【全文】
2022年9月16日，国务院国资委在其官网上正式发布了《中央企业合规管理办法》（以下简称为“合规管理办法”）。个人认为，这标志着中央企业的合规管理工作进入了一个新的发展时期。上一份关于中央企业合规管理工作的指导性文件，是2018年11月2日国资委印发的《中央企业合规管理指引（试行）》（以下简称为“合规管理指引”）。历经四年的探索与实践，与“合规管理指引”相比，“合规管理办法”无疑更为完善、更为实用。
不管从整体框架，还是从条款精确性来看，“合规管理办法”均体现出央、国企的合规管理工作已走向“强化”阶段。
一、《中央企业合规管理办法》的条款组成
《中央企业合规管理办法》共八章四十二条，相较于“合规管理指引”，多了两章和十一条。多出的内容，主要体现在制度建设、合规文化、信息化建设、监督问责这四章，均由原来的某一个或某几个条款变为专门的一章。同时，将原来的专章“合规管理重点”，缩减为一个条款，并对原“合规管理职责”一章进行精简和优化。由此，所形成的“合规管理办法”，可谓框架更加完整实用、内容更为精准有效。具体条款组成如下：
第一章是总则，分为六条，包括制定背景、适用范围、定义、主管部门、工作原则、经费保障等内容。
第二章是组织和职责，分为九条，分别是“合规管理办法”的重头戏，包括党委的合规管理职责、董事会的合规管理职责、经理层的合规管理职责、主要负责人的合规管理职责、合规委员会、首席合规官、业务及职能部门的合规管理职责、合规管理部门的职责、纪检监察机构和审计、巡视巡察、监督追责等部门的职责等内容。
第三章是制度建设，一共四条，分别是构建合规管理制度体系、合规管理基本制度、合规管理具体制度或者专项指南、规章制度的修订完善与执行等内容。
第四章是运行机制，也是九条，包括合规风险识别评估预警机制、合规审查、合规风险应对及报告、违规问题整改机制、违规举报与调查和处理、违规行为追责问责机制、合规管理与法务管理、内部控制、风险管理协同运作机制，合规管理体系有效性评价、合规管理作为法治建设重要内容等。
第五章是合规文化，共四条，分别是合规管理纳入党委（党组）法治专题学习、常态化合规培训机制、加强合规宣传教育、培育具有企业特色的合规文化等。
第六章是信息化建设，共四条，分别是合规管理信息系统的主要组成、将合规要求和防控措施嵌入流程、信息系统互联互通、实时动态监测等内容。
第七章是监督问责，共两条，分别是合规管理不到位引发违规的责任追究、履职过程中应发现未发现违规问题的责任追究等。
第八章是附则，分为四条，包括推动所属单位建立健全合规管理体系、地方国资委参照适用、解释权、实施日期等内容。
二、《中央企业合规管理办法》的框架解析
《中央企业合规管理办法》所给出的框架，可以说是迄今为止最为落地的合规管理建设框架。个人认为，它比《中央合规管理指引（试行）》（2018）的框架，前进了一大步；比ISO 37301：2021《合规管理体系 要求及使用指南》更为务实、落地，符合中国国情和中国企业实践；也比《涉案企业合规建设、评估和审查办法（试行）》（2022）中的关于“涉案企业合规建设”部分，更为符合企业合规管理的本质。
企业合规管理，其实是一种相对结构化的管理活动，其目标很明确，那就是有效防控合规风险。任何偏离或试图超越这个目标的“提法”，最终可能是不落地的、不切实际的。从管理上来说，要达到这个特定目标，必须采取“框架式管理”，而非单个的管理动作或空洞的“文化宣传”。
“框架”，最典型的说法，可能是来自美国知名智囊机构COSO委员会，其在1992年首次发布《内部控制整合框架》（Internal Control——Integrated Framework）。在这个适用相当广泛的企业内部控制框架中，COSO提出企业内部控制的框架由内控环境、风险评估、控制活动、信息和沟通、监督等五个要素组成，且这五个要素连同企业的三个内控目标和若干业务单元活动，组合形成了一个非常直观的“立方体（cube）”结构。直观、易懂，这可能也是COSO内部控制整合框架得以广泛传播的一个原因。
《中央企业合规管理办法》本身没有直接说明中央企业合规管理建设的框架构成，但从其内容，可以看出国资委对于中央企业、国有企业合规管理建设应当包含的管理措施或工作机制，还是相当清晰的。通过归纳、总结，并结合央国企合规管理实践，笔者认为，《中央企业合规管理办法》所体现的央国企合规管理体系框架，应由如下要素及其搭配而成。
