金融机构合规管理的新发展
作者：国家金融监督管理总局合规管理课题组，课题组成员包括王胜邦、段睿、屠智锋、李筱琛。
一、引言
全面加强合规管理，是落实依法治国战略部署的重要举措，也是金融机构防范化解金融风险的必然选择。2006年原银监会印发《商业银行合规风险管理指引》，2016年原保监会印发《保险公司合规管理办法》，这两份文件是银行保险机构合规管理基础制度，经过多年实践，在指导银行保险机构建立合规管理体系、强化合规管理要求等方面发挥积极作用。
随着金融环境不断发展变化，完善金融机构合规管理的实践探索也在持续发展。两项制度文件印发时间较早，已不能覆盖金融机构合规管理各项要求。实践中，也存在一些问题制约合规管理的有效性。正是因为这些问题的存在，金融体系内部的合规风险仍在积累，违法违规行为并未完全消除。经检索，自2017年1月至今，金融监管总局（原银监会、原银保监会）在官网公布的处罚决定书显示，金融机构各类合规问题屡禁不止，其中信贷管理约占27.28%；违规销售约占10.05%；内部控制约占9.7%。
新形势下，加强金融机构合规管理的必要性和紧迫性不断提升，金融监管总局发布《金融机构合规管理办法》（以下简称《合规办法》）。《合规办法》坚持问题导向，督促金融机构健全合规管理机制，强化经营行为约束，自觉将合规意识融入基因和血脉。
二、加强金融机构合规管理的重要性
习近平总书记强调，推动金融高质量发展、建设金融强国，要坚持法治和德治相结合，积极培育中国特色金融文化。其中一个重要方面就是依法合规，不胡作非为。合规是不能触碰的红线和底线，金融机构一切业务的开展必须以合规为前提。在法治经济、信用经济的大环境下，强化合规管理已经从金融机构被动应对监管的“基础题”演变为安身立命的“必答题”。
（一）加强合规管理是金融领域落实依法治国战略部署的重要举措
“立善法于天下，则天下治；立善法于一国，则一国治。”以习近平同志为核心的党中央对全面依法治国高度重视，从关系党和国家长治久安的战略高度来定位法治、布局法治、厉行法治。党的二十大报告对全面依法治国作出新部署，明确“坚持依法治国、依法执政、依法行政共同推进，坚持法治国家、法治政府、法治社会一体建设”。加强金融机构合规管理是金融领域深入贯彻习近平法治思想的必然要求，是落实全面依法治国战略部署的微观基础和重要组成部分。金融领域是强监管领域，虽然我国已经形成较为完备的金融法制体系，但徒法不足以自行，必须不断完善金融合规监管体制机制，才能有效推动金融机构持续加强内控合规建设，真正把法律和制度优势转化为治理效能。《合规办法》对现行制度进行全方位升级，落实强监管严监管要求，完善合规管理架构，扩大覆盖范围，增强约束效果，提升合规管理制度的生命力、有效性与可执行性，以良法促进发展、保障善治，更好地发挥法治“固根本、稳预期、利长远”的重要作用。
（二）加强合规管理是防范化解金融风险的必然选择
金融与风险相伴而生，金融风险具有隐蔽性、外溢性和传染性，金融机构的违规行为可能造成重大风险隐患。实践中，一些金融机构合规意识欠缺，认为合规管理不仅增加运营成本，还会限制业务开展。为盲目追求短期发展规模和速度，占领新业务板块，这些机构往往放松合规管理标准，在薪酬激励、选人用人上唯业绩论。金融机构的员工也在业绩压力倒逼下，忽视合规管理要求。金融机构以违规经营换取短期利益的行为，会积累金融风险，危害金融安全。严重金融风险事件背后往往是触目惊心的恶意违法违规。包商银行被大股东“明天系”控制，“明天系”注册百余家空壳公司，以借款方式套取资金，占款高达上千亿元，全部形成不良。辽阳农商行被忠旺集团控制，严重违法违规向忠旺集团过度授信，造成巨额损失。安邦集团和安邦财险被吴小晖控制，制作虚假材料骗取监管部门销售批复，并超出批复规模违规销售投资型保险产品，骗取数百亿元资金。