《办法》第3条规定，“本办法所称合规，是指中央企业及其员工的经营管理行为符合法律法规、党内法规、监管规定、行业准则和国际条约、规则、标准，以及企业章程、规章制度等要求”， 首次将党内法规纳入合规义务的来源，对国企合规管理提出了新要求。从实践角度理解，企业合规有三个层次：第一层，符合法律法规、监管规定等强制性要求；第二层，符合行业标准、规章制度、章程等自愿性承诺；第三层，符合商业道德、公序良俗。《办法》将“党内法规”纳入合规范畴，应属第一层的合规范畴的要求，不仅意味着党内法规成为合规管理的新义务来源，也对国企合规管理体系运行带来更大的挑战。

《办法》第3条的规定延续了“大合规”的思想，将企业内部的规章制度归纳进合规概念，并调整条文语序，先规定外部规定再规定内部规定，使概念的逻辑更加清晰。合规概念中新增党内法规，体现国企合规管理应坚定正确的政治方向，坚持党的领导。

《办法》第4条规定，“国资委负责指导监督中央企业合规管理工作，并对合规管理体系建设情况开展评价”，相较于《指引》，对国资委履职要求新增了对所属国企合规管理体系建设情况进行评价。这要求国资委的合规监管应落到实处，依据法律法规、党内法规、监管规定、行业准则和国际条约、规则、标准，以及企业章程、规章制度等要求，对国企在合规管理工作中存在的问题、国企合规管理机制落地情况、国企合规管理的工作方向等进行评价。

《办法》以合规管理“三道防线”为依据划分合规组织和职责，合规组织架构更清晰。有两点突出的要求：

第一，明确第一责任人职责。《办法》第9条规定，“企业主要负责人作为推进法治建设的第一责任人，应当切实履行依法合规经营重要组织者、推动者和实践者职责，积极推动合规管理各项工作”，该规定贯彻了《关于进一步深化法治央企建设的意见》提出的要着力健全领导责任体系的要求，是国企合规管理工作开展过程中的重要保障。同时，该规定对国企的公司治理方面提出明确的领导责任制要求，是权责法定的表现。

第二，明确纪检监察、巡视等部门承担第三道防线的职能。目前实务中，只有审计部门是明确的，纪检监察巡视没有融入合规管理工作，经调整，合规管理的职责分工将更加清晰和细化。

《办法》将《指引》中原本划分较不明确的牵头部门、业务部门、监察、审计、法律、内控、风险管理、安全生产、质量环保等相关部门的合规职责，以“三道防线”为逻辑顺序重新调整，分别明确业务部门履行“第一道防线”主体职责、合规管理牵头部门履行“第二道防线”的牵头职责、纪检监察机构、审计、巡视等部门履行“第三道防线”的监督职责，为企业合规组织架构设计和分工提供更加明确的指引。

《办法》重新调整了《指引》中合规管理运行和保障机制相关章节，在理顺逻辑关系的同时大幅增加了实践操作的细化规定，对可能涉及的问题进行了补充。例如，在企业的合规运行机制方面，《办法》第24条明确了合法合规性审查机制作为经营管理行为的必经前置程序，同时强调合规管理牵头部门有权对严重违反法律法规或企业规章制度的行为实行一票否决。该要求表明，国资委非常重视企业经营管理行为的前端合规风险把控，尤其是在规章制度制定、重大事项决策、重要合同签订、重大项目投资运营等方面，合规管理牵头部门可以直接否定严重违规的项目。

《办法》第七章明确要求企业要加快建立合规管理信息系统，运用信息化手段将合规要求嵌入业务流程，强化过程管控，针对重点领域、关键节点进行实时动态监测，实现合规风险即时预警，对违规行为主动截停。提出要加快推动合规管理信息系统与本企业其他管理信息系统、国资委国资监管信息系统互联互通，实现基本数据共通共享。信息化建设是助力企业合规管理的重要手段，也是数字时代企业合规的新要求。

《办法》细化了《指引》第24条关于强化合规管理信息化建设的要求，进一步对信息化建设的功能设置、嵌入流程、加强互联互通和动态监测等方面提出要求，表明国资委重视信息化建设在国企合规管理中发挥的作用。

《办法》不仅对国企提出了合规管理新要求，也为国企搭建合规管理体系提供了更强的实操性指引。但从实践角度，对于国资委和国企来说，《办法》更多的是提供原则性、框架性的指导与要求，要达到《办法》的要求，仍需要结合国内外合规管理最佳实践的方法论落地。企业应当根据行业特点和经营管理模式搭建针对性的合规管理体系。而一个行之有效的合规管理体系搭建，离不开高层参与，风险评估，合理的制度和程序，培训与沟通，监督、审计和响应五大维度，这五大维度也符合中国标准化研究院制定的GB/T 35770-202X《合规管理体系 要求及使用指南》（征求意见稿）（ISO 37301标准的本地化）的要求。具体而言：

成功的企业合规计划应建立在高层完全公开认可支持的坚实基础上，例如高层明确可见的合规承诺。缺乏高层参与的企业合规计划容易落为一纸空文。《办法》第二章规定党委（党组）发挥把方向、管大局、促落实的领导作用，董事会充分发挥定战略、作决策、防风险职能，经理层切实履行谋经营、抓落实、强管理职能，同时还规定第一责任人、合规委员会、首席合规官等角色的合规管理职责，这种自上而下的合规组织架构能够使企业形成上下连贯的合规管理系统，确保企业管理层及时识别合规风险并采取应对措施。

