随着近年来一系列重大海外合规风险的出现，中国企业开始认识到，企业的海外合规能力已经成为企业开拓海外市场的重要战略能力与核心竞争力。然而，虽然企业已经认识到合规能力的重要性，也建立了自己的合规体系，但却仍然屡屡出现中国企业因违反海外合规法律而受到严厉制裁的事件。究其原因，是企业对海外合规法律要求的详细技术性规范及其执行的严格程度认识仍然不足。简而言之，就是企业知道应当防范合规风险，却尚未充分认识应当建立何种具体合规制度，以及对自身合规制度的执行应当严格到何等程度才能符合国际合规法律的高标准要求。

实际上，并不仅仅是中国企业要在国际市场上面对巨大的合规风险。各国企业都投入大量资源用来建立并维护高标准的合规内控体系，并经常聘用外部律师对企业合规问题进行独立调查。即使这样，也时常会有企业受到巨大合规风暴的冲击。例如，一家德国的大型工业品和消费品制造商由于违反了美国《海外反腐败法》（Foreign Corrupt Practice Act）的合规要求，被美国政府刑事调查，并最终支付了16亿美元的巨额罚金。

可见，企业的合规能力已经成为企业的核心竞争力，一旦疏忽大意，很可能对企业造成战略层面的冲击。

虽然国际合规法律要求严格，惩罚严厉，但中国企业往往对到底怎么做才叫合规认识不足。由于法治环境，社会习俗，以及国情的差异，有时候中国企业认为是合理的行为，却可能已经严重违反海外合规法律法规。另外，海外合规法律不但对企业的具体行为有严格要求，同时还对企业的内控制度及其实际落实有具体的技术性规范。由于中国企业往往对这些细致的规定认识不足，导致企业认为自己的内部合规制度明明已经很完善，却仍然遭到预料之外的合规调查甚至制裁。

海外合规是一个内容非常广泛的概念，包括企业对他国或者国际一系列重要法律法规的遵守，例如国际反腐败相关公约和法律，出口管制，以及海外劳动法规等等。限于篇幅，本文以中国企业及其他跨国公司面临调查起诉最多的美国《海外反腐败法》为例，介绍企业应当如何建立符合国际标准的内控制度，以及如何有效应对执法机关对不合规行为的调查起诉。虽然本文仅以反商业贿赂相关法规为例讨论，但符合国际严格要求的企业内控体系在防止商业贿赂风险的同时，还可以防止企业及其子公司的员工从事其他重大不合规行为，如财务欺诈，违反出口管制，劳动法违规，以及内幕交易等诸多有可能给企业带来不可承受的巨大损失的违规行为。

I. 重视程度不足是最根本的风险----以美国《海外反腐败法》为代表的海外合规法律是由域外国家高级别强力部门严格执行的重要法律，绝非简单的“走过场”

企业对合规缺乏实际行动层面的，发自内心的重视，仍然是现阶段最根本的合规风险。笔者在多年从事合规工作中就曾发现，有些大型跨国企业的企业合规投诉电话甚至没有专人接听，根本无法保证重要合规问题被及时发现。如果思想上不真正重视起来，就很容易在权衡企业自身行为的法律后果时因侥幸心理而低估不合规行为带来的巨大法律风险。

美国对《海外反腐败法》的重视程度首先从负责的执法机关就可以表现出来。美国海外反腐案件的调查和起诉主要由美国司法部和证监会（都是最高级别的行政机关）负责。其中，美国司法部负责对海外腐败行为的刑事和民事起诉，而证监会负责对上市公司及其人员的海外腐败行为进行民事起诉。两者都成立了专门机构负责对海外腐败行为的调查起诉。另外，据美国司法部网站公开资料宣布，美国联邦调查局与司法部紧密合作，负责在全球范围内侦查美国和其他国家企业的海外腐败行为。美国除了司法部、证监会和联邦调查局这些高级别的政府部门以外，还有美国商务部、国务院经济与商业事务部、国务院国际禁毒与执法事务部等其他重量级政府部门，均会配合海外反腐侦查执法。由此可见，美国《海外反腐败法》在美国以及其他国家被高度重视。以其为代表的海外合规法律法规绝非是“走过场”的“大道理”，而是由高级别的强力部门严格执法的重要法律法规，需要引起足够的重视。

