如前一篇文章所言，當下中國企業(yè)合規(guī)管理已經(jīng)有了具體的指導方針和操作指引（詳細參見：《你的企業(yè)合規(guī)及格了嗎？看看〈合規(guī)指引〉如何打分 》，澎湃商學院， 2019-05-14），誠然企業(yè)并無搭建合規(guī)體系的模式或范本，但萬變不離其宗，完成企業(yè)合規(guī)體系搭建必然應從落實文件精神和規(guī)定著手。本文擬結合近期出臺的各類規(guī)范性文件，尤其是2018年底集中出臺的《中央企業(yè)合規(guī)管理指引（試行）》（國資發(fā)法規(guī)[2018]106號，以下簡稱“央企指引”）、《企業(yè)境外經(jīng)營合規(guī)管理指引》（以下簡稱“跨境指引”），解讀企業(yè)如何順利完成合規(guī)體系搭建的前期工作。

根據(jù)我國《合規(guī)管理體系指南（ISO19600：GB/T 35770：2017）》的定義，合規(guī)管理體系流程如下：

我們建議企業(yè)在開始設計和制定合規(guī)體系之初，即應全面考慮企業(yè)所處國家、地區(qū)、行業(yè)及企業(yè)自身四個層面上的風險特征、規(guī)則要求和現(xiàn)實情況，以便制定出既能保障企業(yè)履行合規(guī)義務、符合相關要求，又能幫助企業(yè)用正確的方式運營、發(fā)展和實現(xiàn)企業(yè)目標的合規(guī)體系。

一、設計企業(yè)合規(guī)管理的制度框架

權衡了合規(guī)管理制度的風險因素之后，一個非常重要的環(huán)節(jié)就是設計企業(yè)合規(guī)管理的制度流程框架。合規(guī)制度不是孤立靜態(tài)的某個文件，它是由不同層次的管理制度文件和流程共同構架的一個制度體系，是企業(yè)一系列需遵守的規(guī)范和流程的總和。

《央企指引》指出：要“建立健全合規(guī)管理制度，制定全員普遍遵守的合規(guī)行為規(guī)范，針對重點領域制定專項合規(guī)管理制度，并根據(jù)法律法規(guī)變化和監(jiān)管動態(tài)，及時將外部有關合規(guī)要求轉化為內部規(guī)章制度”。而《跨境指引》提到了行為準則、管理辦法、操作流程三個層面的合規(guī)管理制度。

現(xiàn)實操作中，法律法規(guī)和行業(yè)標準等并不能自動成為企業(yè)合規(guī)工作的依據(jù)，只有將它們轉換為可操作的具體制度或操作手冊和流程，才能被員工實際執(zhí)行。因此，一方面外部的法律法規(guī)要通過一定的轉化嵌入到企業(yè)的各項規(guī)章制度中，另一方面，企業(yè)也應從崗位需要出發(fā)，使內部的管理制度滿足外部法規(guī)的要求。

總結而言，我們認為企業(yè)的合規(guī)管理制度文件可以包括如下三個層次：

二、搭建合規(guī)管理的組織架構

對整體合規(guī)風險的管理，建議公司可以采用分層架構、集中管理的模式。

如《央企指引》中，明確規(guī)定中央企業(yè)合規(guī)管理的主體包括董事會、監(jiān)事會、經(jīng)理層、合規(guī)委員會、合規(guī)管理負責人、合規(guī)管理牽頭部門、業(yè)務及相關部門等七個主體。在《跨境指引》中也提到企業(yè)可結合發(fā)展需要建立權責清晰的合規(guī)治理結構，在決策、管理、執(zhí)行三個層級上劃分相應的合規(guī)管理責任。雖然這兩份指引主要針對中央企業(yè)和跨境企業(yè)，但這樣的合規(guī)管理主體架構符合一般公司的治理結構，無論各類公司具體職權責如何設立，基于公司治理的角度，上述指引中的合規(guī)組織架構的建議對于多數(shù)公司而言，具有參考意義。

具體而言，企業(yè)可以結合自身的需求、人員結構建立合規(guī)組織：

決策層面：董事會有義務履行公司合規(guī)經(jīng)營的責任，應當對公司合規(guī)治理和合規(guī)管理總負責，因此，合規(guī)可由董事會直接管理，或在董事會下設風險管理委員會、審計委員會或專門設立合規(guī)委員會等；監(jiān)事會作為公司內部的監(jiān)督機構，對于企業(yè)合規(guī)經(jīng)營和管理，也應當履行其監(jiān)督職能。經(jīng)理層應當全面推進公司的合規(guī)管理，并根據(jù)崗位和職權的分工對公司合規(guī)管理負相應的管理責任。

獨立的合規(guī)部門：可以設首席合規(guī)官、合規(guī)總監(jiān)、合規(guī)負責人，合規(guī)專員等，對于一些規(guī)模較小的企業(yè)，也可與法律部門、風控部門等單獨或聯(lián)合執(zhí)行合規(guī)管理職責。

具體實施層面：各業(yè)務部門實際上也是合規(guī)管理真正的完成和實施者，識別和排查業(yè)務流程中的合規(guī)風險，發(fā)布合規(guī)預警；在本部門具體落實上級部門的合規(guī)要求、管理制度和流程；主動開展合規(guī)風險識別和隱患排查，組織合規(guī)審查；及時向合規(guī)管理牽頭部門通報風險事項；妥善應對合規(guī)風險事件；做好本領域合規(guī)培訓和商業(yè)伙伴合規(guī)調查等工作；組織或配合進行違規(guī)問題調查并及時整改。監(jiān)察、審計、法律、內控、風險管理、安全生產(chǎn)、質量環(huán)保等相關部門，在職權范圍內履行合規(guī)管理職責。

可以說，在各合規(guī)管理制度的風險因素下，設計企業(yè)合規(guī)管理的制度流程框架、搭建合規(guī)管理組織在合規(guī)體系搭建初期顯得非常重要，兩份《指引》均對該問題進行了如上文所述的明確指引，降低了企業(yè)落實文件這一現(xiàn)實問題的難度。在前期工作準備就緒后，合規(guī)體系搭建的重點便在于具體的實務實施了。

（作者劉炯為上海市錦天城律師事務所高級合伙人，胡嵐嵐為上海市錦天城律師事務所資深律師）