■ 变化

（1）《办法》第一条将“为深入贯彻习近平法治思想，落实全面依法治国战略部署”列入立法目的。
（2）《办法》第五条将“坚持党的领导”列为央企合规管理工作的第一项原则。
（3）《办法》第七条新增央企党委（党组）的合规职责，确定其“发挥把方向、管大局、促落实的领导作用”，并明确要求央企应当严格遵守党内法规制度。
（4）《办法》第二十九条将合规管理纳入党委（党组）法治专题学习，作为培育合规文化的首条要求。

■ 评述

（1）思想层面，体现了合规管理的政治高度。应当认识到，合规管理是央企将习近平法治思想贯彻落实到企业经营管理各个环节的重要举措，是学懂弄通习近平法治思想的关键抓手之一。
（2）组织层面，明确了央企党委（党组）在合规管理工作中的领导作用，强调了央企应当严格遵守党内法规制度。
（3）需要正确认识和处理党的领导与合规管理的关系。央企作为国民经济的排头兵，接受党的全面领导是应有之义，合规管理也不例外。同时，通过坚持党的领导，能够在合规管理工作中充分发挥党的政治优势、组织优势，是央企合规管理提质增效的坚实后盾。

■ 变化

《办法》第五条新增“（三）坚持权责清晰”原则。《办法》第十三条、第十四条、第十五条分别对央企业务及职能部门、合规管理部门、纪检监察和审计巡视巡查等监督部门的职责作出进一步明确、细化。

■ 评述

《办法》强化了业务及职能部门的主体责任，主要包括：对合规风险的识别评估、及时报告并应对处置，并定期梳理风险，将合规要求落实到岗；对经营管理行为进行合规审查；对违规问题进行整改等。原因在于，常见合规风险往往发生在业务一线，必须提高业务部门、人员的合规意识和风险防范能力，才能最大限度地防控风险。过往央企在开展合规管理工作时，业务及职能部门容易存在误解，认为合规管理就是合规管理部门的事。针对此现象，《办法》重点强调了“管业务必须管合规”，把合规作为开展业务的首要前提。

■ 变化

相较《指引》，《办法》在基本原则部分新增了一条原则“坚持务实高效”，要求央企“建立健全符合企业实际的合规管理体系，突出对重点领域、关键环节和重要人员的管理，充分利用大数据等信息化手段，切实提高管理效能。”

 ■ 评述

（1）《办法》要求央企合规管理体系建设要务实。自2018年《指引》出台以来，央企陆续开展全面合规管理体系建设工作，取得了一定的成效，但也存在合规管理体系建设还停留在“纸面合规”，未能很好地符合企业实际情况，未融入业务，未嵌入流程，未真正落实落地等情况。针对这一问题，国资委在今年1月印发《关于开展中央企业“合规管理强化年”工作的通知》，提出了“入岗入流程”等合规有效落地的举措，要求央企推动合规管理体系的有效运行。《办法》在部门规章层面进一步强调了合规管理体系建设要务实的要求，并作为一项基本原则。
（2）《办法》还要求央企的合规管理体系建设要高效。央企的合规管理体系建设在坚持全面覆盖的同时，要紧密结合自身业务，重点突出对合规重点风险领域的管理，不做不必要的合规，把握合规管理体系建设的“颗粒度”，寻求合规与企业业务发展的平衡，不能为了合规而合规。同时，将合规要求嵌入业务流程和重点环节，借助大数据等信息化手段对重要领域、关键节点开展精准管理，以切实提高管理效能。

■ 变化

（1）《办法》新增第六条，强调央企要“在机构、人员、经费、技术等方面”支持合规管理。
（2）《办法》第十四条要求合规管理部门应当配备“与经营规模、业务范围、风险水平相适应的专职合规管理人员”。

