2018年12月26日，国家发改委联合外交部、商务部、人民银行、国资委、外汇局、全国工商联等七个部门联合制定发布了《企业境外经营合规管理指引》。

2018年，我们可以定义为中国企业的“合规元年”，我们来看一下2018年实施的重磅合规文件：

2018年7月1日，国家标准GB/T35770-2017《合规管理体系指南》正式实施；

2018年11月2日，国务院国资委发布《中央企业合规管理指引（试行）》发布实施；

2018年12月26日，国家发改委等七部门发布《企业境外经营合规管理指引》发布实施。

这么密集的重要文件在一年内陆续出台实施，可见之前我们对合规管理工作的重视程度是不足够的，现在之所以如此重视，是因为我们过去这些年在这个领域确实有过很多的经验教训，中兴事件只是其中一个比较典型的案例，其实过去这些年中国企业在“走出去”的过程中，由于合规问题吃过很多亏。

01  海外合规的背景

中国企业第一次成规模的走出去始于2008年，在全球经济危机的影响下使得资产泡沫破裂，而中国发行了4万亿的刺激计划让中国在当时“成功”躲过了那一波的经济危机，而且成为了挽救全球经济的英雄。资产价格的大幅下降，手里拿着大把现金的中国企业认为这是一次绝好的抄底全球优质资源、进行全球资产配置从而实现全球发展战略的机会。

但是，当时中国企业并没有大规模走出去的经验，很多企业对国际化经营不熟悉。所以，其实我们并没有做好充足准备，市场上一些大家熟知的案例如中信泰富澳洲磁铁矿、波兰A2高速公路、沙特麦加轻轨项目、中铝力拓合作、中钢澳洲磁铁矿、中海油并购尼克森等，动辄就承受了高达几十亿的损失。另外，还有很多大家没听过的小项目，只要企业自身能够消化处理的，没有企业愿意披露出来，有很多惨痛的经验。

我在不同的场合曾反复呼吁，希望后来走出去的企业好好借鉴这些前期的一些失败案例，我们在一些简单的问题方面反复犯错，很痛心，没有经验交学费可以，但是不能在一些低级错误面前反复交，这个是不能接受的。

面对这样的情况，前些年在协助地方国资委起草风险管理监管文件时，我也将“对海外投资项目进行单独风险评估，出具风险评估报告，是投资决策的前置条件”作为明确要求提了出来，这样的做法目前已经得到国家层面的认可。在2017年国务院国资委发布的35号令《中央企业境外投资监督管理办法》中，第六章对“境外投资风险管理”的要求专门增加了一个章节，并明确提出：对于境外特别重大投资项目，中央企业应建立投资决策前风险评估制度，委托独立第三方有资质咨询机构对投资所在国（地区）政治、经济、社会、文化、市场、法律、政策等风险做全面评估。

2013年国家提出“一带一路”的合作倡议后，中国企业开始了第二次成规模的走出去，有了2008年的经验，这次从国家层面到企业具体实施层面，比2008年那次走的更谨慎了一些，更加关注投资项目的前期评估和对风险的充分认识和把握。有的企业决策层甚至提出，没有充分全面的项目风险评估报告，就不能提交董事会审议。

我曾专门针对中国企业走出去的风险管理进行研究和实践，提出海外投资项目风险评估方法论，带队协助了第一批“一带一路”落地的部分海外投资项目进行了投资风险评估论证，取得了比较好的成效。也曾接受国资委的委托，牵头联合了清华大学、国际SOS、美世咨询、摩根律所等几家国际机构深入研究“一带一路”涉及部分国家的国家风险概况，形成《国家风险手册》，供走出去的央企进行投资决策前参考，其中合规风险是一项重要内容。

其实，合规风险的最突出矛盾还是海外合规，因为中国企业普遍认为在国内很多合规问题都比较好处理，但一走出国门，很多时候我们用国内的套路去摸着石头过河的时候，吃了亏。所以在前段时间发布的《中央企业合规管理指引》中也是将“境外投资经营”作为重点合规内容进行了描述，这次七部门又专门发布了针对境外经营合规的指导性文件。

02  几个合规文件的关系

国家标准GB/T35770-2017《合规管理体系指南》是对国际标准组织ISO在2014年发布的ISO19600《合规管理体系指南》的翻译和等同采用，旨在提供一个普适性的合规管理体系参考框架，并没有对特定主体的倾向性和针对性。

而《中央企业合规管理指引》主要针对的对象就是中央企业，对中央企业的合规管理工作和所有合规事项进行了规定。

此次发布的《企业境外经营合规管理指引》针对的内容是企业境外经营，适用的范围不局限于中央企业，而是所有中国企业。

03  《企业境外经营合规管理指引》的重点内容

1、《指引》结构

《指引》共八章，三十条，包括合规管理要求、合规管理架构、合规管理制度、合规管理运行机制、合规风险识别评估与处置、合规评审与改进、合规文化建设等内容。

2、合规要求

合规管理涉及三个方面的业务类型：对外贸易、境外投资、对外承包工程。中国企业走出去经历的阶段顺序应该是先以输出产品的对外贸易为主，再以劳务和服务输出的对外工程承包过渡到资本输出的对外投资阶段。相应的，承担的风险也逐次递增。

