荐读 | ISO 19600：2014诞生的背景和意义

wxsunhao

荐读 | ISO 19600：2014诞生的背景和意义
原创： 雒宏伟 [url=]中国认证认可[/url] 昨天
/ _1 T  m- P! ]# h: w

" s9 C! d: u( {$ [, A! }) i: B

由ISO 项目委员会PC 271制定的ISO 19600：2014《合规管理体系 指南》给想实施合规管理体系或者希望为其合规管理寻找标杆的企业提供了全面的指南。2017年12月29日，GB/T 35770-2017《合规管理体系 指南》国家标准经原国家质检总局、国家标准委正式批准、发布，并于2018年7月1日起实施。GB/T 35770-2017是基于ISO 19600：2014等同转换发布的国家标准，该标准的发布将有力推动ISO 19600：2014在国内企业的实施，帮助企业提升合规管理水平。

1

ISO 19600：2014诞生的背景

. n5 p" g/ V4 k- {

近年来，国际社会和各国政府都致力于建立和维护开放、透明、公平的社会秩序，陆续出台和修订了很多法律法规，基本上每周都会有新的法律法规出台。同时，对违法进行处罚也已经成为大国博弈、全球竞争的重要手段，一些国家通过制定法律和有选择性地强力执法打击竞争对手国家一些支柱或重要企业，从而达到打击竞争对手经济的目的。加之动辄几亿美元、几十亿美元甚至是上百亿美元的罚款，使得合规问题不仅仅是经济和声誉受损的问题，甚至成为决定企业生死的关键。

美欧之间

9 M  d6 \8 K- ]

2016年3月，大众集团宣布与美国政府达成协议，大众认罪并同意支付43亿美元的罚款，其中包括28亿美元刑事罚款和15亿美元民事赔偿。2016年7月，大众与美国环保署和其他联邦机构（例如加州）达成了一项价值147亿美元的赔偿协议。

1 \! \6 g3 k7 \  J: ]2 W, O: d3 l

欧盟委员会2016年8月做出裁定，最近几年苹果在爱尔兰获得非法税收优惠，需向该国补缴最高达130亿欧元（约合145亿美元）的税款。

2016年9月16日，美国司法部要求德意志银行支付140亿美元（约合125亿欧元）的天价罚款，就出售抵押贷款支持证券（MBS）的调查达成和解。在一些业内人士看来，这张天价罚单更像是美国财政部针对欧盟此前要求苹果公司补缴140亿美元税款所采取的报复性措施。

2018年5月25日，欧盟酝酿两年之久的《通用数据保护条例》（GDPR）正式施行，成为迄今为止全球围绕个人数据保护问题所制定的最严厉法规。GDPR规定：企业违反相应条例将被处以1000万欧元或全球年营收2%的罚款，取两者间较高者征收，若出现“严重违规”行为，标准则将分别提高到2000万欧元或4%，同样取两者高者。有媒体曾经测算出，GDPR实行的第一年就可能为欧盟实现60亿欧元的“创收”。 目前，包括Facebook及其子公司WhatsApp和Instagram，还有谷歌都因未能遵守GDPR条例而面临被起诉的命运。如果欧盟监管机构判定Facebook和谷歌违反GDPR条例，那么两家公司很有可能面临数十亿美元的罚款。

中美之间

/ p) d6 w2 v4 \2 |

2015年，根据国家发改委公布的处罚公告，高通公司因违反中国反垄断法律的相关规定，将被罚款9.75亿美元（约合61亿元人民币）。

& D( ?* z, }% j

2018年4月16日，美国商务部网站公告，7年内禁止美国企业与中兴通讯开展任何业务往来。公告称，中兴违反了2017年与美国政府达成的和解协议。去年，中兴在德克萨斯州联邦法院认罪，承认其违反了美国的制裁规定向伊朗出售美国商品和技术，并被罚款8.9亿美元。因为中兴设备中所使用的零部件中有25%到30%是由美国公司提供的，其中包括网络设备和智能手机。美方称：“如果中兴不能解决这个问题，很可能会因为此举而破产。”中兴通讯成为中美贸易战的牺牲品。

$ Q) |; J* n. j3 [( o

从以上案例可以看出，不合规的成本和风险是巨大的，没有有效合规控制措施和拥有良好的合规文化可能意味着巨额的罚款甚至倒闭，因此大企业尤其是跨国企业越来越重视合规问题。如何提升合规管理水平、防范合规风险，就成为公司管理重点关注的问题。

