随着大合规时代的到来，企业对合规工作越来越重视，进而引发了企业对合规服务需求的增加。
下文，将与大家解析什么是“大合规时代”背景下的企业合规。
一、企业合规是什么？
PART 1
合规，英文为compliance，指合乎规定，遵守法律规则的意思，表现为遵守国际公约，国家法律，法规，规章制度，行业规范，职业伦理，公司章程等。从字面意思理解的企业合规就是企业遵守法律法规，依法经营和管理。当然，如果只是将企业合规理解为依法经营，那么没有必要刻意提及企业合规这一概念。
企业合规最初是为配合国际反商业贿赂的开展和合作产生的，如1977年美国《反海外腐败法》。21世纪开始，企业合规从刑事领域扩大到行政监管领域，如2005年巴塞尔银行监督管理委员会发布的《合规与银行内部合规部门》，2014年国际标准化组织发布的《合规管理体系指南》。这些法律文件旨在指导企业建立起自上而下的完整、有效的合规组织体系，从而对风险进行有效的应对和管控。从实践来看，如果企业没有建立起完整有效的合规体系，一旦被调查，就可能面临巨额罚金，甚至刑事风险。
因此，企业合规体现的是一种义务，是企业按照国家监督部门和执法部门的要求建立的防控刑事犯罪风险和行政处罚风险的治理结构和治理体系，是刑事监督部门和行政执法部门在对违规企业采取执法行动之前，考虑企业是否建立有效合规计划，来作为是否给予宽大行政处理或刑事处理的依据。
二、为什么说我国进入“大合规时代”？
PART 2
从2006年开始，银监会、保监会、证监会陆续颁布《商业银行合规风险管理指引》《保险公司合规管理办法》《证券公司和证券投资基金管理公司合规管理办法》，到2017年国家标准委员会颁布的《合规管理体系指南》；2018年国资委颁布的《中央企业合规管理指引（试行）》，再到2018年国家发改委、外交部、商务部、人民银行、国资委、外汇局、全国工商联联合颁布的《企业境外经营合规管理指引》，可以看出，我国适用合规制度的企业有从金融机构扩展到央企，再扩展到全体企业的趋势；规范性文件的颁布主体从个别部门扩展到几大部门联合；内容上从建立合规组织架构到全面建立合规体系的扩展。故2018年也被称为中国的“合规元年”。
证监会于2015年发布《行政和解试点实施办法》，试点开展证券期货领域行政和解；2020年发布《证券期货行政和解实施办法(征求意见稿)》，为进一步开展行政和解工作征求意见。最高人民检察院于2020年3月在6个基层检察院率先部署了企业刑事合规不起诉改革的试点工作，取得了良好效果后，于2021年发布《关于开展企业合规改革试点工作的方案》，启动了第二期企业刑事合规不起诉改革试点。同年6月，最高人民检察院会同司法部、财政部、生态环境部、国资委、国家税务总局、国家市场监管总局等行政监管部门，发布《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》，首次将行政监管部门引入到企业合规不起诉的改革试点工作之中。这一系列行为标志着我国正式步入“大合规时代”。
三、企业合规的内容是什么？
PART 3
因为完整的合规制度涵盖公司治理、经营、员工健康和公共安全、反商业贿赂和腐败、消费者权益保护、反垄断、反不当竞争、环境保护等众多领域，所以企业打造大而全的合规管理体系无疑不切合实际，也不具有可行性。故企业应当结合企业性质、业务、规模等因素“量身打造”一套有针对性的合规计划。如德国西门子针对反海外贿赂问题建立反海外贿赂合规计划；中国湖南建工集团针对企业参与国际银行招投标中的欺诈、腐败等问题打造的诚信合规计划；中国中兴通讯股份有限公司针对企业从事进出口业务过程违反有关国家出口管制法律的问题建立出口管制合规计划等。
目前最迫切的专项合规计划在刑事领域有：反商业贿赂合规计划；数据保护合规计划；反洗钱合规计划；从事出口销售企业迫切的合规计划有出口管制合规计划、诚信合规计划；经济法、行政法领域有：反垄断合规计划、反不当竞争合规计划、税收合规计划、环境保护合规计划、知识产权保护合规计划、证券合规计划、保险合规合规计划。
一个完整的专项合规计划通常包括五大体系：一是商业行为准则；二是合规组织体系；三是防范体系；四是监控体系；五是应对体系。[1]具体而言包括制度层面上包括：合规章程的建立，合规组织的建立，专项合规政策；应用层面上包括：企业合规风险调查，合规评估，尽职调查，合规培训，举报投诉机制，内部调查，处罚机制，整改机制，弥补合规体系漏洞等。
四、我国企业合规存在哪些障碍？
PART 4
截止2019年12月，我国共有44家企业受到世界银行的制裁，大多数为国有企业，主要集中在招投标领域的欺诈行为，还有少数腐败现象。[2]
按照我国刑法的规定，企业触犯刑法，对企业只有一种惩戒机制就是判处罚金。但在行政法领域，企业违法可能被警告、罚款，没收违法所得，没收非法财务，责令关闭，责令停产停业，甚至被吊销营业执照。在法律层面，行政处罚比刑事犯罪适用的法律维度更广，处罚标准更低。因此，对于企业而言，面临的行政处罚风险更大。
