近年来，强化合规管理、防范合规风险已成为全球企业持续发展的基础。企业在经营过程中，总会面临各种各样的风险。若企业不重视合规风险防控，这些风险可能会引发讼争，受到行政处罚或刑事追究，从而导致企业经济损失甚至“死亡”。

此前，笔者曾发表《不懂合规，企业吃亏》，阐述了合规对企业发展的重要性。现笔者在本文中提出六点企业合规建议，望能帮助各位企业家防范企业经营过程中的风险、保证企业能够稳健的持续发展。

一、企业应科学地配置运行机制，完善企业治理结构

企业合规风险防范依附于企业“控制权-决策权-执行权-监督权”的事权体系运行过程。完善企业治理结构要求实行所有权和经营权分离。只有公司的所有者、经营者、管理者、监督者各自独立、责权分离、相互制衡、相互协调，才能形成良好的运行机制。

因此，企业需要科学地配置企业的运行机制，保证股东会的最终控制权，保证董事会的独立决策权，保证监事会的有效监督权，保证经理自主经营管理的权力。

企业的运行机制主要是通过三个层面的机构设置实现的，即股东会层面、董事会和监事会层面、经营层面。

（一）股东会是股东行使股东权利的基本保障，股东会层面风险防范和控制的目标是企业能够公允地对待所有股东的权利，企业应重视落实股东（大）会的职能。

股东会层面合规风险防范主要是防范和控制控股股东及实际控制人滥用控制权损害公司及公司其他股东利益，企业应重视落实股东（大）会的职能。

所以合规风险防控重点是落实股东（大）会职能，尤其在公司发展战略、经营计划和投资策略方面，在公司经营目标、财务预决算和利润分配方案审批方面，在公司重大事项批准方面，应落实股东（大）会的批准权。

（二）董事会是企业的战略决策的机构，监事会是完善企业法人治理结构的产物。企业的董事会、监事会具有合理的职权，有利于企业防范合规风险，企业应重视落实董事会、监事会职能。

董事会是企业的经营决策机构，企业董事会不仅应重视防范公司出现内部人控制，还应重视防范决策失误。

董事会层面的风险防范和控制是企业战略意义上的风险防范和控制。企业应明确董事会与经营层的分工，落实董事会的职能，尤其在高级管理人员的聘任、职能设置、薪酬待遇、考核方面。重视在公司发展战略和经营计划方面，在公司财务预决算和利润分配方案制订方面，在公司重大事项审批方面，落实董事会的决策权。

为了加强企业合规管辖在企业治理中的作用，企业可以在董事会之下设立合规管理委员会，由公司高管担任委员会成员，例如，中兴集团的合规委员会由副董事长担任主席，湖南建工集团的合规委员会主席则由企业纪委书记担任，只有最高层重视的合规才有真正的价值。

监事会作为公司内部的监督机构，应防止董事会、管理层滥用职权，损害公司和股东利益。监事会的合规管理职能，就是监督董事会和高级管理层合规管理职责的履行情况。

（三）企业经营层面的风险防范和控制是企业发展战略执行环节的重要组成部分，经营层面的合规风险防范措施是完善企业内部风险控制体系，企业应重视对合规风险的防范。

公司经营层即以总经理为首的高级管理团队，统一领导各个层次的经营管理活动。作为企业经营管理的执行者，对企业合规管理负相应的管理责任。

经营层应明确合规管理部门及其组织机构，建立合规部门，为合规部门配备充分和适当的合规管理人员，将责任和权利分配给相关角色，并确保合规管理部门的独立性。企业可以根据自身实际情况设置首席合规官，但无论如何，首席合规官应当具有公司高级管理人员的地位。只有享有足够权威的地位，合规组织才有能力应对管理层的压力，而不至于沦为摆设。

二、企业应建立拥有独立组织架构和独立权限的合规部门

不论企业如何组织合规部门，该合规部门都应该是独立的。同时，应该由一名合规官全面负责合规风险管理。而且，合规部门有向高级管理层，必要时，向董事会或董事会下设的委员会自由报告的权利。

如果有条件，建议企业适当设置的合规委员会、首席合规官、合规部门、合规人员，尤其是在每一个公司部门和分公司都要设立合规分支机构，由总公司合规部门垂直管理，即便在小型部门中也要配备合规专员。

三、企业应营造由上而下的企业合规文化，制定专门的合规手册和员工行为准则

企业建立合规手册和员工行为准则，可以避免因员工或高级管理人员的个别违法行为导致整个企业承担责任，可以将其个人的违法行为归于个人责任。

合规手册主要包括以下方面：合规管理制度建设、合规咨询、合规审查、合规检查、合规监测、法律法规追踪、合规报告、反洗钱、投诉报处理、监管配合、信息隔离墙（监视清单与限制清单）、合规文化建设、合规信息系统建设、合规考核、合规问责等。

