企业如何开展合规风险防范体系的建设

针对建工领域企业特点，特别是招投标活动中面临的行政风险和刑事风险，企业应在合规风险体系建设时重点设计三大程序体系：一是合规风险的防范体系；二是违规行为的监控体系；三是违规事件的应对体系。我们也可以称之为事前防控体系、事中控制体系、事后处理体系。

第一，构建企业合规风险的防范体系的核心工作是打造专项的合规政策。

合规政策在合规体系中扮演"实体法"的角色，相当于国家法律体系中刑法、民法、行政法的范畴。一个有效的合规政策体系包含了合规的各项主要内容，如合规的理念、合规管理的框架、合规的组织体系、单项合规制度、部门合规操作指南、第三方合规等。特定合规领域的管理规范和行为准则需要涵盖企业经营中每一个环节，十分精细。例如，施工企业中，就反串通招投标合规政策而言，需要把国家关于招投标，反不正当竞争、反商业贿赂的行政法规和刑法有关串通招投标、贿赂的所有规定转化成具体条款，写进合规政策体系当中。

合规政策体系要求把行政法、刑法中所有关于本领域的禁止性条款全部写入企业的内部条文，能够让企业人员不用再去翻国家法律，只要学习合规管理政策和员工手册就能清楚地知道行为的规范和边界。制定合规政策的过程与立法十分类似，其实质就是把国家的行政监管法律和刑事法律转化成企业内部的规章制度。建立合规政策的工作量十分巨大，一边是在企业内部治理方面要找到风险发生的环节，一边是要穷尽国家的行政法规、地方性法规、部门规章，还有行业惯例、商业伦理、相关案例等，两边相互结合可以产生数百个条款，整个过程相当于给企业量身定做的立法，清晰地界定企业运行过程中每一步的行为规范和边界范围。

举个工程总承包领域的例子：根据《房屋建筑和市政基础设施项目工程总承包管理办法》第11条的规定，工程总承包项目的代建单位、项目管理单位、监理单位、造价咨询单位、招标代理单位不得参与工程总承包项目的投标。政府投资项目的项目建议书、可研报告、初步设计文件编制单位及评估单位一般不得成为该项目的工程总承包单位。政府投资项目在招标人公开已经完成的项目建议书、可行性研究报告、初步设计文件的情况下，前述单位可以参与该工程总承包项目的投标。从行政层面看，未公开项目建议书、可研报告、初步设计文件的情况下，参与前期初步设计的设计单位即使参与投标也可能面临投标无效被否决的风险，中标后亦将面临其他投标人或利害关系人的投诉与异议，最终导致中标无效。从刑事层面看，若设计单位完成前期初步设计后与发包人进行实质性沟通的，在制作标书的时候又参与并提供意见的（即使有些是技术性咨询），后期又以投标人身份参与投标的，可能涉嫌招标人与投标人之间的串通投标罪。因此，不论行政层面还是刑事层面的风险，企业在进行合规政策的制定时都应当告知到企业相关责任人员甚至于合作方，对于内部员工而言，合规政策的制定与宣贯是对其自身和企业的保护，不要稀里糊涂就踩了坑；对于合作方来说，上述行为也能很好的隔离风险，切断处罚。

另外，在构建企业合规风险防范体系时需着重做好企业与员工责任分割。企业作为主体参与市场活动的时候，真正将行为落实下去的是企业员工。众多企业被制裁虽有自身合规管理欠缺的原因，但直接原因是个别员工的行为触碰了法律红线，最终波及整个企业。因此，企业在制定合规政策后，需要和员工签订《合规承诺书》。员工可以通过登入企业内部管理系统进行诚信合规手册、合规制度与政策等学习，并在系统中签署《合规承诺书》。为什么我们提倡企业要求员工签署《合规承诺书》呢？因为《合规承诺书》的签订能有效地将企业与员工的非法、违规行为进行割裂。企业在合规手册、合规制度宣贯学习时，已对员工做到充分地提醒提示，要求员工严格遵守法律法规、公司制度、国家政策、岗位纪律等，若员工违反承诺则自愿承担相关责任。这种方式，能很好地将员工个人意志下的非法、违规行为与企业行为进行分割，即员工的非法、违规行为仅是其个人行为，与企业无关，企业不为员工的行为买单，也不代表企业的意志。回到工程总承包中，设计单位或施工单位在以联合体形式开展工程总承包业务时，因为联合体对外是一个整体，要承担连带责任。因此，设计单位在联合体内部的《联合体协议》中就要明确要求施工单位在招投标及工程建设过程中不得存在的违法、违规行为，一旦对方发生违规甚至违法行为的，也可以结合企业的内部管理合规管理制度、政策及承诺，向相关部门主张免责。