■ 评述

（1）《办法》在总则部分明确对合规管理的资源保障，旨在强调央企不仅应当在认识上重视合规管理工作，还应当以实际行动为合规工作提供机构、人员、经费、技术等方面的支持；此外，针对央企普遍反映的合规人才匮乏问题，《办法》也进一步明确合规管理部门应当配备充足的专职合规管理人员。对央企而言，增加合规管理人员编制、安排充足经费预算是贯彻落实《办法》各项要求，提高央企合规管理水平的必要条件和核心保障。
（2）《合规管理体系指南》（GBT35770），以及《合规管理体系》（ISO-37301）均将人员、经费等方面的资源保障是否充足作为衡量合规管理体系是否符合认证标准的一项重要指标。因此，央企落实《办法》的要求，强化授权资源保障，也有助于将来顺利开展国内、国际合规管理体系的认证工作。

■ 变化

（1）《办法》第二十七条明确规定了央企应当“针对重点业务合规管理情况适时开展专项评价”。
（2）《办法》第八条明确规定了董事会“推动完善合规管理体系并对其有效性进行评价”的职责。
（3）《办法》第十四条明确规定了合规管理部门应“根据董事会授权开展合规管理体系有效性评价”的职责。
（4）《办法》第四条明确规定了国资委将对央企的合规管理体系的有效性进行考核评价。

■ 评述

（1）合规管理体系有效性评价是合规管理体系的内在要求。相较于《指引》的原则性规定，《办法》进一步明确了合规管理体系有效性评价的类型，要求央企除应当定期开展评价外，还应对重点业务合规管理情况开展专项评价。
（2）《办法》还确定了董事会、合规管理部门在合规管理体系有效性评价方面的工作职责，落实了二者在合规管理体系有效性评价上的主体责任，有助于评价工作的有序开展。
（3）需要指出的是，根据《办法》第四条，合规管理管理体系有效性评价未来可能成为央企每年必须开展的合规管理工作之一。因此，央企可以未雨绸缪，着手建立合规管理体系有效性评价的管理办法，根据国内外合规管理体系标准，结合企业实际，从“设计、执行、效果”三个维度制定本企业合规管理体系评价的指标，明确合规管理体系评价的流程。合规管理体系有效性评价能够为央企完善合规管理体系提供基础。此外，央企可以聘请国内外的专业合规管理体系认证机构开展合规管理体系有效性评价，获取合规管理体系认证证书，提高企业在海内外的声誉和形象。

■ 变化

（1）就指导所属单位而言，《指引》仅在第十条中规定合规管理牵头部门应履行“指导所属单位合规管理工作”的职责。而《办法》删除了合规管理牵头部门的这一职责，在第九条中明确了经理层指导所属单位合规管理工作的职责，在第十二条中明确了首席合规官“指导所属单位加强合规管理”的职责。
（2）就考核所属单位而言，《指引》仅在第二十三条原则性地规定了对各部门和所属企业负责人的考核。而《办法》第二十八条删除了对各部门的考核并将对所属企业负责人的考核改为对所属单位的考核。
（3）总体上，《办法》第三十九条明确规定了央企应当“推动所属单位建立健全合规管理体系”。

■ 评述

（1）《办法》明确要求央企要指导下属单位建立健全合规管理体系。自《指引》实施以来，一些央企认为只要管好本层级的合规管理体系建设工作即可，下属单位合规管理体系由它们自行建设。但这可能导致下属单位合规管理体系推进慢、建设不理想、与央企整体的合规管理体系不能有效衔接等问题。因此，《办法》不仅要求央企要指导下属单位推进合规管理体系建设，而且明确了履行该职责的相关部门：经理层和首席合规官。实践中，央企可以通过多种方式指导下属单位的合规管理工作，如开展指导培训、现场指导、提供咨询、向下属单位下发《下属单位合规管理体系建设指南》等。《下属单位合规管理体系建设指南》内容可以包括合规管理体系建设的总体思路和工作部署、合规管理体系建设的内容（合规管理组织体系、合规管理制度体系、合规管理运行机制、合规管理保障机制）、合规管理体系建设可能存在的问题、合规管理体系建设咨询热线等。为更好地指导下属单位，《下属单位合规管理体系建设指南》还可以配套“三张清单”模板和示例、其他央企下属单位合规管理体系建设经验、合规管理体系建设依据等作为附件。
（2）《办法》强化了央企对下属单位的合规考核。《办法》删除了《指引》规定的对各部门的考核，我们理解，主要考虑是实践中很多央企对各部门的考核存在一定的困难。《办法》将对所属企业负责人的考核改为对所属单位的整体考核，体现了对下属单位的考核更加全面。

