睿见安言 企业合规体系建设，到底是在建什么？

两周前，我在《国资监管正式进入“体系时代”：企业合规管理正在发生根本变化》一文中谈到一个观点：合规管理正在从“文件管理”走向“体系治理”。

文章发出后，一定会有这样的疑问：如果企业真的要做合规管理体系，不能只讲理念。更关键的是，到底怎么做？怎么帮企业把合规义务识别出来？怎么把风险找出来？怎么把机制建起来？

这其实问到了合规管理体系建设he心的三件事：

di1，合规义务清单怎么建；  

第二，合规风险怎么识别；  

第三，合规机制怎么真正落地。

很多企业做合规，容易从制度开始。先写一份《合规管理办法》，再写几个专项制度，last配一些培训和签到记录。这样做不能说完全没有价值，但很容易变成“文件齐全、体系空转”。真正有效的合规体系，不是从“写制度”开始，而是从“识别义务”开始。

一、合规义务清单：不是把法规列出来，而是把要求翻译成企业能执行的管理语言

很多企业一说合规义务清单，就会理解成“法律法规清单”。于是把公司法、安全生产法、数据安全法、招投标管理规定、行业监管要求等文件列成一张表，看上去很完整，但真正到业务部门手里，往往不知道怎么用？

法规条文不是管理动作。比如，一个条文要求企业保护个人信息，这只是一个外部要求。企业真正需要回答的是哪些业务活动涉及个人信息？谁在收集？谁在使用？是否有授权？是否有*小必要控制？是否有留痕？出了问题谁负责？

所以，我们做合规义务识别时，一般不会停留在“法规名称”和“条款编号”层面，而是会做三步转换。

第一步，是识别适用规则。

我们会根据企业行业属性、业务范围、组织架构和经营场景，识别适用的法律法规、监管规定、行业规范、合同义务、内部制度要求。这里特别要注意，合规义务不只来自法律法规，也来自监管要求、上级单位要求、重大合同承诺、公司章程和内部制度。

第二步，是提炼管理要求。

不是把条文整段复制进去，而是把条文翻译成企业内部能理解的管理要求。比如“应建立风险识别和预警机制”，在企业内部就要进一步拆成：谁负责识别，识别什么，多久更新，如何预警，预警后如何处置，形成什么记录。

第三步，是映射业务场景。

这是*关键的一步。合规义务不能停在清单里，而要对应到具体业务场景中。采购、销售、投资、合同、外包、数据处理、资金支付、工程建设、关联交易、资产处置，每一个场景都有不同的合规要求。如果不做场景映射，义务清单就只是资料汇编，无法指导管理。因此，一张真正有用的合规义务清单，至少要包含这些字段：

适用规则来源、条款要求、企业管理要求、适用业务场景、责任部门、控制措施、证据材料、更新频率、风险后果。

做到这一步，合规义务才算真正“进了企业”。

二、合规风险识别：不是泛泛说风险，而是找出“在哪些场景会出现问题”

合规义务识别出来以后，下一步是不是马上写制度？错！而是进行风险识别。这里也有一个常见误区：很多企业做风险识别，会写一些非常大的风险名称，比如“数据合规风险”“采购合规风险”“合同合规风险”。这些表述没有错，但太粗了，不能直接管理。

真正能管理的风险，一定是场景化的。比如“采购合规风险”这个词太大。我们要继续往下拆：

• 是否存在未按规定进行招标的风险？

• 是否存在对供应商准入审查不足的风险？

• 是否存在评标过程不透明的问题？

• 是否存在存在关联供应商利益输送的问题？

• 是否存在合同履约验收流于形式的问题？

这样拆完以后，风险才能从一句口号变成一个可以检查、可以控制、可以追责的管理对象。而我通常会从四个来源识别合规风险。

di1，从业务流程中找风险。

企业每一项重要业务，都有决策、审批、执行、记录、监督等环节。风险往往不出现在流程图上，而出现在流程断点上，比如审批缺位、职责交叉、授权不清、记录缺失、系统控制绕行。

第二，从历史问题中找风险。

内部审计发现、监管检查问题、处罚案例、诉讼纠纷、客户投诉、违规举报，这些都不是孤立事件。一个问题背后，往往反映的是制度缺陷、流程缺陷或责任缺陷。

第三，从监管关注点中找风险。

不同类型企业，监管重点不同。国有企业要特别关注投资并购、招标采购、资产交易、融资担保、关联交易、安全生产、数据保护、境外经营等领域。金融企业还要关注消费者权益保护、反洗钱、数据安全、外包管理、适当性管理等领域。