一是合规管理环境。合规管理环境是合规管理工作的基础，也是合规管理效果发挥的体现。它具体可包括合规文化、合规内控风险管理协同、合规管理信息系统等重要管理内容。《中央企业合规管理办法》对于合规文化，专用一章进行详细规定。强合规文化是最为有效的合规管理环境，是合规管理活动的最高水平。但实践中个别以文化建设代替管理制度和机制建设的做法，如该企业的合规管理尚属起步阶段，这是不够的，甚至是错误的。它将导致“合规管理”限于纸面合规。
二是合规管理职责。从某种角度，合规管理职责也构成合规管理环境的一部分。但鉴于合规管理职责的明确，对于当前理清企业合规管理工作的部门和层级分工，从而有助于合规管理目标的实现是非常有帮助的，我们将合规管理职责也作为一项独立的框架要素。合规管理职责，说明合规管理工作是如何在企业内进行分配的，责任又是如何进行分担的。企业内的所有部门和岗位，对于合规管理体系来说，都应承担着某种合规管理方面的职责。正确的合规管理职责定位与划分，有助于提高合规管理的科学性、有效性。
三是合规风险评估。在《中央企业合规管理办法》内，涉及“合规风险”的字样有16处，涉及“合规风险识别”的字样有3处。根据《中央企业合规管理办法》第三条、第十三条、第十四条、第十八条、第二十条等规定，合规风险的识别、评估、预警与应对等属于合规管理的核心内容。合规管理的目标就是有效防控合规风险，在某种意义上，合规管理等于合规风险管理。
四是合规管理制度与机制。“制度建设”和“运行机制”，分别构成了《中央企业合规管理办法》的两个关键章节。合规管理制度体系，是在企业内树立、明确及传递一系列“静态”的合规要求；合规管理运行机制，是在企业内“动态”实施合规管理的各项举措，以使得企业经营管理行为和员工履职行为符合合规要求。合规管理制度与机制，其本质是为防范潜在的未知的合规风险所制定的针对性措施。它一方面应当与合规风险评估的结果关联起来，从而体现合规管理的针对性；另一方面它也正是中央企业合规管理实施“全面覆盖”原则的反映。
五是合规评价与追责。这里所述的评价，与合规管理体系有效性评价的评价不完全等同。合规评价是通用说法，它包括合规管理体系的有效性评价、重点业务合规管理情况的专项评价、所属单位合规考核评价等。合规管理能够形成闭环，其关键一步便是必须存在合规评价及对评价结果的运用。合规问责，包括两方面。一方面是中央企业对自身或其所属单位及员工的违规行为进行追责问责；另一方面是国资委对中央企业合规管理不到位引发违规问题等情况的追责问责。
三、《中央企业合规管理办法》的五大体系
以上五个要素，构成《中央企业合规管理办法》所指向的“管理框架”。但是，在实践中，合规管理建设要落地，不仅要知晓构成合规管理体系的框架及其组成要素，更需要了解和运用实现要素逐一落地且促进要素之间相互配合发挥作用的“务实抓手”。这样的“抓手”，便是具体的管理工具。从合规管理体系建设咨询的角度，也称之为具体“交付物”。
任何一项管理工具要发挥其效用，都是组合式的。即非单一的管理措施，而是存在一系列有目的的管理措施组合。本文为方便描述，对于这种成套的管理工具，称之为“体系”。这个所谓“体系”，正是合规管理建设落地的关键。可以这么说，“体系”是实现“框架式管理”的对应手段。“体系”相比于“框架”，更容易理解，也更具操作性。
个人认为，在《中央企业合规管理办法》中，所体现出的“体系”，与笔者曾总结出的大型企业合规管理建设所需要的落地“体系”，正好相吻合。这样的“体系”，包括五个方面，具体如下：
一是组织体系。落实企业合规管理中的各部各岗职责，按照风险三道防线的逻辑，分配各主体合规风险防范的责任，管业务必须管合规等，这都是合规管理建设中对组织体系的要求与落实。组织体系，是解决合规管理中各类“人”的问题，这是第一位的，也是前提性质的落地举措。具体的组织体系内容，还包括如何推动合规委员会与现有的风控或审计委员会合署，合规管理牵头部门与法务管理、内部控制等部门的分工与协作，业务及职能部门内的合规管理员的设置与安排等。在中央企业合规管理组织体系中，最为重要的，是如何强调和贯彻党的领导。务必要把党的领导贯穿合规管理全过程，明确党委（党组）发挥把方向、管大局、促落实的领导作用。对于企业党建工作机构，要推动其按照有关规定履行职责，保障党内法规制度在企业内的有效贯彻落实。《中央企业合规管理办法》为此专门用了三个条款，对党的领导在中央企业合规管理建设中的重要作用等给予了强调和明确。
