一名做了 10 年企业合规的律师，她是胡江榕，是浙江泽大律师事务所的高级合伙人，泽大（东阳）律师事务所的负责人。
从2012年开始学习企业法律风险管理到现在公司合规业务学习，她走了十年的路程，从最高检对民营企业的监管制度到国资委对央企国企合规体系的要求，她慢慢总结了一套有效的合规体系搭建与落地方法论。
当其他人在学习如何搭建合规体系时，胡江榕已经开始研究如何真正有效地让合规体系落地，找到更加适合企业合规完整的闭环模式。
上周，又一家东阳当地国企的子公司找到她，希望可以由她带领团队亲自搭建并落地合规体系，完成这个项目后，其他子公司的合规体系也一并搭建。
采访那天，午后的阳光正好温柔的落在她那坚定的笑脸，她说，合规注定是企业现在和未来必做的事情之一。
以下是胡江榕的自述。
采访｜鼎元
编辑｜微微
客户就是法律上的「知己」
如果说开展合规业务以来最深刻的感受，那肯定是合规对企业而言是如何落地？在企业管理中，从管理层到员工，如果大家目标一致，都有合规意识的话，那么这家企业想要长久发展，甚至百年企业都是不成问题的。
但如果有一些企业，从老板到员工都没有认识到合规经营的重要性，都认为合规可有可无，合规制度想要落地就会有些困难。
我很庆幸自己接触到的客户大多都是第一种，企业从上到下都是具有内在前进驱动力的，这是企业经营自我驱动的最重要基因之一，对律师也有非常明确的定位。
最让我尊敬的客户，就是那些能够正确认识律师作用的客户，他们能够清晰地认识到哪些事情是律师可以帮到企业的。
对律师给出的法律建议，比如说企业应该如何把合规的一些原则融入到管理之中，这类客户是会认真对待律师法律建议。因为他们本身就具有合规风险意识，因此我们沟通起来也非常顺畅，这种感觉怎么形容呢？
对，就像遇到了法律上的「知己」。
遇到这类客户，彼此之间沟通会非常愉快，工作起来也配合得愉快，所以在整个过程中，我们给企业创造出来的价值也是巨大的，往往能够达到事半功倍的效果。
我们在开启合规服务之前，一定会先进入企业进行全方位的情况盘点，这样才可以知彼解己，也能够让自己快速融入企业中，了解企业的全貌。
遇到有些企业情况很复杂，我们就会耐心多花些时间，并且一定要对企业的所有信息进行保密，严格做好信息存储，只有这样才是对客户负责，对自己负责。
充分做好准备工作，才可以在接下来的流程中衔接稳妥，所谓「万事开头难」就是这个道理。
从 0 到 1 的过程，是最迷茫的
2012年，我第一次接触「合规」，那时谁都不知道原来这就是「合规」的一部分，我们当时管这项业务叫法律风险管理。
法律风险管理，顾名思义，就是帮助企业在生产经营管理基于法律可能产生的风险，最大限度的规避或者降低法律风险，这其中最为显著的就是合同风险。
而现在提到的合规，不同于企业的法律顾问，作为企业的法律顾问，点卯应卯，企业把合同都让律师过一眼审核，已经是有非常强的法律意识，有时候这合同审查就是法律顾问律师的主要工作内容。
其实法律顾问的主要职能就是帮助企业识别合同中的法律风险，让企业在法律风险可控的基础上开展业务。
而如果是为企业提供合规服务，就是主动去发现企业在生产经营中的风险，既包括企业对外，也包括对内的生产经营风险，及早制定及防范风险的发生，而要做到这些需要律师真正融入到企业管理的全过程之中，这就是通俗的法律顾问业务与合规业务最大区别。
2020年，在做了 8 年的企业法律风险管理之后，我才知道原来之前做的事情有一个专业名词，叫做「合规」。而这一切都源于 iLAW 合规创研院，通过系统、专业的学习，才会将原本不成体系、破碎的合规经验整合升级，我对合规也有了更加直观的认识。
丹比萨·莫约说，种一棵树最好的时间是十年前，其次是现在。
所以2020年也可以当成是我们合规业务从 0 到 1 的起跑线。
从 0 到 1 遇到的第一个迷茫点，就是搭建企业合规体系都需要什么呢？这也是企业和我们交流最多的问题。
我总结了以下三点：
1. 搭建企业合规体系，需要对现有文件和政策进行学习和研究
以我们最近为当地国企的子公司搭建合规体系为例，最开始做央企国企合规时，必须经过大量的案例学习和政策研究，我们之前分析了国内和国外的文件：
