国有企业合规管理组织架构的搭建

健全的合规管理体系是促进企业合规体系建设的基础，是合规流程运转的基础，也是增强企业合规文化的基础。合规管理体系的建设工作，首先就是要搭建科学完善的组织架构，明确各个部门在合规管理方面的职责，合理配置人力资源，明确汇报、审批的程序，促进部门间协同，进而发挥各部门优势，达成合规管理效果。国有企业应当结合实际建立健全合规管理与法务管理、内部控制、风险管理等协同运作机制，加强统筹协调，避免交叉重复，提高管理效能。

（一）党组织

参照《中央企业合规管理办法》，国有企业党委或党组织应当发挥把方向、管大局、促落实的领导作用，推动合规要求在本企业得到严格遵循和落实，不断提升依法合规经营管理水平。

国有企业应当严格遵守党内法规制度，企业党建工作机构在党委（党组）领导下，按照有关规定履行相应职责，推动相关党内法规制度有效贯彻落实。

（二）董事会

各级国有企业董事会成员多是由上级控股公司根据占股比例进行委派或任命，对上级控股公司直接负责，在授权范围内行使表决权，这也意味着董事会需要将控股公司的经营方针落实到本级公司。在合规方面，董事会应当遵从控股公司意见，确保公司以合法、合规的方式运营，董事长作为推进法治建设第一责任人切实履行依法合规经营管理重要组织者、推动者和实践者的职责，积极推进合规管理各项工作。

董事会应当发挥定战略、作决策、防风险作用，主要履行以下职责：

1.审议批准合规管理基本制度、体系建设方案和年度报告等。

2.研究决定合规管理重大事项。

3.推动完善合规管理体系并对其有效性进行评价。

4.决定合规管理部门设置及职责。

除此之外，董事会中可再设合规专项委员会，由董事会中具备法律、财务、人力、审计等专业知识的成员组成，与法治建设领导机构合并，统筹协调合规管理工作，履行以下职责：

1.确保公司的内部制度和合规体系能够准确、有效地反映公司经营相关法律、法规的要求，并能够对相关的合规风险形成有效管控。

2.监督公司的合规管理部门的组织架构、工作计划、财务预算、人员配置和权责履行情况，以及其独立性、权威性、汇报路径。

3.审查公司合规官的任命、解雇文件，提交董事会决定。

4.审查公司重大合规政策、合规工作内容、合规流程以及管理层的反馈。

5.监督针对公司、公司董事、高管、雇员或公司雇佣外部机构开展的重大内、外部合规调查。

6.审查针对已识别的重大合规风险漏洞、违规行为的纠正和改进方案，并监督、确保方案的执行完毕。

（三）企业管理层

企业管理层受董事会委派负责企业日常事务管理和常态经营，企业经理作为企业最高管理者，协同各部门、各职员落实企业依法依规运作。参照《中央企业合规管理办法》，管理层应发挥谋经营、抓落实、强管理作用，主要履行以下职责：

