卞傳山

在國有企業(yè)合規(guī)管理體系建設中，“三張清單”是合規(guī)運行的重要抓手。其有效落地需要注意的關(guān)鍵，包括聚焦重點領(lǐng)域、堅持協(xié)同聯(lián)動、推進清單信息化

加強企業(yè)合規(guī)管理，是培育世界一流企業(yè)，推動國有經(jīng)濟高質(zhì)量發(fā)展的客觀要求，是企業(yè)治理體系和治理能力現(xiàn)代化的應有之義。在國有企業(yè)合規(guī)管理體系建設中，“三張清單”即風險識別清單、崗位職責清單和流程管控清單，作為合規(guī)運行的重要抓手，其編制和落實是合規(guī)管理體系建設的重要環(huán)節(jié)，需要企業(yè)高度重視，加強統(tǒng)籌協(xié)調(diào)和協(xié)同配合，解決合規(guī)管理體系建設的重、難點工作，實現(xiàn)國有企業(yè)高質(zhì)量健康發(fā)展。風險識別清單、崗位職責清單、流程管控清單，其內(nèi)部邏輯是功能彼此銜接，工作順序?qū)訉舆f進，目標形成完整閉環(huán)。

風險識別清單——識別重點合規(guī)義務

風險識別清單，是企業(yè)各部門在全面排查的基礎上，按照業(yè)務類型等將合規(guī)風險進行分類，明確合規(guī)風險的表現(xiàn)形式、產(chǎn)生原因、違規(guī)后果、責任主體等，將其作為開展合規(guī)管理的重要基礎。編制風險識別清單，要求從總體視角對企業(yè)面臨的合規(guī)風險進行全面梳理，包括：對外部法律法規(guī)、國家政策、行業(yè)標準等相關(guān)規(guī)定以及企業(yè)內(nèi)部的規(guī)章制度進行系統(tǒng)梳理，匯總違反合規(guī)義務的條款責任，對風險進行全面、系統(tǒng)、結(jié)構(gòu)化識別，按照業(yè)務類型等將合規(guī)風險進行分類，確定合規(guī)風險點，把這些風險點按照風險影響等級、風險發(fā)生概率和風險探測水平排列出來。編制風險識別清單的主要目標，是保證企業(yè)管理層和業(yè)務部門對企業(yè)風險有一個全面認識，包括風險的數(shù)量、類型、表現(xiàn)形式、后果、責任主體、分布特點等，為風險評估、風險應對提供依據(jù)。對于《中央企業(yè)合規(guī)管理辦法》明確的重點領(lǐng)域，如反壟斷、反商業(yè)賄賂、生態(tài)環(huán)保、安全生產(chǎn)、勞動用工、稅務管理、數(shù)據(jù)保護等，以及合規(guī)風險較高的業(yè)務，風險識別清單要制定及時預警機制。

風險識別清單的編制需要業(yè)務部門、職能部門與合規(guī)部門相互配合，將業(yè)務流程中需要滿足的外部法律法規(guī)和政策文件以及企業(yè)內(nèi)部規(guī)章制度要求進行梳理，確定工作中的合規(guī)風險點。按照風險評估的結(jié)果，對重要合規(guī)風險進行提煉，并按照風險程度和發(fā)生概率分類分層匯總整理為風險識別清單。實踐過程中，部分企業(yè)針對重點領(lǐng)域編制風險識別清單，部分企業(yè)全面梳理業(yè)務流程，將風控、內(nèi)控與合規(guī)相結(jié)合，制定一體化的全面風險清單。對于重點領(lǐng)域風險識別清單的編制，要結(jié)合業(yè)務風險排查，圍繞內(nèi)外部經(jīng)營環(huán)境情況區(qū)分合規(guī)風險等級，達成對重點領(lǐng)域風險點的全面覆蓋。

合規(guī)風險識別清單編制要聚焦對企業(yè)的業(yè)務經(jīng)營活動有影響的相關(guān)方需求或引發(fā)企業(yè)法律責任、造成經(jīng)濟或者聲譽損失以及其他負面影響的可能性。風險識別清單編制的關(guān)鍵，一是業(yè)務流程要與實際一致，這樣才能以流程為基礎、機構(gòu)化地識別風險；二是風險識別不能僅僅梳理法條，還要結(jié)合案例分析、調(diào)研訪談等多種方式，保證識別出來的風險符合企業(yè)的實際。

