方圆之道 | 如何全面构建符合中央企业特色的合规体系？

1 央企依法开展合规体系建设的重要意义

十八大以来，为认真贯彻落实党中央“全面依法治国”的战略部署，中央企业主管部门陆续出台了一系列制度和措施，在组织建设、制度流程、海外运营、经营投资等细分领域对央企合规工作提出了更高要求。因此，中央企业依照《指引》完善合规体系建设，是国家制度层面要求的“规定动作”，也是落实党中央“全面依法治国”战略的重要举措。

表1：2015-2018中央企业主管部门出台的部分合规制度

2018年以来，新修订的《反不正当竞争法》正式实施、市场监督管理局正式挂牌、“一行三会”重拳整治市场乱象、政府监管呈持续高压态势；同时，国际地缘政治摩擦加剧，贸易保护主义抬头，压力不断向企业传导。因此，央企在海外投资风控、反腐败、反洗钱、出口管制、信息安全等领域面临的合规挑战不容忽视。企业依照《指引》建立符合国际标准的合规体系，能够有效防控风险、依法合规运营。

近年来，国家进一步加强对国有企业的监督管理，对主管领导的个人追责力度也不断加大，大量权力集中、资金密集、资源富集岗位的央企领导纷纷落马。企业依照《指引》，建立健全合规管理体系，能够及时分析、识别、评估和应对企业经营投资重大风险，压缩腐败贿赂、利益输送的操作空间。因此，完善的合规体系既是企业经营的防火墙，也是高管人员尽职免责的重要屏障。

2 《指引》落地可能面临的主要挑战

《指引》共六章，三十一条，确立了全面覆盖、强化责任、协同联动和客观独立四项合规基本原则，对董/监事会、经理层、法律事务机构的权责进行了明确，并对合规管理主要风险点、管理运行机制和保障措施进行了规范，为央企合规体系搭建、管理和运行提供了较为完善的制度框架。近期实务界相关论述较多，本文在此不再就《指引》条文的解读分析进行赘述。

但是，框架完善并不当然等于顺利落地。在实践中，央企业务和经营模式各具特色，遇到的问题也会千差万别：

上述问题，相信开展合规体系建设的央企都深有体会。鉴于中央企业体系化合规建设尚处于初创和探索阶段，我们根据法律实操经验，提出如下央企全面合规体系建设的总体思路和主要内容，供读者参考指正。

3 中央企业全面合规体系建设的实务分析

《指引》第三条第三款规定，央企要“推动合规管理与法律风险防范、监察、审计、内控、风险管理等工作相统筹、相衔接，确保合规管理体系有效运行”。根据我们的实操经验，央企在建立合规组织框架时，遇到的首要问题往往不是填补管理空白，而是面对分散的既有合规职能，如何理顺内部组织框架，划清合规部门与相关职能部门的职能边界和协作关系。

在合规体系建设过程中，央企经常遇到的问题就是如何搭建合规组织框架。央企的内部组织架构中，审计、风险、内控、法律等部门均可能承担部分合规职能，纪检、党建巡视等部门在执纪问责和反腐败中更是起到不可或缺的作用。同时，许多央企还可能存在总部部门独立，事业部或子公司合署办公，管理条线上下不垂直的现实情况，需要在合规组织体系搭建中予以通盘考虑。

我们理解，《指引》也可能有意识地回避了这一问题。《指引》征求意见稿第二十条对风险管理、纪检监察、审计等部门的职责分工进行了详细规定；而正式发布的《指引》则仅规定“监察、审计、法律、内控、风险管理、安全生产、质量环保等相关部门，在职权范围内履行合规管理职责”，具体分工交由企业根据自身情况确定。

在实践中，合规体系建设和运行容易和党建巡视、纪检监察、审计监督等职能交叉覆盖。为了便于读者理清相关部门权责，我们初步整理了以上四种管理体系的工作职责、工作方法和相互关系。

