企业合规——法务问题还是内控问题？
一、企业合规的发展
根据我国《中央企业合规管理指引》，合规是指中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求。合规风险是指企业及其员工因不合规行为，引发法律责任、受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性。由此可见，合规的目标是规范企业及其员工的行为，使其满足规范要求。规范要求包括一系列企业内外部规范，国家法律法规、监管规定（本文中简称“法律法规”）由于其外部强制性、违反后果严重性等特征，通常在企业合规义务中具有高优先级。
近年来，随着企业所面临合规环境的发展，我国企业合规实践在专业化、职业化等方面得到了显著的发展。《中央企业合规管理指引》提出央企设立合规委员会，与企业法治建设领导小组或风险控制委员会等合署，承担合规管理的组织领导和统筹协调工作，定期召开会议，研究决定合规管理重大事项或提出意见建议，指导、监督和评价合规管理工作。国家发改委发布的《企业境外经营合规管理指引》明确要求有境外业务的企业可以结合实际任命专职的首席合规官。2021年，人力资源社会保障部、国家市场监督管理总局、国家统计局联合发布企业合规师等18个新职业。在司法方面，2020年3月，最高检在全国6家基层检察院启动涉案违法犯罪依法不捕、不诉、不判处实刑的企业合规监管试点工作，督促涉案企业作出合规承诺并积极整改，促进企业合规守法经营，以预防和减少企业违法犯罪。
二、企业合规工作的专业属性
整体上，业内对于合规工作的专业属性仍存在一定争议。以企业合规工作的牵头部门设置为例，我国实务操作中即出现了多种现实选择：一些企业的合规工作由法务部门牵头，另一些企业是由风险管理部门、内控部门牵头，或者设立专门合规管理部门牵头。在《中央企业合规管理指引》中，第十条规定“法律事务机构或其他相关机构为合规管理牵头部门，组织、协调和监督合规管理工作，为其他部门提供合规支持”，即指引提出了企业合规工作由法律事务机构牵头，但同时也没有排斥“其他相关机构”。为什么会出现这种情况呢？
如前文所述，合规的目标是规范企业及其员工的行为，即解决“如何确保企业及其员工的行为符合规范要求？”——而这个问题可以进一步分解为两类问题，即：
1）“怎样的行为是满足合规要求的？”
2）“如何确保企业及其员工按照合规要求行为？”
上述问题分解，能够在很大程度上解释合规工作专业多元性。进一步分析如下：
1. 企业及其员工怎样的行为是满足合规要求的？
这个问题聚焦于“从企业或者企业人员的行为上看，哪些是合规的，而哪些是违规的”。例如：商业银行对不满足条件的房地产企业进行贷款，这个行为就是违规的。针对这个问题，合规工作要解决的关键问题可以进一步分解为：
1） 企业要遵循哪些法律法规？
2） 法律法规条款的具体要求是什么？
3） 在实际操作层面，监管者的执法尺度如何？
4） 为了满足合规要求，企业及其成员的行为应满足什么条件？
解决上述问题，企业合规部门/人员需要及时、完整获取法律法规，并结合企业业务进行深入分析解读，通常需要具备充分的法务专业能力。
2. 如何确保企业及其员工按照合规要求行为？
这个问题聚焦于“企业在已经识别了合规要求的前提下，如何通过管理措施来保证企业行为是合规的”。例如：银行通过制定并严格执行客户贷款用途调查、贷款发放审批程序，确保贷款发放行为合规。针对这个问题，合规工作要解决的关键问题可以进一步分解为：
1） 如何将企业要遵循的法律法规 “内化”为企业内的职责、制度、流程等管理规范？
2） 企业如何确保上述管理规范得到有效执行？
解决上述问题，企业合规部门/人员需要将外部合规要求“内化”为企业管理制度、流程，并保障其落地实施，通常需要具备充分的内控专业能力（注：在COSO框架、我国《企业内部控制基本规范》等文件中，实现合规是企业内部控制三大目标之一）。
上述两类问题体现了企业所面临的两种不同性质的合规风险，同时企业需要设置相应的合规措施，如下表所示：
从企业视角，为了实现合规目标，“法务”和“内控”两种专业属性的相互结合并贯穿企业合规工作始终，如下图所示：
基于上述框架，以反商业贿赂为例，企业的合规工作可以归纳为下表：
两类专业属性对应的专业和知识/技能可以归纳为下表：
需要强调的是，本文集中探讨是企业合规工作整体组织层面的专业属性（集中表现为合规牵头部门的专业属性）。在合规工作开展过程中，在合规牵头部门的组织协调下，各专业部门也需发挥重要作用。例如：在质量合规方面，质量管理部门应提供有效的专业输出；在税务合规方面，税务部门应提供有效的专业输出；在合规监督检查方面，审计部门应将合规纳入审计范围等等。
建议暨结语
1. 实现合规工作闭环
由于企业经营活动的复杂性，“知法”只是“不犯法”的必要条件而非充分条件。实现合规，企业既要能够精准识别合规要求及重大风险，又要有在企业实际经营场景下的合规措施落地手段。企业在合规组织设置、流程设计等方面，要同时考虑上述关键要素，实现从合规风险识别到具体合规措施落地的完整工作闭环。
2. 合理配置合规工作专业资源
由于合规的多重专业属性，企业在合规岗位应选择法务/内控复合型人才，或者由法务和内控人员组成工作团队。如果难以均衡，企业应结合自身合规风险特征来进行分析：如果企业面临的主要是外部法律法规体系庞杂、持续更新等挑战，则应更多的配置法务专业资源；如果企业面临是合规措施设计困难、无法落地等挑战，则应更多的配置内控专业资源。但无论是何种选择，都需做到两者兼顾。