（一）企业要识别合规风险，首先必须识别合规义务。
合规义务就像一把“尺子”，一把企业衡量自身生产经营行为正确性的尺子。有了尺子，才能度量出企业生产经营行为过程中可能出现的合规偏差，也就是合规风险。根据《合规管理体系 指南》中给出的“合规义务”的定义，合规义务应包括合规要求，可包括合规承诺。
合规要求是企业必须遵守的义务，具有强制性。在市场经济中，国家监管机构从维护市场经济健康、有序发展的需要出发，制定了许多强制性的法律法规等要求。
合规承诺是企业选择遵守的要求，具有自愿性。由于市场竞争激烈，企业为获得股东、顾客、供应商等相关方的信赖,对自身生产经营过程和产品品质进行的若干承诺。
（二）企业识别合规风险，还要注意合规义务的维护。
现实中，合规要求和合规承诺不是一成不变的，需要时刻关注并将新的合规要求和承诺纳入合规义务清单文件中。企业应当制定适当的流程来识别新的和变更的法律、法规和规则以及其他的合规义务，以确保企业持续合规。为了获得合规义务来源变化信息，企业可采取如下措施：与监管部门会面；与法律、合规顾问交流；跟踪监管部门的网站动态；参加行业论坛和研讨会；订阅相关信息服务；确保自己是专业组织会员；确保自己在监管机构收件人列表中。
以上八种措施均是为企业维护合规义务提供了信息沟通的渠道，可以说，合规义务维护的重点是建立好合规义务信息沟通渠道。企业有必要制定相应的企业合规义务动态维护管理流程，以便及时跟踪法律、法规、规范和其他合规义务的出台和变更。
与作为识别和建立本企业的书面合规义务内容清单的合规义务识别清单相类似，在合规义务维护方面，企业应当建立动态维护本企业的书面合规义务内容清单——合规义务持续识别维护清单。在合规义务持续识别维护清单中，企业应当在上一轮次识别的合规义务识别清单的基础之上，注明增加、删除和调整的合规义务情况，并描述其对企业的影响，最终确认企业是否将上一轮次识别的合规义务继续纳入合规义务范围。
（三）企业识别合规风险，需要综合运用各种方法。
识别合规风险的方法，即是把合规义务与企业的活动、产品、服务和运行（企业的经营管理行为）联系起来，运用一些具体手段，如基于过往案例、基于专家经验，基于归纳推理，基于头脑风暴等方式，发现和列举出企业存在的合规风险。以下是一些常用的合规风险识别技术与方法：
这些合规风险识别技术与方法，通过提供若干识别合规风险的角度，能够为企业构建符合自身经营管理需求的合规风险识别框架。值得一提的是，这些技术、方法往往是综合运用的。如：事件库法作为企业内部和外部合规咨询团队最常用的合规风险识别方法，往往需要辅之以其他方法甚至是合规管理工作，包括（1）问卷调查法、访谈调研、头脑风暴法、德尔菲法、检查表法；（2）合规管理评估以及合规管理部门在合规日常工作中发现的需要引起足够重视的合规风险或问题；（3）内、外部审计、纪检、监控等活动中发现的合规风险事件等；以及（4）员工举报等。此外，还需要关注和收集违规案例以及相关司法判例、同类企业过去识别和发生的合规问题及违规案例。
（四）企业合规风险识别小结
前述分析，可以看到，合规义务与合规风险之间的紧密关系。总结来说：
1.合规义务的多与少与企业本身密切相关。对于企业来说，来自监管机构颁布的法律、法规等强制性合规要求都是必须遵循的。它们是企业固有的合规风险，关键在于企业是否主动承担这些合规要求。合规承诺就不同了，它是企业对市场、客户、监管机构等相关方的主动承诺。合规承诺不是越多越好，也不是越少越好，最适宜于企业健康发展、基业长青的合规承诺才是最好的。因此，企业管理层要从经济适度出发，在满足国家监管机构制定的法律、法规等强制性合规要求的基础上，从适合其企业经营管理水平、规模、复杂性、结构和运营的方式出发，进行主动的合规承诺，最终制定企业合规义务文件。
2.合规义务决定合规风险。《合规管理体系指南》第 2.12 条，“合规风险，是不确定性对合规目标的影响”。在市场经济环境中，企业的生产经营行为应该遵循合规义务，一旦违反合规义务，就存在不确定性，便产生合规风险。不合规是指未履行合规义务或者违反组织合规义务。假如企业没有承担合规义务，就无所谓的合规风险。企业承担的合规义务越多，未履行或者违反合规义务而导致的合规风险就越大。此外，企业承担的合规义务标准越高，履行的不确定性也就越大，未能达到合规义务要求而导致的合规风险发生的概率也越高。
3.在企业生产经营过程中，由于合规义务的存在，员工行为对合规义务遵循的不确定性导致了合规风险的产生。可以说，合规义务分布在何处，不确定就在何处，合规风险就源于何处。而合规义务的分布是由权力的分布来决定。权力是对利益分配的支配力，权力是利益分配的焦点。合规义务是用来规范权力的正确行使、规范利益的合理分配的。因此，有权力（利益分配）的地方，就存在合规义务。违规行为的“铁三角定律”：权力+不良动机+业务机会=合规风险发生。
发表评论