崗位職責清單——明確崗位合規(guī)職責

崗位合規(guī)職責清單，是完整、準確梳理每個崗位涉及的業(yè)務范圍的事項清單，即對照崗位職責，通過“正面”或“負面”清單等形式，梳理每個崗位職責中的合規(guī)審核、合規(guī)管理、合規(guī)義務，明確合規(guī)責任，劃清行為邊界，使合規(guī)要求落實到崗、明確到人。崗位職責清單的完整是后續(xù)合規(guī)風險評估覆蓋的基礎，梳理崗位職責的業(yè)務清單，目標是窮盡。崗位職責清單是開展合規(guī)管理工作的人力支撐。編制崗位職責清單的主要目標是將合規(guī)風險納入崗位管理，使合規(guī)風險與具體的人關(guān)聯(lián)起來，從而實現(xiàn)合規(guī)風險有人承擔、有人負責，從人員角度保證合規(guī)管理有效落地。

崗位職責清單，包含崗位職責義務和崗位風險。梳理方法有兩種，可以從崗位職責入手，梳理履職業(yè)務活動清單；也可以從部門職責內(nèi)容入手。根據(jù)業(yè)務內(nèi)容清單，檢索每一個業(yè)務需要遵守的合規(guī)義務，合規(guī)義務包括公開的法律法規(guī)強制性標準制度，也包括政策性法律法規(guī)和國際性文件，還有上級主管單位的監(jiān)管文件，按照業(yè)務歸口，建立起部門職責的合規(guī)業(yè)務清單。

編制崗位職責清單首先要對原有的崗位說明書進行修改，形成合規(guī)體系中符合監(jiān)管要求的崗位說明書。崗位合規(guī)職責清單編制要以企業(yè)崗位說明書為基礎，編制與企業(yè)合規(guī)義務相對應的崗位職責，職責的內(nèi)外部（外部法律法規(guī)、內(nèi)部企業(yè)規(guī)章制度等）依據(jù)，不履責的責任和后果，即企業(yè)中從事某崗位的人員違規(guī)后需要承擔何種責任。其次要識別高風險崗位，對高風險崗位加強合規(guī)管理?！吨醒肫髽I(yè)合規(guī)管理辦法》第十三條規(guī)定，定期梳理重點崗位合規(guī)風險，將合規(guī)要求納入崗位職責?！吨醒肫髽I(yè)合規(guī)管理指引（試行）》第十五條規(guī)定的重點人員包括管理人員、重要風險崗位人員、海外人員以及其他需要重點關(guān)注的人員，因此高風險崗位可以聚焦在管理人員崗位、重要風險崗位、海外人員崗位及其他崗位。再次，崗位合規(guī)職責清單的編制需要根據(jù)合規(guī)義務來辨識其工作職責中的合規(guī)事項，明確合規(guī)要點、履職標準，將合規(guī)職責具體落實到崗位和個人，是合規(guī)義務識別與職責的融合。崗位合規(guī)職責清單是以企業(yè)現(xiàn)有崗位職責為基礎的，結(jié)合合規(guī)風險識別要素，同時考慮到業(yè)務流程、部門與部門等銜接而確定的該崗位的合規(guī)管理職責，是合規(guī)從識別到落實的有機融合。崗位職責清單既是該崗位從業(yè)人員的規(guī)范指引，也是未來追責的依據(jù)。

流程管控清單——控制重點環(huán)節(jié)風險

流程管控清單，是在企業(yè)的業(yè)務流程和管理流程中，通過識別合規(guī)風險，設置關(guān)鍵風控點，增加合規(guī)審查環(huán)節(jié)，每個流程管控環(huán)節(jié)依次確認。流程管控清單是合規(guī)管理工作落地的保障，編制流程管控清單，要求從業(yè)務執(zhí)行的角度梳理該業(yè)務面臨的合規(guī)風險。流程管控清單以風險識別清單與崗位合規(guī)職責清單為基礎，對業(yè)務管理制度和流程進行分析評價，識別其與合規(guī)管理要求之間的差距和不足，認真分析重要環(huán)節(jié)可能出現(xiàn)的合規(guī)風險，并根據(jù)合規(guī)管理要求修改流程管控措施，明確其管控目標、責任部門和崗位人員、控制頻率等內(nèi)容，使合規(guī)管理要求融入業(yè)務管理制度和流程之中，實現(xiàn)合規(guī)風險在業(yè)務活動中的有效落地。編制流程管控清單的主要目標是將合規(guī)風險嵌入業(yè)務流程管理，將合規(guī)要求和管控措施嵌入關(guān)鍵節(jié)點，實現(xiàn)合規(guī)管理與經(jīng)營管理的真正融合。

