2018年6月，中興通訊因違反美國出口管制法律而與美國政府剛達成和解協議，2018年10月，華為CFO孟晚舟就因華為涉嫌違反美國出口管制法律而在加拿大國籍機場被逮捕，時至今日，仍在就是否應引渡至美國而在加拿大刑事司法程序中。2019年4月，香港民政局前局長何志平因違反美國《反海外腐敗法》（FCPA）被美國聯邦法院判處有期徒刑3年，罰金40萬。實際上，根據美國司法部公開的案例，僅從2016年1月至2019年1月，因違反美國出口管制法律而被起訴的全球63家企業中，就有25家中國企業和個人，已經超過1/3[注1]。在世界銀行公布的處罰名單中，中國企業從幾年前的屈指可數到目前已經累計至數百家因違反世行規則而先后受到制裁（具體名單可參見世界銀行網站每3小時更新的實時數據[注2]）。其中很多涉及建筑行業，且多系在參與世行項目過程中“欺詐”所致。由此，在全球經濟一體化的大環境下，在中國一帶一路的倡議和踐行過程中，中國企業建立有效的合規體系，已經迫在眉睫。近年來隨著中國企業在世界范圍內若干重大合規事件的發生，以及中國政府層面相繼頒布央企合規指引及企業境外經營合規指引等文件，合規已經成為中國企業必須要考慮的一個重要問題。但對于合規的一些基本問題，包括概念、范圍、與法務和內控的關系以及如何建立有效的合規體系等，在實務中并不統一。由此，本文從合規實務的起源入手，對合規的一些基本問題進行討論，并指出中國企業建立有效的合規體系，應結合企業自身特點和實際情況，不能一概而論。

與此相應，2018年11月2日，國務院國資委頒布《中央企業合規管理指引（試行）》[注3]。同年12月26日，國家發改委、商務部等七部委聯合頒布《企業境外經營合規管理指引》[注4]。據公開報道，在國務院國資委頒布央企合規管理指引之前，從2016年開始已有五家央企試點建立合規體系，但實際運行效果如何尚不得而知。然而，隨著國際社會對中國企業因重大違規事件進行處罰而引發的中國企業對合規的關注，以及中國政府層面對合規的高度重視，可以預見包括央企在內的不同級別的國企以及民企將在接下來的幾年內會意識到合規的重要性，從而期望建立合規體系。因此，如何建立有效的合規體系，將是中國企業接下來很長一段時間內將要面對的一個重要問題。

對于合規的價值，現在比較流行的一句話是，合規創造價值。它不像銷售那樣可以產生直接的經濟效益，但如果企業一旦發生重大合規風險，就可能面臨滅頂之災。比如，如果中國企業因違反美國出口管制而被起訴，那么不但公司可能會被處以巨額罰款，公司的直接責任人員也可能會被追究刑事責任。如果公司高管不想被美國起訴，那就只能停留在中國境內，因為美國與全世界180多個國家簽訂引渡條約，一旦跨入這些協議國家，就極有可能被捕，然后被要求引渡，最后再到美國接受審理。所以顯然，有效的合規，不僅會直接預防公司的員工包括管理層被行政處罰或刑事追責，更多的是預防或幫助公司避免發生重大合規風險，從而為公司帶來穩定的經營環境，以及良好的國內國際商譽等，從而間接為公司帶來效益。如果每個企業都合規，最終也會促進全社會公平競爭，促使企業更加專注于提高自身產品質量和服務水平，最終造福全社會。

