企業合規管理的“三張清單”

卞傳山

在國有企業合規管理體系建設中，“三張清單”是合規運行的重要抓手。其有效落地需要注意的關鍵，包括聚焦重點領域、堅持協同聯動、推進清單信息化

加強企業合規管理，是培育世界一流企業，推動國有經濟高質量發展的客觀要求，是企業治理體系和治理能力現代化的應有之義。在國有企業合規管理體系建設中，“三張清單”即風險識別清單、崗位職責清單和流程管控清單，作為合規運行的重要抓手，其編制和落實是合規管理體系建設的重要環節，需要企業高度重視，加強統籌協調和協同配合，解決合規管理體系建設的重、難點工作，實現國有企業高質量健康發展。風險識別清單、崗位職責清單、流程管控清單，其內部邏輯是功能彼此銜接，工作順序層層遞進，目標形成完整閉環。

風險識別清單——識別重點合規義務

風險識別清單，是企業各部門在全面排查的基礎上，按照業務類型等將合規風險進行分類，明確合規風險的表現形式、產生原因、違規后果、責任主體等，將其作為開展合規管理的重要基礎。編制風險識別清單，要求從總體視角對企業面臨的合規風險進行全面梳理，包括：對外部法律法規、國家政策、行業標準等相關規定以及企業內部的規章制度進行系統梳理，匯總違反合規義務的條款責任，對風險進行全面、系統、結構化識別，按照業務類型等將合規風險進行分類，確定合規風險點，把這些風險點按照風險影響等級、風險發生概率和風險探測水平排列出來。編制風險識別清單的主要目標，是保證企業管理層和業務部門對企業風險有一個全面認識，包括風險的數量、類型、表現形式、后果、責任主體、分布特點等，為風險評估、風險應對提供依據。對于《中央企業合規管理辦法》明確的重點領域，如反壟斷、反商業賄賂、生態環保、安全生產、勞動用工、稅務管理、數據保護等，以及合規風險較高的業務，風險識別清單要制定及時預警機制。

風險識別清單的編制需要業務部門、職能部門與合規部門相互配合，將業務流程中需要滿足的外部法律法規和政策文件以及企業內部規章制度要求進行梳理，確定工作中的合規風險點。按照風險評估的結果，對重要合規風險進行提煉，并按照風險程度和發生概率分類分層匯總整理為風險識別清單。實踐過程中，部分企業針對重點領域編制風險識別清單，部分企業全面梳理業務流程，將風控、內控與合規相結合，制定一體化的全面風險清單。對于重點領域風險識別清單的編制，要結合業務風險排查，圍繞內外部經營環境情況區分合規風險等級，達成對重點領域風險點的全面覆蓋。

合規風險識別清單編制要聚焦對企業的業務經營活動有影響的相關方需求或引發企業法律責任、造成經濟或者聲譽損失以及其他負面影響的可能性。風險識別清單編制的關鍵，一是業務流程要與實際一致，這樣才能以流程為基礎、機構化地識別風險；二是風險識別不能僅僅梳理法條，還要結合案例分析、調研訪談等多種方式，保證識別出來的風險符合企業的實際。

崗位職責清單——明確崗位合規職責

崗位合規職責清單，是完整、準確梳理每個崗位涉及的業務范圍的事項清單，即對照崗位職責，通過“正面”或“負面”清單等形式，梳理每個崗位職責中的合規審核、合規管理、合規義務，明確合規責任，劃清行為邊界，使合規要求落實到崗、明確到人。崗位職責清單的完整是后續合規風險評估覆蓋的基礎，梳理崗位職責的業務清單，目標是窮盡。崗位職責清單是開展合規管理工作的人力支撐。編制崗位職責清單的主要目標是將合規風險納入崗位管理，使合規風險與具體的人關聯起來，從而實現合規風險有人承擔、有人負責，從人員角度保證合規管理有效落地。

崗位職責清單，包含崗位職責義務和崗位風險。梳理方法有兩種，可以從崗位職責入手，梳理履職業務活動清單；也可以從部門職責內容入手。根據業務內容清單，檢索每一個業務需要遵守的合規義務，合規義務包括公開的法律法規強制性標準制度，也包括政策性法律法規和國際性文件，還有上級主管單位的監管文件，按照業務歸口，建立起部門職責的合規業務清單。