这些金融机构有章不循，有规不依，合规管控措施层层落空，通过违规关联交易或复杂股权结构设计套取资金，将金融机构作为“提款机”，严重破坏金融秩序，侵害人民利益，给社会造成重大损失。一个合规的银行不一定是稳健的银行，但一个违规经营的银行一定是坏银行。相关经验教训充分证明，为有效防范金融风险，实现可持续发展，必须加强对合规管理的重视程度。巴塞尔委员会认为“合规应被视为银行内部的一项核心风险管理活动”。合规管理通过建立风险防范、监测与应对机制，让金融机构的各项经营活动都有“规”可循，不突破规则框架，有效避免违法违规行为，预防损失发生。（三）加强合规管理是新形势下金融机构稳健经营的有力保障
当前，国内外经济金融环境发生深刻变化。外部看，大国博弈加剧，地缘政治、自然灾害等传统和非传统安全威胁增加。国际货币政策环境发生深刻变化，国际金融市场波动加大，可能对我国金融机构产生影响。内部看，我国发展进入战略机遇和风险挑战并存的时期。低利率环境带来的挑战增多，银行机构净息差收窄，保险公司利差损扩大，金融机构经营压力加大。另外，随着金融数字化、智能化发展，新型风险伴随业务创新不断衍生，给金融机构带来更大挑战。
合规管理是金融机构稳健经营的基础。当前形势下，合规管理的重要性进一步凸显，具体体现在：一是各国政府、国际组织对金融领域监管的力度、广度、深度显著加强，国际竞争越来越体现为规则之争、法律之争。金融机构在走出去过程中，更要建立起一套与自身发展情况相匹配的合规管理体系，妥善做好应对外部冲击的准备，在国际竞争中生存与发展。二是低利率环境下，市场有效需求减少，金融机构利润承压，以量补价意愿不断增强，互相竞争加剧，可能有意放松标准甚至不惜突破合规底线开展“低成本”违规业务，这种环境更容易积累风险隐患。合规管理正是通过业务经营的规范化和操作流程的标准化，督促金融机构严格按照监管要求展业，避免因追求利润而偏离稳健经营轨道。三是金融科技重构了金融机构传统业务模式，模糊了合规与违规的边界。合规管理通过建章立制的方式明确行为边界，提前发现新业务的潜在风险点。
三、准确把握合规的含义和边界
“规”是金融机构需要遵守的规定，实际决定了金融机构的行为边界。因此，厘清“规”的范围，是加强合规管理的关键一环。巴塞尔委员会《合规与银行内部合规部门》采用广义定义，“规”包括立法机关和监管机构发行的法律、规则和准则、市场惯例、行业协会制定的适用于银行内部工作人员的内部守则和行为准则，以及超越上述具有法律约束力的规范以外的，具有广泛意义的诚信标准和道德行为标准。狭义的“规”主要指各类成文法。德国联邦金融监管局（BaFin）《最低风险管理要求》将“规”概括为法律和各项监管要求。
《合规办法》结合监管实际，重新构建“规”的框架体系，明确合规的含义与边界，注重让外部的“规”与内部的“规”有机结合，成文的“规”与非成文的“规”动态互补，实现合规管理的横向到边和纵向到底。
（一）外部的“规”和内部的“规”
从金融机构的维度，“规”可以分为外部的“规”和内部的“规”。外部的“规”包括立法机关、监管部门等有权机关制定的规则。内部的“规”指金融机构内部制定的章程制度。从实践看，外部的“规”是对金融机构最基本的要求，内部的“规”则是金融机构结合自身实际制定的更高标准、更细致的内部要求。只有外部的“规”和内部的“规”有机结合，金融机构各项经营活动才能均有“规”可依。
1. 外部的“规”确立了金融机构经营管理的底线和边界