歐美國家早期的合規概念主要集中于誠信經營及反商業賄賂領域。比如美國的《反海外腐敗法》（FCPA法案），自1977年立法至今已有四十多年，美國很多公司合規部門主要的職責就是確保公司經營符合FCPA的要求，而對于FCPA而言，其核心的內容就是禁止以賄賂的方法獲取或保留業務。在歐美的世界500強公司中，雖然有些僅設法務部，合規部隸屬與法務部，是法務部門的一個內設機構，但在很多公司中，合規部門卻是一個獨立于法務的部門，而且合規部門的工作仍以反商業賄賂為主，以其他領域的合規工作為輔，包括反壟斷、個人隱私和數據保護及出口管制等。這一點也體現在歐美國家的執法部門，經常引人注目的合規案件，大部分仍然集中在反商業賄賂領域。美國的兩大執法機構SEC和DOJ不定期頒布的FCPA案件，依然被各大歐美公司合規部門密切關注并經常引用，作為企業日常合規工作的重要官方參考和指引。

在中國涉外律師早期的合規業務中，基本來源于美國在華企業違反美國的FCPA法。因此，在涉外律師早先的概念中，合規基本上指的是要合乎美國FCPA法案要求的反賄賂條款和會計條款。當然，對于其他方面的合規，比如反壟斷、反洗錢、勞動、稅務、海關進出口以及出口管制等，也會涉及，但在涉外律師早期的合規業務中，反商業賄賂曾一度占據主要地位。而一些全球組織，比如OECD，世界銀行等，對于合規的定義，也主要在誠信經營和反商業賄賂等方面。當然，隨著時代的發展，合規的概念和范圍也在不斷延伸。比如隨著互聯網的普及以及智能化軟件、工具越來越多的使用，個人隱私和數據保護合規，最近幾年發展迅速，成為合規領域一個越來越重要的分支。再如，隨著中興通訊和華為事件的發生，中國企業也越來越關注美國出口管制領域的合規。

在中國語境下，尤其是伴隨著《中央企業合規管理指引（試行）》和《企業境外經營合規管理指引》的頒布，在中國企業的概念中，合規更多指的是大合規，即全方位、各環節、各領域都要合規，包括反商業賄賂、反洗錢、反壟斷、知識產權、個人隱私與數據保護、稅務、環境保護及勞動用工等。但實際上，如果說合規與其他法律問題有何本質區別的話，那么合規關注更多的是因政府的行政監管或司法機關的刑事追責而可能引起的重大法律風險。如果只是一般的民事法律責任，通常并不需要納入合規管理體系，比如民法概念中的違約責任或侵權責任。

從具體的概念層面來看，通常理解合規指的是遵守國家法律法規、國際慣例和國際條約、行業規范、以及企業內部規章制度等。但對于每一個具體的企業及其員工來講，合規指的就是遵守企業內部的規章制度，而它當然也是來源于國家的法律法規、國際慣例和國際條約、行業規范等各個不同級別的強制性規范，但一定又是高于這些強制性規范，并且要更加細致、更加具有可操作性。如果企業內部的規章制度沒有規定的，才需要到外部的強制性規范條文中去尋找行為依據，甚至是更高的道德層面的要求，比如誠信原則。

對于合規的概念，倒并不需要特別糾結。因為合規在中國剛起步，因此對于中國企業而言，目前會更加關注合規制度的建設，而且剛開始，企業通常期望建立全方位、各環節、各領域的內部規章制度。在建章立制后，企業會自然更加關注合規制度實際運行的效果問題以及樹立正確的合規理念和文化的問題。此外，合規本身也會不斷發展，可能因為某個時間，某個領域重大合規事件的發生，某個領域的合規會凸顯其重要性。

合規與法務、內控及風險控制，都是為了預防、減少公司風險。但四者之間，既有聯系，也有區別。

(一) 合規與法務

首先，法務和合規工作范圍有明顯區別。在公司里，有一些工作明顯屬于法務部門，比如審核合同、修改合同，投資并購，訴訟，包括債務糾紛、勞動糾紛、產品責任糾紛、知識產權申請、維護及知識產權訴訟等。而有些看似與法務相關的法律工作，則明顯屬于合規部門，比如對第三方管理、捐贈與禮物、與政府官員交往，內部違規的調查以及審計等。此外，如果是因政府行政監管或司法機關刑事追責有關的事務，包括接受行政監管部門的調查、處理或司法機關的偵查、刑事處罰等，一般也會歸屬到合規部門職責范圍。

