前言
2022年出台的《中央企业合规管理办法》（以下简称“《央企合规管理办法》”）在第二十七条规定，“中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，强化评价结果运用。”合规管理体系有效性评价是贯穿合规管理体系建设始终的一项重要工作：企业在开始合规体系建设前，应首先摸清公司合规管理现状；合规体系建设结束后，需要进行验收评价；随着合规管理体系的运行，也需要定期对合规管理体系进行查缺补漏。特别是，在重大的合规风险应对（如世行制裁解禁、合规不起诉）中，合规管理体系是否有效，是企业能否减轻、免除处罚或解禁的重要标准。特别是，根据国资委公开消息，2023年起，国务院国资委将正式启动中央企业合规管理体系有效性评价工作，并推动央企定期对子企业进行评价，并将结果纳入考核。因此，合规管理体系有效性评价在当前和今后一段时间，是开展合规管理工作的企业“必须要做也必须做好”的一项工作。
我们在过往项目中，曾经帮助大量央企、国有企业、上市公司进行合规管理体系有效性评价，所依据的外部标准，包括中央企业合规管理指引/办法、地方国资委的合规管理要求、世界银行等国际组织以及ISO等标准化组织的合规要求等。本文对合规管理体系有效性评价的一般方法论进行介绍，并主要从央企的角度对合规管理体系有效性评价的具体开展进行分析，以期对企业下一步的工作开展有所帮助。
一、明确标准
企业的合规管理体系有效性评价，首先应明确的是评价标准，主要来源于企业开展合规体系建设的目的与依据。目前，国内外较为成熟的合规管理体系评价标准包括美国司法部《企业合规项目有效性评价指南》、国际检验认证联合会《IFIA/TIC联盟合规准则实施指南》，国内发布的《涉案企业合规建设、评估和审核办法（试行）》《企业合规管理体系有效性评价指引》《中小企业合规管理体系有效性评价》等专门的评价体系。推而广之，《中央企业合规管理办法》、美国财政部《OFAC合规承诺框架》《世界银行诚信合规指南》等合规管理的体系要求，也能够成为评价标准的重要来源。
对于拟开展评价的企业，首先应明确的是依照什么标准开展合规管理体系有效性评价。例如，对于拟开展贯标工作的企业，可以选择ISO37301等文件作为标准；拟开展世行合规体系建设及解禁的企业，应遵守世行的标准；对于拟开展“合规不起诉”的涉案企业，无疑要遵守《涉案企业合规建设、评估和审核办法（试行）》的要求。因此，明确合规管理体系有效性评价所依据的评价标准，对于后续的评价流程、评价事项等均具有重要的意义，很多情况下也直接决定了评价工作能否取得外部监管机构的认可。
二、方案制定
企业的合规管理体系评价是一项系统性工作，在明确了评价标准后，企业通常会制定专项工作方案，明确评价范围、工作任务、人员组织、现场评价、初步认定、意见反馈、审核确认、认定分析汇总，以及进度安排等相关内容。实践中，该方案通常要经过董事会或合规管理委员会审批。
评价范围方面，合规评价可以分为体系评价和重点业务专项评价两大类，也可以分为公司本级评价包括下属公司的整体评价。具体的评价内容，可以包括被评价单位合规管理体系设计和运行的有效性两大方面；此外，企业通常也会将评价期内遭到的行政处罚以及重大法律风险作为评价内容。评价方法方面，企业通常综合运用个别访谈、调查问卷、专题讨论、实地查验、抽样和比较分析等方法进行系统性评价。
人员组织方面，《央企合规管理办法》将“推动完善合规管理体系并对其有效性进行评价”作为董事会的工作职责。具体而言，董事会可以通过授权推动评价工作开展。根据我们的经验，通常具体负责开展评价工作的是合规管理牵头部门，或由审计部门将其纳入审计评价工作一体化开展。实践中，很多央企由合规管理委员会负责合规评价的组织领导和统筹协调工作，经理层负责合规评价在岗位、人员、经费等方面的资源保障，合规管理牵头部门负责制定合规评价方案、开展合规评价，编制评价报告，并负责整改工作的监督与落实。此外，为保证评价工作的独立性、专业性，实践中企业也经常聘请外部专业律师进行合规管理体系有效性评价。
