、業務流程進行合規風險源的細化。具體來說，首先列明各部門工作職責及業務流程，并輔以流程圖形式進行清晰呈現；其次，針對重點業務流程進行特別標注、高亮展示，并明確重點業務流程中對應工作要求，編制行權內容清單。該清單即為“八項權力”在企業各部門業務流程中的具體對應。

根據合規風險源內容清單（行權內容清單）匹配合規風險源對應的“規”，就是將合規風險源清單內容與“外法外規”（與企業主要業務領域相關的我國法律法規及規章、行業監管規定、行業準則）等合規義務一對一或一對多進行匹配，確保每一個合規風險源都被納入合規義務“管控”中。如前所述，編制企業合規準則名錄是其準確識別合規義務的結果體現，合規準則名錄表中包含以下幾項內容：一是與企業生產經營管理相關、有強制約束力的法律法規、規章及相關監管規定；二是企業所在行業制定的行業準則、條例；三是企業合規管理工作應遵循的公序良俗、道德規范、商業公德及社會道德；四是自愿遵守的合規承諾，如企業對客戶、商業伙伴等就產品質量與服務等主動做出的承諾。風險源與動態更新的合規準則名錄中各項內容匹配對應，可以使得企業及員工，知曉其所涉及的業務流程中某項權力之正確行使將受到哪些合規義務約束與規范，起到明確指導作用。

合規風險源已根據業務流程、工作要求得以確定，合規義務也已準確識別并保持動態維護，重點業務流程對應權力會被所涉相關人員頻繁行使，合規風險源便有被觸發之可能，作為“源頭”源源不斷地向整個企業合規管理體系“輸送”不合規行為，此時應對不合規行為進行分析評價并及時發布預警。

（二）分析合規風險并及時發布預警

在具體操作層面，首先應開展企業合規風險分析評估標準本地化辨識。即以企業內部部門合規風險源及具體合規風險點為標準，分析不合規行為后果及影響程度。合規風險后果分析可通過假設特定事件與情形已出現，以確定風險影響的性質和類型。某合規風險可能產生一系列不同程度、波及不同利益相關者、影響若干具體合規管理目標實現的影響。具體來說，后果分析應將風險后果和最初合規管理目標相結合，考慮現有風險后果控制措施，并關注可能影響后果的相關因素，同時對于即時后果和延時后果同等重視，且不得忽視次要后果。業務目標及合規目標需結合企業自身業務領域、價值觀、合規管理制度宗旨等加以確定。

風險等級評價方法可在定性、半定量及定量方法中進行選擇：定性分析以“高、中、低”表述來界定合規風險等級，即通過將合規風險后果和發生可能性有機結合之結果與已制定的合規準則作比較的方式，確定最終風險等級。高風險指無論合規風險對應行為帶來何種程度利益，該風險均無法容忍，必須進行風險應對；中風險需要考慮風險應對措施實施成本與收益的關系；低風險則因風險輕微而無需采取應對措施或采取與之匹配的應對措施。定量分析則能夠得出合規風險后果及發生可能性的實際數值，在考慮到現實具體情況的前提下產生合規風險等級數值。企業應立足自身情況選擇合適方法進行合規風險分析評價，并根據風險等級酌情采取預警措施。同時根據風險分析過程中對風險的認知進行下一步行動決策，即根據風險等級確定該風險是否需要采取、如何采取應對措施以及應對措施優先次序。

（三）規劃合規風險事件應對處置流程

針對具體風險制定與選擇合規風險處置應對的措施。選擇最優應對方案時，應有機平衡合規目標潛在利益與實現成本。采取風險應對措施不僅出于經濟原因，還應考慮到組織承擔的合規要求、自愿承諾和所涉利益相關方的觀點。即利益相關方價值觀、“感知與參與能力”及與其溝通協商的最恰當方式均應納入應對方案選擇考慮中，雖然這對于風險應對措施實際效果并無太大影響，但相比較之下更能為利益相關方所接受且能夠兼顧多方利益。

風險應對措施可從以下幾個類型中進行選擇：不啟動或停止實施有合規風險的企業行為以避免風險；消除風險源、改變合規風險發生后將產生的不良后果、通過購買保險等方式分擔風險。需注意的是，即使經過精心制定與選擇，風險應對措施也可能無法達到預期效果，甚至會發生意料之外的結果、引入需要應對處置的新合規風險。宜就合規風險應對方案進行監督以保證不同類型應對方案持續有效。其次做好合規風險應對方案的實施和執行，在此過程中應落實方案執行期限、負責實施計劃的人員選擇、方案預采取的行動、所需資源、應對措施結果的報告等環節。此外，對合規風險應對方案執行完成后的剩余風險做好記錄、進行持續監測、酌情決定是否要采取下一步處理措施，企業合規管理職能部門及所涉利益相關方亦宜對剩余風險特征及等級進行充分了解。風險應對措施執行完畢后建立合規事件案例數據庫，促進合規信息溝通與共享，避免類似風險反復發生。將視野轉向國企的合規風險應對舉措：相較于上述具化考量，實踐情況下國企合規風險應對流程更具有統籌概括性。

