《中央企业合规管理办法》要点解读

作者：龚雅玲丨严瑾丽丨刘之瑶丨陈枫眠

2022年9月16日，国务院国有资产监督管理委员会（“国资委”）正式公布《中央企业合规管理办法》（“《办法》”），自2022年10月1日起施行，这将为中央企业及地方国有企业深入推进建设合规管理体系提供更加明确的理论支持和法律依据。在《办法》的征求意见阶段，我们对《征求意见稿》的内容提出了一些建议，部分建议似已有幸得到了国资委的认同，在《办法》中有所体现，我们将在下文中详述。

相较于2018年印发的《中央企业合规管理指引（试行）》（“《指引》”），本次《办法》以部门规章的形式对中央企业进一步深化合规管理提出更明确的要求，更加突出刚性约束，内容更全、要求更高、措施更实。虽然《办法》本身首先适用于中央企业（即国资委出资的企业），但明确要求地方国有资产监督管理机构参照《办法》，指导所出资企业加强合规管理工作。2018年《指引》出台之后，包括上海、重庆、江苏省、浙江省、广东省、河南省和广州、成都、徐州等地级市也都陆续印发了针对地方国资企业的合规管理指引。因此，我们相信《办法》在正式生效后亦会对地方的国有企业产生新的要求和责任，各个层级的国有企业都需要密切关注该《办法》和地方性要求，及时落实制度、人员和运行及监督机制的建设和实施，建立健全自身的合规管理组织体系。

一、《办法》的制定背景

在当前国际竞争越来越激烈、中央企业面临的国内外环境和风险日趋复杂严峻的大背景下，中国企业在经营运作，尤其是跨境的业务活动中不时遇到合规挑战。为了帮助中国企业完善自身的法制建设以应对境外较为复杂的政治和法律环境，国资委在2018年11月正式发布了《中央企业合规管理指引（试行）》文件，成为推动中央企业合规管理的标志性变革，促进中央企业全面启动了合规管理体系建设，从合规管理职责、合规管理重点、合规管理运行和合规管理保障等方面为中央企业的合规管理体系提供了建设方向和理论支持。这份《指引》对于中国企业的合规建设也有着极为重要的参考价值。为指导中央企业在重点合规领域强化管理，国资委此后还陆续出台了一系列共11个指南，涵盖了《反商业贿赂》《反垄断（经营者集中）》《商业秘密保护》《反垄断（垄断协议、滥用市场支配地位）》《PPP》（Public-Private Partnership，政府和社会资本合作）《个人信息保护》《商业伙伴》《劳动用工》《出口管制》《法人人格否定视域下国有企业母子公司管控》《世界银行制裁》等内容。

2021年5月，国资委在“法治央企建设媒体通气会”上表示，目前中央企业已按照《指引》的要求，全部成立了合规委员会。随着中央企业面临的内外部监管环境日趋复杂严峻，境内外政府有关部门对企业经营行为的监管力度不断加大，中央企业亦需要总结经验，加快提升其合规管理能力，以应对境内外的政府监管和激烈的市场竞争环境所带来的挑战。

国资委在2021年12月召开了“合规管理强化年”的工作部署会，这是进一步深化法治央企建设的一项重要举措，要求中央企业要把思想和行动统一到全面依法治国战略部署上来，将合规管理纳入全局工作统筹谋划、一体推进。中央企业“合规管理强化年”专项工作明确了五方面主要任务。一是强化领导合规意识，切实发挥“关键少数”作用，《办法》也增加了党委和第一责任人（即企业主要负责人）的作用，对董事会、首席合规官等都提出了更为明确的职责要求；二是建立健全工作机制，加快突破重点难点，《办法》中也明确定义了包括业务部门、合规管理部门和监督部门在内的“三道防线”，要求根据适用范围、效力层级等，构建分级分类合规管理制度体系等等；三是着力抓好境外合规，全面保障国际化经营；四是严肃开展监督问责，形成合规管理工作闭环，《办法》中也要求企业要建立风险识别评估预警机制、合规举报制度、合规评价和考核机制以及违规追责机制；五是加大资源投入力度，进一步夯实工作基础，这意味着企业要更多吸纳法律、合规等专业人才，提升专业知识水平；同时《办法》也提到要加快合规管理信息化的建设，必要时也应借助其他专业第三方人士或技术的力量，实现对合规风险的在线识别、评估和管控。

