2021-05-31 15:23:43 來源：中國周刊
作者：蓋曉萍
海華永泰律師事務所律師、上海市律協法律合規委員會副主任
如果說近年來法律圈的熱詞，“合規”一詞必定上榜。
近年來，全球貿易關系愈加復雜，冷戰氛圍逐漸濃厚，全球產業鏈進入深度調整與重構時期，我國全面進入“雙循環”經濟模式。在國家層面，各國建立了嚴格的合規監管制度，監管機構加強了立法深度和執法力度，引導和督促企業實施更加主動的合規經營。在國際層面，聯合國、經濟合作與發展組織、世界銀行集團、亞洲太平洋經濟合作組織、國際商會等國際性組織相繼制定全球性契約、指南和指引等，對合規管理核心問題形成國際共識，在相關貿易活動中對不合規行為實施聯合懲戒。合規已經成為各類組織成功和可持續發展的基礎。我國從中央到各部位對此也高度重視，不斷出臺各種合規指引、規范。今年三月，我國標準化委員會出臺《醫藥行業合規管理規范》，4月13日國際標準化組織出臺ISO 37301: 2021《合規管理體系 要求及使用指南》。
你理解什么是“合規？”
----不就是合乎規范、合乎規矩嗎？
----合規，就是指中央企業及其員工的經營管理行為符合法律法規、監管規定、行業準則和企業章程、規章制度以及國際條約、規則等要求。1
2014年，國際標準化組織制定了ISO 19600:2014《合規管理體系 指南》。
2017年，中國標準化研究院牽頭制定的GB/T35770-2017《合規管理體系 指南》（以下簡稱“《指南》”）于2018年7月1日正式頒布實施，
2018年11月，國資委頒布《中央企業合規管理指引》；
2018年12月，發改委等七部門聯合發布了《企業境外經營合規管理指引》
很多國企，特別是央企都開始建立合規體系，但是到底怎么搭建合規體系，雖然看似有了“指引”，但并沒有什么標準，律所、會所、咨詢機構都使出渾身解數，制訂了一套一套看似完善的合規體現，來自江蘇的某企業董事長自豪地稱“幾年前就完成了企業合規體現的搭建”。但是有一組數據，很打臉：
世界銀行2005年稱，自從1999年以來，有300家公司或個人因在世行資助的項目中有欺詐或腐敗行為而受到懲處。腐敗案最多的是東亞、環太平洋地區、歐洲和中亞。
2015年，有750家企業在世界銀行的黑名單上。2009年，中國企業首次進入這個黑名單，當時只有4家， 2015年9月已經有38家。“上榜”的企業將在一定期限內被禁止參與世界銀行的工程項目投標。例如，一家中資建筑企業在6年內被禁止參與世界銀行的項目投標，如果表現良好，將會在4年后解禁或減輕制裁4。而被解禁的前提就是整改合格，被獨立的第三方認證為“合規”。
令人費解的是，盡管在國企中普遍開始合規體系的建設，但是因不合規被列入黑名單的企業仍快速增長，截至2021年3月，竟然有827家中資企業被列入世界銀行的黑名單，其中過半數是中字頭的大型國企。究其原因，是因為大多數的合規體系不符合國際標準，無法被認證。
為了滿足全球化合規的快速發展和迫切需求，提升各類組織合規管理能力，促進國際貿易、交流與合作，ISO于2018年11月啟動了ISO 37301的制定工作，基于最新的合規管理實踐，修訂并代替ISO 19600:2014《合規管理體系 指南》。
2021年4月13日，ISO 37301: 2021《合規管理體系 要求及使用指南》（Compliance management systems — Requirements with guidance for use）（以下簡稱“ISO 37301”）國際標準正式發布實施。
● ISO 37301有什么重大意義？
作為A類管理體系標準，ISO 37301至少有四種應用方式。
一是作為各類組織自我聲明符合的依據。各類組織通過實施ISO 37301，建立并運行合規管理體系，一方面使得組織的行為以及行為結果合規，另一方面在需要時還能夠據此標準追溯組織是否符合了合規管理體系規定的內容或證實是否達到了合規要求。
二是作為認證機構開展認證的依據。ISO 37301規定了合規管理體系的要求，并提供了建議做法和指南，認證機構在認證活動中，可以直接應用或者在其認證技術規范中明確ISO 37301作為組織符合合規管理體系要求的認證依據。
三是作為政府機構監管的依據。政府機構可以將ISO 37301確立的合規管理理念應用于行政監管活動，通過對組織的合規管理體系運行情況評價結果來匹配相應的監管手段和措施，實施精準監管。
四是作為司法機關對違規企業量刑與監管驗收的依據。可以將ISO 37301確立的合規管理體系要求作為司法機關對涉及違規企業量刑的考量依據，可以作為落實依法不捕不訴不提出判實刑建議等司法意見、制定合規指引、督促企業合規整改和第三方監管驗收的依據。
● ISO 37301與ISO19600有什么區別？
