法大大王志炜：企业数字化底座的“防雷路径”

王志炜| 深圳法大大网络科技有限公司总经理

合规从字面上来看，就是合乎法律法规规定的意思。在现实治理合规角度来看，可以分为“业务合规”和“财务合规”，以业务合规为例，当企业业务处在一个综合快速向前发展的过程中时，合规问题看似并不是企业发展进程当中最主要的问题，然而当你发现一个合规问题成为监管关注的领域，进而进行相关的监管红线划定的时候，企业的增长将会被无情的阻断。

从数字治理合规角度来看，可以分为“信息合规”和“数据合规”，以信息合规为例，现在有非常多的领导企业，其实是以内容、信息传播作为主要经营业务的，业务都是在线上以数字化跟信息化方式创造价值。在这个过程当中很多敏感的信息，包括文化等等都必须成为企业合规审查义务当中的一部分，如果忽视这个方面，同样可能造成整个业务被迫整改和转移。

不同企业、不同行业大家对于合规标准定义不一致的，而当企业出现合规领域的一些问题挑战的时候，都会发现我们的社会民众对有代表性的行业领袖企业都有一个更高的合规期望。在近期的一次“合规调研”中发现，我们的企业家还有我们的合作伙伴，过去三年经营很困难，合规经营更困难。

调研显示，非常多的企业在合规建设方面的投入是稳步增长的，但是这个增长幅度并不大。同样，不同企业所处的合规阶段不一样，有些企业不仅符合法律法规的要求，内部还会关注行业监管的红线指标。还有的企业提到要将企业整个的合规纲领向环境、社会、治理方面进行纲领式的融合。

不守法合规，企业与社会民众均被动承受沉重代价。即便享有盛誉的公司，即便细分行业领导企业，可能都会在不同的合规治理领域遭遇挑战，业务受阻。例如，在2022年7月，一家知名企业就因为违反《网络安全法》、《数据安全法》及《个人信息保护法》领受了天价罚单。

事实上，近两年，政府合规的法律法规不断出台与完善，2022年2月，《网络安全审查办法》正式施行；2022年8月，《反垄断法》正式实施；2023年4月，《生成式人工智能服务管理办法》公开征求意见。足见我们政府引导企业无论现实业务的发展，还是数字孪生发展领域，都希望企业能够真真正正的拥抱科技、拥抱变化，同时合规的发展自己的业务。

既然企业经营者最不能承受的就是业务成长的中断，甚至被迫勒令整改，那么到底该如何定位“合规”？如何建立企业的“合规体系”？

合规体系是企业合规建设的重要起点和主要抓手。合规体系说起来很简单，就是帮助企业在正确的时间做正确的事这样的一套方法、制度、流程、系统、工具。当然这一切都需要企业有专门的组织人员，专门的技能推进相关的方法，组织工具系统落地使用。

很多企业将合规的底线划在了第一个层级，即法律法规的层面上，这是一个起步要求，如果连法律法规都不遵守，那么违规的代价不是会不会发生，而是会早发生还是晚发生的区别。

第二个层级，应该是公司和所处行业的规章制度这个层级，中国城市化进程当中，很多行业都遭遇了相关的一些监管红线的限制，从而出现了行业整体增速下降的一个情况。比如说房地产行业，“三条红线”的划定，让企业债务增长受到了行业规范的限制，从而导致这个行业的大幅波动。

第三个层级，尤其是已经在世界上经营超过50年、100年的公司，它的经营理念更多的是将合规上升到企业的ESG领域，更加强调企业合规是企业影响力的一部分，合规向下一个层级延伸，代表着是企业社会责任、人文关怀、绿色可持续发展的理念，这与企业价值战略发展、ESG纲领几乎是完全融合的。

那么，合规体系具体应该包含什么内容呢？这里重点提到了合规纲领，这个纲领应该是由企业最高管理层掌控批准的，明确企业的程序和相关的合规制度，并且通过在执行过程当中合规义务的识别，合规风险的识别，合规风险的测试，从而实现对于企业合规的义务风险整个过程的控制。

企业的合规行为在整个过程当中如果得到有效的管理，相关方包括企业内部员工，还有企业外部第三方生态合作伙伴，所有参与方都处于一个较好的合规水平的话，企业的合规风险就会有效消减，也能够得到较好的合规评价。

