【合規是否等于“法律風險防控”？】

  在建立合規管理體系的過程中，很多企業都將合規管理部門設置在“公司法律部門”之下，甚至安排公司法務總監或總法律顧問擔任CCO。據此，有人認為，所謂企業合規，就等于公司的法律風險防控，要對企業所遇到的全部法律風險承擔防范、識別和應對責任。有人甚至指出，企業建立合規機制，除了要防范行政監管風險、刑事風險和國際組織制裁風險以外，還要承擔民事法律風險。據此，有人還提出了所謂“民事合規"的概念。還有人認為，企業因別人實施違反或者犯罪行為而遭受經濟損失或其他損失的風險，也屬于企業合規所要防范的“法律風險”。因此，企業合規機制的實施，還要注意防范受到犯罪行為危害的風險。

  假如企業合規就等于所謂的“法律風險防控”那么，企業普遍設立的法律事務部門就足以擔當這種防控法律風險的責任了，何必還要設置專門的合規管理部呢？所以，企業合規并不等于法律風險防控。一個企業從其成立之日起，經過時間不等的經營過程，直到產品銷營業執照、宣告破產或者自行解收之日為止，要受到多種法律和法規的規范和約束，面臨著難以計數的法律風險。假如我們將“法律風險”界定為因違反法律法規而受到處罰或遵守損失的風險，那么，企業幾乎在每時每刻以及在每個經營管理環節，都會面臨這樣的“法律風險”。例如，企業一旦違反民事合同法，存在違約行為或者合同欺詐現象，就有可能被別人提起民事訴訟，進而示擔民事責任。又如，企業一且違反勞動法，侵犯了員工的合法權益，也有可能被訴諸司法程序，承擔民手賠償責任。再如、企業受到其他企業或者個人的違反犯罪行為的侵害，如被采取詐騙行為、被嚴重侵害權益、被內外勾結的人采取了貪腐或者舞弊行為等，因此受到嚴重的經濟損失。

那么，企業所遇到的上述“法律風險”究竟是不是“合規風險”呢？企業合規是不是要防范所有這些法律風險呢？答案是否定的。其實，在各種法律風險之中，對企業具有致命影響的還是企業因為違反法律法規而受到處罰和刑事迫究的風險。例如，企業因為實施商業賄賂行為，受到了反不正當競爭部門的調行，或者受執法機關的立案偵查；企業因為接受腐敗分子或恐怖分子的融資，違反了有關反洗錢的法律，因此受到金融監管部門的調查，或者受到檢察機關的起訴；企業因為違反有關網絡安全管理法律，或者存在侵犯個人信息的行為，受到有關監管部門的調查，或者受到法院的刑事審判；企業因為違反有關出口管制的法律，而受到監管部門]的行政處罰，或者被追究刑責任；企業因為排放危險廢棄物，造成污染環境的法定后果，因此被環境保護部門采取行政處罰，或者被法院予以定罪……

  這種由監管部門啟動的行政執法程序一旦啟動，企業有可能被作出嚴厲的行政處罰；這種由刑事執法機關啟動的刑事訴訟程序一旦啟動，企業就可能被宣告有罪，并被追究刑事責任。甚至在由世界銀行等國際組織所發動的制裁程序中，這種制裁一旦實施，那么，企業將會遭受重大損失。而上述行政處罰、刑事追究以及國際組織制裁所帶來的最嚴厲后果，莫過于企業“被剝奪特定資格的后果”。根據前面的分析，這種資格剝奪可以是企業失去特定經營許可資格，也可以是喪失貸款和參加投標的資格，還可以是被吊銷營業執照，從而被依法宣告為“企業死亡”。

  正因為上述監管制裁、刑事追究和國際組織制裁會給企業帶來如此嚴重的后果，因此，我們才將受到這些特定處罰視為-種特殊的“合規風險”，并將其與一般的法律風險區別開來。也正是為了防范這種合規風險，企業才需要設立合規委員會、首席合規官、合規部門等合規組織，并在發布商業行為準則和員工行為手冊的前提下，建立專門的合規風險防范、識別和應對體系。由此可見，企業合規并不是一般意義 上的“法律風險防范"，而是專門針對行政監管處罰風險、刑事法律風險以及國際組織制裁風險，所建立的自我監管、自我報告、自我預防和自我整改的公司治理體系。

  當然，無論是中國企業還是西方企業，大多沒有將合規組織與原有的法律事務部門完全分離開來，而是由公司總法律顧問或法律總裁兼任首席合規官，或者將合規部門設置在法律事務部之下。但這并不意味著合規部門所承擔的是一般意義上的法律風險防控工作，而恰恰顯示出合規部門所承擔的“合規風險防控”，既是整個“法律風險防控”工作的組成部分，也與一般的“法律風險防控”具有實質性的區別。對于一個將合規部門設置在法律部廣]之中的企業而言，合規部廣所承擔的主要是防范合規風險的工作。至于代表企業以原告或者被告的身份，參與民事訴訟，出席法庭或者仲裁庭，或者以受害單位的名義，啟動行政執法程序，或者提起刑事控告.這些法律事分應當由合規部門以外的其他法律事務人員來承擔。