中国信通院张夕夜、陈慧：合规管理体系有效性评价机制探析

　　对企业而言，国内外合规监管要求不断提高、监管力度不断加大已成必然趋势。近年来，中国企业在合规建设方面的投入普遍加大，企业合规的建设规模和专业化程度有了较大提升。但合规管理体系建设没有标准答案，不同规模、不同行业企业的合规管理体系更不可一概而论。如何判断企业合规管理体系是否实际有效？应通过何种方式对企业合规管理体系的有效性进行评判？成为当下监管部门与企业共同面对的重点与难点问题。过去，企业往往将合规管理体系的有效运行与企业合规管理体系的有效性画上等号，但衡量标准和监管要求正在发生变化。检察机关、审判机关和监管部门开始寻求更加严格的证据标准，对企业所建立的合规管理体系有效性进行验证。这意味着企业必须用更具说服力的数据和评价结果来支持自身的合规声明，而只有在具备科学合理的评价方法与评价内容前提下，这一目标才可能得以实现。

　　经过三十余年的演化发展，合规已成为现代企业治理体系中的关键组成部分。1991年，美国量刑委员会发布《美国联邦量刑指南》，首次将企业是否存在有效的合规和道德计划列为法庭“减轻组织最终处罚”所必须考虑的要素之一。在英国，监管机构可与涉嫌腐败犯罪的企业达成暂缓起诉协议，在企业缴纳罚金并实施预防腐败行为的合规计划后决定暂缓起诉。而随着国资委针对合规管理制定的部门规章《中央企业合规管理办法》出台，中央企业建立合规管理体系正式从倡导建议上升为具有法律强制力的刚性要求。

　　根据行业和司法管辖区的不同，各国法规、相关标准差异很大，业务遍及全球的大型跨国公司需要遵守其运营所在国家/地区的相关法律和法规。而金融服务、信息通信和医疗保健等特定行业由于会对经济、商业和医疗基础设施产生一定的影响，因此面临着数量庞大且日益复杂的法律及合规义务。此外，由于网络攻击技术的持续增强，许多行业同时面临着巨大的网络安全和数据泄露风险。在上述因素单独或综合作用下，可能会导致企业所建立的合规管理体系在实际上无法达到有效性标准或根本无效。为了克服这些挑战并帮助企业建立一套行之有效的合规管理体系，需要定期对企业合规管理体进行审核并评价，根据评价结果进行针对性的改进与提升。

　　对于许多企业来说，科学合理的定期评价活动可以激励创建更加精简有效的合规管理体系。换言之，经过良好设计的合规性检测评价可以帮助企业进一步完善自身合规管理体系建设，提升合规管理质效。因此企业围绕“有效性”这一关键指标开展评估并加大力度检测并修复可能阻碍企业发展的任何合规漏洞，对于推动企业合规管理体系的渐进完善来说至关重要。

　　目前，“企业合规管理体系有效性评价”这一概念未获得统一而明确的定义，在我国出台的有关合规管理的重要文件中，虽均明确提出企业负有评估、检测其合规管理体系的义务，但并未进一步明晰“企业合规管理体系有效性评价”的定义与所涵盖的内容。

　　综合上述文件中有关合规管理体系有效性评价的描述，可将“合规管理体系有效性评价”初步概括为： 以合规风险为导向，以发现和纠正合规管理贯彻执行中存在的问题为手段，以强化过程管控、持续改进提升合规管理体系为目的，对企业合规管理体系的运行过程和成果进行评定和判断的价值判断活动。

　　2022年4月，最高人民检察院会同全国工商联等相关部门印发《涉案企业合规建设、评估和审查办法（试行）》，明确定义涉案企业合规建设，是指涉案企业针对与涉嫌犯罪有密切联系的合规风险，制定专项合规整改计划，完善企业治理结构，健全内部规章制度，形成有效合规管理体系的活动。这就要求企业在建立合规管理体系时，必须满足实质有效的要求，否则流于形式的合规管理工作，只会徒增管理环节和管理成本，无法成为企业减轻甚至豁免刑事责任的抗辩理由。同年8月，国资委公布《中央企业合规管理办法》，对中央企业合规管理体系建设提出了更高的要求。与2018年国资委发布的《中央企业合规管理指引（试行）》相比，《办法》不仅四次提及“有效性评价”的相关内容，在明确中央企业应当定期开展合规管理体系有效性评价活动的基础上，更将企业合规管理体系建设及其有效性考核评价情况与国资委指导、监督、问责工作挂钩，全方位强化合规管理体系有效性评价的要求。