综上所述，我们理解《办法》正是基于国家对“合规管理强化年”的工作部署，对国有企业进一步完善和优化合规管理体系提供更为系统的指导，也提出了更为明确的工作要求。

二、《办法》的内容及框架

《办法》共有八章四十二条。第一章“总则”，明确了《办法》的立法目的、适用范围、相关概念与合规管理基本原则。第二章“组织和职责”，明确了党委（党组）、董事会、经理层、企业主要负责人、合规委员会、首席合规官、业务及职能部门、合规管理部门以及监督部门的合规管理职责。第三章“制度建设”，要求企业建立健全分级分类合规管理制度体系，制定合规管理基本制度和重点领域制度，并从修订完善与执行等方面作出了要求。第四章“运行机制”，从合规风险识别预警、合规审查、风险应对、违规问题整改、合规举报、追责问责、协同运作和合规管理有效性评价等方面提供了指导性原则。第五章“合规文化”，要求推动企业领导人员强化合规意识、建立常态化合规培训机制、加强合规宣传教育。第六章“信息化建设”，要求企业加强合规管理信息化建设，运用信息化手段将合规要求嵌入业务流程，实现对重点领域、关键节点的实时动态监测、实现合规风险即时预警、快速处置。第八章“附则”，要求中央企业和地方国有资产监督管理机构参照本《办法》，指导所出资企业加强合规管理工作，结合实际加快细化并完善合规管理制度。

三、《办法》的要点

相较于之前的《指引》，《办法》主要从以下几个方面加强了中央企业建设合规管理体系的要求：

（一） 设置首席合规官，明确领导责任

《办法》规定中央企业应当结合实际设立首席合规官，由总法律顾问兼任，领导合规管理部门组织开展相关工作，指导所属单位加强合规管理。在职权设置上，《办法》明确要求首席合规官在企业重大决策事项的合规审查意见中签字，对决策事项的合规性提出明确意见。

国资委政策法规局在答记者问中提到，在中央企业设立首席合规官，是强化合规管理工作的一项重要举措。从国际实践来看，设立首席合规官是大企业的普遍做法，首席合规官作为企业核心管理层成员，全面领导合规管理体系建设与运行，发挥了积极作用。2021年国际标准化组织印发的《合规管理体系要求及使用指南》（ISO 37301:2021）明确规定，应当指定一人对合规管理体系运行负有职责、享有权限。世界银行、经合组织等国际组织鼓励企业设立首席合规官，并作为评估合规管理水平的重要指标。因此，在中央企业设立首席合规官，既有利于进一步明确合规管理职责、落实责任，统筹各方力量更好推动工作，也展现了中央企业对强化合规管理的高度重视和积极态度，对推动各类企业依法合规经营具有重要示范带动作用。

（二）合规管理组织的结构调整与变化

《办法》主要增加了企业党委（党组）和第一责任人的职责与作用，取消了对监事会的职责规定，进一步明确了业务及职能部门、合规管理部门和监督部门合规管理“三道防线”职责，也对各组织或个人的职责进行了更为详细的规定。

（三）关于合规制度的体系建设要求

《办法》的第三部分要求中央企业需要根据适用范围和效力层级建立分级分类的合规管理制度体系。合规制度管理体系中应包括基本制度、针对重点领域的具体制度或者专项指南以及操作手册等不同层级的文件。同时，《办法》进一步明确了合规管理重点的领域，包括反垄断、反商业贿赂、生态环保、安全生产、劳动用工、税务管理、数据保护等。对于上述重点领域和合规风险较高的业务，制定合规管理具体制度或者专项指南，为中央企业完善合规管理制度体系指明了方向，强化重点领域合规风险防范。

