在发达国家，企业合规经过几十年的发展，已经发展成一项相对成熟的管理机制。企业合规正式诞生的标志是1991年的美国《组织量刑指南》，随着企业合规在全球范围内的普及，国际标准化组织于2014年制定了ISO19600《合规管理体系指南》，后于2018年11月启动修订，形成了2021年ISO37301《合规管理体系指南》。在中国，对企业合规的研究方兴未艾。2017年12月，我国国家标准化管理委员会发布了GB/T 35770-2017《合规管理体系指南》国家标准，这部国家标准同样采用了ISO19600标准，为中国企业建立合规管理体系提供了指南，于2018年正式生效。2018年11月2日国务院国资委发布了《中央企业合规管理指引(试行)》，明确了董事会、监事会、经理层等不同层级主体合规管理职责，并要求中央企业设立合规管理委员会，与企业法治建设领导小组或风险控制委员会等合署，承担合规管理的组织领导和统筹协调工作。同时，国务院发改委等七部委《企业境外经营合规管理指引》等重要文件颁布，国内多个省份、直辖市纷纷出台当地的合规指引文件。一时间，“企业合规”一词炙手可热，因此，2018年也被评价为“合规元年”。2020年3月起，最高人民检察院部署在江苏省张家港市、深圳市宝安区等6个基层检察院开展涉案企业合规改革试点；2021年3月起，在总结第一批试点经验的基础上，最高人民检察院部署在北京、上海、江苏、浙江等10个省份开展第二期试点工作，试点范围扩展到62个市级院、387个基层院。2021年6月3日《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》出台。截至2022年5月底，全国检察机关共办理企业合规案件1777件，经过两期改革试点，10个试点省份检察机关共办理企业合规案件766件。其中，对整改合规的333家企业、1106人依法作出不起诉决定，取得良好办案成效。[1]2022年4月1日，国务院国资委发布了《中央企业合规管理办法（公开征求意见稿）》，2022年8月23日，《中央企业合规管理办法》正式公布，自2022年10月1日起施行，这将进一步促使中央企业提升合规管理的能力。综上，企业合规已在整个社会层面引起重视，且对企业来讲，企业合规也成为提升企业管理水平、防范企业重大风险的契机。合规，英文为compliance，指合乎规定，遵守法律规则的意思，表现为遵守国际公约，国家法律、法规，规章制度，行业规范，职业伦理，公司章程等。从字面意思理解，企业合规就是企业遵守法律法规，依法经营和管理。但如果只是如此理解，那么没有必要刻意提及企业合规这一概念，说成是风险防控更确切。综合各学者对企业合规的定义，笔者认为，企业合规的定义可归纳如下：企业合规是指企业为了防范刑事犯罪风险和行政处罚风险，按照国家监督部门和执法部门的要求建立的预防和控制刑事犯罪风险和行政处罚风险的治理结构和治理体系；而对刑事监督部门和行政执法部门来说，在对违规企业采取执法行动之前，考虑企业是否建立有效合规计划和治理体系，来作为是否给予企业宽大行政处理或刑事处理的依据。在业界，常有“大合规”和“小合规”的说法，容易给企业造成误导，觉得大合规才好，大而全。但这种说法是有失偏颇的。有学者认为，“大合规”是指：与企业运营相关的所有行为均纳入合规风险管理之中，具体涉及生产、营销、财务管理、人力资源管理等全部业务、管理方面活动；以及全体员工对所有适用的法律法规、制度制定、行业准则、执业操守的普遍遵从。“小合规”是指：企业具体合规制度的建设、修订、审核、实施及监管，企业内部规范性政策的起草、修订、审核、实施、监管以及对于企业合规政策的咨询、解答，对企业内部的举报的受理与处理等。”[2]但有的学者把“小合规”也定义为“着眼于防范企业商业贿赂犯罪的合规机制，一般被称为“小合规”，或者“狭义的合规”。[3]那么相应的“大合规”则是指“企业合规不仅仅具有企业依法依规经营的含义，还是企业自我治理、自我监管和自我整改的治理方式，更是一种在企业陷入执法调查时获得宽大处理的激励机制。”笔者认为陈瑞华教授的定义更具有合理性，否则企业合规与企业风险防控就无法区分，设立这样一种管理体系的必要性就无从谈起。因此不管是“大合规”，还是“小合规”，我们首先要明确的是企业需要什么样的合规，适合企业自身经营状况的就是好的合规。很多企业主动或被动地引入企业合规管理，也促使相关的法律业务逐步发展完善。