有一天的合规管理座谈会，遇见某通讯公司的合规总监王先生，与我谈起了企业合规风险评估的事情来。

王先生

中兴通讯被罚的事情出来后，让我们也很紧张！公司董事会最近召开了专门会议，要求对企业合规风险管理进行一次全面梳理，为企业安全经营提供最大限度的保证，最近正忙这事情。

在合规义务确定、合规风险识别、分析、评价与风险处理、实施、监测、评审和持续改进过程中，正确的合规风险识别、分析和评价，我认为很关键！除了员工访谈和问卷调查作为合规风险识别方法以外，您知道还有其他什么合规风险识别方法吗？总觉得员工访谈和问卷调查作为合规风险识别方法有些一脚深，一脚浅，工作的结果受被访和被调查人员的认识和配合度、真心还是违心等方面影响，觉得客观性和可证有些问题，并且每次设计员工访谈问题项和问卷调查事项不知道该列哪些？

樊光中

是的，员工访谈和问卷调查作为合规风险识别方法，并没有找到合规风险发生的源头，即合规风险源是什么，这也是设计员工访谈问题项和问卷调查事项出现困难的原因。

王先生

对！我们现在缺少合规风险识别工具，没有一种模型可以来比较方便的操作，识别企业面临的合规风险，对现有的员工访谈和问卷调查方法也不知道如何改进。

樊光中

通过员工访谈和问卷调查，我觉得受主观影响大，并且，业务部门的员工在实施时候，也是随意性比较大，如果加上我们设计的内容还模糊不定，概念不清，工作效果就更加打折扣了。因此，这些年我也一直在琢磨和探索。我一直都在思考一个问题：为什么会产生合规风险？

王先生

合规风险其实是一个相对概念，无规，就没有合规，就没有合规风险。

樊光中

呵呵，我正要的是您这个说法：无规，就无合规一说，就无所谓合规风险，合规风险源自“规”！为什么会产生合规风险，一个重要的原因：企业不是存在于真空，总是会存在于有许多“规”的环境中，就会有违反的概率，要做好企业合规风险管理，首先要清楚“规”是什么。“规”对企业生产经营行为的对比，如同我们用一把尺子量东西首先要有明确的刻度一样。刻度不清，无法度量，“规”不清楚，合规风险识别和合规管理就没有参照物，或者模模糊糊了。

王先生

我了解到的外资企业、民企基本都有单独合规部门，有的叫合规监察部，也有的合规风控部，公司领导层有专职抓合规工作的合规总监、首席合规官等，并直接单线向最高管理者汇报，这几年，国企也都开始推进合规管理工作，尤其是有国际业务的公司，我注意到国企基本都是法律事务部在负责推进企业合规工作，这是不是源于“规”主要是指法律方面的？我可以这样理解吗？

樊光中

这样理解，不全对。将“规”定义在“法律方面”，就把企业合规管理工作定义窄了，并且也容易和企业以前的法律事务工作混淆，在别人看来，似乎就是多了一个名称，这不利于企业合规管理工作健康发展。我们要先把“规”理清楚了，企业合规风险评估和合规管理工作才能够正确开展！什么是规？现在北京、上海、深圳的许多专业人士（法律专业的多一些），都在开始积极推进企业合规风险管理，为企业安全绿色发展和发展可持续服务。这对净化企业商业环境非常有益！我们应该如何理解“规”，先看看王志乐教授（商务部研究院研究员，联合国全球契约组织第十项原则专家组成员，北京新世纪跨国公司研究所所长）关于对“合规”的解释，一是广义的“合规”，有三层含义，第一层是企业要在生产经营过程中要遵守法律法规，即企业要遵守公司总部所在国和经营所在国的法律规定及监管规定；第二层是企业经营要遵循企业内部规章制度，包括企业商业行为准则的规章；第三层是企业员工要遵守良好的职业操守和道德规范等。狭义的合规是指企业遵守反对商业贿赂方面的规定。

王先生

那您的意思是说，“规”也是两个意思，一个狭义“规”，一个广义“规”，狭义“规”是反对商业贿赂方面的法律法规和规定，广义的“规”，首先是企业外部的法律规定及监管规定，其次是企业内部的规章制度，第三是职业操守和道德规范。

樊光中

正解！我们来看看国际标准化组织（ISO）在2014年12月15 日发布了国际标准 ISO19600第一版《合规管理体系-指南》对“规”的定义。中国标准化研究院主导下，我参与的翻译法等同采用中国标准《合规管理体系-指南》（近期会正式发布）这样规定的：合规义务的来源宜包括合规要求和合规承诺，前者包括法律法规、监管条例规定等，后者包括组织与社区、公共权力机构、客户签订的协议、组织要求、政策、程序、自愿原则、规程、环境承诺等。从这个定义来讲，“规”是与王教授解释的广义的“规”的内容是一致的。

王先生

哦，这定义还不一样！？

樊光中

呵呵，内容实质是一样，表述不同而已。《合规管理体系-指南》和王教授解释的广义的规，内容上是一致的，企业外部的法律规定及监管规定就是指南里讲合规要求，而企业内部的规章制度与企业员工职业操守和道德规范是法律没有规定而企业自愿承诺的。

王先生

恩，可以这样理解。这样一来，那不是《合规管理体系-指南》定义的是广义的“规”，那对企业的合规标准就高了？

樊光中

可以这样说！但是《合规管理体系-指南》有这样一表述：组织宜以适合其规模、复杂性、结构和运营制定合规责任文件。

王先生

哦，那就是说，企业可以有选择，对于合规要求，如法律法规、监管条例规定等，那是必须遵守的，而合规承诺部分可以少一点，根据企业实际情况。

樊光中

是的。企业外部的法律规定及监管规定是具有强制性，企业必须遵守的，否则就会面临法律制裁、监管机构的处罚，给企业造成财产经济损失和企业声誉损害风险，而企业内部自立的规章制度和企业员工的职业操守、道德规范是组织自己自愿向社会、客户、其他相关方的主动承诺，自己承诺了，就应该做到的，否则会面临失去诚信、失去客户和市场，给企业带来经营损失和损害企业美誉度，进入信任危机等风险。但是，您要知道：企业自愿向社会、客户、其他相关方的主动承诺的太少，企业的竞争对手比你承诺得更多，做得更好，企业可能会失去市场和客户。

王先生

这样一来，我们是不是需要关注企业外部和内部有关“规”的动态变化？

樊光中

是的！每个企业都应制定相应的流程制度，以及时多渠道跟踪公司总部和经营所在国家的法律、法规、规范和其他合规义务的出台和变更情况，并且不断更新企业内部的合规义务数据库，以确保企业合规持续性。不同的企业，在不同的产业行当，合规义务数据库内容也各有不同，比如您公司在通讯行业与建筑行业的在法律、法规、规范和其他合规义务应该有些是不同的。

王先生

是的，明白了。清楚“规”是什么了，我再回到公司，设计员工访谈问题项和问卷调查事项就可以有的放矢了！非常感谢！非常有收获！下次再专门向您请教合规管理其他方面的问题。

樊光中

我：客气了！今天我们聊得细而聚焦！感谢您给这样的交流机会！

本文来源于网络，版权归原作者所有，如有侵权请联系删除。