金融机构作为民事法律主体，应当遵循民法典、公司法等民商事法律关于市场主体的一般性规定，涉嫌违法犯罪的行为，会受到刑法的制裁。同时，金融机构具有特殊性，区别于一般的民事主体，还需要遵守商业银行法、银行业监督管理法、人民银行法、保险法、信托法等专门法律法规。此外，监管部门为规范金融秩序，建立有效约束机制，还根据法律的授权制定了部门规章、规范性文件和监管政策文件，进一步约束金融机构的行为。监管部门制定的规则可以分为两类：第一类是定量监管要求，主要基于对系统性金融风险的深刻研判和对过往教训的深刻总结。第二类是定性监管要求，主要基于对监管规律的深刻把握和对业界稳健做法的提炼概括。监管部门的定量和定性要求有机结合，协同互补，完成从单一约束到多重约束的转变，实现了规则监管和原则监管的统一。
需要明确的是，立法机关和监管部门出台的制度是规范金融机构经营活动的基础，但不能代替金融机构的内部要求。一方面，监管部门对金融机构是底线和边界的监管，有为但不越位，相关监管规则也贯彻了这一原则，坚持该管的要坚决管住、不该管的要切实放开，充分体现对金融机构自主经营权的尊重。另一方面，监管规定具有普适性，不可能特定跟踪某家单体机构的风险情况，提出针对性监管要求。
2. 内部的“规”细化了金融机构经营管理的具体要求
金融机构作为金融市场最重要的参与者和最活跃的主体，更了解自身资本实力、市场环境等具体情况，也更掌握风险状况和薄弱环节。金融机构“内规”对于防范合规风险，加强员工行为管理具有重要意义。金融机构有必要在监管规则确定的范围内，结合自身实际，制定标准更高、要求更细化、更具有针对性的“内规”。
《合规办法》以狭义的“规”为核心，以金融机构落实监管要求所制定的内部规范为补充，构建了“规”的范围，具体包括法律、行政法规、部门规章、规范性文件，以及金融机构落实监管要求制定的内部规范。一方面，《合规办法》对“内规”进行合理区分，限定为金融机构落实监管要求制定的内部规范，避免“内规”范围过宽，对机构施加不合理限制，反而影响执行。另一方面，进一步提高金融机构“内规”的效力地位，鼓励金融机构充分发挥自身优势条件，在符合监管规定的前提下，构建科学合理、健全高效的合规管理制度，形成具有特色的“内规”，有效防控合规风险。
从表现形式的维度，“规”可以分为成文的“规”和非成文的“规”。成文的“规”包括立法机关和监管部门出台的制度，以及机构的内部规定等，通过书面形式确定。非成文的“规”包括文化、道德等公序良俗，通过行为示范延续。合规要求的有效执行，不仅需要制度上的硬约束，还需要文化和道德的软约束。
公序良俗是民法典确定的基本原则，作为成文的“规”的有效补充，将法律和道德深度融合，通过推行高标准的道德规范，有效约束民事主体意思自治的边界。合规文化正是公序良俗的重要组成部分。合规文化体现了一家金融机构认可什么、敬畏什么，对合规管理有效性的评价标准不仅在于金融机构合规制度健全和执行程度，更在于合规文化的培育情况。只有让合规文化融入金融机构的基因和血脉，自上而下认同合规文化理念，才能确保高标准道德行为准则得到严格遵守，合规的底线不被突破。
《合规办法》注重成文的“规”与非成文的“规”动态互补，督促金融机构在完善合规制度建设的同时，还要积极培育合规文化，让合规管理既有制度约束，又有精神认同，进而形成合规自觉。
广义的风险管理包括合规管理。巴塞尔委员会曾在《合规与银行内部合规部门》发布后，向各成员国调查实施情况。根据其公布的调查结果，绝大多数成员国的银行都将合规作为一项重要的风险管理职能进行监督管理。
合规风险具有特别之处，指金融机构因违反“规”的行为而被监管部门处罚或者遭受其他财产损失、声誉损失等负面影响的可能性，与其他风险的区别在于：一是风险来源不同。通常情况下，合规风险的来源是金融机构主观有规不依、有章不循，主要是金融机构内部的问题，且具有明显主观过错。而其他风险的来源较广，还受到债务人信用情况、利率水平、市场环境、技术条件等外部客观因素影响，具有一定的偶然性。二是风险容忍度不同。“规”是金融机构不能触碰的红线和底线，不能有丝毫执行偏差，对合规风险必须坚决规避。而其他风险无法完全杜绝，只能通过有效的措施例如做实资产分类、足额计提拨备等手段做好预防，操作风险、信用风险等都可以计入成本，通过资本来覆盖。因此，其他风险只要控制在合理范围内就是可以接受的。三是损害后果严重程度不同。合规风险和其他风险都可能给金融机构带来严重的财务损失以及不可估量的声誉损失，但是合规风险表现出金融机构制度层面出了问题，影响往往更为恶劣。因此，合规管理具有特别之处，不能被风险管理所替代。