但笔者认为，企业合规与其说是法律业务，毋宁说是管理咨询业务：与其说是企业风险防控体系的梳理，毋宁说是企业建立合规体系的管理过程。结合笔者近两年对企业合规的研究和跟踪，笔者认为企业合规有如下发展方向。企业应该识别自己的行业特点，针对企业发生风险可能性较大的领域或者部门，进行专项的合规。只有一些跨国大型企业，才有必要进行全面的合规。以反腐败、反垄断、产品推广、采购招标、网络安全、数据保护、电子商务、税务、劳动用工、贸易与出口管制、环境保护、内幕交易、知识产权、国有资产、安全生产、反歧视、反洗钱等为主要内容的合规体系的建立，不是必须全部应用于每个企业。如果是进出口业务频繁且数额巨大，贸易与出口管制合规就是必须的；如果是人员密集型的制造业，安全生产合规就是必须的；如果是污染较重的企业，环境保护合规就是必须的……因此，企业务必识别自己的风险领域，同时出于成本的考虑，进行更有效率的专项合规。从企业的实际情况出发，也可以就多个专项进行综合，统一进行合规计划和管理，这样既可以减少重复梳理企业合规的可能，也能更集中力量对企业特别需要注意的合规风险进行重点管理。鉴于企业合规管理是针对企业合规风险所建立的内部治理体系，与业务经营、财务管理和监督并行，都属于企业内部治理体系。它们三者相互独立，相互制衡，在公司治理中发挥着不同的作用。正因为如此，企业合规并不是一般的“风险控制”，而是一种具有“合规风险控制”职能的治理体系。作为公司治理体系的一种，当企业进行企业合规建设时，势必要求主导企业合规的人员具备丰富的管理经验，了解企业的经营运作，了解管理人员的基本准则，从而能切实地将合规嵌入企业的日常管理。尤其是企业引入外部管理咨询团队时，可以一并将企业合规需求提出，基于不同模块，管理咨询人员、法律专业人士、审计人员分工协作，建立领导小组，分别实施。这样不仅能节约成本，更能提高效率，所做出的成果更具协调性，不会彼此冲突甚至出现内耗。当然，仅仅有管理经验当然不足以主导合规体系的建设，同时也应具备丰富的风险防控经验，在风险评估阶段才能尽到充分的注意义务，而在风险识别阶段，仍然需要大量的管理经验和管理工具。美国联邦量刑委员会于2004年对《组织量刑指南》进行了修订，最引人注目的变化就是引入“组织文化”，强调企业文化不仅要促进“守法”，还要促进“道德行为”。2003年《汤普森备忘录》明确指出，未被公司人员有效内化并成为公司文化一部分的合规计划将被视为无效。ISO37301《合规管理体系指南》最大的特点是融入企业文化，将合规嵌入到组织的文化和员工的行为态度中，已成为企业核心价值和公司治理一部分。我国国家标准ISO19600《合规管理体系指南》第2.19条规定，合规文化时贯穿整个企业的价值观、道德规范和信念，与组织的结构和控制系统相互作用，产生有利于合规成果的行为准则。通过以上，我们不难看出，企业合规不仅应成为企业文化的一部分，企业文化也相应地反作用于企业合规。企业文化不是自发形成，尤其不能靠员工自觉遵纪守法并提高道德标准，因此，企业文化是需要培育的，企业合规文化同样需要培育。培育方法可以包含如下方面：1.领导承诺，这种承诺应外化于企业的文化手册或管理制度文件中；2.领导层（董事会和高级管理人员）身体力行、积极推动，上行而下效，以领导层的行动引领企业全员行为；3.制定和发放合规手册、签订合规承诺书，企业合规所涉及到的关键部门、岗位，都应签署承诺书，并使全体员工可方便地查询合规的内容和程序；4.促进企业自身合规与外部监管的有效互动，外部监管应内化为自我监管，定期以及临时性地进行合同检查；5.培训应定期举办，并在有外部监管文件或行为有变化时随时培训，以适应不断变化的合规环境。以上我们可以总结为：通过层层的措施主动推动企业合规文化的形成，组织内从上到下均无形地遵从企业文化的要求。我们在为某海洋化工研究院所做的合规文化建设中，将各个部门的合规文化提炼总结，形成了下述合规文化描述：上述合规文化的提炼是我们经过与全体部门和关键岗位员工调研访谈而得出，更经过了全体员工的热烈讨论。所以，在合规文化嵌入到企业的整体文化中，且员工全体参与时，合规才能成为全体员工自觉自愿的行为。就目前的企业合规现状来看，存在着诸多实务操作误区，或者企业在进行合规后并无太多实质性用途。企业要不要做合规、合规要做到什么程度，一定不能教条化，否则无异于作茧自缚。在了解合规的目的和趋势之后，选择最适合自己的合规之路，是每个企业领导者首要考虑的问题。[2] 《企业合规讲义》华东师范大学企业合规研究中心，P26.
[3] 陈瑞华《论企业合规的性质》.
