如前一篇文章所言，當下中國企業合規管理已經有了具體的指導方針和操作指引（詳細參見：《你的企業合規及格了嗎？看看〈合規指引〉如何打分 》，澎湃商學院， 2019-05-14），誠然企業并無搭建合規體系的模式或范本，但萬變不離其宗，完成企業合規體系搭建必然應從落實文件精神和規定著手。本文擬結合近期出臺的各類規范性文件，尤其是2018年底集中出臺的《中央企業合規管理指引（試行）》（國資發法規[2018]106號，以下簡稱“央企指引”）、《企業境外經營合規管理指引》（以下簡稱“跨境指引”），解讀企業如何順利完成合規體系搭建的前期工作。

根據我國《合規管理體系指南（ISO19600：GB/T 35770：2017）》的定義，合規管理體系流程如下：

我們建議企業在開始設計和制定合規體系之初，即應全面考慮企業所處國家、地區、行業及企業自身四個層面上的風險特征、規則要求和現實情況，以便制定出既能保障企業履行合規義務、符合相關要求，又能幫助企業用正確的方式運營、發展和實現企業目標的合規體系。

一、設計企業合規管理的制度框架

權衡了合規管理制度的風險因素之后，一個非常重要的環節就是設計企業合規管理的制度流程框架。合規制度不是孤立靜態的某個文件，它是由不同層次的管理制度文件和流程共同構架的一個制度體系，是企業一系列需遵守的規范和流程的總和。

《央企指引》指出：要“建立健全合規管理制度，制定全員普遍遵守的合規行為規范，針對重點領域制定專項合規管理制度，并根據法律法規變化和監管動態，及時將外部有關合規要求轉化為內部規章制度”。而《跨境指引》提到了行為準則、管理辦法、操作流程三個層面的合規管理制度。

現實操作中，法律法規和行業標準等并不能自動成為企業合規工作的依據，只有將它們轉換為可操作的具體制度或操作手冊和流程，才能被員工實際執行。因此，一方面外部的法律法規要通過一定的轉化嵌入到企業的各項規章制度中，另一方面，企業也應從崗位需要出發，使內部的管理制度滿足外部法規的要求。

總結而言，我們認為企業的合規管理制度文件可以包括如下三個層次：

二、搭建合規管理的組織架構

對整體合規風險的管理，建議公司可以采用分層架構、集中管理的模式。

如《央企指引》中，明確規定中央企業合規管理的主體包括董事會、監事會、經理層、合規委員會、合規管理負責人、合規管理牽頭部門、業務及相關部門等七個主體。在《跨境指引》中也提到企業可結合發展需要建立權責清晰的合規治理結構，在決策、管理、執行三個層級上劃分相應的合規管理責任。雖然這兩份指引主要針對中央企業和跨境企業，但這樣的合規管理主體架構符合一般公司的治理結構，無論各類公司具體職權責如何設立，基于公司治理的角度，上述指引中的合規組織架構的建議對于多數公司而言，具有參考意義。

具體而言，企業可以結合自身的需求、人員結構建立合規組織：

決策層面：董事會有義務履行公司合規經營的責任，應當對公司合規治理和合規管理總負責，因此，合規可由董事會直接管理，或在董事會下設風險管理委員會、審計委員會或專門設立合規委員會等；監事會作為公司內部的監督機構，對于企業合規經營和管理，也應當履行其監督職能。經理層應當全面推進公司的合規管理，并根據崗位和職權的分工對公司合規管理負相應的管理責任。

獨立的合規部門：可以設首席合規官、合規總監、合規負責人，合規專員等，對于一些規模較小的企業，也可與法律部門、風控部門等單獨或聯合執行合規管理職責。

具體實施層面：各業務部門實際上也是合規管理真正的完成和實施者，識別和排查業務流程中的合規風險，發布合規預警；在本部門具體落實上級部門的合規要求、管理制度和流程；主動開展合規風險識別和隱患排查，組織合規審查；及時向合規管理牽頭部門通報風險事項；妥善應對合規風險事件；做好本領域合規培訓和商業伙伴合規調查等工作；組織或配合進行違規問題調查并及時整改。監察、審計、法律、內控、風險管理、安全生產、質量環保等相關部門，在職權范圍內履行合規管理職責。

可以說，在各合規管理制度的風險因素下，設計企業合規管理的制度流程框架、搭建合規管理組織在合規體系搭建初期顯得非常重要，兩份《指引》均對該問題進行了如上文所述的明確指引，降低了企業落實文件這一現實問題的難度。在前期工作準備就緒后，合規體系搭建的重點便在于具體的實務實施了。

（作者劉炯為上海市錦天城律師事務所高級合伙人，胡嵐嵐為上海市錦天城律師事務所資深律師）