最近，有个做制造业的朋友对我说，他所在的公司去年请律师团队做了合规，但是他觉得没有什么用，这是为什么?
他的疑问，实际涉及到三个问题：第一，合规是什么?第二，如果没用，是什么原因?第三，合规，到底有什么用?
一、合规是解决方案，不是解决问题
合规，是一个很宽泛的概念，可以分为对内和对外两个部分。对内，公司要求员工的行为符合员工手册和规章制度等，违规最直接的后果，是损害公司利益，最典型的就是内部舞弊和腐败。
对外，合规要求公司管理者的决策，符合国家法律法规和商业伦理。比如，上市公司违规信息披露，企业违规排放污水，食品添加物超标，等等。这类行为的直接后果是损害消费者权益，破坏社会秩序等，可能招致行政机关的处罚，严重的更是涉嫌犯罪。
感觉合规没用，某种程度上就是合规的有效性问题，这不仅是企业家关心的问题，也是执法机关重点考察的问题。对于企业而言，做合规是为了解决问题，避免被处罚的风险。没有效果，钱就白花了。
对于执法机关而言，最高检实施的合规不起诉改革，将合规的有效性评价，作为是否起诉的依据。因为无效的合规，不能防范再次犯罪，不起诉就没有意义了。
朋友之所以问合规为什么无用，原因在于他首先建立了一个假设：只要做了合规，一切问题就迎刃而解了。但是，这个假设是不成立的，因为合规只是一个解决方案，并不能直接解决问题。
是否有效，首先取决于方案是否对症。这涉及到很多具体信息，我们不在此文中讨论。在合规计划对症的假设之下，合规是否有用，就取决于计划能否落地实施。
就像减肥，虽然方法很多，归根结底无非是少吃、多动。但是，好吃懒做才是人的本性，所以减肥成功的是少数。合规，本质上是内部纠错措施，执行中的困难重重。
二、合规的有效性，取决于公司价值观
有一个常见的误区是，建立了一套合规管理体系，合规就是职能部门或外聘专业人员的工作，公司“坐享其成”就可以了。其实，执行中的障碍，主要涉及到人、财、制度和对外决策四个方面：
钱
建立一套完整的合规体系，是一笔不菲的投入。除了前期搭建合规组织，经营过程中仍需要持续投入。
比如，汽车龙头企业——吉利汽车集团，2014年起设立合规管理部门委员会，以反腐败合规为核心，从上到下500余名合规人员，覆盖了企业各个角落，这就是一笔庞大的开支。
同时，在短时期内，反腐合规，必然会导致订单减少。流程控制和岗位制约，也会导致效率降低，这都是消极的投入。
当然，投入也是有回报的。据报道，在十多年时间里，吉利集团已查处了数百起不合规案件，挽回经济损失数亿元。最重要的是，合规管理体系也助力吉利走出国门，是成功收购沃尔沃不可缺少的条件。
问题在于，我们看得见的是真金白银的支出，看不见的是有效合规带来的收益。
人
企业内部舞弊和腐败，都是人的问题。除了正向的教育、培训，反向的监督、调查和处罚，是十分重要的，也是最有挑战的。
(1)高层舞弊：
高层舞弊一般是公司内部掌握一定资源的人，要么是公司的“老臣”，要么是公司的“能臣”。他(她)们不仅和公司有千丝万缕的感情联系，也往往在公司的运营中起到举足轻重的作用。
如果他(她)舞弊，对他(她)们的处罚，不仅直接关系到公司的运营和业务，还可能影响公司形象。这不仅需要权衡利弊，还要割舍感情，很多时候是一把手才能做的决定。
(2)基层舞弊：
基层的舞弊，往往发生在特定岗位，比如，仓库保管员、财务人员、运营、采购人员等，这些岗位直接接触财物或者掌控资源，“常在河边走，难免不湿鞋。”
对于人性中幽暗的部分，反向的处罚可能比正向的教育和培训更重要，因为只有处罚是通过行动执行制度，这样才能树立制度的权威。
但是，处罚是建立在内部举报和调查的基础上。很多大公司虽然有举报和内部调查制度，但是收效甚微。因为这都是得罪人的事，如果没有配套的制度保护举报人，清除调查的障碍，公布调查的结果，赢得员工的信任和支持，这些制度就是摆设而已。
制度
现代人几乎生活在一个被制度所织就的大网中，大到法律，小到各种规矩，它们无所不在，也很容易成为空气般的存在。除非被处罚过，我们才能认识到它的存在，并成为行为准则。
很明显的例子，就是交规，如果没有罚款和计分制，人们很难自动遵守。合规管理也是如此，只有通过处罚建立制度的权威，才是有效的。这就涉及两个方面的问题：
其一，“有要求就有处罚”，比如，公司禁止员工接受供应商的宴请，那么一定要规定违反制度的后果。因为制度都是反人性的，不可能依靠人的自觉。有处罚的制度，才能生出牙齿。
