宣传、聚焦、推动律师行业的全面发展！
关 注
为帮助企业避免合规风险，律师事务所一旦接受委托，就应为企业提供尽职尽责的合规服务。在律师所提供的各项合规服务中，帮助企业打造合规计划属于其中的首要业务内容。其中，为那些尚未建立合规计划的企业，针对其特有的合规风险点，量身定制一套适当的合规管理体系，固然是打造合规计划的重要方式。但经验表明，很多已经初步建立合规计划的企业，经常由于遭遇合规计划运转失灵或者无法发挥效力的情况，而面临重重合规风险，尤其是因为员工的个人行为而导致企业受到监管调查或者刑事调查。在此情况下，如何帮助企业堵塞制度漏洞，完善合规计划，从而打造一套有效的合规管理机制，这就成为打造合规计划的另一重要方式。
那么，律师究竟应如何帮助企业打造一套有效的合规计划呢？在这一方面，根据不同企业的性质和业务侧重点，可能会有各不相同的合规计划打造方案。同时，根据企业所面临的合规风险点的不同，在打造合规计划时也应建立与之相适应的合规管理机制。根据一些律师事务所从事合规业务的经验，对于国有企业、民营企业和外资企业，应有各不相同的合规计划打造方案；而对于企业经常遇到的合规风险，如反商业贿赂、出口管制、个人数据保护以及反洗钱等领域，除了要遵循一般的合规管理原则以外，在打造合规计划时还应建立有针对性的合规风险预防、监控和应对机制。
所谓打造合规计划，是指企业委托律师量身打造一套有效的合规管理体系。这种合规计划的打造可分为两种业务类型：一是为那些没有建立合规计划的企业建立一套合规管理体系；二是为那些已经初步建立合规体系的企业，针对其主要的合规风险，提出一套改进合规管理体系的方案。既然要帮助企业客户打造合规计划，那么，就需要了解有效合规计划的基本要求。
迄今为止，欧美国家通过立法的方式确立了有效合规计划的基本要素。例如，美国联邦量刑指南、英国反贿赂法、法国萨宾第二法案等，都确立了有效合规的基本标准或“合理程序”。美国刑事检察部门和行政监管部门在发布企业合规指引之后，还要进行定期的更新。世界银行也发布了诚信合规指引，以帮助那些试图解除制裁的企业按照有效合规的标准重建诚信合规计划。我国行政监管部门也针对中央国有企业和从事海外经营业务的企业，发布了合规管理的“国家标准”。与此同时，还有很多接受过欧美政府监管部门处罚，或者接受过世界银行制裁的企业，也发布了各自的企业合规计划。如西门子的反商业贿赂合规计划，中兴公司的出口管制合规计划，湖南建工的诚信合规计划，等等。这些合规计划在重建过程中就接受过美国政府监管部门或国际组织的监督和指导，其有效性获得了这些部门或组织的肯定，属于成功地实施合规计划的典型例证。
那么，律师在帮助客户打造合规计划时，究竟要以何者为蓝本来启动合规计划的打造呢？
在笔者看来，合规计划的打造要考虑企业客户的具体需求。对于一个从事涉外业务经营的企业，尤其是在欧美从事投资、上市、并购、参加项目招投标、开设分支机构的企业而言，需要按照国际一流标准打造合规计划。律师可以参考那些曾接受过国际制裁或外国监管部门处罚的企业的经验和教训，按照所在国法律和监管部门确立的有效合规计划标准，协助其建立一套经得起检验的合规计划。而对于一个仅仅在国内从事业务经营的企业而言，可以根据我国政府监管部门所发布的合规管理体系的“国家标准”，来重建合规计划。但是，考虑到我国政府发布的合规管理指引本身就是参考和借鉴国际合规管理标准来构建的，而且还处于剧烈的变化之中，因此，律师不应仅仅局限在参考国内的标准和案例，而应关注国际企业合规发展动向，引入一些有效合规计划的国际元素，打造出一套不过时、不落伍的合规管理体系。
