摘要：合规管理有效性评价是企业开展合规管理工作的重要内容之一。本文首先回顾了合规管理有效性评价的国外发展历程和中国的相关实践，阐述了构建中国合规管理有效性评价标准的必要性，围绕着合规管理有效性评价主体、评价对象、原则和标准（评价内容）等四个核心内容逐步展开分析和讨论。并以二个FCPA执法案件为切入点，进一步探讨合规计划有效性评价标准的具体运用。最后，本文在风险评估、评价指标体系和信息化系统建设等方面提供一些参考建议。
关键词：合规管理；有效性；评价标准；FCPA
Extraterritorial Experience and Chinese Practice in Constructing Evaluation Criteria for Compliance Management EffectivenessYu Chen
( Beijing DHH Law Firm，BeiJing100022 China)
Abstract: Evaluation of compliance management effectiveness is one of the important contents for enterprises to carry out compliance management . This paper firstly reviews the development history of compliance management effectiveness evaluation in foreign countries and relevant practices in China, explains the necessity of constructing Chinese compliance management effectiveness evaluation standards, and gradually analyzes and discusses the four core contents such as the subject of compliance management effectiveness evaluation, the evaluation object, the principle and the standard (evaluation content). It also takes two FCPA enforcement cases as entry points to further explore the specific application of compliance program effectiveness evaluation standards. Finally, this paper provides some suggestions on risk assessment, evaluation index system and information system construction.
Keywords: Compliance ManagementEffectiveness；Evaluation Criteria；FCPA
一、合规管理有效性评价的历史溯源
近几十年来，企业合规管理逐渐成为各国企业监管自身不当行为的重要手段而被广泛接受，但其实际效果究竟如何在理论和实务界都仍然存在很大的争议。一些批评意见认为，尽管公司的合规管理 “在道德上是无懈可击的，但纸面规范与实际行为之间显然存在差距。”[1] “企业合规管理是低效的、缺少透明度、自我服务和民主性不足等等。” [2]而且，合规监管的有效性在很大程度上还取决于公司独立的监控和投诉程序，但其透明度并不总能得到有效保证。特别是，一些FCPA累犯案例更为企业合规管理的有效性蒙上了阴影。据统计，从1989年到2022年间共有十五家公司涉及两次以上违反FCPA的情况。在与执法机构达成和解协议和面临处罚的压力下，一些公司尚不能履行有效地监控腐败行为的承诺。[3]所以，有必要对企业合规管理的有效性进行检验并提出完善的措施。