（四）合规管理与内部控制
内部控制来源于企业财务会计管理的相互制衡。随着现代企业制度的不断发展完善，现在的内部控制主要强调公司治理以及三会一层。巴塞尔委员会《有效银行监管核心原则》规定，内部控制应由银行董事会和高级管理层负责，涉及银行的组织结构、会计政策和程序，制衡机制及对资产和投资的保全。内部控制有效性的标准之一为银行具备常设、独立且人员充足的合规职能，能帮助高级管理层有效管理银行面临的合规风险，且合规人员受过适当的培训，具有相关经验，并在银行内部拥有充分的授权，以有效发挥其职能。
对于金融机构而言，内部控制和合规管理的作用力是不同的，内部控制强调监督制衡的过程，合规管理强调合规风险管控的结果。但二者也是紧密相连的，巴塞尔委员会《有效银行监管核心原则》明确了合规管理与内部控制的关系。合规管理是内部控制的目标之一，也是内部控制的必要组成部分。
四、全面合规管理体系建设的路径
加强合规管理的关键在于确保“规”在金融机构内部得到有效执行。监管部门不可能也没必要时刻对金融机构进行贴身监管。《合规办法》重点在于抓住合规要素，督促金融机构真正建立起合规管理体制机制，有效落实合规管理要求。
巴塞尔委员会《合规与银行内部合规部门》列明的合规要素包括董事会、高级管理人员、合规部门、合规负责人、合规文化等。《合规办法》从有效遏制合规风险的角度，明确董事会、高级管理人员、首席合规官、合规管理部门及重点部门的职责和分工，推动金融机构的内部监督和外部监管之间形成良性互动。
（一）压实高层责任
加强金融机构合规管理的关键步骤在于压实高层的合规管理责任，董事会和高级管理人员在金融机构的位置决定其在合规管理中的重要作用。
一是董事会和高级管理人员决定金融机构的发展方向。只有董事会和高级管理人员将合规管理确立为机构战略管理的重要要素，才能真正建立起有效运行的合规管理体系，彻底扭转“重业绩、轻合规”的错误观念。巴塞尔委员会《合规与银行内部合规部门》指出，合规应从高层做起。世界经济合作组织《OECD保险公司治理指引》指出，“在良好的公司治理背景下，确保企业行为合规（符合法律特别是保险法的规定，比如投资规则、报告和信息披露要求等）是董事会职责中必须涵盖的基本内容”。
二是董事会和高级管理人员决定合规资源保障。董事会和高级管理人员重视合规管理工作，才会为合规管理配齐充足的人员，给予必备的履职保障。相反如果高层不能给予充足的合规资源保障，合规管理会存在巨大漏洞，甚至可能完全失效。例如，美国道明银行的高管因预算紧缩，极力压低反洗钱合规成本，导致道明银行千疮百孔的反洗钱系统因资源短缺一再拖延升级，被比作是“纸糊防线”，反洗钱团队也配备不齐，无法应对不断增长的合规需求，最终发生严重反洗钱违规事件。
三是董事会和高级管理人员可能造成的合规风险更为严重。只强调对基层员工加强合规管理，忽视对董事会和高级管理人员的合规约束是没有意义的。董事会和高级管理人员的合规风险远远大于基层员工，如果董事会和高管与犯罪分子沆瀣一气，金融机构将彻底沦为犯罪工具。
《合规办法》突出强调对金融机构的董事会和高级管理人员的合规要求。第一是压实责任。董事会对合规管理承担最终责任，高管对合规管理承担领导责任。通过责任的明确倒逼董事会和高级管理人员加强重视程度。第二是明确职责。《合规办法》明确董事会承担合规管理基本制度建设、合规管理部门设置、首席合规官聘任、违规高管解聘、合规文化培育等职责；高级管理人员承担合规管理部门保障、分管领域合规机制建设、重大违法违规行为报告等职责。通过理顺董事会和高管职责，为开展合规管理工作明确方向和步骤。
