【珠海律师，珠海法律咨询，珠海律师事务所，史静律师事务所，史静珠海】
公司合规是公司治理和日常经营管理的重要组成部分，越来越受到政府和企业的重视。目前无论是央企、国企、民企还是初创企业，都逐渐树立了合规意识。合规工作的重要性不言而喻。无论是企业自行开展加强合规管理、实施合规制度的工作，还是聘请外部专业机构协助企业完善合规管理，如何建立并持续改进合规制度成为企业管理层必须面对的问题。
在实践中，很多企业对如何进行“企业合规”并不熟悉。诚然，专业事务委托给专业人士，企业可以将合规工作委托给律师、顾问等专业机构。但外部机构毕竟起到了“协助和辅导”的作用，合规工作也不是一蹴而就的。企业在开展合规工作之前，有必要进行系统的整体规划和整体布局，比如如何开展合规工作，应该开展什么样的合规工作，开展到什么程度，合规工作的流程如何设置，需要哪些部门参与，企业内部如何做等。本文拟结合律师团队的一些项目经验，梳理出在正式开展合规业务之前，企业内部应该慎重考虑的一些问题。
某种程度上，“合规”已经成为价值观的正确体现。但事实上，是不是所有的企业，无论大小，都应该建立合规管理体系？笔者认为，合规意识的培养很重要，企业无论大小，都应该有合规意识。比如作者的一个客户，是2021年刚成立的初创公司。其主要产品销往海外。成立之初，目标是上市。因此，公司在成立之初，就花了大量的时间和金钱在国内外的劳工合规和税务合规上。公司认为，虽然现阶段的劳动和税务合规工作可能会带来更多的成本，但与其将来因问题影响上市后再进行整改，不如一开始就按照合规标准要求自己，防范可能的合规风险。
因此，合规工作的开展和合规意识的培养，无论对于初创企业还是成熟企业都是必要的，任何类型的企业在任何时候开展合规工作都是有意义的。但是，这并不意味着所有企业都要立即按照最严格的标准构建整体的合规管理体系，所有企业都要花费大量的时间、精力、人力、物力来开展合规工作。目前，在经济增长放缓的背景下，许多企业仍然倾向于优先发展业务。的确，合规是手段，管理是目的，不能本末倒置。如果合规改善不能适应业务发展，成为业务的重要障碍，企业的运营就会出现问题。因此，企业可以根据自身的合规义务、业务发展和企业发展阶段，有重点、有计划地开展合规工作。
对于很多企业来说，合规工作并不是要重建一套合规管理体系。“拆改”工作量巨大，可能会影响企业当前的生产经营。合规更像是“打补丁”，更需要在既定的公司治理基础上，将合规管理体系和控制手段融入到现有的管理体系中。在此基础上，也就不难理解，合规管理很难有一个“模板”，需要根据企业的不同类型、规模和需求，量身定制内部管理制度和标准化流程。尤其是外部专业机构在协助企业构建合规管理体系时，通常会进行详细的尽职调查和风险评估，然后才会发布合规改进建议。只有在充分了解企业的基础上，才能更好地为企业提供合适的改进措施和合规建议。
在开展合规工作之前，企业需要考虑的重要问题是，企业的哪些方面有合规义务，合规工作的范围是什么？在国家一级，发布了一些关于“遵守义务”的条例。比如，2022年1月18日，国资委办公厅发布《关于开展中央企业“合规管理强化年”的通知》；2022年4月1日，国资委(SASAC)颁布《中央企业合规管理办法》，对合规管理的具体事项进行了完善和细化，更加注重合规安排的落实；在《个人信息保护法》第五十八条中，也对“提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信息处理者”明确提出了“建立健全个人信息保护合规制度”的合规义务要求；此外，还包括近年来在理论和实践中备受关注和讨论的“刑事遵从”。一系列法律文件和要求的出台，让企业时常迷茫。我们可以做些什么来满足法律、法规和监管合规性的要求？
对于企业来说，明确自身的合规义务是合规工作的前提，有些合规义务具有同质性，比如税务和劳务合规，以及内部投资管理和合同管理等合规要求；但不同行业面临的很多合规义务是不一样的，比如涉案企业要求的刑事合规，互联网、大数据企业要求的数据合规，或者拥有大量知识产权的公司更注重知识产权和商业秘密合规，劳动争议频繁的企业更注重用工合规。
综上所述，企业应审视自身合规状况，根据自身实际情况和合规工作预算，选择有目的、有步骤的合规改善安排:方法一，可以选择参照ISO37301标准构建整体合规管理体系，将合规工作渗透到日常经营管理的各个环节；二是选择对公司重要业务或目前风险最高的问题进行专项合规改善，逐步推进整体合规工作的开展。以上两种方法可以在一定程度上帮助企业完善合规管理体系。
很多企业已经逐渐有了合规意识，但合规本质上是“法律+管理”。首先识别风险，然后采取各种管理措施应对风险，这是一项非常专业的工作。尤其是涉及到刑事合规、劳动合同、知识产权合规、数据合规等特殊合规时，企业往往缺乏相关专业人员。因此，大多数企业会聘请第三方机构协助合规，如律师事务所或专业咨询机构。