因此，各国相关执法机构也一直在研究和制定在对企业的行政或刑事调查和处罚中的评价标准来验证企业合规管理的有效性。同时，这些评价标准也对各国企业开展有效的合规管理建设提供了重要的指引。
对于中国企业而言，全部中央和部分地方国有企业已经初步建立了合规管理机制。国资委管理的中央企业已全部成立合规委员会，出台合规管理制度，完善合规工作机制，取得了合规管理的阶段性成果。但企业如何提升自身合规管理行为的有效性，或者说如何对企业合规管理行为进行有效的评价，是中国企业在合规管理体系初步形成之后的重点任务。只有有效的合规管理行为，最终才能保证企业合规经营和提升企业价值。反之，则只会增加额外的人力与资源的负担，成为管理上的新形式主义。因此，对于中国企业的合规管理而言，当下最为关键的工作在于，如何从形式化的阶段提升到有实际成效并且可检验和评价的阶段。
（一）合规管理有效性评价的国外实践与进展
1、美国的实践
在企业合规管理领域，美国的相关合规管理有效性评价标准探索和实践具有一定的借鉴意义。早在1991年，美国量刑委员会在1987年《联邦量刑指南》（Sentencing Guidelines）基础上增加的《机构量刑指南》（Sentencing Guidelines of Organizations）成为美国开展合规管理体系有效性评估制度的“里程碑”文件。此后，美国《萨班斯法案》（Sarbanes-Oxley Act）、《反海外腐败信息指引》（FCPA Resource Guide）、《海外资产控制办公室合规承诺框架》（OFAC Compliance Framework）、《工业和安全局出口管制合规管理指南》（BIS Export Compliance Guidelines：The Elements of Effective Compliance Program）、《司法部反垄断局公司合规体系有效性评估》（DOJ Antitrust Division Evaluation of Corporate Compliance Programs）、《公司合规体系评估指南》（Guidance on the Evaluation of Corporate Compliance Programs）等一系列的制度进一步丰富和发展了美国合规管理体系有效性评估标准的内容。
1999 年以来，美国司法部颁布了一系列由副总检察长署名发布的合规备忘录，旨在为州检察官决定是否指控组织犯罪提供基本的评价标准。包括《霍尔德备忘录》（Holder Memorandum，1999）、《汤普森备忘录》 （Thompson Memorandum，2003）、《菲利普备忘录》（Filip Memorandum，2008）、《摩洛哥备忘录》（Monaco Memorandum，2022）等。以《霍尔德备忘录》为例，其规定了检察官起诉企业时可以考虑的八大因素，其中，企业是否具有合规计划及其合规计划的有效性直接影响检察官的裁量，如检察官认定企业的合规计划是有效的，可依职权不予指控。此外，《霍尔德备忘录》还提示检察官需从企业违法行为的普遍性、企业合规计划拥有与否、以及企业采取补救措施与否来考察企业的合规状况。总之，美国司法部颁布的这些合规备忘录渐进地明确了对合规计划的评估应当基于“该计划的设计是否能够最大限度地有效防止和发现不法行为”的基本原则，并及时更新和细化了评价标准的各项考虑因素。由此可见，备忘录除了对检察官诉讼业务具有指导作用外，还对引导企业如何建立有效的合规管理体系意义重大。
在上述的法律文件中，美国《机构量刑指南》和《公司合规体系评估指南》为企业合规管理的有效性评估提供了更为具体的可操作性标准，在企业合规管理评价过程中具有更为重要的地位。《机构量刑指南》和《公司合规体系评估指南》的合规有效性标准虽为美国司法机关在起诉和量刑时评估公司合规管理有效性的依据，但由于它们在实践中被广泛运用于其他领域，已成为美国政府机构以及企业日常评估其合规体系有效性的主要标准。
