科学的方法是建设合规管理体系建设的基础。当前，国有企业合规体系建设，由不同领域的专家、专业人士从各自的角度去构建合规管理体系，以自认为准确、正确的方法去设计管理体系，导致做法不一、体系建设成果的千差万别，难以真正实现国有企业合规管理体系的真实目标。

       企业合规管理体系有一套明确的国家标准，等同适用国际标准。但实务中，以会计师事务所为代表的中介机构以18个内控指引作为指导，建立了一套完整的内控体系，冠以合规管理体系之名，完全不能实现合规管理目标。应当认为，内控体系与合规管理体系有一定交叉，即是在合规经营方面的交叉，内控体系也是完全被合规管理体系所覆盖。内控体系所涉合规经营，系以企业内部规章制度为基础，主要是采用不相容职责分离、授权审批等措施，避免出现权力滥用、行为过失导致舞弊、错弊等风险的发生，进而导致公司出现损失或财务报告失真。而合规风险，是全面的符合性风险，即违反了法律法规、监管规定、公司规章制度导致企业出现声誉、财产损失的风险。除了前述的覆盖范围的短缺外，合规管理体系有一套完整的运行机制，主要表现为“三查”，即审查、检查、调查。对企业的业务和职能部门开展的经营管理和业务活动，进行合规审查、对业务和经营管理活动进行文件化信息的检查，发现举报线索开展调查。同时，还可以开展合规内审和管理评审、合规绩效评价等方式进行管控。由于合规管理体系，在考量企业内部规章制度的基础上，还需要审视、分析大量外规（包括但不限于法律法规、部门规章、监管部门文件），以内控体系建设的方式去做合规管理体系，具有先天性不足。

       法律风险防控是企业防控的一个重要方面，也是当前预防企业经营风险的主要方式。无论是外聘律师顾问，还是内部设立法务部门，加强对合约的管理，避免投资经营、并购、各类交易的法律风险，已是一项成熟的法律服务市场。绝大部分律师的主要工作，就是从事法律风险的防范，通过对交易合同的审查、纠纷案件的仲裁诉讼代理，维护企业的合法权益。但我们应当认识到，法务管理与合规管理是两个具有明确界限的风险管理方式。合规管理体系涉及组织体系、制度体系、运行体系、文化体系、考核与评价体系的多重整合，还涉及组织环境的分析，即对相关的合规需求、合规义务的梳理与甄别、合规风险的识别、岗位合规职责的设定、流程管控措施的制定等，远远超过了法务管理的范畴。法务管理的重要工作内容是制度的修订和完善，基于现有合规义务违反所致的法律风险，进行制度的修改。但制度是沉睡的，如果制度不能够有效运行，则导致无法发挥有效的作用。只有将制度运行起来，形成体系的运作，才能实现制度的根本作用。可以说，法务管理活动无法满足合规管理的基本要求。

       合规风险是企业经营管理行为和员工行为出现不合规的可能性，而导致的重大声誉、财产损失，以及企业、员工承担民事、行政、刑事责任的风险。建设企业合规管理体系，要充分依据企业现有经营管理流程、现有风险控制（如审计、监察监督、内控机制）方法的基础上，强化突出外规的风险。

       合规管理体系，是一项综合组织设计与权责设计、制度配套、运行机制、运行反馈、运行结果评价与运用的综合体系，是一套管理方式，而不是简单的制度的修订。在商业秘密保护合规领域，从合规角度是一个专项合规计划，需要从商业秘密保护的组织环节入手，分析当前商业秘密保护的物理、信息、文件管理的现状，开发存在阻碍商业秘密保护目的实现、发生商业秘密漏洞的各类风险，进行从组织架构（商业秘密保护的责任主体）、制度体系（商业秘密保护的制度）、运行机制（商业秘密保护的检查、监督）、文化体系（宣传保密法和保密要求）考核与评价（商业秘密保护情况的评价）等多重角度，在物理保护措施、信息化保护措施、文件化保护措施，以及员工预防违反商业秘密保护措施的劳动合同、竞业限制协议的签订、保密协议的约定等多层面，构建完整体的商业秘密保护合规体系。而从内控或法务管理层面，囿于会所、律师的专业领域，对同一个企业的商业秘密保护体系的构建，不同专业的领域会呈现完全不同的成果。劳动法专业领域的律师，会以员工劳动合同设计、竞业限制与商业秘密保护协议条款设定等角度，去规范员工行为，以期实现员工维护企业商业秘密；而从专利法专业律师的角度，重点从技术秘密和经营信息秘密的秘点梳理，去查找可能泄密的风险点。无论劳动领域或是专利保护领域，其在整体的体系化构建方面，稍显能力不足，不能够实现商业秘密保护这项管理活动的目标实现。故，应当从体系化层面去分析合规风险，主要是识别外规合规风险，并形成组织、制度、运行、监控、评价等一整套管理机制，实现对专业领域或企业整体的合规风险管理。