1.拟订合规管理体系建设方案，经董事会批准后组织实施。

2.拟订合规管理基本制度，批准年度计划等，组织制定合规管理具体制度。

3.组织应对重大合规风险事件。

4.指导监督各部门和所属单位合规管理工作。

同时，根据ISO37301:2021《合规管理体系要求及使用指南》规定，管理层还需要通过以下方式对其职责范围内的合规工作负责：

1.配合和支持合规职能，并鼓励员工共同参与；

2.确保其管理范围内的所有人员都遵守企业的合规义务、方针、过程和程序；

3.识别其运行中的合规风险并进行沟通；

4.在其职责范围内将合规义务融入现有的商业惯例和程序；

5.参加并协助合规培训活动；

6.培养人员的合规意识，指导他们满足培训和能力的要求；

7.鼓励并支持人员提出合规疑虑，并防止任何形式的报复；

8.根据董事会要求积极参与合规相关事件和问题的管理、解决；

9.确保一经确定需要采取纠正措施时，适当的纠正措施能够得到推荐并实施

（四）企业合规部门

企业合规部门由首席合规官负责，对全企业的合规管理工作负具体的管理责任。首席合规官由总法律顾问担任，对企业主要负责人负责，领导合规管理部门组织开展相关工作，指导所属单位加强合规管理。面对同时聘有多家律所提供常年法律顾问服务的国有企业，应确定一家作为首席法律顾问团队，其法律服务业务负责人为首席合规官，对合规事项负首要责任。企业合规管理部门中应当配备与经营规模、业务范围、风险水平相适应的专职合规管理人员，加强业务培训，提升专业化水平。

企业合规管理部门牵头负责本企业合规管理工作，主要履行以下职责：

1.组织起草合规管理基本制度、具体制度、年度计划和工作报告等。

2.负责规章制度、经济合同、重大决策合规审查。

3.组织开展合规风险识别、预警和应对处置，根据董事会授权开展合规管理体系有效性评价。

4.受理职责范围内的违规举报，提出分类处置意见，组织或者参与对违规行为的调查。

5.组织或者协助业务及职能部门开展合规培训，受理合规咨询，推进合规管理信息化建设。

同时，根据ISO37301:2021《合规管理体系要求及使用指南》规定，合规管理部门还需要通过以下方式对其职责范围内的合规工作负责：

1.领导和组织企业内部和外部资源，对企业的合规义务进行全面的识别、评估和监控；

2.领导和组织企业内部和外部资源，确定企业的合规目标，识别和评估企业的合规风险；

3.拟定企业合规管理体系整体方案，按企业治理机构报经最高管理层或者董事会批准；

4.领导和组织企业内部和外部资源，实施合规措施并针对实施中发现的问题不断改进；

5.组织合规沟通、教育和培训，提高全体员工和外部相关方的合规意识和合规管理能力；

6.建立、健全企业的违规举报、调查和补救机制。

（五）企业职能部门

企业实现合规目标，需要全体成员参与，每个员工应至少了解、遵守、执行企业的合规义务、方针、过程和程序，并参加相关培训。部门中设置合规管理员，由部门内业务骨干担任。企业职能部门应当主要履行以下职责：

1.建立健全本部门业务合规管理制度和流程，开展合规风险识别评估，编制风险清单和应对预案。

2.定期梳理重点岗位合规风险，将合规要求纳入岗位职责。

3.负责本部门经营管理行为的合规审查。

4.及时报告合规风险，组织或者配合开展应对处置。

国有企业合规价值观的树立

企业的合规价值观没有统一标准，但是以诚信作为基础，以合规作为精神内核，做不违反公序良俗的事，是普遍被认可的企业合规价值观。合规价值观可以解释为基于企业管理层对合规事务的认知、贯彻、判断、选择而形成一种思维导向，这个思维导向决定了企业运行的稳定性与持久性。因此在架构之后，应该是思维模式的统一化。

符合主流认知的合规价值观应至少包括以下内容：

（一）坚守法律底线，提高道德标准

法学理论中讲，法律是最低限度的道德。在任何情况下，企业中的人员应当严格遵守国家法律规定，在其所处的行业中，遵循行政法规和行业准则。敬畏法律，尊重法律，是处世的基础，也是合规的根基。

道德作为法律的评价标准和推动力量，是法律的有益补充两者相互联系。道德有区别于法律的“他律性”，作为一种“自律性”的要求，同样是合规价值观的重要组成部分。常言说，诚信是企业的无形资产，这体现在企业的商誉中，也体现在国企以国资为背景的社会公信力里，没有人可以把道德规则化，但企业的合规运转可以引导员工做正确的事，正确地做事。