对于推动高层参与在企业合规管理中落地，企业是否考虑既要符合《办法》要求，也要达到国际最佳实践？例如，党委（党组）、董事会、第一责任人、合规委员会、首席合规官等高层管理层人员在言行的合规性、向员工传达的合规态度、如何处理业务或收入与合规风险的关系等方面的合规承诺，以及中高级管理人员（如，经理层）的合规行动与承诺。除了合规承诺，企业还需确保合规组织的权威和地位，合规职能的独立性（向董事会直接汇报的权力、汇报频率等），以及设计明确的合规组织汇报线等。

企业需定期或不定期地对经营活动中存在的合规风险进行识别与评估，从而了解企业的最高风险是什么，需在何处向前推进。风险评估旨在使企业全面了解整体合规义务，然后确定高风险领域，以便企业可以优先安排资源以首先解决高风险领域。《办法》第12条、第22条和第23条分别规定了关于风险评估的要求、合规风险识别预警和合规风险应对的要求。《办法》提供了原则性的要求，具体如何做，从实操角度提供一些简要建议供大家参考。

首先，企业评估合规风险需考虑以下因素：① 根据企业的规模、目标、市场环境及风险状况确定合规风险评估的标准和合规风险管理的优先级；② 合规风险意识、资源配置、职责权限、过程监控、奖惩机制、执行者能力要求、内部制度审查、第三方专业机构审查结果；③ 违规或可能造成违规的原因、来源、发生的可能性、后果的严重性等。其次，企业基于风险发生的可能性（概率）评分标准和风险发生影响度评分标准，对合规风险进行评估定级。最后，企业对识别出的合规风险，结合风险事件发生可能性的高低、影响程度的大小及风险水平高低等因素，将合规风险按等级排序。并在合规管理风险排序和分级的基础上，根据合规管理需要，进一步确定需要重点关注和优先应对的合规管理风险，以及确定后续的合规管理措施及完善合规管理体系。综合以上合规风险评估过程，企业可出具合规风险评估报告，内容包括风险评估实施概况、合规风险基本评价、原因机制、可能的损失、处置建议和应对措施等。

《办法》此次调整的重点之一在于明确了合规管理制度的框架体系和细化补充了合规管理运行和保障机制的实操规定，例如以“三道防线”为基础调整合规组织架构和职责，强化重点领域合规风险防范，强调在涉外业务领域制定专项合规管理指南等。《办法》这部分的调整对企业的启发是：企业需重视合规管理的制度和程序设计与落实，它是企业合规管理的核心，是企业所有员工履行合规职责的基本要求。

具体如何落地，主要分为以下四方面：（1）企业行为准则，这是企业经营管理和文化建设的纲领性文件，包括企业愿景、使命、核心价值观、合规方针、社会责任等方面；（2）企业合规管理制度，这是企业合规部门进行合规管理的程序性规章制度，包括合规组织制度、合规风险管理流程、合规审查流程、违规举报、调查与处置流程、合规报告程序等方面；（3）职能部门管理规章，企业不同的职能部门涉及到不同的合规规范的执行与遵守，例如，管理、财务、人事行政、法务、内控等部门均有相对应的合规规范；（4）业务合规流程，企业各业务条线会涉及不同领域的合规规范，例如，网络与数据安全保护合规、反垄断合规、出口管制与制裁合规、反腐败和反商业贿赂合规、反洗钱合规、知识产权与商业秘密合规、环境与安全合规、海关关务合规、产品合规、人事劳动合规、企业境外经营合规等领域。对于专业性较强的领域，往往需要企业合规部门与业务部门合作制定和修改相关的业务合规流程。

《办法》第六章专章规定央企应当重视合规文化建设，通过领导专题学习、法治宣传教育和合规培训的方式来塑造合规文化。在具体落实《办法》关于合规培训的要求方面，企业可以考虑定期组织与企业合规风险相适应的培训，设计培训的形式与内容，确保培训的有效性。例如，线上、线下培训中员工是否有途径提问？如何处理未能通过全部或部分测试的员工？是否检测培训的效果？通过设计良好的制度化、常态化合规培训机制，企业能够确保员工及时了解最新的法律法规、监管规定、企业内部规章制度等方面内容。

另外，《办法》第35条提到“中央企业应当鼓励员工提出改进合规管理的意见和建议，对于作出重要贡献的可以给予奖励”，鼓励员工参与企业合规管理，可以帮助企业形成良好的合规文化。在设计沟通程序方面，企业可以考虑是否有畅通的沟通渠道、是否可以就改进合规管理的意见和建议进行持续性的沟通、中高层管理人员是否对员工提出改进合规管理的意见和建议给予反馈等方面。

《办法》第14条规定了纪检监察机构和审计、巡视等部门在职权范围内履行“第三道防线”的监督职责，包括对企业经营管理行为进行监督，为违规行为提出整改意见，对合规管理工作开展全面检查或专项检查、对企业和相关部门整改落实情况进行监督检查、在职责范围内对违规事件进行调查，并结合违规事实、造成损失等追究相关部门和人员责任等。在实践中，企业需关注员工是否遵守合规管理制度，即使高层合规承诺已传达到位，各节点的控制措施也落实到位，但企业仍然需要持续关注员工是否遵守合规制度。