【合规是否等于“法律风险防控”？】

  在建立合规管理体系的过程中，很多企业都将合规管理部门设置在“公司法律部门”之下，甚至安排公司法务总监或总法律顾问担任CCO。据此，有人认为，所谓企业合规，就等于公司的法律风险防控，要对企业所遇到的全部法律风险承担防范、识别和应对责任。有人甚至指出，企业建立合规机制，除了要防范行政监管风险、刑事风险和国际组织制裁风险以外，还要承担民事法律风险。据此，有人还提出了所谓“民事合规"的概念。还有人认为，企业因别人实施违反或者犯罪行为而遭受经济损失或其他损失的风险，也属于企业合规所要防范的“法律风险”。因此，企业合规机制的实施，还要注意防范受到犯罪行为危害的风险。

  假如企业合规就等于所谓的“法律风险防控”那么，企业普遍设立的法律事务部门就足以担当这种防控法律风险的责任了，何必还要设置专门的合规管理部呢？所以，企业合规并不等于法律风险防控。一个企业从其成立之日起，经过时间不等的经营过程，直到产品销营业执照、宣告破产或者自行解收之日为止，要受到多种法律和法规的规范和约束，面临着难以计数的法律风险。假如我们将“法律风险”界定为因违反法律法规而受到处罚或遵守损失的风险，那么，企业几乎在每时每刻以及在每个经营管理环节，都会面临这样的“法律风险”。例如，企业一旦违反民事合同法，存在违约行为或者合同欺诈现象，就有可能被别人提起民事诉讼，进而示担民事责任。又如，企业一且违反劳动法，侵犯了员工的合法权益，也有可能被诉诸司法程序，承担民手赔偿责任。再如、企业受到其他企业或者个人的违反犯罪行为的侵害，如被采取诈骗行为、被严重侵害权益、被内外勾结的人采取了贪腐或者舞弊行为等，因此受到严重的经济损失。

那么，企业所遇到的上述“法律风险”究竟是不是“合规风险”呢？企业合规是不是要防范所有这些法律风险呢？答案是否定的。其实，在各种法律风险之中，对企业具有致命影响的还是企业因为违反法律法规而受到处罚和刑事迫究的风险。例如，企业因为实施商业贿赂行为，受到了反不正当竞争部门的调行，或者受执法机关的立案侦查；企业因为接受腐败分子或恐怖分子的融资，违反了有关反洗钱的法律，因此受到金融监管部门的调查，或者受到检察机关的起诉；企业因为违反有关网络安全管理法律，或者存在侵犯个人信息的行为，受到有关监管部门的调查，或者受到法院的刑事审判；企业因为违反有关出口管制的法律，而受到监管部门]的行政处罚，或者被追究刑责任；企业因为排放危险废弃物，造成污染环境的法定后果，因此被环境保护部门采取行政处罚，或者被法院予以定罪……

  这种由监管部门启动的行政执法程序一旦启动，企业有可能被作出严厉的行政处罚；这种由刑事执法机关启动的刑事诉讼程序一旦启动，企业就可能被宣告有罪，并被追究刑事责任。甚至在由世界银行等国际组织所发动的制裁程序中，这种制裁一旦实施，那么，企业将会遭受重大损失。而上述行政处罚、刑事追究以及国际组织制裁所带来的最严厉后果，莫过于企业“被剥夺特定资格的后果”。根据前面的分析，这种资格剥夺可以是企业失去特定经营许可资格，也可以是丧失贷款和参加投标的资格，还可以是被吊销营业执照，从而被依法宣告为“企业死亡”。

  正因为上述监管制裁、刑事追究和国际组织制裁会给企业带来如此严重的后果，因此，我们才将受到这些特定处罚视为-种特殊的“合规风险”，并将其与一般的法律风险区别开来。也正是为了防范这种合规风险，企业才需要设立合规委员会、首席合规官、合规部门等合规组织，并在发布商业行为准则和员工行为手册的前提下，建立专门的合规风险防范、识别和应对体系。由此可见，企业合规并不是一般意义 上的“法律风险防范"，而是专门针对行政监管处罚风险、刑事法律风险以及国际组织制裁风险，所建立的自我监管、自我报告、自我预防和自我整改的公司治理体系。

  当然，无论是中国企业还是西方企业，大多没有将合规组织与原有的法律事务部门完全分离开来，而是由公司总法律顾问或法律总裁兼任首席合规官，或者将合规部门设置在法律事务部之下。但这并不意味着合规部门所承担的是一般意义上的法律风险防控工作，而恰恰显示出合规部门所承担的“合规风险防控”，既是整个“法律风险防控”工作的组成部分，也与一般的“法律风险防控”具有实质性的区别。对于一个将合规部门设置在法律部广]之中的企业而言，合规部广所承担的主要是防范合规风险的工作。至于代表企业以原告或者被告的身份，参与民事诉讼，出席法庭或者仲裁庭，或者以受害单位的名义，启动行政执法程序，或者提起刑事控告.这些法律事分应当由合规部门以外的其他法律事务人员来承担。