■ 变化

《指引》在第四条的“强化责任”基本原则中规定“把加强合规管理作为企业主要负责人履行推进法治建设第一责任人职责的重要内容”。而《办法》组织和职责章节在明确企业主要负责人是法治建设第一责任人的基础上，要求其“应当切实履行依法合规经营管理重要组织者、推动者和实践者的职责，积极推进合规管理各项工作”。

■ 评述

企业主要负责人的合规职责规定从《指引》的基本原则部分放到了《办法》的合规组织和职责部分，并且丰富了其职责内容描述，彰显了国资委突出对央企主要负责人合规管理履职的要求。合规管理是“一把手工程”，只有企业主要负责人重视和带头推动合规管理，合规管理工作才能更有效地开展。

■ 变化

《办法》第十二条使用“首席合规官”的名称替代《指引》中“合规管理负责人”的名称；明确规定了设立首席合规官时“不新增领导岗位和职数”。

■ 评述

“首席合规官”（CCO）是国际上对企业合规管理负责人的常用名称，《办法》使用该词，体现了央企合规管理体系建设对标国际一流合规管理体系的特征。实践中，特别是在《中央企业合规管理办法（公开征求意见稿）》（下称《征求意见稿》）发布之后，许多央企对在设立首席合规官时是否需要新设岗位存在疑问。《办法》对这一疑问作出了明确回应，不需新设岗位，由总法律顾问兼任。

■ 变化

（1）《指引》未明确纪检监察等部门的“第三道防线”职责，而《办法》第十三条至第十五条对“三道防线”的合规管理职责分别进行了详细规定。
（2）《指引》规定“业务部门”是“第一道防线”，而《办法》第十三条对“第一道防线”进行了明确，不仅包括业务部门，而且包括职能部门。
（3）《办法》第十四条首次提出了合规咨询，由“第二道防线”合规管理部受理合规咨询。
（4）相较《指引》，《办法》十三条增加了“第一道防线”的编制风险清单、合规入岗等合规职责，并明确要求其设置合规管理人员，由业务骨干担任。

■ 评述

（1）《办法》虽未使用“三道防线”的名称，但实际上以三个单独条文的形式，按“第一道防线”“第二道防线”“第三道防线”的顺序依次规定了它们的合规管理职责，厘清了各部门在合规管理工作中的职责划分，有利于合规管理体系的高效运转。
（2）《指引》实施以来，特别是《征求意见稿》发布之后，许多央企对“第一道防线”是否包括职能部门存在疑问。《办法》明确回应了这一问题，“第一道防线”不仅包括我们通常指称的业务部门（如采购、销售、工程建设等部门），还包括通常指称的职能部门（如人力资源、财务管理、安全质量监督等部门）。
（3）合规咨询是合规管理体系中的一项不可或缺的机制，以往规范性文件中并未提及，此次合规咨询的首次提出填补了合规管理体系建设中的一个空缺，明确合规咨询的内容和流程将成为央企合规管理体系建设中的一项重要内容。
（4）《办法》强化了业务部门和职能部门作为“第一道防线”的职责。如前所述，从我们以往多年的央企合规管理体系建设经验来看，企业内部不少人存在合规管理工作就是合规管理部门职责的误解。《办法》要求压实“第一道防线”的合规职责，包括但不限于合规风险识别与应对、合规审查、合规入岗等。例如，今年“合规管理强化年”要求编制的“三张清单”，如果根据《办法》的规定，应当由“第一道防线”部门完成。此外，“第一道防线”部门还应设置既懂业务又懂合规的合规管理人员，但基于目前企业实际，可能还存在一定挑战，需要对新设的合规管理人员加强合规培训。

