东方集团副总裁：制度流程建设与全员合规七步法

 

作者： 胡曾铮

本文根据胡曾铮在2022WeLegal合规经营线上峰会的分享整理

胡曾铮（东方集团副总裁）：好，谢谢主持人的介绍，我也简单地介绍一下自己。我是1997年从华东政法大学毕业，正好听到前面介绍有的专家是我们华政的老师，也很有渊源。我从华政毕业之后，先是在法院工作了八年，然后做了五年的律师和合伙人，之后就进入了企业。我待过的企业，有国企，也有民企；前后从事了诉讼、非诉以及合规等多项工作。基于之前的工作经验，今天我想跟大家分享一下我对全员合规的一些想法，以及我们在公司的日常工作当中，是如何通过制度流程建设促进全员合规的一些经验。

首先，请允许我介绍一下我现在工作的集团。我是在东方集团工作，东方集团是一家成立于1978年的民营大型企业集团，至今已经有40余年历史。它目前的主要的业务分成三部分：第一部分，我们在境内控股一家上市企业，即在上交所上市的东方集团股份有限公司；并且我们是民生银行和锦州港这两家上市公司的重要的股东；第二部分，我们在香港有一个上市公司叫联合能源，在巴基斯坦、科威特等地从事石油开发业务；并且依托联合能源，我们还开展新能源相关的投资和工作。第三部分，我们在境内还有许多非上市企业，像大型的对外贸易企业（东方物产）、财务公司、矿业集团等等。因为我们集团的企业和业务有的在国内，又有的在国外，所以我们对合规也深有感触。接下来就正式开始我今天的分享。

我分享的主要内容分为三部分：第一部分是制度建设与全员合规的关系，第二部分，是想跟大家来讨论一下开展制度建设的难点和要点；第三部分是如果我们一个集团、一个公司想开展制度建设，我们应该遵循怎样的步骤和方式才可以事半功倍？

我们先讨论一下，就目前来讲，我们很多企业都在频繁的发生风险，有在国际上被有关的国家或者是有关的国际机构进行处罚，或者是在国内发生经济纠纷给企业带来各类损失，甚至有可能陷入刑事风险。那为什么会风险频发呢？我们可以看到随着我国的经济发展，我们的企业也发展的越来越迅速，各类业务创新、商业模式创新层出不穷；并且有越来越多的企业，不光是大型的央企或大型的集团公司，甚至于一些小型的企业也都走出了国门，去和国际上的公司来进行竞争。但是与这个经济发展不匹配的是，我们很多的公司，尤其是一些民营企业，它在公司治理或者是风险控制，或者是合规意识方面还是有很大的欠缺，那么就造成了一个不平衡。也就是企业在高速发展，但是企业对风险的控制和合规的管理却还处在一个比较初级和原始的这样的一个状态，这样就导致各个企业的风险频繁的发生。

那我们简单来讨论一下，究竟什么是企业合规呢？我相信前面的嘉宾以及各位老师其实已经从法律理念，或者是从国际公约的角度去讲了很多，究竟合规是什么。我想从我们企业实践的角度来说，我觉得我理解的企业合规，其实就是企业的经营活动一定要符合法律法律以及准则的各项规定，当然这个法律法规和准则它的范围是非常广的，是包罗万象的。比如说它包括国家层面的法律、地方性的法规、政府的规章，以及你所在行业的行业惯例，还有如果你是出国去开展业务，所在国的法律以及相关行业的国际公约等等。这些法律法规其实都是在制约，或者说约定企业的各项行为。企业合规就是要保证我们企业的经营行为要符合这些规范、行业惯例等等的要求。