第二，從組織結構來講，歐美很多公司都會設置合規委員會，并定期向董事會報告。然而一般情況下，對于法務部門，則幾乎沒有就法律問題會成立類似的公司層面的工作委員會。

第三，二者也有很多聯系，工作上也有很多需要相互配合。比如合規也會審核合同，但它更多的會看一些法務部門審核以外的法律問題，比如反商業賄賂條款，價格或支付的對價是否符合公允的市場價，是否有壟斷嫌疑，交易主體是否曾有不合規歷史等。有些則以法務為主，合規部門為輔。比如，跨國公司大型并購，通常是由法務領銜，從一開始的項目論證，到對目標公司的盡調、談判、起草文件，以及最后到相關政府部門辦理股權變更等。而合規則只是整個項目的一部分，比如合規會關注目標公司經營過程中的重大合規問題，比如是否有商業賄賂，經營模式是否有刑事風險，是否有逃稅，公司員工社保是否繳納等。但有些事務也會由合規主導，法務配合。比如對于違規事件的合規調查或審計中，在合規部門主導調查或審計時，也需要法務提供法律意見，以確定違規事件的嚴重性。

(二) 合規與內控

首先，內控與合規有明顯的區別。比如，內控主要關注企業的財務問題或現金流向等問題。從制度層面來講，內控通常會關注與財務相關的規章制度等問題，而合規則更關注根本性的、關系公司全局性的問題。如果從一個更高層面來講，內控僅關注制度，而合規是一個公司全局性的完善的體系，涉及公司內部規章制度、公司管理層態度、溝通與交流、培訓、不斷持續改進、調查、懲戒等，合規最終的目標是確保公司的各項運營，不但符合法律法規和公司內部規章制度，以避免行政處罰或刑事處罰所帶來的風險，而且最終是期望建立一個合法合規的公司理念與文化。從這個角度看，內控只是合規體系的一部分。

其次，這兩個部門之間也有很緊密的聯系。比如目標都是一樣的，都期望幫助公司做好預防工作，將風險防患于未然，而且在做合規審計和持續改進時，合規部門通常會邀請內控部門一起組成工作組，進行合規審計，撰寫合規審計報告，并就審計中發現的問題，提出改進意見，以做到持續改進等。

(三) 合規與風險控制

對于企業而言，風險是各種各樣的，按照不同標準劃分也可以分成不同的風險，比如按照是否與法律直接相關，就可以簡單分為商業風險和法律風險。早在2006年國務院國資委頒布的《中央企業全面風險管理指引》第三條就指出，企業風險是未來的不確定性對企業經營可能產生的各方面的影響，包括戰略風險、財務風險、市場風險、運營風險、法律風險等。因此，只要是為控制企業風險而采取的各種措施都可以納入風險控制體系。而合規風險則是企業整個風險中的一部分，而且通常是法律風險中最重要的一些風險，即與行政監管和刑事司法有關的、容易引起企業生死存亡的重大法律風險，所以現在世界各國普遍把合規風險單獨列出來做為一類風險并提倡建立相應的合規管理體系。國務院國資委在出臺央企風險管理指引多年后，又在2018年出臺央企合規管理指引，或許正是基于這種考慮。

中國企業的合規體系建設體系化或者單獨的作為一個概念提出來雖然較晚，但并非沒有做過與合規相關的工作。比如銀行業的合規指引很早就已出臺，央企的風險控制指引也很早就出臺。但這也恰巧說明風控和合規還是有區別，因為在經歷風控之后，現在政府層面仍然提出了合規指引。因此在當下，提倡建立獨立的、體系化的合規體系仍有必要，適逢其時。

然而，說到合規體系建設，目前國內企業對外部律師提出這個要求時，往往認為外部律師只要幫助企業建立一套規章制度就算合規體系建設完成。但實際上合規體系的建立，是一個系統工程。完善的企業制度固然是合規體系建設中極其重要也是非常基礎的一部分，但這也只是其中一部分。制度建立以后，比制度更重要的是有效地運行、持續改進以及合規理念、文化的建立等。