合规管理作为企业法制的重要建设内容，应当纳入部门考核评价机制中，同时纳入对下属企业的考核评价范围内。

（二）合规文本和合规精神

合规文本可以包含企业制度、合同范本、员工手册等，如当前普遍使用的廉洁合同条款，包含了各方及各方业务人员不得收受贿赂、违规交往、违背利益冲突的内容。在员工手册或者企业合规手册中，企业也应为自己量身定制劝导员工合规从业的行为准则。

合规精神的提出，要求领导层主导建立合规体系，建设行之有效的举报监管机制，并将企业制度落到实处；同时也要求员工必须理解、更新合规政策，及时反应合规问题，且不应被报复。

（三）发挥领导带头作用

国有企业合规制度的管理

如前所述，制度管理是合规管理的基础。制度本身，是企业管理的核心途径和手段，而合规制度的确定是内外合规需求的汇集和集中体现，需求需要书面化，变成业务流程、管理流程和作业规则上，合规的需求不能仅依靠员工的自主判断和自觉性，只有固化为企业的制度，才能保证其不受偏移的循环有序执行。

（一）制度健全性管理

合规负责人及管理人员应督促、指导各单位定期对制度进行梳理规划改善，达成制度以下健全性目标：

1.制定基本制度，明确总体目标、机构职责、运行机制、考核评价、监督问责等内容；

2.业务经营活动全过程、全方位覆盖，不遗漏重要风险点；

3.系统性强，组织体系、防范体系、监控体系、应对体系等各项制度相互衔接、互为补充，根据适用范围、效力层级等，形成一个有机整体，构建分级分类的合规管理制度体系；

4.收集变化、反馈信息，定期评审制度体系，及时根据变化的内外经营环境和业务流程补充和修订制度，及时对制度进行修订完善；

5.对国企来说，应当针对反垄断、反商业贿赂、生态环保、安全生产、劳动用工、税务管理、数据保护等重点领域，以及合规风险较高的业务，制定合规管理具体制度或者专项指南。

（二）制度有效性管理

合规管理人员应督促、指导各单位定期对制度进行梳理规划，达成制度以下健全性目标：

1.符合法律法规、监管规定、行业自律规则的要求；

2.有效防止错误与舞弊的发生；

3.集成统一日标、规范行为、指导作业、培训技能、积累技术、记录备忘、沟通基础、考核评估等核心功能，为企业经营目标的实现提供合理保证；

4.形成发现问题、解决问题、持续改进的良性运作机制。

（三）制度合理性管理

合规管理人员应督促、指导各单位定期对制度进行梳理规划，达成制度以下合理性目标：

1.保持制度设计和实施的适用性、可执行性；

2.保持制度设计和实施的经济性；

3.控制适度，兼顾风险、效率与效益，组织整体利益最大化；

4.综合考量主营业务的规模、活动的性质、存在风险的大小、流程复杂程度和员工的基本素质等因素，并为此设计不同的制度;

5.控制目标具体，控制手段简捷，控制责任明确，控制效果落实反馈；

国有企业合规运行的机制

根据《合规管理系统要求及使用指南》及合规管理理论体系，企业的合规运行需要搭建三道防线，即实施、监督与改进。

（一）合规实施防线

合规管理的第一道防线主要由相关的业务部门承担，通过严格执行企业合规管理的各项制度及操作要求，规避底层执行合规风险，确保企业业务往来、制度执行合法合规。

合规管理第一道防线主要承接和完成二、三道防线根据企业现行合规机制以及业务交易流程而设定的合规目标，通过严格执行二、三道防线制定的目标完成业务运转，并在执行过程中实时统计并向上反馈执行情况、效果及问题；同时，业务及职能部门应将履职过程中产生的文件进行书面化、电子化存档，对突发且会酿成风险的违规行为及时向合规管理部门报告，对企业整体合规形成有效助力。

