第二章 合规审计的法律法规基础：国内主要法律法规框架与国际合规标准
做合规审计，说白了就是拿着法律这把尺子去量企业的行为。尺子不准，量出来的结果就没意义。所以，搞懂法律法规框架，是咱们这行的基本功。
我个人习惯，先把国内和国际的规则分开看。国内是红线，碰不得；国际是标杆，往上靠。今天咱们就掰开揉碎了聊聊这两块。
2.1 国内主要法律法规框架
国内的法律体系，我把它分成三个层次：基础法律、行业法规、监管指引。你想想看，就像盖房子，地基、框架、装修，缺一不可。
2.1.1 《公司法》——企业的“宪法”
《公司法》管的是公司从生到死的全过程。合规审计里，我最常引用的是这几条：
- 治理结构：股东会、董事会、监事会、经理层的权责划分。我在项目里见过一家公司，董事长兼总经理，财务总监是他小舅子——这合规风险，一眼就能看出来。
- 财务制度：第163条到第175条，讲的是财务报告、利润分配。嗯，这里要注意，很多中小企业把“盈余公积”当成了老板的零花钱，这是大忌。
- 法律责任：第146条到第149条，董事、高管的责任。说白了，签了字就要负责。
2.1.2 《证券法》——上市公司的“紧箍咒”
如果你审计的是上市公司或拟上市公司，《证券法》就是你的核心武器。我重点看三块：
- 信息披露：第78条到第85条。真实、准确、完整、及时、公平——这五个词，每个字都是钱。我见过一家公司因为“及时”没做到，晚披露了三天，被罚了500万。
- 内幕交易：第50条到第55条。内幕信息知情人名单，必须留痕。我曾经帮一家券商做合规检查，发现他们的内幕信息登记表是事后补的——这要是被查，直接吊销牌照。
- 财务造假：第181条、第197条。虚增利润、隐瞒负债，这些是刑事犯罪。我常说，财务造假是“用自由换报表”，不值当。
| 法律条款 | 核心要求 | 常见违规点 |
|---|---|---|
| 《证券法》第78条 | 信息披露真实、准确、完整 | 选择性披露、虚假陈述 |
| 《证券法》第181条 | 禁止欺诈发行 | 财务数据造假、隐瞒重大事项 |
| 《证券法》第197条 | 信息披露违规处罚 | 未按时披露、披露内容有重大遗漏 |
2.1.3 其他重要法规
除了《公司法》和《证券法》，还有几部法律是合规审计绕不开的：
- 《会计法》：管的是账怎么做。第4条说“单位负责人对本单位的会计工作和会计资料的真实性、完整性负责”——老板别想甩锅。
- 《税收征收管理法》：管的是税怎么交。虚开发票、偷逃税款，这些是合规审计的高频问题。
- 《反不正当竞争法》：管的是商业贿赂。第7条明确禁止“账外暗中”给回扣。我审计过一家医药公司，销售费用里“咨询费”占比60%——这明显有问题。
2.2 国际合规标准（ISO 37301）
聊完国内，咱们看看国际。ISO 37301是2021年发布的合规管理体系标准。说白了，它告诉企业：合规不是靠“人治”，而是靠“体系”。
我个人觉得，ISO 37301的核心逻辑就四个字：PDCA循环（计划-执行-检查-改进）。
2.2.1 ISO 37301的框架
这个标准把合规管理分成七个要素：
- 组织环境：了解企业内外部环境，识别合规风险。我建议审计时先画一张“合规风险地图”，把高风险领域标出来。
- 领导作用：最高管理者要承诺合规。不是嘴上说说，要体现在资源投入上。我见过一家外企，CEO每年亲自参加合规培训，这叫“领导示范”。
- 策划：制定合规目标、应对风险。说白了，就是“如果出事怎么办”。
- 支持：培训、沟通、文件化信息。嗯，这里要注意，培训不能走过场。我曾经审计一家公司，合规培训的签到表是HR代签的——这等于没培训。
- 运行：控制措施、流程嵌入。比如采购流程里加一道“合规审查”节点。
- 绩效评价：监控、测量、内审。我常说，没有评价就没有管理。
- 改进：纠正措施、持续改进。发现问题不可怕，可怕的是不改。
2.2.2 ISO 37301与国内法规的衔接
你可能会问：ISO 37301是国际标准，国内企业能用吗？我的答案是：能用，而且应该用。
举个例子：国内《公司法》要求公司建立“合规管理制度”，但没说具体怎么做。ISO 37301正好提供了方法论。我建议的做法是：
- 以国内法规为底线（必须遵守）
- 以ISO 37301为框架（提升管理水平）
- 两者结合，形成“本土化合规管理体系”
我曾经帮一家国企做合规审计，他们原本只盯着《公司法》和《证券法》，但总觉得缺了点什么。后来我建议他们引入ISO 37301的“风险导向”理念，把合规风险按“发生概率”和“影响程度”打分排序。结果发现，他们最担心的“信息披露违规”其实风险等级不高，反而是“采购环节的商业贿赂”风险极高——这就是体系的力量。
2.3 合规审计中的法律适用原则
最后，分享几个我在实战中总结的原则：
- 上位法优于下位法：法律 > 行政法规 > 部门规章。审计时，如果发现规章和法律冲突，以法律为准。
- 特别法优于一般法：比如《证券法》相对于《公司法》，是特别法。上市公司优先适用《证券法》。
- 新法优于旧法：法律更新了，旧条款自动失效。我建议审计前先查一下法规是否有效。
好了，这一章的内容就这些。记住：法律法规是合规审计的“武器库”，你得知道每件武器怎么用、什么时候用。下一章，咱们聊聊合规审计的具体流程——从立项到出报告，每一步怎么走。