一、導語

國資委于2019年10月發布了《關于加強中央企業內部控制體系建設與監督工作的實施意見》（國資發監督規〔2019〕101號），“合規、風險和內控”在2019年和2020年已經成為了管理的流行詞。隨著我國依法治企和國企改革的深化推進，供給側改革和“一帶一路”建設的推進不斷加快，內外部經營環境發生了巨大的變化，在持續經營的過程中，很多領域都面臨著合規風險的挑戰。鑒于中央企業及其他國有企業海外經營風險頻發，其中合規風險更加突出，合規管理逐步成為企業內部控制的關鍵點。中興合規事件幾乎給企業帶來滅頂之災，也給其它企業敲響了合規的警鐘。由此可見，企業要生存，要發展，必須以合規經營為前提，建立健全以風險管理為導向、合規管理監督為重點，嚴格、規范、全面、有效的內控體系。

二、什么是合規，什么是合規管理

作為一個合格的公民，日常行為既要遵守基本道德規范，也要遵守法律法規；作為一家上市公司，經營活動既要受證監會、審計署、證券交易所、銀監會等眾多外部監管機構和社會公眾的監督檢查，也要遵守《經濟法》、《證券法》、《上市公司信息披露管理辦法》等各項法律規定，才能避免問責和處罰，實現經營利潤。所以，合規管理是經營活動、日常行為開展的前提和基礎，要知道什么是合規，從哪些方面做到合規，才能進行有效的合規和內控管理，做好風險應對。

什么是“合規”？什么是“合規管理”呢？

2018年11月份國資委出臺的《中央企業合規管理指引（試行）》中對“合規”的定義為：是指中央企業及其員工的經營管理行為符合法律法規、監管規定、行業準則和企業章程、規章制度以及國際條約、規則等要求。對“合規管理”的定義為：是指以有效防控合規風險為目的，以企業和員工經營管理行為為對象，開展包括制度制定、風險識別、合規審查、風險應對、責任追究、考核評價、合規培訓等有組織、有計劃的管理活動。

接下來，我們以中信銀行泄漏客戶信息為例，說明違規對企業可能產生的影響。

2020年5月6日，脫口秀演員王越池（藝名“池子”）發布聲明指責中信銀行泄露其個人賬戶交易信息。王越池與笑果文化發生經濟合約糾紛，笑果文化寄給他的材料中竟然包含其個人的銀行賬戶交易明細，并打印出了近兩年的“流水”。對于該行為，中信銀行上海虹口支行向他解釋為“配合大客戶的要求”。5月7日凌晨，中信銀行針對該聲明發布致歉信稱，王越池所反映一事屬實，該行員工確向與王越池存在糾紛的上海笑果文化傳媒有限公司提供個人收款記錄，屬于未按規定辦理。目前已按制度規定對相關員工予以處分，并對支行行長予以撤職。

中國銀保監會反應快速，于2020年5月9日發布通報稱，中信銀行在未經客戶本人授權的情況下，向第三方提供個人銀行賬戶交易明細，違背為存款人保密的原則，涉嫌違反《商業銀行法》和銀保監會關于個人信息保護的監管規定。銀保監會消費者權益保護局對中信銀行啟動立案調查，嚴格依法依規查處。面對目前的囧狀，中信銀行陷入的并不僅僅是公關危機，如果用傳統的公關危機進行操作對于中信銀行可能無異于揚湯止沸，損害的不僅僅是中信銀行的信譽，還有可能嚴重地影響銀行的聲譽，遭受監管機構的嚴厲處罰。

由此可見，建立了再完善的制度，如果沒有得到執行或者執行時違反了國家法律法規，最終都會導致制度和執行兩張皮，還有可能受到監管機構的懲罰。我們在上期的內容也提到，再簡單的制度，只要能用就是好制度，同時還要強調和關注，實用的前提是制度制定以合規為基礎，通過將法律法規等外部監管要求轉化為企業內部規章制度，持續完善企業內部管理制度體系。在制度由主責部門制訂或修訂以后，還應通過外部律師、內部法律顧問的合規審查，組織內部相關協作部門參與評審，形成與公司業務相適應、流程相匹配的制度體系，通過執行的監督檢查和評估，持續提升合規經營水平，優化提高企業管理能力。

