涉案企业合规管理体系的“有效性”评估探析——企业合规系列之一

前言
2022年4月19日，最高人民检察院等九部门在《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》（以下简称《指导意见》）的基础上，联发了《涉案企业合规建设、评估和审查办法（试行）》（以下简称《审查办法》），对于涉案企业合规建设的评估和审查办法有了相对明确的规定。但是涉案企业合规管理体系如何去判定其有效性，在审查办法中并未明确具体标准。对于第三方评估机构而言，如何去判定企业的合规管理体系是有效的是涉案企业合规建设实践中的难题；对于涉案企业而言，以何种标准去进行合规管理体系的整改建设，以达到有效性获得第三方评估机构的通过评估亦是实践中的难题。笔者针对涉案企业合规管理体系的“有效性”评估，结合实践中的一点所得，从形式有效性和实质有效性两个维度，对涉案企业的合规建设的合规管理体系的“有效性”评估作一些探析，以供实践中有所裨益。
1、高检企业合规的相关实践
2020年3月，最高检启动涉案违法犯罪依法不捕、不诉、不判处实刑的企业合规监管试点工作，并确定上海市浦东新区、金山区检察院，广东省深圳市南山区、宝安区检察院，江苏省张家港市检察院，山东省郯城县检察院为试点单位。
2021年4月最高检发布《关于开展企业合规改革试点工作的方案》，启动了第二期企业刑事合规不起诉改革试点工作。同年6月，最高检与司法部等九部门联合发布《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》第二期改革试点增加北京、辽宁、浙江、福建、湖北、湖南，共计10个省、直辖市。
2022年4月19日，最高人民检察院与司法部等九部门联发了《涉案企业合规建设、评估和审查办法（试行）》（以下简称《审查办法》），对于涉案企业合规第三方监督评估机制有了相对明确的合规建设的评估和审查方法。此后最高检陆续发布了三批企业合规的指导性案例，以对实践中的企业合规不起诉提供相关指导。
2、涉案企业合规管理体系“有效性”评估的源起
检察机关的涉案企业的合规实践，在司法实践层面有力推动了企业合规的全面发展， 虽然企业合规整改主要是专项合规，但全面合规是最终的走向，通过涉罪企业的合规，推动更多的企业自主自愿地进行合规建设、合规经营。在合规实践中，企业的合规管理体系评估是极其重要的一个内容，该评估是企业不断评估企业风险防范能力、发现优化提升企业自我合规管理能力的重要手段，也是检察机关将第三方评估机构对涉案企业合规建设的有效性评估结论作为轻化处理依据的必经审查过程。其核心是通过对公司的合规管理体系评审、反馈、再评审的过程，对企业合规管理是否真实、合规，合规管理体系的运行是否有效作出结论，发现并报告合规管理体系建设与实施中存在的问题，提出改进建议，促进企业合规管理体系的完善。
对于企业合规管理体系的评估有不同的界定：国家标准《GB/T35770-2017合规管理体系指南》8.3提到“管理评审”的概念，并说明“最高管理者宜按计划定期评审组织的合规管理体系，以确保其持续的适用性、充分性和有效性”；《企业境外经营合规管理指引》第二十七条“企业应定期对合规管理体系进行系统全面的评价，发现和纠正合规管理贯彻执行中存在的问题，促进合规体系的不断完善”；《中央企业合规管理指引（试行）》第二十二条“开展合规管理评估，定期对合规管理体系的有效性进行分析，对重大或反复出现的合规风险和违规问题，深入查找根源，完善相关制度，堵塞管理漏洞，强化过程管控，持续改进提升”；《中央企业合规管理办法》第四条“国资委负责指导、监督中央企业合规管理工作，对合规管理体系建设情况及其有效性进行考核评价，依据相关规定对违规行为开展责任追究。”
