在确定合规管理的需求之后，企业开始启动合规管理体系的建设工作。那么，最终会呈现出什么样的合规管理体系呢？毕竟现实和理想，或称执行和设计，是两回事。这就涉及合规管理的供给问题。

首先看一下，是哪些现实因素在推动一套合规管理体系的进展？①合规风险对企业的重要性。纵观目前合规管理工作走在前列的企业，其最开始的时候，都是遭遇重大合规风险之后才痛下决心进行改善的。因为这些合规风险，对于企业来说，异常重要，往往关乎企业生死存亡。②企业对合规管理需求的感知程度。没有发生合规风险事件时，企业仍有合规需求，但是否主动建立体系及建立体系的完善程度，还取决于企业管理层对需求的感知。如企业认为合规并非第一顺位的，那即便有需求，其建立起来的合规管理体系也未必会得到很好的实施。③高层基调。合规管理从管理方法来说，是一种自上而下的管理。可以说，只有自上而下，合规管理才能有效推动。因此，“上头”的推动和支持很重要。即高层基调。高层亲自承诺和身体力行，对于合规管理的落地至关重要。④可用资源。合规管理需要投入人力、财力、技术资源，如资源不充分或错配，则其效果会大打折扣。⑤投入产出效益因素。合规管理，首先无法在有限的时间段内对所有的合规风险进行防范，只能逐步计划、逐年实施。其次，只有在合规管理的产出大于投入的情况下，合规管理才可持续进行。

然后，观察已建成的行之有效的合规管理体系的模式，发现其形态是多样化的。没有固定的模式，最后呈现出的合规管理体系现状，是有效需求与有效供给进行综合的结果。需求足够深，供给技术和资源到位，才能产生真正的合规管理体系。如果光有需求，或仅有供给技术，都不能发挥预期的作用，或进行持续的合规建设与维护。这是判断不少企业是“真合规”，还是“假合规”的标准。

合规管理，是企业的风险预防活动，也是监管部门的要求。企业和监管部门，想从企业的合规管理活动中得到什么，能得到什么？这就是合规管理的目标。只有建立适宜的目标，才有可执行的行动措施。

合规管理的总体目标肯定是防范合规风险。具体说，就是抑制不合规事件对企业造成负面影响。理想的情况是，抑制所有的可能违规事件造成的所有负面影响。但从经济效益层面来看，这是不可能的。因为抑制了风险，也就抑制了机会，抑制了机会就是抑制了业务发展，而企业存在的根本是业务发展。所以，我们只能进行有限的特定范围内的风险抑制。

抑制风险又分为两方面。一是预防使之不发生。这对于合规风险来说，尤其如此。因为合规风险，不同于其他风险。合规风险经常与企业的销售、市场、人员、生产、品牌等有密切的关系。所以，我们往往说合规是对违规行为零容忍。如前述，这仅仅是合规管理想体现的价值观，事实上不可能做到零风险。二是降低风险对企业的负面影响程度。在一定程度上，这是把接受风险当作风险管控策略的一种，只是尽量降低风险带来的负面影响。在制定合规风险管控策略时，要特别注意。

应然的合规管理目标是希望通过合规管控，能预防和控制所有的合规风险，但实际操作中，合规管理的目标应转变为“对纳入实施范围的合规风险，进行防范”。其原因如前所述。进一步分析，合规管理的目标之所以限定在“对纳入实施范围内的合规风险进行防范”，是基于两点考虑。一是，成本效益原则。企业管理都是有成本的，产出也都是有限的，必须衡量投入产出比。二是，任何企业对风险的控制能力也是有限的。这跟企业领导意识、风险控制部门的人员、企业愿意投入的资源等有关。

