实用技能提升！合规管理，从体系到认证

编者按：当前企业合规建设已成大势所趋，国际标准ISO 37301:2021被广泛地适应于各个企业，其基于风险管理的思想，对构建、发展、落实、保障和优化一套行之有效的合规管理体系进行了详细规定和提供了方法指引。企业通过搭建符合ISO 37301标准的合规体系或者获得依据ISO 37301进行认证的方式，可以在企业合规治理、传递商业信任、向监管机构自证清白时提供重要支持，进而促进贸易、交流与合作。本文将分析合规风险战略筹划与控制，了解合规及其价值，理解和适用ISO 37301标准，通过合规管理体系建设分析帮助企业了解标准适用与实施路径，提升合规能力。
一、合规风险的战略筹划与控制
（一）概述
企业常见合规风险类型取决于该企业自身业务及业务模式，包括企业产品及业务类型，销售模式及地点以及企业合规环境等因素，按照风险特征不同，我们可以将合规风险分为法律风险、操作风险、欺诈风险等三大类。
（二）国企合规管理独特性
合规可以从四个维度加以理解，分别是对合规义务的遵从、合规管理、合规管理体系建设以及合规文化的培育。相较于一般企业，国有企业合规管理在上述四维度都具备自身独特性：
首先，合规义务方面，国有企业需承担更重的合规义务，国资委作为监管部门也以国有企业为规范对象颁布了一系列合规管理规范性文件，加大对于国有企业合规义务的规制力度；
其次，合规管理层面，国有企业与一般企业所采取的管理方法存在区别；
再次，合规管理体系方面，国有企业合规管理体系区别与一般企业，国家作为国有企业的控股股东，需代理人代理从事管理行为，因而有关代理人公司治理问题便成为国企合规管理体系建设的重点和难点，呈现出环节多、文档要求高、制度繁杂等特点；
最后，合规文化建设方面，国有企业更为注重党建相关建设，党建已经成为国企合规文化建设的亮点和重要组成部分。
二、合规及其价值
当前，企业合规风险管理常见误区表现为“小洞不补，大洞吃苦”，即轻视合规管理工作，对合规风险抱有侥幸心理。因此，作为切实有效的合规管理者，法务工作者应当积极推动企业构建合规管理体系，铸就合规金色盾牌。
我们之所以说合规创造价值，因为一个适宜、充分且有效的合规管理体系能够较好地厘清单位责任与个人责任，从而管控好企业所面临的重大合规风险，尤其是恶性的刑事责任风险。
同时，合规还能够帮助企业迅速融入相关产业链，以德国近期所颁布的《供应链尽职调查法》为例，其要求德国企业以“人权”与“环保”为重点对产业链相关方开展尽职调查，有两家知名的跨国企业因为疏于开展供应链尽职调查，其在德国已经被刑事投诉，并将面临数百万欧元的处罚。从另外一个角度而言，如果中国企业不能通过相应的尽职调查，则其将面临业务丢失风险。
三、ISO 37301及贯标
（一）ISO 37301与国家标准
ISO 37301：2021国际标准已经等同转换为中国国家标准GB/T 35770-2022《合规管理体系要求及使用指南》。在转换的过程中，GB/T 35770-2022增加了一个附录，如针对国际标准提及但并未详解的数字化问题，中国国家标准于附录中对于数字化场景展开进一步解释。
那么什么是数字化呢？我们认为数字化需要配备符合合规管理基本逻辑的风控模型——这个风控模型可以通过下面雁阵图来进行诠释。

图 1
（二）企业贯标关注点
当前合规管理工作愈发受到企业重视，企业在搭建合规管理体系过程中应当从下面四个维度来重点关注合规相关工作：
首先，重视对法律法规等合规义务的遵从；
其次，将合规管理落实到细处、落实到实处；
再次，开展合规管理体系建设；
最后，加强合规文化的建设，从“要我合规”变成“我要合规”。
四、合规管理体系建设
（一）合规尽职调查
合规尽职调查需做到以下几点（图2）：
第一，由法律专业人士开展合规尽职调查工作。识别合规风险的一个重要方法就是锚定合规义务。识别合规义务对于识别合规风险而言非常重要，合规义务包括必须遵守的强制性的合规义务以及自愿选择遵守的合规义务，专业律师具备较强法律法规识别与分析能力，能够更有效地辅助企业识别相关合规义务以及重大合规风险，能够真正为企业“把脉”，从而“对症下药”；
第二，识别风险源；
第三，确定责任人，以损失减少原则以及成本分摊原则为责任人排序；
第四，开展风险评价，从风险源引发风险的频率、后果严重程度、风险发生的可能性对风险展开评价。