在国内，合规概念最开始被提出应该是2017年的中兴事件；
2018年，国务院国有资产监督管理委员会正式发布《中央企业合规管理指引（试行）》，明确要求「中央企业必须建立健全合规管理体系」，推动企业全面提升依法合规经营水平，实现持续健康发展；
到2019年，习近平总书记主持召开的中央全面依法治国委员会第⼆次会议强调「法治是最好的营商环境」，为优化营商环境，支持市场主体平等竞争、蓬勃发展，推动中国经济实现高质量发展指明了方向；
再到2020年，全国十多个省市的国资委陆续颁布本地企业合规指引，全国各地政府响应国家号召，对企业合规的推动力度逐渐加大；
2021年2月，国务院国资委发布《国资监管责任约谈工作规则》，明确合规出问题的企业要被约谈；
3月，「十四五规划」中两处明确要求企业加强合规管理、守法合规经营，防范化解境外政治、经济、安全等各类风险；
5月，国资委宣布中央企业已全部成立合规委员会……这⼀系列密集、持续的举措和文件，不仅体现了国家在战略层面对企业合规管理的重视和决心，也为我做合规提供了方向和指导。
在国外，2021年4月13日，ISO 37301:2021《合规管理体系要求及使用指南》国际标准正式发布实施。该标准规定了全球所有类型和行业的组织（企业）建立、运行、维护和改进合规管理体系的要求。作为有指标可量化、可认证的A类标准，它将对每一个想要发展的中国企业都产生重要影响。
▲ iLAW合规 线上学习合规
通过对政策和文件的研究，配合 iLAW 合规创研院定期的合规分享和文件政策的解读，我慢慢打好合规的「地基」了。
政策文件是基础，在基础上根据不同行业的特点进行延展，所以接下来要继续加砖添瓦，制定学习计划不断刷新，形成自己对于某一行业的方法论，比如：
安全生产合规，合规管理体系是从管理角度对企业整体风险进行风险识别、评估、分级、防控、应对以及确保持续合规的有机体系，《安全生产法》规定的就是企业安全生产领域的风险管控、事故处理和违规追责。
央企国企合规，因为其特殊的地位，也面临着更多的挑战。整体而言，需要坚持：建立独立专业合规审查部门、强化内外部激励机制、搭建合规管理信息化平台、培养合规文化氛围与意识等大的方针。必须长期关注，全员参与，持续改进。这样，央企国企才能更好地在风险扩大的竞争时代健康快速发展。
通过持续地学习和积累，对每一种行业的企业合规进行归纳和总结，形成方法论和项目模版，就可以快速搭建企业合规体系的防火墙，真正有效地帮助企业遮风挡雨。
2. 搭建企业合规体系，需要梳理合规风险源和风险清单
因为不同行业有其各自的差异和特点，这就要求我必须深入到企业之中，通过实地考察、访谈等方式，研究企业平时会遇到的合规风险，针对企业管理过程中的各方面风险，提出应对措施，协助企业规避合规风险。
深入企业后，我必须要了解和梳理企业内部各岗位的职责，在此基础上才能「对症下药」，判断员工的哪些行为是合规的，哪些行为是不合规的，不合规的行为要如何进行矫正，判断出来的结果也是基于岗位产生的固有合规风险源，根据风险源我们梳理和总结出合规风险清单。
其实，本质上我就是企业的「医生」。
判断行为是否合规，其实是找到企业的「病因」；根据不合规行为提出的整改方案，好比医生对病人的治疗方案；治疗过程中需要做的一系列检查，就是梳理合规风险源和风险清单。
下面这个表格是我通过 EyeTrust 合规眼系统为这次的企业进行体检，自动生成的合规风险清单。
▲ EyeTrust合规眼生成的风险清单
在合规风险清单中，可以看到科技帮企业从 9 个维度进行风险梳理，分别是：岗位职责、工作事项、工作目标、合规风险源、固有合规风险系数、固有合规风险等级、潜在经济损失预估、合规风险潜在外部驱动方、可能发生的合规风险类型。
每一个维度缺一不可，相辅相成，根据这些信息我可以很快分析和判断出企业目前存在哪些风险，都是什么等级，解决风险的优先级，为我即将搭建的合规体系提供了基础信息。
传统做合规体检，往往需要至少半个月的时间，才能确定合规风险都有哪些，现在我们直接引导企业员工在手机上一键扫码，指导员工进行合规测试，员工回答问题后就可以 1 秒得到 6 份体检报告，更加科学、全面、详细、客观。