为顺应这种需求，2012年10月，ISO 成立ISO/PC 271合规管理委员会，负责制定合规管理体系国际标准；2014年12月15日，ISO 19600《合规管理体系 指南》发布实施； 2017年12月29日，GB/T 35770-2017《合规管理体系 指南》国家标准也经原国家质检总局、国家标准委正式批准、发布，并于2018年7月1日起实施。ISO 19600：2014以及GB/T 35770-2017《合规管理体系 指南》国标的发布和实施，给想实施合规管理体系或为其合规管理提供标杆的企业提供了全面的指南，必将有力地推动中国企业的合规管理体系建设工作。

/ H* N) V% @2 ?1 _' F' n

2

ISO 19600：2014诞生的意义

: D% |  B/ ]6 C( Q2 D" V7 r: ^3 H3 Q) {

ISO 196001：2014 和GB/T 35770-2017《合规管理体系 指南》国家标准的发布实施，为当前全球愈来愈严酷的经营环境下运营的广大企业提供了合规管理方面的指南，对于全球以及中国广大企业的合规管理来说具有里程碑式的意义。

提升合规管理水平，防范合规风险

ISO 19600：2014《合规管理体系 指南》汇集了国际上被广泛认可的合规管理理论和最佳实践，通过采用管理体系方法来管理合规问题。按照ISO 19600建立和完善合规管理体系可以帮助企业在短时间内提升管理水平，使企业能够更好地防范合规风险，虽然以上这些案例背后或多或少都夹杂着一些合规本身以外的其他利益驱动。有些人认为，企业很难做到完全合规，是否被处罚全靠运气。但是，作为直接受害者，企业（尤其是一些大型或跨国公司）为了生存和持续发展，必须能够适应这种恶劣的竞争环境，通过建立完善的合规管理体系，快速提升合规管理水平，防范合规风险，而不是被动地接受处罚。

7 K7 A, Z, \, Q/ X+ z# @% r% q

为了说明这个问题，我们把各国政府比作牧羊人、企业比作羊，而各国执法机构就好比狼。一些执法机构出于国家间竞争的需要，会选择性执法，挑选竞争对手国家的一些重点企业通过执法处罚进行打击，来达到削弱对手、增强自己优势地位的目的。如果羊（企业）不离开羊圈（国内市场），可能不能够获得更多更丰美的牧草，但是到了外边必然面对更多的风险。如果羊不想被抓，不想成为牺牲品，就需要更加强壮灵活（有完善的合规），最起码不能有伤病（明显的缺陷或违规），因为有伤病的羊最容易被狼抓到。另外，羊应该时刻保持警惕，防范即将到来的风险，在被追捕时能及时逃脱。我们应该清楚地认识到不能心存侥幸，一旦成为被关注的对象，这些执法机构有强大的动力和足够的耐心进行调查来获取证据。例如：欧盟对谷歌的反垄断调查持续了7年，美国司法部对中兴通讯的调查是从2012年开始的。而中兴通讯在被美国政府盯上后，仍发生了一系列的错误。2013年11月，在美国监管机构已经在调查中兴违规的情况下，中兴决定恢复与伊朗的交易。为规避美方监管，中兴找到了一家无锡上市公司作为隔断公司，替中兴跟伊朗做出口。中兴是通过国内贸易的形式，将产品卖给这家中国公司，这家公司再卖给伊朗。对美方监管机构而言，这相当于一方面谈和解，一方面顶风作案。更重要的是，中兴通讯也没有对这些执法机构的调查给予足够的重视和警惕。2014年，中兴通讯公司一位高层管理人员去美国时在机场被扣下来检查，美方在与该高管同行的秘书的电脑里面发现了涉及“规避方案”的两份文件，并且这两份文件最终成为美方指控中兴违规的最重要的证据。如果中兴通讯按照ISO 19600：2014建立了合规管理体系，就会系统识别和评价合规风险，明白哪些不合规的风险是巨大、不可接受的，而不至于在调查期间还要实施一些规避方案，在这些执法机构严密监视下还在继续违规行为。