其二，“处罚与行为相当”。如果规定员工接受供应商宴请就开除，这样的处罚太严苛，要么根本无法执行，要么执行效果不好，最终都是不了了之。这样的结局，可能比没有处罚更可怕，因为它释放的信号是，做错事没什么，制度不过是说说而已。
所以，制度不是拍脑袋决定的事，制定前充分调查、论证，制定后严格执行，才能让制度成为行为准则。
对外决策
企业的对外决策，必须协调自身与国家、社会公众和其他第三方的利益。如果使他人或国家利益受损，就是风险的来源。
在中国公司目前的发展阶段，对于大多数企业而言，决策都是利益和风险之间的权衡，违规某种程度上就是追求利益付出的成本。在这个计算公式下，对外决策涉及两个问题：
第一，如何看待利益?利益简单来说就是两种：短期利益和长期利益。比如，2022年5月比亚迪再陷废气排放风波，在疫情期间市场缺货的情况下，比亚迪开足生产力满足市场需求，获得的利益是现成的，这是短期利益。
但是，比亚迪要在长沙长期发展，就必须获得周边社区和当地政府的支持，这就要在周边居民的健康、当地的环保和企业的利益之间进行协调。那么，从长期利益考虑，它就应当克制产能，合法合规地排放。
第二，如何看待风险?利益很多时候是眼前看得见的，违规风险却具有偶然性。就像逃税一定能少交税，被处罚的风险却是概率。
这个概率一方面在于执法的严厉性和公正性，我们不在此讨论。另一方面，则在于决策者的认知。现代商业社会，违法和犯罪，并不仅是我们所熟知的杀人、行贿等，而是由各种法律法规编制的错综复杂的大网，由此产生的犯罪都叫行政犯，它不是一种我们在社会生活中自然知道的恶，而是因为法的制定而产生，具有很强的专业性。不知风险所在，才是真正的风险。
这就需要企业决策之前，能获取充分、专业的法律建议。有专业的合规人员，合规意见能独立地呈现给决策层，是十分重要的。这就需要组织、职权设置等方面的支持，比如，公司赋予合规部门更高的管理层级，实行垂直的考核机制，避免被其他部门所牵制，合规部门应该直接向董事汇报等。这就是合规管理中最为重要的独立性原则。
当然，合规也会遭遇中国公司内部人控制的障碍。但是，合规对标的是行政监管和刑事犯罪的风险，这种风险的背后是国家权力。公司控制人可以无视公司治理规则，因为控制权在握。但是，不可能无视合规风险，因为没有人可以对抗国家权力。就此而言，合规管理比公司治理更有约束权力滥用的强制力。
但是，对于不考虑长远利益和不计风险的决策者而言，合规仍旧是无用的。对一个公司而言，钱花在哪里，留下来的人是谁，对外决策如何平衡社会责任、第三方利益和自己的收益，最终取决于哪些人、哪些事、哪些利益符合公司高层的价值观。所以，归根结底是公司的价值观决定了合规是否有效。
三、合规，不能绝对避免风险
回答了合规为什么没用，我们再来看看合规到底有什么用?很多企业做合规，都是为了避免违规所导致的处罚，这无可厚非。但是，合规的有效性，还存在一个手段和结果的关系。
比如，对于射击运动员而言，专注力就是一种自控力，也是射中目标的核心能力。为获得这种能力，运动员需要接受长期的训练。但是，有了专注力，不等于每次都能射中目标，因为结果受现场的诸多因素的影响。
合规也是如此，合规是提升企业内控力的手段。但是，企业具有内控力，不能保证每次都达成避险目标，它只是达成目标的必要非充分条件。最后的结果，受外在各种因素的影响。
1.风险来源多元
以“老坛酸菜”事件为例，康师傅是被上游供应商所拖累。
完整的合规体系，除了公司内部控制之外，还应辐射到与公司关联的第三方公司，比如，供应商、代理商、渠道商、中介机构等。因为风险是可以传导的，这就是第三方合规。
风险波及更广的案例是，乐视网财务造假被查，连累多个保荐机构，被一同立案调查的北京市金杜律师事务所，被聘的其他IPO或定增计划都被中止审查。这就是由金杜律师事务所服务的一个客户波及到另一个客户，不是“连累”，而是被“株连”了。
除了上游供应商的连累，还有下游代理商的风险。这在医药行业体现得更加明显，国家为了加强反医药贿赂的力度，将与生产企业具有委托代理关系的经销企业和配送企业捆绑在一起，后两者的行贿视为生产企业的行贿，直接影响生产企业在招采中的信用评价。