三、內部控制與合規管理的關系

結合合規的定義，我們可以從三個層面理解合規：

u 第一個層面，對法律法規的遵循；

u 第二個層面，對規章制度的遵循；

u 第三個層面，對職業道德的遵循。

從合規的角度判斷經濟業務是否合理，可能無法全面識別潛在的重大、重要風險。合規管理往往重形式，輕結果，還需借助控制活動和監督評價的工具，以風險管理為導向、合規管理監督為重點，嚴格規范和診斷業務活動的真實性和合法性。比如每個員工都要發生的費用報銷業務，從形式上看，報銷的發票是真實的，報銷內容在制度規定的范圍內，各層級人員的審批簽字齊全，但是經濟業務的實質如何，是否是必須和實際發生的費用？只從合規的角度并不能給出準確的判斷，需要結合內部控制的工具和方法，進一步識別、分析和判斷。

根據五部委對內部控制的定義：內控是由企業董事會、監事會、經理層和全體員工實施的、旨在實現控制目標的過程。從內控的定義來看，它就是在回答內控管理控什么、誰來控和為什么控的問題。內部控制的目標是建立和完善內控體系，幫助企業提升抵御風險的能力，促進企業以良好健康的姿態實現可持續、穩健的發展。所以，內控既注重過程管理，也注重結果。通過控制環境、風險評估、控制活動、監督、信息與溝通這五大要素，構建起一套完備、有效的內控“免疫系統”。內控的重點在于對風險的防患，最終實現資產安全、財務報告及相關信息真實完整，提高經營效率和效果，促進企業實現發展戰略的目標。繼續前面說到的費用報銷事例，按照合規的要求，報銷的程序和內容都合規，是否費用就能支付呢？實際報銷時并沒有這么簡單，財務人員還會按照既定的報銷流程，判斷發票來源是否真實，報銷費用是否符合制度限額要求，報銷的要點是否審查全面，業務背景是否合理。對于精細化管理較好的公司，在費用發生前，會要求報銷人填寫客戶招待申請表，經部門負責人、分管領導授權審批后，才能發生相關費用。內控側重于風險防患，防止壞人干壞事，減少因個人私利產生的企業損失。內控通過合理授權審批，不相容職務分離，表單控制等對潛在風險進行預防，保障業務活動的有序開展，促進制度更完善更合規、流程更高效。

依據《中央企業違規經營投資責任追究實施辦法（試行)》（國資委令第37號）規定：“對出現的各類違規違紀違法經營問題，對存在的重大風險隱患、內控缺陷和合規管理等問題，要嚴肅追究集團的管控責任；對各級子企業未按規定履行內控體系建設職責、未執行或執行不力，以及瞞報、漏報、謊報或遲報重大風險及內控缺陷事件的，堅決追責問責，層層落實內控體系監督責任，有效防止國有資產流失”。根據外部法律規范的要求，內控與合規既有區別又有聯系，要構建嚴格、規范、全面、有效的內控體系，必須將風險管理和合規管理要求嵌入業務流程，促使企業依法合規開展各項經營活動，實現“強內控、防風險、促合規”的管控目標。