在我们的日常实践当中，企业合规其实有两种：第一种，是我们主动自发的在开展的日常性合规工作。第二个，则是因为各种原因，我们企业陷入了一定的危机——危机有可能是我们面临了一个国际制裁，也有可能是我们企业陷入了一个刑事的案件，或者是有行政处罚等等。不管是什么危机，或因为危机而带来的什么处罚，企业必须要通过合规建设去解决危机，去免除处罚，而开展的一些被动性的合规的行为。那么这两类合规行为，或者说合规的建设，它有什么不一样呢？首先日常性的合规呢，其实我们可能会做的大而全，就是我们会从事前、事中、事后三个维度来做，会对我们公司所有的风险可能去做评估，做一个很全面的这个合规体系建设，并且要根据我们公司所在的行业，最容易出风险的这个角度来出发，去做专项的合规。但是危机发生后的这个合规建设，它的第一件事情反倒不是去做风险评估，而是应该是要把危机发生的原因搞清楚，要把这个危机导致的这个法益损失进行修复；并且要对危机责任人（即究竟是谁管理不善导致了这个危机产生）进行处理，要对这个人或这一批人进行惩处或者调离，这也就是所谓的严惩责任人。有一些企业在危机发生之后，积极主动开展合规建设，聘请律师或者说专业的合规人员来帮它搭建合规体系；但是由于责任人可能就是公司的老总，或者是公司的核心管理人员，企业拒绝对这个人进行调整。那么，这样的合规建设是肯定达不到相关监管机关的要求的。所以说如果是危机发生以后的合规建设，你第一件事情是要进行法益的修复，还要严惩责任人，之后再根据这个危机产生的原因，以及监管部门的要求，我们去做类似于专项合规建设一样的相关的工作。

接下来我们来讨论一下，为什么今天我分享的主题是“制度流程建设和全员合规”呢？首先大家都很熟悉，我们在做合规或者说风险控制的时候要建立三道防线，也就是说合规风控绝不仅仅是法务或者合规人员、合规部门一家的事情，不是专业的合规风控就可以把所有的风险、所有的问题都能够控制住，就能够将风险置于公司之外。如果要做到全员合规，首先是要获得领导重视，也就是董事会和管理层一定要高度重视；第二个呢，要在董事会和管理层的这个统一的领导下、支持下，切实地建设并落地第一道防线——也就是所有的业务部门，公司的所有的人都要自发的去实施合规及风控行为，要在每个人的日常工作当中，把合规的理念和合规的要求贯彻在里面；只有第一道防线自主自发的在做合规的工作，那么才有可能把所有需要专业部门提供合规意见的事项传输到第二道防线，由专业的合规部门、法务部门来出具合规意见，提示合规风险；同时在第二道防线发挥作用的同时，又可以把在工作当中发现的问题传输到第三道防线，由审计部门根据这些审计线索去进行审计，发现大家在工作当中的一些问题或欠缺，一方面要求整改，一方面建议制订或修订制度流程，从而再循环往复的去做整体的合规工作。

我们要建立三道防线，且最重要的防线是第一防线，可这里就有一个难点：即普通的业务部门、业务人员，既没有合规知识，也没有相应的专业的法律知识，又怎么能够判断自己的日常工作当中，什么事项需要做开展合规工作，什么样的事项里可能存在合规风险，什么类型的事项要往第二道防线去传输呢？非专业人士是做不到的。那么这里面就有一个非常关键的一个环节，也就是把第一道防线和第二道防线，甚至于第三道防线贯穿起来的一个工作，那就是制度流程建设。简而言之，制度流程建设就是在整个公司建立一套制度，然后依托这个制度去建立我们日常工作的流程，那么每一个部门，每一个人，它不需要去掌握专业的合规或风控知识，它只要遵守制度，根据流程去处理自己手头的工作，那么它就合法合规了，它就能够把应该输送到后方第二道、第三道防线的事项输送到后面去了。所以说从这个角度上来讲，制度流程建设是第一道防线的基础，也是我们整个公司全员合规和风控的切实保障。

我们再总结一下，制度流程建设它究竟有什么样的意义呢？

首先制度流程，尤其是制度，它是所有法律法规的内化。在一开始我们就讲到，我们这个合规其实要符合的东西范围特别的广，各种法律法规，各种规章制度，但是一般的人别说是普通员工，就是公司领导，就是这个专业的法务人员，它也没有办法能够了解自己公司所面临的这个市场环境里哪一些法律法规对公司要起到重要的作用，所以说我们需要专业的人员去跟踪法律法规的变化，并且去搜集、去总结哪一些法律法规、规章制度对公司的业务，对公司的经营有直接的影响。然后把对我们直接相关的法律法规变成制度，并且镶嵌在流程里，让大家自然而然的能够遵守。所以它第一个重要的意义就是法律法规的内化。