三、合规管理体系建设的实操要点

        GB/T 35770-2022/ISO37301：2021标准，聚集了国内、国外关于企业合规管理的大量专家、学者的智慧，也集中体现了国内一线在合规管理方面具有丰富经验的理论专家、企业法务专家和精英律师的智慧，应当作为我们开展企业合规管理工作的基准。

        国有企业合规管理体系建设的要点，在于组织环境的考核与诊断，核心是企业内部（尤其是主要负责人）对企业合规管理认识、关联方（包括客户、供应商、监管部门、社会组织）对企业合规管理的要求、企业目前的合规管理现状、企业现有合规管理的措施以及企业目前的合规管理风险敞口。制度体系、文化体系、运行体系、绩效与评价体系，也是企业合规管理的重要组成部分，但组织环境的考量，是企业合规管理体系建设的重中之重。现仅就该要点作出论述，并提供方法步骤。

（1） 抓住核心，科学设定岗位合规职责

1、正确认识岗位合规职责的含义

        当前存在一个极为严重的误区是岗位合规职责清单的真实含义认识偏差，岗位合规职责清单与岗位职责清单有何区别，认识不清。岗位职责的认定，可以来源于“三定方案”（定人、定岗、定编），也可以企业根据“三定方案”，制作具体的岗位职责清单。岗位职责清单是基于企业现有经营管理业务，明确各领导岗位（主要是决策层、经理层）、各职能部门（主要是办公室、财务部、人力资源部、审计监管等）、各业务部门（主要是生产部、销售部、采购部、研发部、投资部等）的组成人员的岗位职责。

       而岗位合规职责清单，是就合规管理的职责，要列名前述人员相应的合规管理职责。职能部门和业务部门是合规管理“三道防线”中的第一道防线，承担主体责任，概言之，控制合规风险的第一道关口就是职能部门和业务部门，即对本部门开展的经营管理活动，首先要承担合规管理责任。

2、岗位合规职责的具体内容

       根据中央企业合规管理办法和省市属企业合规管理办法的规定，合规管理职责主要表现为构建本部门的业务合规管理流程与制度，开展本部所涉合规风险的识别并实时更新合规义务和风险库，负责本部的经营管理行为的合规审查，对于出现合规风险事件要求开展或配合开展调查处置并整改。可以看出，岗位合规职责集中表现为合规风险控制的一项管理工作，通过制度合规管理制度、识别本部门的合规风险、开展本部门所涉业务的合规审查、开展或配合开展合规调查，实现对合规工作的管理。那么，岗位合规职责清单包括的内容就必然包括岗位职责、岗位合规管理职责。但如果仅仅是呈现岗位合规管理职责，必然会出现部门岗位人员仍然无法充分了解岗位合规职责具体含义的尴尬局面。企业部门如何去行使岗位合规管理职责，如何履行合规管理职责，亦是不可或缺的问题。如何解决前述问题？我们要继续呈现合规管理的对象，即企业经营行为和员工行为的合规义务，要呈现到岗位合规职责中。

3、有效识别合规义务的方法

        合规义务的梳理，有不同的方法。会计师事务所或咨询机构会从企业制度去挖掘企业内部合规义务，即按照企业制度规定，部门对某项业务活动，应当承担何义务，但显然难以兼顾外规，前述已论述，不再赘述。律师事务所从专业角度，去开发合规义务，从国家法律、行政法规、部门规章、国际组织条约、上级行政机关的文件、监管部门的文件、企业章程与规章制度中挖掘。按前述方法，很快发现不具有可行性，因为仅仅国家现有有效法律300余件，行政法规600余件，地方性法规13000余件。从如此浩瀚的文件中去探寻合规义务，如大海捞针。尤其是各个企业千差万别，业务类型、人员结构等各类因素千差万别。那么，我们要寻找一种贴近企业实际的方法去开发合规义务。根据帕累托原则，我们要去寻找重点合规义务，去发掘最接近企业风险的合规义务。要综合采用经验判断法、领导决策法、集体讨论分析法、案件检索法、审计监察建议法等方法，从场景出发，在浩瀚如烟的义务中开发核心的合规义务。例如，人力资源管理领域涉及劳动法、劳动合同法、社会保险法以及各类法律法规和司法解释、判例等，要根据企业实际情况进行识别，如果企业人数较少（如50人以下），则该领域的风险总体可控，那么就要从招聘合规、劳动合同签订与履行合同、劳动合同解除等角度去筛选，员工权利保护、社会保险、童工禁用、妇女权益保护等均不需要特别细化；相反，如果企业属于大型生产企业，则要考虑劳务派遣、员工休假、调岗、调薪、特殊资质许可等全方面识别合规义务。在岗位合规职责清单制定的基础上，要深入到流程。