关于下发《XX公司合规管理实施办法(试行)》的通知

关于下发《XX公司合规管理实施办法（试行）》的通知XX公司各单位：为建立健全有效的合规管理体系，提升各单位合规风险防范能力和经营管理水平，健全公司合规管理组织架构与职能，根据相关法律法规规定并结合XX公司实际情况，特制定《XX公司合规管理实施办法（试行）》，请各单位遵照执行。特此通知XX公司集团股份有限公司2018年3月14日XX公司合规管理实施办法（试行）1总则1.1目的1.1.1明确合规管理的定义、内容、目标、原则与方法，规范XX公司全面合规管理工作，健全公司合规管理组织架构与职能。1.1.2建立健全有效的合规管理体系，提升各单位合规风险防范能力和经营管理水平。1.2适用范围本办法适用于XX公司各单位。1.3编制依据本办法根据ISO19600：《合规管理体系—指南》、COSO《内部控制—整合框架》（2013版）、COSO《企业风险管理框架》（2017版）制定。1.4定义1.4.1合规：遵守使用的法律法规、监管规定、管理制度，遵守相关标准、合同、有效治理原则和道德准则。1.4.2合规风险：不合规可能遭受法律制裁、监管处罚、重大财产损失或声誉损失的风险。1.4.3合规管理：对组织面临的合规风险进行识别、分析、评价的基础之上，建立、执行、跟踪、改进合规管理流程，从而达到对合规风险进行有效应对和管控的活动过程。1.4.4合规文化：在单位内、团队里确立合规的理念、倡导合规的风气、加强合规的管理、营造合规的氛围，保证一个单位、一个团队里的所有成员都能够自觉做到依法合规，形成一种良好的软环境。1.4.5内部控制：指围绕风险管理策略目标，针对公司战略、规划、投融资、市场运营、财务、法律事务、人力资源等各项业务管理及其重要业务流程，通过执行以风险管理为导向的内部控制基本流程，制定并执行的规章制度、程序和措施的动态管理过程。2管理原则2.1战略性原则XX公司合规管理工作必须从战略目标出发，为实现战略目标服务。各项管理政策的出台和所有管理活动的开展，都必须与日常经营管理行为有效融合，必须有利于经营目标和管理目标的实现。2.2全面性原则合规管理工作应当涵盖所有部门与岗位，贯穿在规划、决策、业务执行与监督全过程，落实到各项业务与环节，确保全员参与、全面覆盖，树立全员风险合规意识。2.3重点性原则合规管理工作必须明确重心，在兼顾全面性的基础上，关注重要业态板块、重要管理领域、重要业务事项和高风险领域。2.4遵循性原则合规管理体系建设应结合公司业务实际并充分符合所在地区、所属行业相关法律、监管规范的要求，确保对“外法内规”的遵循。2.5长效性原则合规管理工作应当随着企业内外部环境的变化，与公司经营规模、业务模式、市场竞争状况、风险水平及公司文化等，不断改进与完善，并随着情况的变化及时加以调整，发挥管理机制的长效作用。2.6嵌入性原则合规管理工作应当随着企业内外部环境的变化，与公司经营规模、业务模式、市场竞争状况、风险水平及公司文化等，不断改进与完善，并随着情况的变化及时加以调整，发挥管理机制的长效作用。2.7分担性原则合规管理工作应以“风险与把控能力对应，风险与收益对应，风险与职责对应”为指导，实现合规风险实际承担人与合理承担人的一致。2.8成本效益原则合规管理工作必须兼顾成本和收益，在保证内部控制有效性的前提下，合理权衡成本、风险与效益的关系，争取效益最大化。2.9激励性原则合规管理工作应根据合规管理责任落实情况、高风险领域问题整改及管理提升情况等，建立健全奖惩机制，并有效实现绩效应用。3组织体系及职责XX公司合规管理应纳入全面风险管理框架，依托“三道防线”开展工作，并充分发挥领导层的作用。3.1高层领导承诺与支持3.1.1领导合规建设，对公司经营管理的合规性做出承诺并承担责任。3.1.2确立合规方针与合规目标，并确保与公司的核心价值观、战略方向相一致。3.1.3审批合规管理工作规划与基本政策、制度，进行重大合规风险决策。