企业合规管理体系建设的经验借鉴

一、引言
2018年4月，中兴通讯违背了其与美国商务部的和解协议，不仅未对违规的高管和员工进行处罚反而发放巨额奖金，美国商务部下令7年内禁止任何美国公司向中兴通讯出口电信零部件产品。该事件一出，不仅引发了国民对于我国芯片技术的担忧和热议，也让监管机构和不少企业更加关注合规体系建设问题。2018年5月，中国国际贸易促进委员会发起设立了全国企业合规委员会，同年11月、12月，国务院国有资产监督管理委员会、国家发展和改革委员会等部门相继发布《中央企业合规管理指引（试行）》《企业境外经营合规管理指引》。国家层面对企业合规的大力推动，使得2018年被不少人称为中国的“合规元年”。
在我国监管部门的大力推动下，越来越多的企业开始建立企业合规管理体系。但是由于企业规模、经营范围和管理模式各方面都有差异，无法制定一套能够放之四海而皆准的企业合规管理体系，企业有必要借助外部专业机构或团队的帮助打造最适合自身的合规管理体系。在考虑何种合规管理体系才适合企业自身时，企业可参考借鉴其他企业的优秀经验，“站在巨人的肩膀上”，自然能够看得更远。
二、企业合规管理体系建设的成功案例
（一）德国西门子[1]
大型跨国公司德国西门子曾因违反美国反海外腐败法被美国司法部和证交会处罚，此后，西门子对管理团队做了大幅调整。首席执行官和监事会主席等200多名高管相继辞职和被辞退，西门子重新组建了合规团队，并聘请前财政部长威格尔博士担任独立合规监察官，建立了权威且独立的合规体系。
“只有清廉的业务才是西门子的业务”，为重振声誉，西门子官方网站上如此承诺。西门子将合规分为合规组织体系和合规体系两部分。西门子的合规组织由首席合规官担任负责人，向西门子总法律顾问（总法律顾问直接向西门子公司总裁兼首席执行官汇报工作）报告工作，并可以直接向西门子公司管理委员会和监事会提交报告。这个由首席合规官负责的合规组织在各个业务集团和区域公司都任命了各自的合规官，这些合规官需要就自己区域内的合规事宜向首席合规官报告工作。除此，西门子还基于业务规模和业务领域的风险向各个职能部门、业务集团、业务部门、外国分公司等任命或分派了数百名合规人员。在合规重点问题上，西门子结合自身业务和风险的考虑，将合规工作重点集中在反腐败、反垄断、数据保护和反洗钱四个领域。
西门子的合规体系以管理层职责为核心，共分为三个板块：防范、监察和应对。防范体系包括合规风险管理、合规政策与流程，培训和沟通、建议和咨询、与人事流程相结合、联合行动。在监察体系部分，西门子以“Tell Us”举报平台、全球特派调查官、合规控制、监督与合规审查、合规审计、合规调查进行不当行为的识别和处理。而在应对体系中，西门子规定了不当行为的后果、整改问题以及全球案例追踪。
（二）中兴通讯[2]
同样是因违反美国反海外腐败法而受处罚的中兴通讯，在经历两次巨额处罚之后也大力完善其合规管理体系。中兴通讯意识到合规经营是中兴通讯的必由之路，是公司经营的前提，因此将合规视为公司战略的三大基石之一，构建了一套科学的合规管理体系。按透明国际（Transparency International）2016 年发布的针对新兴市场大型跨国企业的调查报告显示，中兴通讯排名第八位，是唯一跻身该报告排名前二十五位的中国企业。其中，反腐败体系得分（88%）远高于被调研企业平均水平（48%）。
中兴通讯首先在理念层面明确合规是基于商业可持续的价值选择。公司远离红线进行业务运营，在安全经营的前提下，追求商业效率最大化和经营成本最优化，更好地维护利益相关方的利益。在方法论层面，中兴通讯的合规通过业务与管理的双循环实现规则在具体业务中的落地。业务层面，中兴通讯通过高层重视、合规管理、合规资源、风险评估、政策指引、流程 控制、培训沟通、监管审核八大要素的分解，明确合规体系建设需要达成的目标；在管理层面，将PDCA（计划 - 执行 - 核查 - 处理）循环的模式引入到合规业务工作中，采取业务与管理的双循环模式。实施层面：通过规范体系、实施体系、监督体系和保障体系的构建和相互作用，调动公司各级资源，切实保障落地执行。
