2021年国际标准化组织（ISO）正式发布了ISO 37301：2021《合规管理体系要求和使用指南》和ISO/IEC TS 17021—13：2021 《合格评定 管理体系审核与认证机构的要求 第13部分：合规管理体系审核与认证能力要求》。2022年10月12日，等同采用国际标准的国标GB/T 35770—2022《合规管理体系要求及使用指南》正式发布。ISO/IEC TS 17021—13的国标等同转化工作也正在进行，不久也将会正式发布。

GB/T35770—2022/ISO37301：2021《合规管理体系要求及使用指南》规定了组织建立、运行、维护和改进合规管理体系的要求，并提供了使用指南，适用于全球任何类型、规模、性质和行业的组织。同时，GB/T35770—2022/ISO37301：2021《合规管理体系要求及使用指南》作为A类标准可以被认证机构在认证活动中直接应用或者在认证机构的认证技术规范中明确将其作为组织符合合规管理体系要求的认证依据。因此，国内许多认证机构已经开展了合规管理体系认证业务，也有越来越多的企业开始关注并申请合规管理体系认证。

本文从企业建立合规管理体系的动因研究入手，进而对企业合规管理体系认证的作用进行分析，对认证在协助、促进、提升企业合规管理体系的水平，满足相关方要求的方面发挥的重要作用进行阐述。

企业建立合规管理体系动因

（一）建立合规管理体系是企业自身持续良性稳健发展的需要

企业是合规管理体系中的主体，合规管理被认为是与业务管理、财务管理并驾齐驱的企业管理三大支柱之一。通过合规管理体系的建立和运行，可以协助组织建立和传播积极的合规文化，防范企业风险、规范员工行为、履行社会责任，有利于企业实现科学合规、高效合规、有效合规和全面合规，最终实现组织成功、持续和长远的发展。咨询服务机构受雇于企业，站在企业的立场和以企业利益为出发点提供专业咨询服务，如协助企业梳理合规义务、评估合规风险、制定并开展合规培训计划等。

（二）建立合规管理体系是企业避免/免除刑事处罚的需要

除自然人外，《刑法》将单位也列为部分犯罪的行为主体，并对其判处罚金。《刑法》第三十条规定“公司、企业、事业单位、机关、团体实施的危害社会的行为，法律规定为单位犯罪的，应当负刑事责任。”目前，我国《刑法》有160多个罪名涉及单位犯罪。对于单位的刑事处罚，采取的是无上限罚金制，根据企业的犯罪情节，判处的罚金数额有可能非常巨大。2021年底，上海市第一中级人民法院对“北八道集团有限公司”操纵证券市场案进行了宣判，不仅对实控人判处有期徒刑并处罚金，更是对“北八道集团有限公司”判处罚金3亿元，创下单位刑事犯罪的最大罚金数额。可见，建立合规管理体系，可以增强企业对于刑事风险的防控力。

1.已经建立合规管理体系的企业有可能据此作为无罪抗辩的法定事由

合规管理体系可以作为企业与员工之间的“防火墙”，在涉案时，把企业本身和员工个人行为隔绝开来，即使在员工以企业名义实施犯罪行为时，企业可以以自身合规管理体系的建立和实施为依据证明企业对于员工的犯罪行为不存在故意或者过失，不因此承担刑事责任。

在被称为“企业刑事合规抗辩第一案”的“雀巢案”中，兰州中院的二审判决为：“单位犯罪是为本单位谋取非法利益之目的，在客观上实施了由本单位集体决定或者由负责人决定的行为。雀巢公司手册、员工行为规范等证据证实，雀巢公司禁止员工从事侵犯公民个人信息的违法犯罪行为，各上诉人违反公司管理规定，为提升个人业绩而实施的犯罪为个人行为。”因此，判决雀巢公司员工个人行为构成了侵犯公民个人信息罪，而非雀巢公司。

