首先需要明确，什么是企业合规管理？

合规，即符合规则。这里的规则，包括“外法”和“内规”。“外法”即法律法规、监管规定、行业准则和国际条约、规则等，“内规”即企业章程、规章制度，从两者的关系来看，“内规”往往企业根据自身的经营状况、组织架构等具体情况将“外法”转化而来。2017年12月，我国国家标准化管理委员会发布了GB/T 35770-2017《合规管理体系指南》国家标准，采用了ISO19600标准，为中国企业建立合规管理体系提供了指南。

根据指引第二条，本指引所称合规管理，是指以有效防控合规风险为目的，以企业和员工经营管理行为为对象，开展包括制度制定、风险识别、合规审查、风险应对、责任追究、考核评价、合规培训等有组织、有计划的管理活动。但合规管理产生之初，并不是这样的含义。

产生于美国1977年因水门事件及当时大量跨国公司向外国政府官员行贿以拿到订单的丑闻等而颁布的《反海外腐败法》（FCPA），可谓现代第一部与合规紧密相关的法案。虽然该法案因其域外管辖效力而备受争议，但其“禁止企业向外部人员，特别是公职人员行贿”的法律规定，仍然是合规领域中最狭义的合规——即反商业贿赂合规的来源。而广义的合规，还包括反垄断、反洗钱、反不正当竞争、税务合规、知识产权合规、劳动用工合规、环保与质量安全合规等领域，这也被称为“大合规”。

这就引申出了第一个问题，合规与相关风控体系之间是什么关系？合规是否等同于法律事务？

由于中央企业已经普遍建立了纪检监察、全面风险、法律风险、内部控制、安全环保等相关工作体系，与合规管理在工作内容、方式有较大程度重合。在合规体系建设中如何处理好与他们的关系，避免管理资源的浪费，成为一个无法回避的问题。

指引在体系建设协调性原则中，明确提出：推动合规管理与法律风险防范、监察、审计、内控、风险管理等工作相统筹、相衔接，确保合规管理体系有效运行。在合规管理职责的安排上，提出监察、审计、法律、内控、风险管理、安全生产、质量环保等相关部门，在职权范围内履行合规管理职责，从而在整体上确立这些体系之间关系架构，重点不是整合、融合、替代，而是相互统筹和衔接，克服了体系推广中的普遍存在的，认为只能在大一统的风控平台上才能开展合规建设的观念障碍。

合规管理是企业管理的基本，其他监督工作是在此基础上的分支和深化。建立企业合规管理体系，合规管理是要形成企业的监督格局，而其他监督工作则是要强化企业管理的具体手段。格局和手段的关系不是并列的，而是相互交融、你中有我的关系。所以，做好企业的合规管理，必须对现有企业的监督资源有效整合，要注意瘦身，而不是增肥，否则会出现更大的内耗。

企业合规不是一般意义上的“风险防控”，甚至也不等于笼统的“法律风险防控”。从中国中兴通讯公司重建出口管制合规体系的经验来看，该公司早就设立了法律事务部门，为什么在接受美国司法部、商务部和财政部的出口监管调查之后，还要重建出口管制合规体系呢？这显示出合规部门所承担的“合规风险防控”，既是整个“法律风险防控”工作的组成部分，也与一般的“法律风险防控”具有实质性的区别。对于一个将合规部门设置在法律部门之中的企业而言，合规部门所承担的主要是防范合规风险的工作。

既然明确了合规不同于法务或相关风控体系，那么第二个普遍存在的疑惑在于，合规机构应当怎么运转呢？

根据国资委对合规工作以法律部为主的总体设计，指引中并没有按照国外合规管理通常做法，设立首席合规官，而是以合规负责人的概念代替。考虑到目前中央企业总法律顾问实施并不完善的总体情况，指引规定：中央企业相关负责人或总法律顾问担任合规管理负责人，基本确立了合规管理在总法律顾问工作序列中的原则。

在机构设置上，指引始终贯彻了合规是公司全体部门的工作要求的理念，对于责任部门，采用了合规牵头部门的概念，而不是合规管理部门的概念，主要职能是组织、协调和监督合规管理工作，为其他部门提供合规支持。同时明确了法律事务机构是合规管理首选的牵头机构。