在树立合规管理目标时，我们要判断“合规创造价值”这个论断的适用性。这句话本身是没错的，但看要所用场合。如果是为了宣传合规文化，强调合规价值，鼓励建立合规体系，可以说“合规创造价值”。但是，合规管理的目标，是企业价值最大化吗？个人认为，企业任何行为都是为了企业价值最大化，这样表述其实没有什么实质意义。要深究合规管理的价值，仍然要回到合规管理是一种风险管理活动，它只是通过预防和控制风险来间接创造价值。

合规管理是一项管理活动。那么它管的是什么？合规管理这个新兴的管理体系，它管控的是合规风险。这就是合规管理的内容。合规风险，是指违反合规义务所产生的风险。合规义务，即企业及其员工应当遵守的各项“规”。这些“规”有五个层级：一是企业内部的规章制度。二是企业面临的监管规则。三是企业应遵守的国内外法律法规。四是企业周围的社会道德规范。五是企业自身承诺的规定或说明。其中，国内外法律法规无疑是最核心的“规”。

要管控好合规风险，首先要清楚合规风险的产生原因。风险的产生原因，也称为风险源。合规风险源包括：①因为存在重大利益，企业及其员工明知违规仍主动为之，从而引发合规风险。这是非常普遍的情况。②因为企业内监控缺失或监控措施不到位，导致高管或员工有机可趁，产生合规风险。③因为企业及其员工缺乏认识或能力不足，不知道违规，但事实已违规。④因为其企业缺少制度或制度存在缺陷，导致高管或员工有意识地违规。⑤相关惩罚机制的威慑力不够，违规收益明显大于违规成本，促成合规风险的发生。

其次，在理解合规风险的一般发生原因之后，关键是要找到本企业面临的合规风险。这又称为“合规风险识别”。识别的目的是辨识和罗列企业可能会遇到的合规风险。关于风险识别的具体方法，有很多种。它是整个合规管理活动中的关键一个环节，也是几乎所有的合规管控措施的前提。可以通过专家经验法、过往合规事件集、合规义务库等方法予以识别合规风险。

最后，找到合规风险，还要对合规风险进行评估。评估包括分析和评价两个部分。分析是预测合规风险发生的可能性（概率大小），以及一旦发生其影响程度（后果大小）。可以采用定性和定量的方法对合规风险进行分析。评价是经过分析后的风险进行排序，以便直观地观察合规风险，为下一步采取行动措施做准备。

每一家企业的合规风险是不一样的，但往往可以相互借鉴，毕竟同一市场环境、同一法治文化中，企业遇到的风险也是可以类型化的。同样的合规风险类型，集合在一起，便变成合规风险领域了。如企业的数据合规领域、不正当竞争合规领域。对某一类型的合规风险领域进行管理，便成为某专业合规管理。如企业数据合规管理、企业环保合规管理。

谁来负责合规管理，似乎是不言自明的。现实的合规管理体系建设过程中，很多人对此是有误解的。其中一个最常见的误解就是，合规管理当然是企业合规部门来负责的。但其实，合规管理不仅是合规管理部门的事，也是其他部门的事，不仅是中层的事，也是全体员工的事。

合规管理的主体，按层级可分为5个层级。①高层主体，包括董事会、监事会、经理层。他们负责合规管理整体和宏观事宜。②中层主体，包括各单元、各部门的负责人。他们负责职责范围内的合规风险识别与管控措施落地事宜。③基层主体，包括各岗位员工。④合规管理建设职能部门，即通常我们所说的合规管理部。⑤合规管理评价职能部门，如审计部、综合部。这一类主体，很容易被企业所忽视。但其在合规管理体系中的作用是不容小视的。

合规管理的主体，按环节可分为4类。①建立主体，指董事会、监事会、经理层。他们负责合规管理体系的建立。②执行主体，包括企业全员。③评价主体，包括企业高层、审计部门等。④整改主体，包括业务部门、合规管理部门等。从环节上对合规管理的主体进行划分，其目的只是更好地划分合规管理工作中各部门、各人员的职责，便于各自对合规的理解。实践中，基本上还是按层级来划分的。

