4. 合规检查依据的获取与解读

合规检查的第一步不是“查问题”，而是“找尺子”。同一项业务行为，可能同时受到法律、行政法规、部门规章、规范性文件、国家标准、行业标准、企业内部制度和合同条款的多重约束。如果检查依据找错、找漏或版本过期，后续的整改就会失去方向。本节围绕五类依据，讲清“从哪里找、怎么判断适用、如何落到检查点上”。

一、五类依据的层级与效力关系

合规依据并非平行罗列，而是存在效力层级和适用顺序。法律效力最高，行政法规次之，部门规章和规范性文件再次，行业标准与内部制度属于执行层面的细化，合同义务则是在不违反前述强制性规定前提下的约定义务。当不同层级要求冲突时，原则上以上位法为准；当内部制度严于法律时，按内部制度执行；当合同约定低于强制性法律规定时，该约定无效。

二、法律法规与监管规定的检索方法

法律法规检索的核心是“权威来源+时效确认”。建议优先使用国家法律法规数据库、司法部规章库、各部委官网的“政策法规”栏目。检索时不能只搜标题关键词，还要注意：一是确认文件全称和发文字号，避免同名文件混淆；二是查看“施行日期”和“修订记录”，确认当前适用版本；三是关注“附件”和“配套细则”，很多操作性要求藏在附件里。

监管规定往往以“通知”“办法”“指引”“问答”等形式发布，更新频率高。实操中建议建立“监管文件跟踪表”，至少记录：文件名称、发布机关、文号、发布日期、施行日期、适用业务条线、关键要求摘要、责任人。例如某银行合规部门在跟踪反洗钱监管要求时，将《金融机构客户尽职调查和客户身份资料及交易记录保存管理办法》与后续发布的“答记者问”和“常见问题解答”一并纳入依据库，因为后者对“受益所有人识别”等条款给出了可操作的认定口径。

三、行业标准的适用判断

行业标准分为强制性标准和推荐性标准。强制性标准（如GB系列中的安全、环保、卫生要求）必须执行；推荐性标准（如GB/T系列）原则上自愿采用，但一旦被法律法规引用、被合同约定或被企业自我声明采用，就产生约束力。检查时要注意：标准编号中的“GB”与“GB/T”区别、标准是否被新版本替代、以及标准中“应”“宜”“可”的措辞差异——“应”为强制，“宜”为推荐，“可”为允许。

四、内部制度与合同义务的衔接

内部制度是合规检查最直接的依据，但常见问题是制度与上位法脱节、制度之间相互矛盾、制度版本混乱。检查前应做一次“制度对标”：将内部制度条款与对应的法律法规、监管规定逐条比对，标记出“严于上位法”“等于上位法”“低于上位法”三类。低于上位法的条款应立即修订，否则检查依据本身就不合规。

合同义务的检索容易被忽视。合规检查中需要关注的合同条款包括：合规承诺条款、审计权条款、数据保护条款、反商业贿赂条款、分包限制条款、违约责任条款。例如某企业在检查供应商合规时，发现合同约定“供应商应遵守甲方合规制度”，但未附具体制度版本，导致检查时无法判断供应商是否违约。正确做法是在合同附件中明确引用制度名称和版本号，或直接列明关键合规要求。

五、从依据到检查点的转化方法

找到依据只是第一步，关键是把“法条语言”转化为“检查动作”。转化方法可以概括为三步：第一步，提取义务主体和行为要求，明确“谁必须做什么”；第二步，提取禁止性规定和后果，明确“不能做什么、违反了什么后果”；第三步，设计可验证的检查证据，明确“看什么文件、查什么记录、问什么人”。

举例说明：某法规要求“企业应当对客户身份进行持续识别，并及时更新客户信息”。转化为检查点时：义务主体是“企业”，行为要求是“持续识别+及时更新”；检查证据包括客户身份资料更新记录、系统预警日志、客户风险等级调整记录；判断标准是“高风险客户至少每半年更新一次，普通客户至少每年更新一次”。这样，一条抽象规定就变成了可执行、可验证的检查点。

最后需要强调：依据的获取与解读不是一次性工作，而是动态维护的过程。法律法规在更新，监管口径在调整，行业标准在修订，内部制度和合同也在变化。合规检查人员应当养成“先查依据、再定标准、后做检查”的习惯，并在检查报告中注明所依据的文件名称、文号和条款，确保检查结论可追溯、可复核。