在这三个业务类型外加日常运营，提出了四个“确保”和四个“全面掌握”，确保描述的是目标，全面掌握描述的是重点合规内容。

3、合规管理机构

合规管理机构由合规管理委员会、合规管理负责人、合规管理部门、合规管理工作的协调等几个部分内容组成。

这个机构的设置和《中央企业合规管理指引》中的要求非常类似，只是这次提出一个“首席合规官”的说法，并且由于海外合规的工作特点，在工作协调机制中除了一、二、三道防线之外又增加了与外部监管机构和第三方的沟通事项。

首席合规官（Chief Compliance Officer，CCO）在一些国际企业中早就有此提法，但并不是所有公司的标配，需要按照本企业合规风险的大小和工作量视情况而定，而中国企业目前绝大部分都没有设置此类岗位。未来是否要设立也要看企业自身情况，主要是有一个明确的合规管理负责人是其实质内容，至于叫什么称呼并不是最重要的。

04  几点解读和建议

1、关于合规的定义

我之前在《中央企业合规管理指引》的解读文章中的建议部分，提出了一个对合规范围界定的看法：

《中央企业合规管理指引》中，将合规定义为：

“指中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求。”

我当时提出，对于企业的规章制度的合规要求，应该是以有外部监管要求的规章制度为重点，而不建议将所有的企业规章制度都纳入合规的范畴，这会转移合规内容的重点，对企业自行设立的规章制度的遵从性可以作为运营目标的一部分。

这次的《境外经营合规管理指引》中，将合规的定义确定为：

“指企业及其员工的经营管理行为符合有关法律法规、国际条约、监管规定、行业准则、商业惯例、道德规范和企业依法制定的章程及规章制度等要求。”

重点是在企业的规章制度前面加了“依法”两个字，与我在《中央企业合规管理指引》中的建议完全符合，需要的朋友可以再浏览下我们前期的解读文章。

2、关于合规风险的定义

本次《指引》中，将合规风险定义为：

“指企业或其员工因违规行为遭受法律制裁、监管处罚、重大财产损失或声誉损失以及其他负面影响的可能性。”

这个定义和《中央企业合规管理指引》中的定义基本保持一致，将风险落在了负面影响的可能性上，我们前期花了大量的文章与国内外的专家来讨论和解释风险的定义和历史发展，将风险落在可能性上是一种传统的做法，而根据我们目前对风险的理解，应该定义为“负面影响的不确定性”，为什么？

因为落在可能性上是侧重风险的发生概率描述，严格来讲，这个定义最后测度出的风险就应该是表现为一个概率。但是，实际情况是，风险发生的概率和造成的影响都具有不确定性特征，所以我认为合规风险准确的定义最后应该落在“负面影响的不确定性”上。

3、合规是达成目标的基本保障

本《指引》在第十条合规治理结构中提出，“企业的决策层应以保障企业合规经营为目的”。我认为合规管理是为实现经营目标提供最基本的保障，是手段，合规经营本身不足以成为企业经营的目的。

我之所以说明一下，是担心原来我们对合规管理重视不足，一提明确要求后在企业实施层面又过分放大，导致资源的无条件、无限制投入，不要把手段和目的相互混淆。企业还是要理性的对待合规管理工作，合规管理作为一个管理手段，目的是保障整个企业经营目标的达成。

4、整合的推行工作

本“指引”虽然是只针对于境外合规，但在企业中合规管理不局限于境外合规，所以工作开展过程中还是希望可以和其它合规管理工作一同整合开展，不一定需要独立开展，除非企业在海外业务的合规上有特殊的考虑。

5、境外经营风险管理是根本

其实对于境外经营来说，面临的合规风险只是其中的一个方面，企业在走出的过程中面临的风险是复杂多样的，哪一个没有把握好，海外经营的目标都实现不了。所以，我建议涉外企业可以从更高的角度把握走出去的风险，做好项目整体的风险管理工作，将合规风险有机的纳入到其中，这也是整合视角下的风险管理工作强度的一个原则。

风险其实是合规、内控、审计、法务等二、三道防线工作的主线，是根目录，这也是为什么我一直强调风险重要性的原因。

6、除了硬性的合规，还有软性的当地习俗

我们今天谈到的合规，基本都是针对有明确立法和规定“硬合规”内容。除此之外，从过去这些年我们走出去的经验看，由于我们不了解当地的风俗习惯和地域文化这些“软合规”内容，也发生过很多由于违背当地的文化和习俗导致项目失败或遇到阻碍的情形。

特别注意一些国家和区域的各类禁忌事宜，虽然没有明确的法律法规列明，但是如果行为举止冒犯了当地合作方或居民，项目肯定是无法顺利开展。