作者：漢坤律師事務所 龔雅玲 | 嚴瑾麗 | 劉之瑤 | 陳楓眠
2022年9月16日，國務院國有資產監督管理委員會（“國資委”）正式公布《中央企業合規管理辦法》（“《辦法》”），自2022年10月1日起施行，這將為中央企業及地方國有企業深入推進建設合規管理體系提供更加明確的理論支持和法律依據。在《辦法》的征求意見階段，我們對《征求意見稿》的內容提出了一些建議，部分建議似已有幸得到了國資委的認同，在《辦法》中有所體現，我們將在下文中詳述。
相較于2018年印發的《中央企業合規管理指引（試行）》（“《指引》”），本次《辦法》以部門規章的形式對中央企業進一步深化合規管理提出更明確的要求，更加突出剛性約束，內容更全、要求更高、措施更實。雖然《辦法》本身首先適用于中央企業（即國資委出資的企業），但明確要求地方國有資產監督管理機構參照《辦法》，指導所出資企業加強合規管理工作。2018年《指引》出臺之后，包括上海、重慶、江蘇省、浙江省、廣東省、河南省和廣州、成都、徐州等地級市也都陸續印發了針對地方國資企業的合規管理指引。因此，我們相信《辦法》在正式生效后亦會對地方的國有企業產生新的要求和責任，各個層級的國有企業都需要密切關注該《辦法》和地方性要求，及時落實制度、人員和運行及監督機制的建設和實施，建立健全自身的合規管理組織體系。
一、《辦法》的制定背景
在當前國際競爭越來越激烈、中央企業面臨的國內外環境和風險日趨復雜嚴峻的大背景下，中國企業在經營運作，尤其是跨境的業務活動中不時遇到合規挑戰。為了幫助中國企業完善自身的法制建設以應對境外較為復雜的政治和法律環境，國資委在2018年11月正式發布了《中央企業合規管理指引（試行）》文件，成為推動中央企業合規管理的標志性變革，促進中央企業全面啟動了合規管理體系建設，從合規管理職責、合規管理重點、合規管理運行和合規管理保障等方面為中央企業的合規管理體系提供了建設方向和理論支持。這份《指引》對于中國企業的合規建設也有著極為重要的參考價值。為指導中央企業在重點合規領域強化管理，國資委此后還陸續出臺了一系列共11個指南，涵蓋了《反商業賄賂》《反壟斷（經營者集中）》《商業秘密保護》《反壟斷（壟斷協議、濫用市場支配地位）》《PPP》（Public-Private Partnership，政府和社會資本合作）《個人信息保護》《商業伙伴》《勞動用工》《出口管制》《法人人格否定視域下國有企業母子公司管控》《世界銀行制裁》等內容。
2021年5月，國資委在“法治央企建設媒體通氣會”上表示，目前中央企業已按照《指引》的要求，全部成立了合規委員會。隨著中央企業面臨的內外部監管環境日趨復雜嚴峻，境內外政府有關部門對企業經營行為的監管力度不斷加大，中央企業亦需要總結經驗，加快提升其合規管理能力，以應對境內外的政府監管和激烈的市場競爭環境所帶來的挑戰。
國資委在2021年12月召開了“合規管理強化年”的工作部署會，這是進一步深化法治央企建設的一項重要舉措，要求中央企業要把思想和行動統一到全面依法治國戰略部署上來，將合規管理納入全局工作統籌謀劃、一體推進。中央企業“合規管理強化年”專項工作明確了五方面主要任務。