表2：合规管理部门与相关部门工作职责和相互关系

在根据企业实际明晰主要工作部门的关系后，企业可以依照《指引》要求，从领导层、管理层和执行层三个层面入手，根据自身特点搭建合规组织框架。

图1：中央企业合规组织基本框架

以东方电气为例，作为国资委首批合规试点央企，东方电气建立了以“董事会—战略、投资及风险管理委员会—公司管理层—总法律顾问”为架构的合规管理顶层设计。同时，以法务审计部为归口管理部门，以纪检监察部为专项部门，以公司各部门和所属企业为直接责任部门，构建起完善的合规组织框架。

图2：东方电气公司合规组织框架

* 信息来自公开网络

《指引》第十二条规定，中央企业应当根据外部环境变化，结合自身实际，在全面推进合规管理的基础上，突出重点领域、重点环节和重点人员，切实防范合规风险。由于合规体系建设涉及制度制订、流程再造甚至组织重构，不能全面铺开，而是要根据企业经营特点，选好重点切入领域。

例如，跨国企业合规一般比较关注反腐败、反垄断、安全环保、政府与社区关系、劳动用工与人权保护等领域,而中央企业通常更重视公司治理、管理层履职、“三重一大”、国有资产产权交易等方面。同时，根据企业经营内容，还有可能重点关注出口管制与制裁、数据保护等合规管控的新领域。因此，在制度框架的建立过程中，央企要注意在借鉴成熟经验的基础上，扎扎实实地调查、摸清自身真正的重点领域和关键环节。

以中国移动为例，作为国资委首批合规试点央企，中国移动在市场竞争、反商业贿赂、行政执法配合和信息安全四个重点领域狠下功夫，在上述领域出台了操作指南，同时以合规制度向第三方延伸，妥善保护用户个人信息，治理垃圾短信、虚假主叫、骚扰电话和互联网恶意程序为抓手，构建符合其经营特色的合规管理体系。（* 信息来自公开网络）

识别和评估合规风险是做实合规体系建设的重要内容。《指引》第十八条要求企业建立合规风险识别预警机制，全面系统梳理经营管理活动中存在的合规风险，对风险发生的可能性、影响程度、潜在后果进行系统分析，并对重大风险及时发布预警。在评估时，企业通常应当考虑审计结果、近期诉讼或者和解情况、合规举报、员工反馈、行业监管趋势以及某个领域合规制度的完善程度等因素[1]。

实践中，企业可以采取风险矩阵的方式进行风险评估，并列举每个领域的风险级别、违规可能性以及违规对企业的潜在损害。

风险矩阵可以基于流程，即围绕流程来识别某些步骤可能存在的合规风险。该模式需要将公司的流程制度按照现代企业流程的“1+6”标准结构（特定目的、步骤、组织、活动、控制记录、工作标准和工作方法）进行描述，形成“流程地图”。根据此“流程地图”和基于合规风险分布特征的权力识别模型，识别权力；再根据权力内容，确定对应的合规风险点，分析风险发生后果及原因，评估风险等级；最后，确定需要企业采取管理措施的合规风险。

风险矩阵也可以基于岗位，即围绕岗位权责内容来识别分析评估分布在岗位职责中的合规风险。首先将公司岗位职责内容逐一列出；然后根据每项岗位职责和基于合规风险分布特征的权力识别模型，识别每项职责内容中的权力；根据权力内容，确定对应的合规风险点，分析风险发生后果及原因，评估风险等级；确定企业要采取管理措施的合规风险。[2]

在厘清业务重点领域和主要风险之后，我们建议企业聘请专业律师，对内外部制度进行梳理，按照业务领域和环节建立企业的法律法规库，并发布相关合规指引。

在实践中，我们通常会为企业分别梳理外部法规库和内部制度库。对于外部制度，要充分洗选、分解相关法律法规，总结出“Dos”（需要做）和“Don’ts”（不能做）两个列表，为企业管理人员和普通员工廓清行为指引和监管红线。对于企业内部制度，要对照外部规定，评估企业现有的内部政策和流程能否体现监管要求，能否确保外部制度得到有效的贯彻落实，通过查漏补缺，发现企业内部管理制度和流程中的风险点。在发现问题的基础上，形成企业内部的合规要求，发布具备可操作性的合规指引。

注：

作者简介：