整个的合规体系的建设，它其实是多层级，既要进行组织建设，又要进行制度建设，同时需要技术赋能的系统跟工具帮助企业实现合规的在应用和系统层面的治理，才能够妥善的建立好一个完整的合规体系。

Gartner对“技术作用于企业价值创造”的一项专项研究表明：大部分管理者关注的技术问题相当于水面上的冰山，包括大家已经耳熟能详的一些技术定义跟概念，包括云、大数据、物联网等等；少部分管理者关注的企业转型问题深埋在水面之下，包括业务技巧与专长能力、资金和运营模式、合规和风险管理等等。而水面之下的“冰山”对企业数字化转型的价值影响15倍于水面之上的部分。

企业合规的成熟度是分段位的。很多企业没有专门的合规组织，没有专门的合规制度，更缺乏专门的合规系统和应用工具，就是处于合规的基础级；而有的企业启动了合规体系建设，推动了业务参与业务合规规则的系统化，那么就处于“机遇级”；还有的企业能够通过合规认证，证实合规能力，并通过合规管理，采用信息化手段定期测试风险场景、优化风险预案，就处于“系统级”；更高段位的企业则在投资合规数字化企业方案，引用多种经验证的外部技术，支持价值实现，保障企业数字孪生的全面合规，他们就处于“变革级”和“领先级”。

无论企业处于何种层级，其实合规建设本身都是有大量的投资回报机会，企业处于基础级可以很快的推进合规体系的拟制和建设，如果企业处于机遇级更加关注工具系统的建设，如果已经处于系统级，则应该更好的去推动企业整体合规组织，在为企业保驾护航的层面上通过国际级的认证。

即便处于变革级、领先级的企业也有很好的机会，大家都很清楚我们新能源领域领导企业之一，最大的纯电车领导企业，在中国市场建厂两年即实现盈利，主要的原因并不是说它创造了别人无法企及的速度，而是从第二年开始就将企业的“碳积分”开展交易，从而使合乎国家绿色发展规范的这样一个合规事项变成了企业最终获利的引擎之一。可以看到，很多的企业把合规视作一种成本和投入，实际上合规也可以成为企业收入甚至是利润的一部分。

大多数企业信息化和数字化转型建设过程中，已经形成了大量现有的数据资产，无论是客户体验、生态、物，还是企业内部的经营管理系统，其实技术都应该是嵌入其中的一个底座。技术本身是中性中立，最难的一点是，如何将技术融入业务当中，为业务创造价值。

举一个例子，绝大多数合规体系建设要求企业持续不断的向员工和第三方进行合规纲领、合规理念、合规标准方面的宣讲和宣贯以及持续的应答，生成式人工智能可以成为AI助手，如果企业大量的问答还有基础性、重复性的问题需要不断的应答沟通，可以将AI技术应用这些业务场景，释放宝贵的人力资产跟资源从事更有价值的工作。

在合规治理领域，技术的赋能更加明显，很多企业其实当它遇到业务阻断，甚至最终导致企业解体的一些风险场景，都是没有进行合规技术化审查还有风险压力测试的。近期热点事件，像美国的硅谷银行，还有久负盛名瑞信瑞银合并事件，大家都可以看到，他们都是在专业领域存在较长时间的公司，但同样，在他们业务风险当中，其实是典型的短债长投的风险压力场景，以及当出现融资行为形成的短期债务被企业用于投入较长周期的资产投资时，债务无法有效快速转化为可动用的现金类资产，从而导致相应的机构被迫选择了被收购和合并。

因此我们看到，风险管控不能只有纲领组织，也不能只有流程，同样而且是更为重要的是，需要对合规义务当中的合规风险进行持续的测试，进行风险的化解，进行风险的控制，从而确保企业可以有序的持续经营。

企业要做合规，是必须要有合适的系统和工具来支持合规风险的识别，合规事项的入口管理，合规过程的控制等等。“电子合约科技”是通过AI、区块链、云计算科技的应用，对合同签约过程进行管理，帮助企业使用第三方的服务来向监管机构证明企业的合规，无论是入口还是过程都有证可查、有迹可寻。将电子合约科技嵌入到企业控制管理过程当中，可以大幅度帮助企业利用好现有的信息化资产，更好的实现业务系统的合规控制。