合规管理有效性评价是衡量企业合规管理体系运行效果和价值的重要过程，《中央企业合规管理办法》第二十七条要求“中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，强化评价结果运用。”各地也做了类似要求，合规有效性评价如何评？标准是什么？2024年11月3日至8日，国际标准化组织机构治理技术委员会（ISO/TC309）全体会议在中国深圳召开，讨论了ISO 37302《合规管理体系 有效性评价》和ISO 37303《合规管理体系 能力管理指南》两项国际标准草案（DIS），与会的来自中国、英国、澳大利亚、奥地利、德国、日本、尼日利亚、马拉西亚、哥斯达黎加等成员国代表一致同意，将该两项国际标准推进至最终国际标准草案（FDIS）阶段，并拟于2025年上半年由ISO批准发布。
以下是我们结合实务经验，分享合规管理有效性评价的一般步骤和方法：
01.定评价目标与范围
一、 明确评价目标
- 评估合规管理体系是否符合法律法规、监管要求以及企业自身制定的合规政策和标准。
- 衡量合规管理措施在预防和应对合规风险方面的实际效果，确定是否有效降低了违规行为发生的可能性和影响程度。
- 为企业改进合规管理提供依据，发现体系中的薄弱环节和改进空间，促进合规管理体系的持续完善。
二、界定评价范围 - 涵盖企业的所有业务领域、部门和运营环节，包括但不限于财务、采购、销售、生产、人力资源、研发等。
- 考虑企业的所有层级，从高层管理到基层员工，确保评价全面反映企业的合规管理状况。
- 纳入企业在国内外的所有分支机构和子公司，尤其对于跨国企业，需关注不同地区的合规差异和挑战。
02.制定评价标准与指标
一、 法律法规与监管要求遵循情况 - 检查企业是否及时了解并遵守相关国家和地区的法律法规，如公司法、证券法、劳动法、环保法等，以及行业监管规定。
- 评估企业是否建立了有效的法律法规跟踪机制，确保及时更新内部制度和流程以适应法规变化。
二、 合规政策与程序执行情况 - 审查企业的合规政策是否清晰明确，是否在企业内部得到有效传达和理解，员工对合规政策的知晓率和理解程度可作为衡量指标之一。
- 检查各项合规程序是否得到严格执行，例如合同审批流程、财务报销流程、重大决策合规审查流程等，统计流程执行的准确性和及时性。
三、 合规风险识别与评估有效性 - 评价企业是否具备完善的风险识别方法和工具，能否全面、及时地识别潜在的合规风险，风险识别的全面性和准确性是关键指标。
- 分析企业对合规风险的评估是否合理，是否根据风险发生的可能性和影响程度进行了恰当分类和优先级排序，风险评估结果与实际风险状况的匹配度可作为评估依据。
四、 合规培训与教育效果 - 衡量合规培训计划的执行情况，包括培训课程的覆盖面、培训频率、员工参与度等。
- 通过测试、问卷调查、员工行为观察等方式评估员工对合规知识的掌握程度和合规意识的提升情况，例如合规知识考试的平均成绩、员工对合规问题的正确处理率等。
五、内部监督与举报机制运行情况 - 检查内部审计、合规管理部门等监督机构是否独立、有效地履行职责，监督活动的频率、深度和发现问题的能力是重要指标。
- 评估举报机制是否畅通，员工对举报渠道的知晓度、举报案件的处理效率和公正性，以及是否对举报人进行了有效保护等。
六、 违规行为处理与纠正措施 - 统计违规行为的发生数量、类型和严重程度，分析违规行为的趋势变化，判断合规管理体系在预防违规方面的有效性。
- 审查企业对违规行为的处理是否及时、公正、严格，是否按照规定进行了调查、处罚和整改，整改措施的落实情况和有效性是关键评估点。
七、合规文化建设情况 - 观察企业内部的合规文化氛围，包括管理层对合规的重视程度、员工对合规的态度和行为习惯等。
- 评估企业是否通过宣传、表彰等方式积极营造合规文化，例如是否开展了合规文化活动、是否对合规表现优秀的员工或部门进行了奖励等。