編制崗位職責清單首先要對原有的崗位說明書進行修改，形成合規體系中符合監管要求的崗位說明書。崗位合規職責清單編制要以企業崗位說明書為基礎，編制與企業合規義務相對應的崗位職責，職責的內外部（外部法律法規、內部企業規章制度等）依據，不履責的責任和后果，即企業中從事某崗位的人員違規后需要承擔何種責任。其次要識別高風險崗位，對高風險崗位加強合規管理。《中央企業合規管理辦法》第十三條規定，定期梳理重點崗位合規風險，將合規要求納入崗位職責。《中央企業合規管理指引（試行）》第十五條規定的重點人員包括管理人員、重要風險崗位人員、海外人員以及其他需要重點關注的人員，因此高風險崗位可以聚焦在管理人員崗位、重要風險崗位、海外人員崗位及其他崗位。再次，崗位合規職責清單的編制需要根據合規義務來辨識其工作職責中的合規事項，明確合規要點、履職標準，將合規職責具體落實到崗位和個人，是合規義務識別與職責的融合。崗位合規職責清單是以企業現有崗位職責為基礎的，結合合規風險識別要素，同時考慮到業務流程、部門與部門等銜接而確定的該崗位的合規管理職責，是合規從識別到落實的有機融合。崗位職責清單既是該崗位從業人員的規范指引，也是未來追責的依據。

流程管控清單——控制重點環節風險

流程管控清單，是在企業的業務流程和管理流程中，通過識別合規風險，設置關鍵風控點，增加合規審查環節，每個流程管控環節依次確認。流程管控清單是合規管理工作落地的保障，編制流程管控清單，要求從業務執行的角度梳理該業務面臨的合規風險。流程管控清單以風險識別清單與崗位合規職責清單為基礎，對業務管理制度和流程進行分析評價，識別其與合規管理要求之間的差距和不足，認真分析重要環節可能出現的合規風險，并根據合規管理要求修改流程管控措施，明確其管控目標、責任部門和崗位人員、控制頻率等內容，使合規管理要求融入業務管理制度和流程之中，實現合規風險在業務活動中的有效落地。編制流程管控清單的主要目標是將合規風險嵌入業務流程管理，將合規要求和管控措施嵌入關鍵節點，實現合規管理與經營管理的真正融合。

編制流程管控清單是將合規要求融入具體流程環節，并在制度條款中明確合規要求，將合規要求落實到相關崗位職責，通過表單記錄合規執行情況，并將合規管理措施固化到信息系統的操作過程。具體操作中，可以基于重點事項或審批條線，在公司內控流程中梳理并確認關鍵節點，明確各業務條線、各關鍵節點的合規義務，以完成流程管控清單。流程管控清單主要包含兩部分內容：將主要的業務條線識別的高風險嵌入內控流程；對主要的業務條線涉及的風險進行評估，審視內控所設控制點控制流程，是否合乎合規管理目標，不符合的部分，應增設內控控制點或流程，并制作風險管控矩陣。

企業流程管控清單的編制，可以與企業內部控制相結合。企業發生風險與內部控制存在缺陷密切相關，而內部控制的存在很大程度上取決于控制措施的設計和執行。企業流程管控清單的編制與流程的控制措施密切相關，其內容可以分為業務流程、控制目標、控制措施、控制部門、控制責任、控制頻率以及評價程序和評價內容。其中，控制目標是指對風險的管控目標及控制措施想要達到的效果；控制措施是指將風險控制在目標范圍內，各相關單位要采取的措施；控制部門、控制責任、控制頻率應當與控制措施相對應，即每條措施需分別明確其責任部門、責任崗位人員、控制頻率；評價程序是對控制措施執行有效性評價要采取的評價方法、措施，評價內容是評價應當關注控制措施及控制目標的重要內容。

“三張清單”的落地

“三張清單”作用各異、緊密關聯：通過風險識別清單，明確合規風險與合規義務；通過崗位合規職責清單，確保員工能夠了解其應當遵守的行為準則、業務領域合規義務，以及與其關聯的關鍵合規要素；通過流程管控清單，確定不同合規風險應對措施，實現目標清晰、責任到位、措施落地。

