我国企业如何建立有效的涉外合规风控制度

外国长臂管辖风险

中国企业面临的涉外合规风险的一个主要方面是外国政府的长臂管辖权。也就是说，一个国内企业看似“本地”的行为很可能同时受到包括美国在内的多个国家的长臂司法管辖。例如，美国《海外反腐败法》虽然是美国国内法，但是其赋予了美国政府对外国企业在美国领土以外的商业行为的广泛管辖权。除美国外，英国也设立了类似法律，甚至拥有比美国法律还广泛的针对外国企业的长臂管辖权。因此，即使从来没有在海外开展业务或在海外上市的“纯”国内企业，也有可能成为美国、英国或者其他国家海外合规法律的长臂管辖对象。

需要特别注意的是，在英美普通法下，我国企业很难仅仅通过在海外建立子公司、分公司、或合资公司等方法规避合规风险。更值得注意的是，美国《海外反腐败法》的管辖范围不仅包括与美国有直接接触的企业，还包括虽然身在美国以外，但故意为企业的违规行为提供协助的单位和个人。假设一家美国公司出资与一家中国国内企业在中国境内成立一家合资公司，该合资公司总经理由美方指定。合资公司聘用了国内的渠道商销售其产品，并且对渠道商进行业务培训以及市场开发支持。在合资公司当地销售经理的指示下，这家渠道商在招标过程中向主管官员行贿。这家国内渠道商的行为显然违反了我国刑法中禁止贿赂的规定。然而，这家渠道商可能不知道，它的行为还可能同时触犯了美国的《海外反腐败法》。本案中，由于美国公司对在中国建立的合资公司有实际管理权，因此美国国内法律将同等对待合资公司与其美国出资方，这二者也将同等受美国司法管辖。这样一来，这家本地渠道商在中国境内的行为也同时受到美国国内法的管辖，并构成美国出资方的同谋。可见，本案中的本地渠道商虽然从来没有与美国发生直接联系，但是通过与国内的中美合资公司进行业务往来，而进入了美国长臂管辖的范围内并可能被美国执法机构在美国法院指控。

如何建立符合国际标准的合规制度以防范风险

目前，我国企业对于如何建立符合国际标准的合规制度的技术细节普遍认识不足。本文以我国企业最常遭遇的美国《海外反腐败法》调查起诉为例，结合作者多年实际涉外合规工作经验，对涉外合规的特点进行说明。由于合规是非常广泛的概念，本文限于篇幅无法涵盖所有合规领域。

总体来讲，美国《海外反腐败法》要求企业对自身的商业模式和所处行业的特性进行深刻分析，并在此基础上建立针对企业自身特点的合规体系并予以严格执行。美国政府对每个企业的每一个具体合规问题进行个案审查。在个案审查时，调查部门审查企业在设计自身合规体系时是否全面考虑了如下方面：公司运营现状和风险，企业销售的产品或服务的性质，产品和服务进入市场的渠道，企业劳动力的性质，所在行业所受监管的严格程度，企业和政府接触的程度，企业是否在被美国政府认为是腐败高发国家或地区开展业务，以及公司规模等。公司的合规计划应该根据这些差异具体制定。显然，一个提供金融服务的公司的合规体系不能套用一个制造企业的内控机制，而处于高合规风险行业的企业应当采用比低合规风险行业中的企业更严格的内控机制。因此，美国监管部门明确指出，合规制度没有模板可以照搬，每一个企业的合规体系都要根据企业的需要和面临的风险挑战量身定制。

既然以美国《海外反腐败法》为代表的国际合规法律要求如此灵活，企业到底应当如何遵守呢？其实，虽然美国合规的要求灵活并且多是个案分析，但是在归纳分析了美国司法部近年来的重大执法案件后，可以找到其内在规律。分析表明，被认定达标的企业合规内控体系往往具备以下共同特征。这些达标企业的内控系统的共有特征，就是企业建立达标合规体系的重要指引。下面将对达标合规制度的共同特征逐一讨论。

美国司法部特别强调，一个有效的合规体系必然包括企业内部员工对疑似或实际违规行为的匿名报告机制，比如匿名合规热线电话或者邮箱等。匿名举报之所以重要，是因为它可以防止被举报人对举报人的打击报复。此外，一旦收到举报，公司应当立刻进行深入有效的调查，并存留完整调查记录。在实践中，美国司法部十分重视企业是否聘用有合规经验的调查人员对企业的合规体系的有效性进行独立评估，以及企业是否聘用外部律师对举报信息进行独立调查。实际上，国际大型跨国公司每年都会投入大量资源聘用外部律师对企业内部合规问题进行调查，并做出独立内部调查报告，以满足司法部对企业进行充分内部合规调查的要求。 

