合规研究专栏：总论篇之三：合规管理建设路径选择——CMS还是CP?

合规研究专栏：总论篇之三：合规管理建设路径选择——CMS还是CP?

在企业合规管理领域，选择全面合规（CMS）还是专项合规（CP）一直是一个备受争议的话题。本文从多个维度分析了两者的区别和一致性，并提出了企业应如何选择建设路径的建议。

在合规管理领域，CMS（compliance management system）指“全面合规”，CP（compliance program/plan）指“专项合规”。长期以来，企业究竟是应该建设全面合规还是专项合规，一直被当做一个问题争论不休。CMS派认为应该建设全面合规，因为专项合规是头痛医头脚痛医脚，“打补丁”，只关注眼前问题却忽视长远价值；CP派则认为应该建设专项合规，因为全面合规因大而全而流于大而空，是假合规、纸面合规，根本无法有效落地。

本文的结论是：CMS还是CP，这是一个伪命题，二者只是建设路径选择的不同，本身没有优劣之分。企业究竟选择CMS还是CP，取决于企业合规管理所处发展阶段，企业规模及所处行业等特征，也取决于企业所有制性质。

一、全面合规与专项合规的区别

全面合规与专项合规主要存在以下五个维度的区别：

1.涵盖业务范围不同。“全面合规”面向整个企业，从基础设施的角度提升合规管理水平，涵盖全部经营范围，也覆盖各业务领域、各部门、各关联企业及全体员工，贯穿决策、执行、监督各个环节，甚至包含企业发展规划里未来将要涉足的领域，也就是我们常说的全面合规管理体系建设。

“专项合规”则着眼于某个细分业务领域，一般会从具体的问题出发，具有较强的针对性，往往是企业的主业或是合规风险易发多发的领域，比如税务、知识产权、安全环保、商业贿赂、劳动雇佣、个人数据等业务领域。

2.体系化程度不同。“全面合规”是一整套包括领导责任、组织和制度体系、运行和保障机制、责任落实、合规文化、认证评估等因素的管理体系，是合规建设的“四梁八柱”，其构成一套完整的合规管理闭环，并作为企业管理能力建设的一部分。

“专项合规”则更专注于缺陷补救、风险防控，对已知风险点“整改”和“打补丁”，而非从头开始打基础、建体系。对申请适用合规第三方机制的涉案企业而言，专项合规的目标是“有效防止再次发生相同或者类似的违法犯罪行为”。

3.工作计划性不同。“全面合规”作为合规建设的顶层设计，需要根据企业特点来进行长远规划和设计，实践中以3年规划居多。虽然《中央企业合规管理指引（试行）》和《中央企业合规管理办法》都并未明确全面合规管理体系建设的期限，但一些地方国资委，比如北京市国资委就在《市管企业合规管理工作实施方案》中提出了为期3-5年的工作规划。

“专项合规”聚焦细分领域，切口小，其建设期相对较短。对于涉案企业合规整改而言，指定考察期的问题至今仍争议极大，一方面受限于刑诉法规定和第三方考察的成本，不能太长；另一方面，制度设计者们又普遍担心考察期过短，达不到整改和评估考查目的。因此，许多试点地区初期设定的考察期3个月到1年不等，现在实践中5-15个月也比较常见。

4.实践主体不同。从企业实践层面来看，当前央企、国企在国资监管部门引导下建立“全面合规”管理体系的居多，这是央国企必须完成的“规定动作”。然而企业合规管理没有也不应有所有制的区别，许多民营企业、上市公司也都按照相同标准建立了企业合规管理体系。

“专项合规”的实践主体则明显没有企业所有制性质的区别，国企民企都开展专项合规，绝大部分建立了全面合规管理体系的央企也都同时开展了专项合规建设，制定了专项合规指引。如果仅就涉案企业合规整改而言，已发生的合规整改案例绝大部分是中小微民营企业，但从我们的经验看，近年来央企子企业、国有企业适用合规整改的案例正变得越来越多（见作者文章：合规不起诉制度，开启我国合规管理发展新阶段）。

二、全面合规与专项合规的一致性

“全面合规”还是“专项合规”，本是人为划分。合规管理之于企业的价值和意义，都统摄于对企业“有没有用、有没有效，能不能创造价值”之下。在分析了二者不同维度的区别之后，会发现二者的内在一致性更多。

1.统筹兼顾一致。“全面合规”强调全面覆盖的同时，也强调重点突出。国资委《指引》就在全面合规管理体系建设中明确提出“市场交易”等8个重点领域，也提到重点人员、重点环节；在强化年工作部署中，抓重点体现得更为明显，比如“三张清单”中，强调“重点领域”合规风险清单、“重点岗位”合规职责清单等。北京市国资委指导性文件则更是单列合规管理“重点领域”“重点环节”“重点人员”章节。

“专项合规”专注细分领域的同时，也要求固本强基，长效机制。比如《涉案企业合规建设、评估和考查办法》在第一条开宗明义地提出，制定专项合规整改计划，最终目标在于“形成有效合规管理体系”。“涉案企业合规建设”章节也明确“专项合规”内容，同样包括领导责任、组织机构建设及一系列风险识别、报告和评价机制等体系化内容。

2.价值追求一致。从长期看，并非“全面合规”追求长远价值，而“专项合规”只关注眼前利益。从实际效果看，也并非只有“专项合规”关注实效，而“全面合规”一定落于纸面。

