合规体系有效性评价中的实质重于形式
发布时间：2025-08-19
作者： 陶光辉
企业合规管理本质上是一种基于风险的管理。这里说的风险，指合规风险。判断合规管理体系的有效性，就是在看这个体系是否防控了合规风险。但是，合规风险，同其他风险一样，只是一种未发生的事件或事务。
如何判断一家企业比另一家企业在防控“未发生的事务”方面表现更好呢？很显然，这很难。没有什么标准或准则，可以直接体现这种“防控效果”。
1. 合规管理有效性评价的基本路径
这种情况下，能用的路径，可能就两种。
一种是基于归纳的路径。即在一定时间段内，如果某个企业发生实际违反外规或内规的事件更少一些，那么可以说这家企业比另一家企业合规管理做得更好一些。
这种归纳的路径方法，在实践中，是不大好度量和操作的。因为各企业环境不一样，内规也不一样，就是应当遵守的外规，也有很大的不同，因此各企业之间是没有可比性的。另外，这个归纳统计，也不好执行。
另一种是基于演绎的路径。即在总结合规管理的要素之后，将合规管理体系结构化，即其是由若干要素组成，通过判断组成要素的设计和执行情况，作为判断合规管理有效性的标准。
这便是ISO37301、ISO 37302等管理体系有效性评价使用的路径及方法。通过拆解合规管理体系，然后判断各组成要素的情况，来判断整个体系管理的有效与否。
但是，这个方法同样存在很多问题。
2. 合规体系有效性评价的表层与深层
实践中，存在这样的可能性，而且个人认为，这种可能性还很大。即一家企业通过了ISO 37301或ISO 37302等体系评价（就是我们平时所看到的由认证公司颁发体系认证证书），也无法认定这个企业的合规体系就是有效的。
个中原因是多样的，但最重要的一个，个人认为是依据ISO 37302等标准进行的有效性评价，可能依然仅是一种“表层”的评价。
也就是说，判断合规体系有效的标准，并不是采用哪个标准的问题，关键是要符合企业实际，且“穿透”合规管理的表层，深入合规管理的实质。
如何理解？举例说明一下。
ISO 37302将合规体系有效性评价指标分为三大类：体系的策划和建立、已策划体系的实施、体系绩效评价和改进。
每一大类（一级指标）又分为若干个二级指标。如“体系的策划和建立”这个一类一级指标分为组织环境分析、识别和更新合规义务、确定合规管理体系范围并评估合规风险、治理机构和最高管理者的领导作用和承诺、合规治理原则的实施、合规文化的维护和促进、为不同层级的人员分配岗位、职责和权限、合规方针和目标设定，应对风险和机会以及所需资源的行动策划等9个二级指标。
每一个二级指标，又从“方针和程序”、“行为和文化”、“结果和影响”三个维度进行评价。
所有二级评价指标的“方针和程序”、“行为和文化”、“结果和影响”的赋值依据为制定的制度、文件，或证明执行相关制度、文件的纪要、记录、表格、通知、录像等。
之所以这样设计，是因为ISO 37302 是根据ISO 37301合规体系建设的内容来确定指标的。
这个评价指标体系，可以“穿透”地反映企业合规管理的实效吗？个人认为，未必。
其核心是因为，如前述，评价指标是基于建设体系指南（ISO 37301）而设计的，而这个体系建设指南与企业合规管理实践，特别是与央国企合规管理的实践是有差别的。
央国企合规管理建设是依据《中央企业合规管理办法》以及围绕国资委合规管理工作推进会所提出的合规体系建设要求而展开的。
如国企提出合规管理建设应当建立健全合规风险识别清单、岗位合规职责清单、流程合规管控清单等三张清单。
按监管部门的建议和指导开展建设工作，才是大多数央国企合规管理体系建设实践中的重点，也应当成为评价的重点。
如按ISO 37302仅是针对合规管理体系的通用要素进行评价，不与企业合规管理的实际动作对应起来，那么这个评价可能只是“形式”上的。
在该评价方法下，评价指标的指向与建设内容相脱节，因此这种评价是得不到“正确”的结论的。
3. 三张清单的“虚”与合规审查的“实”
即便是围绕“三张清单”等体系建设实践进行评价，也存在体系建设内容是否都能反映企业合规管理实效这个问题。
例如，“三张清单”建设在央国企合规建设中非常普遍。但“三张清单”真的能实现合规管控的实效吗？
根据个人经验，是存在不同的“三张清单”的设计的。有一些企业的所谓“三张清单”，其内容的核心就是把合规义务、合规要求、合规风险换个说法、换种表现形式。它既不是一个制度规定，也不是一个流程管控，只是几张EXCEL表格。这种清单，很明显是达不到任何管理效果的。
另外，“三张清单”如果不配套相关的更新、维护、使用规则，也很容易变为“应景式”、“运动式”等“很虚”的工作表格，可能远不如规章制度来得实用。
也就是，从合规体系有效性评价来说，“三张清单”本身，也是一种表层，同样需要深入到“三张清单”的深层。即从“有”，到“用”。
综合来看，在实践中，“合规审查”这个合规管控机制，可能是更“实”的。
通过合规审查，带来的合规意识强化，合规风险的披露以及合规风险应对措施的设计等效果，比三张清单编制所能带来的合规意识强化、合规风险披露及合规风险应对等，强烈得多，要“实”得多。
评价合规审查的实际效果，比评价是否编制了三张清单，更能反映合规管理的有效性或成熟度。
4. 实质重于形式
总结下来，判断合规管理的有效性，既要根据实际的建设内容来评价，又要穿透建设内容所能取得的实际效果。
这便是本文所提出的“实质重于形式”。这是合规体系有效性评价的核心原则。它与当前的“穿透式管控”的说法，有异曲同工之处。两者都是要求根据实际的业务风险管控到位与否，来判断体系或制度的有效性。
实质，是指业务实质、风险实质；重于形式，是指组织设置、制度规定、流程清单等都是载体，都是形式，关键是看其是否执行以及是否在业务过程中去执行。
小结一下：既然我们很难从结果上来判断合规体系的有效性，那么我们就从过程上，主要是业务过程的实质，而非合规管理自身过程上来判断合规体系的有效性。
—— 为法务人赋能，助企业家化险