第二，企业合规风险体系的关键是建立违规行为的监控体系。

一般违规行为的监控体系又称为事中控制，包含全流程合规监控、举报制度、合规审计、合规报告制度等四项具体要求。

一是建立"全流程合规监控体系"，要求企业开展的每一项业务，在项目承接与开展，产品制造、销售、服务的每一个环节，都要有合规把关，对存在违规行为的环节实行合规一票否决制。

二是建立"实时举报制度"，也就是通常所说的"吹哨人"制度，实行24小时举报机制，开放电话举报、网络举报等途径，搭建专门的举报平台，并对举报人进行严格保护和高额奖励。

三是推行"合规审计制度"，要对重点人员进行专项审计或者定期审计，发挥审计的实施合规监控作用。

四是建立"合规报告制度"，要进行定期报告和专项报告，在合规组织体系内自下而上地将合规计划运行情况、合规的风险、违规行为的发生报告给最高管理层。

笔者认为，企业合规风险体系的关键是建立违规行为的监控体系，没有违规监控，合规管理将很有可能流于纸面。合规监控除了上述四项具体要求外，还需要引入合规考核。笔者根据对合规指南、标准、办法和指引等相关合规文件的理解并结合工作实践，对企业合规管理中谁考核谁进行了梳理如下：

	被考核人	考核责任人
1	合规委员会人员	董事会、合规委员会
2	高级管理人员	合规委员会
3	部门合规负责人	合规负责人、合规部
4	业务、分支机构及其负责人	合规负责人、合规部
5	员工	合规部、业务部门
6	子公司负责人	合规负责人、合规部
7	下属单位合规管理部	集团合规负责人、集团合规部

第三，企业合规风险体系的难点是违规事件的应对体系。

所谓应对体系，又被称为"事后处理机制"，是指违规行为发生后的反应机制。当违规行为发生或者被发现后，企业就要受到外部监管机关和执法机关的调查，此时需要有内部的专业反应机制，否则如果盲目应对，或者采取毁灭、伪造证据等错误方式，就会面临更加严厉的调查和处罚。

企业违法违规行为一旦案发，通常会面对两种调查：一是政府监管部门的行政调查，如市场监管、税务、金融监管、证券监管等部门针对不正当竞争、税务违规、洗钱等企业违规行为的行政调查；二是刑事执法机关的刑事调查，如公安机关对已经立案的单位犯罪行为，展开各项调查取证活动。在我国刑法中，数以百计的单位犯罪都属于“行政犯”或“法定犯”，也就是由行政不法行为转化而来的犯罪行为。在行政不法行为的调查方面，我国法律通常遵循“行政调查前置原则”。因此，面对企业违法、违规行为发生的情况，企业可能会同时或者先后面临如何应对行政监管调查和刑事调查的问题。

通常，企业在被追究行政或刑事责任时可利用企业现有的合规管理体系，向行政监管部门和刑事执法机关进行及时抗辩，以便及时切割员工责任与企业责任，使那些建立有效合规计划的企业，不为员工个人行为承担责任。例如，在应对住建部门关于招投标过程中是否存在串通行为的时候，可以援引前面说的针对该专项内容所制定的合规政策及已经签订的合规承诺，说明企业已经制定了合法合规合理的措施，采取了有效的监管措施，没有放纵员工实施串通行为，从而将企业行为与员工行为割裂开来。因此，企业就有可能据此提出有效的无责任抗辩，说服监管部门作出"放过企业，严惩员工"的处理方案。

一般情况下，在处理企业员工涉嫌犯罪的案件中，很多公安、检察经办人员通常都会收集企业的规章制度作为证据，会审查企业是否针对特定违法行为采取过明确、成文的禁止性措施，企业是否采取有效的预防和监管措施，并将此作为区分单位犯罪与自然人犯罪的重要依据。在法庭审理中，企业有时也会出具公司文件、内部指引、培训手册等材料，以便证明员工违反了公司的政策，属于个人行为，而单位不应为其承担刑事责任。因此，企业以合规政策和管理体系为依据，成功地将企业责任与员工责任加以切割，无疑是一种有效应对刑事调查和刑事检控的重要方法。

为应对政府部门的突击检查活动，企业有必要根据实际情况，建立合理的突击检查配合体系。这一体系可以包括以下基本内容：

一是在公司法务和外部律师帮助下，搭建应对突击检查的工作流程。

二是可以建立组织体系，设立全国协调员、现场协调员，明确突击检查期间的最高管理团队和清晰的汇报关系。

三是突击检查协调人员承担起全面的协调责任，核实执法人员身份，通过各部门搭建配合小组，及时联络外部律师，了解执法信息，陪同检查、访谈并安排提供文件信息，做好检查记录，保留提供文件的复制件。必要时向执法人员提出异议，保护公司秘密，协商某一文件是否属于调查范围。

四是加强员工培训，使其了解政府执法的基本知识和基本原则，了解公司配合执法的政策，了解突击检查的背景、形式、职责、流程、配合方案以及调查后的总结和反馈等。