文 | 郭青紅 匯業(yè)律師事務所 合伙人
國務院國資委2015年12月8日《關于全面推進法治央企建設的意見》（國資發(fā)法規(guī)[2015]166號）要求探索建立法律、合規(guī)、風險、內(nèi)控一體化管理平臺。如何建立這四大領域的一體化管理平臺是個大課題，也一直是企業(yè)在建立合規(guī)管理體系實務中普遍遇到和思索的問題。
本文基于匯業(yè)律師事務所企業(yè)合規(guī)管理團隊多年的合規(guī)管理服務實踐，對這一課題做初步探討。限于篇幅，本文只做框架性的簡要介紹。
一、一體化管理平臺
企業(yè)管理體系是企業(yè)建立方針和目標并實現(xiàn)這些目標的體系，是企業(yè)組織制度與管理制度的總稱，核心要素包括目標設定、組織機構、制度流程、監(jiān)督檢查、績效考核與激勵、培訓、文化建設等。企業(yè)不同管理功能與業(yè)務領域之間存在各自不同的目標、計劃、領導、組織和控制機制，并因此建立企業(yè)管理的若干分體系，包括財務管理體系、生產(chǎn)管理體系、QHSE（質(zhì)量、健康、安全、環(huán)境）管理體系、采購管理體系、銷售管理體系、人力資源管理體系、內(nèi)部控制體系、風險管理體系、法務管理體系、合規(guī)管理體系等。
一體化管理平臺又稱一體化管理體系（Integrated Management System，即IMS），是企業(yè)將兩個或兩個以上的管理體系，經(jīng)過有機協(xié)調(diào)整合成為一個管理體系運行，成為相互協(xié)調(diào)、相互兼容、相互補充的有機整體。將兩個或多個管理體系整合為一個管理體系或者一體化管理平臺的基本前提是，被整合的管理體系的各構成要素或者主要構成要素存在趨同性。建立一體化管理平臺，有助于減少相關分體系之間管理上的不協(xié)調(diào)，優(yōu)化管理流程，減少管理環(huán)節(jié)，實現(xiàn)優(yōu)勢互補，提供問題的整體解決方案，共享與節(jié)約資源，提高管理效率。
建立一體化管理平臺的最佳實踐案例是QHSE（質(zhì)量、健康、衛(wèi)生、環(huán)境）管理體系整合。QHSE管理體系將體系結構、形式、內(nèi)容趨同的三個獨立體系（即質(zhì)量管理體系ISO9000、環(huán)境管理體系ISO14001、職業(yè)健康和安全管理體系OHS AS18001）進行有機整合，建立一體化的管理平臺和系統(tǒng)（即QHSE系統(tǒng)），使三個體系的各構成要素相互兼容、相互協(xié)調(diào)、相互補充，實現(xiàn)資源管理合理化、運行過程協(xié)調(diào)化、測量分析同步化、持續(xù)改進綜合化、管理機制一體化以及內(nèi)部監(jiān)督一體化，并實現(xiàn)一體化的體系認證審核。
二、我國企業(yè)開展法律、合規(guī)、風險、內(nèi)控管理的基本情況
1. 國有企業(yè)
我國中央企業(yè)一直是四大體系的率先踐行者，從集團總部到各子公司都建立了法務管理體系、內(nèi)部控制體系和全面風險管理體系，并正在積極推動合規(guī)管理體系建設。
大型地方國有企業(yè)集團及其子公司已經(jīng)建立起法務管理體系和內(nèi)控管理體系，并正在積極推動合規(guī)管理體系建設，但大多沒有建立全面風險管理體系。一般地方國有企業(yè)的法務管理、內(nèi)部控制大多處于初始階段，子公司尚未開展法務管理或內(nèi)部控制。一般地方國有企業(yè)尚未開展合規(guī)管理和全面風險管理。
2.民營企業(yè)
民營企業(yè)建立四大體系的情況與地方國企類似。作為商業(yè)銀行、保險公司、證券公司、基金管理公司、上市公司的民營企業(yè)以及一些走在改革前沿的大型民企（如華為等），已經(jīng)開展了法務管理、合規(guī)管理和內(nèi)控管理。開展全面風險管理的民營企業(yè)很少。
3.外商投資企業(yè)
我國外商投資企業(yè)大多遵從作為外國投資方的跨國企業(yè)集團的經(jīng)營管理體系，開展了法務管理、合規(guī)管理和內(nèi)部控制。法務部在外商投資企業(yè)具有獨立性和很高的權威，并接受跨國企業(yè)集團法務部的垂直管理。外商投資企業(yè)的合規(guī)管理聚焦于重點領域的專項合規(guī)管理，包括反賄賂、反壟斷、反洗錢、反舞弊、利益沖突、網(wǎng)絡與數(shù)據(jù)安全等。外商投資企業(yè)的內(nèi)部控制體系構成企業(yè)強大的管理基礎，內(nèi)部控制制度和流程貫穿到企業(yè)經(jīng)營管理的各個領域和各個層面。風險管理一般由內(nèi)部控制負責，因此開展全面風險管理的外商投資企業(yè)并不多見。