& O2 T( |. u" c

在国际市场上竞争的企业危险无处不在，我们不可能规避所有调查或处罚，但如果按照ISO 19600：2014的要求建立完善的合规管理体系，就不会忽视一些重大风险，也不会有明显的漏洞和缺陷，以至犯一些低级错误。这样一来，国外的执法机构就很难对你定罪，而如果你的同行或竞争对手存在缺陷就有可能成为牺牲品。正如华为也同样受到调查，但是受到处罚的是中兴通讯而不是华为。

2 x) ^9 J+ w' L- S5 L

2.建立合规管理体系并通过第三方评估可达到尽职免责目的

在各种法律法规层出不穷、执法越来越严格的今天，企业有可能会因为这样或那样的问题被执法机构立案调查，但是在面临被处罚的时候，有没有一个完善的合规管理体系以及能否证明合规管理体系的有效性，就成为执法机构决定是否处罚或量刑的参考。1991年由美国量刑委员会发布实施的《针对组织的联邦量刑指南》（FSGO ）用于帮助联邦法官在企业违反美国法律时公平一致量刑，也用于评估企业合规工作以决定是否控告或起诉，以及确定罚款的性质和金额。该指南2004年进行了修订，重申了企业建立有效合规体系可以减轻处罚的原则，并明确指出有效合规体系应当包含以下要素：

标准和程序（Standards and procedures）

监督（Oversight）

领导带头遵守道德合规体系（Leadership consistent with effective ethics and compliance program）

教育与培训（Education and Training）

审核与监视（Auditing and Monitoring）

激励与处罚（Incentives and discipline）

响应和预防（Response and prevention）

  P1 z' W) K4 k4 X

另外，如美国的反海外腐败法FCPA和英国的贿赂法（The Bribery Act）也将企业是否有完善有效的管理体系作为处罚依据。

) @/ T2 z) c) d

ISO 19600：2014在充分考虑各个国家和国际组织良好合规实践的基础上制定，完全能够符合其关于完善合规管理体系的要求。尽管该标准不是管理体系认证标准，但是如果企业能够自己举证或者通过第三机构依据该标准对企业合规体系做的评估报告也可以证明其合规管理体系的符合性和有效性，就可以作为企业减轻责任、降低处罚的抗辩理由。同样，作为公司主要领导和合规部门负责人，通过建立完善的合规管理体系并认真推行，同样可以减轻个人的管理责任，避免为企业的违法事件“背锅”。

$ a- K; U( Q8 J( ~2 ~

3.通过建立和运行合规管理体系可有效提高公司应对执法检查或调查的能力

! ]; s# V, Z/ p) }

企业如果能够按照ISO 19600：2014建立和运行合规管理体系可以使公司相关主要岗位人员都明白合规管理的一些基本要求和原则，并通过培训和体系的内审活动使其得到训练，从而具备一定的配合执法检查或调查的经验和能力，不至于手忙脚乱甚至表现出不配合的态度或做出一些盲目对抗的举动，如：拒绝提供相关证据、提供虚假证据、提供不实陈述、销毁转移关键证据、甚至通过一些不合理不合法的合同安排制止关键信息外露等，使得这些执法机构对企业缺乏信任，引来更大的质疑和调查。在面临调查时，应当考虑通过合规的手段配合调查，并尽最大可能根据当地法律提供证据进行合理抗辩，而且是否配合调查也是一些执法机构量刑的原则之一。

& V- Q" ^2 ]7 g

2016年，中兴公司向美国政府提出和解，美国政府聘用第三方进驻中兴调查。但是，中兴公司不能适应这样的调查，担心泄露对企业不利的信息，所以在调查的过程中试图隐瞒相关信息，导致美方十分不信任中兴公司。最终，美国政府对中兴提出的三项指控不仅包括串谋非法出口，还包括阻挠司法以及向联邦调查人员作出虚假陈述，并据此判决中兴支付约8.9亿美元的刑事和民事罚金。

合规是企业经营的重要精神和原则，不仅是在经营当中，即便是在被调查过程中也应当合规操作，避免损失扩大化。随着企业规模的不断扩大，影响力也会不断增大，尤其是跨国经营，不可避免地会成为执法机构关注的对象，会面临各种检查或调查，我们可以通过合规管理体系的建立和实施，使企业各主要岗位人员得到必要的培训和训练，使其能从容应对，不至于像中兴通讯一样成为国外一些执法机构眼中的“猎物”。

( T) ~! W1 f( z7 R. `% R

来源：《中国认证认可》杂志  

1 ~) ]1 B% }: F- o! X, L3 P7 S6 E: S+ K