进度安排方面，完整的评价从2周-3个月不等，会包括工作筹备、评价启动、现场/远程评价、成果提交、总结复盘等工作阶段。
三、模型搭建
合规管理体系有效性评价的核心是评价模型的搭建。换言之，如何设定评价事项、评价角度，来揭示被评价单位在合规管理体系的设计、运行等两方面是否满足评价标准的要求。评价合规管理体系设计通常侧重“有没有”，即只对被评价事项进行形式性审查，如是否设立了合规管理委员会、是否设立了首席合规官，是否建立了合规风险识别、评价机制，是否制定了合规管理清单等；评价合规管理体系运行则侧重于“好不好”，即各项合规管理机制能否在实践中发挥作用，是否仅做到了“纸面合规”。
1. 体系评价模型搭建
体系评价方面，企业评价的内容通常应覆盖合规管理的组织架构、制度建设、运行机制、保障机制、文化建设等方面。依照不同的评价标准，同一评价事项的评价角度可能也会有所区别。例如，同样是对合规管理的顶层架构进行评价，《央企合规管理办法》（示例一）、《企业合规管理体系有效性评价指引》（示例二）、美国司法部《企业合规项目有效性评价指南》（示例三）的评价事项设计可能会完全不同。
示例一
示例二：
示例三
2. 专项评价模型搭建
除体系评价外，对于企业来说，设计专项业务领域评价模型也同样重要。具体而言，要针对企业的具体经营领域，梳理出能够准确分析、识别企业合规管理有效性的指标。同样，不同的评价事项或评价角度，评价清单的设计也会迥然不同，以某地方国资委关于廉洁风险防控（示例四）和某央企海外腐败风险防控（示例五）为例。
示例四
示例五
在确定了评价事项和评价内容后，企业还应该针对不同的评价事项，设定得分权重，突出重点合规管理工作的管理要求。实践中，企业通常重点关注法治建设第一责任人和首席合规官的职责落实、合规管理人员配备与责任落实、合规风险识别与评估、合规审查工作机制等。
四、具体评价工作的开展与报告撰写
具体评价工作开展后，评价工作组应当依照评价方案，综合运用个别访谈、调查问卷、专题讨论、实地查验、抽样和比较分析等方法，充分收集被评价单位合规管理体系设计和运行是否有效的证据，并视情况与被评价单位相关人员进行现场访谈或收集访谈问卷。
首先，评价工作组应制作材料清单，充分收集被评价单位基础材料，对被评价单位的基本情况、业务模式、组织架构、运行机制、汇报条线、潜在风险等事项进行初步摸底，梳理被评价单位在合规管理组织架构、合规管理制度建设、合规管理运行机制、合规管理保障机制等方面的管理现状。
其次，评价工作组应制定问题清单，梳理被评价单位合规管控水平，摸清被评价单位在合规管理组织架构、合规管理制度建设、合规管理运行机制、合规管理文化建设等方面的管理现状（见模型搭建部分）。同时，评价工作组还应当全面了解被评价单位在被评价年度内遭到行政处罚的情况，按照所涉事项类别、监管部门、处罚内容、处罚影响等进行全面梳理（示例如下）。
第三，在完成材料收集后，企业应对被评价单位的合规管理体系从设计缺陷和运行缺陷进行初步认定。实践中，企业通常会对缺陷事项进行划分，例如根据缺陷所带来的潜在处罚或经济损失额度的不同，划分为重大缺陷、较大缺陷、一般缺陷等。
最后，工作组应当将评价结果以及缺陷初步认定情况提交被评价单位，听取被评价单位的反馈意见，并形成评价工作报告。报告应汇总被评价单位的合规管理体系缺陷，对合规管理体系缺陷及其成因、表现形式和影响程度进行综合分析，提出认定意见。具体而言，合规评价工作报告可以包括以下内容：
合规评价的总体开展情况；
合规评价的依据；
合规评价的范围；
合规评价的程序和方法；
合规管理体系的缺陷及其认定情况；
针对合规管理体系缺陷拟采取的整改措施；
合规管理体系设计和运行有效性的结论。
结语
可以预见，随着国内企业合规体系建设工作的不断深入，合规管理体系有效性评价将成为企业合规工作的又一重点。对于开展合规管理体系有效性评价的企业，应该明确评价标准，合理制定评价方案，根据具体业务搭建评价模型并设定评分权重，形成完整的评价报告，最终实现摸清企业合规家底，并为合规管理体系的建设与完善奠定基础。
* 本文感谢实习生刘笑梅同学的贡献。