第四，从岗位职责中找风险。

很多风险不是因为制度没有规定，而是因为岗位没有承担。比如业务人员认为合规是法务的事，法务认为自己只是审合同，审计认为自己只做事后监督。last大家都参与了，但没有人真正负责。

在风险识别完成后，还要进行风险评估。要从“发生可能性”和“影响程度”两个维度进行判断，但合规风险的影响不能只看经济损失，还要看法律责任、行政处罚、监管措施、声誉影响、个人问责、业务中断等后果。last形成的成果，不是一份泛泛的风险报告，而是几项能落地的东西：合规风险清单、重大合规风险清单、风险热力图、风险控制措施表、责任部门清单、整改优先级建议。这才是真正有价值的东西。

三、合规机制建设：别再是加一套制度，而是将合规嵌入经营管理

当合规义务和合规风险都识别清楚后，要进入机制建设。机制建设*怕什么？*怕把合规体系做成一套“平行体系”。业务照旧运行，合规部门另外做台账、写报告、做培训。表面上看合规工作很多，实际上没有进入企业经营管理主流程。真正的合规机制建设，要解决三个问题：

• 谁负责？

• 怎么做？

• 怎么证明已经做了？

di1个机制是责任机制。

合规不是合规部门一个部门的事。业务部门承担主体责任，合规部门承担管理责任，审计和监督部门承担监督责任。这个逻辑必须讲清楚，否则合规体系一定会落到少数人身上。

在项目中，我们通常会帮助企业设计合规职责矩阵，把董事会、经理层、首席合规官、合规管理部门、业务部门、分支机构、所属企业、关键岗位的职责说清楚。不是写一句“负责合规管理”，而是明确到具体动作：谁识别义务，谁评估风险，谁发起审查，谁审批，谁整改，谁验证，谁报告。

第二个机制是审查机制。

合规审查不能只是合同盖章前的last一道程序。真正有效的合规审查，应当嵌入重大决策、重大项目、重要合同、新业务、新产品、投资并购、采购招标等关键流程。

合规审查也不能只写“同意”或“无异议”。审查意见要能够说明：审查依据是什么，发现了什么风险，建议采取什么控制措施，业务部门是否采纳，未采纳时如何升级决策。

第三个机制是风险闭环机制。

风险识别出来以后，不能停在台账里。要明确每项风险的控制措施、责任人、完成期限、验证方式。整改完成以后，还要看控制是否有效。否则就会出现一个问题年年提、年年改、年年还在的情况。

第四个机制，是报告机制。

企业合规管理不能只在合规部门内部循环。重大合规风险、年度合规管理情况、合规检查发现、整改情况、体系运行效果，都应当通过管理报告进入经营层和董事会视野。管理层看不见风险，合规体系就很难真正发挥作用。

第五个机制，是评价与改进机制。

合规体系不是建完就结束。内部审核、专项检查、管理评审、整改验证、制度更新，这些动作看似普通，但它们是体系持续运行的关键。很多企业通过合规认证以后，如果后续不持续运行，证书就会变成形式；但如果把认证维持过程用好，它反而可以成为企业持续改进的管理抓手。

所以，我们一直强调：认证不是目的，证书也不是终点。认证的真正价值，是借助外部标准和周期性审核，倒逼企业持续识别义务、评估风险、完善控制、保留证据、推动改进。

四、合规体系建设，*终要落到“看得见、管得住、说得清”

如果把企业合规管理体系建设讲得再简单一点，其实就是三句话：

• 把外部要求变成内部义务。

• 把内部义务变成风险控制。

• 把风险控制变成可运行、可验证、可改进的机制。

所以合规管理类项目的难点，从来不是“不知道合规重要”，而是如何把合规从口号、制度和认证，变成日常经营中的管理动作。

安言作为一家有20多年历史的本土咨询公司关注的重点是永远专注于如何帮助客户把能力建设起来，在合规领域就是如何把识别合规义务出来，再把风险场景拆清楚，last把管理机制建起来，*终形成一套能够持续运行、持续证明、持续改进的合规能力。

更多专业服务 请咨询上海安言