（二）发挥首席合规官作用
金融机构的违规行为如果长期未被发现、得不到整改，就会累积形成重大风险，而监管部门无法时刻跟踪机构经营状况，掌握苗头风险。相较而言，金融机构更容易事先察觉风险，但金融机构内部有共同的利润目标，又对监管部门处罚问责存在畏惧，一旦发生违规问题，容易互相遮掩。例如，美国富国银行从2011年起开始伪造银行账户和信用卡账户，至2016年丑闻曝光，牵扯员工总数多达5300余名，很多高管实际早已知晓违规问题，但没有任何内部人员主动报告。因此，金融机构应当设置一个具有充分独立性的岗位，能够不受内部干扰，及时向监管部门预警风险。
《合规办法》根据我国实际情况，参考巴塞尔委员会等国际监管标准，以及英国金融行为监管局、德国金融监管局等国外监管当局的良好做法，要求金融机构在总部设置首席合规官，原则上在省级分支机构设置合规官，提出明确工作要求。第一是严格的任职资格条件。《合规办法》对首席合规官设定了严格的任职资格条件，既包括专业能力，又包括职业操守，部分任职资格条件一定程度上高于同级别其他高级管理人员。第二是充分的履职保障。首席合规官独立性的必要前提是给予充分的履职保障。一方面，首席合规官要脱离于金融机构一般的考核评价体系，不能被其他岗位所牵制，或者与他人形成利益共同体，也不能因为揭示违规行为而遭受不公正对待甚至被辞退。另一方面，需要赋予首席合规官履行职责所必需的权利，并具有足够的权力及时制止违规业务。第三是清晰的合规管理责任。允许首席合规官在金融机构享有“特权”的目的是要求其充分履行岗位职责，切实承担合规管理责任，权责对等，不能推诿、懈怠。首席合规官要充分发挥在金融机构合规管理体系中上下传导、左右协调、内外沟通的作用，确保合规要求得到有效落实。
（三）推动合规管理部门履职
实践中，很多金融机构早年间已经设置了合规管理部门，但有的合规管理部门处于相对边缘化的位置。合规管理部门不能履行岗位职责，意味着合规底线的彻底失守。巴林银行的破产分析报告认为，虽然银行设立了独立的合规管理部门，但合规管理部门作用的弱化和合规管理人员长期缺位，对违规操作没有形成任何有效的牵制，最终形成巨额损失。
因此，合规管理部门不能简单地一设了之，关键是要让其充分发挥作用。《合规办法》明确合规管理部门的主要工作步骤。一是要做好“外规内化”。合规管理部门要充分研究法律法规和监管规定的变化对金融机构业务的影响，推动构建并逐步完善符合自身实际的合规管理制度，既不能让“外规”成为一纸空文，也不能简单照抄照搬。二是要开展重点领域合规审查。合规管理部门应当协助首席合规官为金融机构生产经营活动、新产品、新业务开发等事项提供法律合规支持。要聚焦合规管理工作风险易发领域和管理薄弱环节，加强合规审查。三是组织培育合规文化。推动全体员工遵守行为合规准则，提高全员合规意识，推动建立专业、敬业、高素质的合规管理人才队伍。
（四）明确合规管理责任分工
金融机构各部门之间全面、清晰、有效的合规管理职责划分，能够推动有效落实合规管理责任持续提升合规管理效能。相反如果职责不清，可能产生关键领域管理盲区或者互相推诿等问题，积累风险隐患。
《合规办法》按照“谁主管谁负责”“管业务必须管合规”“分级管理、逐级负责”的要求，进一步明确职责划分：第一，合规管理职责绝不是合规管理部门一个部门的责任。业务部门是合规管理的第一道防线，应当主动加强日常合规管控，承担起合规主体责任。这样才能使得合规管理融入一线、融入业务。合规管理部门是合规管理的第二道防线，负责组织、协调、推动业务部门开展合规管理工作，向各部门提供有力的合规支持。第二，合规履职需要受到监督。巴塞尔委员会《合规与银行内部合规部门》明确，合规部门的工作应受到内部审计部门定期和独立的复核。合规部门要与审计部门分离，确保合规部门的各项工作受到独立的复查。为确保合规管理部门及业务部门积极履职，《合规办法》明确审计部门承担合规监督责任，对合规工作整体情况进行定期有效审计，并与合规管理部门建立有效的信息交流机制，审计部门是合规管理的第三道防线。
