本篇是本团队“涉案企业合规经验谈”系列文章的第三篇。
本篇文章选取的案例涉及中大型公司反商业贿赂合规管理体系的建立，与小微企业的简式合规相反，其中的合规组织架构搭建、制度体系建设以及合规运行机制的建立较为完备、规范，属于范式合规，对于中大型企业做好合规整改工作具有一定参考价值。
某地A公司属于软件和信息技术服务业，人员规模为100至199人，年收入达上亿元，系中型企业。该公司实控人在承接项目时向发包方工作人员行贿数百万元，涉嫌向非国家工作人员行贿罪，案发后自愿认罪认罚。依据检察建议，A公司开展合规整改工作。
根据检察建议书，A公司需要重塑企业核心价值取向和经营理念，建立反商业贿赂专项合规制度，并强化内控体系建设，提升刑事法律风险识别和应对处置能力。
笔者团队介入后，通过对A公司进行合规尽调，了解到该公司拥有较为成熟的公司治理架构和部门结构，日常办公协作主要依靠网络平台自动化（简称“OA”），文件也几乎实现了信息化的管理和留存。
针对A公司这样已经具有一定发展规模和较为规范化的中型企业，考虑到合规整改的比例性原则，笔者团队决定依托A公司现有的管理资源及手段，结合本次反商业贿赂转向合规制度建设的具体需求，为A公司制定符合实际的合规整改方案。
合规整改的组织体系解决的是由谁来承担企业中合规工作职责的问题。一般而言，组织体系中的主体包括首席合规官、合规委员会以及合规专员等，根据企业规模、现有组织架构的不同，可以选择组合设置不同的合规责任主体适配企业需求。综合考虑A公司规模和已有架构等情况后，笔者团队决定为A公司组建采首席合规官直接负责制的合规组织体系。
首席合规官是企业所有合规工作的中心，也是企业合规信息的汇集处。
根据《合规管理体系要求及使用指南》（ISO37301-2021），首席合规官应当被企业最高管理层赋予适当的能力、地位权限和独立性，这不仅可以保障合规整改的有效性，更能够在全企业宣示领导层对本次合规整改的重视。
笔者团队在设计A公司合规组织体系时，选择设置一名首席合规官，上 承CEO、董事会，下启合规部、各职能部门和各分、子公司合规联络人、负责人，协助A公司提纲挈领地形成了一条上下畅通的、独立的合规汇报条线。首席合规官可以直接面向全企业统领合规工作、上传下达合规信息，并有权力向企业最高管理层直接述职、作合规汇报。
根据合规整改项目的类型和范围不同，首席合规官的职责也不同。一般情况下，首席合规官的主要职责在于合规整改项目的实施、推进、监管以及行政工作。具体而言，可以包括以下几个方面：
i. 设计、实施、监督、审查合规整改项目；
ii. 定期向企业最高管理层作合规汇报；
iii. 更新合规整改方案/计划书；
iv. 在企业推行并亲身参与多领域的合规教培项目；
v. 向第三方合作伙伴宣示本企业合规政策；
vi. 为企业领导层、管理层和员工提供合规咨询和资讯；
vii. 确保入职员工均进行背调，避免不适格或受过处罚的员工进入企业；
viii. 协助开展企业内部合规自查和合规风险监测工作；
ix. 独立开展合规调查，等等。
笔者团队在A公司的合规管理制度中详细规定了首席合规官的设置、职责，在上述主要职权外，还赋予其重大事项合规性审查权，合规章程内规定的重大事项，均需要经过首席合规官的合规性审查，才可以立项、实施。一些重大敏感事项，还可以视需求赋予其一票否决权，确保合规先行于业务。
因其职责的重大，首席合规官的人选非常重要。很多企业在实践中以法务总监或财务总监兼任首席合规官，这样做的好处是节省企业的合规资源投入；弊端是削弱了首席合规官的独立性、客观性和权威性，而且将首席合规官限制在了某一领域的专家范围，可能会导致合规工作总体出现偏颇。
笔者认为，首席合规官的最佳人选最好应当满足以下条件：
i. 理解并熟悉涉案企业的业务经营和所在行业情况；
ii. 具有一定财会知识背景，可以理解并对财会报告、审计报告提出质疑；
iii. 具有一定法律知识背景，知晓并可以理解行业监管规则；
iv. 具有较强的写作和沟通能力；
v. 在企业中能够受人尊重或信任。
结合以上要求，A公司最终推荐常务副总全职担任首席合规官。
确立反商业贿赂合规体系，首先应当明确企业须遵守的反商业贿赂合规义务，通常可以从法律法规、行业规范、裁判案例等方面检索。
除此之外，反商业贿赂的合规义务更多来源于商业实践。裁判案例、大型公司的良好实践、世界银行集团的《诚信合规指引》、ISO 37001《反贿赂管理体系》等，都可以成为反商业贿赂合规的义务来源。常见的反商业贿赂合规关联商业活动包括招待、礼品、差旅，赞助与捐赠，供应商与采购活动管理，招聘，政府官员联络，以及其他与财务费用申请与报销有关的活动等。
