浅谈企业合规管理体系建设

                  ——国药控股湖北有限公司法律合规部副部长李曼

国药控股湖北有限公司是国务院国资委直属的大型央企——中国医药集团在湖北设立的核心企业，自2003年成立以来，国控湖北公司经营规模不断扩大，盈利能力持续增长，现已拥有72家全资或控股子公司，员工4800余人。公司拥有并管理湖北省最大的医药分销及配送网络，形成了以药械流通为主营业务，涵盖药品分销、器械分销、零售服务、物流服务、营销服务、中药服务等多业态协同发展的产业格局。2020年，公司含税销售收入256亿元，利税额近12亿元。自“十三五”以来，公司连续蝉联湖北企业百强，是湖北省综合实力最强的医药经营企业，并作为湖北省及武汉市医药应急物资储备单位，承担全省卫生应急物资、抢险救灾医用物资及疫苗储运保供重担。

2020年初，湖北省新冠肺炎疫情爆发，作为湖北省卫生应急物资储备单位及省卫计委医药储备单位，国控湖北根据中央指导组的部署，在湖北省疫情防控指挥部及国药集团的指挥支持下，全省数千名国控湖北人不惧风险、冲锋在前，奋战在抗疫保供一线，以“国家队”的使命和担当，为湖北保卫战、武汉保卫战所取得的决定性成果贡献了“国药力量”。

展望未来，公司将继续秉承国药集团“关爱生命，呵护健康”的初心，逐步成为卓越的医药健康服务提供商，全面服务“健康中国”战略，以创新驱动为引擎，通过科技创新、互联网应用技术，围绕“批零一体化”核心战略，建立覆盖全省的智慧、高效、安全的医药服务保障体系，为百姓的健康和美好生活持续创造更大的价值。

近年来，随着国际、国内企业合规事件频繁爆发，可预料未来企业若要长久生存、持续发展，就必须严守合规底线，将合规意识内化于心、外化于行。

所谓企业合规，说到底就是企业为有效防范、识别、应对可能发生的合规风险所建立的一整套公司治理体系。因此，企业合规在本质上属于公司治理问题。

根据公司治理风险的基本理论，企业面临的主要风险可以分为经营风险、财务管理风险、合规风险三大类。与三大公司治理风险相对应，现代企业形成了三大公司治理结构：一是为了规避经营风险所建立的公司治理结构，就是“业务治理结构”；二是为规避财务风险建立的公司治理结构，称为“财务治理结构”；三是“合规治理结构”，即是公司为规避合规风险所建立的公司治理结构。其中，在企业合规事件频繁爆发的当下，如何建立一个相对完善有效的合规管理体系，成为每一个企业都在不断探索的问题。

一个有效的合规管理体系能够实现企业责任与员工、第三方、被并购方、客户等多方责任的有效切割，从而有效预防、监控和摆脱相关的法律风险。例如2016年兰州市中级人民法院二审审理的“雀巢员工侵犯公民个人信息案”中，二审法院就以“雀巢公司所出示的合规文件充分证明其已尽到合规管理的义务，具有规避、防范合规风险的意识，并进行了合规培训，本案被告人违反雀巢公司的合规管理规定，应属个人行为”为由，认定雀巢公司无罪。

通常认为，一个有效的合规管理体系一般应包括组织架构、制度体系、实施机制三大基本要素。

第一，组织架构。可以从三个层面来设计和组织。第一层为最高负责机构，可设置合规管理委员会，以制定合规管理的目标、方针和政策，统筹协调公司合规管理工作。第二层是协调机构，负责组织、协调各职能部门共同开展合规管理工作，形成各职能部门合规管理的协同联动机制。第三层是日常工作机构，即合规管理部，专门负责公司合规管理工作。

除应建立必要的管理机构外，公司要做好合规管理，还应在组织架构上建立“三道防线”。

第一道防线是各业务部门，在日常生产经营中，业务部门既可能是规则的忠实践行者，也可能是违规的重灾区，对合规管理负有首要责任。由于业绩导向等原因，第一道防线的人员应密切关注行业监管规则，做好业务合规初审，和各种“规”的跟踪和落实工作。