一是強化領導合規意識，切實發揮“關鍵少數”作用，《辦法》也增加了黨委和第一責任人（即企業主要負責人）的作用，對董事會、首席合規官等都提出了更為明確的職責要求；二是建立健全工作機制，加快突破重點難點，《辦法》中也明確定義了包括業務部門、合規管理部門和監督部門在內的“三道防線”，要求根據適用范圍、效力層級等，構建分級分類合規管理制度體系等等；三是著力抓好境外合規，全面保障國際化經營；四是嚴肅開展監督問責，形成合規管理工作閉環，《辦法》中也要求企業要建立風險識別評估預警機制、合規舉報制度、合規評價和考核機制以及違規追責機制；五是加大資源投入力度，進一步夯實工作基礎，這意味著企業要更多吸納法律、合規等專業人才，提升專業知識水平；同時《辦法》也提到要加快合規管理信息化的建設，必要時也應借助其他專業第三方人士或技術的力量，實現對合規風險的在線識別、評估和管控。
綜上所述，我們理解《辦法》正是基于國家對“合規管理強化年”的工作部署，對國有企業進一步完善和優化合規管理體系提供更為系統的指導，也提出了更為明確的工作要求。
二、《辦法》的內容及框架
《辦法》共有八章四十二條。第一章“總則”，明確了《辦法》的立法目的、適用范圍、相關概念與合規管理基本原則。第二章“組織和職責”，明確了黨委（黨組）、董事會、經理層、企業主要負責人、合規委員會、首席合規官、業務及職能部門、合規管理部門以及監督部門的合規管理職責。第三章“制度建設”，要求企業建立健全分級分類合規管理制度體系，制定合規管理基本制度和重點領域制度，并從修訂完善與執行等方面作出了要求。第四章“運行機制”，從合規風險識別預警、合規審查、風險應對、違規問題整改、合規舉報、追責問責、協同運作和合規管理有效性評價等方面提供了指導性原則。第五章“合規文化”，要求推動企業領導人員強化合規意識、建立常態化合規培訓機制、加強合規宣傳教育。第六章“信息化建設”，要求企業加強合規管理信息化建設，運用信息化手段將合規要求嵌入業務流程，實現對重點領域、關鍵節點的實時動態監測、實現合規風險即時預警、快速處置。第八章“附則”，要求中央企業和地方國有資產監督管理機構參照本《辦法》，指導所出資企業加強合規管理工作，結合實際加快細化并完善合規管理制度。
三、《辦法》的要點
相較于之前的《指引》，《辦法》主要從以下幾個方面加強了中央企業建設合規管理體系的要求：
（一）設置首席合規官，明確領導責任
《辦法》規定中央企業應當結合實際設立首席合規官，由總法律顧問兼任，領導合規管理部門組織開展相關工作，指導所屬單位加強合規管理。在職權設置上，《辦法》明確要求首席合規官在企業重大決策事項的合規審查意見中簽字，對決策事項的合規性提出明確意見。
國資委政策法規局在答記者問中提到，在中央企業設立首席合規官，是強化合規管理工作的一項重要舉措。從國際實踐來看，設立首席合規官是大企業的普遍做法，首席合規官作為企業核心管理層成員，全面領導合規管理體系建設與運行，發揮了積極作用。2021年國際標準化組織印發的《合規管理體系要求及使用指南》（ISO 37301:2021）明確規定，應當指定一人對合規管理體系運行負有職責、享有權限。世界銀行、經合組織等國際組織鼓勵企業設立首席合規官，并作為評估合規管理水平的重要指標。因此，在中央企業設立首席合規官，既有利于進一步明確合規管理職責、落實責任，統籌各方力量更好推動工作，也展現了中央企業對強化合規管理的高度重視和積極態度，對推動各類企業依法合規經營具有重要示范帶動作用。
（二）合規管理組織的結構調整與變化
《辦法》主要增加了企業黨委（黨組）和第一責任人的職責與作用，取消了對監事會的職責規定，進一步明確了業務及職能部門、合規管理部門和監督部門合規管理“三道防線”職責，也對各組織或個人的職責進行了更為詳細的規定。
（三）關于合規制度的體系建設要求