企业也可以根据自身特点制定合规手册和员工行为准则，针对不同的合规风险点和合规风险领域建立不同的行为准则。例如在员工行为准则中规定禁止员工商业贿赂、洗钱等违法违规行为。并要求所有员工在入职培训时集体宣读合规手册和员工行为准则，签署保证书，将企业合规文化根深蒂固的烙印在每个企业员工的心中。

四、企业应重视合规管理培训

合规培训蕴含着责任分担，可以有效切割公司责任、员工责任和第三方责任，及时建立隔离带和防火墙，防止企业受到牵连，所以企业应重视合规管理培训。

合规培训可以分为常规培训和有针对性的培训两类。

常规培训的对象是企业全体员工，企业可以根据自己的时间安排规定常规培训的时间，例如每年年中和年底进行对全体员工的合规风险培训。

有针对性的培训是指针对高风险点和高风险领域的部门、员工和上下游第三方的专门培训。笔者建议企业应定期对高风险领域的部门、员工和上下游第三方进行培训，有效隔离风险。

另外，企业必须重视对培训证据的保存。有效的合规培训要求书面记录，还要有所有参加培训人员的签字，必要时还可以录音录像予以存档，为日后应对行政监管调查和刑事调查留存证据。

五、企业应建立行之有效的合规防范体系

（一）企业应建立内控评价机制。

企业有效的内控评价机制，可以增进管理效率，推动企业发展。每个企业应该根据本企业的特点制定评价机制的参考标准。

评价机制的参考标准不仅可为企业自我评估和改进其内部控制提供依据，还可以通过评价机制对整个体系的运作状况进行综合评估，使公司高层管理层找到内部控制的薄弱环节，以采取相应的改进措施，促进体系的不断完善。

（二）企业应定期和不定期的进行合规风险评估。

企业的合规风险评估应随着公司业务的发展而不断更新，企业每年度都应定期形成合规风险评估报告，作为建立良好防范体系的证据予以留存。风险评估同样要针对常规合规风险点和重点合规风险领域分类展开。

（三）企业应重视与专业律师事务所的合作，邀请专业律师事务所对客户、对第三方合伙伙伴进行尽职调查。

企业可以通过对客户、对第三方合伙伙伴的尽职调查，建立防火墙和隔离带，隔离第三方合作伙伴、被并购企业或者客户的违法行为，实现有效的责任豁免。

（四）企业应建立匿名举报制度，即“吹哨人”制度。

我国国务院于2019年9月发布的《关于加强和规范事中事后监管的指导意见》中也提出建立“吹哨人”、内部举报人等制度，对举报严重违法违规行为和重大风险隐患的有功人员予以重奖和严格保护。“吹哨人”制度本身也作为合规体系的一部分，在合规识别程序中发挥了重要的作用。

笔者认为在整个中国企业文化的环境中，其实存在敢于举报检举企业违规的“吹哨人”，但由于对“吹哨人”的保密制度、保护制度和奖励制度的不够完善，导致很多人不敢说真话、怕说真话。这样导致管理者无法第一时间发现企业的问题，使企业逐步走向衰落的境地。因此企业应为举报企业违规的“吹哨人”设置了完善的保密制度、保护制度和高额奖励措施，并将此落实到整个企业管理中去。

六、企业应建立危机应对和管理体系，随时做好应对可能出现的合规问题的准备

企业危机应对，是企业安全管理的重要抓手，所以也是企业合规管理的重要组成部分。危机应对既考验企业的紧急状况下的应变能力，也检验企业合规管理体系是否健全和完善。

企业处理危机最好的办法不是在危机发生的时候去想怎么办，而是能够在日常的管理中就有企业危机管理体系，并多次学习、演练。为此，笔者提出以下几点建议：

（一）企业应根据自身行业特点建立重点领域的应急管理制度和应急预案。

（二）企业平时要进行宣贯、培训和演练，让员工了解危机应对工作流程，锻炼员工的面对危机的心理素质。

（三）企业应重视培养合规牵头部门的统筹协调能力，在危机中要加强领导，确保各项决策的高度执行力。

（四）企业要从每一次调查或合规评估报告中及时总结吸取教训，及时完善合规制度机制。

（五）企业应重视舆论，学会处理舆论危机。企业常见采取的方式有：积极与对方协商；发表公开声明；委托律师事务所发律师函；依法提起诉讼。