編制流程管控清單是將合規(guī)要求融入具體流程環(huán)節(jié)，并在制度條款中明確合規(guī)要求，將合規(guī)要求落實到相關(guān)崗位職責，通過表單記錄合規(guī)執(zhí)行情況，并將合規(guī)管理措施固化到信息系統(tǒng)的操作過程。具體操作中，可以基于重點事項或?qū)徟鷹l線，在公司內(nèi)控流程中梳理并確認關(guān)鍵節(jié)點，明確各業(yè)務條線、各關(guān)鍵節(jié)點的合規(guī)義務，以完成流程管控清單。流程管控清單主要包含兩部分內(nèi)容：將主要的業(yè)務條線識別的高風險嵌入內(nèi)控流程；對主要的業(yè)務條線涉及的風險進行評估，審視內(nèi)控所設控制點控制流程，是否合乎合規(guī)管理目標，不符合的部分，應增設內(nèi)控控制點或流程，并制作風險管控矩陣。

企業(yè)流程管控清單的編制，可以與企業(yè)內(nèi)部控制相結(jié)合。企業(yè)發(fā)生風險與內(nèi)部控制存在缺陷密切相關(guān)，而內(nèi)部控制的存在很大程度上取決于控制措施的設計和執(zhí)行。企業(yè)流程管控清單的編制與流程的控制措施密切相關(guān)，其內(nèi)容可以分為業(yè)務流程、控制目標、控制措施、控制部門、控制責任、控制頻率以及評價程序和評價內(nèi)容。其中，控制目標是指對風險的管控目標及控制措施想要達到的效果；控制措施是指將風險控制在目標范圍內(nèi)，各相關(guān)單位要采取的措施；控制部門、控制責任、控制頻率應當與控制措施相對應，即每條措施需分別明確其責任部門、責任崗位人員、控制頻率；評價程序是對控制措施執(zhí)行有效性評價要采取的評價方法、措施，評價內(nèi)容是評價應當關(guān)注控制措施及控制目標的重要內(nèi)容。

“三張清單”的落地

“三張清單”作用各異、緊密關(guān)聯(lián)：通過風險識別清單，明確合規(guī)風險與合規(guī)義務；通過崗位合規(guī)職責清單，確保員工能夠了解其應當遵守的行為準則、業(yè)務領(lǐng)域合規(guī)義務，以及與其關(guān)聯(lián)的關(guān)鍵合規(guī)要素；通過流程管控清單，確定不同合規(guī)風險應對措施，實現(xiàn)目標清晰、責任到位、措施落地。

《中央企業(yè)合規(guī)管理辦法》第十八條明確規(guī)定，中央企業(yè)應當針對反壟斷等重點領(lǐng)域以及合規(guī)風險較高的業(yè)務，制定合規(guī)管理具體制度或者專項指南，具體領(lǐng)域包括反壟斷、反商業(yè)賄賂、生態(tài)環(huán)保、安全生產(chǎn)、勞動用工、稅務管理、數(shù)據(jù)保護等。建立健全“三張清單”需要聚焦主營業(yè)務相關(guān)的合規(guī)重點領(lǐng)域。進行重點領(lǐng)域風險識別清單的編制，要結(jié)合業(yè)務風險排查，圍繞內(nèi)外部經(jīng)營環(huán)境情況區(qū)分合規(guī)風險等級，有針對性地編制“三張清單”，對合規(guī)義務、合規(guī)風險、合規(guī)職責、高風險崗位、業(yè)務流程、控制目標、控制措施、控制部門等內(nèi)容進行準確識別和梳理，達成對重點領(lǐng)域風險點的全面覆蓋。