《机构量刑指南》确立了公司合规体系有效性评价的“七个黄金标准”包括（1）基于可能存在的风险，制定明确的合规标准和程序，以防止和检测违法犯罪行为；（2）公司高级管理人员对合规的承诺、监督和支持；（3）在招聘员工和员工晋升过程中筛选不道德的人员；（4）持续地开展合规培训和教育；（5）监督、审计和报告要求以及定期对项目有效性自我评估；（6）纪律执行和激励机制与合规管理的要求一致；（7）发现违法犯罪行为后采取纠正措施。“七要素”标准比较抽象，也容易形式化，同时不宜实际操作。
为解决合规有效性评估这一世界性难题，美国司法部在《机构量刑指南》的基础上，借鉴经济合作与发展组织《内部控制、道德和合规的良好实践指南》、《企业反腐败道德与合规手册》等资源，制定出台了《公司合规体系评估指南》，逐步推动企业合规有效性评估标准从形式到实质，从抽象到具体的发展过程。2017年，美国司法部首次发布了《公司合规体系评估指南》，并于2019年、2020年、2023年对该指南进行了多次更新。《公司合规体系评估指南》对公司合规体系评估包括三个方面：（1）公司的合规体系设计是否合理；（2）公司的合规体系是否被是否被认真地、真诚地执行，换言之，合规体系是否有足够的资源和权力来有效运作；（3）公司的合规体系是否在实践中发挥作用。在这三大评估事项之下进一步细化了各项评估指标，包括十二项一级指标和五十多项二级指标，以及共计近200项具体评价指标，尝试统一企业合规管理有效性的评价标准。
总之，美国检察官评估企业合规有效性的标准，从1991年《组织量刑指南》确立的“七要素”标准及其多次修订，到 2017年《企业合规计划评估指南》确立的“三要素”标准及其后多次修订，持续推动着合规管理的有效性评价标准经历了从形式到实质、从抽象到具体、从注重技术指标到强调实际发挥作用并融入企业文化的发展过程。
在美国之后，英国、加拿大、日本、俄罗斯、意大利、 西班牙等国相继通过立法或者判例确立了合规计划的法律规定，以英国和意大利为例。
2、英国的实践
2011年4月起正式生效的英国反贿赂法案（UK Bribery Act）被誉为史上“最严厉的反腐败法。与美国反海外腐败法（FCPA）相比，英国反贿赂法案的打击范围更广，对于企业的威慑力更强。英国《反贿赂法》第7条创设了商业组织预防贿赂失职罪，规定如果企业疏于构建预防贿赂的内部管理制度而导致行贿行为发生的，则推定商业组织应承担刑事责任。《英国反贿赂法》为商业组织确立了严格责任的同时，也规定了商业组织有权进行无罪抗辩的事由，如果该商业组织能证明其已经制定了旨在预防商业贿赂行为的充分程序，就可以推翻检方的责任推定，说服司法机关做出该组织不承担刑事责任的裁决。为了落实英国《2010年反贿赂法》的上述规定，英国司法部颁布了《2010年反贿赂罪法适用指南》（U.K. Bribery Act Guidance）（以下简称“《指南》”），为判断合规计划的有效性提供了法律依据。[4]《指南》明确指出，在判断特定商业组织的合规计划是否有效的情况下，应根据《指南》有关充分程序的规定，结合个案具体情况和环境等因素进行判断。所谓充分程序，是指商业组织旨在证明自己建立有效预防贿赂犯罪的合规管理体系，一般应满足六个方面的原则性要求，具体包括相称性程序原则、最高层承诺原则、风险评估原则、尽职调查原则、沟通与培训原则和监测与审查原则。
2020年，英国反严重欺诈办公室公布了《合规计划评价操作手册》（Evaluating a Compliance Programme）。[5]该手册为反严重欺诈办公室的检察官、调查人员、审计人员以及律师等其它合规专业人员在评估涉案企业合规计划有效性时提供了一套标准的流程和指导。尽管操作手册不具有强制约束力，但是其为检察官评估企业合规计划的有效性确立了最新的标准。该操作手册所确立的有效合规评价标准具有广泛的适用范围，既适用于企业犯罪之前所建立的合规计划，也适用于企业犯罪后对合规管理所采取的制度补救措施，以及企业为履行暂缓起诉协议（DPA）所开展的合规整改措施。至此，英国也逐步建立了一套针对涉案企业合规计划有效性的评价标准。
3、意大利的实践