3.1.4确保合规管理体系建设、运转、优化与改进所需的资源充分，并进行合理分配。3.1.5确保充分的合规管理权限授予、规范的合规问责实施及合理的合规绩效应用。3.1.6确保自身对合规理念的认同与传导、对合规行为的遵守与承诺、对合规工作的支持和参与。3.2“第一道防线”3.2.1XX公司以各级直接服务于生产经营一线的业务部门及其业务指导或归口管理单位（以下简称“各业务部门”）作为合规管理的“第一道防线”。3.2.2工作职责各业务部门应当履行本企业生产运营方面合规管理主体责任，主要负责：3.2.2.1负责业务体系岗位职责、业务流程、规章制度及其他管理标准的制定，建立、健全内部控制体系。3.2.2.2负责业务体系合规风险辨识、分析、评价、报告及应对工作，及对下级部门的合规风险管理工作。3.2.2.3负责业务体系范围内日常合规文化宣传、培育、引导工作。3.2.2.4联合风控部门完成其他合规风险和内部控制专项管理工作。3.3“第二道防线”3.3.1XX公司以风险管理委员会、各级风险控制部门以及其他各级职能支持部门作为合规管理的“第二道防线”。3.3.2风险管理委员会职责风险管理委员会作为董事会下设的公司合规管理与内部控制的日常决策专业指导机构，主要负责：3.3.2.1审核合规风险和内部控制管理工作规划，督导建立、健全合规风险和内部控制管理工作机制。3.3.2.2审核内部控制评价报告、重大业务风险评估报告、全面风险管理报告及其他重大事项报告。3.3.2.3审议重大合规风险事项，研究制定具体合规风险应对策略。3.3.3风险控制部门职责风险控制部门是公司合规管理和内部控制工作的组织职能机构，主要负责：3.3.3.1协助“第一道防线”及其他职能支持部门完善内部控制建设。3.3.3.2建立完善的合规风险识别、评估与信息报告机制。3.3.3.3组织开展高风险领域合规风险评估。3.3.3.4参与重大合规风险处置，提出处理建议。3.3.3.5组织开展合规文化宣传、培训活动。3.3.3.6指导、监督、评价“第一道防线”及其他职能支持部门合规管理工作开展情况。3.3.3.7其他合规风险和内部控制管理日常工作。3.3.4其他职能支持部门职责其他职能支持部门应当履行本职能体系合规管理主体责任，横向配合和参与风控体系牵头组织的合规管理工作。3.3.4.1负责本职能体系岗位职责、业务流程、规章制度及其他管理标准的制定，建立、健全内部控制体系。3.3.4.2负责本职能体系合规风险辨识、分析、评价、报告及应对工作，及对下级部门的合规风险管理工作。3.3.4.3负责本职能体系范围内日常合规文化宣传、培育、引导工作。3.3.4.4横向联合风控部门完成公司合规风险和内部控制专项管理工作，参与制定并实施由风控体系牵头制定的合规风险专项治理方案。3.3.4.5参与“第一道防线”内控建设工作。3.4“第三道防线”3.4.1XX公司以监察、审计部门为合规管理的“第三道防线”。3.4.2工作职责3.4.2.1对公司合规管理体系的建立与运行情况进行独立监督。3.4.2.2对合规管理的有效性评价工作开展及缺陷整改情况进行独立监督。3.4.2.3对合规管理工作开展情况、公司层面风险评估、重大风险应对情况、合规风险管理效果等进行独立监督。3.4.2.4对公司合规管理政策、制度及相关管理文件的制定与执行情况进行独立监督。4开展合规管理工作4.1内部控制体系建设（以下简称内控建设）4.1.1主要工作以核心业务流程为依据，以全面风险管理框架为指引，结合公司发展战略与目标，通过明确各单位职责定位，有效排查、评估重大风险，揭示内部控制缺陷，完善制度体系建设，循环进行评估、报告和持续优化的系统性工作。4.1.2管理要求4.1.2.1“第一道防线”管理要求⑴XX公司各业务部门应明确自身职能定位，确定组织内部各岗位工作职责，确立基本的工作流程。⑵各业务部门应按照公司规章制度体系建设要求，针对管理薄弱环节、核心风险点加强规章制度建设。