2.承诺并落实建立合规管理体系的涉案企业有可能据此免除相应的刑事处罚

《关于建立涉案企业合规第三方监督评估机制的指导意见（试行）》第一条“涉案企业合规第三方监督评估机制，是指人民检察院在办理涉企犯罪案件时，对符合企业合规改革试点适用条件的，交由第三方监督评估机制管理委员会选任组成的第三方监督评估组织，对涉案企业的合规承诺进行调查、评估、监督和考察。考察结果作为人民检察院依法处理案件的重要参考。”《涉案企业合规建设、评估和审查办法》第二条“对于涉案企业合规建设经评估符合有效性标准的，人民检察院可以参考评估结论依法作出不批准逮捕、变更强制措施、不起诉的决定，提出从宽处罚的量刑建议，或者向有关主管机关提出从宽处罚、处分的检察意见。”2022年，检察机关共办理企业合规案件5150件，对整改合规的1498家企业、3051人依法不起诉。因此，企业涉案后，在符合条件的前提下，通过建立合规管理体系并经评估符合有效性标准，则有可能不予起诉并免除处罚。

（三）建立合规管理体系是企业遵守行政要求的需要

1.合规管理体系的建立有助于企业防范行政违规风险

行政违规风险有两大特点：发生的可能性大、产生的后果有可能巨大。相较于《刑法》涉及单位犯罪的罪名数量160多个，我国行政法规、行政规范类文件的数量更是非常庞大。我国现行有效的行政法规就有700多部。行政规范性文件的数量更是多不胜数，仅2022年度，仅北京市司法局，完成备案登记的行政规范性文件就有489件。同时，相较于刑事罪名的相对稳定性，行政类各项要求的新增和变更也较为频繁。基于行政类义务数量多、变更快的特点，企业发生行政违规风险的可能性比较大。

相较于《刑法》对于单位犯罪中单位本身只有罚金处罚，《行政处罚法》则赋予了行政执法机关可以处以罚款、没收违法所得、吊销许可证件、责令停产停业等一系列的处罚权，从而导致企业行政违规有可能承担严重的后果。实践中，我国的行政处罚金额甚至可能远远高于刑事罚金。2022年，因滴滴全球股份有限公司违反《网络安全法》《数据安全法》《个人信息保护法》，国家互联网信息办公室依法对其处以罚款高达人民币80.26亿元。

合规管理体系可以协助企业系统性、持续性、全面性地识别、评估以及管理相关的义务，最大限度地防范相关行政违规风险，减少由此给企业带来的损失。

2.合规管理体系的建立是相关企业的强制性义务

《商业银行合规风险管理指引》第八条规定“商业银行应建立与其经营范围、组织结构和业务规模相适应的合规风险管理体系。”《保险公司合规管理办法》第三条“保险公司应当按照本办法规定，建立健全合规管理制度，完善合规管理组织架构，明确合规管理责任，构建合规管理体系，推动合规文化建设，有效识别并积极主动防范化解合规风险，确保公司稳健运营。”《证券公司和证券投资基金管理公司合规管理办法》第二条“在中华人民共和国境内设立的证券公司和证券投资基金管理公司应当按照本办法实施合规管理。” 《中央企业合规管理办法》第三十九条“中央企业应当根据本办法，结合实际制定完善合规管理制度，推动所属单位建立健全合规管理体系。”因此，对于商业银行、保险公司、证券公司、证券投资基金管理公司等合规高风险行业以及中央企业等来说，建立并实施合规管理体系是其履行强制性义务的要求。

（四）建立合规管理体系是企业满足客户期望的需要

1.满足交易客户的合规期望

建立了合规管理体系的企业在商业竞争中更容易获得优势，在其他能力相当的情况下，政府部门、大型企业以及国际组织等更倾向于与建立合规管理体系的企业进行合作，这不但可以避免因合作企业出现违法违规行为而造成合作项目停滞甚至取消，同时也能体现自身的商业合规理念。

2.符合潜在客户的合规期望

建立了合规管理体系的企业更能体现承担社会责任的形象，有利于提高商业信誉。建立合规管理体系可以向社会传达企业并非将追逐商业利益作为自身经营和发展的唯一目标，企业同时注重承担环境责任、安全责任、劳动责任等社会责任，从而树立企业在公众的正面形象，为企业吸引并积累潜在客户。

总之，企业建立合规管理体系是自身持续良性稳健发展的需要，是避免/免除刑事处罚的需要，是遵守行政要求的需要，也是满足客户期望的需要。