如前所述，A公司是一家发展较为成熟的规模化企业，拥有相对完备的制度体系，一定程度上已经对部分合规风险采取了防控措施。
针对该情况，笔者团队决定进一步识别A公司的剩余合规风险。剩余合规风险指企业现有的合规风险处理措施不能有效控制的合规风险，亦即A公司现有制度与全部合规风险之间的差距。识别出A公司的剩余合规风险后，可以针对性地修订A公司的现有制度。
除修订A公司现有《财务管理制度》《法务管理制度》《销售人员管理制度》等，反商业贿赂合规制度体系还应当包括反商业贿赂专门的合规政策、员工工作指引以及员工行为准则。笔者团队为A公司起草了《反商业贿赂政策》《合规管理规范》《合规奖惩工作指引》以及《员工行为准则》等系列文件，通过文件之间科学的层级设置，协助A公司建立起自上而下的反商业贿赂专项合规制度体系。
合规风险的事前预防依靠合规风险预防机制的建立，主要包括定期合规风险评估，针对客户、第三方商业伙伴等的尽职调查，以及必要的员工合规培训等。
根据A公司的情况，笔者团队主要为A公司制定了专项合规培训计划和年度合规培训计划。前者聚焦于反商业贿赂领域，针对公司领导层、管理层；后者针对全体员工，包括新员工入职合规培训、高风险岗位员工合规培训、管理层合规培训、年度员工合规培训、供应商定期合规培训等。同时，笔者团队起草了《员工手册》和《员工行为准则》，辅助员工培训使用，明确A公司的核心合规价值观，并明确合规“红线”范围，提供“可行”与“不可行”的行为指引。
合规风险监控机制旨在识别A公司运营管理和业务流程中的合规风险，包括合规性审查、合规审计、咨询与举报机制等。
笔者团队协助A公司在OA办公系统中设置了“合规咨询/举报”模块，员工可以在计算机上操作使用该模块对合规风险/不合规人员/事件进行咨询或举报，咨询举报的信息将由合规部门专人负责接受、登记和处理，咨询信息或调查结果的反馈也将通过该模块传达。此外，A公司还设置了专门的举报邮箱，便于客户、第三方商业伙伴等外部人员对公司内部不合规情况进行举报。
应对机制是用于对合规风险事件发生后的管理流程，主要包括内部调查、奖惩机制和合规计划的持续更新。
随着“合规咨询/举报”模块的应用，笔者团队协助A公司制定了针对举报事项的调查流程，并明确了对相关违规行为人或合作伙伴处理结果的决策流程。
在《员工手册》中，笔者团队起草了对违反A公司有关合规管理要求的处罚制度，以及在保护员工的前提下，对有效提供违规线索的举报人员的奖励机制。在此基础上，结合A公司已有的绩效考核体系，加入了对员工履行相应合规义务进行考核的标准内容。
良好的合规管理体系绝非一成不变，而是持续更新的。对不合规事件的调查结果、定期的合规诊断、审计、大数据分析等均可能揭示现有合规体系预防机制和监控机制的漏洞，从而成为新一轮风险识别、评估、应对的对象。建立起合规计划维护、更新机制，有助于A公司的合规计划随实践不断迭代更新，通过“P-D-C-A”循环管理模型促使其持续运转。
一般而言，中大型企业公司治理较为现代化，启用线上办公、无纸化办公的几率大大高于小微型企业，为合规整改提供了天然的便利条件。基于A公司无纸化运作的办公流程，笔者团队选择依托A公司已有的信息技术手段进行合规整改。
例如，将合规性审查环节嵌入OA上的合同签署审批流程系统，保障首席合规官的“一票否决权”。又如，在员工OA界面新增合规模块，起到通知、存储、培训等综合作用。并且，员工在OA上参与学习、培训、问卷测试等行为，均由系统自动计入员工合规绩效，每年底统筹结算，并与员工奖惩直接挂钩，极大程度上增强了A公司员工合规意识和合规动力。
A公司处于所属行业的中间地带，上承供应商，下启客户群体。基于其在行业的特殊纽带位置，笔者团队建议A公司联动上下游企业，利用本次合规整改发挥公益效应，带动所在行业积极推进合规管理。
为此，我们专门协助A公司在上下游业务合同中增加廉洁条款或附件，要求合同相对方知晓A公司合规管理政策，并履行反商业贿赂义务。与此同时，A公司高管在行业协会、论坛等活动中，积极就公司的合规建设成果发表主题演讲，推广行业合规理念，并主动参与编写了A公司所在区域的行业合规指引，取得了良好的传播效果。
第三方组织高度认可A公司兼具实用性和体系化的合规整改工作，肯定了A公司上下游联动的行业合规推动理念。
最终，A公司顺利通过本次合规整改验收考察，检察院依法对A公司实控人作出了不起诉决定。