意大利也是较早通过立法建立企业合规管理体系的国家。意大利法律（2001年第231号立法法令）第6条要求公司建立纪律制度作为遵守合规计划的关键要素，该纪律制度必须由实体根据其自身的规则实际执行。同时，规定了判断企业责任的主客观标准，将企业责任建立在组织性过错的基础之上。[6]
有效的合规计划必须满足以下条件：（1）开展风险评估，确定潜在的违法行为。即企业通过具体分析企业结构，确定其各个部门可能实施的犯罪行为，以此为基础制定合规计划；（2）就合规制度设计与实施计划提供详细而明确的蓝图。具体而言，即企业应为所有具体活动制定规则，并通过必要的培训与宣传，让管理人员和员工知悉这些规则。与此同时，确定各领域的负责人员，划分与风险操作有关的职责；（3）规定针对犯罪行为的财务资源管理程序。企业必须登记、备案和证明每一笔资金流动，以避免为犯罪活动提供隐形资金；（4）向监督委员会提供信息的义务。要求企业必须向负责监督合规计划运行和更新的机构报告所有与企业活动有关的信息，切实保护举报人的隐私；（5）纪律处分制度，以惩戒违规行为。（6）定期检查合规计划的实施情况。企业在发现重大违规或者其职能发生变化等适当的情形下，应及时对合规计划进行修正。此外，231 号法令还规定了在犯罪行为发生后，合规计划必须更加具体和结合实际，并且必须特别指出已经确定的风险区域，并提出具体的措施，以预防相同犯罪行为的再次发生。[7]
总之，企业免责的唯一途径是构建有效的合规计划。如果企业能够证明在犯罪发生之前已采用并有效地实施了组织、管理和控制模式，则可以免除责任。该法令实施二十年来，将反腐败合规计划由公共机构扩展至私营企业，规定了合规计划在辩诉交易的适用条件，引入配额制的经济制裁手段等，在实践中进一步自我完善。[8]
此外，许多国际组织也对全面合规体系的有效性评估的标准进行了积极的探索。例如，国际商会《反腐败规则》( 2011年版)详细列出了有效的公司合规计划的16项构成要素，建议公司结合自身情况采用。透明国际的《反贿赂商业原则》为公司制定全面的反贿赂计划提供了制度框架，《商业原则》已被许多全球性公司用来制定反贿赂政策和程序，以及一些国家的执法参考标准。此外，世界银行的《廉政合规指南》等制度对构建全面合规体系有效性评价标准提供了有价值的指引。
（二）中国合规管理有效性评价的实践
中国企业合规管理建设,发轫于金融行业, 随后以政府主导的方式逐渐推广到中央企业和开展境外业务的企业等，其最初的目标在于推动企业从无到有地建立合规管理体系。例如，2007年，银监会和保监会参照巴塞尔银行监管委员会发布的《合规与银行内部合规指引》(Compliance and the Compliance Function in Banks),先后制定了《商业银行合规风险管理指引》和《保险公司合规风险管理指引》等来指导银行和保险业构建合规管理制度。以中国企业海外违规事件频发为导火索，国资委在2018年11月印发了《中央企业合规管理指引（试行）》， [9]以及12月各部委联合印发的《企业境外经营合规管理指引》，[10] 都更侧重于考察一个企业是否建立了合规管理体系。2021年6月，最高检等9家单位于联合印发《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》，第11条仅原则性地要求涉案企业“主要围绕与企业涉嫌犯罪有密切联系的企业内部治理结构、规章制度、人员管理等方面存在的问题，制定可行的合规管理规范，构建有效的合规组织体系，健全合规风险防范报告机制，弥补企业制度建设和监督管理漏洞，防止再次发生相同或者类似的违法犯罪”。在实践中，试点地区的检察机关通常也仅就合规管理的效果评价是进行原则性规定。2022年8月23日，国资委公布了《 中央企业合规管理办法》，其中，建立科学合理的合规管理体系有效性评价机制，是该办法强化中央企业合规管理要求的重要方面，也是中央企业进一步完善合规管理体制机制的重点方向。相比于《中央企业合规管理指引》，办法全方位强化了对合规管理体系有效性进行评价的要求，明确规定中央企业应当定期开展合规管理体系有效性评价，针对重点业务合规管理情况适时开展专项评价，并且要强化评价结果运用。[11]