涉案企业的合规管理体系评估主要源于：最高检等九部门的《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》第十二条：第三方组织应当对涉案企业合规计划的可行性、有效性与全面性进行审查，提出修改完善的意见建议，并根据案件具体情况和涉案企业承诺履行的期限，确定合规考察期限。该意见中提及对合规计划的有效性进行审查。《涉案企业合规建设、评估和审查办法（试行）》第一条：涉案企业合规建设，是指涉案企业针对与涉嫌犯罪有密切联系的合规风险，制定专项合规整改计划，完善企业治理结构，健全内部规章制度，形成有效合规管理体系的活动。涉案企业合规评估，是指第三方监督评估组织（以下简称第三方组织）对涉案企业专项合规整改计划和相关合规管理体系有效性进行了解、评价、监督和考察的活动。第二条：对于涉案企业合规建设经评估符合有效性标准的，人民检察院可以参考评估结论依法作出不批准逮捕、变更强制措施、不起诉的决定，提出从宽处罚的量刑建议，或者向有关主管机关提出从宽处罚、处分的检察意见。对于涉案企业合规建设经评估未达到有效性标准或者采用弄虚作假手段骗取评估结论的，人民检察院可以依法作出批准逮捕、起诉的决定，提出从严处罚的量刑建议，或者向有关主管机关提出从严处罚、处分的检察意见。涉案企业的合规管理体系的“有效性”评估是检察机关做出轻化处理的参考依据之一，是涉案企业合规实践的重要内容。
3、涉案企业合规管理体系的“有效性”评估标准
对于涉案企业合规管理体系“有效性”评估，虽然检察机关等九部门的意见中有部分规定，但是对于涉案企业的合规管理体系的有效性评估，有效性的评价标准并未明确，国家层面并未出台具体的有效性评价标准，实践中较难掌握，第三方机构在做出有效性评价时弹性和空间均较大，而涉案企业合规建设是否达到实质合规还是纸面合规，差别巨大。尤其涉案企业合规整改尚在初期实践过程中，目前可以借鉴或参考的内容笔者作了如下梳理：
（一） 美国联邦量刑委员会：《有效的合规与伦理方案》
1991年，美国《联邦量刑指南》正式生效，美国司法部门在量刑过程中参考该指南，从立法层面要求企业制定有效合规方案，作为企业的法律义务，从而使司法治理企业合规成为一项刚性制度。美国《联邦量刑指南》要求组织制度《有效的合规与伦理方案》，指南中有效合规方案的七个要素是企业建立有效合规方案的标准，也是评估企业合规方案有效性的“黄金标准”，被称为“合规黄金标准七条”，后来 2004年又增加“企业应对合规风险进行周期性评估”，被称为“合规黄金标准第八条”，八个要素中包含 17个合规要求。《美国检察官手册》中明确，检察官对于商业组织展开调查，决定是否起诉、辩诉交易时，会结合企业的合规实践的具体指标进行评估，然后再做出决定。这些指标被称为“菲利普指标”，要求对“企业既有合规方案的存续性与有效性”以及企业为“实施有效合规方案或改善现在合规制度”而采取的整改措施进行全面的评估”。对于企业开展有效的合规管理体系建设具有一定参考性。
（二）国际标准化组织《ISO37301合规管理体系标准》
国际标准化组织在 2014年发布了《ISO19600合规管理体系指南（2014）》，该标准被转化为国家推荐性标认《GB/T35770-2017合规管理体系指南》，成为企业建立合规管理体系的指南，2021年 4月 13日，国际标准化组织发布的《ISO37301合规管理体系标准》正式实施，从推荐性标准变为可认证性标准。该标准对于合规管理体系的要素规定了组织的结构、岗位和职责、策划、运行、方针、惯例、理念、目标以实现相应目标的过程。从结构看，该标准包括合规管理目标、合规管理原则、合规管理领导力、治理与文化、企业与环境。该国际标准，对于企业进行合规建设时作为常用的参考标准，对于企业的合规管理体系的有效性评估具有重要的参考价值。