（四）合规制度运行机制的优化与改进

《办法》在《指引》的基础上对合规审查机制进行了细化和完善。《办法》要求对经营管理行为的合法合规性审查需作为必经前置程序嵌入经营管理流程，重大决策事项的合规审查意见应当由首席合规官签字。业务及职能部门、合规管理部门依据职责权限完善合规审查标准、流程、重点等，定期对审查情况开展后评估。此外，《办法》还对合规风险识别预警机制、违规问题整改机制、合规举报机制等方面提供了指导性原则。

（五）建立健全合规管理的评价与追责机制

《办法》要求中央企业要建立合规管理有效性评价机制，定期对合规管理体系运行情况进行全面评价，对于重点业务合规情况可以适时开展专项评估，对合规风险和违规问题组织整改。

同时，《办法》也要求将合规管理情况和违规记录纳入对经营管理和员工履职的考核，将违规行为性质、发生次数、危害程度等作为考核评价、职级评定等工作的重要依据。我们预估，日后法律合规审计也可能成为高管离任审计的一部分，即不仅仅局限于一般会计师审计范畴。

《办法》指出相关部门和人员在履职过程中，存在有应当发现而未发现违规问题，或者发现违规问题存在失职渎职行为，给企业造成损失或者不良影响的，应当承担相应责任。

（六）优化合规管理的信息化建设

《办法》还进一步明确要加快建立合规管理的信息系统，信息系统中应包括合规制度、典型案例、合规培训和违规行为记录等。这样就可实现中央企业对其合规管理体系的完整溯源和动态监控，实现合规风险即时预警、快速处置。

四、我们曾对《办法》的建言献策

在《办法》的征求意见阶段，我们经过对《征求意见稿》的认真学习、讨论和研究，并结合我们多年来为中国企业及跨国企业提供合规管理法律服务的经验，就《征求意见稿》的内容向国资委提出了一些建议和意见。我们的部分建议有幸得到了国资委的认同，在最终公布的《办法》中有所体现，具体请见下表。

五、我们对中央企业及其他参照适用《办法》企业的合规建议

基于《办法》，我们认为中央企业及其他参照适用《办法》的企业需要加快对合规管理体系的建设和完善，从管理制度、组织人员、运行机制和保障机制等多个层面，结合企业的业务领域，构建中央企业的合规管理体系。我们也会随时关注几个重要省市是否亦会陆续出台相应的实施细则。

1.  中央企业需要结合其所在的行业，制定多层次、分级分类的合规管理制度，包括基本的合规纲领性文件，如商业行为准则、员工手册等；同时也需要针对企业的重点合规领域进一步制定更为详细的制度，如反腐败与反贿赂制度、礼品与招待制度、招投标管理制度、反垄断及反不正当竞争制度、商业秘密保护制度、个人信息与数据安全制度等重点合规问题的独立制度。同时，企业还需要结合其已有的流程进一步细化合规制度的执行主体与实施步骤，比如会议与活动举办制度、财务与报销制度、业务招待的申请规范等。此外，中央企业应当根据法律法规、监管政策等变化情况，及时对合规管理制度进行修订完善，对执行落实情况进行检查。

2.  中央企业需要根据相关法律法规的要求选择合适的专业人员承担合规管理职责，对承担合规管理职能的部门和个人要建立相应的考核与评估机制，将其执行合规制度的情况和违规记录作为其重要的绩效考核内容。同时，企业应设置有效的资源配置，采取合理措施对合规管理人员进行赋能、扩编，鼓励、尊重、培训从而激励相关负责人充分履行其合规管理的职责。另外，企业也要通过厘清责任及追责机制，对出现了违规行为的人员严肃追责。企业可通过年度合规审计、专项合规审计和离任合规审计等方式对企业的管理人员进行审查，以厘清其是否在任职期间出现过违规行为或对已发现的违规行为隐匿不报、故意从轻处理，甚至未履行其监督或管理的责任义务。

