5月23日，习近平总书记在看望参加政协会议的经济界委员时，全面分析了当前全球经济形势，提出必须在一个更加不稳定不确定的世界中谋求发展。在此复杂形势下，合规，无疑是企业固根本、稳预期、防风险的有效手段和重要保障。但在实践当中，关于合规的认识仍然存在不少误区，甚至缺乏基本常识，笔者对此进行简要梳理，以期与大家交流探讨。

误区之一

合规是“舶来品”，

中国企业天生缺少合规基因。

合规一词在英文中表述为Compliance。近两年，随着国内外众多合规法案的出台和适用，以及层出不穷的知名跨国公司合规事件，如西门子贿赂案、大众“尾气门”、罗尔斯·罗伊斯公司、中兴通讯、葛兰素史克、瑞典电信、谷歌、脸书等一长串名字因为合规问题及天价罚金不断刷新世人的认识，使得“合规”一词迅速为国人熟知。同时，因为上述问题鲜明的涉外因素，许多人想当然地将合规视为“舶来品”，其中更有一种流行观点，认为中国企业自诞生之初，即先天不足，被人家追究处罚和“长臂管辖”也是理所应当。

其实，合规思想在中国传统文化当中源远流长，古人所崇尚的“不以规矩，不成方圆”、“循绳墨而不颇”、“诚信取利”、“管鲍之风”、“童叟无欺”等，无不蕴含着丰富的合规思想。的确，近代的合规管理最早是从国外金融业开始的。2005年4月，巴塞尔银行监督管理委员会（BaselCommittee on Banking Supervision ）发布《合规与银行内部合规部门》的文件，为会员国银行企业组建合规部门和建立合规体系确立了基本原则和制度框架。2006年10月，中国银行业监督管理委员会就发布了《商业银行合规风险管理指引》，明确合规风险是指商业银行因没有遵循适用于银行业经营活动的法律、行政法规、部门规章及其他规范性文件、经营规则、自律性组织的行业准则、行为守则和职业操守，可能遭受法律制裁、监管处罚、重大财务损失和声誉损失的风险，要求商业银行建立与其经营范围、组织结构和业务规模相适应的合规风险管理体系，并建立合规绩效考核制度、合规问责制度和诚信举报制度等三项基本制度。2007年，中国保险监督管理委员会为了规范保险公司治理结构，加强保险公司风险管理，实现有效的内部控制，专门发布《保险公司合规管理指引》（保监发〔2007〕91号），要求保险公司建立健全合规管理制度，完善合规管理组织架构，明确合规管理责任，构建合规管理体系，有效识别并积极主动防范化解合规风险，确保公司稳健运营。这两份规范性文件基本确立了我国金融业合规管理的制度框架。

近两年，我国相关部门和地方先后密集出台了系列重要合规文件，如《网络安全法》（2016）《反不正当竞争法》（2017修）《中央企业合规管理指引（试行）》（国资委，2018）《企业境外经营合规管理指引》（发改外资〔2018〕1916号）《中华人民共和国监察法》（2018）《电子商务法》（2018）《GB/T35770-2017合规管理体系指南》（2018）《证券公司和证券投资基金管理公司合规管理办法》（证监会，2017）《保险公司合规管理办法》（保监会，2017）《反贿赂管理体系深圳标准》（国内首个领域地方标准，2017）等等，由此可见，合规的思想和理念在我国由来已久，我国企业的血液之中也并不缺少合规基因，充其量只是未被充分激活而已。当前我们推进合规建设工作，务必树立正确的合规观念，正确理解合规原本就是中国文化的元素之一，应当入发掘，古为今用。

误区之二

混淆合规与法律边界，

将合规等同于合法。

合规与合法，两者概念的内涵与外延明显不同。根据2018年11月9日国资委印发的《中央企业合规管理指引（试行）》，合规是指中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求。根据2018年12月26日发展改革委、外交部、商务部、人民银行、国资委、外汇局、全国工商联联合发布的《企业境外经营合规管理指引》，合规是指企业及其员工的经营管理行为符合有关法律法规、国际条约、监管规定、行业准则、商业惯例、道德规范和企业依法制定的章程及规章制度等要求。