中兴通讯的合规体系主要分为规范体系、实施体系、监督体系和保障体系四部分。在规范体系部分，中兴通讯的政策、手册到指引的三层合规体系建设，将公司经营的风险偏好和外部法律法规遵从的要求， 转化成内部合规管理规范，互相援引，保证各层规则的等级和效力，确保各层规则可实施、可执行、可落地。在实施体系部分，公司通过IT工具线上操作，实现数字化和IT化，将合规关键管控点嵌入业务流程；通过项目化运作打破行政疆域，横向拉通各业务单位（Business Unit，BU）合规团队，完成端到端的流程建设，保证各层规则在实施中无断点、漏点和堵点。此外，中兴通讯形成了业务单位、合规专业团队（COE & BU）、合规稽查部为核心的监督体系，分别实施业务单位自检、BU合规检查、案件调查和年度审计的三道防线。在合规管理委员会的领导下，各部门各司其职、协调配合，发挥防线作用，推进整体合规体系的螺旋型上升和动态调整，并整体向董事会进行工作汇报。最后，中兴通讯的保障体系通过开展合规文化建设、确保合规资源投入、持续提升合规专业能力等维度保障合规体系的有效运转。
除了整体的合规体系，中兴通讯结合自身情况还针对重点领域反贿赂、数据保护和出口管制三个领域制定了专项合规管理制度。此外，中兴通讯结合自身经营范围内的合规风险还探索出一套风险导向合规体系建设6步法：1.建立和梳理合规规则体系；2.依据规则体系逐级梳理合规管控点；3.通过风险评估，对规则遵从度和优先级进行排序；4.精准性合规培训；5.开展常态化的检查、抽查；6.开展独立审计。以风险为导向的合规管理体系，侧重于启发各级经营者从风险处思索经营，激发各级经营者的主观能动性，形成其合规经营的底层逻辑和方法论，在经营活动中“知可为，明不可为”，使合规管理切实成为企业经营管理密不可分的部分，更好地指导有限资源下的有效投入，真正助力公司安全前提下的商业可持续。
（三）湖南建工集团有限公司[3]
湖南建工集团有限公司是中国五百强的大型国有企业，在参加世界银行资助的一项目竞标过程中提供了虚假材料，构成了《世界银行集团企业诚信合规指引》中禁止的欺诈行为。2013年10月，世界银行对该公司做出了两年的制裁决定——“附解除条件的取消资格”。这一制裁给湖南建工集团既带来了贷款融资上的困难，也严重损害了企业的声誉。为尽早解除制裁，湖南建工在合规管理体系建设上作出了巨大努力，但与上述公司不同的是，湖南建工打造的是诚信合规体系。
湖南建工集团制定合规管理体系的步骤主要包括：颁布合规政策和程序、建立合规组织体系、组织合规培训、对商业伙伴加强合规管理、展开合规风险评估、组织合规审计、建立举报制度、全面配合世界银行的合规审查和持续监督。
在合规组织体系方面，湖南建工集团确立了以诚信合规委员会、首席合规官、集团法律合规部和各单位法律合规部为框架的合规组织体系。对于集团诚信合规委员会、首席合规官、子公司合规负责人的职责和合规工作联席会议制度和合规工作审查制度都进行了制度上的明确。
在合规制度的实施方面，该公司明确了评估和审计制度，要求对合规风险进行定期评估，加强合规审计，及时对合规政策进行相应的修改，对合规风险和合规审计工作要形成年度报告。此外，为保证制度的运行，还鼓励员工和第三方减少违规行为，建立沟通和咨询机制、报告和举报热线、举报处理程序和保护举报人程序，并制定了相应的奖惩措施对帮助发现违规行为的员工和第三方进行奖励，对违法违规的员工和第三方进行处罚。
湖南建工集团实施诚信合规的努力最终赢得了世界银行的认可。2017年6月，其收到了世界银行的解除制裁通知书，该制裁正式撤销。
三、成功案例的经验借鉴
（一）态度调整，企业被动变主动
