2. 合规制度设计的起点

合规制度不是凭空写出来的，它的每一条要求背后都应能追溯到一个或多个“义务来源”。如果制度起草时没有先把义务来源盘清楚，常见后果是：该管的没管（遗漏监管红线），不该管的管过头（把推荐性标准写成强制义务，增加无谓成本），或者同一件事在几份文件里要求不一致，执行时互相打架。因此，识别义务来源是合规制度设计真正的起点，也是后续“制度条款—责任部门—控制措施—检查证据”整条链条的锚点。

一、义务来源的四个基本类别

企业面对的合规义务，通常可以归入四类，它们的约束力、变化速度和违反后果各不相同，识别方法也不同。

• 法律法规：由立法机关或行政机关制定，具有强制约束力，如《公司法》《劳动合同法》《数据安全法》《个人信息保护法》《反不正当竞争法》等。违反可能面临行政处罚、民事赔偿甚至刑事责任。特点是层级多（法律、行政法规、地方性法规、部门规章），需要判断适用层级与地域。
• 监管要求：由行业主管部门、监管机构以规章、规范性文件、指引、通知、窗口指导等形式提出。例如金融监管机构对反洗钱、消费者权益保护的要求，市场监管部门对广告、价格行为的规范。特点是更新快、行业针对性强，部分以“指引”形式出现但实际检查中会被作为依据。
• 行业标准：包括国家标准（GB，含强制性GB与推荐性GB/T）、行业标准、团体标准、企业标准。强制性标准必须执行；推荐性标准一旦被合同引用、被监管文件援引或被企业自我声明采用，就会转化为实际义务。这是最容易被误判的一类。
• 合同承诺：企业与客户、供应商、合作方、员工、金融机构签订的合同中约定的合规条款，如数据保护、反腐败、保密、质量、环保、劳工权益等。合同义务虽源于双方约定，但违约同样产生赔偿责任和商业信誉损失，且往往比法规要求更严。

除这四类外，还有两类常被忽略但实际重要的来源：一是企业自主承诺，如公开的合规声明、ESG报告中的承诺、加入的行业自律公约；二是内部制度与上级要求，如集团对子公司的管控要求、母公司所在国的长臂管辖规则（如出口管制、反海外腐败）。它们一旦对外作出，就构成自我约束，需要纳入义务清单。

二、识别义务来源的实操方法

识别不是“把法规抄一遍”，而是一个有输入、有判断、有输出的工作过程。建议按以下顺序推进。

第一步：按业务、地域、产品三个维度建立扫描范围。义务来源与企业的实际经营活动绑定。先列出企业开展的业务线（如生产、销售、进出口、数据处理、用工）、经营地域（境内哪些省市、是否涉及境外）、产品与服务类型，再针对每个组合去检索对应的法规、监管文件和标准。例如一家向欧盟出口带联网功能设备的企业，除国内法规外，还要关注出口管制、数据跨境、产品安全等要求。这一步的产出是一张“业务—地域—义务来源”的检索矩阵，避免遗漏。

第二步：判断适用性与约束力等级。对检索到的每一份文件，回答三个问题：是否适用于本企业（主体、行为、地域是否落入适用范围）？是强制还是推荐？是否已被合同或自我声明引用？强制性标准、法律法规、监管规章属于必须落实；推荐性标准若未被引用，可作为改进参考，但不宜直接写成“必须”。判断结论要记录依据，便于日后复核。

第三步：把义务拆解为可执行要素。一条法规条文往往不能直接变成制度条款，需要拆成“责任主体、行为要求、时间/频次、记录与证据、违反后果”。例如个人信息保护中的“告知—同意”要求，可拆为：谁负责告知（业务部门）、告知什么内容（目的、范围、方式）、何时取得同意（收集前）、留什么证据（同意记录）、未取得同意的后果（禁止收集、追责）。拆解越细，制度条款越可执行。

第四步：做冲突与重叠比对。同一事项可能同时被法律、监管文件、合同约定，要求宽严不一。处理原则是“取严不取宽”：若合同约定比法规更严，按合同执行；若不同层级法规要求不同，按效力层级和特别法优先判断。重叠部分应合并到同一制度条款，避免多份文件重复规定、执行口径不一。

第五步：映射到制度条款并建立追溯关系。每条制度条款都应能回答“它来自哪个义务来源”。建议在制度文本或配套清单中标注来源编号，形成“义务来源—制度条款—责任部门—检查证据”的对应关系。这样在法规更新时，可以快速定位需要修改的条款，而不是全文重写。

三、示例：一张可用的合规义务来源清单

下表是一份简化示例（数据为教学假设，非真实企业数据），展示如何把识别结果结构化。字段可根据企业规模增减，但“来源、条款、适用对象、责任部门、约束力、更新日期”建议保留。