　　随着持续的发展和扩张，企业所需遵守的法规规模和数量也随之增加，并且由于多个监管部门的管辖权可能存在重叠而导致企业合规风险变得更加复杂，这要求企业需实施正确的措施、制度和流程以确保合规建设的有效性。合规管理体系有效性评价对于判断企业合规管理体系的全面性、完备性、科学性，完善相关制度，堵塞管理漏洞，有效避免“纸面合规”“无效合规”来说具有重要意义，它确保企业能够遵守严格、复杂的合规义务，合法合规且合乎道德地展开相关业务。

　　设计有效性评价指标与内容是开展合规管理有效性评价工作的重中之重，科学合理的评价指标与内容不仅能够检测企业已建立的合规体系的运行实效，同时也能发现现有企业合规管理体系中存在的漏洞与薄弱环节，从而帮助企业“查漏补缺”，有效识别、分析和应对遗留的合规风险。

　　参考美国司法部刑事司2023年3月更新的《企业合规计划评估》（以下简称《计划评估》）文件，美国司法部刑事司指出每家公司的风险状况和降低风险的解决方案都值得进行专门评估，但检察官在做出个性化决定的过程中，仍应提出以下三个较为共性的“基本问题”：

　　1.企业的合规计划是否设计合理？

　　2.企业的合规计划是否被认真且真诚地执行？换言之，该计划是否拥有足够的资源和授权使其得以有效运作？

　　3.企业的合规计划在实践中是否有效？

　　在三个“基本问题”之下，《计划评估》整理了相关主题，作为检察官在评估企业合规计划履行情况的可参考项。例如，在评估企业的合规计划设计是否合理时，检察官可根据所涉案件的具体事实和企业实际情况，对企业的风险状况进行评估、审查政策和程序的完备性、检测企业是否制定了适当的培训和沟通制度、考察保密报告结构和调查过程是否可靠、评估企业对第三方合作伙伴的资质和关联情况的了解程度等。

　　整体来看，美国司法部《企业合规计划评估》遵循“计划设计-落地执行-实践检验”的校验逻辑，列举出了各个阶段评价企业合规计划有效性的常见主题和共性问题，并反复强调评估工作的差异性——检察官在设计具体有效性评价方案时，应结合企业规模、行业领域、业务覆盖区域、监管环境以及企业经营过程中可能影响合规计划的内外部因素，进行综合评价分析。“基本问题”+“差异化主题”的评价结构不仅帮助检察官在办理具体案件时明确合规计划评价的目标及任务，更为公司制定、完善合规计划提供了更具实操性的参考方案和更明确的指引方向。

　　在我国，《中央企业合规管理办法》第四条明确提出国资委作为主管单位，负责对中央企业合规管理体系建设情况及其有效性进行考核评价，并依据相关规定对违规行为开展责任追究。但目前除证券行业发布的《证券公司合规管理有效性评估指引》（2021年修订）（以下简称《评估指引》）之外，其他相关部门尚未制定统一的评价指导性文件。

　　《评估指引》将证券公司合规管理有效性评估分为全面评估和专项评估两类，要求证券公司每年应当至少开展一次合规管理有效性全面评估。在证券公司出现被证券监管机构实施采取限制业务等重大行政监管措施或者发生重大风险事件造成严重影响的情况下，公司还应当额外开展合规管理有效性专项评估。在评价内容方面，《评估指引》要求证券公司开展全面合规管理有效性评估时，应当涵盖合规管理环境、合规管理职责履行情况、合规管理保障、经营管理制度与机制的建设及运行状况等方面。在此基础上，证券公司可根据合规管理有效性专项评估的目的和需要，确定专项评估的内容，但有关专项评价的领域范围与具体指标，《评估指引》并未作进一步的细化规定。

　　参考上述国内外合规管理体系有效性评价的理论研究和行业实践成果，结合美国司法部《企业合规计划评估》“基本问题”+“差异化主题”和证券公司合规管理有效性评价“全面”+“专项”两种不同模式的评价标准与《中央企业合规管理办法》所提出的有效性评价要求，在建立合规体系有效性评价标准时，应至少注意以下几点：一是应区分不同性质、不同行业、不同规模企业合规管理体系有效性评价的侧重点，为其确立不同版本、不同要求的评估标准，不强制要求使用统一的评价指标与内容。二是明确合规管理体系有效运行与建立有效合规管理体系的区别，应强调考察企业合规管理体系作为规范企业行为的重要手段是否实际、有效地降低了企业犯罪风险，而非将重点放在考察企业合规管理体系运行过程中企业具体合规任务是否完成上。三是针对我国企业发生频率较高的犯罪类型，在确立一般性的合规评价标准的基础上，适度发布适用于若干领域的专项合规评价标准，确立较为明确的合规评估验收标准。

