合规衍生价值（之一）——企业合规的概念和内涵

题 注
本文原拟题目“合规创造价值”，以突显现代企业“合规”的重要性和高度定位。然，经笔者反复推敲，忽觉“创造”一词用在合规领域，难免会引起读者的误解，也与合规的本质和要义不符。如果一定要将“合规”与“价值”联系起来，“衍生”一词比较恰当。
《现代汉语词典》对“创造”和“衍生”的释义：
创造：“（动词）建立、想出或做出从未有过的事物”。意即，创造就是把以前没有的事物创立或者制造出来。
衍生：“指演变而产生，从母体物质得到的新物质（如化合物经过取代或水解）”。例如：衍生证券，其价值依赖于其它更基本的标的变量。
引 言
中国实行改革开放已历经四十余年，中国市场经济体制的形成业已三十年，中国加入世界贸易组织（WTO）也已满二十载。司马迁《史记》有载：“天下熙熙，皆为利来；天下攘攘，皆为利往”，市场经济的本质是竞争与利益。中华经历了几千年以来的农耕文明，却走了短短几十年的工业化路程，又大跨步迈入全球市场经济商业化时代。在此期间，中国经济突飞猛进，在各领域都取得了举世瞩目的成就，具备了从“强起来”到“伟大复兴”的硬实力。
但不可忽视的是，我国的软实力还比较薄弱。虽然我国通过学习西方“大陆法系”构建了相对完备的现代法律体系，但在实践当中却仍感不接地气，无法从根本上解决中国社会和企业治理的问题。另一方面，中华几千年悠悠历史，谦谦君子，中国人自古崇尚德行，“不以规矩，不成方圆”的道理和文化，却难以融入到市场经济大环境中。
当今世界正经历百年未有之大变局，经贸关系复杂多变，主动开展合规管理，建立科学有效的合规管理体系，已成为我国企业有效应对国际国内多变市场环境和复杂监管政策、行稳致远的必然选择，也是推动我国企业实现高质量发展的治本之道。当前，我国企业在参与市场竞争、融入世界经济中面临诸多法律风险，突出表现为在依法合规管理方面存在短板。如何构建企业依法合规管理科学体系，建立和完善依法治理机制，建立健全有效的法律风险防范机制，确保企业高质量发展，是企业法治建设面临的新课题，也是全面提升依法治企能力的新目标。
故而，我们要秉承和发扬中华优秀的传统文化，将“德行”融入到企业合规管理体系和企业合规文化当中去。作为新时代的法律人，我们责无旁贷。正如笔者的拙作《合规之道》有言：
现代企业谓之公司，
法律名词称之法人；
‘法人’犹如‘自然人’
生老病死规律使然。
自然人需修身养德，
法人亦须培养德行。
企业合规方成其形，
法人德行乃成其本。
知者行之始，
行者知之成。
惟有知行合一，
乃合规之道也！
一、企业合规的起源与发展
（一）西方国家与国际组织的合规规范
1977年，美国颁布了《反海外腐败法》。该法确立的反腐败条款和会计条款，不仅对美国公司在海外的经营业务具有法律约束力，还可以适用外国公司在美国本土的贿赂行为，以及在美国设立分支机构的外国公司的海外贿赂行为。由美国联邦司法部行使刑事管辖权，美国证券交易委员会行使民事管辖权。
1991年，美国联邦量刑委员会制定《组织量刑指南》，将其编入《联邦量刑指南》的第八章，作为美国法院对构成犯罪的企业进行量刑的依据。
2005年4月，巴塞尔银行监督管理委员会发布了《合规与银行内部合规部门》，对金融企业构建合规部门确立了一般性的原则，对于合规风险作出了明确界定。
2010年，经济合作与发展组织（OECD）发布了《内部控制、企业道德及合规最佳实践指南》，对成员国和跨国企业提出了预防腐败行为的要求，并确立了有效合规的12项准则。同年，世界银行集团发布了《诚信合规指南》。
2014年，国际标准化组织（ISO）发布了《合规管理体系指南》，以国际法律文件的形式确立了有效合规的基本标准。