第二道防线是对合规管理负有主体责任的部门，主要负责制定合规管理制度，开展合规审查、内控审查、评估和防控，开展合规督导和评价，做好合规宣传和培训，营造合规文化等。

第三道防线是内审、纪检等独立性较强的部门。通过定期审计和巡视巡察做好相关业务合规管理的后评估，加强对风险隐患的监督检查和推进，发现问题的敦促整改落实，并对相关责任人进行处理，及时弥补合规管理上的漏洞。

第二，制度体系。合规管理制度以书面形式记载了企业管理层和员工的合规职责，是企业实行合规管理的驱动力。合规管理制度要制定得有效，而不流于形式，关键要融入企业的日常经营、管理活动中。可以通过合规管理指引、员工合规手册、重点合规问题防控清单的形式，针对不同的合规风险点和合规风险领域建立不同的行为准则。合规风险点是指依据特定行业中企业经常发生的违规行为而设立的高风险爆发点。合规重点风险领域则需要根据企业的重点岗位、重点人员、重点业务加以确定，以国控湖北公司为例，市场交易合规、安全环保合规、产品质量合规、劳动用工合规、财税资产合规、知识产权合规是我公司重点关注的六大合规风险领域。每个风险领域和风险点都需要设置相应的管理规范和行为准则，为企业和员工划定行为的规范和边界，这对于违法违规行为发生后单位责任和员工责任的认定具有重要意义。

第三，实施机制。要持续运行合规管理机制，就要把政策制度上的规定变为可执行的流程。合规管理实施机制由防范机制、识别机制和应对机制三部分组成。

防范机制是为防范合规风险的发生而建立的一整套机制流程，具体包括：（1）定期合规风险体检和评估，要求企业针对合规风险点和重点合规风险领域展开风险评估，尤其针对重点风险领域，要进行定期评估；（2）合规尽职调查，包括针对客户、第三方及投资并购相对方的尽职调查，以避免他方违规祸及自身，防范合规风险；（3）合规宣贯培训，包括针对不特定人的常规培训，和针对高风险点和高风险领域的部门、员工的专门培训。合规培训蕴含着责任分担，可以有效划分公司责任和员工责任，及时建立隔离带和防火墙，防止公司因员工违规行为受到牵连。因此，有效的合规培训要求书面记录，还要有所有参加培训人员的签字，必要时还可以录音录像予以存档，为日后应对行政监管调查和刑事调查留存证据。

识别机制要求公司的合规管理体系具有雷达预警的效果，因而又被称为合规风险的预警系统，主要包括：（1）匿名举报制度，即“吹哨人”制度，鼓励企业所有员工、第三方举报违规行为，对“吹哨人”进行高额奖励，同时建立完善的保护体系，以确保其人身安全；（2）巡回合规检查制度，对于一些下属分子公司数量较多的大型企业，需要总部定期指派巡查组进行巡视和调研，发现新的风险点和违规行为，及时督促其加以整改。

应对机制是指违规和犯罪行为一旦发生，企业如何及时应对处理危机的机制。应对机制一般包括四个要素：（1）及时进行合规内部检查，对违规行为发生的原因、规章制度的漏洞和责任人展开全面调查，向监管部门和调查部门呈交内部调查报告；（2）有效的配合调查，尤其要注意避免实施销毁账目、硬盘等阻碍调查的行为，否则可能承担不利于己方推定的不利后果；（3）及时惩戒实施违规行为的自然人，必要时交由司法机关处理。合规的生命在于交出自然人，放过企业，其所体现的正是市场经济的交换法则。只有及时惩罚责任人，才能显示企业合规治理的决心。（4）建章立制，完善合规体系。只有建立了有效的应对机制，才能真正建立有效的合规管理体系。

综合来看，一个有效的合规管理体系能够形成企业合规的闭环管理，也通常被视为企业自我治理的有效方式。一个公司只有意识到建立合规体系的重要性，并且积极主动进行自我革命，发现违规行为和违规原因，找到合规漏洞，才能有效完善合规体系，实现企业的自我治理。