（三）中国证监会：《证券公司合规管理有效性评估指引》
中国证监会出台的该指引，专门针对证券的特定行业。该指引第三条：证券公司开展合规管理有效性评估，应当以合规风险为导向，覆盖合规管理各环节，重点关注可能存在合规管理缺失、遗漏或薄弱的环节，全面、客观反映合规管理存在的问题，充分揭示合规风险。合规管理有效性评估分为全面评估和专项评估，由董事会、监事会、或董事会授权管理层组织评估小组或委托外部专业机构进行。在评估内容上，指引明确从合规管理环境、合规管理职责履行情况、经营管理制度与机制的建设及运行状况等方面进行评估。第十条，证券公司对于合规管理职责履行情况的评估应当重点关注合规咨询、合规审查、合规检查、合规监测、合规培训、合规报告、监管沟通与配合、信息隔离墙管理、反洗钱等合规管理职能是否有效履行。指引强调了评估问责，将合规管理有效性评估结果纳入公司管理层、各部门和分支机构及工作人员的绩效考核范围。
（四）《中小企业合规管理体系有效性标准》
2022年 7月1日实施的《中小企业合规合规管理体系有效性标准》是由中小企业协会发布的团体标准，是中国中小企业协会为规范中小企业合规管理体系有效性评价活动，引导和促进其合规管理体系建设，提升合规管理能力，识别和防范合规风险，建设合规文化而制定。适用于中小微企业自身开展合规管理体系有效性评价，也适用于国家机关、行业协会、认证机构等相关方面对中小微企业合规管理体系有效性的评价。该标准对于评价的原则、评价方法、内容、流程、具体评价指标均有明确的规定，对于实践中具有较强的指导意义。该标准的评价内容中包括对合规管理机构设置和职责配置、合规风险识别、合规风险应对和持续改进、合规文化建设等内容，同时具体的评价指标以附录 A、B、C的形式对于前述四大块内容的具体有效性评价指标进行了细化。是目前中小企业合规管理体系有效性评价的主要参考标准。据笔者了解，在涉案企业的合规管理体系有效性评价中，很多第三方评价机构在进行涉案企业合规管理体系的有效性评价时，也会参考此标准。
4、涉案企业合规管理体系“有效性”评价标准的两个维度
如前所述，对于涉案企业的合规管理体系“有效性”评价的标准尚无统一确定的标准。虽然笔者梳理了以上可参考的标准，但是在涉案企业合规管理体系的“有效性”评估时，最高检等九部门的《涉案企业合规建设、评估和审查办法（试行）》（以下简称《办法》）仍是目前适用的重要依据。虽然办法中并未明确“有效性”的具体评价标准，但是笔者认为该办法中已然涵盖了“有效性”标准的两个维度，即形式“有效性”与实质“有效性”。形式“有效性”只是作为形式要件的要求，必须满足，若在合规建设搭建合规管理体系时，形式条件都尚未成就，那么明显不具备实质“有效性”的条件，合规管理体系的“有效性”也就无从体现。也即纸面合规都没有的情况下，实质性合规亦难以达成。
（一）形式“有效性”标准
1、具备合规机构设置和职责配置。《办法》第七条明确：涉案企业应当设置与企业类型、规模、业务范围、行业特点等相适应的合规管理机构或者管理人员。合规管理机构或者管理人员可以专设或者兼理，合规管理的职责必须明确、具体、可考核。在《中小企业合规管理体系有效性标准》中，可根据企业规模，对于合规领导机构，中型企业，配置合规管理委员会或合规领导小组，并有专门的合规管理部门；小微企业法定代表人或实际控制人为合规第一责任人，设置合规专员。并且对于合规职责的配置，要具体到不同的层次。因此，合规机构的调置和合规职责的配置，是形式“有效性”的重要标准之一。