图 2
此外，关注以下合规风险管控原则：风险穿透原则、主动管理原则、联合管理原则。
（二）风险管理战略筹划
风险防控工作初心为帮助企业实现其使命、愿景以及核心价值，推动其战略和商业目标的实现，最终实现绩效的提高，赢得利润。因此开展风险管理战略筹划需要确保相关制度于战略层面与企业战略，商业目标，使命以及愿景、核心价值存在重大关联性，且在战术上有助于实现上述目标。此外，基于风险管控角度，企业对于风险应做到“应检必检”而非“逢检必检”。
（三）合规管理体系建设
ISO 37301合规管理体系框架如图3所示，企业应对照该标准建设合规管理体系：

图 3
组织环境建设方面，需确定影响组织合规管理体系预期结果能力的内部和外部因素，确定并理解相关方及其需求，识别与组织的产品、服务和活动有关的合规义务、评估合规风险；确定合规管理体系的边界和适用范围；
充分发挥领导作用，治理机构和最高管理者展现对合规管理体系的领导和积极承诺，遵守合规治理原则，制定并在组织各个层面宣传合规文化，建立合规方针，赋予治理机构和最高管理者、合规团队、管理层及员工相应的职责和权限；
策划方面，在各职能和层级上建立适宜的合规目标，策划实现合规目标需建立的过程，确定需要应对的风险和机会，策划应对风险和机会的措施，并将这些措施纳入合规管理体系，有计划地对合规管理体系进行修改。
为合规工作提供支持，确定并提供所需的资源，例如财务资源，工作环境与基础设施等，招聘能够胜任且能够遵守合规要求的员工，对违反合规要求的员工实施训诫等管理措施，提供培训，提升员工合规意识，同时开展内部和外部沟通；
运行方面，实施为满足合规义务、实现合规目标所需的过程以及所需采取的措施，建立并实施过程的准则、控制措施，并保留积累，建立举报程序，鼓励员工善意报告疑似和已发生的不合规，建立调查程序，对疑似和已发生的违反合规义务的情况进行评估和调查。
此外，仍要开展绩效评价工作，监视、测量、分析和评价合规管理体系的绩效和有效性，有计划地开展内部审核，定期开展管理评审，并持续开展改进工作，持续改进合规管理体系的适用性、充分性和有效性，对发生的不合格、不合规采取控制或纠正措施。
（四）合规管理能力提升
合规工作人员提升合规管理能力可以遵从以下方法：
首先，提升整合能力，除制定合规制度外，尚需设置实施、流程方案与流程，推动合规工作的PDCA循环；
其次，提升自身能力，包括文字管理能力，文档管理能力以及证据管理能力，同时还要提升“听说读写”能力以及自身共情与边界能力等；
最后，以《企业合规师职业技能标准》为基础，提升自身合规管理能力。
五、ISO 37301认证的适用与实施路径
ISO 37301的落地施行为合规业务打开了蓝海市场：
首先，合规义务维度，由于新的法律法规的不断出台，将会为合规工作者带来更为广阔的客户群体；
其次，合规管理维度，有关合规管理业务需求不断扩大，同时对于合规专业人员多面化要求能力和经验提出了更高要求；
再次，企业愈加重视合规管理体系建设工作，相关业务需求不断提升；
最后，合规文化建设层面，良好的文化宣贯能够起到润物细无声的作用，能够用最人性化的方式帮助企业达到“我要合规”的目标，提升企业工作人员合规意识与能力，因而为合规工作者才能发挥提供了更为广阔的平台。