（二）合规监督防线

合规管理的第二道防线主要由企业合规部门承担，通过制定企业内部合规管理诸项制度并监督其实施情况，防范企业内部各流程环节合规风险，确保企业内部日常运营合法合规。

合规管理第二道防线主要协助制定并分解企业合规目标，细化各级合规目标执行计划并监督计划实施情况，通过汇总第一道防线合规目标达成结果，分析企业总体合规目标实现情况及未达成原因，从而形成总体合规绩效分析并组织实施改进措施。

第二道防线中，首席合规官牵头，企业合规部门统筹协调，对企业因违规行为引发重大法律纠纷案件、重大行政处罚、刑事案件，或者被国际组织制裁等重大合规风险事件，造成或者可能造成企业重大资产损失或者严重不良影响的风险，及时采取措施妥善应对。

（三）合规改进防线

合规管理的第三道防线主要由内外部审计部门、调查部门或工作小组承担，其中内部审计即指合规管理体系内部审核工作，外部审计即指合规管理体系外部第三方机构认证工作或外部监管机构的监管。通过对合规管理实施全面内外部审计，评估企业合规管理从设计到实施的全过程合规风险，提出合规管理的优化改进建议，直接上报管理层并监督实施，从而确保企业合规管理的持续改进。

国有企业合规风险的管理

（一）合规风险的评估

《合规管理体系 要求和使用指南》中提到，合规风险评估是合规管理体系实施以及分配适当和充分资源和流程来管理已发现的合规风险的基础。合规风险的特征在于不遵守组织合规方针与义务的可能性和后果，包括固有合规风险和残余合规风险。固有合规风险是指组织在未采取相应合规风险处理措施的情况下，处于非受控状态所面临的全部合规风险。残余合规风险是指组织现有合规风险处理措施不能有效控制的合规风险。合规风险评估的方法分为识别、分析、评估三个层面。

1.识别。风险识别是指对现实或潜在的风险进行系统的辨别和认识的过程，目的在于发现和描述影响企业实现目标的风险。风险识别包括合规风险源的识别和合规风险等级的定义。企业应根据部门职责、岗位职责和不同类型企业活动识别其中的合规风险源。企业应定期识别合规风险源，并定义每个合规风险源对应的合规风险等级，以制定合规风险源清单和合规风险等级清单。企业应将其合规义务与活动、产品、服务以及运营的相关方面联系起来，以识别合规风险。

2.分析。风险分析是指理解风险性质、确定风险等级的过程，即对风险发生的可能性及影响程度进行估测、量化和确认的过程，目的在于确认包括风险水平在内的风险性质和特征。风险分析涉及对不确定性、风险源、后果、可能性、事件、情景、控制及其有效性的详细考虑。事件可能有多种原因和后果，并可能影响多个目标。根据分析目的、信息的可用性和可靠性以及资源的可用性，风险分析可以进行粗细程度、复杂程度不等的分析。分析技术可以是定性或定量的，也可以是定性和定量相结合的方式，这取决于环境和预期用途。

3.评估。风险评估是指在风险识别和风险分析的基础上，对风险发生的概率，损失程度及影响，结合其他因素进行全面考虑，评估发生风险的可能性及危害程度，与组织的风险标准相比较，以衡量风险的程度，并决定是否需要采取相应的管控措施的过程。企业应定期对其合规风险管理制度及防范、救济措施进行评价，并在情势或企业环境发生变化时重新评价。

（二）合规风险的控制

合规风险的发生有外界因素也有内在诱因，体系制度的不完备，业务人员的贪图便利，管控成本过高等等，都是引发合规风险的原因。任何市场经营活动和内部管理措施，都难以完全杜绝风险，因此将风险控制在合理范围内，是较为理想的经营模式。其基本的控制原则及方法为：

1.外规内化，内规优化。企业可以将外部环境中现行的法规政策要求，吸收到内部制度中，兼容并蓄，保持制度的活性，也促进企业内外大小合规的有效联动。国有企业应当建立合规风险识别评估预警机制，对自身经营管理活动中的合规风险全面梳理。

