合規(guī)是組織實現成功和持續(xù)發(fā)展的基石，合規(guī)管理可以促進組織基業(yè)長青。有效的合規(guī)管理有助于組織大限度地降低合規(guī)風險及相應的成本和聲譽損失，提升第三方對組織取得持續(xù)成功的信心，增加商業(yè)機會。合規(guī)管理本質就是合規(guī)風險管理，而合規(guī)風險管理一個關鍵環(huán)節(jié)是合規(guī)風險評估。合規(guī)風險評估是ISO37301：2021《合規(guī)管理體系 要求及使用指南》（以下簡稱ISO37301：2021標準）的核心要素，也是組織建立和實施合規(guī)管理體系的基礎。

當前，越來越多的組織開始重視合規(guī)管理體系建設和認證，但也存在一些問題，諸如：對合規(guī)風險評估相關概念及如何有效開展合規(guī)風險評估理解和實施不到位、合規(guī)風險評估與應對敷衍了事，嚴重影響合規(guī)管理體系運行的有效性。本文探討如何有效開展合規(guī)風險評估與應對，希望為建立和實施合規(guī)管理體系的組織以及從事合規(guī)管理體系咨詢和認證的人員提供借鑒。

合規(guī)風險概述

合規(guī)風險是指組織及員工在經營管理過程中因違規(guī)行為引發(fā)法律責任、造成經濟或者聲譽損失以及其他負面影響的可能性。合規(guī)風險是企業(yè)面臨的主要風險之一，根據風險來源，合規(guī)風險可以分為內部合規(guī)風險和外部合規(guī)風險。內部合規(guī)風險主要源于企業(yè)內部管理不善、制度不健全等導致出現違法違規(guī)現象；外部合規(guī)風險主要源于法律法規(guī)的變化和監(jiān)管要求的提高。

根據風險性質，合規(guī)風險可以分為違規(guī)風險和違法風險。違規(guī)風險是指企業(yè)違反了相關規(guī)章制度，但尚未觸犯法律的風險；違法風險則是指企業(yè)已經觸犯了法律，可能面臨法律制裁的風險。

根據風險狀態(tài)，合規(guī)風險可以分為固有合規(guī)風險和剩余合規(guī)風險。固有合規(guī)風險是指在未采取任何相應合規(guī)風險處理措施的非受控狀態(tài)下所面臨的全部合規(guī)風險，剩余合規(guī)風險是指組織采用合規(guī)風險處理措施之后仍然存在的風險。

合規(guī)風險評估是指組織對運營過程中可能面臨的合規(guī)風險進行風險識別、分析和評價的全過程。合規(guī)風險評估是保障組織穩(wěn)健運營、防范合規(guī)風險的重要手段。通過風險評估，組織可以及時了解自身存在的合規(guī)風險，為制定有效的風險管理措施提供依據。

合規(guī)風險評估基本要求

合規(guī)風險評估是建立和實施合規(guī)管理體系的一項基礎性工作。ISO37301：2021標準4.6條款對“合規(guī)風險評估”提出了如下要求：“組織應基于合規(guī)風險評估，識別、分析和評價其合規(guī)風險。組織應通過將其合規(guī)義務與活動、產品、服務以及運行的相關方面關聯，來識別合規(guī)風險。組織應評估與外包的第三方的過程相關的合規(guī)風險。組織應定期評估合規(guī)風險，并在組織環(huán)境發(fā)生重大變化時進行評估。組織應保留有關合規(guī)風險評估和應對合規(guī)風險措施的文件化信息”。ISO31000：2018《風險管理 指南》（以下簡稱ISO31000：2018標準）為管理各種類型的風險提供了一種通用方法，這種方法也適用于合規(guī)風險管理。依據ISO37301：2021標準和ISO 31000：2018標準要求，組織在開展合規(guī)風險評估時，應特別關注如下基本要求：

（一）明確職責和過程

為有效開展合規(guī)管理，治理機構和高管理者應組建合規(guī)團隊，明確合規(guī)管理負責人（如任命首席合規(guī)官）和牽頭部門（如設立法律合規(guī)部），配備合規(guī)專員或合規(guī)管理員，為合規(guī)管理體系建立和實施提供組織保障。依據ISO31000：2018標準要求，合規(guī)風險管理過程可參見圖1所示，在合規(guī)風險評估方面，組織應建立并實施合規(guī)風險識別評估預警機制。通常，由合規(guī)管理牽頭部門組織開展合規(guī)風險評估、預警和應對處置；業(yè)務及職能部門承擔合規(guī)管理的主體責任，建立健全本部門業(yè)務合規(guī)管理制度和流程；開展合規(guī)風險評估，編制風險清單和應對預案；定期梳理重點崗位合規(guī)風險，將合規(guī)要求納入崗位職責。董事會應行使合規(guī)風險監(jiān)督職責。

（二）界定范圍

明確合規(guī)風險評估的范圍，通常應考慮職能邊界、合規(guī)領域及業(yè)務邊界。合規(guī)風險評估覆蓋的職能邊界應考慮是針對整個組織還是某個部門或業(yè)務線；合規(guī)風險評估覆蓋的合規(guī)領域應考慮如反壟斷、反商業(yè)賄賂、生態(tài)環(huán)保、安全生產、勞動用工、稅務管理、數據保護等重點合規(guī)領域；合規(guī)風險評估覆蓋的業(yè)務邊界通常應考慮合規(guī)管理體系覆蓋的風險較高的業(yè)務，如某企業(yè)確定的合規(guī)管理體系覆蓋范圍描述為“國際及國內工程總承包、進出口貿易、××產品的生產和銷售涉及的合規(guī)管理”。

（三）識別環(huán)境和合規(guī)義務

合規(guī)風險管理應在對組織所處的內外部環(huán)境充分認知的基礎上開展。因此，組織應對與宗旨相關的并影響實現合規(guī)管理體系預期結果的能力的各種內部和外部因素進行識別。重點應考慮：組織業(yè)務經營所在地法律和監(jiān)管環(huán)境、業(yè)務模式，內部結構、方針、過程、程序和資源；組織自身的合規(guī)文化，與第三方業(yè)務關系的性質和范圍，客戶、股東、員工、商業(yè)合作伙伴等利益相關方的意見。

合規(guī)管理牽頭部門及各業(yè)務職能部門應對內部和外部環(huán)境的相關信息進行監(jiān)視和評審，評估內外部環(huán)境的變化帶來的合規(guī)風險，及時采取必要的應對措施。

評估合規(guī)風險時，組織必須識別與活動、產品、服務以及運行相關的合規(guī)義務，即組織強制性遵守的要求以及組織自愿選擇遵守的要求。合規(guī)義務的識別應全面考慮與合規(guī)風險評估相關的重點合規(guī)領域，確定合規(guī)義務清單，建立收集渠道并維持更新。

（四）界定風險準則

合規(guī)風險準則是評估合規(guī)風險重要性的依據。風險準則宜反映組織的價值觀、合規(guī)目標和資源，并考慮組織的合規(guī)義務和相關方意見。合規(guī)風險的嚴重程度主要根據可能性和影響進行評估。可采用定性、半定量或定量的方式評估合規(guī)風險大小，確定風險等級。以下表1、表2、表3、表4是依據《合規(guī)風險管理指南——應用COSO企業(yè)風險管理框架（2020年）》確定的合規(guī)風險準則，可供參考。