从现有的国内合规管理的相关法律法规层面来看，都更侧重于考察一个企业是否建立了合规管理体系，而对于如何评价该合规管理体系是否有效，这些法规都仅仅做出了原则性地要求， 在构建企业合规计划本土化的过程中,仍然面临着合规计划内容设计是否科学合理,实施举措和检验评价机制是否运用得当,保障机制是否有效等问题。在实施层面上，从作为企业合规“元年”的2018年至今，全部的中央企业、大部分地方国企和开展境外业务的企业已经建立了合规管理体系，企业面临的问题已经从“如何建立合规管理体系”逐渐过渡到为了“合规管理体系怎样执行以及对于其有效性如何进行评估”，从而发现和解决在执行过程中存在的问题，并将其持续改进，以实现合规管理的目的。因此，合规管理有效性评价既是企业评估合规管理效果的必要手段，也是中国合规管理深化的必由之路。可以说，构建中国企业的合规管理有效性评价标准将或已经成为当前和以后很长时间内的中国政府机构和企业完善合规管理的重要目标，其价值和必要性必将日益突显。
（三）构建合规管理有效性评价标准的必要性
正如《中央企业合规管理指引（试行）》第22条中提到的开展合规管理评估工作的要求一样，只有开展“合规管理体系有效性评估”才能不断调整适应内、外部的合规管理要求，通过定期的重复评估风险、控制风险、效果评价等流程，找出合规计划中的漏洞，纠正不合规的行为，不断提升企业的风险防范能力和合规管理水平。如果合规管理体系本身存在重大缺陷，企业的合规努力将会付诸东流；如果得不到有效实施，完美无瑕的合规制度也不过是镜花水月。
1、合规管理有效性评价是合规管理体系的有机组成部分。
合规管理有效性评价是对合规管理体系在督促企业履行合规义务，识别、防范和管理合规风险过程中所发挥的实际效用加以评判的过程，是合规管理评价的核心内容。从《合规管理体系要求及使用指南》（ISO 37301：2021）到《中央企业合规管理办法》，都将合规管理有效性评价作为建设合规管理体系的重点内容之一，而且，通过有效性评价可以发现合规管理体系运行的不足和改善空间，从而寻找改进合规管理的方向，是合规管理能够持续改进和优化的基础。换言之，合规管理的适宜性和充分性，最终都服务于合规管理的有效性这一根本目标。
2、合规管理有效性评价是检验合规管理效果的重要手段。
合规管理有效性评价直接作用于合规管理体系本身，对体系的设计和实际运行、是否真正发挥作用做出评价，有效解决制度设计和执行脱节的管理难题。
而且，开展合规管理有效性评价还可以在发现企业潜在的违规风险，从而为在加强微观层面的合规管控措施提供线索或者方向，有助于实现合规管理惩治和预防的双重功能。
最后，合规管理有效性评价的正面结果，可以起到良好的示范作用，而负面结果则可以起到警示作用。合规管理有效性评价本身最终将推动合规文化的传播，有效促进合规管理深入人心。
3、合规管理有效性评价是合规管理持续改进和优化的主要路径。
合规管理体系有效性评价的核心是通过对企业的合规管理体系进行全面性评价、反馈、再评价的循环过程，从而得出合规管理体系运行是否有效的评价结论。从中可以发现和报告企业在合规管理体系建设和运行中的问题和差距，找出合规管理体系的改进方向，进一步促进企业合规管理体系的完善。所以，有效性评价对提升合规管理体系具有十分重要的意义，是企业合规管理体系持续改进和优化的必由之路。
4、合规管理有效性评价是执法机构依法减轻或免除处罚的重要事实依据。
当企业出现违规事件面临行政或刑事处罚的情形，[12]在行政机关、司法机关的执法压力下，或者在国际组织采取制裁措施的情况下，涉案企业以追求减轻处罚或者取消制裁为目标，针对业已暴露的违法、违规或者犯罪行为，采取有针对性的合规整改措施。企业只有通过打造或者完善有效的针对特定违规行为的合规计划，有效督促员工及第三方遵章守法、积极防范和管控合规风险、最终才能得到执法机关对合规管理有效性的认可从而获得执法机关的宽缓处理。
因此，合规管理体系有效性评估作为企业合规管理体系建设不可或缺的一部分，对于企业形成合规管理长效机制和推动监管机制转变发挥着极为重要的保障作用。
