所谓合规管理，是指企业及其员工违反了法律法规、监管要求、企业制度及商业伦理规定的合规义务与要求，而采取相应管理措施的内部治理行为。合规概念是一个舶来品，在中国能否真正得到贯彻落实，除了对概念的理解与认识以外，必须从企业治理行为的基础脉络上捋清公司合规管理与国内企业目前的涉及法律风险管理、审计管理、纪检监察等内部治理工作之间的关系。现实中，国内有的企业成立法律合规部，有的企业分别成立了法律部和合规部，但有的企业将合规管理纳入法律部的工作职责中。这样的组织架构反映出对合规管理与法律风险管理之间的关系认识不一致。为了更好地推动目前中央企业合规管理工作能真正落地，理顺企业内部的管理架构非常重要、也非常迫切，这样才能保证理论的认识充分到位，形成强大的执行力。鉴于目前没有这方面权威的官方解读，笔者在此不揣冒昧，做一具体分析。

一、合规管理与法律风险管理

　　总的来讲，于企业而言，合规管理与法律风险管理都是企业风险管理工作的重要组成，目的都是为了防范企业经营管理中的各种风险，但具体防范的风险性质却是不同的。归纳起来，合规管理防范的风险是企业及其员工的行为可能导致的合规风险，而法律风险管理防范的是企业可能面临的法律风险。

　　这两类风险的根本不同在于：合规风险决定于风险产生的原因，即来自于企业及其员工的违规违法行为；而法律风险则强调风险的性质，它和法律法规的规定有关。因此，有的法律风险不一定是合规风险，它可能来自企业的外部。比如，企业的服务供应商提供了质量不合格的产品引发的合同纠纷，或者企业离职员工勾结外部人员侵犯公司的商业秘密带来的风险。只有其中因为企业及其员工违反法律法规的行为带来的风险，才是合规风险与法律风险的重叠部分。

　　二者的风险性质之所以不同，根本上是因为管理目的存在显著差异。合规管理的目的是为了规范企业及其员工的行为，法律风险管理的目的则是为了防范和消除企业可能面临的各类法律风险，其中相重叠的部分是企业及其员工的行为可能违反法律法规带来的风险。合规管理之所以需要独立出来，是因为它关注企业自身及其员工的行为规范，这是企业生存和发展的基石。法律风险管理之所以受到企业的重视，是因为它是企业最大的经营风险。所以，合规管理直接关注企业及其员工的行为，以及由此产生的风险，所以它是目标管理思维；而法律风险管理直接关注的是各类法律风险后果，企业是根据可能产生的风险结果来考虑需要采取的应对措施，所以它是结果管理思维。目标管理思维更加积极主动，结果管理思维相对被动。就风险预防理论而言，合规管理体现的是主动预防思想，法律风险管理体现的是被动预防思想。由此，合规管理具有明显的“计划型”特色，工作抓手是合规计划；法律风险管理具有浓厚的“应对型”特色，工作抓手是风控措施。

　　根据上述分析，我们可以将合规管理与法律风险管理的区别统一梳理如下：

（图表1）

　　注意区分合规管理与法律风险管理的界限，对于当前企业全面加强合规管理、防范系统性风险具有下列实际影响和重要意义：

　　一是科学推进企业风险管理组织建设。合规管理与法律风险管理的侧重点完全不同，如果将合规管理纳入法律风险管理职能中，就会降低对合规管理重要性的认识，仅将合规管理限缩于法律风险防范目标之下的企业治理，而忽视大量日常的与法律风险无关的企业治理活动，最终导致企业风险管理失之偏颇，治标不治本。

　　二是形成更有效的企业风险管理工作。合规管理与法律风险管理会形成有机的衔接。合规管理通过形成贯穿于企业“决策权-执行权-监督权”的有效管用的合规计划，促进完善公司治理体系；而法律风险管理通过关注企业最为严重的经营风险，夯实企业风险管理的最后一道防线，由此形成合规管理的“面”和法律风险管理“线”之间的高度融合和有机衔接。此外需要注意的是，企业法律风险管理本身也是合规管理的对象，就是企业法务工作的合规性问题。

　　所以，笔者认为，在公司防范系统性风险的管理活动中，合规管理相较于法律风险管理，更是一个独立的系统，发挥的是基础、统筹作用，而法律风险管理是一套管理措施，注重发挥的是有效性功能，在法律风险危机到来时形成以合规管理为基础的风险应对措施。