三、建立法律、合規(guī)、風險、內(nèi)控
一體化管理平臺的基礎條件
法務管理、合規(guī)管理、內(nèi)部控制、風險管理四大體系都是我國企業(yè)依法治企建設的重要內(nèi)容，存在不同程度的趨同性。四大體系之間存在建立一體化管理平臺的基礎條件。
1.四大體系都是企業(yè)依法治企建設的重要內(nèi)容和組成方面，其中風險管理為導向，法務管理、合規(guī)管理是重點，內(nèi)部控制是重要基礎和有效保障。四大領域各有側重，相互補充，相輔相成，共同推進和保障企業(yè)依法治企建設。
從現(xiàn)代風險管理的三道防線來看，法務管理、合規(guī)管理、內(nèi)部控制、風險管理都同屬于第二道防線，業(yè)務部門與其他職能部門屬于第一道防線，而審計、監(jiān)察屬于第三道防線。
2. 它們都屬于企業(yè)的職能管理部門，對企業(yè)業(yè)務部門與業(yè)務活動提供支持，進行監(jiān)督，都要求將管理要求和節(jié)點融入業(yè)務流程。
3. 合規(guī)目標是四大領域共同的、最基本的目標。相比較而言，在管理目標方面，內(nèi)部控制與風險管理趨同性更強。
4.風險管理是四大領域共同的內(nèi)容，法律風險管理、合規(guī)風險管理是全面風險管理的組成部分，內(nèi)部控制本身包括企業(yè)運營的風險管理，并為全面風險管理應對提供內(nèi)部控制措施。
5. 四大管理體系的流程和環(huán)節(jié)存在趨同性，具體表現(xiàn)在：
（1）管理體系的流程和環(huán)節(jié)都包括管理目標、組織體系、制度體系、風險管理、重大事項審查、審計和監(jiān)督、考核與評價、宣傳和培訓、管理計劃與報告、管理信息系統(tǒng)、文化建設等。
（2）在組織體系上，四大領域在第一責任人、治理機構、專門委員會、審計監(jiān)督、其他職能部門與業(yè)務單位日常管理職責、子公司組織體系等方面都具有趨同的要求和規(guī)定。
（3）在制度體系上，四大領域的制度體系都基于各自職責而存在差異，但在風險管理、審計和監(jiān)督、宣傳和培訓、計劃與報告、管理信息系統(tǒng)、文化建設等的制度流程方面都存在趨同性。
（4）在管理體系的其他流程和環(huán)節(jié)方面（包括風險管理、審計和監(jiān)督、宣傳和培訓、計劃與報告、管理信息系統(tǒng)、文化建設等），四大領域都存在趨同性。
當然，四大體系之間也存在差異性。首先是側重點不一樣。法務管理側重于專業(yè)性的法律事務，合規(guī)管理側重于合規(guī)管理活動的組織、指導、監(jiān)督和考核，內(nèi)部控制側重于企業(yè)內(nèi)部環(huán)境、運營風險管理和控制活動，全面風險管理則側重于企業(yè)整體性、組合性風險管理并引入風險偏好、風險承受度、風險與利益平衡等理念。此外，四大體系在管理目標、管理制度、事項審查等方面也存在差異。法務管理因其法律事務的專業(yè)性與實務性而具有更強的獨立性，與其他三大領域的差異性也更大。合規(guī)管理、內(nèi)部控制、風險管理都屬于管理性部門，在職能和管理體系方面存在更多的交叉和重疊，相互之間的差異性相對要小一些。
四、LCR整合框架
LCR整合框架是對法務管理（Legal Matters）、合規(guī)管理（Compliance）、內(nèi)部控制（Control）和風險管理（Risk Management）四大體系的框架和構成要素等進行整合。這是建立法律、合規(guī)、風險、內(nèi)控一體化管理平臺的第一步。
（一）四大體系的現(xiàn)有框架
法務管理、合規(guī)管理、內(nèi)部控制、風險管理四大體系的現(xiàn)有框架列表如下：