（四）健全風險防控協同責任機制

為預防合規風險再發生，企業應建立合規風險長效防控協同責任機制。各業務部門對于本部門發生的風險事件要及時報告并整改，合規風險管理部門要定期對業務部門合規風險防控工作的推進進行監督檢查，督促風險管控缺陷整改。公司管理層統籌規劃、維護合規風險識別分析預警、應對處置機制正常運轉。各層級間各司其職且密切配合，健全合規風險防控責任制，高度重視風險管理意識、能力及責任，完善權責清單，對合規風險防控責任制落實開展定期檢查監督，最終實現全面合規風險管理工作長期有效運行。

四、設置合規審查機制

（一）開展重點領域業務部門自我審查

企業重點業務部門應圍繞本部門重點業務環節首先進行自我審查，審查內容包括：其一，本部門業務領域工作流程的完備性、規范性，審查工作事項權限及履行程序是否符合其應遵守的合規義務，即是否符合法律法規、監管要求、行業準則、公司章程制度、社會公德及商業道德、其自行選擇做出的合規承諾等。同時注意以非沖突性、可執行性原則審查工作流程事項內容與企業已有工作流程是否沖突。其二，對本部門經手的重要文件、重要決策、重要合同等重點業務環節進行重點性自我審查，并在自我審查完成移交合規管理部門審查時一并提交其書面自我審查報告。

（二）規劃合規管理部門前置性合規審查流程

企業應將合規前置性審查置于其經營決策、業務管理的必經環節和重要依據地位，同時審查重點業務領域部門重點環節業務推進工作與其有限職責權限、特定執行程序是否相符，識別的合規義務是否準確、有無及時維護更新，其業務工作流程是否符合其合規義務要求，以及自我審查是否具有規范性。合規管理審查工作團隊完成涉及制度制定、重大決策、合同簽訂的業務工作流程前置性審查工作后，出具合規前置性審查意見書并促進相關部門及時查漏補缺。

五、開展合規管理評估工作

（一）制定合規管理體系有效性定期檢查計劃

合規管理評估工作的有序開展是衡量合規管理運行機制有效性的重要考量因素，企業應以制定有效性定期檢查計劃、強化過程監管、促進合規管理體系持續優化為手段，達成促進合規管理體系良性運行的最終目標。

企業合規管理人員及管理層應制定周期性合規管理體系有效性審查計劃，以確保該體系持續促進合規管理目標宗旨的實現。定期檢查計劃應包括如下內容：先前合規有效性定期檢查計劃執行情況、與合規管理體系相關的外部環境、內部問題變化情況、合規管理體系所涉相關方需求和期望變化情況、合規管理工作執行情況信息（包括不合規行為及其應對措施等）、合規管理體系持續提升之可能性程度。其中，持續改進的可能性大小應從企業內部合規管理指導文件規范的充分性、合規職能的獨立性、合規目標的實現程度、為實現合規目標所配備的資源的充足性、合規風險識別分析評價的準確性、現有合規管理監督檢查手段的有效性等方面予以考慮。計劃的執行應以定期檢查建議的提出作為結果，如是否需要改變內部合規政策、目標、專項制度及合規管理組織架構及其人員構成，是否需要對檢查中發現的不合規行為進行糾正，應對哪些領域潛在不合規情況采取監督手段，現行合規管理制度與長期持續有效合規管理體系間存在的差距等。

（二）促進合規管理體系持續提升優化

企業合規管理體系的有效性依賴于其持續改進與提升，并定期評估體系的科學性、充分性、可行性。合規管理體系持續優化信息來源于客戶調查、過程監督及定期檢查結果，根據獲取的信息進行持續性定期審查，以確保該體系各項制度機制與企業最新合規目標相匹配，同時依審查評估結果決定是否有必要、有機會改變現行合規管理制度。此外，在對合規管理制度進行改進時，應將該修改置于企業外部環境、經濟因素中予以考慮，并斟酌其對企業合規管理體系、業務、合規義務、合規風險評估的影響，以確定持續改進的時間與行動范圍。

六、結語

新形勢下企業合規管理體系的科學搭建及良性有效運行關系到企業市場化經營機制的靈活運轉、國內國際競爭力的持續提高。因此企業既要進一步推動自身高質量發展，又要“擰緊合規風險防控鏈條”，建立風險長效化防控協同責任機制，健全合規管理體系并持續保持其有效性運行，以促進自身在行穩致遠的基礎上獲得新發展、新跨越。

[注釋]

①ISO37301:2021《合規管理體系要求及使用指南》A.4.5 提供了八種溝通渠道:通過相關監管機構郵寄名單、專業團體成員得知,通過訂閱相關信息服務、參加行業論壇和研討會、關注監管機構的網站、與監管機構會面交流、聽從法律顧問的安排、關注合規義務的來源（如司法裁判）。

②“八項權力”即審批權、市場客服與銷售權、人事權、采購權、放行權（利用某個尺度標準進行判斷、對比、衡量的權力）、計量權、財務資金權、擁有關鍵信息權。

③參見ISO 31000:2018《風險管理指南》6.5.2。

④參見ISO37301:2021《合規管理體系要求及使用指南》9.3.2。