“逢凶化吉”论合规

一、案例分享

案例1：张家港市L公司、张某甲等人污染环境案

【案例来源】最高检发布合规不起诉典型案例

【办案单位】张家港市检察院

【案情概要】

张家港市L公司系省级高科技民营企业，张某甲、张某乙、陆某某分别系该公司的总经理、副总经理、行政主管。

2018年下半年，L公司在未取得环评的情况下建设酸洗池，并于2019年2月私设暗管，将含有镍、铬等重金属的酸洗废水排放至生活污水管，造成严重环境污染。张家港生态环境局现场检测，L公司排放井内积存水样中总镍浓度为29.4mg/L、总铬浓度为29.2mg/L，分别超过《污水综合排放标准》的29.4倍和19.5倍。2020年6月，张某甲、张某乙、陆某某主动向张家港市公安局投案，如实供述犯罪事实，自愿认罪认罚。

2020年8月，张家港市公安局以L公司及张某甲等人涉嫌污染环境罪向张家港市检察院移送审查起诉。检察机关经审查认为，L公司及张某甲等人虽涉嫌污染环境罪，但排放污水量较小，尚未造成实质性危害后果，可以指导该公司开展合规建设，考察监督并参考考察情况依法决定是否适用不起诉。2020年10月，检察机关向L公司送达《企业刑事合规告知书》，对L公司作出合规考察决定。随后，L公司聘请律师对合规建设进行初评，全面排查企业合规风险，制定详细合规计划。检察机关委托税务、生态环境、应急管理等部门对合规计划进行专业评估。L公司每月向检察机关书面汇报合规计划实施情况。2020年12月，检察机关组建以生态环境部门专业人员为组长的评估小组，对L公司整改情况及合规建设情况进行评估，经评估合格，通过合规考察。同月，检察机关邀请人民监督员、相关行政主管部门、工商联等各界代表召开公开听证会，参会人员一致建议对L公司作不起诉处理。检察机关经审查认为符合刑事诉讼法相关规定，当场公开宣告对L公司不起诉决定，并依法向生态环境部门提出对该公司给予行政处罚的检察意见。2021年3月，苏州市生态环境局根据《水污染防治法》有关规定，对L公司作出行政处罚决定。

案例2 雀巢员工违法收集个人信息案

【案例来源】企业合规讲义

【办案单位】兰州中院

【案情概要】

2016年10月31日，兰州中院一审法院判决雀巢公司员工郑某、杨某、孙某等六人以非法方式获取公民个人信息，情节严重。医院王某某、丁某某等三人违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息出售或者非法提供给他人，情节严重，上述九人的行为均已构成侵犯公民个人信息罪。

一审法院宣判后，各被告提起上诉。其中，郑某的上诉理由是自己的行为系公司行为；杨某某的辩护人提出本案属于单位犯罪的辩护意见；李某某上诉的主要理由是自己的行为都是公司下达的任务；杜某某上诉的主要理由是自己的行为是按照公司要求所做的，所获取的信息都是提供给公司的。

2017年，兰州中院对雀巢公司员工侵犯公民个人信息一案的终审裁定，在区分单位责任与员工个人责任方面作出了新的探索。雀巢公司通过出具员工手册等合规文件，证明公司从不允许员工以非法方式收集消费者个人信息，最终法院认定雀巢员工非法收集个人信息的行为属于个人行为，公司无罪。

案例1属于通过后期建立合规计划（合规体系），避免起诉。案例2为已经建立合规体系，有明确的责任切割，降低法律风险，企业不承担法律责任。从以上两个案例中可以看出，合规管理能够帮助企业“逢凶化吉”度过难关，体现了合规创造价值，体现了合规激励。

二、正视合规

合规，英文为compliance，指合乎规定，遵守法律规则的意思，表现为遵守国际公约、国家法律、法规、规章制度、行业规范、职业伦理以及公司章程等。从字面意思理解，企业合规就是企业遵守法律法规，依法经营和管理。当然，如果只是将企业合规理解为依法经营，那么没有必要刻意提及企业合规这一概念。