3.  中央企业需要定期对其合规体系进行有效性评估与审查，了解其合规制度是否能够真正的实现落地实施，其对经营行为的合法合规性审查是否能够起到识别并规避合规风险的作用，企业对合规风险事件的应对机制是否有效，以及企业对合规举报等是否能够迅速彻底的进行调查等等。同时，企业也要通过此类评估与审查及时发现合规制度中的漏洞或缺陷并进行整改，从而实现闭环的合规管理体系。

4.  企业需要加快进行信息化建设和数字化建设，以实现合规制度和运行机制的落地实施。企业需要借助专业的人士、软件和技术探索建立合规管理在线监管系统，厘清在线监管系统需要承载的功能和目标，加强对重点领域、关键节点的管理，加强合规管理信息系统与财务、投资、采购等其他信息系统的互联互通，实现数据共用共享。通过大数据等手段，实现合规风险在线识别、评估和管控。企业需要注意合规问题的敏感性、机密性，特别是内部合规调查的内容。在推动数字化、信息化、智能化建设的过程中，企业应对敏感的合规信息、调查信息等设置严格的保密机制与措施、保护企业商业秘密、合规案件的专项处理进程和相关人员的个人隐私。因此，这不仅要求企业要建立起完整的规章制度，组织具备相应专业知识技能的人员团队，更需要结合公司内部的组织架构和业务模式，制定合适的流程与操作规程，在确保对合规风险实现充分识别、应对和追责的前提下，保证机制的高效运行，避免不必要的资源浪费或重复工作。

5.  企业合规应是自上而下的，从公司最高领导、各级管理层到全体员工均有责任制定规范、参与、配合、落实并维护合规体系。我们常见到许多企业积年累月、前前后后已经制定了许多合规政策、规范、指引等，但常束之高阁，并未切实施行。其中也有重复或类似的规定，却有不一致之处，所以一般员工无所适从，甚至有不同业务部门、子公司、关联公司各自为政。在《办法》正式施行后，企业应依《办法》设置合规委员会、首席合规官，在业务部门和职能部门均设置合规管理员，引入专业团队，把相关的规定进行梳理、整合、更新并查漏补缺。在加强信息化、数字化系统建立时，也需考虑、配合业务及职能部门、合规管理部门、监督部门的实际需求与执行情况。国内企业的系统架设之际也需顾及整套体系在境外子公司、控股公司、参股公司的落地适用问题。

6.  企业合规文化的建立需循次渐进，无法一蹴而就，需有领航者的视野与担当，委派学养专精的团队担任合规委员会成员，梳理制定企业合规制度与规范。然而徒法不足以自行，企业部门及团队沟通讨论有助于员工对合规相关规定的理解，定期对企业各级员工开展培训交流，使全员了解合规的真谛以及对公司及自身的影响，至关重要。企业组织开展合规风险识别、预警和应对处置，开通合规举报通道，相关部门按照职责权限受理违规举报，并就举报问题进行调查和处理。企业可从每个案例中领悟到是否有制度不全或监管不严之处，从而实事求是地完善补强。建立向阳的企业文化有助于提高公司正面务实的形象，广揽人才，兴利之际，也确保将公司及高管的合规风险与责任降至最低。企业合规是公司做大做强、行稳致远、应对国际竞争、永续经营的磐石与基础！

[1] 根据《公司法》的规定，监事会对董事、高级管理人员执行公司职务的行为进行监督，当董事、高级管理人员的行为损害公司的利益时，有权要求董事、高级管理人员予以纠正。监事会的设置有利于保护股东、企业员工的权利，而此次《办法》取消了监事会的合规监管职责，增加了企业党委（党组）和第一责任人的规定，监事会的职责后续由谁来替代值得进一步研究和关注。此外，关于组织机构及其职责的变更，企业需要对公司章程、内部制度的内容进行相应的调整，以衔接《办法》和相关法律法规的规定。