(一) 合規風險

建立合規制度是有效合規體系最重要的基礎。而建立制度的前提，就是要全面、準確識別企業自身的風險。關于合規風險，依據企業所屬的行業（比如醫療、銀行金融、建筑）、類型（生產、貿易等）及企業經營所在的國別等各種因素，每個企業的合規風險就不同。這就決定了在建立或完善制度時，首先需要清楚地識別企業自身的合規風險，才能有針對性地建立不同的內部規章制度。

比如，金融行業和生產型企業合規要求就會差異很大。此外，并不是每家企業都需要關注美國的出口管制規定，因為并不是每家企業都從美國進口零部件。也不是美國企業都需要去了解美國的FCPA法案，因為不是每家企業都會在美國有經營或者與美國有關聯。再如，不是每家企業都需要關注世界銀行的合規誠信指南，因為不是每家企業都會參與世行項目。

(二) 合規制度

通過五家試點央企公開披露的信息可以看到，在合規體系建設中，首先都在企業頒布合規管理規定或合規手冊。這個可以視為是整個合規制度中的重中之重。在這個總則性的文件中，它是綱領性文件。首先它通常都會在引言部分闡明合規的意義和重要性。其次，會將企業認為最重要的問題，以列舉的方式一一列出，比如不得以賄賂的方式開展業務，不得性騷擾，反壟斷，不得內幕交易，遵守勞動法等等。

在這個綱領性文件之下，則有一系列配套文件，比如第三方管理，捐贈與禮品等。至于具體實施性文件，五家央企均未對外公布。但如果是健全的，應當會涉及合規管理的方方面面，比如合規體系中共同的部分，合規組織架構，包括部門成員、職責等，合規委員會議事規則，合規激勵與獎懲，違規事件報告與調查，合規培訓，合規審計與持續改進，然后也會有各個法律領域的規章制度，比如反商業賄賂領域的捐贈與禮品制度，對第三方管理制度等。如上所述，因為每個企業的合規風險都不一樣，所以每家企業的制度也不會一樣，而且不可能一勞永逸。因此雖然有值得借鑒的地方，但一定沒有普世的合規制度，所以絕對不可能拿來抄就行。

對于集團性質的企業，在幫助總部建立合規體系后，還要考慮個子公司和分支機構的特點，具體制定切實可行的制度、組織架構和運營方式。對于有境外業務的走出去的企業，則還需要考慮企業經營所在國的不同國別合規風險。

(三) 合規組織架構

在合規體系的有效運行中，合規部門的設立和組織架構是很重要的一個環節。按照國務院國資委現行頒布的《中央企業合規管理指引（試行）》第十條：“法律事務機構或其他相關機構為合規管理牽頭部門......”。這種設置并不是說一定不合適。但這是否會影響合規部門的獨立性、自主性？比如，涉及公司高管的違規問題，合規部門去調查，是否有足夠的權威性和足夠的獨立性？在歐美國家很多公司中，為保障合規部門能夠有效地履行職責，雖然在部門設置上和其他部門都是平行的，但合規部門通常是獨立的部門，享有極高的自主性，實際上也享有很高的地位，因為首席合規官可以展開獨立調查，可以向董事會和CEO直接匯報。

這次中興通訊也是個值得關注的例子。之前它也有自己的法務合規部。但從最后事件的發生來看，它的合規部門可能在事發當時就很難做到獨立，因為在經營過程中雖明知違反美國出口管制法律，但并沒有制止。甚至在2012年左右發生過一次違規事件后，仍然發生公司管理層偽造相關文件，以應付美國調查，但最終還是被美國相關部門在機場當場查出文件，被證明違反了美國的出口管制法律。而中興通訊的產品很大程度上仍依賴于美國，因此它最終不得不接受了美國政府的安排。最后在合規部門的安排上，中興通訊接受了美國執法部門直接指派的一位美國律師過來擔任中興通訊的合規官。雖然我們無從知曉合規官具體職責及效果，但從它的設置程序來看，它現在是獨立的，且有權向美國相關執法部門直接匯報。