2、具备健全的合规管理制度。《办法》第八条、十一条明确：涉案企业应当针对合规风险防控和合规管理机构履职的需要，通过制定合规管理规范、弥补监督管理漏洞等方式，建立健全合规管理的制度机制。涉案企业的合规管理机构和各层级管理经营组织均应当根据其职能特点设立合规目标，细化合规措施。合规管理制度机制应当确保合规管理机构或者管理人员独立履行职责，对于涉及重大合规风险的决策具有充分发表意见并参与决策的权利。涉案企业应当建立合规绩效评价机制，引入合规指标对企业主要负责人、经营管理人员、关键技术人员等进行考核。由于涉罪企业均是专项整改，不同的企业涉罪的领域又各有区别，漏洞各有不同，因此在制定合规管理制度时，需要有的放矢，不同的企业的合规绩效考评机制也应当根据企业的实际情况出发。
3、具备合规运行的保障机制。《办法》第九条明确：涉案企业应当为合规管理制度机制的有效运行提供必要的人员、培训、宣传、场所、设备和经费等人力物力保障。合规制度制定出来是为了落实，但是没有人员、经费等各项保障，那就是一纸空话，因此是否有机制保障运行，也是一项重要的标准。
4、具备对于合规风险的识别、应对和持续改进机制。《办法》第十条、十二条明确：涉案企业应当建立监测、举报、调查、处理机制，保证及时发现和监控合规风险，纠正和处理违规行为。涉案企业应当建立持续整改、定期报告等机制，保证合规管理制度机制根据企业经营发展实际不断调整和完善。涉案企业的合规管理体系中，必须要具备对于合规风险的识别、应对和持续改进机制。针对合规风险，要有发现和识别的途径，通过监测、举报的多种途径，及时发现并进行调查处理，及时纠正违规行为，并进行持续改进和调整。这是合规管理体系中极为重要的一环。
5、具备合规文化的基本制度。关于合规文化，虽然在合规建设的章节中未提及，但是在《办法》的合规评估的章节中，是否建立合规文化是一个评估的重点。涉案企业建立合规文化，贯穿其所有的经营活动，这个是合规管理体系中极其重要的内容。因此合规文化的基本制度必须具备。
（二）实质“有效性”标准
实质“有效性”标准，在《办法》第三章“涉案企业合规评估”，虽然篇幅较短，但是将涉案企业合规管理体系的实质“有效性”的核心标准均规制在内。《办法》第十四条：第三方组织对涉案企业专项合规整改计划和相关合规管理体系有效性的评估，重点包括以下内容：（一）对涉案合规风险的有效识别、控制；（二）对违规违法行为的及时处置；（三）合规管理机构或者管理人员的合理配置；（四）合规管理制度机制建立以及人力物力的充分保障；（五）监测、举报、调查、处理机制及合规绩效评价机制的正常运行；（六）持续整改机制和合规文化已经基本形成。从以上评估的重点可以看出，在形式具备的条件下，相应的制度及调置是否合理、涉案的合规风险是否得到有效识别和控制，对违规违法行为是否能够及时发现及处置，相应的保障机制是否到位，是否得到有效的执行，合规文化是否基本形成。笔者认为，实质“有效性”的评估标准至少应包括以下六方面：
1、涉案企业合规管理体系的设计的合理性和有效性。
合规管理体系需要在整个企业中做到“纵横贯穿”，权责利相匹配。纵向从企业最高管理人员到最基层员工，需要有各个层次人员的合规管理职责，并且要保证合规管理的独立性；横向要覆盖所有的业务与环节。通过合规管理体系的设计及职责的配置，公司的董事会、高级管理人员、中层管理人员、基层员工均有相应的合规管理职责。
（1）合规管理的组织体系是否健全。是否根据企业的实际情况，比如为大型企业、中型企业或小微企业的实际情况，设置了从公司各层次人员的合规管理职责，合规管理组织架构是否完备。
（2）合规管理职责设置是否合理。涉案企业由于情况各有不同，业务类别亦不同，因此在不同层级人员的合规管理职责的设置是否与企业自身的经营特点、业务模式、风险管理要求相适应，是否针对发生风险的薄弱环节，是否覆盖所有的业务与环节。
（3）合规管理人员是否具备独立履职的条件。是否获得合规管理的合法授权，是否具有独立汇报的权利，对于相关决策事项是否具备参与权利，是否拥有履职的相关资源、是否有获得相关信息的权利。