《辦法》的第三部分要求中央企業需要根據適用范圍和效力層級建立分級分類的合規管理制度體系。合規制度管理體系中應包括基本制度、針對重點領域的具體制度或者專項指南以及操作手冊等不同層級的文件。同時，《辦法》進一步明確了合規管理重點的領域，包括反壟斷、反商業賄賂、生態環保、安全生產、勞動用工、稅務管理、數據保護等。對于上述重點領域和合規風險較高的業務，制定合規管理具體制度或者專項指南，為中央企業完善合規管理制度體系指明了方向，強化重點領域合規風險防范。
（四）合規制度運行機制的優化與改進
《辦法》在《指引》的基礎上對合規審查機制進行了細化和完善。《辦法》要求對經營管理行為的合法合規性審查需作為必經前置程序嵌入經營管理流程，重大決策事項的合規審查意見應當由首席合規官簽字。業務及職能部門、合規管理部門依據職責權限完善合規審查標準、流程、重點等，定期對審查情況開展后評估。此外，《辦法》還對合規風險識別預警機制、違規問題整改機制、合規舉報機制等方面提供了指導性原則。
（五）建立健全合規管理的評價與追責機制
《辦法》要求中央企業要建立合規管理有效性評價機制，定期對合規管理體系運行情況進行全面評價，對于重點業務合規情況可以適時開展專項評估，對合規風險和違規問題組織整改。
同時，《辦法》也要求將合規管理情況和違規記錄納入對經營管理和員工履職的考核，將違規行為性質、發生次數、危害程度等作為考核評價、職級評定等工作的重要依據。我們預估，日后法律合規審計也可能成為高管離任審計的一部分，即不僅僅局限于一般會計師審計范疇。
《辦法》指出相關部門和人員在履職過程中，存在有應當發現而未發現違規問題，或者發現違規問題存在失職瀆職行為，給企業造成損失或者不良影響的，應當承擔相應責任。
（六）優化合規管理的信息化建設
《辦法》還進一步明確要加快建立合規管理的信息系統，信息系統中應包括合規制度、典型案例、合規培訓和違規行為記錄等。這樣就可實現中央企業對其合規管理體系的完整溯源和動態監控，實現合規風險即時預警、快速處置。
四、曾對《辦法》的建言獻策
在《辦法》的征求意見階段，我們經過對《征求意見稿》的認真學習、討論和研究，并結合我們多年來為中國企業及跨國企業提供合規管理法律服務的經驗，就《征求意見稿》的內容向國資委提出了一些建議和意見。我們的部分建議有幸得到了國資委的認同，在最終公布的《辦法》中有所體現，具體請見下表。
五、對中央企業的合規建議
基于《辦法》，我們認為中央企業及其他參照適用《辦法》的企業需要加快對合規管理體系的建設和完善，從管理制度、組織人員、運行機制和保障機制等多個層面，結合企業的業務領域，構建中央企業的合規管理體系。
1. 中央企業需要結合其所在的行業，制定多層次、分級分類的合規管理制度，包括基本的合規綱領性文件，如商業行為準則、員工手冊等；同時也需要針對企業的重點合規領域進一步制定更為詳細的制度，如反腐敗與反賄賂制度、禮品與招待制度、招投標管理制度、反壟斷及反不正當競爭制度、商業秘密保護制度、個人信息與數據安全制度等重點合規問題的獨立制度。同時，企業還需要結合其已有的流程進一步細化合規制度的執行主體與實施步驟，比如會議與活動舉辦制度、財務與報銷制度、業務招待的申請規范等。此外，中央企業應當根據法律法規、監管政策等變化情況，及時對合規管理制度進行修訂完善，對執行落實情況進行檢查。