二是制度体系。制度体系，主要对应《中央企业合规管理办法》的“制度建设”专章。但实践中，制度体系的内涵，其实更为广泛。它不仅包括书面的合规管理基本制度、具体制度等，还包括合规管理体系建设方案、合规手册、合规风险应对预案、合规管理年度报告等书面文件。甚至是书面的合规风险清单、合规岗位职责文件等，也属于合规管理制度体系范畴。凡是以公司规章制度、工作报告、工作表单等形式体现的合规相关文件，都应属于合规管理制度体系。其核心价值点在于为企业合规管理实践建立合规行为标准，规定合规管理职责和问责标准，明确合规管理实施要求。对于处于合规管理强化建设阶段的中央企业、国有企业，当前最为关键的合规管理实践工作，应当是如何编制一套符合企业实际，覆盖企业各业务和领域的合规管理系列制度。尤其是基于岗位的合规职责，嵌入业务流程的合规要求，用于内外宣贯的合规手册等。在实践中，容易忽略的问题是合规管理制度体系与合规风险评估相脱节，这是因为相当多的企业在编制合规管理系列制度时，都是为制度而制度，照搬照抄，没有与风险或问题联系起来。这种“管理行为”产生的制度，自然无法落地。
三是流程体系。流程体系，主要对应《中央企业合规管理办法》的“运行机制”专章。但与制度体系类似，流程体系的内涵，也不限于“合规管理办法”所列举的运行机制。合规管理流程体系，是指用于合规风险管控的各类管理机制和管理做法。这种管控流程主要可分为两类。一类是独立的流程，如合规调查、合规管理体系有效性评价、违规行为追责问责机制等。另一类是嵌入业务流程的非独立流程，如合规审查、合规风险预警、合规报告机制等。实践中，对于嵌入业务流程的合规管控流程越来越重视，这是因为合规风险都是在企业的业务流程（企业经营管理行为和员工履职行为）中产生的。只有控制风险的来源，才能真正遏制风险的发生。流程体系的另一个需要注意的问题是正确看待流程与制度的关系。这种关系的界定，不仅是在合规管理体系中，在其他相关管理体系工作中，例如内部控制体系、风险管理体系以及公司治理体系等，都存在这个问题。制度与流程的关系，是比较复杂的，有时是难以区分的。有时，制度中可能包括流程的执行；有时，流程中又需要制度的阐明。因此，实践中秉承实用的态度，对于制度与流程，并不需要严格区分，关键是发挥这两种体系的不同价值。合规管理流程体系的作用，一方面就在于保障重要的合规管理制度得以实施；另一方面，则是在缺乏合规管理制度的场合下，以特定的操作流程（信息系统），直接实现合规管理体系内的合规要求。
四是宣贯体系。宣贯是从企业合规管理的实务角度来说的，它基本上可以对应合规文化、合规培训、合规意识强化等内容。合规文化对于合规管理建设的作用极为重要，但如何形成合规文化，则是一个挑战。光靠意识层面的强调，肯定是不够的。合规文化更多的是合规管理体系建设的结果，而非前提。实践中对于“加强培育合规文化”，过于强调了。如前述，文化不是一项前提，而是大量有效的合规管理措施之后的一种结果。关键的是如何形成和执行一套有效的宣贯体系，这是合规管理落地的又一要求。宣贯体系，是基于企业日常经营管理的真实场景，将“主动遵守和符合合规要求”的想法灌输到每一位员工的头脑之中，其难度当然很大，但其效果也将相当显著。宣贯体系是把合规文化、合规培训、合规宣传等工作落地的工具，其一个根本要求是“自上而下”。只有最高管理者和管理层亲自参与合规宣贯，才能把宣贯体系真正执行落地，也才能形成合规文化。但这其实同时恰恰是合规管理建设实践中的又一个难点，考验合规管理牵头部门的智慧。
五是评价体系。评价体系的内涵，也相当的广泛。评价体系首先包括来自企业内部的评价和来自企业外部的评价。然后，评价体系还包括肯定或客观立场的考核评价，以及对出现违规行为的追责问责。来自内部的评价，主要指合规管理体系有效性评价、重点业务合规管理情况的专项评价、所属单位合规考核评价。这类内部评价结果，用于提升合规管理体系的效能，指出合规管理建设的问题，包括奖励合规管理工作绩效优秀的个人或部门。另一类来自内部的评价是对违规行为的整改、追责与问责。来自外部的评价，主要指国资委对合规管理体系建设情况及其有效性进行的考核评价以及国资委对违规行为的监督问责。当然，外部评价也可包括第三方机构对企业合规管理体系建设的肯定或否定，例如标准化组织颁发合规管理体系认证证书，检察机关给出涉案企业合规整改通知书等。这些都可认为是一种来自外部的评价。实践中，中央企业合规管理建设要做好的是，通过定期的合规管理体系有效性评价、重点业务合规专项评价等工作，完成合规管理闭环，推动本企业合规管理体系建设走向更加务实、更加落地的境地。