二、合规管理与内部审计

　　2011年1月国际内部审计师协会（IIA）发布的新版《国际内部审计专业实务框架》中，将“内部审计”定义为：是一种独立、客观的确认和咨询活动，旨在增加价值和改善组织的运营。它通过应用系统的、规范的方法，评价并改善风险管理、控制及治理过程的效果，帮助组织实现其目标。2003年6月，中国内部审计协会发布《内部审计准则》，将“内部审计”定义为“组织内部的一种独立客观的监督和评价活动，它通过审查和评价经营活动及内部控制的适当性、合法性和有效性来促进组织目标的实现。”通过这些权威文件的确认，内部审计和国家审计（政府审计）、社会审计（事务所审计、独立审计）并列为三大类审计。内部审计的主要方法包括：顺查法、逆查法、抽查法、审阅法、分析法、抽样审计与详细审计结合法效益评价审计法。这些方法无一例外都需要企业的财务会计凭证作为评价的事实依据。

　　由上可知，内部审计是通过对企业财务凭证资料的规范细致的分析，实现对企业的经营活动的客观评价，所以内部审计是企业合规管理的重要手段，在对企业经营开展的合规性评价或者合规调查中，内部审计都是不可或缺的。稽核和审计基本上是一个意思，都是指对经济活动的监督检查，也是一种内部治理的重要发现和处置风险的手段，是合规管理的重要抓手。

　　另外，反洗钱也是一种重要的合规管理手段，也需要在合规管理的统一协调之下运行。

三、合规管理与内部控制

　　根据通行的观点，企业内部控制是指企业为保证经营管理活动合法有序运行，采取的一些对财务、人员、资产、工作流程实行有效监管的管理行为。企业内部控制要求保证企业资产、财务信息的准确性、真实性、有效性、及时性；保证对企业员工、工作流程、物流的有效的管控，建立对企业经营活动有效的监督机制。

　　内控通过对企业人、财、物和工作流程进行全方位的监管，形成的是企业管理层对员工的全面控制力。但是，这种控制是否在法律法规、监管要求和商业伦理方面行之有效，则又会涉及对内控制度的合规性评价的问题。比如，企业为了加强对生产商品的管控，建立了集中管理的制度，但因此产生了员工侵吞商品或者收受贿赂的问题，从合规性评价的角度，企业的集中管理制度并没有有效地防范刑事犯罪风险。从风险防范和管理效率出发，应当建立对商品管理的内部制约机制。

　　所以，合规管理和内部控制的目的是不同的，企业的内部控制是从企业经营管理的质量和效率出发采取的内部控制体系，而合规管理的目的则是为了防范企业和员工的违规违法行为。同时，两者也存在交集，一方面内部控制制度的合规性也是合规管理的对象之一；另一方面企业建立的合规管理制度也是内部控制制度的一部分，二者相互依存。

四、合规管理与纪检监察

　　监察，是指企业对内部的违规违法行为进行调查核实并进行问责处理的管理行为。纪检，是指中国国有企业针对有共产党员身份的员工违反党的纪律的行为进行调查核实并给予纪律处分的管理行为。从性质上讲，纪检和监察是企业合规管理中的反舞弊工作内容，是最重要的合规管理手段之一。通过纪检监察工作，企业合规管理可以有效地强化制度的刚性和约束力，促进提升企业的合规文化。

　　综上，根据前述关于企业合规管理与法律风险管理、内部审计、内部控制、反洗钱以及纪检监察之间的关系，结合2019年国务院国资委颁布实施的《中央企业合规管理指引（试行）》的要求，笔者认为未来加强企业合规管理，应当形成下列工作格局，如下图所示：

（图表2）

　　根据上图，笔者认为，未来的企业合规管理组织体系应当建立形成合规管理的统筹中枢机构，合规委员会与监事会并行，有权监督董事会，负责全公司合规管理工作的组织领导和统筹计划。合规委员会下设法律合规部（或者合规部），作为合规管理的日常运行机构。法律合规部统筹整合公司各种合规管理监督手段，包括业务部门的合规自查、反洗钱、内部控制、内部审计和纪检监察，同时它和法律风险管理形成有效衔接，共同组成公司防范风险的管理工作体系。

（来源：微信公号“中律联企业合规”）

相关文章链接：

　　姜先良律师：解读《中央企业合规管理指引（试行）》要点

　　如何确保《中央企业合规管理指引（试行）》有效落地