■ 变化

相较《指引》，《办法》删除了监事会的合规管理职责。

■ 评述

根据《公司法（修订草案）征求意见稿》可知，未来中央企业可能不再设立监事会。具体参见《公司法（修订草案）征求意见稿》第一百五十三条规定，“国有独资公司按照规定不设监事会或者监事，在董事会中设置由董事组成的审计委员会等专门委员会”。可见，未来央企监事会的职责可能由董事会下设的审计委员会负责。基于上述背景，也不难理解《办法》为什么删除监事会的合规管理职责。

■ 变化

《办法》第十六条进一步明确“中央企业应当建立健全合规管理制度，根据适用范围、效力层级等，构建分级分类的合规管理制度体系”。

■ 评述

《指引》中对于合规管理制度的规定相对简略，以至于不少央企对于合规管理制度的范围、内容、层级等尚不十分明确。《办法》明确提出“分级分类的合规管理制度体系”概念，将合规管理制度分为“基本制度”和“具体制度和指南”两级，在效力层级上，“基本制度”的效力要高于“具体制度和指南”；同时根据反垄断、反商业贿赂、生态环保、安全生产、劳动用工、税务管理、数据保护等重点领域，将合规管理具体制度和指南进行分类。

■ 变化

《办法》第十七条进一步明确“中央企业应当制定合规管理基本制度，明确总体目标、机构职责、运行机制、考核评价、监督问责等内容”。

■ 评述

本条规定了合规管理基本制度应当包含的主要内容。之前已参照《指引》制定内部合规管理办法的央企，需在制度中进一步强化有效性评估、合规风险应对、考核评价、监督问责方面的内容。

■ 变化

《办法》第十八条进一步明确“中央企业应当针对反垄断、反商业贿赂、生态环保、安全生产、劳动用工、税务管理、数据保护等重点领域，以及合规风险较高的业务，制定合规管理具体制度或者专项指南”。

■ 评述

《办法》进一步明确了央企针对合规风险较高的重点领域及业务，应当制定合规管理具体制度或专项指南，具体制度更侧重于管理性，如《反商业贿赂管理办法》《数据保护管理办法》；专项指南更侧重于业务实操性，如《反商业贿赂合规指南》《数据保护合规指南》。

此外，相比于《指引》中的重点领域，《办法》中新增列举了“数据保护”领域。新增列举的原因，我们理解，主要是考虑近几年出台了《数据安全法》《个人信息保护法》等数据保护领域的专项法律，对央企数据保护，特别是跨境数据传输，提出了更高的要求；加上该领域监管趋势趋严，如滴滴因数据安全违法被处80.26亿元巨额罚款，央企将面临更大的监管压力。《办法》旨在强调央企在重视传统合规领域的同时，也需注重大数据时代新兴领域的合规。

■ 变化

《办法》第十八条进一步明确“中央企业应当针对涉外业务重要领域，根据所在国家（地区）法律法规等，结合实际制定专项合规管理制度”。

■ 评述

在当前国际形势复杂、中美贸易摩擦不断的大背景下，《指引》及国资委的工作文件等均提出央企应强化境外合规管理。《办法》中对此进一步明确，并要求央企根据业务所在国的法律法规等，制定更加明确具体、可操作性更强、能够发挥实效的专项制度。