第二个，是管理机制的固化。其实在很多的企业，尤其是民营企业或中小型企业，它的管理机制是相对比较随意的，比如说这一个并购项目究竟是交给哪一个部门来牵头，是在什么阶段通知法务部介入，或者在什么阶段它是由财务来主导的等等，这个都是很随意的，可能是跟这个公司的老板它当时的想法相关，也有可能是跟这一任的财务领导比较强势相关。但是我们认为这样的这个相对随意的一个管理机制呢，其实对企业的风控和合规是非常不利的，因为你每一次都不固定你的流程，不固定你的管理机制，那么你设置的这个风控和合规的节点，它就没有办法固定，也没有办法100%的或者是尽最大可能的去把我们的风险和合规的问题给它防御住。所以说呢，我们一定要通过这个制度流程建设，让每一件事情都知道它应该走什么样的流程，每一个项目它是应该由哪一个部门来牵头，由什么人来参与，在什么时间段他就应该参与。所以这个从这个角度来讲呢，我们制度流程建设也非常有意义。

第三个，是权责分配的科学化。其实我们所有的公司设置的主要部门可能是相类似的，比如说一般来说都会有财务部，都会有法务部或者是业务部门，但是我们有些公司有明确的投资部，我们有些公司呢，是把法务部放在办公室下面来管的，又有一些部门呢，它可能还会有一个专门的经营部等，但是究竟我们自己所在的这个具体公司应该设置哪几个部门，然后你们公司的具体的业务事项，或者说相关的日常管理事项，它应该在哪一个部门来作为主责部门，哪些部门来作为这个会签部门，这个呢，其实是可以讨论的。可以把它分配的相对更科学更合理，既保证风控的要求，又能够保证这个决策的效率。那么这个是什么时候来做这个事情呢？我个人认为也是在制度流程设置之初，各个部门就应该来讨论，讨论出一个既符合大家需求，又能够切实保证合规风控落地的这样的一个科学化的一个管理模式。

最后一个意义是合规风控的切入点。我觉得这一点对我们合规风控部门非常的有价值，就是我见过很多的这个合规或者风控的领导或小伙伴呢，他的苦恼就在于说我不知道什么时候我才能够接触到那些具体的业务，有很多事项他应该报给我审批，但是他可能就直接报领导审批了。这些疑惑也好，或不满也好，你每天去找你们公司的老板去说，我觉得其实价值不大。哪怕你这次去跟他说，这个事项应该由法务来参与，应该由合规来提前来做一个合规的判断，但是下一件事情如果不找你，又要去找领导，这个其实是不科学，而且对整个公司的管理也是不利的。所以说呢，我们如果能够通过这个制度流程建设，把所有的风控节点、合规节点都设置好；那么，所有的事项，不论是业务部门，还是相关的职能部门，如果不通过合理的、符合合规要求的流程进行审批的话，流程就没有办法往下一步进展，那么我们的风控合规才能够真正的落到实处。也就是说，合规风控部门与其天天去找领导或者去找业务部门去PK，不如去说服领导做一次制度流程的梳理，然后把所有想管的事情或者应该管的事情，都落实到制度和流程的签批节点里面，合规风控才能落到实处，大家才能够真正的实现你的价值。