2018年，欧盟发布了《通用数据保护条例》（GDPR），使其成为一部影响全球个人数据保护的重要法律。
（二）我国自2018年“合规元年”以来，合规规范不断出台，合规监管初见雏形
2017年，国家标准化管理委员会制定了《合规管理体系指南》（GB/T35770-2017）；中国证监会发布了《证券公司和证券投资基金管理公司合规管理办法》。
2018年，国务院国有资产监督管理委员会发布了《中央企业合规管理指引（试行）》；国家发展改革委员会等七部门发布了《企业境外经营合规管理指引》。
2019年，中共中央、国务院印发的《关于营造更好发展环境支持民营企业改革发展的意见》中进一步强调“加大对民营企业的刑事保护力度”，“推动民营企业守法合规经营”。
2020年，国务院反垄断委员会发布了《经营者反垄断合规指南》；2020年3月，最高人民检察院启动对涉嫌违法犯罪依法不捕、不诉、不判处实刑的企业合规试点工作，并且于2021年3月下发《关于开展企业合规改革试点工作方案》。
2022年10月1日，国务院国有资产监督管理委员会发布施行《中央企业合规管理办法》。
与此同时，在省直辖市层面也相继颁布了一些合规规范。诸如：深圳市的《反贿赂管理体系》（2017年）；江苏省的《省属企业合规管理指引（试行）》（2019年）；上海市的《国资委监管企业合规管理指引（试行）》（2019年）、《经营者竞争合规指南》（2021年）。
二、企业合规的概念
合规，作为一种“舶来品”，由英文“compliance”翻译而来。从字面上来看，合规具有“合乎规定”、“遵守规则”或“遵循法律规定”的含义。
国际标准化组织《合规管理体系指南》（ISO 19600:2014）及中国国家标准（GB/T35770-2017）将合规定义为“履行组织的全部合规义务”，即通过将合规融入组织文化及其工作人员的行为和态度中，使合规具有可持续性。
《中央企业合规管理指引（试行）》对“合规”的概念作出了界定：“是指中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求”。
企业合规的主体，包括公司、合伙企业、个人独资企业和个体工商户等商事主体。
企业合规最初是为配合国际反商业贿赂等开展和合作而产生的。在美国《反海外腐败法》实施二十余年后，英国于2011年通过了《反贿赂法》，法国于2016年通过了《萨宾第二法案》。这些法律都属于反海外腐败的法律，所确立的合规机制也都属于“反腐败合规”。这种着眼于防范企业商业贿赂犯罪的合规机制，业内称之为“小合规”或“狭义的合规”。
而近二十多年来，无论是西方国家的法律，还是国际组织通过的公约，不约而同的将公司治理逐渐扩大到更广泛的领域。除了反腐败、反商业贿赂以外，还包括反洗钱、反垄断、反不正当竞争、数据和网络安全保护、知识产权保护、出口管制贸易、环境、职业健康和安全生产、劳动和人力资源、基金证券等领域，也逐渐被纳入合规管理体系之中。在美国，外国公司所面临的行政监管和刑事法律风险，通常包含以下几个方面：一是违反美国证券法规的反欺诈条款的行为；二是违反美国《反海外腐败法》所确立的反贿赂条款和会计条款的行为；三是违反美国出口管制法规的行为；四是违反美国《商业秘密保护法》，侵犯商业秘密的行为；五是违反美国版权法律的行为；六是违反美国有关跨国投资并购法规的行为；等等。对于这种适用范围更为广泛的企业合规管理体系，通常称之为“大合规”或“广义的合规”。