在企业决策过程中，需要防止为追逐短期利益而怀着侥幸心理从事不合规行为，而导致企业在战略层面遭受难以估量的损失。例如，文章开头说到的德国企业，2008年美国政府发起对一家德国工业品和消费品制造商的商业贿赂调查。调查发现，2001年到2007年间，该德国公司制定了详细的行贿计划，包括通过融资基金，表外账户，中间人等隐蔽手段进行商业贿赂。调查发现，该企业员工有时在银行取出大量现金后装在手提箱中转移到国外，以支付贿赂款。美国政府指控该德国公司违反了其《海外反腐败法》，该德国公司最后不得不向美国政府支付超过16亿美元的罚金！

上面例举的这种内部控制的失败，在其他被指控为公司内部控制违规的案件中同样存在。2010年一起针对跨国汽车制造商的案件涉及到在多国的长时间的贿赂。在该案中，该公司为了维系与政府官员之间的利益链条使用了几十个分类帐户，内部称为“内部第三方账户”，以维持信贷余额。这些账户是通过诸如“价格附加费”，“价格包含”或“过多佣金”之类的虚假定价机制供资。该公司还在销售合同中使用虚假折扣等方式来产生贿赂的款项。通过假销售中介和腐败的商业伙伴以及通过使用现金柜台制造贿赂。销售主管可以轻易的从公司获得高达数十万美元的现金，模糊这笔资金的流向、用途和接受者的目的。除了贿赂指控外，该公司还被指控为内部控制违规以及账簿和记录违规。

II. “我们不做美国业务，为什么还会受美国法律制裁？”----对外国合规法规广泛的管辖权认识不足

中国企业面临的另外一个合规风险来自对国际合规法律或公约的管辖范围认识不足。一方面，美国《海外反腐败法》赋予了美国政府对外国企业极为广泛的管辖权。另一方面，中国，美国，以及世界上一百多个国家都是《联合国反腐败公约》的缔约国。再者，美洲国家，欧盟国家，以及其他大量国家在联合国公约的基础上，还分别签署有单独的反腐败公约。因此，一个企业的不合规行为很可能同时受到包括美国在内的多个国家的司法管辖。可见，相关国际合规法律法规实际上有极为广泛的管辖权，即使从来没有在海外开展业务或在海外上市的“纯”国内企业，也有可能成为美国或者其他国家海外反腐败法的制裁对象。一旦将来需要与外资企业进行业务往来或者接触外国市场，则会遇到诸多障碍。

值得注意的是，建立子公司，分公司，或合资公司，并不能免除企业的合规法律风险。美国司法部和证监会曾对美国加州的一家企业进行违反《海外反腐败法》调查，指控与这家加州企业合资的两家中国企业在其合作的期间内用贿赂的方式在中国国内获取业务。调查发现，位于中国境内的销售人员用现金行贿，并将贿赂款在账面上记录为“营业费”或“招待费”等开支。美国政府认定，虽然行贿行为是由合资企业的中方雇员在中国境内完成，但美国司法部认为加州总公司未能采取充分的内部控制措施，也未能监管并及时发现其参与的合资公司员工有从事贿赂行为的危险信号。最终，这家加州企业不得不向美国政府支付刑事罚款。

由上面这个案例类推，假设一家在美国从事业务的中资公司在世界其他国家也设立有分公司或合资公司；那么，其他国家的当地员工的行贿行为，很可能导致整个中资公司被美国政府以违反《海外反腐败法》提出指控，并使得与美国有接触的总公司或其他分公司一并遭到处罚。

更值得注意的是，美国《海外反腐败法》的管辖权不仅包括与美国有直接接触的企业，还包括虽然身在美国以外，但故意为违规企业行为提供协助的单位和个人。假设一家美国公司出资与一家中国国内企业在中国境内成立了一家合资公司，总经理由美方指定。合资公司聘用了当地一家渠道商销售其产品，并且对渠道商进行业务培训以及市场开发支持。在合资公司当地销售经理的指示下，这家渠道商在招标过程中向主管官员行贿。这家国内渠道商的行为显然违反了我国刑法中禁止贿赂的条款。然而，这家渠道商可能不知道，它的行为还可能同时触犯了美国的《海外反腐败法》。本案中，由于美国公司对中国建立的合资公司有实际管理权，因此美国国内法律将合资公司与其美国出资方同等对待，同等受美国司法管辖。这样一来，这家渠道商在中国境内行贿的行为，在美国国内法下，也够成了与美国出资方同谋行赂。