我要分享的第二部分就是制度流程建设的难点和要点。制度流程建设的难点，我个人认为主要有三点：

第一点是不少企业制度流程建设的基础很差。我觉得这个差呢并不是说大家没有制度、没有流程，其实只要存在一段时间的这个企业呢，它其实都会有自己的制度，尤其是现在大家成立这个企业之初，可能就奔着上市去的，可能就会找专业的这个律师或专业的人员来帮我做一套看上去非常完备的一套制度，或者是我在工作当中也有相应的流程。但是为什么我认为很多的企业它还是基础很差呢？那是因为有可能这个企业在十年前制定了一套非常完整的制度，但是这十年它都没有进行修订，都没有进行完善或者是这个相应的删减。因为你企业在十年里，你的业务是发生了巨大的变化，国家的法律法规也发生了巨大的变化，甚至于你所面临的市场也发生了变化，但是你仍然是那一套制度，而你日常去实施的流程，其实是根据人员的变化，根据市场的变化已经在变了。那么就是你的制度和流程是两张皮，没有没有结合在一起。像这种情况下呢，就会带来很大的随意性，你这里边其实表面上看很完备，但实施的并不是这一套完备的这样的制度。

第二点是推动制度流程建设的难度很大。如果我们的风控部或者合规部想去推动做制度流程建设，会有很大的困难，为什么这么说呢？首先，绝大部分的公司领导，在没有外力（如监管或国资委的统一要求，或某一个现实的危机）逼迫公司开展合规建设的情况下，其主要的目标都是发展业务。所以如果合规部去找领导申请，需要有一批专业人员，花一定的成本，去开展全集团的制度流程的梳理，领导会觉得好像没有现实的必要。其次，制度流程建设的主要意义之一就是管理机制的固化和权责分配的科学化。那么，这项工作不是合规部门坐在办公室，或者去考察了几个优秀的集团的做法，就可以自己闭门造车做出来；而是需要与公司每一个部门去沟通，要商量这个事情应该如何处理，这个流程应该怎么走，这个风控节点设在这，业务部门愿不愿意？如果不愿意，大家从风险的角度、从效率的角度，来讨论怎么解决这个问题？但是对各个部门来讲，很难愿意主动配合这些工作。大家平时的工作还都挺忙的，合规部做这个事情究竟有什么意义？这项工作是不是侵犯了我的部门职权？各部门的权责已经有分配机制了，凭什么合规部要去讨论并建议更科学的分配方式呢？所以各个部门很难理解。再次是合规或法务人员不愿意干。对于学法律的人，如果帮公司打赢了一个重大的诉讼，去做了一个非常有挑战性的海外并购，更能增进经验、体现价值；而制度梳理、流程建设等工作，大家会觉得效率不高，看不到什么实际价值。

第三点是制度流程建设需要有大量的配套机制。我们有些公司有制度，但是没有流程，或者是有流程又跟制度不是一一匹配的。而且我们的制度流程建设了以后呢，在执行当中又很随意，可以随意的去突破这个制度或者流程，我们没有必要的宣贯和检查，如果不执行这个制度和流程，又没有严格的奖惩措施，同时我们的制度没有定期的梳理和更新，那这样的制度它也是没有活力的，是僵化的制度。

针对上述难点，要如何处理才能解决呢？我们在实践中做了如下四点：第一点，如果要做一个公司的全面的制度流程建设，你就必须要从高层做起，高层重视，全员配合，每一个人可能都要参与这件事情；第二点，要有一个专门的主管部门，在不同的企业，这个主管部门可以是办公室，可以是法务部，可以是合规部，但是它必须有一个确定的部门去牵头做这个事情；第三点要建立起一个科学的体系；第四点要遵循合理的步骤和安排，咱们才可以把这个制度建设，流程建设真正的做好。

我们学法律的人都知道这句话：有法可依，有法必依，执法必严，违法必究。那么如果我们通过这个流程制度的建设，让每一个员工的行为它都有制度、有流程可以去遵照，并且呢，如果有制度有流程，他必须要遵照执行，有相关的部门去检查，如果他不执行的话，会对它进行追究、进行奖惩，那我们这个制度流程建设才是真正的做到位。

