2018年颁布的《中央企业合规管理指引(试行)》(以下简称“《合规指引》”),标志着国务院国资委从强调全面风险管理转变为强调合规管理。工作重心集中在央企对法律法规和规章制度的遵从性方面,以提高可操作性的方式促进管理措施的真正落实。此前,2006年颁布的《中央企业全面风险管理指引》(以下简称“《风险管理指引》”)一直是国务院国资委强调的重点。
合规管理(compliance management)这一理念源自美国。在上世纪后半期,为了保护投资人利益,司法分支从量刑角度对企业管理行为提出了更高的要求。而在源于美国的金融风暴于2008年起席卷全球后,美国的政府部门对于企业的管理行为提出了更高的监管要求。
那么,合规管理有哪些特征、与风险管理到底有何区别?
一、内涵外延的区别
依据《合规指引》第二条规定,“本指引所称合规风险,是指中央企业及其员工因不合规行为,引发法律责任、受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性。”
而《风险管理指引》第三条“所称企业风险,指未来的不确定性对企业实现其经营目标的影响。企业风险一般可分为战略风险、财务风险、市场风险、运营风险、法律风险等;也可以能否为企业带来盈利等机会为标志,将风险分为纯粹风险(只有带来损失一种可能性)和机会风险(带来损失和盈利的可能性并存)。”
因此,就合规风险与法律风险二者的法定概念而言,法律风险仅是企业风险的一部分,可能包含纯粹风险和机会风险,而合规风险是从事件后果的角度做出的定义。二者在定义的基础逻辑上有所不同,故难以在现行法律基础上得出确定的比较结论。
由于《风险管理指引》并未对法律风险、法律风险管理作出更细化的概念界定,我们仅能从其识别范围、基本流程的规定上,作出进一步探析,以明确其区别。
二、识别范围的区别
《合规指引》要求“中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求。”即在合规风险识别上,应将企业及其员工的经营管理行为作为识别对象,法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求为识别依据。
《风险管理指引》将法律风险的识别分为“收集风险管理初始信息”和“风险评估”两个部分,并在信息搜集方面给出了部分指引:“在法律风险方面,企业应广泛收集国内外企业忽视法律法规风险、缺乏应对措施导致企业蒙受损失的案例,并至少收集与本企业相关的以下信息:(一)国内外与本企业相关的政治、法律环境;(二)影响企业的新法律法规和政策;(三)员工道德操守的遵从性;(四)本企业签订的重大协议和有关贸易合同;(五)本企业发生重大法律纠纷案件的情况;(六)企业和竞争对手的知识产权情况。”因此,初始信息搜集的范围即为法律风险的识别范围。
由以上的图示对比可以得知,在识别依据方面,合规管理的目标是使企业的经营管理行为符合内外规则的要求,而《风险管理指引》并未将企业内部规则,即章程与规章制度纳入法律风险管理的信息搜集范畴。
而在识别对象方面,《风险管理指引》要求的“员工道德操守的遵从性”和“竞争对手的知识产权情况”并不完全属于企业及其员工的经营管理行为。
综上所述,企业合规管理除要求企业经营管理行为符合外部规则外,还要求其符合外部行业准则,以及企业章程、规章制度等内部规则,因而在风险识别依据方面,较法律风险管理更为全面、完整。
三、操作流程的区别
从《合规指引》第二条的定义来看,合规管理是一个分阶段实施且内容交织、循环往复的复杂过程,按通常的逻辑顺序依次为风险识别、风险应对、制度制定、合规培训、合规审查、责任追究、考核评价七个部分。
而《风险管理指引》第五条规定,风险管理基本流程包括以下主要工作:(一)收集风险管理初始信息;(二)进行风险评估;(三)制定风险管理策略;(四)提出和实施风险管理解决方案;(五)风险管理的监督与改进。
如上图所示,《风险管理指引》只要求“提出和实施解决方案”,而《合规指引》则细化分解为“风险应对、制度制定、合规培训、合规审查”等流程。但合规管理与法律风险管理在基本流程方面存在一定非共性范围,合规管理强调从实施结果出发的责任追究,更为具体、更为实际;而法律风险管理更侧重管理学意义上的策略引导和循环改进,高度更高但落实不易。虽然二者基本要求各有所长,但如能有效结合则可形成更为完善的专项工作流程。
综上所述,企业合规管理相对于法律风险管理,不仅在内涵外延、风险识别内容上更为落地,其工作的基本流程也更为细致、明确,更便于企业操作并能够为企业带来实质性变化。不仅适用于央企,对其他的国有企业和民营企业同样行之有效。
由于需要识别的风险多种多样,且许多企业的内部规章制度并不完善,企业由于资源的有限性难以仅通过自己的努力达到理想的合规目标。相关内容见后续文章《企业合规管理方法论⑵——企业合规风险的识别》