“合规”之于企业，与合法性是一回事吗？

实务中，常会遇到法务或者律师朋友问到“企业合规和合法性的是不是一回事？对于企业而言，合法就合规了？”这事儿不能够拈花一笑，得追究。基本上，研究合规，主要两大来源：一个国际标准，ISO37301及相关体系（ISO37001、最佳实践指南、GB/T35770等），另一部分就是《中央企业合规管理办法》以及相关法规，包括公司法人治理、国有资产管理等法律法规、规范性文件。
在37301中，我们需注意，这份文件的全称是“Compliance management systems — Requirements with guidance for use”（合规管理体系、要求及使用指南）是由ISO/TC309技术委员会编制，在2021年4月发布和实施的A类管理体系标准，适用于全球任何类型、规模、性质和行业的组织。
ISO 37301的制定对于各类组织的合规管理能力建设、政府监管活动、国际贸易交流、沟通合作改善等具有重要的意义。其为企业治理者提高组织自身的合规管理能力提供系统化方法，为监管机构和司法机关采信企业组织的合规管理体系实践提供参考依据，为便利全球范围内相关方之间的贸易、交流和合作提供通用规则。
国际标准化组织是一个国际性NGO组织，主要工作就是为了方便物品和服务的国际交换，制定、协调世界范围内的标准化工作，我国1978年加入ISO，2008年成为常任理事国。ISO所制定的标准不是强制执行力的法律规范，属于企业资源选择遵循的，但基于160多个成员国，并构建起的全球庞大的交易信用网络，可以说，ISO细分领域的认证已经是企业在相关货物/服务贸易、实务领域开展业务的“通行证”、“合格证”、“信用证”了。这也可以帮助大家理解，基于ISO37301的要求，建立起合规体系并获得认证，会成为很多国际贸易区域的市场准入凭证；在应对监管机构的检查时，获得ISO 37301认证的企业，可以有条不紊地根据本企业合规体系运行机制做出精准应对，将合规管理理念应用于监管活动的反馈。以及大家津津乐道的“合规不起诉”——此处实务工作中关于刑事合规的理解存有谬误，事实上，ISO37301的原文是这样说的“In a number of jurisdictions, courts have considered an organization’s commitment to compliance through its compliance management system when determining the appropriate penalty to be imposed for contraventions of relevant laws. Therefore, regulatory and judicial bodies can also benefit from this document as a benchmark.在许多司法领域，法院在决定对违法行为做出适当处罚时，会通过考虑组织的合规管理体系建立情况来判断该组织的合规承诺。因此，监管和司法机构也可在判决过程中参考本文件或将其作为一个基准。”由此，各国在内国法领域内开展的涉案企业合规整改可适当予以减轻或免除刑事处罚的做法，实现了非政府体系的呼应。例如，法国的“萨潘法案”、美国的《联邦量刑指南》中关于“合规免罪或缓刑制度”、意大利《反贿赂法案》、世界银行《诚信合规指南》，以及我国的《涉案企业合规建设、评估和审查办法（试行）》。事实上，涉案企业合规整改，是合规动态化在企业治理中的延伸呈现，绝对不是直白的“诉辩交易”，本质上是对企业的一种过程性监管和制裁，“以前合规经营的，犯了可原谅的错误”或者一直自由奔跑的，悬崖勒马，自愿开展“除罪化改造”，自此回归到有效合规发展的路上。关于这个可延展的话题，我们回头再聊。
言归正传，“合规”之于企业，与合法性是否同一？国际标准组织关于合规的内涵外延，没有给出明确的定义，ISO 37301：2021中关于合规的描述是这样的：

3.25合规义务
组织（3.1）必须遵守的要求（3.14），以及组织自愿选择遵守的要求

3.26合规
履行组织（3.1）的全部合规义务（3.25）。
再往下延展一层，到了我们的舒适区，看看《中央企业合规管理办法》第三条：本办法所称合规，是指企业经营管理行为和员工履职行为符合国家法律法规、监管规定、行业准则和国际条约、规则，以及公司章程、相关规章制度等要求。
综合以上，按照笔者的理解，合规的“规”，可以分为“内规、外规”，所谓内规是指企业的内部规范，包括但不限于：岗位职责、管理制度、工作流程、公司章程等；外规则是指不由企业制定的但需遵循的各项规范，包括但不限于：法律法规、行业准则。虽然办法中未将企业的社会伦理、社会责任、道德评价做出明示，但基于“可持续发展”、“双碳”发展目标，以及对企业的合规性评价、上市公司ESG报告强制披露制度等制度，对企业的该些要求在不同的方面做出了明确要求。一个致力于开展合规体系建设的企业，是致力于长远发展并获得持续成功的。合规是一个持续的过程，为此，非常推荐大家认真研读ISO37301:2021原文，本次将附言部分中英文对照版本附上。
此处欢迎大家批评指正，展开讨论。


扫描二维码
我们一同讨论
再多说一句，新修订的公司法审阅稿提及“国家出资公司应当健全内部监督管理和风险控制制度，加强内部合规管理”。内控、内审、风险、合规四驾马车，在法治化国企治理的赛道上，连镳并轸，各自发挥作用，又共同驱动企业发展。
附：

引言
致力于长远发展及持续成功的组织有必要结合相关方的需求和期望来建立并维护合规文化。故而，对于此类组织而言，合规不仅是实现持续发展和成功的基础，也是一个机遇。

合规是一个持续的过程，是一个组织履行其义务的结果。合规的可持续性体现在将其融入组织的文化中以及其员工的行为和意识中。在保持合规管理独立性的同时，最好将其与组织的其他管理过程、业务需求和程序相结合。

组织内部建立一个有效的合规管理体系，能表明组织遵守相关法律、监管要求、行业守则、组织标准、 良好治理标准、普遍接受的最佳方法以及道德和社区期望的承诺。

组织合规的实现是由领导层运用核心价值观以及普适的优秀治理方法，结合道德要求和社会准则共同形成的。将合规融入组织员工的行为中，依赖于各级领导层和组织清晰的价值观，以及确认和落实促进合规行为的措施。如果不能确保组织各层级都遵守要求，则可能存在不合规风险。

通过推行具有约束力的价值观和实施适当的合规管理，组织越发相信其可以有效维护自身诚信，避免或尽量减少违反组织合规义务的行为。因此，诚信和有效合规是组织实现良好勤勉管理的关键要素。同时也有助于组织履行社会责任。

本文件的目标之一是协助组织发展和传播积极的合规文化。同时，组织应将有效及可靠的合规风险管理视作一种值得追求和利用的机遇，因其能够为组织提供下列优势：

增加商业机会、助力可持续发展；

保护并提升组织的声誉和信誉；

考虑各相关方的期望；

表明组织致力于切实有效管理其合规风险的决心；

提升第三方对组织能够取得持续成功的信心；

最大限度地降低违规行为发生的风险及相应的费用和声誉损失。

本文件详述了合规管理体系的要求，并提供了使用指南和操作建议。根据组织合规管理体系规模及成熟度的不同，以及组织活动和目标的背景、性质及其复杂程度的不同， 本文件中的要求与指南均可调整，其实施方式亦可有所不同。