近年来，合规管理成了许多企业适应市场监管日趋严格而在公司内部组织开展的一项重要管理活动，它既是企业提升管理水平的重要手段，也是约束劳动者违规行为发生的一道防火墙。正确科学的合规管理，能够使企业适应形势需要，立足企业实际，强化公司制度的执行力，提升员工综合素质。由此可见，企业合规管理对于企业健康长远发展有着重要意义。　　本期“对话江三角”将邀请江三角律所合规业务部负责人李晶晶，通过案例来讲述企业在合规管理中必须注意的一些细节。

　　公司没有限制高管权利总监侵占大额公司利益 

　　合规管理看似是一种涵盖诸多内容及规定的管理活动，但简单来说即是合乎规范的管理，小则包括合规手册、公司规章制度，大则上升到地方、行业乃至国家法律法规。在实践中，我们碰到最多的要数员工利用职务之便，侵害企业利益的情况。

　　张先生自2006年起在甲公司担任某业务部门市场与技术总监，全权负责从市场推广和营销，到与客户的谈判、签署合同以及设备的生产、交付及售后服务等事宜。根据甲公司合同审批权限的规定，张先生有权签署金额在800万元以下的销售合同并可直接使用公司公章，无须上级或其他部门审核批准。2014年，甲公司管理层多次听到外界传言称张先生利用职务之便，在销售过程中通过中间公司乙公司，侵吞甲公司利益、中饱私囊，存在职务侵占行为，于是委托我们为公司开展调查。

　　这个案件中，我们首先调查了乙公司的工商登记资料，发现了其法定代表人与张先生的关系。同时，在甲公司的内部搜查中，发现了张先生与终端客户间的邮件往来：张先生在向9家客户单位销售公司产品时，串通公司技术负责人，代表甲公司与终端客户洽谈设备销售事宜，谈妥价格后引入乙公司，向终端客户称，终端客户要先与乙公司签订设备销售合同1，再由乙公司与甲公司签订合同设备销售合同2，而销售合同2的价格仅为销售合同1的设备销售价格的40%至70%，而两份销售合同的差价流入了乙公司和张先生的口袋。值得一提的是，上述电子邮件虽然均已被张先生删除。但我们协助公司委托有关机构进行司法鉴定，通过数据恢复，成功找到这些邮件。这些邮件对于证明其的违规行为起到至关重要的作用。

　　最终，法院判决张先生职务侵占罪成立。并且，在判决之前经律师协调，张先生家属向甲公司退赔了部分款项，同时就余款部分向甲公司出具了书面还款计划，案件已由法院执行部门执行。

　　这个案子并非特例，在实践中，我们常常碰到这样的企业，放权给高职位员工，没有定期的合规内审以及无法取证或证据无效力等情况。因此，我们认为公司的这些做法都是不妥当，具有一定的法律风险的，我们建议应当在不同部门、不同级别员工间设立权限，并对其进行监督，减少员工因权力过大而侵占公司利益的概率。

　　开除员工未留证据公司有理却输官司 

　　合规管理是企业通过制定合规政策，按照外部法规的要求统一制定并持续修改内部规范，监督内部规范的执行，以实现增强内部控制，对违规行为进行早期预警，防范、化解、控制合规风险的一整套管理活动和机制。其目的就是通过建立一套机制，使公司能够有效识别、评估、监测合规风险，主动避免违法违规行为发生，从而免受法律制裁或财务、声誉等方面的损失，防范操作风险。因为，在许多违规事件发生后，企业往往会在调查取证上犯难。

　　A公司是一家以销售业务为主的公司，在公司的规章制度中明确规定销售人员不得收受回扣。而刘某在工作中，多次收受现金回扣，甚至一度邀请同部门的同事共享。好景不长，随着公司一项目的结束，刘某被公司内部同事举报，称其收受了回扣。公司随即派人力资源部门的相关负责人与举报者及刘某进行了面对面会谈，后与刘某解除了劳动合同。刘某认为公司属于违法解除劳动合同，遂与公司对簿公堂。在公司提交的证据中，不仅没有相关的访谈纪要，就连刘某收受回扣的凭证也没有，故公司没有获得法律的支持。

　　事实上，在调查违规行为中，我们认为应该有证据意识。第一，一些内部的审查，包括电话记录、邮件往来、打卡记录等都应当由后台的数据支撑。如果是已删除的文件，可以通过联系技术公司进行恢复，从这些数据中找到蛛丝马迹；第二，联合相关部门（包括公安、工会、人社等部门）进行第三方调查。这些部门不管是从公权力而言，或者是从调查手段、方式上来看，都会比企业自己进行调查的效力和范围更大。第三，面对面的访谈纪要、录音等证据要保留完整。一些企业往往会有这个意识在与员工访谈的时候进行会议纪要、录音，然而，并非每一个部门的员工都有这个意识。因此，在进行访谈类的证据搜集时，切记提高访谈人员的证据意识，确保对访谈过程进行录音、纪要甚至是录像，以保留原始的证据以支持企业自己。

　　没有清除个人信息公司给予员工赔偿 

　　现如今，很多客户企业都正在尝试着“走出去”，扩大自己公司的经营业务与范围，这其中避免不了与外籍员工进行交流与合作。C公司是一家金融公司，随着近几年迅猛发展的互联网技术，公司的业务逐渐向欧洲发展。但就在这个时候，企业与欧洲的员工发生了小矛盾：企业按照以往的做法，在征得员工同意之后收集了员工相关的个人信息。然而，当员工离职后发现自己的个人网站被公司域名的地址登录着。外籍员工认为，C公司应当在离职后自动清除他们的个人信息，包括电脑内的登录信息及记录，此举涉嫌侵害他们的个人隐私，要求公司予以赔偿。公司当时立即做出了赔偿，避免了进一步扩大争议。但倘若根据2018年5月欧盟出台的《通用数据保护条例》（简称GDPR）的相关规定，C公司或将面临最高可达2000万欧元，或者公司全球营业额的4%，且就高的处罚。

　　根据欧盟委员会官网的解释，该法案重点保护的是自然人的“个人数据”，例如姓名、地址、电子邮件地址、电话号码、生日、银行账户、汽车牌照、IP地址等，若未征得同意并非法使用这些数据，那么将遭到处罚。

　　国内一些企业并不十分重视劳动者的个人隐私，包括在工作中的一系列记录。但是，一旦涉及“走出去”业务或是与域外的一些劳动者、客户合作时，便不得不提起十二分的精神。为此，我们简单概括了三种建立合规体系的方式，希望能让企业少走弯路，避免不必要的误会及纠纷。首先，企业应根据所在区域的法律规则制度，设定合规的规章制度，并及时更新给每一位员工。这份规章制度除了要符合公司内部的发展需求之外，更要贴合所在区域的规定，例如当地的《劳动法》、《通用数据保护条例》等等。其次，是要不定期地在员工中开展合规培训，既帮助他们树立合规意识，让他们避免在工作中犯不必要的错误，同时也是以培训方式将合规制度告知给员工。最后，要不断强调风险把控，不定期开展内部审查，以避免进一步扩大损失。

　　合规体系就像是企业人事管理中的一道防火墙，如果没有设立合规体系，那么一旦发生相关的劳动争议就会对企业造成不容忽视的损失。因此，我们也希望所有企业能够建立一套适合本企业实际情况的合规体系，既明确员工的权利义务，也可避免不必要的争议与纠纷。