四、管理問責案例—中國銀保監會開展市場違規行為整治，落實專項整治“回頭看”工作

案例簡介：

（一）基本情況

2020年6月11日，中國銀行保險監督管理委員會（以下簡稱“銀保監會”）公開了《2020年度中國銀行保險監督管理委員會部門預算》數據，突出和強調了2020年度執法辦案工作的7大重點，其中2大重點是：1、加大案件查處力度，嚴肅追究重大案件機構的責任，對大案要案依法從重處罰。2、堅持穿透原則。查深查實案件，對涉案業務鏈條上所有機構的違法違規問題一并查處。銀保監會還介紹了2019年的“市場亂象專項治理工作”情況：全年處罰銀行保險機構2849家次，處罰責任人員3496人次，罰沒合計14.5億元，內控合規建設取得進展。同時，2020年6月23日，銀保監會發布了《中國銀保監會關于開展銀行業保險業市場亂象整治“回頭看”工作的通知》（銀保監發〔2020〕27號），這也是繼續按照《中國銀保監會辦公廳關于印發2019年保險中介市場亂象整治工作方案的通知》往前推動、鞏固整治成果的相應方案。2020年銀保監會持續發力，繼續深入開展“鞏固治亂象成果，促進合規建設”的專項工作，并對民生銀行、農業銀行、建設銀行多家違規經營的銀行機構進行了懲處。

（二）被處罰銀行情況

1、農業銀行風險管理及內控有效性現場檢查發現的向關系人發放信用貸款、貼現資金直接回流至銀行承兌匯票出票人等多項違法違規行為，中國銀保監會依法對該行罰沒合計5315.6萬元，并對相關責任人員給予行政處罰。

2、建設銀行同業和理財（資管）業務現場檢查發現的理財資金違規投資房地產、未做到理財業務與自營業務風險隔離等多項違法違規行為，中國銀保監會依法對該行罰款3920萬元，并對相關責任人員給予行政處罰，其中，禁止1名責任人員終身從事銀行業工作。

3、民生銀行違規為房地產企業繳納土地出讓金提供融資、為“四證”不全的房地產項目提供融資等多項違法違規行為，中國銀保監會依法對該行罰沒合計10782.94萬元，并對8名責任人員給予警告并處罰款5萬元的行政處罰。

4、浙商銀行通過違規發售理財產品實現本行資產虛假出表、同業投資接受金融機構回購承諾等多項違法違規行為，中國銀保監會依法對該行罰款10120萬元，并對7名責任人員給予警告直至警告并處罰款30萬元的行政處罰。

5、廣發銀行面向不合格個人投資者發行理財產品投資權益性資產、向關系人發放信用貸款等多項違法違規行為，中國銀保監會依法對該行罰沒合計9283.06萬元，并對1名責任人員給予警告并處罰款5萬元的行政處罰。

6、華夏銀行內控制度執行不到位、生產系統存在重大風險隱患并引發較為嚴重后果等多項違法違規行為，中國銀保監會依法對該行罰款110萬元，并對1名責任人員（已被判處刑罰）給予終身禁業的行政處罰，對6名責任人員給予警告直至警告并處罰款10萬元的行政處罰。

7、華融公司違規收購個人貸款、違規收購金融機構非不良資產等多項違法違規行為，中國銀保監會依法對該公司罰款2040萬元，并對2名責任人員給予警告并處罰款5萬元的行政處罰。本次行政處罰主要基于前期對華融公司部分商業化業務現場檢查發現的違法違規行為，賴小民嚴重違法違紀案涉及的相關事實由有權機關另案處理。

案例分析：

從處罰的力度和深度來看，銀保監會繼續保持了對違法違規行為處罰問責的高壓態勢，合規管理是保障銀行體系穩健運行的基礎。執法辦案時銀保監會根據《中華人民共和國銀行業監督管理法》《中華人民共和國保險法》授權，對銀行業保險業監管履職的重點項目進行檢查。針對房地產融資、影子銀行和交叉金融業務等金融風險重點領域精準發力，督促相關機構完善公司治理、補齊內控短板、填補合規漏洞。

根據銀保監會的通報，下一階段將重點開展市場亂象整治“回頭看”工作，繼續嚴肅查處各類違法違規行為，防止亂象反彈回潮。針對被檢查單位檢查后放松神經、故態復萌的現象，將深入開展“回頭看”工作，形成檢查-整改-復查的閉環管理。讓各銀行保險機構理解和警惕，不是一檢查了就完事，“監督不是一陣子”，檢查工作針對性更強，針對的是具體的、突出的問題，防止同質同類案件反復發生。各檢查單位要根據違規問題及時制定整改方案，明確整改措施、職責分工、進度計劃，并深入推進自查自糾，確保“回頭看”檢查整改落實到位，杜絕屢查屢犯的情況發生。