《中央企業合規管理辦法》第十八條明確規定，中央企業應當針對反壟斷等重點領域以及合規風險較高的業務，制定合規管理具體制度或者專項指南，具體領域包括反壟斷、反商業賄賂、生態環保、安全生產、勞動用工、稅務管理、數據保護等。建立健全“三張清單”需要聚焦主營業務相關的合規重點領域。進行重點領域風險識別清單的編制，要結合業務風險排查，圍繞內外部經營環境情況區分合規風險等級，有針對性地編制“三張清單”，對合規義務、合規風險、合規職責、高風險崗位、業務流程、控制目標、控制措施、控制部門等內容進行準確識別和梳理，達成對重點領域風險點的全面覆蓋。

《中央企業合規管理辦法》指出，中央企業應當將合規審查作為必經程序嵌入經營管理流程，重大決策事項的合規審查意見應當由首席合規官簽字，對決策事項的合規性提出明確意見。業務及職能部門、合規管理部門依據職責權限完善審查標準、流程、重點等，定期對審查情況開展評估。因此，做好合規流程的嵌入，需編制公司層面由首席合規官進行合規審查的業務環節清單。而各業務和職能部門，需編制自己部門合規審查的環節清單。最后，合規管理部門需針對企業合規體系，以業務管理為中心，將涉及該業務適用的合規義務實質性要求、制度化的合規風險應對措施單獨制定《業務合規管理指南》，并對應形成《業務流程合規管控清單》。同樣，業務管理制度相對獨立，業務經辦人員在按照業務管理制度執行業務的同時，也須按照《業務合規管理指南》執行業務。合規管理，是按照合規審查標準、流程、重點等，定期對審查情況開展評估后用制度規范好，并且將公司層面、部門層面的兩級合規審查業務環節事項清單作為附件共同執行。

《合規管理體系要求及使用指南》（ISO?37301：2021）“運行和策劃”提出，一個設計良好的合規管理體系包括各種措施（如政策、流程、程序），這些措施既能為合規文化提供內容，又能產生效果。它們旨在降低合規風險評估流程中確定的風險。運行控制的一個基本要素是行為準則，其中規定了本組織對相關合規義務的充分承諾。行為準則應適用于所有人員，并可供他們所用。根據行為準則及其延伸，合規措施應納入組織的日常運行中，以期培養合規文化。

在與業務流程相關的情況下，如果缺少此類控制，可能會導致偏離合規政策或違反合規義務，因此就需要進行運營控制。這些情況可能與所有業務情況、活動或過程（如生產、安裝、維修、維護）有關，也可能與承包商、供應商或銷售商有關。控制的程度不同取決于幾個因素，如所執行職能的重要性或復雜性、不合規的潛在后果或所涉及、可用的技術支持。當運行控制失敗時，有必要采取措施來解決任何不良結果或影響。除了具備設計良好的合規管理措施，合規關鍵清單的落地，還需要把關注點放在責任主體上，即以崗位為單元，將合規職責、合規義務、合規風險識別、合規評價等都落實到崗位上，將合規管控落實到崗位上，合規培訓落實到崗位上。同理，再將落實到崗位上的所有內容，同步落實到業務合規流程中去。

“三張清單”的落地需要注意的關鍵有三個方面。一是聚焦重點領域。以防控風險為導向，以合規風險清單為抓手，聚焦重點領域突出關鍵環節，將合規義務分解落實到重點崗位和人員，嵌入操作流程，實現合規管理與經營活動深度融合。二是堅持協同聯動。既要推動合規與法務、風險管理、內部控制等不同工作之間的高效聯動，還要推動“三道防線”之間的密切協同，多維度、多層次開展交流研討，確保合規風險識別完整，崗位職責邊界清晰，管控節點定位準確。三是推進清單信息化。充分發揮技術支撐作用，建立涵蓋業務、流程、崗位、職責、節點、義務等要素在內的電子清單，實行標準化、結構化、標簽化管理，構建結構化風險清單和流程管控清單，并嵌入信息系統，實現合規義務流程化，合規操作表單化，合規表單電子化。

作者供職于江蘇寧滬高速公路股份有限公司