前言

合规风险，在《ISO 37301:2021合规管理体系 要求及使用指南》中被定义为：因不符合组织合规义务而发生不合规的可能性及后果。合规风险是企业合规管理在实际操作中的落脚点，是合规义务产生的根源，理解合规风险的涵义以及重要性对于合规管理体系的建设，尤其是合规义务的设置具有重要意义。

一、合规风险在公司治理中的地位

企业合规在本质上属于公司治理问题。研究合规风险，首先要厘清公司治理风险的概念，在公司治理风险的基本理论中，企业面临的主要风险可以分为如下三大类：

合规风险是与经营风险、财务风险并列的三大公司治理风险之一，具有独立的概念内涵和结构体系。这里尤其需要注意，合规风险并不等同于法律风险，传统的法律顾问服务针对的法律风险主要是商事活动中产生的民事法律风险，而合规风险则是企业因为违法、违规、犯罪行为引发的行政法律风险、刑事法律风险以及重大民事法律风险，两者所针对的风险范围虽有重叠，但合规风险的范畴却更为广泛，合规管理不能只在法律风险管理体系的基础上叠床架屋。

二、合规风险的种类

第一类是企业因违法违规行为受到行政监管部门调查、处罚的监管合规风险，如市场监督管理局、商务部、证交会等行政监管部门作出的行政处罚、达成的行政和解等。该风险对企业产生的最大影响不是罚款本身，而是紧随其后的经营资格剥夺、行政许可吊销等后果，这会给企业带来经济损失、商业交易资格损失、声誉损失等三重损失，由此引发的雪崩效应最终会使企业难以承受。

第二类是企业由于受到起诉而被定罪量刑的风险。企业一旦受到刑事追究，损失同样是多重的：一方面，企业因为被定罪而丧失了信用，无法获得贷款，也鲜有客户会继续与其进行交易；另一方面，企业上市资格会被剥夺，难以再有发展机会。

第三类是企业因不规范的经营行为受到民事主体诉讼，要求其承担违约或是侵权责任的风险。业界对于“民事合规”的说法尚存争议，部分人员认为合规业务应与传统法律服务业务分割开来，只关注刑事和行政责任部分，但笔者认为不应将两者完全割裂。在进行上两类合规管理的进程中，不可避免地会审查合同以进行合规管理，而合同合规管理最大的益处就是避规民事责任风险，如果将合规管理对抗的“目标”定性为合规风险，则民事责任风险必然会落入合规风险之彀中。

三、合规风险案例

7月2日，国家网络安全审查办公室发布公告，为防范国家数据安全风险，维护国家安全，决定对滴滴出行启动网络安全审查，审查期间暂停注册新用户。7月4日，国家网络安全审查办公室再次发布公告，因“滴滴出行”APP存在严重违法违规收集使用个人信息问题，国网办特依据《网络安全法》的相关规定，通知各大应用商店下架该APP。7月16日，国家网信办会同公安部、国家安全部、自然资源部、交通运输部、税务总局、市场监管总局等部门联合进驻滴滴出行科技有限公司，开展网络安全审查。滴滴于今年6月30日在纽交所挂牌上市，发行定价为14美元，当日收盘为14.14美元，上涨1%。但上市后的第三个交易日，即7月2日，网络安全审查办公室公告称，对“滴滴出行”实施网络安全审查，审查期间“滴滴出行”停止新用户注册，导致滴滴于美国时间7月2日开盘就暴跌10.98%，收盘大跌5.3%。同时，在我国的主流社交媒体和平台对于滴滴也是一片讨伐之声，极大地损害了公司的声誉，滴滴公司可谓是名利双亏。12月3日，滴滴公司宣布启动在纽交所退市的工作，并启动在香港上市的准备工作，截止12月2日收盘，滴滴股价降至7.80美元，跟上市时相比几乎蒸发了一半的市值。滴滴因忽视数据安全的相关规定，缺乏合规管理意识，导致企业在毫无准备的情况下直面合规风险，最终铸成大错，自食苦果。