从“要我合规”到“我要合规”

日前，国务院国资委印发《中央企业合规管理办法》（以下简称办法），自2022年10月1日起施行。《办法》要求中央企业将合规审查作为必经程序嵌入经营管理流程，通过建立合规风险识别预警机制、合规风险应对机制、合法全规性审查机制、违规问题整改和问责机制，将合规管理作为规范经营管理行为的必经前置程序，切实防控风险，堵塞管理漏洞，有力保障企业深化改革与高质量发展。《办法》的出台，对法治央企建设迈入实质性合规、全面性合规提供了方向指引和实践指南。作为助力能源企业的安全稳定发展的管理咨询团队，“中是人”应全面准确理解《办法》，以合规为宗旨，以QHSE管理体系为抓手，致力于协助能源企业规避合规风险，实现从“要我合规”到“我要合规”。

 “合规”是指企业经营管理行为和员工履职行为符合国家法律法规、监管规定、行业准则和国际条约、规则，以及公司章程、相关规章制度等要求。合规可以细分为三个层次：一是规制，即遵守相关法律法规和行业准则。二是规则，即遵守企业价值观、行为准则和职业道德规范。三是规范，即遵守公司内部规章制度、规范流程等。因此，合规，不只要求合法。“法”是国家制定或认可的行为规范，但行业准则、公司章程、相关规章制度等只是公司治理层面的内外规范，而不属于“法”的范畴。可见，“规”的外延远大于“法”，合规包括但不限于合法。同时，合规也不仅是制度合规，还要执行合规，更要致力于企业组织、规范和文化的全面革新，成为企业开展业务的方式，形成从风险识别、风险分析、风险评价、风险应对到监督监察的全过程闭环。

“合规风险”是企业风险的一种，是指企业及其员工因为不合规行为引发法律责任、受到相关处罚、造成经济损失、声誉损失以及其他负面影响的可能性。合规风险识别是合规管理的首要步骤、前提和基础。在企业经营过程中，经常会面临各种各样的合规风险，企业需要依据法律法规、行业及地方的标准规范、监管单位要求等，对企业经营管理的各个领域开展全面的、彻底的合规风险排查和分析，特别是需要关注行业监管部门的监管重点及发布的违规案例，同类企业、本企业过去识别和发生的合规问题及违规案例，员工举报的违规情况等。在此基础上，确定并组织对重大合规风险进行专项研究和分析，厘清合规管理缺陷，为合规管理奠定基础。

“合规管理”以有效防控合规风险为目的，是指企业在严格执行公司所在地法律法规、公司内部规章制度的基础上，根据经营发展的需要，以企业和员工经营管理行为为对象，开展包括制度制定、风险识别、合规审查、风险应对、责任追究、考核评价、合规培训在内的有组织、有计划的管理活动。强化合规管理，就是要守住规制、规则、规范的底线。从制度建设和运行机制来看，合规管理是静态管理与动态管理的融合。静态管理侧重“纸面合规”，即合规管理的基本制度以及重点领域、高风险业务专项指南等文本的制定、修改与完善。动态管理则体现在合规管理的执行力上，通过经营管理过程中的合规审查前置、合规风险应对措施、违规问题整改、违规举报调查和处理、违规行为追责问责、建立健全合规管理协同运作机制、开展合规管理体系有效性评价等多项义务，将合规管理作为保障稳健发展的基础性、战略性举措，覆盖到生产经营各领域，贯彻到业务活动各环节，落实到全员各岗位，并结合实际将绩效考核同合规管理工作挂钩，营造企业合规氛围，树立全员合规意识，增强“管业务管合规”理念，打造合规管理全员工程，树立“合规无小事，违规皆大事”“以合规为荣，以违规为耻”的理念，培育企业合规文化。

 “合规文化”建设是合规风险管理的一部分, 同时也是企业文化建设的一部分。企业的每一名员工都代表着企业的形象，每一名员工的行为也影响着企业的合规程度。我们通常说，合规管理是行为指引与合规文化的协同。合规行为指引有益于养成合规文化，合规文化有助于落实合规行为指引。因此，企业应以职业操守为基础, 建立一整套有效管理各类风险的职业行为规范和问责机制，形成蓬勃向上、富有活力的合规文化, 从而引导员工坚守职业谨慎感，具有诚信正直的个人品行以及良好的风险意识和行为规范。在合规管理措施有效开展的基础上，企业合规文化的形成即为水到渠成的结果。