2. 中央企業需要根據相關法律法規的要求選擇合適的專業人員承擔合規管理職責，對承擔合規管理職能的部門和個人要建立相應的考核與評估機制，將其執行合規制度的情況和違規記錄作為其重要的績效考核內容。同時，企業應設置有效的資源配置，采取合理措施對合規管理人員進行賦能、擴編，鼓勵、尊重、培訓從而激勵相關負責人充分履行其合規管理的職責。另外，企業也要通過厘清責任及追責機制，對出現了違規行為的人員嚴肅追責。企業可通過年度合規審計、專項合規審計和離任合規審計等方式對企業的管理人員進行審查，以厘清其是否在任職期間出現過違規行為或對已發現的違規行為隱匿不報、故意從輕處理，甚至未履行其監督或管理的責任義務。
3. 中央企業需要定期對其合規體系進行有效性評估與審查，了解其合規制度是否能夠真正的實現落地實施，其對經營行為的合法合規性審查是否能夠起到識別并規避合規風險的作用，企業對合規風險事件的應對機制是否有效，以及企業對合規舉報等是否能夠迅速徹底的進行調查等等。同時，企業也要通過此類評估與審查及時發現合規制度中的漏洞或缺陷并進行整改，從而實現閉環的合規管理體系。
4. 企業需要加快進行信息化建設和數字化建設，以實現合規制度和運行機制的落地實施。企業需要借助專業的人士、軟件和技術探索建立合規管理在線監管系統，厘清在線監管系統需要承載的功能和目標，加強對重點領域、關鍵節點的管理，加強合規管理信息系統與財務、投資、采購等其他信息系統的互聯互通，實現數據共用共享。通過大數據等手段，實現合規風險在線識別、評估和管控。企業需要注意合規問題的敏感性、機密性，特別是內部合規調查的內容。在推動數字化、信息化、智能化建設的過程中，企業應對敏感的合規信息、調查信息等設置嚴格的保密機制與措施、保護企業商業秘密、合規案件的專項處理進程和相關人員的個人隱私。因此，這不僅要求企業要建立起完整的規章制度，組織具備相應專業知識技能的人員團隊，更需要結合公司內部的組織架構和業務模式，制定合適的流程與操作規程，在確保對合規風險實現充分識別、應對和追責的前提下，保證機制的高效運行，避免不必要的資源浪費或重復工作。
5. 企業合規應是自上而下的，從公司最高領導、各級管理層到全體員工均有責任制定規范、參與、配合、落實并維護合規體系。我們常見到許多企業積年累月、前前后后已經制定了許多合規政策、規范、指引等，但常束之高閣，并未切實施行。其中也有重復或類似的規定，卻有不一致之處，所以一般員工無所適從，甚至有不同業務部門、子公司、關聯公司各自為政。在《辦法》正式施行后，企業應依《辦法》設置合規委員會、首席合規官，在業務部門和職能部門均設置合規管理員，引入專業團隊，把相關的規定進行梳理、整合、更新并查漏補缺。在加強信息化、數字化系統建立時，也需考慮、配合業務及職能部門、合規管理部門、監督部門的實際需求與執行情況。國內企業的系統架設之際也需顧及整套體系在境外子公司、控股公司、參股公司的落地適用問題。
6. 企業合規文化的建立需循次漸進，無法一蹴而就，需有領航者的視野與擔當，委派學養專精的團隊擔任合規委員會成員，梳理制定企業合規制度與規范。然而徒法不足以自行，企業部門及團隊溝通討論有助于員工對合規相關規定的理解，定期對企業各級員工開展培訓交流，使全員了解合規的真諦以及對公司及自身的影響，至關重要。企業組織開展合規風險識別、預警和應對處置，開通合規舉報通道，相關部門按照職責權限受理違規舉報，并就舉報問題進行調查和處理。企業可從每個案例中領悟到是否有制度不全或監管不嚴之處，從而實事求是地完善補強。建立向陽的企業文化有助于提高公司正面務實的形象，廣攬人才，興利之際，也確保將公司及高管的合規風險與責任降至最低。企業合規是公司做大做強、行穩致遠、應對國際競爭、永續經營的磐石與基礎！
