国务院新闻办于2020年10月12日举行政策例行吹风会公开数据，我国上市公司数量已超过4000家，市值约74万亿元，涵盖了国民经济90个行业大类， 上市公司合规管理（以下简称“合规管理”）是指通过上市公司内部决策程序、规章制度、管理流程的有效调整和控制，开展包括风险识别、合规审查、风险应对、责任追究、监督检查、合规报告、制度完善等管理活动，实现上市公司及其董事、监事、高级管理人员、重点管理人员等行为符合并遵守相关法律、法规、规章、规范性文件及监管规定等，避免的合规风险。上市公司应针对上市公司监管要求，依照“体系管理”、“动态管理”、“全面管理”的原则，从组织体系、运行机制、制度体系等多方面建立一套完整的上市公司内部合规体系，有效避免相应的风险。上市公司合规管理体系主要包括组织体系、运行体系和制度体系，三者为相辅相成，组织体系提供了合规管理的实施主体，运行体系建立了合规管理运作的机制，制度体系建立了合规管理的依据。为保证上述合规管理体系能够长效、持续运行，切实保障上市公司和投资者的合法权益，上市公司在搭建合规管理体系时应确保与既有经营管理体系、流程相统筹、相衔接，且随内外部环境变化持续调整和改进合规管理体系。

（一）上市公司合规管理组织体系

上市公司应形成合规管理组织体系，并根据实际情况，明确组织体系内各机构的合规管理职责。一般组织体系分为领导层、管理层和执行层三个层级。

领导层是合规管理组织体系的决策组织，可以是董事会或其下设的专业合规委员会，主要负责批准建立并完善合规管理的组织体系、批准建立并完善合规管理制度体系、批准问题处理方案、批准对相关人员的处罚措施等事项。

管理层主要是合规管理部门，主要负责合规事项的统筹管理，包括向领导层汇报合规治理的情况、向执行层传达合规管理和合规治理的要求、起草完善合规管理制度体系的建议、提出委托处理法案供领导层决策、主导考核执行层合规行为等。管理层是合规管理体系的核心主体。

执行层主要是企业的各个业务运行部门，需要根据合规管理制度和指引规范自身行为、发现不当行为及时报告并根据管理层的处理方案及时纠正不当行为。执行层是合规管理体系的管理组织对象。

通过建立合规管的组织体系，将合规管理从抽象的概念落实到部门行为，从各个组织层级的上传下达实现合规管理信息的充分共享，合规管理问题的及时处理，将某个领域的合规管理纳入管理可控的范畴，形成有效应对的组织结构。

（二）上市公司合规管理运行体系

建立合规管理机制的核心是上市公司根据实际建立合规风险识别、管控、改进和落实的运行体系，上市公司应形成体系化、动态化的长效合规管理运行机制，如下：

建立了上市公司合规管理的体系，也就搭起了合规管理的框架，框架相当于房屋，而房屋中人的行为才是体系化管理关注的重点。如何让房屋中的“人”，也就是企业员工能够从浩如烟海的法律法规、制度规范中找到行为依据，需要律师为他们提供有效的工具，以便他们能够了解具体的合规要求，拒绝违规行为。

基于此，上市公司构建合规管理“五库”是及其必要的。所谓“五库”即合规依据库、合规义务库、合规风险库、合规制度库、合规指引库，“五库”内容贯穿了合规管理的运行体系，从抽象到具体，从风险识别到行为指引，可以说，有了这“五库”，合规管理这个体系真正有血有肉的落实在企业日常管理中，不再是遥远的概念或法条，而是每一个具体的行为。

（一）上市公司合规依据库

建立上市公司合规依据库为上市公司提供行为合规的依据。

中国的法律法规、规章制度的范围广泛，规制了方方面面的行为。这就需要将某一合规领域的相关行为规范找到，在此界限之外的法律规章不属于该领域合规管理关注的范畴，避免无端扩大企业合规管理的范围和难度。

合规依据库主要包括上市公司需要遵守的外部依据和内部依据。外部依据包括法律、法规、规章及规范性文件、监管规定、党内法规、相关标准、国际条约、规则、以及行业普遍遵守的职业道德和行为准则，内部依据包括上市公司的章程和规章制度、规范、承诺。需注意的是，承诺主要指上市公司对外自主作出的承诺，包括关于上市公司的承诺和社会责任承诺。

随时间推移，监管机构关注内容变化、国家政策变化，法律、法规、规章及规范性文件、监管规定、监管政策等可能废止或更新，因此，合规依据库并非搭建后即一劳永逸，上市公司应保持定期更新，以便掌握最新的企业行为合规依据。

（二）上市公司合规义务库

建立合规义务库主要是在合规依据的前提下，将上市公司需要切实遵守的合规义务进行归纳整理，明确企业行为合规管理的边界。

在合规管理的制度依据中条款包括概要性条款、程序性条款、权利性条款和义务性条款，合规管理义务库将重点着眼于义务性条款并汇集成库，成为企业管理层、管理机构和人员查询的依据，可以通过合规义务库快速浏览相关规定的具体内容并确定具体要求，为上市公司在该领域的合规管理划定范围，同时为上市公司人员自排合规风险提供依据。