2022年出台的《中央企业合规管理办法》（以下简称“《央企合规管理办法》”）在第二十七条规定，“中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，强化评价结果运用。”合规管理体系有效性评价是贯穿合规管理体系建设始终的一项重要工作：企业在开始合规体系建设前，应首先摸清公司合规管理现状；合规体系建设结束后，需要进行验收评价；随着合规管理体系的运行，也需要定期对合规管理体系进行查缺补漏。特别是，在重大的合规风险应对（如世行制裁解禁、合规不起诉）中，合规管理体系是否有效，是企业能否减轻、免除处罚或解禁的重要标准。特别是，根据国资委公开消息，2023年起，国务院国资委将正式启动中央企业合规管理体系有效性评价工作，并推动央企定期对子企业进行评价，并将结果纳入考核。因此，合规管理体系有效性评价在当前和今后一段时间，是开展合规管理工作的企业“必须要做也必须做好”的一项工作。
我们在过往项目中，曾经帮助大量央企、国有企业、上市公司进行合规管理体系有效性评价，所依据的外部标准，包括中央企业合规管理指引/办法、地方国资委的合规管理要求、世界银行等国际组织以及ISO等标准化组织的合规要求等。本文对合规管理体系有效性评价的一般方法论进行介绍，并主要从央企的角度对合规管理体系有效性评价的具体开展进行分析，以期对企业下一步的工作开展有所帮助。
一、明确标准
企业的合规管理体系有效性评价，首先应明确的是评价标准，主要来源于企业开展合规体系建设的目的与依据。目前，国内外较为成熟的合规管理体系评价标准包括美国司法部《企业合规项目有效性评价指南》、国际检验认证联合会《IFIA/TIC联盟合规准则实施指南》，国内发布的《涉案企业合规建设、评估和审核办法（试行）》《企业合规管理体系有效性评价指引》《中小企业合规管理体系有效性评价》等专门的评价体系。推而广之，《中央企业合规管理办法》、美国财政部《OFAC合规承诺框架》《世界银行诚信合规指南》等合规管理的体系要求，也能够成为评价标准的重要来源。
对于拟开展评价的企业，首先应明确的是依照什么标准开展合规管理体系有效性评价。例如，对于拟开展贯标工作的企业，可以选择ISO37301等文件作为标准；拟开展世行合规体系建设及解禁的企业，应遵守世行的标准；对于拟开展“合规不起诉”的涉案企业，无疑要遵守《涉案企业合规建设、评估和审核办法（试行）》的要求。因此，明确合规管理体系有效性评价所依据的评价标准，对于后续的评价流程、评价事项等均具有重要的意义，很多情况下也直接决定了评价工作能否取得外部监管机构的认可。
二、方案制定
企业的合规管理体系评价是一项系统性工作，在明确了评价标准后，企业通常会制定专项工作方案，明确评价范围、工作任务、人员组织、现场评价、初步认定、意见反馈、审核确认、认定分析汇总，以及进度安排等相关内容。实践中，该方案通常要经过董事会或合规管理委员会审批。
评价范围方面，合规评价可以分为体系评价和重点业务专项评价两大类，也可以分为公司本级评价包括下属公司的整体评价。具体的评价内容，可以包括被评价单位合规管理体系设计和运行的有效性两大方面；此外，企业通常也会将评价期内遭到的行政处罚以及重大法律风险作为评价内容。评价方法方面，企业通常综合运用个别访谈、调查问卷、专题讨论、实地查验、抽样和比较分析等方法进行系统性评价。
人员组织方面，《央企合规管理办法》将“推动完善合规管理体系并对其有效性进行评价”作为董事会的工作职责。具体而言，董事会可以通过授权推动评价工作开展。根据我们的经验，通常具体负责开展评价工作的是合规管理牵头部门，或由审计部门将其纳入审计评价工作一体化开展。实践中，很多央企由合规管理委员会负责合规评价的组织领导和统筹协调工作，经理层负责合规评价在岗位、人员、经费等方面的资源保障，合规管理牵头部门负责制定合规评价方案、开展合规评价，编制评价报告，并负责整改工作的监督与落实。此外，为保证评价工作的独立性、专业性，实践中企业也经常聘请外部专业律师进行合规管理体系有效性评价。