■ 变化

《办法》第十九条进一步强调央企应根据法律法规、监管政策等及时对规章制度进行修订完善外，新增“对规章制度执行落实情况进行检查”。

■ 评述

央企在过往开展合规管理工作时，虽制定了合规管理制度，但许多制度并没有真正落地，没有与企业的经营管理相结合，亦没有被实际执行、落实，即出现常见的“纸面合规”问题。为进一步推动合规管理工作落地，《办法》中明确提出对规章制度执行落实情况进行检查，以一种相比于“培训宣贯”更加有力、有效的方式，促进规章制度的执行、落实，以切实发挥规章制度的管理、规范作用。

■ 变化

《办法》第二十一条针对合规审查的主体、事项、工作流程等，相比《指引》均做出了一定的调整，增加了合规审查的主体、扩大了审查的事项范围，进一步完善了审查流程。

■ 评述

（1）针对合规审查的主体：《指引》中实际更侧重于合规管理部门对规章制度、重大事项决策、重要合同、重大项目的审查，并对不合规内容提出修改建议，并未提及业务及职能部门的审查职责。但《办法》中明确，业务及职能部门、合规管理部门、首席合规官均作为合规审查的主体。
（2）针对合规审查的事项：《指引》中的审查内容侧重于规章制度、重大事项决策、重要合同、重大项目等相对“重大”的事项上。但《办法》删掉了列举的情形，直接规定为“作为必经程序嵌入经营管理流程”，即企业的经营管理事项均应当进行合规审查，业务及职能部门负责本部门经营管理行为的合规审查；合规管理部门负责规章制度、经济合同、重大决策的合规审查；其中重大决策事项，还应当由首席合规官进一步审查，并提出审查意见。
（3）针对合规审查的工作流程：《指引》中规定的相对简略，仅规定为“未经合规审查不得实施”。但《办法》中对于审查工作流程做了进一步完善，大致分为三个流程，一是审查前总结，即业务及职能部门、合规管理部门依据职责权限完善审查标准、流程、重点等；二是开展审查，即不同审查主体依各自职责开展具体的审查工作；三是审查后评估，即业务及职能部门、合规管理部门定期对审查情况开展后评估，是否存在审查漏洞，及时总结、梳理审查中的重点、注意事项等。

■ 变化

（1）《办法》第二十二条将“重大合规风险事件”细化为“因违规行为引发重大法律纠纷案件、重大行政处罚、刑事案件，或者被国际组织制裁等重大合规风险事件，造成或者可能造成企业重大资产损失或者严重不良影响的”。
（2）《办法》第二十二条删去“较大合规风险事件”的相关表述。
（3）《办法》第二十二条将“合规管理牵头部门和相关部门应当及时向合规管理负责人、分管领导报告”修改为“相关业务及职能部门应当及时采取应对措施，并按照规定向合规管理部门报告”。
（4）《办法》第二十二条删去“合规委员会统筹领导”，将“合规管理负责人牵头”调整“由首席合规官牵头”，新增“合规管理部门统筹协调”。

■ 评述

（1）《办法》对“重大合规风险事件”概念进行了解释，明确界定其具体范围，有效解决了此前央企在适用《指引》时可能存在的疑惑。其中特别提到“国际组织制裁”，结合近年来不少中国企业受到世界银行等组织制裁的背景，这一风险值得重视。
（2）不再以“较大合规风险事件”为标准，避免风险等级界定过程中的模糊地带，所有合规风险均需得到妥善处置。
（3）强化第一道防线的风险应对及报告责任。风险往往发生在一线，业务及职能部门需要对合规风险保持敏感度，在风险发生后迅速采取应对措施，并统一向合规管理部门报告。
（4）强调首席合规官、合规管理部门对于风险应对的牵头责任、统筹协调责任，进一步压实合规风险应对责任。