所谓科学的体系呢，那么我们认为如果你是一套相对完整的制度流程呢，那么你必须要有一个基本制度。可能很多的这个同事就会问，基本制度不就是公司的章程吗？这个说法也没错，其实一个公司最基本的制度就是公司的章程。但是呢，在我国现在的阶段，因为章程是需要去工商备案的，我们发现很多公司的章程呢，它都相对的原则，它只会去约定一些工商所必须要求的，或法律所必须要求的事项，但是对于公司的管理，公司设置哪些部门，这些部门之间的权责怎么分配，以及我们集团公司和下属公司之间的这个地位和关系等等这些重要的内容，其实在章程里都没有进行约定。如果是这样的状态呢，那我们是建议在章程之下再设置一个公司的一个主要的制度，你可以叫任何的名字，但是呢，就是去约束公司最主要的一些事项。同时呢，我们为了规范我们所有的制度呢，我们建议可以有一个制度制定的规范，也就是说以后公司要制定制度，它由哪个部门来起草，怎么来审核，那么这个制度命名的规则是什么等等以及违反了制度怎么惩处，都可以在这个制度里来进行规范。我们觉得它就类似于国家的立法法。然后在有了基本制度和立法法以外呢，我们就根据这里面的一些要求，我们去制定每一个部门、每一个公司的具体制度。最后呢，在整个主导机构的主导下，我们去完成整个制度体系。比如说我们上面是基本制度，下面是具体的制度，然后是一层一层的这个制度，那有一些比如财务制度总则可能是跨部门需要执行的，那如果到细则呢，可能就是约束财务人员它的比如贴发票的一些要求等等，可能是部门内的制度，这样就比较成体系。

我们接下来分享第三部分，制度流程建设的步骤和方式。当我来到东方集团的时候，东方集团已经成立了将近40年了，公司业务很广泛，每一个公司都有自己的制度和流程，但是全集团还没有一套完整而统一的体系；于是集团领导希望对集团所有的制度流程做一个整体的梳理。我很愿意做这个工作，因为我和我带来的团队刚刚加盟，对整个集团都不熟悉，我们可以通过这项工作去和所有的人员，所有的领导以及公司的业务进行熟悉。所以我们入职后的第一件事情就是开展制度流程建设，我们通过启动制度流程建设这个工作，然后去跟各个部门去讨论沟通，形成权限表，后来又汇总了时间表。每个部门配合我们去起草应当补充的制度，然后我们来审核，审核确定之后再发布，发布了之后呢，我们去开展各个部门之间的培训宣讲，最后呢，我们去落实了奖惩，而且每年持续的更新完善。这是一个长期的过程。

在制度建设的具体步骤当中，我挑几个主要的环节分享一下。

第一个就是前期准备，就像前面说的制度流程建设呢，它是牵一发而动全身的，它是要把整个集团、整个公司每一个部门需要做的事情，需要实施的这个风险防控的措施，都要科学化、固定化的落实到每一个环节里，所以说这个工作绝不可能是坐在办公室，去抄一抄其它的优秀企业的制度就可以完成的。需要做的工作是需要深入的了解你这个集团、你这个企业，你们的业务状况，你们面临的这个市场形式，你的监管的状态，以及可能对你影响很深远的一些法律法规的要求，然后你要去跟各个部门的领导和员工进行沟通，去了解他们的需求或者他们的意见。然后也要去学习其它相关公司的经验，最后呢，要形成一个权限和流程表。当然，因为每一个公司的情况不一样，设置的这个部门也不一样，这个权限流程表并不具备直接引用的价值，但是我觉得大家可以参考一下——每一个公司可能都会有类似的一些工作，比如说战略管理呀，制定年度经营计划呀，或者是税务管理或者是诉讼管理等等。那么这些不同的工作，它应该由哪一个部门来牵头去做。我们当时就列了这样一张简表，然后每一张、每一栏里面呢，点开都有一个具体的流程，那这个流程是经过每一个部门来共同讨论之后，有的是都同意、有的是达成了妥协，不管怎么说大家都OK了以后，我们再根据这个权限表去制定具体的制度。