概括起来，合规包括三层含义，第一层是企业要在经营管理过程中要遵守法律法规，即企业要遵守公司总部所在国和经营所在国的法律规定及监管规定；第二层是企业经营要遵循企业内部规章制度，包括企业商业行为准则的规章；第三层是企业员工要遵守良好的职业操守和道德规范等。所谓合规风险，是指企业因未能遵循上述合规要求与合规承诺，而可能遭受法律制裁或监管处罚、重大财务损失或声誉损失的风险。“合规”的“规”可以划分为“合规要求”与“合规承诺”两部分，其中“合规要求”主要指法律法规等强制性义务，“合规承诺”则主要包括合规要求以外的其他非强制性规范。企业及其员工的经营管理行为违反了“合规要求”将遭受法律制裁和处罚，违反了“合规承诺”则一般不会遭受制裁，往往只是影响到企业的声誉。由此，可以判别“合规”与“合法”的关系，“合法”当然属于“合规”，“合规”包含“合法”，但两者并不等同。

误区之三

只有在境外才会遇到合规，

国内企业没有合规需求。

诚然，除了众所周知的中兴、华为等公司在境外发生的合规事件，中国企业在“走出去”过程中面临愈来愈多的合规风险，如以近几年我国企业对“金砖五国”（BRICS）、“薄荷四国”（MINTs）等为代表的新兴市场国家及“一带一路”沿线国家如火如荼的环境能源类投资为例。2005-2014年上半年，我国在环境资源领域承建的大型工程承包项目存量为1083亿美元，占承担的“一带一路”大型工程项目总额的57.1%。其中占比最大的环境能源类投资，失败规模高达406.4亿美元，占此类投资失败总额的72.4%。

5月14日召开的中央政治局常委会会议指出，要充分发挥我国超大规模市场优势和内需潜力，构建国内国际双循环相互促进的新发展格局。6月18日，刘鹤副总理给上海陆家嘴论坛开幕式书面致辞中强调指出，一个以国内循环为主、国际国内互促的双循环发展的新格局正在形成。新发展格局意味着一方面要畅通国内供需循环，提升国内产业链供应链水平；同时也要畅通国际供需循环，发挥自身在全球产业链供应链中的重要作用。

4月14日，市场监管总局依据《反垄断法》顶格处罚了山东康惠等3家医药公司滥用市场支配地位3.255亿元。这是国内反垄断执法部门罕见作出顶格处罚的案件，所没收违法所得破亿也创下国内反垄断史的纪录。4月24日，中国证监会公布IPO现场检查结果，结果触目惊心：证监会近8个月以来，合计现场检查了86家企业，其中，30家企业IPO之路被迫终止（其中7家被罚）；12家企业被采取行政监管措施；48家企业存在严重问题；45家中介机构被处理。

以上重要论断与合规事件，显然有力地反驳了合规国内没有市场和需求的说法。实际上，现在最大的问题不是国内企业没有合规诉求，而是合规服务供给侧存在问题，制度设计和创新要素不足，高端合规人才奇缺，无法为客户提供高质量的整体解决方案，或者提供的方案根本不管用。因此，合规服务业必须从提高供给质量出发，深入研究企业经营范围、所属领域、产业特点、产品结构、合规现状、风险分布、制度建设、员工认知等，扩大合规方案的有效供给，提高供给对企业合规需求的适应性和灵活性。

误区之四

合规管理与内部控制傻傻分不清

2019年10月，国资委发布《关于加强中央企业内部控制体系建设与监督工作的实施意见》（简称《内控实施意见》）提出实现优化内控体系的目标是“强内控、防风险、促合规”。国资委此前在2018年曾发布《中央企业合规管理指引(试行)》。《内控实施意见》以程序性的规则为主，如加强重要岗位授权管理和权力制衡，而《合规管理指引》则是围绕实体结果导向，如对重点领域、重点环节和重点人员如何防范合规风险阐明了最基本的规则和要求。上述两个文件的出台，表明了国有企业治理体系中通过内控发挥其程序功能来促进合规管理的实体防控风险功能的逻辑。