如果不知道以上法律关系，假如有一天这家渠道商突然受到美国司法部的海外反腐调查，一定会异常诧异。虽然在实际操作中，上面例子中的渠道商不一定会遭到美国政府的直接起诉，但是很可能被列入美国政府或企业的行贿黑名单，从而失去与其他美国企业的合作机会，造成业务流失。

由上面例子可见，即使从未走出国门的中国企业也同样可能受到以美国《海外反腐败法》为代表的国际合规法律的制裁，更不要说在美国直接开展业务或上市的企业了。因此，即使企业认为自身业务与美国没有直接关联，也应仔细评估世界主要海外反腐法律和其他合规法律的要求，特别是与中外合资公司有业务往来以及正在或计划进入国际市场的企业。

III． 如何建立符合国际标准的合规风险预警和防控制度

海外合规法律要求严格，违法后果严重。那么如何建立符合国际标准的合规风险防控制度，以及如何在日常运营中及时发现员工有不良行为的危险信号呢？这里还是以企业最常遇到的美国《海外反腐败法》调查举例说明。《海外反腐败法》不但禁止企业在美国以外的国家实际进行贿赂，还对企业的内部风控管理制度提出了具体要求。如果企业现有的内控体系不符合这些具体要求，同样也会构成对《海外反腐败法》的违反。

总体来讲，美国法律要求企业对自身的商业模式和所处行业的特性进行深刻的分析，并在此基础上建立针对企业自身特点的严格执行的合规体系。美国法律明确阐明，考察一个企业的合规制度是否达标，不能用“一刀切”的标准。美国政府对每个企业的每一个具体合规问题，进行个案审查。在个案审查时，调查部门审查企业在设计自身合规体系时是否全面考虑了如下方面：公司运营现状和风险，企业销售的产品或服务的性质，产品和服务进入市场的渠道，企业劳动力的性质，所在行业所受监管的严格程度，企业和政府接触的程度，企业是否在被美国政府认为是腐败高发国家或地区开展业务，以及公司规模等。公司的合规计划应该根据这些差异具体制定。显然，一个提供金融服务的公司的合规体系显然不能套用一个制造企业的内控机制，而处于高腐败风险行业的企业应当采用比低腐败风险行业中的企业更严格的内控机制。因此，美国监管部门明确指出，合规制度没有模板可以照搬，每一个企业的合规体系都要根据企业的需要，风险和面临的挑战量身定制。

那么，既然以美国《海外反腐败法》为代表的国际合规法律要求如此灵活，企业到底应当如何遵守呢？其实，虽然国际合规的要求灵活，但是在归纳分析了美国司法部近年来的重大执法案件后，同样可以找到内在的规律。分析表明，一个被认定达标的企业合规内控体系往往具备以下特征。这些达标企业的内控系统的共有特征，就是企业建立达标合规体系的重要指引。下面将达标合规制度的一些共同特征讨论如下： 

匿名举报和内部调查

美国司法部曾特别强调，一个有效的合规体系必然包括企业内部员工对疑似或实际违规行为的匿名报告机制，比如匿名合规热线电话或者邮箱等。匿名举报之所以重要，是因为它可以防止被举报人对举报人的打击报复。此外，一旦收到举报，公司应当立刻进行深入有效的调查，并存留完整调查记录。在实践中，美国司法部十分重视企业是否聘用有合规经验的外部律师对企业的合规体系的有效性进行独立评估，以及企业是否聘用外部律师对举报信息进行独立调查。实践中，国际大型跨国公司每年都会投入大量资源聘用外部律师对企业内部合规问题进行调查，并做出独立内部调查报告，以满足司法部对企业进行充分内部合规调查的要求。

企业在合规调查时聘用的外部律师的作用是帮助企业通过中立的自查自纠来避免遭受重大合规风险。除特别情况外，外部律师协助企业做出的内部合规调查的目的仅限于帮助企业改进内部制度，调查结果仅会提交给公司有关部门。在进行调查时，有经验的外部律师会严格设计调查策略，从而尽可能缩小企业内部知情人的范围，避免因调查对企业的正常业务造成不必要的影响。