我根据体检后梳理出的合规风险清单，确定企业合规体系方案，制作专属于企业各个岗位的员工行为手册，这些对企业的合规经营必定大有裨益。
如果企业在管理过程中能够自上而下把各方面的合规要求都做到，那最大的受益者应该是企业本身。
而我通过合规建设，能够助力企业搭建完备的合规体系，让央企国企快速落实国资委的合规要求，让企业家免除强监管时代的后顾之忧。
3. 搭建企业合规体系，需要科技赋能
还是以医院为例。
帮助企业排查合规风险，其实就是一个「诊断」的过程，首先要有一个「病例库」，知道到底有哪些「病例」，具体是什么「病因」，然后把企业的所有经营动作与病例库做比对，排查出风险，形成具体的合规报告。
如果风险系数超过参数，就能够及时制定防控的措施。医生看病需要科技机器帮忙，合规落地也需要科技，利用科技赋能，效率更高，如同插上腾飞的翅膀！
只有科技赋能合规，才能够让合规真正有效地落地。
关于提效。
我曾经计算一笔账，如果没有科技，按照之前的工作方法，一家 100人 的国企子公司，按照一天访谈或者问卷调查 6 个人，前期合规尽调在不休息的情况下预计需要 15 天，制定合规行为手册、企业合规制度至少需要 10 天，合规动员大会 1 天，企业各部门学习和合规制度落地与执行大概需要 2 天。
如果利用科技帮助企业落地合规，相同人数的国企子公司前期尽调只需要 2 天即可完成，合规动员大会也不再需要协调时间，让员工任意时间、任意地点自行观看和学习，合规行为手册和合规制度的时间相同。
综合算下来，如果不用科技，仅仅是前期的合规体系搭建就长达整整 28 天，尚需律师与企业时间上的相互配合，但用科技助力企业落地合规，我只用了 12 天，竟然为企业节省超过一倍的时间！
关于降本。
我再来算一笔账，如果没有科技，按照之前的工作方法28 天至少需要 15 个人完成前期合规体系搭建。
但是通过科技，现在只需要 2 个人 2 天就可以完成企业 100 人的合规体检，代替传统需要 6 个人耗费 10 天的访谈和问卷。
整体算下里，节省了 8 个人力，对于企业而言，人、时间是最大的成本，可想而知，通过科技助力企业合规落地，能够为企业降低了多少成本！
凡是所做，必定留痕
正是因为把客户当成法律上的「知己」，加上科技对合规的赋能，我对于自己帮助企业做合规的客户也有着独特的认识。
一家企业想要做成百年企业，那么它三年、五年、十年内的规划目标分别是什么？希望企业达到什么层次？
如果企业老板有这方面的意识，我们再帮助企业搭建合规体系，才会容易适配。
合规作为一个当下讨论度较高的话题，企业从了解到接受，都需要一个过程。
去年，我和一家企业聊合规时，为了让这家企业更加直观地感受到合规体系的建设，我先从企业中的 10 个岗位做了试点，梳理了各个岗位的不足，包括员工对自己岗位职责的一些认识。
在看到针对性改进方案后，这家企业的老板立即说到这项业务正是他们所需要的，当即决定要在公司内部推行合规，这是一家有上进心的企业。
面对当前的强监管时代，监管部门随时进入企业检查合规工作，不管想了多少，想得多好，都要先行动起来。很多事情，只要做了，就一定要留痕。
留下痕迹以后，才可以让监管部门看到企业在合规上做的努力。下面是我们为某企业进行合规体检后，做的合规风险可视全景后台：
▲ 某企业合规风险可视全景图
在这里，管理层可以看到本企业的合规全景情况分析：
多少人存在高风险，这决定了企业合规风险指数的高低；
它的占比是多少，这决定了解决风险的优先级；
有多少人能够完成合规培训，以及企业合规承诺书的签署。
通过平台的实时合规全景大屏，企业对自身合规状况一目了然，知道如何调整合规方案，提高合规体系防火墙的抵御能力。
今年是「合规强化年」，我在团队建立了专业的央企国企合规中心，希望帮助政府、企业实现大规模的风险体检。
如今，我每天都会深入企业，听听他们对于合规体系的反馈，时刻关注他们合规风险的后台数据。
每帮助一家企业完成合规体系的搭建，我也会思考，如何更好地将合规体系与企业管理合二为一。
比如帮助企业用科技落地合规，我现在正在做的，努力做着。