⑶各业务部门第一负责人应具备基本的风险管理意识，针对生产运营方面重大事项决策、重要项目安排等管理事项组织建立授权审批控制、财产保护控制、运营分析与绩效考评控制、不相容岗位分离控制等基本的控制措施。⑷主动配合风险控制部门及其他职能支持部门开展系统化、规范化的内控建设，采纳风险控制部门及其他职能支持部门针对本单位在风险管理、内控完善方面提出的专业建议。4.1.2.2“第二道防线”管理要求根据专业公司经营规划、核心业务、组织架构有针对性地制定内控建设规划，自主实施或引进外部智力资源，推进系统化、规范化的内控建设。⑴XX公司各级风险控制部门，负责设计并维护XX公司规章制度管理体系，督导各业务部门及其他职能支持部门按照规章制度体系建设要求，将规章制度建设与内控建设密切结合，对各业务部门及其他职能支持部门提出规章制度废、改、立申请及制度文本出具审核意见。⑵XX公司各级风险控制部门，向“第一道防线”及其他职能支持部门提供专业化的风险管理服务，通过识别业务领域剩余风险，参与各类流程表单设计，编制内控手册，协助“第一道防线”及其他职能支持部门完善自身内控机制。⑶XX公司各级风险控制部门，应结合自身所处业态，收集研究本行业内控建设范例，协助“第一道防线”及其他职能支持部门优化业务流程，以内控建设为抓手，提升业务部门及其他职能支持部门管理、运营效率。⑷XX公司各级风险控制部门，应根据所服务企业风险管理形势的实时变化，适时调整内控建设重点，有针对性地在高风险业务领域加强内控，形成风险管理闭环。⑸XX公司各级风险控制部门，负责将各单位年度内控建设计划、内控建设成果纳入XX公司风险管理委员会议题，在公司治理层面推动内控建设成果落地。⑹其他职能支持部门应接受风控体系对其自身内控建设的指导和建议，加强本职能体系核心业务管理环节（如“三会”管理、干部管理、资金管理、品牌传播、IT系统建设、安全管理等）的内控建设，确立基础的工作流程、控制措施及规章管理制度。⑺其他职能支持部门与“第一道防线”建立信息沟通机制，配合“第一道防线”做好业务接口环节的内控建设工作，配合参与风险控制部门组织的系统化内控建设项目。4.1.2.3“第三道防线”管理要求⑴负责对内控机制设计与运行的有效性进行检查、评价，揭示内控运行缺陷，并向第一、第二道防线反馈评价、检查结果。⑵针对内控评价中发现的严重执行缺陷，涉及重大违规违纪问题的，有权向人事管理部门提出人员问责建议。4.2合规风险专项治理4.2.1主要工作4.2.1.1合规风险识别围绕公司各个业务管理环节，以“外法内规”为重要评价标准，充分考虑法律法规、行业监管等外部环境因素，密切联系与公司经营管理实际，有效识别合规风险征兆事件，明确合规义务。4.2.1.2合规风险分析与评估针对识别出的合规风险与对应风险征兆事件，组织分析和研讨，了解风险成因、发展趋势，对风险影响程度、发生可能性进行判断，按照风险信息报告机制及时予以上报。将已识别合规风险纳入XX公司风险数据库进行统一管理。4.2.1.3合规风险应对对于已识别的重大合规风险，XX公司总部、专业公司应分类分级制定并落实风险应对策略及应对措施。4.2.2管理要求4.2.2.1“第一道防线”管理要求⑴各业务部门应当对合规风险秉持谨慎态度，保持较低的风险容忍度，对将导致重大经济利益受损、企业声誉受损的合规风险坚决“零容忍”。⑵各业务部门应有效执行XX公司风险信息报告制度，积极履行合规风险征兆事件定期及实时报告义务。⑶针对经营管理行为涉及合规风险不确定事项，各业务部门应及时与同级或上级风险控制部门展开沟通，听取风险控制部门的建议。⑷各业务部门应将合规风险评估纳入重要经营管理事项的决策环节，作为各单位完善内控建设的重要组成部分，注重对合规风险的事前预防。⑸积极协同风险控制部门工作，履行合规风险管理主体责任，做好重大合规风险事项的事中控制与事后处置。4.2.2.2“第二道防线”管理要求⑴各级风险控制部门应根据所服务企业合规风险管理形势的变化，以合规调研、合规检查等形式开展专项合规风险评估，集中揭示经营管理各环节存在的剩余合规风险，并协助“第一道防