此外，在我国，司法判例及监管案例（违规案例）虽不具备法律效力，但对上市公司合规管理具有重要参考意义。尤其是法律、法规、规章及规范性文件未明确禁止的事项或存有歧义的事项，收集了解司法判例及监管案例，有利于上市公司了解监管逻辑与监管红线，并为合规风险识别后的风险管控及应对提供参考。因此，在搭建上市公司义务库时，将相关义务性条款关联的司法判例及监管案例同时纳入，并与相关义务建立对应关系。合规义务库应与合规依据库保持同步定期更新，以便掌握最新的合规义务。

（三）上市公司合规风险库

合规风险库是企业可能遇到的合规风险的集合。建立合规风险库就是为企业确定在该领域合规管理的对象。

合规风险主要指通过对比合规义务后产生的影响合规目标的不确定性。上市公司合规风险包括上市公司、重点人员（主要包括上市公司董事、监事、高级管理人员、关键岗位人员）及其他与上市公司有所接触的人员因不合规行为引发法律责任、受到相关处罚、造成经济或声誉损失以及其他负面影响的可能性。

以上市公司合规义务库和收集的司法判例及监管案例为基础，梳理上市公司已存在、可能存在或其他上市公司常见的合规风险，并对每一合规风险进行分类，建立上市公司合规风险库。为准确掌握上市公司已存在、可能存在的合规风险，需对上市公司相关事项进行尽职调查、梳理，明确风险点，以便使上市公司合规管理最终落到实处。

上市公司每一次不合规带来的启示，都会成为合规风险库的素材。为确保全面、及时控制风险，应对合规风险库进行动态监测并更新、记录。通过每次更新、记录，上市公司可以动态地、快速地掌握其合规风险管理的重点，并为此建立相应的管控制度。

（四）上市公司合规管理制度库

构建上市公司合规管理制度库是推动合规管理的保证。

上市公司合规管理制度库是指导合规管理工作如何开展、运行，相关人员如何合规履职，合规管理效果如何落实等方面的内部制度集合。

为使合规管理体系能够正常运行，上市公司合规管理制度既应与现有的其他管理制度相互衔接和呼应，同时也要自成体系。因此，上市公司合规管理制度库，总体可分为个三层级：

第一层级是纲领性的行为准则，主要明确上市公司的合规目标、合规方针、实现合规的基本原则等内容。行为准则应考虑上市公司的战略规划、合规组织独立和公司治理程度等因素制定，不应局限于上市公司相关内容，是上市公司整体经营合规的准则。

第二层级是合规管理基本制度，主要明确合规管理框架、合规管理组织架构及职责、合规管理运行机制等内容。合规管理基本制度应考虑公司现有管理结构、部门设置及职责、管理路线等因素制定，以免后续执行存在较大冲突。同行为准则，合规管理基本制度也不应局限与上市公司相关的事项合规管理，是上市公司整体经营合规的基本制度。

第三层级是合规管理专项制度。由于上市公司合规管理属于合规管理的一个重要分支，因此，上市公司主要通过专项制度明确涉及上市公司具体事项的合规管理要求与责任等内容。

（五）上市公司合规管理指引库

建立合规管理指引库是合规管控的抓手。

为进一步促使合规管理制度库能够付诸于实践，上市公司应构建合规管理指引库，通过操作指引的形式将合规管理制度中抽象化、不明确的内容予以具体化、可操作化、规范化，明确合规管理的具体措施、具体流程、具体事项中实施的注意事项。

为使合规管理体系能够有效运行，上市公司合规管理指引库既应与合规管理制度库衔接和呼应，同时也要与现有的其他管理制度和规范、管理措施及流程相互衔接和呼应。合规管理指引库总体可分为个两类：

一是基于行为准则和合规管理基本制度制定的一般性合规管理指引。主要将合规管理组织体系与合规管理体系运行体系结合，以合规风险识别和管控、合规审核和报告、合规检查和整改、合规举报和监督、合规责任追究、合规管理考核机制为框架，明确每一机制中各环节流程及各合规管理组织的职责，形成具备操作性的管理路线。以合规审核和报告机制中的审核环节为例，应通过一般性合规管理指引标明合规审核路线，明确审核主体审核时注意事项，明确审核发现存在或可能存在合规风险的处理程序及要求，明确合规审核记录制定要求，明确审核通过及整改后通过标准等内容。

二是基于合规管理专项制度制定的专项合规管理指引。以上市公司角度，主要以上市公司股权变动、上市公司重大项目管理、涉及上市公司的具体管理事项、重点人员行为、监督机制等合规管理重点为核心，结合合规管理体系与合规专项制度要求，明确每一重点中所涉环节流程及合规管理组织的职责，形成具备可行性的管理路线。以同业竞争为例，应通过专项合规管理指引明确同业竞争审核要点及判断标准，明确如何建立同业竞争台账管理，明确同业竞争事项的特殊审核、报告或决策流程，明确同业竞争相关的信息披露报送流程及要求。

综上所述，上市公司应通过构建上述合规依据库、合规义务库、合规风险库、合规制度库、合规指引库等“五库”，化虚以实，将合规依据落到可行性的合规管理实践中。

第五部分——结语