《中央企業(yè)合規(guī)管理辦法》指出，中央企業(yè)應當將合規(guī)審查作為必經(jīng)程序嵌入經(jīng)營管理流程，重大決策事項的合規(guī)審查意見應當由首席合規(guī)官簽字，對決策事項的合規(guī)性提出明確意見。業(yè)務及職能部門、合規(guī)管理部門依據(jù)職責權(quán)限完善審查標準、流程、重點等，定期對審查情況開展評估。因此，做好合規(guī)流程的嵌入，需編制公司層面由首席合規(guī)官進行合規(guī)審查的業(yè)務環(huán)節(jié)清單。而各業(yè)務和職能部門，需編制自己部門合規(guī)審查的環(huán)節(jié)清單。最后，合規(guī)管理部門需針對企業(yè)合規(guī)體系，以業(yè)務管理為中心，將涉及該業(yè)務適用的合規(guī)義務實質(zhì)性要求、制度化的合規(guī)風險應對措施單獨制定《業(yè)務合規(guī)管理指南》，并對應形成《業(yè)務流程合規(guī)管控清單》。同樣，業(yè)務管理制度相對獨立，業(yè)務經(jīng)辦人員在按照業(yè)務管理制度執(zhí)行業(yè)務的同時，也須按照《業(yè)務合規(guī)管理指南》執(zhí)行業(yè)務。合規(guī)管理，是按照合規(guī)審查標準、流程、重點等，定期對審查情況開展評估后用制度規(guī)范好，并且將公司層面、部門層面的兩級合規(guī)審查業(yè)務環(huán)節(jié)事項清單作為附件共同執(zhí)行。

《合規(guī)管理體系要求及使用指南》（ISO?37301：2021）“運行和策劃”提出，一個設計良好的合規(guī)管理體系包括各種措施（如政策、流程、程序），這些措施既能為合規(guī)文化提供內(nèi)容，又能產(chǎn)生效果。它們旨在降低合規(guī)風險評估流程中確定的風險。運行控制的一個基本要素是行為準則，其中規(guī)定了本組織對相關(guān)合規(guī)義務的充分承諾。行為準則應適用于所有人員，并可供他們所用。根據(jù)行為準則及其延伸，合規(guī)措施應納入組織的日常運行中，以期培養(yǎng)合規(guī)文化。

在與業(yè)務流程相關(guān)的情況下，如果缺少此類控制，可能會導致偏離合規(guī)政策或違反合規(guī)義務，因此就需要進行運營控制。這些情況可能與所有業(yè)務情況、活動或過程（如生產(chǎn)、安裝、維修、維護）有關(guān)，也可能與承包商、供應商或銷售商有關(guān)。控制的程度不同取決于幾個因素，如所執(zhí)行職能的重要性或復雜性、不合規(guī)的潛在后果或所涉及、可用的技術(shù)支持。當運行控制失敗時，有必要采取措施來解決任何不良結(jié)果或影響。除了具備設計良好的合規(guī)管理措施，合規(guī)關(guān)鍵清單的落地，還需要把關(guān)注點放在責任主體上，即以崗位為單元，將合規(guī)職責、合規(guī)義務、合規(guī)風險識別、合規(guī)評價等都落實到崗位上，將合規(guī)管控落實到崗位上，合規(guī)培訓落實到崗位上。同理，再將落實到崗位上的所有內(nèi)容，同步落實到業(yè)務合規(guī)流程中去。

“三張清單”的落地需要注意的關(guān)鍵有三個方面。一是聚焦重點領(lǐng)域。以防控風險為導向，以合規(guī)風險清單為抓手，聚焦重點領(lǐng)域突出關(guān)鍵環(huán)節(jié)，將合規(guī)義務分解落實到重點崗位和人員，嵌入操作流程，實現(xiàn)合規(guī)管理與經(jīng)營活動深度融合。二是堅持協(xié)同聯(lián)動。既要推動合規(guī)與法務、風險管理、內(nèi)部控制等不同工作之間的高效聯(lián)動，還要推動“三道防線”之間的密切協(xié)同，多維度、多層次開展交流研討，確保合規(guī)風險識別完整，崗位職責邊界清晰，管控節(jié)點定位準確。三是推進清單信息化。充分發(fā)揮技術(shù)支撐作用，建立涵蓋業(yè)務、流程、崗位、職責、節(jié)點、義務等要素在內(nèi)的電子清單，實行標準化、結(jié)構(gòu)化、標簽化管理，構(gòu)建結(jié)構(gòu)化風險清單和流程管控清單，并嵌入信息系統(tǒng)，實現(xiàn)合規(guī)義務流程化，合規(guī)操作表單化，合規(guī)表單電子化。

作者供職于江蘇寧滬高速公路股份有限公司