合规管理体系要做到客观独立，这是确保企业合规管理工作及时有效的根本保障。独立性是合规管理工作监控属性的必然要求，在合规管理比较成熟的欧美企业和金融企业中，合规管理在工作机构、职责、内容、活动等方面都是完全独立的体系。但是考虑到国内非金融企业合规管理起步晚，相应的合规职能已经有相关业务部门承担，建立完全独立的合规组织体系和工作体系难度大，也容易形成新的工作冲突。

指引在合规体系建设客观独立原则中明确合规管理牵头部门独立履行职责，不受其他部门和人员的干涉，强调的是工作独立，而不是合规部门独立。

合规工作的监控属性，不仅要求合规管理的独立性，而且要求合规管理的高层次性，以确立其权威性。指引在合规体系建设强化责任原则中要求：把加强合规管理作为企业主要负责人履行推进法治建设第一责任人职责的重要内容。在合规管理职能的安排中明确：合规管理负责人的任免、合规管理牵头部门的设置和职能等关键合规职能由董事会负责，合规工作实际决策者是公司董事会，将合规工作从部门层面提升到战略层面，为合规工作的全面开展奠定了良好基础。

第三个问题是合规真的有必要存在么？

有这样一种声音，认为合规仅仅是某种形而上的产物，存在为了合规而合规的形式主义倾向。但事实上，合规是存在着坚实的理论和现实依据的，其中蕴含着的风险和机遇并存。它不仅是企业主动遵守法律、法规及国际规则等合规义务。

合规，还是立法和执法监督部门的一种有效立法与监管技术。制度化的合规监管技术原理，最早体现在美国1991年的《联邦量刑指南》第八章中 “如果企业建立了有效的合规系统，那么可以减轻其刑罚。按规定的量刑标准，减轻幅度最高可达95%；如果企业怠于合规，最高可处4倍罚金”。

正因为存在此类激励机制，合规管理才在企业整体管理体系中越来越受到重视。随着政府监管力度的加强，企业合规从原来的依法依规经营，变成了在行政监管激励和刑事激励下的企业治理方式。在诸多国际组织的推动下，企业合规还逐渐成为一种新的国际公司治理方式，不仅为一些国际公约所确立，而且还成为国际组织督促企业改变经营方式的执法激励机制。

因此，企业合规不仅仅具有企业依法依规经营的含义，还是企业自我治理、自我监管和自我整改的治理方式，更是一种在企业陷入执法调查时获得宽大处理的激励机制。

如果说“合规激励”是合规管理产生的拉力，那么“合规处罚”则是合规管理产生的推力。大量的企业被执法部门重罚，给同行、同类型的企业带来极大触动，促使他们快速加大对合规管理的重视。合规风险可以分为监管处罚风险、刑事风险和国际组织制裁风险等三种。

由监管部门启动的行政执法程序一旦启动，企业有可能被作出严厉的行政处罚；这种由刑事执法机关启动的刑事诉讼程序一旦启动，企业就可能被宣告有罪，并被追究刑事责任。甚至在由世界银行等国际组织所发动的制裁程序中，这种制裁一旦实施，那么，企业将会遭受重大损失。

而上述行政处罚、刑事追究以及国际组织制裁所带来的最严厉后果，莫过于企业“被剥夺特定资格的后果”。这种资格剥夺可以是企业失去特定经营许可资格，从而使企业遭受经济损失乃至声誉损失，由此引发的“雪崩效应”会使企业承受灾难性的代价。也可以是丧失贷款和参加投标的资格，还可以是被吊销营业执照，从而被依法宣告为“企业死亡”。

综上，企业合规属于一种由企业和行业协会推行的内部治理方式。它不同于风控或者法务部门，又相互联系紧密协作。它既要保持一定的独立性，又要服务于企业发展的大局。

建立合规机制，不仅仅属于一种道德义务，更属于一种法律义务，因为国家法律和行政监管法规中确立了强制合规的制度，行政法和刑法开始将企业合规确立为一种执法激励机制，不履行合规管理义务，企业就有可能受到行政处罚或者被追究刑事责任，并因此承担诸多方面的损失。通过明确这三个企业合规管理过程中的主要问题，希望能够更加接近真理之海，让律师的专业意见为企业合理合规健康发展保驾护航。