根据2010年《企业内部控制配套指引》中的《企业内部控制应用指引》，内控体系的核心价值之一是对企业经营管理行为的规范，具体内容涵盖组织架构、发展战略、人力资源、社会责任、企业文化、资金活动、采购业务、资产管理、销售业务、研究与开发、工程项目、担保业务、业务外包、财务报告、全面预算、合同管理、内部信息传递、信息系统等18个方面。《中央企业合规管理指引(试行)》明确了合规管理的重点领域，包括市场交易、安全环保、产品质量、劳动用工、财务税收、知识产权、商业伙伴等，具体包括制度制定、经营决策、生产运营等需要重点关注的环节。

合规是系统论，而非工具论，它不是具体而微的手段，合规是一种文化、一套机制，区别于内部控制、内部审计和风险管理。系统治理的理念是合规体系管理的核心，合规与内控两者的最大区别就是，内部控制重程序性规则，合规管理重实体性规则，对风险的评估和应对内控是前置性的，合规则是过程化的，包括前置阶段、事中阶段以及出险事后阶段。企业违反合规要求，必然要受到监管部门的处罚或声誉受损，但违反内控制度却不一定会导致负面结果。

误区之五

境外合规只针对中国企业，

对其他国家企业选择性失明。

统计显示，在2017年底的世界银行黑名单上，共有116个国家的1083个企业及个人上榜：其中包括加拿大122个、中国83个、美国52个、印度52个、英国46个；同时，在2017年底的名单中,有106家被列入了最严厉制裁，即永久丧失参与世界银行融资项目资格，其中，英国37、印尼13、瑞典11、美国9，中国0。

作为当今数据和隐私保护领域最具影响力且最为严厉的法案，2018年5月25日正式生效的欧盟《通用数据保护条例》(General Data Protection Regulation, GDPR)实施以来，其发布的多起执法案例无一不引起业界的广泛关注，涉案公司如英国Ticketmaster、美国ICANN、加拿大AggregateIQ、德国Knuddels.de。谷歌和脸书在GDPR生效第一天，就遭遇法律诉讼。多家美国新闻网站，亦因未响应GDPR规定取得用户授权，被迫在欧洲下线。截至目前，谷歌/微软/苹果/推特/脸书均已受到GDPR违规调查。根据英国欧华律师事务所(DLA Piper)的数据，欧盟实施GDPR以来，欧洲共收到16万份数据泄露通知。2019年，法国国家数据保护委员会以涉嫌违反GDPR为由，对谷歌处以5000万欧元罚款。由此可以看出，道德与合规是当今世界对全球市场的基本要求，绝非西方国家针对中国企业的无事生非。

4月9日，习近平总书记在中央政治局常委会上指出，面对严峻复杂的国际疫情和世界经济形势，我们要坚持底线思维，做好较长时间应对外部环境变化的思想准备和工作准备。4月15日，国务院副总理刘鹤主持召开金融稳定发展委员会会议，强调资本市场必须坚持市场化、法治化原则，要依法诚信经营，扎扎实实做好自己的事。坚持底线思维和扎实做好自己的事，无疑是对合规管理最好的概括。要求企业单位不仅要遵循各类法律法规、国际通行规则等强制性规定，还要坚持良好的职业操守和道德规范。合规作为当今国际贸易和交往的“普通话”与必选项，是企业国际竞争力的重要方面，也是国内企业“走出去”行稳致远的前提。可谓，合规之外，别无他途。

来源：众成清泰律师事务所

作者：李钦宝

小编微信：Crocso 如欲就法务与合规管理进行交流、培训、咨询等，可与我联系，将为您推荐大咖老师、资深专家和律师。