进度安排方面，完整的评价从2周-3个月不等，会包括工作筹备、评价启动、现场/远程评价、成果提交、总结复盘等工作阶段。
三、模型搭建
合规管理体系有效性评价的核心是评价模型的搭建。换言之，如何设定评价事项、评价角度，来揭示被评价单位在合规管理体系的设计、运行等两方面是否满足评价标准的要求。评价合规管理体系设计通常侧重“有没有”，即只对被评价事项进行形式性审查，如是否设立了合规管理委员会、是否设立了首席合规官，是否建立了合规风险识别、评价机制，是否制定了合规管理清单等；评价合规管理体系运行则侧重于“好不好”，即各项合规管理机制能否在实践中发挥作用，是否仅做到了“纸面合规”。
1. 体系评价模型搭建
体系评价方面，企业评价的内容通常应覆盖合规管理的组织架构、制度建设、运行机制、保障机制、文化建设等方面。依照不同的评价标准，同一评价事项的评价角度可能也会有所区别。例如，同样是对合规管理的顶层架构进行评价，《央企合规管理办法》（示例一）、《企业合规管理体系有效性评价指引》（示例二）、美国司法部《企业合规项目有效性评价指南》（示例三）的评价事项设计可能会完全不同。
示例一
示例二：
示例三
2. 专项评价模型搭建
除体系评价外，对于企业来说，设计专项业务领域评价模型也同样重要。具体而言，要针对企业的具体经营领域，梳理出能够准确分析、识别企业合规管理有效性的指标。同样，不同的评价事项或评价角度，评价清单的设计也会迥然不同，以某地方国资委关于廉洁风险防控（示例四）和某央企海外腐败风险防控（示例五）为例。
示例四
示例五
在确定了评价事项和评价内容后，企业还应该针对不同的评价事项，设定得分权重，突出重点合规管理工作的管理要求。实践中，企业通常重点关注法治建设第一责任人和首席合规官的职责落实、合规管理人员配备与责任落实、合规风险识别与评估、合规审查工作机制等。
四、具体评价工作的开展与报告撰写
具体评价工作开展后，评价工作组应当依照评价方案，综合运用个别访谈、调查问卷、专题讨论、实地查验、抽样和比较分析等方法，充分收集被评价单位合规管理体系设计和运行是否有效的证据，并视情况与被评价单位相关人员进行现场访谈或收集访谈问卷。
首先，评价工作组应制作材料清单，充分收集被评价单位基础材料，对被评价单位的基本情况、业务模式、组织架构、运行机制、汇报条线、潜在风险等事项进行初步摸底，梳理被评价单位在合规管理组织架构、合规管理制度建设、合规管理运行机制、合规管理保障机制等方面的管理现状。
其次，评价工作组应制定问题清单，梳理被评价单位合规管控水平，摸清被评价单位在合规管理组织架构、合规管理制度建设、合规管理运行机制、合规管理文化建设等方面的管理现状（见模型搭建部分）。同时，评价工作组还应当全面了解被评价单位在被评价年度内遭到行政处罚的情况，按照所涉事项类别、监管部门、处罚内容、处罚影响等进行全面梳理（示例如下）。
第三，在完成材料收集后，企业应对被评价单位的合规管理体系从设计缺陷和运行缺陷进行初步认定。实践中，企业通常会对缺陷事项进行划分，例如根据缺陷所带来的潜在处罚或经济损失额度的不同，划分为重大缺陷、较大缺陷、一般缺陷等。
最后，工作组应当将评价结果以及缺陷初步认定情况提交被评价单位，听取被评价单位的反馈意见，并形成评价工作报告。报告应汇总被评价单位的合规管理体系缺陷，对合规管理体系缺陷及其成因、表现形式和影响程度进行综合分析，提出认定意见。具体而言，合规评价工作报告可以包括以下内容：
合规评价的总体开展情况；
合规评价的依据；
合规评价的范围；
合规评价的程序和方法；
合规管理体系的缺陷及其认定情况；
针对合规管理体系缺陷拟采取的整改措施；
合规管理体系设计和运行有效性的结论。
结语
可以预见，随着国内企业合规体系建设工作的不断深入，合规管理体系有效性评价将成为企业合规工作的又一重点。对于开展合规管理体系有效性评价的企业，应该明确评价标准，合理制定评价方案，根据具体业务搭建评价模型并设定评分权重，形成完整的评价报告，最终实现摸清企业合规家底，并为合规管理体系的建设与完善奠定基础。
* 本文感谢实习生刘笑梅同学的贡献。