法務管理體系的架構基于合規(guī)管理體系架構模式進行編排，體系架構是一致的。內(nèi)部控制體系基于內(nèi)部控制的基本要素（內(nèi)部環(huán)境、風險識別與應對、控制活動、信息與溝通、內(nèi)部監(jiān)督）進行編排。風險管理體系基于國家標準《風險管理 原則與實施指南》進行編排。因此，法務管理體系、合規(guī)管理體系的架構，內(nèi)部控制體系的架構，與風險管理體系的架構存在較大差別。但仔細比較，其主要構成要素趨同，包括管理目標、組織體系、制度體系、風險管理、計劃報告、宣傳培訓、監(jiān)督檢查、管理信息系統(tǒng)、文化建設等。
（二）LCR整合框架
兼顧四大體系構成要素相互之間的趨同性以及差異性，考慮到整合后體系構成要素的完整性，將LCR整合框架擴大到15個構成要素，即管理目標、組織體系、制度體系、運行機制（包括法律合規(guī)事務、風險管理、控制活動與違規(guī)管理）和保障機制（包括監(jiān)督檢查、人力資源保障、宣傳培訓、計劃報告、管理信息系統(tǒng)與文化建設）。LCR整合框架列表如下：
五、建立高度一體化的管理平臺
以已經(jīng)建立法務管理體系、合規(guī)管理體系、內(nèi)部控制體系、風險管理體系的企業(yè)（主要是中央企業(yè)、大型地方國企和大型民企集團）為例，可以探索建立高度一體化管理平臺，實現(xiàn)管理體系各構成要素之間整合的最大化，只保留原來各體系各自專業(yè)性的、獨立的特殊事務。
1.基本理念
建立高度一體化管理平臺基于以下基本理念：
（1）建立一體化管理平臺，以實現(xiàn)一體化管理平臺的實用性、有效性、融合性以及共享和節(jié)約資源、提高經(jīng)營管理效率為目的。
（2）合規(guī)管理與法務管理、內(nèi)部控制的的趨同性都比較強，因為外法（外部法律、法規(guī)）的合規(guī)管理與法務管理重疊，內(nèi)規(guī)（企業(yè)章程和內(nèi)部規(guī)章制度）的合規(guī)管理與內(nèi)部控制重疊，兩者都接受內(nèi)審部門的審計監(jiān)督。因此，建立高度一體化管理平臺，合規(guī)管理的獨立性受到挑戰(zhàn)。外法的合規(guī)管理可由法務管理兼管，內(nèi)規(guī)的合規(guī)管理則可以由內(nèi)部控制兼管。
（3）內(nèi)部控制與風險管理的趨同性很強，因為全面風險管理是在內(nèi)部控制的基礎上發(fā)展起來的，是對企業(yè)內(nèi)部控制基本要素的擴展。深交所和上交所《上市公司內(nèi)部控制指引》已經(jīng)在傳統(tǒng)的內(nèi)部控制五大基本要素（內(nèi)部環(huán)境、風險評估、控制活動、信息與溝通、內(nèi)部監(jiān)督）基礎上增加了三個要素（目標設定、事項識別和風險對策），將內(nèi)部控制的五大要素擴展為八大要素，使內(nèi)部控制的基本要素與全面風險管理的基本要素完全一致。因此，建立高度一體化管理平臺，全面風險管理的獨立性受到挑戰(zhàn)，可以將內(nèi)部控制的風險管理擴展為全面風險管理并由內(nèi)部控制兼管。
（4）建立一體化管理平臺，不是簡單的相加或者去留，而需要兼顧每一領域的側重點和特殊性（例如，法務事務的專業(yè)性和實務性，內(nèi)部控制的控制活動等），并在統(tǒng)一的管理體系中予以考慮，留有空間和余地。
2.要素之間的高度整合
在高度一體化管理平臺中，四大體系的以下構成要素實現(xiàn)高度整合：
（1）組織體系方面，實現(xiàn)第一責任人、治理機構、專門委員會、管理負責人一體化，并設立法務內(nèi)控部統(tǒng)一四大領域的管理。
（2）實現(xiàn)風險管理、事項審查、審計監(jiān)督、激勵機制、考核評價、計劃報告、管理信息系統(tǒng)、文化建設一體化。
3.高度一體化管理平臺框架
四大體系整合后高度一體化管理平臺框架列示如下：
六、建立一體化管理平臺的步驟
四大體系一體化管理平臺的建設一般包括以下步驟：（1）基礎培訓，統(tǒng)一思想；（2）立項及項目啟動；（3）環(huán)境評審（盡職調(diào)查）；（4）體系策劃與體系文件編制；（5）體系評審；（6）宣傳培訓；（7）調(diào)整組織機構與職責；（8）監(jiān)督審計；（9）持續(xù)改進。
建立法律、合規(guī)、風險、內(nèi)控一體化管理平臺是一個大工程，需要統(tǒng)一思想，協(xié)調(diào)一致；需要充分準備，穩(wěn)步推進，立足長遠；需要有效落地，避免形式主義；更需要企業(yè)最高領導層強有力的支持。