对涉案企业合规建设来说，“专项合规”整改绝非只是预防企业的个别犯罪行为，同样关注整个合规管理的长效机制和合规管理水平的内在提升。对央国企全面合规管理体系建设而言，虽然许多体系建设文件无法落地仍然是痛点问题，但这与央国企合规起步阶段的建设目标（强意识、搭框架、建基础）相关，随着合规体系建设的深入，有效性已经成为第一关键词。

3.内在驱动一致。国资委要求之于“全面合规”管理体系搭建，去罪诉求之于“专项合规”计划实施，这些都只是表面的驱动因素。企业合规管理的强化，无论是选择从全面合规还是专项合规开始，终究都源于企业的内生需求。

“强监管”时代下，合规的价值已被所有企业认知，合规管理在未来的商业格局，不再只是防控风险和提升商誉，更是企业进入商业朋友圈的必备名片，没有合规就没有合作。因为良好的合规体系和有效实施，既能避免员工个人违规行为向企业传导，也能通过合规免责保护高管人员（见本专栏总论篇之二：合规管理的价值——从“两道防火墙”说起）。

4.“永远在路上”一致。合规管理遵循PDCA的闭环逻辑，外部规范的更新和企业业务的拓展调整，企业合规义务必然会随之动态更新；企业规章制度应当定期外规内化；风险识别和防控清单必然会随着可变要素的变化而变化；合规审查、流程管控、有效性评估等机制也必然永无止境。无论是全面合规，还是专项合规，作为管理手段，都同样“只有逗号，没有句号”。

全面合规管理体系建设固然会不断前进，逐步深入；涉案企业专项合规整改又何尝不要求“持续整改”，不断优化，《涉案企业合规建设、评估和考查办法》就将“持续整改机制和合规文化”作为第三方组织评估的重点内容。

因此，企业应当建设全面合规还是专项合规，这是一个伪命题，二者终将殊途同归。全面合规还是专项合规，只是企业合规管理建设路径选择的问题：是先CMS后CP，自上而下，由面及点，先顶层设计再分项实施；还是先CP后CMS，自下而上，由点及面，先做小切口的细分专项，再逐步复制推广，最终实现全面合规。

三、合规管理的路径选择：先CMS后CP，还是先CP后CMS？

回归路径选择的问题本质，企业是先CMS后CP，还是先CP后CMS？我们建议企业先做以下评估，再作出决策：

1.合规管理基础如何。合规管理基础不同，建设路径的选择也不尽相同。对于具备一定合规管理基础的企业，在初步框架搭建完毕后，应同时推进全面合规体系的健全优化和专项合规的重点突破。中央企业和推进速度较快的部分地方国有企业恰恰符合此种情形。相反地，如果企业才初步开始合规管理的建设工作，也没有较好的合规基础，则要么规划先行，先打基础，由面及点；要么问题导向，先针对突出风险领域开展专项合规，先行先试，由点及面。

2.管理型总部还是业务型公司。2020年机关化问题整改之后，许多央企总部几乎都已经成为管理型总部，总部转变职能、授权放权，不再开展具体业务，此种类型的企业适宜做顶层设计，自上而下开展合规管理，全面合规、由面及点是不二之选。其他业务型公司，则不一定，应根据实际情况做“二选一”。值得注意的是，央企、国企的各级子公司虽为业务型公司，但在总部全面合规管理体系的统筹之下，仍应按照总部规划，先开展全面合规体系建设。

3.多元化业务还是单一型业务。多元化、集团化业务类型的公司，合规管理落地更难、压力更大，更适宜通盘考虑，先做全面合规，搞好基础设施建设。至于单一业务公司，可选择余地更大，可根据实际情况做“二选一”。

4.大企业还是小企业。大中小微企业，均有专门的国家标准可以进行划分，但此种划分对于企业合规管理路径的选择，并无实际意义。有价值的问题是，你的企业为合规管理建设能投入的资源有多少？一般而言，全面合规体系在人力队伍、预算保障等方面的投入相对更多，所以需要企业做务实的选择。

5.公众型公司还是非公众型公司。上市公司、金融保险类公司、涉及众多消费者的平台型/B2C型公司等公众型公司，承担更大的社会责任，受公司治理价值目标的牵引，合规管理的要求更高也更迫切。例如金融保险类公司，一般都已经具有较好的合规基础，原银监会《商业银行合规风险管理指引》和原保监会《保险公司合规管理办法》的施行，均较国资委《中央企业合规管理指引（试行）》早了十余年，在合规体系较为完善的情况下，根据情势变化而决定开展深入的专项合规建设是金融保险类公司的选择。其他非公众型公司，由于不一定具有同样水平的合规管理基础，则不必有该等考虑。

6.国有企业还是民营企业。合规管理既然产生于企业内生需求，如何开展合规管理建设就不应有所有制的区分。但在国资委的引导和要求不断强化的情况下，强化合规管理本身已构成国有企业的一项外部合规义务，完成合规强化“规定动作”是国有企业的硬要求，所以国有企业应率先开展合规管理体系建设。国企的示范，将引导民营企业投身合规建设，最终促进我国企业乃至我国社会诚信合规理念的深化。

总之，随着企业的社会属性越来越强，公司治理和企业管理的价值目标从利益相关方保护发展为更加全面的公共利益保护。所有企业都将在法治基础上强化合规管理，与企业的业务类型无关、与企业的大小无关，与企业的所有制性质更无关。全面合规还是专项合规，不是孰优孰劣的问题，只涉及企业合规管理建设路径选择的不同而已。事实上，在合规管理建设实践中，二者相互交融，彼此重叠，根本没有现象中差别那么大。

**本文