2.违规处罚。设定处罚机制，对造成资产损失或者严重不良后果的违规经办业务成员，移交责任追究部门，给予公司内部的处罚措施；对涉嫌违纪违法的，按照规定移交纪检监察等相关部门或者机构。

3.动态监测。对合规风险设定动态监测机制，及时落实待办事项，跟进未履行完毕的合同，确保不因迟延履行而承担责任。对合规风险数据库定期更新，分析风险发生的可能性、影响程度、潜在后果等，及时预警典型性、普遍性或者可能产生严重后果的风险。

4.投诉举报。设立违规举报平台，公布举报电话、邮箱或者信箱，相关部门按照职责权限受理违规举报，对举报事项予以核实，并就举报问题进行调查和处理，保护举报人隐私与权益。

5.培训宣导。从思想层面宣传合规意识，将知规守规的观念灌输给受训人员。同时，国企应及时发布合规手册，组织签订合规承诺，强化全员守法诚信、合规经营意识。

其次，合规风险控制的基本衍化阶段为：

1.对已发生的风险或成型范例进行分析，找出自身问题，对风险成因采取排除措施；

2.由合规部门制定和选择风险应对方案、整改或防控的目标和计划，经管理层决策通过后实施，并纳入绩效考核指标；

3.以方案的落实情况优化工作流程，将成熟的做法固定为规范，对相关的业务模式、流程，使用的文本等进行修改和完善；

4.对修订后的规范、制度进行监控，结合实际发展阶段评估其有效性与可行性，对防范措施的启动、执行及效果持续跟踪；

5.对规范外剩余风险的承受程度进行衡量、判断；

6.对剩余风险采取规范化防范措施。

再细化来说，内部风险控制是企业自身“我要合规”愿景的第一步，内控的行之有效能够大量减少企业自身的“内耗”，企业不需要频繁的自查，应对上级的审计，纪检组的督察等，也不需要反复研究是否调整经营方针，是否上报控股公司主持大局等低效议项。内部风险控制的主要方法包含：

1.权益制衡控制。层级、部门的权力使用和权益取得，应当由制度加以约束，并保持透明化。

2.隔离防护控制。对企业内确定的高保密事项、材料、物品等采取强监管的隔离措施，达到防护目的。

3.识别匹配手段。确定单一路径的匹配对象机制，固定个体的工作职责与权限。

国有企业合规体系的有效性评估

《中央企业合规管理办法》规定，中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，强化评价结果运用。合规管理体系的有效性，是企业合规管理的体系及体系运行能达到初设目标的评估。有效性评估，可以提升企业合规风险防控能力，减少财务成本，可以提升企业商誉，增强市场竞争力，还可以帮助企业及其管理层规避或减轻刑事责任。

（一）合规有效性评估要素

从评估的内容和范围进行区分，可以分为全面评估和专项评估。有效性评估作为依托合规体系但又有所独立的机制，没有一套放诸四海皆准的标准。参照所查阅书籍中所载的实践经验，合规有效性评估要素有以下大致几个方面：

1.对企业所面临的合规风险解决方式进行评估。如前文所述，风险是每个企业经营过程中必须面对的事实，其预先防范、事中缓解、事后救济的处理结果直接影响到企业自身的盈亏乃至存续。对合规风险机制有效性的评估，是对企业对其所面临风险认识深度的衡量，可以直接反应一个企业合规体系的稳固程度。

2.对企业所适用的合规制度及流程进行评估。对企业是否具备从内容到效果都切实可行的合规制度和流程，是否确保合规部门独立运作且人员与其他部门任职不交叉，能否有效降低风险并进行有效处理，以及企业适用的合规体系能否及时吸纳外界政策法规变动而进行更新等进行全面评估。

3.对企业合规培训及宣传进行评估。评估企业是否将合规融入其组织架构、通过不断培训宣传使合规深入人心、为其董事、管理层、相关员工甚至代理商、商业伙伴等所知悉并遵守，同时要求企业保证所有合规政策流程能为其员工充分知晓并获得员工关注，要求其建立员工培训问题答疑流程，并就合规培训对员工行为及其工作的影响进行评估。