■ 变化

（1）对比《指引》中简单提到的“畅通举报渠道”，《办法》第二十四条对违规举报机制进行了具体规定，明确要求“中央企业应当设立违规举报平台，公布举报电话、邮箱或者信箱，相关部门按照职责权限受理违规举报，并就举报问题进行调查和处理，对造成资产损失或者严重不良后果的，移交责任追究部门；对涉嫌违纪违法的，按照规定移交纪检监察等相关部门或者机构。中央企业应当对举报人的身份和举报事项严格保密，对举报属实的举报人可以给予适当奖励。任何单位和个人不得以任何形式对举报人进行打击报复”。
（2）《办法》第二十五条完善了违规行为追责问责机制，新增“建立所属单位经营管理和员工履职违规行为记录制度”这一具体要求。

■ 评述

（1）明确要求设立违规举报平台，举报方式包括举报电话、邮箱或者信箱，解决举报人不知向谁举报、如何举报的问题。区分违规举报受理、调查部门和责任追究部门，统筹合规管理部门、纪检监察、巡视、审计等部门，形成合规举报问责合力。同时，强化对于举报人的保护和激励措施，为举报人解除后顾之忧，有利于营造鼓励合规、打击违规的良好文化氛围。
（2）细化追责问责、结果运用，将合规表现与各所属单位及员工的考核评价、职级评定密切关联，激发合规动力。

■ 变化

（1）《办法》第三十七条增设了国资委对央企违反《办法》的监督问责，明确规定“中央企业违反本办法规定，因合规管理不到位引发违规行为的，国资委可以约谈相关企业并责成整改；造成损失或者不良影响的，国资委根据相关规定开展责任追究”。
（2）相较于《指引》第二十一条规定的“严肃追究违规人员责任”，《办法》第三十八条进一步细化了央企对所属单位和人员在合规管理过程中失职渎职的监督问责，明确规定“中央企业应当对在履职过程中因故意或者重大过失应当发现而未发现违规问题，或者发现违规问题存在失职渎职行为，给企业造成损失或者不良影响的单位和人员开展责任追究”。

■ 评述

（1）通过单设“第七章监督问责”，让合规“长出牙齿”。合规管理从“推荐标准”上升为“强制要求”，成为央企的红线底线。
（2）《办法》第三十七条对违规责任进行了概括式规定，国资委的约谈、责成整改成为央企合规管理不到位时面临的具体违规责任，若造成损失或不良影响，国资委还将根据其他相关规定进行责任追究。央企需对此保持警惕，并密切关注《办法》生效后的具体责任追究执行情况。
（3）根据《办法》第三十八条，央企内部对于违规问题同样需要进行责任追究，涵盖央企所属单位和人员的违规问题。可见，在做好业务工作的同时，也需做好合规管理工作；若合规管理工作履职不当，同样会被追究失职渎职的责任。

■ 变化

（1）《指引》第二十四条“强化合规管理信息化建设”被细化为《办法》第三十三条“中央企业应当加强合规管理信息化建设，结合实际将合规制度、典型案例、合规培训、违规行为记录等纳入信息系统”。
（2）《指引》第二十四条“通过信息化手段优化管理流程”被细化为《办法》第三十四条“中央企业应当定期梳理业务流程，查找合规风险点，运用信息化手段将合规要求和防控措施嵌入流程，针对关键节点加强合规审查，强化过程管控”。
（3）《办法》新增第三十五条“中央企业应当加强合规管理信息系统与财务、投资、采购等其他信息系统的互联互通，实现数据共用共享”。

■ 评述

（1）《办法》明确提出应当建立合规管理信息系统，同时具体说明了其所需要包括的内容，对于企业设计开发信息系统具有直接指导意义。
（2）《办法》明确要求运用信息化手段将合规要求和防控措施嵌入流程，借助信息化手段实现“合规入流程”。
（3）《办法》强调与企业其他信息系统的互联互通，合规管理信息系统的建立需充分考虑其他部门的现有系统，实现不同系统之间的有效衔接。