（五）培育弘扬健康的合规文化
合规文化是金融机构的“无形资产”，合规管理各个环节都与合规文化息息相关。《合规办法》要求金融机构积极培育合规文化，合规文化主要内涵包括：
一是合规从高层做起。巴塞尔委员会《合规与银行内部合规部门》指出，当企业文化强调诚信与正直的准则并由董事会和高级管理层做出表率时，合规才最为有效。董事会和高级管理人员对待合规的态度、取向和偏好，会直接传导到基层，更要以身作则，敬畏制度、敬畏规律、敬畏风险，这样才能自上而下遵守高标准的道德行为准则。
二是全员主动合规。合规无小事，合规是全体人员共同的责任。金融机构业务复杂，员工众多，每一个岗位的违规操作都可能形成巨大的合规风险。英国巴林银行因业务员违规期货交易而最终破产。日本大和银行因交易员挪用客户债券账外交易最终形成11亿美元的巨额亏损。法国兴业银行因业务员虚假对冲交易损失近49亿欧元。这些教训再一次展现全员合规的重要性，合规工作与金融机构各个业务流程和每个员工都息息相关。每个员工都要从“要我合规”向“我要合规”转变，人人遵守诚信与正直的准则，才能形成良性合规文化。
三是合规创造价值。合规与业务发展是一体两面，控制风险和减少损失也是创造价值的过程。金融机构应当树立正确的经营观、业绩观、风险观，正确认识合规成本与业绩、利润、资本回报的关系，充分认可合规对业务发展的价值。
（六）加大对违规行为惩戒力度
行政处罚和监管措施是合规管理得到有效执行的必要保障。处罚不是“为罚而罚”，而是督促金融机构加强对合规工作的重视程度，以罚促改，不断夯实金融机构内部合规制度基础。《合规办法》的效力层级为部门规章，以“令”的形式印发，具有强制约束力。在法律授权下，《合规办法》进一步创设处罚条款，作为兜底性保障措施，加大惩戒力度，提高违规成本，增强震慑效果。
针对金融机构的违规行为，商业银行法、银行业监督管理法、保险法等法律法规授权监管部门视情节严重程度可以采取相应的行政处罚和监管措施。监管部门还可以根据风险程度采取早期纠正措施。在此基础上，《合规办法》根据国务院《关于进一步贯彻实施<中华人民共和国行政处罚法>的通知》授权进一步创设处罚条款，对金融机构及工作人员未能尽职，致使发生重大违法违规行为或者重大合规风险的行为进行严肃处罚，体现监管部门落实“长牙带刺”、有棱有角要求的决心。只有金融机构每个员工对违规成本有充分认识，才能提高合规意识，树立职业操守，严格履职、勤勉尽责。
五、结论
全面加强金融机构合规管理是一项长期性、系统性工作，需要监管部门和金融机构共同努力，建立良性互动机制，加强对合规管理的重视程度。金融机构应当将合规管理当成安身立命的根本，高级管理人员要率先垂范，形成合规从高层做起的文化氛围。首席合规官要积极履行岗位职责，及时提示预警风险。业务部门、合规管理部门和内部审计部门要充分发挥三道防线的作用，形成合规管理的合力。全体工作人员要树立全员主动合规、合规创造价值的理念，培育弘扬合规文化。与此同时，金融机构应当对照外部监管要求，制定高标准的内部合规规范，构建外部的“规”与内部的“规”有机结合，成文的“规”与非成文的“规”动态互补的合规体系框架，压实责任，明确职责，不断完善合规管理体制机制，将合规管理要求融入金融机构业务发展全过程、全领域，推动金融业在法治轨道上高质量发展。
本文为精编版，脚注和参考文献略。全文刊发于《金融监管研究》2025年第3期，1-15页。
来源：金融监管研究