4.对违规举报及违规调查制度进行评估。评估该企业是否已建立有效的举报机制和违规调查流程，举报人权益的保护措施，企业员工对该机制的了解程度等。

5.对企业管理层的合规承诺及履职合规进行评估。评估该企业的核心管理层领导是否坚守党规党纪、法律法规以及合规承诺，尽责履职，主导企业合规体系构建，引领合规文化建设的情况。

6.对合规绩效奖励、违规惩戒措施的落实进行评估。评估该企业给予员工的合规绩效奖励承诺及落实情况；评估该企业对违法违纪、违规擅为行为的查处力度与查处结果。

（二）合规有效性评估形式

参考 1SO 37301：2021《合规管理体系 要求及使用指南》，合规管理体系的有效性评估包括以下三种不可互相替代的形式：

1.合规监控。合规监控是日常对合规体系的运行情况进行监测，以确保实现合规目标。合规监控主要凭借畅通有效的举报机制、各职能部门间的联动配合、设置的风险指标和指标预警值以及其依托的系统，从而实现对企业合规风险的管控，并建立完整的报告和记录。

2.审计。审计包括由内部独立审计部门及/或委托外部第三方审计机构，通过运用系统、规范的方法，以确定的周期，对组织的业务活动、内部控制和风险管理的适当性和有效性进行审查和评价，以促进组织完善治理、增加价值和实现目标。

3.管理层评审。管理层评审时公司管理者在固定时间间隔内为评价合规管理体系的适宜性、充分性和有效性所进行的综合评审活动，包括识别合规管理体系的改进机会和变更需要，以及对方针和目标的评价。评审结果应包括持续改进的机会以及变更合规管理体系的决定等。

（三）合规有效性评估结果

合规有效性评估是合规体系的自检体系，其书面化结果是合规体系更迭提升的重要依据。企业通过监控、审计、评审等方式，对企业的经营管理合规性，员工对法律、法规、政策、制度的遵循情况进行检验，对不完善的地方提出改进的建议，并推动落实执行。

改进的措施应当是有针对性以及可操作性的，对于不合规事件的发现，应当深入了解深层次的原因，从违规行为延伸至管理模式和流程制度上，并施于切实有效的改进措施。

结语

国有企业经历了漫长的发展阶段，其内部已形成具备自身特色的工作流程。随着国务院国资委对央企合规的重视，国有企业的合规建设也已作为新时代企业发展的重要课题，贯穿于国企未来发展的各个阶段中。国有企业应当秉持高质量发展原则，完善合规管理制度，确定合规运行机制，树立企业合规价值观，为市场发展提供稳定的中坚力量。

外部市场监管环境日益严格的背景下，强化企业自身管理、防范风险是每个企业所需要面临的重点。规范化、程序化、透明化的运作机制，是企业长远发展的前提。合规建设是一个契机，随着日渐成熟的理论体系，各国企可以按照自己的发展方式选择适应自身的发展模式。同一控股公司出资的国有企业，多数处在不同行业，但制度层面的千篇一律，只会让企业自身愈发失去活力，丧失竞争力。而且相较于民营企业，国有企业所受监管要求更高。而合规体系的构建，可以减少“内耗”，缓解监管压力。

在市场化的今天，先天条件优渥的国企与厚积薄发的民企逐渐在同一赛道上同台竞争，双方的起跑线也在逐渐靠近，差异不显。合规发展有助于立足稳健，减少风险损耗，提升企业资信能力。长远的发展离不开步履的坚定，自身的稳固方可抵御动荡的侵蚀。

谨以此文，为国有企业的合规改革提供一点思路。

【参考文献】

1. 合规管理体系要求及使用指南(ISO 37301-2021现行)

2.《企业合规事务管理（高级》，中国企业评价协会监制