中小企业[1]一直是我们国家经济的重要组成部分，据统计，截至2020年底，我国共有存续企业4300余万，而中小企业4200万，约占98.5%，其中，有高新技术中小企业15.8万、科技型中小企业19.8万，独角兽企业183家[2]，对于国家的经济发展、科技创新、人口就业等方面有重要的作用。但是，我们也同样看到，由于各种各样的原因，部分中小企业在发展中也存在着一些不规范的问题，缺乏合规管理体系或其合规管理体系徒有其表，难以真正地为企业的健康发展保驾护航，违法违规情况屡有发生。我国中小企业合规管理体系建设的主要问题如下：

虽然在国家监管日益严密的今天，越来越多的企业家开始认识到合规的重要性，但是就整体而言，我国中小企业的合规意识仍然相对薄弱，企业或主动或无意侵犯知识产权、偷逃国家税款、破坏生态环境、数据安全违规、商业贿赂等情况屡有发生，企业或者企业家因此而需要承担高额的民事赔偿、行政罚款，乃至于构成犯罪受到刑事处罚。据不完全统计，2020年1月至2021年12月间，至少有4116家企业被追究刑事责任[3]，而该数据还未包含企业主或企业经营管理人员的个人犯罪。而从中再随机筛选100家进行统计，全部均为中小企业，其中99家为民营企业，1家为外商投资公司[4]。

虽然不能苛求企业的管理体系“天衣无缝”，没有任何遗漏，但至少在关键的风险领域，应当有相应的管控制度，并能够通过该制度的贯彻执行缓释其中的风险。然而，受限于长期以来较为粗放式的管理模式，我国中小企业在建章立制方面存在较大不足：或关键风险领域制度缺失，如化工企业没有环境保护合规制度、创新型企业缺乏知识产权管理制度，这在最高人民检察院公布的张家港市L公司污染环境案、上海J公司假冒注册商标案等案例[5]中有集中的体现；或虽有制度但流于表面，照抄监管规定但不结合公司实际作相应的调整，纯粹的纸面合规，使得制度无法落地执行而沦为一纸空文，形同虚设。

合规管理体系建设需要必要的人力、物力支持，如招募合规管理人员、为其开展工作提供必要的资金支持等。但部分企业或缺乏合规意识或单纯为节约成本，拒绝投入必要的人力、物力，或不设置合规人员，或虽有合规人员但安排了大量其他工作，或不提供合规宣传培训物料，或不设置合规举报信箱等，使得合规工作难以实质展开。

不同企业的合规风险并不相同，其各自合规管理的目标、侧重领域、管理方式以及能够投入的成本也千差万别，因此，不同企业、乃至同一企业在不同发展阶段，应当有不同的合规管理体系。但长久以来，我国在中小企业合规管理体系的建设标准方面一直存在缺失，虽然《ISO37301-2021合规管理体系要求及使用指南》《GB/T35770-2017 合规管理体系指南》《中央企业合规管理指引（试行）》[6]等，但前两者分别是国际、国内通用标准，不够细化，且对我国中小企业的针对性仍有不足；而后者更主要是针对国家投资的企业，与企业合规第三方机制中主要是民营企业、外资企业的实际情况不符，中小企业套用上述标准来建设自己的合规管理体系，难免有削足适履的感觉，反而有碍企业的健康发展。

《中小企业标准》的作用首先体现在推动企业建章立制，建构适宜自身发展需要的合规管理体系上。一方面，《中小企业标准》的内容结构完整，包含了合规组织架构与职责划分、管理层合规承诺与率先垂范，合规风险识别机制与关键领域制度建设、合规培训与文化建设、纠错机制与持续改进等合规管理体系建设的基本范畴，并明确了相应的细化标准，方便企业参照执行；另一方面，注重量体裁衣，重视合规管理体系的个性化差异，强调根据企业的经营规模、业务范围、行业特点、合规风险水平等因素分别建构各自的合规管理体系，并对中、小、微企业设定不同的评价标准，同时，强调合规管理体系应当与企业现行管理体系相互匹配，重视合规管理体系建设与业务发展需要的平衡，避免合规建设成为企业发展的负担。

当前，企业合规的重心已经从早期的建章立制升级到通过合规机制的落地执行来缓释企业的合规风险，也就是最高人民检察院（以下简称“最高检”）在企业合规改革工作当中一再强调的“有效合规”。企业合规管理体系的建构与执行是一个动态循环的过程，而《中小企业标准》将合规管理体系的运行拆解为合规风险识别与分级处理、风险监控与风险报告、风险应对与管理优化的关键环节，并明确各环节的操作要点，方便企业在日常经营管理过程当中贯彻执行。此外，《中小企业标准》对于合规管理人员以及其他岗位人员设置了不同的职责要求，将抽象的合规文化建设具象为管理层率先垂范、各级员工的合规承诺与绩效考核、合规宣传培训、合规事件处理及客户感知等具体内容，方便企业将合规管理的有关职责落实到人，并追踪执行。