律师帮助企业打造合规计划，首先要明确建立合规管理体系的双重目的。一方面，企业合规是实现有效公司治理的重要手段，打造有效合规计划就是要建立一套确保企业依法依规经营的管理机制。另一方面，企业合规也是保证企业在面临执法调查时获得监管激励或刑法激励的重要方法，企业借此可以有效切割责任，积极配合执法调查，获得适当的合作奖励，从而最大限度地避免或减少合规风险。基于上述双重目的的考虑，律师帮助企业客户打造合规计划，就不能仅仅定位于应付政府执法部门的强制合规要求，将合规仅仅看作一场“运动”，而应当从企业合规治理、避免合规风险、获得合规奖励等战略高度，来帮助企业获得实实在在的利益，提供专业化和有效化的“合规产品”。
律师帮助企业客户打造合规计划，应遵循三项基本原则：一是避免大而全的综合合规计划，注重打造专项合规计划；二是根据企业性质、经营业务和主要风险，打造一种基于风险的合规计划；三是注重合规计划的有效性，使其切实有效地发挥防控合规风险的效用。
律师要树立专项合规计划的基本意识，放弃那种一揽子合规计划的空洞设想。有些律师在帮助企业打造合规计划时，顺应了企业提出的不专业的要求，打造了一种“整体化”的合规计划，针对数十种合规领域制定了综合合规政策，这显然是一种失败的合规计划设计。真正专业的合规计划一定是针对企业的主要合规风险，就某一特定领域打造专项合规计划。例如，西门子打造的反海外贿赂合规计划，中兴公司打造的出口管制合规计划，湖南建工打造的诚信合规计划，中国农业银行正在打造的反洗钱合规计划，等等，就都属于针对特定合规领域的专项合规计划。中兴公司在打造专项合规计划时甚至针对不同的合规领域，确立了各自专门的合规政策、专门的合规组织、专门的合规管理程序。这些打造合规计划的经验，都是值得律师认真总结和对待的。
打造专项合规计划，并不意味着每个企业都要建立整齐划一的专项合规计划。其实，每个企业基于其性质、业务、公司治理结构和经营方式，都会面临各不相同的合规风险。律师在帮助企业客户打造合规计划时，应首先进行合规风险的评估，根据企业近期受到监管调查或执法处罚的情况，发现该企业特有的合规风险，列出合规风险清单，按照从重到轻的顺序，以此开展合规计划的设计。例如，对于银行、保险公司、基金公司、证券企业而言，首当其冲的合规风险应为反洗钱合规风险，律师应为其量身打造一套反洗钱合规体系。又如，对于医疗企业、医院、建筑企业、房地产企业而言，最大的合规风险可能是商业贿赂风险，律师应建议其优先考虑建立一套反商业贿赂合规体系。再如，对于互联网企业、电子商务企业、大数据服务企业而言，可能面临着日趋严重的泄露客户数据隐私、网络安全管理不善等方面的合规风险，律师应将数据合规计划的打造作为这类企业建立合规计划的重中之重。还有，针对那些从事进出口业务或者使用外国进口零部件的企业，可能会面临越来越大的违反外国出口管制法律或贸易禁运法律的合规风险，律师应为这类企业优先打造出口管制合规计划。以此类推，律师对于从事不同经营业务的企业应当为其问诊把脉，针对特定的合规风险，帮助其打造涉及反不正当竞争、反垄断、知识产权保护、环境保护、税收、金融、产品质量等领域的专项合规计划。
在基于风险的合规计划确定之后，律师应当从合规计划的“有效性”角度，来设计合规管理体系的框架和内容。律师应当认识到，企业仅有一套书面的合规管理体系是毫无意义的，合规计划的灵魂在于在预防合规风险、监控违规行为、应对违规事件等方面发挥“确实有效”的作用。这里所说的“有效性”有两个要求：一是在预防、识别和应对违法违规行为方面发挥有效的作用；二是在切割企业责任方面产生积极的效果。按照前者的要求，企业合规管理体系只要对预防合规风险起到积极作用，做到对违规行为的实时监控，在违规事件发生后及时有效地加以应对，尤其是调查违规事件，处理责任人，发现合规管理漏洞，积极展开整改，主动进行自我披露，就相当于建立了有效合规体系。而按照后一方面的要求，律师应当将企业展开合规培训、合规承诺、合规沟通、合规报告、举报机制、内部调查、处理责任人、积极整改等方面的合规管理行为，作为证据加以保存，必要时提交执法部门，作为证明企业合规体系正常运转的证据，使其发挥消除或者减轻企业法律责任的有效根据。