從名稱上，ISO19600：2014《合規管理體系 指南》（Compliance management systems Guidelines），后者是ISO 37301: 2021《合規管理體系 要求及使用指南》（Compliance management systems — Requirements with guidance for use），序列號不再是ISO 19600，而是ISO 37301。要求更加細化、可操作。例如，對于“培訓”，延伸到對供應商；增加了對合規疑慮的方法和程序。從功能上，增加了抗御司法機關行政、刑事處罰的可能性。具體差異見下圖：
合規管理體系不再是一個指南性標準，而是提出要求并指導“如何使用”是一個可以認證的標準，英文就是Certifiable。標準一旦可以用來認證，那就更加剛性，接近強制性標準。換句話說，相關企業通不過認證就是不合規，做了也是無效的。
●ISO 37301標準主要內容
ISO 37301規定了組織建立、運行、維護和改進合規管理體系的要求，并提供了使用指南，適用于全球任何類型、規模、性質和行業的組織。合規管理體系通用要素的框架如下圖（圖片來自質量與認證網站）所示。
合規管理體系通用要素
（一）組織環境
組織所處的環境構成了組織賴以生存的基礎。這些環境既涉及法律法規、監管要求、行業準則、良好實踐、道德標準，又涉及組織自行制定或公開聲明遵守的各類規則。因此，建立合規管理體系首先要對組織所處的環境予以識別和分析。
ISO 37301從以下方面規定了識別和分析組織環境的要求：
（二）領導作用
領導是合規管理的根本，對于整個組織樹立合規意識、建立高效的合規管理體系具有至關重要的作用。ISO 37301對組織的治理機構、最高管理者等如何發揮領導作用作出了規定：
（三）策劃
策劃是預測潛在的情形和后果，對于確保合規管理體系能實現預期效果，防范并減少不希望的影響，實現持續改進具有重要作用。ISO 37301從以下方面規定了策劃合規管理體系的要求：
一是在各部門和層級上建立適宜的合規目標，策劃實現合規目標需建立的過程；
二是綜合考慮組織內外部環境問題、合規義務和合規目標，策劃應對風險和機會的措施，并將這些措施納入合規管理體系；
三是有計劃地對合規管理體系進行修改。
（四）支持
支持是合規管理的重要保障，對于合規管理體系在各個層面得到認可并保障合規行為實施具有重要的支持作用。ISO 37301從以下方面規定了支持措施：
一是確定并提供所需的資源，例如財務資源、工作環境與基礎設施等；
二是招聘能勝任且能遵守合規要求的員工，對違反合規要求的員工采取紀律處分等管理措施；
三是提供培訓，提升員工合規意識；
四是開展內部和外部溝通與宣傳；
五是創建、控制和維護文件化信息。
（五）運行
運行是立足于執行層面，策劃、實施和控制滿足合規義務和戰略層面規劃的措施相關的流程，以確保組織運行合規管理體系。ISO 37301從以下方面對運行作出了規定：一是實施為滿足合規義務、實施合規目標所需的過程以及所需采取的措施；二是建立并實施過程的準則、控制措施，定期檢查和測試這些控制措施，并保留記錄；三是建立舉報程序，鼓勵員工善意報告疑似和已發生的不合規；四是建立調查程序，對可疑和已發生的違反合規義務的情況進行評估、調查和了解。
（六）績效評價
績效評價是對合規管理體系建立并運行后的績效、體系有效性評價，對于查找可能存在的問題、后續改進合規管理體系等具有重要意義。ISO 37301對如何開展合規管理體系績效評價作出了規定：
（七）改進
改進是對合規管理體系運行中發生不合格/不合規情況做出反應、評價是否需要采取措施，消除不合格/不合規的根本原因，以避免再次發生或在其他地方發生，并持續改進，以確保合規管理體系的動態持續有效。ISO 37301從以下方面對改進作出了規定：一是持續改進合規管理體系的適用性、充分性和有效性；二是對發生的不合格、不合規采取控制或糾正措施。
●三、對于企業的現實意義
如果說過去，“合規”對于企業來說是錦上添花，是大型國企、外企才會感興趣，或者才有財力人力資源可以完成的，現在“合規”成為企業的義務。一方面，行穩方能致遠。中國經過四十年的高速發展，已經走過了粗放式發展的時代，對金融、醫藥、教育、化工等行業逐漸加強監管。企業沒有精細化管理，不愿意在合規上多投入，面對可見的風險抱著僥幸心理，會經常跌跟頭、被處罰。被“合規”加持的企業會迅速被行業和市場認可，且逐漸實現馬太效應；而不合規的企業將逐漸被邊緣化，直至被淘汰出局；另一方面，合規會保護企業家和企業。37301確立的合規管理體系要求作為司法機關對涉及違規企業量刑的考量依據，可以作為落實依法不捕不訴不提出判實刑建議等司法意見、制定合規指引、督促企業合規整改和第三方監管驗收的依據。通俗解釋，如果能證明企業經營/行為/活動是合規的，則企業或企業家會從輕、減輕甚至免予刑事處罰。（專題統籌：秦前松）
編輯：海洋