企业在合规调查时聘用外部律师的作用是帮助企业通过中立的自查自纠来避免遭受重大合规风险。除特别情况外，外部律师协助企业进行内部合规调查的目的仅限于帮助企业改进内部制度，调查结果仅会提交给公司有关部门。在进行调查时，有经验的外部律师会严格设计调查策略，从而尽可能缩小企业内部知情人的范围，避免因调查对企业的正常业务经营造成不必要的影响。

达标合规体系的另一个特征，就是企业高层的重视。在一个公司组织内部，合规始于董事会和高级管理人员为公司奠定一个正确的总基调。即便是设计出一套理论上达标的合规体系，如果企业文化对合规并不真正重视，那合规体系也会形同虚设。因此，美国司法部将企业领导层是否真正建立了一套讲合规的企业文化作为一个重要指标加以审查。美国司法部实际上已经查处了多个只有合规制度，但没有真正落实的企业。在实际案件中，企业日常运营中对合规制度的实际执行情况是合规调查的一个重要方面。

企业具体合规流程的设计是建立有效合规体系的基础。具体而言，企业应当制定完善的企业内部政策、业务流程、员工行为准则（以明确企业内部违反合规要求的责任）、内部控制机制、会计准则、纪律处分程序等。企业制定合规制度时，必须深入分析企业自身的商业模式、产品、客户、与监管部门的互动、所属产业以及地域风险等特点。另外，企业对提供礼物、旅游、娱乐费用、慈善捐助以及其他类似性质的开支要有严格有效的合规审查。比如，有的跨国企业创建了基于网络的统一审批流程，用来审批针对政府部门和私人客户的礼品、差旅、招待、资助、赞助以及其他类似开支。由于使用了统一联网系统，各相关部门可以与合规部门配合，及时了解情况并进行审批。

另外，企业的内控制度必须有效传达到各个层级的人员。美国司法部多次在其法律文书中提到，企业的操作制度应当采用能让员工读懂的方式进行传达。比如语言不能过分晦涩难懂，如果企业有外籍员工，那么应当向外籍员工提供本国语言版本的合规制度和行为规范等文件。另外，发放给员工的企业合规制度的版本还应当随着企业的发展而及时更新。

美国司法部特别强调，在评估合规体系是否达标时，美国司法部会考虑公司合规部门的权限是否足够让该部门实施必要的监管。合规部门必须得到公司的充分授权，并有自主管理合规事务的权利。另外，企业必须提供充分的资源及经费保障，以确保公司的合规计划得以有效实施。一个企业向合规体系投入的资源是否充足同时也取决于公司的规模、业务复杂程度、所属产业、地域范围和商业风险等。但是，如果企业的合规部门在日常运营中缺乏话语权、经费紧缺、人员待遇不高、升迁不通畅，那么很可能被美国司法部认定为合规体系不达标以及企业高层对合规缺乏重视。

美国司法部指出，在商业贿赂案件中，违法企业常常利用代理人、顾问、或分销商等第三方隐瞒行贿行为。因此，企业对与其合作的第三方机构的监管是美国司法部评估企业合规系统是否达标的重要因素。企业应当对与其合作的第三方进行背景调查，包括其商业信誉、有无违规记录、所有权信息、控制人信息以及与外国官员的关系（若存在的话）等信息。若在运营中某个第三方合作伙伴出现可疑行为，则应该加大审查力度。企业还应该采取有效方法监管第三方的行为是否合规，比如监督其市场活动、收集其销售数据以及对其进行定期或不定期审计和培训等。

当评估企业合规体系是否达标时，美国司法部会考虑，公司是否在做出某项行为前对其拟做出的行为进行合规风险评估，以及该评估分析的深入程度。合规风险评估时需要考虑全部有关因素，包括行业、项目、业务伙伴、政府参与的程度、政府管制和监管的程度。可见，企业应当建立一套合规风险分析机制，使得企业在作出某项行为前，进行充分的潜在合规风险评估，以避免和预防风险。是否进行有效的事先合规风险评估是美国司法部考察企业合规制度是否达标的重要因素。

美国司法部将会评估企业是否采取措施确保该企业的合规政策和举报程序在全公司得到充分传达，包括企业是否定期开展对企业主管、员工、代理人、商业伙伴等的合规培训。很多大型公司都会定时或不定时地组织合规培训。无论公司选择什么样的方式培训，相应的信息都应让被培训人清楚知晓，包括对外籍员工使用本国语言进行培训。很多大型企业往往会聘用具备专业经验的外部律师对企业高管、合规部人员以及其他员工开展定期合规培训。实际操作中，很多企业虽然投入了大量资源进行员工合规培训，但却忽略了保存证据资料证明自己进行了培训，从而在合规审查中遭遇“无妄之灾”。可见，档案资料保存也是合规建设的重要组成部分。由于美国的证据法对于资料的具体保存方式有严格要求，如果资料的具体保存方式不合格，则有被美国司法机构拒绝作为证据接受的风险。