随着全面依法治国和企业改革的进一步深化，合规管理和增强合规管理执行力已成为事关企业兴衰的关键点。合规管理是企业切实有效防范经营风险的关键制度性措施，是新形势下持续健全公司治理，确保企业良性循环、稳健发展的迫切需要，是一件“必须要做、并且一定要做好”的事。其实，合规管理这个词对任何一个推行QHSE管理体系的企业都不陌生。纵观QHSE管理体系的各项标准，合规是体系的基本要求，也是一条贯穿于体系的主线。在管理体系的战略策划、管理方针、风险辨识、运行控制以及绩效监测等诸多条款都强调了合规的重要性。但是，结合体系审核工作发现，企业普遍存在着对合规管理的概念理解较为片面，没有意识到合规要求的约束条件，合规管理工作形式大于实质，往往“跟风”式生搬硬套一些诸如合规风险评价、合规审查程序、合规评估报告等资料，没有考虑到QHSE管理体系已融入了合规管理的相关内容，导致制度“多张皮”现象，文件“假大空”，职责界限不清，目标不明确，合规的自我约束力不强，缺乏科学的激励机制、问责机制和运行管理机制，以致于在发现问题追责的时候力度太小，无法杜绝违章违规现象。下面，我从QHSE管理体系的角度，就如何实施合规管理谈几点看法：

第一，从战略策划方面，管理体系标准首先强调了构建体系的目的有助于企业满足法律法规要求和其他要求（合规要求），同时要求在确定体系覆盖范围时，应考虑法律法规要求和其他要求。作为企业战略策划的核心，策划企业制度的合规主要体现在四个方面：一是构建企业行为准则，这是企业经营管理和文化建设的纲领性文件，包括企业愿景、使命、核心价值观、合规方针、社会责任等方面；二是完善企业合规管理制度，这是企业合规部门进行合规管理的程序性规章制度，包括合规组织制度、合规风险管理流程、合规审查流程、违规举报、调查与处置流程、合规报告程序等方面；三是梳理职能管理规章，企业不同的职能部门涉及到不同的合规规范的执行与遵守。合规风险重点部门，例如财务、行政、人力资源、法务、内控等部门均有相对应的合规规范；四是重铸业务合规流程，企业各业务领域涉及不同的合规规范，例如业务合规流程、网络安全合规流程等等，因其专业性，往往需要企业职能部门与业务部门合作制定和修改相关的业务合规流程。

第二，从领导作用方面，管理体系标准要求企业领导人应明确方向，确保管理方针包括满足法律法规要求和其他要求的承诺。在企业管理实践中，作为企业领导人，要明确企业宗旨和管理方针，为企业发展指明方向；要营造“体系优先、合规为本”的遵法合规工作氛围，切实履行“诚实、干净、合规、守信”的行为规范，并通过“内化于心、外化于形、固化于制”的合规教育，引领员工养成自觉遵规守纪的习惯。公司各级管理人员要率先树立合规意识，坚持合规就是底线，合规就是保证，合规就是发展；决策要合规，经营管理要合规，安全生产要合规，环保工作要合规，企业和员工的行为要合规。

第三，从风险辨识方面，管理体系标准要求识别风险应基于法律法规要求和其他要求，并主动及时收集、应用和沟通法律法规要求和其他要求，确保企业的制度措施合法合规。在企业管理中，与企业经营发展关联的法律政策、规章制度众多，如果企业决策者对政策法规的理解不够全面、准确，可能导致经营活动因未遵守相关法规而受到损失。因此，应组织相关部门系统、全面地识别风险，对照法律法规和其他要求，评价确定重大风险点，确定风险管控措施。

第四，从运行控制方面，管理体系要求企业管理要确保融入法律法规和其他要求，要考虑法律法规要求和其他要求的变更。管理是一种实践，其本质不在于知，而在于行；其验证不在于逻辑，而在于成果。通常，衡量一个管理制度是否有效，在于这项制度能否将管理者个人的影响降到最低限度，在于这项制度是否使员工认知并能有效践行，在于这项制度根据合规要求的变化动态评审、完善。制度的执行力是合规管理的保证。企业管理中，应结合管理工作实际，分析存在的突出问题及应对举措，确保运行全过程守法、遵规开展生产经营活动。

第五，从绩效评价方面，管理体系标准要求企业建立绩效评价机制，组织合规性评价，并通过内部审核、管理评审活动，动态监测、评价管理绩效满足法律法规要求和其他要求的程度。在管理实践中，我们推行合规管理，不是一个字一个字抠法律法规标准的条文条款，不是简单粗暴的指令和禁令，而是需要完善企业管理制度体系，以规章制度为中心，借助制度约束、纪律监督、奖惩规则等手段约束员工的行为，把关键人管好、关键处管到、关键事管住，实现全方位管理、全覆盖监督，提升管理绩效。

合规不只是一个口号，如何将合规管理工作做好、做实、做细，做出成效？古话云“中医治未病”，意思就是“养生为首，未病先防，既病防变”，换句话说就是要做到未雨绸缪、防患于未然、防微杜渐。合规管理亦如是，需要提前布局合规风险预防。在新形势下，作为咨询公司，应在咨询过程中，以专业赋能聚焦“预防风险”，真正发挥QHSE管理体系的有效性，引导合规管理朝全面、系统、务实、严格的方向发展，为企业发展保驾护航。