企业所要合“规”的范围，根据企业在经营或交易过程中所要遵守的规则类型，通常可以分为四种：一是国家制定的法律法规，在我国可以包括全国人大及其常委会通过的法律、国务院通过的行政法规、最高司法机关发布的司法解释、国家部委局办通过的部门规章、地方立法机关通过的地方性法规等；二是商业惯例和伦理规范，包括各行业协会颁布的成文行为准则以及各种不成文的商业习惯和伦理规范等；三是企业自行颁布的规章制度，包括公司章程、商业行为准则、员工行为守则等；四是相关外国法律法规、国际条约或国际惯例，包括那些公司经营地所在国或地区的法律法规，本国参加或者签署的国际公约以及相关国际组织所实施的国际规则等。
三、企业合规的内涵
企业合规有正向激励和反向倒逼两个层面的内在涵义。从反向倒逼的角度，企业合规是指企业为避免出现违法违规行为，防止或减轻因违法违规而遭受的各种损失所建立的公司治理体系。为利于理解企业合规的内涵，作如下几点简要分析：
（一）企业合规是为了防范合规风险而建立起来的管理机制。所谓“合规风险”，是指企业因没有遵守法律、规则和准则而可能遭受法律制裁、监管处罚，并遭受重大经济损失和声誉损失的风险。每个企业因其所从事的业务不同，会存在各不相同的合规风险领域。例如，银行的合规风险通常是违反国家反洗钱法律，医疗企业的合规风险一般是违反国家反商业贿赂法律，大数据公司的合规风险经常是违反国家数据安全和信息隐私保护的法律，从事进出口业务的企业则通常存在违反国际出口管制法律的合规风险，等等。为防范这些合规风险的发生，企业需要建立合规管理体系，并将其作为改进公司治理结构的一种制度安排。
（二）企业合规是为避免遭受重大经济损失和声誉损失而建立的管理体系。对于涉嫌违法违规的企业而言，一旦受到监管部门的调查和处罚，或者受到司法机关的定罪量刑，可能带来的最严重后果并不是一般的罚款或者罚金，而是特定经营资格的限制或者剥夺。我国各种行政法规对违规企业所作的最严厉处罚是两种“资格剥夺”，即被取消特许经营资格以及被吊销营业执照。“起诉一个公司，就等于宣告公司死刑。”，之所以有如此，就是因为企业一旦受到监管处罚或者刑事定罪，就有可能被剥夺经营或交易资格，其不仅将蒙受重大经济损失，而且将面临社会声誉上的损失。为避免遭受这些经济损失和声誉损失，企业需要建立合规管理体系，有效防范企业或员工的违法违规行为，避免受到严厉的监管处罚或刑事追究。
（三）企业合规是针对有关监管部门的调查和处罚所建立的管理体系。企业之所以要建立合规管理体系，通常而言，企业合规所要防范的不是一般的“经营风险”，也不是一般意义上的“法律风险”，而是因违法违规而受到行政监管处罚和刑事追究的风险。
（四）企业合规是一种特有的公司治理方式。传统的公司治理，无非是通过调整企业所有权和经营权的之间关系所建立的治理制度安排。由全体股东选举产生的董事会，主要行使企业的决策权和监督权；由董事会遴选产生的高级管理层，主要行使企业经营权和执行权。这种传统的公司治理结构缺乏一种独立的法律风险防控机制的存在。而企业合规机制的建立，在传统公司治理结构中引入了一种专门的风险防控机制。通过在董事会之下设立合规委员会，在管理层面设立首席合规官（CCO），在公司总部设置专门的合规管理部门，并在公司各个部门以及分支机构设立合规分支部门或合规人员，实现了至上而下的合规管理体系。例如《中央企业合规管理办法》就规定：“中央企业设立合规委员会，可以与法治建设领导机构等合署办公”，“中央企业应当结合实际设立首席合规官，不新增领导岗位和职数，由总法律顾问兼任”。
综上，通过对企业合规概念和内涵的了解，使我们清晰的认识到，企业合规不是空洞无形的东西。也不是简单意义上的风险防控或流于形式的纸面文件。而是要建立起一套切实可行并持续监控改进的合规管理体系。本文作为一个引子，抛砖引玉，由浅入深、由表入里，期望我们的合规律师一起共同努力，践行实务的同时，在“合规中国化”的道路上越走越远。