上述三家公司因为不合规都承担了巨额损失，在遭受处罚之后，被动或主动开展了企业合规管理体系的建设。虽然最初可能是基于监管和被调查的压力，但是三家公司最终能够建立起标杆式的合规体系，有一个重要原因就在于企业从“被动合规”到“主动合规”的转变，在危机或处罚结束后，仍然不断完善自己的合规管理体系、保障合规工作的有效执行。目前来看，多数中国企业都缺乏“危机意识”，这导致企业在很多问题上都处于被动应对的局面。即使是在中兴这样惨重的教训之后，很多企业最终也只是疲于应对监管机构的检查，并不能建立完善的合规管理体系或是保证制度的有效运转。企业应当“主动合规”，着眼于分析各种可能出现的问题，预先考虑防范性措施和可能需要的应对措施，从而尽可能降低不合规可能给企业带来的损失。
（二）全面覆盖，但突出重点领域
很多企业认为合规的最终目的就是建立一套大而全的合规体系，应对监管部门的验收，实则不然。通过对比，我们不难发现，上述三家公司都根据本身特有的合规风险进行了重点领域的专项合规。如西门子关注的重点领域为反腐败、反垄断、数据保护和反洗钱，中兴通讯关注的是反贿赂、数据保护和出口管制，而湖南建工集团直接建立的是诚信合规管理体系。《中央企业合规管理指引（试行）》中也强调企业应当加强对重点领域的合规管理。重点领域是公司合规风险相对较高的领域，能突显公司合规的工作重点，也能反映公司合规体系的特色。因此，企业在搭建及运行切合自身需求的合规体系时，应当对于自身合规建设的重点领域进行甄别和管控。
（三）保障机制，确保体系有效运行
再完美的合规管理体系脱离了有效运行就失去了意义，监督保障机制是制度有效运行的助推器。上述公司在合规管理体系建立之后，都采取了多项措施保障体系的有效运行。例如西门子公司为保障投诉机制的有效运行，设立了全天候（每周7天，每天24小时）的合规举报平台（Tell Us）。中兴通讯更是从人力、资金和技术等多方位进行了保障，根据中兴通讯官网的介绍，中兴通讯法律合规专职人员超过400人，约占员工总数的6%，公司投入大量合规资金，并不断优化GTS（Global Trade System，全球贸易系统）、BPS（Business Partner Screening，商业伙伴扫描系统）、LCM（Legal & Compliance Management system，法律及合规管理系统）等IT工具，加大合规风险识别。企业在建立合规管理体系的同时，应考虑制定何种监督保障机制，最大程度确保合规管理体系的有效运行。
四、结语
我国企业的合规管理体系建设还存在诸多问题。首先，相比于外资企业，我国多数企业尚未形成合规管理意识，对于企业合规体系的建设不够重视，导致企业无法形成合规文化。其次，我国制定的合规指引以原则性指导为主，对于合规管理制度制定、合规管理组织架构的搭建、合规风险的识别管控和应对、合规文化建设等都缺乏明确具体的指引。而后，多数企业对于合规管理体系的认识不够到位，认为只是建立一套完整的合规制度，不清楚合规还包括组织架构搭建、合规机制运行、技术工具使用、第三方管理等多种要素，合规最终需要形成一个完整的合规机制。最后，我国当前对于企业合规的关注还集中在国有企业和金融行业，对于民营行业和其他行业的合规风险管控尚未推进。但无论企业合规的前路上还有多少阻碍，借助已有的企业合规优秀经验，不断总结反思，我国企业合规管理体系建设的未来必然能够迈得更稳、走得更快。
注释
[1]西门子中国官网“可持续发展-合规”：https://new.siemens.com/cn/zh/company/sustainability/compliance.html，最后访问日期：2020年9月7日。
[2]中兴通讯官网：https://www.zte.com.cn/china/，最后访问日期：2020年9月7日。
[3]湖南建工集团有限公司官网：http://www.chceg.com/，最后访问日期：2020年9月7日。