國家標準GB/T 35770-2017《合規管理體系 指南》于2018年7月1日正式實施。隨著國際、國內企業合規事件頻繁爆發，可預料未來在企業，特別是一些受到公眾關注的知名企業、國有企業，其建立健全合規管理體系將成為必不可少的工作。很大一部分，落到企業法務身上。作為法務，該如何應對這份新工作呢？

《合規管理體系 指南》介紹了組織環境、領導作用、策劃、支持、運行、績效評價和改進等過程。它提供了一套在企業內如何建立合規管理體系的指導。作為標準，它是非常全面的。但正因“標準”要照顧到方方面面，在實際操作中，仍有不少企業法務合規人員對于如何構建合規管理體系仍心存疑惑。

一、合規管理體系的組成：整體框架與思路

企業合規管理體系，本質上是管理體系的一種，但核心是合規。企業管理體系，有多種。如質量管理體系、環境管理體系，信息安全管理體系等。管理體系的建立與實施，有其一般規律。管理體系是一種有規律的重復發生的活動，是基于一定目標，企業的（戰略）計劃、預算編制、執行和業績評價等行為的綜合。合規管理體系的重點明顯應當是“合規”，且應融入到整個管理體系中，否則容易產生“合規”與“業務”兩張皮的“普遍”現象。如何融入業務管理體系，成為合規管理發揮價值的出發點，也是合規管理體系的難點。它要求不僅要熟悉合規相關理論和操作，還要認識業務相關運轉和特點。

合規管理體系要融入業務，且有效落地，最終離不開人的推動和執行。因此，必須有相應的合規管理組織架構。同時，對于合規管理組織中的相關人員，如公司最高層管理者、首席合規官、合規團隊及業務總監等都要有一個清晰的合規職責。除了強調賦予他們相應的職權以外，更重要的是強調他們對合規管理均負有相關責任。

合規問題產生的主要原因是外部環境，特別是法律、法規的變化，還有人們商業道德價值觀的變遷，使得企業行為產生不合規的風險。因此，一套有效的合規管理體系，不能簡單地應對現有的法律法規，而是要適當走在法律法規的前面，即要有一定的前瞻性，才不至于被動。

個人認為一套有效的企業合規管理體系應當由以下三部分組成。首先，合規風險的識別與評估。識別和評估是合規管理的基礎，也是關鍵。要識別合規風險，前提是找到合規義務。合規義務是合規管理中的“尺子”。有尺子，才能找到偏差。合規義務來源于四方面：一是法律、法規、部門規章；二是企業內部規章制度；三是職業操守和道德規范；四是企業與其他主體簽訂的協議承諾。其次，合規管理的行為。合規管理行為指將合規管理付諸實踐的一切相關行為。它先是包括實施合規管理行為的組織架構，這是人的基礎。然后是與合規管理有關的制度與流程，這是制度的基礎。再是那些合規管理行為運行機制，最后是合規管理相關的反饋與改進行為。最后，合規文化的塑造。合規文化可保障合規管理持續、長久實施，合規文化也可降低合規管理體系運行成本。同時，合規文化又是企業合規風險防范的最后一道防線。因此，合規文化塑造也應成為合規管理體系建立的重要組成部分。

二、識別合規風險：合規管理體系建立的前提

識別合規風險，必須先識別“合規義務”。合規義務就像一把“尺子”，一把衡量企業生產經營行為正確性的尺子。有了尺子，才能度量出企業行為過程中可能出現的合規風險。根據GB/T 35770-2017《合規管理體系 指南》中給出的“合規義務”的定義，合規義務包括合規要求和合規承諾。

合規要求是企業有義務遵守的要求。例如，某短視頻平臺及其所屬企業至少必須遵守以下規定：法律《網絡安全法》，行政法規《電信條例》、《信息網絡傳播權保護條例》、《互聯網信息服務管理辦法》，部門規章《互聯網視聽節目服務管理規定》、《互聯網新聞信息服務管理規定》、《互聯網直播服務管理規定》、《電信和互聯網用戶個人信息保護規定》等。合規要求是企業必須遵守的義務，具有強制性。

合規承諾是企業選擇遵守的要求。它是企業對相對方的一種承諾，是自愿性的，如與社區團體、非政府機構簽訂的協議、原則或行為守則等。例如，2016年4月，北京市網絡文化協會攜同百度、新浪、搜狐、愛奇藝、樂視、優酷、六間房、酷我、映客、花椒等20余家從事網絡表演（直播）的主要企業共同發布《北京網絡直播行業自律公約》。這便是一種合規承諾。在該自律公約中有一處規定，即“網絡平臺對新申請主播需要人工認證，且申請者需在與審核人員視頻聊天過程中回答若干問題，認證過程不得少于1分鐘。審核人員認定申請者滿足認證要求的予以認證，否則不予認證。認證過程視頻錄像永久保存備查?！边@種規定便不是所有的網絡直播企業都須遵守，而僅限于北京地區的主要以上直播企業。廣義上講，企業與客戶、商業伙伴等所簽訂的全部協議及合同，也是企業的合規承諾。一旦企業簽署，即應遵照執行。企業應當本著經濟適宜的原則來選擇確定自己的合規承諾，如很多企業向客戶承諾“存在質量瑕疵的產品將100%無償召回”。這樣的承諾，說到就要做到，做不到就不要向市場承諾。

合規義務的識別，包括合規要求的識別和合規承諾的識別，應當由企業法務部、合規部及業務部門共同對企業所受管轄的法律法規及企業簽署的合同或做出的聲明等，歸納出企業所可能面臨的所有合規義務，并形成合規義務清單文件。