厦门今年这波疫情，居家快一个月，收获除了厨艺长进之外，就是做了些学结，其中有部分是关于律师合规业务的。真正对合规花了些功夫“追求”是去年接触了两起比较优质的企业涉刑案而引发的，此前（这几年）一直是“暧昧”着，当然很早前对法律风险管理、内控也都有关注。之前有过一些思考记录，这段居家期间集中学习，期间有些新的想法时不时冒出来，都是一片片的，这里我就小段小段表达些。顺带说一下，写文开始时间是疫情解禁第一天，心情比较愉快。
合规 · 学习篇
一
因为是刑事案件引发了“追求”合规，就从刑事合规开始说。看了很多法律届同行（主要是律师）写的东西，发现大家说刑事合规，不论是刑事不起诉的合规还是事前预防性的合规，有较大差异（好像很少人谈律师如何担任刑事不起诉合规监督人角色的，这里说的也就不包括这种情况），有以下三种类型比较常见：第一类是上课培训（为主）型，就是刑事风险防控培训，这里要澄清的是，其实是没有人明说做刑事合规就是上课培训，但看到的就是他说在做刑事合规，干的事主要就是上课培训；第二类是自创型（这个名字是我起的）：它的特征是表述带有较大量的律师传统非诉专项或顾问服务用词，“风险”二字出现频率高，还常常出现这些名词：尽职调查（走访、收集资料）、刑事风险评估、刑事风险化解方案、培训、刑事调查应对指导（咨询）、法律意见书等；第三类型是合规体系化型，出现名词前面多带“合规”二字，多是合规官方（半官方）指引（南）、标准化文件里可以见到的，而且不专属于刑事合规。这些名词有：合规行为准则、合规管理制度、合规流程、合规风险（识别、分级、评估、处置）、合规文化培育、合规报告、合规培训、合规审计、合规举报、合规调查、合规责任追究与惩戒、合规考核评价等等。前两类的语境基本不涉及刑事不起诉的刑事合规下担任企业建立合规计划顾问的情形。另外，有些同行提到的合规做法介于类型二三之间，姑且叫它非典型。
合规不起诉制度近期讨论比较集中的一个问题是合规体系有效性评价标准的问题，看了一场研讨会的资料，大致有以下说法：
①最高检一名人士认为，可以借鉴美国评估标准的基本框架，根据ISO 37301国际标准（《合规管理体系要求与使用指南》），结合我国企业的实际情况，研究制订一套中国特色的合规管理体系有效性评估标准；
②某省检察院研究室主任认为，要将合规整改方案落地，嵌入经营管理、人事管理、考核奖惩机制的各个流程之中，还要建立合规管理运行机制及保障机制；
③某试点地区的检察长认为，大型企业合规审查标准应当接近央企标准，具备参考指标明确的全部要素；对于中小微企业，可以适度放低标准，但应当具备合规管理体系的核心要素。对于具有多个合规风险领域的企业，无论规模大小，需建完整的合规管理体系，并且要将开展的专项合规要素在完整的合规管理体系中体现。
尽管合规体系有效性评价标准有很多不同观点，但是大家基本没有分歧的是，在某些情况之下，是需要按全面的合规体系标准去做的。由此我的想法是，律师要做好刑事合规（也包括其他类型的合规，也不论是不是专项合规），最好能按照这些个指引（南）、标准化文件的标准，懂得该如何去建（运行）一个全面的体系化合规，这样起码有深度参与到整个合规体系工作发挥更多作用的可能，而不是只具备局部的能力只能参与有限的工作。哪怕是只是（只需要）做专项合规，也能做到体系化。
按照前面所提到的类型一、二的做法，基本是无法胜任不起诉合规情况下刑事合规体系建设的工作，而类型三的提法基本就是到了合规体系这个层面。有个法务出身的外企合规官，谈到合规外部服务提供者时，批评一些法律服务、内部控制或审计专业背景的机构，有包装倾向，把过去的工作内容包装为合规服务，底子不变，没有投入足够多时间学习合规。我不知道类型二是不是该属于他所指的这种情况。同样，律师界也有类似的声音，就是批评用传统方式做合规业务，无法以新的作业方式交付升级产品，不利于律师行业对外竞争。客观上，有这么些不同做法，很大程度是因为合规服务市场的现状造成的，上面提到的那个非典型做法，市场角度还可能是推的最快的。
二
在专项合规中，比如讲到环保合规，也有类似上面第二类型的说法，常见词语是这些：环境尽职调查、环境合规调查应对、出具法律意见书、协助企业规范管理制度、培训这些。另外，也见过圈所在谈到做央企环保合规业务时，叫的是环境合规体系建设项目，除了出现环境合规调研、环境合规风险排查字眼外，还出现合规要素、整体合规环境现状评估、管理制度系统性梳理、操作流程和工作指引这类合规管理体系的用词。
三
基于上述1中的认识，对于绝大多数想做合规业务的律师来说，从学习这些合规指引（南）、标准化文件开始并掌握落地的技能（下面还会说到），应该是一条必经之路。从一些学习资料上看，少数律师对合规管理体系很熟悉，体现能在各合规文件之间来回穿梭比对，其中个别有管理咨询公司从业背景的律师，还看的出来有实操过，能讲到一些律师实操的具体方法细节（不只是抽象讲头脑风暴法、德尔菲法那种），而不仅仅体现对合规管理体系熟悉。
当然有些技能不少律师早就会，比如与风险管理相关的部分。在有些专项领域有些律师还特别有经验，这方面和一般掌握通用技能的管理咨询背景的人相比，是有很大优势的。事实上，合规性质的活，律师一早就在干，也是因为这个原因。也不必把本事全学到再开始干体系合规的活，学会多少就可以先干上，理论和实际的结合是持续发生的，不是一蹴而就的。只是服务方式、范围等要把握恰当，别忽悠人别出洋相就行。
四
学习过程中，开始会有些困惑（以后也还会有），就我认为我已经差不多解开的部分，讲讲我的认识。这里就讲两个问题：
第一，在了解合规体系相关的一些专有名词含义的基础上，从合规管理体系的构成要素来开始学合规，可能是个好办法。但是，遇到的问题是构成要素的分类方法很多，有五、六、七、八、九、十三、十五等说法，其中一大部分原因是关于合规管理体系这些文件各自采用概念范畴和范围不同，分类的依据和角度也不同，我想的解决办法就是多多益善，都搞明白概念和内容，有相同的要素拿来比较，看哪个说的细（有的学习资料已经有捡重要的来比，直接拿来看就是）。具体应用起来，先按照必须适用的文件来，其他一个个要素就是“武器库”，供你细化补充、加料用。
第二，关于合规体系建设的步骤方法，你可能也会见到很多版本：有的名为实操流程图，直接来自于合规文件内容绘制；有的叫合规体系建设施工图，四个步骤，具体下面还有各项分步骤；有的名为七步法或者十步法，有的命名为国企大合规十四步；还见过一个参与合规体系标准起草者的方法（没起字号）分为七个步骤，下列四十个左右的小步骤，模块化和流程化特点明显，此外针对特定问题解决的专项合规，更是见过多个版本。这个问题具体解决办法也是兼收并蓄，见的越多越好，用时灵活确定（包括拼接），关键是把合适企业的合规管理要素确定下来，哪些重哪些轻这些定好，至于按啥步骤流程做到，可以灵活。当然，有些基本步骤是有先后的，好比盖房子先打地基才能做上部，这灵活不了。
涂建葵
高级合伙人/律师
专注领域：民商事诉讼仲裁、企业合规、不良债权处置与困境企业拯救。
,