在遵循前面三项基本原则的基础上，律师可以从以下四个方面，帮助企业打造合规计划：一是合规章程的制定；二是合规组织体系的设计；三是合规政策和员工手册的制定；四是合规实施程序的安排，包括预防、监控和应对三大合规管理体系。
（一）制定“合规章程”
在雀巢公司6名员工犯侵犯公民个人信息罪案件的审判中，雀巢公司向法院提交了《雀巢合规宪章》以及相应的公司章程，再加上其他合规文件，最终说服法院认定上述员工的行为属于个人行为，雀巢公司建立了有效的合规管理体系，尽到了告知、培训、指导、监督、惩戒等方面的合规管理义务，因此公司不承担刑事责任。可见，要打造有效的合规计划，律师首先应协助企业制定合规章程或合规宪章。合规宪章是公司最高法律效力的文件，具有公司章程的地位，载明了公司合规的基本理念、基本原则、基本框架，上至董事会和高管，下至各分公司和各部门，都要受到合规宪章的约束。合规宪章的打造既可以在总章程中设专章进行，也可以单独制定一部专门的公司合规宪章。
（二）建立“合规组织体系”
合规的组织体系是有效合规计划的重要组成部分。无论是西门子、中兴公司还是湖南建工，在重建专项合规体系时，都建立了专门的合规管理组织体系。通常而言，合规的组织体系一般包括四个部分：
一是合规管理委员会。一般要求设立在董事会之下，与审计委员会大体平级。合规委员会要求由公司高管担任委员会成员，但董事长和总经理都不能担任主席，只能由独立的执行董事担任主席。
二是首席合规官（CCO）。要求具有企业高级管理人员的地位，目前在我国企业中合规部门逐步取代法务部门，首席合规官也主要由公司的总法律顾问或法务总监担任，在有的企业也称为首席合规法务官。
三是合规部。有的企业单独设立合规部，有的企业则设立法律合规部。但无论如何，要设有专门的合规部门，部门负责人就是首席合规官。尤其需要注意的是，根据不同的单项合规计划，合规部门要有专门的机构设置。在这一点上，中兴公司就建立了较为专业的合规组织体系，其在合规委员会之下设置了四个合规专业部门，即出口管制合规部、反商业贿赂合规部、数据保护合规部以及合规组织管理部，并由首席出口合规官、首席反商业贿赂合规官、首席数据合规官等分别领导各个合规专业部门。
四是企业的各个部门，以及分公司、子公司等分支机构内都要设置合规部门与合规团队，即使是在最小的部门中也要设置合规专员。
如此一来，一个自上而下、垂直领导的合规组织体系就在企业内部搭建完成，其中需要遵循若干基本原则。一是独立性原则，是指组成人员不能有利益冲突，业务部门和财务部门及其人员都不能介入合规，保证合规体系与企业经营活动和财务管理活动没有任何利益冲突。二是权威性原则，要求合规管理部门在企业内部具有较高的地位和权威，不能完全依附于业务管理部门或财务部门。三是信息上下畅通原则，是指既要做到上令下达，又要保证末端合规专员的意见也能够直接通达最高层。四是充足资源的原则，要求企业为合规部门配置与合规管理工作相称的合规专业人员和合规经费，投入足够的人力物力等资源。
（三）确立“专项合规政策”
合规政策在合规体系中扮演“实体法”的角色，相当于国家法律体系中刑法、民法、行政法的范畴。一个有效的合规政策体系包含了合规的各项主要内容，如合规的理念、合规管理的框架、合规的组织体系、单项合规制度、部门合规操作指南、第三方合规等等。特定合规领域的管理规范和行为准则需要涵盖企业经营中每一个环节，十分精细。
例如，就反商业贿赂合规政策而言，需要把国家反不正当竞争、反商业贿赂的行政法规和刑法有关贿赂的所有规定转化成具体条款，写进合规政策体系当中，可以细化到娱乐、招待、差旅、赞助、市场、业务推广、慈善捐赠、前任政府官员的聘任、商业伙伴遴选、费用报销、产品免费赠送、试用、礼物的大小、第三方的监督管理等各个环节，西门子的反商业贿赂合规政策多达百余条，有的企业甚至能达到两百多条。