企业合规的投入成本是否“物有所值”，建构的合规管理体系是否“卓有成效”，还需要对企业合规管理体系的有效性进行评价。企业合规有效性的评价主要包括企业合规自查、外部第三方的合规体检、监管部门的行政检查、以及司法机关的企业合规第三方监督评估机制等，《中小企业标准》可以从评估原则、评估办法、指标设定和评估报告等方面给予评估人员确切的指引，特别是对于司法机关的企业合规第三方监督评估机制。据笔者的实务经验，实践中因触犯刑法而适用第三方机制的主要是中小企业，而其合规整改有效性的评价更直接关系到企业的生死和相关人员的自由，《中小企业标准》对于评估标准的具体规定能够一定程度上弥补九部委《涉案企业合规建设、评估和审查办法（试行）》不够细化的不足，增强第三方组织评估报告的科学性。此外，值得补充的是，《中小企业标准》的起草人中包含了最高检的专家和各地第三方监管专业人员名录库中的部分成员，一定程度上也是对于企业合规第三方机制成功经验的总结。

《中小企业标准》对于企业合规建设和评估的内容进行了具体规定，在《中小企业标准》的基础上，结合笔者帮助企业建设自身合规管理体系的成功经验，以及作为第三方监督评估机制专家组成员的实践思考，本文将着重从理解与适用的角度，对规定的有关内容进行介绍。

根据企业规模，中小企业可以划分为中型企业、小型企业和微型企业，具体的划分标准虽然《中小企业促进法》没有规定，但可以参照国家统计局《统计上大中小微型企业划分办法（2017）》的规定进行查询，或直接登录工信部中小企业局官网进行自测[7]，同时部分小微企业在企查查等平台上会有标识，在此不再赘述。企业按规模大小，设置相应的合规管理组织及适宜的合规目标等，而评估人员也需要基于企业的实际情况对其进行科学评估。

《中小企业标准》除了对企业合规管理体系建设有效性评估提供指引，更在于以评促建，促进企业的合规管理体系建设。因此，评估工作中的五项基本原则（全面原则、差异性原则、明确性原则、可证性原则、引导性原则），同样可以适用于合规管理体系建设。

《中小企业标准》根据企业的规模，对合规管理组织的建构提出不同的要求，为便于实践应用，我们对《中小企业标准》及其附表中的内容进行了整合。同时，结合企业合规有效性评估的实践情况以及《中小企业标准》起草过程中历次修改稿的精神，我们对有关标准的理解与适用。对本部分的理解与适用着重于两个层次：一是形式上，应设置相应的合规机构并配备具有相应资质、能力的合规人员；二是实质上，要权责分明，保障并督促相应的机构和人员能够切实履职。

1. 合规领导机构

合规领导机构，是企业当中专门负责合规管理体系建设与运行的领导机构，属于合规管理组织体系中的领导层。结合实务经验，笔者建议无论是中型企业还是小微企业，都可以参照《中小企业标准》的规定，从企业机构与人员设置、职责要求等方面着手，有针对性地设立合规领导机构。

2. 合规管理组织

合规管理组织，是企业合规领导机构之下，直接负责推动企业合规管理体系建设、保证合规落地执行的部门或人员，是合规管理组织体系中的实际管理层。除了设置机构和人员、明确相关职责要求外，企业还需保障该合规管理组织的独立履职能力以及赋予其一定的管理权限，增加其权威性。

3. 业务部门

企业的业务部门是合规管理组织体系中的执行层，切实负责企业合规的落地执行。

企业的合规管理体系建设是否具有有效性，关键还是在于其能否真正得到运行，能否对企业识别和应对合规风险产生帮助。因此，其建设和评估同样包含两个层次：一是在形式上，建构符合企业经营实际、与现行管理体系相匹配的运行机制；二是在实质上，运行体系在实践中得到有序、良好地运行，同企业的业务活动、产品和服务相关联。根据企业合规管理体系的基本阶段，《中小企业标准》将合规管理体系的运行分为合规风险识别与分级评估、合规风险监控与报告、合规风险应对与持续优化[8]三个基本环节，下面将分别进行介绍。

1. 合规风险识别与分级

企业的合规风险来自方方面面，但是受精力、经济等因素的影响，企业只能处理其中的部分。因此，需要结合风险与企业业务的关联度、风险的紧迫性以及危害后果的严重性等来综合进行识别和评估，具体来说，此项工作主要包括梳理合规风险类型、建立合规风险识别机制、对不同风险进行评估和分级三大部分。

2. 合规风险监控与风险报告

识别合规风险、合规义务后，需要根据合规风险的类型、以及风险等级的高低对相应的合规风险采取不同的监控措施，并及时、有效地进行报告。

3. 合规风险应对与优化管理

对于已经识别的合规风险，应当采取控制措施防止其发生；对于已经发生的合规风险，应当及时处置并采取措施降低其影响；最后，针对风险发生的原因进行整改，持续优化管理水平，并对相关的责任人员问责。

合规文化是企业及其成员关于开展合规管理、履行合规义务的思想观念、价值标准、道德规范和行为方式，其培育贯穿于企业合规风险识别、监控和应对机制建设的全过程，并直接反映在企业管理层的率先垂范、规章制度的建设与执行、合规知识的宣传与培训、合规事件的处理及客户感知当中，因此，可以根据上述具体的内容对企业的合规文化建设进行评估。

由于我国中小企业合规管理体现建设仍相对薄弱，企业犯罪的情况屡有发生，《中小企业标准》因其针对性，对我国企业合规第三方机制具有重要的意义，一方面，能够为企业进行合规整改、建设契合自身生产经营需要的合规管理体系提供指引；另一方面，也为第三方组织对企业合规整改的有效性提供评估的具体标准，并最终为通过检察机关的验收提供依据。当然，由于每个案件的具体情况不同，企业的行业领域和经营活动千差万别，很难有一套可以简单套用的评价标准，因此，对于各参与方，都是挑战，也是需要发挥第三方组织作用的地方。