(四) 合規運行

關于有制度而運行出問題的，這方面的例子并不少。2013年發生在中國的葛蘭素史克（GSK）案是近年來發生的一個有合規制度卻并無有效運行機制的典型案例。GSK作為一家在制藥領域處于世界領先地位的全球性企業，它的合規制度不可謂不完善。然而，2013年5月份公司卻爆發丑聞，公司四位核心高管，包括總經理、人事總監、市場總監及法務總監，均被逮捕并最終均被判處刑罰。作為一家世界500強企業之一，而且是RDPAC會員單位之一，它的內部規章制度應該很健全。然而就是在這種背景之下，卻仍然能發生這樣的重大違規事件并構成犯罪，只能說明它的運行有問題。其法務總監也卷入其中就說明合規在這家公司沒有得到很好的運行。事后證明，至少它的合規部門在公司日常經營中沒有真正做到獨立。同樣，它沒有事后持續的審計和持續改進，也沒有很好的對于公司內部違規事件的報告和調查機制等。從事后報道來看，GSK經營過程中出現的不合規并不是一天兩天，而是持續若干年。業務部門幾乎造假成風。他們在平時組織的所謂學術會議中，基本全部采用虛假的申請文件。而在后面的報銷流程中，則大量偽造會議照片、會議參與者假的簽名、虛假的演講PPT以及與旅行社合謀，開具虛假的會議場所使用發票等。然而從會議召開之前的審批到事后費用報銷，偌大的公司法務部、合規部、財務及內控等部門，卻都沒有發現。其制度和運行機制，完全形同虛設。一直到最后中國的執法部門收到涉嫌犯罪舉報進行刑事立案，才發現GSK極其嚴重的違規行為。以致最后構成犯罪，GSK中國區四大高管均被判處刑罰，而公司也被處以30億罰金而收場。

因此，一個完善的合規體系，應該遠遠不止是建立全面而完善的內部規章制度。在有制度的情況下，如何確保它持續、有效地運行，或許是比建規立制更重要的工作。而它的有效運行，如果參考美國司法部2012年頒布的FCPA指引，可以看到至少包括以下若干要素：企業最高層對合規的態度、合規組織、架構的建立、對于違規事件的內部匯報與調查機制、合規的溝通與培訓、對第三方的管理、合規激勵與懲罰、合規審計及持續有效的合規體系改進等[注5]。2019年4月，美國司法部進一步頒布了《對于合規體系的有效評價》[注6]。除此以外，一些國際組織的合規制度，也可作為參考，比如世界銀行頒布的《世界銀行集團誠信合規指南摘要》。

(五) 合規人才

在國家層面從2018年底開始，從上往下推行合規管理體系建設的背景來看，目前中國企業對建立合規體系的意識，尚沒有達到普及的程度。合規工作不僅要求具備廣泛的知識，尤其是法律，而且需要極其豐富的管理和協調能力，因為合規往往面對的都是企業重大問題，而且在為企業把好關的同時，還要保護企業正常的業務發展，這會導致業務部門與合規部門之間會有天然的矛盾。中國企業目前對于合規的需求并不完全相同，其中國企（包括央企和地方國企）基本上是應國務院國資委或各級地方國資委的要求才會去被動建立合規體系，而民企則更多是碰到行政處罰或刑事處罰時，才會想到去建立合規體系。與此相應，中國國內的合規人才目前并不是很多。從目前中國市場中比較活躍的合規從業員來看，主要有較早接觸合規業務的國際律師事務所律師，跨國公司合規部門的從業人員，以及大型央企、國企或民企中合規部門從業人員，還有國內一流律所中從事合規業務的律師，是目前國內主要的合規力量，彌顯珍貴。因此，在目前起步階段，中國企業要建立合規體系，還需要外部有合規經驗的律師協助。之后，在企業建立合規體系的過程中或者積累一定經驗后，可以再發掘、培養了解和適應企業自身特點的合規從業人員。