企业合规最初是为配合国际反商业贿赂的开展和合作产生的，如1977年美国《反海外腐败法》。21世纪开始，企业合规从刑事领域扩大到行政监管领域，如2005年巴塞尔银行监督管理委员会发布的《合规与银行内部合规部门》，2014年国际标准化组织发布的《合规管理体系指南》，今年国际标准化组织又发布了修订版《合规管理体系要求及使用指南》。这些法律文件旨在指导企业建立起自上而下完整、有效的合规组织体系，从而对风险进行有效的应对和管控。

因此，企业合规体现的是一种义务，是企业按照国家监督部门和执法部门的要求，建立防控刑事犯罪风险和行政处罚风险的治理结构和治理体系。考虑企业是否建立有效合规计划或管理体系，是作为给予宽大行政处理或刑事处理的依据。

三、合规管理发展

从2006年开始，银监会、保监会、证监会陆续颁布《商业银行合规风险管理指引》《保险公司合规管理办法》《证券公司和证券投资基金管理公司合规管理办法》，到2017年国家标准委员会颁布的《合规管理体系指南》；2018年国资委颁布的《中央企业合规管理指引（试行）》，再到2018年国家发改委、外交部、商务部、人民银行、国资委、外汇局、全国工商联联合颁布的《企业境外经营合规管理指引》。可以看出，我国适用合规制度的企业有从金融机构扩展到央企，再扩展到全体企业的趋势。规范性文件的颁布主体从个别部门扩展到几大部门联合。内容上从建立合规组织架构到全面建立合规体系的扩展。故2018年也被称为中国的“合规元年”。

为进一步开展行政和解工作征求意见，最高人民检察院于2020年3月在6个基层检察院率先部署了企业刑事合规不起诉改革的试点工作，取得了良好效果后，于2021年发布《关于开展企业合规改革试点工作的方案》，启动了第二期企业刑事合规不起诉改革试点，涉及北京、辽宁、上海、江苏、浙江、福建、山东、湖北、湖南、广东等十个省（直辖市）。同年6月，最高人民检察院会同司法部、财政部、生态环境部、国资委、国家税务总局、国家市场监管总局等行政监管部门，发布《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》，首次将行政监管部门引入到企业合规不起诉的改革试点工作之中。这一系列行为标志着我国已经进入“合规时代”，以实现十四五规划中提出的“法治中国”建设目标要求。

四、企业合规内容

《中央企业合规管理指引（试行）》第十二条规定：中央企业应当根据外部环境变化，结合自身实际，在全面推进合规管理的基础上，突出重点领域（市场交易、安全环保、产品质量、劳动用工、财务税收、知识产权、商业伙伴、其他需要重点关注的领域）、重点环节（制度制定环节、经营决策环节、生产运营环节、其他需要重点关注的环节）和重点人员（管理人员、重要风险岗位人员、海外人员、其他需要重点关注的人员），切实防范合规风险。

五、企业合规建设

截止2019年12月，我国共有44家企业受到世界银行的制裁，涉及关联企业941家，大多数为国有企业，主要集中在招投标领域的欺诈行为，还有少数腐败现象。中兴公司、湖南建工等单位受处罚后，建立合规管理体系，并成为中国合规标杆企业。

按照我国刑法的规定，企业触犯刑法，对企业只有一种惩戒机制就是判处罚金。但在行政法领域，企业违法可能被警告、罚款，没收违法所得，没收非法财务，责令关闭，责令停产停业，甚至被吊销营业执照。在法律层面，行政处罚比刑事犯罪适用的法律维度更广，处罚标准更低。因此，对于企业而言，面临的行政处罚风险更大。

中国证监会正在开展企业行政和解制度的试点，最高人民检察院正在开展企业经营活动中的经济犯罪、职务犯罪“不捕”“不起诉”“不判实刑”的试点。今后除了这两个部门，市场监督部门、税务部门、环境保护部门、银行保险监督部、商务部门等政府监管部门也会逐步建立行政和解协议制度，上述案例1就是改革试点的结果。

六、如何建立合规管理体系

（一）合规组织架构设计

首先是保证“有人能够持续的、负责任的来做这件事”。设计合规管理的组织架构以及明确各个组织层级的合规职责，是搭建合规管理体系的第一步。

（二）梳理业务流程

合规管理的对象是企业及其员工的经营管理行为。经营是通过业务活动而进行，业务包括直接帮助企业创造利润的“经营行为”，如投资、采购、销售、运营等行为，也包括致力于提高前述创造利润行为的效率以及防范其风险的“管控行为”，如人力资源管理、财务管理、风险管理等。管理完善的企业逐步转向以流程为基础的管理，因而梳理企业业务，其实就是分析企业的业务流程。成熟企业已经建立和自己的业务流程框架。