第二个是制度梳理，有很多法务或者合规人员面对这个环节有点茫然，究竟应该用什么原则来梳理这些制度呢？我觉得其实也很简单，就是三个原则：首先是废止，要把现有的所有制度审核一遍，看里边是不是有一些已经不合法、不合规，或者是根据企业的这个经营变化，已经不再适用的相关制度。比如你们企业原来是做地产，但你现在已经转型去做另外一项业务了，那么你这个关于地产的一些管理规定，其实在公司内部可能就是一个不适用的制度，需要废止或者修订；其次是补充，就是根据企业新的状况，我们可能要去完善一些必备的制度；最后是修订，就是我们要解决一下，比如你集团的制度和具体公司的制度之间，相关部门制度的制度之间（比如说财务部和这个行政部、办公室，它可能都制定了报销的相关的制度，但是它们之间制定的这个制度有冲突），是否有冲突，如果有就需要进行修订、加以解决。

第三个环节是法务审核。在相关部门起草了具体制度以后，法务要进行审核，法务审什么内容呢？其实就是四个方面：第一个合法合规。你就要审查它写出来的这个制度里边是不是有违法违规的内容。你就比如说集团公司说下面所有的公司的事项都要报集团公司审批、确定才能做，但是如果你的集团公司下面有上市公司，你这个要求其实就是不合法或者叫不合规的，因为上市公司有独立性的要求，所以说呢，如果有这样的内容，你可能就要修改；第二个是管理的适当。就是可能每一个部门，尤其是集团公司的职能部门，它出于风控的想法它会希望管的越严越好，但是从业务部门或者下属公司的角度，它希望你能够给我适当的这个授权，否则的话，我在日常的经营当中，我的活力就会受到损失。那么究竟管的严和要求一定的这个授权之间怎么样取得平衡，那这个是一个管理适当的问题，那这个其实在制定制度的时候就要考虑。那还有就是刚才讲的，第三个是解决冲突。如果你制度之间有冲突，应该要修订。第四个是统一标准。还有就是你所有的制度你要秉承一样的技术标准，你的这个命名标准要一样，你的这个写法要一样。

第四个环节是发布实施。不同的制度，应当需要不同层级的审批，有的要过董事会，有的要总裁审批，同时你确定了制度之后呢，你一定要用合法或者说适当的形式来向所有的员工进行公布。比如说用OA的方式，用邮件的方式或内网公示。同时还有一个非常重要的是，就是如果一些重要的制度，跟员工的实际利益相关的制度，最好是要员工来进行传签，否则的话，如果一旦发生了这个劳动争议，员工可以说我没有见过这个制度，你没有告诉过我，那你没法举证。

之后还有宣讲与奖惩。制度制定和发布了之后呢，就要进行宣讲。同时呢，我们认为这个行之有效的奖惩机制呢，是制度执行的一个非常重要的保证或试金。如果你这个制度是可执行、可不执行的，那么人只愿意执行对自己有利的制度，或者说我在不怎么损害我的这个效率或者是业务的情况下去执行。但如果我违反，你反正也没有人惩处我，那这个制度执行的效率就没有办法得到保证。

最后也是非常重要的是更新与完善。我们是希望提示所有合规人员或者说公司领导，就制度制定实施以后，还有一个非常重要的工作，就是一定要去及时的更新、及时的进行制度梳理或者检查。原因我认为是有一正一反两个方面：一个方面，就是法务人员或者合规人员应该主动的去跟踪法律法规的变化，市场的变化，然后发现了变化就要去变更我们的相应的制度和流程，去适应法律法规的要求，这是正的；另外一方面呢，就是我们的制度在执行过程中，可能你在制定的时候你的想象是这样，但执行过程中会发现，可能制度如果这样执行，，它的效率太低，或者是其实它会带来更大的这个风险或者困难，那么你必须要有一个渠道，让相关的制度执行部门，它可以有意见提出的机会和渠道去说这个制度我觉得不合理，我希望你们来进行调研，然后来进行修订。那么通过这个正向的和反向的两个方面的这样一个磨合，通过跟踪、搜集具体法规的变化，然后去评估这个制度是不是真的合理和有效，那么最后我们定期的去梳理、更新我们的制度，我们这个制度建设呢，它才可以就是常见常新，才可以真正的帮助公司去实现全员合规的目的。

好了，今天我的分享就到这儿，非常感谢各位的聆听，谢谢。