高级管理层的重视以及清晰明确的合规制度

达标合规体系的另一个特征，就是企业高层的重视。在一个公司组织内部，合规始于董事会和高级管理人员为公司奠定一个正确的总基调。即便是设计出一套理论上达标的合规体系，如果企业文化对合规并不真正重视，那合规体系也会形同虚设。因此，美国司法部将企业领导层是否真正建立了一套讲合规的企业文化作为一个重要指标加以审查。美国司法部实际上已经查处了多个只做书面文章，没有真正落实合规制度的企业。

行为准则和合规政策

企业具体合规流程的设计是建立有效合规体系的基础。具体而言，企业应当制定完善的企业内部政策，业务流程，以及员工行为准则，以明确企业内部违反合规要求的责任，内部控制机制，会计准则，纪律处分程序等。企业制定合规制度时，必须深入分析企业自身的商业模式，产品，客户，与监管部门的互动，所属产业，以及地域风险等特点。另外，企业对提供礼物，旅游，娱乐费用，慈善捐助，以及其他类似性质的开支要有严格有效的合规审查。比如，有的跨国企业创建了基于网络的统一审批流程，用来审批针对政府部门和私人客户的礼品，差旅，招待，资助，赞助以及其他类似开支。由于使用了统一联网系统，各相关部门可以与合规部门配合，及时了解情况并进行审批。

另外，企业的内控制度必须有效传达到各个层级的人员。美国司法部多次在其法律文书中提到，企业的操作制度应当用能让员工读懂的方式传达。比如语言不能过分晦涩难懂，如果企业有外籍员工，那么应当向外籍员工提供本国语言版本的合规制度和行为规范等文件。另外，发放给员工的企业合规制度的版本还应当随着企业的发展而及时更新。

合规部门有充分保障

美国司法部特别强调，在评估合规体系是否达标时，美国司法部会考虑公司合规部门的权限是否足够实施必要的监管。合规部门必须得到公司的充分的授权，并有自主管理合规事务的权利。另外，企业必须提供充分的资源及经费保障，以确保公司的合规计划得以有效实施。一个企业向合规体系投入的资源是否充足同时也取决于公司的规模，复杂程度，产业，地域范围，和商业风险。但是，如果企业的合规部门在日常运营中缺乏话语权，经费紧缺，人员待遇不高，升迁不通畅，那么很可能被美国司法部认定为合规体系不达标以及企业高层对合规缺乏重视。

对企业的第三方合作伙伴进行有效监管

美国司法部明确指出，在商业贿赂案件中，违法企业常常利用代理人，顾问，和分销商等第三方隐瞒行贿行为。因此，企业对与其合作的第三方机构的监管是美国司法部评估企业合规系统是否达标的重要因素。企业应当对与其合作的第三方进行背景调查，包括其商业信誉，有无违规记录，所有权信息，控制人信息，以及与外国官员的关系（若存在的话）等信息。若在运营中某个第三方合作伙伴出现可疑行为，则应该加大审查力度。企业还应该采取有效方法监管第三方的行为是否合规，比如监督其市场活动，收集其销售数据，和对其进行定期或不定期审计和培训等。

事先合规风险评估

当评估企业合规体系是否达标时，美国司法部会考虑公司是否在做出某项行为前，对其拟做出的行为进行合规风险评估和评估分析的深入程度。合规风险评估时需要考虑全部有关因素，包括行业，项目，业务伙伴，政府参与的程度，政府管制和监管的程度。可见，企业应当建立一套合规风险分析机制，使得企业在作出某项行为前，进行充分的潜在合规风险评估，以避免和预防风险。是否进行有效的事先合规风险评估是美国司法部考察企业合规制度是否达标的重要因素。

合规培训

美国司法部在评估企业是否采取措施确保该企业的合规政策和举报程序在全公司得到充分传达，包括企业是否定期开展对企业主管，员工，代理人，商业伙伴等进行合规培训。很多大型公司都会定时或不定时地组织合规培训。无论公司选择什么样的方式培训，相应的信息都应让被培训人清楚知晓，包括对外籍员工使用本国语言培训。很多大型企业往往会聘用有专业经验的外部律师对企业高管，合规部人员，以及其他员工开展定期合规培训。