(六) 國企與民企

國企與民企在建立合規體系時，在某些方面具有共通的地方，比如都要有基本的合規架構和運行機制，都要根據企業自身的特點、風險建立具體領域的合規制度，但國企也會有一些不同于民企的地方。比如，國企里面因為有國資成分，所以對于國資的合規運行可能會有不同于民企的專門規章制度。再如，國企的機構設置上，通常會有紀檢、黨委等不同于民企的部門設置，那么在合規機構的設置上，可能需要根據這些機構在國企的分工來合理設置。同時在企業員工的構成上，國企還會有國家工作人員這一主體，那么他們跟民企員工可能涉及的刑事合規風險也并與完全一致，那么這個也可能需要在制定合規制度時，予以綜合考慮。

(七) 刑事合規

自政府層面頒布兩個合規指引以來，國內從事刑事領域的部分律師和學者先后提出了刑事合規的概念，部分檢察機關在試點的過程中也出現刑事合規不起訴的提法。不可否認，在實踐中，合規作為法律的一個重要領域，起初是來源于行政處罰或刑事處罰，比如美國FCPA項下的反商業賄賂合規，但實際上刑事風險只是合規風險中最高級別的風險，而且各個法律領域的合規風險都可能涉及各自領域獨特的刑事風險，比如反商業賄賂可能會涉及行賄罪或受賄罪等，數據與隱私可能會涉及非法獲取、出售、非法提供公民個人信息罪等，因此，將刑事合規風險歸類至各法律領域中的最高級別風險可能更合適，而無需單獨列為一類合規風險。在檢察機關推行的刑事合規不起訴試點改革中，對涉罪企業要求的合規體系通常也是要求企業首先要建立一個全面的合規體系，其次才是針對涉嫌罪名所對應的特定領域進行整改。

歐美國家的法律對于企業合規，大多有相應的激勵機制。比如，根據美國的法律，如果公司員工違反FCPA，除了直接責任人會被處罰外，公司和相關管理層人員如果參與其中，也可能會被追究法律責任。但如果公司在發生違規事件后，主動配合調查或自行展開調查并主動向司法部披露，且證明公司有完善的合規體系，承諾并將進一步完善、執行切實有效的合規體系，則美國的司法部(DOJ)和證監會(SEC)有權根據企業合規體系建設和運行的實際情況決定延緩起訴或不起訴，而僅處以罰款。正是因為美國在法律制度層面有合規激勵，才極大地推動美國企業對合規體系建設的重視，比較普遍地主動建立合規體系，培育合規理念和文化。

在中國現有的法律制度下，在立法層面，尚并無法律明確規定企業有完善的合規體系而發生重大合規風險時，尤其是可能引起行政處罰或刑事處罰時，可以免于、減輕行政處罰或暫緩起訴以及不起訴。然而，在司法實踐中，尤其是刑事司法層面，在最高人民檢察院的推行下，已經出現若干刑事合規不起訴的試點單位和案例。這一制度的試行，已經彰顯出其巨大的制度價值以及對于全社會建立合規體系的引導價值。因此，如果中國的立法機關在立法層面，或者司法機關通過司法解釋的形式，將刑事合規不起訴制度化，必將極大推動企業合規體系建設和合規理念、文化在中國的發展，而這最終將最大程度保障企業健康發展，并形成良性的公平競爭的商業環境。

因為中國企業合規體系建設剛開始，雖有央企試點，并在政府層面頒布了兩個合規指引，但要全面建立合規體系，樹立、形成合規理念和文化，有效運行合規體系，充分發揮合規體系的價值，仍然任重而道遠。中國企業只有根據自己所處的行業、經營特點及經營國別等各方面因素綜合考慮后，建立切合實際的合規制度，并確保有效運行，才能建立有效的合規體系，真正實現合規創造價值，讓企業行穩走遠。