尽管我国出现了合规激励机制的萌芽，使得一些违规企业可以通过提出合规抗辩来换取较为宽大的行政处理，但是这种合规激励机制适用范围很小。刑事司法领域方面，在最高人民检察院进行针对企业经营类犯罪作出宽大处理试点前，企业运用合规机制来抗辩获得宽大刑事处理是几乎不存在的。行政执法领域方面，我国虽然将纠正违法行为，消除或减轻违法后果的方案作为达成行政和解，获得宽大处理的前提条件，但是与美国、世界银行等要求的建议较为完整的企业合规机制规避行政处罚不同。我国执法机关并未要求企业建立完整的合规计划换取较轻处罚。因此，严格意义上的为应对国内执法机关调查的企业合规机制在我国还并未建立。那些建立起较为完整的合规计划的企业更倾向于防范国际、国外的行政处罚和刑事问罪风险。
虽然，目前我国企业合规机制没有得到充分落实，但是，中国证监会正在开展企业行政和解制度的试点，最高人民检察院正在开展企业经营活动中的经济犯罪、职务犯罪“不捕”“不起诉”“不判实刑”的试点。今后除了这两个部门，市场监督部门、税务部门、环境保护部门、银行保险监督部、商务部门等政府监管部门也会逐步建立行政和解协议制度。
五、建立企业合规机制的关键在哪里？
PART 5
企业专业计划的核心在于责任切割。尤其是在企业员工、子公司、第三方或者被投资并购方实施行政违法行为或者犯罪行为的情况下，企业只有建立合规风险防范机制，才能证明自己对员工尽到了培训和教育义务，证明自己并没有鼓励或者同意前者的违法、犯罪行为。
一方面，在刑事犯罪领域可以以完整的合规体系作为企业无罪的辩护。如2015年兰州市中级人民法院对雀巢公司数名员工涉嫌侵犯个人信息案件的判决载明“雀巢公司手册、员工行为规范等证据证实，雀巢公司禁止员工从事侵犯个人信息的违法犯罪行为，各上诉人违反公司管理规定，为提升个人业绩而实施的犯罪为个人行为。”可见，兰州市中级人民法院判决表明，只要单位建立了合规管理体系，对员工进行过相关合规培训，禁止员工从事违法违规行为，甚至对从事违法违规行为的员工进行了处罚，那么，由员工实施的行为为个人行为。
另一方面，在行政执法领域，企业可以以合规体系抗辩，避免行政处罚。如新行政处罚法第33条第2款规定“当事人有证据足以证明没有主观过错的，不予行政处罚。法律、行政法规另有规定的，从其规定。” 可见，在行政处罚领域，企业也可以通过完整的合规体制证明并不存在主观过错，从而获得不予行政处罚的宽宥。
六、企业如何建立完整的专项合规计划？
PART 6
首先，企业为预防特定合规风险，需要颁布专项合规政策和员工行为准则，明确告知了员工行为的边界范围，对那些违法违规行为提出了明确的禁止性要求，并建立了惩戒性制度。这需要一边在企业内部治理方面要找到风险发生的环节，一边是要穷尽国家的行政法规、地方性法规、部门规章,还有行业惯例、商业伦理、刑法、相关案例等，两边相互结合可以产生数百个条款,整个过程相当于重新立法。
其次，企业为预防合规风险，需要对员工或高管进行合规培训，这种培训既包括定期的常规培训，又包括针对重点高危工进行的专项培训。假如企业进行过这种培训，留存了培训记录，出具了员工签署的承诺函，那么，就足以证明企业尽到了对员工的提醒、教育和沟通义务，既没有鼓励或者放纵员工的犯罪行为，也没有在阻止员工违反法律法规方面存在失职行为。
再次，在日常经营过程中，假如企业对员工的行为建立了实时合规监控措施和行之有效的合规监控措施，存在自下而上的合规报告机制，实施了违规行为的举报制度，那么，这足以说明，企业对于员工的违法违规行为建立了预警机制。
最后，在违规行为发生后，企业对于员工的违规行为进行及时的内部调查，必要时针对违规员工启动专门的反舞弊调查，对存在违法违规行为的员工进行及时的惩戒，并适时进行制度整改，弥补合规体系的漏洞，这也足以说明，企业在配合监管调查以及应对违规行为方面，采取了积极有效的补救措施。
在合规计划开展前，企业需要针对企业的性质、业务活动、风险防范情况进行评估，生成风险评估报告。在合规工作进行中，需要针对客户、第三方合作伙伴和被并购企业的尽职调查，尽早发现问题，进行责任切割，规避风险。针对行政机关、监察机关的违法调查时，需要积极应对。上述合规工作开展中，需要及时弥补合规体系的漏洞，完善企业合规计划。
可知，合规工作的内容繁多，专业性要求极高，从目前已经建立完整合规计划的企业来看，大都是寻求与第三方专业机构合作的方式。通过与专业机构的合作，企业合规工作的开展取得了良好的效果。
来源: 湖南天地人律师事务所 文 | 发展研究中心 潘敏华
[1] 参见周振杰等：《合规计划有效性的具体判断：以英国SG案为例》，载《法律适用》（司法案例）2018年第14期。
[2] 陈瑞华著《企业合规基本理论》，法律出版社，2020年8月第1版，第29页。
