国家标准GB/T 35770-2017《合规管理体系 指南》于2018年7月1日正式实施。随着国际、国内企业合规事件频繁爆发，可预料未来在企业，特别是一些受到公众关注的知名企业、国有企业，其建立健全合规管理体系将成为必不可少的工作。很大一部分，落到企业法务身上。作为法务，该如何应对这份新工作呢？

《合规管理体系 指南》介绍了组织环境、领导作用、策划、支持、运行、绩效评价和改进等过程。它提供了一套在企业内如何建立合规管理体系的指导。作为标准，它是非常全面的。但正因“标准”要照顾到方方面面，在实际操作中，仍有不少企业法务合规人员对于如何构建合规管理体系仍心存疑惑。

一、合规管理体系的组成：整体框架与思路

企业合规管理体系，本质上是管理体系的一种，但核心是合规。企业管理体系，有多种。如质量管理体系、环境管理体系，信息安全管理体系等。管理体系的建立与实施，有其一般规律。管理体系是一种有规律的重复发生的活动，是基于一定目标，企业的（战略）计划、预算编制、执行和业绩评价等行为的综合。合规管理体系的重点明显应当是“合规”，且应融入到整个管理体系中，否则容易产生“合规”与“业务”两张皮的“普遍”现象。如何融入业务管理体系，成为合规管理发挥价值的出发点，也是合规管理体系的难点。它要求不仅要熟悉合规相关理论和操作，还要认识业务相关运转和特点。

合规管理体系要融入业务，且有效落地，最终离不开人的推动和执行。因此，必须有相应的合规管理组织架构。同时，对于合规管理组织中的相关人员，如公司最高层管理者、首席合规官、合规团队及业务总监等都要有一个清晰的合规职责。除了强调赋予他们相应的职权以外，更重要的是强调他们对合规管理均负有相关责任。

合规问题产生的主要原因是外部环境，特别是法律、法规的变化，还有人们商业道德价值观的变迁，使得企业行为产生不合规的风险。因此，一套有效的合规管理体系，不能简单地应对现有的法律法规，而是要适当走在法律法规的前面，即要有一定的前瞻性，才不至于被动。

个人认为一套有效的企业合规管理体系应当由以下三部分组成。首先，合规风险的识别与评估。识别和评估是合规管理的基础，也是关键。要识别合规风险，前提是找到合规义务。合规义务是合规管理中的“尺子”。有尺子，才能找到偏差。合规义务来源于四方面：一是法律、法规、部门规章；二是企业内部规章制度；三是职业操守和道德规范；四是企业与其他主体签订的协议承诺。其次，合规管理的行为。合规管理行为指将合规管理付诸实践的一切相关行为。它先是包括实施合规管理行为的组织架构，这是人的基础。然后是与合规管理有关的制度与流程，这是制度的基础。再是那些合规管理行为运行机制，最后是合规管理相关的反馈与改进行为。最后，合规文化的塑造。合规文化可保障合规管理持续、长久实施，合规文化也可降低合规管理体系运行成本。同时，合规文化又是企业合规风险防范的最后一道防线。因此，合规文化塑造也应成为合规管理体系建立的重要组成部分。

二、识别合规风险：合规管理体系建立的前提

识别合规风险，必须先识别“合规义务”。合规义务就像一把“尺子”，一把衡量企业生产经营行为正确性的尺子。有了尺子，才能度量出企业行为过程中可能出现的合规风险。根据GB/T 35770-2017《合规管理体系 指南》中给出的“合规义务”的定义，合规义务包括合规要求和合规承诺。

合规要求是企业有义务遵守的要求。例如，某短视频平台及其所属企业至少必须遵守以下规定：法律《网络安全法》，行政法规《电信条例》、《信息网络传播权保护条例》、《互联网信息服务管理办法》，部门规章《互联网视听节目服务管理规定》、《互联网新闻信息服务管理规定》、《互联网直播服务管理规定》、《电信和互联网用户个人信息保护规定》等。合规要求是企业必须遵守的义务，具有强制性。

合规承诺是企业选择遵守的要求。它是企业对相对方的一种承诺，是自愿性的，如与社区团体、非政府机构签订的协议、原则或行为守则等。例如，2016年4月，北京市网络文化协会携同百度、新浪、搜狐、爱奇艺、乐视、优酷、六间房、酷我、映客、花椒等20余家从事网络表演（直播）的主要企业共同发布《北京网络直播行业自律公约》。这便是一种合规承诺。在该自律公约中有一处规定，即“网络平台对新申请主播需要人工认证，且申请者需在与审核人员视频聊天过程中回答若干问题，认证过程不得少于1分钟。审核人员认定申请者满足认证要求的予以认证，否则不予认证。认证过程视频录像永久保存备查。”这种规定便不是所有的网络直播企业都须遵守，而仅限于北京地区的主要以上直播企业。广义上讲，企业与客户、商业伙伴等所签订的全部协议及合同，也是企业的合规承诺。一旦企业签署，即应遵照执行。企业应当本着经济适宜的原则来选择确定自己的合规承诺，如很多企业向客户承诺“存在质量瑕疵的产品将100%无偿召回”。这样的承诺，说到就要做到，做不到就不要向市场承诺。

合规义务的识别，包括合规要求的识别和合规承诺的识别，应当由企业法务部、合规部及业务部门共同对企业所受管辖的法律法规及企业签署的合同或做出的声明等，归纳出企业所可能面临的所有合规义务，并形成合规义务清单文件。