合规政策体系要求把行政法、刑法中所有关于本领域的禁止性条款全部写入企业的内部条文，能够让企业人员不用再去翻国家法律，只要学习合规管理政策和员工手册就能清楚地知道行为的规范和边界。制定合规政策的过程与立法十分类似，其实质就是把国家的行政监管法律和刑事法律转化成企业内部的规章制度。有律师事务所接受了一家涉外公司的委托，约定在半年时间内为其打造合规计划，费用达到几千万元，显然是一项十分可观的业务。后来律所负责人感叹，经过半年时间真正实践后才知道建立合规政策的工作量有多大。一边是在企业内部治理方面要找到风险发生的环节，一边是要穷尽国家的行政法规、地方性法规、部门规章，还有行业惯例、商业伦理、国家刑法规定、相关案例等等，两边相互结合可以产生数百个条款，整个过程相当于重新立法，清晰地界定企业运行过程中每一步的行为规范和边界范围。所以熟练开展合规业务并不容易，在合规政策的制定中就需要对国家的民商事法律体系、行政法律体系、刑事法律体系以及公司管理、行业惯例、企业文化等内容了如指掌，把所有资料穷尽后才能转化为合规政策和员工行为手册，并且还要根据不同的专项合规建立专门的合规政策。
（四）打造“合规三大程序体系”
律师在帮助企业打造合规计划时，必须设计出三大合规实施程序：一是合规风险的防范体系；二是违规行为的监控体系；三是违规事件的应对体系。有些律师也将这三大程序体系分别称之为“事先防范体系”“事中控制体系”和“事后处理体系”。
通常说来，事先防范体系可由合规评估、尽职调查、合规培训、内部政策沟通四个板块构成。首先，合规评估是指针对企业的合规风险点和重点合规领域，展开有针对性的合规风险调查和评价。合规评估既可以定期展开，针对企业全体员工和整体经营活动，也可以有针对性地进行，或者针对特定高风险领域的人员。其次，是尽职调查，主要是针对客户、第三方合作伙伴和被并购企业，对其是否存在违法违规行为、有无风险展开的专门调查活动。再次，是合规培训，也就是针对企业员工、第三方合作伙伴、各部门和分支机构所展开的合规管理培训活动。培训可分为定期全员培训和不定期专门培训，培训情况也做好书面或电子记录。最后，是内部政策沟通，企业高层和合规部门应将合规政策和程序传达到每一名员工、合作伙伴、各个部门和分支机构，可以要求后者做出合规承诺，也可以定期传达企业合规政策和合规进展的动向，推广“合规经营”的理念和文化。
一般的监控体系又称为事中控制，包含全流程合规监控、举报制度、合规审计、合规报告制度四项具体要求。首先是建立“全流程合规监控体系”，要求企业开展的每一项业务，在产品制造、销售、服务的每一个环节，都要有合规把关，对存在违规行为的环节实行合规一票否决制。其次是建立“实时举报制度”，也就是通常所说的“吹哨人”制度，实行24小时举报机制，开放电话举报、网络举报等途径，搭建专门的举报平台，并对举报人进行严格保护和高额奖励。再次是推行“合规审计制度”，要对重点人员进行专项审计或者定期审计，发挥审计的实施合规监控作用。最后是建立“合规报告制度”，要进行定期报告和专项报告，在合规组织体系内自下而上地将合规计划运行情况、合规的风险、违规行为的发生报告给最高管理层。
所谓应对体系，又被称为“事后处理机制”，是指违规行为发生后的反应机制。当违规行为发生或者被发现后，企业就要受到外部监管机构和执法机构的调查，此时需要有一个内部的专业反应机制，否则如果盲目应对，或者采取毁灭、伪造证据等错误方式，就会面临更加严厉的调查和处罚。
针对违规行为的应对体系包含四项要求，一是要求及时进行合规内部调查；二是要尽快处理违规的员工和第三方；三是要尽快发现合规体系漏洞并进行整改；四是要积极配合调查，必要时进行报告披露，尤其注意不能毁灭、伪造证据，不能建立攻守同盟，要配合监管部门的调查，争取获取可能的合作奖励，尽量获得宽大的行政处理或刑事处理，将惩罚、损失和不利影响降到最低限度。
来源：《中国律师》2020年第8期
联系客服