管理思路：

銀保監會依照《中華人民共和國銀行業監督管理法》《中華人民共和國保險法》等有關法律法規履行銀行業保險業監督管理職責，針對“市場亂象專項治理工作”明確了行動方案的重點，擬定了亂象整治“回頭看”的工作計劃，對企業內控管理體系建設工作具有巨大的借鑒意義。根據國資委《關于加強中央企業內部控制體系建設與監督工作的實施意見》的要求，內控體系的建立健全，須以風險管理為導向、合規管理監督為重點，內控體系建設過程中合規管理的重點應該包括以下幾個方面：

（一） 管理制度的合規

不管是銀行業，還是建筑業、制造業，生產經營活動都會受到外部法律法規的約束，都要強調內部規章制度的遵循。內控控制的目標之一就是遵循國家法律法規和有關監管要求，所以制度的合規是內控體系建設的基礎。

如何實現制度合規呢？通過全面梳理企業現有內控、風險和合規管理的相關制度，及時將法律法規等外部監管要求轉化為企業內部規章制度，持續完善企業內部管理制度體系。這既是國資委文件的剛性要求，也是企業戰略目標實現的內在要求。在具體業務制度的制定、審核和修訂中嵌入統一的內控體系管控要求，明確重要業務領域和關鍵環節的控制要求和風險應對措施。將違規經營投資責任追究內容納入企業內部管理制度中，強化制度執行剛性約束。

（二）流程執行的合規

制度的完善是為了讓執行部門更好的執行工作，按照制度辦事，做到凡事有章可循。如何更好的執行呢？這需要管理部門和執行部門協作完成，部門與部門之間做好信息傳遞，包括縱向和橫向的信息傳遞。

1、制度發布后應做好及時的培訓與宣貫

管理部門不光要編寫制度發布制度，還應對執行部門做好培訓與宣傳，將制度的要求和程序傳達到位，避免信息缺失；除了發布制度外，要收集執行部門的常見問題信息，建立執行合規的管理臺賬，發布相關的解釋或通知，以便執行部門更好的理解制度。

2、制度的執行要有計劃、有執行、有檢查、有總結分析

要利用管理工具，管理部門不論開展什么工作都要有計劃、有執行、有檢查、有總結分析，形成閉環。對于執行部門執行的工作在制度中也要有相同的要求，同時將這些要求轉化為管理工作的輸出結果，如：工作計劃表、執行過程資料、檢查表、總結分析報告等。通過日常檢查、定期考核的方式檢驗管理動作執行的合規性和遵循性，督促執行部門完善執行。

（三）監督評價體系的制定

有了適應企業發展的制度，建立了可執行的業務流程后，還需要運用定期內部控制評價的方法驗證制度設計的合理性和制度執行的合規性、遵循性，通過抽樣、訪談、問卷等評價測試方法，對內部控制的有效性進行全面評價，形成評價結論，出具評價報告。《國資發監督規〔2019〕101號》指出，“內控體系建設過程中，要統籌推進內控、風險和合規管理的監督評價工作，將風險、合規管理制度建設及實施情況納入內控體系監督評價范疇，制定定性與定量相結合的內控缺陷認定標準、風險評估標準和合規評價標準，不斷規范監督評價工作程序、標準和方式方法”。

內控體系的建立不僅僅是一本手冊的輸出，要實現“管理制度化、制度流程化、流程信息化”，還要高度重視內部控制流程的后續建設和評價監督，結合組織架構、控制環境、外部法律法規的變化定期或不定期對內部控制流程、內控制度進行梳理，及時修訂、更新和補充，實現內部控制流程和制度對企業防范風險、達到公司戰略的目標。