2、涉案企业合规管理制度体系的规范性
涉案企业通过把企业的合规理念和合规价值、合规承诺转变为企业的合规要求，通过制定企业的相关合规管理制度，规范企业及员工的行为。由于涉案企业是从企业涉罪的风险角度进行整改和制度构建，因此应将企业的高风险领域作为优先制度专项合规管理制度，有针对性地进行资源的配置。比如若企业涉及的是商业贿赂犯罪，那么相关制度就应有针对性地将企业的资源配置和管控措施向风险中排序较高的模块倾斜。
（1）合规管理的基本制度是否涵盖企业的合规价值理念，是否将合规作为企业的核心价值理念；
（2）合规管理的制度中是否有细化的各项专项制度及流程，能否与涉案企业的具体业务情况相结合；各项专项制度是否植入业务流程，并起到对于员工行为的监督和控制；
（3 企业员工对于合规理念的理解及执行是否到位。
3、涉案企业合规管理运行机制的完备性
涉案企业合规管理运行机制，主要是从企业的合规运行保障机制、培训沟通机制、责任考核机制、优化提升机制、举报查处机制是否得到有效落实及执行。
（1） 企业的运行保障机制是否到位：涉案企业是否提供必要的人员、培训、宣传、场所、设备和经费等人力物力保障，是否落实到位；
（2）培训沟通机制是否有效运行：涉案企业是否有效完成对于企业员工的合规培训，让员工从思想理念层面树立合规经营，在沟通层面是否有效地传递了合规的信息，并自内而外的形成辐射；
（3）企业的责任考核机制的落实：涉案企业和各个层级均有自己的合规责任，企业的合规责任考核是否与企业的业务考核相结合，确保企业是通过合规的经营方式实现；
（4）举报查处机制是否有效：涉案企业对于不合规的行为的举报途径是否畅通，是否对举报人有合理的激励，对于获得的举报信息能否及时得到调查处理；
（5）优化提升机制是否呈良性发展：涉案企业的合规管理体系的不断优化提升机制是否处于合规管理体系生命周期的良性发展并持续改进阶段，是否具备持续改进的良性调整能力。
4、涉案企业合规管理体系风险防控的精准性
涉案企业的合规管理体系对于风险防控是否能精准的降低企业的合规风险，及时发现违规行为，有效的降低合规风险；对已经发生的合规风险企业的应对机制是否具备快速反应及处理的能力；对于企业的违规风险，是否具备及时采取补救措施以防将来类似问题的发生。
（1） 合规监控和检查是否有效；
（2） 合规举报的途径是否畅通且有效；
（3） 合规调查是否能够及时启动有效；
（4） 合规整改问责能否落实并有效。
5、涉案企业合规管理体系执行的有效性
涉案企业的合规管理体系最重要的是执行，否则就是停留在纸面上。涉案企业合规管理体系的设计的合理性和有效性、合规管理制度体系的规范性、合规管理运行机制的完备性、合规管理体系风险防控的精准性，这些效果都需要在执行上彰显。主要体现在以下几方面：
（1）企业管理层是否强力支持合规并执行，以身作则；
（2）企业执行层是否能够执行到位，积极践行；
（3）企业管理层是否对于执行层积极监督，保证执行的效果；
（4）相应的奖惩制度能否顺畅应用以传达企业的合规价值观。
6、涉案企业合规文化的植入程度的深厚性
涉案企业的合规文化是否建立，是实质“有效性”的一个重要标准。
（1）合规经营是否作为企业的核心价值观予以体现在员工的意识、行为方式中；
（2）企业管理层对于不合规的零容忍；
（3）企业各层面是否形成日常工作中的合规文化，并积极推广；
（4）企业是否形成合规的整体氛围。
以上，是笔者根据自己的理解，梳理的实质“有效性”标准。但是涉案企业合规建设的有效性评估是一项极复杂也是极系统的工程，实践中，需根据不同的企业涉罪情况，企业不同的合规建设情况，围绕合规管理体系的实质需求的不同，作出不同的分析评断。以上五项形式“有效性”标准及六项实质“有效性”标准是笔者认为在合规管理体系有效性评估时可加以参考的内容。