第二节 中国语境下合规的定义和分类
从2006年开始，中国银监会、保监会、证监会率先在金融领域制定、发布合规监管规则。2017年以来，国家发展改革委、外交部、商务部、市场监管总局、人民银行、国务院国资委及国家标准化管理委员会、全国工商联等机构，单独或联合制定、发布了涉及和适用于境内境外、各种所有制性质企业的合规规范。(2)如《民营企业境外投资经营行为规范》《企业境外经营合规管理指引》《合规管理体系：指南》等，其中尤以2022年10月1日生效的《中央企业合规管理办法》（国务院国有资产监督管理委员会令第42号）最为权威。虽然这些规范、指引的出台背景、适用范围、监管对象等不尽相同，但对合规的定义并不存在本质区别和矛盾冲突，对合规的分类一般以“规”的范围、企业状态、制度缺陷、管理需求及合规管理体系建设表现形式等为依据。
一、现行主要监管规范关于合规的定义和要求
（一）非强制性规范关于合规的定义和要求
2017年12月29日，国家质量监督检验检疫总局和国家标准化管理委员会联合发布《合规管理体系：指南》（以下简称《指南》）。《指南》将合规定义为“履行组织的全部合规义务”，将合规义务定义为“合规要求或合规承诺”，将合规要求定义为“组织有义务遵守的要求”，将合规承诺定义为“组织选择遵守的要求”，将要求定义为“明示的、通常隐含的有义务履行的需求和期望”。
2018年11月2日，国务院国资委发布《中央企业合规管理指引（试行）》（以下简称《央企合规指引》），将合规定义为“中央企业及其员工的经营管理行为符合法律法规、监管规定、行业准则和企业章程、规章制度以及国际条约、规则等要求”。
2018年12月，国家发展和改革委员会、外交部、商务部、中国人民银行、国务院国资委、国家外汇管理局、中华全国工商业联合会七部委联合发布的《企业境外经营合规管理指引》（以下简称《境外合规指引》）明确规定：“本指引所称合规，是指企业及其员工的经营管理行为符合有关法律法规、国际条约、监管规定、行业准则、商业惯例、道德规范和企业依法制定的章程及规章制度等要求。”
相比较而言，《指南》旨在提供一个普适性的合规管理体系参考框架，对特定主体并不具有倾向性和针对性，属于国家鼓励采用的推荐性国家标准，不具有强制力。《央企合规指引》主要对中央企业的合规管理工作及合规事项进行了规定。《境外合规指引》的监管重点是企业境外经营，对象为所有中国企业。两个指引均属于仅供参考执行的指导性文件，不具有强制性。特别是，两者均把合规管理对象界定为“企业及其员工的经营管理行为”，把所要合的“规”延伸到了国际条约企业内部的规章制度。其中，《境外合规指引》强调所要遵循的内规是“企业依法制定的章程及规章制度”，即执行落实外部监管要求的企业内部规章制度。
（二）《中央企业合规管理办法》关于合规的定义和要求
2022年8月，国务院国资委正式发布《中央企业合规管理办法》（国务院国有资产监督管理委员会令第42号，本节简称《办法》）。《办法》是国务院国资委在2018年出台的《央企合规指引》基础上，经过4年的试行，把一些非强制性的规范要求整合升级为强制性的部门规章。鉴于中央企业在国民经济体系和社会管理体系中的体量和影响，应重点关注和落实《办法》关于合规的强制性要求。
《办法》第三条明确规定：“本办法所称合规，是指企业经营管理行为和员工履职行为符合国家法律法规、监管规定、行业准则和国际条约、规则，以及公司章程、相关规章制度等要求。”因为《办法》聚焦在企业，而且是中央企业这样特殊而特定的组织，相比ISO 37301而言，更为清晰、明确地给出了适用企业的合规定义。
首先，《办法》明确了合规的主体是企业和企业的员工，而且进一步把合规落实、落脚到企业的经营管理行为和员工的履职行为上。这就表明，合规不仅是静态的权责配置，还是动态的权责运行。
其次，《办法》对合规的“规”作了非常清晰的列示。第一类是效力最高的国家法律法规(3)，也即中国特色社会主义法律规范体系；效力次之的是政府机关的部门规章和规范性文件（如政府监管机构发布的办法、规定、通知等），最后是行业准则。第二类是国际条约、规则，国际条约以所在国家缔结、参加、承认为准；国际规则更多是商业规范，可以选择遵守或不遵守，不遵守不会导致直接的后果，而是要通过法律等方式产生后果。第三类是企业的章程和内部规章制度。
前两类基本和ISO 37301规定一致，而第三类关于企业的章程和内部规章的要求，则突出表明了合规的内生动力和内在要求，既是合规管理与内部控制、风险管理相结合、相促进的逻辑前提和理论基础，也是本质合规的根基。
二、合规类型
（一）小合规、大合规和中国特色合规
从合规中“规”的范围来看，有“小合规”和“大合规”之分。“小合规”也就是狭义的合规，主要指遵守、服从国家的法律法规，接受政府和国家监管部门的强制监管要求。“大合规”即广义合规，除遵守、服从国家法律法规、政府监管规定外，还包括国际规则、商业规则、行业规范和企业内部规章制度，也就是所说的“外规加内规”。