（三）收集企业合规义务

梳理企业的业务流程，最终目的是为了发现企业潜在的合规风险。必须熟悉企业业务流程进行过程中所应遵守的法律、法规及其变化，同时还必须收集企业的合规义务，并随时关注其变化。企业合规义务是企业业务行为的边界，包括法律、法规、监管规定、道德规范、国际规则及他国域外法等。

（四）合规风险评估

基于业务流程进行风险评估，一般包括风险识别、风险分析与风险评价三个环节。合规风险评估的最终成果，应当是形成合规风险信息库、案例库。风险评估是合规管理的关键。也可以通过信息化手段将责任、流程、法规、风险、控制措施、制度和经验等有机关联。

（五）发布合规管理文件

基于风险分析，策划、编制、修订和发布合规管理文件，包括《合规行为准则》《合规管理系列制度》《业务合规系列指引》等。制度修订应以现有管理文件为基础，尽量减少文件数量，实现文件融合。

（六）合规管理机制设计

合规管理机制设计的目的是在于文件要求落地，将合规风险的发现、预防和控制等责任落实到相关责任人员，建立起事前、事中、事后多层级的合规风险防范机制。合规管理机制包括：合规强制咨询机制、合规联席会议机制、合规检查机制、合规尽职调查机制、合规风险监测与预警机制、合规报告机制、合规问责机制、合规有效性评估机制，以及合规审计机制等。

（七）进行合规培训

合规培训的目标在于强化员工的合规意识，提高员工的合规能力。员工了解了企业的合规理念、合规价值观、合规目标，才能按照企业的对外承诺，遵守企业制定的合规行为准则、制度流程文件，逐步实现从“要我合规”转向“我要合规”。

七、管理体系融合

（一）小范围融合

央企可以按照国资委发布的《中央企业合规管理指引（试行）》要求建立单独的合规管理体系。

2021年10月17日国资委发布《关于进一步深化法治央企建设的意见》，其中（七）规定：着力健全合规管理体系提出探索构建法律、合规、内控、风险管理协同运作机制，加强统筹协调，提高管理效能。某大型央企提出锚定打造法律、合规、风控、内控一体法治工作格局，高质量全方位推进合规管理体系建设。总体思路：以全面风险管理为导向，落实重大风险的防控要求；以内部控制为手段，支撑流程控制的有效运行；以合规管理为底线，保障经营行为依法合规。

合规管理体系的运行机制以融入体系、融入业务、融入流程、融入岗位为主线，推进合规管理体系与现有体系、制度的统筹和衔接，实现合规管理工作的常态化、规范化。建立和运行好合规风险识别、预警和应对机制，建立健全合规审查机制，建立健全合规检查、评估和考核机制，建立健全违规举报、调查和问责机制，建立健全合规管理报告机制。

合规管理体系的重点是“合规”，且应融入到整个管理体系中，否则容易产生合规与业务“两张皮”现象。如何融入业务管理体系，成为合规管理发挥价值的出发点，也是合规管理体系建设的难点。这不仅要熟悉合规相关理论和操作，还要认识企业业务相关运转和特点。但目前一些服务机构往往对法规了解，但对企业业务不了解，这就给合规体系有效性建设带来了一定的难度。

（二）一体化融合

有条件的企业应实现管理体系一体化，因为企业的体系只有一个，各子体系应融于大体系之中，而不仅仅限于四合一或五合一。但是多体系整合需要企业综合管理能力的提升，需要有一个管理多体系的部门承担，否则无法实施。企业可基于流程进行整合，实现一套文件管理企业的所有活动和风险，让“毛”附在“皮”上，避免“多层皮”现象产生。打破部门壁垒，提高管理效率和效果，这是企业管理的最高境界。