针对以上监管措施，医药企业的合规中，就有专门的第三方管控，通过尽职调查、定期风险评估等方式，控制上下游的风险。但是，这种控制力终究是有限的，就像我们事后分析康师傅为“老坛酸菜”背的锅，总有点事后诸葛亮。企业在事前堵住所有漏洞，是难上加难。
2.监管是动态的
监管的职责是发现问题，同时也在解决问题中，不断升级监管措施，所以监管是动态的。尤其是强监管行业，比如金融、医药、APP等，跟进监管步伐十分重要。
以国家对APP的治理为例，主要针对的是个人信息保护。作为一种全新的权利，法律对个人信息的认识，以及监管对它的保护，都是摸着石头过河，一边总结、一边立法、一边执法。
这几年监管的内容从违规收集、使用个人信息，到强制授权、窃拍、窃录，再到开屏弹窗广告、自动续费等各个方面，涵盖的面越来越广，保护的力度越来越大。
监管部门不仅发布了一系列文件，还展开了持续的“清朗行动”。企业如果不能及时跟进政策或监管动向，就可能撞在枪口上。据报道，2021年国家网信办部署开展15项“清朗”系列专项行动，累计下架应用程序、小程序2160余款，关闭网站3200余家，这些都是持续存在的监管风险。
3.风险是随着企业发展变化的
公司在发展的不同阶段，面临的问题和风险也是不相同的。
初创阶段，股权结构最重要，这不仅决定了公司的权力结构，也是公司隐藏在内部的最大风险源，股东内讧是公司解体的最大原因。
发展到成熟期，外部要关注的是融资风险。融资，既可能被雪中送炭，也可能是引“狼”入室;内部则可能因为管理层的固化和信息不对称，存在更大的舞弊空间。
如果发展到上市阶段，监管重点关注的是财务、信息披露、违规担保、资金占用等问题，合规的重点是防范控股股东和实控人滥用权力，掏空上市公司。
所以，没有一套合规方案可以一劳永逸地解决所有问题，合规总是在发展中完善的，识别风险、监控风险、持续改进是有效合规的必经过程。
四、内控力，企业长期健康发展的核心能力
合规，虽然不能直接避免风险，但是它是通过一套机制，比如：风险识别、监测、应对和持续改进，提升企业控制风险的能力，这种内控力本身就是企业长期健康发展罪核心的能力。
1.小公司立好规矩，才有未来
公司有大小之分，就有不同的合规理由和方案。
这里的公司大小，不是指规模，而是指品牌。它们最大的区别是，小公司就像是企业中的“穷人”，最重要的是活下去，可失去的有限。所以，钱要花在刀刃上，安排专人或外聘专业人员，针对行业高风险点做专项合规，是比较经济可行的方案。
有必要强调的是，如果有把企业做大做强的“野心”，合规越早越好。如果对外不合规，企业可能在中途就夭折了。内部合规，则象是家长给孩子定规矩，从小养成好习惯，总比大了之后纠正坏习惯容易得多。
在实务中，大公司中发现的多人长期舞弊的问题，都是因为有小问题时没有及时解决，某些部门或环节处于一种失控状态，经年累月形成痼疾。2018年大疆发布公告称，内部舞弊导致大疆损失上十亿元，这个数字触目惊心。这就是公司发展大了再解决问题的代价。
2.大公司不出错，就是发展
大公司就像是企业中的“富人”，不光被人“眼红”，所失去的也要多很多。
“老坛酸菜”事件中，虽然湖南插旗菜业是很多食品生产企业的供应商，但是大众和媒体关注的，主要还是两个大品牌——康师傅和统一方便面。更有律师消费者直接把康师傅诉诸法院，要求赔偿，这就是品牌大惹的祸。
据说，康师傅方便面受“土坑酸菜”事件影响，不仅产品被超市下架，股价在3月16日半天的亏损就高达43亿元。消费者要重拾对酸菜产品的信心，需要更长的时间。
更重要的是，按照熵增定律，公司发展到一定阶段后，很容易陷入到一种阶层固化、制度叠加导致的混乱，最直接的后果就是内部舞弊和腐败。
为对抗这种熵增，大公司部门越来越多，制度越来越复杂，流程越来越冗长。但是，如果人不严格执行制度和流程，看似多人负责，实际无人责，就陷入了典型的“三个和尚没水喝”的状态，制度没有实效。
这个问题的症结在于，违规没有成本，或者制度没有权威。合规管理实际上是一种自我纠错机制，在纠正不合规的行为中树立合规权威，形成合规文化。文化对了，在合规土壤中才能结出合规的果实。
所以，公司越大，合规风险越大，合规收益也越大。对于大公司而言，不出错就是持续发展。
最后，回到最终的问题，合规到底有什么用?合规，通过提升企业的内控力，有助于达成避免法律风险的目标。但是，最终的实际效果，取决于落地实施的情况。是否落地，又取决于企业家奉行的价值观。求仁得仁，合规致远!