03.收集评价信息
一、 文件审查 - 查阅企业的合规政策、制度、流程文件，确保其完整性、合理性和有效性。
- 检查合规管理相关的记录，如培训记录、风险评估报告、审计报告、举报记录、违规处理文件等，以获取合规管理活动的实际执行情况证据。
二、问卷调查与访谈 - 设计针对不同层级员工、部门的调查问卷，了解他们对合规政策的知晓度、对合规风险的认识、对合规管理工作的意见和建议等。
- 对企业管理层、合规管理人员、关键业务岗位员工进行访谈，深入了解合规管理体系的运行情况、存在的问题和挑战，以及他们对合规管理有效性的看法。
三、实地观察与流程测试 - 实地观察企业的业务操作流程，检查是否存在违规操作或不符合合规程序的行为。
- 选取部分业务流程进行测试，例如模拟合同签订、采购审批等过程，验证合规控制措施是否有效执行。
四、 数据分析与案例研究 - 收集企业的财务数据、运营数据等，分析是否存在可能与合规问题相关的异常情况，如异常的费用支出、频繁的合同变更等。
- 对企业发生的违规案例进行深入研究，剖析违规原因、后果以及合规管理体系在其中暴露的缺陷，从中吸取教训并评估整体有效性。
04.进行评价分析
一、定性分析 - 对收集到的信息进行分类整理，归纳总结合规管理体系在各个方面的优点、不足和存在的问题。
- 通过案例分析、员工反馈等方式深入了解问题产生的原因，判断是制度设计缺陷、执行不力还是其他因素导致的。
- 评估合规文化在企业内部的渗透程度，分析管理层和员工对合规的价值观和态度是否积极正面。
二、定量分析 - 运用统计方法对评价指标的数据进行量化分析，如计算违规行为发生率、合规培训覆盖率、风险评估准确率等指标，以直观地反映合规管理体系的运行效果。
- 通过对比不同时期的数据或与同行业其他企业的数据进行基准比较，评估企业合规管理水平的变化趋势和在行业中的相对位置。
05.撰写评价报告
一、报告内容结构 - 引言部分：阐述评价的目的、范围、方法和时间周期，说明评价工作的背景和重要性。
- 企业合规管理体系概述：简要介绍企业的合规管理架构、政策制度和主要工作流程，为后续评价提供基础框架。
- 评价结果与分析：详细呈现各项评价指标的完成情况，结合定性和定量分析，对合规管理体系的有效性进行全面评估，指出存在的问题和风险点，并深入分析原因。
- 改进建议与措施：针对评价中发现的问题，提出具体、可操作的改进建议和措施，明确责任部门和时间节点，为企业改进合规管理提供指导。
- 结论部分：总结评价的总体结论，明确企业合规管理体系的有效性程度，展望未来合规管理工作的发展方向。
二、报告撰写要求 - 语言简洁明了、客观准确，避免使用模糊不清或带有主观偏见的表述。
- 数据和案例支撑充分，确保评价结果具有说服力。
- 提出的改进建议具有针对性和实用性，能够切实帮助企业提升合规管理水平。
06.跟进与持续改进
一、反馈与沟通 - 将评价报告向企业管理层、各部门进行反馈和沟通，确保各方了解评价结果和改进要求，促进企业内部对合规管理工作的共识和协同。
- 解答相关疑问，收集各方意见和建议，进一步完善改进措施和方案。
二、改进计划实施与监督 - 协助企业制定详细的改进计划，明确各项改进措施的实施步骤、责任人、时间进度安排等，并监督计划的执行情况。
- 定期跟踪改进措施的实施效果，收集相关数据和信息，评估改进措施是否有效解决了存在的问题，是否达到了预期目标。
三、定期复评与动态调整 - 根据企业的发展战略、业务变化、法律法规调整等情况，定期对合规管理体系进行重新评价，一般可每年或每两年进行一次全面评价。
- 在日常运营中，持续关注合规管理的新动态、新要求，及时对评价标准、指标和方法进行动态调整，确保评价工作始终能够准确反映企业合规管理的有效性。
通过以上系统的步骤和方法，可以较为全面、客观地评价企业合规管理的有效性，为企业不断完善合规管理体系、提升合规管理水平提供有力支持。也期待通过本文与通行者交流。