除了“小合规”和“大合规”之外，还有中国特色合规。《办法》第七条规定：“中央企业应当严格遵守党内法规制度，企业党建工作机构在党委（党组）领导下，按照有关规定履行相应职责，推动相关党内法规制度有效贯彻落实。”也就是说，对于我国国有企业而言，除了国家法律法规、政府监管规则、国际规则、商业规则、行业规范和企业内部规章制度外，还必须遵守党内法规。这是由我国国有企业性质决定的，也是我国国有企业合规的特质和优势。
（二）全面合规和专项合规
从企业合规涉及的领域来看，有全面合规和专项合规之分。不同专业、行业领域的企业，因为专业、行业的特殊风险因素和监管要求，从防范合规风险出发，会将合规管理集中和侧重在某些专业领域。如危险化工品生产经营企业会把安全生产、环境保护合规，电子商务、互联网企业会将数据安全、隐私保护合规，石油能源、电子通信、国际贸易企业会将国际制裁、出口管制合规作为自己的重点或专项合规领域。专业合规逐渐成为处于各个行业领域企业日常性的合规要求、合规措施，也被称为日常性合规。有些专业合规，则是因为企业在生产经营和业务发展中触犯了法律法规和监管要求，被政府机构、司法机关、国际组织要求整改，或者本着问题导向、结果导向，在整改过程中突出、强化、完善某些专业领域的合规建设而形成了专业合规，也被称为整改式（危机应对式）合规。(4)近年来发生的中兴通讯被制裁、华为孟晚舟事件，使得电信行业和从美国进口产品、技术、服务的企业，将美国和西方国家的出口管制作为合规重点领域，形成了完备的出口管制合规制度、机制、规范，建立了熟悉掌握出口管制规则的专业合规队伍。而一些参与国际工程建设项目的工程公司，则因为世界银行严厉的反腐败制裁和惩治投标中虚假陈述、欺诈行为，把合规重点集中到反海外腐败和世界银行投标规则中。
在各种专业合规中，有专家将反腐败、反欺诈、反串谋单独列为诚信合规，从而将合规分为专项合规、诚信合规和全面合规三大类(5)。经济合作与发展组织（OECD）发布的《内控、道德与合规最佳实践指南》和世界银行发布的《诚信合规指南》都是把反腐败、反欺诈作为合规的重点领域。
全面合规是指大型企业集团从防范各类合规风险和应对各种合规事件出发，建立多专业、多领域、多级次的合规管理体系。随着工业革命、信息革命和全球化、网络化的迅猛发展，国际竞争和并购促使企业的规模不断扩大。世界500强企业都是资产规模大、产业链条长、管理层级多的超大型企业集团。超大型企业集团通常集生产、研发、贸易、金融于一体，要面对各领域、各专业和全世界各司法辖区的合规风险，势必要求其必须建立全面合规管理体系，即在公司治理层领导下，建立全面而专业的合规管理制度、机制，由专门的合规管理部门牵头，企业的各专业或职能部门、各种类型的专业化子企业参加，开展全方位和专业化的合规管理。
（三）预防式合规与整改式合规
预防式合规，即在尚未发生任何一件合规风险事件之时，通过实施制度制定、风险识别、合规审查、风险应对、责任追究、考核评价、合规培训等有组织、有计划的管理活动，以预防合规风险事件的发生。基于风险无处不在的特点，假设企业在当前及未来一定时间阶段内会发生这样或那样的合规风险，是企业实施有效合规管理的重要前提。如果不建立在对合规风险判断的基础上，那么所构建的合规管理机制流程，将是“无的放矢”，导致合规管理流于形式。
整改式合规，即通常所说的涉案企业合规。这类合规建立在承诺基础上，主要针对与涉嫌犯罪有密切联系的合规风险，在已经发生一件或多件合规风险事件后，涉案企业按照合规管理有效性标准，停止涉罪违规违法行为，成立合规管理体系建设领导小组，制订专项合规计划，设置专职或兼职的合规管理人员，建立健全合规管理制度，为合规管理制度运行提供人力、物力保障，建立监测、举报、调查、处理机制，建立合规绩效评价及持续整改、定期报告等机制，形成有效合规管理体系。
预防式合规与整改式合规的内在联系与共通之处：一是预防式合规的各项管理活动和措施，如组织体系、制度体系和机制体系，与整改式合规的各项管理活动和措施，如合规管理机构、合规管理规范、合规制度机制等，其内在都是企业内可采取的管理措施，方法论是一致的。二是预防式合规是建立在假设风险无处不在基础上的全面合规，往往从那些过去曾经发生或同行企业已经发生的重要合规风险事件的业务领域入手，通过做强专项合规，推动全面合规。整改式合规也是以全面合规为目标、专项合规为重点，根据规模、业务范围、行业特点等因素变化，逐步增设必要的专项合规计划，实现合规管理全覆盖。
预防式合规与整改式合规的区别：一是预防式合规是预防和应对假设存在的所有合规风险的全面合规。整改式合规则是聚焦“已涉案涉罪”合规风险事件的专项合规。二是预防式合规决定了其在风险尚未发生时即采取了完备的控制措施，是一种事前为主的主动管理活动。整改式合规表明企业已涉案，须按监管部门的要求及标准，针对之前存在的不合规行为采取控制措施，是事后的而且是被动的。三是预防式合规目前尚无明确、统一的有效性评价标准。整改式合规有专门的评估环节；经合规第三方监督评估组织对涉案企业合规建设的有效性进行评价，最终由人民检察院判断是否可作为“依法作出不批准逮捕、变更强制措施、不起诉决定”等的参考。