　　合规管理制度体系是否建立并定期更新、组织体系设计是否合理、运行机制是否流畅、合规保障机制能否对管理工作、业务工作的合规开展提供帮助、企业是否积极倡导和开展合规文化建设并及时采取改进措施，均是检验合规管理体系有效性的重要方面。据此，笔者结合国内外企业合规管理体系有效性评价机制的实施经验，将通用合规有效性评价体系划分为6个维度，21项具体指标。在涉及到对企业具体专项合规管理体系评价的场景下，在通用指标的基础上，结合企业合规管理体系有效性专项评价的目的和需要，再行细化，确定专项评估的具体内容。

　　在合规管理制度体系的评价维度上，一方面要求企业根据适用范围、效力层级等，构建起与企业业务范围和经营规模相适应的合规管理制度体系，另一方面随着法律政策、监管要求、业务范围的不断变化，企业应及时识别适用的合规义务并更新相应的制度文件，对制度不健全或没有规定的,尽快出台相关制度，对不再适应当前监管要求的旧有制度，进行废除或修订。

　　在合规管理组织体系的评价维度上，需明确建立完善的合规管理组织架构是企业合规管理体系建设的基础和保障。合规管理体系的正常运作离不开企业员工的积极参与，所有部门和个人都是具体合规管理制度的执行者，包括合规管理人员、业务人员和中高层领导乃至外包人员。因此，在这一评价维度中，主要评价内容涉及合规管理人员合规履职情况、业务人员合规履职情况、管理者合规履职情况等。

　　在合规管理运行机制的评价维度上，正确识别与评估合规风险是合规管理体系有效运行的前提，应考虑合规管理运行机制的设计是否能够及时发现并预防具体企业业务风险。在明确合规风险的基础上，还需通过合规审查核实企业目前的合规管理体系是否能够发挥相应的作用，及时整改审查中发现的问题，将合规风险的影响降至最低。同时，构建并落实清晰有效的问责机制，加强对员工异常行为的监测排查，杜绝发生同类风险事件。

　　在合规管理保障机制的评价维度上，企业是否开展合规考核评价将考核结果与员工绩效相关联、是否提供充足的人力与资金来支持企业合规工作的开展、合规管理人员是否具有充分的自主性能够独立不受干扰地开展工作都是评判企业合规保障机制是否实质有效的关键内容。

　　围绕21项具体指标内容，企业可将自身合规体系中的相关制度、组织架构、运行流程、保障机制的有效性量化为具体参数，以数字加总或者其他计算方式，综合计算出企业合规建设有效性的得分，采用统一的计分标准予以考核，形成可比较的企业合规体系建设评价结果，帮助企业对不同时期合规管理的有效性进行判断。

　　-结语-

　　合规管理体系建设是一个长期、系统性的工程，作为企业合规管理体系建设中的重要组成部分，合规管理体系有效性评估对于企业形成合规管理长效机制并推动行业监管机制完善发挥着极为重要的保障作用。

　　当下，中国企业合规管理体系建设工作正在如火如荼地开展中，对于大多数企业来说，合规管理有效性评价工作也正处于起始阶段，如何开展企业合规管理体系有效性评价工作以及如何利用有效性评价结果是目前建立合规管理体系有效性评价机制亟待解决的关键问题。《中央企业合规管理办法》《关于建立涉案企业合规第三方监督评估机制的指导意见(试行)》等法规政策文件的出台为企业开展合规管理体系评价工作奠定了法律基础。在前期工作的基础上，相关部门还应尽快制定并推广统一的有效性评价标准，以便为合规管理有效性评价工作的开展提供必要的规则指引和指标内容参考，推进对企业合规的有效性评价，完善合规管理长效机制，帮助企业更好地应对日益复杂的外部监管环境，真正发挥合规管理体系的价值。

　　张夕夜，中国信通院知识产权与创新发展中心研究员，主要从事企业合规治理，数据合规、个人信息保护等方面的研究工作。

　　联系方式：[email protected]

　　陈慧，中国信通院知识产权与创新发展中心研究员，主要从事企业合规治理，算法合规、人工智能合规等方面的研究工作。

　　联系方式：[email protected]