我国根据ISO37301：2021标准修订了《合规管理体系要求及使用指南》（征求意见稿），附件中根据目前我国贯标的实际情况，提出了企业所有体系一体化的思路，以便有效提升管理效率，将体系融于业务之中，其核心方法为制度对标，宜识别所需融合的各个管理体系及其规则、标准、要求，以整合后的要求为基准，对企业内部职能、制度进行对标梳理，查漏补缺，形成统一的体系文件并确保其嵌入管理职责、制度及内部业务流程。进行体系融合，一般遵循以下程序。

a）内部诊断及体系策划

企业宜根据自身地域、行业以及主营业务运行特点，识别现行管理模式的优缺点，盘点所需融合的管理内容及体系要求，确定纳入融合范围的管理模块及各项管理体系，制定相应的体系融合方案和计划。

b）构建一体化管理体系要求

企业确定体系融合范围及内容后，宜针对融合内容，收集、整理、汇总各项标准、规则，形成统一的管理体系要求，以便在后续进行制度对标梳理时有据可依。

在标准、规则深度融合过程中，还应注重体现本地化表述，结合企业自身管理实践，对整合后的要求提出实施指南及本地化应用指引，从而有效指导后续对标工作。

c）进行流程、职能双向对标

企业宜对现行流程、职能进行双向对标。正向对标指基于一体化管理体系要求，根据各项管理流程节点及涉及到的职能部门进行对标，以确保流程、职能已覆盖所有体系要求；逆向对标指基于组织架构，对各个职能部门及现行流程涉及到的一体化管理体系要求进行对标拆解，以确保体系的每项要求均能对应到企业内相应的部门及岗位。通过流程、职能双向对标，确保构建的一体化管理体系要求能够准确落实。

d）制度文件查漏补缺

制度文件的编制与更新是落实管理要求及确保管理留痕的重要手段之一，企业宜在流程、职能双向对标的基础上，结合一体化管理体系要求，对现行各项管理制度文件进行对标梳理，重点关注融合后制度文件内容是否满足一体化管理体系要求。

e）形成一体化管理体系

一体化管理体系文件一般包括三个层级，第一层级为纲领性文件（如管理手册），第二层级为规章制度（如各层级管理制度、办法），第三层级为操作规范（如作业指导书）。

f）运行一体化管理体系

在运行一体化管理体系过程中，应关注体系运行的有效性，关注各流程、职能的衔接顺畅性。通过建立日常监督、控制手段，实时反馈体系运行情况，以确保体系运行结果满足预期目标。

八、百花齐放话合规

法治中国是我们发展的方向，合规管理建设在我国目前尚处于起步阶段，从合规义务到风险辨识、评价和控制措施、机制建立、具体操作等均没有明确的标准，都处于探索之中，由此也出现了争奇斗艳的状态。

大型央企在全面合规的基础上，逐步建立和完善专项合规。有专家提出企业不需要做全面合规，企业主要是建立完整的专项合规计划。因为完整的合规制度涵盖公司治理、经营、员工健康和公共安全、反商业贿赂和腐败、消费者权益保护、反垄断、反不当竞争、环境保护等众多领域，北京大学法学院博士生导师陈瑞华教授提出企业打造大而全的合规管理体系无疑不切合实际，也不具有可行性。故企业应当结合企业性质、业务、规模等因素“量身打造”一套有针对性的合规计划。如德国西门子针对反海外贿赂问题建立反海外贿赂合规计划；中国湖南建工集团针对企业参与国际银行招投标中的欺诈、腐败等问题打造的诚信合规计划；中国中兴通讯股份有限公司针对企业从事进出口业务过程违反有关国家出口管制法律的问题建立出口管制合规计划等。

合规作为主体自觉履行义务的管理方式，已经成为各类主体可持续发展的基石，越来越受到各界关注和重视。作为国际大都市的深圳，经济外向度高，企业除了要站稳国内市场，也需要走出去，积极开拓国际市场。近年来，随着国际经贸摩擦升温加剧和国际贸易监管环境日趋严格，深圳企业在“走出去”过程中，因对合规风险预判和应对不足而遭受经济损失的事件时有发生。合规问题，已成为中国企业境外投资经营的“头等风险”。深圳本次开启“合规时代”，政府建立了围绕政府合规、企业合规、社会组织合规、公民合规以及重点领域区域的先行示范区，为全国开创了先河，走在了中国改革的最前沿。

参考文献： 陈瑞华著《企业合规基本理论》，2021年4月第2版。

                  华东师范大学企业合规研究中心编《企业合规讲义》，2018年7月第1版