对不同的合规管理主体，不仅需要赋予不同的合规职责，而且还应当采取不同的激励和考核方式。如对高层主体，主要是合规意识的培养和合规文化的沟通。对于中层主体，则更多的是合规风险的识别以及合规各项举措落地的中转站。对于合规管理部门，则需要认真考虑其职业操守、职业素养等是否与合规岗位相匹配。在对其提要求的同时，还要注意如何提高其推动企业实施合规管理的积极性。

有主体，就必然有客体。合规管理的主体，是合规管理由谁来负责。那么，合规管理的客体呢？它是指合规风险管控的作用对象。也即合规管理的措施最终落到企业何处？是某个人身上，还是某个流程上，还是某个实物上？这些组合起来，构成了企业的交易循环，这便是合规管理的客体。

交易循环，其实就是指企业的业务流程。企业内的所有经营和管理行为，都可以细分为若干个交易循环（业务流程）。每一个交易循环，如采购循环，包括请购与审批，询价及确定供应商，订立采购合同采购执行，验收，相关会计记录，货款支付，纠纷处理与审计等子行为。这些子行为融合了人、信息、资金、实物等要素。这些要素的不断交换、互动，即形成交易，交易是风险的来源。

不断的交易，形成不断的交易循环（业务流程），也就形成不断的风险。合规管理就要对这些交易循环进行合适的限制、改变、叫停。系统的、有组织的、按事先计划执行的这些限制动作，便是合规风险管理。即作为对风险的管控，是要将“措施”作用到交易循环之上的。

交易循环（业务流程）中的人，既是合规管理的客体，也是合规管理的主体。人既会采取措施控制风险，本身也是风险的来源。信息和实物，同样如此。它们既是风险管理作用的对象，即风险的承载者，同时本身也是风险的来源。

交易循环是合规管理的客体。那么，将“措施”作用到交易循环上的“措施”是什么？这可谓是合规管理落地的精华。一些被证明行之有效的活动或活动的机制，被用于合规管理。如培训、调查与举报、授权审批控制、不相容职务分离机制、绩效考评机制等。另外，如能借助计算机软件程序，将这些活动或机制内化于企业的业务流程之中，那么效果将更好。这便是合规管理的信息化。

对合规管理，我们可以从不同的维度来看。①从企业自身需求维度，合规管理是一种风险预防和控制的机制。②从监管者维度，合规管理是激励企业守法经营的良好手段，也是减轻监管者自身任务的好办法。③从国家标准的推行者来看，合规管理是一种新的管理体系认证标准。

虽然可多角度观察合规管理，但合规管理最终的推动还是要依靠企业自身的自觉行为。在回答了前面7个问题之后，我们可以看出，企业合规管理的本质还是一种特殊的风险预防和控制机制。

不管是从合规管理的来源上，还是合规管理的目标上，我们都可以看到，合规管理作为一项新增的管理活动，其内在还是在于应对合规风险。企业面临合规风险，是一种必然。随着法治作为治理手段的完善，企业利益与社会利益更加紧密结合，企业的合规风险只会越来越大，越来越多。要想持续发展，只有合规经营。

归纳一下，合规管理的本质是企业内建立和实施的合规风险应对机制。它包括如下几方面的内容。①进行合规管理的设计，是合规管理的起点。即企业内要先有意识地建立合规管理计划，并作相应的设计。②发现合规风险，是合规管理取得成效的关键。包括识别、分析与评价合规风险，是合规管理职能部门与业务部门通力合作的成果。③执行合规管理的措施，是合规管理达成目标的核心。没有完美的计划，但可能存在完美的执行。

合规管理，是新生事物，是从内部控制、（全面）风险管理等体系中发展出来的企业管控手段。它的起源、发展及进化，都必然会和企业对法律的遵守、对风险的认识，对效率与风险的平衡等戚戚相关。只有认知到这一点，才可能对企业合规管理的基本问题有一个全面且深刻的认识。