诚然，专业的人做专业的事是个不错的选择，但也需要提醒企业的是，聘请外部机构只是“帮助”企业，而不是将合规工作和合规义务“转移”给外部机构。在一个项目中，作者向委托人建议，数据出境时应履行安全影响评估的合规义务。此时公司高层提出质疑，认为公司不具备履行评估的能力，进而打算聘请第三方进行评估，希望律师团队能在给公司的书面报告中删除这一合规义务。事实上，即使公司不具备履行合规义务的专业能力，也可以聘请专业机构协助公司，但最终的合规义务还是在企业自身，企业才是合规义务的真正主体。
建议由企业牵头开展合规工作，由内部管理人员担任领导，负责合规工作的全面开展。特别是在合规管理体系的建设，以及内部管理制度的建立和流程梳理上，企业要安排相关岗位的员工甚至高管全程参与。一方面，外部机构可以快速了解企业现状，及时发现合规风险，为企业提出合规改进措施；另一方面，合规措施的实施也不能完全脱离企业现有的管理体系。即使需要调整，很多措施也需要企业高管、员工和外部组织沟通协商，才能得到最合适的改进方案。
因此，当企业决定开展合规工作时，必须从上到下传达合规工作的重要性，并充分尊重专业机构的工作。但不应认为合规工作只是外部专业机构的义务，应关注合规义务和风险，与外部机构共同完成合规改进工作。
合规改善需要很长的时间和繁重的工作量。因此，在正式实施之前，企业应考虑以下问题并做好准备:
首先是心态，很多企业还是觉得业务先行，但是合规措施和合规义务的落实必然导致程序的规范化和流程化，会给员工“这个工作太麻烦”的直观感受，甚至可能导致员工对合规措施的不配合或一定的抵触；此外，如前所述，部分企业员工可能会有一种心态，认为合规是外部组织的工作，而不是自己的职责，这样会本末倒置，导致合规改善执行不力。
其次，成本。合规改善的推进需要一定的成本。这个成本不仅仅是聘请外部机构的成本，比如数据合规、合同管理、知识产权管理等方面的合规项目，还可能涉及到企业对现有信息系统和办公系统的改造或为更好的合规管理购买新系统。此外，还可能存在一些隐性成本，比如为履行合规义务、完善管控措施而牺牲的工作效率甚至企业利润，无形中增加了企业的合规成本。
建议企业要考虑清楚为什么要合规，合规工作要解决哪些问题，要解决的问题是现有的风险还是潜在的风险，是否需要构建整体的合规管理体系，或者对某个业务条线、产品或管理职能进行专项的合规改进，这些都可能影响企业的合规成本。
第三是人才，即企业是否有相关人才。合规不是一次性的过程，而是一个长期的过程。即使专业机构帮助企业建立和完善合规管理体系，也是基于现有的商业环境。合规管理的PDCA环节需要跟进和持续监督，管理体系要根据合规环境的变化进行调整。当然也可以通过持续聘请专业机构来辅助。但从企业内部管理的角度来看，在企业内部培养合规人才是最划算、最有力的方式。
最后是决策机制。合规涉及企业管理的方方面面，因此需要企业多个部门的协调。以数据合规为例，参与方至少会包括法务部和信息技术部，更不用说整体合规体系搭建的合规项目，会涉及到企业的各个部门，甚至可能包括多个分子公司。从宏观上看，企业希望确定负责每项合规义务改进的归口部门，使合规义务与负责合规改进的部门或人员一一对应，这就涉及到部门之间甚至分子公司之间对合规改进的责任划分。在实践中，我们也会遇到很多部门相互推卸合规义务的情况，这就需要企业有完善的议事规则和决策机制来高效解决2。从微观上看，比如企业内部管理制度中的一个处罚条款标准的设定，一个授权审批的流程节点，其他操作细节都需要企业根据实际情况来决定。
因此，建议企业在开展合规工作前，一方面确定牵头部门或成立合规工作小组，相关部门派员参加小组，并制定议事规则。议事规则应包括:重要决策由谁批准或哪一级负责人批准，以及合规工作小组内部的争议、部门责任的相互推诿、如何确定解决方案等。另一方面，要明确合规工作小组的权责，比如主管合规工作的负责人或部门有什么样的权力调动企业内部资源，有什么样的权力协调企业各方共同推进合规工作，如果没有完成合规工作要承担什么样的责任。
企业合规还有很长的路要走。近年来，企业合规意识不断加强，越来越多的专业人士关注合规，投身合规。对于企业来说，合规管理是复杂的，在实施之前要做好预判，明确合规工作的目的和范围，做好规划，结合实际需求，根据企业自身情况循序渐进地进行。
律师介绍
范思奇律师
史静深申律师事务所数字经济法律事务中心副主任
史静申申律师事务所金融科技法律事务部副主任
深圳市大数据行业协会、深圳市大数据研究与应用协会专家顾问
数据研究所高级研究员
中国信通院数据安全推进计划组成员
中国信通院个人信息保护合规审计推进组成员
学历
中南财经政法大学法学院
武汉大学法学院经济法系
业务能力
证券从业资格证书，基金从业资格证书，CFA三级考生，DPO，德国TUV莱茵学院数据合规官
范律师先后在第一创业股份有限公司、安信证券股份有限公司、广发银行股份有限公司深圳分行工作，长期从事资产管理、投融资并购、资产证券化业务。他具有法律和财务审查的背景知识。主要业务领域为公司合规、数据合规、投融资并购。
